Verwijderen tracking-data

[Floort]

Mini-update: het privacy statement van Tweakers is gisteren aangepast en bevat nu contactgegevens van de FG. Geen e-mail adres of telefoonnummer, maar een ouderwets postadres. Hoewel niet heel expliciet voorgeschreven in de AVG vind ik het wel heel tekenend dat DPG de FG wil uitzonderen van de in overweging 59 voorgeschreven electronische contactmogelijkheden.

Dat hier niet gewoon een e-mail adres staat komt op mij over alsof de drempel om contact op te nemen met de FG zo hoog mogelijk moet zijn.

[duvekot]

@Floort kan dat dan niet via dat email account die in de alinea er boven staat? [e-mail]

Of had je een [e-mail] email adres verwacht om rechtstreeks met de FG te kunnen emailen ... Ipv naar een afdeling?

[Floort]

[e-mail] is een e-mail adres waar anderen dan de FG op mee kunnen lezen. Vanwege de geheimhouding die de FG verplicht is moet de FG direct te bereiken zijn. Edit: en dat kan dus nu via de post.

[ Voor 9% gewijzigd door Floort op 07-02-2024 10:03 ]

[lithoijen]

@Floort Al iets gehoord van de AP? Ik begreep dat de deadline voor DPG verliep op 8-feb en dat je op korte termijn de reactie van DPG via de AP verwachte.

Verder ben ik eigenlijk wel benieuwd hoe het besluit van tweakers om te stoppen met trackingvrije advertenties in het verhaal past, dit lijkt me een stap terug.

Super trouwens dat je al deze tijd en energie investeerd om tweakers een betere en veiligere plek te maken voor ons allemaal!

[Floort]

@lithoijen Nee, maar het is niet heel gek dat ook de AP nog wat tijd nodig heeft.

Ik heb de aankondiging gezien en ook een reactie achtergelaten. Ik vind het enorm jammer dat de aanpak het niet heeft gered. Voor mij is het een teken dat de markt dusdanig verstoord is dat handhaving noodzakelijk is om compliant oplossingen een kans te geven.

Wat ik ook heel ongemakkelijk vind aan de aankondiging is de verdeling van verantwoordelijkheid. Formeel is DPG verantwoordelijke voor de keuze om over te stappen op het DPG advertentiemodel denk ik. Juist in die ongemakkelijke situatie hoop ik dat Tweakers open staat voor open communicatie over de keuzes die zijn gemaakt voor de omgang met de persoonsgegevens van de bezoekers van deze website en misschien wat minder star vasthoudt aan de stelling dat hierover geen terugkoppeling wordt gegeven aan de bezoekers en alleen in gesprek gaat met partijen zoals de AP. Ik denk dat dat een houding is die voor niemand fijn is.

[Ex Nunc]

https://autoriteitpersoon...eidende-cookiebanners-aan

Ik ben benieuwd of dit ook nog mee gaat spreken voor DPG. Dit met het oog op de aankomende nieuwe cookie pop-up. Ze zullen er zo dan wel gekleurd op komen te staan. Maar eerst zien en dan geloven.

[Floort]

Vanwege de marktpositie van DPG denk ik dat het waarschijnlijk is dat één of meer websites van DPG als één van de eerste aan de beurt zijn.

Als dat zo is heb ik een beetje een dubbel gevoel. Aan de ene kant voldoet de DPG consent banner overduidelijk niet. Aan de andere kant is de uitleg van de AP op punten onjuist en afgezwakt van de daadwerkelijke wettelijke eisen. Ook benoemd de AP onderdelen die relatief oppervlakkig zijn. Het is mogelijk dat er bij handhaving het één en ander aangevochten wordt of een beetje cosmetisch opgelapt zonder onderliggende compliance significant te verbeteren. Het kan alle kanten opgaan, maar de aankondiging wekt niet direct vertrouwen.

[Floort]

Ik heb gisteravond rond half 10 mail en een sms gehad van de AP met de reactie van DPG.

[lithoijen]

Ze werken nog tot laat daar bij de AP. Ben benieuwd wat het inhoudelijk allemaal bevat.

[The Lord]

Floort schreef op donderdag 22 februari 2024 @ 09:56:
Ik heb gisteravond rond half 10 mail en een sms gehad van de AP met de reactie van DPG.

Als de reactie in een SMS past zijn ze vrij kort van stof geweest.

[Floort]

De werkdruk bij de AP is onredelijk hoog. Er zijn medewerkers die zich in onredelijke mate inzetten om alsnog goed werk te doen.
De gebruikelijke werkwijze voor dit soort bestandsuitwisselingen is via aangetekende post of via een tijdelijke fileshare waarbij je een unieke link krijgt per e-mail en een wachtwoord per sms.

[lithoijen]

@Floort Ik wil echt niet te veel opdringen, maar is het mogelijk dat je een korte update geeft? Ik snap dat je nog niet door de, waarschijnlijk omvangrijke, stapel papier heen bent en dat een inhoudelijke reactie nog even op zich laat wachten, maar misschien dat je de verwachte tijdslijnen kunt delen?

[Floort]

Ik heb een concept-zienswijze klaar en moet 'm voor de zorgvuldigheid nog even doorlopen. De planning van de AP daarna weet ik niet.

[lithoijen]

Floort schreef op maandag 4 maart 2024 @ 13:48:
Ik heb een concept-zienswijze klaar en moet 'm voor de zorgvuldigheid nog even doorlopen. De planning van de AP daarna weet ik niet.

Ik weet niet of ik de juiste persoon ben, maar als je wilt dat een vers paar ogen erna kijkt wil ik wel een poging wagen (ik voel me nu al schuldig dat al het werk bij jou ligt). Ik heb verder geen kennis van de materie, dus verwacht niks meer als boerenverstand. Ook prima als het niet nodig of gewenst is trouwens, ben al lang blij dat jij er zoveel tijd en energie in wilt steken. Ik heb daar veel waardering voor!

[Floort]

lithoijen schreef op maandag 4 maart 2024 @ 14:39:
[...]

Ik weet niet of ik de juiste persoon ben, maar als je wilt dat een vers paar ogen erna kijkt wil ik wel een poging wagen (ik voel me nu al schuldig dat al het werk bij jou ligt). Ik heb verder geen kennis van de materie, dus verwacht niks meer als boerenverstand. Ook prima als het niet nodig of gewenst is trouwens, ben al lang blij dat jij er zoveel tijd en energie in wilt steken. Ik heb daar veel waardering voor!

Dat waardeer ik, maar dat heeft alleen zin als ik ook de informatie deel die DPG met de AP heeft gedeeld. Dat doe ik niet. Je hoeft je overigens ook niet schuldig te voelen.

[lithoijen]

Floort schreef op maandag 4 maart 2024 @ 14:43:
[...]

Dat waardeer ik, maar dat heeft alleen zin als ik ook de informatie deel die DPG met de AP heeft gedeeld. Dat doe ik niet. Je hoeft je overigens ook niet schuldig te voelen.

Geen probleem en heel integer! Ik wacht gewoon geduldig af.

[Floort]

Fijn dat ik nog even heb gewacht met het opsturen van mijn zienswijze. De AP heeft net normuitleg gepubliceerd die de kern van mijn klacht raakt:

Daarnaast geldt dat, indien via een cookiebanner op een website, (mede) toestemming is gegeven voor het
verwerken van persoonsgegevens door derde partijen, de verwerkingsverantwoordelijke van deze website
er ook voor dient te zorgen dat de intrekking van de toestemming aan deze derde partijen wordt
doorgegeven. In dit kader mag geen (extra) inspanning van de betrokkene worden gevraagd, door de
betrokkene zelf deze derde partijen te laten benaderen.

Het verwijderen van persoonsgegevens die op basis van toestemming verzameld zijn zouden moeten worden verwijderd als die toestemming wordt ingetrokken. Omdat dat niet mogelijk is/was heb ik een extra inspanning geleverd en expliciet om verwijdering gevraagd. Dat DPG Media mij daarvoor doorverwijst naar al die externe partijen is heel duidelijk niet de bedoeling.

Ook voor de toekomstige cookie-consent oplossing die is aangekondigd is dit punt een vrij fundamenteel compliance obstakel.

[Ludewig]

De vraag blijft dan natuurlijk nog steeds of compliance wel afgedwongen wordt, want anders maakt het niet zoveel uit wat de AP als uitleg heeft.

Tenzij de DPG natuurlijk uit zichzelf besluit om correct te handelen, maar aangezien ze zich al vele jaren niet aan de wet houden lijkt me dat een beetje erg optimistisch.

[Ludewig]

Floort schreef op donderdag 22 februari 2024 @ 11:08:
De werkdruk bij de AP is onredelijk hoog. Er zijn medewerkers die zich in onredelijke mate inzetten om alsnog goed werk te doen.

Een alternatief zou zijn dat de wetgever in de wet de mogelijkheid opneemt om een (gemaximeerde) dwangsom te eisen na een redelijke periode. Op dit moment is er volgens mij alleen de mogelijkheid om aantoonbare schade vergoed te krijgen, maar dat is bij privacyvergrijpen uiteraard vaak lastig.

Om dit moment kunnen bedrijven de AP gewoon overbelasten door massaal de wet te overtreden.

Met een dwangsom wordt het een potentieel verdienmodel voor mensen zoals jij, of kun je in elk geval advocaatkosten en dergelijke betalen met de dwangsommen. Aan de andere kant is de rechterlijke macht ook overbelast, al zouden dergelijke zaken op zich redelijk snel afgehandeld moeten worden als er duidelijke richtlijnen van de AP liggen die de rechter overneemt:
- Voldoet de cookiemuur aan de regels of zijn de tracking data verwijderd?
- Zo nee, is de klacht over de cookiemuur of de verwijdervraag ouder dan een bepaalde periode?
- Zo ja, dwangsom toegekend

Hoe meer bedrijven weigeren om de wet te volgen, hoe meer mensen een betaalde hobby of zelf een baan gaan hebben om achter bedrijven aan te zitten, want het bedrag aan dwangsommen schaalt met het aantal overtredingen, terwijl de capaciteit van de AP niet schaalt.

[Floort]

Ik zit er een beetje dubbel in. Aan de ene kant is er al een verdienmodel mogelijk via georganiseerde schadeclaims. Dat kan goed zijn onder omstandigheden (ben in dat opzicht ook niet geheel onafhankelijk), maar ik ben wel redelijk terughoudend in hoe en waar dat middel wordt ingezet.

Maar wat je omschrijft lijkt ook op een ander mechanisme waarbij je als klager recht kan hebben op een dwangsom bij niet tijdig beslissen door de AP. Dat kan nu al in theorie. In de praktijk is dat erg lastig vanwege een interpretatie dat artikel 78(2) AVG de Awb beslistermijn praktisch onbeperkt kan oprekken als er maar binnen 3 maanden na ontvangst van een klacht een ontvangstbevestiging wordt gegeven. Ik denk dat een verdienmodel door dergelijke dwangsommen alleen maar ten koste van de AP zullen gaan, maar ik vind het tegelijkertijd ook onredelijk dat klagers praktisch geen zicht meer hebben op een redelijke beslistermijn.

Ik denk dat de oplossing zit in meer budget voor de AP, maar tegelijkertijd ook een vrij fundamentele verschuiving in de toezichts-strategie en houding van de AP in onderzoeken ten opzicht van wat ze nu doen. Ik denk dat wordt onderschat hoeveel meer de AP kan doen met het huidige budget als ze ervoor kiezen om anders te werken. Heel oppervlakkige statistiek: in 2016 heeft de AP met 73 fte 197 onderzoeken afgerond. In 2022 41 met 183 fte. Dat los je niet op met dwangsommen.

