GDPR والتسويق بالبريد الإلكتروني: دليل امتثال عملي

ما الذي يشترطه GDPR فعليًا على المسوّقين بالبريد الإلكتروني

بعبارة صريحة: لا تتضمن اللائحة العامة لحماية البيانات (اللائحة (EU) 2016/679) أي قاعدة تقول “تحتاج موافقة لإرسال رسالة بريد”. ما تنظّمه هو البيانات الشخصية التي يقوم عليها برنامجك البريدي. أنت تحتاج أساسًا قانونيًا لمعالجتها، وشفافية بشأنها، ودقة، وتحديدًا للتخزين، وأمانًا، وإثباتًا لكل ذلك. وتضع المادة 5(2) الأمر في سطر واحد: المتحكم “يكون مسؤولًا عن الامتثال لمبادئ المعالجة وقادرًا على إثباته”.

أما القاعدة التي تحدد إن كان يحق لك الضغط على زر الإرسال فتقع في أداة تشريعية أخرى، هي توجيه ePrivacy. وأغلب المقالات في هذا الموضوع تخلط بين الاثنتين فتصل إلى إجابة خاطئة. والفصل بينهما هو غاية هذا الدليل.

هذه المقالة إرشاد عملي للمسوّقين، لا استشارة قانونية. وهي تستشهد بالمصادر الأولية حتى تتحقق منها بنفسك، لكن قانون حماية البيانات تطبّقه الجهات التنظيمية والمحاكم الوطنية، والتطبيقات الوطنية تختلف، وظروفك تهم. وقبل أن تغيّر مسار موافقة أو قاعدة احتفاظ بالبيانات أو نقلًا دوليًا، خذ رأي ممارس مؤهل في نطاق ولايتك القضائية.

GDPR وePrivacy: أداتان، وإرسال واحد

ما يقوله توجيه ePrivacy

يضع التوجيه 2002/58/EC، أي توجيه ePrivacy، بصيغته المعدّلة بالتوجيه 2009/136/EC، قاعدة الإرسال. تسمح المادة 13(1) بالبريد الإلكتروني للتسويق المباشر فقط تجاه المشتركين الذين منحوا موافقتهم المسبقة. و”البريد الإلكتروني” معرّف تعريفًا واسعًا ومحايدًا تقنيًا: أكّد رأي مجموعة عمل المادة 29 رقم 5/2004 أنه يشمل النشرات البريدية كما يشمل الرسائل النصية والرسائل المخزّنة المشابهة. وتستثني المادة 13(2) حالة العميل الحالي، وتحظر المادة 13(4) البريد التسويقي الذي يخفي هوية المرسل أو يفتقر إلى “عنوان صالح يستطيع المتلقي أن يرسل إليه طلبًا بوقف هذه المراسلات”.

لماذا يهم هذا عمليًا

الموافقة غير معرّفة في توجيه ePrivacy. بل تستمد معناها من قانون حماية البيانات العام: تنص المادة 94(2) من GDPR على أن الإشارات إلى التوجيه الملغى 95/46/EC تُقرأ كإشارات إلى GDPR. فتحدد ePrivacy متى تلزم الموافقة لفعل الإرسال، ويحدد GDPR ما الذي يُعد موافقة وكيف تثبتها.

لذا قد يكون لديك أساس صحيح بموجب GDPR للاحتفاظ بسجل جهة اتصال وتحليله، ومع ذلك لا يحق لك مراسلة ذلك الشخص. ولأن ePrivacy توجيه لا لائحة، فهو يُنقل إلى القوانين الوطنية، وبالتالي تختلف التفاصيل بين الدول الأعضاء.

اختيار أساس قانوني للتسويق بالبريد الإلكتروني

الموافقة

الموافقة بموجب المادة 6(1)(a) هي ما تعتمد عليه أغلب برامج البريد الموجهة للمستهلكين، ولسبب وجيه: ما دامت ePrivacy تشترط موافقة مسبقة للإرسال على أي حال، فاستخدام الموافقة كأساس لك في GDPR يبقي القصة واحدة بدل اثنتين. والثمن أنها قابلة للسحب في أي وقت بموجب المادة 7(3).

