Mailing reklamowy podlega trzem równoległym reżimom prawnym: RODO, ustawie o świadczeniu usług drogą elektroniczną oraz Prawu komunikacji elektronicznej (PKE). Samo przetwarzanie danych osobowych na podstawie uzasadnionego interesu nie zwalnia z obowiązku uzyskania odrębnej zgody na wysyłkę wiadomości handlowej. Adresy e-mail w formacie imię.nazwisko@firma.pl są daną osobową – mailing B2B nie jest automatycznie wolny od wymogów RODO. Za naruszenia grożą kary do 20 mln EUR lub 4% rocznego obrotu globalnego.
Trzy warstwy prawa, które rządzą mailingiem reklamowym
Email marketing zgodny z RODO wymaga znajomości trzech różnych aktów prawnych działających jednocześnie. Każdy z nich reguluje inny aspekt kampanii i każdy może być podstawą naruszenia.
RODO – przetwarzanie danych osobowych
RODO reguluje sposób, w jaki firma zbiera, przechowuje i wykorzystuje dane osobowe odbiorców. Każdy adres e-mail przypisany do konkretnej osoby jest daną osobową i wymaga podstawy prawnej przetwarzania. W kontekście marketingu bezpośredniego przez e-mail najczęściej stosuje się zgodę odbiorcy (art. 6 ust. 1 lit. a) lub prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f).
Ustawa o świadczeniu usług drogą elektroniczną
UŚUDE zakazuje przesyłania niezamówionej informacji handlowej drogą elektroniczną. Nawet jeśli przetwarzasz dane na podstawie uzasadnionego interesu, bez zgody odbiorcy nie możesz wysłać mu wiadomości o charakterze handlowym. To odrębny zakaz – niezależny od RODO.
Prawo komunikacji elektronicznej (PKE) – nowe przepisy od 2024 r.
PKE, które weszło w życie w listopadzie 2024 roku, wprowadza wymóg uprzedniej zgody na marketing bezpośredni kanałem e-mail. Oznacza to, że przed wysłaniem pierwszej wiadomości handlowej musisz dysponować wyraźną zgodą odbiorcy. PKE za naruszenia przewiduje kary do 3% rocznego przychodu przedsiębiorcy. Łączne ryzyko finansowe z trzech reżimów prawnych jest więc bardzo wysokie.
Podstawy prawne przetwarzania danych do celów marketingowych
RODO dopuszcza dwie główne podstawy dla marketingu: zgodę i prawnie uzasadniony interes. Wybór między nimi ma konkretne konsekwencje operacyjne.
Zgoda marketingowa – co musi spełniać?
Zgoda na mailing reklamowy musi być dobrowolna, konkretna, świadoma i wyrażona przez aktywne działanie. Zgodnie z Wytycznymi EROD 05/2020 oznacza to:
- zakaz domyślnie zaznaczonych checkboxów,
- zakaz zgód ukrytych w ogólnych regulaminach,
- oddzielne zgody na różne cele (np. newsletter i oferty partnerów),
- możliwość wycofania zgody tak samo łatwo, jak jej udzielenia.
Musisz też udokumentować każdą zgodę: datę, formę zebrania i treść klauzuli, którą odbiorca zaakceptował.
Prawnie uzasadniony interes – kiedy można go stosować?
Prawnie uzasadniony interes w marketingu (motyw 47 RODO) nie zwalnia z obowiązku uzyskania zgody na wysyłkę wiadomości handlowej. To dwie różne warstwy prawne. Uzasadniony interes może być podstawą przetwarzania danych w rejestrze, ale i tak musisz mieć zgodę na samą wysyłkę zgodnie z UŚUDE i PKE. Przed zastosowaniem tej podstawy musisz przeprowadzić test równowagi – ocenić, czy Twój interes nie narusza praw i wolności odbiorców.
Mailing B2B a RODO – czy firmowe adresy są bezpieczne?
Mailing B2B a RODO to jeden z najczęściej błędnie rozumianych obszarów. Adres e-mail w formacie jan.kowalski@firma.pl identyfikuje konkretną osobę fizyczną i jest daną osobową objętą RODO. Wysyłka na taki adres bez zgody narusza zarówno RODO, jak i UŚUDE oraz PKE.
Bezpieczniejszą opcją są adresy generyczne: kontakt@firma.pl, biuro@firma.pl, info@firma.pl. Nie identyfikują one konkretnej osoby, więc RODO nie ma do nich bezpośredniego zastosowania. Jednak nawet te adresy wymagają indywidualnej oceny – w małych firmach adres kontakt@ może w praktyce należeć do jednej osoby.
Cold mailing a RODO to osobna kwestia. Pierwsze zimne wiadomości do nieznanych odbiorców są w Polsce prawnie ryzykowne. Każda taka wiadomość powinna zawierać pełną klauzulę informacyjną, jasne wskazanie nadawcy i cel kontaktu oraz prosty mechanizm rezygnacji.
Obowiązek informacyjny RODO w mailingu – co musi zawierać wiadomość?
Obowiązek informacyjny RODO w mailingu oznacza, że odbiorca musi zostać poinformowany o przetwarzaniu jego danych – przed wysłaniem pierwszej wiadomości lub najpóźniej przy jej okazji. Każda wiadomość handlowa powinna zawierać:
- tożsamość administratora danych (nazwa firmy, adres, dane kontaktowe),
- cel i podstawę prawną przetwarzania,
- okres przechowywania danych,
- prawa odbiorcy: dostęp, sprostowanie, usunięcie, sprzeciw,
- dane Inspektora Ochrony Danych, jeśli został powołany,
- informację o prawie do wniesienia skargi do UODO.
