GDPR en e-mailmarketing: een praktische gids voor naleving

Wat de GDPR echt van e-mailmarketeers vraagt

Simpel gezegd: de Algemene verordening gegevensbescherming (Verordening (EU) 2016/679) bevat geen regel die zegt “je hebt toestemming nodig om een e-mail te sturen.” Wat de verordening regelt, zijn de persoonsgegevens achter je e-mailprogramma. Je hebt een rechtmatige grondslag nodig om ze te verwerken, plus transparantie, juistheid, opslagbeperking, beveiliging en bewijs van dat alles. Artikel 5, lid 2 vat het in één zin: de verwerkingsverantwoordelijke “is verantwoordelijk voor de naleving” van de verwerkingsbeginselen “en kan deze aantonen”.

De regel die bepaalt of je op verzenden mag drukken, staat in een ander instrument: de ePrivacyrichtlijn. De meeste artikelen over dit onderwerp gooien die twee op één hoop en komen daardoor op het verkeerde antwoord uit. Ze uit elkaar houden is het hele doel van deze gids.

Dit artikel is praktische begeleiding voor marketeers, geen juridisch advies. Het verwijst naar primaire bronnen zodat je ze kunt nakijken, maar gegevensbeschermingsrecht wordt toegepast door nationale toezichthouders en rechters, nationale implementaties verschillen, en jouw omstandigheden doen ertoe. Voordat je een toestemmingsflow, een bewaartermijn of een internationale doorgifte wijzigt, laat je je adviseren door een gekwalificeerde jurist in jouw rechtsgebied.

GDPR en ePrivacy: twee instrumenten, één verzending

Wat de ePrivacyrichtlijn zegt

Richtlijn 2002/58/EG, de ePrivacyrichtlijn, zoals gewijzigd door Richtlijn 2009/136/EG, bepaalt de verzendregel. Artikel 13, lid 1 staat elektronische post voor direct marketing alleen toe bij abonnees die daarvoor voorafgaande toestemming hebben gegeven. “Elektronische post” is breed en technologieneutraal gedefinieerd: Opinie 5/2004 van de Artikel 29-werkgroep bevestigde dat het zowel e-mailnieuwsbrieven als sms en vergelijkbare opgeslagen berichten omvat. Artikel 13, lid 2 kadert de uitzondering voor bestaande klanten in, en artikel 13, lid 4 verbiedt marketingmail die de identiteit van de afzender verhult of geen “geldig adres” bevat “waarnaar de ontvanger een verzoek tot beëindiging van dergelijke communicatie kan sturen”.

Waarom dat in de praktijk uitmaakt

Toestemming wordt niet gedefinieerd in de ePrivacyrichtlijn. De betekenis komt uit het algemene gegevensbeschermingsrecht: artikel 94, lid 2 van de GDPR bepaalt dat verwijzingen naar de ingetrokken Richtlijn 95/46/EG gelden als verwijzingen naar de GDPR. Dus ePrivacy bepaalt wanneer toestemming nodig is voor het versturen, en de GDPR bepaalt wat als toestemming telt en hoe je die aantoont.

Je kunt daardoor een geldige GDPR-grondslag hebben om een contactrecord te bewaren en te analyseren, en tegelijk geen recht hebben om die persoon te mailen. En omdat ePrivacy een richtlijn is en geen verordening, wordt hij omgezet in nationaal recht, waardoor de details per lidstaat verschillen.

Een grondslag kiezen voor e-mailmarketing

Toestemming

Toestemming op grond van artikel 6, lid 1, onder a is waar de meeste consumentenprogramma’s op leunen, en met reden: als ePrivacy toch al voorafgaande toestemming eist voor de verzending, houd je met toestemming als GDPR-grondslag één verhaal in plaats van twee. De prijs is dat die op elk moment kan worden ingetrokken op grond van artikel 7, lid 3.

Gerechtvaardigd belang

Artikel 6, lid 1, onder f staat verwerking toe die noodzakelijk is voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke, behalve wanneer de belangen of grondrechten van de betrokkene zwaarder wegen. Overweging 47 zegt uitdrukkelijk dat “de verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als een verwerking met een gerechtvaardigd belang”.

