Boete van 600.000 euro voor tracking cookies op Kruidvat.nl

De Autoriteit Persoonsgegevens (AP) heeft een boete van 600.000 euro opgelegd aan het bedrijf achter drogisterij Kruidvat. Kruidvat.nl volgde consumenten met tracking cookies, zonder dat zij dat wisten of daarvoor toestemming hadden gegeven. A.S. Watson verzamelde en gebruikte daarmee tegen de regels in gevoelige persoonsgegevens van miljoenen websitebezoekers.

Het bedrijf achter Kruidvat verzamelde gegevens van websitebezoekers en kon daarmee persoonlijke profielen maken. Naast locatiegegevens van bezoekers ging het onder meer om welke pagina’s zij bezochten, welke producten zij aan het winkelmandje toevoegden en kochten en op welke aanbevelingen zij klikten.

Dat is heel gevoelige informatie, stekt AP, door het specifieke karakter van drogisterijproducten. Zoals zwangerschapstesten, voorbehoedsmiddelen of medicatie tegen allerlei kwalen. Die gevoelige informatie, gekoppeld aan de locatie (die mogelijk is te achterhalen via het IP-adres) van de unieke bezoeker, kan een zeer specifiek en invasief profiel schetsen van de mensen die Kruidvat.nl bezoeken.

Kruidvat.nl had voor het plaatsen van tracking cookies op de computer van bezoekers toestemming moeten vragen. De privacywet AVG stelt een aantal eisen aan geldige toestemming. Die eisen zijn dat toestemming in vrijheid moet zijn gegeven, voor een specifieke verwerking van persoonsgegevens, op basis van voldoende informatie en dat er geen twijfel over mag bestaan dat er toestemming is gegeven.

In de cookiebanner op Kruidvat.nl waren de vakjes om akkoord te gaan met het plaatsen van volgsoftware standaard aangevinkt. Dat mag niet. Bezoekers die de cookies alsnog wilden weigeren, moesten veel stappen doorlopen om dit voor elkaar te krijgen. De AP heeft geconstateerd dat persoonsgegevens van websitebezoekers van Kruidvat.nl onrechtmatig zijn verwerkt.

Eind 2019 is de AP een onderzoek gestart naar verschillende websites, waaronder Kruidvat.nl. De AP toetste of deze websites voldeden aan de eisen voor het plaatsen van (tracking) cookies. Daarbij ging de AP na of toestemming voor tracking cookies werd gevraagd aan websitebezoekers en zo ja, hoe dit precies gebeurde.

Kruidvat.nl bleek in april 2020 niet te voldoen, waarop de AP het bedrijf een brief stuurde. In 2020 constateerde de AP dat Kruidvat.nl nog steeds niet in orde was. De AP is toen nader onderzoek gaan doen naar deze website. In oktober 2020 was deze overtreding beëindigd.

Er is toenemende maatschappelijke irritatie over cookies en cookiemeldingen, uiteenlopend van hinderlijke en misleidende banners tot zorgen over het heimelijk volgen van internetgebruikers. De AP gaat in 2024 vaker controleren of websites op de juiste manier toestemming vragen voor tracking cookies of andere volgsoftware.

AS Watson (Health & Beauty Continental Europe) B.V. heeft overigens bezwaar gemaakt tegen het boetebesluit.