Waarom de GDPR de beste reden is om nu een DMP te implementeren

De nieuwe wetgeving is de perfecte aanleiding om aan de slag te gaan met een data management platform (DMP). Een DMP kan je namelijk helpen een van de belangrijkste speerpunten van de GDPR (intern) te stroomlijnen.

Om die beruchte zin uit het Koningslied nog maar eens aan te halen: ‘de dag die je wist die zou komen’ is nog een maar een paar weken van ons verwijderd. Vanaf 25 mei 2018 zal de nieuwe Algemene Verordening Gegevensbescherming (AVG/GDPR) actief gehandhaafd worden. Inclusief bijbehorende boetes voor bedrijven die hun data-zaken niet op orde hebben.

Dit is niet het zoveelste betoog dat het nu echt tijd wordt om te beginnen. En ook niet het zoveelste betoog over dat de nieuwe wetgeving een zegen is voor je relatie met je klant, dan wel voor de ‘journey’ van diezelfde klant. Dit gaat over de kansen van een DMP.

Nederland is er nog niet klaar voor

Er is nog een hoop onduidelijk over de GDPR. Waar het regelmatig gaat over de vaagheid van de wetgeving op het vlak van de mate van toestemming die nodig, is nuancering ook op zijn plek. De wetgeving is geen revolutie, het is eerder een evolutie van bestaande wetgeving. Ja, de voorwaarden voor instemming met dataverwerking zijn gewijzigd, maar die instemming was altijd al nodig. Betere afstemming (en afspraken) tussen dataverwerkers en consumenten wordt nog te vaak gezien als een tijdelijke oplossing om aan de GDPR te voldoen. Dit terwijl een betere afstemming tussen de interesses van je publiek, en weten of ze met betrekking tot die interesses wel of niet ontvankelijk zijn voor jouw boodschap, op de langere termijn voor iedereen gunstig is.

Het mag overigens duidelijk zijn dat de markt nog niet klaar is voor 25 mei. Eind vorig jaar bleek uit een peiling van de DDMA, de Nederlandse brancheorganisatie voor marketing en data, onder 75 bedrijven dat slechts 36% van de ondervraagden qua voorbereidingen op de wetgeving op schema ligt. Iets minder dan de helft maakt plannen om te beginnen en de rest heeft nog helemaal geen voorbereidingen getroffen. Een gebrek aan capaciteit (33%), tijd (25%) en kennis (10%) worden als belangrijkste oorzaken genoemd.

Een recenter onderzoek van EY, de Global Forensic Data Analytics Survey, laat hetzelfde beeld zien. EY bevroeg 745 bestuurders van internationaal opererende organisaties uit 19 landen, waaronder Nederland. Van hen geeft 78% aan zich in toenemende mate zorgen te maken over compliance op het gebied van gegevensbescherming. Ruim een op de drie Nederlandse bedrijven (37%) heeft nog geen idee hoe aan de nieuwe privacywetgeving moet worden voldaan. Op de vraag hoe bedrijven zich voorbereiden op de GDPR antwoordt 63% met “we hebben een plan”.

Technologie en kennis als knelpunt

Uit beide onderzoeken komen technologie en kennis als de grootste obstakels naar voren. Volgens DDMA gaan de meeste zorgen bij organisaties over gegevens uit oude systemen (legacy data), een proces inrichten om toestemming te vragen voor het gebruik van data en het trainen van medewerkers.

Het onderzoek van EY laat zien dat slechts 5% van de Nederlandse respondenten van mening is dat zijn of haar organisatie over de juiste technische infrastructuur beschikt en slechts 15% denkt op het gebied van data-analyse voldoende kennis in huis te hebben.

Juist op het gebied van de hierboven beschreven knelpunten kan de implementatie van een DMP een belangrijke oplossing zijn om vanaf 25 mei GDPR-compliant te zijn. Voor de volledigheid zet ik eerst de hoofdpunten van de GDPR in relatie tot dit verhaal op een rij.

Inzicht en zeggenschap

De essentie is simpel. De consument moet inzicht en zeggenschap krijgen in de opslag en het gebruik van zijn of haar data door bedrijven. Consumenten moeten straks expliciet toestemming geven per data-element en per gebruiksdoel. Dat uit zich op drie hoofdpunten:

