Verwijderen tracking-data

[Floort]

Naar aanleiding van de discussie op een andere plek in het forum en op verzoek van de Tweakers crew zal ik één van mijn vragen hier herhalen en nader onderbouwen: Gaat Tweakers zich inspannen om alle onrechtmatig verzamelde en verder verwerkte persoonsgegevens te (laten) verwijderen?

Ik zal het vrij stevig formuleren omdat het niet zozeer gaat over dat ik wil dat Tweakers mijn gegevens verwijderd, maar omdat ik van mening ben dat Tweakers alle verzamelde gegevens moet verwijderen. Ik vraag nu expliciet niet aan Tweakers om mijn gegevens te verwijderen. Iedereen kan dat inividueel vragen en voor zover ik me kan voorstellen is daar voor de advertentie-gerelateerde tracking geen enkele weigeringsgrond voor (art. 21(3) AVG). Maar dat zou voor Tweakers voor elk verzoek een enorme klus zijn om bij alle trackers langs te gaan die ooit hebben getracked op de site en er zitten elke keer een wettelijk termijn aan vast waarbinnen het geregeld zou moeten worden. Veel gedoe dus en veel makkelijker om het in één keer te doen en dat is bovendien ook verplicht.

In het kort is zit het als volgt: De gegevens zijn door de verschillende trackers onrechtmatig verzameld omdat de toestemmingsvraag van Tweakers niet aan de wettelijke eisen voldoet en dus niet tot rechtmatig verkregen toestemming kan leiden. Ten tweede is Tweakers gezamelijk verwerkingsverantwoordelijke met alle externe trackingpartijen die de bezoekers op de site van Tweakers volgen. Een uitzondering daarop zijn de trackers waar een verwerkersovereenkomst mee getekend is door Tweakers, maar daar kom ik met een andere argumentatie tot dezelfde conclusie. Tweakers moet er voor zorgen dat er afspraken zijn over o.a. het bewaken van de rechtmatigheid van de verwerking van de verzamelde gegevens en deze afspraken ook communiceren aan de betrokkenen (Art. 26(2)). Het is voor Tweakers waarschijnlijk erg ongemakkelijk, maar uit bijvoorbeeld de Fashion ID uitspraak, maar ook meerdere onderzoeksrapporten van de AP blijkt dat in een dergelijke context de websitehouder (Tweakers) en alle trackers/adverteerders gezamelijke verwerkingsverantwoordelijken zijn onder de AVG. Als er geen grondslag blijkt te zijn is Tweakers dus verantwoordelijk voor de afspraken dat de persoonsgegevens ook verwijderd worden en die afspraken moeten natuurlijk (net als de AVG zelf) nageleefd worden.

Waarom zeg ik dat de toestemming voor tracking niet rechtmatig verkregen is? Ik baseer me dan op de toestemmingsvraag zoals die nu is. Ik geloof niet dat de situatie in het verleden meer compliant is geweest. Maar dat is een aanname waar ik graag op gecorrigeerd wordt. Toestemming onder de AVG is best ingewikkeld. Een hele fijne paper heeft dat uitgewerkt in 22 eisen. Een aantal van de eisen waarvan ik denk dat Tweakers in ieder geval niet voldoen zal ik hieronder uitwerken. Dat is dus geen volledig analyse, maar er moet aan alle eisen voldaan worden om tot rechtmatige toestemming te komen. Voor de duidelijkheid zal ik de nummering uit de paper hanteren van R1 t/m R22. De paper zelf bevat aanvullende uitwerkingen en referenties.

Volgnummer	Omschrijving	Uitleg	Uitleg nieuwe situatie
R4	Weigering zonder nadelige gevolgen	Hier verschillen meningen over. Ik ben het met de schrijvers van de paper eens. Ik weet dat Tweakers vind dat het wel mag.	Mening blijven verschillen hierover
R5	Verchillende toestemming per doel	Verschillende derde partijen die gebruikers volgen omschrijven meerdere doelen waarvoor ze verzamelde persoonsgegevens verwerken. Alleen Facebook al omschrijft verschillende doelen zoals het tonen van advertenties, het meten van de effectiviteit van advertenties en het doen van onderzoek om Facebooks producten te verbeteren. Het is voor bezoekers niet mogelijk om per doel toestemming te geven.	Er is nog steeds geen mogelijkheid om per doel toestemming te geven. Er zou een inventarisatie moeten komen van alle specifieke verwerkingsdoelen waarvoor alle partijen persoonsgegevens verwerken en per doel moet wel of geen toestemming gegeven kunnen worden.
R12	Configureerbare banner	Dit is grotendeels een dubbeling van het vorige punt, maar alleen een "alles accepteren" optie wordt niet als compliant gezien.	Nog steeds niet relevant als ook niet aan R5 wordt voldaan.
R13	Gelijkwaardige keuze	De opties voor het geven en weigeren van de toestemming moeten gelijkwaardig worden gepresenteerd. Dus geen nudging, maar een tracking muur voldoet hier ook niet aan.	Volgens mij worden de twee keuzes die er zijn prima gelijkwaardig gepresenteerd.
R20	toestemmingsmuur	Volgens overweging 32 mag een toestemmingsvraag niet onnodig verstorend zijn voor het gebruik van van de dienst. De toestemmingsvraag van Tweakers blokkeert het gebruik van de site volledig.	Ik kan de site nog steeds niet gebruiken zonder een keuze te maken.
R21	Intrekken van toestemming	Ik heb niet kunnen vinden hoe ik toestemming kan intrekken voor tracking op de Tweakers-site. Volgens artikel 7(3) van de AVG moet het intrekken van toestemming zelfs net zo makkelijk zijn als het geven daarvan.	In tegenstelling tot één duidelijk knop om toestemming te geven die fel gekleurd is en midden in het scherm staat, kan ik het intrekken van de toestemming als volgt terugvinden: Scroll naar de onderkant van de frontpage, klik op "Cookies", scroll dan naar onderen en klik op de link aan het eind van de op twee na laatste paragraaf "deze pagina", klik dan op de blauwe knop "Toestemming intrekken". Ik denk niet dat ik iemand wijs kan maken dat dat intrekken net zo makkelijk is als het geven van de toestemming. Ik ben benieuwd wat er gebeurt als je iemand voor het eerst voor de site neerzet, de opdracht geeft om toestemming te geven voor cookies en de tijd bijhoud met een stopwatch, en vervolgens vraag om de toestemming in te trekken. Hoeveel langer zou het intrekken duren als diegene niet weet waar hij/zij moet zijn? Een factor tien tot honderd langer zou me niets verbazen.
R22	Intrekken van toestemming ook communiceren aan trackers	Na het intrekken van de toestemming zal in de meeste gevallen (zeker bij advertentie-cookies) ook de grondslag vervallen voor het verwerken van de al verzamelde gegevens. Het intrekken van de toestemming moet dus gecommuniceerd worden aan alle partijen die de bezoekers op Tweakers getracked hebben. Dit gebeurd niet op Tweakers, mede omdat het niet eens mogelijk is om de toestemming in te trekken.	Ik heb geteld naar hoeveel partijen het intrekken van toestemming wordt gecommunceerd: 1, Tweakers. Terwijl er door een flink aantal externe partijen tracking heeft plaatsgevonden in mijn paar pagina-bezoeken daarvoor. Het intrekken van toestemming wordt dus niet naar alle trackers gecommuniceerd. Daarmee kan ik dus wel aangeven dat ik mijn toestemming intrek, maar er wordt niet volledig gevolg aan gegeven. Ik kan daarmee dus niet echt mijn toestemming intrekken.

Hoewel het duidelijk is dat Tweakers haar best doet om de site zo goed mogelijk, met lastige randvoorwaarden, in te richten is het mij ook duidelijk dat de persoonsgegevens die door alle advertentiepartijen op de site verzameld zijn niet rechtmatig zijn verzameld.

Ik ben bereid om te assisteren bij de verzoeken om dit voor elkaar te (proberen) te krijgen. Ik weet dat het waarschijnlijk niet realistisch is dat Tweakers deze onrechtmatigheden ook kan (laten) herstellen. Maar een serieuze poging en open communicatie over wat wel en niet lukt zou ik ook erg op prijs stellen.

P.S.
Hoewel ik stevige formuleringen gebruik bedoel ik dit niet persé verwijtend richting Tweakers. Hoewel het volkomen redelijk is om te stellen dat je mag verwachten dat Tweakers zich aan de wet houd wil ik daarbij benadrukken dat Tweakers zich op belangrijke punten zichtbaar meer inspant dan heel veel andere websites. Wat mij betreft gaat dit puur over de vraag hoe Tweakers nu vooruit gaat en niet over hoe dit zo gekomen is of waarom het niet eerder is opgelost. Laat het gerust weten als ik er compleet naast zit in mijn redenering hierboven, maar ik zou het op prijs stellen als een eventuele discussie zich vooral richt op hoe het door Tweakers opgelost kan worden.

Edit: Op dinsdag 6 april heb ik de tabel uitgebreid met een vierde kolom om ook de tekortkomingen van de nieuwe cookiemuur te omschrijven.

[Voor 14% gewijzigd door Floort op 07-04-2021 10:15. Reden: Update na nieuwe cookiemuur]

[crisp]

Hey Floor, dank je voor je uitgebreide onderbouwing Je begrijpt dat dit iets is wat we in samenwerking met onze legal afdeling goed zullen moeten bekijken. We gaan dit in gang zetten en zullen dat tzt weer terugkoppelen.

Ondertussen tag ik @chengbondkwok en @Bart Zoetmulder ook even

[Floort]

Hey Crisp, daar ging ik al vanuit. Laat de juristen vooral ook hier meepraten. Als ze kunnen beginnen met het delen van de afspraken (voor de verwerking van persoonsgegevens, niet de financiële afspraken enzo) met de gezamenlijke verwerkingsveranwoordelijken (verplicht onder art. 26(2)) dan kan ik alvast meedenken over hoe het het beste geëscaleerd kan worden naar de verschillende trackers.

[sypie]

crisp schreef op vrijdag 19 maart 2021 @ 07:49:
…en @Bart Zoethout ook even

Bedoel je @Bart Zoetmulder ?

[Voor 43% gewijzigd door sypie op 19-03-2021 09:06]

[crisp]

sypie schreef op vrijdag 19 maart 2021 @ 09:06:
[...]

Bedoel je @Bart Zoetmulder ?

scherp, thanks!

[jelle.]

We hebben deze informatie doorgezet naar onze juridische afdeling en onze juristen hebben hiervan kennis genomen. Er zal geen individuele terugkoppeling of discussie hierop volgen omdat onze juridische afdeling dat alleen doet met daarvoor aangewezen personen of partijen zoals AP. Wel kunnen we kort ingaan op de eisen die jij hebt uiteengezet:

• R4, R5, R12, R13, R20: aan deze eisen wordt voldaan in de aangepaste cookiewall (zoals verder toegelicht in We passen de cookiewall aan en maken abo's trackingvrij).
• R21: dit hebben we onderzocht en dit zal geïmplementeerd worden op de cookies-pagina.
• R22: het standpunt van onze juridische afdeling is dat deze gegevens niet onrechtmatig verwerkt zijn. Individuele gebruikers kunnen een verzoek voor het opvragen of verwijderen van persoonsgegevens indienen via https://consumentenrecht.dpgmedia.net/nl.

Nogmaals dank voor je uitvoerige feedback en we gaan ervan uit je vraag hiermee te hebben beantwoord.

[Floort]

Bedankt Jelle,

Bedankt voor het laten uitzoeken in ieder geval. Inhoudelijk ben ik het er totaal niet mee eens. Nog los van de interpretatie op individuele punten: een verbetering in de toekomst maakt "toestemming" die in het verleden is verkregen niet met terugwerkende kracht rechtmatig. Dat was juist waarom ik deze vraag op deze manier heb gesteld. Maar het is aan DPG Media om daar een eigen standpunt over in te nemen. De vraag of jullie de gegevens willen laten verwijderen is in ieder geval duidelijk beantwoord. Ik zal een individuele vraag indienen voor mijn eigen gegevens.

[Floort]

Bedankt voor uw aanvraag!
Uw formulier is in goede orde ontvangen. Wanneer alle gegevens correct zijn ingevuld zullen wij uw aanvraag binnen 30 werkdagen beantwoorden.

