CNIL wil Google en Facebook miljoenenboetes geven voor foute cookietoestemming

De Franse privacytoezichthouder is van plan Google en Facebook boetes te geven voor het overtreden van de e-Privacy-regulering. De bedrijven zouden respectievelijk 150 en 60 miljoen euro moeten betalen omdat Europese gebruikers cookies niet makkelijk kunnen weigeren.

Dat schrijft Politico op basis van documenten van de Commission nationale de l'informatique et des libertés of CNIL. De Franse privacywaakhond wil Google twee boetes geven. De Amerikaanse afdeling van het bedrijf zou 90 miljoen euro boete krijgen, en de Ierse afdeling 60 miljoen euro. Voor Facebook komt de boete van 60 miljoen euro alleen voor rekening van de Ierse afdeling. De CNIL mag optreden tegen de Amerikaanse tak van het bedrijf omdat het gaat om overtredingen van de e-Privacyregulering en niet de AVG. De e-Privacyregulering gaat over het beschermen van alle vormen van digitale communicatie. Toezichthouders kunnen daarom ook een bedrijf aansprakelijk stellen in een ander land als dat een overtreding begaat in de communicatie tussen een Europese en een buitenlandse gebruiker. Onder de AVG kan een bedrijf alleen aansprakelijk worden gesteld als dat in hetzelfde land zit als het slachtoffer. Ook mogen Europese toezichthouders die taak onderling uitwisselen, zoals nu bij meerdere onderzoeken naar bijvoorbeeld WhatsApp gebeurt.

Politico geeft niet veel informatie over de aard van de klacht. Die zou draaien om cookietoestemming; Google en Facebook zouden het te moeilijk maken om op Google.fr en YouTube.fr trackingcookies te weigeren. De bedrijven zouden dat binnen drie maanden na de definitieve uitspraak moeten aanpassen, anders kunnen ze ook een extra boete van 100.000 euro per dag krijgen, schrijft de site.

De boete is nog niet definitief bekend gemaakt. De CNIL wil niet bevestigen dat het met zo'n boete komt. Facebook-moederbedrijf Meta zegt tegen Politico wel dat het 'de beslissing bekijkt', en wijst op verschillende maatregelen die het heeft genomen om gebruikers achteraf controle te geven over welke data het bedrijf verzamelt.

Reacties (63)

Ik hoop dat ze echt flink mogen betalen. Voorbeeldje hoe je cookies 'kan' weigeren op de iPhone:

• Ga naar Google.com
• Klik op "Read more"
• Klik op "Read more"
• Klik op Customise
• Klik op "Off"
• Scroll
• Klik op "Off"
• Klik op "Off"
• Scroll
• Klik op Confirm

En nu de leukste stap. Als je dit allemaal gedaan hebt, wordt je geridirect naar googleads.g.doubleclick.net.
Laat dit domein nou net geblokkeerd worden door m'n AdBlocker (AdGuard). Dit houdt in dat je je AdBlocker uit moet zetten om cookies überhaupt te kunnen weigeren!

Toevallig wordt je niet naar dit domein doorgestuurd als je cookies accepteert.

Dit doen ze écht niet per ongeluk.

Je gaat al fout in je eerste stap: Ga naar Google.com

Gebruik gewoon een andere zoekmachine waar je niet gevolgd wordt.

en hoe zit het met 3rd party die Google embedden? ReCAPTCHA enzo?

dat kun je vantevoren niet weten.
Je wordt altijd achtervolgd door Google.

Ik kom dat zelden tegen moet ik zeggen, maar dan ben ik meestal ook snel weg, want ik heb geen zin om 10 minuten recaptcha's te moeten doen waarbij je soms de melding krijg dat het niet goed was, maar ik geen idee heb wat ik fout heb gedaan.

Laatst moest ik inloggen bij een Nederlands ziekenhuis. Daar gebruiken ze nu ook ReCaptcha. Hoe is dat nu mogelijk met betrekking tot privacy? Ik heb alle Google domeinen geblokkeerd en dan kom je dus niet aan je gegevens. Welke IT-er heeft dat verzonnen?

En om Analytics te weigeren heb je een browser addon nodig.

En aks je in een Chomium browser zo'n addon wilt toevoegen, dan kan dat tegenwoordig alleen nog met een Google account.

