Chcemy zacząć wysyłać newsletter, potrzebujemy ogarnąć RODO. Co musimy mieć i ile to będzie kosztować?
Często dostaję takie pytania na maila, zarówno od stałych klientów, jak i tych, którzy piszą do mnie po raz pierwszy, szukając pomocy prawnej. RODO już na tyle utrwaliło się w pamięci, że większość firm zdaje sobie sprawę z obowiązków dotyczących danych osobowych.
Ale zgodny z prawem newsletter to nie tylko RODO. Przedstawię ci dzisiaj pełen obraz sytuacji i pokażę krok po kroku, o co musisz zadbać, jeśli chcesz wysyłać newsletter zgodnie z prawem.
Prawo własności intelektualnej obowiązuje również w internecie
Dzień dobry! Nazywam się Wojciech Wawrzak, jestem radcą prawny i twórcą tego bloga, który funkcjonuje od 2013 r. Każdemu publikowanemu materiałowi poświęcam czas, serce i uwagę, starając się, żeby był przydatny i pomocny. Blog jest dostępny publicznie i nieodpłatnie, ale nie oznacza to, że można z niego korzystać bez ograniczeń. Wszystkie treści są objęte ochroną prawa autorskiego, a ich nieuprawnione wykorzystanie, np. powielanie, kopiowanie, rozpowszechnianie na swojej stronie internetowej, włączanie do własnych produktów, może skutkować odpowiedzialnością cywilną lub karną. W sprawie ewentualnej zgody na korzystanie z materiałów napisz pod adres wojciech.wawrzak@prakreacja.pl.
Spis treści
Wideo i podcast o legalnym newslettterze
Jeżeli wolisz oglądać niż czytać, ten poradnik jest dostępny również w formie wideo.
Jeżeli lubisz podcasty, ten poradnik możesz również odsłuchać w ulubionej aplikacji podcastowej.
Niestety, ale wybrałeś/aś brak obsługi Soundcloud w menu cookies. Zmień to ustawienie, żeby zobaczyć w tym miejscu odtwarzacz.
Legalny newsletter w skrócie
Zapoznając się z tym poradnikiem, zrozumiesz wszystkie istotne kwestie prawne związane z newsletterem.
Zanim jednak omówię je szczegółowo, poniżej krótka ściągawka „dla legalnego newslettera”.
- Ustal czy potrzebujesz zgody newslettorowej.
- Opracuj treść zgody na newsletter – jeśli jej potrzebujesz.
- Zaprojektuj procedurę odbierania zgody na newsletter – jeśli jej potrzebujesz.
- Określ właściwą podstawę prawną przetwarzania danych osobowych.
- Przeprowadź test równowagi – jeśli opierasz newsletter o prawnie uzasadniony interes.
- Spełnij obowiązek informacyjny związany z newsletterem.
- Uwzględnij newsletter w dokumentacji ochrony danych, szczególnie w rejestrze czynności przetwarzania.
- Zabezpiecz odpowiednio dostęp do bazy newsletterowej.
- Zaprojektuj procedurę rezygnacji z newslettera.
Jeżeli cokolwiek z powyższych punktów jest dla ciebie niejasne, poniżej znajdziesz wyjaśnienie.
Jeżeli nie masz czasu lub chęci na samodzielne ogarnianie kwestii prawnych związanych z newsletterem, możesz zlecić to mnie – napisz na wojciech.wawrzak@prakreacja.pl.
Zgoda na newsletter – kiedy potrzebna?
Zgoda na newsletter jest potrzebna, gdy masz zamiar przesyłać w newsletterze informacje handlowe.
Informacja handlowa to każda informacja przeznaczona bezpośrednio lub pośrednio do promowania towarów, usług lub wizerunku przedsiębiorcy lub osoby wykonującej zawód, której prawo do wykonywania zawodu jest uzależnione od spełnienia wymagań określonych w odrębnych ustawach, z wyłączeniem informacji umożliwiającej porozumiewanie się za pomocą środków komunikacji elektronicznej z określoną osobą oraz informacji o towarach i usługach niesłużącej osiągnięciu efektu handlowego pożądanego przez podmiot, który zleca jej rozpowszechnianie, w szczególności bez wynagrodzenia lub innych korzyści od producentów, sprzedawców i świadczących usługi.
