AVG (Algemene Verordening Gegevensbescherming)

Impact van AVG op online marketing

Wat is de impact van de AVG (Algemene Verordening Gegevensbescherming) op online marketing? Op deze pagina vindt u uitgebreide informatie over de impact van de AVG (Nederlandse verschijning van de Europese GDPR wet).

Wat betekent de AVG voor  marketeers?

Als marketeer in het MKB heeft u een grote verantwoordelijkheid wanneer het gaat om de gegevensbescherming van uw klanten en gebruikers. In principe is uw verantwoordelijkheid groter naarmate uw organisatie kleiner is. Algemene Verordening Gegevensbescherming voor marketeers

Op deze pagina: AVG en online marketing

De AVG (Algemene Verordening Gegevensbescherming) heeft impact op in ieder geval de onderstaande online marketing deelgebieden

Wanneer is de AVG van toepassing?

Heeft u een website, administratie of database (ook logfiles van uw website) waarin één of meerdere van onderstaande gegevens worden verwerkt dat verwerkte u zogenaamde PII’s (Personally Identifiable Information):

• IP-adressen
• Cookies
• E-mail adressen
• 06-nummers
• Postcode + huisnummers combinaties
• Geboortedata
• Adressen
• Device-ID’s

U kunt hier uitgebreide informatie vinden over elk van de betreffende onderdelen.

Basisprincipes van de AVG

1. Transparantie: de persoon van wie de gegevens verwerkt worden, is hier van op de hoogte, heeft hiervoor toestemming gegeven en kent zijn rechten.
2. Doelbeperking: de persoonsgegevens worden voor een welbepaald gewettigd doel verzameld, en mogen niet voor andere zaken gebruikt worden.
3. Gegevensbeperking: enkel de noodzakelijke gegevens die voor het beoogde doel noodzakelijk zijn, mogen worden verzameld.
4. Juistheid: de persoonsgegevens moeten juist zijn en blijven.
5. Bewaarbeperking: de persoonsgegevens mogen niet langer bewaard worden dan nodig voor het beoogde doel.
6. Integriteit en vertrouwelijkheid: de persoonsgegevens moeten beschermd worden tegen toegang door onbevoegden, verlies of vernietiging.
7. Verantwoording: de verantwoordelijke moet kunnen aantonen aan deze regels te voldoen.

Data Protection Impact Assessment (DPIA)

U kunt in grote mate zelf een DPIA uitvoeren. De richtlijnen van NOREA bieden een ruime basis.

Minimale technische eisen AVG

De minimale technische eisen van de Algemene Verordening Gegevensbescherming zijn:

• Firewalls die goed zijn geconfigureerd en de nieuwste software gebruiken
• Toegangscontrolebeheer door bijvoorbeeld de UAC-functionaliteit in Windows. Houd er rekening mee dat, om te voldoen aan de wet, er geen persoon in uw organisatie moet zijn met volledige toegang tot alle bestanden en zelfs uw netwerkbeheerder moet beperkte toegang hebben. In feite wordt aanbevolen dat de normale gebruikersaccount van de netwerkbeheerder en zijn / haar account met beheerdersrechten worden gescheiden en alleen gebruikt worden indien nodig. Dit maakt controle en beheer van beheerdersacties veel eenvoudiger. Als u deze maatregel niet uitvoert, is het mogelijk dat Snowden-incidenten zich voordoen
• Unieke wachtwoorden van voldoende complexiteit en regelmatig (maar niet te vaak) vervallen op alle apparaten (inclusief mobiele telefoons) om te verdedigen tegen woordenboek en regenboogtafel aanvallen. Goed advies is om gebruikers NIET te dwingen hun “complexe” wachtwoorden te wijzigen, omdat dit kan leiden tot het hergebruiken van oude wachtwoorden, die al bekend zijn aan aanvallers, de noodzaak om wachtwoorden op te noemen Vaak op een blootgesteld medium links in de buurt van het apparaat en gebruikers vergeten hun wachtwoorden en worden afgesloten, wat leidt tot een productiviteit
• Regelmatige software-updates, indien van toepassing, door gebruik te maken van patch management software
• Tijdig ontmantelen en veilig wissen (dat maakt gegevens onherstelbaar) van oude software en hardware
• Antivirus-, anti-malware- en anti-spyware software in real-time beveiliging
• Encryptie van alle draagbare apparaten waardoor de sleutel veilig beschermd wordt
• Encryptie van persoonsgegevens in transit door gebruik te maken van geschikte encryptie-oplossingen. Dit kan SSL- en IPsec VPN-verbindingen omvatten die geschikt zijn voor machine-naar-apparaatverbindingen, of PGP die algemeen gebruikt wordt voor berichten, zoals e-mail. PGP of “Pretty good privacy” (rond sinds 1991) is al lang onderdeel van de state of the art beveiliging. Niettemin, als uw organisatie minimale hoeveelheden persoonsgegevens verwerkt, is encryptie niet strikt een wettelijke vereiste en organisaties kunnen passende beveiligingsniveaus bereiken en op andere wijze aan de wet voldoen
• Implementeer beveiligde configuratie op alle apparaten (inclusief mobiele telefoons)
• Plaats inbraak detectie en preventie systemen
• Reservekopie (backup) van gegevens

