MKB Juristen stelt juridische documenten op maat op
Het beste is om belangrijke contracten, algemene voorwaarden en andere juridische documenten niet zelf te knutselen of te kopiëren. Wij helpen ondernemers budgetvriendelijk met juridisch maatwerk, vooraf duidelijke kosten en praktische uitleg.
- Contracten, voorwaarden en juridische documenten op maat
- Budgetvriendelijk en vooraf duidelijk over de kosten
- Gratis adviesgesprek of vrijblijvend een offerte aanvragen
Voor e-mailtracking is in veel gevallen voorafgaande, ondubbelzinnige toestemming van de ontvanger nodig. Een trackingpixel verwerkt persoonsgegevens – zoals het IP-adres en het tijdstip van openen – die herleidbaar zijn tot een individu. Wil je puur het algemene bereik van een nieuwsbrief meten op geaggregeerd niveau, dan is er soms ruimte om je op een andere grondslag te beroepen. Maar gebruik je tracking om vast te leggen of een specifieke ontvanger jouw mail heeft geopend, dan is toestemming vrijwel altijd vereist. In alle gevallen geldt bovendien een informatieplicht in je privacy statement.
Wat is e-mailtracking?
Bij e-mailtracking wordt er een onzichtbaar plaatje aan een e-mail toegevoegd. Dit beeld is transparant en met een lengte en breedte van slechts één pixel zo klein dat de ontvanger het niet ziet. Daarom spreken we van een trackingpixel (ook wel tracking pixel, web beacon of spy pixel). Voor de ontvanger is meestal niet zichtbaar dat er trackingsoftware in het spel is.
Zodra de mail wordt geopend, downloadt het mailprogramma het plaatje automatisch van de server van de afzender om het “weer te geven”. Bij dat verzoek kan de afzender een aantal gegevens registreren, zoals:
- het IP-adres van de ontvanger;
- een tijdstempel (wanneer en hoe vaak de mail is geopend);
- gegevens over de browser en het besturingssysteem;
- soms de globale locatie die uit het IP-adres volgt.
Die gegevens kunnen vervolgens worden gekoppeld aan het e-mailadres van de ontvanger en daarmee aan diens identiteit. Naast het openen van de mail wordt vaak ook klikgedrag gemeten via omgeleide links: zo zie je niet alleen of een mail is geopend, maar ook op welke link is geklikt.
Waarvoor wordt e-mailtracking gebruikt?
Ondernemers zetten e-mailtracking meestal in om de effectiviteit van een mailcampagne te meten: hoeveel procent van de ontvangers opent de nieuwsbrief, op welke links wordt geklikt en wat is het beste verzendmoment? Tracking kan daarnaast een bewijsrechtelijk doel dienen, bijvoorbeeld om aan te tonen dat een bepaalde ontvanger een belangrijk bericht daadwerkelijk heeft geopend.
Een bekend voorbeeld is de Dienst Uitvoering Onderwijs (DUO). Volgens berichtgeving gebruikte DUO trackingsoftware in e-mails om te kunnen aantonen dat studenten berichten hadden ontvangen en geopend. Na overleg met de Autoriteit Persoonsgegevens stopte DUO met deze werkwijze. Dat illustreert dat juist het op persoonsniveau vastleggen van leesgedrag privacygevoelig ligt – ook bij een overheidsinstantie met een ogenschijnlijk legitiem belang.
Het gaat om persoonsgegevens, dus de AVG geldt
Omdat de geregistreerde gegevens aan een e-mailadres kunnen worden gekoppeld, gaat het om herleidbare persoonsgegevens. Ook een IP-adres geldt in beginsel als persoonsgegeven. Daarmee is de AVG van toepassing en mag je deze gegevens alleen verwerken als je daarvoor een geldige grondslag hebt.
De AVG kent verschillende grondslagen. De twee die bij e-mailtracking het meest spelen zijn:
- Toestemming – een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting van de ontvanger.
- Gerechtvaardigd belang – alleen bruikbaar na een zorgvuldige afweging tussen jouw belang en de privacy van de ontvanger.
Welke grondslag past, hangt sterk af van hoe intensief je tracket en waarvoor. Toestemming moet je bovendien kunnen aantonen en de ontvanger moet die net zo makkelijk kunnen intrekken als geven.
AVG én e-Privacy: twee regimes naast elkaar
Een trackingpixel benadert informatie op het apparaat van de ontvanger (het ophalen van het plaatje, soms het plaatsen of uitlezen van gegevens). Daarmee komt naast de AVG ook de e-Privacywetgeving in beeld, in Nederland verankerd in de Telecommunicatiewet. Die regels stellen veelal strengere eisen aan toestemming dan een “los” beroep op gerechtvaardigd belang onder de AVG. De praktijk en het toezicht op dit terrein zijn volop in beweging; laat je opzet bij twijfel juridisch toetsen in plaats van te varen op één algemene aanname.
Is e-mailtracking verboden?
Nee, e-mailtracking is niet per definitie verboden. De kern zit in de vraag op welke grondslag je je baseert en hoe je de toestemming organiseert. Grofweg zijn er twee situaties.
1. Individueel leesgedrag vastleggen
Gebruik je tracking om per ontvanger vast te leggen of en wanneer die een specifieke mail heeft geopend – bijvoorbeeld voor bewijs of voor het opbouwen van een profiel – dan zal je vrijwel altijd voorafgaande, ondubbelzinnige toestemming nodig hebben. Een ander gerechtvaardigd belang zal hier in de regel niet volstaan.