المصلحة المشروعة

تسمح المادة 6(1)(f) بالمعالجة اللازمة للمصالح المشروعة للمتحكم، إلا حيث ترجّح عليها مصالح صاحب البيانات أو حقوقه الأساسية. وتقول الحيثية 47 صراحة إن “معالجة البيانات الشخصية لأغراض التسويق المباشر قد تُعد منفّذة لمصلحة مشروعة”.

تُقتبس هذه الجملة باستمرار للاحتجاج بأن الموافقة اختيارية. اقرأها بتمعّن. فهي تخص أساس المعالجة في GDPR، وتقول “قد”، أي أن عليك إجراء اختبار الموازنة وتوثيقه، ولا تقول شيئًا عن قاعدة ePrivacy الخاصة بالإرسال. المصلحة المشروعة أكثر ما تكون قابلة للدفاع عنها في المعالجة المحيطة ببرنامجك، كتقسيم الشرائح والكبح والتحليلات، وفي التواصل بين الشركات حيث تعامل القواعد الوطنية المشتركين من الشركات معاملة مختلفة. وهي أساس ضعيف للبريد البارد الموجه للمستهلكين في الاتحاد الأوروبي.

الاستثناء المخفف للعملاء الحاليين

المادة 13(2) من توجيه ePrivacy هي الاستثناء الحقيقي. فحيث يحصل شخص على تفاصيل الاتصال البريدي لعملائه “في سياق بيع منتج أو خدمة”، يجوز لذلك الشخص نفسه أن يستخدمها لتسويق “منتجاته أو خدماته المشابهة”، شريطة أن يُمنح العملاء “بوضوح وتمييز فرصة الاعتراض مجانًا وبطريقة سهلة” عند جمع التفاصيل وفي كل رسالة لاحقة.

قالت مجموعة عمل المادة 29 إن هذا الاستثناء “محدود بعدة وجوه ويجب تفسيره تفسيرًا ضيقًا”. وثلاثة قيود تستحق الحفظ:

• ينطبق على العملاء الفعليين فقط. ومن ترك عملية الدفع دون إتمامها ليس مشمولًا.
• الشخص الاعتباري نفسه الذي جمع العنوان هو وحده من يجوز له الإرسال. والشركات التابعة والشركات الأم ليست الشركة نفسها.
• المنتجات أو الخدمات المشابهة وحدها مؤهلة، ويُحكم على ذلك من توقعات المتلقي المعقولة لا من طموحات المرسل.

كيف يختلف الاستثناء المخفف بين الدول الأعضاء

لأن التوجيه نُقل وطنيًا، فهنا تتباين النصيحة نفسها تباينًا حقيقيًا بحسب السوق.

في أيرلندا، تعيد اللائحة 13(11) من S.I. No. 336/2011 صياغة الاستثناء وتضيف حدًا زمنيًا صارمًا: يجب أن يكون البيع قد حدث “قبل ما لا يزيد على 12 شهرًا من إرسال رسالة التسويق المباشر”، أو أن تكون التفاصيل قد استُخدمت لبريد تسويقي خلال تلك المدة.

وفي المملكة المتحدة، القاعدة المكافئة هي اللائحة 22 من PECR، ولا تذكر ICO أي حد زمني من هذا النوع. بل تصف الاستثناء المخفف بأنه يغطي العميل الحالي “الذي اشترى (أو تفاوض على شراء) منتجًا أو خدمة مشابهة منك في الماضي”، وتشير إلى أنه لا ينطبق على العملاء المحتملين، ولا على القوائم المشتراة، ولا على الترويج غير التجاري كجمع التبرعات الخيرية والحملات السياسية.

سوقان متجاوران، وقاعدتان مختلفتان اختلافًا جوهريًا. لا تفترض أبدًا أن نسختك المحلية تسافر معك.

