Telecommunicatiewet

De betekenis van telemarketing is het telefonisch verkopen of aanprijzen van producten of diensten. Hierbij worden telemarketeers ingezet, veel bedrijven kiezen ervoor om een call center bureau in te schakelen voor hun telemarketingactiviteiten.

Een opt-in en opt-out zijn termen uit de marketing. Ze worden gebruikt om aan te geven of je als organisatie toestemming nodig hebt om een consument via een bepaald kanaal te benaderen (opt-in) of dat dit niet nodig is en je een consument mag benaderen tot zij zich afmeldt (opt-out).

Op basis van de Telecommunicatiewet zijn dit het versturen van commerciële e-mails, telemarketing en cookie marketing opt-in. Let hierbij op, dat je als organisatie de consumenten hierover juist informeert en ook recht van bezwaar aanbiedt. Volgens de AVG moeten organisaties aan hun verantwoordingsplicht voldoen waarbij de aantoonbaarheid van toestemming en transparantie vereist is.

Bij een opt-in draait het om het verlenen van actieve toestemming vooraf. Deze toestemming dient vrijwillig te zijn en geen impact voor de consument te hebben. Deze klanten kunt u benaderen via e-mail, post en telefonisch. Daarbij dienen bedrijven de optie te geven om deze toestemming weer makkelijk in te kunnen trekken, zoals via de klantenservice of via een afmeld link op de website of onderaan het e-mailbericht. Een opt-out voor e-mail betekent dus een afmeldmogelijkheid voor e-mail.

De opt-out is een marketingterm die aangeeft dat een organisatie geen voorafgaande toestemming nodig heeft om iemand via een marketing kanaal te benaderen, zoals via geadresseerde post (direct mail). Opt-out wordt daarnaast ook gebruikt om aan te geven dat iemand zich kan afmelden voor marketing via een bepaald kanaal.

De wetgever vindt dat organisaties in principe in staat moeten zijn om eigen klanten te benaderen. Daarom hebben zij bij de opt-in kanalen telemarketing en e-mail organisaties een milder regime, dat heet de klantrelatie-uitzondering oftewel soft opt-in.

Een soft opt-in is wanneer de consument een product of dienst heeft gekocht en hierbij zijn of haar telefoonnummer en e-mailadres online heeft ingevuld. Hierdoor mogen bedrijven de consument benaderen voor marketing doeleinden onder de klantrelatie. De soft opt-in houdt in dat:

Als een organisatie het contactgegeven (e-mailadres) heeft verkregen in het kader van een verkoop van een product of dienst; mag de organisatie dat gegeven gebruiken om de betrokkene te benaderen met eigen en gelijksoortige producten en diensten, mits de organisatie hem hierover informeert bij het verzamelen en een afmeldmogelijkheid biedt.

Het is belangrijk om te weten dat het telefonisch benaderen onder de klantrelatie voor marketing doeleinden maximaal drie jaar mag duren nadat iemand voor het laatst iets gekocht of besteld heeft.

Het verschil is overzichtelijk uit te leggen.

• Een opt-in = toestemming = actieve handeling aanmelden.
• Een soft opt-in = klantrelatie = actieve handeling afmelden.

Bij een opt-in is het krijgen van toestemming essentieel en dit kan via een enkele of dubbele opt-in.

Volgens de Telecommunicatiewet, de AVG en de Code E-mail volstaat een enkele opt-in om toestemming aan de ontvanger te vragen voor het toezenden van reclame via e-mail.

Bij een enkele opt-in vullen consumenten hun e-mailadres en/of telefoonnummer in en dan is het klaar. Bij een dubbele opt-in wordt er ook nog een bevestiging naar de consument gestuurd. Pas als hij bevestigd zal hij de e-mails ontvangen. Dit is ook een goed moment om na te gaan of de juiste e-mailadressen worden gebruikt en data vervuiling te voorkomen. Alleen de echt geïnteresseerde ontvangers zullen het proces doorlopen en afronden waardoor de organisatie een kwalitatieve betrokken e-mail base creëert.

De ACM heeft in het verleden in besluiten gezegd dat toestemming voor e-mail en telefoon niet gecombineerd kan worden. Ook de EDPB (de club van EU toezichthouders) geeft aan dat toestemming per verwerking moet worden gegeven.

In sommige gevallen kunt u zich afvragen wat de verwerking is. Als u in het kader van een specifieke campagne – voor bijvoorbeeld moedersterfte of het redden van de panda in China – gegevens verzamelt voor public engagement. Wat is dan de verwerking? Is dat de campagne, de gegevensverzameling voor benadering in het kader van fondsenwerving of het toesturen van e-mails? Daar kan u mee experimenteren en afwegen hoe scherp u aan de wind wil varen.

