Adobe ontkent claim van stichting dat het illegaal persoonsgegevens verzamelt

Adobe ontkent dat het via cookies op sites van andere, Nederlandse partijen persoonsgegevens verzamelt. Volgens het bedrijf berust de claim van de SDBN op een misverstand en verwerkt het de data slechts. De Belastingdienst heeft aangegeven de Adobe-cookies uit voorzorg uit te zetten.

De Stichting Data Bescherming Nederland liet woensdag weten een massaclaim te starten tegen Adobe, omdat het bedrijf illegaal trackingcookies op tal van Nederlandse websites en apps zou plaatsen, waaronder die van de Belastingdienst, bol.com, Buienradar en TUI. Dat doet Adobe naar verluidt via de Experience Cloud, die door bedrijven wordt gebruikt om profielen aan te maken van gebruikers voor persoonlijke advertenties. Met die cookies zouden op illegale wijze persoonsgegevens verkregen worden, die Adobe vervolgens zou gebruiken om gepersonaliseerd te adverteren of om door te verkopen aan derden.

Adobe laat in een reactie aan onder meer De Telegraaf echter weten dat dit berust op een misverstand. Het bedrijf is naar eigen zeggen geen gegevensbeheerder bij het leveren van Experience Cloud-diensten, maar in plaats daarvan 'een verwerker van de data die door Experience Cloud-klanten wordt verzameld'. De bedrijven die deze diensten afnemen, zouden zelf gegevensbeheerder zijn en dus verantwoordelijk zijn voor de geplaatste cookies, dus ook voor welke gegevens worden verzameld en waar die data voor gebruikt wordt.

Als tegenreactie zegt de SDBN tegen NU.nl dat dit 'een al bekend standpunt' is, maar het hier niet mee eens te zijn en de rechtszaak voort te zetten. De stichting beweert dat Adobe deze cookies al plaatst voordat gebruikers er toestemming voor geven, dus ook zij die de cookies weigeren, worden gevolgd. Daarnaast zou uit de cookiepop-ups ook niet duidelijk genoeg gemaakt worden dat Adobe die data gebruikt. Als wel toestemming gegeven wordt, is deze dus ongeldig, stelt de SDBN. De partij beweert dat hiermee de AVG-wetgeving wordt overtreden en heeft een dagvaarding uitgebracht tegen Adobe.

Met deze rechtszaak wil de SDBN naar eigen zeggen afdwingen dat Adobe wel 'eerlijk en transparant' omgaat met de persoonlijke gegevens van gebruikers en dat er 'duidelijker toestemming' gevraagd gaat worden. Ook eist de stichting een 'passende vergoeding' voor de internetgebruikers die zich aansluiten bij de massaclaim. De SDBN is momenteel overigens ook bezig met rechtszaken tegen X en Amazon.

De Belastingdienst liet donderdag aan de ANP weten de cookiesfunctionaliteit van Adobe uit voorzorg te hebben uitgeschakeld. De organisatie wacht met verdere acties tot Adobe de zaak heeft opgehelderd. TUI zegt tegen het persbureau 'een grondig onderzoek' te starten naar aanleiding van de massaclaim. Buienradar laat daarentegen net als Adobe weten dat het bedrijf de data enkel verwerkt. Het zou daarbij gaan om het bijhouden van statistieken van websitebezoekers. Volgens de woordvoerder van de weersvoorspeller 'kan en mag' Adobe die gegevens niet zelf gebruiken.

Reacties (73)

[Azara]

Op https://business.adobe.com/nl/ : "Adobe Real-Time Customer Data Platform (CDP) voegt niet-verbonden online en offline data in real-time samen om actiegerichte, geïntegreerde klantprofielen te maken waarmee je gepersonaliseerde B2C- en B2B-interacties kunt creëren gedurende de hele levenscyclus van de klant."

Daar lees ik toch echt uit dat Adobe data van 1 persoon over meerdere sites samenvoegt en daarmee zelfstandig data van verschillende bedrijven tot 1 profiel verwerkt. Daarmee zijn ze toch zelfstandig databeheerder van dat samengebouwde profiel?
Onduidelijkheid bij dataverzameling is overigens ook een AVG overtreding, je moet gewoon uit een een privacy statement makkelijk kunnen halen wat er gebeurt.

[Reactie gewijzigd door Azara op 22 juli 2024 15:55]

[CasualKnaller]

Er lopen verschillende produkten door elkaar heen en veel mensen zien door de bomen het bekende bos niet meer... Daarom even met zeven mijls laarzen door Experience Cloud. Het meest gebruikte produkt in de Adobe Experience Cloud is Adobe Analytics. Dit is de Adobe evenknie van van Google Analytics. In principe is dit een web analytics oplossing die ook uitbreidbaar is richting o.a. (mobile) apps, video en settopboxen (vrij unieke use-case). Idee is simpel, als bedrijf heb je de mogelijkheid om het gedrag van je klanten te volgen over de verschillende eigen 'touchpoints' heen. Adobe is hier de verwerker en de klant is zelf verantwoordelijk om 'consent' van zijn eindklant te krijgen. Ook is het niet wenselijk om als klant PII data in de oplossing zetten. Adobe werkt met een unique visitor id, niet met [e-mail].

In het verleden was er naast de Analytics oplossing een aangekochte oplossing van DemDex, dit was een DMP (Data Management Platform). Het is toendertijd omgedoopt door Adobe in Audience Manager. Een DMP knoopt via een cookie een uniek id vast aan een visitor en dat unieke id wordt door alle klanten van de DMP gebruikt. Hierdoor kun je zeer preciese segmenten definieren omdat de DMP het gedrag van je klanten over groot aantal tochpoints van verschillende organisaties aan het verzamelen is. Ook was het mogelijk om (omvangrijke) datasets te kopen. Andere grote spelers waren Salesforce, Oracle en een aantal grote marketing agencies zoals Publicis. De meeste klanten gebruikten een DMP voor geavanceerde targeting - de precisie was soms werkelijk 'eng', maar privacy maatregelen van overheden en browserontwikkelaars hebben deze tak-van-sport, volgens velen terecht, de nek omgedraaid. Ik denk niet dat er nog bedrijven zijn die een DMP gebruiken, maar ik ben er niet 100% zeker van.

