GDPR și e-mail marketing: ghid practic de conformitate

Ce cere de fapt GDPR de la cei care fac e-mail marketing

Pe scurt: Regulamentul general privind protecția datelor (Regulamentul (UE) 2016/679) nu conține nicio regulă care să spună „ai nevoie de consimțământ ca să trimiți un e-mail”. Ce reglementează el sunt datele cu caracter personal din spatele programului tău de e-mail. Ai nevoie de un temei legal pentru prelucrarea lor, de transparență, exactitate, limitarea stocării, securitate și de dovada tuturor acestora. Articolul 5 alineatul (2) o spune într-un singur rând: operatorul „este responsabil de respectarea acestor principii și poate demonstra această respectare”.

Regula care decide dacă ai voie să apeși pe trimitere se află într-un alt instrument, Directiva ePrivacy. Majoritatea articolelor pe acest subiect le amestecă pe cele două și dau răspunsul greșit. Separarea lor este chiar rostul acestui ghid.

Acest articol este îndrumare practică pentru marketeri, nu consultanță juridică. Citează surse primare ca să le poți verifica, dar legislația privind protecția datelor este aplicată de autorități naționale și de instanțe, transpunerile naționale diferă, iar circumstanțele tale contează. Înainte să schimbi un flux de consimțământ, o regulă de păstrare a datelor sau un transfer internațional, cere sfatul unui specialist calificat din jurisdicția ta.

GDPR și ePrivacy: două instrumente, o singură trimitere

Ce spune Directiva ePrivacy

Directiva 2002/58/CE, Directiva ePrivacy, astfel cum a fost modificată prin Directiva 2009/136/CE, stabilește regula de trimitere. Articolul 13 alineatul (1) permite poșta electronică pentru marketing direct doar în privința abonaților care și-au dat consimțământul prealabil. „Poșta electronică” este definită larg și neutru tehnologic: Avizul 5/2004 al Grupului de lucru pentru articolul 29 a confirmat că acoperă atât newsletterele prin e-mail, cât și SMS-urile și mesajele stocate similare. Articolul 13 alineatul (2) instituie excepția pentru clienții existenți, iar articolul 13 alineatul (4) interzice e-mailurile de marketing care ascund identitatea expeditorului sau care nu au „o adresă valabilă la care destinatarul să poată trimite o cerere de încetare a acestor comunicări”.

De ce contează asta în practică

Consimțământul nu este definit în Directiva ePrivacy. Își preia înțelesul din legislația generală privind protecția datelor: articolul 94 alineatul (2) din GDPR prevede că trimiterile la Directiva 95/46/CE, care a fost abrogată, se citesc ca trimiteri la GDPR. Deci ePrivacy decide când este nevoie de consimțământ pentru actul trimiterii, iar GDPR decide ce înseamnă consimțământ și cum îl dovedești.

Poți așadar să ai un temei GDPR valabil pentru a păstra și analiza o fișă de contact și totuși să nu ai dreptul de a-i trimite e-mail acelei persoane. Iar pentru că ePrivacy este o directivă, nu un regulament, ea este transpusă în legislația națională, deci detaliile diferă de la un stat membru la altul.

Cum alegi un temei juridic pentru e-mail marketing

Consimțământul

Consimțământul din articolul 6 alineatul (1) litera (a) este ceea ce folosesc majoritatea programelor de e-mail către consumatori, și pe bună dreptate: acolo unde ePrivacy cere oricum consimțământ prealabil pentru trimitere, folosirea consimțământului drept temei GDPR păstrează o singură poveste, nu două. Costul este că poate fi retras oricând, conform articolului 7 alineatul (3).

Interesul legitim

Articolul 6 alineatul (1) litera (f) permite prelucrarea necesară intereselor legitime ale operatorului, cu excepția cazurilor în care prevalează interesele sau drepturile fundamentale ale persoanei vizate. Considerentul 47 spune explicit că „prelucrarea de date cu caracter personal în scopul marketingului direct poate fi considerată ca fiind desfășurată pentru un interes legitim”.

