[GDPR] revoke.com - hoe gaan we ermee om?

[Sando]

Wij [insert bedrijf] krijgen veel verwijderverzoeken van revoke.com in opdracht van anderen.

In de body van de emails van revoke.com staat veel legale tekst, de naam van de persoon waar het om gaat, en een link. Je moet via de link naar de website van revoke.com om meer details te zien die je nodig hebt om het verzoek te honoreren.

Dit is veel werk, vooral als je je bedenkt dat nu toe geen van de personen in de verzoeken in ons systeem bestaan.

Ze bieden for business een "essential" en een "plus" account aan om GDPR requests te kunnen automatiseren (en dan moet je vast je databases ergens aan hangen). Vreemd genoeg zijn beide accounts gratis, maar ik vermoed dat het meest nuttige account op een gegeven moment geld gaat kosten. Als het echt moet, kunnen we maar beter een vorm van automatisering inbouwen met deze partij. Maar het voelt een beetje fishy.

Waarom zien we zoveel hoax requests? Is dit spam, of kunnen consumenten een soort carte-blanche verzoek doen (à la Unroll.me, Unlistr en Unsubscriber), waarna revoke.com duizend bedrijven benadert, ook al hebben ze niks met de persoon te maken?

Mag dat zomaar, een GDPR verwijderverzoek doen, maar dan cruciale informatie verbergen achter een klik (of zelfs een account bij een service als revoke.com) zodat we niet de inkomende mails direct automatisch kunnen parsen?

Mogen we de bal weer bij revoke neerleggen door een auto-responder voor hen in te stellen met de instructie: "Bedankt voor uw verzoek. Als u een verwijderverzoek wilt doen kunt u dit formulier invullen [link]"?

[Jester-NL]

Ik vraag me af waarom iemand zijn gegevens zou willen delen met [partij X] om zijn gegevens bij [partij Y] en [partij Z] te laten verwijderen...

[Jester-NL]

Ik zit nu even op hun site te kijken... interessant business-model: Download een app op je telefoon (ik ga het niet proberen, maar ik ben eigenlijk best nieuwsgierig wat die app dan van me wil weten).
Vervolgens geef je via de app aan dat je een GDPR-opschoonrequest wilt doen. En dat geeft Revoke dan (via mail of API) door aan tienduizenden bedrijven die zij in hun database hebben staan.

Ik versta daar dat ze dus vrolijk bedrijven in Polen en Argentinië zullen zijn. Persoonlijk lijkt dit me een mooi staaltje datavergaring, in het kader van opruiming. Zeker omdat het adres op de site in het kleinst mogelijk lettertype is geplaatst, en dat adres een eerste verdieping met meerdere bedrijven in een straatje met woonhuizen op Jersey is.

Ik zou ze inderdaad vriendelijk wijzen op een formulier dat ze mogen invullen

[Itrme]

@Jester-NL zo te zien willen ze van alles van je weten:
- volledige naam
- geboortedatum
- email
- telefoonnummer
- pasfoto
- kopie geldig ID
Ik kan me eigenlijk niet voorstellen, dat een privacy bewust persoon deze site/app zou gebruiken

[DJMaze]

Wel grappig om te zien welke bedrijven op 1st Floor, Richmond House, 8 David Place, St Helier, JE2 4TD zitten.

[Killjoy]

Itrme schreef op zaterdag 14 maart 2020 @ 10:09:
@Jester-NL zo te zien willen ze van alles van je weten:
- volledige naam
- geboortedatum
- email
- telefoonnummer
- pasfoto
- kopie geldig ID
Ik kan me eigenlijk niet voorstellen, dat een privacy bewust persoon deze site/app zou gebruiken

Dat is dan sowieso al een overtreding van de AVG. Want een kopie id mag je zeker niet zomaar verwerken. Er moet doelbinding zijn en louter de mogelijkheid dat de kopie id nodig zou kunnen zijn, is niet voldoende. Interessant businessmodel...

Verder gekeken. Hun werkwijze lijkt ertoe te leiden dat gegevens van gebruikers van de dienst dus ongericht aan 10.000 organisaties beschikbaar worden gesteld, zonder dat er een vermoeden is dat de gebruiker daar bekend is. Ook niet echt prettig.

[ Voor 17% gewijzigd door Killjoy op 14-03-2020 13:53 ]

[Itrme]

@Killjoy als doel geven ze aan dat het nodig is om te bevestigen dat jij bent wie je zegt dat je bent.
Maar laten we even eerlijk zijn. Iemand die serieus bezig is met privacy, gaat niet een bedrijf inschakelen, zijn persoonlijke gegevens verstrekken, zodat dat bedrijf ongericht andere bedrijven kan mailen met naam/email etc omdat er een kans is dat ze je gegevens hebben

[F_J_K]

Sando schreef op vrijdag 13 maart 2020 @ 15:27:
Dit is veel werk, vooral als je je bedenkt dat nu toe geen van de personen in de verzoeken in ons systeem bestaan.

Dat lijkt me een goede reden om ze als spam oid te bestempelen en idd een autoresponder te plaatsen (en dus verder niet te kijken). Documenteer dat wel even goed, voor als je er later gedoe mee krijgt. (Dus niet de persoonsgegevens bewaren van de onterechte verzoeken, maar het feit constateren. Ik neem aan dat je de verzoeken verwijderd na constatering )