Privacyproof en effectief campagne voeren

Hoe voer je campagne binnen de Algemene Verordening Gegevensbescherming (AVG)? DPC heeft acht aanbevelingen opgesteld voor campagnes die privacyproof én effectief zijn. Momenteel wordt gewerkt aan praktische handvatten. We gebruiken bijvoorbeeld alleen persoonsgegevens na expliciete toestemming.

Testcase: geen enkele campagne 100% AVG-proof

Begin 2018 heeft DPC geprobeerd om al een campagne 100% AVG-proof te voeren. Dit in de aanloop naar 25 mei 2018, toen de nieuwe privacywetgeving in werking trad als opvolger van de Wet bescherming persoonsgegevens. Online campagne voeren bleek op dat moment erg moeilijk. Bijvoorbeeld doordat mediaplatformen de expliciete toestemming van burgers voor online advertenties nog niet goed hadden geregeld. Dit was de aanleiding voor het project ‘Privacyproof en effectief campagne voeren’. Dit project is uitgevoerd met alle departementen, enkele uitvoeringsorganisaties, AVG-experts, mediapartijen, creatieven (reclame- en pr-bureaus) en het DPC-projectteam. Het heeft acht aanbevelingen opgeleverd.

Privacy by design en privacy by default

De acht aanbevelingen voor privacyproof en effectief campagne voeren gaan uit van twee basisprincipes uit de AVG:

  • Privacy by design: kan het zonder persoonsgegevens?
    Eerst zoekt de Rijksoverheid naar manieren om campagnes te ontwerpen zonder persoonsgegevens te hoeven gebruiken. Welke alternatieven zijn er? Kun je eigen kanalen gebruiken? Kun je samenwerken met partners en PR inzetten? 

  • Privacy by default: en als je toch persoonsgegevens nodig hebt…
    Als je dan toch persoonsgegevens gebruikt, dan alleen de noodzakelijke, en wees hier transparant over. Werk verder samen met betrouwbare partijen.

Acht aanbevelingen voor effectief en privacyproof communiceren

1. Sluit altijd aan op de belevingswereld van de burger

Neem je doelgroep als uitgangspunt en kijk goed waar deze zich bevindt, wat er bij ze leeft. Dit stelt je in staat om je boodschap en kanaal effectiever te kiezen. Hoe relevanter, leuker en impactvoller je campagne is, hoe actiever mensen er zelf naar op zoek gaan. Doe daarvoor eerst goed doelgroepenonderzoek. Zie Strategie bepalen met Factor C en CASI.

2. Maak optimaal gebruik van de (100% privacyproof) eigen kanalen van de Rijksoverheid

Wist je dat 58% van de Nederlanders maandelijks een website van de overheid bezoekt? Die kanalen zijn beter te benutten. Als je je eigen kanalen inzet, heb je de afspraken over gegevensgebruik in de hand. Ook is het goedkoper om te communiceren via eigen kanalen. Denk aan Rijksoverheid.nl, campagnewebsites en sites van de Belastingdienst, RVO of DUO. En aan apps, zoals de app Douane Reizen. Voorbeeld: degenen die een rijbewijs aanvragen via DigiD (vaak 18-jarigen), kun je gelijk ook informeren over hun stemrecht of erop wijzen dat ze een zorgverzekering afsluiten.

3. Maak eerst gebruik van gedeeld of verdiend bereik en pas daarna van media-inkoop

In 2018 kocht de Rijksoverheid in totaal voor meer dan 55 miljoen euro aan media in, waarvan zo’n 33 miljoen euro voor online. Soms gaat die keuze voor advertenties op Facebook, Instagram en YouTube op de automatische piloot. Uitgangspunt is om de volgorde om te gooien. Niet beginnen met paid bereik (media-inkoop), maar beginnen bij owned (eigen kanalen), earned (verdiend bereik: door publiciteit) en shared (gedeeld bereik: via partners). Dat kan door relevante content te maken. Zie Crossmediale aanpak van campagnes.

