GDPR dan Email Marketing: Panduan Kepatuhan yang Praktis

Apa yang sebenarnya diwajibkan GDPR bagi pelaku email marketing

Sederhananya: General Data Protection Regulation (Regulation (EU) 2016/679) tidak memuat aturan yang berbunyi “Anda butuh consent untuk mengirim email.” Yang diaturnya adalah data pribadi di balik program email Anda. Anda perlu dasar hukum untuk memprosesnya, transparansi tentangnya, akurasi, pembatasan penyimpanan, keamanan, dan bukti atas semua itu. Pasal 5(2) merangkumnya dalam satu baris: controller “shall be responsible for, and be able to demonstrate compliance with” prinsip-prinsip pemrosesan.

Aturan yang menentukan apakah Anda boleh menekan tombol kirim berada di instrumen yang berbeda, yaitu ePrivacy Directive. Sebagian besar artikel tentang topik ini mencampuradukkan keduanya lalu memberi jawaban yang salah. Memisahkan keduanya adalah inti panduan ini.

Artikel ini adalah panduan praktis untuk pemasar, bukan nasihat hukum. Artikel ini mengutip sumber primer supaya Anda bisa memeriksanya, tetapi hukum pelindungan data diterapkan oleh regulator dan pengadilan nasional, implementasi nasionalnya berbeda-beda, dan keadaan Anda sendiri berpengaruh. Sebelum mengubah alur consent, aturan retensi data, atau transfer internasional, mintalah nasihat dari praktisi bersertifikat di yurisdiksi Anda.

GDPR dan ePrivacy: dua instrumen, satu pengiriman

Apa kata ePrivacy Directive

Directive 2002/58/EC, yaitu ePrivacy Directive, sebagaimana diubah oleh Directive 2009/136/EC, menetapkan aturan pengiriman. Pasal 13(1) hanya mengizinkan surat elektronik untuk direct marketing kepada pelanggan yang telah memberi consent terlebih dahulu. “Electronic mail” didefinisikan luas dan netral teknologi: Opinion 5/2004 dari Article 29 Working Party menegaskan definisi itu mencakup newsletter email maupun SMS dan pesan tersimpan sejenis. Pasal 13(2) memberi pengecualian bagi pelanggan yang sudah ada, dan Pasal 13(4) melarang email marketing yang menyamarkan identitas pengirim atau tidak memiliki “a valid address to which the recipient may send a request that such communications cease.”

Mengapa ini penting dalam praktik

Consent tidak didefinisikan dalam ePrivacy Directive. Maknanya diambil dari hukum pelindungan data umum: Pasal 94(2) GDPR menyatakan bahwa rujukan ke Directive 95/46/EC yang telah dicabut dibaca sebagai rujukan ke GDPR. Jadi ePrivacy menentukan kapan consent dibutuhkan untuk tindakan pengiriman, dan GDPR menentukan apa yang dihitung sebagai consent serta bagaimana Anda membuktikannya.

Karena itu Anda bisa saja punya dasar GDPR yang sah untuk menyimpan dan menganalisis sebuah record kontak, namun tetap tidak berhak mengirim email kepada orang tersebut. Dan karena ePrivacy adalah directive, bukan regulation, ia dialihkan ke hukum nasional, sehingga detailnya berbeda antar negara anggota.

Memilih dasar hukum untuk email marketing

Consent

Consent berdasarkan Pasal 6(1)(a) adalah sandaran sebagian besar program email konsumen, dan itu masuk akal: ketika ePrivacy tetap mewajibkan consent terlebih dahulu untuk pengiriman, memakai consent sebagai dasar GDPR Anda menjaga satu cerita alih-alih dua. Ongkosnya, consent bisa dicabut kapan saja berdasarkan Pasal 7(3).

Legitimate interest

Pasal 6(1)(f) mengizinkan pemrosesan yang diperlukan bagi legitimate interest controller, kecuali bila dikalahkan kepentingan atau hak fundamental subjek data. Recital 47 secara eksplisit menyebut bahwa “the processing of personal data for direct marketing purposes may be regarded as carried out for a legitimate interest.”

