Autoriteit Persoonsgegevens-nieuwsbrieven hadden 'onbedoeld' een trackingpixel

Twee nieuwsbrieven van de Nederlandse Autoriteit Persoonsgegevens bevatten een trackingpixel. Het was volgens de privacywaakhond niet de bedoeling dat deze werd meegestuurd met de nieuwsbrieven. De gegevens die de toezichthouder heeft verzameld, zijn vernietigd.

In de nieuwsbrief van 10 december stelt de AP lezers op de hoogte. "In de laatste twee nieuwsbrieven hebben we onbedoeld een trackingpixel meegestuurd. Deze pixel registreerde of een nieuwsbrief werd geopend. Dit past niet in ons beleid. We hebben deze gegevens vernietigd. Ook hebben we ervoor gezorgd dat de trackingpixel in eerder verstuurde nieuwsbrieven geen nieuwe gegevens meer kan verzamelen", schrijft de privacytoezichthouder. De AP licht verder niet toe hoe de trackingpixel in de nieuwsbrieven is beland.

Reacties (65)

[Floort]

De AP heeft de nieuwsbrief geregeld via een systeem van Spotler. Spotler heeft de tracking pixel ingebouwd. Mijn vermoeden is dat ze zijn afgegaan op een toezegging van de leverancier in plaats van het te controleren. Het is aan het licht gekomen toen ik de AP heb benaderd met vragen over de pixel. Ik zat daarom al een tijdje te wachten op deze vermelding in de nieuwsbrief.
Hoewel het een onhandige fout is heeft de AP het bovengemiddeld goed afgehandeld. De AP heeft helder met mij gecommuniceerd, samen met mij een oplossing gezocht om zoveel mogelijk te voorkomen dat oude pixels al verstuurde nieuwsbrieven meer gegevens verwerken dan nodig is, en er netjes transparant over gecommuniceerd. Het enige aanvullende dat ik graag zou hebben gezien is dat de AP meer laat zien over wat ze hebben gedaan en waarom. Er is namelijk veel te weinig normuitleg over de AVG als het gaat om het herstellen van fouten.

[Reactie gewijzigd door Floort op 10 december 2024 19:03]

[watje65]

@Floort Ik ben erg benieuwd of de AP een verwerkersovereenkomst had met deze partij waarin de verwachting van de AP als verantwoordelijke is vastgelegd? Oftewel: Is de AP in deze verwijtbaar of heeft de verwerker iets uit eigen beweging gedaan? Mogelijk heeft de AP daar ook iets over gedeeld in jullie contact?

[Floort]

Spotler lijkt verwerkersovereenkomsten te gebruiken. Wat erin staat en of ze daadwerkelijk getekend zijn heb ik niet kunnen en willen controleren. Maar het bestaan van een verwerkersovereenkomst sluit verwijtbaarheid niet uit en ook met verwerkersovereenkomst kunnen (en mogen) verwerkers ook zelf initiatief nemen. Ik denk dat het vrij duidelijk is dat de AP verantwoordelijk is en moet kunnen aantonen dat alles rechtmatig gebeurt. Ik ben meer geïnteresseerd in de verplichting en het goede voorbeeld van de AP m.b.t het herstellen van iets dat niet de bedoeling was. Er zijn er hier genoeg die verwijten maken over hoe het fout gaat en er is een chronisch tekort aan aandacht voor goed herstel van fouten.

[Skit3000]

Het laat wel zien hoe moeilijk het is om aan deze wet- en regelgeving te voldoen. Bij het AP lopen bovengemiddeld veel juristen en mensen met technische kennis en zelfs daar gaat het dus nog mis.

@Floort fijn overigens dat je het bij hen hebt gemeld en om van jouw kant te horen hoe die melding is opgepakt!

[lDDQD]

De AP vraagt al jaren om meer capaciteit en qua technische kennis en capaciteit is dat ook niet zo uitgebreid als je denkt.

[Skit3000]

Als je het vergelijkt met bedrijven die een boete van ze hebben gekregen zoals deze orthodontiepraktijk waar waarschijnlijk nul technisch of juridisch personeel loopt, kun je wel zeggen dat het als het zelfs het AP (die onder een vergrootglas ligt) niet lukt om aan de wet die zij zelf moet controleren te voldoen, het voor de meeste andere organisaties ook enorm lastig is.

