Profielopbouw

[orf]

Voor een website willen wij aan profilering van bezoekers en leden gaan doen. Technisch weet ik precies wat mogelijk is, maar juridisch (en wellicht ook moralistisch) weet ik dat niet helemaal.

Hoe wordt er tegenaan gekeken als een bezoeker getracked wordt (welke klikpaden, waar liggen de interesses, hoe wordt er geantwoord op een poll of enquête, etc) met behulp van cookies en IP adres, als dat later wordt samengevoegd met persoonsgegevens?

Een bezoeker klikt in 9 verschillende sessies door de website en wij bouwen een profiel op, de 10e keer maakt de bezoeker daadwerkelijk een profiel aan door zich te registreren en wij voegen de eerder verzamelde data samen tot één profiel.

De data wordt vervolgens gebruikt om nieuwsbrieven en direct marketing (brieven) meer af te stemmen op de interessegebieden die we verzameld hebben. De gegevens worden niet aan derden verstrekt en er is natuurlijk altijd een (dubbel) opt-in (bij het aanmaken van een profiel) en een opt-out mogelijkheid.

Wie weet de (gedrags)regels hiervoor en weet wat wel en niet mag? Verschilt het bijvoorbeeld ook nog of het hier gaat om niet commerciële partij zoals een stichting of goed doel?

[NMe]

Jij mag gewoon statistieken bijhouden van je gebruikers, daar gaat niemand bezwaar tegen maken. Ik denk dat je geen enkele site van een bepaalde grootte kan aanwijzen die dat soort profilering niet doet. Echter doen de meeste sites die ik ken dat wel via Google Analytics en dus via tracking cookies waarvoor in de nieuwe Telecomwet straks "ondubbelzinnig" toestemming moet worden gegeven, dus als een externe partij zoals GA gebruikt, hou dan in het achterhoofd dat mensen dit in de toekomst misschien gaan blokkeren en je statistieken daarmee uit balans trekken.

Doe je je tracking gewoon serverside, dan heb je nergens last van.

[orf]

Met GA is het niet mogelijk om individuele bezoekers te tracken. Je doet daarmee dus ook niet aan profiel opbouw, maar doet analyses op het totaal aantal bezoekers (al dan niet gesegmenteerd).

Ik maak natuurlijk het liefst gebruik van cookies om een bezoeker te identificeren en later te herkennen als het registratieproces is doorlopen.

Interessegebieden samen voegen met persoonsgegevens betekent dat je persoonsgegevens verwerkt. Ik ben dan ook vooral benieuwd of er een meldingsplicht is bij het CPB.

[HenkEisDS]

Cookies kunnen worden verwijderd, beter maak je dus een uniek profiel van de browser/plugins/resolutie/fonts etc met een soort van foutmarge. Zaken die je kunt gebruiken voor het opbouwen van een uniek profiel staan hier:
http://panopticlick.eff.org/

[RobIII]

HenkEisDS schreef op zaterdag 16 juli 2011 @ 18:33:
Cookies kunnen worden verwijderd, beter maak je dus een uniek profiel van de browser/plugins/resolutie/fonts etc met een soort van foutmarge. Zaken die je kunt gebruiken voor het opbouwen van een uniek profiel staan hier:
http://panopticlick.eff.org/

Heb je 't zelf al eens gebruikt op deze manier? Want 't is compleet onpraktisch. De theorie is leuk, in de praktijk ga je al nat bij een browserupdate, nieuw font of plugin en ga zo maar door. Het is net zo onbetrouwbaar als een cookie die verwijderd kan worden, alleen is dat laatste minder ambigu en daarbij scheelt het een browser die bij elke pageview staat te trippen omdat 'ie een dump aan 't bouwen is van alle meuk die 'ie kan gebruiken voor die fingerprint. Laat staan wat je bezoekers hiervan gaan denken.

[HenkEisDS]

Zo had ik er nog niet naar gekeken inderdaad. Leek mij wel een slimme methode. Maar is dit niet waar we met zijn allen naartoe gaan als cookies verboden worden?

[NMe]

orf schreef op zaterdag 16 juli 2011 @ 18:16:
Met GA is het niet mogelijk om individuele bezoekers te tracken. Je doet daarmee dus ook niet aan profiel opbouw, maar doet analyses op het totaal aantal bezoekers (al dan niet gesegmenteerd).

Profielopbouw binnen je eigen site is nu niet fundamenteel anders dan het gebruikelijke profileren door berichten aan gebruikers te koppelen, enz. Het enige verschil is dat het min of meer passief gebeurt. Als je sowieso al met persoonsgegevens omgaat (lijkt me wel, als je gebruikersprofielen hebt) dan hoef je verder ook niets aan te melden bij het CBP, of in elk geval niet meer dan je normaal ook zou doen voor die "gewone" profielen.

