In Nederland mag je hyperlokale data alleen inzetten voor advertising als je voldoet aan de Algemene Verordening Gegevensbescherming (AVG). Dat betekent: een geldige rechtsgrond, transparantie richting gebruikers en strikte beperkingen op het gebruik van locatiegegevens die herleidbaar zijn tot een individu. Voor adverteerders en bureaus die hyperlocal advertising willen inzetten, is het daarom belangrijk om te weten waar de grenzen liggen. Dit artikel beantwoordt de meest gestelde vragen over de AVG en hyperlokale data in de Nederlandse context.
Wat wordt er precies bedoeld met hyperlokale data?
Hyperlokale data zijn gegevens die de geografische positie van een apparaat of persoon vastleggen op een nauwkeurig niveau, zoals een specifieke straat, winkel of gebouw. In de context van hyperlocal advertising gaat het om locatiesignalen die adverteerders gebruiken om mensen te bereiken op basis van hun fysieke aanwezigheid in een bepaald gebied.
Hyperlokale data kunnen afkomstig zijn uit verschillende bronnen. Denk aan GPS-signalen van mobiele apps, wifi-verbindingen, Bluetooth-beacons of IP-adressen. Hoe preciezer de locatiebepaling, hoe groter de kans dat de data direct of indirect herleidbaar zijn tot een individu. En dat maakt het juridisch relevant.
In de praktijk onderscheiden we twee soorten hyperlokale data:
- Realtime locatiedata: de actuele positie van een apparaat, zoals een smartphone die zich op dit moment in een winkelstraat bevindt
- Historische locatiedata: bewegingspatronen over tijd, zoals het feit dat iemand elke ochtend een bepaalde supermarkt bezoekt
Beide typen vallen in veel gevallen onder de AVG, maar de risico’s bij historische data zijn groter omdat ze gedragsprofielen kunnen onthullen.
Wanneer valt locatiedata onder de AVG als persoonsgegevens?
Locatiedata vallen onder de AVG zodra ze direct of indirect herleidbaar zijn tot een natuurlijk persoon. Dat is sneller het geval dan veel adverteerders denken. Een apparaat-ID gekoppeld aan een locatie is in de meeste gevallen al voldoende om te spreken van persoonsgegevens, zelfs als je de naam van de gebruiker niet kent.
De Autoriteit Persoonsgegevens (AP) hanteert een breed begrip van herleidbaarheid. Locatiegegevens worden als persoonsgegevens beschouwd wanneer:
- ze gekoppeld zijn aan een uniek apparaat-ID, advertentie-ID of cookie
- ze nauwkeurig genoeg zijn om iemands thuisadres, werkplek of routines te reconstrueren
- ze gecombineerd worden met andere data waardoor identificatie mogelijk wordt
Geanonimiseerde of geaggregeerde locatiedata, waarbij individuele gebruikers niet meer te onderscheiden zijn, vallen buiten de reikwijdte van de AVG. Maar echte anonimisering is technisch moeilijk te realiseren en vereist dat re-identificatie ook met externe databronnen onmogelijk is.
Welke rechtsgronden mogen worden gebruikt voor locatietargeting?
Voor locatietargeting op basis van persoonsgegevens zijn er in de AVG zes mogelijke rechtsgronden, maar in de praktijk zijn er voor advertising twee relevant: toestemming en gerechtvaardigd belang. Toestemming is in de meeste gevallen de enige houdbare grondslag voor het verzamelen en verwerken van nauwkeurige locatiedata via mobiele apparaten.
Toestemming als rechtsgrond
Toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. In de context van mobiele apps betekent dit dat een gebruiker expliciet akkoord moet gaan met het delen van locatiedata voor advertentiedoeleinden. Een vooraf aangevinkt vakje of een vage formulering in de algemene voorwaarden is niet voldoende. De toestemming moet ook eenvoudig intrekbaar zijn.
Gerechtvaardigd belang als rechtsgrond
Gerechtvaardigd belang is een rechtsgrond die adverteerders soms proberen toe te passen op locatietargeting, maar de AP is hier kritisch over. Voor het gebruik van nauwkeurige GPS-data of gedetailleerde bewegingsprofielen weegt het belang van de gebruiker in de meeste gevallen zwaarder dan het commerciële belang van de adverteerder. Gerechtvaardigd belang kan wel opgaan bij minder privacygevoelige vormen van locatietargeting, zoals het gebruik van een postcode of stad.
Wat mag wel en niet met hyperlokale targeting in Nederlandse campagnes?