[CAPSLOCK2000]

Ik denk dat we het inderdaad vooral van een andere aanpak moeten hebben. Of het nu 40 of 200 onderzoeken zijn, het blijft een druppel op een gloeiende plaat. De politie doet meer moordzaken per jaar.
Dat voelt alsof de politie bij iedere verkeersovertreding op zoek moet gaan naar sporen alsof het dodelijke ongeluk is terwijl je veel (AVG-)overtredingen in één oogopslag kan vaststellen.

[Floort]

Productiviteit meten aan de hand van het aantal onderzoeken is overigens ook verkeerd. Je komt uiteindelijk ook uit bij de keuze om tegenwoordig de meeste besluiten niet te publiceren, de keuze voor welke klachten je oppakt (stuur je op aantallen klachten, gemakt van het verzamelen van bewijs, omvang van het probleem, impact van de norm die je kan aantonen met de zaak, etc. etc.), hoe je omgaat met artikel 60 bottlenecks, straf je transparant non-compliant harder dan degenen die non-compliance proberen te verbergen, etc.. Dat wordt een hele ingewikkelde discussie en dit topic is denk ik niet de beste plaats om dat allemaal uit te werken.

Wat ik wel probeer is dat als ik een klacht indien dat het wel een potentiële high impact klacht is. In dit geval is DPG Media enorm op het gebied van online tracking en raakt het daarmee erg veel betrokkenen, is de norm die ik aankaart ook impactvol (niet alleen bij DPG), de nrom is helder, maar nog niet zichtbaar gehandhaafd in een dergelijke context, het bewijs zou relatief makkelijk te verkrijgen moeten zijn en is DPG Media ook wel een partij waarvan je mag verwachten dat ze de kennis hebben om het goed op te pakken als ze dat willen. Zolang de AP vast zit aan het moeten behandelen van klachten probeer ik daar met het indienen van klachten ook wel rekening mee te houden zodat de klachten die ik indien ook wel de moeite waard zijn op een een of andere manier.

[Ludewig]

Floort schreef op dinsdag 5 maart 2024 @ 16:47:
Wat ik wel probeer is dat als ik een klacht indien dat het wel een potentiële high impact klacht is. In dit geval is DPG Media enorm op het gebied van online tracking en raakt het daarmee erg veel betrokkenen

Maar daardoor laat je ook meteen zien hoe erg de AP faalt, want als het ze al niet lukt om zo'n grote partij aan te pakken, dan kun je toch zeker stellen dat 99% van de bedrijven niks van ze te vrezen heeft.

Ik zit zelf in een een branch die bestaat uit veel relatief kleine bedrijven waar massaal de AVG wordt overtreden en echt alles moet komen van ons en van onze klanten zelf. Maar het is lastig om AVG-compliance te marketen, wanneer men totaal geen druk voelt vanuit de overheid.

Maar helaas lijkt onze overheid steeds meer te transformeren naar Zuid-Europese kwaliteit, waarbij de beloftes steeds meer afwijken van wat waargemaakt kan worden.

Heel oppervlakkige statistiek: in 2016 heeft de AP met 73 fte 197 onderzoeken afgerond. In 2022 41 met 183 fte.

Maar hoe vaak hoor je van een bedrijf dat een stevige straf krijgt omdat ze zoals de DPG jaar op jaar weigeren aan de regels te voldoen? Wat houden die onderzoeken nu eigenlijk echt in, qua straf/handhaving?

Geen enkele overheid kan massale wetsovertredingen per stuk allemaal gaan onderzoeken en straffen. Het enige dat werkt is wanneer de meeste bedrijven of individuen de wet vrijwillig volgen. Als dat niet gebeurd dan zit er ergens een systeemfout. Of de wet staat te ver af van wat mensen redelijk vinden, of de straffen zijn te laag, of er moet een keer echt duidelijk een norm worden gesteld, of wat dan ook. Maar gewoon maar doorgaan op dezelfde weg met wat FTE erbij gaat de oorlog echt niet winnen.

[Floort]

Ik denk niet dat dit de juiste plek is om uitgebreid in te gaan op wat de AP allemaal beter kan doen behalve voor deze specifieke klacht. Wat denk ik relevant is om op te merken dat de AP relatief veel tijd stopt in het afwijzen van klachten. Zo ook bij deze klacht waarbij na enkele relatief oppervlakkige vragen (geen vragen/vorderingen om cruciaal bewijsmateriaal te verstrekken) is geconcludeerd dat er te weinig bewijs is en dat er geen verder onderzoek gedaan zal worden. Dat is een handelswijze die relatief veel tijd kost en partijen zoals DPG Media het vertrouwen geeft dat klachten eigenlijk nooit serieus worden opgepakt. Ik vermoed dat veel klagers niet de moeite nemen om bezwaar te maken tegen zo'n afwijzing.

Het is zonde van de doorlooptijd en kost de AP en mij ook relatief veel extra moeite dat het onderzoek pas serieuzer wordt ingestoken in een bezwaarprocedure. En zelfs dan vind ik het onderzoek behoorlijk licht op het verzamelen van hard bewijsmateriaal (bestaande documenten opvragen, technische onderzoek in databases, etc.) en relatief zwaar leunen op het vragen van meningen en argumentatie.

Met lichtere inspanningen had de AP betere vragen kunnen stellen denk ik. Maar tegelijkertijd denk ik dat de AP het bij deze klacht nog relatief goed doet. Van wat ik heb gezien van klachtbehandeling door de AP de afgelopen jaren is het vrij typisch dat de AP relatief lichte vragen stelt en dan onderzoeken zonder resultaat afkapt. Nog los van grotere strategische vragen vermoed ik dat dat een significante reden is van het verlies aan efficiëntie van de AP.

[Compuchip87]

En ondertussen gaat Tweakers de cookiemuur weer invoeren en gaat nu.nl gebruikers vragen in te loggen voor functies die eerder vrij beschikbaar waren. Laten we zeggen dat DPG zich nog niet geroepen voelt minder te tracken.

[Floort]

Compuchip87 schreef op woensdag 6 maart 2024 @ 08:59:
En ondertussen gaat Tweakers de cookiemuur weer invoeren en gaat nu.nl gebruikers vragen in te loggen voor functies die eerder vrij beschikbaar waren. Laten we zeggen dat DPG zich nog niet geroepen voelt minder te tracken.

Daar maak ik me ook zorgen over. Ik ben in ieder geval van plan om wanneer dat live gaat een analyse van de rechtmatigheid te posten. Ik heb ook gevraagd of Tweakers de eigen analyse van de rechtmatigheid en risico's voor betrokkenen (in de vorm van een DPIA) wil delen. Maar ik denk dat dat voor een ander topic is.

[Ludewig]

Floort schreef op woensdag 6 maart 2024 @ 08:08:
Ik denk niet dat dit de juiste plek is om uitgebreid in te gaan op wat de AP allemaal beter kan doen behalve voor deze specifieke klacht. Wat denk ik relevant is om op te merken dat de AP relatief veel tijd stopt in het afwijzen van klachten.

Maar waarom werken ze überhaupt op deze manier? Alleen in actie komen bij een klacht is zoals een civiele rechtbank werkt bij losse klachten tussen twee gelijkwaardige partijen, maar normale rechtspraak gebeurd dat al niet meer. De politie onderzoekt ook een verdacht lijk als niemand klaagt over dat lijk of geen nabestaande zich meldt.

Als je systematische problemen wil aanpakken moet je de meest kansrijke dingen aanpakken en kun je de minder kansrijke klachten afdoen met een standaardbrief.

En is er een reden waarom de AP geen klachten kan gaan solliciteren voor een bepaalde overtredende partij?

[Floort]

Ik heb zojuist mijn zienswijze opgestuurd. Dat zijn 14 kantjes schrijfwerk met waarschijnlijk geen enkele opmerking die door de AP niet is voorzien.

En @Ludewig, ik denk niet dat dit de juiste plek is om te speculeren over waarom de AP bepaalde keuzes heeft gemaakt. Voor zover ik daar een onderbouwd antwoord op kan geven moet ik me baseren op informatie die ik niet mag delen. Ik probeer me te beperken tot analyses over de consequenties van de keuzes die ik van buitenaf kan observeren. Maar ik denk dat het ook handig is om het hier een beetje on-topic te houden.

[lithoijen]

@Floort Ik was benieuwd of er nog iets te melden is. Het is alweer even terug dat je jouw zienswijze hebt ingedient. Ik snap dat ze een dergelijk ingewikkeld dossier nog niet afgerond hebben, maar misschien is er een streef tijdlijn gedeeld?

[Floort]

Er is op 27 september 2023 een uitstel aangekondigd waarna de beslistermijn is vastgesteld op 14 december 2023. Daarna is er op 15 december een verder uitstel aangekondigd met een niet gespecificeerde einddatum vanwege nadere vragen die gesteld zijn. Ik heb 6 maart mijn zienswijze opgestuurd waardoor die vragenronde afgerond zou moeten zijn. Mijn gevoel zegt dat met de eerder aangekondige beslistermijn en de hoeveelheid informatie die in de laatste vragenronde is uitgewisseld dat de conclusies niet ingrijpend veranderd zouden moeten zijn ten opzichte van december vorig jaar. Maar het is ook erg druk. Ik durf niet te zeggen of ik volgende week een besluit kan verwachten, dat het nog een paar maanden kan duren of dat er misschien een hele nieuwe ronde onderzoek wordt opgestart om meer bewijs te verzamelen. Maar zodra ik meer weet laat ik het hier ook weten.

[lithoijen]

@Floort Ik lees net een nieuwsbericht op de frontpage. Dat triggerde bij mij de vraag hoe het stond met jou traject bij de AP, maar ik zag dat het nog stil was in dit topic. Er is nog steeds geen tijdslijn bekend waarbinnen een uitspraak wordt verwacht neem ik aan?

[Floort]

@lithoijen Het is inderdaad wat lang stil geweest. Ik heb de behandelaar bij de AP gevraagd om een update omdat ik ook de overgang naar het nieuwe advertentie-systeem, zoals aangekondigd door Tweakers, uiterlijk dit kwartaal had verwacht en de inhoud van de klacht relevant is voor de inrichting van het nieuwe systeem. Ik heb een beeld van verschillende opties die de AP heeft maar het is lastig daarover te praten zonder inhoudelijk iets te zeggen over communicatie door DPG aan de AP en mij.
De zaakbehandelaar heeft vorige week gezegd voornemens te zijn om deze week DPG en mij tegelijkertijd te informeren over het vervolg.

Als ik de laatste aankondiging van Tweakers lees mis ik de issues die ten grondslag liggen van mijn klacht. Het is voor Tweakers natuurlijk ook een lastige afweging. Wacht men met de invoering op een onzekere planning van de AP voordat het nieuwe systeem wordt ingevoerd (het lijkt er niet op)? Verwacht men bij Tweakers dat de achterliggende compliance issues zijn opgelost (het vermijden van uitleg daarover in het persbericht wekt geen vertrouwen)? Blijft DPG publiekelijk bij het standpunt dat het überhaupt geen onrechtmatigheid is geweest en dus ook in de nieuwe situatie geen probleem is (ik wacht af wat de AP besluit)?

Ik heb @WoutF gevraagd/aangeraden om gezien de context een wat meer uitgebreide compliance onderbouwing te delen in de vorm van een DPIA. Als reactie daarop heeft hij aangegeven daar navraag naar te doen. Ik denk nog steeds dat dat verstandig kan zijn t.o.v. aangeven dat DPG verzekerd dat het aan alle relevante wetgeving voldoet.

