Wat betekent de nieuwe Telecommunicatiewet voor telemarketing?

Een lezer vroeg me:

Per 1 juli wijzigt de Telecommunicatiewet. Ik begrijp uit de wetsteksten dat de wet eigenlijk bedoeld is voor consumenten. Maar kan ik bijvoorbeeld straks nog wel zonder toestemming te hebben gegeven en zonder een klantrelatie te hebben als medewerker van bedrijf X (niet ZZP of eenmanszaak) voor verkoopdoeleinden worden gebeld door bedrijf Y op mijn rechtstreekse werktelefoonnummer? Of alleen via het algemene telefoonnummer van mijn bedrijf X?
In januari van dit jaar heeft de Eerste Kamer inderdaad een aantal wijzigingen aan de Telecommunicatiewet doorgevoerd. Deze wet bevat een aantal belangrijke bepalingen voor telemarketing, zowel per telefoon als via e-mail (of, juristen zijn ouderwets, per fax).

De belangrijkste wijziging is dat er nu een algemeen opt-in regime geldt voor telemarketing. Ja, dus ook voor ongevraagd bellen. Het bel-me-niet register wordt dan ook opgeheven, dat was immers een opt-out systeem dat nu overbodig wordt. Alleen (betalende) klanten mag je ongevraagd blijven bellen (of mailen), mits je maar bij het klant-worden ze expliciet hierop hebt gewezen en ze een bezwaaroptie bood. Let op: dat is dus niet “bij ieder belletje zeggen we dat je je kunt afmelden” maar op het bestelformulier een “ik wil niet gebeld worden” vinkje.

Nieuw is dat ideële organisaties je mogen bellen of mailen nadat je een schenking of donatie deed. Dat is natuurlijk geen “bestelling”, maar de wet vermeldt nu expliciet dat ook dan er een opt-out regime geldt. Ook als je vrijwilliger bent of naar een manifestatie gaat, dan mag men op deze opt-out basis je benaderen.

Naast consumenten hebben ook bedrijven veel last van ongevraagde telefonische reclame. Ook daar worden de spelregels aangetrokken, zowel voor rechtspersonen (zoals een bv) als voor natuurlijke personen die bedrijfsmatig handelen (zoals een vof of eenmanszaak). Hoofdregel is ook hier toestemming oftewel opt-in. De uitzondering is nu zeer beperkt:

de verzender gebruik maakt van elektronische contactgegevens die door de desbetreffende eindgebruiker voor het ontvangen van ongevraagde communicatie voor commerciële, ideële of charitatieve doeleinden zijn bestemd en bekendgemaakt en deze worden gebruikt in overeenstemming met de door de eindgebruiker aan de contactgegevens verbonden doeleinden, of [de ontvanger zit buiten de EU].
Ja, daar staat echt dat je alleen ongevraagde reclame mag sturen naar een adres dat voor ongevraagde reclame opengesteld is. Het algemene info@ adres (inclusief de hippe varianten hallo@, welkom@, zeghetmaar@ en kopjekoffiedoen@) voldoet niet aan die eis. Ik vind het moeilijk een concreet voorbeeld uit het wild te noemen, maar je komt uit bij zaken als reclame@ of aanbiedingen@ en ik kan me niet voorstellen dat iemand daarop zit te wachten.

Geheel overbodig en tot mijn ergernis staat er dan in de Memorie van Toelichting nog:

Het tonen van contactgegevens in het Handelsregister van de Kamer van Koophandel kan expliciet niet worden aangemerkt als een situatie waarin er vanuit mag worden gegaan dat er op deze manier toestemming is gegeven.
Ik hoop dat er niemand was die serieus meende van wel.

Belangrijk is wel dat voor oude contactgegevens de oude regels blijven gelden. Bedrijven hoeven hun opt-out zakelijke database dus niet te wissen en opnieuw op te bouwen (art. 20.7). Wel moet je natuurlijk bij iedere communicatie mensen wijzen op de afmeldmogelijkheid.

Arnoud

Wanneer is mijn reclamemail voor “gelijksoortige” producten toegestaan zonder opt-in?