Art. 2 pkt 2 ustawy o świadczeniu usług drogą elektroniczną
Zwróć uwagę, że w definicji informacji handlowej jest mowa nie tylko o promowaniu towarów i usług, ale również o promowaniu wizerunku przedsiębiorcy. Jeżeli zatem wykorzystujesz newsletter w swojej działalności zawodowej, to nawet jeśli ten newsletter nie jest bezpośrednim narzędziem sprzedażowym, bezpieczniej przyjąć, że przesyłasz w nim informacje handlowe.
Np. jeżeli ja wysyłam do subskrybentów newslettera informacje o poradnikach na blogu, to biorąc pod uwagę, że wykorzystuję blog do pozyskiwania klientów, należy uznać, że newsletter zawiera informacje handlowe.
Do 10.11.2024 r. obowiązek uzyskania zgody na newsletter wynika z art. 10 ustawy o świadczeniu usług drogą elektroniczną oraz art. 172 ustawy Prawo telekomunikacyjne.
Przepisy te są uchylone od 10.11.2024 r., a ich miejsce zajmuje art. 398 ustawy Prawo komunikacji elektronicznej. Zmiana przepisów nie zmienia jednak podstawowej zasady – konieczności uzyskania zgody na przesyłanie informacji handlowych w newsletterze.
Jak odebrać zgodę na newsletter?
Najpopularniejszym sposobem odbierania zgody na newsletter jest checkbox zaznaczany przez użytkownika.
Chcę otrzymywać email newsletter – informacje o nowościach, promocjach, produktach spółki XYZ.
Przykładowa treść zgody na newsletter
Checkbox powinien być domyślnie odznaczony, a jego zaznaczenie – również dobrowolne. Zgoda wymuszona jest nieważna. Można jednak oferować bonusy za zapis, szczegóły tutaj: Regulamin newslettera (lead magnet). Kiedy potrzebny, co powinien zawierać i jak go wykorzystać?
Jeżeli nie w smak ci checkboxy, możesz skorzystać z możliwości przewidzianej w przepisach.
Zgoda, o której mowa w ust. 1, może być wyrażona przez udostępnienie przez abonenta lub użytkownika końcowego identyfikującego go adresu elektronicznego w rozumieniu ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, w celu przesyłania informacji handlowej na podany przez abonenta lub użytkownika końcowego adres elektroniczny.
Art. 398 ust. 2 ustawy Prawo komunikacji elektronicznej
W takiej sytuacji, zamiast checkboxa, dodaj opis w miejscu, gdzie użytkownik podaje swój adres e-mail.
Jeżeli chcesz otrzymywać newsletter (informacje o nowościach, promocjach, produktach spółki XYZ), podaj swój adres e-mail poniżej.
Przykładowa treść zastępująca checkbox
Mniej oczywistym sposobem na odebranie zgody newsletterowej jest zapytanie o taką zgodę w treści maila, np. z potwierdzeniem zamówienia.
Dziękujemy za zakupy w naszym sklepie. Czy wiesz, że prowadzimy newsletter? Jeżeli chcesz otrzymywać od nas informacje o nowościach, promocjach i produktach w sklepie, kliknij w link poniżej.
Tak, chcę otrzymywać newsletter.
Przykładowa treść wiadomości
Jak widzisz, nie ma jedynego, słusznego sposobu odbierania zgody newsletterowej. Grunt, żeby mieć możliwość udowodnienia, że zgoda faktycznie została udzielona.
No i jeszcze jedno – nie masz obowiązku potwierdzania chęci zapisu poprzez wysyłkę wiadomości z linkiem do kliknięcia (double-opt-in), choć bywa to przydatne, szczególnie w kontekście botów lub trolli podających cudze adresy mailowe.
Newsletter & RODO – podstawy przetwarzania
Zgoda na przesyłanie informacji handlowych to temat spoza RODO, który sygnalizowałem na wstępie. Funkcjonują tutaj przepisy odrębne (od 10.11.2024 r. Prawo komunikacji elektronicznej). RODO jednak też ma oczywiście swój wpływ na działania mailingowe. Opowiem teraz o tym.
Wysyłka newslettera to jedna z czynności przetwarzania danych osobowych, która wymaga podstawy prawnej.
Podstawy przetwarzania „zwykłych” danych osobowych są wymienione w art. 6 RODO:
- zgoda na przetwarzanie danych,
- wykonanie umowy lub podjęcie działań przed zawarciem umowy,
- wypełnienie obowiązku prawnego ciążącego na administratorze,
- ochrona żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej,
- wykonanie zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej,
- prawnie uzasadniony interes realizowany przez administratora lub przez stronę trzecią.
