GDPR és e-mail marketing: gyakorlati megfelelőségi útmutató
Így szabályozza valójában a GDPR és az ePrivacy irányelv az e-mail marketinget: jogalapok, hozzájárulás, soft opt-in, bizonyítás, feliratkozói jogok és gyakorlati megvalósítás.
Mit követel meg valójában a GDPR az e-mail marketingesektől
Kimondva egyszerűen: az általános adatvédelmi rendelet (az (EU) 2016/679 rendelet) nem tartalmaz olyan szabályt, hogy „hozzájárulás kell egy e-mail elküldéséhez”. Azt szabályozza, ami az e-mail programod mögött áll: a személyes adatokat. Kell hozzá jogalap az adatkezeléshez, átláthatóság, pontosság, korlátozott tárolhatóság, biztonság, és mindennek a bizonyítása. Az 5. cikk (2) bekezdése egy sorban foglalja össze: az adatkezelő „felelős az elveknek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására”.
Az a szabály, amely eldönti, megnyomhatod-e a küldés gombot, egy másik jogszabályban van: az ePrivacy irányelvben. A témáról szóló cikkek többsége egybemossa a kettőt, és rossz választ ad. Ennek az útmutatónak épp az a lényege, hogy szétválasztja őket.
Ez a cikk gyakorlati iránymutatás marketingeseknek, nem jogi tanácsadás. Elsődleges forrásokat idéz, hogy ellenőrizni tudd, de az adatvédelmi jogot nemzeti hatóságok és bíróságok alkalmazzák, a nemzeti átültetések eltérnek, és a te körülményeid is számítanak. Mielőtt megváltoztatnál egy hozzájárulási folyamatot, egy adatmegőrzési szabályt vagy egy nemzetközi adattovábbítást, kérj tanácsot a saját joghatóságodban képzett szakembertől.
GDPR és ePrivacy: két jogszabály, egy küldés
Mit mond az ePrivacy irányelv
A 2002/58/EK irányelv, azaz az ePrivacy irányelv, a 2009/136/EK irányelvvel módosítva, a küldés szabályát rögzíti. A 13. cikk (1) bekezdése csak azon előfizetők tekintetében engedi az elektronikus levelet közvetlen üzletszerzésre, akik ehhez előzetesen hozzájárultak. Az „elektronikus levél” tágan és technológiasemlegesen van meghatározva: a 29-es adatvédelmi munkacsoport 5/2004. számú véleménye megerősítette, hogy ez lefedi a hírlevél-e-maileket, valamint az SMS-t és a hasonló tárolt üzeneteket is. A 13. cikk (2) bekezdése hozza a meglévő vásárlókra vonatkozó kivételt, a 13. cikk (4) bekezdése pedig tiltja azt a marketinges e-mailt, amely elrejti a küldő kilétét, vagy amelyből hiányzik „egy érvényes cím, amelyre a címzett az ilyen közlések megszüntetése iránti kérelmet küldheti”.
Miért számít ez a gyakorlatban
A hozzájárulás nincs meghatározva az ePrivacy irányelvben. A jelentését az általános adatvédelmi jogból veszi: a GDPR 94. cikk (2) bekezdése szerint a hatályon kívül helyezett 95/46/EK irányelvre való hivatkozásokat a GDPR-ra való hivatkozásként kell érteni. Vagyis az ePrivacy dönti el, mikor kell hozzájárulás a küldés aktusához, a GDPR pedig azt, mi számít hozzájárulásnak és hogyan bizonyítod.
Ezért előfordulhat, hogy érvényes GDPR-jogalapod van egy kapcsolatrekord tárolására és elemzésére, mégsincs jogod e-mailt küldeni annak a személynek. És mivel az ePrivacy irányelv, nem rendelet, nemzeti jogba ültetik át, így a részletek tagállamonként eltérnek.
