Een vinkje voor 'onze partners': mag een bedrijf dat u niet kent daarmee mailen?

Een webformulier met een vinkje: 'Ik wil aanbiedingen ontvangen van de partners van ...'. Of een leadlijst die u inkoopt, met de toezegging dat iedereen daarop toestemming heeft gegeven. Wie daarmee gaat mailen, rekent erop dat die toestemming doorwerkt tot bij de afzender. Op 17 september 2026 nam advocaat-generaal Spielmann in zaak C-317/25 een andere positie in.

Het gaat om een advies aan het Hof van Justitie. Het Hof beslist zelf nog en is niet aan het advies gebonden. Toch is het een signaal voor iedereen die leads deelt of afneemt, want de vraag komt in het mkb dagelijks voorbij.

De zaak

In 2021 voerde Groupe Canal + e-mailcampagnes voor direct marketing onder ongeveer 3,9 miljoen mensen. Hun gegevens kwamen van twee internetproviders. Die hadden abonnees laten aanvinken dat hun gegevens mochten worden gebruikt voor direct marketing door de 'partners' van de provider. Wie die partners waren, stond niet op het formulier en ook niet in een lijst waarnaar werd verwezen.

De Franse toezichthouder CNIL legde Canal + in 2023 een boete van 600.000 euro op, omdat het bedrijf geen geldige toestemming had. Canal + ging in beroep. De Franse Conseil d'État vroeg het Hof van Justitie of toestemming aan de provider, voor gebruik door een categorie ontvangers als 'partners', ook gold voor Canal + zonder dat opnieuw om toestemming werd gevraagd.

Wat de wet voorschrijft

Artikel 13, eerste lid, van de e-privacyrichtlijn (2002/58/EG) staat e-mail voor direct marketing alleen toe bij abonnees of gebruikers die vooraf toestemming hebben gegeven. Die toestemming moet voldoen aan de AVG: vrij gegeven, specifiek, geïnformeerd en ondubbelzinnig (artikel 4, onderdeel 11, AVG). Artikel 13, tweede lid, kent een uitzondering voor een bedrijf dat de e-mailgegevens van zijn eigen klanten kreeg bij de verkoop van een product of dienst. Dat bedrijf mag zijn eigen soortgelijke producten of diensten aanbieden, mits de klant ruim de kans kreeg om bezwaar te maken. Die uitzondering gold voor Canal + niet, want de mailings kwamen niet van de provider.

Wat de advocaat-generaal adviseert

De advocaat-generaal stelt dat toestemming alleen 'geïnformeerd' is als de betrokkene weet wie de gegevens gaat gebruiken. De advocaat-generaal wijst op overweging 42 van de AVG: voor geïnformeerde toestemming moet de betrokkene ten minste de identiteit van de verwerkingsverantwoordelijke en de doeleinden kennen. De provider hoefde bij het verzamelen alleen categorieën ontvangers te noemen. Maar wie later zelf gaat mailen, moet de betrokkene informeren over de eigen identiteit, uiterlijk bij het eerste bericht.

Het voorgestelde antwoord is dat toestemming die is gegeven aan een eerste verzamelaar, voor gebruik door een categorie ontvangers die 'partners' heet maar die de betrokkene op dat moment niet kende, niet kan gelden als geïnformeerde toestemming voor elke partij binnen die categorie. Wie wil mailen, moet eerst opnieuw toestemming krijgen van de betrokkenen.

Het afmeldlinkje onder de e-mail verandert dat niet. Volgens de advocaat-generaal kan het ontbreken van voorafgaande toestemming over de identiteit van de afzender niet achteraf worden hersteld door de mogelijkheid om toestemming in te trekken. Ook het argument dat mensen moe worden van steeds opnieuw toestemming geven, overtuigt de advocaat-generaal niet.

Voor het geval het Hof niet meegaat in dat antwoord, geeft de advocaat-generaal een tweede lijn. Dan hoort de categorie ontvangers zo precies te zijn dat de betrokkene redelijkerwijs kon verwachten van deze afzender bericht te krijgen. Het woord 'partner' is daarvoor veel te vaag. De ontvangende partij had bij de provider ook kunnen bedingen dat de toestemming de ontvangers bij naam noemt.

Wat dit voor u betekent

Dit is nog geen uitspraak. Het Hof kan een andere kant op gaan, en dit artikel behandelt niet hoe de e-privacyrichtlijn in Nederland is omgezet. Maar de lijn van de advocaat-generaal sluit aan op wat de AVG al zegt over geïnformeerde toestemming, dus het is verstandig er alvast rekening mee te houden.

Koopt of ontvangt u leads, vraag dan de leverancier om de exacte tekst waarmee de toestemming is verkregen, met datum en bron. Staat daar alleen 'partners' of 'geselecteerde bedrijven', behandel die toestemming dan als onvoldoende om te mailen. Vraag de betrokkenen om toestemming voordat u het eerste bericht stuurt, of baseer u op de uitzondering voor uw eigen klanten als die op uw situatie past.

Verzamelt u zelf leads die u met anderen deelt, noem die partijen dan bij naam op het formulier of in een lijst waarnaar u verwijst, en houd die lijst actueel. Leg in het contract met de partij die de leads afneemt vast dat zij het bewijs van toestemming bewaart en dat zij binnen de gegeven toestemming blijft.

Dit geldt ook als u AI-hulpmiddelen inzet voor leadgeneratie of e-mailpersonalisatie. Het gereedschap verandert niets aan de vraag wie de afzender is en waarvoor de betrokkene toestemming gaf.

Wilt u eerst een indicatie van waar uw organisatie staat? De Recht & AI Reality Scan laat in ongeveer vier minuten zien waar uw grootste juridische risico ligt. Die uitslag is indicatief. Of uw eigen werkwijze voor leads houdbaar is, vraagt een beoordeling van uw situatie. Lees hoe REZA Legal naar privacy en data kijkt, of plan een intake.