Ik houdt jullie hier op de hoogte als ik meer hoor over mijn klacht, maar ik zal zodra het zover is ook een review schrijven over het nieuwe systeem zodra het online beschikbaar is.

[Floort]

Ik zie dat de nieuwe toestemmingsvraag in productie is genomen en ik zie gelijk al een paar issues: Het weigeren van toestemming kost twee keer zoveel klikken als het weigeren ("Akkoord" versus "Instellen"-> "Alles weigeren") en de vormgeving van de knoppen lijkt ontworpen om de keus te sturen richten het geven van toestemming. Maar belangrijker is dat het intrekken van al gegeven toestemming lastiger is en niet wordt gecommuniceerd naar alle 118 of 130 (ik lees conflicterende informatie) advertentiepartners. Ik mis ook informatie over internationale doorgifte. Informatie over het uitoefenen van rechten is nog steeds problematisch, maar nu met meer praktische gevolgen vanwege het grote aantal gezamelijke verwerkingsverantwoordelijken.

Ik moet nog even nadenken over de juiste vorm, maar ik zie genoeg issues om wat over te kunnen schrijven.

[MikeN]

Floort schreef op dinsdag 2 juli 2024 @ 10:49:
Het weigeren van toestemming kost twee keer zoveel klikken als het weigeren ("Akkoord" versus "Instellen"-> "Alles weigeren") en de vormgeving van de knoppen lijkt ontworpen om de keus te sturen richten het geven van toestemming.

Volgens de FG is dit geen probleem:

quote: https://tweakers.net/plan...ction=20057680#r_20057680

de inrichting van de cookiewall zelf, op vlak van knoppen en kleuren. In essentie gaat die discussie over de vraag of de toestemming in een cookiewall "vrij gegeven" is. Het is geen vereiste dat het niet geven van toestemming even gemakkelijk moet zijn (dat geldt enkel voor het achteraf intrekken van een gegeven toestemming). Daarom maakt DPG daarin een normale UX keuze door de optie die de meeste DPG-bezoekers willen (relevante ads, een gepersonaliseerde ervaring) prominenter weer te geven.

Overigens heb ik de hele popup volgens mij niet gehad, waarschijnlijk omdat ik hem al eerder op een andere DPG site heb gehad. In mijn ogen is dat niet vol te houden - zelfs als ik op een andere DPG site toestemming heb gegeven, heb ik daarmee geen toestemming gegevens om me op Tweakers óók te laten volgen, Tweakers had tenslotte een andere cookiewall destijds.

Maar belangrijker is dat het intrekken van al gegeven toestemming lastiger is en niet wordt gecommuniceerd naar alle 118 of 130 (ik lees conflicterende informatie) advertentiepartners. Ik mis ook informatie over internationale doorgifte.

Het intrekken kan toch gewoon via 'Cookievoorkeuren wijzigen' en dan 'Alles weigeren'?

Gelet op de eerdere reactie van de FG, zijn er mogelijk geen doorgiftes (internationaal of naar derde partijen):

quote: https://tweakers.net/plan...ction=20057680#r_20057680

Met andere woorden: dat jij geïnteresseerd bent in laptops, blijft bij DPG, daar worden alle mogelijke maatregelen voor ingeregeld. Dat doet DPG niet alleen omdat wij dat vanuit Privacy adviseren, maar ook omdat dat commercieel verstandig is. Je wil immers niet dat adverteerders die data gebruiken om Tweakers-gebruikers elders veel goedkoper te gaan targetten.

Overigens is het privacybeleid hier compleet onduidelijk over. Enerzijds worden adverteerders niet genoemd in de lijst van ontvangers. Anderzijds worden adverteerders wel genoemd in de lijst met gezamelijk verantwoordelijken. In die laatste lijst wordt vervolgens enerzijds gesuggereerd dat 'advertentiepartners' je data wel verwerken, maar tegelijk ook dat 'Adverteerders die gericht adverteren' je persoonsgegevens niet krijgen. Mij is niet duidelijk wat het nu is.

[Floort]

Met alle respect voor de nieuwe FG: Er wordt selectief geshopt in de problemen die besproken worden.

[Compuchip87]

MikeN schreef op dinsdag 2 juli 2024 @ 11:43:
[...]
de optie die de meeste DPG-bezoekers willen (relevante ads, een gepersonaliseerde ervaring)

Alleen dit lijkt me al twijfelachtig. Ben benieuwd naar de data die dat staaft.

Ik zou zeggen, zet een tijdje de knop "alles weigeren" in plaats van "alles accepteren" prominent vooraan. Als mensen zo graag relevante ads en een gepersonaliseerde ervaring willen, zullen ze vast die ene klik er wel voor over hebben om die te krijgen. Of de data laten zien dat de meeste bezoekers de popup niet lezen en gewoon zo snel mogelijk de site willen bezoeken.

[SgtElPotato]

Compuchip87 schreef op dinsdag 2 juli 2024 @ 12:15:
[...]


Alleen dit lijkt me al twijfelachtig. Ben benieuwd naar de data die dat staaft.

Ik zou zeggen, zet een tijdje de knop "alles weigeren" in plaats van "alles accepteren" prominent vooraan. Als mensen zo graag relevante ads en een gepersonaliseerde ervaring willen, zullen ze vast die ene klik er wel voor over hebben om die te krijgen. Of de data laten zien dat de meeste bezoekers de popup niet lezen en gewoon zo snel mogelijk de site willen bezoeken.

Zo is het zeer waarschijnlijk ook gemeten. Die knop weigeren stond ver verstopt waardoor het gros uit gemak op accepteren heeft geklikt. En zo kunnen ze aantonen dat dit is wat mensen willen. Ondertussen al een paar keer bij DPG geadverteerd en het verbaasd me niks dat het zo werkt.

[eric.1]

MikeN schreef op dinsdag 2 juli 2024 @ 11:43:
Overigens heb ik de hele popup volgens mij niet gehad, waarschijnlijk omdat ik hem al eerder op een andere DPG site heb gehad. In mijn ogen is dat niet vol te houden - zelfs als ik op een andere DPG site toestemming heb gegeven, heb ik daarmee geen toestemming gegevens om me op Tweakers óók te laten volgen, Tweakers had tenslotte een andere cookiewall destijds.

Heb je niet toevallig Ghostery geïnstalleerd, of iets in die trend, waardoor het automatisch zo min mogelijk accepteert? Als je op NU.nl de banner doorloopt is het niet zo dat dezelfde voorkeuren gelden op Tweakers.net.

[locke960]

Er gebeurt nog iets merkwaardigs.

1. Ga naar tweakers.net met javascript alleen toegestaan voor tweakers.net (Firefox/uBlock/noscript)
2. wordt geredirect naar myprivacy.dpgmedia.nl.
3. Zie alleen een vaag scherm, want geen javascript.
4. Venster dicht, nieuw venster openen
5. Ga naar tweakers.net.
6. Site werkt.
7. Idem als ik daarna tweakers.net in een private browser session open. vreemd.

Ergens heeft de site de conclusie getrokken dat er toestemming gegeven is, wat niet het geval is. Ik heb de cookiewall zelfs niet gezien. Dit lijkt me niet de bedoeling te zijn.

Ik moet dat nog eens met een schone browser in een schone omgeving* proberen, hoewel ik geen add-ons als ghostery gebruik, maar wel een zooi andere meuk en instellingen

*schone omgeving: De proxy op mijn werk blokkeert https://myprivacy.dpgmedia.nl/, zo kwam ik erachter dat er iets niet goed ging.

[MikeN]

eric.1 schreef op dinsdag 2 juli 2024 @ 12:49:
[...]

Heb je niet toevallig Ghostery geïnstalleerd, of iets in die trend, waardoor het automatisch zo min mogelijk accepteert? Als je op NU.nl de banner doorloopt is het niet zo dat dezelfde voorkeuren gelden op Tweakers.net.

Nee en nee - als je op nu.nl de koekjes accepteert krijg je op tweakers.net geen banner meer, dat is by design. Probeer zelf maar in een incognito venster.

[eric.1]

MikeN schreef op dinsdag 2 juli 2024 @ 13:56:
[...]

Nee en nee - als je op nu.nl de koekjes accepteert krijg je op tweakers.net geen banner meer, dat is by design. Probeer zelf maar in een incognito venster.

Maf, als je eerst naar Tweakers.net gaat en dan naar Nu.nl dan krijg je wel 2x de banner en nemen ze de instellingen ook niet van elkaar over (tenminste, zo lijkt het hier te werken...).

[ Voor 5% gewijzigd door eric.1 op 02-07-2024 14:48 ]

[Joesv]

eric.1 schreef op dinsdag 2 juli 2024 @ 14:48:
[...]

Maf, als je eerst naar Tweakers.net gaat en dan naar Nu.nl dan krijg je wel 2x de banner en nemen ze de instellingen ook niet van elkaar over (tenminste, zo lijkt het hier te werken...).

Ik krijg ook een cookiebanner op Nu.nl terwijl het op Tweakers afgehandeld is. In incognito lijkt het andersom niet zo te zijn.

[DaFeliX]

eric.1 schreef op dinsdag 2 juli 2024 @ 14:48:
[...]

Maf, als je eerst naar Tweakers.net gaat en dan naar Nu.nl dan krijg je wel 2x de banner en nemen ze de instellingen ook niet van elkaar over (tenminste, zo lijkt het hier te werken...).

Idd, maar als je trouw.nl test werkt 't wel goed.

Lang verhaal kort: Er is een nieuwe implementatie van de cookiewall, en een oudere. Het lijkt er op dat als je akkoord geeft op de nieuwe, dit niet werkt voor de oude maar andersom wel (dus Tweakers en Trouw werkt beide kanten uit zonder problemen, nu.nl en Tweakers niet). Helaas kunnen we dit zelf niet oplossen, ik leg 't dus neer bij m'n collega's.

[Floort]

@DaFeliX Het kan zijn dat conflicterende antwoorden door problemen met het toestemmingsmechanisme leiden tot verwerkingen van persoonsgegevens. Gaat DPG ook zorgen dat persoonsgegevens die worden verwerkt op basis van bugs in het toestemmingsmechanisme ook netjes worden verwijderd, ook bij alle advertentiepartners?

[DaFeliX]

Floort schreef op woensdag 3 juli 2024 @ 08:14:
@DaFeliX Het kan zijn dat conflicterende antwoorden door problemen met het toestemmingsmechanisme leiden tot verwerkingen van persoonsgegevens. Gaat DPG ook zorgen dat persoonsgegevens die worden verwerkt op basis van bugs in het toestemmingsmechanisme ook netjes worden verwijderd, ook bij alle advertentiepartners?

Geen idee. Ik weet nog niet of dit een bug is of expected behaviour; dat laat ik graag over aan mensen die er wel verstand van hebben

[Floort]

DaFeliX schreef op woensdag 3 juli 2024 @ 08:18:
[...]


Geen idee. Ik weet nog niet of dit een bug is of expected behaviour; dat laat ik graag over aan mensen die er wel verstand van hebben

Ook bewust toestemmingsvragen herhalen kan onrechtmatig zijn. Mijn vraag is niet zozeer afhankelijk van de oorzaak (opzet of bug). Ik vraag me af of DPG sinds de start van dit topic van mening is veranderd en nu wel van plan is om persoonsgegevens te laten verwijderen in de keten als dat nodig is.