Volgens Artikel 11.7 van de Telecommunicatiewet (Tw) heeft een organisatie voor het versturen van commerciële, charitatieve of ideële communicatie per e-mail of telefoon voorafgaande toestemming nodig van de ontvanger. Dit geldt voor alle communicatie met een reclame of fondsenwervende boodschap. Dus ook e-mailnieuwsbrieven, sommige persberichten of marktonderzoeken, een petitie of een oproep tot doneren.

De wet benoemt één uitzondering op de verplichte toestemming voor het verzenden van e-mail of telemarketing: namelijk wanneer de organisatie de contactgegevens van de consument heeft gekregen ‘in het kader van de verkoop’ en u dit gebruikt om ‘eigen en gelijksoortige producten of diensten’ aan te bieden. In de volksmond wordt dit ook wel ‘de uitzondering van de klantrelatie’ of een ‘soft opt-in’ genoemd. In dat geval mag een organisatie een klant benaderen zonder toestemming. Voor goede doelen is er bovendien een verruiming van het begrip klantrelatie in de  Telecommunicatiewet opgenomen. Het klantbegrip voor goede doelen wordt opgerekt van mensen die een schenking doen tot vrijwilligers (bijvoorbeeld collectanten) en bezoekers van manifestaties. Naast gevers in geld kunnen goede doelen zodoende ook gevers in tijd onder de klantrelatie (soft opt-in) bellen én mailen. De Telecomwet legt de klantrelatie als volgt uit:

• als een organisatie het contactgegeven heeft verkregen in het kader van een schenking, vrijwilliger relatie of manifestatie waaraan de betrokkene deelnam;
• mag de organisatie dat gegeven – zoals een e-mailadres of telefoonnummer – gebruiken om de betrokkene te benaderen met eigen en gelijksoortige producten en diensten, mits de organisatie hem hierover informeert bij het verzamelen en een afmeldmogelijkheid biedt.

Organisaties zijn op grond van de Telecommunicatiewet verplicht in elke e-mail en telefoongesprek de betrokkene te wijzen op zijn recht van bezwaar. In e-mail doet men dit door een afmeldlink onderaan de e-mail te plaatsen. Volgens de Code E-mail moet een ontvanger zich kunnen afmelden op het niveau waarop hij zich aanmeldt. Op concern of holding niveau, of voor het label waarvoor hij zich heeft ingeschreven. Dit gebeurt door een afmeldhyperlink op te nemen in de e-mail. Bij telemarketing wordt invulling gegeven aan deze verplichting door het Recht van verzet aan te bieden met een IVR.

Organisaties moeten toestemming kunnen aantonen zo stelt artikel 7 van de Algemene Verordening Gegevensbescherming (AVG): wanneer de verwerking berust op toestemming, moet volgens de AVG de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens. Bedrijven moeten kunnen aantonen dat er toestemming gegeven is of dat er sprake is van een klantrelatie. De toestemming moet daadwerkelijk vindbaar zijn of er moet een bewijs aan te leveren zijn van het moment dat de klantrelatie gestart of beëindigd is.

Nee. Volgens de ACM is sprake van een klantrelatie indien de contactgegevens zijn verkregen in het kader van een financiële transactie. Klantgegevens die verkregen zijn doordat iemand informatie heeft aangevraagd mogen niet gebruikt worden om hem in het vervolg te e-mailen, tenzij hij hier toestemming voor heeft gegeven.

Er is wettelijk geen vormvereiste aan toestemming voor e-mail. Als de accountmanagers mondeling toestemming hebben gevraagd, is dit net zo goed toestemming. Alleen kan een organisatie dit waarschijnlijk niet bewijzen als  er klachten zijn.

Een cookie is een klein tekstbestand met een lange computercode die informatie verzamelt. Een cookie wordt door de website die iemand bezoekt op zijn device gezet (apparaat waarmee men de site bezoekt) en opgeslagen.

Deze informatie wordt bij een volgend bezoek weer naar de website (server) teruggestuurd. Zo kan de website de bezoeker opnieuw herkennen en bijhouden wat de hij in het verleden heeft gedaan. Dat is handig want zo onthoud een site de taalinstellingen, hoef je niet opnieuw in te loggen of worden de items in de winkelmand onthouden. Het wordt gebruikt voor fraudebestrijding en andere relevante functies. Het kan ook worden gebruikt voor gerichte marketing of content.

Er zijn verschillende soorten cookies, wij lichten de meest voorkomende cookies die worden gebruikt toe: functionele, analytische, tracking en affiliate cookies.