Sprzeciw wobec marketingu bezpośredniego – jak go obsłużyć?
Sprzeciw wobec marketingu bezpośredniego musi być rozpatrzony natychmiast i bezwarunkowo. Odbiorca nie musi podawać powodu. Po zgłoszeniu sprzeciwu musisz zaprzestać wysyłki i nie możesz ponownie kontaktować się z tą osobą w celach marketingowych.
Mechanizm wypisu (opt-out) musi być prosty: jeden link w stopce każdej wiadomości, działający natychmiast, bezpłatny. Zapewnij też alternatywny kanał kontaktu – adres e-mail zwrotny do zgłaszania rezygnacji.
Dokumentacja kampanii – ścieżka zgodności
Każda kampania powinna mieć udokumentowaną historię zgodności. Prowadź rejestr czynności przetwarzania i zapisuj dla każdego kontaktu:
- źródło pozyskania adresu e-mail,
- datę i sposób zebrania zgody,
- treść klauzuli zgody w momencie jej udzielenia,
- dowód realizacji obowiązku informacyjnego,
- datę i sposób ewentualnego wycofania zgody lub sprzeciwu.
Retencja danych marketingowych powinna być objęta polityką firmy. Rekomendowane podejście to usuwanie lub anonimizacja nieaktywnych kontaktów po 24 miesiącach. Dane zgody przechowuj przez okres, w którym możesz być wezwany do jej wykazania.
Mailing reklamowy a komunikacja transakcyjna – ważna różnica
Nie każda wiadomość e-mail to informacja handlowa. Komunikacja transakcyjna – potwierdzenie zamówienia, status przesyłki, faktura – nie wymaga zgody marketingowej i podlega innym przepisom. Musisz jednak wyraźnie oddzielić oba typy wiadomości. Wplatanie treści reklamowych w e-maile transakcyjne może przekształcić je w informację handlową i wymagać zgody.
Jeśli prowadzisz sklep internetowy lub obsługujesz korespondencję klientów, rozdzielenie tych strumieni komunikacji to podstawa bezpiecznego email marketingu. Firmy korzystające z obsługi logistycznej sklepu internetowego powinny zadbać, by powiadomienia o przesyłkach nie zawierały elementów handlowych bez odpowiedniej zgody.
Outsourcing mailingu – umowa powierzenia i procesor danych
Jeśli zlecasz wysyłkę zewnętrznej firmie, stajesz się administratorem danych, a podmiot wysyłający – procesorem. Musisz zawrzeć umowę powierzenia przetwarzania danych zgodnie z art. 28 RODO. Umowa musi określać zakres i cel przetwarzania, zobowiązania procesora do poufności, zasady podpowierzenia, obowiązki przy naruszeniu ochrony danych i zasady usunięcia danych po zakończeniu współpracy.
Firmy korzystające z outsourcingu obsługi korespondencji masowej lub ze kompleksowej obsługi przesyłek mailingowych i reklamowych powinny zadbać o podpisanie takiej umowy przed pierwszą wysyłką. Dotyczy to również obsługi korespondencji codziennej, gdy zawiera dane osobowe klientów.
Najczęściej zadawane pytania
Czy stopka z klauzulą informacyjną RODO w mailu może zastąpić wcześniejsze poinformowanie odbiorcy o przetwarzaniu danych?
Nie w pełni. Klauzula w stopce pierwszej wiadomości spełnia obowiązek informacyjny z art. 13 lub 14 RODO pod warunkiem, że odbiorca rzeczywiście tę wiadomość otrzyma i przeczyta. Problem polega na tym, że samo wysłanie pierwszej wiadomości bez wcześniejszej zgody może już naruszać UŚUDE i PKE. Obowiązek informacyjny RODO i zgoda na wysyłkę to dwie różne kwestie – stopka nie zastępuje wcześniej udzielonej zgody na kontakt handlowy.
Co zrobić, gdy odbiorca zgłosi sprzeciw wobec marketingu – czy mogę zachować jego dane w bazie wykluczeń?
Tak, możesz i powinieneś. Przechowywanie danych na liście wykluczeń (suppression list) służy realizacji sprzeciwu – bez niej możesz przypadkowo wysłać wiadomość osobie, która już raz zrezygnowała. Podstawą prawną przetwarzania danych w takiej liście jest prawnie uzasadniony interes administratora (obrona przed roszczeniami). Przechowuj tylko niezbędne minimum danych: adres e-mail i datę sprzeciwu.
Jak długo można przechowywać zgodę marketingową od osoby, która od dawna nie otwiera wiadomości?
RODO nie określa sztywnego terminu, ale wymaga przetwarzania danych tylko tak długo, jak istnieje cel. Brak aktywności odbiorcy przez długi czas (np. 24 miesiące) sugeruje, że cel marketingowy wygasł. Dobrą praktyką jest wysłanie wiadomości reaktywacyjnej z prośbą o potwierdzenie chęci dalszego kontaktu. Jeśli odbiorca nie odpowie, usuń jego dane lub zanonimizuj je zgodnie z polityką retencji.