Jogalap választása az e-mail marketinghez
Hozzájárulás
A 6. cikk (1) bekezdés a) pontja szerinti hozzájárulásra épül a legtöbb fogyasztói e-mail program, jó okkal: ha az ePrivacy amúgy is előzetes hozzájárulást követel a küldéshez, akkor a hozzájárulás GDPR-jogalapként való használata egy történetet tart fenn kettő helyett. Az ára az, hogy a 7. cikk (3) bekezdése alapján bármikor visszavonható.
Jogos érdek
A 6. cikk (1) bekezdés f) pontja megengedi az adatkezelő jogos érdekeihez szükséges adatkezelést, kivéve, ha az érintett érdekei vagy alapvető jogai elsőbbséget élveznek. A (47) preambulumbekezdés kifejezetten kimondja, hogy „a személyes adatok közvetlen üzletszerzés céljából történő kezelése jogos érdeken alapulónak tekinthető”.
Ezt a mondatot folyamatosan idézik annak alátámasztására, hogy a hozzájárulás opcionális. Olvasd el figyelmesen. Az adatkezelés GDPR-jogalapjáról szól, azt mondja, hogy „tekinthető”, tehát az érdekmérlegelési tesztet ettől még el kell végezned és dokumentálnod, és semmit sem mond a küldésre vonatkozó ePrivacy szabályról. A jogos érdek a program körüli adatkezelésnél védhető leginkább, például a szegmentálásnál, a tiltólistáknál és az analitikánál, valamint a vállalatok közötti kapcsolattartásnál, ahol a nemzeti szabályok másként kezelik a céges előfizetőket. Hideg fogyasztói e-mailhez az EU-ban gyenge alap.
A meglévő vásárlókra vonatkozó soft opt-in
Az ePrivacy irányelv 13. cikk (2) bekezdése az igazi kivétel. Ha valaki „termék vagy szolgáltatás értékesítésével összefüggésben” szerzi meg a vásárlók e-mail elérhetőségét, ugyanez a személy felhasználhatja azokat „saját hasonló termékei vagy szolgáltatásai” hirdetésére, feltéve, hogy a vásárlók „egyértelműen és világosan lehetőséget kapnak arra, hogy díjmentesen és egyszerű módon tiltakozzanak”, mind az adatok gyűjtésekor, mind minden későbbi üzenetben.
A 29-es munkacsoport szerint ez a kivétel „több szempontból is korlátozott, és megszorítóan kell értelmezni”. Három korlátot érdemes megjegyezni:
- Csak tényleges vásárlókra vonatkozik. Aki elhagyta a pénztárt, arra nem terjed ki.
- Csak ugyanaz a jogi személy küldhet, aki a címet gyűjtötte. A leányvállalatok és az anyacégek nem ugyanaz a cég.
- Csak hasonló termékek vagy szolgáltatások tartoznak ide, és ezt a címzett észszerű elvárásai alapján kell megítélni, nem a küldő ambíciói szerint.
Hogyan tér el a soft opt-in tagállamonként
Mivel az irányelvet nemzeti szinten ültették át, itt tér el ténylegesen ugyanaz a tanács piaconként.
Írországban az S.I. No. 336/2011 13(11) szabálya megismétli a kivételt, és kemény időkorlátot tesz hozzá: az értékesítésnek „legfeljebb 12 hónappal a közvetlen üzletszerzési közlés elküldése előtt” kellett történnie, vagy a címet ezen az időszakon belül marketinges e-mailre kellett használni.
Az Egyesült Királyságban a megfelelő szabály a PECR 22. szabálya, és az ICO nem említ ilyen időkorlátot. A soft opt-int úgy írja le, mint ami olyan meglévő vásárlóra vonatkozik, „aki a múltban hasonló terméket vagy szolgáltatást vásárolt (vagy tárgyalt annak megvásárlásáról) tőled”, és megjegyzi, hogy nem vonatkozik leendő vásárlókra, vásárolt listákra vagy nem kereskedelmi promóciókra, például jótékonysági adománygyűjtésre és politikai kampányra.
