Hoe aanmeldformulieren tot spam in je inbox leiden

Wat een aanmeldformulier met je adres kan doen

Wanneer je een adres via een aanmeldformulier indient, kan de site het gebruiken en kan het adres zich ook verspreiden: via bekendgemaakt delen, verkoop of overdracht, een datalek of verzameling uit een openbare publicatie. Een afmelding volgens CAN-SPAM stopt toekomstige onder de wet vallende marketing van de afzender en beperkt de latere overdracht van het afgemelde adres door die afzender. De afmelding haalt geen kopieën terug die al zijn gedeeld, verkocht, gelekt of verzameld.

Het formulier ontvangt meer dan alleen een tekenreeks. Het ontvangt een werkend adres, samen met context: waarin je geïnteresseerd was, via welke pagina je binnenkwam en wanneer. Die combinatie maakt een adres waardevol genoeg om door te geven, en is de reden dat de onderstaande routes überhaupt bestaan.

Als je vooraf bepaalt welk adres je aan een bepaald formulier wilt geven, kun je Maak een wegwerpadres voor dat formulier en je gewone inbox erbuiten houden. Het label van zo'n adres bepaalt niet hoe het zich gedraagt; dat is wat Het verschil tussen wegwerp-, wegwerp- en wegwerpmail verduidelijkt. Alles hieronder gaat over wat er met een adres gebeurt nadat het is ingediend.

Eén beperking van dit hele artikel: het beschrijft mogelijke routes op basis van wat de toepasselijke regels en gepubliceerde beleidsdocumenten vermelden. Het beweert niet te weten wat een specifieke site met je adres doet.

Opvolging door de eerste partij en verspreiding naar derden

Volgens de Amerikaanse CAN-SPAM-wetgeving geldt een afmeldverzoek voor de afzender van een commercieel bericht dat onder de wet valt, ongeacht of die afzender de oorspronkelijke site of een bedrijf verderop in de keten is. Het verzoek vormt geen algemene blokkeringsopdracht voor iedereen die het adres bezit.

Vanuit jouw perspectief zijn er twee waarneembare situaties. Het helpt om die te benoemen, al is het onderscheid beschrijvend en niet juridisch. Er is e-mail van de site waaraan je het adres hebt gegeven: de nieuwsbrief, aanbiedingen en productaankondigingen van die site. Daarnaast is er e-mail van bedrijven waaraan je zelf nooit iets hebt verstrekt.

Het belangrijkste punt is wat hieruit volgt. Als een bedrijf verderop in de keten volgens de Amerikaanse CAN-SPAM-wetgeving de afzender is van een commercieel bericht dat onder de wet valt, heeft het een eigen afmeldplicht. De juridische grens wordt bepaald door de afzender die onder de wet valt, niet door de vraag of het adres die afzender via gebruik door de eerste partij of verspreiding verderop in de keten heeft bereikt. De wet schept geen algemene blokkeringsopdracht voor iedereen die het adres bezit.

Delen, de verkoop van lijsten, datalekken en scraping zijn verschillende routes

Zodra het adres in het systeem van de site staat, kan de site het voor haar eigen e-mails gebruiken. Los daarvan kan het adres zich via vier routes verspreiden, die verschillen wat betreft de maatregelen die je ertegen kunt nemen.

Bekendgemaakt delen. In het privacybeleid van de site staat dat gegevens met partners of gelieerde ondernemingen worden gedeeld, en dat gebeurt ook. Dit is de route die je vóór het indienen kunt controleren, omdat de bekendmaking ergens staat opgeschreven waar je die kunt lezen.

Verkoop of overdracht. Het adres gaat als bedrijfsmiddel over naar een ander bedrijf. Hierbij geldt een belangrijke beperking: volgens de Amerikaanse CAN-SPAM-regels mag de afzender je adres niet verkopen of overdragen nadat je je hebt afgemeld, ook niet als onderdeel van een mailinglijst. De enige vermelde uitzondering is overdracht aan een bedrijf dat is ingehuurd om die afzender te helpen de wet na te leven. Die beperking geldt voor wat de afzender daarna doet; ze haalt geen kopie terug die vóór je afmelding is overgedragen.