[Tomatoman]

Heeft de AP zichzelf ook een vermanende brief gestuurd?

[Floort]

Waarom is dat nodig?

[Wouterie]

A good old spanking

[Martijn.C.V]

Mja. Kijk, ik heb dus meerdere nieuwsbrieven gemaakt he.... En nog nooit stond daar per ongeluk een stukje code. Laat staan een stukje controversiële code.

[Reactie gewijzigd door Martijn.C.V op 10 december 2024 15:21]

[Oon]

Is dat zo? De meeste nieuwsbrieven worden via platformen als Mailchimp, Mailgun, Mailjet etc gestuurd, en die voegen vrijwel allemaal hun eigen link catchers en tracking pixels toe voor de analytics.
Nu kun je zeggen dat dat niet per ongeluk is, maar toch is menig MarCom medewerker daar écht niet van op de hoogte.

[Martijn.C.V]

Maar als dat het geval zou zijn, hoe kunnen ze de per ongelijk verkregen data dan vernietigen? Een Mail** gaat echt niet zomaar die data verwijderen.

Ik bedoel, natuurlijk kan er ergens iets fout zijn gegaan en ik hoop ook dat dat het geval is. Maar ben op zn minst wel licht sceptisch

[Reactie gewijzigd door Martijn.C.V op 10 december 2024 15:11]

[Oon]

Als ik zo even kijk naar de link in het artikel en dan afmelden wordt er gesproken over een 'plugin' die 'unsubscribe' heet, daaruit kun je redelijk veilig afleiden dat het om een whitelabel of selfhosted nieuwsbrieventool gaat. Ik herken de clientside broncode helaas niet, maar als het in-house is dan zal het gewoon een standaard tooltje zijn waarin je een vinkje aan of uit kunt zetten voor de tracking.

[lenwar]

Die trackingpixel gaat naar URL:

vvv.trackingpixel.ru/AutoriteitPersoonsgegevens-mailing123876234.png.

Vervolgens meet je hoe vaak dat png-bestandje wordt geöpend/aangeroepen. Het enige dat je nu hoeft te doen is niet meer te kijken naar dat bestandje en klaar.
(dus de 'tracker-software' verwijderd die ene entry uit de database en klaar.)

(edit:link uitgeschakeld)

[Reactie gewijzigd door lenwar op 10 december 2024 15:16]

[xorinzor]

Een russische tracking pixel? Dat zou ik wel erg bijzonder vinden.

[Guru Evi]

Maar daar heb je toch een half competente IT’er voor nodig om dit alsnog op te zetten en goed te keuren, en die persoon zou dit moeten waarschuwen tijdens implementatie dat de dienst e-mails herschrijft en daarom de digitale tekeningen breekt.

Ik doe dit in mijn organisatie op regelmaat, en met de implementatie van DMARC kan een persoon in HR alsnog niet eventjes een Mailchimp accountje maken. Een mail merge is echt niet zo moeilijk, en je eigen dienst draaien waar je volledige controle over hebt is maar een Docker container.

[Reactie gewijzigd door Guru Evi op 10 december 2024 22:16]

[RobIII]

En nog nooit stond daar per ongelijk een stukje code. Laat staan een stukje controversiële code.

En *kuch* uit 't niks stond daar *kuch* opeens helemaal zomaar een backend die gegevens van die trackingpixels te verzamelen. Geen idéé waar dat vandaan kwam! Was er zomaar opeens! Zo raar!

Het excuus zal zijn dat ze e.o.a. standaard maildienst hebben gebruikt en daar zit dat soort zooi natuurlijk standaard in.

[Reactie gewijzigd door RobIII op 10 december 2024 15:10]

[jaapzb]

Zo moeilijk is het toch niet om tijdens het aanmaken van een mailing een vinkje te missen..? Dat is onzorgvuldig ja, maar nog steeds per ongeluk.