[Kroesss]

@Floort Na de hele zaak die nu al een aardige tijd speelt met de AP tussen jou en DPG, zou ik hebben verwacht dat ze bij een nieuwe implementatie wel heel even contact zouden hebben opgenomen met jou. Gewoon even polsen hoe jij hier tegenaan zou kijken. Wat ze dan met die inzichten zouden doen is een tweede, maar dan zijn ze in ieder geval voorbereid. Maar blijkbaar is dat niet het geval geweest?

[Floort]

@Kroesss Nee, en dat zou ik ook niet verwacht hebben. Ik geloof nog steeds dat mijn klacht vrijwel geheel opgelost kan worden met een paar mailtjes en sta nog altijd open voor communicatie daarover. Ik geloof ook dat de normuitleg die relevant is voor mijn klacht ook relevant is voor deze nieuwe situatie.

Maar ik verwacht niet dat DPG snel van mening zal veranderen dus heb ik de AP gevraagd wat vaart te maken met de behandeling omdat de verwerking die wat mij betreft problematisch is weer is opgestart. En voor zover ik weet praat DPG nog steeds liever met de AP dan met mij. Dus wachten we beiden op de AP.

[SgtElPotato]

Floort schreef op woensdag 3 juli 2024 @ 08:41:
@Kroesss Nee, en dat zou ik ook niet verwacht hebben. Ik geloof nog steeds dat mijn klacht vrijwel geheel opgelost kan worden met een paar mailtjes en sta nog altijd open voor communicatie daarover. Ik geloof ook dat de normuitleg die relevant is voor mijn klacht ook relevant is voor deze nieuwe situatie.

Maar ik verwacht niet dat DPG snel van mening zal veranderen dus heb ik de AP gevraagd wat vaart te maken met de behandeling omdat de verwerking die wat mij betreft problematisch is weer is opgestart. En voor zover ik weet praat DPG nog steeds liever met de AP dan met mij. Dus wachten we beiden op de AP.

Ik snap dat je als DPG niet continue wilt reageren (of kunt, ligt eraan hoe je het bekijkt). Maar de reacties blijven aan hun kant heel erg uit. Dat vind ik best wel jammer voor een grote partij als deze. Het is nu te mysterieus. Dit topic heeft ondertussen ook 45k views, lijkt me dat je als DPG wel enige vorm van reactie wilt geven of controle wilt houden over dit onderwerp.

Het niet reageren en het balanceren op het randje van de regels geeft mij, en ik denk een hoop mede-tweakers ook, een naar nasmaak. Volgens mij wil je, helemaal als grootste tech site van Nederland, juist voorop lopen met dit soort dingen?

[locke960]

locke960 schreef op dinsdag 2 juli 2024 @ 13:55:
als ik daarna tweakers.net in een private browser session open. vreemd.[/li]
[/list]
Ik moet dat nog eens met een schone browser in een schone omgeving* proberen, hoewel ik geen add-ons als ghostery gebruik, maar wel een zooi andere meuk en instellingen

Het werkt inderdaad zo in een schone omgeving. Pas als je dan alles in de tab toestaat krijg je de cookie-wall te zien. Hetzelfde gebeurt op andere DPG sites.

Opvallend dat het zo werkt, en wat er ondertussen qua tracking gebeurt is mij niet duidelijk, maar vreemde dingen zijn natuurlijk te verwachten als je met tools als noscript aan de slag gaat.

[Ludewig]

*knip* Suggestief en offtopic. Zie ook de reactie van TS hieronder.

[ Voor 93% gewijzigd door RoD op 03-07-2024 13:58 ]

[Floort]

Vinden jullie het goed om dit topic vrij te houden van speculatie over de motivatie van DPG?
Het matched niet met wat ik zie (oprechte verbeteringen, maar meningsverschillen over de vraag of het goed genoeg is), maar belangrijker vind ik dat het niet te onderbouwen is en grotendeels irrelevant is.

[Floort]

Terwijl de AP nog even op zich laat wachten met de update denk ik dat er een nuttig artikel is om hier te delen.

Ik lees in de kritiek rondom de nieuwe cookiemuur kritiek op de onmiddelijke 'voorkant' van het proces: zijn de knoppen wel gelijkwaardig vormgegeven, moet je net zo makkelijk kunnen weigeren als instemmen, etc. Ook de uitleg van de nieuwe FG van DPG lijkt zich sterk te richten op deze zorgen die onmiddelijk zichtbaar zijn. Begrijpelijk, maar zowel de kritiek die ik hier lees als de FG missen daarmee volgens mij de kern van het probleem. En ook mijn klacht is bedoeld om de kern van het probleem te raken. Het gaat namelijk mis bij de samenwerking tussen een hele hoop commerciele partijen nadat de verwerking is gestart. Op het moment dat de betrokkene zich bedenkt, werkt die samenwerking dan ook goed genoeg om samen te stoppen met de verwerking en de verzamelde persoonsgegevens te wissen? Als iemand zich niet aan de afspraken houdt, controleert iemand dat? En spreken de partijen elkaar voldoende aan als het misgaat? Zijn de afspraken tussen al die partijen wel duidelijk voor de betrokkenen?

Dat is een stuk ingewikkelder om te begrijpen dan de popup die lezers voorgeschoteld krijgen en ook ingewikkelder voor DPG om goed te implementeren. Maar ik wil het toch blijven benoemen omdat het belangrijk is om het probleem niet reduceren tot een probleem in de gebruikersinterface.

Het artikel in benoemd een onderdeel van die achterliggende problematiek vanuit de advertentiepartij Criteo waarmee Tweakers/DPG ook samenwerkt. Ik denk dat het de moeite waard is om meer over die zaak te lezen en na te denken over de afstemming die nodig is om dit goed te laten verlopen. Ik zit nu zo'n 12 jaar in het vak en ik heb heel wat pogingen gezien van partijen in de online advertentiewereld en er wordt een hoop heen en weer geschoven met verantwoordelijkheid. Hoe meer ik daarvan concreet uitgevochten zie worden hoe meer het duidelijk lijkt te worden dat de gedeelde verantwoordelijkheid (of 'gezamelijke verwerkingsverantwoordelijkheid' onder de AVG) in de praktijk niet goed uit lijkt te pakken. Niet voor de betrokkenen en ook niet voor de bedrijven die hiermee actief zijn.

[Ludewig]

Floort schreef op dinsdag 9 juli 2024 @ 15:56:
En spreken de partijen elkaar voldoende aan als het misgaat?

Je vergeet het informeren van de consument wiens data wordt misbruikt. En los van partijen die zich niet aan de afspraken houden, heb je natuurlijk ook het risico op dataleaks.

Hoe weet ik of er, en welke data van mij is gelekt als er het bij 1 van de vele adverteerders mis gaat en ze worden gehacked?

Hoe meer ik daarvan concreet uitgevochten zie worden hoe meer het duidelijk lijkt te worden dat de gedeelde verantwoordelijkheid (of 'gezamelijke verwerkingsverantwoordelijkheid' onder de AVG) in de praktijk niet goed uit lijkt te pakken. Niet voor de betrokkenen en ook niet voor de bedrijven die hiermee actief zijn.

Bij het consumentenrecht wordt dit daarom bij de eindpartij belegd. Als onderaannemer X een slechte batch onderdelen levert aan een fabriek in China van bedrijf Y, waar producten van Samsung worden gemaakt, die ik hier koop bij Alternate, dan heeft Alternate de wettelijke verantwoordelijkheid om het op te lossen. Ik moet dan niet achter Samsung, of bedrijf X of Y aan, want niet eens per se kan, want de partijen in de keten zijn vaak niet eens openbaar.

Wat mij betreft zou er een ketenverantwoordelijk moeten gelden voor bedrijven die data verzamelen, wat op andere vlakken als wordt ingevoerd: https://www.volkskrant.nl...-productieketen~bf55e295/

[ Voor 4% gewijzigd door Ludewig op 09-07-2024 19:02 ]

[MikeN]

Ludewig schreef op dinsdag 9 juli 2024 @ 19:00:

Bij het consumentenrecht wordt dit daarom bij de eindpartij belegd. Als onderaannemer X een slechte batch onderdelen levert aan een fabriek in China van bedrijf Y, waar producten van Samsung worden gemaakt, die ik hier koop bij Alternate, dan heeft Alternate de wettelijke verantwoordelijkheid om het op te lossen. Ik moet dan niet achter Samsung, of bedrijf X of Y aan, want niet eens per se kan, want de partijen in de keten zijn vaak niet eens openbaar.

Wat mij betreft zou er een ketenverantwoordelijk moeten gelden voor bedrijven die data verzamelen, wat op andere vlakken als wordt ingevoerd: https://www.volkskrant.nl...-productieketen~bf55e295/

Volgens mij is dat in de AVG ook gewoon geregeld, onder art. 26(3) kun je als betrokkene je rechten overal uitoefenen.

Het probleem zit hem AVG-technisch volgens mij veel meer in 1) partijen die ontkennen gezamelijk verantwoordelijk te zijn en het gebrek aan duidelijkheid in de regelgeving hierover 2) een verdeling van verantwoordelijkheden die in de regelgeving enorm is opengelaten (art. 26 zegt niet veel meer dan dat je het moet regelen) 3) afdwingbaarheid, iedere keer naar de rechter stappen is ook weer zo'n gedoe 4) een gebrek aan handhaving. Dát je gewoon overal moet kunnen aankloppen is niet de onduidelijkheid op zich.

[Floort]

Inderdaad @MikeN.

[Ludewig]

MikeN schreef op dinsdag 9 juli 2024 @ 19:26:
[...]
Volgens mij is dat in de AVG ook gewoon geregeld, onder art. 26(3) kun je als betrokkene je rechten overal uitoefenen.

Er is een groot verschil tussen ketenverantwoordelijkheid, en de bepaling in de AVG die zegt dat er een gezamenlijke verwerkingsverantwoordelijkheid is. Bij een ketenverantwoordelijkheid is er juist geen sprake van een gezamenlijke verantwoordelijkheid, maar is er juist maar 1 partij verantwoordelijk.

Als je het bijvoorbeeld vertaald naar het consumentenrecht dan zou een gezamenlijke verantwoordelijkheid betekenen dat als er een productiefout in je product zit, de winkelier je gewoon zou kunnen doorverwijzen naar de (assemblage)fabrikant (en die eventueel weer naar hun leveranciers). Dit is dus niet hoe het consumentenrecht werkt, omdat daar wel sprake is van een ketenverantwoordelijkheid van de eindverkoper.

Het probleem zit hem AVG-technisch volgens mij veel meer in 1) partijen die ontkennen gezamelijk verantwoordelijk te zijn en het gebrek aan duidelijkheid in de regelgeving hierover 2) een verdeling van verantwoordelijkheden die in de regelgeving enorm is opengelaten (art. 26 zegt niet veel meer dan dat je het moet regelen) 3) afdwingbaarheid, iedere keer naar de rechter stappen is ook weer zo'n gedoe 4) een gebrek aan handhaving. Dát je gewoon overal moet kunnen aankloppen is niet de onduidelijkheid op zich.

Je vergeet nog de vereiste transparantie, die in de praktijk een farce is. Zo verwijst Tweakers naar de generieke privacystatements van de partners, maar die bevatten allerlei statements die helemaal niet van toepassing zijn op deze geautomatiseerde tracking, terwijl veel informatie die wel relevant is, ontbreekt. En in de praktijk is het totaal onrealistisch om alle statements van 118! partners door te nemen en is er ook helemaal geen transparantie welke data precies wordt gebruikt en hoe.

