Online marketing en AVG

[JT]

Ik ben mij aan het verdiepen in de AVG en vraag mij af waar een partij toe verplicht is als deze online marketing uitvoert voor een klant.

U moet als verwerkingsverantwoordelijke een FG aanstellen wanneer u hoofdzakelijk belast bent met verwerkingen die bestaan uit het op regelmatige basis stelselmatig observeren van betrokkenen op grote schaal. Hoofdzakelijk belast heeft betrekking op uw kernactiviteiten.

Over het algemeen is er sprake van regelmatige en stelselmatige observatie wanneer u betrokkenen over een bepaalde periode volgt en persoonsgegevens over hen vastlegt, bijvoorbeeld om profielen van die betrokkenen op te stellen.

De Verordening laat in het midden wat een verwerking op grote schaal is. U moet dit zelf bepalen en deze beoordeling is afhankelijk van de concrete situatie. Of er sprake is van verwerking op grote schaal kunt u vaststellen aan de hand van (onder andere) de volgende criteria:
• het aantal betrokkenen (hetzij als een specifiek aantal, hetzij als deel van de relevante populatie);
• de hoeveelheid gegevens die u verwerkt;
• de duur of het permanente karakter van de gegevensverwerking;
• de geografische omvang van de verwerking.

Bovenstaande komt uit de handleiding AVG van de AP en gaat over de beoordeling van de verplichting tot het aanstellen van een Functionaris Gegevensbescherming (FG). Voor iedereen die niet precies weet wat dat is, dat is niet zomaar iemand die wat van de AVG weet maar iemand die allerlei rechten en plichten heeft, het is een formele titel. Als ik dit interpreteer dan ben ik geneigd om te stellen dat je met online marketing, waarbij je mensen trackt, je een FG moet hebben. Potentieel is het bereik duizenden mensen, dat weet je niet van tevoren. Geografisch kan het zeer verspreid zijn en je probeert een profiel van een persoon te vormen. De verwerking is zeker niet incidenteel. Naar mijn idee is de verplichting voor een FG voor ondernemers die deze dienst aanbieden zeker verdedigbaar. Maar er zijn bijvoorbeeld ook online marketing ZZP'ers. Moeten die dan ook een FG aanstellen?

[F_J_K]

Er is marketing en marketing. Als je je richt op een heel beperkte groep mensen, dan misschien niet nodig. Maar als je (tien)duizenden of meer mensen/browsers/ID's/whatever target dan is m.i. een FG-positie wel nodig ja.

Online marketing ZZP'er: vraag is of die zelf als verantwoordelijke werken, of dat ze als 'onderaannemer' en verwerker werken. Dan moet de opdrachtgever een FG hebben - en moet die met de ZZP'er goede afspraken hebben over wat de ZZP'er mag doen, hoe beveiligd wordt, etc.

[JT]

F_J_K schreef op vrijdag 21 februari 2020 @ 15:31:
Er is marketing en marketing. Als je je richt op een heel beperkte groep mensen, dan misschien niet nodig. Maar als je (tien)duizenden of meer mensen/browsers/ID's/whatever target dan is m.i. een FG-positie wel nodig ja.

Gaat het om de intentie? Of om de feitelijke cijfers? Het eerste kun je op voorhand vaststellen, de tweede niet. Stel je de FG dan aan op basis van je intentie of op basis van feitelijke cijfers? En in het laatste geval, moet je dan anticiperen op/rekening houden met mogelijke feitelijke cijfers of beslis je achteraf op basis van ervaring voor een volgende keer?

Online marketing ZZP'er: vraag is of die zelf als verantwoordelijke werken, of dat ze als 'onderaannemer' en verwerker werken. Dan moet de opdrachtgever een FG hebben - en moet die met de ZZP'er goede afspraken hebben over wat de ZZP'er mag doen, hoe beveiligd wordt, etc.

Ook verwerkers hebben soms een FG nodig, uit de handleiding AVG van de AP/Rijksoverheid, hoofdstuk 6 paragraaf 6, pagina 70:

Ook verwerkers dienen onder omstandigheden een FG aan te stellen. De vereisten die aan die FG worden gesteld, alsook diens taken en positie in de organisatie zijn gelijk aan de vereisten die de Verordening aan een FG bij verwerkingsverantwoordelijken stelt. Zie hiervoor hoofdstuk 5

[F_J_K]

Natuurlijk hebben verwerkers op een gegeven moment een FG nodig. Wees dan zelfstandig genoeg incl. dus alle denk-tijd en -vermogen wat minimaal nodig is om de privacy van je 'product' te garanderen. Dus zorg dat je netjes werkt als verantwoordelijke

Zo niet: als je ZZP bent en niet de capaciteit hebt verantwoordelijk te zijn, maar wel gegevens van (tien)duizenden mensen verwerkt: zorg dat je alleen als verwerker werkt en dus alleen doen wat je schriftelijk is opgedragen en meer niet.

[kodak]

Misschien is de vraag makkelijker te beantwoorden door ook te bedenken wat de intenties van de wetgever zijn dat de wetgeving bestaat. Zeker als vragen over interpretatie de randen van wat minimaal nodig zou zijn gaan raken.