1. Functionele cookies
   De functionele cookies zijn nodig om websites technisch goed te laten functioneren, hierdoor is toestemming niet nodig. Dit zijn cookies die gebruikt worden om de items van een winkelmandje te onthouden en bijvoorbeeld ook om inloggegevens te onthouden, een taal of land te herkennen of te zien of je de site bezoekt vanaf een pc, tablet of telefoon. Voor functionele cookies is geen toestemming nodig.
   
2. Analytische cookies
   Analytische cookies zijn niet nodig voor het functioneren van de website, maar worden wel gebruikt voor de analyse ervan zoals Google Analytics. Deze verzamelen cijfers zoals het aantal website bezoekers, het klikgedrag en populaire onderwerpen. Hiermee kunnen organisaties hun websites onder de loep nemen om hun marketing te kunnen verbeteren. Als u de data samenvoegt (aggregatie) dan heeft dit weinig impact op de privacy van de webbezoeker en hoeft u geen toestemming te vragen voor deze cookies. Maar als de cookies wel unieke identifiers bevatten en bezoekers volgen, dan moet toestemming gevraagd worden.
3. Tracking cookies
   De tracking cookies hebben wel invloed op de privacy. Ze zijn niet nodig om een website goed te laten functioneren. Ze worden ingezet om een bezoeker lange tijd binnen de site en soms op andere sites te volgen. Via deze cookies worden profielen gebouwd van webbezoekers zodat organisaties specifieke inhoud of reclames kunnen tonen om zo in te spelen op de persoonlijke voorkeuren van de webbezoeker. Toestemming vragen voor deze cookies is noodzakelijk.
4. Affiliate cookies
   Affiliate cookies meten de effectiviteit van een advertentie. Ze houden bij welke advertentie leidt tot een aankoop, zodat degene die deze advertentie heeft getoond (de affiliate oftewel tussenhandelaar) hiervoor een beloning kan ontvangen. Hierdoor hebben ze geringe privacy impact en wordt voor deze cookies geen toestemming gevraagd.

Organisaties gebruiken cookies om websites gebruikersvriendelijker te maken en om informatie te verzamelen over de webbezoekers. Met het doel om webbezoekers persoonlijk te benaderen of gericht te adverteren. Deze informatie is indirect herleidbaar tot een persoon waardoor de Algemene Verordening Gegevensbescherming (AVG) in beeld komt. De Cookiewet (opgenomen in de Telecommunicatiewet artikel 11.7a) zoomt verder in op het gebruik van de techniek.

De Cookiewet verplicht organisaties om webbezoekers te informeren en om toestemming te vragen.

Informeren

Als uw website cookies plaatst moet u de bezoekers hierover duidelijk en volledig informeren. De wettelijke toezichthouder Autoriteit Consument & Markt (ACM) zegt hierover het volgende:

Informeren mag niet door een vage verwijzing naar een privacy of cookiestatement. Een cookiestatement is wel geschikt om nadere uitleg te verstrekken en bijvoorbeeld de werking van de cookies die uw website plaatst te benoemen. In uw privacy statement moet u dan de volgende zaken vermelden:

Welke cookies worden geplaatst;

• Voor welk doel (analytics, conversie-attributie, online advertising of personalisatie);
• Welke informatie wordt met een cookie vastgelegd;
• Of de informatie verstrekt wordt aan derden.

De informatie over het plaatsen van cookies moet op een zichtbare plek op de website staan, met een begrijpelijke uitleg waarom u de cookie plaatst en welke informatie met welk doel wordt verzameld moet terug te vinden zijn in uw cookie statement.

Toestemming

De tweede verplichting is dat u toestemming moet vragen voor het plaatsen van cookies. De toestemming geldt niet voor cookies die noodzakelijk (functioneel) zijn.

Voorbeelden van noodzakelijke cookies zijn:

• Cookies die gebruikt worden bij het onthouden van items in een winkelmandje;
• Cookies om inloggegevens te onthouden.

U kunt op dit moment op meerdere manieren toestemming vragen voor het plaatsen van de cookies. Dit kan bijvoorbeeld via een pop-up of een banner waarmee u toestemming of geen toestemming kunt vragen voor het plaatsen van cookies. Let hierbij op om een onderscheid te maken in de verschillende soorten cookies, zodat de webbezoeker hiervoor apart zijn of haar toestemming kan geven.