Een lezer vroeg me:

Ik heb een webwinkel en wil meer reclame maken. Nu las ik dat je daarvoor normaal toestemming nodig hebt, maar niet als je “soortgelijke” producten adverteert aan je klant. Wanneer is het volgens de wet “soortgelijk”?
Voor veel ondernemers is deze uitzondering interessant, omdat het verzamelen van toestemming voor reclame toch vaak best pittig blijkt. Maar het is een heel beperkte, en ik denk dat je er weinig aan hebt. Zeg ik maar even vooraf.

De wet (art. 11.7 Telecommunicatiewet) staat toe om klanten (dus mensen die jou betalen) reclame te sturen zonder opt-in als het gaat om “eigen gelijksoortige producten of diensten” volgens de wet. Er is nooit een rechtszaak geweest waarin definitief hét criterium is toegelicht. Dat is ergens ook wel logisch, want wat zou dat dan moeten zijn in het algemeen? Je komt dan niet verder dan synoniemen voor die term.

De ACM heeft in haar richtsnoeren gezegd dat je vooral moet kijken naar de verwachting van de ontvanger: zou die gek opkijken als hij voor dát product reclame krijgt gezien zijn bestelling? Dat vind ik wel een mooie. Het idee van “gelijksoortig” is immers dat je iets relevants, iets logischerwijs erbij horends meestuurt.

In de Memorie van toelichting van de wet is gezegd dat je ook moet meewegen wat er is gecommuniceerd, hoe de winkel zich presenteert. Ben ik een brillenwinkel dan is reclame voor schoenen raar, ben ik de Bijenkorf dan kan het wel. Dan gaat het immers om mode in het algemeen, en bij een bril is een bijpassend paar schoenen niet zo raar als advies in een modewinkel.

De angel zit hem bij deze constructie in een ander aspect: je mag weliswaar zonder toestemming mailen, maar je moet het bij de bestelling hebben gemeld op het formulier en een áfmeldmogelijkheid (optout) hebben geboden. Dus na een paar jaar bedenken “ik wil meer reclame maken” is gewoon niet genoeg, je hebt dan nooit mensen dit gezegd laat staan ze een afmeldmogelijkheid gegeven. En dan kun je je niet op deze uitzondering beroepen.

Deze uitzondering is dan weer wel de reden waarom de “Ik wil de nieuwsbrief ontvangen”-aanvinkvakjes vooraf aangevinkt mogen zijn bij bestelformulieren. Het weghalen van dat vinkje is dan de opt-out.

Arnoud

ING gaat persoonlijke aanbiedingen doen op basis van bij- en afschrijvingen, en ik weet niet waarom dat mag

ING gaat klanten ‘persoonlijke aanbiedingen’ doen op basis van hun bij- en afschrijvingen, las ik bij Tweakers. Het gaat om aanbiedingen van ING zelf, dus niet van externe partijen, en klanten kunnen zich er voor afmelden. Dat mag, zegt de bank: “Volgens de AVG moet er een wettelijke grondslag zijn voor het gebruik van persoonsgegevens. Gerechtvaardigd belang is ook een wettelijke grondslag die gebruikt kan worden voor direct marketing.” Maar is daarmee de privacyrechtelijke kous af, gezien de boosheid en het onbegrip van veel klanten dat hier niet met opt-in oftewel toestemming wordt gewerkt?

Het is veel mensen een doorn in het oog, maar het klopt juridisch dat je zonder toestemming oftewel opt-in mensen reclame onder de neus kunt duwen. De enige situatie waarin dat niet kan, is bij e-mailreclame: de Telecommunicatiewet eist gewoon altijd opt-in oftewel toestemming (behalve bij mailings aan klanten, daar is het dan weer opt-out). Maar wat ING hier doet, is geen e-mailreclame voor zover ik kan zien, dus niks met de Telecomwet te maken.

De AVG kent naast toestemming (opt-in) nog vijf redenen om iemands persoonsgegevens te mogen verwerken – juridische taal voor onder meer “iemand langs elektronische weg een reclameboodschap vertonen die op hem toegespitst is”. De door ING ingeroepen reden is het eigen gerechtvaardigd belang, wat vereist dat je een eigen belang aandraagt dat legitiem is en een belangenafweging (al dan niet met invoering van privacybeschermende maatregelen) maakt waarom jouw belang wint van de privacy van je klanten of andere betrokkenen.

