Locatie Amsterdam
Jollemanshof 12
1019 GW Amsterdam
Telefoon
020 663 1941
E-mail
info@ictrecht.nl
KvK
34216164
BTW
NL8223.30.040.B01
Locatie Groningen
Leonard Springerlaan 35
9727 KB Groningen
Telefoon
050 209 34 99
E-mail
info@ictrecht.nl
KvK
68038712
BTW
NL857275835.B01
Locatie Brussel
Avenue Louise 65
1000 Brussel
Telefoon
+32 (0)2 535 77 55.
E-mail
info@legalict.com
Ondernemingsnummer
0696.909.465
BTW
BE 0696.909.465
Terug naar overzicht

Wanneer is sprake van toestemming onder de antispamwet?

7 november 2011 Door

Recent blogde ik over een boete van zes ton voor meer dan 400 miljoen spammailtjes. De OPTA legde deze op omdat de opt-in onvoldoende was, onder meer omdat er alleen werd gesproken van opt-in voor “partnermailings van Digital Magazines” zonder te melden wie die partners dan waren. Vandaag zag ik een FAQ van de DDMA over de Code E-mail, waar ik hoopte dit terug te zien.

In de FAQ staat keurig uitgelegd hoe en wanneer toestemming nodig is. Zo staat er dit lijstje:

  1. de ontvanger moet via een actieve handeling toestemming geven voor het ontvangen van commerciële e-mail;
  2. de ontvanger moet ook via een aparte actieve handeling toestemming geven voor het verstrekken van zijn e-mailadres aan derde partijen
  3. bij de toestemmingsvraag moet in een bij- of onderschrift duidelijk gemaakt worden dat het e-mailadres gebruikt zal worden voor het toezenden van commerciële e-mail en/of derdenverstrekking,
  4. alleen een bijschrift waarin staat dat de ontvanger akkoord gaat met Algemene Voorwaarden of een Privacy statement volstaat niet.

Dat is een prima vuistregel, alleen mist er één ding: de toestemming moet specifiek zijn, oftewel men moet weten wie men toestaat de commerciële mailing te sturen. Het voorbeeld verderop in de FAQ illustreert dit nog eens:

Een adverteerder met een nieuw sportdrankje, vraagt een uitgever van een sportmagazine of hij dit drankje via hun e-mailbestand onder de aandacht mag brengen. De producent van het sportdrankje krijgt de e-mailadressen dan niet fysiek in handen, maar de uitgever stuurt een dedicated e-mail aan zijn bestand waarin reclame voor de sportdrank staat.

Nergens wordt zelfs maar opgemerkt dat de uitgever wel specifieke, aparte toestemming moet hebben verkregen voor dit hergebruik van zijn bestand door deze specifieke adverteerder (en dus niet “u geeft toestemming voor reclame door derden”).

Dat lijkt geen toevallige omissie, getuige deze tweet van DDMA in reactie op mijn vraag:

Goede blog, mist 1 ding: toestemming moet per derde gegeven worden en niet “derdenverstrekking” alleen http://t.co/m2mXLB0h /cc @DDMA

@ictrecht. Dank voor het compliment. Wat betreft je opm. Dat vind OPTA, maar het staat nergens zo in de wet. Of dit zo is zal de rechter moeten bepalen. #blog #DDMA #code #email

Oeh, de wet. Laten we die er eens bij pakken. Artikel 11.7 Telecomwet (Tw) eist voorafgaande toestemming van de ontvanger. Het woord ‘toestemming’ is gedefinieerd in artikel 11.1 Tw en wel als “toestemming van een betrokkene als bedoeld in artikel 1, onder i, van de Wet bescherming persoonsgegevens”. Pakken we die wet erbij, dan zien we

elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem betreffende persoonsgegevens worden verwerkt

Vindt de DDMA nu dat “ik geef toestemming voor uw partners om mij te mailen” “specifiek en op informatie berustend” is? Oftewel u bent afdoende geïnformeerd en u weet specifiek wat u nu gaat krijgen.

