Direct marketing: what s up?

Transcriptie

1 Direct marketing: what s up? Nicole Wolters Ruckert Vrijdag 16 september 2016

2 Profilering, segmentering, (direct) marketing, targeting, behavioural advertising: één pot nat of niet?

3 Een update De laatste ontwikkelingen van de toezichthouders Kernpunten van AVGB wat betreft direct marketing / profiling Vooruitblik op de herziening van de e-privacy richtlijn; standpunt Artikel 29 Werkgroep

4 De laatste ontwikkelingen van de toezichthouders

5 Autoriteit Persoonsgegevens Speerpunt toezichtsagenda 2016: big data & profilering Gepubliceerde onderzoeken en handhavingsactiviteiten 2016: Facebook (introductie nieuwe privacy-voorwaarden) Advertentienetwerk Yieldr (OBA) Google (combineren persoonsgegevens) Bluetrace (wifi-tracking) Diverse ziekenhuiswebsites (cookies)

6 Autoriteit Persoonsgegevens Zie: cookies

7 Autoriteit Consument & Markt Wat merkten wij deze zomer?

8 Op 2 januari 2016

9 Op 14 september 2016

10 Wat is er aan de hand volgens ons? ACM Top 100: meest bekeken websites in Nederland onder de loep Toename informatieverzoeken ACM Update FAQ over de cookiebepaling (juni 2016) - Invulling eerste informatielaag - Verduidelijking rechtmatigheid impliciete toestemming Standaardbrief ACM aan websitehouders met voorstel voor implementatie van twee informatielagen

11 Standaardbrief ACM: eisen aan eerste informatielaag

12 Eerste informatielaag: cookie banner

13 Tweede informatielaag: de cookie statement Standaard van brancheorganisatie voor digital advertising (IAB): nog steeds bruikbaar maar aan update toe Real time bidding? Dynamische cookies?

14 Ojee.. Niet weer die cookie walls! Wat zijn de mogelijkheden? 1. Herintroduceren van de cookie wall 2. Uitsluitend strikt functionele cookies gebruiken 3. Op de homepage uitsluitend strikt functionele cookies gebruiken en daarmee toestemmingsvraag uitstellen

15 De kernpunten van de AVGB voor marketing / profiling

16 Direct Marketing & AVGB

17 Direct marketing: verwerking van persoonsgegevens Persoonsgegevens (art. 4(1)): alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon ("de betrokkene"); ( ) zoals een naam, een identificatienummer, locatiegegevens, een online identificatiemiddel of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die persoon; Single out is voldoende (overweging 26) Voorbeelden: klantnummer, cookie ID en gegevens verzameld via cookies, IP-adres (?), locatiegegevens, surfgedrag, informatie samengebracht in klantprofiel

18 Direct marketing: verwerking van persoonsgegevens Pseudonieme gegevens (art. 4 (5)): het verwerken van persoonsgegevens op zodanige wijze dat de gegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om niet-koppeling aan een geïdentificeerde of identificeerbare persoon te waarborgen Let, regels blijven van toepassing! Anonieme gegevens (overweging 26)

19 Marketing en AVGB Direct Marketing Profiling/Segmenteren Targeted (Behavioural) Advertising

20 Direct Marketing

21 Direct Marketing Geen definitie Grondslag (art. 6): gerechtvaardigd belang kan want de verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een rechtmatig belang (overweging 47) Wél informeren over de grondslag (art. 13(1c))

22 Direct Marketing Recht van verzet aanbieden (art. 21): recht om bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens voor dergelijke marketing, met inbegrip van profilering die betrekking heeft op direct marketing absoluut recht van verzet uiterlijk op moment van eerste contact en duidelijk gescheiden van andere informatie websites: geautomatiseerde procedés Minderjarigen? Art.8

23 Direct Marketing Let op: strengere regels van toepassing op e-marketing (per , sms, etc.) en telefonische marketing neergelegd in artikel 11.7 Telecommunicatiewet blijven (waarschijnlijk) van toepassing.

24 Profiling

25 Informatieplicht: betrokkene moeten worden geïnformeerd over het bestaan van profilering en de gevolgen ervan (art. 13 in combinatie met overweging 60). Profiling Geen aparte bepaling geworden maar enkel aparte definitie (art. 4(4)) elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van die gegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met de bedoeling met name diens beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen;

26 Targeted (Behavioural) Advertising

27 Grondslag? Gerechtvaardigd belang versus toestemming Targeted (Behavioural) Advertising Geen aparte bepaling Valt T(B)A onder reikwijdte artikel geautomatiseerde individuele beslissingen (art. 22)? De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft Soms, bijvoorbeeld Uitzonderingen: noodzakelijk voor sluiting of uitvoering van een overeenkomst of uitdrukkelijke toestemming.

