Kopen en doorverkopen van e-mailaddressen, mag dat?

[Atsjie]

Beste tweakers!

Mijn vraag
Een bedrijf waar ik mee werk overweegt het kopen van e-mailadressen en die door te verkopen/sturen naar haar klanten. De vraag is tweeledig:

- Mag dat onder GDPR (of CCPA)?
- Wat mag een eindgebruiker doen met die e-mailadressen?

Relevante software en hardware die ik gebruik
Er zijn tientallen services die je instaat stellen om e-mailadressen te vinden. Een voorbeeld is https://snov.io/email-finder -> vul een bedrijfsnaam en je krijgt wat gratis e-mail samples van bijv de CEO.

Veel van die services lijken sterk op elkaar; het zou me niets verbazen als het meerdere entiteiten zijn onder dezelfde vlag. Dit maakt het zo dat een enkele opt-out niet veel betekenis heeft.

De basis van die data lijkt via LinkedIn te komen; de klanten van die e-mail services zijn met name B2B sales teams die leads willen genereren/najagen.

Gezien de grote hoeveelheid diensten die dit aanbieden is het ondoenlijk om van een opt-out gebruik te maken zonder geautomatiseerde software (een voorbeeld; https://www.optery.com/)

Wat ik al gevonden of geprobeerd heb
Al die data providers zeggen ongeveer hetzelfde. Deze quote vond ik 1 van de duidelijkere:

A common misconception regarding GDPR is that the sole legitimate way to process personal information of UK/EU data subjects is through consent. Although consent is a legitimate ground for processing, it isn't the only one. Wiza's valid basis for processing data is its inherent interest in delivering its services to its users.

https://help.wiza.co/en/a...77-is-wiza-gdpr-compliant

Mocht consent inderdaad niet nodig zijn, en het kopen, verkopen en doorsturen van e-mailadressen dus juridisch legaal zijn... wat mag je legaal gezien dan wel/niet met e-mailadressen die zo zijn verkregen?

Het bedrijf waar ik mee werk zoekt het juridisch nog verder uit, maar ik was benieuwd of hier meningen en uitspraken over bekend zijn. Hoe goed dat juridisch onderzoek gaat zijn weet ik momenteel niet, en ik wil goede vragen kunnen stellen als die resultaten er zijn.

[ Voor 0% gewijzigd door Atsjie op 12-07-2024 22:25 . Reden: Zinsverbetering ]

[burnedhardware]

De autoriteit persoonsgegevens is in Nederland de instantie die de AVG/GDPR zou moeten handhaven. Zij zijn in verhouding tot hun europese collega’s strenger als het gaat om scrapen en handelen in gegevens en hebben al een aantal malen laten zien dat zij vinden dat winst maken voor een onderneming niet valt onder het rechtvaardig belang als grondslag voor het verwerken van persoonsgegevens.

Als je consent als grondslag gebruikt, dan moet je bijhouden hoe je die toestemming krijgt. Dit kan een actieve handeling zijn of een niet-vooraf-aangevinkte checkbox. Met een systeem van opt-out ben je niet compliant. En als ik me niet vergis moet je, als iemand een verwijderverzoek indient, deze gegevens laten verwijderen bij alle partijen met wie je de gegevens hebt gedeeld

https://www.autoriteitper...ing-bijna-altijd-illegaal

[anboni]

inherent interest

Zoals ik het begrijp wordt dit begrip (en de variaties zoals legitimate interest, in het Nederlands vaak vermangeld naar legitiem belang, officieel gerechtvaardigd belang) wel tamelijk opgerekt totdat het elastiek nog net niet breekt. Legitiem belang is de verwerking van persoonsgegevens van je klanten voor marketing doeleinden. Persoonsgegevens scrapen en bestempelen als klantgegevens maakt daar misbruik van. Gegevens onder die noemer scrapen en in een database stoppen die je ter beschikking stelt aan je klanten is nog een graadje erger.

Wat Wiza in die quote zegt is dus vooral rechtlullen wat hartstikke krom is. Zij mogen inderdaad mijn persoonsgegevens alleen verwerken als ik daar expliciet toestemming voor geef.

[DaWizza]

Het bedrijf waar je mee werkt zal na moeten gaan (vooraf) of ze aan 1 vd grondslagen voldoen als ze hun plan van kopen/verkopen van emailadressen doorzetten:

https://www.autoriteitper...grondslagen-avg-uitgelegd

Toestemming is er inderdaad maar 1 van (en meteen de slechtste).

