GDPR i imejl marketing: praktičan vodič kroz usklađenost

Šta GDPR zapravo traži od imejl marketara

Otvoreno rečeno: Opšta uredba o zaštiti podataka (Uredba (EU) 2016/679) ne sadrži pravilo koje kaže „potreban vam je pristanak da biste poslali imejl”. Ono što uređuje jesu lični podaci koji stoje iza vašeg imejl programa. Treba vam zakoniti osnov za njihovu obradu, transparentnost, tačnost, ograničenje čuvanja, bezbednost i dokaz za sve to. Član 5(2) to sažima u jednu rečenicu: rukovalac „je odgovoran za usklađenost sa načelima obrade i mora biti u stanju da je dokaže”.

Pravilo koje odlučuje da li smete da pritisnete dugme za slanje nalazi se u drugom propisu, u ePrivacy direktivi. Većina članaka na ovu temu spaja to dvoje i dobija pogrešan odgovor. Njihovo razdvajanje je poenta ovog vodiča.

Ovaj članak je praktično uputstvo za marketare, a ne pravni savet. Navodi primarne izvore da biste mogli da ih proverite, ali pravo zaštite podataka primenjuju nacionalni regulatori i sudovi, nacionalne implementacije se razlikuju, a vaše okolnosti su bitne. Pre nego što promenite tok pristanka, pravilo o čuvanju podataka ili međunarodni prenos, potražite savet od stručnjaka u svojoj jurisdikciji.

GDPR i ePrivacy: dva propisa, jedno slanje

Šta kaže ePrivacy direktiva

Direktiva 2002/58/EZ, ePrivacy direktiva, izmenjena Direktivom 2009/136/EZ, postavlja pravilo o slanju. Član 13(1) dozvoljava elektronsku poštu za direktni marketing samo prema pretplatnicima koji su dali prethodni pristanak. „Elektronska pošta” je definisana široko i tehnološki neutralno: Mišljenje 5/2004 Radne grupe iz člana 29 potvrdilo je da obuhvata imejl biltene, ali i SMS i slične sačuvane poruke. Član 13(2) izdvaja izuzeće za postojeće kupce, a član 13(4) zabranjuje marketinške imejlove koji prikrivaju identitet pošiljaoca ili nemaju „važeću adresu na koju primalac može da pošalje zahtev za prestanak takvih komunikacija”.

Zašto je to bitno u praksi

Pristanak nije definisan u ePrivacy direktivi. Značenje uzima iz opšteg prava zaštite podataka: član 94(2) propisa GDPR predviđa da se upućivanja na stavljenu van snage Direktivu 95/46/EZ čitaju kao upućivanja na GDPR. Dakle, ePrivacy odlučuje kada je pristanak potreban za sam čin slanja, a GDPR odlučuje šta se računa kao pristanak i kako ga dokazujete.

Zato možete imati punovažan osnov po propisu GDPR za čuvanje i analizu zapisa o kontaktu, a ipak nemati pravo da toj osobi pošaljete imejl. A pošto je ePrivacy direktiva, a ne uredba, ona se prenosi u nacionalno pravo, pa se detalji razlikuju među državama članicama.

Izbor pravnog osnova za imejl marketing

Pristanak

Pristanak iz člana 6(1)(a) je ono na šta se oslanja većina imejl programa prema potrošačima, i to sa razlogom: kada ePrivacy ionako zahteva prethodni pristanak za slanje, korišćenje pristanka kao osnova po propisu GDPR ostavlja jednu priču umesto dve. Cena je to što se pristanak može povući u bilo kom trenutku po članu 7(3).

Legitimni interes

Član 6(1)(f) dozvoljava obradu neophodnu za legitimne interese rukovaoca, osim kada nad njima preovlađuju interesi ili osnovna prava lica na koje se podaci odnose. Uvodna izjava 47 izričito kaže da se „obrada ličnih podataka za potrebe direktnog marketinga može smatrati obradom koja se vrši u legitimnom interesu”.

