GDPR i email marketing: praktični vodič kroz usklađenost

Što GDPR zapravo traži od email marketinga

Otvoreno rečeno: Opća uredba o zaštiti podataka (Uredba (EU) 2016/679) ne sadrži pravilo koje kaže „trebate privolu za slanje e-poruke”. Ono što uređuje su osobni podaci iza vašeg programa e-pošte. Potrebna vam je zakonita osnova za njihovu obradu, transparentnost, točnost, ograničenje pohrane, sigurnost i dokaz za sve to. Članak 5. stavak 2. to sažima u jednu rečenicu: voditelj obrade „odgovoran je za usklađenost i mora biti u mogućnosti dokazati usklađenost” s načelima obrade.

Pravilo koje odlučuje smijete li pritisnuti slanje nalazi se u drugom propisu, Direktivi o e-privatnosti. Većina članaka o ovoj temi spaja to dvoje i dobiva pogrešan odgovor. Držati ih odvojenima poanta je ovog vodiča.

Ovaj članak praktična je uputa za marketinške stručnjake, a ne pravni savjet. Navodi primarne izvore kako biste ih mogli provjeriti, ali pravo zaštite podataka primjenjuju nacionalni regulatori i sudovi, nacionalne provedbe se razlikuju, a vaše okolnosti su bitne. Prije nego što promijenite tijek privole, pravilo o čuvanju podataka ili međunarodni prijenos, potražite savjet kvalificiranog stručnjaka u svojoj jurisdikciji.

GDPR i e-privatnost: dva propisa, jedno slanje

Što kaže Direktiva o e-privatnosti

Direktiva 2002/58/EZ, Direktiva o e-privatnosti, izmijenjena Direktivom 2009/136/EZ, postavlja pravilo o slanju. Članak 13. stavak 1. dopušta elektroničku poštu za izravni marketing samo prema pretplatnicima koji su dali prethodnu privolu. „Elektronička pošta” definirana je široko i tehnološki neutralno: Mišljenje 5/2004 Radne skupine iz članka 29. potvrdilo je da pokriva newslettere e-pošte kao i SMS i slične pohranjene poruke. Članak 13. stavak 2. izdvaja iznimku za postojeće kupce, a članak 13. stavak 4. zabranjuje marketinšku e-poštu koja skriva identitet pošiljatelja ili nema „valjanu adresu na koju primatelj može poslati zahtjev za prestanak takvih komunikacija”.

Zašto je to važno u praksi

Privola nije definirana u Direktivi o e-privatnosti. Značenje preuzima iz općeg prava o zaštiti podataka: članak 94. stavak 2. GDPR-a propisuje da se upućivanja na stavljenu izvan snage Direktivu 95/46/EZ čitaju kao upućivanja na GDPR. Dakle, e-privatnost odlučuje kada je privola potrebna za čin slanja, a GDPR odlučuje što se računa kao privola i kako je dokazujete.

Zato možete imati valjanu GDPR osnovu za držanje i analizu zapisa o kontaktu, a ipak nemati pravo poslati toj osobi e-poruku. A budući da je e-privatnost direktiva, a ne uredba, prenosi se u nacionalno pravo, pa se detalji razlikuju među državama članicama.

Odabir pravne osnove za email marketing

Privola

Privola prema članku 6. stavku 1. točki (a) ono je na što se većina potrošačkih programa e-pošte oslanja, s dobrim razlogom: kada e-privatnost ionako traži prethodnu privolu za slanje, korištenje privole kao GDPR osnove ostavlja jednu priču umjesto dvije. Cijena je to što se može povući u bilo kojem trenutku prema članku 7. stavku 3.

Legitimni interes

Članak 6. stavak 1. točka (f) dopušta obradu nužnu za legitimne interese voditelja obrade, osim kada nad njima prevladavaju interesi ili temeljna prava ispitanika. Uvodna izjava 47. izričito kaže da se „obrada osobnih podataka u svrhe izravnog marketinga može smatrati obradom koja se obavlja zbog legitimnog interesa”.