1. Recht op vergetelheid
   Met het recht op verzet kon de consument zich al afmelden voor je marketinguitingen. Met het recht om vergeten te worden kan er ook een verzoek voor verwijdering van persoonlijke gegevens gedaan worden. Bijvoorbeeld in het geval dat de organisatie de persoonsgegevens niet meer nodig heeft voor de doeleinden waarvoor de organisatie ze heeft verzameld of waarvoor de organisatie ze verwerkt, als er sprake is van onrechtmatige verwerking of als er bezwaar tegen verwerking wordt aangetekend. 
2. Recht op dataportabiliteit
   Dit is een nieuw onderdeel dat niet terugkomt in bestaande wetgeving. Het stelt mensen in staat (een deel van) hun gegevens op te vragen bij een organisatie om die gegevens vervolgens naar een andere organisatie te laten sturen of de data zelf te ontvangen in een ‘gangbaar bestandsformaat’. Het doel hiervan is om het een consument makkelijker te maken als hij of zij bijvoorbeeld wil overstappen van de ene aanbieder naar een andere. 
3. Recht op inzage, rectificatie en aanvulling
   Onder de huidige wetgeving ben je als verantwoordelijke al verplicht om informatie te verstrekken over de manier waarop je persoonsgegevens verwerkt en voor welke doeleinden, bijvoorbeeld via een privacy statement. Onder de GDPR ben je verplicht om uitgebreider te informeren, ook over nieuwe rechten zoals onder andere de bewaartermijnen van de gegevens, het recht om gegevens in te zien, te laten aanpassen, aan te vullen of te verwijderen. Daarnaast is er het recht om bezwaar te maken tegen en het beperken van de verwerking van gegevens, de mogelijkheid om toestemming op ieder moment in te trekken en de herkomst van de gegevens toe te lichten, wanneer deze niet direct door de betrokken zijn ingevuld en/of achtergelaten.

En hier zit voor veel organisaties de crux. Al die data die we jarenlang opgeslagen hebben zit in verschillende systemen. De organisatorische uitdaging zit dus vooral in de vraag hoe je ervoor zorgt je dat de consument zijn gegevens kan inzien, aanpassen, verwijderen of verplaatsen. En hoe je erachter komt waar je in het verleden allemaal data hebt opgeslagen.

Op dit vlak zijn er drie concrete uitdagingen:

1. Transparantie bieden in welke data is verzameld en waarvoor.
2. Gebruikers in staat stellen deze data aan te passen of te verwijderen.
3. Gebruikers in staat stellen data te verplaatsen naar een andere omgeving (dataportabiliteit).

De rol van een data management platform

DMP’s hebben de afgelopen jaren terreinwinst geboekt binnen digitale marketing, zowel aan de kant van de publisher als aan de kant van de adverteerder. Voornamelijk op het vlak van het vinden van high-value en look-a-like audiences voor digitale marketeers. Een DMP aggregeert data vanuit verschillende bronnen omtrent een klantprofiel, organiseert en visualiseert die data en managet en activeert die data in realtime, hoewel dat laatste nog niet in alle gevallen geldt. Een DMP is dus eigenlijk een overkoepelende data-laag bestaande uit de optelsom van meetbaar klantgedrag in relatie tot je merk of product om gerichter te communiceren naar een individuele klant of iemand die daarop lijkt. De geijkte doelstelling: communiceren met de klant op het juiste moment via het juiste verhaal. Dat verhaal kennen we.

In het bundelen van al die kanalen zijn DMP’s van wezenlijk belang, zeker bij de inzet van paid media. Dat is namelijk waar wat mij betreft de waarde van een DMP ligt op de langere termijn. De huidige tegenstelling met betrekking tot controle tussen owned en paid media klopt namelijk niet. DMP’s kunnen merken op termijn meer inzicht in en controle over paid media gaan geven doordat paid media door middel van een DMP via hetzelfde systeem kunnen lopen als owned media. DMP’s gaan voor een belangrijk deel over het verkrijgen van third-party data. Met een DMP kun je bijvoorbeeld owned kanalen koppelen aan display advertisingkanalen: iemand is twee weken niet op je website geweest; toon hem of haar een advertentie via Adwords, geen interactie op een aanbiedingsmail; toon dezelfde aanbieding op Facebook. Een DMP kan al die data bewaren, verwerken en inzetten. Dat maakt het voor partijen met een flinke mediaspend veel transparanter waar ze hun geld aan uitgeven dan uitsluitend te vertrouwen op de rapportages van een mediabureau. Die bureau’s kunnen in de toekomst aan de slag met de tools en de effectieve besteding van budget, maar je houdt zelf de regie over de rapportage omdat je meer inzicht hebt in de opgedane inzichten, bijvoorbeeld op het vlak van segmentatie.

Het loont om op dit vlak meer eigen technologie – ik noem het een marketingtechstack – in te zetten. Dit geeft je meer grip en controle omdat je de effectiviteit van je inspanningen kunt toetsen aan de hand van eigen rapportages doordat je owned en paid kanalen samenbrengt in één systeem. Een data management platform is hiervoor een hele concrete eerste stap.

Een dergelijke stip op de horizon is natuurlijk een mooi toekomstbeeld, maar het levert je niets op als er vanaf 25 mei boetes boven je hoofd hangen.

