Presentatie op Belgian E-commerce Conference 3 oktober 2019

1. OMGAAN MET DATA IN E-COMMERCE NA DE KOMST VAN GDPR EN EPRIVACY
Belgian E-commerce Conference 2019, Antwerpen
03/10/2019
Bart Van den Brande

2. 1 jaar GDPR
En nu...?

3. Trage start (in België toch)…
“Van alle bedrijven die weten dat ze aan GDPR onderworpen zijn”
7% heeft nog helemaal niks gedaan
49% is nog niet volledig in orde
44% beweert volledig in orde te zijn
Let wel: dat zijn cijfers van grote bedrijven en organisaties die wéten dat ze in
orde moeten zijn
Vraag is hoe het zit bij KMO’s, zelfstandigen, “kleinere” non-profit...
1 jaar GDPR, en nu?

4. 694 datalekken gemeld (vooral in finance, healthcare en overheid)
340 (driehonderdveertig!) klachten (DM, camera’s en rechten betrokkene)
4.400 DPO’s aangemeld
Amper 2 boetes van 2.000 euro en 10.000 euro
(die laatste is wél erg relevant, betreft eID-reader bij klantenkaarten)
Reden: GBA er moeizaam benoemd en in werking gesteld...
1 jaar GDPR, en nu…?
België

5. Boetes in 11 landen
Van 2.000 tot 50.000.000 euro (call center, heel wat webshops, optiekketen, zelfs
vzw’s, …)
Recente:
220.000 euro voor Bisnode (P)L
voor niet-transparante dataverzameling zonder rechtsgrond
220.000 euro voor La Liga (ES)
voor het ongevraagd en onaangekondigd monitoren van kijkgedrag via app.
89.000 data breaches gemeld
280.000 onderzochte dossiers in 27 lidstaten
144.000 klachten ontvangen
Ter illustratie
Rest van Europa

6. 20.000 klachten geregistreerd
Systematische screening van aangemelde DPO’s
Systematische honderden controles (oa travel, horeca, communicatie, bouw,
industrie, kleinhandel en distributie, overheidsdiensten, banken en verzekeringen,
Ziekenhuizen en zorgverstrekkers, ..)
400 waarschuwingen
Boetes en dwangsommen van 40.000 tot 600.000 euro
(oa bank, verzekeraar, Uber, gemeente, nationale politie, ..)
Ter illustratie
Nederland

7. Wat leren we uit 1 jaar GDPR…?
Focus 1: data security!

8. Meeste klachten gaan over direct marketing, telemarketing en videobewaking
Meeste klachten betreffen gebrek aan transparantie, gebrek aan respect voor rechten op
inzage en verzet
Meeste boetes gaan over
Onrechtmatige verwerking (zie beide Belgische boetes)
Gebrek aan security / data breach
Niet respecteren rechten (inzage, toestemming, verzet, transparantie, …)
Wat leren we uit 1 jaar GDPR…?

9. Grootste bedreiging voor de wereldeconomie volgens World Economic Forum in 2019:
1. Natuurrampen
2. Cyberattacks
3. Data fraud / Data theft
4. Climat change
5. Migration
6. Terrorist attacks
700.000.000 cyberaanvallen wereldwijd, 44% toename sinds 2016
Hacking, Phishing, “Management fraude”, Cryptolocker virussen, …
# aanvallen op smartphones en mobile devices groeit exponentieel
Apps zijn bijna per definitie compleet en geheel onveilig
Data security...

10. Wat zijn dus de échte aandachtspunten op basis van klachten, boetes en adviezen?
1. Data security, Data security, Data security, …
2. Correcte verwerking
(transparantie, rechtsgrond, proportionaliteit, informatieplicht)
...
3. Verdere GDPR compliance (DPA’s, interne documentatie , procedures en
controles)
4. Data export (Brexit!)
Wat leren we uit 1 jaar GDPR…?

11. “Gepaste” maatregels om een “gepast” niveau van bescherming te verzekeren
Rekening houdende met context, stand techniek, mogelijkheden, gevoeligheid data
etc...
Cfr. zowat 75% van de boetes die gebrek aan data security betreffen
Cfr. 89.000 gemelde data breaches
Besluit: véél te veel gefocust op “cosmetische” ingrepen en te weinig op data security
Begint bij dataregister, risicoanalyse, pen testing, processen en procedures herzien,
DPIA, vendor assessments, verzekering (!)…
Data security...

