GDPR:
De gevolgen voor de mobiele marketingindustrie  

1. Wat je moet weten over GDPR

Gegevensbescherming is een tijdperk van ongekende veranderingen ingegaan. In december 2015 bereikten drie grote EU-instellingen - het Europees Parlement, de Raad van de Europese Unie en de Europese Commissie - na meer dan drie jaar van zware onderhandelingen en meerdere conceptversies overeenstemming over de tekst van de General Data Protection Regulation (GDPR).

Dit zijn de belangrijkste redenen voor GDPR:

1. Revolutionaire verandering in hoe we informatie gebruiken en delen

De Richtlijn Gegevensbescherming werd aangenomen in 1995, toen internet nog niet algemeen beschikbaar was en mensen nog nauwelijks mobiele telefoons hadden. Omdat de richtlijn niet langer aan het doel beantwoordt, is GDPR ontworpen om de veiligheid van persoonlijke gegevens in onze moderne, technologische wereld te garanderen.

2. Toenemend aantal opvallende datalekken

Nadat techbedrijven zoals Uber en Yahoo te maken kregen met grootschalige datalekken die meer dan 3 miljard gebruikersaccounts troffen, zijn consumenten en toezichthouders zich steeds meer zorgen gaan maken over het beheer van persoonlijke gegevens.

3. Duidelijke behoefte aan zwaardere sancties

De beroemde gevallen waarin machtige techgiganten de wet overtraden (Facebook gebruikte bijvoorbeeld een generieke opt-in om Whatsapp-gegevens samen te voegen), benadrukten de onbeduidendheid van bestaande boetes voor het overtreden van privacyregels, wat de noodzaak van een nieuwe wetgeving verder ondersteunt.

GDPR introduceert strengere compliance-eisen voor gegevensbescherming en is daarmee een game changer voor bedrijven in verschillende sectoren. Het is geen verrassing dat de nieuwe regelgeving ook een cruciale impact heeft op de mobiele marketingindustrie. Mobiele marketeers, uitgevers en de achterliggende technologiebedrijven - alle bedrijven die actief zijn in deze sector - moeten ervoor zorgen dat GDPR wordt nageleefd wanneer het later dit jaar in mei van kracht wordt.

Niet naleven heeft een prijs - boetes kunnen oplopen tot 20 miljoen euro of 4% van de jaarlijkse bruto-inkomsten, afhankelijk van welk bedrag het hoogst is.

De klok tikt en met nog maar een paar weken te gaan, zouden bedrijven nu al een gegevensbeschermingseffectbeoordeling moeten hebben afgerond en goed op weg moeten zijn om eventuele hiaten te dichten. Als jouw bedrijf actief is op het gebied van mobiele marketing, is deze gids bedoeld om je te helpen nu actie te ondernemen - of je nu net begint met de voorbereidingen of al de laatste vakjes van je checklist hebt afgevinkt.

2. Wat GDPR betekent
voor de mobiele marketingindustrie

Hoewel GDPR een aantal uitdagingen met zich meebrengt voor de mobiele gemeenschap, brengt het ook positieve veranderingen met zich mee door de wetgeving in de 28 EU-lidstaten te harmoniseren en het complexe landschap van gegevensbescherming overzichtelijker te maken. Het belangrijkste is dat de wet de gegevensbeschermingswetgeving verduidelijkt door "grijze gebieden" te elimineren die vóór GDPR bestonden.

De volgende lijst geeft een overzicht van de belangrijkste veranderingen onder GDPR:

Om de toestemming van gebruikers beter te documenteren en te beheren, zijn er gespecialiseerde Consent Management-oplossingen beschikbaar. Deze oplossingen ontlasten de voor verwerking verantwoordelijken door te voldoen aan de vereisten van naadloze opt-ins en opt-outs en door gedetailleerde documentatie te bieden van specifieke gevallen voor individuele gebruikers.

IAB Europe is gestart met een Consent Management Solution voor de hele branche. Meer informatie op http://advertisingconsent.eu/.

3. Uw rol in de gegevensverwerkingsketen begrijpen

Het correct kunnen identificeren van uw rol - en die van uw partners - in de gegevensverwerkingsketen heeft een

Onder GDPR zijn zowel verwerkingsverantwoordelijken als verwerkers verantwoordelijk voor het veilig beheren van persoonlijke gegevens en het rapporteren van datalekken. Verantwoordelijken voor gegevensverwerking hebben echter meer mogelijkheden om met gegevens te werken en hebben daarom meer verantwoordelijkheden met betrekking tot het documenteren van interne processen, privacyeffectbeoordelingen, opt-outs en audits door derden.

Met zoveel spelers en tussenpersonen in de complexe en steeds veranderende mobiele marketingruimte kan het soms een uitdaging zijn om bedrijven de juiste rollen toe te wijzen.