[Kevinp]

Of een nieuwe update van een plugin te installeren die een vinkje weer aan zet die je al uit had gezet.

Of een andere plugin te installeren voor dit soort dingen en het vergeet uit te zetten.

[bzuidgeest]

Goed mogelijk dat het als zoveel was uitbesteed aan een derde partij. En dat niemand er over gedacht heeft die te controleren.
Dan heeft de derde partij het niet per ongeluk gedaan, maar wellicht voor het AP is het dat wel per ongeluk een verkeerde aanbieder uitgezocht.

[Lord Anubis]

Misschien is er een template ( deel ) gebruikt in de nieuwsbrief en is er niet goe gekeken naar wat er in zat

[Aftansert]

Dit is een standaardfeature van mailingsoftware, en dat is best een probleem omdat veel bedrijven daarom denken dat mensen volgen zonder toestemming gewoon mag of in ieder geval gedoogd wordt. Echt 90% van de mailings doet dat zonder je toestemming te vragen. Ze zijn ook verplicht om een manier te bieden om tracking uit te zetten, net zoals bij tracking cookies. Niemand biedt dit aan zonder een hele moeizame klantenservice / privacy officer / rechtszaak route.

En tracking pixels zijn nog wel te blokkeren. Maar je wordt ook gevolgd via tracking links (ook een standaardfeature). Soms moet je daar op klikken om iets te kunnen doen. Maar je kan dus niet je toestemming intrekken of de originele (meestal gewoon publiek toegankelijke) link verkrijgen.

[cracking cloud]

Waarom schrijven mensen zo vaak per ongelijk ipv per ongeluk…

[Room42]

En waarom stellen mensen zo vaak een vraag zonder een vraagteken te gebruiken?

[Alex3]

Misschien omdat ze onmiddellijk als onmiddelluk uitspreken.

[Benadski]

Nou dat vind ik wel errug lang, ik zeg altijd gewoon 'ommilluk' en iedereen snapt t.

Maar ik denk inderdaad dat het foutje via een externe tool of partij is gegaan.
Is er niet een service waarnaartoe je een testmailtje kan sturen om te checken of het ongewenste meuk bevat?

[gimbal]

Het minst zeepkisterige antwoord zou "autocorrectie" kunnen zijn.

[DJanmaat]

Template?

[MrMonkE]

Sjabloon

[DJanmaat]

Model

[TomR]

Mal

[DJanmaat]

voyeur

[Dannydekr]

Onzin. De meeste e-mail service providers bieden die tracking standaard aan, vaak omdat er op organisatorisch niveau in een half gaar instellingen scherm hier ergens een vinkje standaard voor aan staat. Het is zeer ongebruikelijk om de standaard tracking uit te zetten.

Dat ze dit over het hoofd hebben gezien is helemaal niet gek, maar in hun geval wel wat slordig.

[Robbierut4]

Ik vind het altijd knap hoe je onbedoeld iets toevoegt.

Onbedoeld de titel leeg laten snap ik wel.

Maar het kost werk en moeite toch om zo'n tracking pixel toe te voegen?

[lenwar]

Dat ligt eraan.

Een nieuwsbrief schrijf je niet in Outlook . Daar heb je software voor. Als die software standaard het vinkje 'show who openend the mail' aan heeft staan, dan kan dat gebeuren, lijkt mij?

Of als je je nieuwsbrief via een derde partij regelt, dan kunnen zij ook dat vinkje aan hebben staan.

[Alex3]

Misschien helpt het als ze Nederlandstalige software gebruiken.

[lenwar]

Of in elk geval een die niet door Google Translate is vertaald
Zoals in de app van mijn Zonnepanelen:

"Echte Tijd" (real-time)

[RobIII]

Niet als je een willekeurige kant-en-klaar maildienst als Mailchimp of Sendgrid o.i.d. gebruikt. Daar zit 't standaard in en zul je waarschijnlijk juist moeite moeten doen (als 't überhaupt al kan) om 't uit te zetten.

[Reactie gewijzigd door RobIII op 10 december 2024 15:12]

[bzuidgeest]

Een kantoor figuur die een nieuwsbriefje knutselt in een pakketje zonder ergens iets van te begrijpen? Dat is makkelijk voor te stellen.