Această propoziție este citată constant pentru a susține că acordul este opțional. Citește-o cu atenție. Ea privește temeiul GDPR pentru prelucrare, spune „poate fi”, deci tot trebuie să faci și să documentezi testul de echilibrare, și nu spune nimic despre regula ePrivacy privind trimiterea. Interesul legitim se apără cel mai bine pentru prelucrarea din jurul programului tău, cum ar fi segmentarea, suprimarea și analizele, și pentru contactele business-to-business, acolo unde regulile naționale tratează diferit abonații persoane juridice. Este o temelie slabă pentru e-mailurile la rece către consumatori din UE.

Soft opt-in pentru clienții existenți

Articolul 13 alineatul (2) din Directiva ePrivacy este adevărata excepție. Atunci când cineva obține datele de contact de e-mail ale clienților „în contextul vânzării unui produs sau serviciu”, aceeași persoană le poate folosi pentru a promova „propriile produse sau servicii similare”, cu condiția ca acei clienți „să aibă în mod clar și distinct posibilitatea de a se opune, gratuit și într-un mod simplu”, atât la colectarea datelor, cât și în fiecare mesaj ulterior.

Grupul de lucru pentru articolul 29 a spus că această excepție „este limitată în mai multe feluri și trebuie interpretată restrictiv”. Trei limite merită memorate:

• Se aplică doar clienților reali. Cineva care a abandonat finalizarea comenzii nu este acoperit.
• Poate trimite doar aceeași persoană juridică ce a colectat adresa. Filialele și societățile-mamă nu sunt aceeași societate.
• Se califică doar produsele sau serviciile similare, judecate după așteptările rezonabile ale destinatarului, nu după ambițiile expeditorului.

Cum diferă soft opt-in între statele membre

Pentru că directiva a fost transpusă la nivel național, aici sfaturile chiar diferă de la o piață la alta.

În Irlanda, Regulamentul 13 alineatul (11) din S.I. No. 336/2011 reia excepția și adaugă un termen ferm: vânzarea trebuie să fi avut loc „cu cel mult 12 luni înainte de trimiterea comunicării de marketing direct”, ori datele trebuie să fi fost folosite pentru e-mail de marketing în acea perioadă.

În Regatul Unit, regula echivalentă este regulamentul 22 din PECR, iar ICO nu prevede niciun astfel de termen. Descrie soft opt-in ca acoperind un client existent „care a cumpărat (sau a negociat să cumpere) un produs sau serviciu similar de la tine în trecut” și notează că nu se aplică clienților potențiali, listelor cumpărate sau promovărilor necomerciale, cum sunt strângerile de fonduri caritabile și campaniile politice.

Două piețe vecine, două reguli semnificativ diferite. Nu presupune niciodată că varianta din țara ta călătorește.

Ce înseamnă de fapt un consimțământ valabil

Articolul 4 punctul 11 definește consimțământul ca „orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate”. EDPB a detaliat fiecare element în Ghidul 05/2020 privind consimțământul, adoptat la 4 mai 2020.

Cele patru elemente

• Liber exprimat. Articolul 7 alineatul (4) spune că se ține seama „în cea mai mare măsură” de faptul că un contract este condiționat de consimțământul pentru o prelucrare care nu îi este necesară. Nu face din acordul de marketing o condiție a finalizării comenzii.
• Specific. Când prelucrarea are mai multe scopuri, consimțământul ar trebui dat pentru toate (Considerentul 32). Scopuri separate cer alegeri separate: acordul pentru newsletter nu este acord pentru SMS și nici pentru partajarea datelor cu parteneri.
• Informat. Articolul 7 alineatul (2) cere ca o cerere de consimțământ inclusă într-o declarație mai amplă să fie „prezentată într-o formă care o distinge în mod clar de celelalte aspecte, într-o formă inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu”.
• Lipsit de ambiguitate. Trebuie să existe o declarație sau o acțiune afirmativă clară.