ما تعنيه الموافقة الصحيحة فعليًا

تعرّف المادة 4(11) الموافقة بأنها “أي تعبير حر ومحدد ومستنير ولا لبس فيه عن رغبة صاحب البيانات، يدل به، ببيان أو بفعل إيجابي واضح، على قبوله معالجة البيانات الشخصية المتعلقة به”. وقد فصّل المجلس الأوروبي لحماية البيانات كل عنصر في الإرشادات 05/2020 بشأن الموافقة، المعتمدة في 4 مايو 2020.

العناصر الأربعة

• حرة. تقول المادة 7(4) إنه يُؤخذ “أقصى اعتبار” لما إذا كان تنفيذ عقد مشروطًا بالموافقة على معالجة غير لازمة له. لا تجعل الموافقة التسويقية شرطًا لإتمام الشراء.
• محددة. حيث تتعدد أغراض المعالجة، ينبغي منح الموافقة لكل منها (الحيثية 32). والأغراض المنفصلة تحتاج خيارات منفصلة: الاشتراك في نشرة ليس موافقة على الرسائل النصية، ولا على مشاركة البيانات مع شركاء.
• مستنيرة. تشترط المادة 7(2) أن يكون طلب الموافقة المدمج في إقرار أوسع “مميزًا بوضوح عن المسائل الأخرى، بصيغة مفهومة وسهلة الوصول، بلغة واضحة وبسيطة”.
• لا لبس فيها. لا بد من بيان أو فعل إيجابي واضح.

ما لا يُعد موافقة

الحيثية 32 صريحة: “الصمت أو مربعات الاختيار المحددة مسبقًا أو الجمود ينبغي ألا تشكّل موافقة.” ولا يُعد موافقة كذلك مربع اختيار مدفون في الشروط، ولا علامة واحدة تغطي البريد والرسائل النصية والتنميط ومشاركة البيانات مع الشركاء.

السحب

تمنح المادة 7(3) الحق في سحب الموافقة في أي وقت، وتشترط إخبار الشخص بهذا الحق مسبقًا، وتنص على أنه “يجب أن يكون السحب سهلًا بقدر سهولة منح الموافقة”. فإذا كان بإمكان أحدهم الاشتراك بنقرة واحدة، فمسار سحب يتطلب تسجيل دخول وصفحة إعدادات مدفونة لا يفي بالمعيار. والسحب ليس رجعي الأثر: المعالجة التي جرت قبله تبقى مشروعة.

الإثبات: ما يجب أن تكون قادرًا على إظهاره

المادة 7(1) قصيرة وحاملة للثقل: “حيث تقوم المعالجة على الموافقة، يجب أن يكون المتحكم قادرًا على إثبات أن صاحب البيانات قد وافق.” وعمود مكتوب فيه “وافق: نعم” لا يثبت شيئًا. أما السجل الذي يعيد بناء لحظة الموافقة فيثبت.

ما تسجّله عند التسجيل

التقط وخزّن، لكل جهة اتصال ولكل غرض:

• الطابع الزمني لفعل الموافقة، بمنطقة زمنية ثابتة.
• المصدر والطريقة: أي نموذج، أو رابط صفحة، أو قناة، أو حدث خارج الإنترنت.
• صياغة الموافقة الدقيقة ونسخة إشعار الخصوصية المعروضة. ومعرّف نسخة يحيل إلى صياغة مؤرشفة أعملُ من تخزين النص الكامل في كل صف.
• الأغراض المحددة التي جرت الموافقة عليها، كأعلام منفصلة لا كقيمة منطقية واحدة.
• دليل التأكيد وطابعه الزمني حيث تستخدم التأكيد المزدوج.
• عنوان IP حيث يتناسب ذلك مع المخاطر. وهذه ممارسة شائعة ودليل مفيد، لكنها ليست شرطًا قانونيًا، وهي نفسها بيانات شخصية.

