Online marketing en de AVG: waar moet je op letten?

Voor online marketing gelden dezelfde AVG-regels als voor je andere gegevensverwerking, aangevuld met specifieke regels uit de Telecommunicatiewet voor spam en cookies. Check bij elke marketingtool of leverancier of deze op een verantwoorde manier met gegevens omgaat, zet zelf de meest privacyvriendelijke instellingen aan, en vraag toestemming voordat je mensen mailt of volgt, behalve bij je eigen klanten, binnen redelijke grenzen. Leg deze keuzes vast in je privacybeleid, verwerkingenregister en verwerkersovereenkomst.

Kies je marketingtools met aandacht voor privacy

Werk je met tools zoals een e-mailplatform of social media? Denk dan eerst na of de leverancier verantwoord met gegevens omgaat. Dat toets je op twee manieren: 

• Objectief: voldoet de tool aan de eisen van de AVG? 

• Subjectief: past dit bij de privacywaarden van jouw organisatie? 

Leg deze afspraken vast in je verwerkingenregister en verwerkersovereenkomst, ook als je privacybeleid al algemene grenzen stelt. Zo weet iedereen in je organisatie wie waarvoor verantwoordelijk is. 

Zet standaard de meest privacyvriendelijke instellingen aan 

Elke marketingtool biedt privacyopties, maar zet deze zelf goed. Overleg hierover met je ICT-afdeling en kies steeds voor privacy by default: de instelling die de privacy van je bezoekers het beste beschermt. 

Pas ook dataminimalisatie toe: verzamel alleen de gegevens die je daadwerkelijk nodig hebt. Vraag je bij elk veld in een formulier af: kan dit ook zonder deze gegevens? 

Check waar je gegevens terechtkomen 

Gaan de gegevens van je bezoekers naar landen buiten de Europese Economische Ruimte (EEC)? Dan moet je extra goed controleren of daar passende waarborgen zijn getroffen voor de bescherming van die gegevens. Bespreek dit vooraf met je privacycoördinator of Functionaris Gegevensbescherming (FG).

Welke regels gelden voor cookies en spam? 

Voor cookies en spam geldt de ePrivacy Richtlijn uit 2002, die in Nederland is verwerkt in de Telecommunicatiewet. Deze richtlijn beschermt de persoonlijke levenssfeer bij elektronische communicatie: vertrouwelijkheid van berichten, regels voor cookies, en een verbod op ongevraagde commerciële e-mail (het spamverbod). 

Er is lang gesproken over een Europese ePrivacy Verordening die deze richtlijn zou vervangen. De Europese Commissie heeft dit voorstel in februari 2026 ingetrokken. Er komt dus geen nieuwe Europese verordening. In plaats daarvan komen er via het zogeheten Digital Omnibus-pakket beperkte aanpassingen aan de bestaande regels, onder meer om cookieregels dichter bij de AVG te brengen. De huidige ePrivacy Richtlijn en Telecommunicatiewet blijven daarmee je uitgangspunt. 

Wanneer mag je mailen of appen voor marketing? 

Direct mailing, via e-mail, sms, app of een direct bericht op social media, mag alleen met toestemming, of als je een bestaande of voormalige klant benadert. 

Bij nieuwe contacten (geen klant): Vraag altijd toestemming, en bewaar het bewijs daarvan 5 jaar. Kun je niet aantonen dat iemand toestemming gaf? Dan mag je die persoon niet benaderen. 

Bij bestaande klanten: Je mag mailen op basis van je gerechtvaardigd belang, zolang je klant dit redelijkerwijs kan verwachten. Vroeg iemand alleen informatie op, zonder klant te worden? Dan mag je geen direct digitale marketing sturen nog geen nieuwsbrief versturen, tenzij die persoon daar apart toestemming voor gaf. 

Voor beide groepen geldt bovendien: 

• Bied altijd een duidelijke en makkelijke, gratis manier om zich af te melden, zowel bij het verzamelen van gegevens als bij elk bericht dat je verstuurt. 

• Maak duidelijk wie de afzender is. Anonieme mailings zijn niet toegestaan.