De incarnatie van de bedenkelijke DMP is de CDP (Customer Data Platform). Waar een DMP meer de focus legde op segmentatie op grote datasets, is de CDP meer gefocust op het realtime activeren van die enorme hoeveelheden data. Het idee hierbij is dat je bijvoorbeeld analytics data in meer of mindere mate realtime aan het combineren bent met data van je backoffice. Een simpel voorbeeld is bijvoorbeeld een loyaltysysteem combineren met de optimalisatie van een funnel, om bijvoorbeeld realtime voor loyale klanten wat extra punten te geven bij een bepaald produkt. Door data in een loyalty systeem realtime te combineren met analytics data, kun je de targeting op je touchpoints optimaliseren - Denk hierbij verder dan online, ook offline kun je met moderne kassasystemen best 'leuke' dingen doen.

De Experience Cloud van Adobe is dus een soort grote lego bouwplaat met een groot aantal componenten om je 'customer engagement' te orchesteren. Het openen van een campagne mail, het browsen op de website, het gebruik van een eventuele app, het verlaten van een cart in de webshop, tot de aankopen in de winkel waarmee je loyalty punten aan het sparen bent, het wordt allemaal gecombineerd en doormiddel van een orchestratietool kunnen marketeers (wel met wat technische bagage) daarop automatische acties laten lopen. Da's de (Adobe) folder, er zijn nog wel wat technische haken en ogen.

Het verhaal van SDBN is zeer gedateerd en zou enigszins hout snijden bij een in de EU relatief unieke DMP implementatie. Die zullen er niet meer (veel) zijn en zijn er ook niet veel in de EU geweest.

[mrmrmr]

Ja, dat is waar het om gaat. De verdediging van Adobe is m.i. onjuist. Zij zijn verzamelaar én verwerker. Precies hoe ze het verzamelen doen is niet zo relevant, maar ze moeten wel de benodigde vooraf gegeven geinformeerde toestemming hebben. En die hebben ze blijkbaar niet of zijn er niet zeker van.

[Reactie gewijzigd door mrmrmr op 22 juli 2024 15:55]

[Aldy]

En ze verzamelen plaatsen al cookies voordat jij toestemming hebt gegeven of hebt geweigerd.

[Azara]

Voor mij is "niet-verbonden online data" data die van verschillende sites afkomstig is. En is data van 1 site met elkaar verbonden omdat die data allemaal bij 1 site hoort. Maar je kan het ook anders lezen, dat ben ik wel met je eens.
Tegelijk is die onduidelijkheid ook een AVG probleem, je weet dus niet wat er met die data gebeurt. En dat zou wel duidelijk moeten zijn.

Op verkeerde persoon gereageerd.

[Reactie gewijzigd door Azara op 22 juli 2024 15:55]

[J_van_Ekris]

Kan zijn dat ik wat last heb van het tijdstip, maar uit dit citaat kan ik niet opmaken dat het gaat om cross-site tracking:

Op https://business.adobe.com/nl/ : "Adobe Real-Time Customer Data Platform (CDP) voegt niet-verbonden online en offline data in real-time samen om actiegerichte, geïntegreerde klantprofielen te maken waarmee je gepersonaliseerde B2C- en B2B-interacties kunt creëren gedurende de hele levenscyclus van de klant."

Bovenstaande kan ook goed slaan op 1 website waarbinnen een klant gevolgd wordt. Ik ken het product niet goed genoeg om te zeggen welke interpretatie juist is, maar ik zie hier niet hard staan dat ze cross-site tracking implementeren ...

[Azara]

Voor mij is "niet-verbonden online data" data die van verschillende sites afkomstig is. En is data van 1 site met elkaar verbonden omdat die data allemaal bij 1 site hoort. Maar je kan het ook anders lezen, dat ben ik wel met je eens.
Tegelijk is die onduidelijkheid ook een AVG probleem, je weet dus niet wat er met die data gebeurt. En dat zou wel duidelijk moeten zijn.

[mobdev]

Hier kun je de dagvaarding van SDBN tegen Adobe lezen:
https://www.rechtspraak.n...-Limited.pdf#search=adobe

Het document beschrijft o.a. de betreffende techniek, de rol van Adobe bij advertentie-veilingen en de beweerde schendingen van de AVG, Telecommunicatiewet en Handvest van de Grondrechten van de Europese Unie.

[Reactie gewijzigd door mobdev op 22 juli 2024 15:55]

[CH4OS]

Verzamelen, verwerken... Hoewel dat het vast in de praktische zin iets anders is, is voor het verwerken van de gegevens ook verzamelen benodigd in dit geval. Feitelijk gebeurd dus hetzelfde, beetje vreemd dus dat Adobe gaat schermen met 'maar wij verwerken en verzamelen dus niets'.

Als je alleen verwerkt, heb je geen cookie nodig om de data te verzamelen en zou je het dus elders aangeleverd moeten krijgen, en krijg je het niet via de cookies, die zouden dan in theorie overbodig zijn zelfs.

[Reactie gewijzigd door CH4OS op 22 juli 2024 15:55]

[J_van_Ekris]

Verzamelen, verwerken... Hoewel dat het vast in de praktische zin iets anders is, is voor het verwerken van de gegevens ook verzamelen benodigd in dit geval.

Dit zijn juridisch heel erg scherp gedefinieerde termen (AVG) waar allerlei verantwoordelijkheden uit rollen. Als je zegt "ik ben slechts verwerker" heeft dat juridisch heel veel gewicht want dan moet je je bij de verwerkingsverantwoordelijke melden.

Klagen bij de verwerker is een beetje als klagen over de inhoud van een website bij de hostingpartij. Tenzij het heel overduidelijk fout is, mag hij niets en moet hij zijn contract met de eigenaar van de website nakomen. Je moet je immers melden bij de eigenaar van de website om dingen recht te zetten.

[kodak]

[...]
Tenzij het heel overduidelijk fout is, mag hij niets en moet hij zijn contract met de eigenaar van de website nakomen.