OPTA zegt hierover in dat boetebesluit:

Het is voor abonnees niet duidelijk van wie zij mailings kunnen verwachten, het wordt immers niet duidelijk wie de partners van Digital Magazines zijn. Hiermee zou een zeer brede en onbepaalde machtiging tot het verwerken van gegevens worden verkregen die volgens de wetsgeschiedenis niet als een geldige toestemming kan worden aangemerkt.

En dat slaat weer op wat in de Memorie van Toelichting bij dit wetsartikel is opgemerkt:

Een onbepaalde machtiging om persoonsgegevens te verwerken, niet gericht op bepaalde gegevens en op bepaalde vormen van verwerking, is niet toereikend. Duidelijk dient te zijn welke verwerking, van welke (soort) gegevens voor welke doeleinden zal plaatsvinden (gerichte toestemming). Tot slot moet de betrokkene zodanig zijn geïnformeerd dat hij begrijpt waarvoor hij toestemming geeft («informed consent»).

Oftewel: de ontvanger moet weten wát er gaat gebeuren en wélke (soort) mailings hij gaat krijgen. En hij moet begrijpen waar hij toestemming voor geeft. “Partnermailings” is niet begrijpelijk genoeg. Wélke partners? Wat voor mailings?

DDMA verduidelijkt in een followuptweet:

@ictrecht Nee, voor derdenverstrekking is aparte toestemming nodig. En de partners moeten of bij naam worden genoemd of bij categorie bv reisverzekering

Dat bij naam noemen is prima, maar bij categorie of het nog generiekere “onze partners” is écht te weinig. Verderop in het boetebesluit wordt bij een andere werkwijze gezegd

Bij het eerste voorbeeld van methode B geven abonnees toestemming om e-mail nieuwsbrieven van ondermeer Mail Garage en Digital Magazines te ontvangen. Als de abonnees ook daadwerkelijk nieuwsbrieven van deze partijen zouden ontvangen dan zou naar het oordeel van het college hiermee voldoende duidelijkheid zijn gegeven van welke partijen zij e-mail nieuwsbrieven mochten ontvangen.

Oftewel door de partijen te noemen en te melden dat deze partijen nieuwsbrieven sturen, is afdoende informatie gegeven wat je gaat krijgen: nieuwsbrieven van Mail Garage en Digital Magazines (en andere genoemde partijen).

Heb je een lange lijst namen, dan mag je volstaan met een hyperlink naar die lijst. Ook dat zegt OPTA expliciet:

… vervolgens een lijst met een groot aantal bedrijfsnamen, waaronder Digital Magazines en Mail Garage, werd gegeven. Het college is van oordeel dat abonnees in staat waren om te achterhalen dat zij e-mail nieuwsbrieven van Digital Magazines en Mail Garage mochten ontvangen.

Maar omdat de lijst met deelnemende bedrijfsnamen eindigde met “…en mogelijk andere derden” konden abonnees echter nooit volledig achterhalen van wie zij mailings mochten verwachten. En dát is waarom men hier de fout in ging.

De OPTA is hier zeker streng, maar gezien de wettelijke definities lijkt me dat niet meer dan terecht. Ik kan me ook werkelijk niet voorstellen dat een rechter gaat zeggen dat “toestemming voor uw partners” (zonder te noemen wie dat zijn) een afdoende toestemming is.

Arnoud Engelfriet

Algemeen directeur / Opleidingsdirecteur

Arnoud Engelfriet is algemeen directeur en opleidingsdirecteur bij ICTRecht. Hij is gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Met zijn informatica-achtergrond richt hij zich graag op complexe technisch/juridisch ICT-vraagstukken en softwarelicenties (met name open source). Zijn website Ius mentis is één van de populairste van Nederland over ICT en recht.


Er zijn 7 reacties

  1. Update: bij Webwereld meldt DDMA woedend te zijn over de strenge OPTA-regels.

    Maar als voor elke geïnteresseerde commerciële partij die het bestand wil gebruiken voor e-mailmarketing opnieuw toestemming moet worden gevraagd aan mensen die zich wel al ingeschreven hebben voor e-mails van relaties, slaat dat de bodem weg onder het business model.