Direct marketing staat letterlijk in de AVG genoemd als een voorbeeld van een eigen belang. Daarmee is het dus in principe mogelijk om direct marketing zonder toestemming te doen, mits je de belangenafweging met privacy rond krijgt. En daar zit hem natuurlijk de kneep, want wat zijn je argumenten dan? Enkel “wij hebben zin in marketing dus dat gaan we doen” voelt wat mager, maar ik kan niet ontkennen dat marketing als deel van de vrijheid van ondernemen (een grondrecht) aan te merken is. Net zoals journalistiek of kunst ook mag zonder toestemming.

Het zal dus neerkomen op de privacy-afweging. Hoe ernstig is het gebruik van de gegevens, en hoe belangrijk is het marketingbelang in deze context? Daar heb ik in dit geval wel een mening over. Want we hebben het hier niet over zomaar wat gegevens van willekeurige personen, maar over toch behoorlijk privé aanvoelende gegevens, namelijk je financiële handel en wandel. Niet voor niets is het eigenlijk altijd een datalek als je financiële informatie kwijt raakt over iemand. Daar marketing op bedrijven is dan wel behoorlijk invasief.

En ja, dan is het leuk dat je een opt-out biedt en dat het alleen eigen producten zijn. Dat zijn argumenten om de belangenafweging naar je voordeel toe te trekken. Want eigen producten zijn minder erg dan verkoop aan derden, en een opt-out is zeg maar de best practice bij direct marketing op basis van eigen belang. Maar die maatregelen kun je bij iedere vorm van marketing met alle mogelijke gegevens inzetten, en daarom vind ik ze niet sterk. Verder lees ik geen echt inhoudelijke argumenten (“70% van onze klanten geeft in een trial aan deze reclame waardevol te vinden”, kijk dat was nou eens een bevinding geweest) en daarom concludeer ik dus eigenlijk meteen al dat dat helemaal niet mag.

Daarnaast kun je nog andere stevige bezwaren aan laten rukken: die financiële gegevens zijn verstrekt voor het doel van de bancaire dienstverlening, en marketing van andere producten heeft volgens mij niets te maken met de eigenlijke dienstverlening. Kun je dan wel spreken van doelbinding, alleen hergebruiken voor verwante doelen? De AVG (artikel 6.4) is nogal strikt bij hergebruik voor andere doeleinden, en eist onder meer dat je expliciet rekening houdt met het verband tussen origineel en nieuw doel, de aard van de gegevens en de relatie tussen betrokkene en bank. Ook vanuit die hoek zie ik niet hoe je het argument rondkrijgt dat je gewoon marketingboodschappen mag gaan genereren. (Oh, en je schijnt ook nog iets te moeten met privacy by default van de AVG: waarom zou je deze optie net net zo goed standaard uit kunnen zetten.)

Alles bij elkaar kan ik me dus niet voorstellen dat dit overeind blijft. De AP heeft al gemeld dit te gaan onderzoeken.

Arnoud

Moet je bij een Linkedin-wervingsbericht een opt-out opnemen?

Een lezer vroeg me:

Onder de AVG ben je verplicht om bij alle direct marketing uitingen mensen apart te wijzen op het recht van opt-out (verzet). Hoe pakt dat uit bij Linkedinberichten, waar immers het doel van de dienst bestaat uit het contacteren van mensen voor (in mijn geval) bijvoorbeeld personeelsbemiddeling? Het is volstrekt ondoenlijk om op een dergelijk platform het recht van verzet onder elk bericht te plaatsen. Los van de karakterlimiet en de wijze waarop het volstrekt legitiem en vaak welkom contact besmeurt, zal het niet de bedoeling van de wetgever zijn om zich te mengen in contact waar mensen zich nota bene expliciet voor hebben aangemeld. Toch heb ik geen uitzondering kunnen vinden en lijkt het (hoewel enigszins theoretisch) nog steeds verplicht om ook via Linkedin mensen te wijzen op hun recht van verzet.

Vanaf 25 mei heb je inderdaad het recht op verzet oftewel opt-out bij iedere vorm van direct marketing. Wanneer je geen zin (meer) hebt in dergelijke gerichte reclame, kun je daar op ieder moment eenvoudig en gratis bezwaar tegen maken en dat moet dan stoppen.

