De
Dienst Uitvoering Onderwijs (DUO) heeft gebruikgemaakt van trackingsoftware in
aan studenten persoonlijk gerichte e-mails, waarmee kan worden aangetoond dat
een student een belangrijk bericht heeft geopend. Volgens DUO heeft de Autoriteit
Persoonsgegevens (AP) aan DUO laten weten dat het gebruik van de
trackingsoftware mogelijk in strijd is met de Algemene verordening
gegevensbescherming (AVG), maar dat sprake is van een grijs gebied.
WAT
IS E-MAILTRACKING?
Het is voor een ontvanger
doorgaans niet te zien dat een afzender van een bepaalde e-mail gebruikmaakt
van trackingsoftware. De tracking werkt met een transparante pixel of plaatje in de e-mail van één pixel lang en één
pixel breed die de afzender helemaal onderaan de e-mail plaatst.
Zodra de ontvaner een e-mail met
een dergelijke pixel opent, wordt het plaatje gedownload van de internetserver
van de afzender. Daarbij worden (afhankelijk van de software) verschillende
gegevens over de ontvanger geregistreerd, zoals het onderwerp van de e-mail;
datum en tijd waarop de e-mail is verstuurd; bevestiging dat de ontvanger de
e-mail heeft ontvangen; bevestiging dat de ontvanger de e-mail heeft geopend
nadat deze is ontvangen; tijdstempel van
elke keer dat de e-mail wordt geopend; de geschiedenis van het aantal keer
(aantal, datum en tijd) dat de ontvanger de ontvangen e-mail heeft geopend;
IP-adres van waaraf de e-mail is geopend en de browser en besturingssysteem die
gebruikt zijn door de ontvanger die de e-mail heeft geopend.
Deze data kunnen eenvoudig
gekoppeld worden aan het e-mailadres van de ontvanger. De gegevens zijn daarom
aan te merken als persoonsgegevens in de zin van de AVG. Daarbij wordt doorgaans ook het IP-adres van de ontvanger geregistreerd, dat op zichzelf al een persoonsgegeven is.
IS
HET VRAGEN VAN TOESTEMMING VOOR E-MAILTRACKING VERPLICHT?
In 2006 hebben de Europese
privacytoezichthouders (verenigd in de Artikel 29 Werkgroep – nu European Data
Protection Board) het gebruik van e-mailtrackingsoftware al aangestipt:
´De Groep van artikel 29 wijst
op de ontwikkeling van nieuwe software en diensten zoals “DidTheyReadIt?” waarmee kan worden nagegaan of een e-mailbericht
geopend werd. […] De gegevens worden geheim verwerkt; er wordt dus geen
informatie over gegeven aan de ontvangers waarvan de gegevens worden vergaard.
Bovendien is het voor de ontvangers niet mogelijk om de verzameling van de
hierboven vermelde gegevens toe te staan of te weigeren. In tegenstelling tot
de klassieke systemen voor de bevestiging van ontvangst van e-mails, heeft de
ontvanger bij deze nieuwe producten dus niet de mogelijkheid te aanvaarden of
te weigeren dat ontvangstgegevens worden verwerkt ten behoeve van de gebruiker
van dit programma.
De Groep van artikel 29 verzet
zich ten stelligste tegen deze praktijk, omdat persoonsgegevens over het gedrag
van de geadresseerde worden opgeslagen en doorgegeven zonder dat de betrokkene
daarmee uitdrukkelijk heeft ingestemd. Deze heimelijk uitgevoerde verwerking is
strijdig met de beginselen inzake gegevensbescherming, die eerlijkheid en
voorzichtigheid bij het verzamelen van persoonsgegevens vereisen […].
De verwerking van gegevens
waaruit blijkt of een ontvanger van een e-mailbericht dit heeft gelezen en of
en wanneer hij het heeft doorgezonden naar derden, vereist de ondubbelzinnige
toestemming van die ontvanger. Geen andere rechtsgrond kan deze verwerking
rechtvaardigen´, aldus de Werkgroep.
Of de Autoriteit
Persoonsgegevens deze lijn ook nu zal volgen is nog maar de vraag. De opinie
van de Artikel 29 Werkgroep is uitgebracht in 2006, toen trackingsoftware nog
in de kinderschoenen stond, zoals door de werkgroep ook in de opinie is
bevestigd.
IS
ER EEN ALTERNATIEF?
Een mogelijk alternatief zou
zijn om voor e-mailtracking eenzelfde benadering te hanteren als geldt voor cookies.
Onder de cookiewetgeving (artikel 11.7a Telecommunicatiewet) geldt het
uitgangspunt dat het via een elektronisch communicatienetwerk opslaan van of
toegang verkrijgen tot informatie in de randapparatuur van een gebruiker,
alleen is toegestaan op voorwaarde dat de betrokkene daarvoor toestemming heeft
verleend. Het vragen van toestemming is echter niet nodig voor cookies die
uitsluitend worden gebruikt om informatie te verkrijgen over de kwaliteit of
effectiviteit van een website of app, mits het gebruik van dit type cookies
geen of slechts geringe gevolgen heeft voor de persoonlijke levenssfeer van de
internetgebruiker.
Analytische cookies worden bijvoorbeeld
gebruikt om het gebruik van een bepaalde website in kaart te brengen en te
analyseren, zodat de kwaliteit van de website verbeterd kan worden. Dit is een
duidelijk voorbeeld van cookies die worden gebruikt om informatie te verkrijgen
over de kwaliteit of effectiviteit van een dienst van de
informatiemaatschappij.
Als de privacygevolgen voor de
internetgebruiker gering zijn, valt het gebruik van analytische cookies onder
de uitzondering op de cookiebepaling. Om te voorkomen dat het gebruik van
analytische cookies meer dan geringe gevolgen heeft voor de privacy van de
internetgebruiker, is het vereist dat deze cookies of de daarmee gegeneerde
gegevens niet worden gebruikt om bijvoorbeeld een profiel van de
internetgebruiker op te stellen, ook niet door een eventuele derde.
Het standpunt zou kunnen
worden ingenomen dat wanneer trackingsoftware voor e-mails uitsluitend wordt
gebruikt om het bereik van (bijvoorbeeld) een nieuwsbrief te meten, de
privacygevolgen voor betrokkenen daarmee gering zijn, zodat het vragen van
toestemming achterwege kan worden gelaten. Het verwerken van de geregistreerde
persoonsgegevens kan dan ook op een andere AVG grondslag worden gebaseerd,
namelijk het gerechtvaardigd belang dat de afzender heeft bij het analyseren
van het bereik en de effectiviteit van zijn verzonden nieuwsbrieven. Uiteraard
moet de afzender de ontvangers, bij het verkrijgen van het e-mailadres, (in het
privacy statement) informeren over het gebruik van e-mailtrackingsoftware.
SLOT
Verschillende nieuwsberichten
suggereren dat DUO de gegevens ook kan inzetten in juridische geschillen met
(ex)-studenten over het terugbetalen van de studielening. De privacygevolgen van het gebruiken van
persoonsgegevens middels trackingsoftware voor een dergelijk doel, zullen in die situatie meer dan gering zijn. DUO gaat hierover nog in gesprek met de
AP. Voorlopig is DUO gestopt
met trackingsoftware in persoonlijke e-mails.
