DDMA Privacy Autoriteit 2011
- toezicht & handhaving in directe communicatie - JAARVERSLAG
De DDMA Privacy Autoriteit is een onafhankelijk handhavingsorgaan dat toeziet op de naleving van de privacyregels door organisaties die het Privacy Waarborg voeren. Daarnaast lost de Autoriteit geschillen op tussen consumenten en bedrijven en bemiddelt zij in geschillen tussen bedrijven onderling. Het Privacy Waarborg is een keurmerk waarmee organisaties de consument (B2C en B2B) en hun relaties kunnen laten zien dat zij op een juiste manier omgaan met persoonsgegevens in het toesturen van reclame. Het Waarborg wordt uitsluitend gevoerd door organisaties die zijn aangesloten bij de branchevereniging DDMA. Deze organisaties hebben zichzelf extra strenge regels opgelegd die verder gaan dan de wettelijke verplichtingen voor het gebruik van persoonsgegevens voor reclame- en marketingdoeleinden. Deze extra regels zijn onderdeel van de zelfregulering en zijn vastgelegd in zelfreguleringcodes. De organisaties die het Privacy Waarborg voeren worden gecontroleerd op naleving van de wetgeving en zelfregulering. Het Privacy Waarborg geeft organisaties: ● de zekerheid dat hun marketing voldoet aan de geldende privacyregels ● de mogelijkheid dit uit te dragen ● advies bij privacyvraagstukken ● kosteloze klachtenbehandeling door de DDMA Privacy Autoriteit
inhoudsopgave Voorwoord
01
Terugblik 2011 Compliance
03 06
Klachten
11
Wie voeren het Waarborg
15
De DDMA Privacy Autoriteit
21
Vooruitblik 2012
23
Werkwijze Aantal(len) DDMA Privacy Checklists Knelpunten Checklists Bedrijfsbezoeken Klachten (herkomst en behandeling) Aanbevelingen Overzicht organisaties Best practice Mensen Kerntaken
01
voorwoord Door: Carel Rog, voorzitter DDMA Privacy Autoriteit Commerciële communicatie is een onmisbaar instrument in een succesvolle markteconomie, die vorm krijgt in een samenspel tussen consumenten en organisaties. In een succesvolle economie vinden innovaties plaats die de moeite van het kennisnemen waard zijn. In hedendaagse marketing is het gebruik van data gemeengoed: bedrijven en andere organisaties monitoren klanten om koopgedrag te achterhalen, voorspellen en beïnvloeden. Doel is om een potentiële klant beter te leren kennen en dit te gebruiken om hem te bewegen een product of dienst aan te schaffen. Hierbij richt de marketeer zich vrijwel nooit op het invidu, maar op de grootste gemeenschappelijke deler van een gedifferentieerde en onbekende groep mensen. Uiteraard bepaalt uiteindelijk de vraag het aanbod, maar dit impliceert niet dat het aanbod de vraag niet kan sturen. Hoe neemt de consument kennis van een nieuwe markttoetreder met scherpe aanbiedingen? Ongevraagde aanbiedingen zijn niet altijd ongewenst. It takes two to tango, vraag en aanbod. Gevraagd en ongevraagd hebben elkaar nodig. Hierbij is van belang dat ‘verleiden’ nooit ‘misleiden’ mag zijn. Consumentenvertrouwen is zeker in tijden van crisis een beslissende factor. En betrouwbare organisaties houden zich aan de privacyregels. Een adverteerder dient de consument inzicht te geven hoe hij aan zijn gegevens komt, wat er met zijn gegevens gebeurt en hem de mogelijkheid te bieden in te grijpen als hij het hier niet mee eens is. Om organisaties hierin te steunen heeft DDMA het Privacy Waarborg ontwikkeld. D
02
De beoordeling van de Privacy Autoriteit geeft organisaties houvast en het klachtenloket geeft de consument (terecht) greep op zijn gegevens. Een waardevolle dienst, omdat de wettelijke toezichthouders individuele klachten in de regel niet behandelen, maar acteren op grond van meerdere, gelijksoortige klachten. De DDMA Privacy Autoriteit beoogt het bedrijfsleven dat verantwoord wil communiceren met haar klanten, effectieve steun te bieden. De inspanningen in het afgelopen jaar hebben geleid tot de certificering van ruim 120 organisaties. Komend jaar werken we verder aan de promotie van het Privacy Waarborg en het uitbreiden van de auditing onder invloed van de nieuwe regels voor e-mail per januari 2012, en op handen zijnde wetgeving voor behavioural advertising. We streven ernaar dat begin 2013 alle DDMA-leden zijn gecertificeerd.