Om het eenvoudiger te maken, volgt hier de uitsplitsing van de gegevensverwerkingsketen:

Zowel de verwerkingsverantwoordelijken als de verwerkers van gegevens in de hele keten moeten de bron van de gebruikte gegevens begrijpen en ervoor zorgen dat hun leveranciers goede toestemmingsmechanismen hebben en de toestemming registreren.

4. Is uw organisatie klaar voor GDPR?

GDPR brengt de grootste verandering in de Europese gegevensbescherming van de afgelopen decennia met zich mee en er zijn veel raamwerken die gedetailleerde stappen bieden die je moet volgen om je er volledig op voor te bereiden. Hopelijk heeft je organisatie al krachtige maatregelen genomen om aan de nieuwe regelgeving te voldoen. Maar als je je nu pas begint voor te bereiden, kun je het beste zo snel mogelijk professionele ondersteuning zoeken.

Ongeacht in welke fase van voorbereiding je organisatie zich momenteel bevindt, is het een goed idee om een preventieve evaluatie van je status uit te voeren.

De belangrijkste vragen die je jezelf moet stellen zijn onder andere:

5. Checklist voor mobiele uitgevers

GDPR brengt strenge regelgeving met zich mee en uitgevers moeten actie ondernemen om zowel hun eigen gegevensverwerkingspraktijken als die van hun partners kritisch te evalueren - en ernaar te handelen.

Als je aan de aanbodzijde van het ecosysteem voor mobiele marketing zit en je gegevens te gelde maakt, is hier een checklist met GDPR-gerelateerde taken die je moet uitvoeren om volledige naleving aan te tonen:

• Je rol bepalen

• Contracten herzien en heronderhandelen

• Privacybeleid en servicevoorwaarden bijwerken

• De wettelijke basis voor gegevensverwerking overeenkomen

• Toestemming beheren

• Lekken van gegevens voorkomen

• Meld inbreuken

Ondanks dat er veel voorwerk bij komt kijken, is GDPR een positieve ontwikkeling voor mobiele uitgevers die in een goede positie zijn om toestemming te krijgen. De verordening dwingt uitgevers de controle terug te nemen over wat er gebeurt op hun mobiele apps en mobiele websites en vergroot tegelijkertijd het respect voor hun publiek. Op hun beurt leiden deze ontwikkelingen tot meer vertrouwen tussen gebruikers en uitgevers, waardoor de kwaliteit van de verzamelde gegevens verder toeneemt.

Checklist voor mobiele uitgevers

Je rol bepalen

Zoals hierboven besproken, zijn er 2 verschillende soorten entiteiten die met gegevens te maken hebben: de voor de verwerking verantwoordelijken die bepalen hoe en waarom persoonsgegevens moeten worden verwerkt en de verwerkers die de feitelijke verwerking uitvoeren namens de voor de verwerking verantwoordelijken. Mobiele uitgevers zijn meestal verantwoordelijken voor de verwerking.

Contracten herzien en heronderhandelen

Mobiele uitgevers moeten de meeste overeenkomsten met hun externe leveranciers bijwerken omdat GDPR nieuwe eisen en overwegingen met zich meebrengt die moeten worden vastgelegd, waaronder:

• Definities (bijv. de nieuwe, bredere definitie van persoonsgegevens)

• Meldingen (verkopers moeten verantwoordelijken voor de verwerking zonder onnodige vertraging op de hoogte stellen in geval van een inbreuk)

• Samenwerking (leveranciers moeten verwerkingsverantwoordelijken in staat stellen de rechten van betrokkenen te respecteren)

• Beveiliging (leveranciers moeten garanderen dat de verwerking veilig is en aan de voorschriften voldoet)

• Registratie (verwerkers moeten registers bijhouden van alle gegevensverwerkingen die zijn uitgevoerd op de

  namens de controller)

Privacybeleid en servicevoorwaarden bijwerken

Mobiele uitgevers moeten ervoor zorgen dat deze documenten up-to-date zijn en al hun wettelijke vereisten dekken. GDPR vereist ook dat uitgevers het privacybeleid in duidelijke taal uitleggen en gemakkelijk toegankelijk en zichtbaar maken voordat ze persoonlijke gegevens verzamelen (waaronder cookies of mobiele advertentie-ID's).

De wettelijke basis voor gegevensverwerking overeenkomen

Mobiele uitgevers moeten een goede rechtsgrondslag hebben, zoals toestemming of een legitiem belang om persoonlijke gegevens te verzamelen, te gebruiken en door te geven. Toestemming moet worden gegeven in een begrijpelijke en gemakkelijk toegankelijke vorm. Uitgevers moeten duidelijk zijn over welke gegevens ze verzamelen, wat ze van plan zijn ermee te doen en expliciet alle derde partijen vermelden die de gegevens zullen gebruiken.