Wij wensen u een fijne dag.
Met vriendelijke groeten,

DPG Media

Alvast wat feedback op het formulier om gegevens te laten verwijderen. Het verzoek moet zonder onnodige vertraging en in ieder geval binnen een maand worden afgehandeld. 30 werkdagen is ruimschoots langer dan een maand.

[Floort]

Geachte heer/mevrouw,


U heeft via ons contactformulier een verzoek verwijdering consumentenrechten voor Tweakers ingediend. Wij willen u er op wijzen dat wij bij een verwijderverzoek het gehele account zullen verwijderen. Uit uw toelichting lijkt dit niet de bedoeling. U geeft immers aan alle tracking-gegevens te willen verwijderen. Waarschijnlijk heeft u het over cookies. U kunt deze zelf verwijderen van uw computer.


Indien u toch wilt verwijderen wijzen wij u op het volgende. Wij anonimiseren uw account en verwijderen geen posts. Als u nog iets wilt verwijderen, dan kunt u dat alleen doen als uw account nog niet is geanonimiseerd.


Wij willen u dan ook graag in de gelegenheid stellen dat alsnog te doen, alvorens wij het account anonimiseren.


Wij vernemen graag van u wanneer en wat wij voor u mogen doen.


Indien wij binnen een week geen reactie hebben ontvangen, dan zullen wij uw verzoek als niet ingediend beschouwen.


Wij zien uw reactie graag tegemoet.

Mijn zorgen om de 30 werkdagen waren wat voorbarig, maar de eerste reactie geeft weinig hoop. Ik krijg het idee dat zelfs op verzoek de tracking-gegevens niet verwijderd gaan worden.

[Floort]

Geachte heer/mevrouw,


Bedankt voor uw bericht.

Wij kunnen via een verwijderverzoek de gegevens verwijderen die met onze cookies zijn geplaatst. Voor wat betreft de gegevens die verzameld worden door cookies van derde partijen kan een verwijderverzoek worden ingediend bij die betreffende partij. Voor meer informatie hierover verwijzen we u graag naar: https://www.dpgmedia.nl/cookies onder het kopje: Cookies om advertenties te kunnen tonen.

Wij anonimiseren uw account en verwijderen geen posts. Als u nog iets wilt verwijderen, dan kunt u dat alleen doen als uw account nog niet is geanonimiseerd.

Wij willen u dan ook graag in de gelegenheid stellen dat alsnog te doen, alvorens wij het account anonimiseren.

Wij vernemen graag van u wanneer wij dit voor u mogen doen.

Indien wij binnen een week geen reactie hebben ontvangen, dan zullen wij uw verzoek als niet ingediend beschouwen.

Wij zien uw reactie graag tegemoet.

Het lijkt erop dat DPG Media niet snapt dat ik mijn verzoek om gegevens te verwijderen conform artikel 26 lid 3 van de AVG bij elk van de gezamenlijke verwerkingsveranwoordelijken kan indienen. Ik heb ze ook nogmaals er op gewezen dat ik mijn Tweakers account niet kwijt wil raken. Als dit maar goed gaat!

[Floort]

Geachte heer/mevrouw,


Bedankt voor uw bericht. Zoals eerder aangegeven kunnen wij via een verwijderverzoek de gegevens verwijderen die met onze cookies zijn geplaatst. Voor wat betreft de gegevens die verzameld worden door cookies van derde partijen kan een verwijderverzoek worden ingediend bij die betreffende partij. U kunt dit ook vinden op onze pagina dpgmedia.nl/cookies.

Als wij uw verzoek in behandeling nemen is het niet mogelijk uw Tweakers account te behouden. Wij anonimiseren uw account en verwijderen geen posts. Als u nog iets wilt verwijderen, dan kunt u dat alleen doen als uw account nog niet is geanonimiseerd.

Indien wij binnen een week geen reactie hebben ontvangen, dan zullen wij uw verzoek als niet ingediend beschouwen.

Wij zien uw reactie graag tegemoet.


Met vriendelijke groet,

Dit lijkt vrij definitief een weigering te zijn zonder dat ingegaan wordt op een formele weigeringsgrond. Ik heb aangegeven dat DPG artikel 26(3) over het hoofd ziet en aangeboden om de EDBP guidelines 07/2020 uit te leggen en mijn telefoonnummer gegeven om dit te bespreken. Ik heb ook aangegeven dat als DPG verder blijft weigeren ik graag een formele weigeringsgrond wil horen.

Ik leg met alle plezier hier, of via andere kanalen, in detail uit hoe het zit. Maar ook het derde punt dat @jelle. hierboven heeft genoemd (doorgegeven door de juridische afdeling, geen kritiek op Jelle) klopt dus niet. Ik zal de opvolging van de Data Protection Office die ik nog krijg hier ook delen, maar ik heb nu herhaaldelijk hetzelfde antwoord gekregen en verwacht geen verandering meer.

Om eerlijk te zijn had ik een antwoord verwacht in de richting van: "Het is erg ingewikkeld om eraan te voldoen, maar we zijn bezig met verbeteringen x, y en z zodat we het op termijn wel netjes kunnen doen." Niet optimaal, maar wel realistisch. Nu hoop ik niet dat de juridische afdeling van DPG echt meent wat ze schrijven, want dan voorzie ik ook in de toekomst nog wel compliance issues.

[Anoniem: 235591]

Ik wil dus mijn gehele account verwijden. Alles erop en eraan. Het is prima als je een paar keer een post gemaakt hebt maar zelfs al zou Tweakers mijn account anonimiseren dan nog zit er zoveel info in de reacties dat het naar mij toe kan leiden.

Tweakers/DPG gaat geen kant uit. Zoveel is duidelijk. Ik heb dan het vermoeden dat er weinig anders opzit dan mijn reacties met de hand één voor één te verwijderen.

[DiedX]

Anoniem: 235591 schreef op zondag 4 april 2021 @ 13:28:
Ik wil dus mijn gehele account verwijden. Alles erop en eraan. Het is prima als je een paar keer een post gemaakt hebt maar zelfs al zou Tweakers mijn account anonimiseren dan nog zit er zoveel info in de reacties dat het naar mij toe kan leiden.

Tweakers/DPG gaat geen kant uit. Zoveel is duidelijk. Ik heb dan het vermoeden dat er weinig anders opzit dan mijn reacties met de hand één voor één te verwijderen.

Overigens: als ik mijn cursus AVG goed heb begrepen zijn ze niet verplicht om aan alle verzoeken ongelimiteerd mee te werken. En on a complete different sidenote: ik ga je missen.

[sypie]

Anoniem: 235591 schreef op zondag 4 april 2021 @ 13:28:
… mijn reacties met de hand één voor één te verwijderen.

Mochten er quotes zijn van jouw berichten dan heb je al een probleem. Het bericht kun je leeg maken, de quotes blijven staan.

jelle. schreef op donderdag 25 maart 2021 @ 11:14:
R4, R5, R12, R13, R20: aan deze eisen wordt voldaan in de aangepaste cookiewall (zoals verder toegelicht in We passen de cookiewall aan en maken abo's trackingvrij).

Het gaat niet om data die in onder de nieuwe cookiewall vergaard wordt, het gaat om date die onder de oude omstandigheden vergaard werd. Die zal verwijderd moeten worden zoals @Floort stelt in zijn openingspost. Het is een kwestie van lezen en begrijpen wat je wilt begrijpen.

[spone]

sypie schreef op zondag 4 april 2021 @ 13:38:
[...]
Mochten er quotes zijn van jouw berichten dan heb je al een probleem. Het bericht kun je leeg maken, de quotes blijven staan.

Ik meen mij te herinneren dat ook de username binnen de quotes geanonimiseerd wordt. Enige wat dan overblijft is de informatie die je zelf in de posts hebt gezet die tot specifiek jouzelf herleidbaar zijn (en wat daarvan gequote is).

Uit de standpunten en reacties wordt wel duidelijk (is geen waardeoordeel) dat het proces binnen tweakers maar in grotere mate DPG niet goed uitlijnt op de AVG om met dit soort verzoeken om te gaan. En meestal betekent dat een hoop extra werk, en dus moeilijk uitvoerbaar, dus geen zin in, als ik naar mijn persoonlijke ervaring kijk met organisaties die iets buiten een proces moeten doen

[Voor 30% gewijzigd door spone op 04-04-2021 13:48]

[crisp]

sypie schreef op zondag 4 april 2021 @ 13:38:
[...]

Mochten er quotes zijn van jouw berichten dan heb je al een probleem. Het bericht kun je leeg maken, de quotes blijven staan.

De reden daarvoor is meer technisch van aard. Het is simpelweg niet triviaal om dat te realiseren. Het staat overigens wel op onze to-do om daar iets op te gaan verzinnen, maar het zal nooit een 100% oplossing worden.

Overigens is het zelf weghalen van posts absoluut niet wenselijk en daar zullen we dan ook tegen optreden.

[Voor 10% gewijzigd door crisp op 04-04-2021 13:46]

[Anoniem: 235591]

DiedX schreef op zondag 4 april 2021 @ 13:38:
[...]

Overigens: als ik mijn cursus AVG goed heb begrepen zijn ze niet verplicht om aan alle verzoeken ongelimiteerd mee te werken. En on a complete different sidenote: ik ga je missen.

Ik zal ook zeker mensen gaan missen maar voor het daadwerkelijk zover is... Het liefste wel. Tweakers is in de loop der jaren niet bepaald leuker geworden. Dat heeft verschillende oorzaken, en ook ik ben op sommige vlakken niet altijd even aardig. Maar privacy is wel een dingetje en dat speelt hier al heel erg lang. Ik kom overigens wel graag op het forum in bepaalde topics.

Dit topic is afgeleid van een ander topic. Daarin heb ik al eens geopperd om bepaalde onderdelen van Tweakers te scheiden. Komt de privacy ten goede en de inkomsten waarschijnlijk ook. Ben best bereid te betalen voor een onderdeel maar dan wel dat mijn privacy gewaarborgd is.

Voor nu zit er niet anders op dan te blijven al zou ik graag met al mijn tig duizend reacties vertrokken zijn. Misschien moet ik ze maar eens langslopen en alle privacygevoelige teksten eruit halen.

[Anoniem: 235591]

sypie schreef op zondag 4 april 2021 @ 13:38:
[...]

Mochten er quotes zijn van jouw berichten dan heb je al een probleem. Het bericht kun je leeg maken, de quotes blijven staan.


[...]

Het gaat niet om data die in onder de nieuwe cookiewall vergaard wordt, het gaat om date die onder de oude omstandigheden vergaard werd. Die zal verwijderd moeten worden zoals @Floort stelt in zijn openingspost. Het is een kwestie van lezen en begrijpen wat je wilt begrijpen.

Quotes blijven staan. Dat is correct. En daarbij staat er al zo veel info dat het anonimiseren geen enkele zin heeft. Alles zal altijd naar mij toe leiden. Maar dat is een wijze les geweest.

[Anoniem: 235591]

crisp schreef op zondag 4 april 2021 @ 13:44:
[...]

De reden daarvoor is meer technisch van aard. Het is simpelweg niet triviaal om dat te realiseren. Het staat overigens wel op onze to-do om daar iets op te gaan verzinnen, maar het zal nooit een 100% oplossing worden.

Overigens is het zelf weghalen van posts absoluut niet wenselijk en daar zullen we dan ook tegen optreden.

Jij treedt maar op waarde vriend. Juridisch gezien is dat vrij makkelijk uit te zoeken welke rechten ik daarin heb. Zorg er eerst maar voor dat mijn privacy gewaarborgd is en dat het afgelopen is dat de wet overtreden wordt. Dan, pas dan praten we verder.

[Floort]

Voor de duidelijkheid, mij verzoek gaat expliciet niet over zaken zoals mijn forumposts of andere accountgerelateerde gegevens. Ik kan me rechtmatige weigeringsgronden voor het verwijderen van sommige content voorstellen en er zijn technische redenen die daar grotendeels mee overlappen, zoals citaten in forumposts.

Mijn verzoek gaat over de trackingdata die door derde partijen (gezamenlijke verwerkingsveranwoordelijken met DPG Media) is en wordt verzameld tijdens het bezoek van de Tweakers website. Daar zijn diezelfde weigeringsgronden niet op van toepassing. Maar ik heb tot nu toe ook nog geen formele weigering gehad. Ik heb slechts geobserveerd dat de privacy office van DPG lijkt te weigeren om mijn verzoek af te handelen.

