Gepubliceerd op 6 maart 2018 · Laatst bijgewerkt op 30 september 2026
Een e-mailadres is een persoonsgegeven zodra daaruit een natuurlijke persoon kan worden geïdentificeerd, en valt dan onder de Algemene verordening gegevensbescherming (artikel 4 AVG). Bij voornaam.achternaam@provider.nl is dat vrijwel altijd zo; bij een algemeen adres als info@bedrijf.nl in beginsel niet. Wie zulke adressen opslaat of gebruikt, verwerkt persoonsgegevens en moet aan de AVG voldoen.
Inhoudsopgave
Wat is een persoonsgegeven volgens de AVG?
Een persoonsgegeven is volgens artikel 4 AVG alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Identificeerbaar betekent dat u de persoon direct of indirect kunt aanwijzen, bijvoorbeeld aan de hand van een naam, een identificatienummer, locatiegegevens of een online identificator. Het gaat dus niet alleen om gegevens die iemand meteen bij naam noemen, maar ook om gegevens die pas in combinatie met andere informatie naar een persoon leiden.
Overweging 26 bij de AVG geeft de maatstaf: u houdt rekening met alle middelen waarvan redelijkerwijs valt te verwachten dat iemand ze inzet om de persoon te identificeren. Er hoeft dus geen partij te bestaan die de persoon nu al kent; het volstaat dat identificatie met redelijke inspanning mogelijk is. Rechtspersonen vallen buiten de verordening: gegevens over een besloten vennootschap zijn op zichzelf geen persoonsgegevens.
Wanneer is een e-mailadres een persoonsgegeven?
Beslissend is hoe het adres is opgebouwd. Een adres in de vorm voornaam.achternaam@provider.nl onthult de voor- en achternaam van de gebruiker en is daarmee een persoonsgegeven. Hetzelfde geldt voor een zakelijk adres als initialen.achternaam@bedrijfsnaam.nl: daaruit blijkt niet alleen wie de gebruiker is, maar ook waar hij werkt. Dat u het adres zakelijk gebruikt, verandert dat niet; de AVG beschermt de natuurlijke persoon, niet de context waarin het adres voorkomt.
Een adres als puppy12@provider.nl bevat op zichzelf geen gegevens waaruit iemand te herleiden is en is dan geen persoonsgegeven. Dat verandert zodra u het adres koppelt aan andere gegevens, bijvoorbeeld een klantnummer, een bestelgeschiedenis of een IP-adres. Vanaf dat moment is de persoon achter het pseudoniem wel identificeerbaar en verwerkt u alsnog persoonsgegevens. Een algemeen bedrijfsadres als info@bedrijfsnaam.nl of administratie@bedrijfsnaam.nl wijst niet naar één individu en blijft in beginsel buiten de AVG.
Voor de kwalificatie maakt het niet uit of u het adres daadwerkelijk gebruikt om iemand te identificeren. Ook een bestand dat u alleen voor verzending gebruikt, bevat persoonsgegevens zodra identificatie mogelijk is. Omdat een bestand van enige omvang vrijwel altijd herleidbare adressen bevat, is het praktische uitgangspunt dat een adressenbestand onder de AVG valt.
Wat oordeelde de rechter over e-mailadressen?
Het gerechtshof Amsterdam oordeelde in 2002 in een kort geding over ongevraagde commerciële e-mail dat een e-mailadres weliswaar vaak een persoonsgegeven is, maar geen gegeven van gevoelige aard (ECLI:NL:GHAMS:2002:AE5514). Het hof wees erop dat een e-mailadres minder openbaar is dan een woonadres en enig vertrouwelijk karakter heeft, maar ook betrekkelijk eenvoudig te wijzigen is.
Die kwalificatie van het e-mailadres is nog steeds bruikbaar. Het oordeel over reclame per e-mail is dat niet: het hof ging destijds uit van een systeem waarin u commerciële e-mail zonder voorafgaande toestemming mocht versturen, zolang de ontvanger zich kon afmelden. Dat uitgangspunt is achterhaald sinds de Telecommunicatiewet is gewijzigd naar toestemming vooraf. Komt u deze uitspraak tegen in een oudere tekst over e-mailmarketing, neem die passage over toestemming dan niet over.