• Cookie statement: biedt een cookiestatement aan. Een soort privacy statement waarin u alle cookies die geplaatst kunnen worden benoemd, samen met hun functie, welke informatie ze verzamelen en hun bewaartermijn. Zorg dat het cookiestatement makkelijk te vinden is op uw website, bijvoorbeeld door een hyperlink in de footer.
• Cookiebanner: als u tracking cookies plaatst of analytics cookies met een unieke identifier dan moet u toestemming vragen. Dat kunt u doen met een cookiebanner: een soort pop-up op de website waarin de webbezoeker kan aangeven of hij wel of geen cookies wilt. Voor de voornoemde cookies moet de toestemming actief gegeven worden, dit mag dus niet default aan staan. Onze privacy toezichthouder de Autoriteit Persoonsgegevens geeft ook aan dat een cookiewall niet mag. Dit is het model waarbij mensen die een website willen bezoeken of app willen gebruiken, de vraag krijgen om cookies te accepteren voordat zij toegang krijgen tot de website. Geven zij geen toestemming, dan krijgen zij geen toegang. Volgens de toezichthouder kan deze toestemming niet vrij worden gegeven.
• Cookie procesbeschrijvingen: documenteer welke cookies in gebruik zijn en weet welke impact deze hebben op de privacy van bezoekers, zodat het inzichtelijk is voor de organisatie en ook aantoonbaar is voor toezichthouders zoals de ACM. En vraag uzelf af of deze gebruikte (vooral third-party) cookies wel passen bij uw organisatiecultuur.

De toezichthouder AP ziet IP-adressen als een persoonsgegeven. Het maakt niet uit of deze adressen gebruikt worden op een B2B of B2C website.  Zeker omdat deze (al dan niet in combinatie met andere data) kunnen worden gebruikt om bezoekers te individualiseren of identificeren. Let op ze hoeven hier niet voor gebruikt te worden, alleen de mogelijkheid maakt volgens de AP van IP-adressen opslaan al een verwerking van persoonsgegevens. Dit is specifiek benoemd in het rapport van de toezichthouder over de cookies van de Nederlandse Publieke Omroep. Zij maakten gebruik van de zogenaamde comScore cookie. Hier werden ook IP-adressen opgeslagen. Deze cookies werden gebruikt om geaggregeerd publieksbereik te meten. Maar omdat IP-adressen met de cookies werden opgeslagen en omdat bezoekers (zij het geaggregeerd) getrackt werden bij het gebruik van de site, heeft een organisatie hier volgens de AP toestemming voor nodig.

Er kan bij doorsurfen sprake zijn van toestemming, mits de cookiebanner dit aangeeft. Er zijn een aantal essentiële elementen voor die ‘eerste laag’, de banner:

• in de eerste laag wordt kort de identiteit bekendgemaakt van degene(n) die de cookies plaatst en uitleest [indien van toepassing: plaatsen en uitlezen];
• als er ook toestemming wordt gevraagd voor andere websites, moet dat duidelijk worden gemaakt, de exacte identiteit van de andere websites kan in de tweede laag worden bekendgemaakt;
• er moet kort worden medegedeeld van welke categorieën van cookies gebruik wordt gemaakt;
• ook moet kort worden medegedeeld voor welke doelen de cookies worden gebruikt; voor commerciële cookies kan worden medegedeeld dat het gaat om gebruik voor het aanbieden van gepersonaliseerde advertenties;
• als gebruik wordt gemaakt van andere technieken dan cookies, moet ook dat worden aangegeven, bijvoorbeeld door verwijzing naar ‘vergelijkbare technieken’; die worden vervolgens toegelicht in de tweede laag;
• het moet in de eerste laag ook duidelijk zijn door welke actie de websitebezoeker toestemming geeft, bijvoorbeeld door het aanklikken van een akkoord- of oké-knop of door verder gebruik te maken van de webpagina. Dit is sowieso doorsurfen naar een tweede pagina, scrollen op dezelfde pagina valt hier niet onder, uiteraard ook niet het doorklikken naar de cookie-instellingen;
• uiteraard moet er een link zijn naar de tweede laag om de uitgebreidere informatie te kunnen bekijken of om, als dat van toepassing is, gedifferentieerde toestemming te geven (bijvoorbeeld wél voor social media, niet voor andere websites).

Cookies stellen een adverteerder in staat om gericht te adverteren binnen hun eigen site of op een site van derden. Op een generieke webpagina zoals nu.nl of marktplaats herkent de cookie bijvoorbeeld de schoenenliefhebber en kan hem of haar een persoonlijke advertentie worden getoond. Dit is handig want je hebt zo meer effectieve advertentieruimte. Het maakt namelijk niet uit of u op de homepage staat met uw advertentie.