Két szomszédos piac, két érdemben eltérő szabály. Soha ne feltételezd, hogy az otthoni változat utazik veled.
Mit jelent valójában az érvényes hozzájárulás
A 4. cikk 11. pontja szerint a hozzájárulás „az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez”. Az EDPB a 2020. május 4-én elfogadott, hozzájárulásról szóló 05/2020 iránymutatásban bontotta ki mindegyik elemet.
A négy elem
- Önkéntes. A 7. cikk (4) bekezdése szerint „a lehető legnagyobb mértékben figyelembe kell venni” azt, hogy egy szerződést nem tettek-e függővé olyan adatkezeléshez adott hozzájárulástól, amely ahhoz nem szükséges. Ne tedd a marketinges hozzájárulást a pénztár feltételévé.
- Konkrét. Ha az adatkezelésnek több célja van, mindegyikre hozzájárulást kell adni ((32) preambulumbekezdés). A különböző célokhoz külön választás kell: a hírlevélre való feliratkozás nem hozzájárulás az SMS-hez, sem az adatok partnerekkel való megosztásához.
- Tájékozott. A 7. cikk (2) bekezdése megköveteli, hogy a tágabb nyilatkozatba ágyazott hozzájárulási kérés „az egyéb ügyektől egyértelműen megkülönböztethető módon, érthető és könnyen hozzáférhető formában, világos és egyszerű nyelvezettel” jelenjen meg.
- Egyértelmű. Kell hogy legyen nyilatkozat vagy egyértelmű megerősítő cselekedet.
Mi nem számít annak
A (32) preambulumbekezdés kertelés nélküli: „A hallgatás, az előre bejelölt négyzet vagy a nem cselekvés ezért nem minősül hozzájárulásnak.” Ahogy a szerződési feltételekbe temetett jelölőnégyzet sem, sem az az egyetlen pipa, amely e-mailt, SMS-t, profilalkotást és partneri megosztást együtt fed le.
Visszavonás
A 7. cikk (3) bekezdése jogot ad a hozzájárulás bármikori visszavonására, megköveteli, hogy erről előzetesen tájékoztasd az érintettet, és kimondja, hogy „a hozzájárulás visszavonását ugyanolyan egyszerű módon kell lehetővé tenni, mint annak megadását”. Ha valaki egyetlen kattintással feliratkozhat, akkor egy bejelentkezést és elrejtett beállítási oldalt igénylő visszavonási folyamat nem felel meg a mércének. A visszavonás nem visszamenőleges: az előtte végzett adatkezelés jogszerű marad.
Bizonyítás: mit kell tudnod igazolni
A 7. cikk (1) bekezdése rövid és teherhordó: „Ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult.” Egy „feliratkozott: igen” oszlop semmit sem igazol. Egy olyan nyilvántartás, amely rekonstruálja a hozzájárulás pillanatát, igen.
Mit naplózz a feliratkozásnál
Rögzítsd és tárold, kapcsolatonként és célonként:
- A hozzájárulási művelet időbélyegét, stabil időzónában.
- A forrást és a módszert: melyik űrlap, oldal-URL, csatorna vagy offline esemény.
- A pontos hozzájárulási szöveget és a megjelenített adatkezelési tájékoztató verzióját. Egy verzióazonosító, amely archivált szövegre mutat, praktikusabb, mint a teljes szöveg tárolása minden soron.
- A konkrét célokat, amelyekhez hozzájárult, külön jelzőkként, nem egyetlen logikai értékként.
- A megerősítés bizonyítékát és időbélyegét, ha dupla opt-int használsz.
- Az IP-címet, ha ez arányos a kockázattal. Ez bevett gyakorlat és hasznos bizonyíték, de nem jogszabályi követelmény, és maga is személyes adat.