Minimale organisatorische eisen

De minimale organisatorische maatregelen die u moet nemen zijn:

• Leidt personeel op en screen ze goed bij binnenkomst in uw organisatie op en screen ze  personeel, aannemers, leveranciers en leveranciers op continue basis,  op individueel niveau  zijn zij vaak de zwakste link
• Sluit geheimhoudingsovereenkomsten (NDA’s) voorafgaand aan het aangaan van geformaliseerde overeenkomsten
• Opleiding aan personeel op het gebied van gegevensverwerking, identificatie van inbreuken en risico’s. Zelfs met de state of the art beveiligingssoftware kan u onmogelijk inbreuken voorkomen zonder adequaat opgeleid personeel
• Beperk personeel toegang tot persoonsgegevens aan degenen die moeten weten (ook aangeduid als het “principe van de minste autoriteit”)
• Zorg voor fysieke beveiliging op terreinen, inclusief beleid voor personeel om hun documenten overnacht in veilige kasten te wissen en verwijder eventuele gevoelige afdrukken, die niet meer nodig zijn, door ze in een vertrouwelijke bak of via een kruisverdeler te plaatsen.
• Plaats een BYOD-beleid indien u gebruik maakt van persoonlijke apparaten voor werk en
  Implementeer een strikt verbod op het gebruik van persoonlijke e-mail voor werk doeleinden.

AVG en CRM systemen, software en pakketten

Welke eisen stelt de AVG aan CRM systemen, software en pakketten? Voor veel organisaties is hun CRM pakket of klantenregistratiesysteem de belangrijkste software waarvan ze gebruik maken. Vaak wordt gehele contact

Een paar bruikbare blogs op het gebied van CRM en GDPR/AVG zijn:

• Microsft GDPR Blog
• Salesforce GDP Perspectives
• Oracle GDPR
• SugarCRM GDPR

AVG en E-mail marketing

De nieuwe regels van de AVG gelden niet alleen voor nieuwe records in uw database maar ook alle oude. U moet dus van al uw oude e-mailadressen weten hoe u de opt-in heeft verkregen, dat kunnen bewijzen en ook moet u weten welk e-mailadres aan welke partij is doorgegeven.

U mag alleen mensen mailen die daadwerkelijk toestemming (opt-in) hebben gegeven voor het ontvangen van jouw nieuwsbrieven.  Hieronder nog even, om het geheugen op te frissen, een aantal belangrijke regels (die grotendeels niets nieuws zijn):