Slechts in zeer algemene termen krijg je enige informatie. Bijvoorbeeld dat data wordt gebruikt "voor de ontwikkeling van diensten" kan van alles betekenen. Voor wie zijn die diensten? Voor jou, of voor de klanten van de marketingbureau's? En sommige diensten kunnen 'nuttig' gebruik maken van data die je helemaal niet gebruikt wilt zien, zeker omdat er nergens staat dat je die dienst ook daadwerkelijk hoeft te willen. En hetzelfde voor "gepersonaliseerde content." Misschien wil de GGD homo's wel doodgooien met adviezen over hoe ze aids moeten voorkomen, gezien de veel grotere kans daarop voor die groep, maar ik denk dat veel homo's er niet op zitten te wachten dat ze zulke informatie te zien krijgen op elke site die ze bezoeken, ook op sites die totaal niks te maken hebben met hun seksualiteit.

Maar met de extreem globale beloftes kunnen ze alle kanten op en is er wat mij betreft geen informed consent, waarbij je weet wat er met je data gebeurt. Feitelijk kun je slechts hopen dat ze zich inhouden en erop vertrouwen dat ze niet verder gaan dan wat ze in het verleden deden, maar hoever ze daadwerkelijk gaan staat nergens. Dat voldoet in elk geval niet aan mijn definitie van transparantie.

[MikeN]

Ludewig schreef op dinsdag 9 juli 2024 @ 20:34:
[...]


Er is een groot verschil tussen ketenverantwoordelijkheid, en de bepaling in de AVG die zegt dat er een gezamenlijke verwerkingsverantwoordelijkheid is. Bij een ketenverantwoordelijkheid is er juist geen sprake van een gezamenlijke verantwoordelijkheid, maar is er juist maar 1 partij verantwoordelijk.

Als je het bijvoorbeeld vertaald naar het consumentenrecht dan zou een gezamenlijke verantwoordelijkheid betekenen dat als er een productiefout in je product zit, de winkelier je gewoon zou kunnen doorverwijzen naar de (assemblage)fabrikant (en die eventueel weer naar hun leveranciers). Dit is dus niet hoe het consumentenrecht werkt, omdat daar wel sprake is van een ketenverantwoordelijkheid van de eindverkoper.

Ik denk dat je de AVG dan onjuist interpreteert, een gezamenlijk verantwoordelijke kan niet doorverwijzen. Dat dat in de praktijk wel gebeurt is iets anders. Ook wanneer het niet gaat om het uitoefenen van je rechten maar aansprakelijkheid, houdt art. 82(4) iedereen volledig aansprakelijk.

Ook je interpretatie van het consumentenrecht is niet volledig overigens - art. 6:185 BW legt de verantwoordelijkheid juist bij de producent in sommige gevallen, en de winkelier is in die gevallen niet aansprakelijk volgens art. 7:24 lid 2 BW. Maar goed, dat is offtopic.

Je vergeet nog de vereiste transparantie, die in de praktijk een farce is.

Alleen staat die transparantie juist wel expliciet in art. 26(2) en 5 AVG genoemd. Dat het in de praktijk niet gebeurt en er iets valt te zeggen over de manier waarop DPG dit aanpakt is iets anders dan dat de AVG er geen eisen aan stelt, en dat was nu juist waar het om ging.

[Ludewig]

MikeN schreef op dinsdag 9 juli 2024 @ 21:15:
[...]
Ik denk dat je de AVG dan onjuist interpreteert, een gezamenlijk verantwoordelijke kan niet doorverwijzen.

De tekst met bold toegevoegd door mij:

Wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken. Zij stellen op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van deze verordening vast, met name met betrekking tot de uitoefening van de rechten van de betrokkene en hun respectieve verplichtingen om de in de artikelen 13 en 14 bedoelde informatie te verstrekken, door middel van een onderlinge regeling, tenzij en voor zover de respectieve verantwoordelijkheden van de verwerkingsverantwoordelijken zijn vastgesteld bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijken van toepassing is. In de regeling kan een contactpunt voor betrokkenen worden aangewezen.

Dus volgens de tekst heeft geen enkele partij dan de volledige verantwoordelijkheid, dus als je bij Partij 1 aanklopt, maar ze 'transparant' hebben vastgelegd dat wat je wil de verantwoordelijkheid van Partij 2 is, dan zullen ze je dus logischerwijs doorverwijzen naar Partij 2. Nou ja, strikt genomen kunnen ze je volgens de wet wellicht zelfs gewoon ghosten, maar bij de rechter is het meestal geen pré als iemand onnodig asociaal is. De rechter zou het niet doen van een doorverwijzing kunnen interpreteren als een gebrek aan transparantie en het is ook in het belang van Partij 1 om je te verwijzen naar 2, zodat ze geen last meer van je hebben. Dus ik verwacht gewoon dat ze je doorverwijzen.

Volgens de AVG zou je bij een informatieaanvraag bij Tweakers in potentie dus ook bij alle 118! partners moeten aankloppen, na eerst alle 118 privacyverklaringen zorgvuldig te hebben bestudeerd om te kijken wat nu eigenlijk de verantwoordelijkheid van wie is. Dat vind ik nogal een onrealistische verwachting en ik zie dit eerder als malicious compliance, dan het daadwerkelijk navolgen van de wet. Want als de wet/rechter er ruimte voor geeft, kan men zulke hoge barrières opwerpen, dat het eigenlijk niet meer realistisch is om je recht te halen.

Alleen staat die transparantie juist wel expliciet in art. 26(2) en 5 AVG genoemd. Dat het in de praktijk niet gebeurt en er iets valt te zeggen over de manier waarop DPG dit aanpakt is iets anders dan dat de AVG er geen eisen aan stelt, en dat was nu juist waar het om ging.

Het woord 'transparantie' is op zich nauwelijks meer dan een buzzword. Dat kun je zowel interpreteren op de meest globale manier ('wij doen dingen met je data'), tot absurde detaillering ('op 9 juli om 10 uur stond je naam in de L1 cache van core 4 van CPU 2 van datacenterserver Uppsala 1 en er werd een bit shift op de data uitgevoerd op deze core').

Ironisch genoeg ontbreekt in de AVG de transparantie wat nu eigenlijk de concrete invulling is van het woord 'transparantie' in de wet. In principe ben je dan dus afhankelijk van de jurisprudentie (met andere woorden, wat de rechters redelijk vinden). In de praktijk kun je volgens mij nauwelijks te weten komen in hoeverre er jurisprudentie is en wat die zegt, zonder een groot aantal uitspraken te gaan doorzoeken.

Niet erg transparant, dus.

[Floort]

Ludewig schreef op dinsdag 9 juli 2024 @ 23:17:
[...]
Volgens de AVG zou je bij een informatieaanvraag bij Tweakers in potentie dus ook bij alle 118! partners moeten aankloppen, na eerst alle 118 privacyverklaringen zorgvuldig te hebben bestudeerd om te kijken wat nu eigenlijk de verantwoordelijkheid van wie is. Dat vind ik nogal een onrealistische verwachting en ik zie dit eerder als malicious compliance, dan het daadwerkelijk navolgen van de wet. Want als de wet/rechter er ruimte voor geeft, kan men zulke hoge barrières opwerpen, dat het eigenlijk niet meer realistisch is om je recht te halen.

Je omschrijft hier de kern van het probleem achter mijn klacht en het standpunt van DPG. Alleen denk ik dat je ongelijk hebt. Volgens artikel 26(3) AVG mag ik kiezen waar ik mijn rechten uitoefen, onafhankelijk van de afspraken die de gezamelijke verwerkingsverantwoordelijken onderling hebben gemaakt.

Dat blijkt bijvoorbeeld uit Guidelines 07/2020 on the concepts of controller and processor in the GDPR:

186. Under Article 26(3), a data subject is not bound by the terms of the arrangement and may exercise his or her rights under the GDPR in respect of and against each of the joint data controllers.

187. For example, in case of joint controllers established in different Member States, or if only one of the joint controllers is established in the Union, the data subject may contact, at his or her choice, either the controller established in the Member State of his or her habitual residence or place of work, or the controller established elsewhere in the EU or in the EEA.

188. Even if the arrangement and the available essence of it indicate a contact point to receive and handle all data subjects’ requests, the data subjects themselves may still choose otherwise.

189. Therefore, it is important that joint controllers organise in advance in their arrangement how they will manage answers to requests they could receive from data subjects. In this respect, it is recommended that joint controllers communicate to the other controllers in charge or to the designated contact point, the requests received in order to be effectively handled. Requiring data subjects to contact the designated contact point or the controller in charge would impose an excessive burden on the data subject that would be contrary to the objective of facilitating the exercise of their rights under the GDPR.

[MikeN]

Ludewig schreef op dinsdag 9 juli 2024 @ 23:17:
Ironisch genoeg ontbreekt in de AVG de transparantie wat nu eigenlijk de concrete invulling is van het woord 'transparantie' in de wet. In principe ben je dan dus afhankelijk van de jurisprudentie (met andere woorden, wat de rechters redelijk vinden). In de praktijk kun je volgens mij nauwelijks te weten komen in hoeverre er jurisprudentie is en wat die zegt, zonder een groot aantal uitspraken te gaan doorzoeken.

Het recht bestaat bij de gratie van open normen. In het Nederlands recht komt je ook 'redelijkheid en billijkheid', 'maatschappelijke betamelijkheid' of 'redelijke toerekening' tegen. Als alles vastgelegd zou zijn, zouden wetten dagelijks aangepast moeten worden omdat de maatschappij nu eenmaal verandert. Ik snap dat we op dit forum alles in een computerprogramma zouden willen gieten, maar in het recht beslissen uiteindelijk de rechters. In het geval van Europees recht is dat het Hof van Justitie, zoals al duidelijk is gemaakt sinds de Van Gend en Loos en Costa/Enel arresten.

Overigens is over transparantie wel het één en ander geschreven door de WP29 werkgroep en later onderschreven door het EDPB. Geheel aan je lot word je dus niet overgelaten.

Ik ben, met Floor, van mening dat art. 26(3) AVG duidelijk is. Er wordt expliciet gezegd dat je als betrokkene niets te maken hebt met de afspraken tussen gezamenlijk verantwoordelijken. Dat er nu een klacht bij de AP ligt biedt een mogelijkheid om dat te bevestigen, waarmee weer wat meer duidelijkheid wordt gecreëerd. Dat er nog over veel te discussiëren is en dat meningen kunnen verschillen, is juist wat het privacyrecht nu zo'n interessant vakgebied maakt.

[Ludewig]

Floort schreef op dinsdag 9 juli 2024 @ 23:35:
[...]
Je omschrijft hier de kern van het probleem achter mijn klacht en het standpunt van DPG. Alleen denk ik dat je ongelijk hebt. Volgens artikel 26(3) AVG mag ik kiezen waar ik mijn rechten uitoefen, onafhankelijk van de afspraken die de gezamelijke verwerkingsverantwoordelijken onderling hebben gemaakt.

Dat blijkt bijvoorbeeld uit Guidelines 07/2020 on the concepts of controller and processor in the GDPR:

Ik vind die guidelines wel redelijk duidelijk, in elk geval op het vlak van een doorverwijzing (maar niet op het vlak van aansprakelijkheid). Maar de wet zelf vind ik op dat vlak erg vaag en multi-interpretabel. Ik lees zelf in artikel 26(3) slechts dat je elke partij los kan aanspreken op hun eigen deel van het geheel, niet dat elk partij als contactpunt moet functioneren voor de gezamenlijke verwerkingsverantwoordelijken.

Ik vraag mij ook af wat de wettelijke kracht van de richtlijnen zijn. Als ik dit en dit lees, dan lijkt het uiteindelijk slechts een suggestie voor de implementatie van de wet te zijn, maar kunnen lidstaten deze weigeren te implementeren.