Voor zover ik kan inschatten heeft DPG dus voor de account-data in ieder geval als ik het oppervlakkig bekijk dus een goed punt. Voor wat betreft de tracking data heb ik nog geen valide onderbouwing gezien voor het standpunt van DPG. Ik stel voor om de twee issues gescheiden te behandelen.

Edit: Ik moet ook mijn twee verzoeken duidelijker onderscheiden. Mijn eerste verzoek is of DPG haar eigen verantwoordelijkheid voor het verwijderen van de gegevens neemt. Daarin spreekt DPG vrijwel zonder onderbouwing mij standpunt tegen. Mijn tweede verzoek op aanraden van de juridische afdeling van DPG lijkt de juridische afdeling van DPG niet af te handelen. Maar hoewel de inhoud erg lijkt op een weigering is mijn verzoek slechts onredelijk tegengewerkt en nog niet geweigerd en de maximale wettelijke termijn van een maand (geen 30 werkdagen!) is nog niet verstreken.

[Voor 21% gewijzigd door Floort op 04-04-2021 14:15]

[jelle.]

sypie schreef op zondag 4 april 2021 @ 13:38:
Het gaat niet om data die in onder de nieuwe cookiewall vergaard wordt, het gaat om date die onder de oude omstandigheden vergaard werd. Die zal verwijderd moeten worden zoals @Floort stelt in zijn openingspost. Het is een kwestie van lezen en begrijpen wat je wilt begrijpen.

Het is me volkomen duidelijk dat Floort daarop doelt. Ik licht slechts toe dat de aangepaste cookiewall dus wel voldoet aan die specifieke eisen, want zoals Floort zegt baseert hij zich "op de toestemmingsvraag zoals die nu is". Die gaat dus veranderen.

[Floort]

jelle. schreef op zondag 4 april 2021 @ 15:55:
[...]


Het is me volkomen duidelijk dat Floort daarop doelt. Ik licht slechts toe dat de aangepaste cookiewall dus wel voldoet aan die specifieke eisen, want zoals Floort zegt baseert hij zich "op de toestemmingsvraag zoals die nu is". Die gaat dus veranderen.

Voor de duidelijkheid: voor de vraag die ik hier gesteld heb zijn de toekomstige verbeteringen totaal irrelevant. Het is heel goed dat de situatie gaat verbeteren, maar de toestemming moet rechtmatig worden verkregen voordat de verwerking start. Vandaar dat ik me niet kan vinden in het antwoord dat ik heb gekregen. Ik vind het jammer dat DPG de betrokkenen niet als een aangewezen partij ziet om mee te communiceren. De AVG schrijft namelijk tal van artikelen voor waaruit blijkt dat dat wel gepast/verplicht is. Wat mij betreft staat het aanbod om erover te praten nog steeds open.

[jelle.]

Floort schreef op zondag 4 april 2021 @ 16:37:
Voor de duidelijkheid: voor de vraag die ik hier gesteld heb zijn de toekomstige verbeteringen totaal irrelevant. Het is heel goed dat de situatie gaat verbeteren, maar de toestemming moet rechtmatig worden verkregen voordat de verwerking start.

Ook dat is me/ons duidelijk Ik benoemde het in dit topic even voor de volledigheid omdat de context van de aangepaste cookiewall hier ontbreekt.

[Floort]

Ik heb contact gehad met de FG en hier is de mail die ik heb ontvangen:

Geachte heer Terra,


Hartelijk dank voor uw bericht.


Wij zullen uw suggestie met betrekking tot de contactgegevens van het Data Protection Office op de website in overweging nemen.

Note: Ik heb de FG erop gewezen dat DPG Media niet de contactgegevens van de FG heeft gepubliceerd waardoor e-mails aan de FG belanden bij een afdeling zonder wettelijke geheimhoudingsplicht en bij een afdeling waar de FG toezicht op hoort te houden.

DPG Media B.V. en derden kwalificeren ten aanzien van cookies, trackers en andere technologieën die door deze derden via de websites van DPG Media B.V. worden geplaatst als verwerkingsverantwoordelijke, voor zover daarbij persoonsgegevens worden verwerkt. De verantwoordelijkheid van DPG Media B.V. beperkt zicht echter tot de beslissing om advertenties te tonen op haar websites; daarbij cookies te laten plaatsen en daarvoor zo nodig toestemming te vragen; en algemene keuzes over de wijze waarop dat gebeurt. DPG Media B.V. kwalificeert echter niet als verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens die deze derden door de inzet van cookies, trackers en andere technologieën via de websites van DPG Media B.V. verkrijgen. Ten aanzien daarvan zijn (alleen) die partijen de verwerkingsverantwoordelijken. Het cookiestatement van Tweakers geeft een overzicht van deze derde partijen en verwijst naar hun privacy statement.


Indien u gebruik wil maken van uw rechten onder de AVG kunt u daartoe een verzoek doen via het consumentenrechtformulier dat is te raadplegen via: https://consumentenrecht.dpgmedia.net/nl. Een dergelijk verzoek ziet enkel op de persoonsgegevens waarvan DPG Media B.V. zichzelf beschouwt als verwerkingsverantwoordelijke. Voor persoonsgegevens waar derden verantwoordelijk voor zijn, kunt u dit verzoek aan de betreffende partij richten.


Ik ga ervan uit u hiermee voldoende te hebben geïnformeerd.


Met vriendelijke groet,

Mijn reactie daarop was als volgt:

Geachte heer [xxx],

Ik kan u aanraden om de Fashion ID uitspraak van het Europese Hof van Justitie erop na te slaan. Daaruit blijkt in een vergelijkbaar geval dat er een gezamenlijke verwerkingsveranwoordelijkheid bestaat voor het verzamelen van persoonsgegevens en het doorsturen ervan aan de tracking/advertentieplatformen. Op basis van die gezamenlijke verantwoordelijkheid spreek ik DPG Media aan. En voor zover dat niet al duidelijk blijkt uit artikel 26(3) van de AVG legt de EDPB in guidelines 07/2020 duidelijk (punt 184 t/m 187) uit dat ik mijn rechten ook bij DPG Media kan uitoefenen.

Bovendien heb ik specifiek gevraagd om het verwijderen van de verzamelde persoonsgegevens in deze context, maar heeft de juridische afdeling van DPG Media via Tweakers publiekelijk (zie link naar Tweakers forum eerder in deze mailwisseling) laten weten dat ik er via deze weg wel om zou kunnen vragen. Is er sprake van miscommunicatie en had dat antwoord beter een volledige weigering kunnen zijn?

Wat mij betreft is mijn verzoek dus niet voldoende afgehandeld. Ik ben bereid om dit nog in detail verder uit te leggen of misschien gezamenlijk contact op te nemen met de AP om om normuitleg te vragen.

Met vriendelijke groet,

Floor Terra

Ik heb daarmee dus nog steeds geen weigering die voldoet aan de voorwaarden waar zo'n weigering procedureel aan zou moeten doen. Inhoudelijk hanteert DPG een zeer beperkte kijk op de scope van de verwerking die niet overeenkomt met jurisprudentie en DPG heeft ook een zeer beperkte opvatting van de verantwoordelijkheid van gezamenlijke verwerkingsverantwoordelijken die niet onderbouwd wordt.

Ik heb voordat ik contact heb opgenomen met de FG ook contact opgenomen met de AP om te verkennen wat mijn opties zijn zonder dat ik een klacht hoef in te dienen. De AP was in dit geval met mij eens dat (in ieder geval bij een verwijderingsverzoek, meer hebben we niet besproken) de gezamelijke verwerkingsverantwoordelijke ook moet zorgen dat de ontvangers van de gegevens mijn gegevens verwijderen. Veel meer dan de optie waarbij de FG contact opneemt met de AP en het indienen van een klacht zag de AP niet . Eventueel kan de FG gezamenlijk met mij contact opnemen, maar formeel staat de AP mij dan niet te woord. Geen nieuwe suggestie dus, maar wel bevestiging van wat ik de FG dus in mijn mail heb aangeboden.

Ik zou daarbij aanraden om nog een aantal punten over de huidige cookiemuur op Tweakers te bespreken.

[Floort]

jelle. schreef op donderdag 25 maart 2021 @ 11:14:
We hebben deze informatie doorgezet naar onze juridische afdeling en onze juristen hebben hiervan kennis genomen. Er zal geen individuele terugkoppeling of discussie hierop volgen omdat onze juridische afdeling dat alleen doet met daarvoor aangewezen personen of partijen zoals AP. Wel kunnen we kort ingaan op de eisen die jij hebt uiteengezet:

• R4, R5, R12, R13, R20: aan deze eisen wordt voldaan in de aangepaste cookiewall (zoals verder toegelicht in We passen de cookiewall aan en maken abo's trackingvrij).
• R21: dit hebben we onderzocht en dit zal geïmplementeerd worden op de cookies-pagina.
• R22: het standpunt van onze juridische afdeling is dat deze gegevens niet onrechtmatig verwerkt zijn. Individuele gebruikers kunnen een verzoek voor het opvragen of verwijderen van persoonsgegevens indienen via https://consumentenrecht.dpgmedia.net/nl.

Nogmaals dank voor je uitvoerige feedback en we gaan ervan uit je vraag hiermee te hebben beantwoord.

Nu de nieuwe cookiewall online staat heb ik bovenstaande tabel bijgewerkt met een nieuwe kolom die de nieuwe situatie reflecteert. Nogmaals: het is geen volledige analyse en ik heb me beperkt tot de punten die al in de tabel staan. Ik heb al uitgelegd dat de antwoorden die @jelle. Heeft doorgegeven vanuit de juridische afdeling van DPG Media irrelevant zijn voor mijn vraag, maar ik wil ze toch even op de inhoud beoordelen. Zoals in de tabel te zien is de situatie op een paar punten verbeterd. Maar waar de juristen vandaan halen dat aan al deze punten voldaan zou worden is mij een raadsel. Punten R5, R20, R21 en R22 komen niet eens in de buurt en DPG Media beweert zonder uitleg dat ze daar wel aan voldoen.

[crisp]

@Floort ingelogde gebruikers kunnen de cookieconsent ook intrekken vanuit hun profiel: https://tweakers.net/instellingen/account/

offtopic:
als je de plaatjes in de tabel wat verkleint of er een thumbnail met link naar volledig plaatje van maakt is de tabel ook weer beter te lezen

[RodeStabilo]

@Floort Je noemt een aantal keer de term FG, maar het is me niet duidelijk wie of wat dat is? Zou je dat willen toelichten?

[BrtH]

RodeStabilo schreef op woensdag 7 april 2021 @ 08:06:
@Floort Je noemt een aantal keer de term FG, maar het is me niet duidelijk wie of wat dat is? Zou je dat willen toelichten?

Functionaris Gegevensbescherming.

[jelle.]

Floort schreef op woensdag 7 april 2021 @ 07:41:

Nu de nieuwe cookiewall online staat heb ik bovenstaande tabel bijgewerkt met een nieuwe kolom die de nieuwe situatie reflecteert. Nogmaals: het is geen volledige analyse en ik heb me beperkt tot de punten die al in de tabel staan. Ik heb al uitgelegd dat de antwoorden die @jelle. Heeft doorgegeven vanuit de juridische afdeling van DPG Media irrelevant zijn voor mijn vraag, maar ik wil ze toch even op de inhoud beoordelen. Zoals in de tabel te zien is de situatie op een paar punten verbeterd. Maar waar de juristen vandaan halen dat aan al deze punten voldaan zou worden is mij een raadsel. Punten R5, R20, R21 en R22 komen niet eens in de buurt en DPG Media beweert zonder uitleg dat ze daar wel aan voldoen.

Wat betreft R21 had je gisteren in de reacties onderaan het .plan aangegeven dat de enige juiste oplossing zou zijn om de intrekmogelijkheid achter de toestemmingsmuur te plaatsen. In de uitleg van de nieuwe situatie ga je echter vooral in op de vindbaarheid van deze knop/link. Ik gaf gisteren al aan dat we deze niet opzettelijk "verstopt" hebben oid. Zie nu ook dat je je reactie naderhand hebt uitgebreid met een extra suggestie.

