Gepubliceerd op 6 maart 2018 · Laatst bijgewerkt op 8 september 2026
Een e-mailadres is een persoonsgegeven zodra daaruit een natuurlijke persoon kan worden geidentificeerd, en valt dan onder de Algemene verordening gegevensbescherming (artikel 4 AVG). Bij voornaam.achternaam@provider.nl is dat vrijwel altijd zo; bij een algemeen adres als info@bedrijf.nl in beginsel niet. Wie zulke adressen opslaat of gebruikt, verwerkt persoonsgegevens en moet aan de AVG voldoen.
Inhoudsopgave
Wat is een persoonsgegeven volgens de AVG?
De AVG omschrijft een persoonsgegeven in artikel 4 als alle informatie over een geidentificeerde of identificeerbare natuurlijke persoon. Identificeerbaar betekent dat de persoon direct of indirect kan worden aangewezen, bijvoorbeeld aan de hand van een naam, een identificatienummer, locatiegegevens of een online identificator. Het gaat dus niet alleen om gegevens die iemand meteen bij naam noemen, maar ook om gegevens die in combinatie met andere informatie naar een persoon leiden.
Overweging 26 van de AVG geeft de maatstaf: om te bepalen of iemand identificeerbaar is, moet u rekening houden met alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden ingezet om die persoon te identificeren. Er hoeft dus geen partij te zijn die de persoon vandaag al kent; het volstaat dat identificatie met redelijke inspanning mogelijk is. Rechtspersonen vallen buiten de verordening: gegevens over een besloten vennootschap zijn als zodanig geen persoonsgegevens.
Wanneer is een e-mailadres een persoonsgegeven?
Beslissend is de manier waarop het adres is opgebouwd. Een adres in de vorm voornaam.achternaam@provider.nl onthult de voor- en achternaam van de gebruiker en is daarmee een persoonsgegeven. Hetzelfde geldt voor een zakelijk adres in de vorm initialen.achternaam@bedrijfsnaam.nl: daaruit blijkt niet alleen wie de gebruiker is, maar ook waar hij werkt. Dat het adres in een zakelijke context wordt gebruikt, doet niet ter zake; de AVG beschermt de natuurlijke persoon, niet de context.
Een adres als puppy12@provider.nl bevat op zichzelf geen gegevens waaruit een persoon te herleiden is en is dan geen persoonsgegeven. Dat kan veranderen zodra u het adres koppelt aan andere gegevens, bijvoorbeeld aan een klantnummer, een bestelgeschiedenis of een IP-adres. Vanaf dat moment is de persoon achter het pseudoniem wel identificeerbaar en verwerkt u alsnog persoonsgegevens. Een algemeen bedrijfsadres als info@bedrijfsnaam.nl of administratie@bedrijfsnaam.nl wijst niet naar een individu en blijft in beginsel buiten de AVG.
Voor de kwalificatie maakt het niet uit of u het adres daadwerkelijk gebruikt om iemand te identificeren. Ook een bestand met adressen dat u alleen voor verzending gebruikt, bevat persoonsgegevens zodra identificatie mogelijk is. Omdat u in een bestand van enige omvang vrijwel altijd herleidbare adressen aantreft, is het praktische uitgangspunt dat een adressenbestand onder de AVG valt.
Wat oordeelde de rechter over e-mailadressen?
Het gerechtshof Amsterdam boog zich op 18 juli 2002 over commerciele e-mail en overwoog daarbij dat e-mailadressen weliswaar vaak een persoonsgegeven zijn, maar geen gegeven van gevoelige aard (ECLI:NL:GHAMS:2002:AE5514). Het hof wees erop dat een e-mailadres minder openbaar is dan een woonadres en enig vertrouwelijk karakter heeft, maar ook betrekkelijk eenvoudig te wijzigen is.
Die kwalificatie is nog steeds bruikbaar. Het oordeel van het hof over reclame per e-mail is dat niet: het hof ging destijds uit van een stelsel waarin commerciele e-mail zonder voorafgaande toestemming mocht worden verzonden, zolang de ontvanger zich kon afmelden. Dat uitgangspunt is achterhaald. De Telecommunicatiewet is sindsdien gewijzigd en gaat nu uit van toestemming vooraf. Wie dit arrest tegenkomt in een oude tekst over e-mailmarketing, moet die passage dus niet overnemen.