• De opt-in moet door een actieve handeling (opt-in aanvinken) en moet vrijwillig zijn;
• De opt-in mag niet verbogen staan in de Algemene Voorwarden
• De ontvanger moet geïnformeerd worden voor welke doeleinden  (doelmatigheidsbeginsel) en door welke partijen zijn data gebruikt gaat worden
• Voor elk doel moet er apart toestemming worden gegeven. Bijvoorbeeld een vinkje voor uw opt-in en een vinkje dat de persoonsdata met derden wordt gedeeld.
• Normale leeftijdseisen (v.w.b. economisch verkeer gelden hier ook:) wanneer iemand nog geen 16 is, moet iemand met ouderlijk gezag (mede)toestemming geven.
• De opt-ins moeten geregistreerd worden. U moet dus altijd kunnen aantonen hoe u de opt-in heeft verzameld, zodat de rechtsgeldigheid ervan kan worden bewezen.
• Bij elk inschrijfformulier moet naar het privacystatement op de website worden verwezen.
• Na uitschrijvinf niet meer mailen!
• Elke commerciële mail moet een uitschrijflink bevatten, waarmee de ontvanger zich eenvoudig kan uitschrijven.

De regels gelden voor opt-in gelden voor het versturen van commerciële mailings. Transactionele e-mails naar aanleiding van een order (orderbevestiging, factuur, et cetera.) zijn uitgesloten en mag u altijd versturen, mits u hier dan weer geen commerciële content in plaatst. U kunt hierbij denken aan coupons of andere vormen van korting.

AVG en Tag management (advertentie, tools en tracking)

Voor wat betreft Tag management en tag management tools (waarvan Google Tag Manager (GTM) verreweg de meest gebruikte is) zijn er een aantal belangrijke elementen die uw aandacht verdienen:

1. Organisatorisch; wie mag welke tags of pixels installeren? En wie is eindverantwoordelijk voor de geïnstalleerde pixels?
2. Geïnstalleerde pixels en scripts: welke data verzamelen ze en heeft u een Bewerkersovereenkomst met de betreffende tools/scripts/pixels?
3. Veel van dergelijke tools hebben een datalayer waardoor het mogelijk is om data van het ene script naar het andere te sturen – bewaakt u dit data transport met bepaalde tools (voor Google Tag Manager zijn er diverse Chrome extensies beschikbaar)

Voor wat betreft organisatie van Google Tag Manager adviseren wij u een autorisatie protocol op te zetten. In dit protocol zou moeten staan:

• Hoe scripts en pixels geinstalleerd mogen worden;
• Wie finaal akkoord geeft en hoe dat akkoord wordt vastgelegd;
• Wie een rapport genereert over welke data nu exact wordt doorgegeven aan de tool;
• Of er een Bewerkersovereenkomst aanwezig is (of onderdeel van de overeenkomst);
• Wie de overeenkomst heeft getekend (lees: wie de account heeft aangemaakt en diens creditcard t.b.v. betalingen heeft gegeven;
• Hoe aan gebruikers en klanten kenbaar wordt gemaakt welke data van hen aan welke tools wordt doorgegeven;
• En wie voor dat voorlaatste verantwoordelijk is – de incorporatie in de Privacy en Cookie statement

Tja, het is een stuk meer bureaucratie dan u nu waarschijnlijk gewend bent – u was van plan om lean, scrum en agile te werken? Dat kan nog steeds – alleen niet met de data van uw gebruikers en klanten. Daar moet een stevige paper trail van worden opgebouwd.

AVG en webanalytics

Hoe zit het met de AVG en Webanalytics?

Google Analytics Bewerkersovereenkomst kunt u hier vinden. Indien u veel werkt met custom dimensions en het tracken van events op formulier is de kans groot dat u PII data doorstuurt naar Google Analytics. U kunt een script gebruiken om eventuele PII data die u doorstuurt naar Google Analytics daar te verwijderen en te vervangen door een andere waarde.

AVG en Content marketing

Heeft de AVG impact op content marketing? Het antwoord is ‘Ja’ zodra u gegevens opslaat over de gebruikers/consumeerders van uw content.

AVG en Marketing automation

Hoe zit het met de AVG en Marketing automation? Marketing automation is op basis van digitaal opgevangen of geregistreerde signalen klanten automatisch van content voorzien. Vaak gebeurt dit door e-mail maar soms ook door SMS, in-app messages of browser push messages.

U kunt eigenlijk alleen met uw prospect communiceren als u een PII (Persoonlijk Identificeerbare Informatie) heeft en daarom heeft u altijd hiervoor expliciete toestemming nodig van uw prospect of klant.

