B2B-cold e-mail in Spanje: wat zeggen de LSSI en de AVG?

Let op: dit artikel gaat over de Spaanse wetgeving (en de Europese regels die daarop van toepassing zijn) voor commerciële e-mail aan bedrijven. Prospecteer je in Nederland of België, dan gelden andere nationale regels. Dit is geen juridisch advies. Prospecteer je per e-mail, overleg dan met een advocaat hoe jouw specifieke situatie in elkaar zit.

Verkoop je aan andere bedrijven, dan komt de vraag vroeg of laat op: mag ik een bedrijf dat me niet kent mailen om aan te bieden wat ik verkoop? Het korte antwoord in Spanje is ongemakkelijk, en je kent het beter voordat je je eerste campagne lanceert: als algemene regel verbiedt de wet commerciële e-mails die niet zijn gevraagd of toegestaan, ook aan bedrijven.

In dit artikel lopen we door wat de twee toepasselijke regels precies zeggen (de LSSI en de AVG, in het Spaans RGPD), waarom info@ mailen niet hetzelfde is als maria@ mailen, welke boetes de wet noemt en welke werkwijzen het risico beperken als je besluit per e-mail te prospecteren.

Twee verschillende regels die tegelijk gelden

Het eerste misverstand is denken dat er maar één wet is. In werkelijkheid gelden er, als je een commerciële e-mail naar een bedrijf stuurt, twee regels met een ander onderwerp:

Aan de ene voldoen ontslaat je niet van de andere. Je kunt een perfecte rechtsgrond hebben om iemands e-mailadres te bewaren (AVG) en toch de LSSI overtreden als je die persoon reclame stuurt waar hij niet om heeft gevraagd.

Wat artikel 21 van de LSSI zegt

Artikel 21, lid 1, van de LSSI is de kern van de zaak. Het zegt letterlijk dat het verboden is reclame- of promotieberichten te versturen per e-mail of via een ander gelijkwaardig elektronisch communicatiemiddel, als de ontvangers daar niet vooraf om hebben gevraagd of er niet uitdrukkelijk toestemming voor hebben gegeven.

Drie belangrijke details:

• Er wordt geen onderscheid gemaakt tussen particulieren en bedrijven. Het artikel spreekt van „ontvangers”, zonder rechtspersonen uit te sluiten. Een commerciële e-mail aan een bedrijf valt onder dezelfde regel als een e-mail aan een particulier.
• De toestemming moet vooraf en uitdrukkelijk zijn. Het is niet genoeg dat het adres openbaar is of op de website van het bedrijf staat: een contactadres publiceren staat niet gelijk aan toestemming om je reclame te sturen.
• „Commerciële communicatie” is een breed begrip. De wet omschrijft het als elke vorm van communicatie die direct of indirect bedoeld is om het imago of de goederen of diensten van een bedrijf te promoten. Een e-mail die je diensten voorstelt met het doel te verkopen, valt daar volledig onder.

De uitzondering: een bestaande contractuele relatie

Artikel 21, lid 2, bevat de belangrijkste uitzondering: het verbod geldt niet wanneer er al een contractuele relatie bestaat, mits je de gegevens van de ontvanger rechtmatig hebt verkregen en je berichten stuurt over producten of diensten van je eigen bedrijf die vergelijkbaar zijn met wat hij eerder afnam. Zelfs dan moet je hem in elk bericht de mogelijkheid geven om bezwaar te maken.

Met andere woorden: de uitzondering geldt voor je klanten, niet voor prospects die dat nog niet zijn.

Wat elke commerciële e-mail moet bevatten

Naast het verbod legt de LSSI twee verplichtingen op aan elke commerciële communicatie die je verstuurt:

• Identificatie (artikel 20). De e-mail moet duidelijk herkenbaar zijn als commercieel en het moet duidelijk zijn wie hem verstuurt.
• Eenvoudig en kosteloos afmelden (artikel 22). De ontvanger kan zijn toestemming op elk moment intrekken via een eenvoudige en kosteloze procedure, en je moet hem daarvoor een adres of ander middel geven.

Info@ tegenover maria@: wat is het verschil?

Hier zit het tweede veelvoorkomende misverstand. Veel mensen denken dat mailen naar een algemeen bedrijfsadres (info@, hallo@, contact@) mag en mailen naar een persoon niet. De werkelijkheid is genuanceerder:

Voor de LSSI verandert er niets. Artikel 21 beschermt de ontvanger van het bericht, of dat nu een persoon is of een bedrijf. Een ongevraagde reclame-e-mail aan info@clinica.es valt onder hetzelfde verbod als een e-mail aan maria@clinica.es.

Voor de AVG verandert er wel iets. Een algemeen bedrijfsadres is normaal gesproken geen persoonsgegeven, omdat het geen natuurlijk persoon identificeert. Een adres op naam (maria.roig@clinica.es) is dat wel, en dan komen de verplichtingen rond gegevensbescherming erbij die we hieronder bespreken.

Kort gezegd: info@ mailen bespaart je verplichtingen op het gebied van gegevensbescherming, maar ontslaat je niet van de LSSI.

Wat de AVG eist als de ontvanger een persoon is

Als het adres dat je gebruikt een persoon identificeert, vraagt de AVG minimaal drie dingen van je.

