Nederlands kampioen AVG/GDPR: werk met je klant in plaats van zijn data

25 Mei is het zo ver. De Algemene Verordening Gegevensbescherming (AVG/GDPR) treedt in werking. Aan de AVG kleeft een akelige boeteclausule. Het is dus verstandig de aanwijzigen in de wet goed op te volgen. Hierover zijn al veel artikelen geschreven. Wat mij daarbij opvalt is dat de meeste artikelen inzetten op een defensieve benadering: “Wat moet je doen om een boete te voorkomen.” De impliciete doelstelling daarbij is om zo min mogelijk te veranderen aan de huidige werkwijze.

Mijn doel met dit artikel is om verder te gaan, om AVG/GDPR als een kans te positioneren. Gebruik de intentie van de wet om een optimale klantervaring te creëren. Ik zie de wet als de verwoording van de wens van heel veel mensen. Anders was de wet immers nooit aangenomen. Het bedrijf dat de privacy van consumenten het best beschermt, genereert hiermee dus positieve emotie. Pak de leidersrol. Ik wil je motiveren om de beste privacybeschermer van Nederland te worden en je laten zien welke alternatieven je hiertoe hebt.

Dit artikel is met de grootste zorgvuldigheid geschreven en gebaseerd op een groot aantal bronnen. Toch wil ik expliciet vermelden dat niets uit deze publicatie gelezen mag worden als juridisch advies.

AVG/GDPR

AVG/GDPR is de opvolger van Wet Bescherming Persoonsgegevens die al stamt uit 2001. Met AVG/GDPR wordt de wetgeving in de verschillende Europese landen gelijkgetrokken. Ik grijp even terug naar de doelstelling van de AVG/GDPR-wetgeving. Die kun je kortweg samenvatten als:

1. De consument moet inzicht en zeggenschap krijgen in de opslag en het gebruik van privacy-gevoelige data door bedrijven. Consumenten moeten straks expliciet toestemming geven per data-element per gebruiksdoel.
2. Bedrijven moeten zorgvuldig omspringen met die data, die beschermen en aan kunnen tonen hoe ze dat doen.

Lees het hele dossier

Je klant kennen is van groot belang in marketing. Hoe beter je een klant kent, des te relevanter kan de boodschap zijn die je uitstuurt. Met de huidige techniek kun je voor elke klant een persoonlijke ‘experience’ scheppen. Even een voorbeeld.

Bol.com Retail Media bouwt advertentiecampagnes op basis van hun data-meer. In dat ‘meer’ staan alle aankopen bij Bol.com, AH en mogelijk ook die van derde partijen, zoals Zalando. Met deze data weet Bol.com heel veel over wat consumenten echt kopen. Die data is meer waard dan hetgeen klanten zéggen dat ze willen gaan kopen.

Deze kennis gaan ze vermarkten door andere bedrijven de kans te geven via de data van Bol.com heel gericht te adverteren. Een win-win-win situatie. De klant krijgt betere advertenties, het adverterende bedrijf bereikt zijn potentiële klanten beter en Bol.com heeft een nieuw business model. Tijdens de presentatie op eDay 2017 werd de vraag over de impact van AVG/GDPR beantwoord met de ervaring dat blijkt dat consumenten instemmen met het gebruik van hun persoonlijke data, als je daar voor de klant maar een voordeel aan verbindt. Binnen ons vakgebied wordt data vooral gezien als de bron van service.

Data is een bron van service

De consument is zelf verantwoordelijk

“Het feit dat consumenten kiezen voor gratis internetdiensten is de oorzaak van het privacyprobleem. Iedereen weet dat je gratis diensten betaalt met je data. Bij gratis diensten ben jij als consument namelijk het product”. Hoewel elke zin waar is, vind ik het te gemakkelijk. Wij marketeers hebben jarenlang betaald voor de diensten van advertenties op basis van 3rd party trackers. Daarmee ligt een deel van de verantwoordelijkheid bij ons.

