LinkedIn en Microsoft aangesproken op gebruik van tracking cookies

Rechtbank Amsterdam heeft op 7 juni 2024 in kort geding LinkedIn en Microsoft verplicht om te stoppen met het zonder toestemming plaatsen van tracking cookies op de apparaten van eiser. Na de diverse boetes van privacy toezichthouders en uitspraken tegen grote big tech bedrijven, toont deze uitspraak aan dat betrokkenen ook individueel met succes kunnen optreden tegen (in dit geval) LinkedIn en Microsoft.

Feiten en vordering

Wat was er aan de hand? Eiser (een natuurlijke persoon) is erachter gekomen dat zowel LinkedIn als Microsoft via door hem bezochte websites zonder zijn toestemming tracking cookies hebben geplaatst en/of uitgelezen. In een aanzienlijk deel van de gevallen is dit zelfs gebeurd nadat eiser zijn toestemming expliciet heeft geweigerd. Eiser heeft LinkedIn en Microsoft daarop aangesproken, maar hij kreeg als reactie dat de betreffende cookies niet (op betrouwbare wijze) aan hem te linken waren en dat hij ze zelf kon verwijderen.

Eiser nam daar geen genoegen mee en heeft in kort geding (onder meer) gevorderd dat LinkedIn en Microsoft zouden stoppen met het – al dan niet via websites van derden – zonder toestemming plaatsen van tracking cookies op de apparaten van eiser. LinkedIn en Microsoft hebben daar vervolgens verweer tegen gevoerd.

De verweren van LinkedIn en Microsoft

LinkedIn en Microsoft voeren onder meer de volgende verweren aan:

1. Zij maken geen gebruik van de cookie(gegevens) voor advertentiedoeleinden zonder de expliciete toestemming van de persoon in kwestie.
2. Voor cookies van LinkedIn is toestemming verleend.
3. LinkedIn en Xandr (ook onderdeel van de Microsoft groep) zijn ten aanzien van bepaalde cookies geen verwerkingsverantwoordelijke, maar verwerker.
4. De verplichting om toestemming te vragen ligt bij de websitebeheerders en niet bij LinkedIn en/of Microsoft.
5. Zij houden zich aan hun verplichtingen uit de AVG en spannen zich maximaal in om te zorgen dat de websitebeheerders met wie zij werken dat ook doen.

Oordeel voorzieningenrechter

De voorzieningenrechter maakt korte metten met de verweren van LinkedIn en Microsoft. Zo overweegt de voorzieningenrechter onder meer dat alleen al het plaatsen/vastleggen van tracking cookies een verwerking van persoonsgegevens is, waarvoor een grondslag (doorgaans toestemming) vereist is. Die toestemming moet door LinkedIn en Microsoft worden aangetoond (vergelijk artikel 5 lid 2 en 7 lid 1 AVG), waarin zij niet zijn geslaagd. Met uitzondering van de gedagvaarde Nederlandse vennootschappen worden LinkedIn en Microsoft al dan niet naast de websitebeheerders als verwerkingsverantwoordelijken aangemerkt. Zij zijn immers de partijen die de tracking cookies hebben ontwikkeld en kunnen invloed uitoefenen op de betreffende gegevensverwerkingen.

Verder overweegt de voorzieningenrechter dat LinkedIn en Microsoft zich niet kunnen verschuilen achter hun samenwerkingspartners. Zij mogen het verkrijgen van toestemming aan hun partners uitbesteden, maar blijven daar zelf verantwoordelijk voor (vergelijk artikel 26 lid 3 AVG). Ook de Telecommunicatiewet legt de verplichting om toestemming te verkrijgen (in ieder geval) bij de partij die de tracking cookies heeft geplaatst.

De voorzieningenrechter concludeert tot slot dat LinkedIn en Microsoft tools die het onmogelijk maken om zonder toestemming tracking cookies te plaatsen aan hun samenwerkingspartners ter beschikking hadden kunnen stellen en daarop toe te zien. Alleen dan zouden zij voldoende hebben gedaan om hun verplichtingen na te komen. Dat is nu niet het geval geweest en het is op voorhand ook niet aannemelijk geworden dat dit technisch onmogelijk zou zijn.

Afsluitende opmerkingen

De voorzieningenrechter wijst de vorderingen van eiser dus toe en verplicht LinkedIn en Microsoft ieder (op straffe van een dwangsom van ofwel € 500 per overtreding ofwel € 1.000 per dag, met een maximum van € 25.000 per gedaagde) te stoppen met het (doen) plaatsen of uitlezen van tracking cookies (en andere cookies waarvoor toestemming is vereist) op apparaten van eiser. Daarmee krijgt eiser dus een aanzienlijke stok om LinkedIn en Microsoft daaraan te houden.

Het is nu de vraag hoe LinkedIn en Microsoft daarop gaan reageren. Gaan zij aan het vonnis voldoen, doen zij dat alleen bij eiser of voor iedereen of komt er een andere reactie? Mogelijk zien ook andere internetgebruikers door deze uitspraak hun kans schoon om LinkedIn en Microsoft of andere (big tech) bedrijven aan te spreken. LinkedIn en Microsoft zullen hier in ieder geval iets mee moeten doen. Het is voor nu afwachten wat dit gaat zijn.

Meer informatie of vragen?

Neemt u dan gerust contact op met onze privacy expert Xander Alders. Dat kan telefonisch via 088 627 22 87 of per e-mail via xander.alders@pellicaan.nl.

Bronvermelding

Xander Alders is auteur voor Sdu. Dit artikel is gepubliceerd in Sdu OpMaat algemeen, OpMaat privacyrecht basis en OpMaat Privacyrecht Plus.