Aangezien een contract is waar beide partijen mee instemmen gaat er dus op dat een verwerker eisen kan stellen aan het soort gegevens, controle en naleving. En zeker bij een grote partij als Adobe kan dus verwacht worden dat die zich niet zomaar verschuilen achter een contract waar ze zelf mede voor verantwoordelijk zijn. Als ze dat al niet grotendeels zelf opgesteld hebben.

Het is dus onzin dat een bedrijf als Adobe niets mag. Als ze willen mogen ze zelfs een zakelijk contract openbreken. Dus waarschijnlijk vinden ze de nadelen (winstverlies, reputatieschade) belangrijker dan verantwoordelijkheid nemen die ze menen niet te hoeven te nemen.

[J_van_Ekris]

Aangezien een contract is waar beide partijen mee instemmen gaat er dus op dat een verwerker eisen kan stellen aan het soort gegevens, controle en naleving. En zeker bij een grote partij als Adobe kan dus verwacht worden dat die zich niet zomaar verschuilen achter een contract waar ze zelf mede voor verantwoordelijk zijn. Als ze dat al niet grotendeels zelf opgesteld hebben.

Is het de plaats van Adobe om eisen te stellen aan de wijze van gebruik van hun product en dat vervolgens te controleren? Je hebt het hier over een stukje tooling en een achterliggend platform, geen full-fledged product waar advies bij zit en waar onderhandeling over plaats zal vinden. En dan zit er vaak nog een system integrator tussen. Ik ken de EULA niet, maar de gemiddelde jurist die zal wijzen op de verantwoordelijheden van de verwerkingsverantwoordelijke. Maar net zo min een messenfabrikant maar beperkt verantwoordelijk is voor het gebruik van zijn product, is Adobe dat ook. Als verwerkingsverantwoordelijke heb je je gewoon aan de wet te houden.

[kodak]

Het lijkt me in de samenleving de bedoeling dat je niet mee werkt aan criminaliteit mogelijk maken en in stand houden, zeker niet als je er winst mee maakt.

Het is daarbij niet slechts tooling wat ze aanbieden, ze bieden tooling onder eigen voorwaarden aan. Als men opzettelijk nauwelijks tot geen voorwaarden stelt die aantoonbaar zorgen dat hun verdienmodel werkelijk gebaseerd is op legitiem gebruik dan doen ze dus niet zomaar genoeg. We hebben immers niet zomaar slechts specifieke bedrijven of specifiek gebruik gevrijwaard dat onwetendheid wettelijk kan. Adobe en hun dienstverlening lijkt niet onder die uitzonderingen te vallen.

[J_van_Ekris]

Het lijkt me in de samenleving de bedoeling dat je niet mee werkt aan criminaliteit mogelijk maken en in stand houden, zeker niet als je er winst mee maakt.

In Nederland is men onschuldig tot het tegendeel bewezen is. Het is overduidelijk niet Adobe's businessmodel om criminaliteit mogelijk te maken. Het is een product dat legaal gebruikt kan worden, mits je weet wat je doet. Het is niet de rol van een toolfabrikant om op de plek van de rechter/AP te gaan zitten en te bepalen wat onder de lokale wetgeving (per individuele toepassing!) wel en niet mag met haar product.

Het zijn professionele opdrachtgevers, geen kleuters. De klant is groot genoeg en wettelijk verplicht om dat zelf te borgen. Zeker met professionele opdrachtgevers (waaronder de rijksoverheid) moet en mag men wettelijk verwachten dat ze zorg dragen voor het voldoen aan lokale wetgeving.

Voor een club als de Belastingdienst of een zorgaanbieder gelden bovendien hele andere verwachtingen/regels dan voor een simpele mijnkonijn.nl website. Dat kun je niet bij een SAAS aanbieder neerleggen.

We hebben immers niet zomaar slechts specifieke bedrijven of specifiek gebruik gevrijwaard dat onwetendheid wettelijk kan. Adobe en hun dienstverlening lijkt niet onder die uitzonderingen te vallen.

Dus jij stelt Wordpress ook verantwoordelijk voor alle illegale spullen die via hun platform worden gehost? Want dat is de lijn die je nu trekt.

[Reactie gewijzigd door J_van_Ekris op 22 juli 2024 15:55]

[kodak]

Ik trek die lijn niet, ik noem op welke lijn de wetgevers hebben getrokken. Dat het mogelijk niet bevalt is wat anders. Maar dat maakt nog niet dat die lijn dus maar irrelevant is. Eerder juist zeer relevant.

Je lijkt te stellen dat Adobe goede bedoelingen heeft. Maar dat lijkt je te doen door te negeren wat ik stelde over verwachtingen en verantwoordelijkheden. Dat is te makkelijk. Als je als bedrijf winst wil maken met andermans gegevens dan mag er wel voldoende verwacht worden om problemen te voorkomen, anders heeft het er meer van weg dat men opzettelijk risico neemt aan criminelen en slachtoffers te verdienen in plaats van dat te willen voorkomen. De grens lijkt mij het in bezit houden van de 'tools' om er aan te verdienen. Het uitlenen brengt immers extra verantwoordelijkheid met zich mee bij de extra winst die men probeert te maken.

[J_van_Ekris]

Je lijkt te stellen dat Adobe goede bedoelingen heeft. Maar dat lijkt je te doen door te negeren wat ik stelde over verwachtingen en verantwoordelijkheden. Dat is te makkelijk. Als je als bedrijf winst wil maken met andermans gegevens dan mag er wel voldoende verwacht worden om problemen te voorkomen, anders heeft het er meer van weg dat men opzettelijk risico neemt aan criminelen en slachtoffers te verdienen in plaats van dat te willen voorkomen.

Zoals ik de de info van Adobe begrijp is het een SAAS oplossing waarbij alle data netjes in silo's verwerkt worden, en er dus sprake is van een zuivere verwerkersrelatie, net als bij elke andere hostingpartij en SAAS aanbieder. Het is eerder vergelijkbaar met de SAAS aanbieding van Wordpress. Er is die situatie dan ook geen sprake van "winst maken met andermans data".