Het is waar dat consumenten zelf nog weinig actief zijn in het beschermen van hun privacy. Even wat statistieken:

• Onderzoek 1: 80% is bezorgd over het delen van gegevens op internet, maar slechts 23% leest het cookie-statement.
• Onderzoek 2: Bijna 60% is bang dat hun gegevens gebruikt worden voor meer e-mailreclame, terwijl slechts iets meer dan 40% bang is voor identiteitsfraude.
• Onderzoek 3: zegt juist dat 61% van consumenten vindt relevante aanbiedingen belangrijker dan de nadelen van tracking.
• Onderzoek 4: 80% wil niet dat hun data verhandeld worden, maar pas als dit expliciet vermeld wordt, gaan mensen actiever hun privacy beschermen.
• Onderzoek 6: 11% heeft adblockers geïnstalleerd en 60% heeft de privacysettings van hun browser aangepast.
• Onderzoek 7: 80% wil niet dat hun bewegingen in winkels getraceerd worden. 43% zegt winkels om die reden te zullen mijden.

Mijn probleem met statistiek is dat ze altijd wordt verzameld om iets te bewijzen. Het lijken harde feiten, maar hoe is dat onderzoek eigenlijk gedaan? Ik moet hierbij altijd denken aan een uitspraak van Winston Churchill :

“ik vertrouw alleen de statistiek die ik zelf gemanipuleerd heb.”

Is het fair om de consument te verwijten dat hij te vrijgevig is (geweest) met zijn data? Laten we het probleem terugbrengen naar een menselijke maat. Ja, consumenten zijn ook mensen en het blijkt dat mensen een privacyparadox ondervinden. Zij voelen niet dat ze iets te verbergen hebben, omdat digitale privacy te groot en ongrijpbaar is. Onderzoeksjournalisten Dimitri Tokmetzis en Maurits Martijn hebben hier een mooi boek over geschreven: ‘Je hebt wel iets te verbergen. Over het levensbelang van privacy‘

En de digitale wereld groeit nog steeds en ook steeds harder. “Er zijn straks zo veel apparaten en sensoren verbonden met internet, dat internet onderdeel is van alles en daardoor onzichtbaar wordt, net als lucht.” (Eric Schmidt – Google & Alphabet ) Het is niet realistisch te verwachten dat consumenten het probleem alleen kunnen oplossen.

Ik wil je een TedTalk laten zien waarin wordt uitgelegd hoe er een profiel opgebouwd kan worden op basis van openbare data. In de presentatie wordt de persoonlijkheid van Melania Trump zeer geloofwaardig geanalyseerd op basis van de foto’s die zij zelf publiceerde op internet. De foto’s samen zetten de First Lady van de Verenigde Staten genadeloos neer, zonder dat daar naar mijn mening consent voor gevraagd hoeft te worden.

Wat als bedrijven met artificiële intelligentie dit soort analyses maken van jouw dochter of zoon? Is dat dan hun eigen schuld? Als ik me deze manier van werken fysiek voorstelt in plaats van digitaal, zie ik een ‘private detective’ die mijn kinderen de hele dag volgt en alles wat ze in de openbare ruimte doen analyseert. ‘Hadden ze maar niet buiten moeten lopen’, toch? Dat klink opeens heel anders, omdat het zo ontzettend concreet is.

Maar hoe maak je digitale privacy concreet? Stel je voor dat jijzelf bij trackers of een social medium de informatie opvraagt die zij van je hebben opgeslagen. Een medewerker moet het dan voor je gaan afdrukken op papier. Honderden pagina’s met gegevens die je dacht dat privé waren toen je ze intypte op je computer. Dán wordt het concreet.

Tijdens het schrijven van dit artikel kwam de vergelijking met kernafval bij me op. De opgeslagen data is een bron van risico die, zoals straling, jarenlang het risico van lekkage geeft. De impact wordt weliswaar met de tijd wel minder, maar kan jaren later nog steeds vervelende situaties opleveren.

