Eén partij, vier merknamen. Waarom een verzoek ze alle vier moet noemen.

Eén bedrijf voert vaak meerdere merken. Het verkoopt onder de ene naam advertentieprofielen, onder de andere doelgroepsegmenten, en onder een derde een platform waar beide in zitten. Voor de AVG is dat één verwerkingsverantwoordelijke.

Een verzoek dat maar één van die namen noemt, krijgt daarom een antwoord dat klopt en toch niets oplost.

Hoe dat antwoord eruitziet

“Wij hebben uw gegevens niet gevonden in ons systeem.” Of, iets beleefder: “Uw verzoek is uitgevoerd voor de dienst die u noemt.”

Beide zijn waar. En beide laten de records staan die onder de andere handelsnamen worden gevoerd, want daar ging het verzoek niet over. U heeft dan een bevestiging in handen die juridisch correct is en feitelijk weinig betekent.

Dat is bovendien lastig te ontdekken. U kunt niet zien welke merken bij welke rechtspersoon horen zonder dat na te zoeken, en de partij heeft er geen enkel belang bij u daarop te wijzen.

Waarom het één verantwoordelijke is

De verordening knoopt de verplichting aan degene die het doel en de middelen van de verwerking bepaalt. Dat is een rechtspersoon, geen merknaam. Een handelsnaam is een etiket op de buitenkant; hij verandert niets aan wie de beslissingen neemt.

Praktisch betekent dat: als één privacydesk, één verwerkingsverantwoordelijke en één privacyverklaring vier producten bedienen, geldt uw bezwaar voor alle vier — mits u ze noemt.

Hoe u het in het verzoek zet

Twee zinnen volstaan, en ze doen allebei iets anders.

De eerste maakt de reikwijdte expliciet: dat het verzoek geldt voor alle verwerkingen binnen de verantwoordelijkheid van deze partij, uitdrukkelijk mede onder de namen die u vervolgens opsomt.

De tweede sluit de ontsnapping af: dat u een antwoord dat slechts op één van die namen ziet, als onvolledig beschouwt. Zonder die zin is een deelantwoord een antwoord; met die zin is het een vastgelegde tekortkoming.

De namen zelf haalt u uit het Handelsregister en uit de privacyverklaring van de partij, waar de verantwoordelijke rechtspersoon meestal wél correct staat vermeld — vaak als enige plek op de hele website.

Waarom dit vaker voorkomt dan u denkt

In advertentietechnologie is dit eerder regel dan uitzondering. Bedrijven groeien daar door overnames, en een overgenomen merk blijft bestaan omdat de klanten eraan gewend zijn terwijl de gegevensverwerking allang is samengevoegd.

Het gevolg is dat één privacydesk correspondentie voert voor producten die naar buiten toe los van elkaar staan. Dat is geen opzet en het is ook niet verboden. Het betekent alleen dat de reikwijdte van uw verzoek uw verantwoordelijkheid is en niet die van de ontvanger.

Welke soorten partijen deze gegevens verhandelen→

Waar dit ophoudt

Merken van verschillende rechtspersonen kunt u niet in één verzoek meenemen, ook niet als zij tot hetzelfde concern behoren. Elke verantwoordelijke krijgt een eigen verzoek, en of twee entiteiten werkelijk één verantwoordelijke zijn, is soms niet van buitenaf vast te stellen.

Waar wij het niet zeker weten, noemen wij de namen die wij kunnen onderbouwen en laten wij de rest weg. Een verzoek dat een verband claimt dat niet blijkt te bestaan, geeft de ontvanger een reden om het geheel terzijde te leggen.

Waar dit vandaan komt