Belgische boete voor nieuwsbrief die dacht een servicebericht te zijn

| AE 13316 | Ondernemingsvrijheid, Privacy | 12 reacties

LadyBB / Pixabay

De Belgische Gegevensbeschermingsautoriteit heeft een boete van 10.000 euro uitgedeeld aan de spoorwegmaatschappij NMBS. Dat meldde Tweakers donderdag. De NMBS had zonder aanleiding een nieuwsbrief verstuurd, en roepen dat “dat de nieuwsbrief noodzakelijk was voor het waarborgen voor de ‘sanitaire veiligheid’ van treinreizigers” was daarbij geen argument.

De toezichthouder was een onderzoek gestart naar aanleiding van een klacht op Twitter (kom daar eens om in Nederland). De gebruiker had in 2020 een nieuwsbrief van de Spoorwegen gehad over de Hello Belgium Railpass, een initiatief waarmee iedere Belg van twaalf jaar of ouder twaalf gratis treinritten mag maken. Kennelijk kreeg iedereen die deze kaart had gehad, extragratis ook de nieuwsbrief.

Dat gebeurt veel, maar is juridisch eigenlijk niet in de haak. Nieuwsbrieven (zeker met commerciële inslag) vereisen toestemming, en alleen bij betalende klanten kun je werken op basis van opt-out – mits deze op het bestelformulier al wordt aangeboden. Dat is dus, en ik zeg het nog even voor al die webwinkeliers achterin, nadrukkelijk NIET hetzelfde als “in elke nieuwsbrief zit een opt-out”.

De NMBS had een andere truc gevonden, namelijk de grondslag noodzaak uitvoering overeenkomst. In het jargon heet dit het ‘servicebericht’, mensen op de hoogte houden van dingen rondom hun bestelling, inschrijving et cetera. Natuurlijk mag je dat sturen zonder aparte opt-in. Ik krijg dan ook wekelijks mails van handige jongens die “even willen checken” of hun mail kan tellen als ‘servicebericht’ of willen weten hoe veel procent reclame er in een servicebericht mag. Inderdaad, “we zijn druk bezig met je bestelling” gevolgd door drie pagina’s reclame. Nee.

Het was volgens verweerder bovendien noodzakelijk dat de e-mails verzonden werden gezien de precaire situatie op dat moment, waarbij een tweede golf in de Covid-19-epidemie in België op komst was en een ieder derhalve extra alert moest zijn teneinde de veiligheid in de treinen de kunnen waarborgen. Om de reizigers tijdig te bereiken was NMBS derhalve genoodzaakt om de aanvragers de nieuwsbrief per e-mail toe te sturen. De disclaimer van de e-mail bevatte volgens verweerder duidelijke informatie over het beoogde doel van de e-mail, namelijk het informeren van de reizigers over de manier waarop de Railpass zo correct en optimaal mogelijk gebruikt diende te worden.
Natuurlijk was het in die tijd even extra risicovol om met OV te reizen, maar laten we de nieuwsbrief er even bij pakken:
(i) “Herontdek meer dan 500 bestemmingen in België” vergezeld van een knop ‘Vind inspiratie’; (ii) “MoveSafe-app: jouw veiligheid” vergezeld van een knop ‘Download de app’ (iii) “Klaar voor je eerste reis?”; (iv) “Nog vragen? Raadpleeg onze FAQ over het gebruik van je Hello Belgium Railpass”, vergezeld van een knop ‘Bekijk de voorwaarden’; (v) De mededeling “We wensen je leuke reizen toe met je Hello Belgium Railpass!”; (vi) Disclaimer.
En wat lezen we dan onder punt (i):
Bijna 3,6 miljoen Belgen hebben een Hello Belgium Railpass aangevraagd. Gelijk hebben ze! Je moet natuurlijk in alle veiligheid op ontdekkingstocht kunnen gaan in ons land. Laat je inspireren door onze blogs die overlopen van ideeën om op citytrip te vertrekken, op stap te gaan in de natuur, met familie of met vrienden… Je vindt in België voor elk wat wils!
Ik heb al jaren een vuistregel over serviceberichten: je stuurt ze eigenlijk liever niet. Sorry, dit weekend onderhoud. Uw pakket is vertraagd. We hebben geen geitenmelk deze week. Op uw mijn onze taal punt nl staat de factuur voor u klaar. Maar “Je vindt in België voor elk wat wils” kan ik met geen mogelijkheid rechtvaardigen binnen die vuistregel.

De Belgische toezichthouder ook niet. Heel misschien was er wat mogelijk geweest op grond van eigen gerechtvaardigd belang, maar (a) dat was niet vooraf in de privacyverklaring zo uitgewerkt en (b) er was geen opt-out aangeboden zoals artikel 21 AVG wel eist.

Moraal van het verhaal: serviceberichten laat je niet door de marketingafdeling schrijven maar door een chagrijnige senior magazijnmedewerker. Marketing werkt met toestemming, en anders niet.

Arnoud

Mag ik een sms naar mijn klanten sturen?

| AE 8775 | Privacy | 14 reacties

whatsappEen lezer vroeg me:

Ons bedrijf wil per Whatsapp gaan communiceren met klanten. Ik heb dat als security officer afgeraden, omdat we niet weten wat er in Amerika gebeurt met de persoonsgegevens die er dan over de lijn gaan. SMS lijkt me een betere optie, maar hoe zit dit wettelijk?

WhatsApp zou ik tegenwoordig wel durven aanraden mits de end-to-end encryptie aan staat. Dan kan WA immers niet meelezen. Ik denk dat je er tegenwoordig wel op mag vertrouwen dat die encryptie een redelijk niveau van beveiliging geeft. Misschien zou je bij medische gegevens meer moeten doen.

SMS-berichten zijn niet versleuteld maar gaan over een afgeschermd netwerk. Dat lijkt me security-technisch ook wel in orde.

Een ander punt is wat klanten ervan vinden om ineens berichtjes te krijgen via deze kanalen. Zeker bij SMS vinden (in mijn ervaring) een hoop mensen het erg opdringerig, om niet te zeggen ongewenst. Heel formeel is dénk ik geen toestemming nodig voor serviceberichten naar je klanten. Het sturen van reclame per sms (of WhatsApp) mag niet zonder toestemming, maar bijvoorbeeld een klant een reminder voor een afspraak per sms sturen is volstrekt legaal als zij hun 06 hebben gegeven.

Wel is vereist dat ergens in de privacyverklaring staat dat dit zal gebeuren, en is wenselijk dat de klant zich kan afmelden voor die berichten. Verder zou het voor mij ook van de context afhangen: waarom geef ik dat 06-nummer, is dat om eenmalig teruggebeld te worden of is het deel van mijn klantprofiel?

Toch zou ik altijd aanraden om toestemming te vragen.

Arnoud