Spotler en Politie zijn transparanter over monitoring

Vanaf december 2022 ben ik bezig om stukjes te schrijven over sociale media monitoring. Niet omdat het zo erg is dat organisaties lezen wat mensen publiceren op sociale media: er zijn hele legitieme redenen om dat te doen. Maar wel omdat het zo ondoorzichtig is wat er gebeurt op dit vlak. Spotler, een van de grotere (of grootste) aanbieders van sociale media monitoring in Nederland, heeft niet alleen te maken met praktische obstakels die het goed informeren van betrokkenen lastig maakt. Spotler heeft mij anderhalf jaar lang juridisch onder druk gezet om publicatie te voorkomen. Pas toen ik aangaf dat ik zou publiceren en Spotler vroeg om een kort geding aan te spannen om dat tegen te houden, veranderde hun toon. Het heeft mij veel werk gekost om verschillende klanten van Spotler te benaderen via de Woo, AVG inzageverzoeken en informeel contact met FG om mij voor te bereiden op dat mogelijke kort geding. Dit artikel is een inventarisatie van hoe Spotler en veel van hun klanten omgaan met transparantie van de verwerking.

Wat doet Spotler?

Spotler (voorheen OBI4wan) heeft een aantal soorten dienstverlening zoals het beheren van nieuwsbrieven met tracking pixels, maar ik beperk me hier tot het monitoren van sociale media. Spotler verzamelt van verschillende sociale media, openbare forums, etc. berichten van zoveel mogelijk personen. Deze berichten, meestal vergezeld van duidelijk identificeerbare account identifiers, worden geïndexeerd, verrijkt en geanalyseerd en zo beschikbaar gemaakt in dashboards waar betalende klanten de persoonsgegevens kunnen inzien, downloaden en analyseren. In AVG termen is Spotler verwerkingsverantwoordelijke voor de verzameling, de algemene verrijkingsstappen én de verstrekking aan hun klanten. Vanaf het moment dat de klanten in hun Spotler dashboard aan de slag gaan met hun eigen analyses verstrekt Spotler de persoonsgegevens aan de klant en verwerkt Spotler de persoonsgegevens als verwerker namens de klant. Zowel Spotler als alle klanten zijn daarmee onder de AVG dus verwerkingsverantwoordelijken voor verschillende onderdelen van de verwerking en hebben daarmee ook ieder eigen transparantieverplichtingen.

Een aantal klanten van Spotler lijkt echter te denken dat het enige dat Spotler doet is wat ze namens de klant doen. Als dat het geval zou zijn zou Spotler voor elke klant opnieuw dezelfde data moeten binnenhalen omdat de persoonsgegevens vanuit de verwerkersrol van Spotler niet tussen de klanten gedeeld mogen worden. Deze misvatting betekent onder andere dat sommige klanten verkeerd informeren over de bron van persoonsgegevens en er onterechte conflicten ontstaan over hoe verzoeken van betrokkenen afgehandeld moeten worden.

Hoe worden betrokkenen geïnformeerd?

Het uitgangspunt van de AVG is dat betrokkenen in ieder geval op hoofdlijnen geïnformeerd zijn. In het geval van Spotler wordt dat geregeld in artikel 14 van de AVG. Daar staat, kort samengevat, dat Spotler in principe binnen een maand nadat ze hun persoonsgegevens hebben verzameld contact moeten opnemen met de betrokkenen om ze te informeren over de verwerking tenzij er een uitzondering van toepassing is. Spotler maakt gebruik van uitzondering 14(5)(b): het kost disproportioneel veel moeite om contact op te nemen met de betrokkenen. Of dat klopt heb ik mijn twijfels bij. Spotler heeft accountgegevens van de betrokkene en kan dus per betrokkene makkelijk (en zelfs geautomatiseerd) contact opnemen. Als er meer betrokkenen zijn, mag volgens mij ook proportioneel meer moeite worden verwacht. Maar deze uitzondering komt ook met verplichtingen die moeten compenseren voor het niet direct informeren van betrokkenen. Spotler maakt het daarom mogelijk voor betrokkenen die al weten wat Spotler ongeveer doet en dat dat voor hen waarschijnlijk relevant is om op de website van Spotler het privacystatement te lezen.

De klanten van Spotler hebben hun eigen verplichting om betrokkenen te informeren en mogen niet vertrouwen op het privacystatement van Spotler. Het privacystament van Spotler informeert bijvoorbeeld niet over de identiteit en verwerkingsdoelen van hun klanten. Het is lastiger om algemene uitspraken te doen over alle klanten. Wel kan ik vertellen dat niet één van de meer dan honderd klanten (overheid én private sector) die van Spotler mijn persoonsgegevens heeft gekocht mij proactief heeft geïnformeerd. Daar is de Nederlandse politie misschien één uitzondering op door mij op te bellen omdat ze erachter waren gekomen dat ze per ongeluk onrechtmatig een paar jaar van mijn communicatiegegevens hadden verzameld. Super netjes, maar niet iets dat ze structureel lijken te doen. Voor de rest heb ik geprobeerd met verschillende klanten contact op te nemen en dan kom ik reacties tegen zoals:

CGC verzekert jou dat wij niets te verbergen hebben en dus ook niet in zie op welk vlak wij ons zouden moeten verantwoorden.