Dat dit jaren door kan etteren...
Niemand kan er iets aan doen en het is weer een prima indicatie dat Google niet het beste met je voor heeft.

Super irritant inderdaad. Het rare is dat als je op dat moment opnieuw een Google site opent via een url, je geen cookie melding meer krijgt. Ik vraag me serieus af hoe dat kan. Dit icm pihole.

[Reactie gewijzigd door oef! op 6 januari 2022 10:45]

...
Dit doen ze écht niet per ongeluk.

En daarom blijf ik hameren op dat we véél grotere stappen moeten zetten dan nu het geval is.
Het volledige digitale landschap wordt verpest door datahonger.
Nog sterker: laatst iemand aan de deur gehad voor een donatie. Adres, bankrekeningnummer, telefoongegevens, alles moest ik geven. Uiteindelijk "moest" ik periodiek doneren in plaats van een eenmalige gift, dus ik heb de persoon weer weggestuurd.
En miljoenenboete na miljoenenboete: het stopt niet.

Stel dat het bij wet verboden zou worden om winst te maken met onze gegevens en dat het verzamelen alleen toegestaan is als het noodzakelijk is voor de bedrijfsvoering.
Dan wordt er alleen niet meer van alles verzamelt, maar worden er ook geen technieken ontwikkelt (big data) die onze gegevens verwerken, zijn opleidingen/cursussen minder geneigd mensen te trainen om gegevens te verzamelen/verwerken waar overheden, die incompetent blijken, ook niet meer van profiteren.

Ik blijf het proberen: laten we stoppen met winst op data. Het is niet een kwestie van wanneer, maar hoe snel.

Voorbeeld hoe je cookies kan blokkeren van tweakers.net

• bezoek tweakers.net
• verlaat tweakers.net

Voorbeeld hoe je cookies kan blokkeren van tweakers.net

• bezoek tweakers.net
• verlaat tweakers.net

Of gewoon uBlock Origin draaien met op Nederland ge-ente block lists er bij geladen en DPG de middelvinger geven totdat ze
a) met een advertentie-model komen wat wel privacy-technisch door de beugel kan; en
b) wettelijke aansprakelijkheid aanvaarden voor elke vorm van gevolgschade als hun advertentiepartners drive-by malware serveren.

[Reactie gewijzigd door R4gnax op 6 januari 2022 12:45]

b) wettelijke aansprakelijkheid aanvaarden voor elke vorm van gevolgschade als hun advertentiepartners drive-by malware serveren.

Vraag me af of die aansprakelijkheid er al niet is als ze via een ander netwerk malware in ads zouden serveren. Uiteindelijk zijn ze zelf verantwoordelijk voor de inhoud van hun website en is het hun taak om er voor te zorgen dat wat ze presenteren vrij van malware is.

Probleem is je moet eerst kunnen aantonen dat het van hun netwerk afkomstig is, dan nog een rechtszaak aanspannen of aangifte doen omdat ze jou met malware willen infecteren.

Zo blokkeer je natuurlijk niet echt cookies op tweakers. Door naar tweakers te gaan krijg je eerst de cookiewall en door gelijk weer weg te gaan zorg je er alleen voor dat er geen cookies worden aangemaakt, dat is wat anders dan blokkeren, iets wat je wel gewoon via de browser kan doen.

Ja, of gewoon CookieAutoDelete + Adblockers....

Ik gebruik Firefox met de Firefox Multi-Account Containers en Temporary Containers add-on. Elke nieuwe tab opent zich al in een tijdelijke container en bij het sluiten van de laaste tab van een container wordt de data ook verwijderd(door de temporary containers add-on). En inderdaad een ad-blocker voorkomt ook al de nodige onnodige cookies.

Onder de AVG kan een bedrijf alleen aansprakelijk worden gesteld als dat in hetzelfde land zit als het slachtoffer.

Dat is wel een heel foute uitspraak. De AVG kan nl. toch echt van toepassing zijn waar verwerkers en verwerkingsverantwoordelijken niet in de EU lidstaat gevestigd zijn waar de betrokkene gevestigd is.

