Inleiding: zeven minuten, een compleet profiel
Een doodgewone zaterdagochtend. Je duwt de winkelwagen voort, je scant bij de ingang je klantenkaart om de persoonlijke aanbiedingen te activeren, je twijfelt drie minuten voor het yoghurtschap, je pakt twee pakken luiers, een doosje paracetamol en een fles wijn. Je rekent af bij de zelfscankassa, betaalt contactloos en slaat de papieren bon af — die komt per e-mail, dat is milieuvriendelijker.
Zeven minuten. En in die zeven minuten heeft de winkelketen geregistreerd: de volledige lijst met tijdstempel van wat je consumeert, de waarschijnlijke aanwezigheid van een baby in huis, een aanwijzing over je gezondheid, je verhouding tot alcohol, het feit dat je alleen en vroeg boodschappen doet, de digitale vingerafdruk van je bankpas, je e-mailadres, en — als de winkel bezoekerssensoren heeft — de exacte duur van je stop bij de versafdeling.
Daar is niets illegaals aan, mits alles netjes is aangekondigd en er toestemming voor is gegeven. Het probleem is dat vrijwel niemand weet wat er wordt verzameld, en al helemaal niet wat er daarna mee gebeurt. De kassabon is tegenwoordig een van de documenten met de meest intieme informatie die een huishouden voortbrengt — veel onthullender dan een browsegeschiedenis.
Deze gids maakt de balans op, zonder doemdenken, en geeft de handelingen die echt werken.
Wat een kassabon over jou vertelt
De boodschappenmand als biografie
Winkelketens spreken van "transactiegegevens". Achter die term gaat een grondstof schuil met een verontrustende precisie. Een aankoopgeschiedenis van twaalf maanden maakt het mogelijk om af te leiden — met een betrouwbaarheid die marketingonderzoekers al sinds de jaren 2000 documenteren:
| Wat je koopt | Wat daaruit wordt afgeleid |
|---|---|
| Luiers, babyhapjes, flesvoeding | Geboorte, leeftijd van het kind tot op de maand nauwkeurig |
| Tests, supplementen, specifieke hygiëneproducten | Gezondheidstoestand, zwangerschap, overgang |
| Glutenvrije, halal, koosjere of veganistische producten | Aandoening, religie, overtuigingen |
| Alcohol, tabak, kraslotten | Risicoprofiel, mogelijke targeting door verzekeraars |
| Totaal volume, huismerken | Inkomensniveau en de ontwikkeling daarvan in de tijd |
| Tijdstippen en bezoekfrequentie | Werkritme, wel of niet samenwonend |
Verschillende van deze categorieën vallen onder de bijzondere persoonsgegevens in de zin van artikel 9 AVG (gezondheid, religie, geaardheid). Winkelketens beweren niet dat ze die als zodanig verwerken — maar een statistische gevolgtrekking komt op hetzelfde neer zonder dat er ooit een vakje wordt aangevinkt.
Het geval van de digitale bon
Sinds augustus 2023 is in Frankrijk het einde van het automatisch printen van kassabonnen ingegaan (de antiverspillingswet voor een circulaire economie, de zogeheten AGEC-wet). Een uitstekende maatregel voor het milieu. Een zelden genoemd neveneffect: het heeft de supermarktbranche een schitterend voorwendsel gegeven om massaal e-mailadressen en telefoonnummers te verzamelen.
Een papieren bon is anoniem als je contant betaalt. Een bon die per e-mail wordt verstuurd is dat nooit: hij koppelt je boodschappenmand aan een vaste identiteit, die herbruikbaar is en binnen een concern doorverkocht kan worden.
Je kunt nog altijd om een papieren bon vragen. De wet verbiedt het systematisch printen, niet het printen op verzoek. Dat is een recht, geen gunst.
De klantenkaart: het meest onevenwichtige contract in je portemonnee
Wat je geeft, wat je terugkrijgt
Het principe is simpel: je staat je volledige consumptiegeschiedenis af in ruil voor kortingen waarvan het werkelijke gemiddelde percentage doorgaans rond de 1 tot 3 % van het mandje ligt. Dat is weinig, afgezet tegen de waarde van een compleet consumentenprofiel op de datamarkt.
Dat betekent niet dat je klantenkaarten moet afzweren. Het betekent dat je moet weten wat je tekent.
De vragen die je moet stellen voordat je je aanmeldt
- Is het programma gedeeld tussen meerdere ketens? Sommige concerns bestrijken levensmiddelen, doe-het-zelf, elektronica, parfumerie en brandstof. Eén kaart, een 360°-beeld van je huishouden.
- Worden de gegevens gedeeld met merken? Levensmiddelenfabrikanten kopen bij distributeurs analyses van boodschappenmandjes. Dat is legaal als het wordt aangekondigd.
- Wat is de bewaartermijn? De CNIL beveelt een beperkte bewaring van loyaliteitsgegevens aan, met verwijdering na een periode van inactiviteit (doorgaans drie jaar). Daarna moet de keten dat rechtvaardigen.