Aldus een vertegenwoordiger van de Federale Politie België aan wie Spotler mijn persoonsgegevens heeft verstrekt. De Federale Politie is pas van toon veranderd na ingrijpen van het Controleorgaan (de privacy-toezichthouder voor de Belgische politie). De informatie die na het ingrijpen van het Controleorgaan beschikbaar is gesteld is alsnog ruim onder het wettelijk minimum en het is onduidelijk onder welke uitzondering van artikel 14 van de AVG betrokkenen niet direct worden geïnformeerd.

De FG van een gemeente waar ik niet woon en daarvoor ook nooit eerder mee gecommuniceerd heb legt mij uit dat ik voldoende geïnformeerd ben over de verwerking omdat de gemeente de verwerking heeft opgenomen in het verwerkingsregister. Ook baseert de gemeente zich op de volgende drie redenen om betrokkenen in het algemeen niet direct te informeren:

Betrokkene reeds beschikt over de informatie (art. 14 lid 5a); Het verstrekken van die informatie aan alle betrokkenen onevenredig veel inspanning zou vergen (art. 14 lid 5b); In geval van aannemelijke (digitale) dreiging of ordeverstoring de Burgemeester zich moet kunnen beroepen op art. 23 lid 1c AVG, mede bepaald door o.a. art. 41 lid 1c UAVG en art. 175 Gemeentewet.

Ik kan alleen voor mijzelf spreken, maar ik maak er geen gewoonte van om bij alle gemeenten, laat staan alle verwerkingsverantwoordelijken, het doorgaans niet openbare verwerkingsregister op te zoeken om te achterhalen wie mijn persoonsgegevens verwerken en ik was daarom niet al eerder op de hoogte. En voor zover ik hier publiek wil toegeven heb ik ook geen concrete plannen gehad om de orde te verstoren in deze gemeente.

Een andere gemeente die mijn persoonsgegevens heeft ontvangen van Spotler geeft als ik navraag probeer te doen aan dat ze vanwege de AVG niet de contactgegevens van de FG mogen verstrekken. Dat proces heeft mij dusdanig veel energie gekost en zorgen over het functioneren van de FG gekost dat toen ik uiteindelijk de FG wel te pakken heb gekregen ik melding heb gedaan over het gebrek aan transparantie over de sociale media monitoring en het nooit meer heb opgevolgd. Deze gemeente heeft meer dan twee jaar later nog steeds geen contactgegevens van de FG beschikbaar gemaakt op de website én geen woord over het sociale media monitoring opgenomen in een privacy statement dat publiek te vinden is. Deze gemeente heeft overduidelijk een groter probleem dan alleen transparantie.

Bij een andere gemeente is de FG boos op mij geworden omdat ik niet wilde accepteren dat Spotler volledig een verwerker was van de gemeente. Spotler had zelf namelijk al aangegeven dat dat niet waar is en mij ook zelfstandig inzage gegeven en mij ook heeft geïnformeerd dat Spotler mijn persoonsgegevens aan de gemeente heeft verstrekt. Deze gemeente informeert betrokkenen niet alleen onvoldoende en onjuist, maar blijft daarin volharden als ze daarop gewezen worden.

Bij een andere gemeente was de FG juist heel blij met mijn vraag. De FG vroeg zich af hoe ik wist dat de gemeente mijn persoonsgegevens had gekocht en is intern navraag gaan doen. Het bleek dat de afdeling communicatie van mening was dat openbare gegevens geen persoonsgegevens zijn. Dat is natuurlijk volslagen onjuist geredeneerd, maar was wel de reden dat de verwerking niet goed intern bekend was. Een doorsnee betrokkene maakt geen kans om goed geïnformeerd te worden.

Op een gegeven moment ben ik maar gestopt met het benaderen van de ontvangers van mijn persoonsgegevens om te zoeken naar informatie waarover ze mij zouden moeten informeren. Zelfs mijn geduld was op. Ik denk dat ik wel genoeg heb geprobeerd om te concluderen dat er structureel onvoldoende wordt geïnformeerd over het gebruik van Spotler.

Wat doet de Politie?