[Reactie gewijzigd door J_van_Ekris op 22 juli 2024 15:55]

[kodak]

Als een verdienmodel gebaseerd is op mogelijk maken dat andermans gegevens (kennelijk zelfs bij de miljoenen) met de middelen van de aanbieder misbruikt kunnen worden, zonder zelf duidelijke verantwoordelijkheid te nemen, dan is het niet zomaar zuiver of gescheiden. Eerder juist verweven en afhankelijk, doordat het afschuiven van verantwoordelijkheid duidelijk niet voorkomt dat het vooral maar legitieme verwerking is. De wet stelt meewerken aan criminaliteit niet zomaar redelijk, net als de maatschappij dat niet zomaar doet. Uiteindelijk is het aan de rechter om per situatie te oordelen. Maar het valt te verwachten dat als weer blijkt dat dientverleners vooral voordelen willen hebben aan mogelijk maken van onrechtmatige verwerking het niet zomaar voordelig blijft.

[J_van_Ekris]

Als een verdienmodel gebaseerd is op mogelijk maken dat andermans gegevens (kennelijk zelfs bij de miljoenen) met de middelen van de aanbieder misbruikt kunnen worden, zonder zelf duidelijke verantwoordelijkheid te nemen, dan is het niet zomaar zuiver of gescheiden.

Analyseren van gedrag van mensen op jouw eigen website om knelpunten in het gebruik te ontdekken is gewoon legaal en zelfs erg legitiem. Zo erg legitiem zelfs dat er onder vooraanstaande privacy juristen de discussie is dat het gewoon onder "gerechtvaardigd belang" zou moeten vallen en er dus helemaal niet met toestemming vanuit de gebruiker gewerkt hoeft te worden.

[brammetje1994]

In principe ben ik het helemaal eens met je, maar; zodra Adobe ook verwerkingen doet voor 'eigen doeleinden', ongeacht wat het doeleind is zonder dat de verwerkingsverantwoordelijke daarom vraagt, dan zijn zij ook een verwerkingsverantwoordelijke.

De vraag die ik hier vooral heb is of Adobe voldoende bewijslast heeft voor:
1. Aantonen dat zij enkel data verwerken in expliciete opdracht van hun klanten die (een selectie van) Experience Cloud producten gebruiken.
2. Geen verantwoordelijkheid hebben om een toetsing van verwerking op rechtelijke gronden te doen. Ook als verwerker in de GDPR heb je de verantwoordelijkheid om onrechtmatig verwerken van gegevens in opdracht te melden aan de verwerkingsverantwoordelijke.

Bron: https://gdpr-info.eu/art-28-gdpr/

[J_van_Ekris]

In principe ben ik het helemaal eens met je, maar; zodra Adobe ook verwerkingen doet voor 'eigen doeleinden', ongeacht wat het doeleind is zonder dat de verwerkingsverantwoordelijke daarom vraagt, dan zijn zij ook een verwerkingsverantwoordelijke.

Helemaal mee eens. Maar ik denk dat ze dan al gelijk een probleem krijgen met de doelbinding van de gegevens, waardoor je al heel snel in de problemen komt. Als verwerker "zomaar" data hergebruiken zonder dat een verwerkingsverantwoordelijke daar expliciet toestemming voor geeft is volgens mij een enorm probleem t.a.v. de GDPR.

[brammetje1994]

Dan zijn we eensgezind.

[mocean]

Je moet het vergelijken met een CMS pakket, dit is alsof je Wordpress aanklaagt voor geplaatste cookies op pietsblog.nl …

[ELKAY_]

Exact!!! Dit is het precies, jeetje zeg.

Alsof je Microsoft aanklaagt voor het afspelen van een Xbox-spel op een Xbox-console.

[Mday]

Ja, wacht, de data wordt al-dan-niet zonder Piet's begrip of medeweten naar Adobe gestuurd, omdat het er automagisch bij wordt geplaatst, lees ik zo. En da magnie natuurlijk.

[MSalters]

Dat is Piet's probleem. Piet is volgens de GPDR eindverantwoordelijk voor pietsblog.nl, en is zeker verantwoordelijk voor de overeenkomst met Adobe. "automagisch" is géén GDPR excuus.

[SPee]

Er wordt gebruik gemaakt van een Adobe tool, waardoor die data naar Adobe wordt gestuurd. Adobe ontvangt die data en laat het dan enkel aan Piet zien en doet er zelf niets mee.

Volgens die CMS vergelijking: piets maakt gebruik van Wordpress.com om zijn Wordpress site te hosten. Nu klaagt men dat er verzoeken naar Wordpress.com gaan. Ja dat is nodig, omdat dáár die site staat.

In hoeverre de cookies en opslag werken, is aan Piet om ervoor te zorgen dat het volgens de GDPR regels gebeurd.

[Vexxon]

Maar is de vraag ook niet een beetje of de tool van Adobe die gegevens nodig om zijn taken uit te voeren.
Als dat niet zo is mag Adobe niet zomaar die gegevens verwerken.

[GertMenkel]

Als WordPress cross-site tracking cookies plaatst zonder de nodige toestemming is dat inderdaad illegaal. Natuurlijk is Piet hier degene die de wet overtreedt, maar je moet je dan ook afvragen waarom een product dat standaard illegaal gedrag vertoont (zoals WordPress in dit voorbeeld) zonder enige kennisgeving, überhaupt toegestaan is om zaken te doen binnen de EU.

[Reactie gewijzigd door GertMenkel op 22 juli 2024 15:55]

[Zer0]

De Belastingdienst liet donderdag aan de ANP weten de cookiesfunctionaliteit van Adobe uit voorzorg te hebben uitgeschakeld.
Persoonlijk vind ik het sowieso ongewenst dat er cookies van een commerciel bedrijf gebruikt worden op een site van de overheid.

[mocean]

Het gaat om serversoftware die Adobe levert, so raar is dat dus niet.

[bzzzt]

Het gaat om serversoftware die Adobe levert, so raar is dat dus niet.

Ligt er aan of de cookies verwijzen naar het domein waar de server op draait (dus verwerkt worden door de server software die draait bij de belastingdienst) of dat de software van Adobe cookies plaatst via het adobe domein (waarbij de cookies/tracking dus van Adobe is en gecombineerd kan worden met alle andere gebruikers van hun software op alle andere domeinen).

