Acquisitie zonder spam: welke kanalen en regels gelden?

Acquisitie zonder spam: eerst de spelregels, dan de kanalen

Acquisitie via e-mail, sms, app of telefoon valt in Nederland onder twee wettelijke kaders naast elkaar. De Algemene verordening gegevensbescherming (AVG) stelt algemene regels voor het verwerken van persoonsgegevens en gaat onder meer over reclamepost. De Telecommunicatiewet bevat de specifieke regels voor digitale direct marketing (e-mail, sms en app) en telemarketing. De Autoriteit Persoonsgegevens (AP) ziet toe op naleving van de AVG; de Uitvoeringswet AVG (UAVG) vult de AVG aan waar lidstaten ruimte krijgen.

Kern van de Telecommunicatiewet is het spamverbod in artikel 11.7: digitale direct marketing mag alleen met voorafgaande toestemming van de ontvanger. Eén uitzondering geldt: bestaande klanten benaderen met aanbiedingen voor uw eigen, soortgelijke producten. De regels beschermen mensen en organisaties tegen te veel digitale reclame en telemarketing.

De regels zijn niet vrijblijvend. Op grond van artikel 83 AVG kan de AP boetes opleggen tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet; voor overtredingen van onder meer de meldplicht datalekken geldt een maximum van 10 miljoen euro of 2 procent. Een klacht kan iemands eigen persoonsgegevens betreffen; de AP verwacht dat de klager eerst zelf contact opneemt met de betrokken organisatie om een oplossing te zoeken.

Eisen aan toestemming: actief, geïnformeerd en vooraf vastgelegd

Zoals in de inleiding: digitale direct marketing mag alleen met voorafgaande toestemming, tenzij de smalle bestaande-klantenuitzondering geldt. Zonder toestemming mag u de boodschap niet versturen.

De AVG stelt eisen aan toestemming: mensen geven die actief en op basis van begrijpelijke informatie. Toestemming is een van de zes grondslagen uit artikel 6 AVG. Kiest u die grondslag, leg hem dan vooraf vast; achteraf overstappen omdat de eerste grondslag niet houdbaar blijkt, is niet toegestaan.

Vergelijking van kanalen: toestemming en uitzonderingen

E-mail en nieuwsbrief: opt-in, check-out en afmeldlink

Voor nieuwsbrief- en e-mailacquisitie bouwt u een lijst op via een duidelijk inschrijfformulier op uw website, waar klanten en potentiële klanten zich actief aanmelden. Bij de check-out van een bestelling mag u ook een aanmelding aanbieden, maar het vakje mag niet standaard aangevinkt staan: de AVG verplicht u om ook in standaardinstellingen van producten en diensten niet meer persoonsgegevens te verwerken dan nodig (privacy by default). Een vooraf aangevinkt vakje levert dus geen geldige, actief gegeven toestemming op.

Gebruikt u de bestaande-klantenuitzondering, respecteer dan ook het verzetrecht.

In elke mailing hoort een afmeldmogelijkheid. De AP noemt een afmeldlink als voorbeeld en eist dat mensen gratis en makkelijk verzet kunnen aantekenen. Die kans moet u niet één keer geven, maar bij het verkrijgen van de gegevens én bij iedere verzending van digitale direct marketing.

Een vast verzendmoment, bijvoorbeeld wekelijks op een vast moment, helpt om de verwachting van ontvangers te managen; aan de toestemmings- en afmeldeisen verandert dat niets.

Voordelen en risico’s van de bestaande-klantenuitzondering

Stappenplan voor veilige e-mailacquisitie

Sms en app-berichten: hetzelfde spamverbod, dezelfde toestemming

Volgens de AP valt onder digitale direct marketing naast e-mail en nieuwsbrieven ook sms en app-berichten. Daarom gelden voor sms en app hetzelfde toestemmingskader en dezelfde smalle uitzondering als in de inleiding. Voor andere aanbiedingen en voor ontvangers die geen bestaande klant zijn, blijft toestemming verplicht.

Het verzetrecht geldt ook bij sms en app. Mensen moeten duidelijk en uitdrukkelijk de kans krijgen zich te verzetten, bij het verkrijgen van hun gegevens en bij elke verzending, en dat gratis en makkelijk. Na verzet mag u de betrokkene geen digitale direct marketing meer sturen.

Telemarketing en reclamepost: ander kanaal, andere wettelijke basis

Telemarketing valt onder de specifieke regels van de Telecommunicatiewet, naast de regels voor digitale direct marketing. De AP noemt telemarketing als apart onderdeel van die wet en zegt dat de regels mensen en organisaties beschermen tegen te veel digitale reclame en telemarketing. Wilt u telefonisch acquireren, toets uw werkwijze dan aan de Telecommunicatiewet, niet alleen aan de algemene AVG-regels. De AP-pagina over digitale direct marketing werkt de concrete telemarketingregels niet verder uit; de exacte regels staan in de Telecommunicatiewet.

Reclamepost valt niet onder het spamverbod voor digitale kanalen. Voor klassieke post is de AVG het kader: de AP geeft aan dat de AVG algemene regels over de verwerking van persoonsgegevens bevat en onder meer over reclamepost gaat. U moet dus ook voor een gerichte mailing per post kunnen uitleggen op welke grondslag uit artikel 6 AVG u naam- en adresgegevens verwerkt. De gewone AVG-verplichtingen gelden: niet meer gegevens dan nodig, alleen gebruiken voor het doel waarvoor u ze heeft verkregen, en niet langer bewaren dan nodig.