In mijn vorige post over dit onderwerp schreef ik dat de Politie in Nederland mij heeft gevraagd of ik geheim wilde houden van wie ze de sociale media monitoring dienstverlening afnemen. Ook is mij verteld dat er intern een advies gegeven zou worden over het bijwerken van het privacystatement zodat de politie in ieder geval daar wel transparant is over de verwerking. Ongeveer anderhalf jaar later is de situatie niet verbeterd en heeft de Politie besloten om het uitgebreide privacystatement in zijn geheel van de website te verwijderen, inclusief de contactgegevens van de FG. In Januari 2026 heeft de Politie de privacystatement bijgewerkt, maar dit keer ook zonder vermelding van sociale media monitoring. Maar de Politie heeft wel in een Woo-verzoek besloten om een aantal documenten openbaar te maken. Het gaat om de volgende documenten:

1. 03042025 Memo rechtmatige verwerking_Geredigeerd.pdf
2. 12030+2-zijdig+getekende+verwerkersovereenkomst_Geredigeerd.pdf
3. 20190604-1937-JMI-Beoordeling OBI4WAN Documentatie ivm Veiligheid_Geredigeerd.pdf
4. 20230327 - GEB Webcare getekend_Geredigeerd.pdf
5. 20231110 NOTITIE BELANGRIJK_Geredigeerd.pdf
6. 20240529 Advies Communicatie.docx_Geredigeerd.pdf
7. Worddoc 20240529 Advies Communicatie_Geredigeerd.pdf
8. 21072025 (Vervolg) Memo rechtmatige verwerking_Geredigeerd.pdf
9. 24112025 Definitief Memo rechtmatige verwerkingsgrondslag crisis media monitoring en analyse tool_Geredigeerd.pdf
10. AVG en media-monitoring - gegevensverwerking_Geredigeerd.pdf
11. Beveiligingsanalyse 2022 OBIengage 2_0_Geredigeerd.pdf
12. Beveiligingsanalyse OBIengage 1_0_Geredigeerd.pdf
13. Beveiligingsanalyse OBIengage 2.0_Geredigeerd.pdf
14. Ontbreekt nog
15. FW_ OBI4WAN en de AVG_ Gebruik Politie _Geredigeerd.pdf
16. GEB - Webcare - verwerking - v0.3_Geredigeerd.pdf
17. GEB OBI4wan definitief Wpg. 02-12-2022_Geredigeerd.pdf
18. Geconstateerde privacy risico_s gebruik OBI4WAN_Geredigeerd.pdf
19. OBI4WAN en de AVG_ Gebruik Politie _Geredigeerd.pdf
20. PHDPCSUP-OBIEngage-290922-1240-108_Geredigeerd.pdf
21. RE_ OBI4ONE_Geredigeerd.pdf
22. RE_ OBI4WAN en de AVG_ Gebruik Politie _Geredigeerd.pdf
23. RE_ OBI4WAN vs_ OBI Engage en status issues_Geredigeerd.pdf
24. RE_ Samenvatting verwerkingsdoeleinde (sociale) mediamonitoring en voorlopige conclusie (2)_Geredigeerd.pdf
25. Verwerkersovereenkomst 2023 Politie OBI4wan DEF_Geredigeerd.pdf

De belangrijkste vraag die ik had was waarom de Politie betrokkenen niet informeert over de verwerking. Deze vraag wordt door deze documenten niet direct beantwoord. De documenten wekken de indruk dat er binnen de Politie al jaren onduidelijkheid bestaat over de rechtmatigheid van de verwerking en de vraag onder welke wet de verwerking überhaupt valt.

Dit blijkt bijvoorbeeld uit een memo van 24 november 2025:

De (helaas teleurstellende) uitkomst is daarom dat - ook op basis van de in Bijlage 4 gedefinieerde verwerkingsdoeleinden van de tool en alle aanvullende informatie - de conclusie is dat niet kan worden vastgesteld dat een rechtmatige gegevensverwerking (AVG/Wpg) mogelijk is.

Bron: pagina 3 van 09

Deze conclusie roept ook vragen op over de naleving van de voorwaarden van Spotler waar in staat:

The Customer warrants to Spotler that the content, use and/or processing of the data is not unlawful and does not infringe any rights of any third party.

Bron: paragraaf 8.6 van de General Terms and Conditions (Archief)

Het is onduidelijk of Spotler ook daadwerkelijk naleving van deze voorwaarden handhaaft en Spotler heeft aangegeven hier geen vragen over te beantwoorden.

Uit de documenten blijkt dat ook de Politie onzeker is over de rol die Spotler heeft bij de verwerking:

Naar aanleiding van /oek ontvangen zij met de verwerkingsverantwoordelijke hierover overleg dienen te voeren. De vraag is even of de afhandeling van het inzageverzoek door Spotler op een juiste wijze is afgehandeld en vanuit welke rol als verwerkingsverantwoordelijke zij dan de betrokken persoonsgegevens aan ons hebben verstrekt. Wellicht dat een en ander klopt, maar om het risico uit te sluiten dat er op een onjuiste wijze uitvoering is gegeven aan het inzagerecht lijkt het me zinvol dat hier een keer over wordt gesproken.

