GDPR a email marketing: praktyczny przewodnik po zgodności

Czego GDPR naprawdę wymaga od marketerów emailowych

Mówiąc wprost: ogólne rozporządzenie o ochronie danych (rozporządzenie (UE) 2016/679), w Polsce znane jako RODO, nie zawiera przepisu mówiącego „potrzebujesz zgody, żeby wysłać email”. Reguluje dane osobowe stojące za Twoim programem emailowym. Potrzebujesz podstawy prawnej do ich przetwarzania, przejrzystości, prawidłowości, ograniczenia przechowywania, bezpieczeństwa i dowodu na to wszystko. Artykuł 5 ust. 2 ujmuje to w jednym zdaniu: administrator „jest odpowiedzialny za przestrzeganie” zasad przetwarzania „i musi być w stanie wykazać ich przestrzeganie”.

Zasada rozstrzygająca o tym, czy wolno Ci nacisnąć wyślij, siedzi w innym akcie, w dyrektywie ePrivacy. Większość artykułów na ten temat zlepia oba w jedno i podaje błędną odpowiedź. Trzymanie ich osobno jest sensem tego przewodnika.

Ten artykuł to praktyczne wskazówki dla marketerów, a nie porada prawna. Cytuje źródła pierwotne, żebyś mógł je sprawdzić, ale prawo ochrony danych stosują krajowe organy nadzorcze i sądy, krajowe implementacje się różnią, a Twoje okoliczności mają znaczenie. Zanim zmienisz przepływ zgody, zasadę retencji danych albo transfer międzynarodowy, skorzystaj z porady wykwalifikowanego prawnika w swojej jurysdykcji.

GDPR i ePrivacy: dwa akty, jedna wysyłka

Co mówi dyrektywa ePrivacy

Dyrektywa 2002/58/WE, czyli dyrektywa ePrivacy, zmieniona dyrektywą 2009/136/WE, ustala zasadę wysyłki. Artykuł 13 ust. 1 pozwala na pocztę elektroniczną do celów marketingu bezpośredniego wyłącznie wobec abonentów, którzy wyrazili uprzednią zgodę. „Poczta elektroniczna” jest zdefiniowana szeroko i neutralnie technologicznie: opinia 5/2004 Grupy Roboczej Artykułu 29 potwierdziła, że obejmuje newslettery emailowe, a także SMS i podobne wiadomości przechowywane. Artykuł 13 ust. 2 wprowadza wyjątek dla dotychczasowych klientów, a artykuł 13 ust. 4 zakazuje emaili marketingowych, które ukrywają tożsamość nadawcy albo nie zawierają „ważnego adresu, na który odbiorca może wysłać żądanie zaprzestania takiej komunikacji”.

Dlaczego to ma znaczenie w praktyce

Zgoda nie jest zdefiniowana w dyrektywie ePrivacy. Znaczenie czerpie z ogólnego prawa ochrony danych: artykuł 94 ust. 2 GDPR stanowi, że odesłania do uchylonej dyrektywy 95/46/WE traktuje się jak odesłania do GDPR. Zatem ePrivacy decyduje, kiedy zgoda jest potrzebna do samej czynności wysłania, a GDPR decyduje, co się liczy jako zgoda i jak ją udowadniasz.

Możesz więc mieć ważną podstawę z GDPR na przechowywanie i analizowanie rekordu kontaktu, a mimo to nie mieć prawa wysłać tej osobie emaila. A ponieważ ePrivacy jest dyrektywą, a nie rozporządzeniem, jest transponowana do prawa krajowego, więc szczegóły różnią się między państwami członkowskimi.

Wybór podstawy prawnej dla email marketingu

Zgoda

Zgoda z artykułu 6 ust. 1 lit. a to podstawa, na której opiera się większość konsumenckich programów emailowych, i słusznie: skoro ePrivacy i tak wymaga uprzedniej zgody na wysyłkę, użycie zgody jako podstawy z GDPR pozwala mieć jedną historię zamiast dwóch. Kosztem jest to, że można ją wycofać w każdej chwili na podstawie artykułu 7 ust. 3.

Prawnie uzasadniony interes

Artykuł 6 ust. 1 lit. f zezwala na przetwarzanie niezbędne do celów wynikających z prawnie uzasadnionych interesów administratora, chyba że nadrzędne są interesy lub prawa podstawowe osoby, której dane dotyczą. Motyw 47 mówi wprost, że „za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego”.

