Persoonsgegevens-audit: mag je tracking wat hij doet?
De gewone audit kijkt of je tracking werkt. Deze kijkt of het mag. We lichten consent, server-side en offline tracking en geautomatiseerde beslissingen door, samen met een privacyjurist.
Wanneer
Wanneer je dit nodig hebt
- Je stuurt klant- of leadgegevens terug naar Google of Meta, via enhanced conversions, de Conversions API of offline conversies.
- Je gebruikt server-side tagging: je tracking loopt via je eigen server in plaats van direct in de browser.
- Een systeem of AI beoordeelt leads of klanten zonder dat er een mens naar kijkt.
- Je functionaris gegevensbescherming (FG), je jurist of een toezichthouder stelt vragen over je marketingdata.
Voor scale-ups en corporates. Voor het mkb is de consentcheck in de gewone audit meestal genoeg.
Vergelijking
Audit of persoonsgegevens-audit?
| Onderdeel | Audit | Persoonsgegevens-audit |
|---|---|---|
| Vraag | AuditWerkt mijn marketing en wat levert repareren op? | Persoonsgegevens-auditMag wat mijn tracking doet? |
| Toestemming | AuditBasischeck: gaan er tags af vóór toestemming? | Persoonsgegevens-auditDe hele keten: web, server-side, offline, verwerkers en bewaartermijnen. |
| Aan tafel | AuditMarketing en directie. | Persoonsgegevens-auditMarketing, legal en je FG samen. |
| Oplevering | AuditRapport, faseplaatsing, volgorde van de stappen en een rekensom per kans. | Persoonsgegevens-auditBevindingen met opties en risico, en input voor je DPIA. |
| Duur | Audit2 tot 6 weken. | Persoonsgegevens-audit2 tot 4 weken. |
| Los te boeken | AuditJa, dit is het startpunt. | Persoonsgegevens-auditJa, ook zonder de audit. |
Doorlichting
Wat we doorlichten
Wat we het vaakst zien: de cookiebanner werkt op de site, maar de server-side container en de offline upload sturen gewoon door.
- De koppeling tussen je cookiebanner en web-, server-side en offline tracking.
- Welke gegevens bij welke consentkeuze naar welk platform gaan.
- Persoonsgegevens in je datalayer, analytics en advertentieaccounts.
- Verwerkersovereenkomsten en bewaartermijnen.
- Geautomatiseerde beslissingen, en waar menselijke controle zit.
Oplevering
Wat je krijgt
We adviseren alleen opties die binnen de wet vallen. Binnen die ruimte zijn er vaak meerdere keuzes, met elk een ander risico en een ander effect op je campagnes. Die zetten we naast elkaar; met je jurist of FG kies je.
- Per bevinding hoe het hoort te staan.
- De opties die binnen de wet vallen, met per optie het risico en wat het met je campagnes doet.
- Ons advies per bevinding.
- Input voor je DPIA (de risicobeoordeling die de AVG vraagt bij verwerkingen met een hoog risico) en je verwerkingsregister.
Proces
Zo verloopt het
Stap
01
Intake
We spreken door hoe je data stroomt en wie er bij legal of privacy meekijkt.
Stap
02
Toegang
We krijgen leestoegang tot je cookiebanner, tag manager en server-side container.
Stap
03
Doorlichting
We volgen per consentkeuze welke gegevens naar welk platform gaan.
Stap
04
Juridische toets
De privacyjurist toetst de bevindingen en de opties.
Stap
05
Rapport en bespreking
We bespreken de bevindingen met marketing en legal samen.
Wat je aanlevert
- Toegang tot je cookiebanner (het consentplatform), tag manager en server-side container.
- Je verwerkersovereenkomsten.
- Een contactpersoon bij legal, of je FG.
Wie
Wie het doet
Een marketing engineer die de techniek kent, samen met een privacyjurist voor de juridische toets. Heb je een eigen jurist, dan werken we met die.
FAQ
Veelgestelde vragen over de persoonsgegevens-audit
Twijfel je of je tracking mag wat hij doet?
Dertig minuten, vertrouwelijk. Jij vertelt hoe je data stroomt, wij vertellen wat we zouden doorlichten.