Bron: Punt 6 van 07

Deze misvatting heeft potentieel grote gevolgen voor de Politie. Omdat de initiele verzameling van persoonsgegevens door spotler en de verstrekking van persoonsgegevens aan de klanten onder eigen verwerkingsverantwoordelijkheid valt is Spotler zelfstandig verplicht om inzageverzoeken van betrokkenen te beantwoorden. Omdat Spotler persoonsgegevens aan de Politie levert voor twee juridische regimes (AVG en Wbp) en zowel de Politie als Spotler geen onderscheid kunnen maken tussen de twee loopt de Politie het gevaar dat betrokkenen via een inzageverzoek bij Spotler er achter kunnen komen dat de Politie hun persoonsgegevens heeft verzameld. De verwerkersovereenkomst beschermt hier niet tegen omdat het risico zit in de verwerking die Spotler voor eigen doeleinden doet. En de geheimhouding onder de Wpg is niet van toepassing als niet duidelijk is dat de Wpg van toepassing is. Als de Politie hiertegen wil beschermen zal de verwerking technisch en juridisch anders moeten worden gestructureerd.

Wat mij ook opvalt is hoe de Politie kijkt naar het inzagerecht van betrokkenen. In de Gegevensbeschermingseffectbeoordeling onder de WPG beoordeeld de Politie (in tegenstelling tot een latere memo) dat de verwerking voldoende transparant is voor betrokkenen en inzageverzoeken volgens de daarvoor ingerichte (maar ongespecificeerde) procedures worden behandeld. In de gegevensbeschermingseffectbeoordeling staat het inzagerecht van betrokkenen omschreven als “NTB”. Deze laatste GEB is versie 0.3 gedateerd 04-09-2018. In de praktijk lijkt het echter lastig te achterhalen wat er gebeurd met de verwerking. De Politie schrijft:

Ook heb ik bij de mediadesken nagevraagd of zij beide ‘klagers’ kennen. Slechts de helft van de mediadesken heeft gereageerd. Van een mediadesk kregen we zelf de opmerking dat het te veel werk was en ze derhalve geen gehoor zouden geven aan het verzoek.

Bron: 07

Deze omschrijving lijkt erg veel op mijn ervaring toen mij is verteld dat men binnen de Politie niet kon achterhalen of en zo ja waarvoor mijn persoonsgegevens zijn verwerkt. Mogelijk komt dat dus deels omdat een aantal afdelingen heeft geweigerd om te zoeken. Deze praktijk is voor mij een signaal dat de risico-inventarisatie door de Politie zelf een significant risico voor de rechten van betrokkenen over het hoofd heeft gezien. Het is misschien niet vanzelfsprekend om bij een gebrek aan grondslag nog verder uit te zoeken wat de risico’s voor de rechten en vrijheden van betrokkenen zijn. Maar dat is onder de aanname dat zonder grondslag de verwerking ook niet plaatsvindt. Voor een verwerking die zonder grondslag alsnog plaatsvindt bevat de AVG geen uitzondering op de DPIA-verplichting op basis van de ontbrekende grondslag.

Bedrijfsgeheimen van Spotler

Nadat ik van de politie meer informatie heb ontvangen benader ik Spotler nogmaals met de boodschap dat ik het niet eens ben met hun poging om mij onder druk geheim te laten houden wie mijn persoonsgegevens op deze manier verwerkt. Ik geef aan dat nu de politie zelf heeft besloten deze informatie openbaar te maken, ik ook zal overgaan tot het delen van deze informatie. Als Spotler bij haar standpunt wil blijven, geef ik Spotler expliciet de gelegenheid om een kort geding aan te spannen bij de rechter om publicatie tegen te gaan. Dat doe ik in overleg en voordat er schade is ontstaan door mijn openbaarmaking van het geclaimde bedrijfsgeheim. Ondanks mijn pogingen om goed te overleggen over wat ik schrijf om onnodige schade te voorkomen heeft Spotler ervoor gekozen om die dreiging boven mijn hoofd te laten hangen en ik was dat meer dan beu. Ik blijf met alle plezier overleggen, maar ik bepaal zelf wel wat ik mag schrijven over wie mijn persoonsgegevens verwerkt en wat ik daarvan vind. Mijn mail daarover wordt geregistreerd in een interne ticket en zonder bericht aan mij gemarkeerd als afgehandeld. Pas als ik bel en uitleg dat ik van plan ben om bedrijfsgeheimen te publiceren, wordt mijn ticket weer opgeduikeld en intern geëscaleerd. Na meer dan een maand krijg ik een mailtje van de CEO met de mededeling dat ze hun juristen hebben gevraagd om een passend antwoord te formuleren. Een week later krijg ik een e-mail van een externe jurist. We mailen een aantal keren over en weer en bespreken een aantal randzaken die de jurist graag wil verduidelijken maar waarover we het volkomen eens zijn zoals de verdeling van de verantwoordelijkheid tussen klant en Spotler. Maar de kern komt hier op neer:

Ten aanzien van jouw voorgenomen publicatie willen wij nogmaals benadrukken dat Spotler deze niet kan en zal tegenhouden. Wel verzoeken wij jou middels vorige mail om ons op de hoogte te houden van de voorgenomen publicatie zodat Spotler in de gelegenheid wordt gesteld om inhoudelijk te reageren. De insteek van dat verzoek is om op basis van redelijkheid met elkaar in gesprek te blijven en bedoeld om uiteindelijk tot een evenwichtige bijdrage aan het publieke debat te komen.