Ik denk dat het eerder moeite is om tracking niet toe te voegen. Veel pakketjes voor zoiets gaan er van uit dat je die pixel wel wil (als verzender van de brief) zodat je bereik kan meten.

[andMax]

Bij veel emailmarketing paketten (Mailchimp, Act-on, Spotler, etc.) wordt de mogelijkheid geboden om te tracken of een bericht is geopend door de ontvanger. Dit doen ze door bij te houden of een afbeelding in het bericht is gedownload, denk aan een header, logo of misschien een afbeelding naast een de tekst van het bericht zelf. Hoogstwaarschijnlijk heet de AP dit vinkje aan laten staan...

[kodak]

Fouten maken kost mensen anders een heel stuk minder moeite.

Het feit dat iemand iets met moeite gemaakt heeft zegt weinig over de moeite die is gedaan dat alleen in specifieke gevallen te gebruiken.

De moeite die iemand in kunnen tracken stopt (zoals de toegepaste technieken en presentatie) bestaat zelden uit het duidelijk zijn dat er tracking in gebruik is. Dan kun je dus ook niet vreemd opkijken dat het als gevolg te veel moeite kost het te voorkomen of stoppen. Dat maakt de verantwoordelijkheid het niet te doen er natuurlijk niet minder op.

[CAPSLOCK2000]

Ik ga er vanuit dat ze een mailservice hebben gebruikt die standaard tracking aan heeft staan, zoals normaal lijkt. In het kader van de AVG kan dat eigenlijk niet meer, tracking zou een hele bewuste keuze moeten zijn die je alleen maakt als je toestemming van de gebruikers hebt.

Hoewel het uiteindelijk de verantwoordelijkheid van de klant is zouden dit soort massmailers veilige defaults moeten bieden. Mijn ervaring is dat standaard alle toeters en bellen aan staan, inclusief tracking. Gebruikers gaan er echter van uit dat ze met een goede basis beginnen en dat ze alleen hoeven na te denken over de opties die ze veranderen. Als tracking standaard aan staat dan gaan ze er al snel van uit dat het is toegestaan.

[Floort]

Als je al niet eens meer mag vertrouwen in een leverancier die op de productpagina zegt "Spotler garandeert 100% GDPR compliance." dan weet ik het ook niet meer. 😇

Het lastige van je reactie, waar ik het mee eens ben, is dat striktgenomen de verplichting om veilig en privacy vriendelijke opties by default te leveren formeel ligt bij de verwerkingsverantwoordelijke richting betrokkenen en niet bij de verwerker richting de verantwoordelijken. Super irritant in de praktijk. En je kan daar nog wel redelijk omheen werken, maar het zou zo fijn zijn als die verplichting expliciet ook bij leveranciers gelegd zou worden vanwege dit soort fouten.

[CAPSLOCK2000]

Klopt, de situatie is erg lastig. Om een goede leverancier te kiezen moet je zelf een expert zijn, zoals gebruikelijk in de IT. De leveranciers kent de details maar de verantwoordelijkheid ligt bij de klant. Eerlijk gezegd denk ik dat we daar ook niet om heen kunnen, alleen de klant kent de bron van de data en weet of er toestemming is. Verantwoordelijkheid delen is in praktijk maar lastig want bij conflicten zal iemand een beslissing moeten nemen die dus meer verantwoordelijkheid draagt.

Diensten als zo'n massmailer zouden misschien een grote waarschuwing moeten laten zien als tracking aan gezet wordt maar goed beschouwd is de hele dienst een mogelijke overtreding. Je mag niet zomaar e-mali-adressen verzamelen en als je ze al hebt mag je niet zomaar spammen. Zo'n waarschuwing zou er dus al moeten zijn zodra je zo'n dienst in gebruik neemt. Maar ja, dat soort waarschuwingen worden vaak niet gelezen (ze klagen wel over de vervelende pop-up en hoe langer het bericht hoe grote de kans dat d lezer afhaakt. Dat is geen excuus maar je kan er ook moeilijk om heen.