Ce nu contează

Considerentul 32 este direct: „Prin urmare, absența unui răspuns, casetele bifate în prealabil sau absența unei acțiuni nu ar trebui să constituie un consimțământ.” Nici o bifă îngropată în termeni și condiții, nici una singură care acoperă e-mail, SMS, creare de profiluri și partajare cu parteneri.

Retragerea

Articolul 7 alineatul (3) dă dreptul de a retrage consimțământul în orice moment, cere ca persoana să fie informată în prealabil despre acest drept și prevede că „retragerea consimțământului este la fel de simplă ca acordarea acestuia”. Dacă cineva se poate abona cu un clic, un flux de retragere care cere autentificare și o pagină de setări îngropată nu îndeplinește standardul. Retragerea nu este retroactivă: prelucrarea efectuată înainte rămâne legală.

Dovada: ce trebuie să poți demonstra

Articolul 7 alineatul (1) este scurt și esențial: „În cazul în care prelucrarea se bazează pe consimțământ, operatorul trebuie să fie în măsură să demonstreze că persoana vizată și-a dat consimțământul.” O coloană cu „abonat: da” nu demonstrează nimic. O evidență care reconstituie momentul consimțământului, da.

Ce să jurnalizezi la înscriere

Captează și stochează, per contact și per scop:

• Marcajul de timp al acțiunii de consimțire, într-un fus orar stabil.
• Sursa și metoda: ce formular, ce URL de pagină, ce canal sau ce eveniment offline.
• Formularea exactă a acordului și versiunea notei de informare afișate. Un identificator de versiune care duce la formularea arhivată este mai practic decât stocarea textului complet pe fiecare rând.
• Scopurile precise acceptate, ca indicatori separați, nu ca o singură valoare booleană.
• Dovada confirmării și marcajul de timp, acolo unde folosești dublă confirmare.
• Adresa IP, acolo unde este proporțional cu riscul. Este o practică frecventă și o dovadă utilă, dar nu o cerință legală, și este ea însăși dată cu caracter personal.

Articolul 30 cere separat majorității organizațiilor să păstreze evidențe ale activităților de prelucrare: scopuri, categorii de persoane vizate și de date, destinatari, transferuri, perioade de păstrare și măsuri de securitate. Excepția pentru organizațiile cu mai puțin de 250 de angajați este îngustă și dispare atunci când prelucrarea poate genera un risc pentru drepturi și libertăți, nu este ocazională sau implică date din categorii speciale. Marketingul regulat către o bază de clienți nu este ocazional.

Cât timp păstrezi dovada consimțământului

GDPR nu stabilește o perioadă fixă. Principiul funcțional este că dovada consimțământului ar trebui să supraviețuiască marketingului pe care îl justifică, plus perioada în care s-ar putea depune realist o plângere. Este normal să ștergi fișa unui abonat, dar să păstrezi o intrare de jurnal minimizată care dovedește permisiunea.

Drepturile persoanelor vizate care ating programele de e-mail

Cinci drepturi apar în mod repetat în operațiunile de e-mail.

• Acces (articolul 15). Confirmarea faptului că le prelucrezi datele, o copie a acestora și informații care includ scopurile, categoriile de date, destinatarii, perioadele de păstrare, sursa și orice proces decizional automatizat sau creare de profiluri. Pentru programele de e-mail asta înseamnă adesea istoricul de implicare și apartenența la segmente, nu doar adresa.
• Rectificare (articolul 16). Corectarea datelor inexacte fără întârzieri nejustificate și completarea datelor incomplete.
• Ștergere (articolul 17). Inclusiv la 17 alineatul (1) litera (b), când consimțământul este retras și nu se aplică alt temei, și la 17 alineatul (1) litera (c), când persoana se opune conform articolului 21 alineatul (2).
• Opoziția la marketing direct (articolul 21). Cel absolut. Conform alineatului (2), persoana vizată „are dreptul de a se opune în orice moment” prelucrării în scop de marketing direct, inclusiv creării de profiluri asociate. Conform alineatului (3), „datele cu caracter personal nu mai sunt prelucrate în aceste scopuri”. Nu există niciun test de echilibrare de aplicat.
• Portabilitate (articolul 20). Se aplică acolo unde prelucrarea se bazează pe consimțământ sau pe contract și este automatizată, acoperind datele furnizate de persoană. Scorurile derivate și segmentele sunt în general în afara ei.