وتشترط المادة 30 بشكل منفصل على أغلب المؤسسات الاحتفاظ بسجلات لأنشطة المعالجة: الأغراض، وفئات أصحاب البيانات والبيانات، والمتلقين، وعمليات النقل، ومدد الاحتفاظ، والتدابير الأمنية. والإعفاء الممنوح للمؤسسات التي تشغّل أقل من 250 شخصًا إعفاء ضيق، ويسقط حين يُرجّح أن تعرّض المعالجة الحقوق والحريات للخطر، أو حين لا تكون عارضة، أو حين تشمل بيانات من فئات خاصة. والتسويق المنتظم لقاعدة عملاء ليس أمرًا عارضًا.

كم تحتفظ بأدلة الموافقة

لا يضع GDPR مدة ثابتة. والمبدأ العملي أن دليل الموافقة ينبغي أن يعمّر أطول من التسويق الذي يبرّره، إضافة إلى المدة التي يمكن فيها واقعيًا رفع شكوى. وحذف سجل مشترك مع الاحتفاظ بقيد سجل مصغّر يثبت الإذن أمر معتاد.

حقوق أصحاب البيانات التي تمس البرامج البريدية

خمسة حقوق تظهر مرارًا في عمليات البريد.

• الوصول (المادة 15). تأكيد إن كنت تعالج بياناتهم، ونسخة منها، ومعلومات تشمل الأغراض وفئات البيانات والمتلقين ومدد الاحتفاظ والمصدر وأي اتخاذ قرار آلي أو تنميط. وفي البرامج البريدية يعني ذلك غالبًا تاريخ التفاعل وعضوية الشرائح، لا العنوان وحده.
• التصحيح (المادة 16). تصحيح البيانات غير الدقيقة دون تأخير لا مبرر له، واستكمال البيانات الناقصة.
• المحو (المادة 17). بما في ذلك الفقرة 17(1)(b) حين تُسحب الموافقة ولا ينطبق أساس آخر، والفقرة 17(1)(c) حين يعترض الشخص بموجب المادة 21(2).
• الاعتراض على التسويق المباشر (المادة 21). وهو الحق المطلق. فبموجب 21(2) “يكون لصاحب البيانات الحق في الاعتراض في أي وقت” على المعالجة لأغراض التسويق المباشر، بما فيها التنميط المرتبط بها. وبموجب 21(3)، “لا تُعالَج البيانات الشخصية بعد ذلك لتلك الأغراض”. ولا يوجد اختبار موازنة يُطبَّق.
• قابلية النقل (المادة 20). تنطبق حيث تقوم المعالجة على الموافقة أو العقد وتكون آلية، وتغطي البيانات التي قدّمها الشخص. أما الدرجات والشرائح المشتقة فهي خارجها عمومًا.

مواعيد الرد

تشترط المادة 12(3) أن تتصرف دون تأخير لا مبرر له وخلال شهر واحد من الاستلام على أي حال. ويمكن تمديد ذلك شهرين إضافيين نظرًا للتعقيد أو لعدد الطلبات، وعليك إخبار الشخص، مع بيان الأسباب، خلال الشهر الأول. والاعتراض على التسويق يستحق أفضل من الحد الأقصى: عامله ككبح فوري، ثم أنجز الأوراق داخل النافذة القانونية.

التطبيق العملي

نماذج التسجيل

مربع اختيار واحد غير محدد وواضح التسمية لكل غرض. سمِّ المرسل، وقل ما سترسله وبأي وتيرة تقريبًا، واربط إشعار الخصوصية بدل إعادة إنتاجه. لا تدمج الموافقة التسويقية مع قبول الشروط ولا تشترطها لإتمام الشراء. وخزّن نسخة النموذج حتى تستطيع لاحقًا إثبات ما كان على الشاشة.

