Nood aan duidelijkheid en pragmatisme: onze kijk op Aanbeveling 01/2025 rond gegevensbescherming

In een snel evoluerend digitaal en technologisch landschap is het niet meer dan logisch dat privacy en datatransparantie hoog op de agenda staan. Ook BAM zet hier actief op in en ziet een verantwoordelijke omgang met persoonsgegevens als een onmisbaar facet van consumentenbescherming, dat het binnen de sector stimuleert via allerlei initiatieven. Denk aan het Meaningful Marketing Framework, het lidmaatschap van de Raad voor Reclame en natuurlijk de steun voor de ICC Code als globale ethische standaard. 

Zelfregulering is een codewoord in dit alles. Waarbij de proactieve zelfregulerende acties van merken idealiter naadloos overlopen in de regelgevende kaders en de intrinsieke ambities rond verantwoorde marketing bijna automatisch resulteren in compliance. In dat licht is het echter aangewezen dat nieuwe richtlijnen hun doel niet voorbijschieten en daarom deelt BAM graag enkele constructief-kritische opmerkingen bij de nieuwe Aanbeveling 01/2025. 

Wat is direct marketing? 

Een eerste probleem schuilt al in de afbakening van het begrip ‘direct marketing’. De Gegevensbeschermingsautoriteit (GBA) kiest immers voor een zeer brede definitie, die evenwel ingaat tegen de interpretatie van zowel de Europese als de Belgische wetgever. De Aanbeveling laat onterecht uitschijnen dat elke uiting van commerciële communicatie onder de noemer direct marketing valt. 

Bovendien worden voorbereidende activiteiten als gedragssegmentatie – waar natuurlijk ook data bij aan te pas komen – zomaar gelijkgesteld met het effectief uitsturen van promotionele content. Omdat één enkele toestemming rond het verwerken van persoonsgegevens niet per se volstaat wanneer verschillende soorten marketingacties aan de orde zijn, lijkt ook op dit vlak een meer genuanceerde en gedifferentieerde benadering wenselijk. 

Wat die ‘promotionele content’ betreft: de voorbeelden die de GBA bij wijze van toelichting meegeeft, zijn onvoldoende concreet – een euvel dat in meerdere aspecten van de Aanbeveling terugkeert. Dat maakt het voor marketeers verantwoordelijk voor de verwerking van persoonsgegevens moeilijk om te bepalen of ze deze nieuwe richtlijnen al dan niet moeten naleven.

Vragen bij de uitzonderingen

Belangrijk in de afbakening van promotionele content, is alleszins het feit dat ook het promoten van ideeën tot het toepassingsgebied behoort. Wat tegelijk allerlei vormen van niet-commerciële sensibiliseringscommunicatie meeneemt onder de direct marketing-koepel. Een keuze die BAM niet toejuicht, zéker omdat hier een inconsistent onderscheid gemaakt wordt tussen overheden en private non-profitorganisaties…

Dat zit zo: overheidscommunicatie die voortkomt uit wettelijke taken valt níét onder de definitie van direct marketing, gelijkaardige sensibiliseringsberichten van ngo’s – nochtans in het kader van statutair vastgelegde taken van algemeen belang – wel. 

Te (weinig) gedetailleerd

Bedrijven die aan de slag gaan met de persoonsgegevens van consumenten, moeten transparant aangeven dat ze dat doen en waarom ze dat doen. ‘Wij verwerken uw gegevens voor directmarketingdoeleinden.’ Hoewel direct marketing een algemeen aanvaard doeleinde is en tevens in lijn ligt met wat de algemene verordening gegevensbescherming (AVG) vooropstelt, acht de GBA dit niet voldoende… Het gevolg: nog uitgebreidere en bijgevolg onduidelijkere privacyverklaringen.

Een omgekeerd verhaal zien we bij het bepalen van de bewaartermijnen voor persoonsgegevens, want daar laat de GBA het na om concrete aanwijzingen te geven. Dat is nochtans een essentieel gegeven. Een gedetailleerd overzicht van een hele reeks relevante criteria – sector, type betrokkenen, communicatiekanaal, risico’s, … – die verwerkingsverantwoordelijken idealiter op een rijtje zetten en evalueren, dringt zich op.

Gerechtvaardigd belang

Voorts verzet BAM zich tegen de verregaande due diligence-plicht die de GBA oplegt bij het verkrijgen van data via gegevensmakelaars (data brokers). De stelling dat heldere contractuele waarborgen niet voldoende zouden zijn, lijkt uit de lucht gegrepen en zadelt verwerkingsverantwoordelijkheden met heel wat meer werk op – als het al mogelijk is om de interne documentatie van de derde partij in kwestie, laat staan van een bedrijf verderop in de keten, te bemachtigen. 

Een ander heikel punt heeft dan weer te maken met het ‘gerechtvaardigd belang’. Hoewel het in onze ogen absoluut een goede zaak is dat dat wordt erkend als wettelijke grondslag voor het verwerken van gegevens, moet gezegd dat de bijhorende beperkingen problematisch zijn. Die zijn erg strikt, stroken niet met de rechtspraak en bemoeilijken het realiseren van effectieve marketingstrategieën.

Nood aan pragmatisme en verduidelijking

Maar ook ogenschijnlijke details kunnen rechtsonzekerheid (en onnodige last) teweegbrengen. Zo vindt de GBA dat een functioneel e-mailadres (bv. info@naamonderneming.be) een persoonsgegeven is wanneer het lukt om het te verbinden aan een natuurlijk persoon. De identificatiebeoordeling die hiervoor nodig is, is niet vanzelfsprekend en druist qua gegevensgebruik zelfs in tegen de AVG. Beter is allicht een meer pragmatische aanpak.

Tot slot is er in een aantal passages sprake van begripsverwarring. Zo wordt in punt 44 ‘verwerkingen’ gebruikt in plaats van ‘bewerkingen’ en lijkt de opvatting van het begrip ‘verdere verwerking’ te ruim. Kortom: over de hele lijn en op verschillende niveaus vraagt deze Aanbeveling om extra verduidelijking, gericht op het voorkomen van rechtsonzekerheid en liefst nog meer afgestemd op de AVG én de marketingpraktijk. 

BAM zette al deze voorstellen ter verbetering van Aanbeveling 01/2025 uitvoerig uiteen in een Position Paper.