Die zin wordt voortdurend aangehaald om te betogen dat toestemming optioneel is. Lees hem zorgvuldig. Hij gaat over de GDPR-grondslag voor verwerking, hij zegt “kan worden”, dus je moet de belangenafweging alsnog uitvoeren en documenteren, en hij zegt niets over de ePrivacyregel voor het versturen. Gerechtvaardigd belang is het best verdedigbaar voor de verwerking rondom je programma, zoals segmentatie, onderdrukking en analyse, en voor zakelijke contacten waar nationale regels zakelijke abonnees anders behandelen. Voor koude consumenten-e-mail in de EU is het een zwakke basis.

De soft opt-in voor bestaande klanten

Artikel 13, lid 2 van de ePrivacyrichtlijn is de echte uitzondering. Wanneer iemand e-mailcontactgegevens van klanten verkrijgt “in het kader van de verkoop van een product of dienst”, mag diezelfde partij die gebruiken om “eigen gelijkaardige producten of diensten” aan te bieden, mits klanten “duidelijk en expliciet de gelegenheid krijgen om kosteloos en op gemakkelijke wijze bezwaar te maken”, zowel bij het verzamelen van de gegevens als in elk volgend bericht.

De Artikel 29-werkgroep stelde dat deze uitzondering “op verschillende manieren beperkt is en restrictief moet worden uitgelegd”. Drie grenzen zijn het onthouden waard:

• Ze geldt alleen voor echte klanten. Iemand die een checkout heeft afgebroken valt er niet onder.
• Alleen dezelfde rechtspersoon die het adres verzamelde mag versturen. Dochterondernemingen en moedermaatschappijen zijn niet hetzelfde bedrijf.
• Alleen soortgelijke producten of diensten tellen, beoordeeld vanuit de redelijke verwachtingen van de ontvanger en niet vanuit de ambities van de afzender.

Hoe de soft opt-in per lidstaat verschilt

Omdat de richtlijn nationaal is omgezet, loopt hetzelfde advies hier echt uiteen per markt.

In Ierland herhaalt Regulation 13(11) van S.I. No. 336/2011 de uitzondering en voegt er een harde termijn aan toe: de verkoop moet hebben plaatsgevonden “niet meer dan 12 maanden vóór het versturen van de direct marketingcommunicatie”, of de gegevens moeten binnen die periode voor marketingmail zijn gebruikt.

In het Verenigd Koninkrijk is regulation 22 van PECR de tegenhanger, en de ICO noemt geen enkele termijn. De ICO omschrijft de soft opt-in als iets voor een bestaande klant “die in het verleden een soortgelijk product of dienst van je heeft gekocht (of daarover heeft onderhandeld)”, en merkt op dat het niet geldt voor potentiële klanten, ingekochte lijsten of niet-commerciële promoties zoals fondsenwerving voor goede doelen en politieke campagnes.

Twee buurmarkten, twee wezenlijk verschillende regels. Ga er nooit van uit dat de versie uit je eigen land meereist.

Wat geldige toestemming werkelijk betekent

Artikel 4, lid 11 definieert toestemming als “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling de hem betreffende verwerking van persoonsgegevens aanvaardt”. De EDPB werkte elk element uit in Richtsnoeren 05/2020 over toestemming, aangenomen op 4 mei 2020.

De vier elementen

• Vrij gegeven. Artikel 7, lid 4 zegt dat “ten zeerste rekening” wordt gehouden met de vraag of een overeenkomst afhankelijk wordt gesteld van toestemming voor verwerking die daarvoor niet noodzakelijk is. Maak marketingtoestemming geen voorwaarde bij de checkout.
• Specifiek. Als verwerking meerdere doeleinden heeft, moet voor alle doeleinden toestemming worden gegeven (overweging 32). Aparte doeleinden vragen aparte keuzes: een nieuwsbriefopt-in is geen toestemming voor sms, en ook niet voor het delen van gegevens met partners.
• Geïnformeerd. Artikel 7, lid 2 vereist dat een toestemmingsverzoek dat in een bredere verklaring is opgenomen “duidelijk te onderscheiden is van de andere aangelegenheden, in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal”.
• Ondubbelzinnig. Er moet een verklaring of een duidelijke actieve handeling zijn.