DMP’s en de GDPR

Het bundelen van data uit al je kanalen maken DMP’s interessant voor commerciële doeleinden, maar precies die eigenschap zorgt ervoor dat je via een DMP een data-infrastructuur kunt bouwen waarmee je ook op 25 mei aan (dat onderdeel) van de wetgeving voldoet.

De data die je inzichtelijk moet maken is vaak verspreid over de verschillende datasilo’s die je marketingtools vormen: CRM, een e-mailmarketingtool, een e-commerceplatform, het ERP-systeem. Alle tools waarmee je de afgelopen jaren persoonsgegevens hebt verwerkt. En die bovendien niet of nauwelijk ‘praten’ met elkaar; de welbekende datasilo’s.  

De rol van een DMP in relatie tot de GDPR is die van gatekeeper. Een DMP stelt je in staat data vanuit verschillende bronnen te ontsluiten, zoals de tags die je gebruikt om online gedrag van bezoekers/klanten te tracken, first party data als naam, e-mail en aankoophistorie vanuit CRM-systemen (die eerst geanonimiseerd wordt), ad pixels van advertentieplatformen en aangekochte third-party audience segmenten.

Een DMP legt voor die individuele data een ‘datapad’ aan; inzicht in hoe de data die je wilt gebruiken zich over je platform beweegt; van de bron naar een actie. DMP’s bieden daarnaast de mogelijkheid tot een geïntegreerd systeem dat informatie opslaat over hoe en waar de data is verzameld en onder welke toestemmings voorwaarden. Deze data over de data wordt gekoppeld aan het datapad en zo ontstaat meer duidelijkheid over hoe je aan bepaalde komt en wat je ermee kan. Zo krijg je een veel beter inzicht in het proces van datacollectie tot data-activatie.

Een DMP biedt dus meer inzicht over waar er actie vereist is wanneer een consument gebruik maakt van zijn recht op inzicht, aanpassing en verwijdering van data. De bron waar de aanpassing plaats moet vinden is makkelijker en sneller te herleiden. Bijkomend voordeel is de op termijn hogere zuiverheid van je data: stel dat iemand aangeeft dat zijn woonplaats niet klopt en je past in het bronsysteem dat datapunt aan. Met de volgende import zal het dan aangepast zijn in de DMP en kan iemand ineens op basis van die data in een ander segment vallen.

De rol van een DMP als gatekeeper geeft je dus voor inzicht in welke data verwerkt wordt, wie er toegang toe heeft (bijvoorbeeld ook externe partijen waar je mee samenwerkt), hoe en waar de data is opgeslagen en wat er wanneer en met wie gedeeld wordt.

Dan rest het nieuwe recht op dataportabiliteit. Bedrijven moeten ervoor zorgen dat persoonsgegevens in een ‘gestructureerd, veelgebruikt en machine-leesbaar formaat’ geëxporteerd kunnen worden. Dat kan natuurlijk op verschillende manieren geïnterpreteerd worden. De data die je met een DMP ontsluit kunnen geëxporteerd worden om ze als download aan te bieden. Daarmee voldoe je op individueel niveau aan het recht op dataportabiliteit.

Een DMP biedt je echter ook de handvatten om een API te bouwen waarmee grotere batches aan data makkelijker ‘transporteerbaar’ zijn. Dat haakt direct in bij de nieuwe wetgeving omtrent  de dataportabiliteit van systeem naar systeem. Dit is met name relevant voor bedrijven die er vanuit mogen gaan veel met elkaar te maken te krijgen; banken, telecomproviders, verzekeringen.

Compliant zijn en voorsorteren op de toekomst

Uiteindelijk draait het zowel voor de consument als de marketeer om controle. De wetgeving stelt de consument in staat meer controle terug te nemen. Dat was nodig na een paar jaar vrij spel voor, in sommige gevallen, data-doorgedraaide marketeers in plaats van data-gedreven marketeers.

Een DMP geeft de marketingorganisatie meer controle. Enerzijds over de data waarover men kan beschikken en waarvan je klant je heeft laten weten dat je die mag gebruiken. Anderzijds op de middel- tot langere termijn met betrekking tot het verbeteren van de performance van je advertising door meer inzicht in de effectiviteit van wat je doet en meer controle over hoe je het doet. Een DMP maakt het samenbrengen van bestaande databases, platformen en tools een stuk makkelijker. Door het samenbrengen van die datastromen uit verschillende bronnen leer je sneller en ben je dus ook in staat sneller te optimaliseren.

Natuurlijk is een boete voorkomen een slechte reden om een DMP aan te schaffen. Het is echter wel een hele concrete aanleiding om met betere marketingtechnologie aan de slag te gaan. Kiezen voor een platform geeft je als bedrijf veel sneller een eenvoudig de mogelijkheid om controle te nemen over de data. Investeren in compliance op de korte termijn en een hogere roi op je marketinginspanningen op de lange termijn. Dat is een win-win.