Minister Kamp vindt dat de telecomwet niet gehandhaafd hoeft te worden op analytische cookies en daarom onder bepaalde voorwaarden mag worden gedoogd door toezichthouder OPTA. Een van die voorwaarden is dat gegevens die door first party cookies worden verwerkt enkel bij de websitehouder blijven.

Google Analytics gebruikt volgens de eigen voorwaarden first party cookies, dus op het eerste gezicht vallen die onder de uitzondering van Kamp. Dit zou betekenen dat Google Analytics gewoon gebruikt kan worden zonder websitebezoekers toestemming te vragen voor deze cookies. Maar dat lijkt maar zo, stellen juristen Wouter Dammers en Arnoud Engelfriet van ICTRecht.

Technisch geen first party

De verwarring is volgens Dammers ontstaan door het onderscheid first party en third party dat de Europese werkgroep van privacywaakhonden Artikel 29 eerder dit jaar maakte. De groep maakt verschil tussen cookies waarbij informatie bij de websitehouder blijft en waarbij informatie wordt gedeeld met derde partijen.

“Dat is niet hetzelfde als het technische onderscheid tussen first party en third party cookies", vertelt Dammers aan Webwereld. “Er kan juridisch alleen sprake zijn van een first party cookie wanneer gegevens uitsluitend worden verwerkt bij de websitehouder."

Arnoud Engelfriet beaamt dat cookies van Google Analytics zich in een juridisch complex terrein bevinden. “Er zijn verschillende argumenten waarom deze wel of geen first party zijn", licht Engelfriet toe. “Maar waar het op neerkomt is: hoe wordt de informatie van deze cookies gebruikt door Google?"

Analytics niet delen met derden

Volgens D66'er Kees Verhoeven betekent de aanpak van minister Kamp dat cookies van Google Analytics wel kunnen worden toegestaan. “Google Analytics kan mits gegevens niet gedeeld met Google (wat je kunt instellen)" tweette het Kamerlid gisteren. Google deelt volgens de eigen voorwaarden alleen first party cookies uit en via de instellingen is het delen met bijvoorbeeld AdWords uit te sluiten.

Maar volgens Dammers is deze opt-out van het delen met derden onvoldoende. “De informatie van Google kan volgens de voorwaarden nog wel gebruikt worden om de eigen diensten te verbeteren." Dat maakt Google een third party-gegevensbewerker en het CBP zou daarom Google expliciet toestemming moeten verlenen om deze cookies te mogen verwerken.

Verhoeven nuanceerde de interpretatie wat betreft Google Analytics overigens in een latere tweet. "Dat is goede eerste stap. Wat D66 betreft kunnen ook ongedeelde third party cookies. Maar zover zijn minister en Google nu nog niet."

Alleen grote overtreders

Het College Bescherming Persoonsgegevens bepaalt samen met telecomwaakhond OPTA begin volgend jaar het lot van de cookies van Google Analytics onder de nieuwe telecomwet. OPTA heeft overigens meerdere malen aangegeven alleen achter grote overtreders aan te gaan.

“We pakken vooral grote schenders aan die tracking cookies plaatsen zonder daar toestemming voor te vragen", vertelde OPTA-woordvoerder Cynthia Heijne gisteren aan Webwereld. Desondanks moet er wel snel duidelijkheid komen over de status van bijvoorbeeld cookies van Google Analytics, vindt ook de OPTA.

Daarom gaat de organisatie samen met het CBP en het ministerie van Economische Zaken om de tafel zitten om te besluiten hoe er invulling moet worden gegeven aan de uitvoering van de Telecomwet. Tot die tijd bestaat er bij websitemakers verwarring en onzekerheid over of er nu wel of geen toestemming hoeft worden gevraagd voor cookies van de statistiekendienst van Google.

Webwereld heeft aan Google gevraagd hoe het nu precies zit met de cookies van Google Analytics, maar het databedrijf heeft geen commentaar.