التأكيد المزدوج ووضعه القانوني الصريح

التأكيد المزدوج ليس مشترطًا في GDPR ولا في توجيه ePrivacy. ولا توجد مادة توجبه. ما ينتجه هو الدليل: نقرة تأكيد، من صندوق البريد المعني، في وقت مسجّل، هي أقرب ما يكون إلى أفضل إثبات متاح على أن شخصًا حقيقيًا يتحكم بذلك العنوان قد وافق. وقد لاحظت مجموعة عمل المادة 29 أن الطرق التي يسجّل فيها المشترك ثم يُطلب منه لاحقًا التأكيد “تبدو متوافقة مع التوجيه”.

فهو إذن موصى به، وبقوة أحيانًا، وهو في بعض الأسواق هو العرف السائد. لكنه ليس قانونًا. وآلياته موجودة في دليل التأكيد المزدوج.

مراكز التفضيلات ومعالجة إلغاء الاشتراك

كل رسالة تسويقية تحتاج عنوانًا صالحًا لطلبات الانسحاب، وبموجب استثناء العميل الحالي فإن وجود طريق اعتراض سهل ومجاني في كل رسالة شرط لا مجاملة. ومركز التفضيلات الذي يعرض خيارات التواتر والموضوعات ممارسة جيدة، لكن يجب أن يبقى إلغاء اشتراك شامل بسيط بخطوة واحدة متاحًا. عالج الانسحابات آليًا، فالطوابير اليدوية هي الطريقة التي تنتهي بها المؤسسات إلى الإرسال بعد الاعتراض.

قوائم الكبح التي يجب أن تنجو من الترحيل

إلغاء الاشتراك تعليمة دائمة لا إعداد خاص بقائمة. ويجب أن تكون حالة الكبح شاملة عبر العلامات التجارية، وعبر القنوات التي يغطيها الاعتراض، وعبر المنصات. واللحظة الخطرة هي الترحيل أو إعادة الاستيراد: ينتقل المشتركون إلى النظام الجديد ولا تنتقل معهم أعلام الاعتراض. وهذه أشيع طريقة يتحول بها برنامج ممتثل إلى غير ممتثل بهدوء.

والمخاطرة نفسها تسكن كل تكامل بين متجر ونظام CRM ومنصة بريد، وهو المكان الذي تضيع فيه حالة الموافقة والكبح أثناء النقل. وإذا كنت تنقل بيانات Shopify إلى Brevo، فإن Tajo هي طبقة المزامنة التي تحمل تلك الحقول بين الأنظمة. وأيًا كانت أدواتك، فالاختبار واحد: بعد أي ترحيل، تأكّد أن عنوانًا معروفًا مكبوحًا لا يزال مكبوحًا.

الاحتفاظ وإعادة استئذان القوائم القديمة

ينطبق تحديد التخزين على القوائم التسويقية، لذا ضع قاعدة احتفاظ موثّقة لجهات الاتصال غير النشطة وافرضها. وإذا ظلت قائمة بلا استخدام لسنوات، فغالبًا ما تُقترح حملة إعادة استئذان. كن حذرًا: رسالة “أكّد أنك ما زلت تريد سماع أخبارنا” هي نفسها مراسلة تسويقية في أغلب القراءات، فلا يمكن أن تذهب إلا إلى أشخاص يحق لك مراسلتهم قانونًا اليوم. وإن لم تستطع إثبات أساس الآن، فالجواب الصادق هو الحذف. ودليل تنظيف القوائم البريدية يغطي جانب النظافة.

مزوّد خدمة البريد لديك معالج للبيانات

يعالج مزوّد خدمة البريد بيانات شخصية بناءً على تعليماتك، لذا تنطبق المادة 28. ولا بد من عقد أو تصرف قانوني ملزم آخر يحدد موضوع المعالجة ومدتها وطبيعتها وغرضها، وأنواع البيانات وفئات أصحاب البيانات. ثم تشترط المادة 28(3) بنودًا عن التعليمات الموثّقة، والسرية، والأمان بموجب المادة 32، والمعالجين من الباطن، والمساعدة في طلبات أصحاب البيانات، وواجبات الإبلاغ عن الاختراق، وحذف البيانات أو إعادتها عند انتهاء الخدمة، وحقوق التدقيق. وأغلب المزوّدين ينشرون اتفاقية معالجة بيانات قياسية. اقرأ قائمة المعالجين من الباطن فيها.

