In de Volkskrant van 3 mei stelt Lokke Moerel terecht het cookie beleid van de Volkskrant aan de kaak. Voordat ik, als abonnee van de Volkskrant, kan inloggen op de site heb ik al 11 potentiële tracking cookies aan mijn broek hangen, van onder andere DoubleClick, Facebook, Gigyas, en Google. Na inloggen zijn die cookies er nog steeds.
(Dit artikel is op 8 mei 2019 aangepast op basis van nieuwe informatie.)
De Autoriteit Persoonsgegevens (AP) stelt in een onlangs gepubliceerde normuitleg dat zogenaamde cookiewalls, die bezoekers van websites dwingen om akkoord te gaan met het gebruik van tracking cookies, onrechtmatig zijn. Dit omdat op een dergelijke manier verkregen toestemming niet als 'vrij gegeven' kan worden beschouwd. Immers, websitebezoekers krijgen zonder het geven van toestemming geen toegang tot de website. Dat is een behoorlijk extreme interpretatie van de AVG (de Algemene Verordening Gegevensbescherming, onze nieuwe Europese privacy wet), waar zeker nog wel wat op af te dingen valt. Wel denk ik dat de normuitleg van de AP van toepassing is op essentiële websites (toegang waartoe in essentie noodzakelijk is voor volwaardige deelname aan de samenleving), en sites waar iemand (via een abonnement) al het recht op toegang heeft gekocht (alhoewel hier bepalingen in het contract wellicht nog uitzonderingen kunnen maken).
De reactie van de Volkskrant direct naast Lokke's column is eerlijk gezegd beneden alle peil. Volgens de woordvoerder zijn cookies noodzakelijk. Niet alleen om de website beter te laten werken en om te kijken welke artikelen goed worden gelezen en welke niet (daar zijn overigens prima cookie gebaseerde oplossingen voor die ons leesgedrag niet met derden delen), maar ook voor het kunnen aanbieden van gerichte reclame. Lokke merkt terecht op dat contextueel adverteren (waarbij de inhoud van het bekeken artikel de te tonen reclame bepaalt) daarvoor een prima, privacyvriendelijk, alternatief is.
Erger zijn de woordspelletjes en de pertinente leugens in de reactie van de Volkskrant. Zo schrijft de woordvoerder:
Wij verkopen geen data aan derden die te herleiden zijn tot specifieke consumenten.
Klopt. Strikt gesproken verkoopt de Volkskrant geen persoonlijke data aan derden. Wat ze wel doen (en wat op hetzelfde neerkomt) is dat de Volkskrant derden de mogelijkheid geeft haar lezers te profileren door middel van cookies, om vervolgens de advertentieruimte voor gepersonaliseerde advertenties te verkopen. Dit is dus een flauw woordspelletje.
Erger is de (volgens mij) pertinente leugen:
Wat we wel doen, is zelf profielen opstellen aan de hand van de clickgegevens. Met die profielen helpen we adverteerders om gerichter te adverteren, zonder dat ze de beschikking krijgen over persoonsgegevens.
Ik maak me sterk dat de Volkskrant zelf profielen opstelt, en zelf het biedingsplatform runt waarop adverteerders kunnen voor het tonen van advertenties die matchen met bepaalde profielen. Dat is specialistisch werk, waar maar een paar partijen echt goed in zijn. (Update: volgens dit stuk in Follow The Money is het wel degelijk zo dat Medialaan — De Persgroep Publishing, waarin de Volkskrant onderdeel uitmaakt, ook zelf gebruikersprofielen opstelt. Onduidelijk is hoe dat met het biedingsplatform zit. Wel zijn er, in ieder geval op de Volkskrant site, advertenties te zien via het Google advertentieplatform) Bovendien: als dat dan al zo is, waarom worden er dan tracking cookies van derde partijen geplaatst?
Dat de Volkskrant onnodig (en onrechtmatig) de privacy van haar abonnees schendt is al erg genoeg. Daarover liegen en draaien is echter uitermate kwalijk.