Artikel 3
Territoriaal toepassingsgebied
1. Deze verordening is van toepassing op de verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke of een verwerker in de Unie, ongeacht of de verwerking in de Unie al dan niet plaatsvindt.
2. Deze verordening is van toepassing op de verwerking van persoonsgegevens van betrokkenen die zich in de Unie bevinden, door een niet in de Unie gevestigde verwerkingsverantwoordelijke of verwerker, wanneer de verwerking verband houdt met:
a) het aanbieden van goederen of diensten aan deze betrokkenen in de Unie, ongeacht of een betaling door de betrokkenen is vereist; of
b) het monitoren van hun gedrag, voor zover dit gedrag in de Unie plaatsvindt.
3. Deze verordening is van toepassing op de verwerking van persoonsgegevens door een verwerkingsverantwoordelijke die niet in de Unie is gevestigd, maar op een plaats waar krachtens het internationaal publiekrecht het lidstatelijke recht van toepassing is.

Klopt. Wat de tekst in het artikel ook suggereert is dat bijvoorbeeld iemand in België niet een Nederlands bedrijf in Nederland aan zou kunnen klagen voor misbruik van diens gegevens. Dat is natuurlijk incorrect. Anders zou de AVG een tandeloze tijger zijn omdat datamisbruikers in Nederland zich enkel op België (en andere landen) zouden richten, en vice versa.

[Reactie gewijzigd door The Zep Man op 6 januari 2022 09:09]

Ik snap waar de opmerking vandaan komt, maar het is inderdaad veel tekort door de bocht (en daardoor onjuist) geformuleerd. Er zijn allerlei aspecten van belang, zoals de vraag in welke lidstaten de verantwoordelijke een vertegenwoordiger en/of vestiging heeft. Ook geeft artikel 66 bij uitzondering zelfs toezichthouder die eigenlijk niet de leidende toezichthouder de bevoegdheid om toch te handhaven.

zo blij met die kut-cookie-meldingen echt ideaal https://www.i-dont-care-about-cookies.eu/

Lekker goed voor je privacy

Ik gebruik daar zelf dus Stardust voor (https://www.stardustnetwork.org/). Daar kan je aangeven welke "categorieen" je wilt accepteren of weigeren.

Ik heb uiteraard enkel necessary cookies aan staan.

Deze ga ik eens uitproberen, bedankt voor het delen!

begrijp je put, en terecht.

Echter onderaan de streep veranderd cq verbeterd er he-le-maal niets;

men klikt toch op 'accepteren' want wilt site bezoeken. Is eerder bron van irritatie, dan dat men stil staat bij het punt privacy.

begrijp je put, en terecht.

Echter onderaan de streep veranderd cq verbeterd er he-le-maal niets;

men klikt toch op 'accepteren' want wilt site bezoeken. Is eerder bron van irritatie, dan dat men stil staat bij het punt privacy.

Nee. Men klikt niet op 'accepteren' - men klikt op de eerste de beste optie die toestaat door te gaan.
Conform de wetgeving moet de optie om te weigeren even toegankelijk zijn als de optie om te accepteren. Dat houdt niet alleen in dat het aantal benodigde handelingen gelijk moet zijn; beide opties moeten bijv. ook even makkelijk identificeerbaar zijn.
Tel daarbij op dat voor expliciete toestemming een voorgeselecteerde optie - waaronder als ik me niet vergis in elk geval middels Duitse jurispredentie ook een 'voorgeselecteerde' cq als highlighted gemarkeerde knop valt - niet afdoende is, en eigenlijk zouden aaaaaaaaa---l die websites die je een modal overlay in je snuf forceren met enkel een dikke vette [ACCEPTEER] knop duidelijk zichtbaar, gewoon gigantisch op de bon geslingerd moeten worden.

De wetgeving werkt.
De handhaving ervan niet.

[Reactie gewijzigd door R4gnax op 6 januari 2022 12:38]

Klopt en dit soort sites hebben geen respect voor hun klanten / bezoekers.
Waarom zou ik dat richting die site hebben? Juist ja.. heb dus ook geen respect voor Tweakers en de rest uit die familie 😂

Het probleem is, is dat I don't care about cookies soms alles accepteert, soms niks.

Dus je weet nooit welke partij wat verzamelt

Ik vind het vooral irritant dat de grote groene knop meestal ervoor zorgt dat alles geaccepteerd wordt.

Helemaal als de melding begint met iets als 'wij geven om je privacy'....