Ta se rečenica stalno citira kako bi se tvrdilo da je privola neobavezna. Pročitajte je pažljivo. Odnosi se na GDPR osnovu za obradu, kaže „može se smatrati”, pa i dalje morate provesti i dokumentirati test ravnoteže, a o pravilu e-privatnosti za slanje ne govori ništa. Legitimni interes najbranjiviji je za obradu oko vašeg programa, poput segmentacije, potiskivanja i analitike, te za poslovne kontakte gdje nacionalna pravila drugačije tretiraju poslovne pretplatnike. Slab je temelj za hladnu potrošačku e-poštu u EU.

Mekana prijava za postojeće kupce

Članak 13. stavak 2. Direktive o e-privatnosti stvarna je iznimka. Kada netko dobije kontaktne podatke e-pošte kupaca „u kontekstu prodaje proizvoda ili usluge”, ta ih ista osoba smije koristiti za marketing „vlastitih sličnih proizvoda ili usluga”, pod uvjetom da se kupcima „jasno i razgovijetno daje mogućnost prigovora, besplatno i na jednostavan način” i pri prikupljanju podataka i u svakoj sljedećoj poruci.

Radna skupina iz članka 29. rekla je da je ta iznimka „ograničena na nekoliko načina i mora se tumačiti restriktivno”. Tri ograničenja vrijedi zapamtiti:

• Primjenjuje se samo na stvarne kupce. Netko tko je napustio plaćanje nije obuhvaćen.
• Slati smije samo ista pravna osoba koja je prikupila adresu. Podružnice i matična društva nisu ista tvrtka.
• Kvalificiraju se samo slični proizvodi ili usluge, procijenjeni prema razumnim očekivanjima primatelja, a ne prema ambicijama pošiljatelja.

Kako se mekana prijava razlikuje među državama članicama

Budući da je direktiva prenesena nacionalno, ovdje se isti savjet uistinu razilazi po tržištu.

U Irskoj, propis 13. stavak 11. akta S.I. No. 336/2011 ponavlja iznimku i dodaje strogo vremensko ograničenje: prodaja se morala dogoditi „ne više od 12 mjeseci prije slanja izravne marketinške komunikacije”, ili su podaci u tom razdoblju morali biti korišteni za marketinšku e-poštu.

U Ujedinjenoj Kraljevini istovjetno je pravilo propis 22 iz PECR-a, a ICO ne navodi nikakvo vremensko ograničenje. Mekanu prijavu opisuje kao pokrivanje postojećeg kupca „koji je kupio (ili pregovarao o kupnji) sličan proizvod ili uslugu od vas u prošlosti” i napominje da se ne primjenjuje na potencijalne kupce, kupljene liste ili nekomercijalne promocije poput dobrotvornog prikupljanja sredstava i političkih kampanja.

Dva susjedna tržišta, dva bitno različita pravila. Nikad ne pretpostavljajte da vaša domaća verzija putuje.

Što valjana privola stvarno znači

Članak 4. točka 11. definira privolu kao „svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose”. EDPB je razradio svaki element u Smjernicama 05/2020 o privoli, usvojenima 4. svibnja 2020.

Četiri elementa

• Dobrovoljna. Članak 7. stavak 4. kaže da se „u najvećoj mogućoj mjeri” uzima u obzir je li ugovor uvjetovan privolom za obradu koja za njega nije nužna. Nemojte marketinšku privolu učiniti uvjetom plaćanja.
• Posebna. Kada obrada ima više svrha, privola se treba dati za sve njih (uvodna izjava 32.). Odvojene svrhe traže odvojene izbore: prijava na newsletter nije privola za SMS ni za dijeljenje podataka s partnerima.
• Informirana. Članak 7. stavak 2. traži da zahtjev za privolu ugrađen u širu izjavu bude „jasno razlučiv od drugih pitanja, u razumljivom i lako dostupnom obliku uz uporabu jasnog i jednostavnog jezika”.
• Nedvosmislena. Mora postojati izjava ili jasna potvrdna radnja.

