IKEA heeft een app, webwinkel, klantenkaart en vele camera’s in de filialen. Hoe zit het eigenlijk met de vele privacyvraagstukken waarmee je als bezoeker aan zowel de filialen als de online webwinkel te maken krijgt? IKEA heeft onlangs zijn privacybeleid vernieuwd en houden we langs onze privacymeetlat.
Tekst: Lora Mourcous (SOLV advocaten)
Bij het opstellen van zijn nieuwe privacybeleid lijkt IKEA al rekening te hebben gehouden met de implementatie van de AVG. De bepalingen zijn in duidelijke en heldere taal geschreven. Daarbij geeft het bedrijf specifieke voorbeelden van handelingen waarbij persoonsgegevens van klanten worden verwerkt of opgeslagen. Verder geeft IKEA een privacyoverzicht waarmee klanten in één oogopslag kunnen zien wat voor gegevens worden verzameld en voor welke doeleinden deze gegevens worden verwerkt.
Cameratoezicht maakt een grote inbreuk op de privacy van klanten en werknemers en daarom moet IKEA aan een aantal voorwaarden voldoen voor het plaatsen van camera’s. IKEA legt uit dat de winkels zijn voorzien van camera’s voor de veiligheid van zijn klanten en werknemers en om winkeldiefstal tegen te gaan. Dit is een gerechtvaardigd belang om camera’s te plaatsen. De meubelgigant bewaart de beelden vier weken, tenzij de beelden nodig zijn voor bijvoorbeeld een politieonderzoek. Ook dit is netjes volgens de richtlijnen.
Denken aan de kleintjes
Iedereen die IKEA heeft bezocht, is wel bekend met Småland. Het speelparadijs met de befaamde ballenbak, waar je je kinderen kunt achterlaten terwijl jij door de winkel rondneust. Er wordt misschien niet zo snel aan gedacht, maar ook hierbij spelen privacyvraagstukken een rol. Ouders die hun kinderen achterlaten worden om contactgegevens en enkele gegevens van hun kind gevraagd. Daarnaast wordt een foto gemaakt van de ouders met het kind, zodat kan worden gecontroleerd of een kind door de juiste persoon wordt opgepikt.
Onder de AVG gelden specifieke regels voor het verwerken van persoonsgegevens van kinderen. IKEA houdt hier rekening mee door expliciet toestemming te vragen voor het maken van de foto. Het is verder in het belang van het kind dat hij/zij door de juiste persoon wordt opgepikt, waardoor het maken van een foto gerechtvaardigd is. De foto’s worden na één dag verwijderd.
IKEA Family-account
IKEA hanteert een klantenkaartsysteem: IKEA Family. Om lid te worden vul je enkele contactgegevens in. Daarnaast worden ook gegevens gevraagd “om jou beter te leren kennen en persoonlijke aanbiedingen te kunnen doen.” Als voorbeeld noemt IKEA vragen over de omvang van het gezin, hoe je huis eruitziet en welk deel van het huis moet worden opgeknapt. Deze gegevens kunnen veel vertellen over iemands privéleven. Het is daarom belangrijk dat er zorgvuldig mee wordt omgegaan.
In zijn privacy policy geeft IKEA aan dat van IKEA Family-leden de gegevens van aankopen, het gebruik van ontwerptools, correspondentie met de klantenservice en deelname aan evenementen wordt bewaard, zolang een persoon lid is. Het bedrijf biedt een optie om je uit te schrijven als IKEA Family-lid, waarna al je accountgegevens worden verwijderd. Daarnaast zal een IKEA Family-account dat vijf jaar niet meer wordt gebruikt automatisch worden verwijderd.
De gegevens die IKEA aan elkaar koppelt, worden geanalyseerd om “beter inzicht te krijgen in de wensen van klanten en daarmee de winkelervaring bij IKEA te verbeteren.” Wat hier precies mee wordt bedoeld is niet helemaal duidelijk. Er wordt slechts aangegeven dat het hierbij gaat “om het verkrijgen van een algemeen beeld.”
Ten slotte kun je nog aangeven of je elektronisch berichten, bijvoorbeeld per mail of sociale media, wilt ontvangen voor commerciële doeleinden. Hier geeft IKEA wel duidelijke voorbeelden. Het gaat bijvoorbeeld om persoonlijke aanbiedingen voor klanten en het informeren over nieuwe producten.
Verdere verwerking gegevens
In een gestructureerd overzicht laat IKEA zien hoe de verdere verwerking van gegevens is opgebouwd. Het koppelt zowel surfgedrag op de website, aankoopgegevens, als gegevens over deelgenomen acties of evenementen aan een online IKEA-profiel of voor leden aan het IKEA Family-account.
Daarnaast ontvangt IKEA niet-herleidbare demografische informatie van een derde partij om de profielen van klanten aan te vullen. Het is niet helemaal duidelijk wat hiermee wordt bedoeld en ook wordt niet duidelijk om welke derde partij het gaat. Het doel hierbij is om meer inzicht te krijgen in mogelijke interesses van klanten en de communicatie hierop aan te passen.
IKEA geeft duidelijk aan onder welke rechtsgrond het gegevens van klanten verwerkt. Denk aan: noodzakelijk voor de uitvoering van een overeenkomst en expliciete toestemming. Verder deelt IKEA indien noodzakelijk gegevens met externe partijen. Het gaat dan om de uitvoering van bepaalde diensten. IKEA verzekert hierbij dat het bedrijf nooit persoonsgegevens zal doorverkopen en er op toeziet dat dat de externe partijen dit ook niet doen.
IKEA zet verder in zijn cookiebeleid eerst helder uiteen waarvoor cookies dienen en welke typen cookies worden gebruikt. Vervolgens wordt een volledig overzicht geboden van alle cookies waarvan het bedrijf gebruikmaakt. Dit is op grond van de cookiewetgeving niet verplicht, maar geeft klanten wel meer transparantie. Daarnaast wijst IKEA klanten erop dat cookies ook kunnen worden uitgezet of verwijderd. Verder bestaat de optie om met de cookie-manager de instellingen per type cookie aan te passen.
Conclusie
IKEA lijkt met zijn vernieuwde privacybeleid klaar voor de invoering van de AVG. Het is geschreven in heldere en begrijpelijke taal, waarbij concrete voorbeelden worden gebruikt. Waar nodig houdt IKEA rekening met aanvullende regelgeving of specifieke grondslagen. Al met al lijkt er dus weinig op dit beleid aan te merken.