Advies Europese privacytoezichthouders: verbied adverteren via trackingcookies

De Europese Commissie moet gepersonaliseerde advertenties strikter reguleren en uiteindelijk helemaal verbieden. Dat adviseren de Europese privacytoezichthouders, verenigd in de European Data Protection Board. Ook willen ze verbieden dat adverteerders kinderen profileren.

De EDPB roept de Europese Commissie en het Europees Parlement op meerdere wetsvoorstellen rond digitale diensten aan te passen. Deze zouden de rechten van burgers onvoldoende beschermen en niet effectief genoeg zijn. Het advies van de privacytoezichthouders is met name om advertenties die zijn gebaseerd op het online volgen van mensen met bijvoorbeeld trackingcookies, uit te faseren en op termijn volledig te verbieden. Binnen welke termijn dat moet gebeuren melden de toezichthouders niet.

"Grote techbedrijven en talloze kleinere advertentiebedrijven verdienen goudgeld door ons op internet te bespioneren, dossiers over onze interesses aan te leggen en daarmee advertentieruimte te verkopen aan andere bedrijven", zegt Aleid Wolfsen hierover. Hij is vicevoorzitter van de EDPB en voorzitter van de Autoriteit Persoonsgegevens. Wolfsen zegt dat de handelwijze 'pervers' te noemen is: "Zéker bij het bespioneren van kinderen."

De EDPB wil de Digital Services Act, de Digital Markets Act, de Data Governance Act en de Artificial Intelligence Regulation gewijzigd zien. Niet alleen beschermen deze wetsvoorstellen burgerrechten onvoldoende, vinden de toezichthouders, maar ook zijn ze op sommige punten in tegenspraak met bestaande wetten, zoals AVG. Daarnaast zou het toezicht onvoldoende geregeld zijn.

Reacties (71)

[CAPSLOCK2000]

Ik ben helemaal voor. De huidige wetgeving over tracking werkt niet omdat de financiele voordelen zo groot zijn dat alle sites met tracking-popups komen of andere kunstjes. Zolang we reclame op grond van tracking toestaan zullen ze manier vinden om het te doen, binnen of buiten de wet. In principe mag het niet maar niemand kan al die websites controleren.
Door reclame op grond van tracking te verbieden kunnen we de grote reclamebedrijven die het allemaal organiseren aanpakken. Websites kunnen dan zelf op kleine schaal nog iets doen maar als je die data niet centraal kan combineren met die van een hoop anderen kan het nooit zo effectief en schadelijk zijn.

[Cafe Del Mar]

Vergeet niet dat Tweakers onderdeel is van DPG media, uitgever van oa HLN en VTM in België. Zij voldoend prima aan de GDPR wetgeving op "third party cookies", maar harken tonnen data binnen op allerhande websites om alsnog aan profiling etc te doen.
Dus als trackingcookies niet meer mogen, ligt het businessmodel van DPG op apegapen: profielen verkopen aan bedrijven, gebaseerd op het koppelen van data van verschillende bronnen: VTM-Go, HLN, MijnEnergie, Tweakers, Spaargids, ...
Nu duidelijk is dat de groten alsnog GDPR op legale wijze omzeilen, moet er gewoon naar een volgende stap overgegaan worden: trackingcookies verbieden.

En wanneer komt er eindelijk een plugin/extensie om fingerprinting te voorkomen?

[CAPSLOCK2000]

Dus als trackingcookies niet meer mogen, ligt het businessmodel van DPG op apegapen: profielen verkopen aan bedrijven, gebaseerd op het koppelen van data van verschillende bronnen: VTM-Go, HLN, MijnEnergie, Tweakers, Spaargids, ...

Je zou denken dat een site als Tweakers juist prima zonder tracking kan. De site zelf heeft een duidelijk profiel en een duidelijke doelgroep. Verder zijn er binnen de site ook nog wel thema's maar die zijn prima te koppelen op grond van de inhoud. Alles wordt al voorzien van tags.

Nu duidelijk is dat de groten alsnog GDPR op legale wijze omzeilen, moet er gewoon naar een volgende stap overgegaan worden: trackingcookies verbieden.

Ik sta achter het idee maar niet achter de uitvoering. Er zijn namelijk gevallen waarin ik, de gebruiker, zelf wil dat ik gevolgd wordt. Al moet ik toegeven dat ik moeite heb met een goed voorbeeld bedenken. Een belangrijker probleem is dat je geen echt onderscheid kan maken tussen "tracking" en andere vormen van informatie bijhouden. Ook "functionele" cookies kunnen informatie bevatten die je kan gebruiken voor tracking. En het probleem is ook groter dan alleen cookies maar gaat om alle vormen van data bijhouden, waaronder fingerprinting.

Ik denk dat het daarom beter is om gepersonaliseerde advertenties te verbieden. Dat is volgens mij een betere aanpak dan proberen het verzamelen van informatie te verbieden, want dat is zo vaag en oncontroleerbaar dat je nog steeds geen grenzen hebt.

En wanneer komt er eindelijk een plugin/extensie om fingerprinting te voorkomen?

Dat is nog best lastig omdat "fingerprinting" niet één techniek is maar een verzameling van technieken die allemaal opzoek zijn naar zeldzame kenmerken. Het niet hebben van zeldzame kenmerken is zeldzaam. Dat is een beetje een catch-22 ("Ja, die ene man daar in dat camouflagepak! U valt op tussen al die naakte mensen die alles vanzichzelf laten zien!") Er zijn wel plugins die proberen om valse kenmerken te tonen maar ook dat valt al snel op.