03
Terugblik 2011 Betrouwbare organisaties houden zich aan privacyregels. Dit dragen zij actief uit door het Privacy Waarborg te voeren. Het Waarborg laat zien dat organisaties op een correcte en verantwoorde manier persoonsgegevens gebruiken voor directe communicatie.
04
Privacy Waarborg krijgt momentum In 2011 en opnieuw voor 2012 heeft DDMA het toekennen van het Privacy Waarborg tot prioriteit van de vereniging benoemd. Belangrijkste onderdeel hiervan is het creëren van meer bekendheid van het Waarborg bij consumenten. Het kanaal om dit te realiseren zijn de leden die het logo actief voeren bij invulformulieren, privacy statements, in de nieuwsbrieven of op de website. Op deze manier gaan consumenten het logo herkennen en zich erin verdiepen. De inspanningen in het afgelopen jaar hebben geleid tot de beoordeling van ongeveer 165 organisaties, waarvan ruim 120 zijn gecertificeerd. De discrepantie tussen de beoordeelde en gecertificeerde organisaties ontstaat omdat een relatief groot aantal organisaties geen persoonsgegevens verwerkt, denk hierbij aan ongeadresseerde postverspreiders, sales promotion- en consultancybureaus. Daarnaast is er een aantal organisaties dat de privacyregels onvoldoende heeft ingebed in het bedrijfsproces. Zij worden door de Privacy Autoriteit begeleid bij de veranderingen in hun bedrijfsprocessen. Door aansluiting van de emailassociatie bij DDMA in de zomer van 2011, zijn nog niet alle DDMA-leden beoordeeld. Dit staat voor begin 2012 gepland.
05
Veel van de geaccrediteerde organisaties dragen het Waarborg actief uit. Onder hen ook een aantal organisaties met groot bereik onder consumenten. De Telegraaf, de NS en RTL plaatsen het Waarborg zichtbaar bij hun directe commerciële communicatie. Door de toenemende zichtbaarheid weet de consument het klachtenloket van het Privacy Waarborg beter en sneller te vinden. Bijna 80% van de ontvangen klachten is opgelost nadat de Privacy Autoriteit contact zocht met de organisaties. Organisaties waarderen de wijze van klachtoplossen, waarbij zij inzage krijgen in klachten en zich desgewenst ook zelf kunnen verontschuldigen bij een consument. Toenmalig minister Maria van der Hoeven zei bij de introductie van het Privacy Waarborg “Als een ondernemer het keurmerk gebruikt, maakt dit duidelijk dat hij privacy en veiligheid belangrijk vindt. Dat kan een concurrentievoordeel zijn”. Dit blijkt een uitspraak met voorspellende waarde. Het Privacy Waarborg is voor steeds meer organisaties een belangrijke reden om lid te worden van DDMA.
compliance Werkwijze Het Privacy Waarborg ziet toe op de bepalingen uit de Wet Bescherming Persoonsgegevens, de Telecommunicatiewet en de zelfreguleringcodes die extra regels voorschrijven voor het gebruik van persoonsgegevens voor marketing. DDMA-leden zijn verplicht de Privacy Waarborg Checklist in te vullen, aan de hand waarvan de DDMA Privacy Autoriteit bekijkt of zij de privacywetgeving en zelfregulering goed hebben ingebed in de bedrijfsprocessen. Om te controleren of de vragen naar waarheid zijn beantwoord, wordt een aantal externe controles uitgevoerd. Zo wordt gekeken naar de cbp-melding, privacy statement, uitingen en eventuele ontvangen klachten. Op deze wijze beoordeelt de Privacy Autoriteit of de basisprincipes van eerlijke verwerking van persoonsgegevens worden nageleefd: ● ● ● ●
Het recht op informatie: worden burgers door organisaties begrijpelijk en volledig geïnformeerd dat er gegevens van hen worden vastgelegd voor marketingdoeleinden, bijvoorbeeld in een privacy statement? Het recht op inzage, correctie en verzet: informeren organisaties burgers over hun privacyrechten, zoals het recht van verzet, of het recht op inzage en correctie? En worden eventuele verzoeken ingewilligd? Het recht op gericht gebruik: gebruiken organisaties de gegevens ook waarvoor ze zeggen dat ze deze gebruiken? Toestemming: is er vooraf toestemming verkregen voor bepaalde verwerkingen, zoals het sturen van een commerciële email?