Zonder te erkennen wat Spotler vooraf heeft gedaan doet de jurist alsof het vanzelfsprekend is dat ik vrij ben om te publiceren. Spotler geeft desgevraagd aan geen verklaring te willen geven over waarom Spotler het nodig vond om dergelijke druk uit te oefenen terwijl ze nu de publicatie niet zullen en kunnen tegenhouden. Geen erkenning dat het misschien wel onredelijk is om anderhalf jaar een betrokkene die een inzageverzoek heeft gedaan onder druk te zetten. Ik heb ook geen uitleg gekregen over waarom Spotler opeens zo van houding is veranderd. Wellicht heeft de jurist Spotler geïnformeerd over recente jurisprudentie.

Naar aanleiding van de weigering van Spotler om hier verder uitleg over te geven heb ik verder navraag gedaan. Ik heb 1 andere persoon gevonden die een inzageverzoek heeft ingediend. De CISO/FG van OBI4wan (voordat OBI4wan is overgenomen door Spotler) heeft deze betrokkene dezelfde beperking proberen op te leggen. Spotler is er bij deze betrokkene niet op teruggekomen. Dit zegt natuurlijk niet direct iet over de overwegingen achter de keuze van Spotler, maar als het een oprechte veranderende houding van Spotler zou zijn geweest is het voor Spotler mogelijk om alle betrokkenen te laten weten dat ze vrij zijn om met anderen te communiceren over wie hun persoonsgegevens verwerken.

Spotler blijft via hun jurist doorvragen tot ze bevestiging heeft dat ik van plan ben om Spotler de kans te geven voor publicatie een reactie te geven. Een vraag die wat vreemd overkomt omdat ik zelfs onder dreiging van juridische stappen van Spotler altijd volledig open ben geweest over wat ik wilde publiceren. Het is voor mij niet duidelijk waarom Spotler verwacht dat nu Spotler opeens veel redelijker is, ik opeens minder zorgvuldig zal schrijven. Mijn ervaring is dat het Spotler is die juist het open gesprek wil tegenhouden, eerst door te weigeren inzage te geven in de ontvangers van mijn persoonsgegevens en dat pas te doen na ingrijpen van de AP. Daarna door juridische druk uit te oefenen om te proberen te voorkomen dat ik iemand vertel wie mijn persoonsgegevens verwerkt en daar pas mee te stoppen als ik voorstel om het te escaleren voor de rechter.

Maar nu duidelijk is dat Spotler niet naar de rechter zal stappen om publicatie tegen te gaan heb ik dit stuk kunnen schrijven. Natuurlijk heb ik deze tekst ook voorgelegd aan Spotler en Spotler heeft via een externe legal counsel gereageerd. Het belangrijkste verzoek van Spotler was of ik de lijst met verwerkingsverantwoordelijken zou kunnen samenvatten in bredere categorieën. Het is volgens Spotler niet duidelijk wat het nut is om concrete klantnamen te noemen. Ik heb aangegeven dat ik deze blogserie ben begonnen met de vraag wie er online gedrag op sociale media monitoren en dat een lijst van organisaties die dat doen volgens mij een relevant onderdeel van het antwoord op die vraag is. Ik heb ook aangegeven dat betrokkenen al het recht hebben om geïnformeerd te worden over wie hun persoonsgegevens verwerken en ik heb gevraagd of Spotler alternatieven ziet voor betrokkenen om geïnformeerd te worden over de verwerking. Spotler heeft uitgelegd dat ingaan op mijn vragen ons niet dichter bij elkaar brengt en Spotler is daarom niet ingegaan op de vragen. Spotler heeft naast mijn concrete vragen inzage gehad in de volledige concepttekst van de blog en heeft geen enkele inhoudelijke correctie meegegeven en aangegeven dat ik mag publiceren. Van het inhoudelijk reageren en in gesprek blijven waar Spotler op heeft aangedrongen lijkt geen sprake te zijn.

Wat heeft Spotler dan echt geheim proberen te houden?

Als reactie op mijn inzageverzoek van 10 december 2022 schrijft de CISO en Functionaris Gegevensbescherming (zelfde persoon) van Spotler op 13 oktober 2023 het volgende:

Verder op uw inzage verzoek van 11 september jl., zend ik u hiermede een bestand van alle berichten die wij over u verzameld hebben. Wij hebben op uw verzoek op berichten gezocht met betrekking tot uw X-account binnen onze systemen.

Het is mij niet duidelijk waar de noodzaak vandaan komt om te doen alsof er een nieuw inzageverzoek is ingediend. Ik zou de voorkeur hebben gehad voor het erkennen dat na ingrijpen van de Autoriteit Persoonsgegevens na persvragen en mijn herinnering dat ze nog steeds niet mijn inzageverzoek goed hebben beantwoord hebben besloten om de fout recht te zetten.

