Mogen gegevens die van derden zijn verkregen gebruikt worden voor marketing?

Antwoord

Voordat u zich een contactlijst of database met contactgegevens van personen van een andere organisatie aanschaft, moet die organisatie kunnen aantonen dat de gegevens zijn verkregen in overeenstemming met de Algemene Verordening Gegevensbescherming en dat u die gegevens mag gebruiken voor reclamedoeleinden. Als de organisatie de gegevens bijvoorbeeld op basis van toestemming heeft verkregen, moet die toestemming de mogelijkheid hebben bevat om de gegevens aan andere ontvangers over te dragen voor hun eigen direct marketing.

Uw onderneming/organisatie moet ook verzekeren dat de lijst of database is geactualiseerd en dat u geen reclame stuurt naar personen die bezwaar hebben gemaakt tegen de verwerking van hun persoonsgegevens voor direct-marketingdoeleinden. Uw onderneming/organisatie moet er tevens voor zorgen dat zij, als zij communicatiemiddelen zoals e‑mail voor direct-marketingdoeleinden gebruikt, aan de regels van de e‑privacyrichtlijn (Richtlijn 2002/58/EG voldoet¹.

Die lijsten worden verwerkt op basis van gerechtvaardigde belangen en de betrokkenen hebben het recht om bezwaar te maken tegen een dergelijke verwerking. Uw onderneming/organisatie moet de betrokkenen ook laten weten dat zij hun persoonsgegevens heeft verzameld en dat zij die gegevens verwerkt voor het verzenden van advertenties, ten laatste op het moment van de eerste communicatie.

Voorbeeld

Twee vrienden, mevrouw A en de heer B, hebben respectievelijk een fitnessruimte en een boekhandel. Allebei verzamelen ze gegevens van hun klanten. De boekhandel van de heer B loopt niet zo goed. Zijn klantendatabase bevat weinig vermeldingen en maar weinig mensen lopen zijn winkel binnen. Hij vertelt mevrouw A dat hij een nieuwe biografie van een beroemde atleet heeft en vraagt of de klanten van mevrouw A geïnteresseerd zouden zijn om reclame over dat boek te ontvangen. In de voorwaarden van mevrouw A's privacyverklaring worden haar klanten geïnformeerd dat ze de gegevens mag delen met partners die producten aanbieden op het gebied van gezondheid en fitness. Voor zover specifieke toestemming is gegeven om de gegevens aan andere ontvangers over te dragen voor eigen direct marketing, mag mevrouw A de klantenlijst aan de heer B sturen. Er mogen geen gegevens worden verzonden over een betrokkene die bezwaar heeft gemaakt tegen de verwerking van zijn persoonsgegevens.

Referenties

• Artikelen 4, lid 10, 5, 6, 14, 21 van de AVG
• EDPB-richtsnoeren over transparantie in het kader van Verordening 2016/0679
• In e-privacy-richtlijn 2002/58/EG zijn regels vastgelegd inzake direct marketing, met name artikel 13

Two friends, Mrs. A and Mr. B, run, respectively, a gym and a book shop. Each collects data from their respective customers. Mr. B’s book shop isn’t doing well. His client database has few entries and not many people walk into his shop. He tells Mrs. A that he has a new biography of a famous athlete and asks whether Mrs. A’s clients would be interested in receiving advertising about the book. The terms of Mrs. A’s privacy notice informed her clients that she could share the data with partners offering products in the health and fitness area. As far as specific consent was given for the purpose of transmitting the data to other recipients for their own direct marketing, Mrs. A can send the client list to Mr. B. No data can be sent about an individual who objected to the processing of their personal data.

• Article 4(10) and Articles 5, 6, 14 and 21 of the GDPR
• EDPB guidelines on Transparency under Regulation 2016/679
• ePrivacy Directive 2002/58/EC rules on direct marketing, in particular Article 13

¹ Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (OJ L 201, 31.07.2002 p.37).