Ta rečenica se stalno citira kao dokaz da je pristanak neobavezan. Pročitajte je pažljivo. Odnosi se na osnov obrade po propisu GDPR, kaže „može se smatrati”, pa i dalje morate da sprovedete i dokumentujete test odmeravanja, a o pravilu iz ePrivacy direktive za sam čin slanja ne kaže ništa. Legitimni interes je najodbranjiviji za obradu oko vašeg programa, kao što su segmentacija, potiskivanje adresa i analitika, i za poslovne kontakte, gde nacionalna pravila drugačije tretiraju pravna lica kao pretplatnike. On je slab temelj za hladne imejlove potrošačima u Evropskoj uniji.

Meki opt-in za postojeće kupce

Član 13(2) ePrivacy direktive je pravo izuzeće. Kada neko dobije imejl adresu kupca „u kontekstu prodaje proizvoda ili usluge”, to isto lice može da je koristi za marketing „sopstvenih sličnih proizvoda ili usluga”, pod uslovom da se kupcima „jasno i izričito daje mogućnost da ulože prigovor, besplatno i na jednostavan način”, i pri prikupljanju podataka i u svakoj narednoj poruci.

Radna grupa iz člana 29 rekla je da je to izuzeće „ograničeno na više načina i mora se tumačiti restriktivno”. Vredi zapamtiti tri granice:

• Primenjuje se samo na stvarne kupce. Neko ko je napustio naplatu nije obuhvaćen.
• Slati sme samo isto pravno lice koje je prikupilo adresu. Zavisna i matična društva nisu ista firma.
• Kvalifikuju se samo slični proizvodi ili usluge, prosuđeni prema razumnim očekivanjima primaoca, a ne prema ambicijama pošiljaoca.

Kako se meki opt-in razlikuje između država članica

Pošto je direktiva prenošena nacionalno, ovde isti savet zaista odstupa od tržišta do tržišta.

U Irskoj, Uredba 13(11) akta S.I. No. 336/2011 ponavlja izuzeće i dodaje strog vremenski rok: prodaja mora da se dogodila „ne više od 12 meseci pre slanja direktne marketinške komunikacije”, ili su podaci u tom periodu morali biti korišćeni za marketinški imejl.

U Ujedinjenom Kraljevstvu, ekvivalentno pravilo je uredba 22 propisa PECR, i ICO ne navodi takav vremenski rok. Meki opt-in opisuje kao nešto što pokriva postojećeg kupca „koji je u prošlosti kupio (ili pregovarao o kupovini) sličan proizvod ili uslugu od vas” i napominje da se ne primenjuje na potencijalne kupce, kupljene liste ili nekomercijalne promocije kao što su dobrotvorno prikupljanje sredstava i političke kampanje.

Dva susedna tržišta, dva bitno različita pravila. Nikada nemojte pretpostavljati da vaša domaća verzija putuje.

Šta punovažan pristanak zaista znači

Član 4(11) definiše pristanak kao „svako dobrovoljno, konkretno, informisano i nedvosmisleno izražavanje volje lica na koje se podaci odnose, kojim to lice izjavom ili jasnom potvrdnom radnjom daje saglasnost za obradu ličnih podataka koji se na njega odnose”. EDPB je razradio svaki od tih elemenata u Smernicama 05/2020 o pristanku, usvojenim 4. maja 2020.

Četiri elementa

• Dobrovoljan. Član 7(4) kaže da se „u najvećoj meri uzima u obzir” da li je ugovor uslovljen pristankom na obradu koja za njega nije neophodna. Nemojte marketinški pristanak činiti uslovom naplate.
• Konkretan. Kada obrada ima više svrha, pristanak treba dati za sve njih (uvodna izjava 32). Odvojene svrhe traže odvojene izbore: prijava na bilten nije pristanak na SMS poruke, niti na deljenje podataka sa partnerima.
• Informisan. Član 7(2) zahteva da zahtev za pristanak umetnut u širu izjavu bude „jasno razlučiv od ostalih pitanja, u razumljivom i lako dostupnom obliku, uz upotrebu jasnog i jednostavnog jezika”.
• Nedvosmislen. Mora postojati izjava ili jasna potvrdna radnja.