Voorbeeld: Autoriteit Persoonsgegevens

De campagne van de Autoriteit Persoonsgegevens zelf (‘Privacy gaat iedereen wat aan’) kon rekenen op veel publiciteit. Alle media hebben medio 2018 aandacht besteed aan de AVG vanwege de actualiteit. Dat is bereik zonder privacy-issues. De eigen website hulpbijprivacy.nl geeft burgers een overzicht van de privacyrechten. Professionele organisaties vinden er specifieke hulpmiddelen, voor webwinkels, zorg- en onderwijsinstellingen. Verder is in de campagne gekozen voor radiospots, advertenties in vakbladen en gerichte, fysieke mailings naar kleine zorgpraktijken en scholen (‘Is jouw school al goed voorbereid?’). Ongeveer de helft van het algemeen publiek en de algemene organisaties heeft campagne-uitingen gezien. Dat is in lijn met de benchmark van vergelijkbare campagnes. Herinnering ligt ruim boven de benchmark. Mogelijk heeft de mediaberichtgeving hieraan bijgedragen. Kleine zorgpraktijken herkennen en herinneren zich meer van de campagne.

4. Werk alleen samen met privacyproof partijen

Adverteer alleen op platformen die kunnen aantonen zich maximaal in te spannen om AVG-compliant te zijn. Voor media-inkoop door de Rijksoverheid heeft DPC een contract met mediabureau Initiative. Zij sluiten een verwerkersovereenkomst. DPC en Initiative hebben verder een lijst opgesteld van mediapartners met kanalen waarop geadverteerd kan worden. Zie hierna.

5. Adverteer contextueel: daar waar burgers (op zoek) zijn

Adverteer daar waar mensen al zijn, breng je boodschap in de juiste omgeving of context. Welke zoekwoorden gebruiken mensen voor jouw onderwerp? Dan is het handig op die pagina’s te adverteren. Op welke momenten kun je aansluiten met je advertenties? Bijvoorbeeld: plaats een reisadvies op een reisforum, een waarschuwing voor heling op Marktplaats.

6. Gebruik alleen de noodzakelijke persoonsgegevens

Als je persoonsgegevens nodig hebt, gebruik er dan zo min mogelijk en alleen als er sprake is van expliciete toestemming. Het IP-adres is noodzakelijk om online te kunnen adverteren. Op bijzondere persoonsgegevens zoals afkomst, godsdienst of gezondheid mag je nooit adverteren. Waarop mag je wel targeten? Probleem is dat we op dit moment niet weten of mediapartijen op de juiste manier toestemming vragen voor het verzamelen van de gegevens waar je op kunt targeten. Daarom zijn we er terughoudend mee. We maken onderscheid tussen twee typen gegevens:

  • zelf opgegeven gegevens, bijvoorbeeld als mensen een account aanmaken op social media;
  • gegevens die zijn opgebouwd via surfgedrag, bijvoorbeeld als mensen bepaalde pagina’s liken op social media. Zo’n like wordt gelinkt aan een bepaalde interesse, terwijl ze die interesse niet zelf hebben aangegeven.

Praktisch gezien betekent dit dat we wel op sociaal-demografische gegevens targeten, zoals leeftijd, woonplaats, geslacht of opleiding; maar niet op interessegebieden. Als je ouders wilt bereiken, kon je voorheen selecteren op ‘interessegebied: ouders’, gebaseerd op iemands surfgedrag. Nu kun je beter een leeftijdscategorie selecteren waarin ouders vaak vallen. Nadeel is dat de boodschap niet voor iedereen in die leeftijdsgroep relevant zal zijn.

Aanpak voor de AVG

Aanpak sinds de AVG

Check je huurprijs Targeting op leeftijd (16-27 jaar) en locatie (studentensteden) Kan zo blijven
Studeren met een plan

Targeting op leeftijd en opleidingsniveau

Retargeting: als mensen een video voor 25% bekeken hebben, krijgen ze een advertentie te zien
Retargeting mag niet meer (want dat gebeurt op basis van surfgedrag) Frequency cap mag wel: dat mensen een advertentie maar een aantal keer te zien krijgen (want dat is in het belang van de burger)
Wijzer in geldzaken Targeting op leeftijd (40-64 jaar) en interesse (pensioenen) Zonder interesse. Dan wordt de groep veel groter (3,5 miljoen mensen in plaats van 130.000). Wel kun je dan slimmer selecteren, bijvoorbeeld alleen mannen

7. Onderbouw je overwegingen en informeer de burger als je wél persoonsgegevens gebruikt

Als je wilt adverteren met gebruik van persoonsgegevens, maak dan je afwegingen openbaar. Als je afwijkt van de aanbevelingen en de AVG, ben je verplicht om dit vast te leggen en te onderbouwen.