12. Wat leren we uit 1 jaar GDPR?
Focus 2: Respecteer rechten!

13. Over opt-ins en toestemmingen
Wettigheid van verwerking (“op welke gronden mag ik data verwerken?”)
Voorafgaande opt-in blijft de basisregel (+ vanaf nu bewijs vereist!)
E-commerce: “Verwerking is noodzakelijk om contract uit te voeren”
“Gerechtvaardigde redenen”
Blijft onzeker en eerste boetes bevestigen ons aanvoelen: Gerechtvaardigde reden is niet
zomaar automatisch OK
Let op met gedwongen accounts! Cfr recente boetes aan PwC en Zweedse school
= Grootste bron van klachten en tweede grootste bron van boetes

14. Vectaury case
Absolute transparantie vereist voor dataverzameling via cookies / pixels edm
Facebook Italië (10 mio euro boete)
Idem ivm transparantie over waarom data verzameld wordt (enkel voor eigen gebruik, of
ook met het doel om door te geven aan derden?
+ Verbod om deelopties vooraf te activeren (“privacy by design & by default”)
Hooggerechtshof Oostenrijk: “bundelen” van toestemmingen is verboden (i.e. “ik ben
akkoord met het gebruik van mijn gegevens door bedrijf X én met de doorgifte aan
commerciële partners én met doorgifte buiten de EU”.
La Liga case - Bisnode Polen case - Verkiezingscases in België en UK
Over opt-ins en toestemmingen

15. Vectaury case in Frankrijk november 2018
Bisnode case in Polen maart 2019
Google Frankrijk en Facebook cases
(Nog deels onopgemerkte) BOM onder online marketing
Zijn target audiences nog “legaal”?
Is remarketing / OBA / triger based marketing nog “legaal”?
Welke garanties heb ik nodig van partners?
Over opt-ins en toestemmingen

16. Cfr. Vectaury case in Frankrijk november 2018:
Dataprofielen van 67 miljoen personen op RTB platform obv geoprofiling
Vrije en geïnformeerde opt-in (onvoldoende bewijs opt-in)
Vooraf aanvinken en
gebundelde opt-ins
“iab Europe standaarden waarmee Vectaury (TCF) werkt zijn niet GDPR compliant…” (!!)
(iab stelt dat Vectaury standaarden niet heeft nageleefd…)
Google & FB = zelfde issue
Toekomst targeted audiences in gevaar?
Over opt-ins en toestemmingen

17. Cookies…?

18. Cookies…?
Cookies zijn in België een ondergeschoven kindje
Andere EU lidstaten: controles en boetes
Nederlandse Autoriteit Persoonsgegevens kondigde in april bijkomende controles aan
LET OP: “cookiewet” gaat NIET alleen over cookies (FB Pixel e.a.)

19. Zuiver functioneel
= Enkel informatieplicht (welke cookies, doel, uitgever en bewaartermijn en hoe
verwijderen)
Niet functioneel
= voorafgaande vrije en geïnformeerde opt-in
Cookie banner / pop-up + informatieplicht
Cookies…?

20. To complicate things… impact van GDPR op cookies blijkt erg groot bij nader inzicht
Niet functionele cookies
= meestal ook verwerking van persoonsgegevens
= onderworpen aan GDPR
= transparantieplicht en opt-in (vrij, niet-gecombineerd, geïnformeerd, ....)
Meestal absoluut niet OK met meeste cookiebanners vandaag!
Maar wie is verantwoordelijke…?
Cfr. EHJ Arrest: website is verantwoordelijk voor FB share button
Cookies…?

21. Maar cfr. Vectaury - Bisnode - Google - FB Italië
Ganse online marketing wereld draait op cookies
Absoluut gebrek aan transparantie, absoluut gebrek aan vrije opt-ins
Overheden kondigen controles aan
Cookiemodel staat onder grote druk...
Cookies…?

22. Cookiemodel staat onder enorme druk...
Apple kiest voor de vlucht vooruit
ITP 2.1 - Intelligent Tracking Prevention op Safari
Automatisch verwijderen van first party cookies na 7 dagen ipv 30 dagen
Automatisch blokkeren van third party cookies
Impact op remarketing & conversion stats in affiliate marketing is enorm
Safari heeft relatief belang, maar Firefox speelt met hetzelfde idee...
Cookies…?

23. Intussen in Europa…
EU werkt aan ePrivacy verordening die GDPR moet aanvullen
Hoofdstuk over cookies
Niet functionele cookies = 1 setting bij installatie browser ipv constant pop-ups
Enige rechtsgrond = voorafgaande vrije opt-in
Maar technisch mogelijk en politiek haalbaar…?
Cookies…?

24. Media & advertising law
IP law
Internet & e-commerce
Privacy & data protection
Gambling law
Travel & consumer protection
Commercial & contracts
Corporate - tax
bart@siriuslegal.be
www.siriuslegal.be
www.smartcitieslawfirm.com
@BartVdBrande
Linkedin.com/in/bartvdb