AVG en Data integratie (met tools als Zapier)

Hoe zit het met de AVG en Data integratie of data uitwisseling? Veel marketeers en Growth Hackers maken gebruik van dergelijkse tools om snel allerlei fantastische tools en online marketing software met elkaar te verbinden.

Voorbeeld hiervan zijn:

• De aanvragen uit uw Facebook Leads campagne worden via een data integratie tool naar uw CRM gestuurd;
• Op uw WordPress website worden de gebruikers via een MySQL verbinding en een data integratie naar uw Marketing Automation pakket gestuurd

In bovenstaande voorbeelden zijn alle betrokken partijen Verwerker of Subverwerker en vallen dus onder de AVG.

AVG en Social login (OAUTH)

Het aantrekkelijke van social login is dat de gebruiker zich geen zorgen hoeft te maken over de opslag van zijn gegevens; want dat gebeurt niet (officieel). Zijn identiteit is alleen bij de uitgever van zijn identiteit bekend. Als u behalve het aanroepen van de oauth service (bijvoorbeeld Facebook login) geen gegevens opslaat dat hoeft u geen speciale maatregelen te nemen v.w.b. AVG compliance (GDPR compliance).

Veel organisaties gebruiken echter services die op basis van de social login functionaliteit extra data bieden en importeren deze in hun eigen database (CRM of klantregistratiesysteem). Dit is volstrekt niet compliant met de AVG en gebruikers dienen hiervoor toestemming te geven vooraf.

AVG en Web personalisatie

Hoe zit het met de AVG en website personalisatie? Web personalisatie is een techniek waarbij op basis van cookies of fingerprinting een deel van de visueel zichtbare content wordt aangepast op zo’n wijze de gebruiker, vermoedelijk, een beter gebruikerservaring (UX) ervaart.

AVG en Leadgeneratie

Koopt u leads van een leadgeneratie bedrijf dan moeten u zich verzekeren (contractueel) dat het bedrijf aan de AVG voldoet. U kunt dit zelf verifiëren door ondermeer af te spreken dat de leads alleen worden gegenereerd via één of meerdere specifieke websites (die u kent en die bij name zijn genoemd in het contract), of dat het formulier en de follow-up (vaak per e-mail) aan bepaalde eisen voldoen; zoals een dubbele opt-in bijvoorbeeld.

Ook moet u afspraken maken over wie welke gegevens opslaat en de gebruiker (zoals consumenten als bedrijven) dient dat ook vooraf te weten en toestemming voor te geven. Dit kan middels een specifieke opt-in op het formulier.

Die toestemmingen moeten ook vastgelegd worden; een paper-trail. Daarnaast moeten uw contractuele afspraken overeenkomen met hetgeen feitelijk gebeurt.

Koopt u adressenlijsten dan is het zaak dat de prospect expliciet heeft aangegeven er mee in te stemmen dat zijn adres aan u doorgegeven wordt.

AVG en Programmatic advertising (of Display advertising)

Hoe zit het met de AVG en programmatic advertising? Programmatic advertising is een uiterst complex eco-systeem wat erg lijkt, zo zeggen sommigen, op de complexiteit en verwevenheid van de financiële markten.

In dit ecosysteem worden binnen enkele miliseconden bepaald of de bezoeker van een website of app bekend is, waar die eerder is geweest, welk device hij gebruik, welk besturingssysteem hij gebruikt en nog veel meer details. Allemaal informatie die al dan niet verbonden met andere informatie (her)leidbaar is tot PII. En om die reden wat ons betreft onder de PII valt.

De meest bekende verschijningsvorm van programmatic adverteren is retargeting (of ook wel remarketing). Hierbij wordt alle data door diverse partijen behandeld voordat er tot een ‘veilingbod’ op de betreffende ‘ adview’ word gedaan… dit in de tijd dat het browservenster van de gebruiker aan het laden is.