[Zer0]

Dat verklaart het, maar dan nog vind ik het ongewenst. Ik verwacht te communiceren met de overheid via die site, niet met derde partijen.

[mocean]

Als de server op Azure draait noem je het ook niet "Microsoft cookies".
Als de website op Wordpress draait zijn het geen "Wordpress cookies".
Etc.

De belastingdienst bouwt geen eigen Websoftware.

[Ed Vertijsment]

> De belastingdienst bouwt geen eigen Websoftware.

Niet helemaal waar, ze werken zelf aan verschillende (interne) projecten.

[CH4OS]

That may be, maar de software waarop dat vervolgens draait, is geen eigen software.

Als ik een website in PHP maak, betekend dat niet automatisch dat ik ook PHP geschreven heb.

[Ed Vertijsment]

True, maar was dan "serversoftware" misschien een betere omschrijving geweest?

[marktweakt]

Het wordt natuurlijk wel erg "raar" als Adobe er in dat geval met de gegevens van de belastingplichtigen vandoor gaat...

[SJCE]

Niet alleen ongewenst, maar ook gewoon illegaal.

[Jan-Will3m]

Als ik de versie van Adobe goed begrijp zeggen ze het volgende.
We verzamelen de data niet. De data die we NIET verzameld hebben verwerken we wel.

[gr0bi]

precies, dat haal ik ook uit de reactie op inderdaad. Dus eigenlkijk wijzen ze met het vingertje naar de graaiers waarvan ze uiteindelijk de gegevens gebruiken.

[MSalters]

Correct. En dat is precies de splitsing die de GDPR maakt. Het voorbeeld is duidelijk: de Belastingdienst maakt gebruik van een Adobe dienst. Dan is de Belastingdienst de beheerder, en Adobe de verwerker in opdracht van de belastingdienst. Beiden hebben GDPR verantwoordelijkheden, maar de Belastingdienst is als beheerder de eindverantwoordelijke.

SDBN slaat de plan compleet mis als ze "transparantie" verwachten van Adobe. Dat is een GDPR taak die exclusief bij de beheerder ligt. (TUI, Belastingdienst, Buienradar etc).

[kodak]

En we zien wat daarvan komt: een bedrijf als Adobe aan ongewenste gedrag met andermans gegevens flink laten verdienen.

Ik vermoed dat het de bedoeling van het juridisch verantwoordelijk houden is dat er aandacht komt voor de massaliteit en het in stand houden van mogelijke overtredingen, die niet in het belang van miljoenen mensen zijn.

[Cergorach]

Adobe is in deze situatie niet de enige die stevig verdiend aan deze actie, of eigenlijk tegen-actie.

Elk MB lid van SDBN krijgt €1000/dag (ex. btw) voor bijwoning van een vergadering (die gaat vast niet de hele dag duren). En €200/uur (ex. btw) daar buiten met een cap van €17.500/jaar/actie of €22.500/jaar/actie, afhankelijk van functie van de bestuurder. Dus men is financieel gebaat bij zoveel mogelijk cases per jaar open hebben. Vorig jaar was dat er eentje, hebben ze van een investeerder er bijna €1,3 miljoen doorheen gejaagd. Het merendeel aan juristen, expretise, marketing, etc. Ik vraag me af hoeveel belangenverstrengeling daar inzit, want daar kan ik niets over vinden... Dit jaar heeft men drie van dat soort cases (twee volgens het rapport, waarvan deze Adobe case er niet een van is).

De investeerder kan gedag zwaaien naar diens geld mits er niet wordt gewonnen. Als er wel gewonnen wordt, de investering terug + maximaal 20% van de investering (?).

Adobe is dus niet de enige die rijk wordt van onze persoonsgegevens...

Bron:
https://www.stichtingdatabescherming.nl/over-ons/

[J_van_Ekris]

Elk MB lid van SDBN krijgt €1000/dag (ex. btw) voor bijwoning van een vergadering (die gaat vast niet de hele dag duren). En €200/uur (ex. btw) daar buiten met een cap van €17.500/jaar/actie of €22.500/jaar/actie, afhankelijk van functie van de bestuurder. Dus men is financieel gebaat bij zoveel mogelijk cases per jaar open hebben. Vorig jaar was dat er eentje, hebben ze van een investeerder er bijna €1,3 miljoen doorheen gejaagd. Het merendeel aan juristen, expretise, marketing, etc.

Je suggereert dat hier een soort verdienmodel voor de leden van de SDBN in zit?

[Cergorach]

Je suggereert dat hier een soort verdienmodel voor de leden van de SDBN in zit?

Iets dat niet heel ongewoon is bij bepaalde non-profits... Non-profit slaat immers alleen op de organisatie, niet op de personen die daarvoor werken. Ik denk dat het goed is om heel sceptisch te kijken naar dergelijke (nieuwe) non-profits die een dergelijk model volgen...

[Aldy]

Het is bekend dat bestuurders van non-profitorganisaties vaak drie slagen in de rondte verdienen. Niet alleen de nieuwe, maar ook de oude bekende. In het verleden bij de Hartstichting. Komen dan in opspraak, maar na een paar jaar weer vergeten en gaan we over tot de orde van de dag.
Je hebt gelijk dat non-profit niet altijd op de bestuurders slaat. De echte idealisten daargelaten.

Edit: tot de orde van de dag.

[Reactie gewijzigd door Aldy op 22 juli 2024 15:55]

[kodak]

Daar kunnen we prima een mening over hebben, maar de discussie was wat een bedrijf als Adobe doet (en nalaat) met andermans persoonsgegevens en men zelf niet zou kunnen of mogen om dat te verbeteren of voorkomen.

[GertMenkel]

Het is inderdaad nogal een gare partij, maar zolang ze dit soort kansloze rechtszaken proberen, heb ik er niet eens zo'n heel groot probleem mee. Deze aanklaagclub zou geen cent verdienen als Adobe en hun klanten zich aan de wet zouden houden.