Privacy-gevoelige data is als kernafval, met een halfwaardetijd van ongeveer 20 jaar.

Die data staan nu opgeslagen. Waar weten we niet. Zij zijn eigendom van bedrijven. Die hebben als motief geld te verdienen met die data. Dat kan op elegante en minder elegante manieren. Nu de data verzameld zijn, is de controle eigenlijk zoek. Wat gaat er bijvoorbeeld gebeuren als deze bedrijven die data straks niet meer mogen gebruiken voor advertenties? Gaan zij dan de data vernietigen? Of gaan ze een ander koper voor de data zoeken, die zich misschien wat minder goed laat controleren?

Privacyschandalen

Het gebruik van identificerende data voor marketing is in veel gevallen ook binnen AVG/GDPR toegestaan, op grond van de eis van gerechtvaardigd belang. De eerste doelstelling van de wet verplicht je wel om de klant precies te vertellen welke data je verzamelt en wat je er mee gaat doen. De klant moet daar expliciet mee instemmen. Deze verplichting geldt niet alleen voor Europese bedrijven, maar ook voor bedrijven die data verzamelen van Europese burgers.

Om een gevoel voor de ernst te creëren ga ik een paar voorbeelden geven van gevallen waar dit behoorlijk is misgegaan:

• OnePlus, leverancier van smartphones, verzamelde data over het gebruik van de telefoon, in combinatie met de ID van de telefoon en het abonnement.
• Incassobedrijven die niet alleen schulden saneren, maar ook onze financiële data verhandelen.
• Uber heeft een mappingtool genaamd ‘God View’. Zo kon Uber ook na afloop van een rit de locatie van een gebruiker blijven volgen en was het voor Uber mogelijk om een schermopname te maken bij gebruikers, zelfs als de app op dat moment niet in gebruik was.
• In Spotify’s privacybeleid van 2015 stond dat het bedrijf recht heeft op toegang tot de foto’s, contactpersonen en andere persoonlijke gegevens van al haar gebruikers. Je moest zelf uitzetten dat Spotify je luistergegevens deelt op Facebook.
• General motors: In 2011 bleek dat voertuigmonitoring na het annuleren van deze GPS-service gewoon doorgaat.
• Televisiebedrijf VIZIO verkoopt de kijkhistorie van mensen aan derde partijen.

• De producent van de We-vibe vibrators bleek de gebruiksdata op te slaan, inclusief de identificatie van de smartphone.
• Een drone met camera die boven je tuin vliegt. De uitspraak in deze case levert een mooie uitdaging voor Amazon die onderzoekt of ze met drones kan gaan beleveren.

De tweede doelstelling van AVG/GDPR verplicht bedrijven om die data goed te beschermen. Je moet de consument beschermen tegen buitenstaanders en medewerkers die ongeoorloofde toegang zouden kunnen krijgen tot de data.

Schending van deze verplichting kan bij alle bedrijven voorkomen, ook, of misschien wel juist, bij de overheid. Ook hiervan weer een paar voorbeelden die de ernst aangeven:

• Individuele ‘Uber-werknemers’ hadden ongelimiteerde toegang tot de gebruikersdata van het bedrijf
• De connectie van dezelfde we-vibe vibrators met de smartphone bleek gemakkelijk te hacken te zijn, waardoor de data onbeschermd vrijkwam.
• Onzorgvuldige omgang met persoonsgegevens in de zorg, waardoor je ziekte mogelijk op straat ligt. Ook de uitnodiging voor een vervolgonderzoek kan al als een schending van privacy gezien worden als de ziektebeelden niet direct gerelateerd zijn.
• Gemeenten en UWV blijken ook niet altijd goed om te gaan met privacygevoelige informatie, waarover zij door hun verantwoordelijkheid voor de jeugd-, ouderen- en gehandicaptenzorg beschikken.
• Individuele werknemers die privacy van bekenden schenden door gegevens van hen op te zoeken in de data van het bedrijf waarbij ze werken.

