ConflICT: Equens' big-dataproject te vroeg afgeschoten

14 juni 2013

Twitter ontploft. Belangenorganisaties als BOF gaan pal voor de Nederlandse burger staan. De Tweede Kamer (o.a. D66 en VVD) ruikt haar kans om vragen aan de minister te stellen. En ook het College Bescherming Persoonsgegevens roert zich in de discussie en waarschuwt voor te ‘flexibele’ omgang met persoonsgegevens.

Het idee van Equens was helemaal nog zo gek niet: het gaan verkopen van marketingrapporten op basis van geaggregeerde gegevens van pintransacties van consumenten in die regio. De winkeliers kunnen daarmee inzicht verkrijgen in het bestedingsgedrag van groepen klanten en zodoende hun bedrijfsvoering sturen en bepalen welke marketingactiviteiten het meeste effect hebben op bestedingen van hun klanten. Eigenlijk een bonuskaart, maar dan anders. Overigens blijkt later dat Equens het idee stiekem al een beetje had uitgevoerd. Uiteindelijk trekt Equens de stekker eruit door de ‘maatschappelijke onrust en bezorgdheid’ die was ontstaan. Jammer.

De ophef betreft natuurlijk ‘onze’ privacy, met name de vraag of er wel of niet sprake is van persoonsgegevens. Volgens Equens was hier tevoren over nagedacht. De gegevens die in de rapporten van Equens zouden worden gebruikt, betreffen geanonimiseerde afgeleiden van pingegevens, waarbij slechts op postcodeniveau informatie over klanten wordt gegeven. Aldus zijn de gegevens niet herleidbaar tot een natuurlijk persoon, zo redeneert Equens. En dus is de verwerking niet onderworpen aan de eisen die de wbp stelt aan het verwerken van persoonsgegevens. Kortom, zo dacht Equens, het staat ons dan vrij de gegevens te verkopen aan winkeliers.

Probleem voor Equens echter is dat je daarmee wellicht niet alle gevallen afdekt. Het anonimiseren of aggregeren als zodanig brengt niet per definitie mee dat gegevens niet meer herleidbaar zijn tot een natuurlijk persoon. Alleen wanneer gegevens zódanig geanonimiseerd zijn dat deze niet meer herleidbaar zijn, dan is de wbp niet meer van toepassing. Probleem voor Equens is dat via de context van de geanonimiseerde informatie, gegevens tóch te herleiden kunnen zijn tot een individueel persoon, hoewel geanonimiseerd. En dan kan het toch een persoonsgegeven zijn in de zin van de wbp.

Neem het idyllisch gelegen dorp Persingen in Gelderland. Persingen telt in totaal 89 inwoners. Er staan geloof ik 34 woningen. De kans dat geaggregeerde gegevens over pingedrag leiden naar slechts één persoon is zeer reëel. In Amerika is er het beruchte verhaal van supermarktketen Target, die uit dergelijke gegevens kon opmaken dat een (jong) meisje zwanger was – zelfs eerder dan haar eigen vader het wist; hij ontdekte het namelijk pas nadat Target het meisje op zwangerschap toegesneden reclame toezond. Zo zie je maar.

De discussie betrof dus met name de vraag of het om persoonsgegevens gaat. Maar de berichtgeving stond, opvallend genoeg, weinig stil bij twee andere aandachtspunten. Ten eerste dat – hoe flauw ook – het aggregeren of anonimiseren van persoonsgegevens als zodanig een verwerking betreft onder de wbp. Geen onoverkomelijk probleem, maar toch. Ik had verwacht dat, bijvoorbeeld, het College Bescherming Persoonsgegevens daar wel meer nadruk op zou leggen.

Ten tweede is de verwerkingsgrondslag een aandachtspunt, en dan met name de zogenaamde secundaire verwerking. Bij Big Data-projecten moet dit aandachtspunt bepaald niet onderschat worden trouwens, en zou wat mij betreft eigenlijk op 1 moeten staan in de checklist. Eén en ander komt er kort gezegd op neer dat gegevens slechts verwerkt mogen worden voor de doeleinden waarvoor ze zijn verkregen. De vraag is dus: waarvoor heeft Equens de gegevens ooit verkregen, en staat de (secundaire) verwerking van die gegevens – namelijk tot verkoopbare rapporten – met die verkrijging in verhouding. In al mijn bescheidenheid zou ik denken dat Equens de persoonsgegevens verkrijgt om jaarlijks die 2.2 miljard pintransacties af te kunnen handelen, en dat is volgens mij een ander doel dan het verkopen van gegevens voor marketingdoeleinden. Maar eerlijk is eerlijk: ik sta aan de zijlijn en dus is dit makkelijk gezegd. En al helemaal in een column. Je moet dit onderzoeken.

En dus vind ik het eigenlijk wel een beetje jammer dat de ideeën van Equens alweer van tafel zijn. Want ik acht zeker niet uitgesloten dat de uitkomst van nader onderzoek had kunnen luiden dat het idee, met hier en daar wat aanpassingen, privacyrechtelijk wel degelijk uitvoerbaar was geweest.

 
Lees het hele artikel
Je kunt dit artikel lezen nadat je bent ingelogd. Ben je nieuw bij AG Connect, registreer je dan gratis!

Registreren

  • Direct toegang tot AGConnect.nl
  • Dagelijks een AGConnect nieuwsbrief
  • 30 dagen onbeperkte toegang tot AGConnect.nl

Ben je abonnee, maar heb je nog geen account? Laat de klantenservice je terugbellen!