Sterker nog, ik denk dat zo'n club met een persoonlijk winstoogmerk de enige manier is om voor burgers op te komen als het om privacyzaken gaat. Je kunt een melding bij de AP doen, die zwaar overwerkt zijn en je zaakje misschien over vijf jaar kunnen oppakken als ze er wat mee doen, en eventueel via rechtsgang eisen dat het AP je zaak in behandeling neemt, maar dan ben jij een hoop geld kwijt aan het zorgen dat de AP zijn taak voor je doet en misschien een grote partij aanpakt.

Je kunt in je eentje een rechtszaak aanspannen, maar veel succes om het in je eentje van Google of Amazon te winnen.

Anderzijds kun je je zaak voorleggen bij deze mensen, miljoenen kunnen verzamelen voor advocatuur en juridisch advies. Ineens staan de techreuzen tegenover een leger advocaten die geld ruiken, dan wordt de situatie wel ineens anders. Dan zit je helaas wel met de grote kans dat de inbreukmaker schikt (omdat de ethische en rechtmatigheidskwesties van de zaak er niet toe doen, het gaat voor deze mensen puur om geld), maar hoe dan ook wordt het illegale gedrag van deze partijen ineens een grote kostenpost.

Het is erg jammer dat dit nodig lijkt te zijn, maar iemand moet met geld schieten voor dit soort rechtszaken als het om de grote spelers gaat, want de gewone burger kan het niet betalen om voor zijn rechten op te komen.

[J_van_Ekris]

Het is inderdaad nogal een gare partij, maar zolang ze dit soort kansloze rechtszaken proberen, heb ik er niet eens zo'n heel groot probleem mee. Deze aanklaagclub zou geen cent verdienen als Adobe en hun klanten zich aan de wet zouden houden.

Punt wat gemaakt lijkt te worden is dat dat voor de bestuursleden technisch niet uitmaakt omdat zij persoonlijk toch wel hun vergoedingen krijgen. En het is een stichting, die mogen als stichting zowieso geen geld verdienen. Als je heel negatief denkt zou je kunnen stellen dat het niet uitmaakt wie ze voor de rechter slepen en wat de verwachte uitkomst daarvan is, waardoor het afhangt van de persoonlijke integriteit en expertise van bestuurders om zich te beperken tot kansrijke rechtszaken tegen de daadwerkelijke verwerkingsverantwoordelijken die wat misdaan hebben.

[Reactie gewijzigd door J_van_Ekris op 22 juli 2024 15:55]

[ronaldvr]

Ooit van de man in plaats van de bal spelen gehoord? Dergelijke 'argumenten' zijn je reinste drogredeneringen

[Cergorach]

Ooit gehoord van Gaslighting?

[Cergorach]

Hier, neem nog een 'blue pill'...

[ronaldvr]

Ik denk inderdaad dat je erg geïnvesteerd bent in je eigen idiee van wat correct argumenteren is (om er maar een anglicisme tegenaan te gooien). Werkelijk geen enkele van jouw beweringen heeft betrekking op de feiten van dat wat SDBN beweert, en dat is waar dit over gaat. Al zouden ze er miljoenen voor krijgen dat verandert de feiten niet. Dus ja als het over gaslighten gaat zou ik zeggen neem een echte pil een die je in de echte werkelijke wereld laat landen, daar waar feiten tellen als het gaat om behandelen van zaken, dan kom je minder vaak van een koude kermis thuis omdat rechters en instanties het 'niet met je eens zijn'.

[J_van_Ekris]

En we zien wat daarvan komt: een bedrijf als Adobe aan ongewenste gedrag met andermans gegevens flink laten verdienen.

Volgens mij mag Adobe niets met deze data, behalve wat de verwerkingsverantwoordelijke hen opdraagt. Dus vrijelijk combineren met andermans data zou niet mogen volgens mij (want andere verwerkingsverantwoordelijke).

[GertMenkel]

Hoewel de rechtszaak wellicht zal mislukken, kan er natuurlijk wel een boete komen te vallen. Als Adobe willens en wetens hun (te goeder trouwe) klanten hebben voorgelogen over of en hoe ze gegevens bewaren.

Het is dan de vraag hoe dat precies loopt; krijgen de duizenden bedrijven die Adobe's product gebruiken een boete die ze moeten gaan verhalen via individuele rechtszaken, of gaat de waakhond direct achter Adobe aan? Maatschappelijk gezien lijkt me het beter als ze dit direct regelen, natuurlijk. Iedereen die wel eens in zijn adblocker kijkt, ziet Adobe elke paar websites voorbij komen, om al die bedrijven (en overheden) een boete te geven en daar achteraan te gaan, is geen doen aan.

Tenzij SDBN zelf klant is van Adobe en daarmee ook voorgelogen is, denk ik niet dat de individuele rechtszaak zal slagen. Ik vermoed echter dat de voor Adobe relevante gegevensverwerkingsautoriteit hier wel wat over te zeggen heeft.

[MacGyverNL]

Maar als ik het goed begrijp is dat nu ook juist het punt van discussie. Adobe zegt alleen verwerker te zijn. SDBN zegt dat wat Adobe doet, Adobe tot beheerder verwerkingsverantwoordelijke maakt (voor dezelfde verwerking kúnnen er meerdere partijen tegelijk verwerkingsverantwoordelijke zijn, en verwerkers kúnnen tot verwerkingsverantwoordelijke worden gebombardeerd als ze bijvoorbeeld beslissen hoe de data verwerkt wordt).

Dus of SDBN de plank misslaat hangt helemaal af van of de rechter, alles meegewogen, beslist of Adobe hier slechts als verwerker, of als verwerkingsverantwoordelijke optreedt.

[Reactie gewijzigd door MacGyverNL op 22 juli 2024 15:55]

[GertMenkel]

Theoretisch kan dat: als ze gegevens ontvangen op het netwerk, die in RAM verwerken, en dan direct via het netwerk weer doorsturen en uit het RAM verwijderen, bewaren ze geen gegevens maar verwerken ze die wel.

In de praktijk is dat niet wat er gebeurt, natuurlijk. Adobe verzamelt gegevens, dat is het hele nut van dat stuk software van ze.