Met zulke vrienden heb je geen vijanden meer nodig

Een studie van 2500 mediawebsites in 38 landen laat zien hoe dat de term ‘advertentiedoeleinden’ niet altijd even helder is. Bijna alle mediawebsites voeden een veelvoud aan trackers. Het business model achter ruim 80% van die trackers is het verkopen van identity data, soms aan partijen in vijandige landen. Saillant voorbeeld is een Spaanse website over mensenrechten die 49 trackers voedt.

De kroon wordt echter gespannen door de adblockerbedrijven. Ghostery blokkeert alle moderne trackers. Maar aan de achterdeur verkoopt Ghostery zelf ook haar data. Het bedrijf zegt haar business model wel meer omgebogen te hebben naar het verkopen van de premium versie, maar dat klinkt nog niet echt overtuigend. Voorheen leunde het business model 100% op het verkopen van data, dus het woordje ‘minder’ is al snel waar.

Are you being served?

Bovenstaande schendingen zie je misschien als buitensporig, nalatig. Ik moet je teleurstellen, bijna alle bedrijven maken bij hun marketing direct of indirect gebruik van praktijken die je je zoon of dochter niet toewenst. Cookies zijn slechts het topje van de ijsberg. Zonder al te technisch te worden, zet ik even verschillende methoden van informatieverzameling in de advertentie-branche op een rijtje. De methodes van hackers en veiligheidsdiensten laat ik buiten beschouwing.

• First party cookies: de data die de eigenaar van de website verzameld.
• Third party cookies: deze cookies verzamelen data voor andere partijen dan de website zelf. Via de Firefox-extensie Lightbeam kan iedereen prachtig zien hoeveel trackers je gedrag volgen.
• Locally stored objects: kun je als een variant van cookies zien, met meer capaciteit.
• Canvas fingerprinting: middels een klein stukje code worden de eigenschappen van je beeldschermaansturing gecontroleerd. Kleine afwijkingen maken elk stukje hardware anders. Test met AmIUnique hoe uniek jouw apparaat is.
• Audio fingerprinting: als canvas tracking, maar dan met behulp van afhandeling van geluid. Deze techniek is nog vrij nieuw.
• Battery tracking: als canvas tracking, maar dan op je batterij. Naast het gebruik voor identificatie wordt de hoeveelheid spanning in je batterij ook gebruikt om je beslissingsbereidheid te peilen. Op het einde van je stroom ben je sneller geneigd te beslissen.
• Locatie tracking: veel apps op je smartphone maken gebruik van je locatie. Met HTML5 Geolocation kun je locatie bepalen in elke browser.
• E-mailtracking: emailcampagnes meten hun succes met trackers. Wordt de mail geopend? Wordt er doorgeklikt? Op het moment dat je doorklikt ontstaat er een dwarsverband tussen je email-adres en je device.
• Facebook like-knoppen: overal waar deze knoppen zitten, kunnen de betreffende media je gedrag volgen.
• Foto-herkenning: alle foto’s op social media worden gescand op gezichtsherkenning, maar ook herkenning van de achtergrond. Jouw foto’s in de cloud zijn een krachtige bron van informatie
• In-app browsing: als je in Facebook, LinkedIn en veel andere apps op een link klikt, dan open je niet je standaard browser, maar de in-app browser. Daardoor kan bijvoorbeeld Facebook al je acties op die webpagina’s tracken.
• Cross-devicetracking: door middels bovenstaande methoden op meerdere apparaten herkend te worden als dezelfde gebruiker worden de devices aan elkaar gekoppeld. Met deze techniek kunnen internetklanten ook in een fysieke winkel herkend worden en andersom.
• Scrapping: bedrijven lezen alle beschikbare webpagina’s en verzamelen de data voor later gebruik.
• Etc: ik heb vast nog technieken gemist.