Što se ne računa

Uvodna izjava 32. je izravna: „Prema tome, šutnja, unaprijed kvačicom označeni okvirčići ili manjak aktivnosti ne bi trebali predstavljati privolu.” Ne računa se ni okvir zakopan u uvjetima, ni jedna kvačica koja pokriva e-poštu, SMS, profiliranje i dijeljenje s partnerima.

Povlačenje

Članak 7. stavak 3. daje pravo na povlačenje privole u bilo kojem trenutku, traži da se osoba o tom pravu obavijesti unaprijed i navodi da „mora biti jednako lako povući kao i dati privolu”. Ako se netko može pretplatiti jednim klikom, tijek povlačenja koji traži prijavu i zakopanu stranicu s postavkama ne zadovoljava taj standard. Povlačenje nije retroaktivno: obrada provedena prije njega ostaje zakonita.

Dokaz: što morate moći pokazati

Članak 7. stavak 1. kratak je i nosiv: „Kad se obrada temelji na privoli, voditelj obrade mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka.” Stupac „prijavljen: da” ne dokazuje ništa. Zapis koji rekonstruira trenutak privole dokazuje.

Što bilježiti pri prijavi

Zabilježite i pohranite, po kontaktu i po svrsi:

• Vremensku oznaku radnje privole, u stabilnoj vremenskoj zoni.
• Izvor i način: koji obrazac, URL stranice, kanal ili događaj izvan mreže.
• Točan tekst privole i verziju obavijesti o privatnosti prikazane u tom trenutku. Identifikator verzije koji vodi do arhiviranog teksta praktičniji je od pohranjivanja cijelog teksta u svakom retku.
• Konkretne svrhe na koje je pristanak dan, kao odvojene zastavice, a ne jedna logička vrijednost.
• Dokaz potvrde i vremensku oznaku ako koristite dvostruku prijavu.
• IP adresu ako je to razmjerno riziku. To je uobičajena praksa i koristan dokaz, ali nije zakonski zahtjev, a i sama je osobni podatak.

Članak 30. zasebno traži da većina organizacija vodi evidenciju aktivnosti obrade: svrhe, kategorije ispitanika i podataka, primatelje, prijenose, razdoblja čuvanja i sigurnosne mjere. Iznimka za organizacije s manje od 250 zaposlenih uska je i otpada kada obrada vjerojatno predstavlja rizik za prava i slobode, kada nije povremena ili kada uključuje posebne kategorije podataka. Redovni marketing prema bazi kupaca nije povremen.

Koliko dugo čuvati dokaze o privoli

GDPR ne postavlja fiksno razdoblje. Upotrebljivo je načelo da dokaz o privoli treba nadživjeti marketing koji opravdava, plus razdoblje u kojem se pritužba realno može podnijeti. Brisanje zapisa o pretplatniku uz zadržavanje minimiziranog zapisa koji dokazuje dopuštenje uobičajeno je.

Prava ispitanika koja pogađaju programe e-pošte

Pet se prava opetovano pojavljuje u radu s e-poštom.

• Pristup (članak 15.). Potvrda obrađujete li njihove podatke, njihova kopija te informacije uključujući svrhe, kategorije podataka, primatelje, razdoblja čuvanja, izvor te svako automatizirano donošenje odluka ili profiliranje. Za programe e-pošte to često znači povijest angažmana i pripadnost segmentima, ne samo adresu.
• Ispravak (članak 16.). Ispravak netočnih podataka bez nepotrebne odgode i dopuna nepotpunih podataka.
• Brisanje (članak 17.). Uključujući stavak 1. točku (b), kada je privola povučena i ne postoji druga osnova, te stavak 1. točku (c), kada osoba uloži prigovor prema članku 21. stavku 2.
• Prigovor na izravni marketing (članak 21.). Ono apsolutno pravo. Prema stavku 2., ispitanik „ima pravo u svakom trenutku uložiti prigovor” na obradu za izravni marketing, uključujući povezano profiliranje. Prema stavku 3., „osobni podaci više se ne smiju obrađivati u takve svrhe”. Nema testa ravnoteže koji bi se primijenio.
• Prenosivost (članak 20.). Primjenjuje se kada se obrada temelji na privoli ili ugovoru i automatizirana je, a pokriva podatke koje je osoba dala. Izvedeni rezultati i segmenti općenito su izvan toga.