Pogrubiłem podstawy, które wchodzą w grę przy newsletterze, a poniżej omawiam je bardziej szczegółowo.
1. Zgoda na przetwarzanie danych
Najbardziej oczywistą podstawą prawną przetwarzania danych na potrzeby newslettera wydaje się zgoda. Co chwila przecież wyskakuje gdzieś w internecie jakaś zgoda newsletterowa.
Tylko czy na pewno jest to zgoda na przetwarzanie danych osobowych? Niekoniecznie.
Najczęściej chodzi o zgodę na przesyłanie informacji handlowych. Tutaj ujawnia się to, co zaznaczyłem na wstępie – legalny newsletter to nie tylko RODO. Pod kątem RODO newsletter marketingowy można oprzeć na uzasadnionym interesie (o nim za chwilę), ale zgoda jest wymagana przez przepisy odrębne.
2. Wykonanie umowy
Newsletter może być usługą. Najczęściej wtedy gdy jest płatny.
W takiej sytuacji, podstawą prawną przetwarzania danych osobowych jest wykonanie umowy. Zapisując się do newslettera, użytkownik zawiera umowę i przetwarzanie danych jest niezbędne do wykonania tej umowy.
Newsletter może być również częścią innej usługi cyfrowej. Np. oferujesz pakiet w ramach swojej platformy subskrypcyjnej, a w skład pakietu wchodzi newsletter informujący o tym, co dzieje się na platformie lub uzupełniający dostępne na niej treści. W takiej sytuacji, podstawą prawną przetwarzania danych osobowych jest również wykonanie umowy. Kupując dostęp do platformy, użytkownik zawiera umowę i przetwarzanie danych jest niezbędne do wykonania tej umowy.
Subskrybent powinien wtedy akceptować regulamin usługi, a nie wyrażać zgodę na przetwarzanie danych.
Szczególna sytuacja ma miejsce, gdy newsletter jest wprawdzie bezpłatny, ale zapis do niego jest warunkiem otrzymania bonusu, np. zapisz się do newslettera, żeby otrzymać ebooka. Ten przypadek omówiłem szczegółowo w oddzielnym poradniku: Regulamin newslettera (lead magnet). Kiedy potrzebny, co powinien zawierać i jak go wykorzystać?
3. Prawnie uzasadniony interes
Marketing bezpośredni może stanowić prawnie uzasadniony interes.
Za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego.
RODO – motyw 47
Jeżeli zatem wykorzystujesz newsletter jako narzędzie marketingowe, możesz oprzeć przetwarzanie danych osobowych subskrybentów na prawnie uzasadnionym interesie. Wymaga to wprawdzie przeprowadzenia testu równowagi i włączenia do wewnętrznej dokumentacji ochrony danych osobowych dowodu przeprowadzenia takiego testu, ale pozwala uniknąć konieczności odbierania zgody na przetwarzanie danych osobowych.
Nie oznacza to jednak, że możesz całkowicie zrezygnować ze zgody newsletterowej. Odpada ci po prostu jedna ze zgód – ta wynikająca z RODO – ale zostaje wspomniania już zgoda na przesyłanie informacji handlowych.
Obowiązek informacyjny z RODO dla newslettera
Określenie podstawy prawnej przetwarzania danych osobowych na potrzeby newslettera to jeszcze nie koniec. O tej podstawie należy poinformować subskrybenta, realizując obowiązek informacyjny wynikający z RODO.
Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje:
a) swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela;
b) gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych;
c) cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania;
d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;
e) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
f) gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia.
2. Poza informacjami, o których mowa w ust. 1, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania:
a) okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
b) informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
c) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
d) informacje o prawie wniesienia skargi do organu nadzorczego;
e) informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
f) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.
Art. 13 RODO
Jak widzisz, zakres obowiązku informacyjnego jest bardzo szeroki.
Żeby nie przytłaczać użytkownika nadmiarem informacji przy zapisywaniu się do newslettera, możesz skorzystać z warstwowej koncepcji realizacji obowiązku informacyjnego, na wstępie podając tylko podstawowe informacje, a po szczegóły odsyłając w inne miejsce.
Dane osobowe sa przetwarzane przez XYZ Sp. z o.o. w celu obsługi newslettera na zasadach opisanych szczegółowo w polityce prywatności.
Przykładowa skrócona klauzula informacyjna
Tym innym miejscem, do którego odesłanie znajduje się w skróconej klauzuli informacyjnej jest najczęściej polityka prywatności. Jeżeli korzystasz z takiego rozwiązania, pamiętaj, że w tej polityce prywatności powinny znaleźć się wszystkie informacje wymienione w art. 13 RODO.