Termene de răspuns

Articolul 12 alineatul (3) îți cere să acționezi fără întârzieri nejustificate și, în orice caz, în termen de o lună de la primire. Termenul poate fi prelungit cu încă două luni în funcție de complexitate sau de numărul cererilor, iar persoana trebuie informată, cu motive, în prima lună. O opoziție la marketing merită mai mult decât maximul: tratează-o ca suprimare imediată și rezolvă apoi hârtiile în fereastra legală.

Implementare practică

Formulare de înscriere

O singură casetă nebifată, clar etichetată, pentru fiecare scop. Numește expeditorul, spune ce vei trimite și aproximativ cât de des și pune un link către nota de informare în loc să o reproduci. Nu împacheta acordul de marketing împreună cu acceptarea termenilor și nu condiționa achiziția de el. Stochează versiunea formularului ca să poți dovedi ulterior ce era pe ecran.

Dubla confirmare și statutul ei juridic real

Dubla confirmare nu este cerută de GDPR sau de Directiva ePrivacy. Niciun articol nu o impune. Ce produce ea este dovada: un clic de confirmare, din căsuța poștală în cauză, la un moment înregistrat, este aproape cea mai bună dovadă disponibilă că o persoană reală care controlează acea adresă și-a dat acordul. Grupul de lucru pentru articolul 29 a observat că metodele în care un abonat se înregistrează și i se cere ulterior să confirme „par a fi compatibile cu directiva”.

Deci este recomandată, uneori insistent, iar pe unele piețe este norma. Nu este lege. Mecanica se află în ghidul nostru despre dubla confirmare.

Centre de preferințe și gestionarea dezabonării

Fiecare mesaj de marketing are nevoie de o adresă valabilă pentru cererile de dezabonare, iar în cadrul excepției pentru clienții existenți o cale de opoziție simplă și gratuită în fiecare mesaj este o condiție, nu o amabilitate. Un centru de preferințe care oferă opțiuni de frecvență și de subiect este o practică bună, dar o dezabonare globală simplă, într-un singur pas, trebuie să rămână disponibilă. Procesează dezabonările automat; cozile manuale sunt felul în care organizațiile ajung să trimită după o opoziție.

Liste de suprimare care trebuie să supraviețuiască migrărilor

O dezabonare este o instrucțiune permanentă, nu o setare per listă. Starea de suprimare trebuie să fie globală între branduri, între canalele acoperite de opoziție și între platforme. Momentul periculos este o migrare sau un reimport: abonații se mută în sistemul nou, iar indicatorii de opoziție nu vin cu ei. Acesta este cel mai frecvent mod în care un program conform devine pe tăcute neconform.

Același risc trăiește în fiecare integrare între un magazin, un CRM și o platformă de e-mail, acolo unde starea de consimțământ și de suprimare se pierde pe drum. Dacă muți date Shopify în Brevo, Tajo este stratul de sincronizare care duce aceste câmpuri între sisteme. Indiferent de instrumentele pe care le folosești, testul este același: după orice migrare, confirmă că o adresă cunoscută ca suprimată este în continuare suprimată.

Păstrarea datelor și re-permisionarea listelor vechi

Limitarea stocării se aplică și listelor de marketing, deci stabilește o regulă documentată de păstrare pentru contactele inactive și aplic-o. Dacă o listă a stat nefolosită ani întregi, se propune adesea o campanie de re-permisionare. Ai grijă: un e-mail de tipul „confirmă că vrei să mai auzi de noi” este el însuși o comunicare de marketing în majoritatea interpretărilor, deci poate merge doar către oameni cărora ai voie legal să le trimiți e-mail astăzi. Dacă nu poți demonstra un temei acum, răspunsul onest este ștergerea. Ghidul nostru de curățare a listelor de e-mail acoperă partea de igienă.

