Uitspraak van het Europees Hof van Justitie: Cookies en AVG – Wie moet nu toestemming geven?

Uitspraak van het Europees Hof van Justitie: Cookies en AVG – Wie moet nu toestemming geven?

Op 30 mei 2025 ligt de focus op gegevensbescherming en de verwerking van persoonsgegevens, vooral in het kader van gepersonaliseerde reclame. Het Europese Hof van Justitie (HvJ) heeft onlangs een beslissende uitspraak gedaan die de vereisten verduidelijkt voor het verkrijgen van toestemming van de gebruiker bij het verwerken van deze gegevens. Het arrest (ref. C-604/22), dat gebaseerd is op een prejudiciële beslissing van een Belgische rechtbank, verduidelijkte dat toestemming verplicht is voordat gepersonaliseerde advertenties worden weergegeven.

De rechtbank oordeelde dat de ‘TC string’, een vernieuwde standaard voor het opslaan en verzenden van gebruikersgegevens, geldt als persoonsgegevens in de zin van de Algemene Verordening Gegevensbescherming (AVG). Deze classificatie betekent dat de TC-string potentieel de identiteit van de gebruiker kan onthullen en daarom onderworpen is aan de strenge eisen van de AVG. Volgens de uitspraak moeten reclamebedrijven zoals het Interactive Advertising Bureau Europe (IAB) ervoor zorgen dat zij toestemming van gebruikers verkrijgen om hun gegevens te verzamelen en te verwerken.

Technologieën voor gegevensopslag

Het gebruik van partnercookies en soortgelijke online-identificatoren is al wijdverbreid. Deze technologieën maken het mogelijk om informatie zoals browsertype, taal, schermgrootte en ondersteunde technologieën op eindapparaten op te slaan of uit te lezen. Deze gegevens worden vervolgens gebruikt om gerichte advertenties te leveren. Een autofabrikant zou bijvoorbeeld na 18.30 uur specifiek reclame kunnen maken voor elektrische voertuigen aan stedelijke gebruikers.

Dergelijke advertentiemaatregelen zijn vaak gebaseerd op gebruikersprofielen die zijn gemaakt op basis van eerder verzameld gedrag op het betreffende platform. Een voorbeeld hiervan is een online retailer die specifiek advertenties voor hardloopschoenen toont aan gebruikers die eerder naar deze producten hebben gezocht. Bovendien wordt informatie over interacties met advertenties gebruikt om de advertentieprestaties te meten en de relevantie van de inhoud te verbeteren.

Verantwoordelijkheid van reclamebedrijven

De uitspraak van het HvJ maakt duidelijk dat bedrijven die persoonsgegevens verwerken, zoals de IAB, worden aangemerkt als “verwerkingsverantwoordelijken” in de zin van de AVG. Dit betekent dat zij moeten beslissen over het doel en de middelen van de gegevensverwerking. Het niet naleven ervan kan leiden tot maatregelen en boetes, zoals onlangs opgelegd door de Belgische Gegevensbeschermingsautoriteit aan het IAB.

Bij digitaal adverteren is het van cruciaal belang dat gebruikers niet alleen worden geïnformeerd, maar ook actief bezwaar kunnen maken tegen het verzamelen en verwerken van hun gegevens. De verzamelde gegevens kunnen alles omvatten, van locatie en leeftijd tot zoekgeschiedenis en gedane aankopen, waardoor de complexiteit van het onderwerp wordt benadrukt.

Om te voldoen aan de eisen van de AVG heeft het IAB het ‘Transparency and Consent Framework’ (TCF) ontwikkeld. Dit platform maakt het eenvoudiger om de benodigde toestemming voor gegevensverwerking te verkrijgen en zorgt ervoor dat de rechten van gebruikers worden gerespecteerd. Hiermee ontstaat ook de basis voor bijvoorbeeld het uitvoeren van geanonimiseerde evaluaties om producten en aanbiedingen te verbeteren.

Over het geheel genomen laat de huidige discussie over reclame, gegevensbeschermingsvereisten en de rol van de verantwoordelijken zien hoe belangrijk het is om transparant om te gaan met gebruikersgegevens en tegelijkertijd aan de wettelijke vereisten te voldoen. Een nauw verband tussen reclame en gegevensbescherming is meer dan ooit noodzakelijk om het vertrouwen van gebruikers op de lange termijn te winnen en te behouden.