[Cafe Del Mar]

Dat is nog best lastig omdat "fingerprinting" niet één techniek is maar een verzameling van technieken die allemaal opzoek zijn naar zeldzame kenmerken. Het niet hebben van zeldzame kenmerken is zeldzaam. Dat is een beetje een catch-22 ("Ja, die ene man daar in dat camouflagepak! U valt op tussen al die naakte mensen die alles vanzichzelf laten zien!") Er zijn wel plugins die proberen om valse kenmerken te tonen maar ook dat valt al snel op.

Dat was vroeger ook zo met ads, ondertussen heeft zowat iedereen adblocking tot zelfs PiHole toe.
Eens er een plugin is die de allerhande default waarden geeft op "te testen parameters", valt het "camouflagepak op het naakststrand" meteen weer weg.

Te testen parameters: https://coveryourtracks.eff.org

[laptopleon]

In principe mag het niet maar niemand kan al die websites controleren.

In de praktijk zijn het een handjevol advertentienetwerken die 99% van de markt in handen hebben, dus als je die aanpakt, ben je al een heel eind.

Google/YouTube is in feite één bedrijf / advertentienetwerk, Facebook/Whatsapp ook.

[obimk1]

Veel Cookie acceptatie van een aantal websites is varkensachtig.

Veel sites laten direct een flinke hoeveelheid cookies accepteren maar als je bepaalde tracking of advertentie cookies wilt uitschakelen moet je vaak handmatig veel op "verborgen" pagina's uitschakelen. Maar de optie om alles te accepteren blijft vaak steeds aanwezig. Heb het een keer uitgeprobeerd met 1 site, die had er meer dan 70 (!). Heb nu een plugin van Firefox die automatisch alleen "strikt noodzakelijke cookies" accepteert.

[Vexxon]

Zal eens een keer tijd worden. Veel en veel te laat. Google is allang bezig met om cookies te omzeilen.

[ShadLink]

Wat ze moeten doen is elke vorm van online tracking verbieden, inclusief FloC en fingerprinting. Met miljardenboetes voor overtreders. En dan geheel simpel: gebruikt een site een verboden tracker? Direct een waarschuwing en na 2 weken niet gefixed? Boete van 1 miljoen euro. En dat elke week herhalen totdat het gefixed is.

[Reactie gewijzigd door ShadLink op 25 juli 2024 23:45]

[kimborntobewild]

Waarom eerst een waarschuwing? Flauwekul. Direct beboeten.

[LaTiNo156]

Dat is wat ik al jaren roep. 3 overtredingen en je mag je producten niet meer aanbieden in de gehele EU

[copi]

Ik ben het op zich met je eens dat de tracking veel te uitgebreid is, en deze wetgeving zich onterecht op de manier van tracking lijkt te richten?
Ik vraag me af hoe ze hiermee tegengaan dat, laten we eerlijk zijn, Google en Facebook, met hun native apps jou blijven profileren. Daar ben je namelijk gewoon ingelogd.
Volgens mij zou je dan in moeten zetten op het delen van klantprofielen tussen services, ook binnen hetzelfde bedrijf. Maar dat lijkt me dan wel een hele beperking en heel moeilijk te controleren.

[denios]

Ehm...Google is 1 van de, zo niet DE grootste, data verzamelaars en verkopers ter wereld.
Ze houden alleen niet van concurrentie.

[Iblies]

Nee hoor,
Facebook en Google zijn naar buiten de meest bekende,

alleen daarachter zitten talloze bedrijven onder de noemer databrookers,
hoofdzakelijk in de VS waar sws alles minder goed geregeld is en waar je als niet VS-ser praktisch rechtenloos bent.

https://nl.wikipedia.org/wiki/Datahandelaar
https://en.wikipedia.org/wiki/Information_broker
China heeft keihard een streep gezet met al dat soort clubjes, je hebt geen bestaansrecht in China als je gegevens niet op Chinees grond staat. India gaat op dezelfde tour want data is het nieuw kapitalisme en dat geef je niet zomaar uit handen.

Dit wordt een interessante casus,
nieuws: Clearview AI moet gezichtsherkenningsdata van Australiërs verwijderen
clearview is een bedrijf op VS grondgebied dat Australische gegevens bij elkaar schraapt.


Google is juist de partij die met minder kan zonder dat andere partijen dat kunnen uitbuiten. Apple en Facebook willen op dezelfde tour.

[Zer0]

In tegenstelling tot de databrokers verhandelt Google ook de informatie niet, maar gebruikt ze voor hun eigen producten (zoals advertentieruimte)

[berchtold]

mag google doen. enige wat je dan moet doen is geen google producten gebruiken, zoals chrome

[Cheap Apps]

Ook als je geen Google producten gebruikt kun je nog getrackt worden aan de hand van fingerprinting.

[Hydranet]

Ja dat ja, ik heb liever dat ze fingerprinting verbieden.

[feranderd]

Google doet niet aan fingerprinting en heeft dat ook niet nodig(want login via Gmail etc) . Fingerprinting is trouwens allang verboden, want geen toestemming, in tegenstelling tot de cookie.

[michielRB]

Daar heb je add-on's voor die iedere keer een fake fingerprint sturen....
bijvoorbeeld: https://mybrowseraddon.com/canvas-defender.html

Verder geen Google account gebruiken om continu volgen door Google te voorkomen. LineageOS zonder GAPPS op je telefoon gebruiken....

Nog steeds geen garantie dat je anoniem bent, maar het wordt al wel een stuk veiliger.