Je ziet tegenwoordig de meest vage dark patterns. De laatste tijd zie je bij op sommige sites bij privacy instellingen alles standaard uitgevinkt staan. Daaronder, heel onopvallend, 2 drop downs. Onder die twee drop downs zijn standaard cookies geactiveerd. Puur gemaakt om te misleiden.

Dat is iets waar ik het mee eens ben,

of als een site zoveel vinkjes heeft om uit te zetten, en het standaard allemaal op aan zet dat het bijna onmogelijk word.

[Reactie gewijzigd door iemand943 op 6 januari 2022 10:32]

Melding van maken.
Volgens mij mag een bedrijf namelijk niet standaard de vinkjes op 'aangevinkt' zetten.

Overigens een ander punt waar ik mij heel erg aan stoor, veel websites vragen toestemming voor cookies, terwijl ongeveer de helft het niet hoeft te vragen omdat ze volgens de wet bepaalde cookies gewoon mogen verzamelen. Daardoor staat heel het internet nu vol met die klote cookiemeldingen terwijl dat helemaal niet nodig is.

Komt omdat er geen simpele optie is om te weigeren. Neem nou google, eerst moet je op "aanpassen kilkken" om vervolgens op nog een aantal weiger vinkjes te klikken. Als ze onderaan gewoon de optie "refuse all" zouden hebben zou het zoveel makkelijker zijn. 2-clicks om snel te kunnen weigeren vind ik netjes.
Daarnaast verandert er dus weldegelijk iets want met dit soort wetgeving en boetes komt de optie om snel te weigeren er wel.

[Reactie gewijzigd door Valinor op 6 januari 2022 09:48]

Dan moet je mij eens vertellen wat precies die privacy is die dan niet goed is.. En hoe dit je kan schaden..

Ongewenste data collectie?

Dat doen ze toch wel

Dat doen ze toch wel

Waar je toestemming voor dient te verlenen is de verwerking van jouw gegevens.
Cookies is slechts één enkel medium.

Geen toestemming; geen verwerking. Dus ook niet via andere wegen dan cookies.
Doen ze dat toch dan overtreden ze de wet, en toch echt op een manier van willens en wetens zonder dat er enige vorm van debat mogelijk is over "per ongeluk" of "verkeerd geinterpreteerd." Er kan dan zonder ruimte te moeten geven aan coulance, meteen een flinke boete uitgeschreven worden - technisch gezien zelfs per individuele overtreding als er meerdere gevallen zijn, welteverstaan.

[Reactie gewijzigd door R4gnax op 6 januari 2022 12:44]

Dat klopt, maar door cookies te weigeren maak je het iets moeilijker.

Daarnaast, "dat doen ze toch wel" betekend niet dat je het niet moet proberen te beperken als je het niet wil hebben.

[Reactie gewijzigd door iemand943 op 6 januari 2022 12:16]

Die tijd heb ik gehad, ik accepteer nu alles. Geen irritatie meer, en kom nu sneller aan mijn content.
En ads zie ik toch niet door ublock. Die blokkeert ook al de meeste cookies, dus ik vind het prima als ik dan Accept all druk.

Dat is een persoonlijke keus ja, ik verkies er voor om niet alles blind te accepteren.

De boete is net alsof je een orka een tic tac geeft

de 1e boete is altijd relatief laag, blijft een bedrijf volhouden, dan worden boetes snel hoger.

Wat dus eigenlijk niet goed werkt. Google (en veel andere bedrijven) laten zien niet onder de indruk te zijn van een lage eerste boete. Wat mij betreft mag er op Europees niveau meer samengewerkt worden op dit vlak, zodat dit soort lage "eerste" boetes tot het verleden behoren. Daarnaast moet men misschien maar eens denken aan handelsrestricties bij herhaald gedrag. Laat het maar écht pijn doen.

Het lastige is, welk juridisch argument gebruik je om dat te rechtvaardigen? Je wilt dit namelijk niet meteen ook zo hoeven doen bij de bakkeromdehoek.nl die ook foute cookietoestemming vraagt. En als je die 1000 euro oplegt omdat die klein en zielig is, dan zie ik het argument van de advocaat van Google al meteen bij hoger beroep.

