Чи можемо ми надсилати розсилку наявним клієнтам без їхньої явної згоди?

Питання, яке після першого сезону ставить майже кожен інтернет-магазин: у нас є тисячі адрес із замовлень — чи можемо ми їм писати? Відповідь містить закон про електронні комунікації, а не GDPR, як часто вважають; GDPR доповнює ці правила, а не замінює їх.

Загальним правилом є попередня згода

Для цілей прямого маркетингу використання автоматичних систем виклику та комунікації без участі людини, телефаксу, електронної пошти, послуги SMS та послуги MMS щодо абонента або користувача дозволяється лише за його попередньою підтверджуваною згодою, отриманою до встановлення контакту з абонентом або користувачем.

— § 116 ods. 3 zákona č. 452/2021 Z. z.

Підтверджуваною є згода, що відповідає всім вимогам GDPR; особа, яка її отримала, зберігає її на довговічному носії щонайменше чотири роки від моменту відкликання та вже під час її отримання зазначає, як її можна просто відкликати (§ 116 ods. 5), а відкликання підтверджує протягом 30 днів (§ 116 ods. 6). Згоду не можна збирати електронною поштою чи телефонним дзвінком (§ 116 ods. 4). Саме придбання чи позичення бази даних не надає права звертатися до її контактів і не передає винятку для власних клієнтів. Окремо, однак, потрібно оцінити можливу чинну й підтверджувану згоду, що охоплює конкретного відправника, або інший законний виняток, наприклад наведені нижче оприлюднені контакти суб’єктів підприємницької діяльності. Таку саму заборону повторює закон č. 22/2004 Z. z. про електронну торгівлю (§ 4 ods. 6), а також закон č. 147/2001 Z. z. про рекламу (§ 3 ods. 3); утім, виняток для власних клієнтів докладно врегульовано саме в § 116.

Виняток для власних клієнтів

Попередня згода одержувача електронної пошти, послуги SMS або послуги MMS відповідно до абзацу 3 не вимагається, якщо йдеться про прямий маркетинг власних подібних товарів і послуг особи та якщо її контактні дані для доставлення електронної пошти, послуги SMS або послуги MMS та сама особа отримала у зв’язку з продажем товару або послуг відповідно до цього закону чи спеціального нормативного акта, […] або якщо йдеться про прямий маркетинг, адресований на оприлюднені контактні дані абонента або користувача, який є фізичною особою — підприємцем чи юридичною особою. Одержувачу електронної пошти, послуги SMS або послуги MMS має бути надана можливість просто й безоплатно в будь-який момент відмовитися від такого використання контактних даних під час їх отримання та в кожному доставленому повідомленні, якщо він раніше не відмовився від такого використання.

— § 116 ods. 15 zákona č. 452/2021 Z. z.

Виняток ґрунтується на чотирьох умовах. Ви пропонуєте власні товари або послуги, подібні до тих, які придбав клієнт, а не продукти партнера. Ви отримали адресу від покупця; реєстрації без купівлі, запиту через форму чи участі в конкурсі недостатньо. Можливість відмовитися ви надали вже під час оформлення замовлення і надаєте її в кожному повідомленні через посилання для відписки одним натисканням і безоплатно. Крім того, з кожного повідомлення мають бути зрозумілими особа та адреса відправника. Закон також обмежує виняток у часі:

Контактні дані абонента або користувача, отримані у зв’язку з продажем товарів або послуг, можна використовувати відповідно до абзаців 14 і 15 протягом одного року від припинення договірних відносин.

— § 116 ods. 16 zákona č. 452/2021 Z. z.

У разі одноразової купівлі момент припинення договірних відносин потрібно визначити заздалегідь і відповідно до цього очищувати базу даних. Компаніям і фізичним особам — підприємцям можна писати на оприлюднені контактні дані й без згоди, знову ж таки з можливістю відмовитися в кожному повідомленні (§ 116 ods. 15).

GDPR: законний інтерес і право на заперечення

Закон про електронні комунікації визначає, чи можете ви надіслати повідомлення; GDPR визначає, на якій підставі ви обробляєте адресу. Щодо власних клієнтів підставою зазвичай є законний інтерес; у пункті 47 преамбули GDPR зазначено: «обробка персональних даних для цілей прямого маркетингу може вважатися законним інтересом». Це вимагає проведення тесту пропорційності, зазначення інформації про маркетинг у політиці захисту даних і забезпечення права на заперечення відповідно до ст. 21 ч. 2 і 3 GDPR, яке у випадку прямого маркетингу є абсолютним: після заперечення адресу більше не можна використовувати для цієї мети. Що ще потрібно для належної роботи з даними, ми узагальнили в матеріалі про обов’язки під час обробки персональних даних; згода на cookies є іншим правовим інститутом, див. cookie wall і дійсність згоди.

Які наслідки загрожують

Порушення § 116 є адміністративним правопорушенням, за яке Управління з регулювання електронних комунікацій і поштових послуг накладає на підприємця штраф від 200 € до 5 % обороту за попередній звітний період (§ 124 ods. 3); якщо оборот неможливо встановити — не більше ніж 300 000 € (§ 124 ods. 6). Обробку адрес без правової підстави паралельно може розглядати Управління із захисту персональних даних.

Чим ми можемо допомогти

Ми визначимо, яка частина бази даних підпадає під виняток, а для якої потрібна згода, підготуємо тексти для оформлення замовлення, механізм відписки та тест законного інтересу в межах послуги GDPR і захист персональних даних. Маркетинг, відгуки та знижки в цілому охоплюють юридичні послуги для інтернет-магазинів, а пов’язані положення ми додамо до правил і умов інтернет-магазину. Надішліть нам приклад оформлення замовлення та останню кампанію; що потрібно змінити, ми зазвичай визначимо вже після першого перегляду.