Daar hoort dan waarschijnlijk ook een DPIA bij: https://www.autoriteitper...on-impact-assessment-dpia

Als dat allemaal is beoordeelt dan hebben ze een beeld wat wel/niet kan en mag.

[F_J_K]

Ze hebben inderdaad helemaal gelijk als ze zeggen dat toestemming niet de enige grondslag is. Ook ik durf te stellen dat toestemming de 'slechtste' grondslag is. Die gebruik je alleen als je geen goed verhaal hebt waarom je het wilt doen. Waarbij jouw belangen zijn afgewogen tegen die van hun.

Maar -tenzij het adres ergens expliciet is gepubliceerd voor leads- zie ik hier geen goed verhaal.

Ook zonder toestemming kan je bezwaar aantekenen bij de autoriteit, en een verwijderverzoek indienen bij de bedrijven.

[bernard038]

De AP geeft hier meer informatie over wat wel en niet mag / kan bij het aan- en verkopen van persoonsgegevens. Imho is het volgende vrij relevant in deze:

Wilt u uw klantgegevens verkopen aan derden? Dat mag alleen als u hiervoor een wettelijke grondslag heeft. In de praktijk betekent dit dat u zo goed als altijd toestemming van de klant nodig heeft.

U moet mensen duidelijk informeren over de verwerking van hun persoonsgegevens. Dit moet u in begrijpelijke taal doen. U moet dus open en transparant alle informatie geven op een overzichtelijke manier. Ook moet u kunnen aantonen dat u daadwerkelijk toestemming heeft gekregen.

Dit lijkt me duidelijk genoeg, de eigenaar van het emailadres moet, aantoonbaar, toestemming hebben gegeven. Een andere, wettelijke, grondslag lijkt er niet te zijn.

Over het scrapen van adressen zegt de AP:

Ook voor het gebruik van persoonsgegevens uit openbare bronnen heeft u toestemming nodig. Dat deze gegevens openbaar zijn, wil namelijk niet zeggen dat mensen automatisch instemmen met het gebruik van hun persoonsgegevens voor marketingdoeleinden.

Iets roepen over een 'inherent belang' van de verkoper klinkt interessant, maar lijkt dus gebakken lucht te zijn. Een verkoper van illegaal vuurwerk heeft ook een inherent belang in het verkopen van zijn koopwaar , dat maakt nog niet dat deze verkoper relevante regelgeving terzijde mag schuiven

[ Voor 6% gewijzigd door bernard038 op 13-07-2024 11:55 . Reden: Aanvulling ]

[Blokker_1999]

Zoals anderen aanhalen zijn er inderdaad heel wat grondslagen waarop een bedrijf gegevens mag verzamelen onder het mom van gerechtvaardigd belang, en als dat belang er ook effectief is en het bedrijf kan dat motiveren binnen de wetgeving is er inderdaad geen toestemming nodig.

Maar dat belang moet ook altijd afgewogen worden tegenover de doelstellingen van de AVG en andere privacywetgeving. En het verzamelen van informatie om deze dan maar door te verkopen zonder medeweten van de persoon waarover het gaat lijkt mij nooit zwaarwegend genoeg om als bedrijf die gegevens te mogen verwerken. Spijtig genoeg zijn er te veel bedrijven die zelf maar even oordelen dat het dat wel is en die gegevens gewoon beginnen te verzamelen. Want welk individu gaat hier nu ooit voor naar de rechter trekken?

En van bedrijven zoals een Optery of Incogni of zovele anderen zou ik ook altijd wegblijven. Ik heb geen idee wat die bedrijven zelf weer met mijn gegevens gaan doen. Ze kunnen in de achtergrond vaak net het bindmiddel zijn dat andere bedrijven in staat zal stellen om zoveel meer gegevens met elkaar te verbinden. Temeer daar dit ook nog eens Amerikaanse bedrijven zijn die vaak net zeer laks omgaan met privacy omdat het kan in de VS. En hoewel California een strengere privacy wetgeving heeft aangenomen eerder dit jaar, telt deze alleen voor inwoners van de staat.

[DiedX]

Twee zaken die bij mij naar binnen schieten:

Houd databasewet in de gaten.
Houd de spamwet in de gaten.

[HenkEisDS]

Dat scrapen is niet uit openbare bronnen.

Lusha bijvoorbeeld scant ook mailboxen van gebruikers die te gierig zijn te betalen voor de dienst en toen ik eens in de voorwaarden van een contact cleaner app aan het grasduinen was kwam ik daar ook hun naam tegen.