Verderop in de e-mail schrijft Spotler het volgende:

Welke organisaties of soorten organisaties uw gegevens eventueel ontvangen: OBI4wan maakt zelf geen gebruik van uw gegevens, anders dan deze elektronisch aan te bieden in haar producten OBI Brand Monitor en OBI Engage. Beide zijn SaaS-applicaties voor respectievelijk Media Monitoring en Webcare.

De volgende organisaties hebben uw informatie ontvangen na aanleiding van een zoekopdracht op onderwerp en niet op uw naam. Voor de goede orde willen wij benadrukken dat wij u deze informatie verstrekken op uw informatieverzoek en dat deze niet gepubliceerd mag worden of voor andere doeleinden worden gebruikt.

1. 123inkt
2. Gemeente Almere
3. [blanco]
4. APG
5. [blanco]
6. Gemeente Best
7. Bibliotheek Rotterdam
8. BKR
9. Blokker
10. [blanco]
11. Bosveld
12. Ministerie van Buitenlandse Zaken (BuZa)
13. Centrum Cybersecurity België
14. ChipSoft
15. Centraal Juridisch Incassobureau (cjib)
16. Codelogic
17. ContactCenter4all
18. Gemeente De Bilt
19. Gemeente Delft
20. Delta Fiber
21. DHL
22. DTG
23. Duo
24. Gemeente Eersel
25. [blanco]
26. Eneco
27. Gemeente Enschede
28. Erasmus Medisch Center
29. Gemeente Ermelo-Harderwijk
30. Essent
31. EvolveIP
32. Exxon Mobil
33. Federale Politie België
34. [blanco]
35. Gemeente Maassluis
36. Gemeente Utrecht
37. Gemeente Veenendaal
38. Giro555
39. Gemeente Gouda
40. Greenchoice
41. Grolsch
42. Hagaziekenhuis
43. Gemeente Hellevoetsluis
44. Gemeente Hengelo
45. Gemeente Hof van Twente
46. Gemeente Hoorn
47. Hyundai
48. [blanco]
49. Kadaster
50. Ronald McDonald Kinderfonds
51. KNVB
52. [blanco]
53. KVK
54. Gemeente Lochem
55. Luchtmacht (ministerie van Defensie)
56. LUMC
57. [blanco]
58. Martini Ziekenhuis
59. Media Markt
60. Meeus Groep
61. Ministerie van Onderwijs, Cultuur en Wetenschap
62. Ministerie van Volksgezondheid, Welzijn en Sport
63. Gemeente Moerdijk
64. Nationaal Archief
65. Nova College
66. [blanco]
67. Oasen
68. OLVG
69. Onderwijs Vlaanderen
70. Online.nl
71. Stichting Pleyade
72. Politie
73. Politiezone Antwerpen
74. Prorail
75. [blanco]
76. Rijksoverheid
77. ROC Mondriaan
78. Soeq
79. Solcon
80. Staatsloterij
81. Stedin
82. [blanco]
83. SVB
84. Gemeente Tholen
85. Universitair Medisch Centrum Groningen
86. Gemeente Urk
87. UWV
88. Van Dale Uitgevers
89. VCA Nederland
90. [blanco]
91. VPRO
92. Veiligheidsregio Noord-Holland Noord
93. Veiligheidsregio Zeeland
94. Stichting VvE Belang
95. Gemeente Waadhoeke
96. Gemeente Wageningen
97. Weeronline.nl
98. Gemeente weert
99. Gemeente Wijk bij Duurstede
100. Wageningen Universiteit
101. Gemeente Zaanstad
102. Stichting ZoekJeMee
103. Gemeente Zoetermeer
104. Zorgwerk Rotterdam

op 12 juni 2024 reageert Spotler op mijn nieuwe inzageverzoek ongeveer anderhalf jaar na mijn oorspronkelijke inzageverzoek:

1. Delft
2. [blanco]
3. Gemeente Utrecht
4. KVK
5. Meeus
6. [blanco]
7. Hengelo
8. SVB
9. RedCarpet
10. Moerdijk
11. Duo
12. Almere
13. Nova College
14. Bol
15. Bosveld
16. Veiligheidsregio Zeeland
17. Kadaster
18. [blanco]
19. Enschede
20. Gouda
21. Nie
22. Stichting Prisma
23. Solcon
24. Essent
25. Eneco
26. UMCG
27. Zoetermeer
28. Zutphen
29. CJIB
30. LUMC
31. Hyundai
32. HagaZiekenhuis
33. Min VWS
34. UWV.nl
35. Chipsoft
36. Zorgwerk Rotterdam
37. Erasmus MC
38. Rijksoverheid
39. Hollandskroon
40. Hellevoetsluis
41. Duivenvoorde
42. Nefit Bosch
43. [blanco]
44. Staatsloterij
45. Online.nl
46. Veiligheidsregio Noord-Holland
47. Lochem
48. Ermelo Harderwijk
49. Codelogic
50. Lingewaard
51. Giro 555
52. Wageningen
53. Testaankoop.be
54. VPRO
55. Eersel
56. SNS-bank
57. De Bilt
58. VPRO Programma’s
59. Waadhoeke
60. Limburgnet
61. 1700
62. Radio 1
63. Hoorn
64. Politie
65. Buitenlandse Zaken
66. APG
67. Marktplaats
68. Weert
69. KNVB
70. [blanco]
71. [blanco]
72. Grolsch
73. [blanco]
74. Zoekjemee
75. Meijerstad
76. BKR
77. Hof van Twente
78. Onderwijs Vlaanderen
79. Bibliotheek Rotterdam
80. Koggeland
81. APC Groep
82. Evolveip
83. Martini Ziekenhuis
84. Contactcenter4all
85. Politiezone Antwerpen
86. Nationaal Archief
87. Gemeente Maassluis
88. [blanco]
89. Weeronline.nl
90. Federal Police Belgium
91. [blanco]
92. GB Twente
93. GGZ Eindhoven
94. Healthcare
95. CCB
96. Oasen
97. Exxon Mobil
98. Deltafiber
99. Gemeente Veenendaal
100. Rijkswaterstaat