06
07
Aantallen checklists De DDMA Privacy Autoriteit controleert DDMA-leden jaarlijks op de toepassing van de privacy wet- en regelgeving in marketingcommunicatie aan de hand van een online vragenlijst. De antwoorden worden door de Autoriteit vervolgens gecontroleerd op juistheid door ze te vergelijken met bepalingen in privacy statements, reclameuitingen en de CBP-melding van een organisatie. Grafiek 1: “Aantal checklists retour” RETOUR NOG TE ONTVANGEN
164 106
n = 270 (in absolute aantallen)
Per december 2012 hebben 164 DDMA-leden de Privacy Checklist geretourneerd. Een aantal leden heeft daarnaast aangegeven intern de bedrijfsprocessen te willen evalueren alvorens de vragenlijst in te vullen. Met hen is nauw contact over de vorderingen. De e-mail associatie sloot zich mid-2011 aan bij DDMA. Deze nieuwe leden hebben inmiddels een uitnodiging ontvangen de vragenlijst in te vullen. Met bestaande leden die nog geen vragenlijst hebben ingevuld, wordt Q1 2012 opnieuw contact gezocht. Leden die de vragenlijst weigeren in te vullen, worden geroyeerd.
08
Grafiek 2: “Aantal checklists voldoende/onvoldoende/nvt” Voldoende
122
Onvoldoende
17
Nvt
14
Te beoordelen Verkeerde checklist
5 6
n = 164 (in absolute aantallen)
120 organisaties voeren nu het Privacy Waarborg. Onder hen bekende organisaties als Simavi, de Telegraaf Media Groep, de Rabobank en PriceWaterhouseCoopers. Zeventien organisaties hebben geen Privacy Waarborg gekregen. De Privacy Autoriteit begeleidt een aantal van de organisaties bij de aanpassingen in de bedrijfsprocessen. Q1 2012 neemt de DDMA Privacy Autoriteit met de overige organisaties contact op om te vragen hoe zij de aanbevelingen zullen opvolgen. Indien zij hun beroepspraktijk niet aanpassen, zal dit leiden tot royement uit de DDMA. Veertien organisaties verwerken geen persoonsgegevens voor marketingdoeleinden, voor hen is accreditatie niet van toepassing.
09
“De Privacy Checklist dwingt opdrachtgevers interne procedures tegen het licht te houden.” Grafiek 3: “Verdeling verantwoordelijke/ broker/ bewerker ” Bewerker
73
Listbroker
9
Nvt
14
Verantwoordelijke
63
5 Verantwoordelijke/broker
n = 164 (in absolute aantallen)
Focus Toezicht 1. Onvolledige CBP-melding De Privacy Autoriteit blijft de CBP-meldingen van DDMA leden actief controleren en kijkt hierbij met name naar: ● Het opnemen van derdenverstrekking als doeleinde van de verwerking ●
De volledigheid van de melding van categorieën van gegevens die worden verwerkt
10
2. Transparantie Persoonsgegevens mogen verwerkt worden indien er toestemming is van de betrokkene (email, fax, sms, bijzondere persoonsgegevens) of voor een gerechtvaardigd ondernemersbelang, mits het privacybelang van de betrokkene niet prevaleert). Organisaties genereren leads door online enquêtes en prijsvragen: de vraag is hierbij hoe zij de toestemming hebben ingericht. Weet de deelnemer echt waar hij akkoord op geeft? Bedrijfsbezoeken In 2011 legde de Privacy Autoriteit twee bedrijfsbezoeken af. Zij deed dit omdat de vragen uit de DDMA Privacy Checklist niet aansloten op het businessmodel van de organisaties. Tijdens de bezoeken heeft de Privacy Autoriteit inzage gekregen in de bedrijfsmodellen en zijn vragen beantwoord. Indien er zich bij een beoordeling wederom dergelijke situaties voordoen, zal de Privacy Autoriteit ook deze organisaties bezoeken.