Kalimat itu terus-menerus dikutip untuk berargumen bahwa consent bersifat opsional. Bacalah dengan teliti. Kalimat itu menyangkut dasar GDPR untuk pemrosesan, ia berkata “may be”, jadi Anda tetap harus menjalankan dan mendokumentasikan uji penyeimbangan, dan ia tidak mengatakan apa pun tentang aturan ePrivacy untuk pengirimannya. Legitimate interest paling bisa dipertahankan untuk pemrosesan di sekitar program Anda, seperti segmentasi, penekanan pengiriman, dan analitik, serta untuk kontak business-to-business ketika aturan nasional memperlakukan pelanggan korporat secara berbeda. Ia adalah fondasi yang lemah untuk email konsumen dingin di Uni Eropa.

Soft opt-in untuk pelanggan yang sudah ada

Pasal 13(2) ePrivacy Directive adalah pengecualian yang sesungguhnya. Ketika seseorang memperoleh detail kontak email pelanggan “in the context of the sale of a product or a service”, pihak yang sama boleh memakainya untuk memasarkan “its own similar products or services”, asalkan pelanggan “clearly and distinctly are given the opportunity to object, free of charge and in an easy manner” baik saat detail itu dikumpulkan maupun pada setiap pesan berikutnya.

Article 29 Working Party menyatakan pengecualian ini “is limited in several ways and must be interpreted restrictively.” Ada tiga batasan yang layak dihafal:

• Hanya berlaku untuk pelanggan yang benar-benar membeli. Orang yang meninggalkan checkout tidak tercakup.
• Hanya badan hukum yang sama yang mengumpulkan alamat itu yang boleh mengirim. Anak perusahaan dan induk perusahaan bukan perusahaan yang sama.
• Hanya produk atau layanan serupa yang memenuhi syarat, dinilai dari ekspektasi wajar penerima, bukan dari ambisi pengirim.

Bagaimana soft opt-in berbeda antar negara anggota

Karena directive itu dialihkan secara nasional, di sinilah nasihat yang sama benar-benar berbeda menurut pasar.

Di Irlandia, Regulation 13(11) dari S.I. No. 336/2011 mengulangi pengecualian tersebut dan menambahkan batas waktu tegas: penjualan harus terjadi “not more than 12 months prior to the sending of the direct marketing communication”, atau detail itu harus sudah dipakai untuk email marketing dalam periode tersebut.

Di Inggris, aturan setaranya adalah regulation 22 PECR, dan ICO tidak menyebutkan batas waktu seperti itu. ICO menggambarkan soft opt-in mencakup pelanggan yang sudah ada “who bought (or negotiated to buy) a similar product or service from you in the past”, dan mencatat bahwa aturan itu tidak berlaku bagi calon pelanggan, daftar yang dibeli, atau promosi nonkomersial seperti penggalangan dana amal dan kampanye politik.

Dua pasar bertetangga, dua aturan yang berbeda secara material. Jangan pernah menganggap versi di negara Anda ikut berlaku di tempat lain.

Apa arti consent yang sah

Pasal 4(11) mendefinisikan consent sebagai “any freely given, specific, informed and unambiguous indication of the data subject’s wishes by which he or she, by a statement or by a clear affirmative action, signifies agreement to the processing of personal data relating to him or her.” EDPB memperluas setiap elemennya dalam Guidelines 05/2020 tentang consent, yang diadopsi pada 4 Mei 2020.

Empat elemennya

• Diberikan secara bebas. Pasal 7(4) menyebut “utmost account” diberikan pada apakah sebuah kontrak dibuat bergantung pada consent atas pemrosesan yang tidak diperlukan untuk kontrak itu. Jangan jadikan consent marketing sebagai syarat checkout.
• Spesifik. Ketika pemrosesan punya banyak tujuan, consent harus diberikan untuk semuanya (Recital 32). Tujuan yang berbeda butuh pilihan yang berbeda: opt-in newsletter bukan consent untuk SMS, bukan pula untuk berbagi data dengan partner.
• Terinformasi. Pasal 7(2) mewajibkan permintaan consent yang digabung ke dalam deklarasi yang lebih luas untuk “clearly distinguishable from the other matters, in an intelligible and easily accessible form, using clear and plain language.”
• Tidak ambigu. Harus ada pernyataan atau tindakan afirmatif yang jelas.