Bijzonder aan dit recht van verzet is dat het bij de direct marketing berichten zelf gemeld moet worden, en ook nog eens apart en gescheiden van andere informatie. Je mag dit dus niet apart in je privacyverklaring verstoppen, het moet duidelijk en direct te vinden zijn zodat mensen dat recht direct uit kunnen oefenen. Toegegeven, dat is onhandig als je via een kort berichtje via de chatfunctie van Linkedin jezelf wilt voorstellen en wilt hengelen naar een zakelijk kopje koffie met winstoogmerk.

Ik denk alleen dat het bij LinkedIn anders werkt. Je kunt (moet?) op je profiel aangeven dat je wel of niet openstaat voor arbeidsbemiddeling (“Beschikbaar voor nieuwe carrièrekansen”). Binnen de context van Linkedin mag je dat opvatten als toestemming. Denk ik. En daarmee kunnen mensen dus die berichten sturen onder de grondslag toestemming, waarbij je dan géén recht van verzet hoeft te bieden. Toestemming is immers intrekbaar, verzet is niet aan de orde. Maar het is niet verplicht apart en uitdrukkelijk te zeggen dat toestemming kan worden ingetrokken.

Eerlijk gezegd weet ik niet of dit nu het grootste probleem is onder de AVG. Het lost zichzelf ook op, want wie al te hard die berichten stuurt krijgt een verbanning van Linkedin. En dan is er juridisch gezien verder geen probleem.

Arnoud

Mag een vereniging met instemming van de ALV je postadresverkopen?

Verandering in de manier waarop de KNLTB met jouw persoonsgegevens omgaat, las ik op de site van de Koninklijke Nederlandse Lawn Tennis Bond (KNLTB), en ik moest ook even zoeken wat de L was. De verandering houdt in dat men op zoek gegaan is naar manieren om “meerwaarde voor jouw KNLTB-lidmaatschap te creëren”, wat inderdaad neerkomt op “we gaan je persoonlijke informatie verkopen”. Maar geen zorgen, de ALV heeft ingestemd met deze nieuwe manier van werken en je kunt je altijd afmelden. Maar, wacht, AVG, wat?

Tussen de regels door lees ik dat de KNLTB op zoek is naar extra bronnen van inkomens, en haar ledenlijst als een waardevol betaalmiddel ziet. Daarom is besloten om die ledenlijst eens commercieel te activeren, door ze aan (ongetwijfeld zorgvuldig geselecteerde) partners te geven. Deze mogen dan bellen of brieven sturen met reclame, totaal maximaal drie keer per kwartaal. E-mail is uitgezonderd, daarvoor moeten leden een aparte opt-in geven vanwege het spamverbod uit de Telecomwet.

Het deed me denken aan de KNVB, die als vereniging het besluit nam om namens leden toestemming te geven. Maar dat is niet het geval hier, want de FAQ biedt zowaar een juridische uitleg:

De grondslag voor het delen van persoonsgegevens met partners van de KNLTB is gebaseerd op een gerechtvaardigd belang, dat is ontstaan door de beslissing die de Ledenraad hierover heeft genomen in december 2017. Het delen van persoonsgegevens geldt voor eigen acties en promotionele acties van partners van de KNLTB of partijen waarmee de KNLTB een samenwerking is aangegaan.

Dit schuurt bij mij een beetje want het lijkt allemaal sterk op wat er in de AVG staat, maar het klopt volgens mij net niet. Het klopt dat je je kunt beroepen op een eigen gerechtvaardigd belang, en dan mag je persoonsgegevens gebruiken zonder toestemming. Direct marketing wordt in de AVG genoemd als een dergelijk belang, en in principe kun je dat dan doen mits je een opt-out toepast. Dat belang kan van de verantwoordelijke (de KNLTB) zelf zijn of van een derde, dus die marketing zou ook door een partner kunnen gebeuren. De relevantie van het besluit van de ledenraad zie ik niet direct, je hebt als organisatie een belang of niet en daarover stemmen verandert je belang niet, volgens mij.

Alleen wat ontbreekt en wat nou net de kern is van dat belang is dat er een áfweging achteraan komt waarom dit gepast is gezien de privacy en je eigenlijk geen andere optie hebt dan deze invulling. En dat is waar het bij direct marketing al heel snel misgaat. Toestemming vragen is immers niet moeilijk – in tegenstelling tot bijvoorbeeld cameratoezicht of fraude-detectie.

