Geelen Consultancy is klaar voor AVG

Maakt de AVG marktonderzoek (on)mogelijk?

Artikel van Ivo Langbroek (AVG-specialist en marktonderzoeker)

Per 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) van toepassing. En dat is iets waar we heel erg bang voor moeten zijn, want we zijn allemaal niet of onvoldoende voorbereid. Dat zien we immers vaak voorbij komen in de media. Dus het is volkomen logisch dat u in paniek raakt, want de mogelijke boetes zijn niet mis toch?

Marktonderzoek en privacywetgeving

Nu ben ik zelf niet zo bang aangelegd. Ik geloof niet in spoken of het bovennatuurlijke. Als marktonderzoeker, baseer ik me liever op feiten. En ik beperk me hier voor het gemak even tot de feiten die betrekking hebben op het vak waarin ik werkzaam ben (en u waarschijnlijk ook, aangezien de titel van dit artikel u interesseerde). Maar hoe zit het nu echt? Daarvoor is nodig om te weten waar we vandaan komen. Hoe is marktonderzoek geregeld onder de huidige privacy wetgeving? De wettekst van de Wbp bevat een aantal verwijzingen naar het de term “verwerking van de gegevens voor historische, statistische of wetenschappelijke doeleinden”. Nu denk je misschien: “maar daar staat toch geen marktonderzoek?”. Daarvoor is het nodig om naar de Wbp naslag te kijken. Dit is de toelichting op de Wbp, waarin staat hoe de wet geïnterpreteerd dient te worden. Hierin staat een uitspraak van de Minister van Justitie toen de Wbp werd besproken in de Tweede Kamer en deze luidt: “Mede tegen deze achtergrond achten wij het overbodig en ook onwenselijk in het wetsvoorstel een onderscheid aan te brengen tussen zuiver wetenschappelijk en commercieel onderzoek zoals beleidsonderzoek en marktonderzoek.” Of in normaal Nederlands: waar de Wbp spreekt over statistische doeleinden mag je marktonderzoek lezen.

Marktonderzoek onder de Wbp

En waar spreekt de Wbp over statistische doeleinden? De belangrijkste artikelen zijn artikel 9 lid 3, 10 lid 2, 23 lid 2 en artikel 44. Deze artikelen bevatten uitzonderingen op de Wbp daar waar persoonsgegevens worden verwerkt voor onderzoeksdoeleinden. En met die uitzonderingen zijn wij als branche heel blij, omdat het ons in staat stelt om mensen deel te laten nemen aan onderzoek en de uitkomsten van die onderzoek op geaggregeerd niveau (en dus niet individueel herleidbaar) terug te koppelen aan onze opdrachtgevers.

Als ik de inhoud van bovenstaande artikelen probeer te vertalen in normaal Nederlands, dan zou ik het als volgt samenvatten:

  • Persoonsgegevens (bijv. e-mailadressen) mogen gebruikt worden voor onderzoeksdoeleinden, ook al heeft degene die het betreft geen toestemming gegeven om het daarvoor te gebruiken toen hij de gegevens verschafte (art. 9 lid 3). Je hebt dus geen toestemming nodig van een respondent om hem te mogen uitnodigen voor onderzoek.
  • Je mag gegevens langer bewaren voor onderzoeksdoeleinden dan nodig was voor het doel waarvoor de gegevens zijn verkregen (art. 10 lid 2).
  • Bijzondere persoonsgegevens  mogen gebruikt worden voor onderzoeksdoeleinden, mits je er zeer zorgvuldig mee omgaat en je je aan specifieke regels houdt die voorkomen dat respondenten er mogelijk nadelen van ondervinden (art. 23 lid 2)
  • Je hoeft betrokken niet te informeren dat je hun gegevens gebruikt voor onderzoek en je hoeft ook geen inzage te geven in de gegevens die je gebruikt als een betrokkene daar om vraagt (art. 44).

En de telecomwet dan?

Dus jij zegt dat je mensen mag e-mailen om deel te nemen aan onderzoek ook al heb je geen toestemming (opt-in)? Precies! En daar raakt menig marketeer compleet van in de war. Hiervoor is het nodig om terug te gaan naar 2007. Toen is bepaald: “Telefonische informatievergaring ten behoeve van markt- en verkiezingsonderzoek worden niet onder het begrip telemarketing begrepen” bron. In die tijd kwam online onderzoek nog maar net om de hoek kijken en was telefonisch onderzoek nog de standaard. En naar analogie mag deze uitspraak ook worden toegepast voor online onderzoek. Niet overtuigd dat dit ook geldt voor e-mails? Lees dit eens!  

Maar met de AVG wordt alles toch anders?

De AVG heeft zeker impact. Zo zijn bedrijven in bepaalde gevallen verplicht een Functionaris Gegevensbescherming aan te wijzen en tevens verplicht zogenaamde Privacy Impact Assesments (PIA’s) te doen. Maar op het gebied van marktonderzoek is er iets bijzonders aan de hand. Heel veel van de uitzonderingen die de Wbp biedt voor marktonderzoek komt je ook tegen in de AVG! Je moet er wel 88 pagina’s in kleine lettertjes voor doorlezen, maar dan weet je het ook precies. De artikelen 5 lid 1 b en 1 e, 9 lid 2 j, 14 5 b en artikel 89 bevatten, in andere woorden, dezelfde uitzonderingen voor statistische doeleinden als de Wbp. 

