Qmusic start maandag met het spel De Uitverkorene, waarin iemand zonder het te weten een geldbedrag heeft gewonnen. Pas als degene zich in omschrijvingen herkent en zich meldt, krijgt hij of zij 10.000 euro. Maar mag Qmusic mensen zomaar volgen en informatie over hen naar buiten brengen?

In De Uitverkorene wordt gedurende drie weken drie winnaars geselecteerd. Het is iemand die zelf niet weet dat hij of zij heeft gewonnen, maar daar via allerlei hints op de radiozender en socialemediakanalen achter kan komen.

"Onze privédetective is weer het land ingegaan op zoek naar die ene, bijzondere persoon die 10.000 euro rijker is", schrijft Qmusic op zijn website. Daarbij gaat het om iemand die een goede daad heeft verricht.

Via Qmusic wordt op basis van verschillende hints een profielschets opgesteld. Daarin kan de Uitverkorene zich herkennen. Die persoon kan vervolgens een gezichtsscan maken via de Qmusic-app. "In de app kun je een foto van jezelf maken die door de gezichtsscanner wordt gehaald", schrijft de radiozender. "Je krijgt direct te zien hoeveel overeenkomsten jij hebt met de Uitverkorene."

Als de persoon voor meer dan 50 procent met de Uitverkorene overeenkomt, krijgt de deelnemer een melding waaruit blijkt dat hij of zij misschien de winnaar is. Vervolgens gaat Qmusic na of dat daadwerkelijk zo is. De gebruiker krijgt vervolgens binnen 24 uur een reactie met uitsluitsel.

Het is onduidelijk of Qmusic hiermee privacyregels schendt. Een persoon wordt in de gaten gehouden door een privédetective en daarna wordt informatie over de nietsvermoedende deelnemer openbaar gemaakt.

'We doen er alles aan om privacy te waarborgen'

Woordvoerder Jelle Klerx van Qmusic zegt dat de radiozender er alles aan doet om het spel volgens de wet te laten verlopen. "We zijn ons ervan bewust dat de regels rondom privacy heel strikt zijn en we doen er alles aan om de privacy van de Uitverkorene te waarborgen. Dit doen we door samen te werken met een gecertificeerd recherchebureau."

Het gaat om het bureau Strongwood. Op de website van Qmusic staat in de actievoorwaarden dat het bureau privédata van de winnaar opslaat op een manier die voldoet aan de Algemene verordening gegevensbescherming (AVG) en de Wet particuliere beveiligingsorganisaties en recherchebureaus (WPBR).

"Strongwood zal conform zijn vergunning van het ministerie van Veiligheid en Justitie zorg dragen voor de verwijdering van alle privédata, direct nadat de actie is gesloten." Qmusic ontvangt volgens de voorwaarden alleen anonieme gegevens, zodat daarmee hints naar buiten gebracht kunnen worden.

Altijd hints die voor veel mensen kunnen gelden

Op de website van Qmusic is te zien hoe het spel vorig jaar is verlopen. Een privédetective kwam willekeurig op een tijd en plek uit waar de Uitverkorene zou worden geselecteerd. Een actrice liet haar portemonnee vallen en de eerste die hem terugbracht, werd als winnaar geselecteerd.

Met een verborgen camera werd de Uitverkorene gefilmd. Vervolgens werd ze onderweg naar huis gevolgd en gefotografeerd. De zender maakte daarna via hints bekend dat de winnaar in een rijtjeshuis woonde, dat ze een Facebook-account heeft en dat ze in een stad woonde met een club in het betaalde voetbal.

"Er worden hints verzameld waarvan de Uitverkorene zou kunnen denken 'dat ben ik', zonder daar uitsluitsel over te geven", zegt Klerx. "Het zijn altijd hints die voor een flink aantal personen kunnen gelden."

Verwerking van persoonsgegevens

Matthias de Bruyne, jurist bij marketingbranchevereniging DDMA, biedt meer context rondom de privacywetgeving. "De AVG is alleen van toepassing op verwerkingen van persoonsgegevens. Het gaat hier over alle informatie over een identificeerbare persoon."

Identificeerbaar slaat op een persoon die "direct of indirect kan worden geïdentificeerd". Het gaat niet alleen om namen en locatiegegevens, maar ook om de "fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die persoon". Als data herleid kunnen worden tot een individu, dan zijn het al persoonsgegevens, zegt De Bruyne.

Volgens de AVG moeten mensen geïnformeerd worden op het moment dat persoonsgegevens worden vastgelegd. Zij moeten op de hoogte worden gebracht van wat er wordt vastgelegd. Ook moeten ze horen met welk doel dit gebeurt en dat zij inzage kunnen krijgen en bezwaar kunnen maken. Er geldt een uitzondering als degene van wie informatie wordt verzameld al op de hoogte was.

Toestemming na melding

Bij De Uitverkorene wordt om toestemming gevraagd als de winnaar zich meldt. "Ook worden de gegeven hints besproken met de mogelijke winnaar, zodat deze precies weet waar hij of zij toestemming voor geeft", legt Klerx uit. "Zijn of haar voornaam wordt pas na toestemming van de winnaar openbaar gemaakt. En alleen de voornaam."

Het verzamelen van de gegevens gaat volgens Qmusic volgens de wet. "Het selecteren gebeurt via een setting met verborgen camera's, zoals in een tv-programma", zegt Klerx. "Alle hints worden in de openbare ruimte vergaard. Als de Uitverkorene zich niet tijdig meldt of niet akkoord gaat, zullen alle gegevens direct worden vernietigd en is er dus ook geen Uitverkorene."

'Er moet wel een objectief belang zijn'

Internetjurist Arnoud Engelfriet zegt dat er privacytechnisch bezwaar kan zijn tegen deze vorm van gegevens verzamelen, maar kan niet direct zeggen of het wel of niet mag. "Onder de AVG hoeft niet altijd vooraf toestemming gegeven te worden. Maar er moet wel een objectief belang zijn, bijvoorbeeld als je nog geld krijgt van iemand of als je onderzoeksjournalist bent en je iets wil oplossen."

In de praktijk zal Qmusic er volgens Engelfriet "een eind mee wegkomen". "Als het een overtreding zonder schade is, zal het geen groot probleem zijn. Er worden hier grenzen opgezocht en ze proberen wat nieuws te doen. Maar misschien moet de Autoriteit Persoonsgegevens zich er eens over buigen."

Toezichthouder twijfelt aan legaliteit van het spel

De AP start niet direct een onderzoek. "Helaas is de AP een kleine toezichthouder en hebben wij niet de mogelijkheid om alles in de gaten te houden wat langskomt", zegt woordvoerder Pauline Gras.

Wel twijfelt ze aan de legaliteit van het spel. "Ik kan me voorstellen dat de entertainmentwaarde groot is, maar organisaties mogen niet zomaar persoonsgegevens over iemand verzamelen", stelt Gras.

"Je hebt er recht op dat je persoonsgegevens goed beschermd worden. Misschien wil je helemaal niet dat bepaalde informatie openbaar wordt. Zelfs al staat daar een prijs van duizenden euro's tegenover."

"Die organisatie moet hiervoor bovendien ook een grondslag hebben. Op basis van wat ik lees in jouw artikel lijkt dat bij het spel van Qmusic niet het geval."