Wat niet meetelt

Overweging 32 is niet mis te verstaan: “Stilzwijgen, het gebruik van vooraf aangekruiste vakjes of inactiviteit gelden derhalve niet als toestemming.” Een vinkje weggestopt in de voorwaarden telt evenmin, net zomin als één vinkje dat e-mail, sms, profilering en delen met partners tegelijk dekt.

Intrekken

Artikel 7, lid 3 geeft het recht om toestemming te allen tijde in te trekken, vereist dat de persoon daar vooraf over wordt geïnformeerd, en stelt dat “het intrekken van de toestemming even eenvoudig moet zijn als het geven ervan”. Als iemand zich met één klik kan aanmelden, voldoet een afmeldroute met inloggen en een weggestopte instellingenpagina niet aan de norm. Intrekken werkt niet met terugwerkende kracht: verwerking van daarvóór blijft rechtmatig.

Bewijs: wat je moet kunnen aantonen

Artikel 7, lid 1 is kort en dragend: “Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven.” Een kolom met “opt-in: ja” toont niets aan. Een registratie die het moment van toestemming reconstrueert wel.

Wat je bij aanmelding logt

Leg per contact en per doeleinde vast en bewaar:

• Tijdstempel van de toestemmingshandeling, in een stabiele tijdzone.
• Bron en methode: welk formulier, welke pagina-URL, welk kanaal of welke offline gebeurtenis.
• De exacte toestemmingstekst en de versie van de privacyverklaring die werd getoond. Een versieaanduiding die naar gearchiveerde tekst verwijst is praktischer dan de volledige tekst op elke rij opslaan.
• De specifieke doeleinden waarmee is ingestemd, als aparte markeringen in plaats van één boolean.
• Bevestigingsbewijs en tijdstempel als je dubbele opt-in gebruikt.
• IP-adres waar dat in verhouding staat tot het risico. Dat is gangbare praktijk en nuttig bewijs, maar geen wettelijke eis, en het is zelf ook een persoonsgegeven.

Artikel 30 vereist daarnaast van de meeste organisaties een register van verwerkingsactiviteiten: doeleinden, categorieën betrokkenen en gegevens, ontvangers, doorgiften, bewaartermijnen en beveiligingsmaatregelen. De vrijstelling voor organisaties met minder dan 250 medewerkers is smal en vervalt zodra de verwerking waarschijnlijk een risico voor rechten en vrijheden oplevert, niet incidenteel is, of bijzondere categorieën gegevens betreft. Regelmatige marketing naar een klantendatabase is niet incidenteel.

Hoe lang je toestemmingsbewijs bewaart

De GDPR stelt geen vaste termijn. Het werkbare principe is dat bewijs van toestemming langer moet blijven bestaan dan de marketing die het rechtvaardigt, plus de periode waarin realistisch nog een klacht kan worden ingediend. Het record van een abonnee verwijderen en tegelijk een geminimaliseerde logregel bewaren die de toestemming bewijst, is normaal.

Rechten van betrokkenen die e-mailprogramma’s raken

Vijf rechten duiken steeds op in e-mailoperaties.

• Inzage (artikel 15). Bevestiging of je hun gegevens verwerkt, een kopie ervan, en informatie waaronder doeleinden, categorieën gegevens, ontvangers, bewaartermijnen, de bron en eventuele geautomatiseerde besluitvorming of profilering. Voor e-mailprogramma’s betekent dat vaak ook de engagementgeschiedenis en het segmentlidmaatschap, niet alleen het adres.
• Rectificatie (artikel 16). Correctie van onjuiste gegevens zonder onnodige vertraging, en aanvulling van onvolledige gegevens.
• Wissing (artikel 17). Onder meer via lid 1, onder b, wanneer toestemming is ingetrokken en er geen andere grondslag geldt, en via lid 1, onder c, wanneer iemand bezwaar maakt op grond van artikel 21, lid 2.
• Bezwaar tegen direct marketing (artikel 21). De absolute. Op grond van lid 2 heeft de betrokkene “te allen tijde het recht bezwaar te maken” tegen verwerking voor direct marketing, inclusief bijbehorende profilering. Op grond van lid 3 worden “de persoonsgegevens niet meer voor deze doeleinden verwerkt”. Er is geen belangenafweging toe te passen.
• Overdraagbaarheid (artikel 20). Geldt wanneer de verwerking op toestemming of een overeenkomst berust en geautomatiseerd is, en betreft gegevens die de persoon zelf heeft verstrekt. Afgeleide scores en segmenten vallen er doorgaans buiten.