Daar staat tegenover dat de verkochte gegevens alleen je postadres en telefoonnummer zijn. De privacy-impact van reclame per post vind ik kleiner dan e-mail, zeker omdat er geen persoonlijke interesses en dergelijke worden verkocht. Behalve dan dat je houdt van lawn tennis natuurlijk.

Daarom denk ik dat dit misschien toch wel door de beugel kan, mede vanwege de duidelijke communicatie en de afmeldmogelijkheid. De KNTLB moet er wel zelf voor zorgen dat die partners je gegevens dan ook weggooien, overigens.

Arnoud

Mag direct marketing per post straks ook niet meer van de AVG?

Een lezer vroeg me:

Recent kreeg ik geadresseerde reclame per post van een webshop waar ik vorig jaar wat had gekocht. Dat is dus een verwerking van mijn persoonsgegevens! Kan ik daar straks onder de Privacyverordening wat tegen doen? Er is nooit om toestemming gevraagd voor reclamepost namelijk.

Het klopt dat het toesturen van geadresseerde reclamepost vanaf 25 mei dus onder de Privacyverordening (AVG of GDPR) gaat vallen. Die wet geldt immers niet alleen voor elektronische communicatie, maar voor álle verwerkingen van persoonsgegevens. (Onder de huidige wet valt het er denk ik buiten, omdat het gaat om een niet-elektronische verwerking die niet gericht is op opname in een bestand.)

Dat wil niet zeggen dat er dús toestemming nodig is voor het verzenden van post. Dat is een van de grondslagen, maar er zijn er meer. Als de post nodig is voor uitvoering van een overeenkomst (je bestelling moet opgestuurd, of nazending van een reserve-onderdeel bijvoorbeeld) dan mag dat natuurlijk ook gewoon.

En voor direct marketing is er nog een grond: het eigen gerechtvaardigd belang. Kort gezegd moet de verzender van die post dan een goede reden hebben om het bericht te versturen, en direct marketing en reclame is een dergelijk belang, zo staat in de AVG (overweging 47). Wel moet hij een privacy-afweging maken: hoe ernstig is de privacy-inbreuk die ik maak met deze post?

Ik denk dat dit in principe wel positief voor de verzender uit zal pakken. Reclame in de post is irritant maar moeilijk een schending van je persoonlijke levenssfeer te noemen. Dat zou ik pas zien als je adressen werden verkocht of verhuurd aan derden. Ik denk dat dát gewoon echt verboden is vanaf 25 mei.

Wel heb je als ontvanger van dergelijke berichten een recht van bezwaar:

De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens [op grond van een eigen gerechtvaardigd belang].

Het bezwaar moet gebaseerd zijn op de specifieke situatie van de betrokkene. Hij mag dus niet volstaan met algemene of principiële bezwaren tegen verwerking van zijn gegevens, maar moet specifieke omstandigheden aandragen. Een voorbeeld zou zijn dat een medewerker in een rolstoel bezwaar maakt tegen een vertoning van camerabeelden waar gezichten zijn uitgeblurd; in zijn specifieke situatie is hij dan immers nog steeds herkenbaar.

Bij geadresseerde reclamepost is het niet zo evident, verder dan “ik vind het irritant” kom ik niet en ik betwijfel of dat genoeg is. En dat zou betekenen dat de afzender het bezwaar gemotiveerd mag afwijzen. Maar gelukkig is er een sterkere variant voor direct marketing:

Wanneer persoonsgegevens ten behoeve van direct marketing worden verwerkt, heeft de betrokkene te allen tijde het recht bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens voor dergelijke marketing, met inbegrip van profilering die betrekking heeft op direct marketing. … Wanneer de betrokkene bezwaar maakt tegen verwerking ten behoeve van directe marketing, worden de persoonsgegevens niet meer voor deze doeleinden verwerkt.

Hier is gewoon géén reactie op mogelijk, anders dan het bestand meteen op te schonen. Je hebt dus een keihard recht van opt-out.

Daar komt bij dat de afzender je vooraf moet melden dát hij je gegevens voor direct marketing gaat gebruiken:

21.4. Het in de leden 1 en 2 bedoelde recht wordt uiterlijk op het moment van het eerste contact met de betrokkene uitdrukkelijk onder de aandacht van de betrokkene gebracht en duidelijk en gescheiden van enige andere informatie weergegeven.