Om te voorkomen dat gebruikers in ons cookiebeleid moeten gaan zoeken, heb ik er geen problemen mee om de link bijvoorbeeld bovenaan de cookie-pagina duidelijk te communiceren. Een knop in de menubalk zie ik niet zo snel gebeuren omdat dit enorm conflicteert met de gebruiksvriendelijkheid van deze website en het aanbieden van informatie waar gebruikers naar op zoek zijn.

[Floort]

@crisp Je hebt gelijk. Ik heb alleen de flow voor niet ingelogde gebruikers getest. Die voor ingelogde gebruikers moet ook even makkelijk gemaakt worden.

En een FG of DPO in het Engels is een wettelijk verplichte (voor een partij als DPG Media en anderen) onafhankelijke toezichthouder. Deze FG heeft o.a. een wettelijke geheimhoudingsplicht en mag geen belangenverstrengeling hebben zoals een uitvoerende of adviserende functie die ook met verwerkingen van persoonsgegevens te maken heeft. Een FG heeft ook als taak om er op toe te zien dat klachten van betrokkenen goed worden afgehandeld en kan zelfs naar de AP escaleren als zijn/haar werkgever niet de AVG naleeft.

Edit @jelle.: Dat kan helpen. Ik zou aanraden om ook even iemand die de site niet kent te timen om te kijken hoe lang het duurt om toestemming te geven en in te trekken. Dat geeft een wat neutraler beeld om te vergelijken hoe moeilijk het is. Het was overigens niet mijn intentie om te suggereren dat de knop om toestemming in te trekken bewust verstopt is. Maar ik wil wel duidelijk zijn dat het niet eens ongeveer even makkelijk is.

[Voor 24% gewijzigd door Floort op 07-04-2021 12:10]

[Floort]

Misschien is het goed om ook even uit te spreken waarom het volgens mij zo'n ongemakkelijk gesprek aan het worden is. Wat mij betreft ligt de focus op het oplossen van de problemen die er nu liggen: het opruimen van data die er niet mag liggen en eventuele tracking in de toekomst compliant maken. Het is heel lastig om te bespreken wat er beter moet als je het niet eens bent over wat er niet goed genoeg is. Dat is de reden dat ik heb aangeboden om dit gesprek achter de schermen te voeren. Het kan me namelijk niet zoveel schelen dat het nu niet compliant is, dat is op zoveel websites het geval, maar ik heb oprecht het idee dat Tweakers het wel goed wil doen in de toekomst.

Maar op het moment dat de juridische afdeling van DPG Media met volslagen onjuiste uitspraken komt slaat dat de discussie dood. Nu ben ik mijn energie aan het besteden aan het uitleggen waarom ik wel gelijk heb en waarom Tweakers selectief shopt in de regels om te doen alsof alles voldoet aan de regels. En ik snap het ook wel: publiekelijk toegeven dat de wet niet wordt nageleefd is ook een risico voor DPG Media, omdat dat de kans op handhaving vergroot en omdat dan wel alle verzamelde data opgeruimd moet worden. Dat is waarom ik juist voorstelde om het gesprek niet publiek te voeren. En ik heb alle respect voor de lastige positie waar Tweakers in zit, zowel financieel als met DPG Media die onzin verkondigd waar Tweakers niet tegenin kan gaan. En ik heb alle respect voor meningsverschillen over de normuitleg (bijv: is toestemming vrij gegeven met Tweakers' toestemmingmuur?). Ik heb ook respect voor een eerlijke stellingname dat je bewust niet helemaal aan de wet voldoet omdat het nu eenmaal moeilijk is. Maar de houding van DPG Media maakt het erg moeilijk om mee te denken in oplossingen.

[Tomsworld]

Die R20 @Floort doel je dan op zo een bottom/top layover banner bv waar je de cookie opties krijgt. Maar als je die negeert kan je gewoon netjes je dingen doen op die website ? Want ik sprak gisteren even met Ministry of privacy en de nieuwe implementatie is voor hen, en de belgische interpretatie en nieuwe cookiemuur. Ook al is er een betalende trackingloze keuze.

[Floort]

@Tomsworld Dat kan bijvoorbeeld.

[jelle.]

Floort schreef op woensdag 7 april 2021 @ 08:40:
Edit @jelle.: Dat kan helpen. Ik zou aanraden om ook even iemand die de site niet kent te timen om te kijken hoe lang het duurt om toestemming te geven en in te trekken. Dat geeft een wat neutraler beeld om te vergelijken hoe moeilijk het is. Het was overigens niet mijn intentie om te suggereren dat de knop om toestemming in te trekken bewust verstopt is. Maar ik wil wel duidelijk zijn dat het niet eens ongeveer even makkelijk is.

Ik heb de link in elk geval nu ook duidelijk bovenaan de pagina geplaatst zodat gebruikers niet hoeven te zoeken in de tekst.

[Floort]

jelle. schreef op woensdag 7 april 2021 @ 13:42:
[...]


Ik heb de link in elk geval nu ook duidelijk bovenaan de pagina geplaatst zodat gebruikers niet hoeven te zoeken in de tekst.

Dat helpt iets, maar ik laat de beoordeling in de tabel staan omdat de knop om toestemming in te trekken nog steeds significant moeilijker te vinden is dan de knop om toestemming te geven.

[Anoniem: 235591]

crisp schreef op woensdag 7 april 2021 @ 07:57:
@Floort ingelogde gebruikers kunnen de cookieconsent ook intrekken vanuit hun profiel: https://tweakers.net/instellingen/account/

offtopic:
als je de plaatjes in de tabel wat verkleint of er een thumbnail met link naar volledig plaatje van maakt is de tabel ook weer beter te lezen

graag alleen ontopic reageren hier

[Voor 15% gewijzigd door crisp op 07-04-2021 15:15]

[Floort]

Omdat ik al 12 dagen geen reactie op mijn verzoek heb gekregen van DPG heb ik maar een reminder gestuurd. Ook als ik de aanvullende uitleg van de FG erbij neem heb ik nog geen reactie ontvangen die formeel voldoet aan de criteria waar een afwijzing aan moet voldoen. Daar komt bij dat naar mijn beste inschatting de uitleg van de FG inhoudelijk niet klopt en dat de FG formeel niet namens de verantwoordelijke spreekt.

Een paar personen hebben mij verzocht om een voorbeeld-klacht te schrijven. Nu was het niet mijn intentie om dit door te zetten in een klacht. Maar bij het volledig uitblijven van een redelijke reactie van DPG is dat wel een logische volgende stap. Inhoudelijk is het wel een leuke klacht om te schrijven omdat het dan uiteindelijk een klacht is over overtredingen van ongeveer 15 verantwoordelijken. Ook de rol van DPG in die eventuele klacht is nog sterk afhankelijk van de reactie die ik misschien nog krijg van DPG. Ik geloof ook nog niet dat een klacht het meest effectieve middel zal zijn om de gegevens verwijderd te krijgen. Misschien schrijf ik alleen een voorbeeld van een klacht zodat anderen geïnformeerd kunnen beslissen of ze er eentje in willen dienen.

Laat het vooral weten als er behoefte is aan zo iets.

Beste [klachtbehandelaar] en mevrouw [de FG],
Het is 12 dagen geleden dat ik voor het laatst wat gehoord heb van DPG betreffende mijn verzoek. Uit de bewoording krijg ik de indruk dat het de bedoeling is van DPG om mijn verzoek af te wijzen. Maar ik heb nog geen antwoord gehad conform artikel 12(4) van de AVG. Aangezien ik bij een afwijzing zonder vertraging daarover geïnformeerd moet worden zoals omschreven in datzelfde artikel kan ik formeel nog niet concluderen dat mijn verzoek is afgewezen. Aan de andere kant: als DPG nog niet besloten heeft om mijn verzoek af te wijzen heeft DPG nog niet de moeite gedaan om mij te vragen om de informatie die nodig is om zonder onnodige vertraging te voldoen aan mijn verzoek. 
Als u besluit om mijn verzoek af te wijzen helpt het daarbij als ik daar een motivering bij krijg zodat ik kan overwegen of ik een klacht wil formuleren en zo ja, welke elementen ik mee moet nemen in de eventuele klacht.
Ik heb de FG ook aangeschreven in deze mail omdat zij mij al iets meer achtergrond heeft gegeven. Maar omdat de FG niet namens de verantwoordelijke spreekt en omdat ook de reactie van de FG niet voldoet aan de vereisten van artikel 12(4) voor het afwijzen van mijn verzoek stuur ik DPG deze herinnering. Als u behoefte heeft aan overleg sta ik daar nog steeds voor open. Maar zonder verzoek vanuit DPG of Tweakers om het overleg op een andere manier vorm te geven zal ik de leden van Tweakers op de hoogte houden van de voortgang van dit proces op het Tweakers-forum zoals me is verzocht.
Met vriendelijke groet,
Floor Terra

[Voor 0% gewijzigd door Floort op 11-04-2021 22:46. Reden: Nu was het *niet* mijn intentie om dit door te zetten in een klacht.]

[Floort]

Ik heb net gebeld met DPG. DPG is van mening dat zij geen gezamelijk verwerkingsverantwoordelijke zijn met de partijen die de bezoekers volgen op de website van Tweakers. Ik heb daarbij specifiek gevraagd naar de relatie met de Fashion ID uitspraak van het Europese Hof van Justitie waaruit blijkt dat bij dergelijke tracking de websitehouder en de tracker in ieder geval gezamelijke verwerkingsverantwoordelijken zijn. DPG is van mening dat ze dat anders zien, maar kunnen niet specificeren of dat komt omdat de feitelijke omstandigheden significant anders zijn of dat DPG Media het niet eens is met het Europese Hof van Justitie. Er wordt nu nog uitgezocht of er misschien trackers zijn waarmee een verwerkersovereenkomst zodat de argumentatie van DPG Media daar niet opgaat en de gegevens daar wel verwijderd moeten worden.

DPG Media geeft aan dat ze in gesprek zijn met de AP over hoe het precies zit met de verdeling van de verantwoordelijkheid. Wat dat overleg precies inhoud weet ik niet, want de AP is nooit zo blij geweest met het geven van individueel advies. In dat geval lijkt het me gepast dat betrokkenen zich als belanghebbenden ook in dat gesprek kunnen voegen. Bijvoorbeeld in de vorm van een klacht. Bovendien kan ik ook zeggen dat ik in overleg ben met de AP, want ik heb de AP gebeld met de vraag of een websitehouder mee zou moeten werken met het verwijderen van verzamelde gegevens als ik mijn toestemming intrek of om verwijdering vraag en de AP was daar heel duidelijk in: ja.

Ik blijf het standpunt van DPG vreemd vinden. Er is duidelijke jurisprudentie waarvan ik geen motivatie krijg waarom die aan de kant geschoven wordt. En ik heb al eens op precies dit issue samengewerkt met de Bulgaarse toezichthouder om verzamelde gegevens te laten verwijderen. Dat kostte wat moeite, maar daar waren ze uiteindelijk ook tot de conclusie gekomen dat ze gezamelijke verwerkingsverantwoordelijken waren. Het heeft er tot nu toe vooral de schijn van dat het een ongewenste conclusie zou zijn voor DPG, niet een onjuiste conslusie.

[Helgie]

Floort schreef op maandag 12 april 2021 @ 13:48:
Ik heb net gebeld met DPG. DPG is van mening dat zij geen gezamelijk verwerkingsverantwoordelijke zijn met de partijen die de bezoekers volgen op de website van Tweakers. Ik heb daarbij specifiek gevraagd naar de relatie met de Fashion ID uitspraak van het Europese Hof van Justitie waaruit blijkt dat bij dergelijke tracking de websitehouder en de tracker in ieder geval gezamelijke verwerkingsverantwoordelijken zijn. DPG is van mening dat ze dat anders zien, maar kunnen niet specificeren of dat komt omdat de feitelijke omstandigheden significant anders zijn of dat DPG Media het niet eens is met het Europese Hof van Justitie. Er wordt nu nog uitgezocht of er misschien trackers zijn waarmee een verwerkersovereenkomst zodat de argumentatie van DPG Media daar niet opgaat en de gegevens daar wel verwijderd moeten worden.