11
klachten herkomst en behandeling Consumenten kunnen eenvoudig online een klacht indienen op www.privacywaarborg.nl als zij menen dat hun privacy geschonden is door een reclame-uiting. Alle klachten worden door de DDMA Privacy Autoriteit in behandeling genomen. Indien een klacht gegrond is, zoekt de DDMA Privacy Autoriteit contact met de organisatie waarover de klacht is ingediend en verzoekt hen een oplossing aan te dragen. Indien dit niet gebeurt, of er geen bevredigende uitkomst is, zijn er twee vervolgtrajecten mogelijk: Bij een DDMA-lid – zal de DDMA Privacy Autoriteit een sanctie opleggen variërend van een publieke waarschuwing tot royement. Bij een niet-lid: zal de DDMA Privacy Autoriteit de klacht doorverwijzen naar een bevoegde instantie als de OPTA, het College Bescherming Persoonsgegevens of de Stichting Reclame Code.
12
Grafiek 4 en 5: ”Percentage leden/niet-leden” & “Aard van de klachten” 39
Leden Niet-leden
34
e-mail
39
online lead generation
11
telemarketing
6
gebruik data
5
misleiding
2
sms
2
ongeadresseerd
1
online behavioral advertising
1 6
Niet van toepassing
34 n = 73 (in absolute aantallen)
13
2011 kwamen 73 klachten binnen via het online klachtenloket op de website www.privacywaarborg.nl. 39 klachten betroffen DDMA-leden. 34 klachten betroffen niet-leden. Verreweg de meeste klachten (39) gingen over een niet werkende afmeldhyperlink. Elf klachten betroffen online lead generation, een stijging ten opzichte van 2010. Hierbij valt op dat mensen met name klagen over het feit dat afmelden voor deze werving niet of moeilijk gaat. Zes klachten gingen over telemarketing en nog eens vijf over het gebruik van data. Bij telemarketing blijkt het soms onvoldoende duidelijk dat consumenten die ingeschreven staan in het Bel-me-niet register nog wel benaderd kunnen worden door organisaties waar zij een klantrelatie mee hebben. De overige klachten betroffen misleiding, ongeadresseerd reclamedrukwerk en online behavioral advertising. Grafiek 1: “Oplossingspercentage” opgelost
56
ongegrond
7
niet opgelost/ in behandeling
10
5
n = 73 (in absolute aantallen)
14
56 van de 73 klachten zijn opgelost. Zeven klagers zijn doorverwezen naar de ontdubbelregisters van Postfilter en het Bel-me-niet register. Tien klachten zijn niet opgelost. In één geval betrof het een buitenlandse aanbieder (geen DDMA-lid) en is de klager doorverwezen naar OPTA. In vijf gevallen betrof het een Nederlandse aanbieder (geen DDMA-lid), die niet reageerde. Deze klagers zijn doorverwezen naar de Stichting Reclame Code en de OPTA. In één geval betrof het een brede klacht die niet te herleiden was naar een enkele organisatie. En in twee gevallen vermeldden de klagers niet over welke organisatie hun klacht ging, met hen wordt contact gezocht. Consumenten en DDMA-leden spreken hun waardering uit voor de snelle afhandeling van hun klachten. Aanbevelingen De Privacy Autoriteit heeft in twee gevallen een aanbeveling gedaan. De eerste klacht betrof een misleidende titel van een online enquête bestemd voor lead-generation. De organisatie heeft de aanbeveling deze titel aan te passen, opgevolgd. De tweede klacht betreft het ontdubbelen met de eigen suppressielijst van een organisatie. De klager is opgenomen op een interne suppressielijst, maar ontving desondanks e-mail van de organisatie omdat deze op een extern bestand mailde. De organisatie moet nog reageren op de aanbeveling van de Autoriteit, waarin kenbaar wordt gemaakt dat ook externe bestanden ontdubbeld dienen te worden met de eigen supressielijst.