Verandert er dan helemaal niets met de AVG?

Ja, er verandert wel iets. Waar de Wbp het recht op inzage niet verplicht stelt, zie ik geen uitzondering voor statistische doeleinden in de AVG. Klopt iemand bij je aan en vraagt hij/zij welke persoonsgegevens je verwerkt voor je onderzoek, dan dien je daar dus antwoord op te geven. Is dat erg? Als het goed is niet. De toelichting op de Gedragscode voor Onderzoek en Statistiek, waar Geelen Consultancy, die de regels van MOA onderschrijft, en zich daaraan dient te houden, bevat altijd al een passage die luidt: “Alhoewel de Wet bescherming persoonsgegevens in artikel 44 bepaalt dat bij onderzoek het inzagerecht op basis van artikel 35 Wbp kan worden geweigerd, zijn de opstellers van mening dat voor het onderzoek waarop deze gedragscode betrekking heeft, een inzage verzoek niet per definitie moet worden geweigerd. Wanneer een betrokkene inzage vraagt in zijn gegevens zal naar redelijkheid en billijkheid hieraan worden voldaan.”  

En een belangrijke toevoeging van de AVG is het “recht op vergetelheid” of in het Engels “the right to be forgotten”. Als de persoonsgegevens niet meer nodig zijn voor het doel waarvoor ze zijn verkregen, dan mag de betrokkenen eisen dat de gegevens gewist worden. Maar ook hier geldt: de AVG maakt een uitzondering voor marktonderzoek (Artikel 17 lid 3 d).

Gewoon doorgaan zoals we gewend zijn dus?

Dat ligt er aan. Ook onder de huidige wetgeving zijn er duidelijke regels waaraan we ons dienen te houden. Bijv. niet als bewerker optreden zonder bewerkersovereenkomst en op de juiste manier rapporteren, op geaggregeerd niveau en niet herleidbaar (of toestemming vragen gegevens door te mogen geven). Als je je nu niet aan de privacywetgeving houdt, zal je dat onder de AVG ook niet doen. En dan moet je misschien toch een beetje bang zijn voor het privacy spook :).

Contact met de Autoriteit Persoonsgegevens

Op 11 mei 2018 heeft Geelen Consultancy contact gehad met de Autoriteit Persoonsgegevens. In dit gesprek heeft de Autoriteit Persoonsgegevens nog eens expliciet bevestigd dat marktonderzoeksbureau's ongevraagd respondenten via de e-mail mogen uitnodigen voor marktonderzoek mits er geen sprake is van reclame of promotie van producten en diensten (geen direct-marketing, wel marktonderzoek) en dat alle antwoorden op onderzoek anoniem verwerkt dient te worden. Indien u hier klikt, dan ziet u wat de reclamecode commissie onder reclame verstaat. 

Belangrijk is dat er ook een AVG-verwerkingsovereenkomst opgemaakt dient te worden tussen opdrachtgevers en Geelen Consultancy. In de AVG-verwerkingsovereenkomst staan wederzijdse afspraken om ervoor te zorgen dat er zorgvuldig en veilig met persoonsgegevens wordt omgegaan o.a. op het gebied van dataverwerking en beveiliging. Bijvoorbeeld als een opdrachtgever persoonsgegevens aanlevert voor marktonderzoek, dan vindt dit plaats in in een beveilgid Winzip bestand en dit bestand wordt voorzien van een wachtwoord. Het wachtwoord wordt vervolgens via een ander beveiligd kanaal uitgewisseld.

Indien u hier klikt, ziet u de concepttekst voor een verwerkingsovereenkomst. Voor onze opdrachtgevers hebben wij een op maat gemaakte verwerkingsovereenkomst opgesteld voor marktonderzoek die geheel voldoet aan de nieuwe AVG-wetgeving.

Een ander punt is, zoals eerder vermeld, dat mensen altijd recht hebben op inzage in hun persoonsgegevens. Dat houdt in dat zij een organisatie mogen vragen of deze hun persoonsgegevens heeft vastgelegd en zo ja, welke. Zij hoeven geen reden te geven voor een inzageverzoek. Vraagt iemand om inzage, dan moet de organisatie diegene op een duidelijke en begrijpelijke manier laten weten:

  • of de organisatie zijn persoonsgegevens gebruikt, en zo ja:
  • om welke gegevens het gaat;
  • wat het doel is van het gebruik;
  • aan wie de organisatie de gegevens eventueel heeft verstrekt;
  • wat de herkomst is van de gegevens, als deze bekend is.

In veruit de meeste gevallen gebruiken wij alleen e-mailadressen van boeren, tuinders of dierenartsen voor online-onderzoek (nooit voor promotie of reclame!). Deze e-mailadressen zijn verkregen via opdrachtgevers waarmee Geelen Consultancy een AVG-verwerkingsovereenkomst mee heeft afgesloten. Geelen Consultancy verstrekt uiteraard nooit ongevraagd persoonsgegevens aan derden. Alle verkregen informatie uit marktonderzoek wordt anoniem verwerkt in tabellen en grafieken. 

Bronnen:

  • Ivo Langbroek (AVG-specialist en marktonderzoeker)
  • Autoriteit Persoonsgegevens