[J_van_Ekris]

Theoretisch kan dat: als ze gegevens ontvangen op het netwerk, die in RAM verwerken, en dan direct via het netwerk weer doorsturen en uit het RAM verwijderen, bewaren ze geen gegevens maar verwerken ze die wel.

In de definitie van de AVG is een verwerker iemand die data verwerkt, en dat kan opslag van data zijn. Je hebt twee rollen "verwerkingsverantwoordelijke" en "verwerker". De verwerkingsverantwoordelijke is diegene die eigenaar is van se site die je bezoekt, beslissingen neemt en dus verantwoordelijk is voor het laten uitvoeren van werk door derden. De verwerker voert slechts uit, en dat kan gaan van tonen van een plaatje tot de volledige verwerking van salarisdata inclusief opdracht geven tot uitbetaling.

[Giant87]

"De stichting beweert dat Adobe deze cookies al plaatst voordat gebruikers er toestemming voor geven.."

Uhm nee, als website-eigenaar zijnde (/bedrijf dat Experience Cloud van Adobe afneemt) plaats je zelf de scripts op je site en moet je zelf zorgen dat dit in je cookie consent wordt opgenomen. Daar kan Adobe weinig aan doen..

[bzzzt]

Ze kunnen het wel makkelijk maken door het default aan te bieden in plaats van hun gebruikers het bos in te sturen met 'moet je zelf doen'... je koopt toch een product om een site te beheren, daar hoor een consent systeem tegenwoordig ook gewoon bij.
Als je een auto koopt mag je ook verwachten dat je er gewoon de weg mee op kan zonder direct in overtreding te zijn.

[J_van_Ekris]

Als je een auto koopt mag je ook verwachten dat je er gewoon de weg mee op kan zonder direct in overtreding te zijn.

Als je de auto configureert/modificeert zonder de fabrikant actief te betrekken ben je als eigenaar gewoon eindverantwoordelijk. Als ik het goed begrijp levert Adobe een platform dat je in een website integreert. Als integrator ben je dan ook verantwoordelijk om te zorgen dat het aan de wet voldoet. En als verwerkingsverantwoordelijke ben je dat ook vanuit de wet verplicht, en mag je je als professioneel opdrachtgever niet verschuilen achter argumenten als "ik mag er toch blind vanuit gaan dat ze weten wat ze doen".

[bzzzt]

Ik ken de hele tool niet , dus kan me voorstellen dat het bij 'half fabrikaat' spul wat compleet geconfigureerd en geïntegreerd moet worden anders ligt. Veel van dit soort oplossingen worden verkocht als 'website zonder technische kennis' (dat je wel een jurist nodig hebt wordt dan maar verzwegen).
Maar zelfs dan kan ik me voorstellen dat je mag verwachten dat Adobe geen mijnenveld neerlegt waarin je heel gemakkelijk de wet overtreed.

[J_van_Ekris]

Ik ken de hele tool niet , dus kan me voorstellen dat het bij 'half fabrikaat' spul wat compleet geconfigureerd en geïntegreerd moet worden anders ligt. Veel van dit soort oplossingen worden verkocht als 'website zonder technische kennis' (dat je wel een jurist nodig hebt wordt dan maar verzwegen).

Als ik naar de Wikipedia pagina van de Adobe Experience Cloud kijk, is het een mix van een content management systeem en customer profiling tool, wat geleverd wordt als SAAS oplossing. In theorie kan dat laatste natuurlijk domein-overstijgend zijn, maar als ik de beschrijving lees is dat niet een gegeven. Een soort Wordpress++.

Maar zelfs dan kan ik me voorstellen dat je mag verwachten dat Adobe geen mijnenveld neerlegt waarin je heel gemakkelijk de wet overtreed.

Als ik de productbeschrijving zo lees, is dit niet zo plug and play als je als klant hoopt dat het is, maar ik kan me vergissen. Je kunt Adobe hooguit beschuldigen van het leveren van mijnen, maar de systeem integrator heeft ze toch echt neergelegd. En in opdracht van de landeigenaar. En als je het volgens de wet speelt, moet je bij de verwerkingsverantwoordelijk (de landeigenaar) beginnen, niet met de fabrikant van de mijnen.

[Reactie gewijzigd door J_van_Ekris op 22 juli 2024 15:55]

[mrmrmr]

De cookies worden geplaatst door Adobe's servers. Adobe moet zich ervan verzekeren dat geinformeerde toestemming vooraf is gegeven. Doen ze dat niet, dan voldoet het bedrijf niet aan de AVG.

Edit: vaak gaat het technisch fout dat er van toestemming wordt uitgegaan in plaat van geen toestemming (d.w.z. er is (nog) niet gekozen of er is geen toestemming verleend). Dat is dan ook juridisch fout. Als het kan dat er al een cookie wordt geplaatst maakt Adobe waarschijnlijk een fout in de controle op toestemming (als die er ueberhaupt is). De andere denkbare reden is dat toestemming wordt gesimuleerd doordat de webdeveloper een variabele/parameter hard zet op accepted.

Dus 3 'states' voor toestemming: undefined (default), denied, accepted. undefined moet niet worden verward met approved.

Veel bedrijven denken dat ze een gerechtvaardigd belang (meestal het bedrijfsmodel) hebben terwijl dat er niet is. Dat kun je eenvoudig zien bij websites met GDPR interface met hele lijsten aan dataverzamelaars die gerechtvaardigd belang gebruiken.

[Reactie gewijzigd door mrmrmr op 22 juli 2024 15:55]

[ELKAY_]

Buienradar laat daarentegen net als Adobe weten dat het bedrijf de data enkel verwerkt. Het zou daarbij gaan om het bijhouden van statistieken van websitebezoekers. Volgens de woordvoerder van de weersvoorspeller 'kan en mag' Adobe die gegevens niet zelf gebruiken.

Als een bedrijf met een website die hier openlijk gebruik van maakt dit gewoon klakkeloos bevestigd, ga ik even uit van ontwetendheid van de overige partijen.