- Is er een koppeling met een betaalkaart of een doorlopend krediet? Dat is het punt waarop de profilering van aard verandert, zoals we al aanstipten in ons artikel over financiële scoring.
De strategie van de gescheiden identiteiten
De effectiefste oplossing is noch volledige weigering, noch blinde aanmelding: het is compartimentering.
- Maak een e-mailadres aan dat uitsluitend voor loyaliteitsprogramma's dient. Het wordt nergens anders voor gebruikt: niet voor de bank, niet voor de overheid, niet voor persoonlijke contacten.
- Gebruik een tweede nummer voor aanmeldingen die dat vereisen — een speciale prepaid simkaart, of een dienst voor sms-verzending zonder registratie wanneer het simpelweg om het valideren van een contactgegeven gaat.
- Vul alleen de strikt verplichte velden in. Exacte geboortedatum, gezinssamenstelling, beroep: die velden zijn bijna altijd optioneel, ook als het formulier het tegendeel suggereert.
- Weiger consequent het vakje "delen met onze partners". Dat is het vakje waardoor je gegevens buiten het bereik van de keten terechtkomen.
Eén simpel principe: één identiteit per gebruik. Eén adres voor de belastingdienst, één voor winkeliers, één voor wegwerpregistraties. Lekt er ooit één, dan houden de andere stand.
Zelfscankassa's: veel meer dan een scanner
De "antidiefstal"-video
Zelfscankassa's zijn uitgerust met camera's. Officieel dienen ze om onverklaarbare voorraadverschillen tegen te gaan — diefstal, in gewoon Nederlands. De CNIL stelt strikte kaders aan dat gebruik: het beeld mag nergens anders voor dienen, de bewaartermijn moet kort zijn (in de meeste gevallen maximaal een maand), en de klant moet zichtbaar worden geïnformeerd.
Sinds enkele jaren duiken geavanceerdere systemen op: geautomatiseerde analyse van bewegingen, detectie van een niet-gescand artikel, vergelijking tussen het verwachte en het gemeten gewicht. Die voorzieningen vormen een algoritmische verwerking van beeldmateriaal, en de CNIL heeft er herhaaldelijk op gewezen dat verrijkte videobewaking niet zomaar overal mag worden ingezet — ze vereist een effectbeoordeling en een solide rechtsgrondslag.
Gezichtsherkenning: wat verboden is
Een belangrijk punt: gezichtsherkenning in winkels, bedoeld om klanten te identificeren of ongewenste personen op te sporen, is in beginsel verboden zonder uitdrukkelijke toestemming. De CNIL heeft ketens beboet die dergelijke systemen hadden getest. De Europese verordening over kunstmatige intelligentie heeft het kader voor biometrische identificatie in publiek toegankelijke ruimten bovendien aangescherpt.
Als een winkel je informeert over een biometrische verwerking, mag je weigeren. Informeert hij je niet, dan is dat op zichzelf al een overtreding.
Gratis wifi en het volgen van je looproute
Zolang de wifi aanstaat, verstuurt je telefoon voortdurend verzoeken die een MAC-adres bevatten. Kastjes in de winkel kunnen passages tellen, stoptijden per schap meten en een looproute reconstrueren. Moderne mobiele besturingssystemen maken dat adres willekeurig, wat het volgen tussen bezoeken sterk beperkt — maar niet altijd binnen één en hetzelfde bezoek.
De nuttige reflex is banaal en gratis: zet wifi en Bluetooth uit voor je naar binnen gaat, of zet je telefoon tijdens het boodschappen doen in vliegtuigmodus. Een pasjeshouder met RFID-blokkering beschermt daarnaast je contactloze kaarten tegen opportunistisch uitlezen in de rij.
Bestelservices en apps: profilering in de volledige versie
Waarom de afhaalservice meer weet dan de winkel
Online boodschappen doen betekent een hogere mate van detail accepteren. De keten weet niet alleen meer wat je koopt, maar ook:
- wat je hebt bekeken zonder te kopen;
- hoelang je op elke productpagina bleef;
- welke vervangende producten je accepteerde of weigerde;
- je exacte bezorgadres, je verdieping, je toegangscode;
- je gps-positie als de app daar toegang toe heeft;
- de reclame-identificatiecode van je telefoon, die je boodschappen koppelt aan je surfgedrag elders.
De instellingen die echt verschil maken
Op zowel Android als iOS beperken drie handelingen het grootste deel van het lek:
- Weiger tracking voor advertenties op systeemniveau ("Vraag app om niet te tracken" op iOS, verwijderen van de reclame-ID op Android).
- Beperk locatietoegang tot minimaal "tijdens gebruik", of zelfs tot "nooit": een boodschappenapp hoeft niet te weten waar je slaapt.
- Gebruik de mobiele website in plaats van de app waar dat kan. Een afgeschermde browser verzamelt veel minder dan een native app, die toegang heeft tot duurzame hardware-identificatoren.