[Reactie gewijzigd door michielRB op 25 juli 2024 23:45]

[GekkePrutser]

Nee dat mag helemaal niet. Daar hebben we juist de GDPR voor. Die is niet technologie-specifiek. Tracking zonder toestemming mag niet, de methode zoals cookies is niet zo van belang.

Over dingen als FLoC is nog geen uitspraak geweest (het is ook maar een test en werd juist om GDPR redenen alleen in de VS gedaan!) maar ze zoeken daarmee heel erg het randje op. Valt zeker buiten de geest van de wet maar wellicht net binnen de letter.

[Reactie gewijzigd door GekkePrutser op 25 juli 2024 23:45]

[R4gnax]

(het is ook maar een test en werd juist om GDPR redenen alleen in de VS gedaan!)

Heb een maand of twee terug een nieuwe hier in Nederland gewoon in de winkel aangeschafte Android telefoon voor mijn moeder ingericht. Raad eens wat er standaard in Chrome aanstond? Jawel: de FLoC trial.

En daar kwam je dus alleen achter door specifiek naar de instellingen te gaan en daar het desbetreffende menu te openen. Google verwittigde op geen enkele manier van tevoren dat die optie standaard aan zou staan.

Mogen we weer aanschuiven in het rijtje flagrante AVG-overtredingen.
"Meteen maar even de boete aftikken en weer verder, meneer Google?"
"Ja doet u maar. Kan ik ook meteen voor de rest van het seizoen afrekenen? Wel zo makkelijk, niet waar?"

[Reactie gewijzigd door R4gnax op 25 juli 2024 23:45]

[M.l.]

Het probleem is dat ze dat mogen zeg maar.

[dimdek]

...en dan hebben we een overheid die van iedereen vraagt apps (corona/digiD) op je telefoon te gebruiken die alleen te verkrijgen zijn via de Apple en Google Stores waarvoor je een account moet aanmaken en waarna je hele priveleven bij een van deze twee bedrijven terecht komt, klaar om met je profiel gerichte reclames te ontvangen.

[kodak]

Aangezien de toezichthouders vooral zelf over de regulering gaan kan ik hun opmerking niet anders lezen dan dat deze toezichthouders zelf strenger moeten reguleren. Daarbij zijn veel toepassingen van tracking nu al verboden, dus als de toezichthouders niet strenger gaan reguleren heeft dat extra verbieden niet zomaar zin. Het lijkt dan meer een vraag om makkelijker te kunnen reguleren.

[Eonfge]

Zo interpreteer ik het ook. Tracking mag al niet zonder expliciete toestemming, dus waarom zouden we dan nu ook reclame middels die tracking willen verbieden?

Eigenlijk kies ik in deze discussie nu de kant van Google... als mensen willens en wetens hun privé-gegevens aan Google geven zodat Google daar reclame voor kan maken, dan is er toch niets misdadig aan?

Er zijn veel problemen met onder andere Google, aangezien ze een browser en telefoon monopolie hebben en deze misbruiken, maar daar moet dan iets gericht aan gedaan worden: Je kunt niet zomaar hun verdienmodel aanvallen als dat verdienmodel transparant is.

Ik zou dus zeggen; reclame maken met persoonsgegevens mag als de gebruiker daar expliciet mee akkoord gaat, en om te zorgen dat Google geen oneerlijk voordeel heeft moet het bedrijf worden opgebroken en moeten Android en Chrome losse producten worden.

[batjes]

Ik wordt gewoon getracked hoor, ondanks dat ik echt helemaal nergens toestemming voor geef. Bijna elke website die ik bezoek, moet ik actief op opt-outen. Heel veel sites zoals Tweakers zoeken de grenzen op, waardoor het AP daar in zou moeten duiken, waar ze geen tijd voor hebben, waardoor het heel lang gaat duren voordat zulke sites daar ooit wat van zullen horen.

De Do Not Track header staat bij mij aan, geen enkele site houd zich daar aan. Ik geef bij voorhand mijn voorkeur, waarom moet ik alsnog door menu's heen klikken of actief met uBlock Origin, Blokada en andere tools alles tegen houden?

Het AP verzuipt gewoon en zo zijn we nu 5 jaar na dato van het invoeren van de AVG, eigenlijk geen flikker opgeschoten.

Bannen die shit. Google en co hebben hun tijd gehad. Niets expliciteit toestemming geven, niemand wil toestemming geven als ze weten wat het eigenlijk inhoud en wat de potentiële toekomstige risico's zijn. Mensen mogen ook wel een beetje beschermd worden.

[WillySis]

Het aantal websites dat zich echt netjes aan de coockiewet houdt is schrikbarend klein. Officieel heb je het recht om de cookies te weigeren en hoort de website toch normaal te werken. Er zijn echter veel websites die maar één keuze aanbieden. Accepteren of wegwezen. Tweakers (DMG) is eigenlijk niet veel beter.
Op een aantal sites kan je selecteren welke soorten cookies je wel en niet wilt, maar er staat dan alleen een knop "alles accepteren" De knop "alleen noodzakelijk" hoort daar ook bij, want alle keuzes horen even gemakkelijk te zijn.
Tot slot zijn er nog een aantal sites waar je wel de cookies kunt weigeren, maar toch vrolijk cookies (laten) plaatsen.
De cookies worden overigens niet alleen door de sites zelf geplaatst, maar helaas laten veel sites html-adds toe waarmee advertentieboeren zelf cookies plaatsen.

Google heeft dit verbod al lang aan zien komen en heeft zijn plannen al klaar voor een alternatief. De cookies worden dan niet meer bij de bezoeker geplaatst, maar bij Google zelf.

De Do Not Track header stamt al uit de begintijd van de internetbrowsers, maar heeft geen enkele status. Deze "feature" heeft ook nooit enig nut gehad.