Is een e-mailadres een bijzonder persoonsgegeven?
Nee. Artikel 9 AVG noemt limitatief welke categorieën bijzondere persoonsgegevens zijn: gegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen of vakbondslidmaatschap blijken, en verder genetische gegevens, biometrische gegevens voor unieke identificatie, gezondheidsgegevens en gegevens over seksueel gedrag of seksuele gerichtheid. Een e-mailadres hoort daar niet bij.
Dat kan anders liggen door de inhoud van het adres of het domein: een adres bij een kerkgenootschap, een vakbond of een patiëntenvereniging kan zelf informatie over zo’n bijzondere categorie prijsgeven. Voor bijzondere persoonsgegevens geldt een verwerkingsverbod met uitzonderingen; wie biometrie verwerkt, loopt daar snel tegenaan, zoals blijkt uit onze bespreking van de vingerafdruk onder de AVG.
Wat betekent verwerking van e-mailadressen?
Verwerking is in artikel 4 AVG ruim omschreven: elke bewerking of geheel van bewerkingen met persoonsgegevens, al dan niet geautomatiseerd. Daaronder vallen verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken, raadplegen, gebruiken, doorzenden, verspreiden, wissen en vernietigen. Een adressenlijst aanleggen in een spreadsheet is dus net zo goed verwerking als het versturen van een nieuwsbrief.
Zodra u verwerkt, bepaalt u in welke rol u dat doet. Wie doel en middelen van de verwerking vaststelt, is verwerkingsverantwoordelijke. Wie uitsluitend in opdracht van een ander verwerkt, bijvoorbeeld een leverancier van e-mailsoftware, is verwerker en moet een verwerkersovereenkomst sluiten. Wat die rolverdeling betekent, leest u in ons artikel over de verplichtingen van de verwerker en in de uitleg over het opstellen van een verwerkersovereenkomst.
Op welke grondslag mag u e-mailadressen verwerken?
Elke verwerking heeft een grondslag nodig uit artikel 6 AVG. Voor e-mailadressen zijn er in de praktijk drie relevant. De eerste is de uitvoering van een overeenkomst: om een bestelling af te handelen heeft u een adres nodig. De tweede is het gerechtvaardigd belang, waarbij u uw belang afweegt tegen de belangen en grondrechten van de betrokkene en toetst of een minder ingrijpend middel volstaat. De derde is toestemming: die moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn, en net zo eenvoudig in te trekken als te geven.
Een vooraf aangevinkt vakje of toestemming die verstopt zit in algemene voorwaarden voldoet niet. Ook een dienst die alleen beschikbaar is als de klant instemt met marketing, houdt zelden stand. Zijn uw grondslagen niet op orde, dan loopt de hele verwerking het risico onrechtmatig te zijn; welke risico’s ontstaan als u adressen met derden deelt, leest u in ons overzicht van AVG-risico’s bij datadeling.
Welke regels gelden voor e-mailmarketing?
Naast de AVG geldt artikel 11.7 van de Telecommunicatiewet. Commerciële, ideële of charitatieve berichten per e-mail mag u alleen sturen aan ontvangers die daarvoor vooraf toestemming hebben gegeven. Er geldt een uitzondering voor bestaande klanten: kreeg u bij een verkoop een e-mailadres, dan mag u dat gebruiken voor eigen, gelijksoortige producten of diensten, mits de ontvanger zich bij elk bericht eenvoudig en kosteloos kan afmelden. In elk bericht moet bovendien duidelijk zijn wie de afzender is. De Autoriteit Consument en Markt houdt hierop toezicht en kan boetes opleggen.
Toestemming voor marketing is iets anders dan een geldige grondslag onder de AVG om het adres zelf te bewaren; beide moeten kloppen. Daarnaast heeft iedere ontvanger op grond van artikel 21 AVG het recht bezwaar te maken tegen verwerking voor direct marketing. Dat bezwaar hoeft niet gemotiveerd te worden, en u staakt de verwerking voor dat doel direct daarna.
Welke verplichtingen heeft uw onderneming?