Rokovi za odgovor

Članak 12. stavak 3. traži da postupite bez nepotrebne odgode, a najkasnije u roku od mjesec dana od primitka. To se može produžiti za još dva mjeseca zbog složenosti ili broja zahtjeva, a osobu morate obavijestiti, uz obrazloženje, unutar prvog mjeseca. Prigovor na marketing zaslužuje bolje od maksimuma: tretirajte ga kao trenutačno potiskivanje, a papirologiju riješite unutar zakonskog roka.

Praktična provedba

Obrasci za prijavu

Jedan neoznačen, jasno označen okvir po svrsi. Imenujte pošiljatelja, recite što ćete slati i otprilike koliko često, te povežite obavijest o privatnosti umjesto da je prepisujete. Nemojte marketinšku privolu vezati uz prihvaćanje uvjeta niti uvjetovati kupnju njome. Pohranite verziju obrasca kako biste kasnije mogli dokazati što je bilo na zaslonu.

Dvostruka prijava i njezin iskren pravni status

Dvostruka prijava nije obavezna prema GDPR-u ni Direktivi o e-privatnosti. Nijedan je članak ne nalaže. Ono što proizvodi jest dokaz: klik potvrde, iz predmetnog poštanskog sandučića, u zabilježeno vrijeme, blizu je najboljem dostupnom dokazu da je stvarna osoba koja kontrolira tu adresu pristala. Radna skupina iz članka 29. napomenula je da se metode kod kojih se pretplatnik registrira i kasnije zamoli da to potvrdi „čine usklađenima s Direktivom”.

Dakle, preporučena je, ponekad snažno, a na nekim je tržištima norma. Nije zakon. Mehanika je u našem vodiču kroz dvostruku prijavu.

Centri postavki i obrada odjava

Svaka marketinška poruka treba valjanu adresu za zahtjeve za odjavu, a prema iznimci za postojeće kupce jednostavan i besplatan put za prigovor u svakoj poruci je uvjet, a ne ljubaznost. Centar postavki koji nudi izbor učestalosti i tema dobra je praksa, ali obična, jednokoračna globalna odjava mora ostati dostupna. Odjave obrađujte automatski, jer ručni redovi su način na koji organizacije završe šaljući nakon prigovora.

Liste potiskivanja koje moraju preživjeti selidbe

Odjava je trajna uputa, a ne postavka po listi. Stanje potiskivanja mora biti globalno kroz brendove, kroz kanale koje prigovor pokriva i kroz platforme. Opasan trenutak je selidba ili ponovni uvoz: pretplatnici prelaze u novi sustav, a zastavice prigovora ne dolaze s njima. To je najčešći način na koji usklađen program tiho postane neusklađen.

Isti rizik živi u svakoj integraciji između trgovine, CRM-a i platforme za e-poštu, gdje se stanje privole i potiskivanja gubi u prijenosu. Ako podatke iz Shopifyja premještate u Brevo, Tajo je sloj sinkronizacije koji ta polja nosi između sustava. Kojim god se alatima koristili, test je isti: nakon svake selidbe potvrdite da je poznata potisnuta adresa i dalje potisnuta.

Čuvanje i ponovno traženje dopuštenja za ustajale liste

Ograničenje pohrane primjenjuje se i na marketinške liste, pa postavite dokumentirano pravilo čuvanja za neaktivne kontakte i provodite ga. Ako se lista godinama ne koristi, često se predlaže kampanja za ponovno traženje dopuštenja. Budite oprezni: e-poruka „potvrdite da i dalje želite čuti od nas” i sama je marketinška komunikacija u većini tumačenja, pa može ići samo ljudima kojima danas zakonito smijete slati e-poštu. Ako sada ne možete dokazati osnovu, iskren je odgovor brisanje. Naš vodič kroz čišćenje liste e-pošte pokriva higijensku stranu.