De beste bescherming tegen cookies is om ze maar gewoon toe te staan en weg te gooien zodra je een website verlaat. Tools zoals "Cookie autodelete" zijn daarbij heel nuttig.

[R4gnax]

De Do Not Track header stamt al uit de begintijd van de internetbrowsers, maar heeft geen enkele status. Deze "feature" heeft ook nooit enig nut gehad.

Geen enkele status? Guess again:

Artikel 21 - Recht van bezwaar
5. In het kader van het gebruik van diensten van de informatiemaatschappij, en niettegenstaande Richtlijn 2002/58/EG, mag de betrokkene zijn recht van bezwaar uitoefenen via geautomatiseerde procedés waarbij wordt gebruikgemaakt van technische specificaties.

Raad eens wat de DNT header is?
Juist ja; een officieel erkende technische specificatie.
https://www.w3.org/TR/tracking-dnt/

Het heeft de status Technical Recommendation (TR) wat de hoogste vorm van standardisatie en stabiliteit is voor een specificatie gedragen door het W3C; het dominante standaardorgaan voor technische specificaties voor alle zaken gerelateerd aan websites op het internet.

[Reactie gewijzigd door R4gnax op 25 juli 2024 23:45]

[WillySis]

Jij maakt een interpretatie van een wet. Dat is jouw goed recht, maar het betekent niet dat je automatisch gelijk hebt of krijgt.

De DNT header bestaat al sinds de jaren 80. De erkenning als technische specificatie is later gekomen. Een technische specificatie betekent (helaas) niet dat het een wettelijke erkenning heeft. Op het moment dat de wetgeving is veranderd bestond de DNT header al. Bij het opstellen van wetten is het gebruikelijk om bestaande methoden daarin op te nemen. Dat is met de DNT tracker niet gedaan. Dat geldt voor het recht van bezwaar, maar ook voor de AVG en de cookie wetgeving.

Het W3C heeft de DNT header evenmin een wettelijke status gegeven. Er is immers nergens aangegeven dat de DNT header uitgelezen moet worden en dat deze ook opgevolgd moet worden. De TR bepaald alleen hoe de DNT header er uit moet zien.

Of de DNT header bruikbaar is als wettelijk middel is overigens nog de vraag. Het is namelijk een generieke instelling, zonder mogelijkheid van uitzondering. Elke site moet jouw volgens de cookie wet specifiek om toestemming vragen. Dat kan je ook interpreteren als specifiek de toestemming weigeren.

Er zijn dus een aantal punten waarop je zou kunnen concluderen dat de DNT header niet als wettelijk middel kan worden geïnterpreteerd.

[R4gnax]

Bij het opstellen van wetten is het gebruikelijk om bestaande methoden daarin op te nemen. Dat is met de DNT tracker niet gedaan.

De AVG/GDPR is bewust agnostisch van implementerende technologie opgesteld. Dat was één van de kernwaarden van de regulering, zodat deze lang(er) houdbaar zou zijn dan geregeld.

De DNT header bestaat al sinds de jaren 80.

Citation needed?

De algemeen erkende oorsprong van de Do-Not-Track header is een prototype Firefox add-on uit 2009, in elkaar gezet door twee onderzoekers; één werkzaam bij Mozilla en één die later werkzaam zou zijn bij de Amerikaanse FTC. Dit kwam in navolging van een gezamenlijke oproep in 2007 vanuit burger- en consumentrechtenbewegingen aan het adres van de Amerikaanse FTC om voor meer bescherming tegen het online volgen van mensen te zorgen.
Einde 2010 sprak de Amerikaanse FTC na eigen onderzoek uit dat er een door de sector zelf gereguleerd do-not-track systeem moest komen waarmee mensen aan zouden kunnen geven niet online gevolgd te willen worden. Microsoft opteerde hierna voor een aanpak op basis van gecureerde black lists; de zogenaamde Tracking Protection Lists feature, die in Internet Explorer 9 aangebracht zou worden als verbetering bovenop de bestaande InPrivate Filtering feature van Internet Explorer 8.
Mozilla koos er voor om de bestaande prototype add-on verder te verfijnen; te gaan standardiseren; en direct in hun Firefox browser te gaan integreren. Dat werd een sector-breed gedragen concept dat door alle andere grote browserbouwers overgenomen werd, inclusief Microsoft. Dat was het levenslicht van de DNT header zoals we deze uiteindelijk zijn gaan kennen en daaruit is de officiële W3C Tracking Preference Expression (DNT) standaard voortgekomen.

Deze is overigens in 2019 pas tot volwaardige standaard: het niveau Technical Recommendation (TR), verheven. Voorafgaand hieraan ging deze ook pas vanaf 2017 als Candidate Recommendation (CR) door het leven. Hiermee vond daadwerkelijke standardisatie dus ook pas plaats nadat de wetstekst van de AVG/GDPR al gefinaliseerd en aangenomen was, wat in april 2016 het geval was. Het punt wat hier gemaakt wordt is daarmee ook meteen volledig feitelijk ontkracht: DNT was nog niet een standaard op het moment van het vormen van de AVG/GDPR en kon er dus ook onmogelijk concreet in opgenomen worden.

Het W3C heeft de DNT header evenmin een wettelijke status gegeven.

Dat is ook niet aan het W3C om te doen. Dat is aan de wetgeving. En deze stelt duidelijk dat het recht van bezwaar bij gebruik van diensten binnen de informatiemaatschappij (zoals websitebezoek) middels technische specificaties geautomatiseerd uitgeoefend mag worden. De wetstekst vernauwt bewust niet welke specificaties, vanwege voorgenoemde: de intentie is om de wetstekst agnostisch te houden van daadwerkelijke implementatie-technieken die onderhevig kunnen zijn aan verjaring.