Vanwaar die focus op boetes? Een bevel om verwerking van persoonsgegevens zonder grondslag te staken (wissen plus niks nieuws verzamelen tot er een oplossing is) lijkt me veel effectiever. Voor bakkeromdehoek.nl heeft dat waarschijnlijk ook minder impact omdat de meeste tracking-data bij hun gezamenlijke verwerkingsverantwoordelijken ligt: de advertentienetwerken. In dit geval was daar minder ruimte voor vanwege het bevoegdheids-issue waar via ePrivacy omheen is gewerkt, maar bij fatsoenlijk AVG-handhaving zou dat een goede benadering kunnen zijn.

Goed punt, die bevoegdheid zou men vaker moeten zetten. Mijn voorkeur zou zijn dat je het moet uitprinten en dan publiekelijk door de directie in een oven moet laten stoppen (of een stoomwals over de harddisks, GNU Sir Pterry) maar gewoon vernietigen onder toezicht van een ict-notaris lijkt me goed genoeg.

Teveel focus op meer (reactieve) handhaving en hogere boetes en te weinig op een beter handhavingsstrategie. Ik ben blij dat bij Politico en ook hier op Tweakers de omweg wordt benoemd waarmee de CNIL toch kan handhaven. Ook in het debat over het budget van de AP gaat het vooral over meer capaciteit en meer handhaving, maar dat de AP op sommige punten compleet contraproductief bezig is en op andere punten niet efficient blijft vrijwel geheel buiten beschouwing. [diepe zucht...]

Teveel focus op meer (reactieve) handhaving en hogere boetes en te weinig op een beter handhavingsstrategie.

Precies. Meer en hoger is niet per definitie beter. De crux is dat de gekozen handhavingsstrategie moet afschrikken waardoor de nood tot handhaven daarna als vanzelf afneemt.

Hoge boetes werken daarbij niet, want het boeteplafond is zo opgezet dat kleinere organisaties er niet volledig kapot door gaan - waardoor juist grotere organisaties er niet kapot genoeg aan gaan. Het wordt gewoon afgeschreven als een kostenpost 'en we gaan weer door.'

Ik voel wel wat voor het ludieke idee van die stoomwals van Arnoud.
Of liever gezegd: iets wat gegarandeerd de publiciteit haalt en wat bij mensen in het hoofd blijft. Dwz semi-permanente reputatie-schade. Daar pak je o.a. Big-Tech, wat veelal een verdienmodel heeft wat grotendeels op de welwillendheid tot participeren leunt, veel harder mee.

Schandpaal en rotte eieren & tomaten, anyone?

[Reactie gewijzigd door R4gnax op 6 januari 2022 16:36]

Als die orka daarna maar beter uit zijn bek ruikt is het doel bereikt toch?

Eens, maar dat is dus het ding. Men betaalt de boete, wat een promillage is van de jaarlijkse winsten, en gaat vrolijk door op dezelfde voet. Doel (verandering) is dan nog steeds niet bereikt.

Dat is een issue van landen die dit individueel doen, als alle landen het doen heb je ineens 20 tictacjes en een heerlijk frisse adem.

Het zou raar zijn dat jij te hard rijdt van luxemburg tot in nederland dat belgie dan een extra hoge boete geeft omdat je in 2 andere landen de wet misschien ook overtreden hebt...

Dit soort dingen moeten dan ook gewoon op EU niveau geregeld worden (1 boete van 20 tictacs) of alle landen tegelijk (20 boetes van 1 tictac).

Ik ben overigens wel overtuigd dat het werkt, een boete krijgen geeft geen vrij spel om door te gaan, ze moeten ermee stoppen en betalen...

[Reactie gewijzigd door watercoolertje op 6 januari 2022 15:00]

Dat is al een hele prestatie!

De besluiten zijn hier te vinden: Meta Google.
Het gaat vooral over het net zo makkelijk moeten kunnen weigeren van toestemming als het geven ervan. Vanaf punt 85 in het besluit over Meta wordt het vrij helder uitgelegd.

Edit: overigens is het wat vreemd om te zeggen dat het niet gaat om een overtreding van de AVG. ePrivacy zegt dat de toestemming aan de eisen van de AVG moet voldoen. CNIL toets eerst aan ePrivacy omdat je eerst aan de specifieke wetgeving moet toetsen en omdat ze onder de AVG niet de leidende toezichthouder zijn. Maar vervolgens toetsen ze aan de AVG en concluderen dat de toestemming niet aan de AVG voldoet en daarom ook niet aan ePrivacy.