  2. De relevante besluiten van de OPTA van 19 april en 5 oktober heb ik doorgelezen.
    Arnoud als ik het goed begrijp is de volgende situatie niet zonder meer toegestaan “Een adverteerder met een nieuw sportdrankje, vraagt een uitgever van een sportmagazine of hij dit drankje via hun e-mailbestand onder de aandacht mag brengen. De producent van het sportdrankje krijgt de e-mailadressen dan niet fysiek in handen, maar de uitgever stuurt een dedicated e-mail aan zijn bestand waarin reclame voor de sportdrank staat.”
    Als ik de besluiten en de wet lees dan kan ik me voorstellen dat het wel is toegestaan als de nieuwsbriefabonnees zich als volgt hebben ingeschreven “(Aanvinken): Ja, ik ga akkoord met de privacyverklaring en de algemene voorwaarden en ik en geef toestemming voor het ontvangen van gemiddeld 1 informatief of commercieel e-mailbericht (namens adverteerders) per week van Aanbieder” daarachter kan dan een link worden geplaatst met voorbeelden.
    In die situatie weten nieuwsbriefabonnees dat ze ook commerciele e-mailberichten kunnen verwachtten.

    Je zou dan kunnen stellen dat mogelijk niet voldoende wordt voldaan aan punt 48 (publicatie opta dd 5 oktober) http://www.opta.nl/nl/download/publicatie/?id=3499. In punt 48/49/50/51 stelt de OPTA dan is het voor abonnees onvoldoende duidelijk dat onvoldoende duidelijk van welke partners ze partnermailings mogen verwachtten.

    Dat is me nog onduidelijk: zou je naast het informeren van de klant dat deze commerciele e-mailberichten namens adverteerders kan ontvangen ook alle mogelijke adverteerders moeten noemen in de algemene voorwaarden/privacy verklaring? Dat zou onwerkbaar zijn. Dan zou een kabelaansluiting bij UPC en daarin de zender RTL 4 ook een akkoordverklaring moeten opnemen dat je reclameboodschappen kunt verwachtten en hoeveel en namens wie?!

    Stel je ook de volgende situatie voor: het sportmagazine verstuurt een reguliere mailing en daarin wordt tussen de tekst een advertorial geplaatst van het sportdrankje, dat zou dan ook niet toegestaan zijn?!

  3. Dag Arnout,
    Goede blog! Ik heb het artikel op webwereld ook gelezen en probeer te reageren, maar ik kan op de een of andere manier niet inloggen. Woedend heb ik nooit gezegd, ben ik ook niet. Maar dat ik OPTA streng vind in haar interpretaties wel. Omdat op deze manier welwillende bedrijven de dupe worden van de cowboys die zeker beboet moeten worden, maar dan wel op basis van goede argumenten. Wij als DDMA vinden ook dat een consument moet weten waar hij ‘ja’ tegen zegt. Daarom verplichten wij aparte toestemming voor derdenverstrekking. Wij zeggen ook dat deze niet mag worden gegeven door te verwijzen naar de Privacy Statement of Algemene Voorwaarden, maar dat dit gewoon duidelijk moet worden gemaakt op de plek waar de consument zijn gegevens achterlaat. Wij zijn ook tegen ‘partners’, ‘zorgvuldig geselecteerde partners’ en meer van dat al, want dat is niet specifiek genoeg, dit zeggen wij ook tegen onze leden. Dus OPTA kan en mag daarop handhaven, graag zelfs. Maar wat we nu zien is dat bedrijven die het graag goed willen doen, het ook niet meer weten. Waarom mag ik niet in een keer aangeven dat ik e-mail wil ontvangen van de libelle en de margriet? Of mag ik als een vakantie heb geboekt niet zeggen dat ik graag een aanbieding ontvang voor een reisverzekering? Dit lijkt ons ook aan de criteria voldoen. In het boetebesluit Digital Magazines e.a. van april dit jaar kan je lezen dat met het aanvinken van een enkel hokje voor meerdere adverteerders niet aan de vereisten van geïnformeerde toestemming wordt voldaan. Dit creëert onrust, het lijkt mij meer afhangen van wat je er nog meer bij meldt. ‘Als u hier uw gegevens achterlaat gaat u ermee akkoord dat u door alles en iedereen gemaild wordt’ is toch best duidelijk. In de beslissing op bezwaar van oktober waar jij uit citeert wordt dit duidelijker toegelicht. Maar de onrust is er al. En dat vinden wij jammer en daarom willen wij inderdaad graag een uitspraak van de rechter omdat er dan duidelijkheid is over wat wel en wat niet mag.