Apa yang tidak dihitung

Recital 32 tegas: “Silence, pre-ticked boxes or inactivity should not therefore constitute consent.” Begitu pula kotak centang yang terkubur di dalam syarat dan ketentuan, atau satu centang yang mencakup email, SMS, profiling, dan berbagi data dengan partner sekaligus.

Pencabutan

Pasal 7(3) memberi hak mencabut consent kapan saja, mewajibkan orang tersebut diberi tahu tentang hak itu sebelumnya, dan menyatakan bahwa “it shall be as easy to withdraw as to give consent.” Kalau seseorang bisa berlangganan dengan satu klik, alur pencabutan yang menuntut login dan halaman pengaturan yang tersembunyi tidak memenuhi standar. Pencabutan tidak berlaku surut: pemrosesan yang dilakukan sebelumnya tetap sah.

Bukti: apa yang harus mampu Anda tunjukkan

Pasal 7(1) singkat dan menanggung beban: “Where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented.” Kolom “opted in: yes” tidak membuktikan apa pun. Catatan yang merekonstruksi momen consent barulah membuktikan.

Apa yang dicatat saat pendaftaran

Tangkap dan simpan, per kontak dan per tujuan:

• Timestamp tindakan consent, dalam zona waktu yang stabil.
• Sumber dan metode: formulir mana, URL halaman, kanal, atau event luring.
• Teks consent persis dan versi pemberitahuan privasi yang ditampilkan. Sebuah pengenal versi yang mengarah ke teks terarsip lebih praktis daripada menyimpan teks lengkap di setiap baris.
• Tujuan spesifik yang disetujui, sebagai flag terpisah alih-alih satu boolean.
• Bukti konfirmasi dan timestamp-nya bila Anda memakai double opt-in.
• Alamat IP bila proporsional dengan risikonya. Ini praktik umum dan bukti yang berguna, tetapi bukan kewajiban undang-undang, dan alamat IP itu sendiri adalah data pribadi.

Secara terpisah, Pasal 30 mewajibkan sebagian besar organisasi menyimpan catatan aktivitas pemrosesan: tujuan, kategori subjek data dan data, penerima, transfer, periode retensi, dan langkah keamanan. Pengecualian untuk organisasi dengan kurang dari 250 karyawan bersifat sempit, dan gugur ketika pemrosesan berpotensi berisiko bagi hak dan kebebasan, tidak bersifat sesekali, atau melibatkan data kategori khusus. Marketing rutin ke basis data pelanggan bukan aktivitas sesekali.

Berapa lama menyimpan bukti consent

GDPR tidak menetapkan periode tetap. Prinsip yang bisa dipakai adalah bukti consent harus hidup lebih lama daripada marketing yang dibenarkannya, ditambah periode ketika sebuah keluhan masih realistis diajukan. Menghapus record seorang pelanggan email sambil menyimpan entri log yang diminimalkan sebagai bukti izin adalah hal yang lazim.

Hak subjek data yang menyentuh program email

Ada lima hak yang berulang kali muncul dalam operasi email.

• Akses (Pasal 15). Konfirmasi apakah Anda memproses data mereka, salinan datanya, dan informasi termasuk tujuan, kategori data, penerima, periode retensi, sumber, serta pengambilan keputusan otomatis atau profiling apa pun. Untuk program email itu sering berarti riwayat engagement dan keanggotaan segmen, bukan hanya alamatnya.
• Rektifikasi (Pasal 16). Koreksi data yang tidak akurat tanpa penundaan yang tidak semestinya, dan pelengkapan data yang tidak lengkap.
• Penghapusan (Pasal 17). Termasuk pada 17(1)(b), ketika consent dicabut dan tidak ada dasar lain yang berlaku, dan pada 17(1)(c), ketika orang tersebut mengajukan keberatan berdasarkan Pasal 21(2).
• Keberatan terhadap direct marketing (Pasal 21). Hak yang absolut. Berdasarkan 21(2) subjek data “shall have the right to object at any time” terhadap pemrosesan untuk direct marketing, termasuk profiling terkait. Berdasarkan 21(3), “the personal data shall no longer be processed for such purposes.” Tidak ada uji penyeimbangan yang perlu diterapkan.
• Portabilitas (Pasal 20). Berlaku ketika pemrosesan bersandar pada consent atau kontrak dan bersifat otomatis, mencakup data yang diberikan orang tersebut. Skor dan segmen turunan umumnya berada di luarnya.

