VRAGEN WG 2 PRIVACY & GEGEVENSBESCHERMING 2019-2020
Opdracht 1: De slimme klantenkaart
Persbericht:
“De supermarktketen Mastodont gaat in 2012 een klantenkaart met Radio Frequentie Identificatie
(RFID) invoeren. Dit is dezelfde technologie die in de OV-chipkaart zit. Met behulp van deze kaart
kunnen mensen nog makkelijker winkelen en gebruik maken van op maat gesneden aanbiedingen. De
kaart wordt gratis verstrekt, maar staat allerlei vormen van ‘state of the art’ interactieve marketing
toe. Door de chip in de klantenkaart kunnen gegevens rond het loopgedrag (in de supermarkt) en
koopgedrag van de klant worden nagegaan. Deze ‘klantgegevens’ worden opgeslagen op een profiel
dat hoort bij het chipnummer van de kaart en met behulp van interactieve reclameschermen, kunnen
er reclameboodschappen naar de klant worden gestuurd zodra deze langsloopt.”
Doordat Mastodont geen naam-, adres- en woonplaatsgegevens opslaat op de kaart, zijn de
klantgegevens volgens hun bedrijfsjurist geen persoonsgegevens en vallen daarom niet onder de Wet
bescherming persoonsgegevens. Zijn baas twijfelt en raadpleegt een advocatenkantoor. Jullie krijgen
de opdracht om een advies te schrijven over deze zaak waarin jullie moeten aangeven of de
verzamelde gegevens volgens jullie al dan niet onder de AVG vallen.
- Materieel toepassingsgebied
o Verwerk ik gegevens? §3.1
In casu worden de gegevens verzameld en opgeslagen onder desbetreffend kaartnummer en gebruikt om
gericht reclame te maken. Er is dus zeker sprake van verwerking.
o Zijn dit persoonsgegevens? §3.2
(1) de gegevens hebben betrekking op de persoon waarvan de kaart is en stelt van diegene een profiel op, op
basis van looproute aan aankopen.
(2) Er zijn identificatoren nodig om de persoon te identificeren of identificeerbaar te maken, de meest
voordehandliggende voorbeelden zijn naam, adres, geboortedatum, maar in casu worden deze allemaal niet
vereist. De gegevens (loopgedrag en koopgedrag van de klant) zijn op zich niet voldoende om een persoon te
kunnen identificeren.
(3) OF: De gegevens moeten zonder onevenredige inspanning aan een persoon gekoppeld kunnen worden,
hetgeen hier ook niet aan de orde is.
Omdat er niet wordt voldaan aan de vereisten voor verwerking van persoonsgegevens, vallen de gegevens
niet onder de AVG en behoeven de overige gronden geen bespreking.
o Is de verwerking geheel of gedeeltelijk geautomatiseerd? §3.3
o Valt het binnen het toepassingsbereik van de verordening? (Uitzonderingsgrond? en
formeel toepassingsgebied: band met EU)
o Ben ik verwerkingsverantwoordelijke of verwerker?
Het is wel te adviseren om bij twijfel als nog de gegevens te behandelen als ware het persoonsgegevens,
om problemen te voorkomen.
Opdracht 1: De slimme klantenkaart
Persbericht:
“De supermarktketen Mastodont gaat in 2012 een klantenkaart met Radio Frequentie Identificatie
(RFID) invoeren. Dit is dezelfde technologie die in de OV-chipkaart zit. Met behulp van deze kaart
kunnen mensen nog makkelijker winkelen en gebruik maken van op maat gesneden aanbiedingen. De
kaart wordt gratis verstrekt, maar staat allerlei vormen van ‘state of the art’ interactieve marketing
toe. Door de chip in de klantenkaart kunnen gegevens rond het loopgedrag (in de supermarkt) en
koopgedrag van de klant worden nagegaan. Deze ‘klantgegevens’ worden opgeslagen op een profiel
dat hoort bij het chipnummer van de kaart en met behulp van interactieve reclameschermen, kunnen
er reclameboodschappen naar de klant worden gestuurd zodra deze langsloopt.”
Doordat Mastodont geen naam-, adres- en woonplaatsgegevens opslaat op de kaart, zijn de
klantgegevens volgens hun bedrijfsjurist geen persoonsgegevens en vallen daarom niet onder de Wet
bescherming persoonsgegevens. Zijn baas twijfelt en raadpleegt een advocatenkantoor. Jullie krijgen
de opdracht om een advies te schrijven over deze zaak waarin jullie moeten aangeven of de
verzamelde gegevens volgens jullie al dan niet onder de AVG vallen.
- Materieel toepassingsgebied
o Verwerk ik gegevens? §3.1
In casu worden de gegevens verzameld en opgeslagen onder desbetreffend kaartnummer en gebruikt om
gericht reclame te maken. Er is dus zeker sprake van verwerking.
o Zijn dit persoonsgegevens? §3.2
(1) de gegevens hebben betrekking op de persoon waarvan de kaart is en stelt van diegene een profiel op, op
basis van looproute aan aankopen.
(2) Er zijn identificatoren nodig om de persoon te identificeren of identificeerbaar te maken, de meest
voordehandliggende voorbeelden zijn naam, adres, geboortedatum, maar in casu worden deze allemaal niet
vereist. De gegevens (loopgedrag en koopgedrag van de klant) zijn op zich niet voldoende om een persoon te
kunnen identificeren.
(3) OF: De gegevens moeten zonder onevenredige inspanning aan een persoon gekoppeld kunnen worden,
hetgeen hier ook niet aan de orde is.
Omdat er niet wordt voldaan aan de vereisten voor verwerking van persoonsgegevens, vallen de gegevens
niet onder de AVG en behoeven de overige gronden geen bespreking.
o Is de verwerking geheel of gedeeltelijk geautomatiseerd? §3.3
o Valt het binnen het toepassingsbereik van de verordening? (Uitzonderingsgrond? en
formeel toepassingsgebied: band met EU)
o Ben ik verwerkingsverantwoordelijke of verwerker?
Het is wel te adviseren om bij twijfel als nog de gegevens te behandelen als ware het persoonsgegevens,
om problemen te voorkomen.
