AVG/GDPR en de impact op Social Advertising

Ja hoor, weer een blog over de GDPR… Dit keer over de impact van de AVG/GDPR op Social Advertising. Voor de duidelijkheid: ik ga je niet meer vertellen wanneer de handhaving van de GDPR van start gaat of waarom de GDPR belangrijk is voor iedere digitale marketeer. Daar is inmiddels al genoeg over te vinden en is eerder in deze blogserie toegelicht door Wolter. Echter wil je als Social (Advertising) expert natuurlijk wel weten welke gevolgen de nieuwe wetgeving kan hebben voor jouw vakgebied.

Gevolgen zijn er namelijk zeker. Vanaf 25 mei 2018 (ontkom ik toch niet aan het noemen van de datum) zal het bijvoorbeeld verboden zijn om zonder toestemming van de ‘betrokkenen’ e-mailadressen naar Facebook te uploaden om een customer match lijst van te maken. De betrokkenen zijn in dit geval de personen van wie de persoonsgegevens worden verwerkt. Dit geldt echter niet alleen voor customer match; ook remarketing valt onder de marketingtechnieken waarvoor binnenkort – of eigenlijk nu al – een expliciete opt-in vereist is. Nu noem ik toch al twee veelgebruikte targetingmogelijkheden die door de GDPR geraakt zullen worden. Hoewel de nieuwe wetgeving natuurlijk erg belangrijk is, kan het best een stoffig onderwerp zijn. Om die reden wil ik de theorie aan de hand van een aantal cases iets meer tot de verbeelding laten spreken.

In de onderstaande situaties ga ik voor het gemak uit van Facebook, omdat dit platform de meeste mogelijkheden heeft. Natuurlijk gaat Social Advertising verder dan Facebook, maar eigenlijk zijn alle targeting opties op andere grote social platformen ook mogelijk op Facebook. Al dan niet in een vergelijkbare variant.

Open Targeting

Onder Open Targeting schaar ik alle targetingmogelijkheden die gebaseerd zijn op informatie die door Facebook is verzameld. Hierbij valt te denken aan targeting op basis van leeftijd, geslacht of interesses. Omdat Facebook deze data zelf verzamelt en vervolgens beschikbaar stelt aan gebruikers van haar advertentieplatform, hoef je je hier als social advertising specialist niet al te veel zorgen over te maken. Uiteraard valt dit wel binnen de scope van de GDPR (want pseudo-anonieme data), maar Facebook is in dit geval de gegevensbeheerder en dus verantwoordelijk voor het verkrijgen van toestemming om deze data te verzamelen. Facebook biedt haar gebruikers door middel van ad preferences overigens al de mogelijkheid om de advertentie instellingen te beheren.

Look-a-like audiences

Wanneer we een stapje verder gaan in de GDPR-jungle komen we uit bij look-a-like audiences. Look-a-like audiences worden inmiddels veelvuldig gebruikt op verschillende advertentieplatformen. En met succes. Bij deze targeting methode kom je als adverteerder dan toch echt in aanraking met de GDPR. Om gebruik te kunnen maken van look-a-like audiences verzamelt de adverteerder data van klanten en/of websitebezoekers om deze door Facebook te laten matchen met vergelijkbare gebruikers. Van de gebruikers die uiteindelijk de advertentie te zien krijgen kan geen toestemming worden verkegen; het betreft immers een doelgroep die je nog niet kent. Dat geldt echter niet voor de doelgroep die als ‘bron’ dient, en dus zal de adverteerder aan deze groep gebruikers wél toestemming moeten vragen om deze data te gebruiken. De adverteerder is in deze situatie de gegevensbeheerder en de data wordt vastgelegd en gedeeld met een derde partij: Facebook (in dit geval de gegevensverwerker). Om look-a-like audiences in te kunnen zetten moet in principe aan vier vereisten worden voldaan:

• De websitebezoekers (of andersoortige doelgroep die als bron dient) moeten ondubbelzinnige toestemming hebben verleend voor het gebruik van cookies;
• In het privacy statement moet worden vermeld welke gegevens verzameld worden en waarom (interesseprofielen t.b.v. advertentiedoeleinden);
• In het privacy statement moet ook worden vermeld dat deze gegevens gedeeld worden met derden, zoals bijvoorbeeld Facebook;
• Data die gedeeld wordt met een derde partij moet altijd gehasht worden om ervoor te zorgen dat de personen niet individueel identificeerbaar zijn. Deze derde partij zou een sociaal medium kunnen zijn, maar ook een eventuele tussenpartij.

Facebook heeft als gegevensbeheerder van haar eigen data zelf ook weer toestemming nodig van haar gebruikers om de profielen te kunnen matchen en look-a-like audiences samen te kunnen stellen.