Furnizorul tău de e-mail este o persoană împuternicită

Furnizorul tău de servicii de e-mail prelucrează date cu caracter personal conform instrucțiunilor tale, deci se aplică articolul 28. Trebuie să existe un contract sau alt act juridic obligatoriu care să stabilească obiectul, durata, natura și scopul prelucrării, tipurile de date și categoriile de persoane vizate. Articolul 28 alineatul (3) cere apoi clauze privind instrucțiunile documentate, confidențialitatea, securitatea conform articolului 32, subîmputerniciții, asistența la cererile persoanelor vizate și obligațiile în caz de încălcare, ștergerea sau returnarea datelor la finalul serviciului și drepturile de audit. Majoritatea furnizorilor publică un acord standard de prelucrare a datelor. Citește-i lista de subîmputerniciți.

Transferuri internaționale

Dacă datele cu caracter personal părăsesc SEE, ai nevoie de un mecanism de transfer. Articolul 45 permite transferuri către țări sau cadre pe care Comisia Europeană le-a considerat adecvate. Altfel, articolul 46 cere garanții adecvate, cel mai adesea clauzele contractuale standard ale Comisiei sau reguli corporatiste obligatorii în cadrul unui grup. Deciziile de adecvare acoperă mai multe jurisdicții, inclusiv Cadrul UE-SUA privind confidențialitatea datelor, adoptat la 10 iulie 2023. Verifică unde stochează datele furnizorul tău, nu doar unde își are sediul.

Cum se numește regulamentul pe piața ta

Instrumentul este același în toată Uniunea Europeană. Numele, nu.

În afara UE, vocabularul se schimbă din nou. Regatul Unit are UK GDPR alături de PECR. Turcia are Kisisel Verilerin Korunmasi Kanunu, Legea nr. 6698, cunoscută ca KVKK. Brazilia are Lei Geral de Protecao de Dados Pessoais, Legea nr. 13.709 din 14 august 2018, adică LGPD. Indonezia are Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Acestea sunt regimuri separate, cu reguli proprii, nu traduceri, iar respectarea GDPR nu le satisface automat.

Sancțiuni și ce fac de fapt autoritățile

Articolul 83 stabilește două trepte: până la 10 milioane de euro sau 2 la sută din cifra de afaceri anuală mondială totală conform alineatului (4) și până la 20 de milioane de euro sau 4 la sută conform alineatului (5), luându-se în calcul valoarea cea mai mare în fiecare caz. Treapta superioară acoperă principiile de bază și condițiile consimțământului din articolele 5, 6, 7 și 9, drepturile persoanelor vizate din articolele 12 până la 22 și regulile de transfer din articolele 44 până la 49, deci eșecurile de consimțământ și opozițiile ignorate stau acolo. Regulile naționale ePrivacy adaugă propriile sancțiuni: în Irlanda, încălcarea Regulamentului 13 este infracțiune, iar fiecare mesaj se numără separat.

Pentru un expeditor de dimensiune medie, riscul zilnic nu este o amendă care ajunge pe prima pagină. Este o singură plângere care declanșează întrebarea unei autorități: arată-ne consimțământul pentru această adresă.

Unde se întâlnesc conformitatea și performanța

Făcut corect, acest lucru îmbunătățește și performanța. Listele construite pe o permisiune reală și specifică se implică mai bine și reclamă mai puțin, iar exact asta răsplătesc sistemele de livrabilitate. Ghidul nostru de livrabilitate a e-mailurilor explică acel mecanism, iar ghidul nostru de construire a listei de e-mail acoperă o achiziție care rezistă la verificare.

Articole conexe

• E-mail cu dublă confirmare: ghid complet pentru abonări confirmate
• Livrabilitatea e-mailurilor: ghidul complet
• Construirea listei de e-mail: ghid complet
• Curățarea listei de e-mail: ghid complet
• Pagini de dezabonare și dezabonare cu un clic: bune practici