Toestemming beheren

Mobiele uitgevers moeten de toestemming bijhouden en de gebruiker de mogelijkheid geven om op elk moment de toestemming in te trekken en alle gegevens die uitgevers over hem hebben in te zien, te corrigeren of volledig te wissen. Gebruikers moeten hun toestemming net zo makkelijk kunnen intrekken als dat ze deze kunnen geven.

Lekken van gegevens voorkomen

Toestemming is zinloos zonder handhaving van gegevensbescherming: tenzij mobiele uitgevers alle datalekken voorkomen, kan een bezoeker die toestemming geeft niet weten waar zijn gegevens terecht kunnen komen. Uitgevers moeten hun technologie en potentiële zwakke schakels kennen - en het lekken van gegevens voorkomen.

Meld inbreuken

In het geval dat een database wordt gekraakt, moeten mobiele uitgevers de autoriteiten binnen 72 uur op de hoogte stellen van het lek.

6. Checklist voor mobiele adverteerders

Nieuwe rechten voor consumenten, nieuwe tijdsbeperkingen voor veel verzoeken, nieuwe verantwoordelijkheden - het lijdt geen twijfel dat GDPR uitdagingen met zich meebrengt voor mobiele adverteerders, zowel voor degenen die al in sterk gereguleerde sectoren werken als voor degenen die dat niet doen.

Adverteerders moeten actie ondernemen om hun eigen gegevensverwerkingspraktijken en die van hun partners kritisch te evalueren - en ernaar handelen. Als je je aan de vraagkant van het mobiele marketingecosysteem bevindt, is hier een checklist met GDPR-gerelateerde taken die je moet uitvoeren om volledige naleving aan te tonen:

• Je rol bepalen

• Contracten beoordelen en bijwerken

• Ken uw leveranciers

• Toestemming verkrijgen

• Toestemming beheren

• Legitieme belangen begrijpen

• Privacybeleid bijwerken

Hoewel de voorbereidingen voor GDPR uitdagend kunnen zijn, moet deze nieuwe wetgeving niet worden gezien als een tegenslag voor marketeers. In feite is het een goede gelegenheid om gerichte mobiele marketingcampagnes op te zetten die de mensen bereiken die betrokken zijn bij je merk.

Dankzij expliciete toestemming zal GDPR leiden tot een verbetering van de gegevenskwaliteit. Slimme marketeers zouden dit moeten aangrijpen als een kans om dieper in te gaan op de behoeften van hun prospects en klanten, door de traditionele "one-size-fits-all" benadering van mobiele marketing te vervangen.

Checklist voor mobiele adverteerders

Je rol bepalen

Een verwerkingsverantwoordelijke is iemand die de middelen en doeleinden voor de verwerking van persoonsgegevens bepaalt, zoals welke gegevens worden verzameld en op welke doelgroepen de gegevens worden gericht. Een verwerker verwerkt op zijn beurt gegevens namens de verwerkingsverantwoordelijke. Hoewel sommige kruisingen mogelijk zijn, betekent dit in de meeste gevallen dat adverteerders de voor de verwerking verantwoordelijken zijn.

Contracten beoordelen en bijwerken

Marketeers moeten overeenkomsten tussen bedrijven en contracten met gegevensverwerkers herzien en bijwerken. De bijgewerkte versies van contracten moeten worden aangepast om nieuwe clausules met betrekking tot GDPR op te nemen en om ervoor te zorgen dat alle relevante diensten volledig compliant zijn.

Ken uw leveranciers

Leveranciers spelen een cruciale rol bij het bepalen of marketeers compliant blijven of het risico lopen de regels te overtreden. Met dat in gedachten moeten marketeers met elke leverancier duidelijkheid scheppen:

• Welke persoonlijke gegevens verwerken ze? Hoe? Waarom? Hoe beperken ze het gebruik ervan?

• Zijn ze een processor of een controller?

• Op welke rechtsgrondslag verwerken ze gegevens?

• Hoe zijn ze voorbereid om met toestemming om te gaan?

• Hoe beheren ze de rechten van de betrokkenen?

• Hoe gaan ze om met beveiliging en internationale transfers?

Toestemming verkrijgen

Om toestemming te krijgen, moeten adverteerders individuen een duidelijk beeld geven van waarom ze de gegevens verzamelen, hoe ze zullen worden gebruikt en wie ze zal gebruiken. Er moet begrijpelijke, duidelijke taal worden gebruikt over de rechtsgrondslag voor de verwerking van gegevens. Men moet het recht hebben om de toestemming gemakkelijk in te trekken.

Toestemming beheren

Het is belangrijk om ervoor te zorgen dat systemen toestemming en daaropvolgende bezwaren kunnen koppelen aan specifieke doeleinden die zijn aangegeven op het moment dat de toestemming werd verzameld.