DPG Media geeft aan dat ze in gesprek zijn met de AP over hoe het precies zit met de verdeling van de verantwoordelijkheid. Wat dat overleg precies inhoud weet ik niet, want de AP is nooit zo blij geweest met het geven van individueel advies. In dat geval lijkt het me gepast dat betrokkenen zich als belanghebbenden ook in dat gesprek kunnen voegen. Bijvoorbeeld in de vorm van een klacht. Bovendien kan ik ook zeggen dat ik in overleg ben met de AP, want ik heb de AP gebeld met de vraag of een websitehouder mee zou moeten werken met het verwijderen van verzamelde gegevens als ik mijn toestemming intrek of om verwijdering vraag en de AP was daar heel duidelijk in: ja.

Ik blijf het standpunt van DPG vreemd vinden. Er is duidelijke jurisprudentie waarvan ik geen motivatie krijg waarom die aan de kant geschoven wordt. En ik heb al eens op precies dit issue samengewerkt met de Bulgaarse toezichthouder om verzamelde gegevens te laten verwijderen. Dat kostte wat moeite, maar daar waren ze uiteindelijk ook tot de conclusie gekomen dat ze gezamelijke verwerkingsverantwoordelijken waren. Het heeft er tot nu toe vooral de schijn van dat het een ongewenste conclusie zou zijn voor DPG, niet een onjuiste conslusie.

Het is heel simpel. Ze doen 'la la ik hoor niks' in de hoop dat jij het niet voor een rechter brengt.

[crisp]

Ik heb dit weekend eens een beetje zitten kijken hoe dat technisch dan zou moeten met betrekking tot het verwijderen van data bij 3e partijen na intrekken consent. Voor CXense kom ik dan uit op een API-call, maar dan vraag ik me af hoe je dan aan de juiste 'key' komt om dit aan te kunnen roepen (dat zit waarschijnlijk in een cookie op de client), en hoe je er dan ook voor kan zorgen dat ook cookies en localStorage netjes worden opgeruimd. De implementatieguide van Cxense zegt daar verder niets over.

En dat is dan nog maar 1 partij. Ik krijg een beetje het gevoel dat hier gewoon technisch nog een gigantisch hiaat zit en dat het op dit moment dus praktisch een onmogelijke opgave is (dat werd ook wel een beetje gesuggereerd in de paper die Floort linkt in zijn OP - er is hier nog geen standaard voor).

Misschien dat bepaalde CMP partijen dit wel kunnen? Wij hebben echter natuurlijk gekozen voor een eigen oplossing. Ik zie ook maar weinig sites waar je ueberhaupt consent achteraf weer in kan trekken.

[Floort]

crisp schreef op maandag 12 april 2021 @ 15:38:
Ik heb dit weekend eens een beetje zitten kijken hoe dat technisch dan zou moeten met betrekking tot het verwijderen van data bij 3e partijen na intrekken consent. Voor CXense kom ik dan uit op een API-call, maar dan vraag ik me af hoe je dan aan de juiste 'key' komt om dit aan te kunnen roepen (dat zit waarschijnlijk in een cookie op de client), en hoe je er dan ook voor kan zorgen dat ook cookies en localStorage netjes worden opgeruimd. De implementatieguide van Cxense zegt daar verder niets over.

En dat is dan nog maar 1 partij. Ik krijg een beetje het gevoel dat hier gewoon technisch nog een gigantisch hiaat zit en dat het op dit moment dus praktisch een onmogelijke opgave is (dat werd ook wel een beetje gesuggereerd in de paper die Floort linkt in zijn OP - er is hier nog geen standaard voor).

Misschien dat bepaalde CMP partijen dit wel kunnen? Wij hebben echter natuurlijk gekozen voor een eigen oplossing. Ik zie ook maar weinig sites waar je ueberhaupt consent achteraf weer in kan trekken.

CXSense is een hele interessante omdat CXSense zegt een verwerker te zijn voor hun klanten. De argumentatie van DPG om gegevens niet te hoeven wissen is überhaupt niet van toepassing op CXSense. Maar dat zijn ze nu zelf aan het uitzoeken zoals ik in mijn vorige post heb geschreven.

Even volkomen los van de praktische werkelijkheid: de instructie om gegevens te vernietigen mag in principe ook per brief of per fax verstuurd worden. Maar ik vind het heel goed dat er een API is. Ik heb alleen niet voldoende toegang tot het platform om door te spitten in de documentatie om hier verder in te helpen. Maar ik ben het er mee eens dat dit in de praktijk lastig haalbaar is. Vandaar ook mijn voorstel om de hele bulk in 1 keer op te ruimen zodat je niet tig individuele verzoeken hoeft af te handelen.

[Floort]

@crisp Volgens mij is dit in ieder geval de API endpoint die je zoekt. https://help.cxense.com/docs/apis-personal

[Tuttel]

Ik wil graag even mijn dank uitspreken richting @Floort voor de informatie, actie en aangeboden hulp op dit onderwerp. Ben hier zelf lang niet zo in thuis, maar ik vind deze case erg interessant om te volgen wat voornamelijk dankzij jouw bijdrages goed lukt. Dank!

Het topic staat wel een beetje verstopt naar mijn idee in het "Stoute Bugs" gedeelte waar ik het niet zou zoeken/plaatsen. Is het niet logischer dit in hetzelfde forum gedeelte te plaatsen als de discussie over de cookiewall/tracking? Kan me voorstellen dat de nodige mensen dit topic mislopen ondanks de betrokkenheid op dit onderwerp, wat ik jammer zou vinden gezien je uiterst waardevolle bijdrages.

[Floort]

Dankjewel voor het compliment. Wat mij betreft zijn er eigenlijk twee issues die door elkaar lopen.

Ten eerste: een fout/ontwerpkeuze van Tweakers/DPG. Wat mij betreft hoort mijn verzoek om de schade daarvan zoveel mogelijk te herstellen wel in dit topic thuis.

Mede doordat DPG ervoor kiest om een aantal eigenaardige standpunten in te nemen vermengt dat zich met discussie over de rechtmatigheid van wat DPG doet en welke rechten de betrokkenen hebben. Ik kan me voorstellen dat wanneer ik uitsluitsel heb van de FG van DPG (ze zou het deze week uitgezocht hebben) een forumpost start waarin ik uitleg wat de situatie is en wat de rechten zijn van alle betrokkenen. Dat lijkt me een prima onderwerp voor een algemene discussie. Ik heb bijvoorbeeld meerdere verzoeken gekregen om uit te leggen hoe je een klacht kan indienen.

[Floort]

Update: de FG die deze week een update zou geven heeft vandaag een out-of-office reply aanstaan. Dat gaat problematisch worden, want een verwijderingsverzoek moet zonder onredelijke vertraging en in ieder geval binnen een maand worden afgehandeld. Er zijn nu nog vijf werkdagen over voor die maand en er is nog niet eens begonnen aan de uitvoering.

[Floort]

Update: Ik heb 20 minuten geleden bericht gekregen dat mijn persoonsgegevens bij Tweakers verwijderd zullen worden, ondanks herhaaldelijke uitleg dat dat niet de bedoeling is. Toch maar even de FG opbellen om te kijken of ik dat kan stopzetten.

[crisp]

Floort schreef op maandag 19 april 2021 @ 10:01:
Update: Ik heb 20 minuten geleden bericht gekregen dat mijn persoonsgegevens bij Tweakers verwijderd zullen worden, ondanks herhaaldelijke uitleg dat dat niet de bedoeling is. Toch maar even de FG opbellen om te kijken of ik dat kan stopzetten.

Ik heb degene die aan onze kant de verzoeken uitvoert (@Moonsugar) hier in ieder geval even op gewezen

[Moonsugar]

Ik krijg deze verzoeken inderdaad binnen zodra ze door DPG zijn bekeken en verwerkt. Ik ga mijn ogen open houden voor jouw naam.

[Floort]

Moonsugar schreef op maandag 19 april 2021 @ 10:12:
Ik krijg deze verzoeken inderdaad binnen zodra ze door DPG zijn bekeken en verwerkt. Ik ga mijn ogen open houden voor jouw naam.

Dat is heel fijn! Ondertussen heeft de FG van DPG een sms van me ontvangen en de telefonische helpdesk van DPG heeft een bericht doorgegeven aan de Data Protection Office van DPG. Ik ben wel benieuwd of jullie alsnog het verzoek door gaan krijgen om mijn gegevens te verwijderen.

Het is niet zonder gevaren om zo'n verwijderverzoek in te dienen merk ik.

[Hydra]

Helgie schreef op maandag 12 april 2021 @ 15:24:
Het is heel simpel. Ze doen 'la la ik hoor niks' in de hoop dat jij het niet voor een rechter brengt.

Misschien moet daar dan verandering in komen. Juist omdat DPG zo groot is (dit gaat veel verder dan alleen Tweakers, ik gebruik bijv. ook nu.nl en ad.nl). Ik kan me zo voorstellen dat Tweakers (dat volgens mensen hier redelijk losstaat van DPG) dit ook toe zou juigen, aangezien volgens mij iedere techneut wel weet hoe belangrijk privacy is. Mits het met genoeg mensen gedeeld wordt, zou ik daar wel aan bij willen dragen.

[Floort]

Hydra schreef op maandag 19 april 2021 @ 10:49:
[...]


Misschien moet daar dan verandering in komen. Juist omdat DPG zo groot is (dit gaat veel verder dan alleen Tweakers, ik gebruik bijv. ook nu.nl en ad.nl). Ik kan me zo voorstellen dat Tweakers (dat volgens mensen hier redelijk losstaat van DPG) dit ook toe zou juigen, aangezien volgens mij iedere techneut wel weet hoe belangrijk privacy is. Mits het met genoeg mensen gedeeld wordt, zou ik daar wel aan bij willen dragen.

Ik heb al wat nagedacht over hoe een eventuele klacht zowel Tweakers als DPG maximaal kan helpen om compliant te worden. Het ligt voor de hand om in ieder geval een klacht in te dienen over de aspecten waar DPG van zegt in overleg te zijn met de AP, maar geen antwoord krijgt. In de vorm van een klacht kan de AP dergelijke vragen wel beantwoorden. Ook is het mogelijk om de focus te leggen op beleid en processen die DPG bepaald om individuele sites zoals Tweakers maximale vrijheid te geven om wel compliant te worden. Hoewel dat wel heel erg positief klinkt, want dat kan ook overgaan in dwang om compliant te worden. Niet persé slecht, maar wel vervelend voor Tweakers die het voor de toekomst veel beter aan het proberen is dan vrijwel alle andere nieuwssites.

[Anoniem: 235591]

Floort schreef op maandag 19 april 2021 @ 10:01:
Update: Ik heb 20 minuten geleden bericht gekregen dat mijn persoonsgegevens bij Tweakers verwijderd zullen worden, ondanks herhaaldelijke uitleg dat dat niet de bedoeling is. Toch maar even de FG opbellen om te kijken of ik dat kan stopzetten.

Hetzelfde als jij heb ik ook gedaan. Duidelijk aangegeven wat ik verwijderd wilde hebben. Geven ze aan dat ze mijn hele account willen anonimiseren. Maar daar vroeg ik niet om. Een mailtje om het zo te laten als het nu is werd binnen een dag beantwoord dat ze het verzoek dan als niet ingediend beschouwden.

Blijkbaar is het lastig om tracking data en gegevens uit het verleden te verwijderen die op illegale wijze verkregen zijn.

[3DDude]

Dat ze het op dit moment technisch gezien niet kunnen is opzich ook een antwoord.
Geef dan aan wat wel kan en wat niet en dat er mogelijk aan gewerkt word.

Ik denk alleen dat (DPG) het zelf ook even niet meer weten en/of geen zin hebben het te gaan fixen/regelen.
We zullen zien hoe het loopt, ik volg het topic ook even.

Verder @Floort bedankt voor dit uitzoeken. Het is duidelijk dat je, je niet van het kastje naar de muur laat sturen. We zien de voortgang hier graag ^_^.

@t hieronder nee dat is het punt volgens mij je kan het niet terug kopen.
Jouw tracking history word niet gedelete; dat is hetgeen wat floort voor zover ik kan lezen probeert te regelen.
Hij wil de geschiedenis wissen; Jij denkt dat je DPG een zak geld geeft en het weg is? Ik denk het niet.

[Voor 23% gewijzigd door 3DDude op 19-04-2021 13:06]

[Helgie]

Hydra schreef op maandag 19 april 2021 @ 10:49:
[...]