  4. Dank je Jitty. Tsja, die kop is typisch Webwereld: trek je een wenkbrauw op, dan ben je van woede vertrokken.

    Volgens mij staat de OPTA wel toe dat je toestemming geeft voor meerdere partijen ineens. Alleen moet dan wel op voorhand al die partijen genoemd zijn. In de DM-zaak ging het fout omdat ze daar een lijst hadden plus “…en mogelijk andere derden” (boetebesluit p. 9) en tsja, dat is geen duidelijke lijst.

    Ik denk dat “ik sta toe dat iedereen me mailt” wel duidelijk is, maar de wet (art. 11.1 Tw en 1.1e Wbp) eisen naast duidelijk ook “specifiek”. En die zin is bepaald niet specifiek te noemen.

  5. Haha ja, t was ook een beetje een extreem voorbeeld van me. Dat OPTA dat wel toelaat dat je voor meerdere partijen in een keer toestemming geeft werd mij en een hoop partijen met mij niet duidelijk uit de eerste publicatie van het boetebesluit. Daar staat in overweging 90 dat de partij in een keer toestemming vroeg voor het ontvangen van meerdere nieuwsbrieven en dat het de ontvanger niet duidelijk was dat hij deze ging ontvangen. Dat kan, maar dan ligt dat waarschijnlijk meer aan de gegeven informatie dan aan het feit dat in een keer toestemming werd verstrekt voor meerdere ontvangers. Dat kan je m.i. niet duidelijk opmaken uit het besluit en daar krijg ik nog steeds veel vragen over. Mij lijkt ook dat het wel in een keer mag, als het iemand maar duidelijk is waar hij precies ja tegen zegt, door de informatie die hem bij de toestemmingsvraag verstrekt wordt. Maar dat OPTA dit ook denkt, kon ik zeker niet opmaken uit het eerste boetebesluit. Daarom heeft DDMA toen aan de bel getrokken.

  6. Moah… De Opta doet alleen iets als er klachten zijn.

    Als de leden van de DDMA voldoende specifiek zijn in waar toestemming voor wordt gegeven, dan zullen er uiteraard geen klachten zijn. Mensen weten dan immers wat ze kunnen verwachten van hun toestemming. Komen er toch mailtjes die niet eenduidig te relateren zijn aan de gegeven toestemming, dan veroorzaakt dat spamklachten.

    Zo eenvoudig is het dus. Zorg er maar domweg voor dat de Opta geen spamklachten krijgt over je mail. Want daar gaat het om. Mensen willen die meuk niet zonder dat ze daar toestemming voor hebben gegeven. Daar is die wet voor bedoeld.

    En als je business daar gebaseerd is op het verzenden van iets wat mensen niet willen, dan is dat jouw keuze. Keuzes en gevolgen. 😉

  7. [quote]Maar als voor elke geïnteresseerde commerciële partij die het bestand wil gebruiken voor e-mailmarketing opnieuw toestemming moet worden gevraagd aan mensen die zich wel al ingeschreven hebben voor e-mails van relaties, slaat dat de bodem weg onder het business model.[/quote]

    Het is de hoogste tijd dat de OPTA dit soort *sneaky spam* aanpakt. Als het je business-model is om mensen erin te luizen verdien je het om opgedoekt te worden.

Geef een reactie

Het e-mailadres wordt niet gepubliceerd. Vereiste velden zijn gemarkeerd met *

Uw persoonsgegevens gebruiken wij alleen voor het plaatsen en verwerken van uw reactie. Lees de privacyverklaring voor meer informatie