Reactietermijnen

Artikel 12, lid 3 vereist dat je zonder onnodige vertraging handelt en in elk geval binnen één maand na ontvangst. Die termijn mag met twee maanden worden verlengd bij complexiteit of een groot aantal verzoeken, en je moet de persoon daarover binnen de eerste maand met redenen informeren. Een bezwaar tegen marketing verdient beter dan het maximum: behandel het als directe onderdrukking en regel daarna de papieren binnen de wettelijke termijn.

Praktische uitvoering

Aanmeldformulieren

Eén niet-aangevinkt, duidelijk gelabeld vakje per doeleinde. Noem de afzender, zeg wat je gaat sturen en ongeveer hoe vaak, en link naar de privacyverklaring in plaats van die over te nemen. Koppel marketingtoestemming niet aan het accepteren van de voorwaarden en maak de aankoop er niet van afhankelijk. Bewaar de formulierversie, zodat je later kunt aantonen wat er op het scherm stond.

Dubbele opt-in en de eerlijke juridische status

Dubbele opt-in is niet verplicht volgens de GDPR of de ePrivacyrichtlijn. Geen enkel artikel schrijft het voor. Wat het oplevert is bewijs: een bevestigingsklik, vanuit de betreffende mailbox, op een vastgelegd tijdstip, komt dicht bij het best beschikbare bewijs dat een echt mens die dat adres beheert heeft ingestemd. De Artikel 29-werkgroep merkte op dat methoden waarbij een abonnee zich registreert en later wordt gevraagd dat te bevestigen “verenigbaar lijken met de richtlijn”.

Het is dus aanbevolen, soms met klem, en in sommige markten is het de norm. Het is geen wet. De praktische kant staat in onze gids voor dubbele opt-in.

Voorkeurencentra en het afhandelen van afmeldingen

Elk marketingbericht heeft een geldig adres nodig voor afmeldverzoeken, en onder de uitzondering voor bestaande klanten is een eenvoudige, kosteloze bezwaarroute in elk bericht een voorwaarde, geen beleefdheid. Een voorkeurencentrum met keuzes voor frequentie en onderwerp is goede praktijk, maar een eenvoudige, algehele afmelding in één stap moet beschikbaar blijven. Verwerk afmeldingen automatisch; handmatige wachtrijen zijn precies hoe organisaties na een bezwaar toch nog gaan versturen.

Onderdrukkingslijsten die migraties moeten overleven

Een afmelding is een permanente instructie, geen instelling per lijst. De onderdrukkingsstatus moet globaal gelden: over merken heen, over de kanalen waarop het bezwaar ziet, en over platformen heen. Het gevaarlijke moment is een migratie of een herimport: abonnees verhuizen naar het nieuwe systeem en de bezwaarmarkeringen gaan niet mee. Dit is de meest voorkomende manier waarop een correct programma stilletjes een niet-conform programma wordt.

Datzelfde risico zit in elke integratie tussen een winkel, een CRM en een e-mailplatform, want daar raakt de toestemmings- en onderdrukkingsstatus onderweg zoek. Verplaats je Shopify-gegevens naar Brevo, dan is Tajo de synchronisatielaag die die velden tussen systemen meeneemt. Wat je ook gebruikt, de test is dezelfde: controleer na elke migratie of een bekend onderdrukt adres nog steeds onderdrukt is.

Bewaartermijnen en het opnieuw toestemming vragen op verouderde lijsten

Opslagbeperking geldt ook voor marketinglijsten, dus leg een gedocumenteerde bewaarregel vast voor inactieve contacten en handhaaf die. Is een lijst jarenlang ongebruikt gebleven, dan wordt vaak een hertoestemmingscampagne voorgesteld. Wees voorzichtig: een e-mail met “bevestig dat je nog van ons wilt horen” is in de meeste lezingen zelf een marketingbericht, dus die mag alleen naar mensen die je vandaag rechtmatig mag mailen. Kun je nu geen grondslag aantonen, dan is verwijderen het eerlijke antwoord. Onze gids voor het opschonen van e-maillijsten behandelt de hygiënekant.