A 30. cikk emellett a legtöbb szervezettől megköveteli az adatkezelési tevékenységek nyilvántartását: célok, az érintettek és az adatok kategóriái, címzettek, továbbítások, megőrzési idők és biztonsági intézkedések. A 250 főnél kevesebbet foglalkoztató szervezetekre vonatkozó mentesség szűk, és nem érvényes, ha az adatkezelés valószínűsíthetően kockázatot jelent a jogokra és szabadságokra, ha nem alkalmi, vagy ha különleges adatokat érint. Egy vásárlói adatbázisnak küldött rendszeres marketing nem alkalmi.
Meddig őrizd a hozzájárulás bizonyítékát
A GDPR nem szab meg fix időtartamot. A használható elv az, hogy a hozzájárulás bizonyítéka élje túl azt a marketinget, amelyet igazol, plusz azt az időszakot, amelyben reálisan panasz nyújtható be. Teljesen szokásos, hogy törlöd a feliratkozó rekordját, miközben megtartasz egy minimalizált naplóbejegyzést, amely bizonyítja az engedélyt.
Érintetti jogok, amelyek az e-mail programokat érintik
Öt jog bukkan fel ismételten az e-mailes működésben.
- Hozzáférés (15. cikk). Visszaigazolás arról, hogy kezeled-e az adataikat, másolat azokról, és tájékoztatás, amely tartalmazza a célokat, az adatkategóriákat, a címzetteket, a megőrzési időt, a forrást, valamint az automatizált döntéshozatalt vagy profilalkotást. Az e-mail programoknál ez gyakran az elköteleződési előzményeket és a szegmenstagságot is jelenti, nem csak a címet.
- Helyesbítés (16. cikk). A pontatlan adatok indokolatlan késedelem nélküli helyesbítése és a hiányos adatok kiegészítése.
- Törlés (17. cikk). Ideértve a 17. cikk (1) bekezdés b) pontját, amikor a hozzájárulást visszavonják és nincs más jogalap, és a 17. cikk (1) bekezdés c) pontját, amikor az érintett a 21. cikk (2) bekezdése alapján tiltakozik.
- Tiltakozás a közvetlen üzletszerzés ellen (21. cikk). Ez az abszolút jog. A 21. cikk (2) bekezdése szerint az érintett „jogosult arra, hogy bármikor tiltakozzon” a közvetlen üzletszerzés céljából végzett adatkezelés ellen, beleértve a kapcsolódó profilalkotást is. A 21. cikk (3) bekezdése szerint „a személyes adatok a továbbiakban e célból nem kezelhetők”. Nincs mérlegelési teszt.
- Adathordozhatóság (20. cikk). Akkor alkalmazandó, ha az adatkezelés hozzájáruláson vagy szerződésen alapul és automatizált, és az érintett által megadott adatokra terjed ki. A származtatott pontszámok és szegmensek általában kívül esnek rajta.
Válaszadási határidők
A 12. cikk (3) bekezdése szerint indokolatlan késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül kell intézkedned. Ez összetettség vagy a kérelmek száma miatt további két hónappal meghosszabbítható, és erről az első hónapon belül tájékoztatnod kell az érintettet az okok megjelölésével. A marketing elleni tiltakozás jobbat érdemel a maximumnál: kezeld azonnali tiltásként, az adminisztrációt pedig intézd a törvényi határidőn belül.
Gyakorlati megvalósítás
Feliratkozási űrlapok
Célonként egy be nem jelölt, világosan felcímkézett jelölőnégyzet. Nevezd meg a küldőt, mondd el, mit fogsz küldeni és nagyjából milyen gyakran, és linkeld az adatkezelési tájékoztatót ahelyett, hogy újra leírnád. Ne csomagold a marketinges hozzájárulást a feltételek elfogadásával, és ne tedd tőle függővé a vásárlást. Tárold az űrlap verzióját, hogy később bizonyítani tudd, mi volt a képernyőn.