In de VS en Israel mag dat allemaal wel waarschijnlijk, maar hier kun je niet eens meer van een grijs gebied spreken.

[SVMartin]

Je hebt al veel nuttige informatie hier ontvangen. Wat ik wil toevoegen: (1) als je IT'er bent, laat de juridische afdeling zich samen met de verantwoordelijke manager hier lekker druk om maken, Houdt je wat afzijdig uit de discussie om frustratie te voorkomen - geïnteresseerd zijn mag uiteraard wel, en ik vermoed daarom ook je vraag (2) wat er altijd ontbreekt in deze discussie is de afweging of je het verantwoord/gewenst vind. Stel je eens voor als jurist/manager/directie: wat als blijkt dat een organisatie handelt in de email adressen van jou en je familie, wat vind je daar van? En als je dat eigenlijk een naar idee vind, zou je hier dan zelf aan mee moeten werken? (Grappig feitje: mijn dochter heeft in groep 1 dezelfde uitleg van de juf gehad over je eigen gedrag tegen andere kinderen, ik haal dat hier thuis nog wel eens aan) Het kan niet zo zijn dat de continuïteit van je bedrijf hierbij staat of valt; als dat zo is heb je een ander (groter) probleem.

[F_J_K]

Als er een jurist is. Die competent is en ICT kent. Da's gemiddeld genomen niet per se het geval. Die wijzen op risico's en bezwaren kan geen kwaad.

Als toestemming wordt overwogen: bouw vooraf in het afhandelen van de rechten van de betrokkenen in, zowel juridisch als technisch. Hoe je omgaat met het intrekken van de toestemming en verwijderen van de gegevens? Kan je de betrokkenen desgevraagd een uitputtende lijst geven aan wie je specifiek hun gegevens hebt verkocht en van wie je het hebt gekocht? AVG artikel 12 en verder.

Wijs de jurist ook even op Wetboek van Strafrecht artikel 139g (gevangenisstraf staat zo jammer op hun CV). Wees zeker dat de persoonsgegevens legaal zijn verworven door de verkoper. Heb dat op schrift.

Net zoals de DPIA vooraf op schrift moet staan (incl bespreking waarom jullie belang gaat boven dat van de mensen in de dataset).

Nog een risico: imagoschade. Vertrouwen komt te voet en gaat te paard.

[kodak]

Ik mis een belangrijk onderdeel : wat is eigenlijk je eigen mening over wat redelijk is als je vragen over de samenwerking hebt.

Ik lees bij je onderzoek niet dat je duidelijk verschil maakt tussen een Nederlands/Europees bedrijf of een willekeurig bedrijf. Dat blijkt tenminste niet uit je voorbeeld. En ik lees ook niet of je je bewust bent dat een stelling dat het (on)mogelijk zou zijn zonder automatisering aan opt-in/-out te doen een bepaalde vooringenomenheid heeft die nogal relevant kan zijn hoe je de wet kan lezen en hoe 'relevant' de antwoorden zullen zijn.
Daarnaast, als deze vragen voor een schoolopdracht zijn dan kun je je waarschijnlijk wel wat fouten veroorloven. Maar als je de vragen stelt omdat je samenwerking zakelijk is en je mogelijk een belang bij de antwoorden hebt kun je waarschijnlijk maar beter een gespecialiseerde jurist de goede vragen laten formuleren.

[Atsjie]

Bedankt voor de nuttige reacties!!

Sorry voor mijn late reactie. Onderstaande quotes staan een beetje door elkaar.

Zij zijn in verhouding tot hun europese collega’s strenger als het gaat om scrapen

...

https://www.autoriteitper...ing-bijna-altijd-illegaal

Bedankt! Ik had het AP afgespeurd maar deze had ik zelf nog niet gevonden. Dit is een goede bron (ik heb inmiddels de bijbehorende PDF gelezen). Wat mij betreft is het vrij duidelijk, deze ga ik zeker gebruiken in mijn vragen.

De AP geeft hier meer informatie over wat wel en niet mag / kan bij het aan- en verkopen van persoonsgegevens. Imho is het volgende vrij relevant in deze:
[...]

Zeer handige bron, dank hiervoor!

Daarnaast, als deze vragen voor een schoolopdracht zijn dan kun je je waarschijnlijk wel wat fouten veroorloven.

