In het huidig economisch leven wordt het opstellen van profielen, cohorten en categorieën van mensen in marketingmiddens als een normale praktijk beschouwd.

Deze techniek wordt doorgaans aangeduid met de term het segmenteren van de markt.

Organisaties en marketingafdelingen beschikken immers over beperkte budgetten, waarvan niet steeds kan worden vastgesteld welke impact het uitgegeven geld heeft op de bottom line van een organisatie.

Om de impact van het uitgegeven geld te maximaliseren is het voor marketingafdelingen belangrijk hun markt te segmenteren, door profielen, categorieën en cohorten op te stellen.

Voor het opstellen van deze profielen is er veel data nodig, waaronder persoonsgegevens.

Vandaar dat het voor marketingafdelingen belangrijk is om rekening te houden wat wel en wat niet is toegelaten volgens de GDPR.

Geautomatiseerde besluitvorming

De GDPR stelt dat een natuurlijke persoon het recht heeft om niet te worden onderworpen aan een uitsluitend op een geautomatiseerd proces bepaalde beslissing.

M.a.w. wanneer een beslissing louter gebaseerd wordt op een geautomatiseerd proces dan kan de betrokkene, zonder dit te moeten motiveren, deze beslissing weigeren; tenzij de beslissing:

• noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst;
• is toegestaan op basis van een wettelijke bepaling;
• of de betrokkene uitdrukkelijk heeft toegestemd.

Men dient er rekening mee te houden dat de eerste bepaling restrictief dient te worden geïnterpreteerd. M.a.w. indien er een andere manier bestaat om tot hetzelfde resultaat te komen, dan is de geautomatiseerde verwerking niet noodzakelijk voor de totstandkoming of voor de uitvoering van de overeenkomst.

Voor het tweede punt moet de wettelijke bepaling op de verwerkingsverantwoordelijke van toepassing zijn en voorzien in de nodige beschermingsmaatregelen voor de betrokkene.

Bij de derde bepaling gelden de regels van de GDPR inzake het geven van toestemming voor de verwerking van persoonsgegevens.

Profiling

Profiling of het maken van een profiel (ook wel een cohort genoemd) is kort door de bocht het maken van een categorie met bepaalde kenmerken.

Zo kan men een profiel of cohort definiëren op basis van life style, leeftijd, geslacht, interesses, religie etc.

Voor het maken van deze profielen heeft men veel verschillende soorten gegevens nodig.

Zo heeft men bijvoorbeeld om te bepalen wat de life style van een persoon is de gegevens nodig op het vlak van:

• het soort websites die worden bezocht evenals de frequentie van deze bezoeken,
• het soort aankopen, de bedragen die aan deze aankopen worden besteed evenals de frequentie van deze aankopen,
• de locaties die gefrequenteerd worden evenals de frequentie,
• …

Personen die aan de voor die categorie (bv. een bepaalde life style) vooraf gedefinieerde criteria voldoen worden dan, al dan niet automatisch, geplaatst in die categorie.

De categorie kan dan door marketeers gebruikt worden om de personen die daarvan deel uitmaken, zowel below als above the line, boodschappen en advertenties te sturen.

Voor de marketeers en de bedrijven in kwestie betekent het opdelen in categorieën of cohorten van de populatie een manier om hun boodschap of advertentie bij de juiste mensen te krijgen (het doel van de categorisering); m.a.w. zij krijgen meer waar voor hun uitgegeven geld terug dan wanneer ze hun boodschap of advertentie zomaar naar om het even wie zouden sturen.

Gezien de veelheid van gegevens die moeten worden verwerkt heeft profiling een aantal kenmerken. Deze kenmerken (art.4.4) zijn:

• het betreft een geautomatiseerde vorm van verwerken,
• waarbij persoonsgegevens zijn betrokken,
• met als doel persoonlijke aspecten van iemand te beoordelen.

Zoals men kan vaststellen kan profiling een enorme impact hebben op personen. Doordat men, al dan niet terecht, in een hokje wordt geplaatst kan men opportuniteiten mislopen, minder goede voorwaarden krijgen, al dan niet positief of negatief gediscrimineerd worden, …

Gezien de enrome impact van profiling hebben natuurlijke personen via de GDPR ook een heleboel rechten, waaraan verwerkingsverantwoordelijken dienen te voldoen.

Rechten

Verwerkingsverantwoordelijken moeten de personen wiens persoonsgegevens ze zullen gebruiken om hen in profielen te stoppen op een duidelijke en transparante manier inlichten dat hun persoonsgegevens zullen worden gebruikt om hen in profielen en categorieën te plaatsen.

Zij dienen deze natuurlijke personen daarbij uit te leggen welke logica daarvoor zal worden gebruikt en welke impact en gevolgen die verwerking en plaatsing in categorieën voor hen zal hebben.

Verwerkingsverantwoordelijken moeten deze personen ook toegang geven tot de persoonsgegevens die voor de categorisering worden gebruikt, en hen de mogelijkheid bieden om deze gegevens te (laten) corrigeren of te laten verwijderen.

Tenzij de betrokkenen expliciet daarvoor toestemming geven hebben zij onder bepaalde omstandigheden het recht om niet aan profiling te worden onderworpen.

Het is aan de verwerkingsverantwoordelijke, op basis van zijn verantwoordingsplicht, aan te tonen dat aan al deze voorwaarden wordt voldaan.

Er dient ook op gewezen te worden dat het kunnen aantonen dat aan al deze verplichtingen van de verwerkingsverantwoordelijke geen eenmalig feit is bij de opstart van de geautomatiseerde verwerking (inclusief profiling), maar een continue proces waaraan de verwerkingsverantwoordelijke dient te voldoen.

M.a.w. verwerkingsverantwoordelijken dienen op gepaste tijdstippen deze processen onder de loep te nemen, om te kijken of er nog steeds wordt voldaan aan de vereisten van de GDPR.

Bloep, 5 april 2026.