Weinig arresten hebben de praktijk van cookiebanners in Europa zo rechtstreeks veranderd als de uitspraak van het Hof van Justitie van de Europese Unie (HvJ-EU) van 1 oktober 2019 in de zaak tegen het bedrijf Planet49 (zaak C-673/17). Wat aanvankelijk leek op een bijzaak uit een online prijsvraag, werd een principiële uitspraak over wat geldige cookietoestemming eigenlijk inhoudt.
De feiten waren op zich niets bijzonders: Planet49 organiseerde een online prijsvraag en toonde deelnemers twee vakjes. Het ene — al vooraf aangevinkt — betrof toestemming voor het plaatsen van cookies voor reclamedoeleinden door reclamepartners. Het andere, apart aan te vinken vakje betrof het doorgeven van persoonsgegevens aan sponsors voor reclamedoeleinden per telefoon of e-mail. Wie aan de prijsvraag wilde meedoen, moest het tweede vakje actief aanvinken, maar kon het eerste — al aangevinkte — vakje gewoon laten staan zonder het ooit bewust op te merken.
De Duitse Bundesgerichtshof (het hoogste federale gerechtshof in civiele zaken) legde de vraag voor aan het HvJ-EU: volstaat zo'n reeds geactiveerd vakje als toestemming in de zin van de ePrivacyrichtlijn? Het antwoord van het Hof was ondubbelzinnig: nee. Toestemming vereist een actieve, bewuste handeling van de gebruiker — een vakje dat de gebruiker zelf moet aanvinken om in te stemmen, niet een vakje dat hij zou moeten uitvinken om NIET in te stemmen. Het verschil tussen "actief instemmen" en "geen bezwaar maken" is precies het verschil waar het in de geschiedenis van de ePrivacyrichtlijn sinds 2009 om ging — en het HvJ-EU bevestigde daarmee dat die verscherping ook daadwerkelijk serieus was bedoeld.
Opmerkelijk aan de uitspraak was een tweede punt: het HvJ-EU verduidelijkte dat het voor de toestemmingsplicht zelf niet uitmaakt of de in het cookie opgeslagen informatie persoonsgegevens in de zin van de AVG vormt of niet. De ePrivacyrichtlijn beschermt namelijk al de toegang tot het eindapparaat als zodanig — ongeacht wat daarbij uiteindelijk inhoudelijk wordt opgeslagen. Dat was een belangrijke verduidelijking, omdat sommige aanbieders eerder hadden aangevoerd dat pseudonieme of louter technische identificatoren helemaal niet onder de toestemmingsplicht zouden vallen.
Ten derde eiste het Hof dat gebruikers vóór het geven van toestemming concreet worden geïnformeerd over de functionele levensduur van de cookies en over de vraag of derden er toegang toe krijgen. Een algemene, vaag gehouden informatie volstaat sindsdien niet meer — cookieverklaringen moeten zo concreet zijn dat een gebruiker daadwerkelijk kan inschatten waarmee hij instemt.
De praktische gevolgen van het arrest waren onmiddellijk voelbaar: vooraf aangevinkte vakjes verdwenen uit Europese cookiebanners, "Accepteren"-knoppen moesten door een echte, bewuste klik worden geactiveerd, en het categoriseren van cookies met precieze doel- en looptijdgegevens werd de standaard. Gegevensbeschermingsautoriteiten in verschillende lidstaten herzagen hun eigen richtsnoeren direct na de uitspraak, en het arrest diende sindsdien als referentie in tal van latere zaken — onder meer bij de vraag of een banner die "Weigeren" opzettelijk moeilijker bereikbaar maakt dan "Accepteren", eveneens in strijd is met het vereiste van een vrije, ondubbelzinnige beslissing.
Planet49 toont daarmee op treffende wijze hoe een enkele rechtszaak de abstracte eisen van een wettekst vertaalt naar concrete, technische vereisten — en waarom een cookiebanner er vandaag uitziet zoals hij eruitziet, in plaats van zoals dat vóór 2019 gebruikelijk was.
Opmerkelijk is bovendien hoe snel het effect van de uitspraak zich verspreidde voorbij het eigenlijke geschil: hoewel formeel alleen de uitleg van de ePrivacyrichtlijn voor een concreet Duits geschil werd verduidelijkt, richtten toezichthouders in heel Europa zich naar diezelfde lijn — een bewijs van hoe sterk één enkel arrest van het HvJ-EU de praktijk kan bepalen, ver voorbij de grenzen van de zaak waarin het werd gewezen.