Is digital en programmatic advertising, datamining en gepersonaliseerde reclame nog mogelijk als in 2018 de Algemene Verordening Gegevensbescherming (AVG) in werking treedt? Marketeers en bureaus vrezen voor hun businessmodel. IAB Nederland gaat bezwaar aantekenen. Angst en twijfel domineren de marcombranche. Toch valt het volgens deskundigen mee. De oplossing? Alles draait om toestemming.

,,Bij CMO’s is veel onrust en twijfel over de nieuwe privacywet. De vraag is of onze processen op tijd klaar zijn,” zei voorzitter Nathalie Peters van IAB Nederland tijdens het congres How To make It Work 2017. De branchevereniging roept iedereen op voor dinsdag 28 november bezwaar aan te tekenen tegen de richtlijnen die de Europese privacywaakhonden, verenigd in de Artikel 29 Werkgroep (WP29), onlangs publiceerden. Die gaan ook over profilering en geautomatiseerde besluitvorming, de basis voor digitaal en programmatic adverteren. ,,Dit is het enige moment waarop we de werkgroep kunnen oproepen de strikte regels voor profilering te verzachten,” aldus Peters. IAB heeft hiervoor de hulp ingeschakeld van zakelijk juridisch dienstverlener DLA Piper.



Zelfde regels, meer boetes
Vanaf 25 mei 2018 gaat de Autoriteit Persoonsgegevens streng controleren of bedrijven, bureaus en marketeers wel zorgvuldig met persoonsgegevens omgaan. In online reclame draait tegenwoordig alles om data en profilering op basis van persoonsgegevens. Daarom dreigt de helft van alle digitale reclame te verdwijnen, meldde Adformatie in september na een noodkreet van IAB.

Tijdens HTMIW17 schetsten professor Jan Kabel, hoogleraar informatierecht aan de Universiteit van Amsterdam, en Walter Flaat, Chief Data Officer van Dentsu Aegis Network Nederland, wat de branche te wachten staat. Volgens professor Kabel gelden de regels van de AVG al sinds 1996. Alleen wordt er vanaf volgend jaar strenger gehandhaafd en worden er meteen boetes uitgedeeld in plaats van waarschuwingen. ,,Dat kan oplopen tot 20 miljoen euro en daarom is iedereen zo zenuwachtig en bezig compliant te zijn aan de nieuwe wet,” aldus Kabel.

Altijd wat te verbergen
CDO Walter Flaat van Dentsu Aegis ziet ook de twijfel bij collega’s. ,,Ze zeggen: het is allemaal zo zwaar, het is zo moeilijk. Er mag straks niets meer. Werken binnen deze regels is een high-stakes spelletje, dus waarom zou je nog met data willen werken,” vertelt hij.

Als data-expert weet hij als geen ander hoe mensen de hele dag gevolgd worden. Vanaf het moment dat ze wakker worden en op hun smartphone hun mail of het nieuws checken tot ze in de trein stappen met hun OV-chipkaart of ’s avonds een pizza bestellen. Van de jongere generatie worden heel veel gegevens verzameld. ,,Het gaat erom dat die gegevens goed gebruikt worden. Mensen zeggen altijd: ze mogen alles van mij weten. Ik heb niets te verbergen. Maar je hebt altijd wat te verbergen voor mensen die jou kwaad gezind zijn,” aldus Flaat.

Vier basisregels
Data is volgens hem echter van essentieel belang voor goede marketing. Flaat: ,,Marketing wil aandacht kopen. Je hebt allerlei data nodig om te voorkomen dat je ongewenste reclame op ongepaste momenten stuurt. Uiteindelijk gaat het erom dat je mensen begrijpt. Daarvoor moet je data op een goede manier toepassen binnen de kaders van de privacywetgeving.”

Dentsu Aegis heeft vier basisregels opgesteld om dit goed te regelen.

1: Goede marketing is duurzaam op het gebied van privacy. ,,Marketing is alleen duurzaam als je handelt in het belang van de consument,” aldus Flaat.

2: Goed gebruik van data moet niet eng aanvoelen.

3: We zouden er zelf geen bezwaar tegen hebben als consument.

4: Er is een balans tussen datagebruik en waarde toevoegen.

Cookies zijn persoonsgegevens
Flaat: ,,Belangrijk is ook de grens tussen geanonimiseerde gegevens en persoonsgegevens. Soms zijn gegevens anoniem, maar kunnen ze persoonlijk worden. Daarom wil je er nu al mee omgaan alsof het persoonsgegevens zijn. Hoe zit het met cookies? Daarover is de AP tot de conclusie gekomen dat het persoonsgegevens kunnen worden, dus is het beter om daar van uit te gaan.”



