Nieuwsbrief en de AVG: toestemming, zakelijke ontvangers, double opt-in en afmelden

In het kort

• Toestemming: ongevraagde e-mail voor commerciële, ideële of charitatieve doeleinden is verboden, tenzij u kunt aantonen dat de ontvanger vooraf toestemming heeft gegeven (art. 11.7, lid 1, Tw).
• Ook zakelijk: het verbod geldt voor alle eindgebruikers, dus ook voor bedrijven. Zonder toestemming mag u een bedrijf alleen mailen op een adres dat het zelf voor zulke berichten heeft bekendgemaakt (art. 11.7, lid 3, Tw).
• Uitzondering voor klanten: e-mailadressen die u bij de verkoop van een product of dienst hebt gekregen, mag u gebruiken voor eigen gelijksoortige producten of diensten, mits de klant bij het verzamelen en in elk bericht kosteloos en eenvoudig bezwaar kan maken (art. 11.7, lid 4, Tw).
• Elke editie: de werkelijke identiteit van de afzender en een geldig adres waar de ontvanger zich kan afmelden (art. 11.7, lid 7, Tw).
• Bewijs: volgens de ACM moet u de toestemming tot 5 jaar na verzending kunnen bewijzen. Double opt-in staat niet in de wet, maar is de meest betrouwbare manier om dat te doen.

Toestemming vooraf: wat de wet vraagt

Artikel 11.7, lid 1, van de Telecommunicatiewet verbiedt het gebruik van elektronische berichten voor ongevraagde communicatie voor commerciële, ideële of charitatieve doeleinden, tenzij de verzender kan aantonen dat de ontvanger daarvoor vooraf toestemming heeft gegeven. De bewijslast ligt dus bij u.

Voor de toestemming zelf geldt de definitie van de AVG: een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting door middel van een verklaring of een duidelijke actieve handeling (art. 4, punt 11, AVG). De AP benadrukt dat vooraf aangevinkte vakjes dus niet zijn toegestaan. Volgens de ACM telt toestemming ook niet als die onder druk of via de algemene voorwaarden is verkregen, en moet de keuze duidelijk over reclame of wervende berichten gaan.

Zakelijke ontvangers (B2B)

Het spamverbod voor e-mail geldt voor alle eindgebruikers, dus ook voor rechtspersonen en zzp'ers. Lid 3 van artikel 11.7 bevat wel een uitzondering: geen voorafgaande toestemming is nodig voor berichten aan een rechtspersoon of aan iemand die handelt in de uitoefening van zijn beroep of bedrijf, als u gebruikmaakt van elektronische contactgegevens die de ontvanger zelf heeft bestemd en bekendgemaakt voor het ontvangen van zulke berichten, en u ze gebruikt in overeenstemming met de doeleinden die de ontvanger daaraan heeft verbonden.

Een algemeen e-mailadres op een website valt daar niet automatisch onder: het gaat om een adres dat uitdrukkelijk voor het ontvangen van commerciële berichten is bekendgemaakt. Is dat niet zo, dan hebt u ook voor zakelijke ontvangers toestemming nodig of moet de klantenuitzondering van toepassing zijn.

De uitzondering voor bestaande klanten

Zonder toestemming mag u e-mailen als aan alle voorwaarden van artikel 11.7, lid 4, Tw is voldaan:

• U hebt het e-mailadres van de klant gekregen in het kader van de verkoop van een product of dienst.
• U gebruikt het voor commerciële berichten over eigen gelijksoortige producten of diensten.
• U hebt de klant bij het verzamelen van het adres duidelijk en uitdrukkelijk de gelegenheid gegeven om kosteloos en eenvoudig bezwaar te maken.
• Heeft de klant toen geen bezwaar gemaakt, dan biedt u die gelegenheid opnieuw in elk verzonden bericht.

Wat in elke nieuwsbrief moet staan

• De werkelijke identiteit van degene namens wie het bericht wordt verstuurd (art. 11.7, lid 7, onder a, Tw). De ACM: gebruik geen fantasienaam.
• Een geldig adres of nummer waar de ontvanger een verzoek tot beëindiging kan indienen (art. 11.7, lid 7, onder b, Tw). In de praktijk: een afmeldlink in elke editie.
• Afmelden moet volgens de ACM snel en kosteloos kunnen, zonder ingewikkelde vragenlijst.
• Het intrekken van toestemming moet even eenvoudig zijn als het geven ervan (art. 7, lid 3, AVG).

Is double opt-in verplicht?

Nee, de Telecommunicatiewet en de AVG schrijven double opt-in niet letterlijk voor. Wel moet u kunnen aantonen dat de ontvanger toestemming heeft gegeven (art. 11.7, lid 1, Tw en art. 7, lid 1, AVG). Bij een gewone aanmelding via een formulier kunt u niet bewijzen dat de eigenaar van het adres zich echt heeft ingeschreven. Met double opt-in bevestigt de ontvanger de aanmelding via een link in een e-mail, wat een sterk bewijs oplevert.

De AP geeft aan dat u niet alleen de toestemming zelf moet vastleggen, maar ook op basis van welke informatie die is gegeven: bijvoorbeeld gegevens over het websitebezoek waarin de toestemming is gegeven, documentatie van uw werkwijze en een kopie van de informatie die de persoon vooraf te zien kreeg. Verzamel daarbij niet meer gegevens dan nodig.

Grondslag en sancties onder de AVG

Voor het verwerken van e-mailadressen hebt u een grondslag uit artikel 6 AVG nodig; voor een nieuwsbrief op basis van toestemming is dat artikel 6, lid 1, onder a. Inbreuken op de voorwaarden voor toestemming (artikelen 5, 6, 7 en 9 AVG) kunnen worden bestraft met administratieve geldboeten tot 20 000 000 EUR of, voor een onderneming, tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, als dat bedrag hoger is (art. 83, lid 5, AVG). De ACM handhaaft het spamverbod uit de Telecommunicatiewet.

Veelgestelde vragen