Voor huishoudens die verder willen gaan: een thuisrouter die kan filteren op advertentiedomeinen, of simpelweg een privacyvriendelijke DNS ingesteld op de modem, blokkeert een deel van de datastromen nog voor ze de woning verlaten.
Betalen zonder je hele leven te vertellen
Het betaalmiddel is de spil van de profilering: daarmee kan een boodschappenmandje aan een identiteit worden gekoppeld, zelfs zonder klantenkaart, via de technische vingerafdruk van de bankpas.
| Betaalmiddel | Traceerbaarheid door de keten | Opmerking |
|---|---|---|
| Contant geld | Geen | Het recht om contant te betalen blijft beschermd tot een wettelijk plafond |
| Gewone bankpas | Hoog (vaste identificator) | Te koppelen aan de bon |
| Mobiel betalen (Apple Pay, Google Pay) | Gemiddeld (wisselend token) | Maar het ecosysteem van de telefoon weet meer |
| Prepaidkaart | Laag | Handig voor gevoelige aankopen |
| Cheque | Zeer hoog | Naam, bank, handtekening |
Een paar aankopen per maand contant afrekenen — die rond gezondheid, overtuigingen en het intieme leven — is al genoeg om de continuïteit van een profiel te doorbreken. Dat is geen clandestiniteit, dat is hygiëne. Een compacte portemonnee maakt die handeling minder omslachtig dan hij lijkt.
Je rechten, en hoe je ze werkelijk uitoefent
De AVG is geen Brussels abstractum: toegepast op de supermarktbranche levert ze zeer concrete hefbomen op.
Het recht op inzage
Schrijf naar de functionaris voor gegevensbescherming (DPO) van de keten — zijn contactgegevens staan verplicht in het privacybeleid. Vraag om:
- de volledige bewaarde aankoopgeschiedenis;
- de categorieën afgeleide of afgeleide gegevens (marketingsegmenten, scores);
- de lijst met ontvangers, inclusief partners;
- de toegepaste bewaartermijn.
De keten heeft een maand om te antwoorden, uit te breiden tot drie maanden bij complexiteit. Het resultaat is vaak leerzaam: veel klanten ontdekken dat ze zijn ingedeeld in segmenten met een veelzeggende naam ("prijsbewust groot gezin", "stedelijke biokoper").
Het recht van bezwaar tegen profilering
Je kunt je klantenkaart houden vanwege de prijsvoordelen én bezwaar maken tegen marketingprofilering. Die twee zijn juridisch niet onlosmakelijk verbonden: het weigeren van gepersonaliseerde aanbiedingen mag je niet de algemene kortingen van het programma ontnemen. Beweert de keten het tegendeel, dan is dat een punt om te melden.
Verwijdering en klacht
Het recht op verwijdering geldt bij het opzeggen van het loyaliteitsaccount. Blijft een antwoord na twee maanden uit, dan is de online klacht bij de CNIL gratis, kost hij een minuut of tien en leidt hij tot een echt onderzoek. Uit de jaarverslagen van de CNIL blijkt dat de detailhandel stelselmatig tot de meest aangeklaagde sectoren behoort.
Het dashboard van een week discrete boodschappen
| Situatie | Aan te leren reflex |
|---|---|
| Aanmelden voor een loyaliteitsprogramma | Speciaal e-mailadres, optionele velden leeg laten |
| Vraag om je telefoonnummer aan de kassa | Beleefd weigeren; het nummer is nooit verplicht om te betalen |
| Digitale bon aangeboden | Vraag om de papieren bon, of weiger ze allebei |
| Binnenkomen in de winkel | Wifi en Bluetooth uitgeschakeld |
| Gevoelige aankopen (gezondheid, intimiteit) | Contant, zonder klantenkaart te scannen |
| Afhaalservice of bezorging | Mobiele site in plaats van app, locatie geweigerd |
| Opdringerige reclamepost | Schriftelijk bezwaar bij de DPO, daarna de CNIL bij stilte |
Wil je dieper ingaan op de algemene logica — begrijpen wat een profiel is, hoe het wordt opgebouwd en waarom het zo hardnekkig is — dan bieden de populairwetenschappelijke boeken over de bescherming van persoonsgegevens die de afgelopen jaren zijn verschenen een goede basis, zonder dat technische kennis nodig is.
Conclusie: discretie is geen ontbering
Niets in deze gids vraagt je om aanbiedingen op te geven, meer te betalen of gemaskerd boodschappen te doen. Het gaat om iets anders: het herstellen van wederkerigheid. De keten weet precies wat hij van je krijgt; jij moet precies weten wat je geeft.
Drie handelingen volstaan om het evenwicht te kantelen: identiteiten scheiden, optionele velden weigeren, en een paar aankopen per maand uit het doorlopende profiel halen door contant te betalen. Het kost minder tijd dan een parkeerplek zoeken.
De rest volgt uit een principe dat door al onze gidsen loopt: gegevens die je niet geeft, zullen nooit lekken. Geen enkel privacybeleid, geen enkele belofte van versleuteling, geen enkele duurzaamheidsverklaring weegt op tegen die regel.