To zdanie jest cytowane bez przerwy jako argument, że zgoda jest opcjonalna. Przeczytaj je uważnie. Dotyczy podstawy przetwarzania z GDPR, mówi „można uznać”, więc i tak musisz przeprowadzić i udokumentować test równowagi, i nie mówi nic o zasadzie wysyłki z ePrivacy. Prawnie uzasadniony interes najlepiej broni się przy przetwarzaniu wokół programu, takim jak segmentacja, wykluczanie i analityka, oraz przy kontaktach business-to-business, gdzie przepisy krajowe inaczej traktują abonentów korporacyjnych. Jest słabym fundamentem dla zimnego emaila do konsumentów w UE.

Soft opt-in dla dotychczasowych klientów

Prawdziwym wyjątkiem jest artykuł 13 ust. 2 dyrektywy ePrivacy. Gdy podmiot uzyskuje dane kontaktowe klientów „w kontekście sprzedaży produktu lub usługi”, ten sam podmiot może ich użyć do marketingu „własnych podobnych produktów lub usług”, pod warunkiem że klienci „w sposób jasny i wyraźny mają możliwość wniesienia sprzeciwu, bezpłatnie i w łatwy sposób” zarówno przy zbieraniu danych, jak i w każdej kolejnej wiadomości.

Grupa Robocza Artykułu 29 stwierdziła, że ten wyjątek „jest ograniczony na kilka sposobów i musi być interpretowany zawężająco”. Warto zapamiętać trzy ograniczenia:

• Dotyczy wyłącznie faktycznych klientów. Ktoś, kto porzucił koszyk, nie jest objęty.
• Wysyłać może wyłącznie ta sama osoba prawna, która zebrała adres. Spółki zależne i spółki matki to nie ta sama firma.
• Kwalifikują się wyłącznie podobne produkty lub usługi, oceniane z perspektywy rozsądnych oczekiwań odbiorcy, a nie ambicji nadawcy.

Jak soft opt-in różni się między państwami członkowskimi

Ponieważ dyrektywa była transponowana krajowo, to właśnie tutaj ta sama porada naprawdę rozjeżdża się w zależności od rynku.

W Irlandii regulacja 13(11) aktu S.I. No. 336/2011 powtarza wyjątek i dodaje twardy limit czasowy: sprzedaż musi mieć miejsce „nie wcześniej niż 12 miesięcy przed wysłaniem komunikatu marketingu bezpośredniego” albo dane musiały być użyte do marketingu emailowego w tym okresie.

W Wielkiej Brytanii odpowiednikiem jest regulacja 22 PECR, a ICO nie podaje żadnego limitu czasowego. Opisuje soft opt-in jako obejmujący dotychczasowego klienta, „który kupił (lub negocjował zakup) podobny produkt albo usługę od Ciebie w przeszłości”, i zaznacza, że nie stosuje się on do klientów potencjalnych, kupionych list ani promocji niekomercyjnych, takich jak zbiórki charytatywne i kampanie polityczne.

Dwa sąsiadujące rynki, dwie istotnie różne zasady. Nigdy nie zakładaj, że Twoja rodzima wersja podróżuje.

Co naprawdę oznacza ważna zgoda

Artykuł 4 pkt 11 definiuje zgodę jako „dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych”. EDPB rozwinęła każdy z tych elementów w wytycznych 05/2020 dotyczących zgody, przyjętych 4 maja 2020 roku.

Cztery elementy

• Dobrowolna. Artykuł 7 ust. 4 mówi, że „w największym możliwym zakresie” uwzględnia się, czy wykonanie umowy uzależniono od zgody na przetwarzanie, które nie jest do niej niezbędne. Nie uzależniaj zakupu od zgody marketingowej.
• Konkretna. Gdy przetwarzanie służy różnym celom, zgoda powinna być udzielona na wszystkie z nich (motyw 32). Odrębne cele wymagają odrębnych wyborów: zapis do newslettera nie jest zgodą na SMS ani na udostępnianie danych partnerom.
• Świadoma. Artykuł 7 ust. 2 wymaga, żeby prośba o zgodę wpleciona w szersze oświadczenie była „wyraźnie odróżniona od pozostałych kwestii, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem”.
• Jednoznaczna. Musi wystąpić oświadczenie albo wyraźne działanie potwierdzające.

