Als u een app bouwt die e-mailadressen verzamelt van gebruikers in Europa, moet u begrijpen wat de AVG zegt over e-mailadressen. Niet de beangstigende versie, niet de bureaucratische checklistversie — maar de praktische ontwikkelaarsversie die u helpt zaken van meet af aan correct te bouwen.

Het goede nieuws: het grootste deel van de AVG is gezond verstand in juridische taal. Als u de kernprincipes begrijpt — waarom u gegevens verzamelt, wat u ermee doet, hoe lang u ze bewaart en welke rechten gebruikers hebben — volgt de rest vanzelf.

E-mailadressen zijn persoonsgegevens onder de AVG

De AVG classificeert e-mailadressen als persoonsgegevens omdat ze een persoon kunnen identificeren. Zelfs een ogenschijnlijk anoniem adres zoals [email protected] verwijst naar een echte persoon. Dit betekent dat elke keer dat uw applicatie een e-mailadres van een EU-gebruiker opslaat, verwerkt of verzendt, de AVG van toepassing is.

Dit verrast sommige ontwikkelaars die ervan uitgaan dat de AVG alleen betrekking heeft op gevoelige gegevens — gezondheidsgegevens, financiële informatie. In werkelijkheid geldt de AVG voor alle informatie die kan worden gekoppeld aan een specifieke natuurlijke persoon. E-mailadressen voldoen duidelijk aan deze drempel. Hetzelfde geldt voor IP-adressen en apparaat-id's in veel gevallen.

Het is ook vermeldenswaard dat dit niet alleen een Europese kwestie is. Californië's CCPA, Brazilië's LGPD en vele andere nationale privacykaders waren direct geïnspireerd op de AVG. Bouwen met de AVG in gedachten betekent in wezen bouwen met goede privacypraktijken. De Electronic Frontier Foundation heeft uitgebreid geschreven over waarom deze wereldwijde kaders belangrijk zijn.

De zes rechtsgrondslagen — vereenvoudigd

De AVG vereist dat u voor elke verwerkingsactiviteit een rechtsgrondslag heeft. Er zijn er zes, maar de meeste ontwikkelaars die consumentenapplicaties bouwen, hoeven er maar twee diepgaand te kennen.

Overeenkomst is uw rechtsgrondslag wanneer u het e-mailadres nodig heeft om een door de gebruiker gevraagde dienst te leveren. De gebruiker meldt zich aan, u stuurt een verificatiemailadres en transactiemeldingen. Dit is helder en vereist geen afzonderlijke toestemming.

Toestemming is uw rechtsgrondslag voor alles buiten de dienst zelf — marketing-e-mails, nieuwsbrieven, delen met derden. De AVG stelt hoge eisen aan toestemming: deze moet vrijelijk gegeven, specifiek, geïnformeerd en ondubbelzinnig zijn. Vooraf aangevinkte vakjes zijn uitdrukkelijk niet conform. De UK ICO-gids biedt nuttige praktijkvoorbeelden.

Dataminimalisatie — het meest praktische principe

Artikel 5(1)(c) AVG bepaalt dat persoonsgegevens "toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt." Dit is het dataminimalisatieprincipe, en het is waarschijnlijk het praktisch nuttigste idee in de hele verordening voor ontwikkelaars.

Controleer uw aanmeldformulieren. Hoeveel velden vraagt u? Als uw dienst alleen een e-mailadres nodig heeft voor een verificatielink, waarom vraagt u dan ook om telefoonnummer, geboortedatum en postcode? Elk veld dat u meer verzamelt dan nodig, creëert extra aansprakelijkheid en verhoogt de schade bij een datalek.

De praktische test is eenvoudig: voor elk veld vraagt u zichzelf af "wat gebeurt er met de dienst als ik dit veld verwijder?" Als het antwoord is "niets verandert voor de meeste gebruikers," hoeft het veld er waarschijnlijk niet te zijn. Voer deze oefening periodiek uit met uw gehele datamodel.

Hoe lang mag u e-mailadressen bewaren?

Het opslagbeperkingsbeginsel van de AVG vereist dat persoonsgegevens niet langer worden bewaard dan noodzakelijk voor het doel waarvoor ze zijn verzameld. U heeft een bewaarbeleid nodig — en u moet dit technisch in uw systemen handhaven.

Een redelijke aanpak: e-mailadressen van actieve gebruikers bewaren zolang hun account actief is. Voor inactieve gebruikers (12–24 maanden zonder activiteit): een melding sturen dat het account wordt verwijderd, dan na een respijtperiode verwijderen. Niet-geverifieerde aanmeldingen: na 30 dagen verwijderen. De CNIL publiceert gedetailleerde richtlijnen over bewaartermijnen die nuttige benchmarks bieden.

Het recht op verwijdering

Artikel 17 AVG geeft gebruikers het recht om verwijdering van hun persoonsgegevens te verzoeken. Bouw een "account verwijderen"-stroom die echt compleet is: primaire database, mailinglijsten, subsystemen. Soft-delete-patronen zijn operationeel prima, maar hebben een echte verwijderingsstap nodig.

De technische implementatie van verwijdering is veel eenvoudiger als u uw datamodel van meet af aan goed heeft gebouwd. Als het e-mailadres een foreign key is die in tientallen tabellen wordt gebruikt, wordt verwijdering een complexe operatie.

Tijdelijke e-mail en AVG-conform design

Er is een interessant praktijkvoorbeeld van het AVG-dataminimalisatieprincipe: een tijdelijk e-mailadres dat na een uur automatisch wordt verwijderd. Geen persistente persoonsgegevens. Automatische verwijdering ingebouwd in de architectuur. Vanuit het perspectief van de dataminimalisatie is dit een modelimplementatie van het principe.

Vanuit ontwikkelaarsperspectief: als u systemen bouwt en test die e-mailadressen van gebruikers verwerken, betekent het gebruik van tijdelijke mail voor testaccounts dat u geen echte persoonsgegevens in uw ontwikkelomgeving verzamelt.

Marketing-e-mails onder de AVG

Marketing-e-mails vereisen expliciete toestemming onder de AVG. Double opt-in is best practice. Uw toestemmingsrecord moet bevatten: datum en tijd van toestemming, de exacte tekst die de persoon zag, en het kanaal waarlangs toestemming werd verkregen. Afmeldverzoeken moeten snel worden verwerkt. De FTC-spamgids biedt aanvullende informatie.

E-mailverwerkers van derden

Elke dienst die u gebruikt om e-mailadressen namens u te verzenden, op te slaan of te verwerken — SendGrid, Mailchimp, Postmark — is een verwerker onder de AVG. U heeft een verwerkersovereenkomst nodig met elk van hen. De meeste grote aanbieders bieden deze automatisch of op verzoek aan.

De developers en bedrijven die het meeste moeite hebben met de AVG zijn doorgaans degenen die grote hoeveelheden gegevens hadden verzameld zonder duidelijk doel, zonder gedocumenteerd bewaarbeleid en zonder een schoon verwijderingspad. Deze structuren van het begin af aan bouwen is dramatisch eenvoudiger dan ze achteraf inpassen. En het vertrouwen dat u opbouwt door zorgvuldig met gegevens om te gaan heeft echte waarde. De Electronic Frontier Foundation stelt het treffend: privacyrespecterende software is betere software.