Minister Kamp ziet er niets in om een systeem te laten ontwikkelen dat internetgebruikers vraagt of ze zogeheten 'supercookies' willen accepteren. Dat liet Kamp weten op Kamervragen van PvdA-Kamerlid Oosenbrug. Ze had de minister vragen gesteld vanwege onderzoek waaruit zou blijken dat Vodafone trackingheaders in het verkeer van klanten injecteert. Deze headers worden ook wel supercookies genoemd.

Kamp stelt als eerste dat de term 'supercookie' verwarrend is, aangezien er geen informatie op het toestel van de eindgebruiker wordt geplaatst of gelezen, zoals bij cookies wel het geval is. In plaats daarvan is er sprake van ASID-headers. ASID staat voor Anonymous Subscriber Identification. Bij het gebruik van ASID-headers stuurt de internetprovider een identificerende code mee met de data die een eindgebruiker verstuurt bij het bezoeken van een website.

Als ASID-headers worden gebruikt om eindgebruikers te identificeren, is er sprake van verwerking van persoonsgegevens. Daarop is de Wet bescherming persoonsgegevens (Wbp) van toepassing, aldus Kamp. Aangezien erbij het meesturen van ASID-headers geen informatie op het toestel van de eindgebruiker wordt geplaatst of gelezen is de cookiewet, onderdeel van de Telecommunicatiewet, hierop niet van toepassing.

Toestemming

Volgens Kamp kan een ASID-header bijvoorbeeld worden gebruikt om veilig internetbankieren via een mobiel netwerk mogelijk te maken. Het is dan denkbaar dat het meesturen van een ASID-header noodzakelijk is voor de uitvoering van een overeenkomst waarbij de gebruiker deel van uitmaakt. "Als er geen noodzaak is een ASID-header mee te sturen voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, dan zal er meestal ondubbelzinnige toestemming van de betrokkene vereist zijn", zo laat de minister weten (pdf).

Oosenbrug wilde ook weten in hoeverre telecomaanbieders die supercookies gebruiken daarmee informatie kunnen verzamelen waarmee de privacy van hun klanten kan worden geschonden en wat klanten hier tegen kunnen doen. Kamp stelt dat dit meestal betekent dat er toestemming is vereist voor het verwerken van de (persoons)gegevens. Een internetgebruiker kan een eventuele schending door de aanbieder niet voorkomen, maar wel een klacht indienen bij de toezichthouders als hij misbruik vermoedt.

Kamp ziet er dan ook niets in om een systeem te ontwikkelen waarbij internetgebruikers apart toestemming voor het gebruik van supercookies moeten geven. "Het is primair de verantwoordelijkheid van de aanbieder te beoordelen of hij toestemming moet vragen of een beroep kan doen op een andere grondslag voor de verwerking van persoonsgegevens. Maakt hij daarbij een verkeerde beoordeling dan kan door de toezichthouder daartegen worden opgetreden. Het lijkt niet zinvol een systeem in te voeren waarbij de internetter ook om toestemming wordt gevraagd in situaties waarbij daar geen enkele reden toe is."