Vaš pružatelj usluge e-pošte je izvršitelj obrade

Vaš pružatelj usluge e-pošte obrađuje osobne podatke po vašim uputama, pa se primjenjuje članak 28. Mora postojati ugovor ili drugi pravno obvezujući akt koji utvrđuje predmet, trajanje, prirodu i svrhu obrade, vrste podataka i kategorije ispitanika. Članak 28. stavak 3. zatim traži odredbe o dokumentiranim uputama, povjerljivosti, sigurnosti prema članku 32., podizvršiteljima, pomoći kod zahtjeva ispitanika i obvezama kod povreda, brisanju ili vraćanju podataka na kraju usluge te pravima na reviziju. Većina pružatelja objavljuje standardni ugovor o obradi podataka. Pročitajte njegov popis podizvršitelja.

Međunarodni prijenosi

Ako osobni podaci napuštaju EGP, potreban vam je mehanizam prijenosa. Članak 45. dopušta prijenose u zemlje ili okvire za koje je Europska komisija utvrdila primjerenu razinu zaštite. Inače članak 46. traži odgovarajuće zaštitne mjere, najčešće Komisijine standardne ugovorne klauzule ili obvezujuća korporativna pravila unutar grupe. Odluke o primjerenosti pokrivaju niz jurisdikcija, uključujući okvir EU-US Data Privacy Framework usvojen 10. srpnja 2023. Provjerite gdje vaš pružatelj usluge e-pošte pohranjuje podatke, a ne samo gdje mu je sjedište.

Kako se uredba zove na vašem tržištu

Propis je isti u cijeloj EU. Ime nije.

Izvan EU rječnik se opet mijenja. Ujedinjena Kraljevina ima UK GDPR uz PECR. Turska ima Kisisel Verilerin Korunmasi Kanunu, Zakon br. 6698, poznat kao KVKK. Brazil ima Lei Geral de Protecao de Dados Pessoais, Zakon br. 13.709 od 14. kolovoza 2018., odnosno LGPD. Indonezija ima Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. To su zasebni režimi s vlastitim pravilima, a ne prijevodi, i usklađenost s GDPR-om ne znači automatski usklađenost s njima.

Kazne i što regulatori stvarno rade

Članak 83. postavlja dvije razine: do 10 milijuna eura ili 2 posto ukupnog godišnjeg prometa na svjetskoj razini prema stavku 4. te do 20 milijuna eura ili 4 posto prema stavku 5., ovisno o tome što je u svakom slučaju veće. Viša razina pokriva osnovna načela i uvjete privole iz članaka 5., 6., 7. i 9., prava ispitanika iz članaka 12. do 22. te pravila o prijenosima iz članaka 44. do 49., pa propusti u privoli i zanemareni prigovori spadaju onamo. Nacionalna pravila o e-privatnosti dodaju vlastite kazne: u Irskoj je kršenje propisa 13 kazneno djelo, a svaka se poruka broji zasebno.

Za srednje velikog pošiljatelja svakodnevni rizik nije udarna kazna. To je jedna pritužba koja pokreće regulatorovo pitanje: pokažite nam privolu za ovu adresu.

Gdje se usklađenost i uspješnost susreću

Napravljeno kako treba, ovo također poboljšava rezultate. Liste izgrađene na stvarnom, određenom dopuštenju bolje se angažiraju i manje se žale, a to je ono što sustavi isporučivosti nagrađuju. Naš vodič kroz isporučivost e-pošte objašnjava taj mehanizam, a naš vodič kroz izgradnju liste e-pošte pokriva prikupljanje koje izdrži provjeru.

Povezani članci

• Dvostruka prijava na e-poštu: potpuni vodič kroz potvrđene pretplate
• Isporučivost e-pošte: potpuni vodič
• Izgradnja liste e-pošte: potpuni vodič
• Čišćenje liste e-pošte: potpuni vodič
• Stranice za odjavu i odjava u jednom kliku: najbolje prakse