15
Best Practice Overzicht organisaties:
2Contact 2organize 3BM Address Services 4DM Services A.A.B. Communicatie ACE European Group limited Acquisitiebureau Noord-Nederland Add to Favorites bv Admitter Nederland bv Aids Fonds Alembo Annie Connect bv ANWB Artsen Zonder Grenzen Arvato Services Nederland B.V. Blinker B.V. Bruka Service B.V. CAPTER Cendris Data Consulting Cherridata B.V. ClickQ CloseContact Communicatie Data Diensten Nederland Crazy 88 Media Database Fulfilment bv
dB Online Telemarketing DDMS B.V. DELA Delphi Communications B.V. Direct Force B.V. Dix Reclamebureau DMCC Nederland B.V. DM Desk direct marketing DM Interface DraftFCB d-Tail Company E2Ma Consumer Profiling eCircle Ematters Euro Mail bv Experian Nederland B.V. Focus Conferences B.V. Fund!Team Green Orange digital marketing Hersenstichting Nederland iDreams ifunds Impress InBetween Marketing Services Invicta B.V. Keystone Consultancy B.V.
KWF Kankerbestrijding LaSer Nederland B.V. LCF Data Processing B.V. Loyalty Lab B.V. MarktSelect Mark & Mini MCLS nv MDS Group Measuremail Mindwize Mister Mail bv Multi-M/IT Research & Consultancy Nederlandse Hartstichting Nederlandse Stichting voor het Gehandicapte Kind Nederlandse Vereniging tot Bescherming van Dieren Nierstichting Nederland Novins NR6 Nuon OMG/Mailmedia OutPost bv Oxyma Group Pepperminds PricewaterhouseCoopers B.V.
16 “Wie voeren het Privacy Waarborg” PrimaPost B.V. Propulsion B.V. Provecho B.V. PSI Vransen Qamel Rabobank Nederland R&F Ideas and Application Development RapidSugar bv Reed Business Reputy Robeco Direct N.V. RTL Nederland Santander Consumer Finance Schober Information Group Nederland Schoolpagina Selligent Interactive B.V. Sellvation Marketing Simavi SNS Bank SNT Nederland SSP Stichting Alzheimer Nederland Stichting Greenpeace Nederland Stichting Kinderpostzegels Nederland Stop Aids Now Tapps
Telegraaf Media Groep N.V. Teleteam Nederland B.V. TIM Dialogue Marketing B.V. Tomeloos Tripolis Solutions Turnstile Benelux B.V. Unamic/HCN B.V. vandenbusken, the dialogue & branding agency Veritate VIPcode B.V. WDM Nederland Web Power B.V. Wegener Nieuwsmedia Wereld Natuur Fonds Wij Special Media WWAV Van Rooij B.V. Yourzine
17
Best Practice Het Privacy Waarborg staat of valt met bekendheid van het logo bij consumenten. Wij zagen het afgelopen jaar enkele mooie voorbeelden voorbij komen:
Schoolpagina
Stichting Kinderpostzegels Nederland
18
Artzen zonder Grenzen
DMDesk Direct Marketing B.V.
19
Telegraaf Media Groep N.V.
DELA
Keystone Consultancy B.V.
20
WDM
TAPPS
21
De DDMA Privacy Autoriteit Toezicht & handhaving De DDMA Privacy Autoriteit is een onafhankelijk handhavingsorgaan dat toeziet op de naleving van de privacyregels door organisaties die het Privacy Waarborg voeren. De Privacy Autoriteit controleert de bedrijfsvoering van organisaties op grond van een jaarlijkse vragenlijst: de DDMA Privacy Checklist. Daarnaast controleert zij Privacy Statements en uitingen van de betreffende organisaties om te bepalen wie van hen gerechtigd is het Privacy Waarborg te voeren. De DDMA Privacy Autoriteit treedt eveneens op bij geschillen tussen consumenten en bedrijven. Zij doet dit op een snelle en efficiënte manier. Mensen De DDMA Privacy Autoriteit bestaat uit een voorzitter en twee leden. Drie deskundigen bij uitstek op het gebied van privacy, marketing en nieuwe media.
