Microsoft moet in Oostenrijk stoppen met tracken van scholier, hoe zit dit in Nederland?

In dit artikel:

Een Oostenrijkse scholier, bijgestaan door Max Schrems’ organisatie noyb, kreeg recent gelijk van de nationale privacytoezichthouder DSB in een klacht tegen Microsoft over trackingcookies in Microsoft 365 Education. De toezichthouder oordeelde dat Microsoft geen wettelijke grondslag had om de leerling via trackingcookies te volgen en stelde dat het bedrijf binnen vier weken moest stoppen. De uitspraak rustte vooral op de cookiewet (de ePrivacy-richtlijn), die veel strenger is dan de AVG: voor niet-noodzakelijke cookies is vrijwel altijd voorafgaande toestemming vereist.

Cruciale punten van het oordeel: tracking valt niet onder “strikt noodzakelijk” omdat de dienst ook zonder tracking functioneert; noodzaak wordt beoordeeld vanuit het oogpunt van de gebruiker, niet van de aanbieder; en een beroep op “gerechtvaardigd belang” door de aanbieder is in dit geval onvoldoende. Het ging om first-party cookies en beperkte interne tracking, maar ook die vereisen toestemming als ze niet technisch noodzakelijk zijn.

In Nederland bestaat echter een nationale uitzondering in de cookiewet die toestaat om bepaalde first-party metingen te doen zonder expliciete toestemming, mits de impact op de persoonlijke levenssfeer minimaal is en de instelling dat kan onderbouwen. Daardoor zou een vergelijkbare zaak in Nederland waarschijnlijk anders beoordeeld worden, tenzij de onderwijsinstelling niet kan aantonen dat de tracking binnen dat strakke kader valt.

Advies: onderwijsinstellingen moeten goed kunnen motiveren waarom en hoe ze meten; leerlingen en ouders moeten alert blijven op welke tracking plaatsvindt. Auteur: ict-jurist Arnoud Engelfriet.