Wat kan wel en niet?
Met concrete voorbeelden over wat wel en niet mag, legt hij de koppeling met de dagelijkse marketingpraktijk. Iemand retargetten die op een webshop naar roze pumps zoekt? Dat mag als iemand via een duidelijke cookieverklaring consent geeft. Een persoonlijk reisaanbod opstellen en tonen door Booking.com? Idem dito. De score van een ingevulde IQ-test doorverkopen? Daar wordt het schimmig, want heeft de invuller hier wel toestemming voor gegeven? Contextual profiling op basis van iemands multimediagebruik, dus meekijken terwijl hij andere websites bezoekt? Een twijfelgeval. Stiekem bezoekersgegevens van een website verzamelen en doorverkopen? Dat mag niet meer.

Alles draait om toestemming
Volgens Flaat draait alles om toestemming, dus meer cookieverklaringen en expliciet vragen of je de gegevens mag gebruiken. ,,Toestemming is goud waard. Daar los je alles mee op. Maar die moet wel veilig gegeven worden. Mensen moeten weten: Jij gaat van mij persoonsgegevens opslaan zodat ik jou later kan bereiken. Maar je moet die niet alleen opslaan, maar ook bewijzen dat mensen die toestemming hebben gegeven. Je moet dus een afschrift van alle toestemmingen in een database zetten om dat te kunnen bewijzen. Heb je dat niet gedaan, dan ben je 24 mei om 23.59 uur al je gegevens, cookies en data kwijt, want je hebt daar geen consent voor.”

Een ander puntje: de verantwoordelijkheid wordt over de hele keten uitgesmeerd. Van uitgever tot adverteerder en mediapartij. ,,Dus je bent allemaal de Sjaak als het misgaat,” aldus Flaat.

,,Dus je bent allemaal de Sjaak als het misgaat,” aldus Flaat.

Bescherming logisch
Volgens professor Kabel is het logisch dat mensen mogen weten wie, wanneer, welke data over hen verzamelt en wat daarmee gebeurt. Volgens de EU-grondwet heeft iedereen namelijk het recht op bescherming van zijn persoonsgegevens. Hij haalt een eerdere uitspraak aan van voorzitter Aleid Wolfsen van de Autoriteit Persoonsgegevens (AP), die na zijn aantreden in 2016 zei: ,,Als wij samen naar de bibliotheek zouden gaan en er zou bij de ingang een man staan met een camera, die permanent zou meelopen. Welk boek je inkijkt, waar je naar zoekt… Nou, die sla je onmiddellijk in elkaar. Althans vrij snel. Nu zit de bibliotheek op internet en gebeurt hetzelfde. En niemand maakt zich er zorgen over. Vind ik raar.”
Wolfsen en zijn AP staan volgens Kabel klaar om misstanden te gaan aanpakken en te beoordelen of websites goed met cookies omgaan. Het wordt voor bedrijven nog een hele klus om alle aspecten van de AVG onder de knie te krijgen. ,,Je moet eerst weten waar je het over hebt. Dan moet je het toepassen. Je moet weten wat voor rechten de betrokkenen heeft. Je moet weten wat de beginselen, de beperkingen en de plichten zijn. Je moet weten hoe het zit met de doorgifte van gegevens van Europa naar andere landen zoals Amerika. Je moeten weten hoe het zit met toezicht. En je moet weten hoe het zit met de sancties,” somt Kabel op.

Richtlijnen profilering
Naarmate de datum van 25 mei 2018 nadert, worden de spelregels steeds vaster omlijnd. De Artikel 29 Werkgroep publiceerde begin oktober de conceptrichtlijnen voor profilering en gepersonaliseerde reclame op het internet. Zo mogen algoritmes geen automatische beslissingen nemen die zwaar ingrijpen in het leven van mensen of juridische consequenties hebben en moeten mensen inzicht hebben in de data die over hen zijn verzameld.

Data gebruiken die voor andere doeleinden zijn verzameld mag alleen als de persoon in kwestie daar toestemming voor heeft gegeven. Volgens de richtlijnen van de AVG moet die vraag om toestemming duidelijk en begrijpelijk zijn, moet de persoon snappen waarvoor hij toestemming geeft en moet hij die consent weer in kunnen trekken.

Bezwaar maken
Volgens IAB-voorzitter Peters veranderen de richtlijnen zoals die er nu liggen het totale digitale speelveld. ,,Het is dan ook niet meer dan vanzelfsprekend dat de spelregels voor iedereen duidelijk moeten zijn,” stelt ze. ,,Vandaar dat wij nu actief de oproep doen aan iedereen om hun feedback te delen. Dit kan men doen door gebruik te maken van het speciale formulier op de website van IAB Nederland. Onze specialisten zullen deze reacties bundelen en voor de deadline van 28 november aanstaande bij de Artikel 29 Werkgroep aanbieden.”