Elke site moet jouw volgens de cookie wet specifiek om toestemming vragen.

Geen appels met peren vergelijken, aub.

Het recht van bezwaar staat los van de eis dat er een geldige verwerkingsgrondslag moet zijn, waar toestemming slechts één optie van is. De DNT header is niet een vorm van toestemming weigeren. De DNT header is een vorm van geautomatiseerd het recht van bezwaar uitoefenen waarbij verdere verwerking dan al heeft plaatsgevonden enkel nog plaats mag vinden als na het afwegen van de belangen van de betrokkene en de verantwoordelijke, het belang van de verantwoordelijke toch blijkt te prevaleren. Uitzondering hierop zijn verwerkingen die als doel profilering of direct marketing hebben (waar tracking voor targeted internetadvertenties onder valt). In deze gevallen dient onmiddelijk gehoor te worden gegeven aan het bezwaar en is een verder appel op basis van de belangen van de verantwoordelijke niet mogelijk.

[Reactie gewijzigd door R4gnax op 25 juli 2024 23:45]

[WillySis]

Ik kan me de DNT functie al uit de begintijd van de browsers herinneren. Zat al in internet explorer en Netscape-browser van halverwege de jaren 80. De enige standaard die ze hadden, is dat ze standaard genegeerd werden.

Hoe jij de wet interpreteert mag je zelf weten. Uiteindelijk is het de interpretatie van de rechter die bepaald hoe de wet werkelijk geïnterpreteerd moet worden. Jij bent (neem ik aan) geen rechter en ik ben dat evenmin. Ik geef alleen een aantal punten aan die een rechter kunnen doen besluiten om de DNT header niet als wettelijk middel om tracking te weigeren te beschouwen.

Terzijde: Ik heb overigens liever dat men cookies blijft gebruiken, dan dat men de tracking op de eigen server gaat plaatsen. Met cookies heb je nog enig inzicht door wie ze worden geplaatst en je kan ze zelf nog beheren. Als de tracking op de eigen servers staat ben je het overzicht en het beheer volledig kwijt.

[R4gnax]

Ik kan me de DNT functie al uit de begintijd van de browsers herinneren. Zat al in internet explorer en Netscape-browser van halverwege de jaren 80.

Dat is knap, want versie 1.0 van Netscape in de vorm van de originele Netscape Navigator, kwam pas uit in december 1994. En versie 1.0 van Internet Explorer kwam uit als onderdeel van de Microsoft Plus! add-on bundle voor Windows 95; ook pas rond die tijd.

[WillySis]

Ik bedoel gewoon de browsers uit jaren 80. Ik weet echt niet meer uit mijn hoofd hoe die heten.

[R4gnax]

Ik bedoel gewoon de browsers uit jaren 80. Ik weet echt niet meer uit mijn hoofd hoe die heten.

De allereerste web browser was een concept web browser van Tim Berners Lee zelf en is gepubliceerd in December 1990. Er waren geen HTTP-based browsers en niet eens een HTTP protocol voor die tijd, laat staan gepersonaliseerde internetadvertenties en de noodzaak om een do-not-track header aan HTTP verzoeken toe te voegen.

[Reactie gewijzigd door R4gnax op 25 juli 2024 23:45]

[batjes]

Het probleem met de DNT header is... Microsoft begon het standaard aan te zetten. Waarop Google en co een campaigne zijn begonnen... Want op die wijze was het "geen vrije keuze" van de gebruiker, omdat het standaard aan stond.

Omgekeerde wereld

Waarop het hele internet dat is gaan volgen en de DNT header is gaan negeren.

Het heeft zeker met de AVG een wettelijke basis. Maar door een vies spelletje is die header praktisch de spec uit gedrukt.

[laptopleon]

Bannen die shit

Zoals je al zegt: Er is in de praktijk geen controle / handhaving. Dus dan gaat verbieden ook niet helpen.

Het is net als met zoveel problemen: Steeds strengere regels, hogere boetes, hogere eisen stellen heeft 0,0 effect zonder handhaving.


Je zal eerst echt moeten gaan handhaven voor er iets verandert.

[kodak]

Het probleem met de verstrekking of gebruik is dat meestal nauwelijks recht te behalen valt te weten waar je gegevens belanden, allemaal voor verwerkt worden en hoe je daar echt controle over hebt. Strenge regels om daar aan te voldoen lijken na jaren nog steeds nauwelijks effect te hebben. Dus het gaat niet alleen om een recht te kunnen verstrekken, maar ook diverse andere rechten over je gegevens kunnen behalen. En dat is geen kwestie van ja maar die rechten geef je dan toch vanzelf op als je de keuze maakt dat je je gegevens verstrekt.

[TheekAzzaBreek]

Zo interpreteer ik het ook. Tracking mag al niet zonder expliciete toestemming, dus waarom zouden we dan nu ook reclame middels die tracking willen verbieden?

Omdat je daarmee niet alleen degene die trackt (Google e.d.)kan aanpakken, maar ook de adverteerder die van die diensten gebruik maakt.

[XWB]

Tracking mag al niet zonder expliciete toestemming, dus waarom zouden we dan nu ook reclame middels die tracking willen verbieden?

Als tracking via 3rd party cookies verboden zou worden dan hoeven websites ook geen toestemming meer te vragen aan de gebruiker. Dat zou het internet veel gebruikersvriendelijker maken.