Co się nie liczy

Motyw 32 jest bezlitosny: „Milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny zatem oznaczać zgody”. Nie liczy się też pole wyboru zakopane w regulaminie ani jeden ptaszek obejmujący email, SMS, profilowanie i udostępnianie partnerom.

Wycofanie

Artykuł 7 ust. 3 daje prawo do wycofania zgody w dowolnym momencie, wymaga wcześniejszego poinformowania o tym prawie i stanowi, że „wycofanie zgody musi być równie łatwe jak jej wyrażenie”. Jeśli ktoś może zapisać się jednym kliknięciem, przepływ wycofania wymagający logowania i zakopanej strony ustawień nie spełnia tego standardu. Wycofanie nie działa wstecz: przetwarzanie dokonane przed nim pozostaje zgodne z prawem.

Dowód: co musisz umieć wykazać

Artykuł 7 ust. 1 jest krótki i nośny: „Jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę”. Kolumna „zapisany: tak” nie wykazuje niczego. Wykazuje to zapis, który odtwarza moment udzielenia zgody.

Co logować przy zapisie

Zbieraj i przechowuj, dla każdego kontaktu i każdego celu:

• Znacznik czasu czynności zgody, w stabilnej strefie czasowej.
• Źródło i metodę: który formularz, adres URL strony, kanał albo wydarzenie offline.
• Dokładną treść zgody i wersję pokazanej informacji o prywatności. Identyfikator wersji odsyłający do zarchiwizowanej treści jest praktyczniejszy niż zapisywanie pełnego tekstu przy każdym wierszu.
• Konkretne cele, na które udzielono zgody, jako osobne flagi, a nie jedną wartość logiczną.
• Dowód potwierdzenia i jego znacznik czasu, jeśli używasz double opt-in.
• Adres IP, gdy jest to proporcjonalne do ryzyka. To powszechna praktyka i użyteczny dowód, ale nie wymóg ustawowy, a sam adres jest daną osobową.

Artykuł 30 osobno wymaga od większości organizacji prowadzenia rejestru czynności przetwarzania: cele, kategorie osób i danych, odbiorcy, transfery, okresy przechowywania i środki bezpieczeństwa. Wyłączenie dla organizacji zatrudniających mniej niż 250 osób jest wąskie i odpada, gdy przetwarzanie może powodować ryzyko dla praw i wolności, nie ma charakteru sporadycznego albo obejmuje szczególne kategorie danych. Regularny marketing do bazy klientów nie jest sporadyczny.

Jak długo przechowywać dowody zgody

GDPR nie ustala sztywnego okresu. Działająca zasada mówi, że dowód zgody powinien przeżyć marketing, który uzasadnia, plus okres, w którym realnie mogłaby wpłynąć skarga. Usunięcie rekordu subskrybenta przy zachowaniu zminimalizowanego wpisu w logu potwierdzającego zgodę jest normalną praktyką.

Prawa osób, które uderzają w programy emailowe

W operacjach emailowych powtarza się pięć praw.

• Dostęp (artykuł 15). Potwierdzenie, czy przetwarzasz dane danej osoby, ich kopia oraz informacje obejmujące cele, kategorie danych, odbiorców, okresy przechowywania, źródło i ewentualne zautomatyzowane podejmowanie decyzji lub profilowanie. Dla programów emailowych oznacza to często historię zaangażowania i przynależność do segmentów, a nie tylko adres.
• Sprostowanie (artykuł 16). Poprawienie nieprawidłowych danych bez zbędnej zwłoki i uzupełnienie danych niekompletnych.
• Usunięcie (artykuł 17). W tym art. 17 ust. 1 lit. b, gdy zgoda została wycofana i nie ma innej podstawy, oraz art. 17 ust. 1 lit. c, gdy osoba wnosi sprzeciw na podstawie artykułu 21 ust. 2.
• Sprzeciw wobec marketingu bezpośredniego (artykuł 21). Ten absolutny. Na podstawie ust. 2 osoba, której dane dotyczą, „ma prawo w dowolnym momencie wnieść sprzeciw” wobec przetwarzania na potrzeby marketingu bezpośredniego, w tym profilowania. Zgodnie z ust. 3 „danych osobowych nie wolno już przetwarzać do takich celów”. Nie ma tu żadnego testu równowagi.
• Przenoszenie (artykuł 20). Ma zastosowanie, gdy przetwarzanie opiera się na zgodzie lub umowie i jest zautomatyzowane, i obejmuje dane dostarczone przez osobę. Wyliczone scoringi i segmenty zasadniczo są poza nim.