Als adverteerder ben je natuurlijk overtuigd dat je de klant juist helpt door zijn data te (laten) verzamelen. Internet is zo groot, de klant zou niks kunnen vinden als hij niet geholpen zou worden. Door alle slimme algoritmes kunnen we precies die dingen tonen die interessant zijn voor hem of haar. Kijk nog eens terug naar de lijst. Al deze technieken passen wij als marketingcommunity toe onder het motto van service. Mij valt dan een klein woordgrapje in:

My name is Bond, James Bond. I work in service, secret service.

Het zijn de advertentiebedrijven

De verkopers van programmatic advertenties zijn de meest actieve verzamelaars. Adverteerders maken alleen gebruik van hun service. Aangezien AVG/GDPR voor alle bedrijven geldt, zelfs als ze in het buitenland gevestigd zijn, is met de wet het probleem opgelost, toch? Er is reden om ook in toekomst scherp te blijven.

De advertentie-bedrijven ondernemen inmiddels actie om hun businessmodel te redden. Zij verzamelen akkoord van gebruikers. De manier waarop is echter niet altijd even fraai. Sommige bedrijven gaan zelfs zo ver dat ze de ‘consent-knop’ positioneren op de plek waar normaal de afsluitknop zit. Het is niet waarschijnlijk dat dit soort praktijken door rechters geaccepteerd zullen worden.

De tweede reden om kritisch te blijven is dat techbedrijven blijven innoveren om dezelfde kennis op andere manieren te leveren. Zonder vast te leggen welke persoon het betreft kan men gebruikers als object isoleren, zelfs over meerdere devices. De vraag is dan wanneer data onder de AVG/GDPR-regelgeving valt? Is data die op zich niet identificerend is, maar in combinatie met andere data een gebruiker wel als ‘object’ kan herkennen onderwerp van de wet?

Kansen!

Ik ben bewust uitgebreid ingegaan op de huidige werkwijze, omdat tijdens het doornemen van al die details bij mij het gevoel verschoof van “valt wel mee” naar “dit wil je toch niet”. Dat gevoel wilde ik op jullie overbrengen. Ik vind dat we vanuit marketing trots de lead moeten nemen in het oplossen van het privacyprobleem.

Kunnen we zonder tracking? Is er een alternatief? Ja, dat is er. Er zijn in ieder geval twee strategieën die alleen tijdelijke, geen permanente opslag van data vereisen:

• Contextmarketing is het winnen van klanten door het juiste marketingmateriaal op het juiste moment aan de juiste klant.
• Bottom of Funnel (BoFu)-marketing focust op het winnen van klanten tijdens de customerservice fase.

Beide strategieën sluiten aan bij de actie van de klant. Zij richten zich op de bezoekers, niet op ‘passanten’. Beide sluiten aan bij traditionele retailstrategieën. Laten we beide strategieën iets verder uitdiepen in het licht van privacy.

Contextmarketing

Contextmarketing legt de focus op het moment dat iemand een site bezoekt, zoals ook succesvolle retailers hun volle aandacht geven aan de klant die binnen komt. Uit de interviews die ik heb gedaan blijkt dat succesvolle retailers zich onderscheiden in de oriëntatiefase van de klant. Middels vragen activeren zij latente interesse bij de klant en laten zij de klant eerste stapjes nemen in zijn aankoopproces.

Dat kan ook online. Met een goede opbouw van de site kun je op basis van klantgedrag conclusies trekken over de best passende persona. Door middel van dynamische content kun je vervolgens de klant begeleiden in zijn traject, zoals retailers dat ook doen.

Waar het om gaat is dat je bij de klant het gevoel van flow weet te realiseren. Vergelijk dit met surfen. Flow bereikt men niet door lui te zijn. Flow bereikt men door met de inzet van een beperkte effort resultaat te bereiken. Als je de klant de ervaring van flow weet te geven, zal hij terugkomen voor meer.