1. Een rechtsgrond om de gegevens te verwerken

In B2B-prospectie wordt meestal het gerechtvaardigd belang ingeroepen (artikel 6, lid 1, onder f, AVG). Overweging 47 erkent dat verwerking voor direct marketing kan worden beschouwd als verwerking op basis van een gerechtvaardigd belang. In Spanje gaat artikel 19 van de LOPDGDD ervan uit dat het verwerken van zakelijke contactgegevens van mensen die bij een bedrijf werken rechtmatig is, mits die gegevens alleen worden gebruikt om hen professioneel te bereiken en met als doel relaties te onderhouden met het bedrijf waar ze werken.

Maar we zeggen het nog maar eens: een gerechtvaardigd belang rechtvaardigt het verwerken van de gegevens; het geeft geen toestemming om elektronische commerciële berichten te versturen die de LSSI verbiedt.

2. De persoon informeren

Heb je de gegevens niet rechtstreeks van de persoon zelf gekregen (bijvoorbeeld omdat je ze op de website van het bedrijf hebt gevonden), dan verplicht artikel 14 van de AVG je om te vertellen wie je bent, waarvoor je de gegevens gebruikt, waar je ze vandaan hebt en welke rechten de persoon heeft. Gebruik je de gegevens om contact op te nemen, dan moet je die informatie uiterlijk bij het eerste contact geven.

3. Bezwaar respecteren

Artikel 21 van de AVG geeft het recht om op elk moment bezwaar te maken tegen verwerking voor direct marketing. Maakt de persoon bezwaar, dan moet je stoppen met het gebruik van de gegevens voor dat doel, zonder uitvluchten en zonder lange termijnen.

Welke boetes de wet noemt

De LSSI deelt de overtredingen in artikel 38 in en legt de sancties vast in artikel 39:

• Ernstige overtreding: het massaal versturen van commerciële e-mails aan ontvangers die daar niet om hebben gevraagd of geen toestemming voor hebben gegeven, of het versturen van meer dan drie ongevraagde commerciële berichten aan dezelfde ontvanger binnen één jaar. Boete van 30.001 tot 150.000 euro.
• Lichte overtreding: het versturen van commerciële berichten die niet voldoen aan de eisen van artikel 21, wanneer het niet om een ernstige overtreding gaat. Boete van maximaal 30.000 euro.

Wie deze regels voor commerciële e-mail handhaaft, is de Agencia Española de Protección de Datos (AEPD), de Spaanse privacytoezichthouder. Wordt daarnaast de AVG overtreden, dan kunnen de sancties voor gegevensbescherming daarbovenop komen.

Zo beperk je het risico als je per e-mail prospecteert

Binnen dit juridische kader is de enige manier zonder risico: alleen mailen naar wie je toestemming heeft gegeven of al klant is. Besluit je toch contact op te nemen met bedrijven die je niet kennen, dan beperken deze werkwijzen het risico en vooral de overlast voor wie de e-mail ontvangt:

1. Raadpleeg een advocaat voordat je begint. Je specifieke situatie (wie je mailt, van waaruit, met welke inhoud) kan de beoordeling veranderen.
2. Mail weinig, en naar heel weinig mensen. De wet straft vooral massale verzending en aandringen. Eén relevante e-mail aan een specifiek bedrijf is iets anders dan een campagne naar duizenden adressen.
3. Dring niet aan. De wet zelf merkt meer dan drie ongevraagde berichten per jaar aan dezelfde ontvanger aan als ernstige overtreding. Krijg je geen antwoord, stop dan.
4. Maak altijd duidelijk wie je bent. Je naam, je bedrijf en hoe men contact met je opneemt, goed zichtbaar.
5. Bied in elke e-mail een echte afmeldmogelijkheid en verwerk die meteen. Houd een suppressielijst bij, zodat je niemand opnieuw mailt die nee heeft gezegd.
6. Is de ontvanger een persoon, informeer hem dan in de eerste e-mail over waar je zijn gegevens vandaan hebt en welke rechten hij heeft (artikel 14 AVG).
7. Houd bij waar elk contact vandaan komt en welke afmeldingen en bezwaren je ontvangt.
8. Geef voorrang aan toestemming. Formulieren, evenementen, downloadbare content of aanbevelingen: elk kanaal waarlangs het bedrijf je zelf om informatie vraagt, is veel veiliger dan ongevraagde e-mail.

En in de rest van Europa

De LSSI is de Spaanse omzetting van Richtlijn 2002/58/EG betreffende privacy en elektronische communicatie, die elke lidstaat enige ruimte laat om commerciële e-mail aan bedrijven te regelen. Daarom verschillen de regels per land: sommige landen staan ongevraagde B2B-e-mail onder voorwaarden toe, andere beperken die net zo sterk als Spanje. Mail je bedrijven in andere landen, controleer dan de regels van elk land.

Samenvatting

• In Spanje verbiedt artikel 21 van de LSSI ongevraagde en niet-toegestane reclame-e-mails, ook aan bedrijven.
• De belangrijkste uitzondering is een bestaande contractuele relatie, voor vergelijkbare producten of diensten.
• Info@ mailen in plaats van een persoon ontslaat je niet van de LSSI, al bespaart het je verplichtingen onder de AVG.
• Het gerechtvaardigd belang uit de AVG staat toe dat je zakelijke contactgegevens verwerkt, maar geeft geen toestemming voor de verzending die de LSSI verbiedt.
• De boetes lopen op tot 30.000 euro (licht) en van 30.001 tot 150.000 euro (ernstig, zoals massale verzending).
• Prospecteer je, doe dat dan met advies, in klein volume, met duidelijke identificatie, een echte afmeldmogelijkheid en zonder aan te dringen.