B2B-acquisitie: toestemming blijft nodig, met twee uitzonderingen

Voor digitale direct marketing aan andere organisaties of bedrijven geldt in beginsel hetzelfde toestemmingsvereiste als in de inleiding. Dat de ontvanger een bedrijf is en geen consument, heft de toestemmingseis niet op.

Op die regel bestaan twee uitzonderingen. De eerste: een bedrijf heeft bewust een e-mailadres voor dit doel gepubliceerd, zoals [email protected]. Dat adres mag u dan voor salesaanbiedingen gebruiken. De tweede: u stuurt digitale direct marketing aan een bedrijf buiten de EER, mits u voldoet aan de voorschriften in dat land voor het versturen van ongevraagde communicatie.

Buiten deze twee gevallen geldt voor B2B hetzelfde als voor B2C: eerst toestemming, en bij elke uiting een gratis en makkelijke manier om verzet aan te tekenen.

Verzet en afmelden: gratis, makkelijk en bij elke uiting

De Telecommunicatiewet geeft mensen het recht om verzet aan te tekenen tegen het gebruik van hun gegevens voor digitale direct marketing. Na verzet mag u hun geen digitale direct marketing meer sturen. Neem een verzet dus op in uw systeem en zorg dat de betrokkene daarna geen digitale direct marketing meer ontvangt.

Mensen moeten duidelijk en uitdrukkelijk de kans krijgen om verzet aan te tekenen. Dat moet op twee momenten: wanneer u hun persoonsgegevens krijgt en iedere keer wanneer u digitale direct marketing verstuurt. Verzet moet bovendien gratis en makkelijk zijn, bijvoorbeeld via een afmeldlink.

Heeft iemand een klacht over zijn eigen persoonsgegevens, dan kan hij die indienen bij de AP. De AP vraagt wel dat de klager eerst zelf contact opneemt met de organisatie om een oplossing te zoeken; gebeurt dat niet, dan wordt de klacht niet behandeld.

AVG-fundament: grondslag, dataminimalisatie en bewaartermijn

Persoonsgegevens mag u alleen verwerken op een van de zes grondslagen uit artikel 6 AVG. Voor acquisitie zijn de meest gebruikte: toestemming van de betrokkene, noodzaak voor de uitvoering van een overeenkomst (bijvoorbeeld adresgegevens om te bezorgen of een offerte op te stellen), een wettelijke verplichting en een gerechtvaardigd belang. Kies de grondslag vooraf en leg die vast; wissel niet achteraf omdat de eerste grondslag niet houdbaar blijkt.

Vraag nooit meer persoonsgegevens dan nodig. Voor een nieuwsbrief heeft u een e-mailadres nodig, geen geboortedatum. Verwerk ook in standaardinstellingen niet meer dan nodig (privacy by default): laat een app niet zonder goede reden de locatie van gebruikers registreren en vink bij de check-out van een webwinkel geen vakjes standaard aan waarmee mensen zich voor mailings opgeven. Ontwerpt u nieuwe producten of diensten, dan moet de bescherming van persoonsgegevens al in de ontwerpfase geregeld zijn (privacy by design).

Gebruik gegevens alleen voor het doel waarvoor u ze heeft gevraagd. Een e-mailadres dat u heeft gevraagd om de factuur te sturen, mag u niet gebruiken om reclame naar die klant te sturen. Bewaar persoonsgegevens niet langer dan nodig; de wet noemt geen vaste termijn, dus bepaal en onderbouw zelf wanneer de gegevens weg moeten.

Gebruikt u cookies of vergelijkbare technieken op uw site om bezoekers voor acquisitie te volgen, dan eist artikel 11.7a van de Telecommunicatiewet daarvoor voorafgaande toestemming. Uitzondering geldt voor functionele cookies en bepaalde analytische cookies met weinig gevolgen voor de privacy.

Praktische checklist voor acquisitie zonder spam

E-mail en nieuwsbrief: actief inschrijfformulier; bij check-out-aanmelding geen standaard aangevinkt vakje; in elke mailing een gratis en makkelijke afmeldlink. Gebruikt u de bestaande-klantenuitzondering, respecteer dan ook het verzetrecht.

Sms en app-berichten: hetzelfde toestemmingskader als in de inleiding; verzetmogelijkheid bij het verkrijgen van de gegevens en bij elke verzending; na verzet geen digitale direct marketing meer.

B2B: in beginsel voorafgaande toestemming; tenzij het adres bewust voor salesaanbiedingen is gepubliceerd of de ontvanger buiten de EER zit en u aan de daar geldende voorschriften voldoet.

Telemarketing: toets uw werkwijze aan de specifieke regels van de Telecommunicatiewet. Reclamepost: kies en leg een grondslag uit artikel 6 AVG vast, beperk de gegevens tot wat nodig is en gebruik ze alleen voor dat doel.

Altijd: één grondslag vooraf vastleggen en niet achteraf wisselen; dataminimalisatie en privacy by default in formulieren en apps; doelbinding respecteren; bewaartermijn bepalen; verzet van een ontvanger correct en gratis verwerken; voor cookies voorafgaande toestemming volgens artikel 11.7a Telecommunicatiewet.

Praktische checklist voor acquisitie zonder spam