Marketingteams moeten vóór verzending twee verschillende juridische vragen beantwoorden. De AVG regelt persoonsgegevens. De ePrivacyrichtlijn regelt elektronische communicatie.
De AVG regelt persoonsgegevens: wat verwerking rechtmatig maakt, welke rechten de betrokkene heeft en wat je moet kunnen aantonen. De ePrivacyrichtlijn, Richtlijn 2002/58/EG, regelt elektronische communicatie, en het is artikel 13 van die richtlijn, zoals omgezet in de nationale wetgeving van elke lidstaat, dat voorafgaande toestemming vereist voor ongevraagde marketing per e-mail en SMS en de beperkte uitzondering biedt voor eigen bestaande klanten van een aanbieder.
De AVG is dus niet het instrument dat alleen bepaalt of marketing-e-mail verzonden mag worden. Deze pagina volgt de tekst uit het Publicatieblad. Het is geen juridisch advies. ePrivacyregels verschillen per lidstaat.
Wat vraagt de AVG van een marketingprogramma?
Een rechtmatige grondslag voor de verwerking, en bewijs ervan.
Verwerking van persoonsgegevens is verboden tenzij een van zes grondslagen van toepassing is:
Processing shall be lawful only if and to the extent that at least one of the following applies:
(a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes;
...
(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject
Zowel (a) als (f) worden gebruikt voor marketing, en de keuze is ingrijpender dan het lijkt. Gerechtvaardigd belang vereist dat je een afwegingstoets hebt uitgevoerd en gedocumenteerd, en het ontslaat je niet van de ePrivacy-toestemmingsregel voor het verzenden zelf. Het kiezen omdat toestemming lastig lijkt, lost het verkeerde probleem op.
Wat telt als toestemming?
Een bevestigende handeling, en de verordening sluit de sluiproutes expliciet uit:
Consent should be given by a clear affirmative act establishing a freely given, specific, informed and unambiguous indication of the data subject's agreement to the processing of personal data relating to him or her ... Silence, pre-ticked boxes or inactivity should not therefore constitute consent.
Artikel 7 stelt vervolgens vier voorwaarden, en elk ervan sluit een veelvoorkomend aanmeldpatroon uit:
1. Where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data.
2. If the data subject's consent is given in the context of a written declaration which also concerns other matters, the request for consent shall be presented in a manner which is clearly distinguishable from the other matters, in an intelligible and easily accessible form, using clear and plain language.
3. The data subject shall have the right to withdraw his or her consent at any time. The withdrawal of consent shall not affect the lawfulness of processing based on consent before its withdrawal. Prior to giving consent, the data subject shall be informed thereof. It shall be as easy to withdraw as to give consent.
4. When assessing whether consent is freely given, utmost account shall be taken of whether, inter alia, the performance of a contract, including the provision of a service, is conditional on consent to the processing of personal data that is not necessary for the performance of that contract.
Drie praktische lezingen:
- Marketingtoestemming verstopt in de algemene voorwaarden voldoet niet aan lid 2, omdat deze niet duidelijk te onderscheiden is van de overige zaken in de verklaring.
- Aanmelden met één klik en afmelden in meerdere stappen voldoet niet aan lid 3. Intrekking moet even gemakkelijk zijn als het geven van toestemming, en dat is een symmetrievereiste, geen algemene redelijkheidsnorm.
- Marketingtoestemming vereisen om het product te gebruiken voldoet niet aan lid 4, wanneer de marketing niet nodig is om de dienst te leveren.
Lid 1 is het lid dat je schema vormgeeft in plaats van je formulier. Je moet toestemming kunnen aantonen, en dat betekent vastleggen wanneer die is gegeven, wat er op dat moment werd gezegd en door welke handeling, niet slechts een vlag met ja.
Wat gebeurt er als iemand bezwaar maakt?
Marketing stopt, zonder afweging en zonder uitzonderingen.
De meeste AVG-rechten zijn voorwaardelijk. Het recht om bezwaar te maken tegen direct marketing is dat niet:
2. Where personal data are processed for direct marketing purposes, the data subject shall have the right to object at any time to processing of personal data concerning him or her for such marketing, which includes profiling to the extent that it is related to such direct marketing.
3. Where the data subject objects to processing for direct marketing purposes, the personal data shall no longer be processed for such purposes.
Vergelijk dat met het algemene recht van bezwaar in lid 1, waar een verwerkingsverantwoordelijke mag doorgaan als deze "demonstrates compelling legitimate grounds". Zo'n clausule ontbreekt in lid 2. Daarom maakt vertrouwen op gerechtvaardigd belang een marketinglijst niet duurzamer dan toestemming: een bezwaar maakt er hoe dan ook een einde aan.
Er is ook een informatieplicht aan verbonden:
4. At the latest at the time of the first communication with the data subject, the right referred to in paragraphs 1 and 2 shall be explicitly brought to the attention of the data subject and shall be presented clearly and separately from any other information.
Op het moment van de eerste communicatie, apart gepresenteerd. Een rechtenvermelding die alleen bereikbaar is via een link naar het privacybeleid voldoet daar niet vanzelfsprekend aan.
Wat brengt dit nog meer met zich mee?
Twee dingen die gemakkelijk als papierwerk worden afgedaan, maar dat niet zijn.
Een contract met je verzendplatform. Een aanbieder die namens jou verzendt is een verwerker, en de AVG vereist een specifiek schriftelijk contract tussen jullie. Wat is een verwerkersovereenkomst behandelt wat artikel 28 verplicht in dat contract.
Waar de gegevens staan. Doorgifte buiten de EU heeft een eigen grondslag nodig, waardoor de regio waar je gegevens worden opgeslagen en verwerkt een compliancevraag is in plaats van een infrastructuurvoorkeur. Wat is dataresidentie behandelt hoe dat werkt op Bird.
Kort gezegd
De AVG is niet de regel die toestemming vereist om te verzenden.
Die regel staat in de ePrivacyrichtlijn. De AVG regelt de persoonsgegevens die je bewaart en verwerkt, en dat is een andere vraag met een ander antwoord.
Toestemming heeft een definitie, en stilzwijgen voldoet er niet aan.
Vooraf aangevinkte vakjes en inactiviteit zijn uitgesloten, en toestemming moet even gemakkelijk in te trekken zijn als te geven.
Het recht om bezwaar te maken tegen direct marketing is absoluut.
Er is geen afwegingstoets en geen gerechtvaardigd belang dat standhoudt. Zodra iemand bezwaar maakt, stopt de verwerking voor marketing.
Je moet toestemming kunnen aantonen, niet alleen bezitten.
De bewijslast ligt bij de verwerkingsverantwoordelijke, waardoor het vastleggen van wanneer en hoe toestemming is gegeven onderdeel is van de vereiste.