Om de betrokkene te informeren over dit recht van bezwaar, dient de verwerkingsverantwoordelijke dit expliciet aan hen te melden. Deze informatie moet uitdrukkelijk en apart gebeuren. Gescheiden van andere informatie betekent dus niet bijvoorbeeld slechts in de privacyverklaring.

Arnoud

Waarom mag een app gewoon verwijzen naar privacybeleid van derden?

Een lezer vroeg me:

Veel apps op de telefoon gebruiken analyticssoftware van derden. In de EULA en/of wordt er dan verwezen naar het privacy beleid van de derde partij en aangegeven dat ik daar moet zijn voor een opt-out. Nu vraag ik me af of dat zo wel mag. Is de leverancier van de App niet degene die dit met de derde partij moet regelen? Ik heb toch alleen een end-user overeenkomst met de leverancier van de App?

Het klopt dat je die software gebruikt onder een eindgebruikersovereenkomst (EULA) met die leverancier. Maar dat wil niet zeggen dat je dus altijd alleen maar een relatie met die partij hebt.

Een softwareleverancier mag software van derden bundelen. Dit kan gebeuren onder sublicentie – het gebruiksrecht is deel van de eigen EULA – of als aparte licenties. In dat laatste geval zou je dan ieder van die licenties apart moeten accepteren.

Meestal zal de leverancier die software van derden onder sublicentie verspreiden, zodat je geen aparte EULA per derde nodig zal hebben. Maar als die software iets doet waarbij data wordt opgeslagen of uitgelezen op je computer (terwijl dat niet technisch noodzakelijk is) dan is er desondanks toestemming nodig – dat is waar de cookiewet voor bedoeld is.

Wie precies die toestemming moet vragen, is onder de cookiewet altijd een lastige. Voor de hand ligt dat de derde dat moet doen – het is zijn analytics of andere opslag/uitlezen immers. Maar ik doe zaken met die ene leverancier en het boeit mij niet met wie hij samenwerkt, dus dan is het ook weer logisch dat hij toestemming vraagt voor zijn partners.

Als er geen toestemming wordt gevraagd, dan is het problematisch voor beide partijen, want dan overtreedt die software de cookiewet. (Tenzij het gaat om simpele first party analytics gefaciliteerd door een derde, dan is er geen toestemming nodig. Ook geen opt-out trouwens.)

Arnoud

Acht ton boete voor reclamemails wegens ontoereikende toestemming

daisycon-optin-email-spamDe Autoriteit Consument & Markt (ACM, voorheen OPTA) heeft acht ton boete opgelegd aan affiliatenetwerk Daisycon voor haar betrokkenheid bij het op grote schaal versturen van spamberichten. Het bedrijf had tussen oktober 2009 en juli 2011 enkele miljoenen reclamemails verstuurd op basis van de bekende zin “aanbiedingen van dit bedrijf en (geselecteerde) partners”. En de ACM oordeelt nu volstrekt terecht dat die zin zinloos is: opt-in voor mail moet specifiek en dat vereist zeggen wie de partners zijn. De zogeheten coregistratie is niet rechtsgeldig.

Daisycon is een affiliatenetwerk: men bemiddelt tussen adverteerders en websites. Websites die advertenties laten zien, krijgen een vergoeding als er bezoekers of concrete leads naar de adverteerder worden geleid. Naast websites konden ook reclames per mail worden gedaan. Zo werden per mail nieuwsbrieven als als de Nationale Consumenten Enquête rondgestuurd, met daarin advertenties voor Daisycon’s adverteerders.

De ACM oordeelt nu dat die mails ongevraagde commerciële communicatie zijn, oftewel dus spam, waarvoor geen toestemming is gegeven. En nou ja er stond wel een vakje bij (zie boven) waar het woord ’toestemming’ in staat maar daarin werd verwezen naar ‘partners’ en als generieke term is dat onvoldoende.