Is een e-mailadres een bijzonder persoonsgegeven?
Nee. Artikel 9 AVG noemt limitatief welke categorieen bijzondere persoonsgegevens zijn: gegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen of het lidmaatschap van een vakbond blijken, en verder genetische gegevens, biometrische gegevens met het oog op unieke identificatie, gegevens over gezondheid en gegevens over seksueel gedrag of seksuele gerichtheid. Een e-mailadres hoort daar niet bij.
Dat kan anders liggen door de inhoud van het adres of van het domein. Een adres bij een kerkgenootschap, een vakbond of een patientenvereniging kan zelf informatie over een bijzondere categorie prijsgeven. Voor bijzondere persoonsgegevens geldt een verwerkingsverbod met uitzonderingen; wie biometrie verwerkt, loopt daar snel tegenaan, zoals blijkt uit onze bespreking van de vingerafdruk onder de AVG.
Wat betekent verwerking van e-mailadressen?
Verwerking is in artikel 4 AVG ruim omschreven: elke bewerking of geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet geautomatiseerd. Daaronder vallen het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken, opvragen, raadplegen, gebruiken, doorzenden, verspreiden, wissen en vernietigen. Een adressenlijst in een spreadsheet aanleggen is dus net zo goed verwerking als het versturen van een nieuwsbrief.
Zodra u verwerkt, moet u bepalen in welke rol u dat doet. Wie doel en middelen van de verwerking vaststelt, is verwerkingsverantwoordelijke. Wie uitsluitend in opdracht van een ander verwerkt, bijvoorbeeld een leverancier van e-mailsoftware, is verwerker en moet een verwerkersovereenkomst sluiten. Wat die rolverdeling betekent, staat in ons artikel over de verplichtingen van de verwerker en in de uitleg over het opstellen van een verwerkersovereenkomst.
Op welke grondslag mag u e-mailadressen verwerken?
Elke verwerking heeft een grondslag nodig uit artikel 6 AVG. Voor e-mailadressen zijn er in de praktijk drie die ertoe doen. De eerste is de uitvoering van een overeenkomst: om een bestelling af te handelen heeft u een adres nodig. De tweede is het gerechtvaardigd belang, waarbij u uw belang moet afwegen tegen de belangen en grondrechten van de betrokkene en moet toetsen of het doel niet met minder ingrijpende middelen te bereiken is. De derde is toestemming, die vrij, specifiek, geinformeerd en ondubbelzinnig moet zijn en op elk moment even eenvoudig kan worden ingetrokken als zij is gegeven.
Een vooraf aangevinkt vakje of toestemming die verstopt zit in algemene voorwaarden voldoet niet. Ook een constructie waarbij de dienst alleen beschikbaar is als de klant toestemming geeft voor marketing, houdt zelden stand. Wie zijn grondslagen niet op orde heeft, loopt het risico dat de hele verwerking onrechtmatig is; welke risico’s ontstaan als u adressen met derden deelt, leest u in ons overzicht van AVG-risico’s bij datadeling.
Welke regels gelden voor e-mailmarketing?
Naast de AVG geldt artikel 11.7 van de Telecommunicatiewet. Commerciele, ideele of charitatieve berichten per e-mail mogen alleen worden verzonden aan ontvangers die daarvoor vooraf toestemming hebben gegeven. Er is een uitzondering voor bestaande klanten: wie in het kader van een verkoop een e-mailadres heeft verkregen, mag dat gebruiken voor eigen, gelijksoortige producten of diensten, mits de ontvanger zich bij elk bericht eenvoudig en kosteloos kan afmelden. In elk bericht moet bovendien duidelijk zijn wie de afzender is. De Autoriteit Consument en Markt houdt hierop toezicht en kan boetes opleggen.