[berzerker]

Ik denk juist dat de toezichthouders de huidige regels vaak al te streng interpreteren. Het is niet de taak van de toezichthouders om de wet op te rekken. Maar, zoals je zelf ook zegt, een strengere interpretatie lijkt ook helemaal niet nodig om het systeem van gepersonaliseerde advertenties aan te pakken omdat een normale interpretatie volstaat. Laten we niet vergeten dat waarschijnlijk de belangrijkste drijfveer achter de AVG nu juist was dat gepersonaliseerde advertenties aangepakt moesten worden.

Misschien dat dat ook achter het aankomende besluit zit om IAB's TCF framework aan te pakken, hoewel de methode die lijkt te worden gekozen (zoals het innemen van de stelling dat IAB een gegevensverantwoordelijke is) op mij althans niet echt logisch voorkomt.

[edit: tenzij, zo bedenk ik me nu, de toezichthouders gepersonaliseerde advertenties ook willen verbieden zelfs als dat zou kunnen worden hervormd op een dergelijke wijze dat er geen persoonsgegevens aan derden worden verstrekt. Dat zou inderdaad een aanscherping van de bestaande wetgeving vereisen.]

[Reactie gewijzigd door berzerker op 25 juli 2024 23:45]

[kodak]

Waaruit maak je dat streng interpreteren dan op? Er lijkt namelijk nauwelijks handhaving op tracking te zijn, terwijl de strengheid er niet in zit dat toezichthouders geen bevoegdheid tot controle hebben.

[berzerker]

Ik bedoelde meer in het algemeen. In het Nederlands Juristenblad van afgelopen week stond daar nog een mooi artikel over. Een voorbeeld daaruit is dat toestemming door een werknemer als rechtsgrond voor gegevensverwerking door een werkgever niet rechtmatig geacht wordt (terwijl dat gewoon partijen zijn die met elkaar mogen contracteren en van alles mogen afspreken), of dat cookiewalls niet zouden mogen omdat er dat een nadelig gevolg van het onthouden van toestemming zou zijn (wat gebaseerd is op een interpretatie van overweging 42, dus niet op een bepaling van de AVG zelf). Er stonden wat meer voorbeelden in maar het zou te ver gaan om daar in dit verband verder op in te gaan.

Het kwam overeen met mijn gevoel dat de toezichthouders de normen aan het oprekken zijn (dat maakt hun ook machtiger) en dat ze andere belangen dan privacy in beperke mate meewegen, zelfs als die andere belangen ook fundamentele rechten / grondrechten zijn, zoals de contractsvrijheid en vrijheid van onderneming).

[kodak]

Je kan eerder stellen dat de normen vanuit de kant van handelsvrijheid al jaren te ver opgerekt zijn, waardoor er de vrijheid die ondernemers wensen te nemen met persoonsgegevens van anderen al niet redelijk waren. Het feit dat men redelijk eenzijdig contracten en voorwaarden aan gebruikers voorlegt met ook nog veel te vage omschrijvingen wat in de praktijk kan en zal gebeuren, samen met de gebrekkige controle voor de houders van de gegevens is daar juist een voorbeeld van waardoor er wetgeving is gekomen en wat nog steeds nauwelijks verbeterd is toe te passen en te handhaven. Wel vrijheid nemen maar geen verantwoordelijkheid willen dragen, en dan verongelijkt doen als er steeds strengere grenzen komen?

[berzerker]

Ik krijg de indruk dat je meer in mijn reactie leest dan ik had bedoeld. Ja, hoe de advertentieindustrie werkt vind ik ook een drama, en ik gaf ook al aan dat het enkele feit dat we nu een AVG hebben (en dus niet meer de oude privacyrichtlijn) vooral te wijten is aan het feit dat die industrie er zo'n potje van heeft gemaakt. Dus ik ben het helemaal niet met je oneens. Hoe gepersonaliseerde advertenties werken, past gewoon niet goed in een model dat gebaseerd is op toestemming, dus oplossingen als TCF proberen feitelijk een vierkant door een rond gat te proppen.

Mijn verwijzing naar contractsvrijheid en vrijheid van onderneming waren dus niet bedoeld als verdediging van de advertentieindustrie, maar golden meer in het algemeen: privacytoezichthouders moeten ook met andere fundamentele vrijheden rekening houden. Privacy is geen hogere fundamentele vrijheid dan andere fundamentele vrijheden. Dat begrip mis ik wel eens als ik uitspraken van toezichthouders lees.

[TheekAzzaBreek]

Ik denk juist dat de toezichthouders de huidige regels vaak al te streng interpreteren. Het is niet de taak van de toezichthouders om de wet op te rekken.

Als dat zo zou zijn zouden we toch een hoop door de toezichthouders verloren beroepszaken zien?
Afgezien van mededingingskwesties is dat niet het geval, voor zover ik weet.

[berzerker]

Een probleem is dat er geen mogelijkheid bestaat om tegen aankondigingen van die strenge interpretaties op te komen. De enige optie is de strenge interpretatie negeren, handhaving afwachten, een (mogelijk zware) boete afwachten, en daar dan tegen in het geweer komen. In de tussentijd kom je met je organisatie wel in de pers als een organisatie die het met privacy niet zo nauw neemt. Dat zie je hier ook bij elk onderwerp over uitspraken van de AP: vele reacties over wie er wel niet ontslagen moet worden en dat enorme boetes opgelegd moeten worden, alsof het woord van de AP wet is.

