Belgický úřad pro ochranu osobních údajů (ADP) si nechal zpracovat studii zabývající se odvětvím zprostředkovatelů osobních údajů a data brokerů, tedy firem zabývajících se sběrem, analýzou a předáváním osobních údajů o spotřebitelích třetím stranám. Studie přichází poté, co v listopadu 2025 ADP uložil společnosti Infobel zabývající se právě takovým zprostředkováním pokutu 40 tisíc eur.
Infobel přeprodával osobní údaje získané od operátora mobilní sítě za účelem marketingu bez souhlasu subjektů osobních údajů. Společnost tvrdila, že souhlas od svých zákazníků získala prostřednictvím obchodních podmínek, které nutně museli přijmout. ADP však tuto argumentaci nepřijmul, jelikož souhlas dle GDPR musí být konkrétně daný, informovaný a jednoznačný. Případ společnosti Infobel není ojedinělý, ADP pokutoval data brokery již několikrát v minulosti.
Hlavním cílem studie bylo vyvinou metodologii, kterou by bylo možné použít pro identifikování společností jako data brokerů. První část této metodologie bylo komplexní definování pojmu „data broker“. Za data brokera se dle studie považují ty obchodní entity, které sbírají osobní údaje z veřejných i neveřejných zdrojů a tyto data zpracovávají a vytvářejí profily subjektů osobních údajů.
Zdroje dat mohou zahrnovat získávání od třetích stran, veřejně přístupné osobní údaje, získávání údajů ze sociálních sítí či koupě osobních údajů. Z těchto dat vytvořené profily často zahrnují analýzu chování subjektu údajů, či osobní údaje jako je jméno a příjmení, adresa, historie nakupování, údaje o vlastnictví nemovitostí nebo finanční situace subjektu. Tyto soubory dat jsou poté přeprodávány především za účelem cílené reklamy, ověřování totožnosti, odhalování podvodů a optimalizace marketingu.
Dále studie rozdělila data brokery a entity, které provádí obdobné činnosti, do celkem osmi kategorií, které umožní úřadu ADP lépe rozpoznat, jaká rizika mohou společnosti v každé kategorii nést. Určité kategorie jsou dle studie rizikovější než ostatní, především ty, kde jsou osobní údaje v profilu agregovány z několika různých zdrojů, účel zpracování je profilování nebo dochází k předávání osobních údajů mezi různými organizacemi či společnostmi bez dostatečných bezpečnostních opatření.
I když tato studie byla zaměřena specificky na belgický trh, vytvořená metodologie je zamýšlena tak, aby byla použitelná i pro úřady pro ochranu osobních údajů napříč Evropou.