Tenggat tanggapan

Pasal 12(3) mewajibkan Anda bertindak tanpa penundaan yang tidak semestinya dan dalam segala hal paling lambat satu bulan sejak permintaan diterima. Tenggat itu dapat diperpanjang dua bulan lagi mengingat kompleksitas atau jumlah permintaan, dan Anda harus memberi tahu orang tersebut beserta alasannya dalam bulan pertama. Keberatan terhadap marketing layak diperlakukan lebih baik daripada tenggat maksimum: perlakukan sebagai penekanan seketika, lalu urus administrasinya dalam jendela waktu yang ditetapkan undang-undang.

Penerapan praktis

Formulir pendaftaran

Satu kotak centang yang tidak tercentang dan berlabel jelas untuk setiap tujuan. Sebutkan pengirimnya, katakan apa yang akan Anda kirim dan kira-kira seberapa sering, dan tautkan pemberitahuan privasi alih-alih menyalinnya. Jangan gabungkan consent marketing dengan persetujuan syarat dan ketentuan, dan jangan jadikan pembelian bergantung padanya. Simpan versi formulirnya supaya Anda nanti bisa membuktikan apa yang tampil di layar.

Double opt-in dan status hukumnya yang sebenarnya

Double opt-in tidak diwajibkan GDPR maupun ePrivacy Directive. Tidak ada pasal yang mengharuskannya. Yang dihasilkannya adalah bukti: satu klik konfirmasi, dari kotak masuk yang bersangkutan, pada waktu yang tercatat, adalah bukti terbaik yang tersedia bahwa orang sungguhan yang menguasai alamat itu telah setuju. Article 29 Working Party mencatat bahwa metode ketika seorang pelanggan email mendaftar lalu kemudian diminta mengonfirmasi “seem to be compatible with the Directive.”

Jadi double opt-in direkomendasikan, kadang dengan kuat, dan di sebagian pasar sudah menjadi norma. Namun itu bukan undang-undang. Mekanismenya ada di panduan double opt-in kami.

Pusat preferensi dan penanganan berhenti berlangganan

Setiap pesan marketing butuh alamat yang sah untuk permintaan opt-out, dan di bawah pengecualian pelanggan yang sudah ada, jalur keberatan yang mudah dan gratis pada setiap pesan adalah syarat, bukan kesopanan. Pusat preferensi yang menawarkan pilihan frekuensi dan topik adalah praktik yang baik, tetapi opsi berhenti berlangganan global satu langkah yang sederhana harus tetap tersedia. Proses opt-out secara otomatis; antrean manual adalah cara organisasi berakhir mengirim email setelah ada keberatan.

Daftar penekanan yang harus bertahan melewati migrasi

Berhenti berlangganan adalah instruksi permanen, bukan pengaturan per list. Status penekanan harus berlaku global lintas merek, lintas kanal yang dicakup keberatan itu, dan lintas platform. Momen berbahayanya adalah migrasi atau import ulang: pelanggan email pindah ke sistem baru sementara flag keberatan tidak ikut serta. Inilah cara paling umum sebuah program yang patuh diam-diam berubah menjadi tidak patuh.

Risiko yang sama hidup di setiap integrasi antara toko, CRM, dan platform email, dan di situlah status consent serta penekanan hilang di perjalanan. Kalau Anda memindahkan data Shopify ke Brevo, Tajo adalah lapisan sinkronisasi yang membawa field-field tersebut antar sistem. Apa pun tool yang Anda pakai, ujinya sama: setelah migrasi apa pun, pastikan alamat yang diketahui tertekan tetap tertekan.

Retensi dan meminta ulang izin pada daftar lama

Pembatasan penyimpanan berlaku untuk daftar marketing, jadi tetapkan aturan retensi terdokumentasi untuk kontak tidak aktif dan tegakkan. Kalau sebuah daftar tidak dipakai bertahun-tahun, kampanye permintaan izin ulang sering diusulkan. Hati-hati: email “konfirmasi Anda masih ingin mendengar dari kami” itu sendiri adalah komunikasi marketing dalam sebagian besar tafsir, jadi hanya boleh dikirim ke orang yang secara sah boleh Anda email hari ini. Kalau Anda tidak bisa menunjukkan dasarnya sekarang, jawaban yang jujur adalah penghapusan. Panduan pembersihan daftar email kami membahas sisi kebersihannya.

