ACM deelt megaboete voor lead generation uit – en nu?

Telecomtoezichthouder ACM heeft een boete van 810.000 euro opgelegd aan Daisycon voor het overtreden van de e-mailwetgeving. De bestuurders van Daisycon zijn ook privé aansprakelijk gesteld. Daisycon is beboet voor haar leadgeneration-concepten. Het besluit bevat in wezen drie boetes voor het versturen van verschillende e-mails in drie verschillende rollen. Daisycon is beboet a) als adverteerder in de e-mail van derden, b) als verzender van e-mail met daarin advertenties van derden en c) als affiliate netwerk, waarbij Daisycon makelaar is tussen adverteerder en publisher. Dat ACM Daisycon ook aanspreekt in haar rol als affiliate, is opmerkelijk.

Tussenpersoon nu ook medepleger

Daisycon heeft een eigen affiliate netwerk. Hierbij treedt zij op als ‘makelaar’ tussen adverteerders die hun reclame per e-mail willen verspreiden en zogenaamd publishers (bedrijven die toestemming hebben om in hun nieuwsbrieven reclame van andere adverteerders op te nemen). De publishers zijn volgens de Telecomwet verantwoordelijk voor het krijgen van een goede opt-in van de consument. De adverteerder is verantwoordelijk voor de inhoud van de boodschap. Tot zover niets nieuws. Maar, redeneert de ACM, óók Daisycon is als affiliatenetwerk verantwoordelijk en wel om de volgende redenen:

• De e-mailberichten bevatten in de broncode een link naar de domeinnaam van Daisycon. Deze link(s) worden gebruikt voor afrekenmodellen binnen het affiliatenetwerk.
• Daisycon had een bepaalde vrijheid in het aanpassen van promotiemateriaal van de adverteerders en het kiezen van de nieuwsbrieven waarin de reclame-uiting mee zou worden gezonden.

Hierom concludeert de ACM dat Daisycon ook hier als medepleger aangemerkt kan worden. Een verstrekkende interpretatie van het begrip e-mailverzender.

Ook boete voor rol als adverteerder en publisher

Daisycon is daarnaast ook beboet als adverteerder in e-mail van andere partijen en als verzender van e-mailnieuwsbrieven. Daisycon ging als adverteerder mee in de enquêtes van verschillende publishers. Hiermee wierf Daisycon deelnemers voor haar eigen enquêtes. Als publisher gaf Daisycon andere adverteerders en leadgeneration-partijen de mogelijkheid te adverteren in haar nieuwsbrieven. In beide gevallen was volgens ACM geen sprake van een goede opt-in van de consument. Ook was er geen goede afmeldmogelijkheid.

Eisen aan de opt-in voor leadgeneration via e-mail

Volgens de ACM was in alle drie de gevallen geen goede opt-in verzameld. Toestemming moet volgens de wet vrij en specifiek gegeven worden en op informatie berusten. Met andere woorden: iemand moet weten waar hij “ja” tegen zegt. De bewijslast ligt in principe bij de adverteerder. Daisycon heeft in geen van de gevallen kunnen aantonen dat zij een goede opt-in had verkregen, stelt de ACM. Ze geeft hiervoor drie redenen, die er gezamenlijk voor hebben gezorgd dat de toestemming niet aan de eisen specifiek en geïnformeerd voldeed.

• In de toestemmingsvraag werd via een hyperlink duidelijk gemaakt wie de ‘geselecteerde partners’ waren aan wie de e-mailadressen werden verstrekt. Volgens ACM was een hyperlink in dit geval onvoldoende en had dit in de vraag duidelijk moeten worden gemaakt voor wie de adressen werden verzameld en welke (frequentie en inhoud) e-mail de consument kon verwachten.
• Doordat de opt-in gecombineerd was voor meerdere adverteerders en andere derden die niet bij naam werden genoemd, had de consument volgens ACM onvoldoende keuze om aan te geven van wie hij specifiek e-mail wilde ontvangen en van wie niet.
• Tot slot bevatte de lijst van derden ook andere publishers aan wie de e-mailadressen werden verstrekt. Deze publishers tonen ook weer advertenties van andere adverteerders en zo blijft de consument e-mail ontvangen van partijen die hij niet wil hebben.

Op grond van deze drie redenen concludeert ACM “dat de toestemming die zou zijn verworven middels de privacy-statements niet is aan te merken als specifiek en op informatie berustend. Daarom is ACM van oordeel dat de verklaringen die door middel van co-registratie zijn verkregen niet zijn aan te merken als de wettelijk vereiste voorafgaande toestemming”.

Afmeldmogelijkheid onvoldoende

Tot slot zegt de ACM dat de afmeldmogelijkheid niet goed is ingericht. Een opt-out, of het Recht van verzet, zoals het in de privacywetgeving heet, moet ervoor zorgen dat een consument geen e-mail meer ontvangt waar hij niet op zit te wachten. Dat liet in deze casus te wensen over. De consument werd namelijk in veel gevallen alleen uitgeschreven bij de bestandseigenaar en niet bij alle adverteerders en publishers aan wie het e-mailadres werd doorgegeven, waardoor hij dezelfde e-mail bleef ontvangen.

De DDMA Privacy Autoriteit, die namens DDMA consumentenklachten in behandeling neemt, oordeelde al eerder dat bij lead-generation afmeldingen moeten worden doorgegeven aan adverteerders in een netwerk.

En nu?

Na het lezen van de toelichting op de boete blijft de sector met een aantal vragen zitten. Is het aanmerken van een affiliate netwerk als e-mailverzender realistisch? Ligt hier de verantwoordelijkheid voor een goede opt-in niet primair bij een bestandseigenaar? En kan een affiliate netwerk door het maken van betere afspraken, bijvoorbeeld in bewerkersovereenkomst, ervoor zorgen dat zij niet aansprakelijk wordt gesteld voor overtredingen in het netwerk?

Ook de toestemming voor co-registratie roept vraagtekens op. Hoe specifiek moeten de derden benoemd worden? Volstaan categorieën van derden bijvoorbeeld? En hoezo mag je niet via een hyperlink verwijzen naar de andere adverteerders, terwijl dit bij cookiestatements gebruikelijk is? DDMA overlegt met haar leden en de commissie Regelgeving over deze vraagstukken. Wordt ongetwijfeld vervolgd…