De organisatie waarin alle Europese privacytoezichthouders zijn verenigd, de Artikel 29-werkgroep, heeft zijn zorgen geuit over verschillende onderwerpen in nieuwe EU-wetgeving. Zo twijfelt het orgaan of er afdoende bescherming is tegen wifi-tracking.
In een maandag gepubliceerde opinie schrijft de werkgroep dat er behalve over wifi-tracking 'ernstige zorgen' zijn over de verwerking van metadata, cookiemuren en standaardprivacy-instellingen. Op deze punten kunnen de nieuwe EU-regels, die zijn vastgelegd in de ePrivacy-verordening, nog verbeterd worden. Over het algemeen is de organisatie positief over de verordening en schrijft ze dat het een goede zet was om de geldende telecomregels uit te breiden naar diensten als WhatsApp.
Over het onderwerp wifi-tracking meldt de werkgroep dat de huidige tekst van de regelgeving de indruk wekt dat bedrijven de locatie van personen zonder hun toestemming mogen volgen met deze techniek, of bijvoorbeeld door bluetooth-tracking. Het enige wat daarvoor nodig lijkt te zijn, is een waarschuwing waarin dit wordt aangegeven. De toezichthouders schrijven dat dit niet de bedoeling kan zijn en dat de regels overeen moeten stemmen met de Algemene verordening Gegevensbescherming, die in 2018 van kracht wordt.
Zo vloeit uit die verordening voort dat het bijhouden van de locatie alleen mag als de gegevens meteen worden verwijderd of geanonimiseerd, en als er toestemming is verkregen. Daarnaast mogen de gegevens alleen worden verzameld voor statistische doeleinden, moet het gaan om noodzakelijke gegevens en moet er een opt-out aanwezig zijn.
Het tweede punt waarop de huidige versie van de ePrivacy-verordening tekortschiet, is op het gebied van de analyse van metadata. Zo zou het uitgangspunt moeten zijn dat er een verbod geldt voor het verwerken van de inhoud en metadata van berichten van ontvangers en afzenders. Alleen toestemming zou deze verwerking legaal maken. Ook pleit de werkgroep voor het opnemen van een uitzondering voor diensten waar mensen zelf om vragen, bijvoorbeeld zoekfunctionaliteit in mail en text-to-speech.
Verder uit de Artikel 29-werkgroep kritiek op de regels over cookiemuren. Die wil de organisatie geheel verbieden in het geval dat toegang tot een dienst volledig afhankelijk is van het geven van toestemming. Ten slotte is de organisatie het niet eens met de staat van de regels over privacy by default. Zo zouden apparaten en software standaard voorzien moeten zijn van privacyvriendelijke instellingen. Gebruikers moeten via de browser kunnen aangeven of zij gevolgd willen worden en dit zou niet alleen moeten gelden voor derde partijen en cookies. De ePrivacy-verordening moet in mei 2018 van kracht worden.