De meeste bedrijven (en andere organisaties) zullen zich dat niet kunnen permitteren, en zullen dan maar die strenge regels volgen. Maar Voetbaltv was een goed voorbeeld waar de AP een nieuwe norm uit haar duim zoog ('een louter commercieel belang kan geen gerechtvaardigd belang zijn'), een enorme boete oplegde, het betreffende bedrijf failliet ging, en de AP later ongelijk bleek te hebben.

[R4gnax]

Misschien dat dat ook achter het aankomende besluit zit om IAB's TCF framework aan te pakken, hoewel de methode die lijkt te worden gekozen (zoals het innemen van de stelling dat IAB een gegevensverantwoordelijke is) op mij althans niet echt logisch voorkomt.

De AVG bevat een bepaling die stelt dat wanneer een gegevensverwerker op eigen hand beslissingen neemt over welke gegevens verwerkt worden; voor welke doeleinden; en aan welke derden deze verstrekt worden; vis-a-vis dit in elk afzonderlijk geval te moeten accorderen met de gegevensverantwoordelijke, zij in alle zulke zelfstanding ondernomen verwerkingen als de directe gegevensverantwoordelijke gezien worden.

De basis voor die stellingname is er dus wel degelijk; want je gaat mij niet vertellen dat de IAB met iedere aangesloten website individueel gaat afstemmen of een individuele advertentiepartner aan hun ledenwaslijst toegevoegd mag worden en er via hun framework om toestemming voor verwerking gevraagd mag worden aan bezoekers.

[Reactie gewijzigd door R4gnax op 25 juli 2024 23:45]

[berzerker]

Ik denk dat IAB ziet zich ook helemaal niet als verantwoordelijke of als verwerker ziet, maar louter als beheerder van een framework. Ik ken TCF slechts op hoofdlijnen, en op grond daarvan had ik verwacht dat IAB louter een leverancier van de techniek (TCF) is, en dus noch een verantwoordelijke noch een verwerker is voor de data die anderen met die techniek verwerken. Ik ben dan ook benieuwd naar de argumentatie van de toezichthouder voor haar oordeel dat IAB een gegevensverantwoordelijke is (als dat inderdaad het standpunt blijkt te zijn in de uiteindelijke beslissing). Daaruit zou dan moeten blijken dat ofwel ik de feiten over TCF niet helemaal juist heb (wat, zoals gezegd, zeker een mogelijkheid is) ofwel dat de toezichthouder de betekenis van "gegevensverantwoordelijke" oprekt.

[J_van_Ekris]

Aangezien de toezichthouders vooral zelf over de regulering gaan kan ik hun opmerking niet anders lezen dan dat deze toezichthouders zelf strenger moeten reguleren.

Je mag als toezichthouder natuurlijk niet dingen verbieden die wettelijk wel mogen. Ik lees dit als "hier zouden we graag tegen optreden maar is de wettelijke basis nog te zwak of afwezig"

[kodak]

Hoeveel hebben de toezichthouders in de afgelopen jaren aan tracking die als verboden is gestopt? Het lijkt me sterk dat die paar handhavingen in redelijke verhouding staat tot wat al verboden is, met miljoenen ondernemers en andere sites die tracking nagenoeg ongecontroleerd toepassen.
Het is dus niet alleen een kwestie van op papier meer verboden willen hebben. Toezichthouders handhaven nauwelijks.

[TheekAzzaBreek]

Aangezien de toezichthouders vooral zelf over de regulering gaan kan ik hun opmerking niet anders lezen dan dat deze toezichthouders zelf strenger moeten reguleren.

Dat is een misverstand.
De toezichthouders zijn uitvoerders. De regels worden door de wetgever bepaald

[kodak]

Regulering is niet alleen wetgeving maken maar ook uitleg geven van hoe deze geïnterpreteerd moet worden om te kunnen handhaven. En dat is precies wat de toezichthouder als een van haar taken heeft. Daarbij doen ze dat ook door wel of niet te handhaven en dus precedent te scheppen wat bij wetgeving gewoon is. Het is niet zomaar een regulatory agency.

[Gropah]

Aangezien de toezichthouders vooral zelf over de regulering gaan kan ik hun opmerking niet anders lezen dan dat deze toezichthouders zelf strenger moeten reguleren

Dan moeten ze daar wel geld voor krijgen, en de Autoriteit Persoonsgegevens krijgt dat structureel niet. Plus artikel over hoe dat op europees niveau nog erger is.

[kodak]

Met bijna 200 fte aan arbeidskrachten zetten ze er maar 0,3 fte in voor eigen opsporing en nog geen 3 fte voor handhaving van duizenden meldingen per jaar. Ondertussen staan de toezichthouder onderaan de hele EU lijst met uitgedeelde boetes en handhaving over een periode van 3 jaar, maar wel de meeste klachten. Dan is het echt geen kwestie van geld dat ze hun fte zo scheef inzetten en nauwelijks handhaven. Ze lijken het belangrijker te vinden om het zichzelf niet zo moeilijk te maken door inhoudelijk maar nauwelijks de wet te handhaven.

[thomas_n]

Het lijkt dan meer een vraag om makkelijker te kunnen reguleren.

Dat lijkt me inderdaad één van de grootste voordelen van een totaalverbod op al dit soort tracking en gepersonaliseerde advertenties. Handhaving is zoveel makkelijker als het gewoon verboden is, in plaats van toegestaan onder allerlei voorwaarden, waarbij steeds weer de grenzen van die voorwaarden worden opgezocht en net wel of net niet worden overschreden.

[Jorick]

Denk je dat echt, enig idee hoe het met de handhaving van harddrugs gaat? Dat spul is ook verboden maar de politie heeft er zijn handen vol aan en het is dweilen met de kraan open. Tegenwoordig moet alles maar verboden worden maar vrijwel overal schiet de handhaving erbij in want daar is niet goed over nagedacht of er zijn geen/weinig middelen voor beschikbaar.