Dus feitelijk lijkt het voor dit verhaal niet relevant wat er in de guidelines staat, maar wat er in de AVG staat. als deze guidelines niet zijn doorgevoerd in de AVG, dan heb je er als consument dus niks aan. DPG hoeft immers de guidelines niet na te volgen, maar wel de AVG.

[Floort]

Hoe het vaak gaat is dat organisaties voor ene deel van de verwerking zelfstandig verwerkingsverantwoordelijke zijn en voor een deel gezamelijk. Gezamelijk betekent ook echt gezamelijk. Een betrokkene kan voor dat deel dan ook elke gezamelijke verwerkingsverantwoordelijke aanspreken om rechten uit te oefenen. Toezichthouders kunnen handhaven op onrechtmatige verwerkingen bij elke van de gezamelijke verwerkingsverantwoordelijken. Je kan niet in een contract opschrijven wie welk stukje doet en daarmee de verantwoordelijkheid afschuiven. Dat is ook een belangrijke boodschap uit het artikel dat je benoemd.

En ik weet niet of je wel eens meegeschreven hebt aan zulke guidelines, maar wat daar instaat is ongeveer hetgene waar geen van de AVG-toezichthouders het mee oneens is. Er staat zelden spannende uitleg in waar mensen het redelijk mee oneens zijn. Het is uitleg over de AVG van degenen die DPG een bevel kunnen geven of een boete kan opleggen. Het staat je vrij om op te merken dat de guidelines op zichzelf niet de wet zijn. Dat is prima, maar ook vreemd. Je probeert zonder inhoudelijke onderbouwing de uitleg van de EDP onderuit te halen. Terwijl de EDPB onder artikel 70(1)(e) de wettelijk taak heeft om die guidelines te produceren om een consistente toepassing van de AVG te bevorderen.

Als ik schrijf "Dat blijkt bijvoorbeeld uit ...", dan bedoel ik niet "Dat is zo omdat het hier geschreven staat.". Dan bedoel ik: Behalve dat het uit de AVG blijkt, blijkt hieruit dat alle AVG toezichthouders gezamelijk het daarmee ook eens zijn. Als je mij niet gelooft geloof je de EDPB misschien.

Prima als je dat wilt aanvechten, maar dat doe je maar voor de rechter als een toezichthouder handhaaft of je door een betrokkene voor de rechter wordt gedaagd. Of je schrijft een mooi betoog ergens met onderbouwing waarom de EDPB opinie onjuist is. Maar niet-onderbouwde twijfel zaaien helpt niemand.

[Ludewig]

De EDPB stemt over de richtlijnen, waarbij de stem van de meerderheid geldt. Dus in theorie is het mogelijk dat 49% van de leden het oneens is met het aannemen van een set richtlijnen. Daarnaast is het ook mogelijk dat men voor de richtlijnen stemt, maar alsnog bepaalde delen niet wil volgen. Het is in de politiek uiteraard allemaal niet zo zwart/wit waarbij voorstemmen meteen volledige instemming betekent.

Nogmaals, het is een feit dat er geen wettelijke verplichting is om de richtlijnen te volgen en geen sanctiemechanisme als de nationale toezichthouder de richtlijnen niet volgt.

Overigens is het ook zo dat de uitvoeringswet slechts vastlegt wat de Autoriteit Persoonsgegevens mag doen, maar dat is totaal geen garantie aan de burger dat ze dat ook daadwerkelijk doen, of dat nu door capaciteitsgebrek is, of door andere oorzaken. In de praktijk zien we in elk geval dat meldingen gigantisch lang blijven liggen, waardoor de vermeende overtreding zeer lang kan voortduren.

Feit is dat ook dat je als burgers bij weigeren tot strafvervolging door het OM naar de rechter kunt stappen om door midden van een artikel-12 procedure een vervolging te laten afdwingen, maar dat volgens mij bij de AP niet kan. En ik betwijfel zelfs of je als burger ipv als gesanctioneerde, in beroep kan gaan tegen een besluit. Voor zover ik kan nagaan, ben je als burger extreem afhankelijk wat de AP zelf besluit, zonder dat daar een onafhankelijke, rechterlijke toetsing op is, als je ontevreden over dat besluit bent.

Maar niet-onderbouwde twijfel zaaien helpt niemand.

Waar het mij om gaat is wat je als burger nu eigenlijk daadwerkelijk kunt verwachten, niet wat in theorie kan. Erop wijzen welke garanties er daadwerkelijk zijn, en dat er een verschil is tussen de theorie en de praktijk, is wat mij betreft mensen voorlichten over de waarheid. Het lijkt mij niet de bedoeling dat mensen misleid worden door net te doen alsof er een garantie is dat het AP de richtlijnen volgt of dat de papieren werkelijkheid ook de feitelijke werkelijkheid is, wanneer dat niet zo is.

Overigens ligt mijn kritische invalshoek volgens mij gewoon in de lijn van kritieken van nyob & Bits of Freedom en de ombudsman, waarbij die laatste overigens een aparte pagina heeft gewijd aan klachten over het AP, wat ik nogal veelzeggend vindt. En ik vind het ook nogal opvallend dat de overheid zelf ook massaal de AVG lijkt te overtreden, wat op zijn minst een nogal slecht signaal afgeeft naar het bedrijfsleven.

Jij bent veel minder kritisch naar het AP en uiteraard mag jij je mening hebben, maar het lijkt mij niet de bedoeling dat je voor anderen gaat bepalen wat voor mening ze moeten hebben.

[MikeN]

Ik snap deze draai niet helemaal - eerst was volgens jou de AVG niet goed, waarna ik aangaf dat bepaalde dingen er wel gewoon in staan maar dat handhaving een probleem is, waarna een hele discussie over de interpretatie van de AVG volgde, en nu komen we toch tot de conclusie dat de handhaving beter kan.

Dit alles nog even los van de beweringen of een toezichthouder richtlijnen/beleidsregels gewoon kan negeren (onjuist, alhoewel dat bij EDPB richtsnoeren complexer zal liggen), of dat je geen beroepsmogelijkheden hebt als je ontevreden bent over de behandeling van je klacht (onjuist).

Ik zie overigens ook niet echt hoe Floor wel of niet kritisch op de AP zou zijn, volgens mij is dat helemaal niet aan bod geweest? En volgens mij ligt er een klacht bij de AP, waar dit hele topic nu juist over gaat, waarbij Floor soms zelf ook zou willen dat dingen wat sneller gaan?

Ik vraag me ook af of dit topic nu de plek is om de uitwerking van de AVG in de praktijk te bespreken?

[Floort]

@Ludewig Je benoemd een aantal kloppende aspecten maar mist er ook een aantal. Opzich ook niet vreemd wat een deel van de processen is ook ondoorzichtig. Maar dat zou ook een reden kunnen zijn om wat voorzichtiger te zijn met het trekken van conclusies.

Maargoed: Je mist het afstemmingsproces inclusief de publieke consultaties die voorafgaan aan het vaststellen van de richtsnoeren. Ook mis je het wettelijke doel van deze normuitleg: het op een lijn brengen van de uitleg van de AVG tussen alle lidstaten. En dat is ook wat het is: het vaststellen van een gelijke uitleg van de regels die in de AVG staan. Niet het verzinnen van nieuwe regels.

In de UAVG lees jij alleen bevoegdheden, maar ik lees ook taken en verplichtingen voor de AP en ook de AVG bevat verplichtingen voor de AP. Het is mij niet duidelijk hoe je het voor elkaar krijgt om daaromheen te lezen.

De AP kan je onder hoofdstuk 4 van de Awb verzoeken om een besluit te nemen. Dat is ongeveer equivalent aan een artikel 77 AVG klacht, maar niet helemaal en de AP rommelt daar nog wel een beetje mee. Maar je kan de AP dwingen tot het nemen van een besluit. Ben je het niet eens met dat besluit kan je een bezwaarschrift indienen. Ben je het niet met het besluit op bezwaar kan je bij de rechter in beroep gaan. Dat staat netjes uitgelegd in hoofdstuk 6 Awb. Ik zeg niet dat dat proces altijd soepel gaat, maar het kan.

Er is een hoop aan te merken op wat de AP doet, maar ik lees ook een hoop onterechte kritiek. Het is ingewikkeld. Maar als iemand zegt dat wat ik in de praktijk doe alleen in theorie kan en daar geen onderbouwing voor geeft dan vind ik het redelijk om daar wat van te zeggen.

Kritisch zijn op de AP is geen wedstrijdje verplassen. Ik zie dingen die fout gaan, dingen die onredelijk moeizaam gaan en ook dingen die wel goed gaan maar soms van buitenaf niet zichtbaar zijn. Wie er meer of minder kritisch is kan me niks schelen. Wat ik zeg is: maak die kritiek specifiek en onderbouwd.

Laten we dit topic beperken tot updates over mijn verwijderverzoek en inhoudelijke uitleg over de technische/juridische achtergrond van het verzoek.

[Ludewig]

Floort schreef op woensdag 10 juli 2024 @ 22:27:
Maar je kan de AP dwingen tot het nemen van een besluit.

Dat is gewoon niet waar. Bestuursorganen kunnen (volledig geautomatiseerde) uitstelberichten blijven sturen totdat je geen belanghebbende meer bent, omdat je in je kistje ligt. Overigens werkt het andersom niet zo en geeft de overheid gewoon harde deadlines aan de burger, als ze wat van jou willen.

Het is volgens mij ook zo dat je nu al 3 jaar moeten wachten op het besluit van je klacht bij de AP, toch? Waarom heb jij dan niet afgedwongen dat ze een besluit nemen?

Ben je het niet eens met dat besluit kan je een bezwaarschrift indienen.

En de ombudsman is niet tevreden over de manier waarop ze daarmee omgaan.

Er is een hoop aan te merken op wat de AP doet, maar ik lees ook een hoop onterechte kritiek. Het is ingewikkeld. Maar als iemand zegt dat wat ik in de praktijk doe alleen in theorie kan en daar geen onderbouwing voor geeft dan vind ik het redelijk om daar wat van te zeggen.

Ik denk dat hoe jij kijkt naar wat jij doet en hoe ik ernaar kijk nogal van elkaar verschillen. Superman vs Don Quichote, zeg maar.

Ik zie iemand die jarenlang bezig is om iets te proberen te regelen wat volgens mij vrij duidelijk is. Zodra je aangeeft dat je geen gepersonaliseerde ads e.d. meer wil is er per direct geen rechtvaardigingsgrond meer om je gegevens te bewaren, dus zouden ze al vanuit zichzelf die moeten wissen. En als je er expliciet om vraagt is het helemaal niet meer te rechtvaardigen. Ze hebben echter gewoon poep aan de wet.

En het is niet zo dat dit incidenteel fout gaat. Zoals je 3 jaar geleden al zei, doen bedrijven het massaal fout. Dus dan moet je met een oplossing komen om een massale verbetering te krijgen. De hele aanpak van de AP heeft gewoon totaal geen kans van slagen omdat ze denken in incidenten, ipv een structurele verbetering.

Zie bijvoorbeeld ook de zaak waarbij de AP het onderspit dolf tegen DPG Media omdat ze de vrij elementaire stappen niet volgden om structurele verbeteringen te krijgen, namelijk eerst voorlichten/een norm stellen en het pas erin hameren bij hardnekkige weigeraars.

Maar de politiek saboteert de AP ook weer, door ze massaal taken in de maag te splitsen en veel te weinig rekening te houden met de uitvoerbaarheid. En de rechtbanken en politici weigeren om de wal het schip te laten keren, dus krijg je massaal falende overheidsorganen die gewoon langdurig kunnen blijven falen.