Een datalek. Het adres raakt buiten de controle van de site zonder dat de site dit heeft bedoeld.

Verzameling uit een openbare publicatie. Als het adres ergens openbaar wordt gepubliceerd, kan het daar worden verzameld. Deze route is alleen mogelijk als het adres eerst openbaar wordt. Daarom is ze niet op elke aanmelding van toepassing.

Wat een afmeldverzoek daadwerkelijk verandert

Dit zijn Amerikaanse CAN-SPAM-regels. Ze gelden voor commerciële marketing-e-mails die onder de wet vallen, niet voor elk bericht dat een bedrijf je zou kunnen sturen.

Binnen dat toepassingsgebied is een afmelding een verplichting met een vaste termijn, geen gunst. De afzender moet binnen 10 werkdagen aan het verzoek voldoen. Het aangeboden afmeldmechanisme moet verzoeken kunnen verwerken tot minstens 30 dagen nadat het bericht is verzonden. Dat is een vereiste voor hoelang het mechanisme beschikbaar blijft, niet de termijn waarbinnen je verzoek moet zijn afgehandeld.

De regels beperken ook wat een afzender als voorwaarde voor het honoreren van je verzoek van je mag verlangen. De afzender mag geen kosten in rekening brengen, mag naast een e-mailadres geen persoonsgegevens ter identificatie eisen en mag geen andere handeling verlangen dan het versturen van een antwoordmail of het bezoeken van één webpagina.

Nadat je je hebt afgemeld, geldt de hierboven beschreven beperking op verkoop en overdracht voor die afzender. Voor elke afzonderlijke e-mail die deze regels schendt, kunnen sancties worden opgelegd. Daardoor is de verplichting bindend en niet slechts adviserend.

Waarom je met afmelden een adres niet kunt terughalen

CAN-SPAM legt vaste verplichtingen op aan afzenders van commerciële berichten die onder de wet vallen. Los daarvan moet de verwerkingsverantwoordelijke de betreffende gegevens wissen wanneer de EU-AVG of Britse AVG van toepassing is en er een geldig recht op gegevenswissing bestaat; de verplichtingen voor verdere ontvangers in de artikelen 17(2) en 19 worden beperkt door voorwaarden inzake redelijke maatregelen en onmogelijkheid of onevenredige inspanning. Geen van beide rechtskaders biedt een technisch terugroepmechanisme.

Voordat we verdergaan, is één onderscheid belangrijk: een afmeldverzoek om marketing te stoppen is niet automatisch een verzoek tot gegevenswissing op grond van artikel 17. Het zijn verschillende verzoeken die onder verschillende regels vallen en een verschillend toepassingsgebied hebben. Volgens artikel 17(1) van de EU-AVG kan gegevenswissing verplicht zijn wanneer een van de genoemde gronden van toepassing is, onder meer wanneer de gegevens niet langer nodig zijn, toestemming wordt ingetrokken en er geen andere rechtsgrond bestaat, bezwaar wordt gemaakt tegen direct marketing, de verwerking onrechtmatig was of gegevenswissing wettelijk verplicht is. Artikel 17(3) staat verwerking toe die nodig is voor de vrijheid van meningsuiting en informatie; wettelijke verplichtingen of taken van algemeen belang; volksgezondheid; daarvoor in aanmerking komende archiverings-, onderzoeks- of statistische doeleinden; en rechtsvorderingen. De ICO beschrijft het vergelijkbare recht onder de Britse AVG als voorwaardelijk en niet absoluut.