Verwerkt u herleidbare e-mailadressen, dan gelden de gewone AVG-verplichtingen. U informeert betrokkenen op grond van de artikelen 13 en 14 AVG over wie u bent, waarvoor u de gegevens gebruikt, op welke grondslag, hoe lang u ze bewaart en welke rechten zij hebben. U houdt een register van verwerkingsactiviteiten bij (artikel 30 AVG), beveiligt de gegevens passend (artikel 32 AVG) en honoreert verzoeken om inzage, correctie en verwijdering binnen de wettelijke termijn.
Bewaar adressen niet langer dan nodig voor het doel waarvoor u ze verzamelde en ruim inactieve adressen periodiek op. Leg uw keuzes vast: de AVG kent een verantwoordingsplicht, u moet kunnen aantonen dat u aan de verordening voldoet. Welke verplichtingen in het mkb het vaakst blijven liggen, leest u in ons artikel over verwerkingsregister, DPIA en datalek.
Wat als een adressenbestand uitlekt?
Een verkeerd verzonden mailing waarin alle ontvangers in het zichtbare adresveld staan, is een klassiek datalek. Ook een gestolen laptop met een adressenbestand of een gehackt mailplatform valt eronder. Een inbreuk op persoonsgegevens meldt u op grond van artikel 33 AVG binnen tweeënzeventig uur bij de Autoriteit Persoonsgegevens, tenzij een risico voor de rechten en vrijheden van betrokkenen onwaarschijnlijk is. Bij een hoog risico informeert u ook de betrokkenen zelf.
Houd daarnaast een intern overzicht bij van alle inbreuken, ook van de inbreuken die u niet meldt, met de feiten, de gevolgen en de genomen maatregelen. Dat overzicht is het eerste waar de toezichthouder naar vraagt. Hoe de termijn van tweeënzeventig uur in de praktijk uitpakt en welke verweren werken, leest u in ons artikel over de meldplicht bij een datalek.
Samengevat
- Een e-mailadres is een persoonsgegeven zodra u er een persoon uit kunt herleiden; een puur algemeen adres als info@bedrijf.nl valt daarbuiten.
- Een e-mailadres is geen bijzonder persoonsgegeven, tenzij de inhoud zelf een bijzondere categorie verraadt.
- Voor verwerking heeft u een grondslag nodig: uitvoering van een overeenkomst, gerechtvaardigd belang of toestemming.
- Voor e-mailmarketing geldt daarnaast de toestemmingseis van artikel 11.7 Telecommunicatiewet, met een uitzondering voor bestaande klanten.
- Bij een datalek met e-mailadressen meldt u dit tijdig bij de Autoriteit Persoonsgegevens en houdt u een intern overzicht bij.
Veelgestelde vragen
Is info@bedrijfsnaam.nl een persoonsgegeven?
In beginsel niet. Zo’n adres wijst naar een organisatie en niet naar een natuurlijke persoon. Wordt het adres feitelijk door een aanwijsbare medewerker gebruikt en is dat bekend, dan kan de situatie anders liggen.
Mag ik zakelijke e-mailadressen van internet halen voor een mailing?
Het enkele feit dat een adres openbaar is, geeft geen grondslag om het voor marketing te gebruiken. U heeft een grondslag onder artikel 6 AVG nodig en moet daarnaast voldoen aan artikel 11.7 van de Telecommunicatiewet.
Moet ik e-mailadressen in mijn verwerkingsregister opnemen?
Ja, als het om herleidbare adressen gaat. In het register beschrijft u onder meer de doeleinden, de categorieën betrokkenen en gegevens, de ontvangers en de bewaartermijnen.
Wat riskeert een onderneming die de regels negeert?
De Autoriteit Persoonsgegevens kan een verwerkingsverbod opleggen en beboeten op grond van artikel 83 AVG, met een maximum van twintig miljoen euro of, als dat hoger is, een deel van de wereldwijde jaaromzet. Daarnaast kunnen betrokkenen schadevergoeding vorderen op grond van artikel 82 AVG.
Twijfelt u over uw positie? Leg uw situatie aan ons voor. Wij laten u binnen één werkdag weten wat uw opties zijn.
