De GDPR komt er nu echt aan. Wij vinden dit een noodzakelijke ontwikkeling, want Weborama ziet privacy als een fundamenteel recht. Om aantoonbaar compliant te zijn, hebben we een belangrijke keuze moeten maken. Weborama Nederland stopt met het zelf aanmaken van third-party dataprofielen - en bouwt, beheert en activeert alleen nog first-party profielen in opdracht van partners. Deze blog geeft meer inzicht in die keuze.
Privacy staat bij ons hoog in het vaandel. Daarom heeft Weborama vanaf het begin bijvoorbeeld nooit IP-adressen geregistreerd. Er is altijd met volledig anonieme profielen gewerkt, ook in de huidige definitie van ‘anoniem’ volgens de GDPR. Weborama heeft in Europa altijd op goede voet gestaan met de autoriteiten – en het contact met hen en self-regulation is iets dat we actief onderhouden. Zo is vorige maand de managing director van Weborama Frankrijk benoemd tot voorzitter van IAB Frankrijk.
Weborama zal internationaal alle data-activiteiten baseren op het IAB-framework. Daarnaast is het ook goed om te weten dat Weborama Nederland geen data (meer) verzamelt via haar Rich Media-producten.
Voldoen aan de GDPR hebben we dan ook altijd nagestreefd. Maar het wordt lastig voor Europese bedrijven dit te kunnen blijven doen, als we kijken hoe deze nieuwe regelgeving wordt ingevuld.
Afschuiven verantwoordelijkheid
De meest machtige, veelal Amerikaanse, partijen in de markt grijpen de GDPR namelijk aan om hun verantwoordelijk af te schuiven op bijvoorbeeld adverteerders en publishers. “Of je doet op onze voorwaarden mee, of niet”, lijkt het credo. Concreet betekent dit meer compliance risico voor ons, maar meer macht voor hen. Van zulke grote partijen mag je juist verwachten dat ze het voortouw nemen en het goede voorbeeld geven – maar Europese publishers, ad-tech, agencies en adverteerders lijken dus aan het kortste eind te trekken.
Er zijn twee dingen aan de hand:
- Grote partijen duwen publishers en adverteerders middels contracten in de rol van controller (verwerkingsverantwoordelijke). Maar dan zonder hen de effectieve controle te geven die bij hun rol zou moeten passen.
- Of grote partijen dragen publishers en adverteerders juist op om de controle over verzamelde data op te geven en dus processor (verwerker) te zijn. Maar dan ook hier zonder de verantwoordelijkheid bij hen weg te halen.
De noodzaak voor het krijgen van “provable consent” blijft dus bij publishers en adverteerders rusten. En dit niet alleen voor hun eigen partners, maar ook voor deelnemers verder in de keten waar zij zelf geen directe relatie mee hebben. En dit alles zonder dat zij zelf profielen kunnen opbouwen en zo voordeel kunnen hebben van de verwerkte data. Wel de lasten, maar niet de lusten.
Compliancy in 1-to-many relaties
Tegelijkertijd kan niemand in onze tak van sport 100% zeker zijn dat ze 100% “provable consent” hebben. De GDPR lijkt namelijk vooral rekening te houden met 1-op-1 relaties. Dat is nog te overzien. Maar in de wereld van digital advertising gaat het natuurlijk om 1-to-many relaties. Het is dus bijna onmogelijk om voor elke relatie consent te krijgen (bij controllers) of een verwerkersovereenkomst op te stellen (bij processors).
Het zou wel kunnen met user-based blockchain technologie die consents voor zowel publishers als adverteerders kan verzamelen en beheren (zoals de Weborama-spinoff Chandago dat doet). Zo ver zou je dus moeten gaan. Deze dienst is pas net beschikbaar, en voorlopig komt deze ook nog niet naar Nederland.
Geen eigen third-party dataprofielen meer
Omdat techgiganten Europese bedrijven nagenoeg in hun greep hebben, en omdat het onmogelijk is om duizenden relaties in kaart te brengen en waar nodig verwerkersovereenkomsten op te stellen, hebben we dus een keuze moeten maken.
Weborama Nederland is volledig gestopt met het zelf aanmaken van third-party data profielen. Profielen worden uitsluitend nog ingekocht en / of opgebouwd in opdracht van onze klanten.
Wat betekent dit voor publishers, agency’s en adverteerders?
- We zullen ons vooral richten op advies bij de effectieve opbouw en inzet van diverse soorten data in opdracht van publishers, agency’s en adverteerders.
- Data wordt uitsluitend nog ingekocht bij lokale en internationale partners.
- First-party data wordt opgebouwd in opdracht van publishers en adverteerders.
- Het hele aanbod van Rich Media-producten valt sowieso geheel buiten de data-scope: er wordt geen data verzameld met onze Rich Media-technologie.
- Hetzelfde geldt voor ons nieuwe "digital-insights" platform, BigFish, welke gebruik maakt van semantische intelligentie.
We willen tevens benadrukken dat we nergens controllers van data zijn.
Koester Europese data-bedrijven
We begrijpen dat de GDPR noodzakelijk is. Maar het is ook de vraag of je hiermee grote excessen, zoals de onthulling rond Cambridge Analytica, gaat voorkomen. De Europese Unie zou Europese data-bedrijven die wereldwijd opereren, juist moeten koesteren door de invulling van regelgeving niet onevenredig nadelig te maken. Uiteraard met privacy als vertrekpunt. Het is nu erg jammer om te zien dat de GDPR grote Amerikaanse partijen in staat stelt de verantwoordelijkheid af te schuiven en er zelfs hun voordeel mee te doen.
Echt grote vissen
In het verlengde van bovenstaande besluit ligt nu bij ons de focus op ons nieuwe digital-insights tool ‘BigFish’. Deze tool maakt gebruik van semantische intelligentie voor het ontdekken van trends en echte insights over merken en hun concurrenten. Geheel vrij van persoonsgegevens en mogelijke privacy-perikelen en met veel meer strategische impact voor onze klanten. Zo hebben we onze rol als data-bedrijf alsnog weten te versterken.