Misschien moet daar dan verandering in komen. Juist omdat DPG zo groot is (dit gaat veel verder dan alleen Tweakers, ik gebruik bijv. ook nu.nl en ad.nl). Ik kan me zo voorstellen dat Tweakers (dat volgens mensen hier redelijk losstaat van DPG) dit ook toe zou juigen, aangezien volgens mij iedere techneut wel weet hoe belangrijk privacy is. Mits het met genoeg mensen gedeeld wordt, zou ik daar wel aan bij willen dragen.

Ach, privacy is reikt tot aan de portemonnee/ pedofiel/ terrorist ( doorhalen wat niet van toepassing is.) In dit geval is de portemonnee van DPG belangrijker, maar vrees niet, je kan je privacy deels van ze terugkopen.

[Floort]

Ik heb besloten dat ik een verzoek respecteer om communicatie vanuit DPG niet meer hier te delen. Dat maakt het wat lastig om te onderbouwen waarom ik deel wat ik deel. Maar ik wil aangeven dat ik het verzoek vanuit Tweakers om mijn verzoek hier op het forum te bespreken heel erg waardeer.

Dat betekent niet dat ik niet kan delen wat ik ga doen zodra ik daar uit ben. Ik wacht nog op een formele reactie op mijn verwijderverzoek of het verstrijken van de wettelijke termijn komende zondag.

[Tweaker_19]

Toch raar eigenlijk, DPG media doet zeer moeilijk om jouw privacy te waarborgen (de wet te volgen), maar als het om zichzelf gaat, doen ze wel moeite ervoor. Ik was hiermee niet akkoord gegaan, maar goed, niet mijn beslissing. Ik hoop echter dat we wel nog de voortgang fatsoenlijk kunnen volgen/begrijpen.

[Floort]

Moeite valt wel mee hoor. Ik heb vanaf het begin al aan aangeboden om dit niet publiek te bespreken en daar heb ik de FG nogmaals op gewezen. Mijn puzzel is nu om de discussie voor te zetten op een manier waarop ik denk dat de Tweakers-lezers geholpen zijn.

Ik kan bijvoorbeeld prima uitleggen dat de uitleg die aan @Anoniem: 235591 gegeven is een paar berichten hierboven totale onzin is. Nergens in artikel 17 van de AVG staat dat verschillende verwerkingen zo kunstmatig van elkaar afhankelijk gemaakt mogen worden dat het verwijderen van gegevens bij een externe advertentiepartij alleen mag als ook je betaalde account wordt verwijderd. En dat het feit dat DPG Media veranderende argumentatie gebruikt mij niet sterk overtuigd van het feit dat DPG Media zelf geloofd dat het klopt.

[Floort]

Voor degenen die geïnteresseerd zijn in mijn juridische meningsverschillen met DPG, de EDPB heeft net guidance gepubliceerd die tjokvol relevante punten staat voor deze discussie. Ik hoop dat DPG deze opinie ook leest. Ik heb namelijk nog steeds geen formeel antwoord gehad om mijn verzoek en het zou zomaar kunnen dat deze opinie overtuigend genoeg is om DPG op andere gedachten te brengen. (vergeef me mijn cynisme)

[Floort]

Ik had de indruk dat DPG Media mij nog een mail zou sturen met een formele afwijzing van mijn verzoek, inclusief een verwijzing naar een wettelijke weigeringsgrond. Welke weigeringsgronden er zijn staat opgesomd in artikel 17(3) van de AVG. De wettelijke termijn waarbinnen DPG mijn verzoek moet opvolgen, weigeren of uitstel aan te kondigen is vandaag verstreken zonder dat DPG Media één van de drie gedaan heeft.

[Anoniem: 235591]

Floort schreef op zondag 25 april 2021 @ 15:24:
Ik had de indruk dat DPG Media mij nog een mail zou sturen met een formele afwijzing van mijn verzoek, inclusief een verwijzing naar een wettelijke weigeringsgrond. Welke weigeringsgronden er zijn staat opgesomd in artikel 17(3) van de AVG. De wettelijke termijn waarbinnen DPG mijn verzoek moet opvolgen, weigeren of uitstel aan te kondigen is vandaag verstreken zonder dat DPG Media één van de drie gedaan heeft.

Don Quichot. Dat zou een betere naam voor jou zijn passend bij wat je doet. Maar als je eerlijk bent naar jezelf had je dit dan verwacht?

[Will_M]

crisp schreef op woensdag 7 april 2021 @ 07:57:
@Floort ingelogde gebruikers kunnen de cookieconsent ook intrekken vanuit hun profiel: https://tweakers.net/instellingen/account/

offtopic:
als je de plaatjes in de tabel wat verkleint of er een thumbnail met link naar volledig plaatje van maakt is de tabel ook weer beter te lezen

Ja, da's ook een optie. En dan ben je vervolgens als zijnde 'niet abonnee' meteen weer uitgelogd.

@Floort Hoezó was dit volgens jou het béste antwoord?

[Voor 4% gewijzigd door Will_M op 25-04-2021 18:59]

[Floort]

@Anoniem: 235591 Ik mag best mijn uitspreken dat DPG een verwachting heeft geschept die niet is waargemaakt. Ik heb toegezegd bepaalde communicatie hier niet op het forum te plaatsen, dus ik ga niet vertellen waarom ik die verwachting had. Voor hier is het meest relevante punt: DPG Media heeft binnen de wettelijke termijn geen reactie gegeven die voldoet aan de wettelijke eisen. En dat staat nog los van de beoordeling van de inhoud van de reacties die ik wel heb gekregen, maar geen enkele bevatte de verplichte elementen waar een weigering aan moet voldoen.

En wat je voor literaire vergelijkingen maakt mag je geheel zelf weten. Ik denk dat ik aardig goed kan inschatten wat de kans van slagen is en hoeveel geduld ik er voor over heb. Als je maar niet de illusie hebt dat ik ook echt verwacht dat (in dit geval) DPG het juiste doet als ik oprecht mijn hulp aanbied. Wat mij betreft is het documenteren van de houding van DPG ook al wat waard. En nu kan ik kijken of ik wat kan doen met de vragen die ik van een aantal personen heb gekregen over het indienen van een klacht bij de AP.

[Floort]

Will_M schreef op zondag 25 april 2021 @ 18:45:
[...]
@Floort Hoezó was dit volgens jou het béste antwoord?

Terechte vraag. Het was een reactie die het dichtste in de buurt kwam denk ik. Maar eigenlijk is het nog een openstaand issue zonder echt antwoord.

[Floort]

Nadat ik heb laten weten dat de wettelijke termijn is verstreken heb ik gisteren alsnog een schriftelijke weigering ontvangen. Ik heb daarop gereageerd dat de interpretatie over de rolverdeling tussen DPG en advertentieplatformen onjuist is en ik heb daar ook tekst uit de nieuwe EDPB guidelines bij geciteerd. Daarnaast heb ik aangegeven dat DPG onterecht de scope van mijn verzoek beperkt tot de partijen die binnen de argumentatie van DPG past terwijl ik meerdere malen heb uitgelegd dat mijn verzoek niet zo bedoeld was. Ik heb ook aangegeven dat als DPG toch van standpunt veranderd dat ik bereid ben mijn klacht geheel of gedeeltelijk in te trekken.

Mijn klacht aan de AP is lastig hier te herhalen omdat een groot deel ingaat op wat de FG gezegd heeft. Uiteindelijk gaat mijn klacht niet over Tweakers, maar over hoe DPG is omgegaan met mijn verzoek. Ik geloof dat ik een aantal punten heb gevonden die op de kern van het probleem ingaan en die, indien de AP actie onderneemt, voor verbetering bij alle merken van DPG kan zorgen. Daarbij denk ik dat ik alle vinkjes uit het prioritiseringsbeleid van de AP heb meegenomen zodat de kans dat de AP de klacht alsnog afwijst zo klein mogelijk is. Nu is het een kwestie van wachten.

[Floort]

En ik heb zojuist aan de FG van CXSense gevraagd of zij de gegevens willen verwijderen om navolging te geven aan de suggestie dat ik direct met de partijen die gegevens verzamelen contact moet opnemen.

thank you for contacting us.

You are exactly right, we are a processor who processes data on behalf of the controller (in this case DPG Media). I will forward your request to DPG Media and get in touch with them, so we can collect the instruction from them to delete your data.

Wat blijkt: CXSense is het niet eens met de interpretatie van DPG Media. Ik heb er niet veel vertrouwen in dat DPG Media nu wel de instructie zal geven om de gegevens te wissen, maar de mailwisseling met CXSense zal toegevoegd worden aan mijn klacht om nog eens extra te onderbouwen dat DPG Media zou moeten weten dat ze onredelijke standpunten innemen.

Edit: dit is bewijs omdat CXSense zegt dat ze verwerker zijn voor DPG Media. Dat betekent dat er schriftelijke afspraken zijn gemaakt tussen CXSense en DPG Media die weerspreken dat CXSense een zelfstandige verantwoordelijke is. Dat kan als bewijs gebruikt worden dat DPG Media niet alleen een verkeerde voorstelling van zaken heeft gegeven, maar dat DPG Media wist of had moeten weten dat haar standpunt niet klopt.

[Voor 19% gewijzigd door Floort op 27-04-2021 11:08]

[Hydra]

Ik denk dat als Tweakers als 'tech forum' serieus genomen wil worden het zaak is dat ze hier onafhankelijk van het moederbedrijf stelling in nemen. Dat DPG hier zo in zit is te verwachten, maar ik ben wel teleurgesteld in het uitblijven van een duidelijke mening en stellingname van Tweakers zelf.

[Freeaqingme]

Hydra schreef op woensdag 28 april 2021 @ 10:30:
Ik denk dat als Tweakers als 'tech forum' serieus genomen wil worden het zaak is dat ze hier onafhankelijk van het moederbedrijf stelling in nemen. Dat DPG hier zo in zit is te verwachten, maar ik ben wel teleurgesteld in het uitblijven van een duidelijke mening en stellingname van Tweakers zelf.

Ik denk dat die discussie volop gevoerd is (en wordt) tussen DPG en Tweakers, maar dat het moederbedrijf hier een moratorium op heeft uigeroepen.

Wat dat betreft kan ik me voorstellen dat men bij tweakers wel blij is met de hulp van @Floort, omdat nu de (wellicht vastgeroeste) discussie weer nieuw leven wordt ingeblazen.

Het is volgens mij ook Floor's intentie om gewoon te zorgen dat Tweakers/DPG het netjes gaat fixen, niet alleen maar tegen schenen aan te schoppen. Wat dat betreft is het ook logisch dat een deel achter de schermen onderling uitgewisseld wordt. Dat creëert sneller een vertrouwde omgeving waarin men soms ook iets kan toegeven om zo te sparren en een goede oplossing te realiseren.

[Hydra]

Freeaqingme schreef op woensdag 28 april 2021 @ 10:51:
Ik denk dat die discussie volop gevoerd is (en wordt) tussen DPG en Tweakers, maar dat het moederbedrijf hier een moratorium op heeft uigeroepen.

Tweakers schermt graag met het idee dat ze vrij 'los' staan van DPG. Dus dat zou dan betekenen volgens mij dat een DPG een dergelijk besluit niet kan nemen. Dus dit zou betekenen dat DPG een veel dikkere vinger in de pap heeft dan men doet voorkomen.

Dit hele verhaal loopt al een tijdje.

[Freeaqingme]

Hydra schreef op woensdag 28 april 2021 @ 10:53:
[...]


Tweakers schermt graag met het idee dat ze vrij 'los' staan van DPG. Dus dat zou dan betekenen volgens mij dat een DPG een dergelijk besluit niet kan nemen. Dus dit zou betekenen dat DPG een veel dikkere vinger in de pap heeft dan men doet voorkomen.

Zelfs al sta je voor 95% los van DPG, dan zit je natuurlijk voor 5% nog aan ze vast. Ik denk dat men dit issue onder die 5% geschaard heeft. Hebben ze dan een dikke vinger in de pap? Ik denk 't doorgaans niet/beperkt, maar specifiek in dit geval wel.

Overigens, als mijn hypothese klopt kan Tweakers dit natuurlijk ook niet volmondig bevestigen, anders dan iets algemeens als 'we zijn continue in gesprek met alle stakeholders inclusief DPG'. Is wat mij betreft wel begrijpelijk en niet heel gek.

