Algemeen:

• Het cookie- en privacybeleid moet gemakkelijk beschikbaar zijn. Dit kan bv. door een link op de website te voorzien (privacybeleid) of door een pop-up onder elke pagina te voorzien (cookiebeleid).
• Het cookie- en privacybeleid moet beschikbaar zijn in de taal van de doelgroep. Dit betekent dat indien een website zich richt tot Nederlands- en Franstaligen, het cookie- en privacybeleid op deze website in het Nederlands en Frans beschikbaar moet zijn. Een Engelstalige versie is volgens de GBA niet voldoende.
• Voorzie duidelijke contactgegevens die de betrokkenen kunnen gebruiken om hun rechten uit te oefenen, zoals het intrekken van hun toestemming.

Cookiebeleid:

• Toestemming vereist een opt-in. Wanneer een websitebezoeker toestemming moet geven voor het plaatsen van bepaalde cookies, dan mag er niet gewerkt worden met vooraf aangevinkte vakjes (opt-out). De bezoeker moet actief toestemming geven door vakjes aan te vinken.
• Opt-in per categorie cookies is voldoende. Het is onvoldoende om een websitebezoeker de keuze te geven om "alles of niets" te accepteren. Aan de andere kant is het ook niet nodig dat de betrokkene toestemming geeft per individuele cookie. Wat dan wel? De betrokkene moet toestemming kunnen geven per categorie van cookies (bv. ‘marketing cookies' of ‘statistische cookies').
• Toestemming voor "eerste partij" analyse cookies. Volgens de GBA zijn niet alle analytische/statistische cookies strikt "noodzakelijk" (voor het belang van de betrokkene, niet de website!) en kan de verzameling van gegevens via deze cookies dus niet ‘automatisch' gebaseerd worden op het gerechtvaardigd belang van de onderneming. Een voorafgaande toestemming voor het plaatsen van deze cookies zal (in de meeste gevallen) vereist zijn.
• Toestemming moet gemakkelijk kunnen worden ingetrokken. Na inspectie van de GBA deed de kwestieuze juridische website dit door een "stel voorkeuren in"-knop bovenaan de cookieverklaring en door een "cookies beheren"-knop onder iedere pagina weer te geven.

Privacybeleid:

• Expliciete vermelding verwerkingsverantwoordelijke. De identiteit en contactgegevens van de verwerkingsverantwoordelijke moeten worden vermeld mét de expliciete vermelding dat zij de verwerkingsverantwoordelijke is. Het is bv. onvoldoende om te vermelden dat de website een "initiatief is van X".

Conclusie

In de beslissing van 17 december 2019 heeft de GBA een heel aantal zaken op scherp gesteld. Voor sommige zaken kunnen hieruit algemene regels worden afgeleid, terwijl dat voor andere zaken niet het geval lijkt te zijn (o.m. omdat het niet mogelijk is om het oude en het nieuwe cookie- en privacybeleid van deze juridische website zelf te vergelijken). Alleszins is het standpunt van de GBA duidelijk over de bovenstaande punten en zijn hieruit (eindelijk) lessen te trekken voor uw cookie- en privacybeleid.

Magalie Manshoven, advocaat
Jan Coninx, advocaat