ESP Anda adalah processor

Penyedia layanan email Anda memproses data pribadi atas instruksi Anda, jadi Pasal 28 berlaku. Harus ada kontrak atau tindakan hukum mengikat lain yang menetapkan pokok, durasi, sifat, dan tujuan pemrosesan, jenis data, serta kategori subjek data. Pasal 28(3) kemudian mewajibkan ketentuan tentang instruksi terdokumentasi, kerahasiaan, keamanan Pasal 32, sub-processor, bantuan atas permintaan subjek data dan kewajiban pelaporan pelanggaran, penghapusan atau pengembalian data pada akhir layanan, serta hak audit. Sebagian besar penyedia menerbitkan DPA standar. Bacalah daftar sub-processor-nya.

Transfer internasional

Kalau data pribadi meninggalkan EEA, Anda butuh mekanisme transfer. Pasal 45 mengizinkan transfer ke negara atau kerangka kerja yang dinilai memadai oleh Komisi Eropa. Selain itu Pasal 46 mewajibkan pengaman yang layak, paling umum berupa standard contractual clauses dari Komisi, atau binding corporate rules dalam satu grup. Keputusan adequacy mencakup sejumlah yurisdiksi, termasuk EU-US Data Privacy Framework yang diadopsi pada 10 Juli 2023. Periksa di mana ESP Anda menyimpan data, bukan hanya di mana kantor pusatnya.

Nama regulasi ini di pasar Anda

Instrumennya sama di seluruh Uni Eropa. Namanya tidak.

Di luar Uni Eropa kosakatanya berubah lagi. Inggris punya UK GDPR berdampingan dengan PECR. Turki punya Kisisel Verilerin Korunmasi Kanunu, Undang-Undang No. 6698, yang dikenal sebagai KVKK. Brasil punya Lei Geral de Protecao de Dados Pessoais, Undang-Undang No. 13.709 tanggal 14 Agustus 2018, yaitu LGPD. Indonesia punya Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Semua ini adalah rezim terpisah dengan aturannya sendiri, bukan terjemahan, dan memenuhi GDPR tidak otomatis memenuhi mereka.

Sanksi, dan apa yang sebenarnya dilakukan regulator

Pasal 83 menetapkan dua tingkat: hingga 10 juta euro atau 2 persen dari total omzet tahunan global berdasarkan 83(4), dan hingga 20 juta euro atau 4 persen berdasarkan 83(5), mana pun yang lebih tinggi dalam tiap kasus. Tingkat yang lebih tinggi mencakup prinsip dasar dan syarat consent dalam Pasal 5, 6, 7, dan 9, hak subjek data dalam Pasal 12 sampai 22, serta aturan transfer dalam Pasal 44 sampai 49, jadi kegagalan consent dan keberatan yang diabaikan berada di sana. Aturan ePrivacy nasional menambahkan sanksinya sendiri: di Irlandia, melanggar Regulation 13 adalah tindak pidana dan setiap pesan dihitung terpisah.

Bagi pengirim berskala menengah, risiko sehari-hari bukanlah denda yang jadi berita utama. Risikonya adalah satu keluhan yang memicu pertanyaan dari regulator: tunjukkan kepada kami consent untuk alamat ini.

Tempat kepatuhan bertemu performa

Kalau dijalankan dengan benar, hal ini juga memperbaiki performa. Daftar yang dibangun di atas izin yang tulus dan spesifik menghasilkan engagement lebih baik dan keluhan lebih sedikit, dan itulah yang dihargai sistem deliverability. Panduan deliverability email kami menjelaskan mekanismenya, dan panduan membangun daftar email kami membahas akuisisi yang tahan diperiksa.

Artikel terkait

• Double Opt-In Email: Panduan Lengkap Langganan Terkonfirmasi
• Deliverability Email: Panduan Lengkap
• Membangun Daftar Email: Panduan Lengkap
• Pembersihan Daftar Email: Panduan Lengkap
• Halaman Berhenti Berlangganan dan One-Click Unsubscribe: Praktik Terbaik