AVG

Wat is de AVG?

De AVG, voluit Algemene Verordening Gegevensbescherming, is de Europese privacywet die sinds 25 mei 2018 regelt hoe organisaties persoonsgegevens mogen verzamelen, verwerken en bewaren. In het Engels staat de wet bekend als de GDPR (General Data Protection Regulation). De wet geldt voor elke organisatie die persoonsgegevens verwerkt van mensen binnen de EU, ongeacht waar die organisatie zelf gevestigd is.

Onder de AVG vallen alle gegevens die direct of indirect naar een persoon te herleiden zijn, zoals namen, e-mailadressen, IP-adressen en cookiegegevens. Betrokkenen hebben concrete rechten, waaronder inzage in hun eigen gegevens, correctie van onjuiste gegevens, en het recht om vergeten te worden, waarbij een organisatie persoonsgegevens op verzoek moet verwijderen.

Relevantie voor online marketing

De AVG raakt direct aan veel online marketingpraktijken. Voor het plaatsen van trackingcookies is expliciete, actieve toestemming vereist, en een weigerknop moet even prominent zijn als een accepteerknop. Ook het verzamelen en gebruiken van first-party data, het opstellen van persona’s op basis van echte klantgegevens, en het inzetten van e-mailmarketing via een ESP vallen onder de wet: in elk van die gevallen moet duidelijk zijn welke gegevens worden verzameld, waarom, en hoe lang deze bewaard blijven.

Handhaving

De AVG kent twee categorieën boetes. Lichtere, veelal procedurele overtredingen, zoals een ontbrekend verwerkingsregister of een te late melding van een datalek, kennen een maximum van 10 miljoen euro of 2% van de wereldwijde jaaromzet. Zwaardere overtredingen, zoals het ontbreken van een geldige toestemming of het niet respecteren van rechten van betrokkenen, kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger uitvalt. In de praktijk gaat het bij online marketing vaak om die zwaardere categorie, aangezien toestemming voor tracking en gegevensverwerking daar een kernonderdeel van vormt. Toezichthouders, in Nederland de Autoriteit Persoonsgegevens, handhaven de wet actief en richten zich daarbij steeds vaker op dataminimalisatie: alleen verzamelen wat daadwerkelijk noodzakelijk is, in plaats van gegevens preventief te verzamelen voor mogelijk toekomstig gebruik. Steeds meer marketing activiteiten verschuiven naar benaderingen met minder gebruik van persoonsgegevens.