Ik zei "Een bedrijf waar ik mee werk"; het is geen schoolopdracht. Ik wil niet teveel in detail treden.

Ik mis een belangrijk onderdeel : wat is eigenlijk je eigen mening over wat redelijk is als je vragen over de samenwerking hebt.

(2) wat er altijd ontbreekt in deze discussie is de afweging of je het verantwoord/gewenst vind. Stel je eens voor als jurist/manager/directie: wat als blijkt dat een organisatie handelt in de email adressen van jou en je familie, wat vind je daar van?

Het vraagstuk is juridisch, ik vind mijn persoonlijke mening niet erg relevant/bepalend. Wat onethisch is hoeft niet verboden te zijn. Een hondeneigenaar die zijn hond telkens op de struik van de buurman laat plassen is niet ethisch maar overtreedt geen wet (voor zover ik weet).

Echter als ik het ethisch had gevonden had ik dit topic nooit geopend... Als het juridisch mag zie ik geen reden om de samenwerking te stoppen; dan schrijf ik misschien een brief naar een (Europees) parlementslid die dit in z'n portfeuille heeft maar daar blijft het bij.

Die samenwerking zou inderdaad kunnen stoppen als het plan voortgang vindt en ik niet overtuigd ben van de juridische basis.

Wees zeker dat de persoonsgegevens legaal zijn verworven door de verkoper. Heb dat op schrift.

Dit is een redelijke eis die aan de verkopende partij gevraagd kan worden. Ik schrijf hem op.

Iets roepen over een 'inherent belang' van de verkoper klinkt interessant, maar lijkt dus gebakken lucht te zijn. Een verkoper van illegaal vuurwerk heeft ook een inherent belang in het verkopen van zijn koopwaar, dat maakt nog niet dat deze verkoper relevante regelgeving terzijde mag schuiven

Dit is een aardige vergelijking, ik kon zelf niet goed onder woorden brengen hoe krom het statement was.

(1) als je IT'er bent, laat de juridische afdeling zich samen met de verantwoordelijke manager hier lekker druk om maken, Houdt je wat afzijdig uit de discussie om frustratie te voorkomen - geïnteresseerd zijn mag uiteraard wel, en ik vermoed daarom ook je vraag

Goede suggestie. Het is echter een kleine onderneming dus die juridische afdeling is beperkt, al wordt nu wel extern advies ingewonnen (mede door aandringen vanuit mijn kant). Als ik daarna alsnog betrokken zou raken bij de ontwikkeling van een feature die niet kosher is heb ik een gewetenskwestie.

... wat als blijkt dat een organisatie handelt in de email adressen van jou en je familie, wat vind je daar van? En als je dat eigenlijk een naar idee vind, zou je hier dan zelf aan mee moeten werken

Ik kan bevestigen dat mijn eigen e-mailadres en iedereen in mijn team bij zeker 2 van die diensten erin staan. Die diensten zijn erg goed.

Zelf vind ik het geen naar idee; per dag krijg ik 30-40 emails en ongeveer 2 of 3 markeer ik dagelijks als spam. Ik zit op GMail dus de spam filter is an-sich goed; alles wat ik markeer als spam zijn recruiters / onbekenden die een business offer doen. Opt-out is zinloos; dat zijn tientallen zo niet honderden diensten ben ik nu achtergekomen. Ik kan ook niet zien waar zo'n recruiter of sales persoon mijn e-mailadres heeft gevonden; ik kan alleen de spam rating omhoog helpen van degene die dit soort e-mails versturen.

Daar hoort dan waarschijnlijk ook een DPIA bij: https://www.autoriteitper...on-impact-assessment-dpia

Dit is een goede tip, die term was ik nog niet tegengekomen. Momenteel weet ik niet of het externe onderzoek slechts een korte juridische mening gaat zijn of een DPIA toets.

Nog een risico: imagoschade. Vertrouwen komt te voet en gaat te paard.

Dit argument heb ik meerdere keren gebruikt, helaas doen alle concurenten dit in deze business. Dat is uiteraard geen valide argument dat je zelf ook in de sloot moet springen, maar de imagoschade wordt daardoor als beperkt gezien.

Het kan niet zo zijn dat de continuïteit van je bedrijf hierbij staat of valt; als dat zo is heb je een ander (groter) probleem.

Dat is niet het geval; het is niet bedrijfskritisch.

Kan je de betrokkenen desgevraagd een uitputtende lijst geven aan wie je specifiek hun gegevens hebt verkocht en van wie je het hebt gekocht? AVG artikel 12 en verder.