A dupla opt-in és őszinte jogi státusza
A dupla opt-int nem követeli meg sem a GDPR, sem az ePrivacy irányelv. Egyetlen cikk sem írja elő. Amit létrehoz, az bizonyíték: egy megerősítő kattintás az adott postafiókból, rögzített időpontban, közel a legjobb elérhető bizonyíték arra, hogy a címet ténylegesen kezelő valódi személy beleegyezett. A 29-es munkacsoport megjegyezte, hogy azok a módszerek, ahol a feliratkozó regisztrál, majd később megerősítést kérnek tőle, „összeegyeztethetőnek tűnnek az irányelvvel”.
Tehát ajánlott, néha erősen, és egyes piacokon ez a norma. De nem törvény. A mechanikát a dupla opt-in útmutatónkban találod.
Beállítási központok és a leiratkozás kezelése
Minden marketinges üzenethez kell egy érvényes cím a leiratkozási kérésekhez, a meglévő vásárlókra vonatkozó kivétel alatt pedig a minden üzenetben elérhető egyszerű, ingyenes tiltakozási út feltétel, nem udvariasság. A gyakoriságot és témát kínáló beállítási központ jó gyakorlat, de az egyszerű, egylépéses globális leiratkozásnak elérhetőnek kell maradnia. A leiratkozásokat automatikusan dolgozd fel; a kézi várólisták miatt szoktak a szervezetek tiltakozás után is küldeni.
Tiltólisták, amelyeknek túl kell élniük a migrációkat
A leiratkozás végleges utasítás, nem listánkénti beállítás. A tiltási állapotnak globálisnak kell lennie a márkák között, a tiltakozás által lefedett csatornákon és a platformok között. A veszélyes pillanat a migráció vagy az újraimportálás: a feliratkozók átkerülnek az új rendszerbe, a tiltakozási jelzők pedig nem jönnek velük. Ez a leggyakoribb mód, ahogy egy megfelelő program csendben nem megfelelővé válik.
Ugyanez a kockázat ott él minden áruház, CRM és e-mail platform közötti integrációban, ahol a hozzájárulási és tiltási állapot menet közben elveszik. Ha Shopify adatokat mozgatsz a Brevóba, a Tajo az a szinkronizációs réteg, amely ezeket a mezőket viszi a rendszerek között. Bármilyen eszközt is használsz, a teszt ugyanaz: minden migráció után ellenőrizd, hogy egy ismerten tiltott cím továbbra is tiltott.
Megőrzés és az elavult listák újraengedélyezése
A korlátozott tárolhatóság a marketinglistákra is vonatkozik, ezért állíts fel dokumentált megőrzési szabályt az inaktív kapcsolatokra, és tartasd is be. Ha egy lista évek óta használatlan, gyakran merül fel az újraengedélyező kampány. Légy óvatos: egy „erősítsd meg, hogy továbbra is hallani szeretnél rólunk” e-mail a legtöbb értelmezés szerint maga is marketingkommunikáció, tehát csak azoknak mehet ki, akiknek ma jogszerűen küldhetsz e-mailt. Ha most nem tudsz jogalapot igazolni, az őszinte válasz a törlés. Az e-mail-lista tisztítási útmutatónk foglalkozik a higiéniai oldallal.
Az e-mail szolgáltatód adatfeldolgozó
Az e-mail szolgáltatód a te utasításaid szerint kezel személyes adatokat, tehát a 28. cikk alkalmazandó. Kell lennie szerződésnek vagy más kötelező erejű jogi aktusnak, amely rögzíti az adatkezelés tárgyát, időtartamát, jellegét és célját, az adatok típusait és az érintettek kategóriáit. A 28. cikk (3) bekezdése ezután kikötéseket követel a dokumentált utasításokról, a titoktartásról, a 32. cikk szerinti biztonságról, az alfeldolgozókról, az érintetti kérelmek teljesítésében nyújtott segítségről és az adatvédelmi incidensekkel kapcsolatos kötelezettségekről, az adatok szolgáltatás végén történő törléséről vagy visszaadásáról, valamint az auditjogokról. A legtöbb szolgáltató közzétesz egy szabványos adatfeldolgozási szerződést. Olvasd el az alfeldolgozói listáját.
