Efter flera noyb klagomål från 2023 har den belgiska dataskyddsmyndigheten beordrat fyra stora belgiska nyhetssajter att anpassa sina cookie-banners till GDPR. De Standaard, Het Nieuwsblad, Het Belang van Limburg och Gazet van Antwerpen måste lägga till en "avvisa"-knapp i det första lagret av sina cookie-banners. Dessutom har nyhetssajterna beordrats att ändra det för närvarande vilseledande färgschemat för de knappar som används. Om den personuppgiftsansvarige (Mediahuis) inte rättar sig efter föreläggandet riskerar denne ett vite på 50 000 euro per dag och webbplats.
- Sammanfattning av beslutet på GDPRhub
- Pressmeddelande från den belgiska dataskyddsmyndigheten
- Ursprungliga noyb-klagomål
Förlikningar i stället för verkställighet. I juli 2023, noyb lämnat in klagomål mot totalt 15 belgiska nyhetswebbplatser för att ha använt vilseledande cookie-banners. Även om dessa företag redan hade varit föremål för en DPA-utredning under tidigare år och konstaterats ha underlåtit att följa GDPR, beordrades de aldrig att ändra sina olagliga cookie-banners. Istället avslutades ärendet med en tvivelaktig "förlikning" som inte var förutsedd enligt belgisk lag. Enligt villkoren i förlikningengick Mediahuis med på att betala 10 000 euro - men fick aldrig någon order om att ändra sina cookie-banners så att de överensstämde med EU:s dataskyddslagstiftning, så överträdelserna fortsatte. Den belgiska datainspektionen brydde sig inte ens om att förklara varför fallen förliktes i stället för att följas av en formell order om att följa lagen.
noyb klagomål krävs för att "förlikningen" ska verkställas. I och med sitt senaste beslut har den belgiska myndigheten äntligen gjort en helomvändning när det gäller att inte verkställa beslutet: fyra webbplatser som drivs av Mediahuis, nämligen De Standaard, Het Nieuwsblad, Het Belang van Limburg och Gazet van Antwerpen, måste nu se till att deras cookie-banners uppfyller kraven. Framför allt har webbplatserna beordrats att införa en "avvisa"-knapp på det första lagret av banderollen. Dessutom fann myndigheten att företagen hade använt bedrägliga knappfärger för att lura användare att samtycka till användningen av cookies. Myndigheten betonade också att behandling av personuppgifter för analytiska ändamål inte kan anses vara "strikt nödvändig", vilket innebär att användningen av analytiska cookies alltid kräver samtycke.
Maartje de Graaf, dataskyddsjurist på noyb: "Vi är glada över att den belgiska dataskyddsmyndigheten inte längre låter företag komma undan med vilseledande cookie-banners som tydligt uppmanar användare att klicka på den integritetskränkande knappen "acceptera alla". Detta bör vara en varning till alla webbplatsägare att sluta gömma sin "avvisa allt"-knapp i det andra lagret av sin cookie-banner, att sluta använda vilseledande system och att alltid be om samtycke innan de sätter cookies för analytiska ändamål."
Potentiellt åttasiffrigt straffbelopp. Mediahuis och de ovannämnda nyhetssajterna har nu 45 dagar på sig att följa Datainspektionens förelägganden och anpassa sina cookie-banners till GDPR. I händelse av bristande efterlevnad riskerar varje webbplats ett vite på 50 000 euro per dag, vilket skulle ge ett dagligt vite på 200 000 euro, vilket skulle kunna leda till ett maximalt vite på 10 000 000 euro.
Belgiska DPA gör också en helomvändning när det gäller absurda avslag. I en tidigare serie av klagomål från noybavvisade den belgiska datainspektionen klagomål på grundval av märkliga teorier om påstått "påtvingade" klagande. Faktum är att även när klagande uttryckligen gav muntliga vittnesmål om att de önskade företrädas av noybhävdade den belgiska datainspektionen att noyb inte på ett giltigt sätt kan företräda anslutna personer i "modellfall". I det senaste fallet verkar det belgiska datainspektionen också ha gjort en helomvändning i denna fråga och hävdar att i det aktuella fallet har noyb-anslutna personerna i själva verket hade gett giltigt mandat till noyb.
Max Schrems, ordförande för noyb: "Vi välkomnar att det belgiska datainspektionen verkar göra en helomvändning i sin absurda teori om representation. Medan den första raden av ärenden avvisades på grund av påhittade regler om tillåtlighet, ser vi nu att de ändrar sig. Så länge denna värdelösa diskussion är över välkomnar vi det."
Uppdatering: I ett liknande fall mot RTL Belgium gick den belgiska dataskyddsmyndigheten också på noybs linje. Den personuppgiftsansvarige måste lägga till en "vägra allt"-knapp i det första lagret av sin cookie-banner och sluta använda vilseledande färger och kontraster. I händelse av bristande efterlevnad måste RTL Belgium betala ett vite på 40 000 euro per dag med ett tak på 2 miljoner euro.