8. Meet (effect van) communicatie privacyproof

Ook bij vrijwel iedere vorm van communicatieonderzoek worden persoonsgegevens verwerkt. Denk aan kenmerken van respondenten in een panel, videoregistratie van een interview en IP-adressen in webstatistieken. DPC werkt met onderzoeksbureaus die hun AVG-zaken op orde hebben, en anonimiseert de webstatistieken. Tracking is geen bruikbare onderzoeksvorm meer, totdat we weten hoe we daarvoor op een goede manier toestemming krijgen van sitebezoekers. Zie Onderzoekstechnieken voor campagnes.

Wegwijs met je huurprijs campagnebeeld

Voor de campagne 'Check je huurprijs' konden de targets op leeftijd en locatie blijven bestaan.

Vervolg: handvat voor online adverteren

Er is nog veel onduidelijk rondom het online adverteren. In 2019 komt de e-Privacyverordening (EPV). Hierin wordt de AVG vertaald naar concrete handvatten voor online marketing en communicatie. De Rijksoverheid heeft een verantwoordelijkheid om het goede voorbeeld te geven, vanuit haar positie als wetgever (ministerie van Justitie en Veiligheid) en als handhaver (Autoriteit Persoonsgegevens). Ze wil daarom, totdat de verordening meer helderheid biedt, een handvat bieden voor het toepassen van de aanbevelingen. Aan dit handvat wordt gewerkt en het wordt hier gepubliceerd zodra het af is.

Uitgangspunt van dit handvat is – net als bij de aanbevelingen – dat we handelen in de geest van de wet, in het belang van de burger. We benoemen wat wel en niet kan en wat de grijze gebieden zijn. Ervan afwijken mag, mits je goed uitlegt waarom je dit doet en dit ook vastlegt.

Wat mag wel?

Wat mag niet?

Gebruik van persoonsgegevens indien er sprake is van expliciete toestemming. Dit zijn gegevens die tot een uniek persoon te herleiden zijn, zoals NAW-gegevens (naam, adres, woonplaats), e-mailadressen, IP-adressen, locatiegegevens en smartphone-identifiers. Of algemene gegevens die in combinatie tot een persoon te herleiden zijn. Bij online adverteren zet je dus per definitie persoonsgegevens in.  Gebruik van persoonsgegevens waarvoor die persoon geen expliciete toestemming heeft gegeven. Dit zijn gegevens zoals leeftijd en geslacht, maar ook persoonsgegevens (interesses) die via surfgedrag worden opgebouwd (profielen). 

Lijst met mediapartners

In de praktijk blijkt dat er vrijwel geen mediapartners zijn die volledig privacyproof de expliciete toestemming van personen organiseren. Dat zou betekenen dat – op dit moment – online adverteren niet mogelijk is. Iets wat de Rijksoverheid belemmert om actief en gericht te communiceren over belangrijke en relevante onderwerpen voor mensen. Daarom wordt er de komende tijd bij DPC gewerkt aan een overzicht van de top 25 adverteerders en de mate waarin zij voldoen aan de AVG. Op die manier kan iedereen een afweging maken om wel of niet bij een exploitant te adverteren. Zodra de lijst af is, wordt die hier gepubliceerd.

Meer weten?

De acht aanbevelingen staan uitgewerkt voor toepassing in de praktijk in de Checklist campagnes AVG. Die krijgt geregeld een update, bijvoorbeeld wanneer er bepaalde jurisprudentie verschijnt. De meest actuele checklist vind je op CommunicatieRijk.

Vragen over privacyproof communiceren of alternatieven kun je mailen aan AVGcheck@minaz.nl.