Criteo dient het plaatsen van tracking cookies te staken en gestaakt te houden

Hof Amsterdam 5 december 2023, IT 4451, ECLI:NL:GHAMS:2023:2971 (Criteo tegen geïntimeerde) Criteo is een bedrijf in de ‘Adtech-industrie’. Criteo plaatst via de website van derden zogeheten ‘tracking cookies’ op computers en/of mobiele appraten. Geïntimeerde is een natuurlijke persoon. Op 18 oktober 2023 heeft de voorzieningenrechter van rechtbank Amsterdam geoordeeld dat Criteo niet langer tracking cookies mag plaatsen zonder haar toestemming [zie IT 4404].

In eerste aanleg oordeelde de voorzieningenrechter dat Criteo het plaatsen van tracking cookies moet staken. Criteo heeft meerdere grieven hiertegen aangevoerd. Criteo stelt dat er een deugdelijke motivering mist. Deze grieven worden niet in behandeling genomen, omdat alle vorderingen en verweren in hoger beroep opnieuw behandeld zullen worden. Voorts betwist Criteo het spoedeisend belang in deze zaak. De grief faalt omdat de spoedeisendheid nodig is voor het beëindigen van een onrechtmatige gedraging, namelijk het plaatsen van tracking cookies zonder dat daarvoor toestemming is verleend. Criteo stelt dat door het plaatsen van tracking cookies geen persoonsgegevens worden gedeeld. Echter, de omschrijving van persoonsgegevens is ruim. Het is zeer aannemelijk dat klanten op websites als Vitakruid persoonsgegevens achterlaten bij het aanschaffen van producten. Om die reden is het voldoende aannemelijk gemaakt dat er persoonsgegevens van geïntimeerde in strijd met de AVG zijn verspreid en verwerkt. Aangekomen bij de belangenafweging. Als Criteo aan de AVG voldoet gaat dit ten koste van haar commercieel belang. Het commerciële belang van Criteo weegt minder zwaar dan het belang van geïntimeerde dat haar persoonsgegevens onrechtmatig worden verspreid en verwerkt. Het hof bekrachtigt het vonnis inhoudelijk deels, maar vernietigt het vonnis desondanks om het dictum opnieuw te formuleren. Hierbij gebiedt het hof Criteo het onrechtmatig handelen te doen staken en gestaakt te houden. Daarbij wordt Criteo veroordeelt in de proceskosten.

4.8 Van een website als Vitakruid of Viata, die diverse producten op het gebied van gezondheid aanbiedt, is zeer aannemelijk dat de daar achtergelaten en dus via de uid verspreide informatie mede bijzondere persoonsgegevens in de zin van de AVG bevat. Ten aanzien van andere websites gedreven door partners van Criteo is in algemene zin eveneens voldoende aannemelijk dat deze informatie persoonsgegevens bevat. De omschrijving van persoonsgegevens in de AVG is immers ruim. Ook als geen naam of adres van [geïntimeerde] bekend wordt is de kans op het onrechtmatig verwerken van persoonsgegevens voldoende reëel, omdat sommige van de 21.000 partners van Criteo blijkbaar zonder toestemming tracking cookies plaatsen. Criteo heeft wel gesteld dat haar partners geen persoonsgegevens verwerken, maar zij heeft dat niet onderbouwd en gelet op het bovenstaande verwerpt het hof die stelling als onaannemelijk.

In dit kort geding is daarmee voldoende aannemelijk geworden dat inderdaad tracking cookies zijn geplaatst en persoonsgegevens van [geïntimeerde] in strijd met de AVG zijn (verspreid en) verwerkt.