AVG en WhatsApp-marketing

Twee wetten, niet één

De meeste mensen die vragen stellen over de AVG en WhatsApp, kijken eerst naar de verkeerde wet. Er gelden er twee, ze stellen verschillende vragen, en wie aan de ene voldoet, is daarmee nog niet klaar met de andere.

De AVG vraagt: heb je überhaupt een rechtsgrond om de gegevens van deze persoon te verwerken, en kun je de rechten die hij daarover heeft waarmaken? Een telefoonnummer is een persoonsgegeven, en het gesprek ook.

De e-Privacyrichtlijn — in elke lidstaat omgezet in nationale wetgeving — stelt een smallere vraag over het versturen zelf: mag je deze persoon ongevraagde elektronische direct marketing sturen? Artikel 13 maakt dat afhankelijk van voorafgaande toestemming. WhatsApp is net zo goed elektronische direct marketing als sms en e-mail.

Daarom is de zaak met "we beroepen ons op gerechtvaardigd belang" niet afgedaan. Gerechtvaardigd belang kan de AVG-kant best dekken. De e-Privacyregel komt daar bovenop en vraagt nog steeds om toestemming.

Er is één erkende uitzondering, meestal de soft opt-in genoemd: als je de contactgegevens hebt verkregen bij een verkoop aan die persoon, mag je hem je eigen soortgelijke producten aanbieden, mits je hem bij het verzamelen en bij elk bericht kosteloos en op eenvoudige wijze de mogelijkheid hebt geboden om bezwaar te maken. De meeste lidstaten hebben dit omgezet, maar de voorwaarden verschillen — hoe soortgelijk het product moet zijn, hoe recent de verkoop moet zijn, en of het ook voor zakelijke contacten geldt. Het is smaller dan mensen hopen, en de Duitse variant is de strengste.

Hoe geldige toestemming eruitziet

De definitie in de AVG is een korte lijst, en bijna elke toestemming die tekortschiet, struikelt over een van deze punten:

• Vrij gegeven. Geen voorwaarde voor een dienst die haar niet nodig heeft. "Vink aan om WhatsApp-aanbiedingen te ontvangen en je aankoop af te ronden" is geen toestemming.
• Specifiek. Toestemming voor WhatsApp-marketing, niet voor "marketing". Het kanaal hoort bij waar de persoon mee instemt, en de identiteit van de afzender ook.
• Geïnformeerd. De persoon weet wie je bent, wat je gaat sturen en hoe hij kan stoppen.
• Ondubbelzinnig, door een duidelijke actieve handeling. Een vooraf aangevinkt vakje is dat niet. Stilzwijgen is dat niet. Gewoon verder surfen op de site is dat niet.
• Even eenvoudig in te trekken als te geven. Kostte aanmelden één tik, dan mag stoppen geen e-mail aan de support vereisen.

Meta stelt los daarvan een eigen opt-in-eis, en die is niet identiek. Meta wil dat de persoon wist dat hij berichten zou ontvangen van jouw bedrijf via WhatsApp; hoe je die toestemming hebt verzameld, schrijft Meta niet voor. In de praktijk voldoet een toestemming die aan de AVG voldoet ook aan de eisen van Meta, en daarom loont het om haar één keer goed te formuleren — formulering en plaatsing worden hier behandeld.

Wat je moet kunnen aantonen

De AVG legt de bewijslast bij jou: je moet kunnen aantonen dat er toestemming is gegeven. Een lijst met nummers bewijst niets. Voor elk contact moet je het volgende kunnen overleggen:

Een uitsluitingslijst is geen verwijderlijst. Als iemand zich afmeldt, bewaar je het minimum dat nodig is om hem uitgesloten te houden; de registratie volledig wissen is juist hoe mensen opnieuw worden geïmporteerd en weer berichten krijgen.

Waar Meta in je gegevensstromen zit

Met de Cloud API lopen de berichten via infrastructuur die Meta host. Daarmee is Meta verwerker voor die inhoud, en dat heeft gevolgen die je moet vastleggen in plaats van aannemen:

• Je register van verwerkingsactiviteiten moet Meta noemen, samen met je platformprovider, die doorgaans verwerker is, met Meta als subverwerker.
• Je privacyverklaring moet mensen vertellen dat Meta de uitwisseling verwerkt als ze je via WhatsApp een bericht sturen.
• Voorwaarden voor gegevensverwerking. Voor het deel bij Meta baseer je je op de eigen voorwaarden van Meta, voor het deel bij je provider op die van de provider. Vraag de verwerkersovereenkomst van de provider op voordat je tekent, niet erna.
• Doorgiften buiten de EER horen bij de relatie met Meta en worden gedekt door het mechanisme in de voorwaarden van Meta. Heeft je organisatie beleid voor doorgiften, dan is dit het punt waar het knelt.
• Waar de provider host is een andere vraag dan waar Meta host, en het is de vraag waarin je echt een keuze hebt.

Verzoeken van betrokkenen afhandelen

Chatgeschiedenis bestaat uit persoonsgegevens, dus de gewone rechten gelden ervoor, en WhatsApp voegt er één praktische complicatie aan toe: een gesprek gaat over twee mensen. Ga bij exporteren of wissen bewust om met de berichten die je eigen agenten hebben geschreven.

• Inzage. Iemand kan om het gesprek vragen. De geschiedenis van één contact kunnen exporteren zonder die van iedereen te exporteren, is een vereiste, geen extraatje.
• Wissing. Het contact verwijderen moet het gesprek verwijderen, en je moet genoeg bewaren om de persoon uitgesloten te houden. Bedenk ook dat de kopie op de telefoon van de persoon zelf van hem is, niet van jou, en dat je die niet kunt wissen.
• Bezwaar. Bezwaar tegen direct marketing is absoluut — er vindt geen belangenafweging plaats. Het moet ingaan vóór de volgende campagne, niet pas bij de volgende verversing van de lijst.
• Overdraagbaarheid geldt wanneer je op basis van toestemming hebt verwerkt, en bij een marketinggesprek is dat het geval.

Hoe lang je gesprekken bewaart

De AVG noemt geen getal. De verplichting is een termijn vast te stellen die je kunt verantwoorden, en die ook echt toe te passen — een inbox die nog nooit iets heeft verwijderd, schiet tekort op dat tweede punt, wat het beleid ook zegt.

In de praktijk: supportgesprekken worden meestal bewaard zolang er een geschil over de onderliggende transactie kan ontstaan, en dat wordt bepaald door de verjaringstermijn in je land. Marketinggesprekken rechtvaardigen zelden meer dan een jaar of twee. Toestemmingsregistraties bewaar je langer dan beide, want ze zijn het bewijs dat je überhaupt mocht versturen.

De checklist

1. Een opt-in-formulering die WhatsApp en je bedrijf bij naam noemt, standaard niet aangevinkt.
2. Een toestemmingsregistratie per contact: wanneer, waar, welke formulering, welke kanalen.
3. Een stopmogelijkheid in het bericht zelf en een agent die weet wat te doen als iemand "stop" typt.
4. Eén uitsluitingslijst die elke campagne controleert, ook bij imports.
5. Meta en je provider genoemd in je register van verwerkingsactiviteiten en je privacyverklaring.
6. Een ondertekende verwerkersovereenkomst met de provider.
7. Een bewaartermijn die op papier staat en wordt gehandhaafd door iets anders dan goede voornemens.
8. Een manier om het gesprek van één contact te exporteren en te wissen.