Op 25 mei 2018 treedt de nieuwe privacywetgeving in werking. In de General Data Protection Regulation (GDPR) - oftewel de Algemene Verordening Gegevensbescherming (AVG) - staan nieuwe, herziene richtlijnen voor het verzamelen van data, in het leven geroepen om de privacy van de burger beter te waarborgen. Zoals te lezen is in een eerder artikel in deze serie, heeft de GDPR impact op bijna alle marketingactiviteiten van een organisatie op het gebied van verwerking van persoonsgegevens van Europese burgers. 

In deze blogpost gaan we verder in op het verzamelen en gebruiken van data via trackingscripts en de rechten van de bezoeker/gebruiker van de website.

Voor het verzamelen en opslaan van persoonsgegevens moet vooraf duidelijke toestemming gegeven worden door de bezoeker of gebruiker van de website. Persoonsgegevens worden onderverdeeld in drie categorieën:

1. Persoonsgegevens: bijvoorbeeld NAW-gegevens, IP-adres en device-ID’s.
2. Pseudo-anonieme data: persoonsgegevens die dusdanig verwerkt worden dat ze niet langer herleid kunnen worden zonder gebruik van aanvullende informatie, maar die wel een persoon individueel maken, zoals een versleuteld e-mailadres of gebruikers-ID.
3. Anonieme data.

Persoonsgegevens en pseudo-anonieme data mogen met expliciete opt-in en opt-out worden gebruikt voor gespecificeerde, expliciete en rechtmatige doeleinden en niet verder worden verwerkt op manieren die niet verenigbaar zijn met deze doeleinden.

Vooral bij trackingscripts gaat het vaak om pseudoanonimisering. Het is een veel voorkomende misvatting dat dit anonieme data zijn. De data die via tracking-id’s verzameld worden, vallen in veel gevallen dus ook onder de GDPR omdat de persoon door aanvullende informatie herleid kan worden en individualiseerbaar is.

Officieel mag je dus standaard geen tracking gebruiken en moet je duidelijk vermelden welke data worden verzameld en voor welke doeleinden deze worden gebruikt. Als iemand in het verleden toestemming heeft gegeven voor het verwerken van zijn of haar persoonsgegevens, moet hij of zij zich vervolgens op elk moment op eenvoudig kunnen afmelden middels een opt-out...

...Profiling is het verzamelen, analyseren en combineren van (persoons)gegevens met als doel iemand in te delen in een bepaalde categorie of bepaald profiel. Met profiling kan een organisatie ook het gedrag van mensen voorspellen of een beslissing over hen nemen. Profiling wil dus zeggen dat iemand aan de hand van een profiel wordt beoordeeld.

Profiling bestaat uit 3 stappen:

1. Het verzamelen van (persoons)gegevens over (een groep) mensen
2. Het analyseren en combineren van deze gegevens om verbanden en patronen te ontdekken
3. Het zoeken naar verbanden en patronen (profielen) in een groep mensen om ze in te delen in een bepaalde categorie en/of hun gedrag te voorspellen.

Veel huidige online advertising, personalisatietools en toekomstige toepassingen van machine learning en artificial intelligence zijn gebouwd op dataprofilering of staan toe om als adverteerder je eigen data te uploaden om bijvoorbeeld mensen met een vergelijkbaar profiel te kunnen bereiken. Ook remarketing, waarbij je een groep gebruikers opnieuw benadert, valt hieronder. 

In de nieuwe wetgeving moet de organisatie benoemen welke vorm/vormen van profilering wordt/worden toegepast, met de daarbij behorende consequenties voor deze persoon. Hierbij moet tevens de mogelijkheid worden geboden tot een opt-out voor deze functionaliteit. De gegevens zullen beveiligd moeten worden door bijvoorbeeld scripting, hashing en encrypting....

...De nieuwe wetgeving geeft ook meer duidelijkheid over de rechten van de burger. Deze worden nu verder geconcretiseerd en afgekaderd. De burger heeft vanaf volgend jaar mei het recht op onderstaande zaken:

• Toegang tot zijn eigen persoonlijke gegevens.
• Kennis over waar de gegevens zijn opgeslagen en hoe deze worden gebruikt en gedeeld. De adverteerder moet kunnen aantonen waar de persoonlijke data zijn opgeslagen en wie wanneer op welke manier toegang heeft tot deze informatie.
• Rectificatie.
• Vergeten te worden. De persoonsgegevens moeten worden verwijderd als de burger hierom vraagt.
• Beveiligde omgevingen. De opslag en verwerking van gegevens moet voldoende versleuteld en beveiligd zijn.

Het probleem bij de bovenstaande rechten is dat het (op dit moment) vaak technisch gezien niet mogelijk is om een individueel persoon of cookie te verwijderen of deze data over te dragen aan de persoon. Hiervoor zullen verschillende tools, zoals Google Analytics een oplossing voor moeten zien te vinden. 

Om Google Analytics privacyvriendelijk te maken, dien je de volgende stappen te doorlopen:

1. Bewerkersovereenkomst met Google afsluiten. Als verantwoordelijke dien je een bewerkersovereenkomst af te sluiten met Google.
2. IP-adressen anoniem verwerken. Google biedt de mogelijkheid om het laatste gedeelte van het IP-adres van websitebezoekers te verwijderen.
3. Gegevens delen met Google uitzetten:
   • uitsluitend andere Google-producten;
   • anoniem met Google en andere;
   • technische ondersteuning;
   • (toegang voor Google-)accountspecialisten.
4. Informeren over het gebruik van Google Analytics. Informeer de bezoeker dat:
   • Google Analytics cookies gebruikt;
   • een bewerkersovereenkomst is afgesloten
   • de gegevens anoniem worden verwerkt;
   • ‘gegevens delen’ is uitgeschakeld;
   • er geen gebruik wordt gemaakt van andere Google-diensten in combinatie met Google Analytics-cookies.

Lees de volledige beschrijving voor het privacyvriendelijk instellen van Google Analytics in deze handleiding.

Alles bij de bron; MarketingFacts