Šta se ne računa

Uvodna izjava 32 je direktna: „Ćutanje, unapred označena polja ili neaktivnost stoga ne bi trebalo da predstavljaju pristanak”. Ne računa se ni polje za potvrdu zakopano u uslovima, ni jedna kvačica koja pokriva imejl, SMS, profilisanje i deljenje sa partnerima.

Povlačenje

Član 7(3) daje pravo na povlačenje pristanka u bilo kom trenutku, zahteva da se osoba o tom pravu unapred obavesti i navodi da „povlačenje pristanka mora biti jednako lako kao i njegovo davanje”. Ako neko može da se prijavi jednim klikom, tok povlačenja koji traži prijavu i zakopanu stranicu podešavanja ne ispunjava taj standard. Povlačenje nema retroaktivno dejstvo: obrada izvršena pre njega ostaje zakonita.

Dokaz: šta morate biti u stanju da pokažete

Član 7(1) je kratak i nosi veliku težinu: „Kada se obrada zasniva na pristanku, rukovalac mora biti u stanju da dokaže da je lice na koje se podaci odnose dalo pristanak”. Kolona „prijavljen: da” ne dokazuje ništa. Zapis koji rekonstruiše trenutak pristanka dokazuje.

Šta beležiti pri prijavi

Zabeležite i sačuvajte, po kontaktu i po svrsi:

• Vremensku oznaku radnje pristanka, u stabilnoj vremenskoj zoni.
• Izvor i metod: koja forma, URL stranice, kanal ili događaj van interneta.
• Tačan tekst pristanka i verziju obaveštenja o privatnosti koja je prikazana. Oznaka verzije koja vodi do arhiviranog teksta praktičnija je od čuvanja punog teksta u svakom redu.
• Konkretne svrhe na koje je pristanak dat, kao odvojene zastavice, a ne kao jedna logička vrednost.
• Dokaz o potvrdi i vremensku oznaku kada koristite dvostruku potvrdu prijave.
• IP adresu tamo gde je to srazmerno riziku. To je česta praksa i koristan dokaz, ali nije zakonska obaveza i sama po sebi predstavlja lični podatak.

Član 30 zasebno zahteva od većine organizacija da vode evidenciju o radnjama obrade: svrhe, kategorije lica i podataka, primaoce, prenose, rokove čuvanja i mere bezbednosti. Izuzeće za organizacije sa manje od 250 zaposlenih je usko i otpada kada obrada verovatno predstavlja rizik za prava i slobode, kada nije povremena ili kada obuhvata posebne kategorije podataka. Redovan marketing prema bazi kupaca nije povremen.

Koliko dugo čuvati dokaz o pristanku

GDPR ne propisuje fiksan rok. Upotrebljivo načelo je da dokaz o pristanku treba da nadživi marketing koji opravdava, plus period u kom bi se pritužba realno mogla podneti. Brisanje zapisa o pretplatniku uz zadržavanje minimizovanog zapisa u dnevniku koji dokazuje dozvolu je uobičajeno.

Prava lica koja pogađaju imejl programe

Pet prava se stalno pojavljuje u imejl operacijama.

• Pristup (član 15). Potvrda da li obrađujete njihove podatke, kopija podataka i informacije uključujući svrhe, kategorije podataka, primaoce, rokove čuvanja, izvor i svako automatizovano donošenje odluka ili profilisanje. Za imejl programe to često znači istoriju reagovanja i pripadnost segmentima, a ne samo adresu.
• Ispravka (član 16). Ispravljanje netačnih podataka bez nepotrebnog odlaganja i dopuna nepotpunih podataka.
• Brisanje (član 17). Uključujući član 17(1)(b), kada je pristanak povučen a nijedan drugi osnov se ne primenjuje, i član 17(1)(c), kada osoba uloži prigovor po članu 21(2).
• Prigovor na direktni marketing (član 21). Ono apsolutno pravo. Po članu 21(2) lice na koje se podaci odnose „ima pravo da u bilo kom trenutku uloži prigovor” na obradu za potrebe direktnog marketinga, uključujući povezano profilisanje. Po članu 21(3), „lični podaci se više ne obrađuju u te svrhe”. Ne postoji test odmeravanja koji bi se primenio.
• Prenosivost (član 20). Primenjuje se kada se obrada zasniva na pristanku ili ugovoru i kada je automatizovana, i obuhvata podatke koje je osoba dala. Izvedeni skorovi i segmenti uglavnom su van tog prava.