Cookie-marketing duidt dus op de praktijk waarbij webbezoekers gericht en persoonlijk worden benaderd met content of aanbiedingen op basis van hun surfgedrag. Dit kan binnen de eigen site van een organisatie en op de sites van derden, waar de adverteerder een advertentie uitserveert aan bepaalde profielen. Dit mag op basis van toestemming die wordt uitgevraagd in de cookiebanner van de adverteerder of de derde website indien een adverteerder daar adverteert.

Er bestaat ook zoiets als re-marketing. Bij re-marketing wordt op de site van een adverteerder een third party cookie geplaatst bijvoorbeeld van Facebook of Google, die de bezoeker die de site van de adverteerder heeft verlaten, op een later moment herkent op het Facebook of Google platform en hem hier nog eens een advertentie van de adverteerder laat zien. Dit mag op basis van toestemming die wordt uitgevraagd in de cookiebanner en de toestemming die de platformen hebben gevraagd voor deze advertenties in hun platform.

Er bestaan (voorlopig nog) first-party cookies en third-party cookies. De first-party zijn cookies die worden geplaatst vanuit de website die een bezoeker bezoekt. Third-party cookies worden door andere partijen geplaatst vanuit de website die iemand bezoekt. De website zelf kan deze cookies niet uitlezen.

Inmiddels zijn deze third-party cookies in opspraak. De browsers (Firefox, Edge, Safari) weigeren deze al standaard of gaan dit doen (Chrome). Third-party cookies zijn daarom in rap tempo aan het verdwijnen. Dat leidt ertoe dat adverteerders alleen nog informatie kunnen verzamelen met first-party cookies en hierop kunnen targetten.

Dat betekent dat adverteerder A gerichte content of advertenties kan laten zien aan webbezoekers binnen zijn eigen websites. Adverteerder A kan ook nog adverteren op sites van derden, maar ook die zijn afhankelijk van first-party cookies of eigen data en moeten dus voldoende bereik hebben. Dat werkt dus voordelig voor online platformen (immers Google en Facebook hebben ingelogde gebruikers). Het schaalvoordeel geldt ook voor bepaalde uitgevers met een groot aantal websites en bezoekers.

Re-marketing wordt zeer moeizaam door het afschaffen van third-party cookies omdat het niet meer mogelijk is iemand over websites te volgen.

Er spelen een aantal ontwikkelingen in cookie marketing. Zo verdwijnen de privacy onvriendelijke ‘third party cookies’ en stappen veel organisaties over op server-side tagging of tracking, wat ook de privacy van de webbezoeker beter borgt.

Server-side tracking houdt in dat een cookie, die geplaatst wordt vanuit een website, niet meteen wordt uitgelezen van het apparaat van de gebruiker, maar via een server naar één van de trackers (Google Analytics, Facebook, Bing) wordt gestuurd. De adverteerder is dan in de lead ten aanzien van de informatie die zij deelt met de platformen.

Dat is even de vraag. De platformen zijn bezig met het ontwikkelen van technieken waarbij targetting en re-targetting mogelijk blijft maar niet meer op individueel niveau, maar op groepsniveau.

Privacy technisch zijn er wel wat onduidelijkheden. Het is nu al mogelijk om gedragsmodellering te doen op basis van niet identificeerbare pings die naar een platform worden gestuurd: zoals timestamp, user agent, referrer en geaggregeerde informatie zoals click informatie en page loads. Op basis van die anonieme data wordt dan een gedragsmodel voor een bezoeker gemaakt op basis waarvan hem toch gerichte content kan worden getoond. Dus ook met gedragsmodellering wordt een profiel gemaakt dat bedoeld is om bezoekers te individualiseren, ook al kan je hem niet identificeren.

Daarnaast valt de techniek, het sturen van pings, vermoedelijk onder de reikwijdte van de cookiewet. Die geeft aan dat als je informatie uitleest van de randapparatuur van een bezoeker, hiervoor toestemming vereist is. Behalve als dit noodzakelijk is voor het leveren van de dienst of om communicatie over een netwerk mogelijk te maken. Die pings kunnen wel technisch noodzakelijk zijn maar worden nu ook commercieel gebruikt. De vraag luidt dus of gedragsmodellering de tand de tijds doorstaat.

De Autoriteit Consument & Markt (ACM) ziet toe dat websites die surfgedrag van webbezoekers volgen, zich aan de regels van de Cookiewet houden en kunnen ook boetes uitdelen mochten organisaties dit niet doen. De Autoriteit Persoonsgegevens kan ingrijpen als cookies gebruikt worden om persoonsgegevens te verwerken en dit niet volgens de AVG gebeurt.