Iedereen springt er dan uiteraard ook weer lekker op; 'hoe kunnen ze nu gegevens verwerken die ze niet verzamelen'? Heb je dan uberhaupt ook maar enig idee van webapplicaties/werking ervan? Een webwinkel verkoopt ook artikelen in een afgesloten verpakking, waarvan het de inhoud nooit heeft gezien. Vergelijk het daarmee. Daarnaast, denkt iedereen dan dat alle andere bedrijven die cookiefunctionaliteiten beschikbaar stellen het anders doen?

Adobe zal gewoon gelijk hebben en de waarheid spreken. Buienradar heeft dit al bevestigd. TUI zal ook tot deze conclusie komen en de Belastingdienst wacht dat netjes af, omdat het een overheidsorgaan is die net wat voorzichtiger zijn.

Storm in een glas water vermoed ik.

[Tourmaline]

Ze mogen het niet verwerken maar of ze dat ook niet kunnen is nog maar de vraag.
Adobe heeft wel vaker zitten liegen over hun eigen website die gehackt was enz. Dus Adobe is niet altijd even betrouwbaar.

[CAPSLOCK2000]

Het bedrijf is naar eigen zeggen geen gegevensbeheerder bij het leveren van Experience Cloud-diensten, maar in plaats daarvan 'een verwerker van de data die door Experience Cloud-klanten wordt verzameld'.

Schuldig! Misschien niet aan de oorspronkelijke beschuldiging maar aan misleiding of het faciliteren criminaliteit, maar schuldig zijn ze en ze weten het.

De bedrijven die deze diensten afnemen, zouden zelf gegevensbeheerder zijn en dus verantwoordelijk zijn voor de geplaatste cookies, dus ook voor welke gegevens worden verzameld en waar die data voor gebruikt wordt.

Ik heb dit smoesje al te vaak gehoord. Adobe weet donders goed hoe de vork in de steel zit.
Het is niet anders dan het smoesje van iedere crimineel "ik heb niet geschoten, ik heb alleen maar het pistool gekocht en de auto gereden". Ze weten dat ze gereedschap leveren dat vooral geschikt is om de wet te overtreden, dat er een stikker "niet voor misdaden" op pistool zit maakt geen verschil.

Ik weet ook al wat de andere partijen (zoals de belastingdienst) gaan zeggen: "Wij vertrouwden op de expertise van onze leveranciers."

Daarbij is het maar de vraag of dit product direct bij Adobe is gekocht of dat er nog drie partijen tussen zitten. We kopen kant-en-klare IT-componenten in van talloze leveranciers die zelf ook weer met componenten werken die ze niet echt overzien.
Iedere partij schuijft alle verantwoordelijkheid naar hun eigen leverancier en klanten. In ieder tussenliggende contract worden de afspraken, voorwaarden en verantwoordelijkheden nog een stukje vager.

De pijnlijke realiteit is dat best veel van wat we gewoon zijn gaan vinden eigenlijk niet mogelijk is, of zoveel juridische overhead heeft dat het eigenlijk niet te betalen is. Het enige wat alle partijen kunnen doen is de vingers in de oren steken en ogen stijf dicht knijpen en hopen dat niemand de kleine lettertjes leest.

Het is als die bakker met houtgestookte oven zonder brandverzekering, de verzekering kost meer dan de winkel verdient. De enige manier om open te blijven is geen verzekering hebben en hopen dat er nooit iets mis gaat. Als het fout gaat brand de tent af en zit de bakker de rest van z'n leven in de schulden. Rationeel gezien zou je dat niet moeten doen... maar mensen zijn niet rationeel en gokken er op dat alles goed gaat.

Voor de duidelijkheid, ik vind dat beide partijen (Adobe en de klanten) fout zitten maar daar deels toe gedwongen worden door geld en de wet. Klanten willen iets en vertrouwen op hun leveranciers om dat mogelijk te maken binnen de grenzen van de wet. De leverancier kan het alleen zo goedkoop aanbieden door zelf geen verantwoordelijkheid te nemen.

De klant heeft echter de expertise niet om het zelf goed te doen. Als ze wel de kennis en het geld hadden dan hadden ze de leverancier niet nodig. Wat dat betreft is de belastingdienst een pijnlijk voorbeeld. Zo'n organisatie zou die expertise wel in huis moeten hebben. Maar na alle bezuinigingen op de belastingdienst kan die waarschijnlijk ook niet veel meer dan kant en klare dienstverlening in kopen bij de goedkoopste leverancier.


We gaan dit verhaal nog heel vaak horen. Zo ongeveer iedere clouddienst in de wereld zit in precies dezelfde situatie. Allemaal beseffen ze heel goed dat ze geen controle hebben over wat klanten met hun systemen doen en dus leggen ze alle verantwoordelijkheid bij de klant. De klant heeft echter de kennis en de middelen niet om het zelf te doen, al is het maar omdat ze geen idee hebben hoe de boel technisch in elkaar steekt.

De druk van geld en aanbestedingsregels zorgt dat projecten worden uitgevoerd met zo min mogelijk kennis. Zonder kennis zie je geen gevaren en risico's dan is er veel mogelijk voor weinig geld.

[Reactie gewijzigd door CAPSLOCK2000 op 22 juli 2024 15:55]

[J_van_Ekris]

Daarbij is het maar de vraag of dit product direct bij Adobe is gekocht of dat er nog drie partijen tussen zitten. We kopen kant-en-klare IT-componenten in van talloze leveranciers die zelf ook weer met componenten werken die ze niet echt overzien.

De wet (AVG) is er enorm eenvoudig in. Als eigenaar ben je verwerkingsverantwoordelijke. Als je kant en klare bouwstenen inkoopt, dan moet je nog steeds alle gevolgen van die keuzes overzien. Je kunt en mag je niet verschuilen achter leveranciers die dat voor je zouden moeten oplossen. Als je leveranciers inzet die de benodigde kennis niet hebben om je goed te informeren over de keuzes die zij maken, dan is dat als verwerkingsverantwoordelijke jouw probleem (marktwerking zal dan vanzelf de goeden van de kwaden scheidden). Overigens is er technisch inhoudelijk ook wat tegen de inzet van mensen die dingen doen zonder alle gevolgen te overzien, maar dat terzijde.

[denios]

Mooi, dan kunnen ze dat vast prima bij de rechter uitleggen.