Een enkele organisatie op deze lijst heb ik wel een bewust interactie mee gehad, door bijvoorbeeld expliciet berichten te richten aan deze organisaties. Deze organisaties heb ik daarom vervangen door [blanco]. Aanwezigheid op deze lijst betekent alsnog niet direct dat de betreffende organisaties gebruikmaken van de monitoringsdienst van Spotler omdat ik onbewust misschien toch een keer betrokken geweest ben in een discussie waar de organisatie in genoemd staat. Spotler heeft namelijk ook diensten waarmee men kan communiceren met gebruikers van onder andere het X-platform. Bij het merendeel van de organisaties op deze twee lijsten is er geen sprake van dat ik ze op X heb benaderd voordat ik deze lijsten heb ontvangen en ik heb wel mijn best gedaan om dit te verifiëren.

Hoe nu verder?

Voor betrokkenen is deze situatie niet acceptabel, maar betrokkenen kunnen ook weinig doen. Inzageverzoeken indienen bij verwerkingsverantwoordelijken die je misschien niet eens kent en je niet informeren over de verwerking is geen redelijke tijdsbesteding voor de meeste mensen. Klachten indienen als je de situatie onwenselijk vindt is ook niet te doen omdat betrokkenen niet worden geïnformeerd en de AP eist dat je de verwerkingsverantwoordelijke kan identificeren bij het indienen van een klacht. En de goedbedoelde adviezen die ik vaker hoor (varianten op: wees voorzichtig met wat je deelt op sociale media) zijn waar, maar ook tegelijkertijd een signaal dat men het maar moet opgeven. Als iedereen zich anders moet gaan gedragen omdat ze stilletjes in de gaten gehouden worden, is het een onwenselijke situatie.

Voor betrokkenen die toch willen weten wie hun persoonsgegevens verzamelt kan toch een inzageverzoek indienen bij Spotler. Spotler publiceert op het moment van schrijven geen contactgegevens van een Functionaris Gegevensbescherming, dus vermoedelijk heeft Spotler die niet meer. Inzageverzoeken kunnen tegenwoordig gericht worden aan infosec@spotler.com. Zorg dat je niet alleen om een kopie van al je persoonsgegevens vraagt, maar ook om alle andere informatie die staat beschreven in artikel 15 van de AVG, waaronder de ontvangers van de persoonsgegevens. Hiervoor kan je het volgende template gebruiken:

Geachte Spotler,

Omdat veel van uw klanten mogelijk betrokkenen niet informeren over de verwerking van hun persoonsgegevens, dien ik bij u een inzageverzoek in. Ik wil daarmee mijzelf informeren over de verwerking van mijn persoonsgegevens en controleren of dat rechtmatig gebeurt.

Ik verzoek Spotler op basis van artikel 15 van de AVG mij een kopie te geven in mijn persoonsgegevens voor zover die door Spotler worden verwerkt met daarbij alle andere informatie die in artikel 15 van de AVG staat gespecificeerd. Ik verzoek u daarbij in het bijzonder aandacht te besteden aan artikel 15(1)(c); de ontvangers van mijn persoonsgegevens.

U kan mij herkennen aan de volgende online identifiers: [@gebruikersnaam op X, https://www.facebook.com/gebruikersnaam, etc….] Indien Spotler ook andere bronnen gebruikt of aanvullende gegevens nodig heeft om mij te identificeren, verzoek ik u om zonder onnodige vertraging contact op te nemen zodat ik aanvullende gegevens kan verstrekken.

Met vriendelijke groet,

[naam]

Omdat het helaas niet vanzelfsprekend is dat organisaties transparant zijn over het gebruik van social media monitoring is een inzageverzoek daar wat ingewikkelder. Het volgende template is geschreven vanuit de aanname dat Spotler heeft laten weten dat specifiek jouw persoonsgegevens aan die organisatie zijn verstrekt.

Geachte heer/mevrouw,

Van Spotler heb ik begrepen dat zij mijn persoonsgegevens aan uw organisatie hebben verstrekt. Ik zou graag willen weten op basis van welke uitzondering van artikel 14 van de AVG u mij niet heeft geïnformeerd over deze verwerking.