Je ESP is een verwerker

Je e-mailserviceprovider verwerkt persoonsgegevens volgens jouw instructies, dus artikel 28 is van toepassing. Er moet een overeenkomst of ander bindend rechtsinstrument zijn dat onderwerp, duur, aard en doel van de verwerking, de soorten gegevens en de categorieën betrokkenen vastlegt. Artikel 28, lid 3 vraagt vervolgens om bepalingen over gedocumenteerde instructies, vertrouwelijkheid, beveiliging volgens artikel 32, subverwerkers, bijstand bij verzoeken van betrokkenen en meldplichten bij inbreuken, verwijdering of teruggave van gegevens aan het einde van de dienst, en auditrechten. De meeste providers publiceren een standaard-DPA. Lees de lijst met subverwerkers.

Internationale doorgiften

Verlaten persoonsgegevens de EER, dan heb je een doorgiftemechanisme nodig. Artikel 45 staat doorgiften toe naar landen of kaders die de Europese Commissie passend heeft bevonden. Anders vereist artikel 46 passende waarborgen, meestal de modelcontractbepalingen van de Commissie, of bindende bedrijfsvoorschriften binnen een groep. Adequaatheidsbesluiten dekken een aantal rechtsgebieden, waaronder het EU-US Data Privacy Framework dat op 10 juli 2023 is aangenomen. Controleer waar je ESP gegevens opslaat, niet alleen waar het hoofdkantoor staat.

Hoe de verordening in jouw markt heet

Het instrument is in de hele EU hetzelfde. De naam niet.

Buiten de EU verandert het vocabulaire opnieuw. Het Verenigd Koninkrijk kent de UK GDPR naast PECR. Turkije heeft de Kisisel Verilerin Korunmasi Kanunu, wet nr. 6698, bekend als KVKK. Brazilië heeft de Lei Geral de Protecao de Dados Pessoais, wet nr. 13.709 van 14 augustus 2018, de LGPD. Indonesië heeft Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Dat zijn zelfstandige regimes met eigen regels, geen vertalingen, en voldoen aan de GDPR betekent niet automatisch dat je aan die regimes voldoet.

Boetes, en wat toezichthouders werkelijk doen

Artikel 83 kent twee niveaus: tot 10 miljoen euro of 2 procent van de totale wereldwijde jaaromzet op grond van lid 4, en tot 20 miljoen euro of 4 procent op grond van lid 5, telkens welk bedrag het hoogst is. Het hogere niveau dekt de basisbeginselen en de voorwaarden voor toestemming in de artikelen 5, 6, 7 en 9, de rechten van betrokkenen in de artikelen 12 tot en met 22, en de doorgifteregels in de artikelen 44 tot en met 49. Fouten rond toestemming en genegeerde bezwaren vallen daar dus onder. Nationale ePrivacyregels voegen eigen sancties toe: in Ierland is een overtreding van Regulation 13 een strafbaar feit en telt elk bericht apart.

Voor een middelgrote verzender is het dagelijkse risico geen krantenkoppenboete. Het is één klacht die de vraag van een toezichthouder oproept: laat ons de toestemming voor dit adres zien.

Waar naleving en prestaties elkaar raken

Goed uitgevoerd verbetert dit ook je prestaties. Lijsten die op echte, specifieke toestemming zijn gebouwd, reageren beter en klagen minder, en dat is precies wat afleveringssystemen belonen. Onze gids voor e-mailafleverbaarheid legt dat mechanisme uit, en onze gids voor het opbouwen van een e-maillijst behandelt werving die tegen kritische toetsing bestand is.

Gerelateerde artikelen

• Dubbele opt-in per e-mail: complete gids voor bevestigde aanmeldingen
• E-mailafleverbaarheid: de complete gids
• Een e-maillijst opbouwen: complete gids
• E-maillijsten opschonen: complete gids
• Afmeldpagina’s en afmelden met één klik: best practices