Laten we dit topic beperken tot updates over mijn verwijderverzoek en inhoudelijke uitleg over de technische/juridische achtergrond van het verzoek.

Je hebt na 3 jaar nog niet eens een eerste besluit gekregen van de AP. Waarom zouden we niet mogen reflecteren op een falend systeem dat niet eens handhaaft bij miljardenbedrijven met een extreem dominante positie in de markt waarin ze opereren?

Wat ik zeg is: maak die kritiek specifiek en onderbouwd.

En dan? Wat lost dat op wanneer het AP toch niet de middelen heeft om de kritiekpunten te fixen, en in overheidstructuur opereert die systemisch op dezelfde manieren lijkt te falen?

Als het zo makkelijk was dat er op 1 plek een paar dingetjes niet goed liepen, dan kon je van de AP vragen om dat te fixen, maar als er structureel dingen fout gaat waardoor het voor overheidsorganen eigenlijk onmogelijk is om de problemen op te lossen, dan is het juist nodig om dingen breder te trekken ipv specifiek te worden en daardoor door de bomen het bos niet meer te zien.

[Floort]

Ik stel voor dat je een nieuw topic opent om concrete verbetervoorstellen voor de AP te bespreken. Dan doe ik met alle plezier mee. Maar ik denk dat het in dit topic niet echt gepast is.

Dat hoop ik dat er ook ruimte is om te bespreken wat er wel gelukt is op dat gebied zonder elkaar te vergelijken met literaire figuren.

[DaFeliX]

Floort schreef op donderdag 11 juli 2024 @ 00:11:
Ik stel voor dat je een nieuw topic opent om concrete verbetervoorstellen voor de AP te bespreken. Dan doe ik met alle plezier mee. Maar ik denk dat het in dit topic niet echt gepast is.
[...]

Mochten gebruikers er behoefte aan hebben, kan er bijvoorbeeld een discussie worden gestart in Privacy en beveiliging

Laten we het dan nu weer ontopic houden

---

[Ludewig]

Floort schreef op donderdag 11 juli 2024 @ 00:11:
Maar ik denk dat het in dit topic niet echt gepast is.

Dat is een mening. Ikzelf vindt dat het hier wel degelijk besproken zou mogen worden waarom het nu al drie jaar voorsleept. Dat is een andere insteek dan die jij graag ziet, maar dat maakt het nog niet offtopic. Want het gaat wel degelijk over dit specifieke geval.

Maar ja, als mijn bredere analyse niet onderbouw met meer algemene data krijg ik het verwijt dat ik mijn mening niet onderbouw en als ik het wel doe, krijg ik het verwijt dat ik offtopic ga. Nogal een catch-22 (oops, weer een literaire vergelijking, naar Kafka deze keer).

Ik stel voor dat je een nieuw topic opent om concrete verbetervoorstellen voor de AP te bespreken.

Lees je wel wat ik schrijf? Ik gaf aan dat ik van mening ben dat de AP helemaal niet in staat is om voldoende te verbeteren, omdat de gouvermentele structuur waarin ze opereren dat volgens mij niet mogelijk maakt.

In grote lijnen komt mijn analyse overigens overeen met die van Omtzigt (maar niet per se in alle details), namelijk dat er grote problemen zijn met het hele weefsel van de rechtsstaat. Je kunt het vergelijken met een diabeet wiens teen geamputeerd moeten worden. Wat jij doet is voorstellen om die teen te redden door daar een zalfje op te doen, terwijl het echte probleem in het hele lichaam zit en alleen goed aangepakt kan worden door de bloedsuikerspiegel te verlagen en te stabiliseren.

In dit voorbeeld is het AP de teen en is de rechtstaat het lichaam als geheel.

Enfin, ik vindt het prima als de inhoudelijke discussie over hoe de rechtstaat precies disfunctioneert en kan verbeteren hier offtopic verklaart wordt, maar niet wanneer jij wel steeds mag claimen dat het probleem bij het AP ligt en we hen met wat suggesties kunnen fixen (als ze maar willen), maar daar niet tegenin gegaan mag worden om te betogen dat dit onrealistisch is (omdat ik van mening ben dat ze niet kunnen, binnen het juridische en culturele systeem dat hun handelen bepaalt).

[Floort]

De vraag (je stelt het niet als vraag, maargoed) waarom het lang duurt kan ik vrij kort over zijn:
1) Gebrek aan capaciteit bij de AP, dus alles duurt lang.
2) De AP heeft al een besluit genomen: een afwijzing vanwege gebrek aan capaciteit om een echt onderzoek op te starten (grof samengevat). Tegen die afwijzing ben ik in bezwaar gegaan. Ik wacht nu op een besluit op bezwaar. Dit is dat proces waarvan je zei dat het niet mogelijk was waar ik nu in zit.
3) Enkele inhoudelijke redenen die voor vertraging zorgen waar ik niet verder op inga omdat ik de inhoud van het proces vertrouwelijk behandel.

En ik denk dat je wat ik schrijf herhaaldelijk verkeerd interpreteerd. Je mag overal tegenin gaan, ik vraag je om dit topic een beetje on topic te houden. Ik denk dat je mij teveel macht toeschrijft. Ik kan niet bepalen waar je wel of niet iets van mag vinden. Ik werk er niet meer dus ik kan niet van binnenuit invloed uitoefenen. Ik zit niet in de politiek dus ik ga ook niet over het budget van de AP. Ik ben een betrokkene met een mening en met rechten. Geen superman, maar wel genoeg invloed om af en toe stukjes de goede kant op te bewegen of anders er wat van te vinden als het niet goed gaat.

[RoD]

Modbreak:

Zoals hierboven al gevraagd, nu graag weer ontopic.

[Floort]

Ik merk op dat het fout lijkt te gaan met Comscore op de website.
De cookie consent module (links op de screenshot) heeft Comscore B.V. ingedeeld als een partij die alleen met toestemming cookies mag zetten. De toestemming staat uit (ook zichtbaar in screenshot). Toch gebruikt Comscore B.V. via het .scorecardresearch.com domein cookies. Ik ben hier onjuist over geinformeerd, ik heb heel bewust toestemming geweigerd en toch vind de verwerking plaats.

Zou iemand van de Tweakers-crew een handige manier weten om dit aan te kaarten zonder dat het hoeft te escaleren in een AVG klacht omdat DPG Media mij niet een gepaste partij vind om mee te praten?

[dehardstyler]

Floort schreef op vrijdag 12 juli 2024 @ 10:57:
Ik merk op dat het fout lijkt te gaan met Comscore op de website.
De cookie consent module (links op de screenshot) heeft Comscore B.V. ingedeeld als een partij die alleen met toestemming cookies mag zetten. De toestemming staat uit (ook zichtbaar in screenshot). Toch gebruikt Comscore B.V. via het .scorecardresearch.com domein cookies. Ik ben hier onjuist over geinformeerd, ik heb heel bewust toestemming geweigerd en toch vind de verwerking plaats.

Zou iemand van de Tweakers-crew een handige manier weten om dit aan te kaarten zonder dat het hoeft te escaleren in een AVG klacht omdat DPG Media mij niet een gepaste partij vind om mee te praten?

[Afbeelding]

Hoe krijg je dat cookie window weer te zien als je ooit al een keer op alles weigeren hebt gedrukt? Ik heb in de instellingen gekeken, maar kan het helaas niet vinden.

[Floort]

[dehardstyler]

Floort schreef op vrijdag 12 juli 2024 @ 11:50:
[Afbeelding]

Top, dank je wel!

[Floort]

Floort schreef op vrijdag 12 juli 2024 @ 10:57:
Ik merk op dat het fout lijkt te gaan met Comscore op de website.
De cookie consent module (links op de screenshot) heeft Comscore B.V. ingedeeld als een partij die alleen met toestemming cookies mag zetten. De toestemming staat uit (ook zichtbaar in screenshot). Toch gebruikt Comscore B.V. via het .scorecardresearch.com domein cookies. Ik ben hier onjuist over geinformeerd, ik heb heel bewust toestemming geweigerd en toch vind de verwerking plaats.

Zou iemand van de Tweakers-crew een handige manier weten om dit aan te kaarten zonder dat het hoeft te escaleren in een AVG klacht omdat DPG Media mij niet een gepaste partij vind om mee te praten?

[Afbeelding]

Ik heb een update gekregen via een privébericht. Als het goed is krijgt Comscore B.V. nu geen nieuwe persoonsgegevens meer van Tweakers bezoekers die geen toestemming hebben gegeven. Dat is mooi.

Wat ik nog niet heb gezien is dat betrokkenen zijn geïnformeerd over de verwerking en ik heb nog niks gelezen over het verwijderen van de onrechtmatig verstrekte persoonsgegevens. Ik heb daar eerder iets over geschreven, maar ook dit hele topic en mijn klacht bij de AP gaat over het verwijderen van onrechtmatig verstrekte persoonsgegevens. Misschien dat @DPO_Bert hier kan reageren?

[Winkiller]

@Floort Oei, zou het ?
https://tweakers.net/nieu...-van-trackingcookies.html

[SgtElPotato]

Winkiller schreef op dinsdag 16 juli 2024 @ 12:12:
@Floort Oei, zou het ?
https://tweakers.net/nieu...-van-trackingcookies.html

Moet je nagaan, dat komt uit 2020. DPG is pas over een paar jaar aan de beurt hoor...

[Winkiller]

SgtElPotato schreef op dinsdag 16 juli 2024 @ 12:16:
[...]


Moet je nagaan, dat komt uit 2020. DPG is pas over een paar jaar aan de beurt hoor...

Nou, ik reageerde met name op dit van @Floort "Als het goed is krijgt Comscore B.V. nu geen nieuwe persoonsgegevens meer van Tweakers bezoekers die geen toestemming hebben gegeven."

[Floort]

Als de AP van mening is dat de overtreding is beeindigd maak ik me ernstige zorgen over de kwaliteit van het onderzoek dat de AP uitvoert.

[Ludewig]

De AP heeft ook al eerder zo onzorgvuldig gehandeld bij DPG media dat de hele opgelegde boete van tafel ging:

https://privacy-web.nl/ni...esluit-ap-voor-dpg-media/

[Floort]

Die zaken zijn lastig te vergelijken denk ik.

[Ludewig]

Het gaat niet zozeer om een vergelijking, maar meer om vast te stellen dat de AP in de ogen van de rechtbank nogal onzorgvuldig bezig was.

Het kan bij een handhaver juist ook een probleem zijn dat ze chaotisch/ad hoc handelen. Dan is juist het gebrek aan een consistent patroon van goede en foute ingrepen, een patroon dat verschillende zaken met elkaar verbind.

Ik 'verbaas' mij er in elk geval over dat de AP nu aan Kruidvat een boete oplegt voor iets dat massaal gedaan wordt, maar blijkbaar niet in staat is om bij andere klachten snel vast te stellen dat die andere bedrijven hetzelfde doen en daar dan een standaardbrief met een waarschuwing en richtlijnen uit te sturen. Als je zoiets een beetje goed inricht kun je per medewerker flink wat waarschuwingen uitsturen, en dan later een controle doen of het aangepast is.

Dan hoeven ze relatief weinig uitgebreide onderzoeken te doen, want de meeste bedrijven zullen de richtlijnen dan wel gaan volgen. En ze hoeven niet eens te wachten op klachten. Ze kunnen ook de top zoveel van grote websites/bedrijven pakken.