Om als adverteerder aan de AVG te voldoen moet u ten eerste toestemming vragen aan uw websitebezoekers of u hen gegevens aan bepaalde partijen mag doorgeven (zoals uw DSP, DMP of partijen zoals Google en Facebook). Het spreekt voor zich dat u Verwerkersovereenkomsten moet hebben met die betreffende partijen.

Echter uzelf zult zelden in contact treden met het complexe ecosysteem: dat doet doorgaans uw DSP voor u. Uw DSP, als u dat niet zelf doet, is dan vaak uw reclamebureau of online marketing bureau. Met al die partijen zult u bewerkersovereenkomsten moeten hebben.

Als u een uitgever (publisher) bent van websites zult u hetzelfde moeten doen als een adverteerder: toestemming vragen van de gebruiker om de informatie te mogen doorgeven aan allerlei partijen waarmee u zaken doet.

Recent (maart 2018) heeft IAB Europe een GDPR Consent tool uitgegeven: http://advertisingconsent.eu .

AVG en Usability tools

Usability tools zijn software tools waarmee al dan niet expliciet gegevens worden verzameld over de gebruiker om te evalueren hoe deze de website of app gebruikt. Er is een heel spectrum aan usability tools.  Zo zijn er bijvoorbeeld tools die aan sessie recording doen. Daarbij wordt daadwerkelijk een video gemaakt van alles wat de gebruiker ziet en doet, inclusief de data die wordt ingetypt (zoals telefoonnummer).

Impliciete gegevensvergaring:

• sessie recording
• heatmaps
• clicktracking
• zoekopdrachten op de website
• gevens die gebruikers op (web-)formulieren invullen

Expliciete gegevensvergaring:

• pop-up formulier met vragen

Ook hier geldt: u en de tool verwerken gegeven van de gebruiker en daarom moet u expliciete permissie (actieve opt-in) hebben van de gebruiker. En u moet een duidelijke verwerkersovereenkomst hebben met de verwerker.

En die verwerker moet ook weer aan de AVG / GDPR eisen voldoen.

Voorbeelden van usability tools zijn:

• LuckyOrange
• CrazyEgg
• MouseFlow

AVG en A/B Testing tools

Met betrekking tot de AVG hebben A/B testing tools te maken met de volgende facetten.

Voor het gebruik maken van een A/B testing tool heeft u toestemming van de gebruiker nodig. Dit staat haaks op het principe om aselect te testen. Echter wilt u alle risico’s vermijden dan heeft u inderdaad die toestemming nodig.

Dit komt omdat A/B testing tools zelf veel data verzamelen en in combinatie met andere tools (al dan niet via dataverbindingen zoals API’s of webhooks) dit tot een profiel van de gebruiker kan leiden.

Deze blogpost van A/B testing tool Convert geeft goede en diepe achtergrond informatie.

Andere veelgebruikte A/B testing tools zijn:

• Visual Website Optimizer
• Google Optimize
• Optimizely

AVG en Affiliate marketing

Affiliate marketing kenmerkt zich, doorgaans, doordat er vier partijen zijn betrokken bij de ‘transactie’ (sales, lead, click):

1. Gebruiker
2. Affiliate webmaster
3. Affiliate netwerk
4. Adverteerder

In de meeste gevallen worden de Gebruikers via een banner of link doorgestuurd naar de website van de Adverteerder. Daartussen zit een meetmechaniek dat het verkeer via de website van het Netwerk laat lopen (hier zijn varianten op) en door een meetpixel op de website van de adverteerder wordt gemeten welke bezoek aankomt (click) en al dan converteert (sale of lead).

Als het een geavanceerde webmaster is die op Gebruikers niveau waarop mensen converteren en wat ze wel/niet kopen dan is hier zeker sprake van PII. Het netwerk verzamelt ook Cookie-ID’s en zal van elk Cookie weten wat ze wel/niet kopen dus ook hier is sprake van PII.

Rakuten heeft er een goed overzicht van gemaakt.

Kortom, in de meeste gevallen moet alle betrokken zich houden aan de regels van de AVG en dus ook een opt-in vragen om gegevens door te geven aan bepaalde partijen.