Zapisując się do newslettera, musisz podać dane niezbędne do jego otrzymywania określone w formularzu zapisu.
Podanie danych jest warunkiem otrzymywania newslettera.
Ponadto, system mailingowy zapisuje Twój numer IP, z którego korzystałeś, zapisując się do newslettera, określa Twoją przybliżoną lokalizację, klienta poczty, z którego korzystasz do obsługi poczty e-mail oraz śledzi Twoje działania podejmowane w związku z wysyłanymi do Ciebie wiadomościami. W związku z tym posiadamy również informacje, które wiadomości otworzyłeś, w ramach których wiadomości kliknąłeś w linki itp.
W systemie mailingowym możemy definiować, na podstawie różnych kryteriów związanych z Twoją aktywnością, zainteresowaniami lub innymi preferencjami, określone grupy lub segmenty odbiorców newslettera mające wpływ na to, jakiego rodzaju wiadomości otrzymujesz w ramach newslettera.
Dane przekazane przez Ciebie w związku z zapisem do newslettera wykorzystywane są w celu przesyłania Ci newslettera, a podstawą prawną jest nasz prawnie usprawiedliwiony interes, jakim w tym przypadku jest realizacja celów marketingowych.
Jeżeli chodzi o przetwarzanie informacji, które nie pochodzą od Ciebie, a zostały zebrane automatycznie, opieramy się w tym zakresie na naszym prawnie uzasadnionym interesie polegającym na analizie zachowań subskrybentów newslettera w celu optymalizacji działań marketingowych.
W każdej chwili możesz zrezygnować z otrzymywania newslettera, klikając w dedykowany link znajdujący się w każdej wiadomości wysyłanej w ramach newslettera, lub po prostu kontaktując się ze mną.
Rezygnacja z newslettera nie prowadzi do usunięcia Twoich danych z systemu mailingowego. Dane trafiają do archiwum na potrzeby ewentualnego ustalenia, dochodzenia lub obrony roszczeń związanych z newsletterem, jak również w celu zapewnienia możliwości wykazania, że działania newsletterowe prowadzone były zgodnie z prawem.
Przykładowe postanowienia dot. newslettera w polityce prywatności
Polityka prywatności powinna być nie tylko podlinkowana w skróconej klauzuli informacyjnej, ale również łatwo dostępna w dowolnym momencie dla użytkownika. Najlepiej dodaj odpowiedni link w stopce strony oraz w stopce każdej wiadomości, którą wysyłasz w ramach newslettera.
Newsletter w wewnętrznej dokumentacji RODO
Podstawa prawna przetwarzania danych i obowiązek informacyjny to wciąż nie wszystko, gdy chodzi o newsletter i RODO. Przysiądźmy teraz do wewnętrznej dokumentacji, na którą składają się m.in.:
- analiza ryzyka,
- rejestr czynności przetwarzania,
- polityka ochrony danych,
- ewidencja osób upoważnionych i podmiotów przetwarzających,
- rejestr obsługi żądań i incydentów,
- testy równowagi.
To nie jest poradnik o wdrożeniu RODO, więc nie omawiam szczegółowo każdego z wymienionych elementów dokumentacji (odsyłam tutaj: RODO – praktyczny poradnik), ale zwracam uwagę, że należy pochylić się nad każdym dokumentem pod kątem uwzględnienia w nim wątków newsletterowych.
Zakładam, że wdrożenie RODO już za tobą, a teraz dokładasz jedynie dodatkową czynność przetwarzania danych w postaci newslettera. Jeśli jednak startujesz z tematem zupełnie od zera, to po prostu musisz newsletter uwzględnić we wdrożeniu jako takim.
Bezpieczeństwo bazy newsletterowej
Jeżeli przeszedłeś przez wdrożenie RODO, to na pewno zdajesz sobie z tego sprawę, ale powtórzę – masz obowiązek wdrożyć środki organizacyjne i techniczne, które zapewnią bezpieczeństwo danych.
TL / DR – chodzi o to, żeby dane nie wyciekły, nie zginęły, nikt ich nie skopiował itp.
Środkami zwiększającymi bezpieczeństwo bazy newsletterowej mogą być m.in.:
- silne hasło,
- logowanie dwuskładnikowe,
- kontrola nad osobami upoważnionymi do dostępu do systemu,
- podział ról pomiędzy użytkownikami systemu,
- oprogramowanie antywirusowe,
- wybór właściwego dostawcy systemu mailingowego,
- odpowiedniej treści umowa powierzenia z dostawcą,
- procedury reagowania na podejrzane zdarzenia.