De efforts van de klant moeten dan wel richting hebben. De retailer geeft die richting met zijn vakmanschap en drive. Hij wil niet een product verkopen, hij wil het leven van zijn klant verrijken. Dat doet hij door zelf een duidelijke richting te kiezen.

Als je dat op internet ook wilt bereiken, zul je net als die retailer ‘smoel moeten tonen’. Je zult als bedrijf ‘body’ moeten krijgen, zodat klanten zich met jou verbonden kunnen voelen. Het is mijn overtuiging dat je dit op basis van realtime interactie verder kunt uitbouwen. Ik zie daar een gebied dat zich nog verder gaat ontwikkelen.

Bottom of Funnel-marketing

Er zijn twee prachtige boeken verschenen die de kracht van BoFu-marketing perfect beschrijven. In ‘Hug your haters’ toont Jay Baer aan dat elke klacht een kans is. Op een klant met een succesvolle transactie kun je moeilijk indruk maken. Het is als met tandpijn. Als het er niet is, realiseer je je niet hoe fijn dat is. Een controlebezoek aan de tandarts is dan ook nooit een hoogtepunt. Maar als je tandpijn hebt, dan wordt je tandarts opeens een held. Help je klagende klanten als een held en ze zullen je jarenlang trouw blijven.

Het boekje ‘Elke dag één fan’ van Jos Burgers gaat nog een stapje verder. Hij verleidt je om elke uitzonderlijke situatie aan te grijpen om een klant te verrassen. Met mooie cases laat hij zien hoe krachtig het is om één klant uitzonderlijk goed te behandelen. Dat werkt veel beter dan alle klanten redelijk goed te bedienen. Een uitzonderlijk verhaal trekt de aandacht. Je klant zal er familie, vrienden en collega’s uitgebreid over vertellen. Een degelijke service is daarentegen saai, niet de moeite waard om over te vertellen. Beloof niet te veel, maar geef je team de vrijheid klanten op de best mogelijke manier te verrassen.

Om deze strategie online te kunnen uitvoeren is interactie onontbeerlijk. Je zult in je webwinkel die interactie willen implementeren op een manier dat de glans uitstraalt naar andere bezoekers. Dat doet mij denken aan een interview met een reisbureau. Hun klanten zonder afspraak moeten soms een uur wachten, terwijl andere klanten in dezelfde ruimte geholpen worden. De medewerkers krijgen van de wachtende klanten geen gemopper, maar juist een compliment, omdat ze hebben gezien hoe serieus de adviseurs hun werk nemen, hoe goed ze hebben geluisterd en met welk vakmanschap en drive ze praten over hun vak. Zo’n uitstraling kan ook online het verschil maken.

De boete is probleem nummer 1, vertrouwen is kans nummer 1

Misschien ben je het eens met bovenstaand betoog. Misschien voel je je zelfs gestimuleerd het aan te gaan pakken. Dan nog zul je waarschijnlijk denken dat je nu eerst moet voorkomen dat je een boete krijgt en dan later wel ziet hoe de rest af te handelen. En daarin heb je natuurlijk gelijk. Als je nu de AVG/GDPR-wet overtreedt, dan is het zaak dat eerst te stoppen. Dat is goed voor jouw bedrijf en goed voor je klanten.

Ik wilde je in dit artikel uitdagen verder te gaan. Doorpakken, kampioen worden. Waarom? Omdat consumenten nog maar zo weinig vertrouwen hebben in bedrijven. Wat een kans! Dat betekent namelijk dat al deze mensen – ja, consumenten zijn ook mensen – op zoek naar iets of iemand die ze wel kunnen vertrouwen. Toon visie, leiderschap en laat hen een toekomst zien waarin ze niet bang hoeven te zijn voor hun privacy. Werk met je klant in plaats van met zijn data. Creëer een relatie van mens tot mens.

Werk met je klant in plaats van met zijn data.