Remarketing op basis van betrokkenheid op het platform

Facebook biedt adverteerders de mogelijkheid om gebruikers die op een eerder moment interactie hebben gehad met content van de adverteerder opnieuw te bereiken. Zo kun je als adverteerder bijvoorbeeld een remarketing campagne richten op gebruikers die een eerdere video (advertentie) of canvasadvertentie hebben bekeken. Het verzamelen van deze data gebeurt op en door Facebook, waarna deze gegevens beschikbaar worden gesteld aan de adverteerder. Om die reden is Facebook verantwoordelijk voor het verkrijgen van toestemming. Als social advertising specialist kun je deze mogelijkheid met een gerust hart blijven gebruiken.

Remarketing op basis van eigen gegevens

Naast remarketing op basis van betrokkenheid is het ook mogelijk om gebruikers te bereiken die op een eerder moment je website hebben bezocht. Het grote verschil met remarketing op basis van betrokkenheid op het advertentieplatform, is dat de adverteerder nu de gegevensbeheerder is. Het verzamelen van de gegevens vindt in dit geval namelijk plaats op het domein van de adverteerder. Om deze vorm van remarketing in te zetten moet de adverteerder dus ondubbelzinnig toestemming hebben verkregen van de gebruiker. Het is dus verplicht om een cookiebar te hebben waarin de betrokkene wordt ingelicht over de gegevens die verzameld worden en de doeleinden waarvoor deze gegevens gebruikt worden. Daarnaast moet de gebruiker natuurlijk ook daadwerkelijk op “akkoord” klikken.

Customer Match – Remarketing op basis van CRM data

Veel Social Advertising platformen bieden de mogelijkheid om CRM data – zoals e-mailadressen – te uploaden om deze gebruikers vervolgens te bereiken op het sociale medium in kwestie. Ook dit valt overduidelijk binnen de grenzen van de GDPR en daarom moet er aan de volgende voorwaarden worden voldaan:

• De eigenaar van het e-mailadres (of telefoonnummer, Facebook ID etc.) moet ook hier weer ondubbelzinnige toestemming verlenen voor het gebruik van zijn gegevens;
• Daarnaast moet in het privacy statement van de website (of overeenkomst wanneer de gegevens offline worden verzameld) duidelijk gemaakt worden dat deze gegevens verzameld en gebruikt worden en voor welke doeleinden;
• Ook hier moet zorg worden gedragen voor het hashen van de persoonsgegevens.

De adverteerder is in dit geval de gegevensbeheerder. Facebook is de gegevensverwerker.

GDPR & Conversie tracking

Iedere partij die serieus bezig is met digital marketing wil inzicht in de effectiviteit en/of rendabiliteit van haar online activiteiten door middel van conversie tracking. Maar is dat allemaal nog wel zo vanzelfsprekend vanaf 25 mei 2018? Het antwoord daarop is “nee”. Voor het verzamelen van data door middel van een pixel van een derde partij die niet puur voor analytische doelen wordt ingezet – zoals bijvoorbeeld de Facebook pixel – moet expliciet toestemming worden gevraagd van de gebruiker. In theorie is het dus mogelijk dat gebruikers geen toestemming verlenen voor dergelijke cookies en Facebook dus niet weet of een gebruiker wel of niet geconverteerd is.

Heb je dan straks helemaal geen inzicht meer in de effectiviteit van je Social Advertising campagnes? Dat gelukkig niet. Het plaatsen van puur analytische cookies is toegestaan zonder toestemming van de gebruiker. Er worden dan immers geen persoons- of pseudo-anonieme gegevens verzameld. In principe kun je dus wel gewoon de resultaten van je social campagnes blijven meten, bijvoorbeeld via Google Analytics. Je moet echter wel aan een aantal voorwaarden voldoen, welke je kan vinden in de blog van mijn collega Felipe over de impact van de AVG/GDPR op Digital Analytics.

Conclusie

Na het lezen van dit blog mag het duidelijk zijn dat er vanaf 25 mei 2018 veel kan veranderen in het Social Advertising landschap, zowel voor het toepassen van een aantal veelgebruikte targeting mogelijkheden als voor conversie tracking en optimalisatie binnen de advertentieplatformen. De grote vraag is hoe groot de impact daadwerkelijk zal zijn.

Met dit artikel heb je in ieder geval inzicht in op welke punten de nieuwe wetgeving Social Advertising ‘raakt’ en wanneer je als adverteerder actie moet ondernemen. Ben je benieuwd naar de impact op andere kanalen? Check dan de blogs van mijn collega’s:

• De impact van GDPR/AVG op Display Advertising
• De impact van GDPR/AVG op Digital Analytics
• De impact van GDPR/AVG op Content Marketing
• De impact van GDPR/AVG op Search Engine Advertising (SEA)
• De impact van GDPR/AVG op Search Engine Optimization (SEO)
• De impact van GDPR/AVG op Digital Marketing

Voorbereid op de AVG/GDPR met Traffic Builders

Wil je zeker weten dat jouw organisatie klaar is voor de GDPR/AVG in de context van digital marketing en analytics? Informeer dan vrijblijvend naar hoe we ook jou kunnen helpen. Van quickscan tot volledige implementatie; onze specialisten helpen je graag voorbereid te zijn op wat nu al de belangrijkste wetgeving voor digital marketing belooft te worden. Neem contact met ons op.