Rokovi za odgovor

Član 12(3) zahteva da postupite bez nepotrebnog odlaganja, a u svakom slučaju u roku od mesec dana od prijema. Rok se može produžiti za još dva meseca zbog složenosti ili broja zahteva, a osobu morate obavestiti, uz obrazloženje, u prvom mesecu. Prigovor na marketing zaslužuje bolje od maksimuma: tretirajte ga kao trenutno potiskivanje adrese, pa administraciju rešite u zakonskom roku.

Praktična primena

Forme za prijavu

Jedno neoznačeno, jasno označeno polje za potvrdu po svakoj svrsi. Navedite pošiljaoca, recite šta ćete slati i otprilike koliko često i povežite obaveštenje o privatnosti umesto da ga prepisujete. Nemojte spajati marketinški pristanak sa prihvatanjem uslova niti uslovljavati kupovinu njime. Sačuvajte verziju forme da biste kasnije mogli da dokažete šta je bilo na ekranu.

Dvostruka potvrda prijave i njen pošten pravni status

Dvostruku potvrdu prijave ne zahtevaju ni GDPR ni ePrivacy direktiva. Nijedan član je ne propisuje. Ono što ona proizvodi jeste dokaz: klik na potvrdu, iz konkretnog sandučeta, u zabeleženom trenutku, blizu je najboljem dostupnom dokazu da je stvarna osoba koja kontroliše tu adresu pristala. Radna grupa iz člana 29 je primetila da se metode u kojima se pretplatnik registruje i kasnije zamoli da to potvrdi „čine usklađenim sa Direktivom”.

Dakle, preporučuje se, ponekad snažno, a na nekim tržištima je i norma. Nije zakon. Mehanika je u našem vodiču kroz dvostruku potvrdu prijave.

Centri za podešavanja i obrada odjava

Svaka marketinška poruka mora imati važeću adresu za zahteve za odjavu, a po izuzeću za postojeće kupce jednostavan i besplatan put za prigovor u svakoj poruci je uslov, a ne ljubaznost. Centar za podešavanja koji nudi izbor učestalosti i tema je dobra praksa, ali obična, jednokoračna globalna odjava mora ostati dostupna. Obrađujte odjave automatski: ručni redovi čekanja su način na koji organizacije završe tako što šalju poruke posle prigovora.

Liste potisnutih adresa koje moraju da prežive selidbe

Odjava je trajno uputstvo, a ne podešavanje po listi. Stanje potiskivanja mora biti globalno, preko svih brendova, preko kanala koje prigovor pokriva i preko platformi. Opasan trenutak je selidba ili ponovni uvoz: pretplatnici pređu u novi sistem, a zastavice prigovora ne pođu sa njima. To je najčešći način na koji usklađen program tiho postane neusklađen.

Isti rizik živi u svakoj integraciji između prodavnice, CRM sistema i imejl platforme, gde se stanje pristanka i potiskivanja gubi u prenosu. Ako prebacujete Shopify podatke u Brevo, Tajo je sloj za sinhronizaciju koji nosi ta polja između sistema. Koje god alate koristili, provera je ista: posle svake selidbe potvrdite da je poznata potisnuta adresa i dalje potisnuta.

Čuvanje i ponovno traženje dozvole za ustajale liste

Ograničenje čuvanja se primenjuje i na marketinške liste, pa postavite dokumentovano pravilo o čuvanju za neaktivne kontakte i sprovodite ga. Ako se lista godinama ne koristi, često se predlaže kampanja za ponovno traženje dozvole. Budite oprezni: imejl u stilu „potvrdite da i dalje želite da vam se javljamo” i sam je marketinška komunikacija u većini tumačenja, pa može otići samo ljudima kojima danas smete zakonito da pišete. Ako sada ne možete da dokažete osnov, pošten odgovor je brisanje. Naš vodič kroz čišćenje imejl liste pokriva higijensku stranu.