[samo]

Als je dit met het oog op ethiek bekijkt, lijkt het mij verstandig te kijken hoe je zelf data-mining ervaart als bezoeker. Ik kom zelf regelmatig in aanraking met de gevolgen van datamining. Bijvoorbeeld de targeted Bol-bannering met boeken uit mijn wishlist. Of mailings met producten in categoriën die ik recent heb bekeken. Of een mailtje "Je hebt deze-en-deze feature bekeken op onze site, misschien wil je zus-en-zo ook proberen".
Ik denk dat de lijn tussen toegevoegde waarde en just creepy erg dun is. Als gebruiker ben ik mij niet altijd actief bewust dat een klik resulteert in het uitbreiden van mijn profiel. Ik kan achteraf echter wel inzien dat het openen van de reviews van een boek geïnterpeteerd wordt als interesse en kan herleiden waarom een bepaalde targeted campagne bepaalde informatie gebruikt.
Ik denk echter wel dat het belangrijk is om de koppeling tussen de verzamelde data en de daaropvolgende handeling expliciet te maken. Ofwel: wordt pas echt persoonlijk als de persoon interesse expliciet heeft gemaakt. Bijvoorbeeld door lid te worden of een aankoop doen.
Als je wilt segemteren voor nieuwe klanten lijkt het mij - als bezoeker - prettig om op algemene kenmerken aangesproken te worden. Als ik bijvoorbeeld anoniem interesse heb getoond in een heren-spijkerbroek, kom dan met herenkleding en kom niet met spijkerbroeken in mijn (bekeken) maat. Voor mijn gevoel gaat dat laatste ver.

Hoe je om kan gaan met eerder verzamelde data: netjes zou zijn aan te geven dat je data hebt verzameld, de meerwaarde hiervan beschrijft, en aanbiedt deze te importeren bij het aanmaken van een profiel. Zo biedt je iemand de mogelijkheid het profiel te kickstarten maar ben je ook flexibel genoeg om iemand bewust te zijn over welke informatie geharvest wordt.

Maar hier probeer ik het vooral als bezoeker te bekijken die open staat voor het gebruiken van datamined-informatie.

[PowerFlower]

orf schreef op vrijdag 15 juli 2011 @ 13:21:
Voor een website willen wij aan profilering van bezoekers en leden gaan doen. Technisch weet ik precies wat mogelijk is, maar juridisch (en wellicht ook moralistisch) weet ik dat niet helemaal.

Weet je dat zeker?

Ik zie (in mijn werk) ontzettend veel demo's van profiling/targeting/segmenting, en heel veel plannen om dat te gaan doen, maar in de praktijk is het heel erg lastig om overzicht te houden van het precieze effect (wat krijgt gebruiker X nu precies te zien?) en bij te houden wie je hoe en waarom wil targeten. Het is kortom veel lastiger dan het lijkt, en de meeste bedrijven komen niet veel verder dan een beetje segmentatie.

De data wordt vervolgens gebruikt om nieuwsbrieven en direct marketing (brieven) meer af te stemmen op de interessegebieden die we verzameld hebben. De gegevens worden niet aan derden verstrekt en er is natuurlijk altijd een (dubbel) opt-in (bij het aanmaken van een profiel) en een opt-out mogelijkheid.

Wie weet de (gedrags)regels hiervoor en weet wat wel en niet mag? Verschilt het bijvoorbeeld ook nog of het hier gaat om niet commerciële partij zoals een stichting of goed doel?

Je mag in principe de verzamelde gegevens alleen gebruiken voor het doel waar de gebruiker toestemming voor heeft gegeven. D.w.z., een garage mag je een herinnering sturen voor de APK; maar ze mogen niet diezelfde gegevens gebruiken om je Viagra-reclame te sturen. Dat is wat gechargeerd voor de duidelijkheid, in werkelijkheid is er natuurlijk een groot grijs gebied (mogen ze je een aanbieding sturen voor een nieuwe auto, omdat jouw barrel bijna kapot is?).

Maar het anoniem verzamelen van gegevens, en die vervolgens koppelen aan een profiel zodra iemand zich registreert, wordt inderdaad al vrij snel creepy voor de gebruiker

[Boelie-Boelie]

orf schreef op vrijdag 15 juli 2011 @ 13:21:
Wie weet de (gedrags)regels hiervoor en weet wat wel en niet mag?

Er is sindskort nieuwe wetgeving over cookies, maar die blijkt erg onduidelijk. Hier de kijk van een internetjurist:
Puzzelen met de cookiewet: wat is het nou geworden?
Het komt er op neer dat je expliciet toestemming moet vragen voor profielopbouw. Er wordt niet gepraat over profit- of not-for-profit, maar er wordt bij privacyschending geen onderscheid gemaakt wie dat doet. De politie mag ook niet zomaar bijv. telecomgegevens opvragen.