[Floort]

Freeaqingme schreef op woensdag 28 april 2021 @ 10:51:
[...]
Het is volgens mij ook Floor's intentie om gewoon te zorgen dat Tweakers/DPG het netjes gaat fixen, niet alleen maar tegen schenen aan te schoppen. Wat dat betreft is het ook logisch dat een deel achter de schermen onderling uitgewisseld wordt. Dat creëert sneller een vertrouwde omgeving waarin men soms ook iets kan toegeven om zo te sparren en een goede oplossing te realiseren.

Hier kan ik me helemaal in vinden, maar ik denk dat het standpunt van DPG (niet van Tweakers voor zover ik weet!) iets anders is. DPG heeft in het begin al aangegeven het niet gepast te vinden om het gesprek met mij aan te gaan en dat de AP wel een gepaste gesprekspartner is. Ik heb dat standpunt een beetje weten te omzeilen omdat er een wettelijke verplichting is om met mij te communiceren voor zowel de FG als DPG. Daar is vanuit DPG een punt achter gezet en ik heb begrepen dat het ook niet gewaardeerd wordt dat ik die communicatie hier op het forum is gedeeld. Ik vind het niet verstandig van DPG om aan te geven niet een oplossingsgericht gesprek te willen en geen ander alternatief voor te stellen dan de suggestie dat de AP voor DPG wel een passende gesprekspartner is. Maar dat is de keus van DPG en daar heb ik ook naar gehandeld.

Ik moet ook zeggen dat het heel lastig is geweest om te proberen om een oplossingsgericht gesprek aan te gaan omdat DPG Media weigert uit te leggen of de meningsverschillen gebaseerd zijn op een verschil van inzicht over de feiten, of dat we het niet eens zijn over de normuitleg. Daarnaast merk ik op enkele punten dat er feitelijke uitspraken worden gedaan die aantoonbaar onjuist zijn en waar reactie uitblijft op het moment dat ik dat aangeef zodat het voor mij steeds lastiger is om door te gaan onder de aanname dat ons verschil van inzicht oprecht is.

[Floort]

Freeaqingme schreef op woensdag 28 april 2021 @ 11:00:
[...]


Zelfs al sta je voor 95% los van DPG, dan zit je natuurlijk voor 5% nog aan ze vast. Ik denk dat men dit issue onder die 5% geschaard heeft. Hebben ze dan een dikke vinger in de pap? Ik denk 't doorgaans niet/beperkt, maar specifiek in dit geval wel.

Overigens, als mijn hypothese klopt kan Tweakers dit natuurlijk ook niet volmondig bevestigen, anders dan iets algemeens als 'we zijn continue in gesprek met alle stakeholders inclusief DPG'. Is wat mij betreft wel begrijpelijk en niet heel gek.

DPG Media is niet "slechts" een stakeholder. DPG Media is de verwerkingsverantwoordelijke volgens het privacybeleid van Tweakers. Dat betekent feitelijk dat DPG Media doel en middelen van de verwerking bepaald. Of het beleid klopt met de praktijk weet ik niet omdat ik geen inzicht heb in de dagelijkse besluitvorming.

[jap2slow]

Ik begin denk ik een beetje te begrijpen waarom DPG hier geen gesprek over wil, van het weekend een update van de AD.nl app gehad met daarin "aangepaste" cookies. DPG heeft wel heel veel "partners" voor je data. kun je zelf ondervinden als je naar nu.nl gaat.

[crisp]

Floort schreef op woensdag 28 april 2021 @ 12:09:
[...]

DPG Media is niet "slechts" een stakeholder. DPG Media is de verwerkingsverantwoordelijke volgens het privacybeleid van Tweakers. Dat betekent feitelijk dat DPG Media doel en middelen van de verwerking bepaald. Of het beleid klopt met de praktijk weet ik niet omdat ik geen inzicht heb in de dagelijkse besluitvorming.

Onderdeel zijn van een groter bedrijft heeft voordelen. Zo zijn er zaken die bedrijfsbreed worden geregeld zoals de boekhouding, personeelszaken en juridische zaken. Een nadeel daarvan is wel dat je je soms dan ook moet schikken naar bedrijfsbeleid en er dus niet altijd mogelijkheden zijn om daarvan af te wijken of dingen zelf in de hand te nemen - afgezien van de vraag of je daartoe wel bent toegerust.

[Floort]

De AP heeft zojuist een boeterapport gepubliceerd waarin een boete van zes ton aan de gemeente Enschede wordt opgelegd. Het onderwerp is anders (WiFi-tracking versus online tracking), maar de argumentatie van de gemeente lijkt erg op de argumentatie van DPG. Beide zijn van mening dat ze geen verantwoordelijken zijn voor de verwerking. In paragraaf 3.2.4 van het boeterapport legt de AP keurig uit dat de argumentatie niet klopt. De redenering van de AP hierover is ook grotendeels op DPG van toepassing.

[Helgie]

Floort schreef op donderdag 29 april 2021 @ 08:42:
De AP heeft zojuist een boeterapport gepubliceerd waarin een boete van zes ton aan de gemeente Enschede wordt opgelegd. Het onderwerp is anders (WiFi-tracking versus online tracking), maar de argumentatie van de gemeente lijkt erg op de argumentatie van DPG. Beide zijn van mening dat ze geen verantwoordelijken zijn voor de verwerking. In paragraaf 3.2.4 van het boeterapport legt de AP keurig uit dat de argumentatie niet klopt. De redenering van de AP hierover is ook grotendeels op DPG van toepassing.

Ik en anderen waarderen de moeite die je hierin stopt

[Floort]

Het brengt de discussie niet echt verder, maar dit mailtje van CXSense dat ik net heb ontvangen geeft het standpunt van DPG wel mooi weer denk ik. Als ik om verwijdering vraag kan DPG dat niet omdat ze geen controle hebben over de verwerking. Als ik bij een verwerker om verwijdering vraag oefent DPG controle uit door het verzoek weer terug te leiden naar het loket waar ik al een verzoek heb ingediend.

Hi Floor,

DPG Media got back to us. Please submit your request to consumersrecht.persgroep.net/be. That way you can submit a request to be removed from our entire database. DPG Media will process the request.

Best regards,
xxxxxxx

[catface]

Wat een soap.
Ik denk dat veel mediabedrijven geen idee hebben waar ze mee bezig zijn.
Het is leuk, financieel interessant om allerlei gegevens over bezoekers te verzamelen, maar zoals gewoonlijk krijgen de rechten van consumenten weer de minste c.q. geen aandacht.

[Floort]

De AP heeft aanvullende bewijs van mij ontvangen waaruit blijkt dat DPG weldegelijk instructies geeft aan in ieder geval één van de trackers. Daarnaast heb ik ook de afwijzing van DPG aangeleverd die pas na de wettelijke termijn aan mij is verstuurd. Mijn klacht is overgedragen aan eerstelijns onderzoek bij de AP en ik heb een zaaknummer. Ik kan niet voorspellen wat dat betekent voor de rest van het traject maar dat is een paar maanden sneller dan ik gewend ben.

[DiedX]

Mijn ervaringen met de AP zijn wat mij betreft niet slecht. Ik meldde een datalek inzake mijn garage (wat later dat VIN-debacle bleek te zijn). Ze hebben het opgepakt, onderzocht en gearchiveerd. Ze doen meer dan de gemiddelde wijkagent zeg maar

[Floort]

Er is wat discussie geweest over de normuitleg. Vandaag heeft de CNIL (Franse collega's van de AP) bekend gemaakt dat ze zijn begonnen met handhaven op een van de punten uit mijn eerste post in dit topic waar Tweakers nog steeds niet aan voldoet. Het moet namelijk net zo makkelijk zijn om toestemming in te trekken als dat het is om de toestemming te geven. DPG heeft aangegeven nog te wachten op normuitleg, hier is weer een nieuw stukje. https://www.cnil.fr/fr/co...organismes-mis-en-demeure

[ToBe]

Dank dat je ons op de hoogte houdt, @Floort. Ik wilde toevallig vandaag een update aan je vragen. Ben benieuwd naar de uitkomsten.

[Floort]

Verwacht geen vlugge updates. Het kan makkelijk maanden duren voordat ik weer wat hoor van de AP. Zodra de zaak eenmaal in behandeling is zal ik ook weinig over de inhoud delen, maar ik probeer zoveel mogelijk over het proces te delen.

[The Lord]

Floort schreef op dinsdag 25 mei 2021 @ 15:36:
Er is wat discussie geweest over de normuitleg. Vandaag heeft de CNIL (Franse collega's van de AP) bekend gemaakt dat ze zijn begonnen met handhaven op een van de punten uit mijn eerste post in dit topic waar Tweakers nog steeds niet aan voldoet. Het moet namelijk net zo makkelijk zijn om toestemming in te trekken als dat het is om de toestemming te geven. DPG heeft aangegeven nog te wachten op normuitleg, hier is weer een nieuw stukje. https://www.cnil.fr/fr/co...organismes-mis-en-demeure

En ik val elke weer van mijn stoel als een (privacy) jurist, FG of (C)ISO met droge ogen volhoudt dat 'privacy by design' en het recht van de betrokkene om zijn toestemming in te trekken niet betekent dat je er als verwerker enige moeite voor hoeft te doen om dat recht op eenvoudige wijze te faciliteren. Laat staan zo eenvoudig te maken als een vinkje weghalen dat eerder expliciet is aangezet om toestemming te verlenen.

In ieder geval Floor, keep up the good work. Het zijn inderdaad vaak langzame processen.

[Bockelaar]

een van de zwijgende meerderheid hier (een die ook al "enige tijd" hier door brengt). Een heel groot dank je wel dat je dit bijna gevecht aangaat!

[DiedX]

Bockelaar schreef op donderdag 27 mei 2021 @ 13:52:
een van de zwijgende meerderheid hier (een die ook al "enige tijd" hier door brengt). Een heel groot dank je wel dat je dit bijna gevecht aangaat!

Dit. Het is bijna cynisch te noemen dat t.net wel een interview plaatst met de AP......

[Floort]

DiedX schreef op donderdag 27 mei 2021 @ 16:04:
[...]

Dit. Het is bijna cynisch te noemen dat t.net wel een interview plaatst met de AP......

Het lijkt me niet productief om de Tweakers redactie te ontmoedigen om over privacy-onderwerpen te schrijven omdat DPG niet aan de AVG voldoet. Sterker nog: ik zou de Tweakers redactie juist willen aanmoedigen om meer over privacy te schrijven. Er zijn wat mij betreft te weinig media die degelijk schrijven over de advertentiemarkt en online tracking, in het bijzonder over de afhankelijkheid van media van een (grotendeels) non-compliant advertentie-industrie.

[crisp]

DiedX schreef op donderdag 27 mei 2021 @ 16:04:
[...]

Dit. Het is bijna cynisch te noemen dat t.net wel een interview plaatst met de AP......

Zie overigens hierover Tuttel in "We passen de cookiewall aan en maken abo's trackingvrij" en de reactie van Tijs een paar posts verder.

[Floort]

Max Schrems is bezig met het scannen van zo'n 10.000 websites en gaat klachten indienen voor de non-compliant cookie banners. Ik ben benieuwd hoeveel dat de druk opvoert voor de toezichthouders. Mijn vermoeden is dat Tweaker en meerdere andere DPG sites daartussen staan. https://noyb.eu/en/noyb-a...-more-500-gdpr-complaints

[bbob]

Kwam deze link tegen in max schrems artikel van vandaag. Even meeste gelezen maar de conclusie is eigenlijk heel eenvoudig. DPG heeft lak aan de wet c.q interpreteert die naar haar eigen handelen.
Pas als de AP ze op de vingers tikt zullen ze iets doen.

Jou aanvragen die zee moeten behandelen, doen ze niet dus moet je idd klacht bij de AP indienen, Ze weten wachttijd 6 maanden.

Enige hoop is nu dat de AP ze met een hele dikke boete op de vingers tikt en ze op die manier in de toekomst wel meewerken.

Trieste is ook dat dit typisch groot bedrijf is dat haar macht gebruikt/misbruikt. Je kan natuurlijk naar de rechter stappen maar ja wie doet dat ?

Misschien een idee om voor dit soort zaken een crowfunding op te starten om dit soort bedrijven aan te pakken. Als er van advocaten brieven komen reageren ze meestal wel. Respekt voor Schrem wat die toch al bereikt heeft.