Het nadeel van de verantwoordelijkheid bij de leverancier neerleggen is dat die zelf niks kan controleren. Tegelijkertijd is er dan helemaal geen remming meer bij de klant want de leverancier draait er voor op. Wie zich niet aan de wet wil houden kiest dan een tussenpartij in een ver land dat zich niet aan onze wetten houdt. Al is dat eerlijk gezegd nu ook al de situatie, wie wil spammen heeft meer dan genoeg mogelijkheden om dat ongestraft te doen.

Een oplossing is dat de leverancier in gesprek gaat met de klant en dit soort details uitlegt en geen zaken doet als de klant niet oplet. Spotlert lijkt dat aan te bieden maar daar zal een prijskaartje aan zitten. Als het verplicht onderdeel van het product wordt lijkt het me lastig om nog te concurreren als de rest dat niet ook doet. Dat zal dus wettelijk afgedwongen moeten worden.

"Spotler garandeert 100% GDPR compliance."

Het roept de vraag op wat die garantie inhoudt. Krijgt de AP haar geld terug? Mogen ze gratis een nieuwe massmail versturen? Betaalt Spotler de (theoretische) boete? Mijn verwachtingen zijn vrij laag.

[Prince]

Eens dat het "onbedoelde" aspect niet hoort en al zeker niet voor het AP, maar inzake AVG is het perfect legaal indien je dit gebruikt voor "first party data". Bvb "is de mail geopend". Dan valt dit onder gerechtvaardigd belang (ook iets wat het AP niet helemaal correct kon beoordelen zo blijkt van hun frontpage).
Dit kan dan op zijn beurt gebruikt worden om inactieve accounts te verwijderen, om zo juist minder persoonsgegevens in jouw dataset te hebben. - natuurlijk pas verwijderen als dit in jouw voorwaarden staat en als de gebruiker weet dat dit zal gebeuren (bvb mail "we gaan uw account verwijderen wegens inactiviteit oid)

[Floort]

Dat is niet helemaal hoe het werkt. Onder artikel 11.7a Tw is voor het verzamelen van dit soort informatie in principe toestemming nodig als grondslag. Er is een beperkte uitzondering van het toestemmingsvereiste in lid 3.b van dat artikel. Het moet dan gaan om informatie over de kwaliteit of effectiviteit van een geleverde dienst en het mag geen of geringe gevolgen hebben voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker. Als het gebruikt wordt om individuele personen aan te spreken op hun leesgedrag haal je het op beide punten niet. De beperkte normuitleg op dit punt wijst erop dat je moet denken aan gegevens die in ieder geval vrij snel na het verzamelen worden geanonimiseerd of geaggregeerd tot statistieken en mensen aanspreken op het niet lezen van de mails is een ander doel dan informatie verzamelen over de effectiviteit of kwaliteit van de dienst.
Pas als je de drempel van 11.7a Tw over bent kom je toe aan AVG vereisten zoals dataminimalisatie.

[Prince]

Als Belg weet ik natuurlijk niet zo veel over de Nederlandse Telecommunicatiewet. Vermoedelijk zal deze in grote lijnen gelijk zijn aan de Belgische variant, maar vast in bepaalde hoekjes ook weer niet.
Bedankt overigens voor het aanleveren van de artikels; dat bespaart me wat zoekwerk.

Het AP levert een hoop diensten; de nieuwsbrief is daar 1 van. Dit gaat niet zomaar over een persoonlijke mail, maar over een algemene mailing naar een hoop mensen die zich daar specifiek voor ingeschreven hebben.
Kijken of mensen de topics interessant vinden en dus de nieuwsbrief lezen is quasi letterlijk het controleren van de effectiviteit en heeft geen gevolg voor de persoonlijke levenssfeer van de betrokkene.
Deze data zou hen naast "geapprecieerde topics" ook meer kunnen leren over bvb de keuze van het subject of het moment van verzenden vs lezen.
Dit is allemaal interessant voor een marketeer om hun dienst (de nieuwsbrief) verder te 'tunen' naar de behoeften van de gebruikers.