Terminy odpowiedzi

Artykuł 12 ust. 3 wymaga działania bez zbędnej zwłoki, a w każdym razie w ciągu miesiąca od otrzymania. Termin można przedłużyć o kolejne dwa miesiące ze względu na skomplikowany charakter lub liczbę żądań, i trzeba poinformować osobę wraz z uzasadnieniem w ciągu pierwszego miesiąca. Sprzeciw wobec marketingu zasługuje na więcej niż maksimum: potraktuj go jako natychmiastowe wykluczenie z wysyłek, a papierologię załatw w ustawowym terminie.

Wdrożenie w praktyce

Formularze zapisu

Jedno niezaznaczone, wyraźnie opisane pole wyboru na każdy cel. Podaj nadawcę, napisz, co będziesz wysyłać i mniej więcej jak często, i podlinkuj informację o prywatności zamiast ją przepisywać. Nie łącz zgody marketingowej z akceptacją regulaminu i nie uzależniaj od niej zakupu. Zapisz wersję formularza, żebyś mógł później udowodnić, co było na ekranie.

Double opt-in i jego uczciwy status prawny

Double opt-in nie jest wymagany przez GDPR ani przez dyrektywę ePrivacy. Żaden przepis go nie nakazuje. To, co daje, to dowód: kliknięcie potwierdzające, ze skrzynki, o której mowa, o zapisanej godzinie, jest bliskie najlepszemu dostępnemu dowodowi, że prawdziwa osoba kontrolująca ten adres wyraziła zgodę. Grupa Robocza Artykułu 29 zauważyła, że metody, w których subskrybent rejestruje się i jest później proszony o potwierdzenie, „wydają się zgodne z dyrektywą”.

Jest więc zalecany, czasem mocno, a na niektórych rynkach jest normą. Nie jest prawem. Mechanikę opisuje nasz przewodnik po double opt-in.

Panel preferencji i obsługa wypisania

Każda wiadomość marketingowa potrzebuje ważnego adresu do zgłaszania rezygnacji, a w ramach wyjątku dla dotychczasowych klientów łatwa i bezpłatna droga sprzeciwu w każdej wiadomości jest warunkiem, a nie uprzejmością. Panel preferencji oferujący wybór częstotliwości i tematów to dobra praktyka, ale zwykłe, jednokrokowe globalne wypisanie musi pozostać dostępne. Przetwarzaj rezygnacje automatycznie, bo ręczne kolejki to sposób, w jaki organizacje kończą z wysyłką po zgłoszonym sprzeciwie.

Listy wykluczeń, które muszą przetrwać migracje

Wypisanie to trwała dyspozycja, a nie ustawienie przy jednej liście. Stan wykluczenia musi być globalny, obejmować wszystkie marki, wszystkie kanały objęte sprzeciwem i wszystkie platformy. Niebezpiecznym momentem jest migracja albo ponowny import: subskrybenci przenoszą się do nowego systemu, a flagi sprzeciwu nie jadą razem z nimi. To najczęstszy sposób, w jaki zgodny program po cichu staje się niezgodny.

To samo ryzyko żyje w każdej integracji między sklepem, CRM i platformą emailową, bo właśnie tam stan zgody i wykluczenia gubi się w drodze. Jeśli przenosisz dane Shopify do Brevo, Tajo jest warstwą synchronizacji, która przenosi te pola między systemami. Niezależnie od narzędzi test jest ten sam: po każdej migracji sprawdź, czy znany wykluczony adres nadal jest wykluczony.

Retencja i ponowne pozyskiwanie zgody dla starych list

Ograniczenie przechowywania dotyczy list marketingowych, więc ustal udokumentowaną zasadę retencji dla nieaktywnych kontaktów i ją egzekwuj. Jeśli lista leżała latami nieużywana, często proponuje się kampanię ponownego pozyskania zgody. Uważaj: email „potwierdź, że nadal chcesz od nas słyszeć” w większości interpretacji sam jest komunikatem marketingowym, więc może trafić wyłącznie do osób, do których wolno Ci dziś legalnie pisać. Jeśli nie potrafisz wykazać podstawy teraz, uczciwą odpowiedzią jest usunięcie. Nasz przewodnik po czyszczeniu listy emailowej opisuje stronę higieny.