In Nederland mag je hyperlokale targeting inzetten als je beschikt over een geldige rechtsgrond, transparant bent over het gebruik van locatiedata en de data niet voor andere doelen gebruikt dan waarvoor toestemming is gegeven. Er zijn echter concrete grenzen aan wat is toegestaan.
Wat wel mag:
- Targeting op postcodeniveau of stadsniveau op basis van IP-adres, mits transparant gecommuniceerd
- Geofencing rondom een locatie via een app waarbij de gebruiker expliciet toestemming heeft gegeven voor locatiedeling
- Contextual targeting op basis van de inhoud van een website of app, zonder gebruik van persoonsgegevens
- Digital Out of Home (DOOH) op basis van geaggregeerde bezoekersdata die niet herleidbaar zijn tot individuen
Wat niet mag:
- Het inkopen van locatiedata van derde partijen zonder verificatie dat de onderliggende toestemming geldig is
- Het opbouwen van bewegingsprofielen van individuen zonder expliciete toestemming
- Het combineren van locatiedata met andere gevoelige categorieën, zoals gezondheidsdata of politieke overtuigingen
- Het gebruik van locatiedata voor doelen die niet zijn vermeld in de toestemmingsverklaring
Hoe werkt footfall measurement zonder AVG-overtredingen?
Footfall measurement, het meten van fysieke bezoeken aan een locatie als gevolg van een advertentiecampagne, is AVG-conform mogelijk als je werkt met geaggregeerde en geanonimiseerde data. In de praktijk betekent dit dat je de bewegingen van groepen meet, niet van individuele gebruikers.
AVG-conforme footfall measurement werkt doorgaans als volgt:
- Toestemming aan de bron: Locatiedata worden alleen gebruikt van gebruikers die via een app toestemming hebben gegeven voor locatiedeling
- Aggregatie: Individuele locatiepaden worden samengevoegd tot groepspatronen, zodat individuele gebruikers niet meer te identificeren zijn
- Drempelwaarden: Metingen worden alleen gerapporteerd als een minimaal aantal unieke bezoekers is bereikt, om re-identificatie te voorkomen
- Beperkte bewaartermijn: Ruwe locatiedata worden zo snel mogelijk verwijderd nadat ze zijn geaggregeerd
Let op: als je footfall measurement inkoopt via een externe partij, ben je als adverteerder mede verantwoordelijk voor de rechtmatigheid van de data. Vraag je leverancier altijd om transparantie over de manier waarop toestemming is verkregen en hoe de data worden verwerkt.
Wat zijn de risico’s bij niet-naleving van de AVG voor adverteerders?
Bij niet-naleving van de AVG riskeer je als adverteerder boetes van de Autoriteit Persoonsgegevens, reputatieschade en het verlies van consumentenvertrouwen. De AP kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.
Naast financiële risico’s zijn er ook operationele gevolgen. Campagnes kunnen worden stilgelegd, data moeten worden verwijderd en processen moeten worden herzien. Dat kost tijd en geld. Voor bureaus die namens klanten campagnes uitvoeren, geldt bovendien dat zij als verwerker aansprakelijk kunnen zijn als zij de AVG niet naleven.
De meest voorkomende risico’s bij hyperlocal advertising zijn:
- Inkopen van locatiedata zonder geldige toestemmingsketen
- Gebruik van locatiedata voor doelen waarvoor geen toestemming is gegeven
- Onvoldoende transparantie richting gebruikers over het gebruik van hun locatiegegevens
- Geen verwerkersovereenkomst met externe data- of technologiepartijen
Hoe wij helpen met AVG-conforme hyperlocal advertising
Hyperlocal advertising biedt enorme mogelijkheden voor relevante, contextgerichte campagnes, maar vraagt om een aanpak die privacy en effectiviteit met elkaar verbindt. Daar helpen wij je bij.
Wij werken uitsluitend met partners en databronnen die voldoen aan de AVG-vereisten, zodat jij als bureau of adverteerder niet voor verrassingen komt te staan. Concreet bieden we AVG-conforme hyperlocal advertising diensten:
- AVG-conforme locatietargeting: via geaggregeerde data en toestemmingsgebaseerde doelgroepen
- Footfall measurement: met transparante rapportage op geaggregeerd niveau, zonder individuele tracking
- DOOH-campagnes: op basis van anonieme bezoekersdata per locatie en tijdstip
- Strategisch advies: over welke rechtsgrond en targetingmethode past bij jouw campagnedoelstellingen
- Volledige begeleiding: van strategie tot uitvoering en rapportage, met oog voor compliance
Wil je weten hoe je hyperlokale targeting inzet op een manier die werkt én voldoet aan de AVG? Neem contact met ons op en we denken graag met je mee.