2. Alleen algemeen bereik meten
Wil je uitsluitend op geaggregeerd niveau meten – bijvoorbeeld welk percentage van de nieuwsbrieven is geopend, zonder dit te herleiden tot individuele ontvangers of profielen – dan zien sommige juristen ruimte om je op een gerechtvaardigd belang te beroepen. Die redenering sluit aan bij de benadering rond analytische cookies. Dit is echter geen vrijbrief: de privacy-impact moet aantoonbaar gering zijn en je moet de afweging kunnen onderbouwen.
Houd er rekening mee dat de Autoriteit Persoonsgegevens kritisch is op trackingpixels. De toezichthouder verwijderde zelfs een trackingpixel uit een eigen nieuwsbrief toen bleek dat die per ongeluk was meegestuurd. Kies daarom voor de veilige route: zo min mogelijk gegevens, een duidelijke afmeldmogelijkheid en transparantie.
Geldt dit ook voor zakelijke (B2B) nieuwsbrieven?
Veel ondernemers denken dat de regels alleen gelden voor consumenten. Dat klopt niet helemaal. De AVG beschermt natuurlijke personen, ook als zij in een zakelijke context handelen. Een persoonsgebonden zakelijk e-mailadres (zoals [email protected]) is doorgaans een persoonsgegeven, terwijl een algemeen adres als [email protected] dat in de regel niet is.
Voor het versturen van commerciële e-mail aan bestaande klanten bestaat onder voorwaarden een soepeler regime (de zogenoemde “soft opt-in”). Maar let op: dat ziet op het mogen versturen van de mail, niet automatisch op het op persoonsniveau tracken van leesgedrag. De vraag of je mag mailen en de vraag of je mag tracken zijn dus twee aparte beoordelingen.
Wat betekent dit voor jouw onderneming?
Of toestemming nu wel of niet strikt nodig is, je hebt hoe dan ook te maken met de informatieplicht uit de AVG. Praktisch betekent dit:
- Bepaal je doel. Meet je alleen open- en klikpercentages, of leg je individueel gedrag vast? Dat bepaalt je grondslag.
- Regel toestemming waar nodig. Vraag bij twijfel een aparte, actieve opt-in voor tracking en leg vast wanneer en hoe die is gegeven.
- Informeer transparant. Leg het gebruik van trackingpixels uit in je privacy statement en in de afmeldinformatie van je nieuwsbrief.
- Beperk de verwerking. Bewaar niet meer gegevens dan nodig en bied altijd een eenvoudige afmeldmogelijkheid.
- Controleer je tooling. Veel e-mailpakketten zetten tracking standaard aan. Weet wat je leverancier verzamelt en leg dit vast in een verwerkersovereenkomst.
Veelgestelde vragen over e-mailtracking en toestemming
Is een trackingpixel in een nieuwsbrief toegestaan?
Ja, mits je een geldige grondslag hebt en transparant bent. Voor het meten van individueel leesgedrag is doorgaans toestemming nodig; voor uitsluitend geaggregeerde statistieken is er soms ruimte voor een gerechtvaardigd belang. Informeer ontvangers altijd in je privacy statement.
Heb ik toestemming nodig voor het meten van open- en klikpercentages?
Voor puur geaggregeerde meting zonder herleiding tot individuen kan een gerechtvaardigd belang volstaan, maar dat moet je per geval onderbouwen. Zodra je gedrag herleidt tot een specifieke ontvanger of er profielen mee opbouwt, is toestemming vrijwel altijd vereist. Bij twijfel is toestemming de veiligste keuze.
Is een IP-adres een persoonsgegeven?
In beginsel wel. Een IP-adres geldt doorgaans als herleidbaar persoonsgegeven, waardoor de AVG van toepassing is op de verwerking ervan via een trackingpixel.
Geldt e-mailtracking ook voor B2B-nieuwsbrieven?
Ja, voor zover je persoonsgebonden zakelijke e-mailadressen gebruikt. De AVG beschermt natuurlijke personen ook in een zakelijke context. Een soepeler regime voor het versturen aan bestaande klanten betekent niet automatisch dat je ook leesgedrag op persoonsniveau mag tracken.
Wat moet er in mijn privacy statement staan over e-mailtracking?
Vermeld dat je tracking gebruikt, welke gegevens je verwerkt, met welk doel en op welke grondslag, hoe lang je gegevens bewaart en hoe ontvangers zich kunnen afmelden of bezwaar kunnen maken. Onze juristen kunnen je privacy statement hierop afstemmen.
Wat zijn de risico’s als ik geen toestemming vraag?
Bij een onrechtmatige verwerking kan de Autoriteit Persoonsgegevens handhavend optreden. Dat kan leiden tot reputatieschade en, afhankelijk van de ernst, tot een sanctie. Een zorgvuldige onderbouwing en transparante communicatie verkleinen dat risico aanzienlijk.
Laat je e-mailmarketing juridisch toetsen
Maak je gebruik van e-mailtracking of ben je dat van plan? Laat dan eerst beoordelen of je de juiste grondslag hanteert en of je privacydocumenten op orde zijn. Onze specialisten op het gebied van privacy en gegevensbescherming denken graag met je mee. Met ons AVG-pakket regel je je privacydocumentatie in één keer goed.
Wil je direct sparren met een jurist? Plan een vrijblijvende intake in en zorg dat de Autoriteit Persoonsgegevens jou niet hoeft terug te fluiten.