Vaš provajder imejl usluge je obrađivač

Vaš provajder imejl usluge obrađuje lične podatke po vašim uputstvima, pa se primenjuje član 28. Mora postojati ugovor ili drugi obavezujući pravni akt koji određuje predmet, trajanje, prirodu i svrhu obrade, vrste podataka i kategorije lica na koja se podaci odnose. Član 28(3) zatim zahteva odredbe o dokumentovanim uputstvima, poverljivosti, bezbednosti iz člana 32, podobrađivačima, pomoći kod zahteva lica i obavezama u slučaju povrede podataka, brisanju ili vraćanju podataka po završetku usluge i pravima na reviziju. Većina provajdera objavljuje standardni ugovor o obradi podataka. Pročitajte njegov spisak podobrađivača.

Međunarodni prenosi

Ako lični podaci napuštaju Evropski ekonomski prostor, treba vam mehanizam za prenos. Član 45 dozvoljava prenose u zemlje ili okvire za koje je Evropska komisija utvrdila primerenost. U suprotnom, član 46 zahteva odgovarajuće zaštitne mere, najčešće standardne ugovorne klauzule Komisije ili obavezujuća korporativna pravila unutar grupe. Odluke o primerenosti pokrivaju više jurisdikcija, uključujući Okvir za privatnost podataka između Evropske unije i Sjedinjenih Država usvojen 10. jula 2023. Proverite gde vaš provajder imejl usluge čuva podatke, a ne samo gde mu je sedište.

Kako se uredba zove na vašem tržištu

Propis je isti u celoj Evropskoj uniji. Naziv nije.

Izvan Evropske unije rečnik se ponovo menja. Ujedinjeno Kraljevstvo ima UK GDPR uz PECR. Turska ima Kisisel Verilerin Korunmasi Kanunu, Zakon br. 6698, poznat kao KVKK. Brazil ima Lei Geral de Protecao de Dados Pessoais, Zakon br. 13.709 od 14. avgusta 2018, poznat kao LGPD. Indonezija ima Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. To su zasebni režimi sa sopstvenim pravilima, a ne prevodi, i usklađenost sa propisom GDPR ne znači automatski usklađenost sa njima.

Kazne i šta regulatori zaista rade

Član 83 postavlja dva nivoa: do 10 miliona evra ili 2 procenta ukupnog godišnjeg prometa na svetskom nivou po članu 83(4), i do 20 miliona evra ili 4 procenta po članu 83(5), pri čemu se u svakom slučaju uzima viši iznos. Viši nivo pokriva osnovna načela i uslove za pristanak iz članova 5, 6, 7 i 9, prava lica iz članova 12 do 22 i pravila o prenosima iz članova 44 do 49, pa propusti oko pristanka i ignorisani prigovori pripadaju tu. Nacionalna ePrivacy pravila dodaju sopstvene kazne: u Irskoj je kršenje Uredbe 13 krivično delo, a svaka poruka se broji posebno.

Za pošiljaoca srednje veličine svakodnevni rizik nije kazna sa naslovnih strana. To je jedna pritužba koja pokreće pitanje regulatora: pokažite nam pristanak za ovu adresu.

Gde se usklađenost i učinak sreću

Kada se uradi kako treba, ovo popravlja i učinak. Liste izgrađene na stvarnoj, konkretnoj dozvoli bolje reaguju i manje se žale, a to je upravo ono što sistemi za isporučivost nagrađuju. Naš vodič kroz isporučivost imejlova objašnjava taj mehanizam, a naš vodič kroz izgradnju imejl liste pokriva prikupljanje kontakata koje izdrži proveru.

Povezani članci

• Dvostruka potvrda prijave: kompletan vodič kroz potvrđene pretplate
• Isporučivost imejlova: kompletan vodič
• Izgradnja imejl liste: kompletan vodič
• Čišćenje imejl liste: kompletan vodič
• Stranice za odjavu i odjava jednim klikom: najbolje prakse