Twój dostawca emaila jest podmiotem przetwarzającym

Twój dostawca usług emailowych przetwarza dane osobowe na Twoje polecenie, więc stosuje się artykuł 28. Musi istnieć umowa albo inny akt prawny wiążący, określający przedmiot, czas trwania, charakter i cel przetwarzania, rodzaje danych i kategorie osób. Artykuł 28 ust. 3 wymaga następnie postanowień o udokumentowanych poleceniach, poufności, bezpieczeństwie z artykułu 32, podprzetwarzających, pomocy przy żądaniach osób i obowiązkach dotyczących naruszeń, usunięciu lub zwrocie danych po zakończeniu usługi oraz prawie do audytu. Większość dostawców publikuje standardową umowę powierzenia. Przeczytaj listę podprzetwarzających.

Transfery międzynarodowe

Jeśli dane osobowe opuszczają EOG, potrzebujesz mechanizmu transferu. Artykuł 45 dopuszcza przekazywanie do państw lub w ramach ram, które Komisja Europejska uznała za zapewniające odpowiedni stopień ochrony. W przeciwnym razie artykuł 46 wymaga odpowiednich zabezpieczeń, najczęściej standardowych klauzul umownych Komisji albo wiążących reguł korporacyjnych w ramach grupy. Decyzje o adekwatności obejmują szereg jurysdykcji, w tym ramy EU-US Data Privacy Framework przyjęte 10 lipca 2023 roku. Sprawdź, gdzie Twój dostawca emaila przechowuje dane, a nie tylko gdzie ma siedzibę.

Jak rozporządzenie nazywa się na Twoim rynku

Akt jest ten sam w całej UE. Nazwa nie.

Poza UE słownictwo zmienia się jeszcze bardziej. Wielka Brytania ma UK GDPR obok PECR. Turcja ma Kisisel Verilerin Korunmasi Kanunu, ustawę nr 6698, znaną jako KVKK. Brazylia ma Lei Geral de Protecao de Dados Pessoais, ustawę nr 13.709 z 14 sierpnia 2018 roku, czyli LGPD. Indonezja ma Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. To odrębne reżimy z własnymi zasadami, a nie tłumaczenia, i spełnienie GDPR nie oznacza automatycznie spełnienia ich.

Kary i to, co organy naprawdę robią

Artykuł 83 ustanawia dwa poziomy: do 10 mln euro albo 2 procent całkowitego rocznego światowego obrotu na podstawie ust. 4 oraz do 20 mln euro albo 4 procent na podstawie ust. 5, przy czym w każdym przypadku obowiązuje kwota wyższa. Wyższy poziom obejmuje podstawowe zasady i warunki zgody z artykułów 5, 6, 7 i 9, prawa osób z artykułów 12 do 22 oraz zasady transferu z artykułów 44 do 49, więc uchybienia przy zgodzie i zignorowane sprzeciwy siedzą właśnie tam. Krajowe przepisy ePrivacy dokładają własne sankcje: w Irlandii naruszenie regulacji 13 jest przestępstwem, a każda wiadomość liczy się osobno.

Dla średniej wielkości nadawcy codziennym ryzykiem nie jest kara z nagłówków gazet. Jest nim jedna skarga uruchamiająca pytanie organu: pokażcie nam zgodę dla tego adresu.

Gdzie zgodność spotyka się ze skutecznością

Zrobione porządnie poprawia to również wyniki. Listy zbudowane na prawdziwym, konkretnym zezwoleniu angażują się lepiej i rzadziej generują skargi, a to właśnie nagradzają systemy dostarczalności. Nasz przewodnik po dostarczalności emaili wyjaśnia ten mechanizm, a nasz przewodnik po budowaniu listy emailowej opisuje pozyskiwanie, które wytrzymuje kontrolę.

Powiązane artykuły

• Double opt-in: kompletny przewodnik po potwierdzonych zapisach
• Dostarczalność emaili: kompletny przewodnik
• Budowanie listy emailowej: kompletny przewodnik
• Czyszczenie listy emailowej: kompletny przewodnik
• Strony wypisania i jednoklikowa rezygnacja: najlepsze praktyki