In het onderzoeksrapport laat de ACM zien dat dit vér gaat. Ook als je wel degelijk partijen noemt, is het niet genoeg: de “en overige partners” wordt Daisycon stevig aangerekend zelfs nu deze niet wordt gebruikt. Bovendien

… nu de gebruikte privacy statements doorgaans geen uitputtende lijst bevatten, maar ook vermelddendat mogelijk andere derdenof niet nader gespecificeerde “partners” of “adverteerders”onderdeel uit maakten van de geselecteerde bedrijven. Hierbij moet worden opgemerkt dat Daisycon heeft verklaard dat zij geen gegevens daadwerkelijk heeft uitgeleverd aan partijendie niet bij naam waren opgenomen in het privacy statement. Dit laat echter onverlet dat het privacy statement niet uitputtend was en derhalve is een dergelijke bepaling onvoldoende specifiek.

Betekent dit nu dat in de vráág zelf de partners genoemd moeten worden? Het is juist dat je niet met een privacystatement kunt volstaan maar als ik een lijst heb met twintig partners dan moet het toch duidelijk zijn als ik zeg “klik hier voor de partners”?

Waar het ook misging, was dat de genoemde partners niet zelf reclame stuurden maar dat deden namens weer anderen. En dan gaat het inderdaad mis: toestemming is partijgebonden en kan niet worden overgedragen, verhuurd of verkocht.

Dat Daisycon de bestanden met mailadressen heeft ingekocht bij anderen, maakt voor de ACM niets uit. Terecht. Ook al staat er in je contract dat de leverancier van alles garandeert, dat is gewoon niet genoeg. Hooguit kun je met zo’n contract de boete dan verhalen op de leverancier. Maar je blijft zelf verantwoordelijk voor gebruik van aangekochte mailadressen.

In sommige gevallen hadden adverteerders in de enquêtes gesponsorde vragen laten opnemen: “Wil je lid worden van ons netwerk van 1900 aangesloten webwinkels”? Dat lijkt specifiek en duidelijk, maar er stond niet bij wie dit dan waren, hoe vaak je de mails zou krijgen en waar dit dan over zou gaan. En oh ja, je kreeg ook mails van dat netwerk als je “nee” had gezegd. Auw.

Ook op het gebied van opt-out ging het mis. Meerdere bij Daisycon aangesloten partijen konden hetzelfde mailadres gebruiken, maar wie zich wilde afmelden kon dat slechts per nieuwsbrief. Er had ook een algemene opt-out moeten zijn voor álle nieuwsbrieven van aangesloten partijen.

Daisycon gaat in hoger beroep dus het is afwachten wat overeind blijft maar mij doet de uitspraak stevig en duidelijk aan. De geschetste praktijken zijn populair bij e-mailmarketeers maar buitengewoon irritant voor ontvangers. Het legt wel de bijl aan de wortel van handel in e-mailadressen, maar misschien moet dat ook maar eens gewoon kappen. (Haha, kappen en wortel.)

Arnoud

Vooraf aangevinkte hokjes mogen niet meer!

checkbox-ja-nee-optin-optoutVanaf nu geldt een verbod op vooraf aangevinkte hokjes (pre-ticked boxes) die vaak worden gebruikt om consumenten ongemerkt extra (betaalde) opties in de maag te splitsen, meldde Webwereld vorige week. Dergelijke aanvinkvakjes moeten úit staan en alleen als de consument ze zelf actief aanzet, zit de consument eraan vast.

Bij de verboden alvastaangevinkteaanvinkvakjes gaat het om zaken als een verzekering, accessoires, een navigatie-unit en dergelijke upsells. Vaak zijn die aanvullende producten of dienten niet echt nodig, en gaf het dus een hoop ergernis dat je die toch gekocht bleek te hebben als je snel door het bestelproces heenklikte. Dat mag nu dus niet meer. Art. 6:230j BW:

De consument is niet zonder zijn uitdrukkelijke instemming gebonden aan een verbintenis tot een aanvullende betaling van een geldsom ter verkrijging van een prestatie die niet de kern van de prestatie is. Uit het gebruik van standaardopties die de consument moet afwijzen, kan geen uitdrukkelijke instemming worden afgeleid.

Opties mogen dus wel mits de vinkjes maar uit staan.