28 Targeted (Behavioural) Advertising Uitstap: Tracking cookies

29 Targeted (Behavioural) Advertising Uitstap: Tracking cookies NL: rechtsvermoeden 11.7a vierde lid Tw Uitleg Autoriteit Persoonsgegevens

30 Targeted (Behavioural) Advertising Uitstap: Tracking cookies Uitleg Autoriteit Persoonsgegevens informatieplicht Soorten persoonsgegevens: bezochte web- pagina, IP-adres, cookie-inhoud, etc. Doeleinden: tonen van gerichte advertenties, het gebruik van sociale media, websitestatistieken, het opstellen van interesseprofielen, het tonen van aanbevelingen, marktanalyse, doelgroep-analyse en/of verbetering van de navigatie op uw website Categorieën derde partijen: advertentienetwerken, sociale media e.a. Bewaartermijn cookies: + 6 maanden problematisch

31 Targeted (Behavioural) Advertising Uitstap: Tracking cookies Uitleg Autoriteit Persoonsgegevens grondslag

32 Targeted (Behavioural) Advertising Toestemming Definitie (art. 4(11)) vrije specifieke, op informatie berustende en ondubbelzinnige wilsuiting waarmee de betrokkene, door middel van hetzij een verklaring hetzij een ondubbelzinnige actieve handeling, aanvaardt dat hem betreffende persoonsgegevens worden verwerkt

33 Targeted (Behavioural) Advertising Toestemming als grondslag dan art. 7 van toepassing: Verantwoordelijke bewijslast Bijzondere eisen bij schriftelijke verklaring Intrekken toestemming even eenvoudig als geven Vrijelijk?

34 Actieplan 1. Differentieer je marketingactiviteiten en bepaal daardoor welke regels van toepassing zijn Direct marketing (AVGB) Direct marketing per , sms, etc. of tel (AVGB & art TW) Profileren in het kader van direct marketing (AVGB) Targeted (behavioural) Advertising (AVGB & art. 11.7a Tw) 2. Stel de grondslag vast: gerechtvaardigd belang versus toestemming (& motiveer schriftelijk keuze)

35 Actieplan 3. Stel vast welke wijzigingen je moet doorvoeren aan: Gebruikte toestemmingsvragen (art. 7) Gebruikte opt-out mechanismen (art.19) Privacy policies/statements (art. 12,13,14)

36 Vooruitblik op de herziening van de e- privacy richtlijn

37 Achtergrond herziening e-privacy richtlijn e-privacy Richtlijn bevat spamverbod (artikel 13) en cookieregels (artikel 5 lid 3) In Nederland neergelegd in art en 11.7a Telecommunicatiewet (Tw) Europese Commissie: e-privacy Richtlijn moet op de schop! Want: AVGB heeft grote impact op e-privacy Richtlijn Technologische ontwikkelingen zoals targeted advertising, de grootschalige verwerking van locatiegegevens door allerlei app-partijen, en berichtendiensten via internet

38 Vorderingen tot september 2016 Internetconsultatie Commissie aan de hand van vragenlijst (gesloten per 6 juli 2016) Opinie gepubliceerd van WP29 (19 juli) Bevindingen van de consultatie gepubliceerd (4 augustus)

39 Respondenten internetconsultatie

40 Enkele voorgestelde wijzigingen WP29 Spamverbod Art. 13 e-privacyrichtlijn / Art Tw Reikwijdte technologieneutraal: alle vormen van ongewenste communicatie of het nu gaat om s, geluids- of videoberichten, behavioural advertising, fax-, sms- of app-berichten of andere communicatievormen gaat Bewijslast verzender: kopieën van de ten tijde van de toestemmingsvraag verstrekte informatie moeten worden bewaard Altijd en gratis een eenvoudige opt-out aanbieden

41 Enkele voorgestelde wijzigingen WP29 Toestemmingsvereiste cookies Art. 5(3) e-privacy Richtlijn / Art. 11.7a Tw Techniek neutraal: ook toestemming voor passieve tracking (zoals wifitracking) Nederlandse cookie-uitzonderingen in het bijzonder de uitzondering voor analytische cookies wordt ook (grofweg) Europees

42 Enkele voorgestelde wijzigingen WP29 Locatie- en verkeersgegevens Art. 6 en 9 van de e-privacyrichtlijn Nu: telecomaanbieders Maar: app-ontwikkelaars ook inzicht in reis- en communicatiepatronen Straks: van toepassing op app-ontwikkelaars? Toestemmingsvereiste, tenzij de gegevensverwerking noodzakelijk is om: de elektronische communicatie mogelijk te maken, een netwerk of dienst te beveiligen, of te kunnen factureren of elektronische transacties mogelijk te maken

43 Enkele voorgestelde wijzigingen WP29 Definitie toestemming Afstemmen op AVGB Take it or leave it (i.e. cookie walls) vrije toestemming Accept or deny mogelijkheid moet geboden worden op Tracking websites, apps, locatie waarbij bijzondere persoonsgegevens worden vrijgegeven Websites waarbij tracking plaatsvindt door onbepaalde partijen voor onbepaalde doelen Real time bidding Overheid gefinancierde websites Wanneer sprake is van Unequal balance of power Bundled consent. Toestemming moet granulair zijn. Intrekking toestemming: truly easy (via bijvoorbeeld de browser, DNT)

44 Meningen publiek / industrie verdeeld Over opt-out voor direct marketing: close to 90% of citizens, civil society and public authorities favour an opt-in regime whereas 73% of industry favour an opt-out regime Over take-it-or-leave-it toestemming: 77% of citizens and civil society and 70% of public authorities believe that information service providers should not have the right to prevent access to their services if users refuse the storing of identifiers, such as cookies, in their terminal equipment. Three quarters of industry on the other hand disagree with this statement

45 Blijf op de hoogte! Europese Commissie doet nader onderzoek naar bevindingen consultatie Rapport verwacht omstreeks herfst 2016

46 Vragen?

47 Vragen Nicole Wolters Ruckert