Daarnaast zit je nog met de fundamentele discussie of verbieden van tracking niet indruist tegen de vrijheid van anderen om zich wel te laten volgen als ze daar toestemming voor geven. Wie is meneer Wolfsen om voor anderen te bepalen dat ze niet digitaal gevolgd mogen worden? We hebben toch al een AVG waarin geregeld is dat je expliciet toestemming moet vragen?

[Verwijderd]

Yeah! 🥳🥳 verbieden die ellende. Beter dan het massaal blokkeren. 😉

[Floort]

Ik ben misschien wat meer cynisch dan normaal. Maar ik vind het niet heel erg goed overkomen dat toezichthouders het probleem groot genoeg vinden om voor te stellen om vrij rigoureus een flink deel van een bedrijfstak te verbieden terwijl er al jaren geen zichtbare handhaving is op de bestaande problemen die onrechtmatig zijn binnen die bedrijfstak. Als ik het los bekijk kan ik me wat voorstellen bij een dergelijk verbod, maar de toezichthouders kunnen geen wetten maken en wel handhaven. Waarom handhaven ze niet ook?

[Martinspire]

Eens. Pakkans is vrijwel 0 dus is het niet raar dat de markt de regels negeert

[R4gnax]

Waarom handhaven ze niet ook?

Omdat het onder de huidige wetgeving disproportioneel moeilijk is om effectief te handhaven. Er zijn randgevallen die ge-evalueerd moeten worden; argumentatie moet gewogen worden; bedrijf kan de rechtsgang opzoeken om een evt. boete te laten verminderen of in te trekken. Etc.

Met het enorme volume aan overtredingen is dat feitelijk dweilen met de kraan open.
Een volledig verbod is dan veel makkelijker: track je gebruikers op enige manier of leg je op enige manier een profiel aan; dan zit je sowieso fout. Punt.

[Floort]

Nee dat valt wel mee. De AP heeft bijvoorbeeld heel vlot en effectief gehandhaafd op alle online stemhulpen een aantal jaar geleden. Ook zijn er genoeg normen waarop gehandhaafd kan worden waar vrijwel geen ruimte voor discussie is en die bovendien met bureau onderzoek te bewijzen is. Vroeger, met minder capaciteit, deed de AP meer cookie zaken dan sinds de invoering van de AVG.

Edit: kijk voor een goed voorbeeld ook eens naar de onderzoeken naar tracking op ziekenhuis-website. Dat waren er een stuk of honderd uit mijn hoofd.

[Reactie gewijzigd door Floort op 25 juli 2024 23:45]

[temp00]

Wat mij betreft eerder vandaag dan morgen, en dan ook graag alle overige obscure tracking technieken (supercookie, canvas) etc. verbieden.

Ik ben wellicht één van de weinige mensen die geen last heeft van advertenties zolang niet misleidend of extreem schreeuwerig maar de extreme mate van tracking accepteer ik gewoon niet. Dit heeft als gevolg dat ik zaken zoals Pihole en Adblock installeer en m'n favoriete sites zoals bijv. Tweakers mij geen advertenties kunnen serveren (ja tenzij abo) terwijl ik dit in de basis niet erg vind. Eigenlijk is het gek dat het zo lang heeft geduurd, als je gaat winkelen in de fysieke wereld accepteer je toch ook niet dat er een mannetje stiekem achter je aan loopt en alles wat je bezoekt en doet noteert. Het is volgens mij ook helemaal niet nodig want contextueel adverteren werkt ook prima.

[- peter -]

Kijk, mooi zo!

[tja]

geweldig. nu de uitvoer nog.

[Mushroomician]

Hoe zit dit trouwens offline?
Zijn daar geen wetten voor met betrekking tot stalken en adverteren etc.? Je kunt toch niet zomaar stickers plakken op de rug van iedere voorbijganger in winkelcentrum? Of een flyer/pet/whatever, die zij vrijwillig aannemen in de hand, met daarin een tracker die uit het zicht is onttrokken. (bijv. een geheime kleurcode die alleen de uitgever herkent, of RFID, idemdito)

Aangenomen dat offline tracking ook beperkingen draagt (ik weet het echt niet), waarom zou dat online opeens niet meer gelden? Het is nog steeds een persoon in vlees en een organisatie in steen achter iedere online-zaak.

Wat niet mag, mag niet, ongeacht methoden of technieken. Is dat gek?
M.a.w., Ik denk dat de onderscheiding van online en offline - of eigenlijk elektronisch en niet-elektronisch - in wetgeving nergens voor nodig is (bovendien altijd te laat) en deze bedrijven hebben gretig misbruik van gemaakt van het feit dat de technieken nieuw en onbegrepen waren/zijn.

[Reactie gewijzigd door Mushroomician op 25 juli 2024 23:45]

[SinergyX]

Is de tijd van de tracking cookie niet al lang achterhaald? Dat ze inmiddels lang lang complete ID's vastleggen van een unieke combinatie van client/ip/etc, dat een cookie niet eens meer nodig is om een website te laten weten dat jij het bent?

[CAPSLOCK2000]

Het gaat eigenlijk alle vormen van tracking, die cookies zijn maar een voorbeeld.
Ik snap dat ze het doen omdat mensen het woord 'cookie' kennen en ongeveer weten wat het over gaat, maar nu krijgen we hetzelfde misverstand als met de 'cookiewet' die ook beter de 'trackingwet' genoemd had kunnen worden.