Natuurlijk kan het zijn dat je bij het product verplicht het een of ander moet afnemen. Dat is prima – zolang dat maar vooraf is gemeld én de productprijs inclusief die extra’s wordt gemeld. Je mag dus niet het basisproduct tonen en bij het bestelproces pas de verplichte verzendkosten, verzekering of administratiekosten in rekening brengen. Art. 6:230m BW eist in lid e namelijk dat je bij het product vermeldt:

de totale prijs van de zaken of diensten, met inbegrip van alle belastingen, of, als door de aard van de zaak of de dienst de prijs redelijkerwijs niet vooraf kan worden berekend, de manier waarop de prijs moet worden berekend, en, in voorkomend geval, alle extra vracht-, leverings- of portokosten en eventuele andere kosten of, indien deze kosten redelijkerwijs niet vooraf kunnen worden berekend, het feit dat er eventueel dergelijke extra kosten verschuldigd kunnen zijn.

Met “redelijkerwijs vooraf niet kunnen berekenen” bedoelen ze bijvoorbeeld verzendkosten die afhangen van het gewicht en/of dat het door de brievenbus kan of niet.

Het is een beetje jammer dat Webwereld als voorbeeld precies het enige aangevinktje hokje laat zien dat nog wél mag, namelijk de opt-out van een nieuwsbrief of reclame voor betalende klanten. En die mag wel vooraf aangevinkt zijn, omdat de wet hierbij geen opt-in eist maar een recht van verzet, oftewel een opt-out. Maar goed.

Hebben jullie wel eens zo’n optie gekocht zonder het vooraf te beseffen?

Arnoud

NS stuurt mailing ondanks expliciete opt-out

ns-spam.pngCollega Michaël meldde het net voor het weekend: hij kreeg spam van de NS terwijl hij zich had afgemeld voor dergelijke mails. En in de mail stond nog eens dat hij zich expliciet moet gaan afmelden voor nieuwe mailings over “reisinformatie en serviceberichten”. Ook van andere mensen hoorde ik dat ze deze mail hebben gehad hoewel ze zich eerder voor alle mogelijke zaken hebben afgemeld.

Op zich heeft de NS wel degelijk het recht om haar klanten te spammen. Artikel 11.7 lid 3 Telecommunicatiewet staat toe om klanten mails te sturen voor “gerelateerde producten en diensten”, mits

bij elke overgebrachte communicatie de mogelijkheid wordt geboden om onder dezelfde voorwaarden verzet aan te tekenen tegen het verder gebruik van zijn elektronische contactgegevens.

Michaël en de andere mensen die me mailden, hebben dat verzet gebruikt en mogen dus geen reclamemails meer krijgen. Daar valt m.i. ook onder nieuwe soorten “reisinformatie en serviceberichten” want opt-out is opt-out: niet meer mailen dus. Het zou wel erg makkelijk zijn om om een verzet heen te komen door je bestaande nieuwsbrief een nieuwe naam te geven.

Spamklacht indienen dus, zou je zeggen. Maar opmerkelijk genoeg kom je niet door de spamklachtwizard heen. Deze meldt namelijk als je alles eerlijk invult:

Het spamverbod is niet van toepassing op berichten waar u zichzelf voor aangemeld heeft. Ook mag een bedrijf dat uw e-mailadres van u heeft gekregen bij de verkoop van een product of een dienst u gerelateerde berichten zenden, zelfs indien u daar destijds niet expliciet toestemming voor hebt gegeven. OPTA kan uw klacht daarom niet in behandeling nemen.

Als uitgangspunt klopt het, maar je hebt het recht om te allen tijde bezwaar (‘verzet’) aan te tekenen tegen zulke mailings. En vanaf dat moment mag er géén mail meer verstuurd worden.

Update (11 mei): OPTA laat weten dat ook het negeren van aangetekend verzet wel degelijk een klacht dient op te leveren. OPTA meldt: “Ook tegen dit ’type’ spam treden wij op. Want het is uiteraard in strijd met de wet wanneer een bedrijf – ondanks eerder aangetekend verzet tegen verder gebruik van je elektronische contactgegevens – desondanks toch nog berichten verzendt. Wij zullen dit op www.spamklacht.nl dan ook snel verduidelijken. Tot die tijd verzoeken wij klagers om bij de vraag over voorafgaande toestemming aan te vinken dat hij of zij géén toestemming heeft gegeven.”

Wie heeft er nog meer deze mailing gehad, nadat hij zich had afgemeld voor commerciële mails?

Arnoud