Wanneer er een geldige verplichting tot gegevenswissing bestaat, blijken de beperkingen uit de verplichtingen ten aanzien van verdere ontvangers. Artikel 19 verplicht de verwerkingsverantwoordelijke om de gegevenswissing mee te delen aan iedere ontvanger aan wie de gegevens zijn verstrekt, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt. Ook moet de verwerkingsverantwoordelijke je op verzoek informeren wie die ontvangers zijn. Artikel 17(2) is van toepassing wanneer die verwerkingsverantwoordelijke de gegevens openbaar heeft gemaakt en verplicht is ze te wissen: die moet dan, rekening houdend met de beschikbare technologie en de uitvoeringskosten, redelijke maatregelen nemen om andere verwerkingsverantwoordelijken te informeren over je verzoek met betrekking tot koppelingen, kopieën of reproducties.

Richtlijnen van de Britse toezichthoudende autoriteit voegen daaraan toe dat het recht geldt voor gegevens die in bezit zijn op het moment dat het verzoek wordt ontvangen, en niet voor gegevens die daarna worden aangemaakt.

Samen vormen deze punten het antwoord op de vraag in de kop. Beide kaders kunnen een bedrijf tot actie dwingen. Geen van beide biedt iemand een knop waarmee diegene een kopie uit de systemen van een ander bedrijf kan verwijderen. Daarom is het zinvolle moment vóórdat je het formulier verstuurt, niet erna.

Een aanmelding controleren voordat je die verstuurt

Voordat je op de knop drukt, kun je vier dingen lezen die je elk iets specifieks vertellen.

De toestemmingstekst. Kijk of een vakje al is aangevinkt en lees waar je daadwerkelijk toestemming voor geeft. Instemmen met het ontvangen van e-mail van een bedrijf is iets anders dan ermee instemmen dat het je gegevens met partners mag delen.

Het gedeelte over gegevensdeling in het privacybeleid. Hier staat beschreven of en hoe gegevens worden gedeeld, of ontbreekt die informatie juist. Een beleid dat categorieën ontvangers noemt, vertelt je meer dan een beleid dat alleen zegt dat gegevens met derden kunnen worden gedeeld.

De identiteit van de afzender. Controleer wie de berichten daadwerkelijk zal versturen. Als de e-mail afkomstig zal zijn van een partner of platform in plaats van het bedrijf waarvan je het formulier invult, is het goed om dat te weten zolang je nog een keuze hebt.

De vermelde frequentie. Een formulier dat aangeeft wat het zal versturen en hoe vaak, doet een toezegging waaraan je latere berichten kunt toetsen. Een formulier dat niets vermeldt, doet dat niet.

Veelgestelde vragen

Kan afmelden bevestigen dat een adres actief is?

Gebruik bij een afzender die je herkent het afmeldmechanisme. Klik bij een onverwacht of verdacht bericht niet op de links; markeer het als spam of ongewenste e-mail en meld het indien nodig als phishing. Letterlijk genomen kan een unieke link onthullen dat iemand interactie met het bericht heeft gehad, terwijl alleen al de aankomst van het bericht de afzender liet zien dat het adres werkte.

Hoe kan ik zien of een afzender mijn adres van een ander bedrijf heeft gekregen?

Uit het bericht alleen valt mogelijk niet op te maken waar het bedrijf het adres heeft verkregen. E-mail van een bedrijf waaraan je het adres nooit hebt gegeven, is een aanwijzing dat het adres verderop in de keten is verkregen, maar maakt niet duidelijk of dat gebeurde via bekendgemaakte gegevensdeling, een overdracht, een datalek of verzameling uit een openbare publicatie.

Worden gegevens die een site al heeft verwijderd als ik van inbox verander?

Nee. Overstappen op een andere inbox verandert waar nieuwe e-mail binnenkomt. Het verandert niets aan wat een bedrijf al heeft opgeslagen en trekt eerder gegeven toestemming niet in. Om gegevens te laten verwijderen die een specifiek bedrijf bezit, moet je tegenover dat bedrijf een recht uitoefenen, voor zover de toepasselijke regels je dat recht geven. Naar welk type inbox je overstapt, is een afzonderlijke beslissing, en De keuze tussen een alias en een aparte inbox bepaalt waar latere e-mail terechtkomt.