Recent (maart 2018) heeft IAB Europe een GDPR Consent tool uitgegeven http://advertisingconsent.eu/

AVG en Facebook Custom Audiences

Met betrekking tot Facebook Custom Audiences en de AVG, en dan vooral het uploaden van lijsten van e-mailadressen en/of telefoonnummers, is het de vraag wat mag en wat ieders rol daarbij is.

Het is uw verantwoordelijkheid om specifieke toestemming te vragen voor het doorgeven van de gegevens van de betrokkene naar Facebook.

Facebook heeft twee petten op in het geval van Custom Audiences:

1. ze zijn Verwerker van gegevens (van de gegevens die u verstrekt);
2. ze zijn Controller van gegevens (van de gevens vanuit de gebruikersrelatie die Facebook zelf heeft met haar gebruikers).

Het is uw eigen verantwoordelijkheid om e.e.a. te controleren. Ons advies is om in uw consent (gebruik website) expliciet toestemming te vragen om gegevens door te geven aan Facebook. En dit doet u al, waarschijnlijk, als u een ‘Like’ button op uw website heeft.

Recent zijn er twee uitspraken geweest ten nadele van Facebook die, wat ons betreft, duiden op een steeds zwaarder worden ‘regime’ waar het aankomt op Privacy :

• een Belgische rechter heeft besloten dat Facebook niet overal gebruikers mag volgen – en dat is overal waar de ‘Like’ button staat
• Een Duitse rechter heeft gezegd dat Facebook niet genoeg heeft gedaan voor de expliciete instemming voor het gebruik van persoonlijke gegevens van de gebruikers door Facebook met als doel advertentie-targeting mogelijk te maken

AVG en Google Customer Match

Om gebruik te (blijven) maken van de mogelijkheden die Google Customer Match biedt is het noodzakelijk om een specifieke opt-in te verkrijgen van uw klanten/relaties/gebruikers.

U geeft immers gegevens door van gebruikers aan Google. Het principe en gebruik lijkt veel op die van Facebook Custom Audiences.

AVG en Linkedin Matched Audiences

Linkedin Matched Audiences lijken ook erg op Facebook Custom Audiences en wij adviseren ze ook niet anders te benaderen

AVG en Google Adwords

Google Adwords kent meerdere producten en zover één en ander afhankelijk is van data van uw website, of u krijgt data door van Google (zoals welke zoekwoorden iemand heeft gebruikt voor een uiteindelijke conversie) en koppelt die aan tot de individuele gebruiker herleidbare data (conversie-ID) dan is ook hier een Verwerkersovereenkomst nodig tussen u en Google. Alleen in dat laatste geval bent u de Verwerker.

AVG en Gmail Ads

Van Gmail Ads kunt u in het kader van de AVG met een gerust hart gebruik maken. Behalve als u middels eigen adressenbestanden uitsluitingslijsten upload (Customer Match). In alle andere gevallen kunt u gebruik maken van Gmail Ads.

AVG en fingerprinting

Sommige organisatie maken gebruik, naast cookies, van fingerprinting voor het identificeren en tracken van gebruikers op websites en andere digitale devices.

Fingerprinting is een technologie waarbij er geen cookies worden gedropt op de lokale computer maar er een uniek profiel wordt gegenereerd op basis van beschikbare data. Hierbij moet u denken aan IP-adres, schermgrootte, browser, geïnstalleerde plugins/extensions, etc etc.

Veel organisaties matchen deze gegevens dan op enig moment met gebruikers-gegevens zoals e-mailadres en kunnen daarmee mensen identificeren. In hun database bewaren ze zowel geïdentificeerde als ongeïdentificeerde gebruikers (profielen). Echter vaak zijn voor beide typen profielen geen toestemming gegeven (om die gegevens te bewaren).

Daarnaast worden vaak de gegevens erg lang bewaard wat niet in overeenstemming is met de AVG. De bewaartermijn van niet-actieve gebruikers is een punt van zorg. De wet zegt dat de bewaartermijn niet langer mag zijn dan het doel van de verwerking. Wij adviseren om altijd expliciete toestemming te vragen en de gegevens van niet-actieve gebruikers maximaal 2 jaar te bewaren.