Wijs de jurist ook even op Wetboek van Strafrecht artikel 139g (gevangenisstraf staat zo jammer op hun CV).

Het maakt indruk, ik neem hem mee. Ik betwijfel of het artikel ooit in de praktijk tegen medewerkers van een bedrijf gebruikt gaat worden; het lijkt me vooral iets voor het verkopen van bulk gegevens (gelekte wachtwoorden, medische gegevens, etc). Bij het overtreden van de AVG zal vooral het bedrijf een boete krijgen lijkt me; ik betwijfel of individuele medewerkers straffen opgelegd krijgen als gegevens gekocht worden van een bedrijf dat zelf beweert aan de GDPR te voldoen. Alsin; "misdrijf" is hier erg intepretabel, en ik betwijfel of een rechter of zelfs maar aanklager er aan durft om een bedrijfstransactie te herleiden tot individuen binnen dat bedrijf (zeker onder de top).

Wees zeker dat de persoonsgegevens legaal zijn verworven door de verkoper. Heb dat op schrift.

Dit is een goede tip; het zou me niets verbazen wanneer ik daar om vraag dat ze deze niet willen aanleveren. Zoniet dan maakt dat de discussie een stuk makkelijker.

[kodak]

Het vraagstuk is juridisch, ik vind mijn persoonlijke mening niet erg relevant/bepalend.

Aangezien er vooraf geen 'keuring' van de toezichthouder zal zijn hangt de juridische basis nogal af van de individuele interpretaties over de te nemen risico's en ethiek, door het bedrijf, jezelf en iedere jurist. En die zijn niet zomaar zonder enige inkleuring over wat nog wel of niet als risico of ethisch voor anderen, het bedrijf of jezelf acceptabel zou zijn. Terwijl de toezichthouder het daar niet zomaar mee eens zal zijn. Die toezichthouder is er juist omdat het te vaak mis gaat door het bagatelliseren van risico's en eisen. Dus een eigen mening is wel degelijk nogal bepalend als het gaat om welke vragen je goed lijkt, welke antwoorden je krijgt en of je de antwoorden acceptabel lijkt. Dat is ook waarom je werd gewezen op het verschil tussen een schoolopdracht of professioneel werk. Als de vragen en antwoorden voor de praktijk zijn hangt er meer vanaf omdat het slachtoffers kan maken. Dus als je er te weinig van weet doe je er waarschijnlijk goed aan een jurist in te schakelen voor je vragen.

[DVX73]

DiedX schreef op zaterdag 13 juli 2024 @ 21:52:
Twee zaken die bij mij naar binnen schieten:

Houd databasewet in de gaten.
Houd de spamwet in de gaten.

https://www.acm.nl/nl/tel...r-bellen-en-internet/spam

TLDR: e-mailadressen kopen en deze gebruiken voor mailings mag niet.

[TMDC]

kodak schreef op maandag 15 juli 2024 @ 10:44:
[...]
Aangezien er vooraf geen 'keuring' van de toezichthouder zal zijn

Dat hangt er van af. Je kunt een voorafgaande raadpleging aanvragen bij de AP (art 36 AVG); sterker nog, dat is verplicht als uit de DPIA blijkt dat er hoge risico's zijn die niet gemitigeerd kunnen worden.

Het lijkt me zéér onwaarschijnlijk dat het bedrijf wat de adressen verkoopt kan bewijzen dat de adressen rechtmatig verkregen zijn. Vraag dat bedrijf of ze kunnen voldoen aan de verplichtingen die beschreven zijn in artikel 14 van de AVG en wees je bewust dat je als verwerkingsverantwoordelijk die dit soort gegevens verkrijgt óók moet kunnen voldoen aan artikel 14 + alle bijkomende rechten van betrokkenen.

Long story short: niet doen.

[Frogmen]

Doe eerst een goede afweging over de effectiviteit van dit soort spam en dat je er net zo makkelijk mee op een blacklist komt. Het wordt vooral gebruikt met het idee als we nu met heel veel hagel in de lucht schieten raken we vast wel iets. Zou het niet doen.

[lordgandalf]

Verder dan de genoemde regels en wetten heb je natuurlijk ook leuk dat jij mensen hun adressen wil gaan verkopen maar meeste mensen haten spam dus eigenlijk doe je iets wat a iffy is en ten tweede is het iets waar meeste mensen je het niet in dank afnemen als ze er achter komen dat de spam die ze krijgen van jouw af komt.