Daarnaast verzoek ik u onder artikel 15 van de AVG inzage in mijn persoonsgegevens die u in het kader van sociale media monitoring en daaraan verwante doeleinden verwerkt.Daarbij verzoek ik u om naast een kopie van mijn persoonsgegevens ook alle informatie die in artikel 15 van de AVG staat gespecificeerd te verstrekken. Dat betekent onder andere dat ik wil weten wat de doelen van de verwerking zijn, wat de bron en eventuele ontvangers zijn, wat de bewaartermijn is, en of er eventueel geautomatiseerde besluitvorming of profilering plaatsvindt. Ik verzoek u bovendien aandacht te besteden aan afgeleide gegevens zoals eventuele classificeringen en sentiment-analyses van mij of mijn berichten.

U kan mij herkennen aan de volgende online identifiers: [@gebruikersnaam op X, https://www.facebook.com/gebruikersnaam, etc….] Indien u ook andere bronnen gebruikt of aanvullende gegevens nodig heeft om mij te identificeren, verzoek ik u om zonder onnodige vertraging contact op te nemen zodat ik aanvullende gegevens kan verstrekken.

Met vriendelijke groet,

[naam]

Voor Spotler (en concurrenten) is er meer handelingsperspectief. Zo kan Spotler bijvoorbeeld hun klanten beter voorlichten over de onderlinge taakverdeling en het toepasselijke wettelijk kader. Spotler kan ook naleving van hun voorwaarden gaan handhaven en klanten afsluiten die onrechtmatig hun dienst gebruiken. De kans dat Spotler dat ook actief gaat doen is echter klein. Spotler heeft mijn vraag hierover geweigerd om te beantwoorden. Hoewel ik denk dat als proportionaliteit de maatstaf is (art. 14(5)(b) AVG) dat Spotler echt meer werk moet maken van het informeren van betrokkenen ben ik ook wel gevoelig voor het argument dat de uitvoering daarvan wel echt problematisch is. Spotler kan dit, samen met andere problemen, in een DPIA beschrijven en voorleggen aan de Autoriteit Persoonsgegevens (art. 36 AVG). De reactie van de AP kan ongemakkelijk zijn voor Spotler en diens klanten, maar dit kan wel heel veel onzekerheid wegnemen en Spotler kan dit gebruiken om te laten zien dat ze oprechte lastige issues goed hebben opgelost.

Voor de Autoriteit Persoonsgegevens is handhaving op dit vlak niet waarschijnlijk onder de huidige werkwijze. Handhaving is bijna volledig klachtgestuurd en betrokkenen kunnen niet klagen over verwerkingen waarover ze niet geïnformeerd worden. Toch zijn er allerlei aanknopingspunten om wel op te handhaven als de AP ervoor zou kiezen. Wanneer de weerstand tegen transparantie richting betrokkenen zo groot is en het onderwerp zo duidelijk binnen de prioriteiten van de AP ligt, is het niet verstandig om klachten af te wachten.

Voor klanten van Spotler die sociale media monitoren is het belangrijk om in ieder geval te begrijpen hoe de dienstverlening werkt en om zorgvuldig betrokkenen te informeren over de verwerkingen. Kijk daarbij kritisch naar de uitzonderingen onder artikel 14 van de AVG. Want de lat om betrokkenen niet direct proactief te informeren ligt hoog. Het is ook waarschijnlijk dat je een DPIA moet (laten) uitvoeren op de verwerking.

Voor de Politie als specifieke klant is het lastig. Het lijkt erop dat de politie zelf heeft geconcludeerd dat ze geen grondslag voor de verwerking kunnen vinden. Er zijn dan twee opties mogelijk: stoppen of een wettelijke grondslag creëren. Of eigenlijk ook een derde optie die niet genoeg wordt benut: stoppen, een wettelijke grondslag creëren en dan pas weer starten. Helaas is de discussie over een nieuwe wet lastiger dan het misschien zou moeten omdat de Politie niet open is over wat ze al doen voordat er een grondslag is. Zo lijkt de behandeling van de Wet gegevensvergaring openbare orde voorbij te gaan aan de complexe verwevenheid van de transparantieverplichtingen van bedrijven waar de gegevens worden opgehaald en de complexiteit die ontstaat omdat de Politie technisch sterk vergelijkbare verwerkingen doet voor andere doeleinden en zelfs onder een compleer ander juridisch regime. Ondanks dat denk ik dat het wel terecht is dat er gewerkt wordt aan een duidelijke wettelijke grondslag omdat ik ook het belang van de monitoring erken. Ik hoop wel dat er een moment komt dat de privacyjuristen conclusies, zoals het niet kunnen vinden van een wettelijke grondslag, net iets scherper durven opschrijven en dat dat samengaat met een organisatie die ook durft te handelen naar zo’n conclusie. Wie weet begint dat binnenkort met een bijgewerkte privacyverklaring waarin de verwerking in ieder geval wordt erkend.