Legitieme belangen begrijpen

GDPR staat direct marketing toe als legitiem belang als aan bepaalde voorwaarden en een "belangenafwegingstoets" (waarbij de eigen belangen van marketeers worden afgewogen tegen de rechten van de betrokkene) wordt voldaan. Als legitiem belang wordt gekozen als rechtsgrondslag voor gegevensverwerking in plaats van toestemming, moeten marketeers vastleggen hoe zij voldoen aan de bescherming van de rechten en redelijke verwachtingen van het individu.

Privacybeleid bijwerken

GDPR vereist meer gedetailleerde privacyverklaringen, waaronder hoe lang persoonlijke gegevens worden bewaard, details over het delen van persoonlijke gegevens met derden, een uitleg van eventuele profileringsactiviteiten, hoe personen hun rechten kunnen uitoefenen, waar ze klachten naartoe kunnen sturen en of niet-EU-landen persoonlijke gegevens verwerken.

7. Targetoo Is uw betrouwbare partner op het gebied van mobiele marketing

GDPR is niet bedoeld om marketeers ervan te weerhouden met hun klanten te communiceren, noch om uitgevers ervan te weerhouden door te gaan met hun activiteiten op het gebied van datamonetarisatie. Het doel is om gebruikers meer controle te geven, wat kan worden omgezet in een concurrentievoordeel als er wordt samengewerkt met zorgvuldig geselecteerde, geloofwaardige partners.

Bij Targetoo hebben we een neutrale en transparante marktplaats gecreëerd om bedrijven in staat te stellen betere marketingbeslissingen te nemen. Targetoo is opgericht en het hoofdkantoor is gevestigd in Duitsland, waardoor het al vanaf het begin van de oprichting werd blootgesteld aan zeer strenge privacyregelgeving, waaraan het ook moest voldoen. Daarom hebben we de meeste GDPR-vereisten al ingevuld:

Doelwit...

...heeft het concept van "Privacy by Design" vanaf dag één opgenomen in haar ontwikkeling ...heeft "Technische en Organisatorische Maatregelen" gedefinieerd als onderdeel van de standaardovereenkomsten voor gegevensverwerking

...een integratiemethode met partners ontwikkeld (Pre-bid Enrichment) die directe gegevensverwijdering aan DSP- en SSP-zijde mogelijk maakt (er worden geen ruwe gegevens naar partners gestuurd)

...alle datapartners contractueel verplicht om toestemming te verkrijgen en te bewijzen voor alle gebruikers.

...heeft sinds 2018 een externe functionaris voor gegevensprivacy aangesteld

...biedt gebruikers een opt-out mogelijkheid op haar website om gegevens te verwijderen en de distributie stop te zetten.

...is actief betrokken bij het IAB-initiatief voor Consent Management Solution om industriewijde standaarden en een transparante leverancierslijst mogelijk te maken.

Targetoo neemt de rol van gegevensbeheerder op zich .

Naast het aanbieden van een self-service Audience Management Platform waarmee data-eigenaren hun data te gelde kunnen maken en datakopers zich kunnen richten op de juiste doelgroepen in hun campagnes, verzamelt en verwerkt Targetoo ook data voor doelgroepsegmenten die zijn afgeleid van locatiegedrag en voor de Targetoo Data Alliance.

Als gegevensbeheerder voldoet Targetoo aan alle GDPR-vereisten en fungeert het als vertrouwde partner voor zowel audience targeting als data monetization.

8. Conclusie

Terwijl de naderende deadline om te voldoen aan GDPR de mobiele marketingindustrie bezig houdt, is het belangrijk om een stap terug te nemen en de waarde te erkennen die de nieuwe regelgeving met zich meebrengt. De General Data Protection Regulation heeft als doel de controle over persoonlijke gegevens terug te geven aan Europese burgers en de regelgeving voor internationaal zakendoen te vereenvoudigen.

Om compliant te blijven, moeten bedrijven al ver gevorderd zijn met het herstellen van de hiaten die zijn geïdentificeerd tijdens hun interne privacybeoordelingen en contractreviews. Het herstellen van deze gaten moet echter worden gezien als meer dan alleen een nalevingsverantwoordelijkheid. Het ethisch gebruik van gegevens zorgt voor vertrouwen tussen bedrijven en consumenten, wat onze datagestuurde economie verder versterkt. Slimme bedrijven, zowel aan de vraag- als aan de aanbodzijde van het mobiele marketingecosysteem, moeten de compliance-activiteiten omzetten in een kans om de concurrentie voor te blijven en hun klantrelaties te versterken.

Disclaimer: De informatie en aanbevelingen in deze white paper zijn van algemene aard en vertegenwoordigen geen juridisch advies. Raadpleeg uw eigen juridische professionals als u advies wilt over specifieke interpretaties en vereisten van GDPR.