Bovendien staan ze dan in de rechtbank ook heel sterk, want dan zijn alle zaken die ze aanbrengen volgens mij inkoppertjes. Ze hebben dan immers duidelijk gewaarschuwd en duidelijke richtlijnen gegeven voor wat er gefixed moet worden. Rechters houden daar over het algemeen wel van.

Maar dat vereist een culturele en wellicht ook juridische/politieke verandering in hoe ze het aanpakken, want dan is het doel het oplossen van een probleem ipv het straffen van een bedrijf. Dat is namelijk niet hetzelfde.

[Floort]

Kleine administratieve update: Door een fout van de AP is de brief aan mij het de status-update niet aan mij verstuurd maar aan de advocaat van DPG. De advocaat van DPG heeft voor mijn aangetekende brief getekend. Ik wacht op een nieuwe kopie van de brief.

[lithoijen]

Klinkt wel als een rommeltje daar bij de AP. Mensen zullen daar echt wel hun best doen, maar met zulke enorme doorlooptijden en slordige foutjes komen ze niet echt competent en slagvaardig over. Ik hoop in iedergeval dat de brief goed nieuws brengt.

[Warbringer]

Floort schreef op donderdag 18 juli 2024 @ 10:36:
Kleine administratieve update: Door een fout van de AP is de brief aan mij het de status-update niet aan mij verstuurd maar aan de advocaat van DPG. De advocaat van DPG heeft voor mijn aangetekende brief getekend. Ik wacht op een nieuwe kopie van de brief.

Euhhh… mag dat wel? Tekenen voor iemand anders zijn aangetekende brief?

[SgtElPotato]

Warbringer schreef op donderdag 18 juli 2024 @ 10:57:
[...]


Euhhh… mag dat wel? Tekenen voor iemand anders zijn aangetekende brief?

Als de geadresseerde de brief aanneemt wel ja..

[Floort]

Ik kan me best voorstellen dat een advocatenkantoor bij de balie aangetekende brieven tekent en dat het opzich niet gek is als er niet naar de naam op de brief wordt gekeken (het is een vrij groot kantoor). Wat mij betreft geen verwijt aan de AP of het advocatenkantoor. Het foutje zit bij de AP. Maar meer dan een foutje met een klein beetje vertraging tot gevolg is het niet wat mij betreft. Het is goed opgepakt door de zaakbehandelaar toen ik er op wees dat er mogelijk wat fout is gegaan.

[Floort]

Ik heb een brief van de AP ontvangen. Volgens mij is het meest relevante citaat als volgt:

Voordat de AP tot een beslissing op het bezwaarschrift kan komen, is verder onderzoek nodig. Daarom stelt de AP u hierbij in kennis van de overdracht van het dossier van de afdeling Bezwaar naar een onderzoeksafdeling van de AP.

Dat betekent dat ik nog langer moet wachten op een besluit, maar ik denk dat dit de juiste beslissing is van de AP. Edit: geen beslissing als in de Awb.. voor de juristen die mee-lezen...

[ Voor 7% gewijzigd door Floort op 19-07-2024 16:32 ]

[Pompi]

Floort schreef op vrijdag 19 juli 2024 @ 16:03:
Ik heb een brief van de AP ontvangen. Volgens mij is het meest relevante citaat als volgt:


[...]


Dat betekent dat ik nog langer moet wachten op een besluit, maar ik denk dat dit de juiste beslissing is van de AP.

Het is wel beetje jammer dat als mensen zich niet zoals jij er in vastbijten, er vast genoeg zullen zijn die in vroeger stadia zouden afhaken en overtreders mogelijk dus vrij uit gaan. Wordt bijna een afschrikkende situatie, terwijl het natuurlijk eigenlijk gewoon gemakkelijk moet zijn om je rechten te krijgen.

Dus bij deze bedankt voor alle tijd en moeite die je er in steekt.

[Freeaqingme]

Een onderzoeksafdeling klinkt wel als de afdeling die er wellicht inhoudelijk het meeste mee kan. Wat dat betreft is het wellicht wel goed nieuws?

[Floort]

@Pompi Ja, dat is inderdaad jammer dat het zo moet en ik zie inderdaad om mij heen dat de manier waarop verwerkingsverantwoordelijken omgaan met betrokkenen al een hoop mensen afschrikt en dat daarna dat mensen die een klacht indienen bij de AP ook bij de AP een gevoel van machteloosheid krijgen. Bij de AP is een deel van het probleem dat de AP zo weinig publiceert, het probleem is dus minder erg dan het lijkt. Maar ook deze klacht is een voorbeeld van een zaak die bij vrijwel alle andere betrokkenen waarschijnlijk was blijven steken op de afwijzing van de klacht. Ik begrijp volkomen dat dat veel mensen ontmoedigd.

@Freeaqingme Voor degenen die mee-lezen en weten hoe het echt zit: vergeef me, dit is een oversimplificatie. Mijn klacht is eerst heel lichtjes 'onderzocht' om te beoordelen of mijn klacht misschien makkelijk afgehandeld kan worden, afgewezen moet worden of moet worden opgeschaald naar een echt onderzoek. De AP heeft (wat mij betreft) onterecht gekozen voor een combinatie van de eerste twee opties, maar nooit echt bewijs verzameld in een 'echt' onderzoek. Doordat ik bezwaar heb aangetekend is iemand van de afdeling bezwaar, zonder echt bewijs te verzamelen maar met een hoorzitting en een paar vragen-rondes gaan beoordelen of mijn bezwaar terecht is en of de AP een nieuw besluit moet nemen. De brief die ik net heb ontvangen betekent dat een andere afdeling aan de slag gaat met hopelijk het echt verzamelen van bewijs in plaats van 'slechts' het stellen van vragen.

Ik blijf een beetje abstract omdat ik niet teveel wil zeggen over de inhoud en wat DPG allemaal wel en niet gedeelt heeft. Maar dit is wat mij betreft precies hetgene waar ik in mijn klacht om gevraagd heb: echt onderzoek naar de overtredingen beschuldigingen.

[Freeaqingme]

Floort schreef op vrijdag 19 juli 2024 @ 16:30:

@Freeaqingme [...] Mijn klacht is eerst heel lichtjes 'onderzocht' om te beoordelen [...]

Ah right. Het topic loopt al even, en met 12 pagina's had ik de precieze timeline niet meer helder. Kijken waar ze nu mee komen

[DPO_Bert]

Floort schreef op dinsdag 16 juli 2024 @ 09:37:
[...]


Ik heb een update gekregen via een privébericht. Als het goed is krijgt Comscore B.V. nu geen nieuwe persoonsgegevens meer van Tweakers bezoekers die geen toestemming hebben gegeven. Dat is mooi.

Wat ik nog niet heb gezien is dat betrokkenen zijn geïnformeerd over de verwerking en ik heb nog niks gelezen over het verwijderen van de onrechtmatig verstrekte persoonsgegevens. Ik heb daar eerder iets over geschreven, maar ook dit hele topic en mijn klacht bij de AP gaat over het verwijderen van onrechtmatig verstrekte persoonsgegevens. Misschien dat @DPO_Bert hier kan reageren?

Hier heeft men intern twee zaken met elkaar verward. Je hebt ComScore als advertentiepartij, en je hebt ComScore die als verwerker voor NMO gebruikt wordt om het online bereik van media in Nederland te meten. Wanneer ComScore door adverteerders gebruikt wordt, is er toestemming voor nodig, maar de dataverzameling voor NMO (met behulp van een ComScore-script dat Tweakers zelf inlaadt) mag zonder toestemming plaats vinden, op basis van de uitzondering in Art. 11.7a §3b. Telecommunicatiewet.

Het script dat ingeladen werd zonder toestemming, is het script dat data verzamelt voor NMO. Er vond dus geen onrechtmatige verwerking plaats. Door de aanpassing die nu doorgevoerd is in reactie op jouw bericht (voortaan wordt dus wél rekening gehouden met de toestemming voor ComScore als adtech partij) zal de bereiksmeting nu dus een lager bereik voor Tweakers opleveren in de NMO-cijfers.

[Floort]

Bedankt. Ik wist dat Comscore ook als verwerker gebruikt kan worden. Maar omdat over de verwerking als verwerker niet wordt geïnformeerd vertrouwde ik op de informatie die ik wel heb gekregen.

Begrijp ik uit de uitleg goed dat Comscore verwerker is van NMO en dat NMO en DPG Dan gezamenlijke verwerkingsverantwoordelijken zijn? Ik kan in de cookievoorkeuren en de cookie consent module namelijk niks vinden over NMO als verwerkingsverantwoordelijke.

[Floort]

In aanvulling op mijn vorige bericht: "NMO gebruikt geen analytische cookies." schrijft NMO in haar privacystatement. Hierboven beschrijft @DPO_Bert dat de Comscore-cookies die NMO op Tweakers gebruikte geen toestemming nodig hadden omdat ze onder de uitzondering van het toestemmingsvereiste vallen. Deze specifieke uitzondering is alleen van toepassing op (in meer gebruikelijke bewoordingen) functionele cookies of analytische cookies. De cookies zijn niet functioneel omdat ze zijn uitgezet en de website werkt nog. En NMO ontkent dus zelf dat ze analytisch zijn of dat het een verwerking is die onder NMO valt. Een andere optie is dat betrokkenen verkeerd worden geïnformeerd waardoor de verwerking alsnog onrechtmatig kan zijn.

[crisp]

Ik zie NMO iig geen cookies zetten in de implementatie die wij gebruik(t)en; dat was een pixel-request naar een url als

code:

https://sb.scorecardresearch.com/p?c1=2&c2=11464450&c4=https%3A%2F%2Ftweakers.net%2F&cs_ucfr=1

[Ludewig]

@Floort

Ik krijg sterk de indruk dat de privacystatement waarnaar je verwijst alleen bedoelt is voor direct contact met de NMO, de gebruikers van de NMO site, e.d. Geen van de voorbeelden onder het kopje "Met welk doel en op basis van welke grondslag wij persoonsgegevens verwerken" gaan over het meten van het bereik van de media.

En als ik het goed begrepen heb dan plaatst NMO inderdaad geen analytische cookies, maar doet Comscore dat, en geeft Comscore de vergaarde resultaten aan het NMO. Dus dan is er toch sprake van een 'gezamelijke verwerkingsverantwoordelijkheid,' waarbij Comscore verantwoordelijk is voor het plaatsen van de cookies? En op dat stuk is dan de privacystatement van Comscore van toepassing.

PS. Comscore heeft trouwens ook een andere privacy statement waarbij ze expliciet melden dat die alleen van toepassing is op hun eigen site.
PS2. Volgens de privacy statement van Comscore is scorecardresearch een site van hun.

[ Voor 4% gewijzigd door Ludewig op 24-07-2024 09:13 ]

[Floort]

crisp schreef op woensdag 24 juli 2024 @ 09:11:
Ik zie NMO iig geen cookies zetten in de implementatie die wij gebruik(t)en; dat was een pixel-request naar een url als

code:

https://sb.scorecardresearch.com/p?c1=2&c2=11464450&c4=https%3A%2F%2Ftweakers.net%2F&cs_ucfr=1

Zie de screenshot in mijn post voor een tegenvoorbeeld. Dat betekent dat het toch om niet-NMO gebruik van Comscore ging of dat je uitleg niet klopt.

Ik heb trouwens een inzageverzoek bij DPG ingediend met de identifier die ik hier gemaskeerd heb om te achterhalen war er precies verwerkt wordt. Hopelijk geeft DPG meer duidelijkheid.

[ Voor 14% gewijzigd door Floort op 24-07-2024 09:50 . Reden: inzageverzoek ]