Tweakers is natuurlijk gewoon eigendom van DPG en zal gewoon braaf moeten meewerken. Als medewerker kun je er zelf wel een mening over hebben maar als beleid op dit gebied door de moeder bepaald wordt heb je niets te willen. Sterker nog denk dat kritisch artikel over jezelf ook niet op prijs gesteld zal worden.

Kijk je verder dan is dit ook exact wat Pieter Omtzigt bedoeld met maar 2 grote persgroepen in Nederland waaronder DPG (in Belgische handen) dat is geen gezonde situatie.

[Floort]

bbob schreef op maandag 31 mei 2021 @ 15:56:
Tweakers is natuurlijk gewoon eigendom van DPG en zal gewoon braaf moeten meewerken. Als medewerker kun je er zelf wel een mening over hebben maar als beleid op dit gebied door de moeder bepaald wordt heb je niets te willen. Sterker nog denk dat kritisch artikel over jezelf ook niet op prijs gesteld zal worden.

Ik denk dat het nodig is om hier te zeggen dat ik nog geen enkele aanwijzing heb gezien dat de redactie van Tweakers niet mag schrijven over onderwerpen die gevoelig liggen bij de eigenaar. Het venijnige is dat het suggesties zijn die niet te ontkrachten zijn, dus ik wil daar heel voorzichtig mee zijn.

[corset]

Floort schreef op maandag 31 mei 2021 @ 16:07:
[...]

Ik denk dat het nodig is om hier te zeggen dat ik nog geen enkele aanwijzing heb gezien dat de redactie van Tweakers niet mag schrijven over onderwerpen die gevoelig liggen bij de eigenaar. Het venijnige is dat het suggesties zijn die niet te ontkrachten zijn, dus ik wil daar heel voorzichtig mee zijn.

Dat wordt ook niet gezegd. Maar Tweakers kunnen willen wat ze willen in bepaalde situaties, mar als DPG zegt "Nee!" dan is het ook gewoon nee. Ik denk dat dat meer bedoeld wordt. En dat is logisch als je ergens onder valt

[Floort]

corset schreef op maandag 31 mei 2021 @ 16:09:
[...]


Dat wordt ook niet gezegd. Maar Tweakers kunnen willen wat ze willen in bepaalde situaties, mar als DPG zegt "Nee!" dan is het ook gewoon nee. Ik denk dat dat meer bedoeld wordt. En dat is logisch als je ergens onder valt

Zoals ik het begrijp kan de Tweakers redactie alles schrijven, maar de organisatie is beperkt in het innemen van standpunten en mogelijk ook implementatiekeuzes. Ik reageerde specifiek op je opmerking over het schrijven van een kritisch artikel. Dat ligt bij de redactie. En suggesties dat de redactie niet onafhankelijk kan opereren moet je (wat mij betreft) heel voorzichtig mee zijn.

[bbob]

Laat ik het zo zeggen, ik kan me niet voorstellen op tweakers een artikel te zien waarin met het cookiebeleid van de DPG groep als zijnde illegaal omschrijft zoals jij dat nu doet.

In dat opzicht bedoel ik dat ook tweakers zich niet negatief over de eigen groep zal mogen uitlaten. Als je dat zuiver gaat bekijken kun je stellen dat er dus een beperking van journalistieke vrijheid is ook binnen tweakers. Op een nauw vlak ja dat wel.

Probleem is echter dat er op dagblad gebied maar 2 grote groepen in Nederland actief zijn. Als beide hetzelfde cookiebeleid hanteren zul je daar nooit echt een heel kritisch artikel over gaan vinden. Dat is zorgelijk.

Gaf ook aan geloof best dat er medewerkers van tweakers zijn die het graag anders willen maar ja DPG is eigenaar en betaald ze. Niemand zal voor kritisch artikel op dit gebied zijn/haar baan op het spel willen zetten, dus krijg je automatisch verwijzing naar legal en daar moet je het mee doen, ook al zou de medewerkers het anders willen.

Dus wat dat betreft is dat wat jij doet (AP) de enige mogelijkheid om er voor te zorgen dat DPG wel iets gaat doen. Jammer en frustrerend dat het op die manier moet maar het kan schijnbaar niet anders.

In het algemeen kan ik zeggen ben ik van mening dat bij DPG het puur om de centen gaat. Hier een voorbeeld: https://www.apache.be/201...ctionele-bijdrages-kopen/
Als je je daarna ook nog eens gaat verdiepen over de echte onafhankelijkheid van persgroepen wereldwijd en de druk die er op editors gelegd wordt, dan wordt je beeld van dit soort bedrijven er niet beter op.
Er zijn genoeg onderzoeken waarin editors aangeven van bovenaf druk te krijgen over op een bepaalde inhoud.
Zeg niet dat het bij tweakers zo is maar DPG heeft met hun redactionele bijdragen verkopen (volgens link hierboven) nu niet echt het toonbeeld van een bedrijf dat echt onafhankelijk is. Ook met cookies, tracking het gaat bij DPG gewoon keihard om de cash, misschien te hard.

[JackBol]

Anoniem: 235591 schreef op maandag 19 april 2021 @ 12:40:
[...]

Hetzelfde als jij heb ik ook gedaan. Duidelijk aangegeven wat ik verwijderd wilde hebben. Geven ze aan dat ze mijn hele account willen anonimiseren. Maar daar vroeg ik niet om.

https://tweakers.net/info/algemene-voorwaarden/

10.4 Door het plaatsen van Content op de Website;

• verleent het Lid onherroepelijk toestemming aan Tweakers.net om deze Content zonder vergoeding te publiceren, aan te passen en commercieel te exploiteren via de Website of andere online of print media van DPG Media;
• verleent het Lid toestemming aan andere Leden en bezoekers van de Website om deze Content te raadplegen en daarvan kopieën te maken voor eigen gebruik;
• geeft het Lid toestemming aan Tweakers.net voor de openbaarmaking van zijn portret, voorzover dit voorkomt in deze Content; en
• doet het Lid, voorzover wettelijk mogelijk, afstand van de op de Content rustende persoonlijkheidsrechten.

Je hebt het intellectueel eigendom van je posts overgedragen aan Tweakers toen je hier een account maakte.
Ze hebben geen verplichting hun data te verwijderen.

[Voor 4% gewijzigd door JackBol op 31-05-2021 16:45]

[Floort]

JackBol schreef op maandag 31 mei 2021 @ 16:45:
[...]


https://tweakers.net/info/algemene-voorwaarden/

[...]


Je hebt het intellectueel eigendom van je posts overgedragen aan Tweakers toen je hier een account maakte.
Ze hebben geen verplichting hun data te verwijderen.

Die had ik nog niet opgemerkt. Onherroepelijke toestemming kan niet onder de AVG. Er zijn redenen om verwijderingsverzoeken te weigeren, maar als toestemming de grondslag is en de toestemming wordt ingetrokken vervalt de grondslag. M.b.t. auteursrechten kan deze constructie mogelijk wel. Maar mijn verzoek gaat niet over de data op de Tweakers-sites, maar over mijn persoonsgegevens bij allerlei trackers die mij volgens op de Tweakers-sites.

[JackBol]

Floort schreef op maandag 31 mei 2021 @ 16:53:
[...]

Die had ik nog niet opgemerkt. Onherroepelijke toestemming kan niet onder de AVG. Er zijn redenen om verwijderingsverzoeken te weigeren, maar als toestemming de grondslag is en de toestemming wordt ingetrokken vervalt de grondslag. M.b.t. auteursrechten kan deze constructie mogelijk wel. Maar mijn verzoek gaat niet over de data op de Tweakers-sites, maar over mijn persoonsgegevens bij allerlei trackers die mij volgens op de Tweakers-sites.

In dat geval ben ik blij dat ik heb kunnen bijdragen
Ik denk dat je goed werk doet.

Edit: overigens reageerde ik meer op Tuintje, die al z'n posts verwijderd wilde hebben. Volgens mij is dat meer een auteursrechtvraag dan een persoonsgegevens vraag.

[Voor 11% gewijzigd door JackBol op 31-05-2021 17:20]

[Brantje]

Floort schreef op donderdag 29 april 2021 @ 08:42:
De AP heeft zojuist een boeterapport gepubliceerd waarin een boete van zes ton aan de gemeente Enschede wordt opgelegd. Het onderwerp is anders (WiFi-tracking versus online tracking), maar de argumentatie van de gemeente lijkt erg op de argumentatie van DPG. Beide zijn van mening dat ze geen verantwoordelijken zijn voor de verwerking. In paragraaf 3.2.4 van het boeterapport legt de AP keurig uit dat de argumentatie niet klopt. De redenering van de AP hierover is ook grotendeels op DPG van toepassing.

Laten we hopen dat de AP, DPG ook aanklaagt voor 600k. Hopelijk leren ze het, geldwolven dat het zijn.

[Freeaqingme]

JackBol schreef op maandag 31 mei 2021 @ 16:45:

[...]


Je hebt het intellectueel eigendom van je posts overgedragen aan Tweakers toen je hier een account maakte.
Ze hebben geen verplichting hun data te verwijderen.

Nee nee, de DPG-jurist heeft hier een trucje gebruikt. IE is enkel over te dragen via een akte dus met een natte handtekening of equivalent (een checkbox volstaat niet). Daarom draag je het niet over, maar geef je een toestemming het te exploiteren.

Hoe breed dat ook omschreven is is dat ook niet alleszeggend. Stel dat ik in HK een selfie post, en DPG morgen besluit dat op de buitenkant van bussen en bushokjes te publiceren hebben ze toch echt een probleem*.

Maargoed, dat staat denk ik inderdaad los van de AVG. Hoewel het wellicht wel leuk wordt als er inderdaad persoonsgegevens in die posts staan. De enkele referentie naar het portret(recht), doet me denken dat het geheel wellicht stamt van voor 2018.

offtopic:
* Ik denk niet dat t.net meteen gaat stormlopen bij het zien van mijn selfies...

[crisp]

Freeaqingme schreef op maandag 31 mei 2021 @ 17:59:
[...]


Nee nee, de DPG-jurist heeft hier een trucje gebruikt. IE is enkel over te dragen via een akte dus met een natte handtekening of equivalent (een checkbox volstaat niet). Daarom draag je het niet over, maar geef je een toestemming het te exploiteren.

Hoe breed dat ook omschreven is is dat ook niet alleszeggend. Stel dat ik in HK een selfie post, en DPG morgen besluit dat op de buitenkant van bussen en bushokjes te publiceren hebben ze toch echt een probleem*.

Maargoed, dat staat denk ik inderdaad los van de AVG. Hoewel het wellicht wel leuk wordt als er inderdaad persoonsgegevens in die posts staan. De enkele referentie naar het portret(recht), doet me denken dat het geheel wellicht stamt van voor 2018.

offtopic:
* Ik denk niet dat t.net meteen gaat stormlopen bij het zien van mijn selfies...

Het belang van door gebruikers geplaatste data gaat verder dan alleen het belang van de plaatser. Zowel wij als website als de andere gebruikers van de site hebben daar ook een belang bij.

Waar het gaat om privacygevoelige data hebben wij wel een inspanningsverplichting om die op verzoek aan te passen of te verwijderen. Onze DPO is bezig om daar concrete criteria voor op te stellen. Daarnaast zijn wij nu ook bezig om nicknames in quotes en mentions geautomatiseerd te kunnen aanpassen/anonimiseren (en dat is zeker geen triviale klus).

[Floort]

crisp schreef op maandag 31 mei 2021 @ 18:29:
[...]

Het belang van door gebruikers geplaatste data gaat verder dan alleen het belang van de plaatser. Zowel wij als website als de andere gebruikers van de site hebben daar ook een belang bij.

Waar het gaat om privacygevoelige data hebben wij wel een inspanningsverplichting om die op verzoek aan te passen of te verwijderen. Onze DPO is bezig om daar concrete criteria voor op te stellen. Daarnaast zijn wij nu ook bezig om nicknames in quotes en mentions geautomatiseerd te kunnen aanpassen/anonimiseren (en dat is zeker geen triviale klus).

Probeer in ieder geval de suggestie te vermijden dat de posts verwerkt worden op basis van toestemming. Ik denk dat je best ruimte hebt om niet alles te verwijderen, maar dat gaat niet op als toestemming de grondslag is. Overigens off topic voor de rest van de discussie in dit draadje.

P.S. ik zou wat terughoudend zijn met de suggestie dat de FG beleid aan het opstellen is. Dit is dan wel weer een on-topic issue wat mij betreft.