Autoriteit Persoonsgegevens doet vernietigende uitspraak over veelgebruikt advertentiesysteem

De Autoriteit Persoonsgegevens (AP) heeft zich onlangs tegenover het Financieel Dagblad (FD) uitgesproken over een advertentiesysteem van IAB Europe waarmee het surfgedrag van internetgebruikers in kaart wordt gebracht. De data die daarmee wordt verzameld wordt gebruikt om advertenties te veilen die op het surfgedrag van de individuele websitebezoeker aansluiten.

Uitspraak Autoriteit Persoonsgegevens

Kort samengevat zegt de AP dat het met behulp van dit systeem verzamelen van data in strijd is met Europese privacywetgeving, in het bijzonder de Algemene Verordening Gegevensbescherming (AVG c.q. GDPR). Volgens het FD gebruikt naar schatting 80% van de Europese websites en apps dit advertentiesysteem. De gevolgen van de uitspraak van de AP zijn dan ook groot, met name omdat websites die dit systeem blijven gebruiken per direct in overtreding zijn. Of de AP tegen dergelijke overtredingen zal optreden en boetes op zal leggen is nog niet duidelijk.

Als alternatief voor het advertentiesysteem stelt de AP voor om advertenties te baseren op een afgebakende doelgroep van gebruikers in plaats van op individuele gebruikers. Onder andere Google experimenteerde al met deze privacy vriendelijke methode van adverteren.

Inbreuk geconstateerd door Belgische Gegevensbeschermingsautoriteit

De uitspraak van de Nederlandse toezichthouder komt niet geheel als een verrassing. De Belgische Gegevensbeschermingsautoriteit legde vorige week al een boete op aan IAB Europe ter hoogte van
€ 250.000,- wegens privacy schending. Gebruikers werden volgens haar onvoldoende geanonimiseerd in het advertentiesysteem dat de gepersonaliseerde advertenties managede. Ook waren de cookie pop-ups te algemeen en werd de gebruiker niet voldoende geïnformeerd omtrent zijn keuze om persoonsgegevens te delen. De Belgische toezichthouder heeft IAB Europe naast de boete twee maanden gegeven om maatregelen te treffen om de inbreuk ongedaan te maken en haar systeem aan te passen.

Commentaar IAB Europe

IAB Europe heeft op haar website op 2 februari jl. aangegeven dat zij het niet eens is met de uitspraak van de Gegevensbeschermingsautoriteit. In die zin dat zij zichzelf niet ziet als een ‘verwerkingsverantwoordelijke’ onder de AVG. Desalniettemin geeft zij aan dat zij de geconstateerde inbreuken binnen zes maanden gaat oplossen en dat zij zoveel mogelijk gaat samenwerken met de toezichthouder om het systeem conform de privacyregelgeving in te richten.

Consequenties voor de praktijk

Tot nu toe heerst er onduidelijkheid of de AP handhavend zal optreden. Wel wordt vanuit de AP geadviseerd het gebruik van het advertentiesysteem direct te staken. Dit advies heeft een grote en directe impact op de bestaande online advertentiemarkt en de vraag is of bestaande alternatieven wel in lijn zijn met de AVG en een goede oplossing bieden. Iedere marktpartij zal voor zichzelf moeten vaststellen of zijn handelswijze in lijn is met de AVG, of dat aanpassing noodzakelijk is.

Wilt u weten wat het advies van de AP voor u betekent? Neem dan gerust contact op met Jasper Gevers via 06 182 928 60 of j.gevers@dehaanlaw.nl of Jesse van Bruggen j.vanbruggen@dehaanlaw.nl.