[Floort]

In België bestaat de uitzondering van het toestemmingsvereiste voor analytische doeleinden in de nationale implementatie van ePrivacy niet. Dus daar ga je het ook niet redden met gerechtvaardigd belang.

En in je omschrijving over het meten van de effectiviteit van de dienst laat je dit keer het individueel aanspreken van abonnees vanwege niet lezen weg én vergeet je dat het doel maar één van de twee eisen is. En dat voor een uitzondering die dus alleen in Nederland van toepassing is.

[Alex3]

Ik heb wel eens een mailtje gekregen met de vraag of ik een mailing nog wilde ontvangen omdat ik hem nooit las...

[Quintiemero]

Toch is het echt de Telecomunicatiewet die aangeeft dat je toestemming nodig hebt. En ja, aansluiting bij de wijze waarop conform AVG.

[Saph]

Ik ben nu wel benieuwd hoe je dat per ongeluk doet, zeker als partij die toezicht op naleving van de privacy wetgeving.

[MrOrang3]

Zie reactie van andMax. Meetpixel staat vaak standaard aan. Zo kan eenvoudig per ongeluk toegevoegd worden.

[Tyrian]

Daarom kan de AP maar beter zelf zijn e-mail versturen i.p.v. dit door een derde partij te laten doen. Dan weet je nooit of het wel echt volgens jouw privacystandaarden verloopt.

[HansvDr]

Zo is dat, en kunnen ze dat niet is niets mailen ook een optie. Zet je info maar op je website, uiteraard zonder Google Analytics

[Somoghi]

De ironie xD

[lenwar]

Gaan ze nu ook een onderzoek starten en eventueel een boete uitdelen, als de werkelijke schade zichtbaar wordt? (Ik bedoel die serieus.)

[MtlSnk]

Ik snap en waardeer de ironie hiervan, maar de tracking pixel functionaliteit zal naar waarschijnlijkheid ingebakken zijn in het marketing/mail campagne platform dat ze gebruiken. Wellicht dat die instelling standaard aanstaat voor nieuwe campagnes(?).

Los van bovenstaande speculatie zal het mijns inziens moeten worden onderzocht, om de geloofwaardigheid te bewaren voor zover als dat lukt voor de AP.

[HansvDr]

De Autoriteit Persoonsgegevens zou niet een standaard pakket moeten gebruiken. Of beter nog, helemaal geen nieuwsbrieven verzenden...

[MtlSnk]

Het alternatief van zelf iets ontwikkelen lijkt mij minder wenselijk, ze kunnen hun tijd en geld beter investeren.

Ik zie ook geen kwaad in het versturen van nieuwsbrieven, mits de geadresseerden ook geïnteresseerden zijn. Het is een aanname, maar ik vermoed dat je geen opt-out praktijken zult ervaren bij de AP b.v. na het melden van een datalek.

[HansvDr]

Wat is er ingewikkeld aan mails versturen als je geen tracking wil doen? Je ziet wat er van komt met die standaard pakketten.

[MtlSnk]

Het versturen van een plaintext mail via telnet o.i.d. is niet ingewikkeld, maar iets als Spotler (marketing/mail campagne software die de AP gebruikt, aldus Floort) heeft meer complexiteit.

HTML mails met afbeeldingen en templating/personalisering zullen ongetwijfeld worden gebruikt, naast dat er een klantenbestand achter hangt, dat ook door minder technische mensen moet kunnen worden bediend.

Onder het mom van: het oog wil ook wat. Men wordt niet aangetrokken door plaintext mail.

Eigen software brengt o.a. verantwoordelijkheid en onderhoud met zich mee, dat is niet altijd wenselijk. Daar waar het niet bijdraagt aan verbeteren van de kernactiviteiten, zou ik daar in ieder geval vraagtekens bij zetten.

[HansvDr]

En dus kan de AP zich niet aan zijn eigen regels houden. Het is ze te ingewikkeld. Stop er dan mee en plaats je nieuws gewoon op je website (zonder Google Analytics). Of neem personeel aan die het wel snapt.

[Reactie gewijzigd door HansvDr op 12 december 2024 09:34]

[fvanunen]

Als ze het even bij zichzelf melden dan kunnen wij weer door...