عمليات النقل الدولية

إذا غادرت بيانات شخصية المنطقة الاقتصادية الأوروبية، فأنت تحتاج آلية نقل. تسمح المادة 45 بالنقل إلى الدول أو الأطر التي وجدتها المفوضية الأوروبية ملائمة. وإلا فتشترط المادة 46 ضمانات مناسبة، وأشيعها البنود التعاقدية القياسية الصادرة عن المفوضية، أو قواعد الشركات الملزمة داخل مجموعة. وتغطي قرارات الملاءمة عددًا من الولايات القضائية، بما فيها إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة المعتمد في 10 يوليو 2023. تحقق من مكان تخزين مزوّد خدمة البريد لبياناتك، لا من مقره الرئيسي فحسب.

ماذا تُسمى اللائحة في سوقك

الأداة التشريعية واحدة عبر الاتحاد الأوروبي. أما الاسم فلا.

وخارج الاتحاد الأوروبي تتغير المفردات مجددًا. المملكة المتحدة لديها UK GDPR إلى جانب PECR. وتركيا لديها Kisisel Verilerin Korunmasi Kanunu، القانون رقم 6698، المعروف بـ KVKK. والبرازيل لديها Lei Geral de Protecao de Dados Pessoais، القانون رقم 13.709 الصادر في 14 أغسطس 2018، أي LGPD. وإندونيسيا لديها Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. هذه أنظمة منفصلة بقواعدها الخاصة لا ترجمات، والوفاء بـ GDPR لا يعني الوفاء بها تلقائيًا.

العقوبات، وما تفعله الجهات التنظيمية فعلًا

تضع المادة 83 مستويين: حتى 10 ملايين يورو أو 2 بالمئة من إجمالي حجم الأعمال السنوي العالمي بموجب 83(4)، وحتى 20 مليون يورو أو 4 بالمئة بموجب 83(5)، أيهما أعلى في كل حالة. ويغطي المستوى الأعلى المبادئ الأساسية وشروط الموافقة في المواد 5 و6 و7 و9، وحقوق أصحاب البيانات في المواد من 12 إلى 22، وقواعد النقل في المواد من 44 إلى 49، فإخفاقات الموافقة والاعتراضات المتجاهَلة تقع هناك. وتضيف قواعد ePrivacy الوطنية عقوباتها الخاصة: ففي أيرلندا يُعد خرق اللائحة 13 جريمة جنائية وتُحتسب كل رسالة على حدة.

وبالنسبة لمرسل متوسط الحجم، فإن المخاطرة اليومية ليست غرامة تتصدر العناوين. بل شكوى واحدة تطلق سؤال الجهة التنظيمية: أرِنا الموافقة الخاصة بهذا العنوان.

حيث يلتقي الامتثال بالأداء

إذا أُحسن تنفيذ هذا، فإنه يحسّن الأداء أيضًا. فالقوائم المبنية على إذن حقيقي ومحدد تتفاعل أفضل وتشتكي أقل، وهو ما تكافئه أنظمة قابلية التسليم. ودليل قابلية تسليم البريد الإلكتروني يشرح تلك الآلية، ودليل بناء القوائم البريدية يغطي اكتسابًا يصمد أمام التدقيق.

مقالات ذات صلة

• التأكيد المزدوج للبريد الإلكتروني: الدليل الشامل للاشتراكات المؤكَّدة
• قابلية تسليم البريد الإلكتروني: الدليل الشامل
• بناء القوائم البريدية: الدليل الشامل
• تنظيف القوائم البريدية: الدليل الشامل
• صفحات إلغاء الاشتراك وإلغاء الاشتراك بنقرة واحدة: أفضل الممارسات