Mailen volgens de regels: toestemming, opt-in en koude mails in België

Of: waarom je brievenbus openstaat en je mailbox niet

E-mailmarketing is het deel van de GDPR voor kleine bedrijven waar de meeste goede bedoelingen misgaan. Niet omdat ondernemers spammers zijn, maar omdat de regels voor een mailbox het omgekeerde zijn van wat we van de brievenbus gewoon zijn. En omdat er niet één wet op van toepassing is, maar twee.

Toestemming en e-mailmarketing onder de GDPR

De brievenbus en de mailbox

In België mag een folder in je brievenbus, tenzij je er een sticker „geen reclame” op kleeft. Je moet dus zelf nee zeggen. Dat heet opt-out.

Bij e-mail is het omgekeerd. Een reclamemail mag pas als de ontvanger er vooraf ja op heeft gezegd. Dat heet opt-in. De mailbox is, met andere woorden, een brievenbus met een sticker die er al op zit, en die alleen de eigenaar eraf mag halen.

Duw het beeld verder, want het verklaart ook de uitzonderingen. Een vaste klant die bij jou iets kocht, heeft je zijn adres zelf gegeven. Hem een folder over gelijkaardige producten sturen, is als de bakker die zijn vaste klanten laat weten dat er weer paasbrood is. En een bedrijf met een algemeen adres zoals info@ is geen persoon met een brievenbus thuis. Het is een onthaal, en een onthaal verwacht post.

Twee regelingen in dezelfde mail

1. De Belgische regels voor elektronische reclame (Boek XII van het Wetboek van economisch recht, en het koninklijk besluit van 4 april 2003) bepalen wanneer je iemand reclame mag mailen.
2. De GDPR bepaalt hoe je met de persoonsgegevens omgaat: het e-mailadres, de naam, wat je weet over wie wat opent.

Dat de ene regeling iets toelaat, betekent niet dat de andere tevreden is. Een mail kan onder de reclameregels toegelaten zijn en toch een GDPR-probleem hebben, bijvoorbeeld omdat je de gegevens langer bewaart dan nodig of niemand vertelt wat je ermee doet.

Wat geldige toestemming is

Toestemming onder de GDPR is geen vinkje. Het is een ja dat aan vier voorwaarden voldoet:

• vrij: het niet geven mag geen nadeel opleveren dat er niets mee te maken heeft;
• specifiek: toestemming voor je nieuwsbrief is geen toestemming voor alles;
• geïnformeerd: de persoon weet wie je bent en wat hij zal krijgen;
• ondubbelzinnig: een actieve handeling, zoals zelf een vakje aanvinken. Een vooraf aangevinkt vakje telt niet.

Daarbovenop moet je de toestemming kunnen bewijzen, en moet intrekken even makkelijk zijn als geven. Een uitschrijflink die naar een loginpagina leidt, waar je eerst je wachtwoord moet opvragen, is het soort ontwerp dat technisch een uitschrijflink heet en praktisch een doolhof is.

Een veelgebruikte manier om toestemming te bewijzen, is de dubbele opt-in: na de inschrijving krijgt de persoon een mail met een bevestigingslink, en pas na die klik staat hij op je lijst. De GDPR schrijft die methode niet voor, maar ze lost twee problemen tegelijk op: je hebt een bewijs, en niemand kan een ander op je lijst zetten.

De twee uitzonderingen

Zonder voorafgaande toestemming mag je reclame mailen in twee gevallen, volgens het koninklijk besluit van 4 april 2003:

• Bestaande klanten, als je hun e-mailadres rechtstreeks kreeg bij de verkoop van een product of dienst, je het alleen gebruikt voor gelijkaardige producten of diensten van jezelf, en je hen bij het verzamelen al de kans gaf om gratis en eenvoudig te weigeren.
• Bedrijven op een onpersoonlijk adres, zoals info@ of sales@. Een persoonlijk adres zoals voornaam.naam@bedrijf.be valt daar niet onder: daarvoor heb je wel toestemming nodig.

Voor koude mails naar bedrijven is dat laatste de belangrijkste regel. Een lijst met namen van aankopers, verzameld op websites of sociale media, bestaat bijna volledig uit persoonlijke adressen.

Wat er in elke reclamemail moet staan

Ook als je mag mailen, moet elke reclamemail herkenbaar zijn als reclame, duidelijk vermelden wie de afzender is, en een eenvoudige, gratis manier bieden om geen reclame meer te ontvangen. Wie zich uitschrijft, haal je van je lijst. Niet na drie maanden, en niet „van deze lijst, maar niet van de andere”.

Kmo-Kristof: Ik heb een lijst gekocht met vijfduizend e-mailadressen van zaakvoerders. Allemaal bedrijven, dus dat mag toch?

Security-Sofie: Hoe zien die adressen eruit?

Kmo-Kristof: Voornaam punt naam apenstaartje bedrijf.

Security-Sofie: Dan zijn het persoonlijke adressen. Daarvoor heb je toestemming nodig, van elk van die vijfduizend.

Kmo-Kristof: De verkoper zei dat ze allemaal toestemming gegeven hadden.

Security-Sofie: Aan hem. Niet aan jou. En de verkoper is niet degene die straks de klachten krijgt.

Wat kun je nu doen?

1. Bekijk je adressenlijst en verdeel ze in drie groepen: mensen die zelf ingeschreven zijn, bestaande klanten en onpersoonlijke bedrijfsadressen. Wat in geen van de drie past, mail je niet.
2. Controleer je inschrijfformulier: geen vooraf aangevinkt vakje, een duidelijke uitleg van wat men krijgt, en een link naar je privacyverklaring.
3. Bewaar het bewijs van elke inschrijving, zoals uitgelegd bij een nieuwsbrief die de GDPR respecteert: datum, formulier en bij voorkeur de bevestiging van een dubbele opt-in. De meeste nieuwsbriefprogramma’s doen dat automatisch.
4. Test je uitschrijflink alsof je een klant bent die het beu is. Werkt ze in één klik, dan is ze goed.
5. Kijk na welke dienst je mails verstuurt: een nieuwsbriefprogramma verwerkt de adressen van je klanten, dus ook daarvoor heb je een verwerkersovereenkomst nodig, zoals uitgelegd in de gids over afspraken met je leveranciers.

Mensen zijn wantrouwiger over wat er met hun e-mailadres gebeurt dan de meeste marketeers denken. De regels zijn in wezen een beschrijving van dat wantrouwen, en van hoe je het wegneemt: vraag het, bewijs het, en laat mensen even makkelijk vertrekken als ze binnenkwamen.