Ongeveer een jaar is Picnic bezig geweest zich voor te bereiden op de nieuwe wetgeving. In die tijd heeft het bedrijf de 88 pagina’s aan Europese wetgeving teruggebracht tot zeven keuzes, die straks te vinden zijn op een aparte pagina in de app.

Foto ANP/Beeldbewerking NRC

Data in ruil voor ingevuld winkelmandje

Nieuwe privacywet Bij onlinesupermarkt Picnic bepaalt de klant straks welke data hij deelt. „Met honderd opties weet ik zeker dat je niet alles bekijkt.”

Veel huishoudens doen elke week min of meer dezelfde boodschappen. Brood, kaas, appels, tomaten, melk. In de winkel zou je dan je wagentje op zaterdagochtend via een vaste route langs de schappen duwen en de producten een voor een inladen. Bij onlinesupermarkt Picnic kun je ze allemaal in één keer in je mand gooien.

Het is een van de meest gebruikte functies uit de mobiele applicatie van Picnic, zegt medeoprichter Joris Beckers. „Je krijgt dan een lijstje te zien met je vaste boodschappen, waardoor je veel sneller kunt winkelen.” Om klanten die mogelijkheid te bieden, moet de boodschappenbezorger dus onthouden welke producten zij vorige keren hebben besteld.

Vanaf volgende week vrijdag, als de nieuwe Europese privacyregels in werking treden, moet Picnic klanten daarvoor eerst om toestemming vragen. Ook moet het bedrijf gebruikers duidelijk uitleggen waarom het die data precies nodig heeft. Op het overtreden van die nieuwe wet staan heel hoge boetes, die kunnen oplopen tot 4 procent van de jaaromzet (in het geval van Picnic ongeveer 4 miljoen euro).

Ongeveer een jaar is Picnic bezig geweest zich voor te bereiden op de nieuwe wetgeving, zegt Beckers. In die tijd heeft het bedrijf de 88 pagina’s aan Europese wetgeving teruggebracht tot zeven keuzes, die straks te vinden zijn op een aparte pagina in de app. „Daar kunnen klanten heel genuanceerd aangeven wat ze willen”, aldus de medeoprichter.

Een van de opties is bijvoorbeeld dat Picnic klanten op de hoogte houdt van de bezorging. In de app kunnen ze dan precies zien waar de bezorger is en hoe lang het nog duurt voor ze hun boodschappen in huis hebben. Zet een klant die mogelijkheid uit, dan ziet hij meteen de consequenties. „Je ontvangt geen bericht als we onderweg zijn”, verschijnt dan in rode letters op de app.

Wie niet wil dat Picnic zijn oude bestellingen bewaart, krijgt dus geen kant-en-klare winkelmandjes meer. En ook geen persoonlijke aanbiedingen voor de koffiekoekjes of frisdrank die hij elke week bestelt.

Voldoet Picnic daarmee aan de nieuwe privacyregels? Beckers denkt van wel, maar helemaal zeker weet hij het niet. Zijn bedrijf heeft ervoor gekozen om ook te handelen „naar de gedachte van de wet”, zegt hij. „Wij zijn bij de klant begonnen. Met de vraag wat de wetgever nu precies met deze regels wil bereiken. En dat is dat klanten meer controle krijgen over hun data.”

Interpretaties

Beckers en zijn team hadden ook een scherm kunnen maken waar klanten voor elke regel met informatie die wordt opgeslagen toestemming moeten verlenen. Maar dan eindig je met een pagina met vijftig tot honderd vinkjes onder elkaar. „Dat is voor de klant niet te behappen.”

„De uitdaging is om een balans te vinden. Je wilt klanten zo veel mogelijk controle geven, maar het moet ook bruikbaar blijven. Als ik je honderd opties geef, weet ik zeker dat je ze niet allemaal bekijkt. Dan geef ik jou liever vijf échte keuzes.”

Diezelfde gedachte gebruikt Picnic ook bij de mogelijkheid om op te vragen wat een bedrijf precies van je weet, een ander onderdeel van de nieuwe regels. Elke keer als een klant een privacyvoorkeur aanpast, moet het bedrijf die opslaan. Maar zit een klant te wachten op een uitgebreide tabel met alle wijzigingen die hij heeft doorgevoerd? Beckers denkt van niet. Picnic gaat klanten die zo’n aanvraag doen daarom een soort samenvatting meesturen.

Om te zien of die interpretatie juridisch klopt, heeft Picnic alle veranderingen voorgelegd aan een groep advocaten en privacyspecialisten. „Want wat is ‘toestemming’? Wat is ‘gemakkelijk’? Iedereen is op zoek naar een goede interpretatie van de regels. Al pratende hebben we bedacht dat de wetgever het ongeveer zo moet bedoelen.”

De kans is dan ook groot dat andere bedrijven de regels net weer iets anders hebben begrepen, zegt Beckers. „We zijn allemaal begonnen met dezelfde regels, en vrijwel alle bedrijven zullen hun best hebben gedaan. Toch komen we straks allemaal ergens anders uit. Leg over drie weken onze app naast die van Jumbo en Albert Heijn en ik durf te wedden dat je bij elke app iets anders ziet.”

Het zou de medeoprichter van Picnic dan ook verbazen als de toezichthouder, de Autoriteit Persoonsgegevens, volgende week vrijdag meteen begint met optreden. Ja, bij de „flagrante overtreders” misschien, maar niet bij al die bedrijven die met de beste intenties hebben geprobeerd de regels te begrijpen. „Dat lijkt me helemaal niet zinvol.”

Beckers ziet de 25ste dan ook niet als het einde van een proces. Het begrijpen van de wet, hoe de regels precies geïnterpreteerd mogen worden, begint dan pas, zegt hij. „Er is nu nog een groot grijs gebied, waar niemand helemaal klaar voor is. Dat moet steeds een beetje kleiner worden.”

    • Joost Pijpker