Nemzetközi adattovábbítás
Ha személyes adat hagyja el az EGT-t, továbbítási mechanizmusra van szükséged. A 45. cikk engedi a továbbítást olyan országokba vagy keretrendszerek felé, amelyeket az Európai Bizottság megfelelőnek ítélt. Egyébként a 46. cikk megfelelő garanciákat követel, leggyakrabban a Bizottság általános szerződési feltételeit vagy egy cégcsoporton belüli kötelező erejű vállalati szabályokat. A megfelelőségi határozatok több joghatóságot lefednek, köztük a 2023. július 10-én elfogadott EU-USA adatvédelmi keretet. Ellenőrizd, hol tárolja az adatokat az e-mail szolgáltatód, ne csak azt, hol van a székhelye.
Hogyan hívják a rendeletet a te piacodon
A jogszabály az EU-ban ugyanaz. A neve nem.
| Piac | Helyi név | Megjegyzés |
|---|---|---|
| Németország, Ausztria | DSGVO | Datenschutz-Grundverordnung, a német szövetségi hatóság szerint |
| Franciaország | RGPD | Reglement general sur la protection des donnees, a CNIL szerint |
| Spanyolország | RGPD | Reglamento General de Proteccion de Datos, az AEPD szerint |
| Hollandia | AVG | Algemene verordening gegevensbescherming, az Autoriteit Persoonsgegevens szerint |
| Lengyelország | RODO | A lengyel hatóság, a UODO által használt rövidítés |
| Olaszország | RGPD vagy GDPR | A Garante mindkettőt használja, a Regolamento (UE) 2016/679 mellett |
| Írország, angol nyelvhasználat | GDPR | Az olasz és holland üzleti nyelvben is gyakori |
Az EU-n kívül megint más a szókincs. Az Egyesült Királyságban a UK GDPR él a PECR mellett. Törökországban a Kisisel Verilerin Korunmasi Kanunu, a 6698. számú törvény, ismertebb nevén KVKK. Brazíliában a Lei Geral de Protecao de Dados Pessoais, a 2018. augusztus 14-i 13.709. számú törvény, azaz az LGPD. Indonéziában az Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Ezek külön szabályozási rendszerek saját szabályokkal, nem fordítások, és a GDPR-nak való megfelelés nem jelenti automatikusan a nekik való megfelelést is.
Bírságok, és amit a hatóságok valójában tesznek
A 83. cikk két szintet állít fel: a 83. cikk (4) bekezdése szerint legfeljebb 10 millió euró vagy a teljes éves világpiaci forgalom 2 százaléka, a 83. cikk (5) bekezdése szerint legfeljebb 20 millió euró vagy 4 százalék, mindkét esetben a magasabb összeg. A magasabb szint fedi az 5., 6., 7. és 9. cikkben szereplő alapelveket és hozzájárulási feltételeket, a 12-22. cikk szerinti érintetti jogokat és a 44-49. cikk szerinti továbbítási szabályokat, tehát a hozzájárulási hibák és a figyelmen kívül hagyott tiltakozások ide tartoznak. A nemzeti ePrivacy szabályok saját szankciókat is hoznak: Írországban a 13. szabály megsértése bűncselekmény, és minden egyes üzenet külön számít.
Egy közepes méretű küldőnél a mindennapi kockázat nem egy címlapos bírság. Hanem egyetlen panasz, amely elindítja a hatóság kérdését: mutasd meg a hozzájárulást ehhez a címhez.
Ahol a megfelelőség és a teljesítmény találkozik
Jól csinálva ez a teljesítményt is javítja. A valódi, konkrét engedélyre épülő listák jobban elköteleződnek és kevesebbet panaszkodnak, és pontosan ezt jutalmazzák a kézbesíthetőségi rendszerek. Az e-mail kézbesíthetőségi útmutatónk elmagyarázza ezt a mechanizmust, az e-mail-lista építési útmutatónk pedig olyan címszerzést mutat be, amely kibírja a vizsgálatot.