Wybór właściwych środków należy do ciebie. Pomocna jest w tym zakresie rzetelna analiza ryzyka, która pokaże zagrożenia i ułatwi dobór metod ograniczających te zagrożenia.
Rezygnacja z newslettera
Na koniec zostawiłem coś niby oczywistego, a co często kuleje – unsubscribe.
Zasada jest prosta. Wypisanie się z newslettera powinno być tak samo proste jak zapis. Żadnych ukrytych przycisków, dodatkowych ankiet, przeklikiwania się przez kolejne ekrany itp.
Pomijając nawet wymogi prawne, nie ma nic bardziej wkurzającego niż niemożność lub nadmierna trudność w rezygnacji z mailingu, prawda?
Kary za newsletter niezgodny z prawem – realne?
Z karami jest zawsze tak samo – media donoszą o problemach gigantów technologicznych i dużych firm, a mali przedsiębiorcy zakładają, że im nic złego przydarzyć się nie może. Bo są malutcy i nikogo nie obchodzą.
Istotnie, organy nadzorcze mają ograniczone moce przerobowe i prędzej zainteresują się dostawcą dużej platformy internetowej niż właścicielem małej firmy. Czy to znaczy, że temat można olać? To już sam musisz sobie odpowiedzieć, bo co człowiek, to inne podejście. Również związane z konstrukcją psychiczną. Niektórzy moi klienci czerpią energię z jazdy po bandzie, a innych paraliżują możliwe konsekwencje niedociągnięć.
Są też tacy, którzy ewentualne kary mają wkalkulowane w bużet. Zapisują do newslettera wszystkich jak leci, nie pytają o zgodę i biznes się kręci. Spotkałem się nawet z opinią, że bez sensu jest spełniać te wszystkie wymogi, bo przegrywa się w ten sposób z konkurencją, która je olewa.
Moim zdaniem, ogarnięcie newslettera zgodnego z prawem nie jest na tyle karkołomne ani inwazyjne, żeby ryzykować. Myślę zresztą, że nie o takie ryzyko chodzi w przysłowiu o szampanie. Nie wierzę również w cudowne wyniki sprzedażowe wynikające z olewania wymogów prawnych, szczególnie gdy sprowadza się to do spamowania na lewo i prawo.
Ufam natomiast w rosnącą świadomość użytkowników. Gdy wchodzę do e-sklepu i widzę koszmarki prawne, niechlujstwo w dokumentach lub wręcz brak podstawowych informacji, to nie mam do takiego sprzedawcy zaufania. Z rozmów ze znajomymi wnoszę, że to wcale nie zboczenie zawodowe, inni też tak mają.
No właśnie, zaufanie. Wierzę, że można je budować również poprzez otoczkę prawną. Dobrze napisany checkbox ze zgodą, przejrzystą politykę prywatności, właściwą komunikację mailową. Wolę pomagać klientom budować przewagę konkurencyjną, zamiast straszyć karami.
Podsumowanie w 5 punktach
Wysyłanie newslettera zawierającego informacje handlowe wymaga zgody odbiorcy.
Zgodę można odebrać na więcej niż jeden sposób.
Konieczność zgody nie wynika z RODO, ale przepisów szczególnych.
RODO wprowadza natomiast szereg innych obowiązków związanych z newsletterem.
Kary nie są jedyną motywacją dla wypełnienia wymogów prawnych.
Szczegóły są omówione w tym poradniku. Zachęcam do lektury, a jeśl nie masz czasu lub chęci, żeby mierzyć się z tematem samodzielnie, mogę ci pomóc: wojciech.wawrzak@prakreacja.pl. Natychmiastowe gotowe rozwiązania są natomiast dostępne w blogowym sklepie.
BONUS dla stałych czytelników
Newsletter wiąże się z przetwarzaniem danych osobowych. Tam, gdzie pojawiają się dane, tam występują również naruszenia ochrony danych.
Przygotowałem krótkie i praktyczne opracowanie na temat najczęściej występujących naruszeń ochrony danych osobowych, które pozwoli ci przygotować się na czarne scenariusze.
Opracowanie jest dostępne dla stałych czytelników, którzy subskrybują newsletter. Jeżeli jeszcze nie należysz do tego grona, zapisz się teraz, a na start otrzymasz wspomniane opracowanie + dodatkowe bonusy.