AVG en DMP’s (Data Management Platforms)

Maakt u gebruik van een Data Management Platform (hierna DMP – soms ook bekend onder een andere naam zoals datalake) dan is de AVG zeker op u en uw dataleveranciers en (her-)verwerkers van toepassing.

Belangrijkste vraag bij het analyseren van de eisen van uw DMP is: wie heeft op welk moment verifieerbaar een opt-in verkregen en hoe kan ik dat controleren? Zeker als u gebruik maakt van dataproviders (zie hieronder).

AVG, Dataproviders en Databrokers

Dataproviders zijn bedrijven die data over hun klanten verkopen, verhuren of uitlenen aan andere organisaties al dan niet tegen betaling. Soms rechtstreeks en soms via een databroker.

Voorbeelden van dataproviders zijn:

• tijdschriftenuitgevers die gegevens van hun abonnee’s doorverkopen aan andere (marketing-)bedrijven. Een goed voorbeeld hiervan is bijvoorbeeld de abonneegegevens van een kook-en receptentijdschrift – voor een aanbieder van pannen of speciale keukenapparatuur is dat een mooie match;
• digitale uitgevers die gegevens over hun gebruikers doorverkopen. Een goed voorbeeld is een vergelijkingswebsite die gegevens doorverkopen van mensen die op dit moment een nieuwe internetaanbieder (kabel, glasvezel, etc) zoeken;

Een databroker is een bedrijf die verschillende databronnen matched en beschikbaar en soms verpakt beschikbaar maakt voor bedrijven die daar hun advertentie targeting en rendement mee willen verbeteren.

Indien u hiervan gebruik maakt is het van belang om te weten of u, zonder medeweten van de consument (of adres van een individu bij een bedrijf), de gegevens in handen (in uw eigen database of in bijvoorbeeld Excel sheets) ontvangt. Dat geld ook voor partijen (postverzendingen in het geval van DM (Direct Mail), of DSPs (Demand Side Platform) in het geval van digital advertising) die u inhuurt.

In de hierboven genoemde voorbeelden zijn de dataproviders de Verwerker en de databroker én uw organisatie of organisatie die namens u handelingen verrichten met de data HerVerwerkers. Allen dienen ondubbelzinnige toestemming van de consument te hebben voor het verwerken van de data.

Er is in de Engelse literatuur over dee GDPR (welke veel groter is dat de Nederlandse over de AVG) discussie c.q. onduidelijkheid of databrokers en dataproviders niet onder het ‘legitimate interest’ beginsel vallen.

AVG en WordPress Plugins

Hoe zit het met de AVG (GDPR) en WordPress Plugins?

WordPress is verreweg het meest gebruikte CMS (Content Management Systeem) ter wereld. Het is gebruikersvriendelijk, er zijn tienduizenden ontwikkelaars bij betrokken en er zijn (tien-)duizenden plugins beschikbaar.

Sommige organisatie laten een WordPress website maken en vaak kiezen de ontwikkelaars ervoor om een aantal functionaliteiten niet zelf te bouwen maar middels een WordPress Plugin beschikbaar te maken. Echter door het gemak waarmee de plugins te installeren zijn is het ook zo gemakkelijk om te vergeten welke data verstrekt wordt – al dan niet bewust en expliciet- aan de bouwer van de plugin.

Wat zijn uw minimale verantwoordelijkheden nu ten aanzien van WordPress en de AVG?

• Een lijst bijhouden van welke plugins u heeft geïnstalleerd en per wanneer;
• Heeft u een account moeten aanmaken bij de leverancier en/of een activeringscode moeten invoeren? Controleer dan of u ergens Algemene Voorwaarden en/of Gebruiksvoorwaarden kunt vinden en print die uit. Kunt u ze niet vinden vraag er dan om. Controleer deze juridische documenten op het feit of ze al dan niet een Verwerkersovereenkomst bevatten

AVG en API’s

Hoe zit het met de AVG (GDPR) en API’s? API is een afkorting van Application Programming Interface. Een bibliotheek met veel API’s is Programmable Web – voor als u voorbeelden van een API zoekt. Veel ontwikkelaars