Carel Rog was directeur Benelux van Readers Digest. Daarnaast was hij voorzitter van het DMIN (een voorloper van DDMA), de FEDMA en de Privacy Commissie van VNO-NCW. Hij was lid van de Raad van Advies van het CBP en bestuurslid van de Stichting Reclame Code.
Edith Smit is hoogleraar Media en Advertising aan de UvA en voorzitter van SWOCC.
Carel Rog – “consumentenvertrouwen is zeker in tijden van crisis een beslissende factor. En betrouwbare organisaties houden zich aan de privacyregels.” Voorzitter DDMA Privacy Autoriteit” Paul Molenaar verdiende zijn sporen in de online wereld, onder meer als CEO van Ilse Media en COO van Sanoma Uitgevers. Tegenwoordig heeft hij zijn eigen onderneming en is hij lid van de Raad van Toezicht van de Consumentenbond. Visie De DDMA Privacy Autoriteit is een handhavingsorgaan voor en door het bedrijfsleven. Zij houdt actief toezicht. De Privacy Autoriteit staat voor verantwoorde directe communicatie en duidelijkheid voor de consument. Vertel wat je doet en waarom, zodat iemand een geïnformeerd besluit kan nemen. Dit is de meetlat waarlangs de DDMA Privacy Autoriteit aanvragen voor het Waarborg legt en klachten beoordeelt. Omdat zij gelooft dat ons vakgebied toekomstbestendig is als we verantwoord communiceren. Taakstelling De Privacy Autoriteit heeft de volgende taken: • Klachtenloket - voor klachten over het gebruik van persoonsgegevens voor reclame- en marketing doeleinden • Bemiddeling - tussen consumenten(organisaties) en bedrijven en bedrijven onderling inzake verwer king van persoonsgegevens voor reclame-doeleinden • Monitoring - van leden van de branchevereniging DDMA inzake hun naleving van de wetgeving en zelfregulering met betrekking tot privacy
22
23
vooruitblik 2012 In 2012 zullen de resterende DDMA-leden geaccrediteerd worden. Leden die de vragenlijst niet invullen en hun bedrijfsprocessen weigeren aan te passen, komen in een sanctietraject, met als uiteindelijke sanctie royement van de vereniging. Daarnaast zal geïnvesteerd worden in het creëren van meer bekendheid. Dit komt allereerst door de inzet en het vertrouwen van de DDMA leden. Het DDMA-ledenbestand is uniek: de vereniging heeft zowel leveranciers als adverteerders als lid. Doordat DDMA-leden op hun websites, bij invulformulieren en privacystatements het logo van het waarborg plaatsen, gaan mensen dit herkennen en zich er in verdiepen. Een groot aantal DDMA-leden heeft zich voor 2012 gecommitteerd het logo actief uit te dragen. Als dit op grote schaal wordt toegepast, wordt een breed publiek bereikt. Het Privacy Waarborg is ontwikkeld als middel om welwillende bedrijven te helpen bij de inbedding van privacywet- en regelgeving in hun bedrijfsprocessen. Met name organisaties waarvan data niet de core-business is, zien soms door de bomen van toepasselijke wet- en regelgeving het bos niet meer. Daarom blijft DDMA haar leden assisteren bij het correct toepassen van de Privacy Wetgeving. Naast de bestaande juridische dienstverlening, voorlichtingsbijeenkomsten en masterclasses privacy, maakt DDMA een begin met de ontwikkeling van standaard voorwaarden, privacy statements en contracten.
24
Dit zijn onze ambities. En uiteraard horen we graag wat u hiervan vindt. Heeft u opmerkingen of aanvullingen, neem dan contact met ons op via
[email protected] of bel met onze secretaris Jitty van Doodewaerd op 020-4528413. Carel Rog – voorzitter Edith Smit Paul Molenaar
www.privacywaarborg.nl
