Studenten marktonderzoek ontvangen vanuit webshop

[Flapperbol]

Enkele maanden geleden heb ik via mijn werk email een zakelijke bestelling geplaatst bij een (nog) niet nader te noemen webshop. Bestelling is daarna ontvangen, dus voor mij was de zaak afgerond.

Zojuist ontvang ik een email van drie studenten, vanaf het info emailadres van de webshop, met een uitnodiging voor een marktonderzoek voor de opleiding die zij volgen.
Ik doe even de aanname dat ze het gehele klantenbestand hebben gemailed maar gelukkig iedereen als BCC (heb een hogeschool dat al eens fout zien doen...) dus dat is in ieder geval een meevaller.

Echter heb ik nooit toestemming gegeven voor het delen van mijn gegevens aan derden. Dit is überhaupt nergens op de website aan te geven en komt ook tijdens het registratieproces niet aan bod.
En ik kan het mis hebben, maar volgens mij is een markt onderzoek niet relevant om mijn, al afgehandelde, bestelling goed te laten verlopen.

Dus mijn vraag:
Mag een webshop zomaar mijn contactgegevens delen met een groep studenten voor een marktonderzoek?


Ik denk dat het niet mag, maar wellicht zit er ergens een addertje onder het gras waardoor ze stiekem wel deze informatie mogen delen?


Wellicht een relevante greep uit de privacy verklaring:

Wij gebruiken uw gegevens om de bestellingen zo snel en gemakkelijk mogelijk te laten verlopen. Voor het overige zullen wij deze gegevens uitsluitend gebruiken met uw toestemming. Webshop X zal uw persoonlijke gegevens niet aan derden verkopen en zal deze uitsluitend aan derden ter beschikking stellen die zijn betrokken bij het uitvoeren van uw bestelling.

(Dit komt uit een template aangezien je hiermee op Google duizenden webshops vindt)

Overigens lig ik hier absoluut niet wakker van, maar aangezien ik steeds meer met security en privacy bezig ben vind ik het wel een interessante kwestie.

Uiteraard zelf ook aan de Google gegaan, maar verder dan "alleen met toestemming" kom ik niet. Ik ben vooral benieuwd of dit onder "relevant zaken doen" valt, of dat ze slordig met het klantenbestand omgaan.

[Bartske]

https://autoriteitpersoon...matie-en-meldpunt-privacy

Je zou de vraag aan deze instantie kunnen voorleggen?

[Rukapul]

Een logischer uitleg is dat de studenten geen toegang tot de data hebben gekregen, maar dat de mail namens hen is verstuurd.

Natuurlijk kun je wel toetsen of er een grondslag voor het versturen van de mail bestaat. Meestal heeft men daar wel een haakje voor.
Het onderzoek zelf dient te voldoen aan de voorwaarden. Meestal wordt dat ingestoken vanuit informed consent.

[ Voor 8% gewijzigd door Rukapul op 13-03-2023 17:01 ]

[F_J_K]

Als het van info@ komt zal inderdaad de lijst adressen niet bij de studenten terecht hoeven te zijn gekomen. En ook als wel: een bedrijf mag derden inschakelen voor bepaalde werkzaamheden. Dan wel met (verwerkers-/geheimhouding) overeenkomst.

Behalve als de studenten zeggen niet namens het bedrijf te mailen maar namens henzelf. Dan mogen ze je mailadres niet zien (tot je het aan ze geeft door te beantwoorden).

Mailen mag het bedrijf ook, quote van de ACM:

Bestaande klanten mag u ongevraagd berichten sturen over diensten of producten die te maken hebben met wat ze eerder hebben gekocht.

Behalve als ze hebben gezegd dat niet te doen.

[BytePhantomX]

Aangezien ze uit info@webshop mailen, is er niets gedeeld met derden. Als de vragenlijst daarna ook nog eens anonniem is, dan lijkt mij dat er niet zoveel aan de hand is.

Is het irritant, zeker. Maar niet verboden als je klant bent.

[bw_van_manen]

Ik heb tijdens mijn afstudeeropdracht ook alle klanten van een bedrijf mogen benaderen. Ik was tijdens die afstudeeropdracht in dienst van het bedrijf en heb een geheimhoudingsverklaring getekend. De mail was door mij opgesteld, goedgekeurd door m'n begeleider en vervolgens verstuurd door de Marketing afdeling. In de ondertekening stond wel mijn naam en de universiteit, om duidelijk aan te geven dat de reacties gebruikt worden voor wetenschappelijk onderzoek.

Dat de mail onderdeel is van een onderzoek van studenten betekent dus nog niet dat studenten ook jouw mail adres gekregen hebben. Zelfs als dat wel het geval is hoeft het nog steeds geen probleem te zijn. Mocht je door deze mail twijfelen over het privacybeleid van het bedrijf kun je altijd hun privacy officer / DPO / FG benaderen met je vragen.

[Flapperbol]

Bedankt allen voor de opheldering!

[kodak]

De logische uitleg is helaas niet zomaar van toepassing. Het is namelijk gebaseerd op aanname, die niet aantoonbaar kloppen.

Ook gaat de verdere uitleg niet in op wat je zelf uit de voorwaarden haalt. Er kan niet zomaar zowel een 'alleen met toestemming' als een 'we vinden toch dat we dat zelf bepalen' van toepassing zijn.

Het meest logische lijkt dus om de webwinkel zelf uitleg te laten geven. Iets wat je eigenlijk al had mogen verwachten dat ze uit zichzelf zouden hebben gegeven.

[ Voor 4% gewijzigd door kodak op 14-03-2023 19:20 ]

[i-chat]

De logische uitleg is helaas niet zomaar van toepassing.

De logische oplossing is dat er gewoon grondslag is voor kortdurend (meestal maximaal een jaar) na de laatste transactie, correspondentie met het klantenbestand. je hoeft daar (voor zover ik weet) niet expliciet toestemming om te vragen, wel moet je gehoor geven aan de expliciete vraag het niet te doen...
Omdat dit in de praktijk eigenlijk onmogelijk realiseerbaar is geven veel bedrijven hun klanten liever gewoon een selectievakje (default aangevinkt) met houdt mij op de hoogte het uitvinken daarvan is dan die zogenaamde expliciete vraag het niet te doen.

Hoe het zit met privacy statements in dit soort gevallen is me niet bekend, zo recent is mijn kennis helaas niet. bovendien zijn dat voornamelijk ministeriele regelingen en handhavingsbesluiten - niet heel relevant dus als je er niet direct mee te maken hebt.

[Frogmen]

Je zegt het zelf al in je openingszin zakelijke bestelling dat stelt zeker met betrekking tot de AVG hele andere eisen of eigenlijk minder tot geen. Zakelijk mag er heel veel meer.

[F_J_K]

Frogmen schreef op vrijdag 17 maart 2023 @ 13:21:
Je zegt het zelf al in je openingszin zakelijke bestelling dat stelt zeker met betrekking tot de AVG hele andere eisen of eigenlijk minder tot geen. Zakelijk mag er heel veel meer.

Er is inderdaad bijv. contractvrijheid en geen / minder consumentenbescherming. Maar qua AVG?Waar blijkt dat uit in wettekst of jurisprudentie? Een (niet-algemeen) mailadres wordt er niet meer of minder een persoonsgegeven van.