Edit 2: zojuist heeft ook de CNIL een persbericht gepubliceerd: Meta Google

[Reactie gewijzigd door Floort op 6 januari 2022 09:04]

"Facebook-moederbedrijf Meta zegt tegen Politico wel dat het 'de beslissing bekijkt', en wijst op verschillende maatregelen die het heeft genomen om gebruikers achteraf controle te geven over welke data het bedrijf verzamelt."

Doet me denken aan de stoplicht knopjes voor fietsers, mensen het idee geven dat ze controle over iets hebben. Net zoals Facebook beweert over de controle die ze de gebruiker over de data geven maar ondertussen.... is de data al wel binnen en gebruikt voor profilering.

[edit: analogie wat verduidelijkt]

[Reactie gewijzigd door DD-IRM op 6 januari 2022 09:30]

Hey wacht, ik druk altijd als een malle op die knoppen bij elk stoplicht om mijn data bij Facebook en Google weg te houden... zeg jij nu dat ze die momenten gebruiken om te profileren waar ik op wel moment met mijn fietsje sta en of ik wel netjes op groen licht wacht?

Je weet dat het verkeer regel systeem misbruiken door te laten denken dat er veel fietsers bij een verkeerslicht bijna nog erger is dan bewust foute vakjes aanklikken of niet selecteren bij captias!

Ze zouden jou een boete moeten opleggen, of op zijn minst moeten aanmerken als iemand die bewust systemen saboteert, en daarom ook extra goed in de gaten houden. Als de verkeerslichten smart worden moet je niet gek staan te kijken als je dan juist extra lang moet gaan wachten voor dat het groen wordt, ongeacht hoevaak je drukt!

Nou DPG media, wat is hierop UW antwoord?

Ik ben geen DPG, maar ik zal toch proberen te antwoorden. Inhoudelijk ben ik geen nieuwe normuitleg tegengekomen. DPG staat net zo sterk in haar schoenen qua standpunt als hiervoor. De grootste effecten waar je op moet letten zijn: het meer compliant worden van het advertentie-ecosysteem en het risico op handhaving voor DPG. Deze boetes zullen voor Google (volgens mij het enige stukje dat DPG direct raakt) waarschijnlijk geen verschuiving betekenen die de issues voor DPG oplost. Daarvoor kan de CNIL in dit geval niet zwaar genoeg op de AVG leunen. En voor het handhavingsrisico verwacht ik ook weinig verschuivingen omdat ik inschat dat de kans klein is dat DPG in Nederland of België het met de CNIL aan de stok krijgt.

Waarom gebruikt Tweakers.net altijd de nieuwe naam 'Meta' van Facebook in nieuwsberichten, behalve nu wanneer het woord "boete" in dezelfde kop staat? Dan is het ineens weer 'Facebook'. Nu lijkt het een beetje alsof de redactie liever niet heeft dat de nieuwe naam van het bedrijf met negatieve berichtgeving geassocieerd wordt.
[edit: het gaat inderdaad om een dochterbedrijf dat nog de naam Facebook draagt, ook in de oorspronkelijke bron wordt Facebook en niet Meta genoemd. My bad.]

[Reactie gewijzigd door Of-Aaargh op 6 januari 2022 10:49]

Ik weet niet zo welke artikelen je bedoelt, maar zou het niet zo kunnen zijn dat die andere artikelen over het moederbedrijf Meta gaan en hier het over het dochterbedrijf Facebook gaat? Facebook Ireland tld wordt namelijk wel in de bron vermeld, en niet Meta.

Ik verwacht dat in dit geval de boete daadwerkelijk naar Google en Facebook gaat, en niet naar Alphabet en Meta. Meta zou als moederbedrijf denk ik enkel een boete krijgen als het privacyschending is via de meerdere platformen die ze bezitten (bijvoorbeeld datadeling tussen Facebook en Instagram). En zelfs dat zou nog kunnen worden gedaan door Facebook als Instagram beide een boete te geven in plaats van enkel het moederbedrijf.

Very good. Net zoals iedereen moeten de grote spelers de wet volgen.

...en wijst op verschillende maatregelen die het heeft genomen om gebruikers achteraf controle te geven over welke data het bedrijf verzamelt.

Zou beter vooraf kunnen.
De achteraf controle is waarschijnlijk ook nog eens zo ontoegankelijk mogelijk gemaakt.