Toestemming voor marketing is bovendien iets anders dan een geldige grondslag onder de AVG voor het bewaren van het adres zelf. Beide sporen moeten kloppen. Daarnaast heeft iedere ontvanger op grond van artikel 21 AVG het recht bezwaar te maken tegen verwerking voor direct marketing; dat bezwaar hoeft niet te worden gemotiveerd en u moet de verwerking voor dat doel daarna staken.
Welke verplichtingen heeft uw onderneming?
Als u herleidbare e-mailadressen verwerkt, gelden de gewone AVG-verplichtingen. U informeert betrokkenen op grond van de artikelen 13 en 14 AVG over wie u bent, waarvoor u de gegevens gebruikt, op welke grondslag, hoe lang u ze bewaart en welke rechten zij hebben. U houdt een register van verwerkingsactiviteiten bij (artikel 30 AVG). U beveiligt de gegevens passend (artikel 32 AVG) en u honoreert verzoeken om inzage, correctie en verwijdering binnen de wettelijke termijn.
Bewaar adressen niet langer dan nodig voor het doel waarvoor u ze heeft verzameld en ruim inactieve adressen periodiek op. Leg uw keuzes vast, want de AVG kent een verantwoordingsplicht: u moet kunnen aantonen dat u aan de verordening voldoet. Welke verplichtingen in het midden- en kleinbedrijf het vaakst blijven liggen, staat in ons artikel over verwerkingsregister, DPIA en datalek.
Wat als een adressenbestand uitlekt?
Een verkeerd verzonden mailing waarin alle ontvangers in het zichtbare adresveld staan, is een klassiek datalek. Ook een gestolen laptop met een adressenbestand of een gehackt mailplatform valt eronder. Een inbreuk in verband met persoonsgegevens meldt u op grond van artikel 33 AVG binnen tweeenzeventig uur bij de Autoriteit Persoonsgegevens, tenzij het niet waarschijnlijk is dat de inbreuk een risico oplevert voor de rechten en vrijheden van betrokkenen. Bij een hoog risico moet u ook de betrokkenen zelf informeren.
Houd daarnaast een intern overzicht bij van alle inbreuken, ook van de inbreuken die u niet meldt, met de feiten, de gevolgen en de genomen maatregelen. Dat overzicht is het eerste waar de toezichthouder naar vraagt. Hoe de termijn van tweeenzeventig uur in de praktijk uitpakt en welke verweren werken, leest u in ons artikel over de meldplicht bij een datalek.
Veelgestelde vragen
Is info@bedrijfsnaam.nl een persoonsgegeven?
In beginsel niet. Zo’n adres wijst naar een organisatie en niet naar een natuurlijke persoon. Wordt het adres feitelijk door een aanwijsbare medewerker gebruikt en is dat bekend, dan kan de situatie anders liggen.
Mag ik zakelijke e-mailadressen van internet halen voor een mailing?
Het enkele feit dat een adres openbaar is, geeft geen grondslag om het voor marketing te gebruiken. U heeft een grondslag onder artikel 6 AVG nodig en moet daarnaast voldoen aan artikel 11.7 van de Telecommunicatiewet.
Moet ik e-mailadressen in mijn verwerkingsregister opnemen?
Ja, als het om herleidbare adressen gaat. In het register beschrijft u onder meer de doeleinden, de categorieen betrokkenen en gegevens, de ontvangers en de bewaartermijnen.
Wat riskeert een onderneming die de regels negeert?
De Autoriteit Persoonsgegevens kan een verwerkingsverbod opleggen en beboeten op grond van artikel 83 AVG, met een maximum van twintig miljoen euro of, als dat hoger is, een deel van de wereldwijde jaaromzet. Daarnaast kunnen betrokkenen schadevergoeding vorderen op grond van artikel 82 AVG.
Advies over e-mailadressen en de AVG
Twijfelt u of uw adressenbestand onder de AVG valt, of wilt u uw grondslagen, mailingpraktijk en bewaartermijnen laten toetsen? Onze privacyadvocaten beoordelen uw verwerkingen, stellen het register en de verwerkersovereenkomsten op en staan u bij in een onderzoek van de Autoriteit Persoonsgegevens. Neem contact op met Law & More in Eindhoven via +31 40 369 06 80.
