Email marketing și GDPR: ce ai voie să trimiți

Ai o listă de adrese: câteva sute de clienți din comenzi, oameni care ți-au lăsat emailul la un eveniment, poate și un tabel primit de la un partener „care oricum e de folos”. Vrei să trimiți o ofertă și te întrebi pe cine ai voie să incluzi, ce trebuie să scrie în mesaj și ce se întâmplă dacă cineva se plânge.

Răspunsul ține de două texte: Legea nr. 506/2004, care spune când ai voie să trimiți mesaje comerciale prin email, și Regulamentul (UE) 2016/679 (GDPR), care spune cum strângi și păstrezi datele. La ele se adaugă regulile tehnice ale furnizorilor de email mari, care decid dacă mesajul tău ajunge în inbox. Articolul nu este consultanță juridică; pentru situații speciale, întreabă un avocat sau un specialist în protecția datelor.

Regula de bază: consimțământul înainte de primul email

Articolul 12 alin. (1) din Legea nr. 506/2004 interzice comunicările comerciale prin email fără consimțământul expres prealabil al destinatarului. „Prealabil” înseamnă că acordul există înainte de primul mesaj; nu poți trimite un email cu „dacă nu vrei să mai primești, dezabonează-te” și să consideri tăcerea un da.

Ce înseamnă un consimțământ valid îți spune GDPR. Articolul 4 pct. 11 îl definește ca o manifestare de voință liberă, specifică, informată și lipsită de ambiguitate, exprimată printr-o declarație sau o acțiune clară. Considerentul 32 adaugă că tăcerea, căsuțele bifate în prealabil și lipsa de acțiune nu sunt consimțământ. Iar articolul 7 pune trei condiții practice:

• Trebuie să poți demonstra acordul (alin. 1). Dacă cineva reclamă, sarcina dovezii e la tine.
• Cererea de acord e separată și clară (alin. 2). Nu o ascunzi în termenii și condițiile comenzii.
• Retragerea e la fel de ușoară ca acordarea (alin. 3). Dacă abonarea a durat un clic, dezabonarea nu poate cere un email către un departament și o confirmare telefonică.

Mai e o regulă care contează la formulare: alin. (4) cere să se țină seama dacă un serviciu e condiționat de un consimțământ care nu e necesar pentru acel serviciu. Pe scurt, nu faci din abonarea la newsletter o condiție pentru a plasa comanda sau a descărca factura.

Excepția pentru clienții existenți

Alineatul (2) al aceluiași articol 12 permite un singur drum fără consimțământ expres. Dacă ai primit adresa de email direct de la client, cu ocazia vânzării unui produs sau serviciu, o poți folosi pentru comunicări comerciale despre produse sau servicii similare. Condiția: îi oferi clar și expres posibilitatea simplă și gratuită de a refuza, atât în momentul în care îi iei adresa, cât și în fiecare mesaj ulterior.

Excepția are limite pe care e ușor să le treci fără să-ți dai seama:

• Pornește de la o vânzare. Cine a cerut doar o ofertă și n-a cumpărat, cine a participat la un concurs sau ți-a scris o întrebare nu intră aici.
• Acoperă produse similare. Exemplu: un magazin online de mobilă care i-a vândut cuiva o canapea îi poate scrie despre fotolii sau măsuțe. Dacă același magazin deschide o secțiune de bilete la concerte, mesajele despre ea nu mai sunt „similare”.
• Refuzul se oferă de la început. În formularul de comandă pui o căsuță sau o mențiune prin care clientul poate spune că nu vrea mesaje comerciale. Dacă a refuzat, nu-i scrii.
• Îți aparține doar ție. Adresa obținută de tine din vânzarea ta nu o dai unui partener, oricât de înrudite ar fi produsele.

Pe partea de GDPR, considerentul 47 spune că marketingul direct poate fi considerat realizat în interes legitim. Asta nu anulează regula din Legea nr. 506/2004 pentru email: pentru mesajele comerciale electronice rămâi la consimțământ sau la excepția clienților existenți.

Firme și persoane: diferența B2B

O idee frecventă e că adresele de firmă se pot folosi liber. Legea nr. 506/2004 spune altceva: alin. (4) al articolului 12 aplică regula consimțământului (alin. 1) și interdicția mesajelor anonime (alin. 3) și abonaților persoane juridice. Așa că o firmă B2B de servicii care trimite oferte unor companii găsite pe internet are nevoie de acordul lor, la fel ca un magazin care scrie unor persoane fizice.

Diferența practică e mai degrabă de context. Un email individual, scris de mână unui potențial client, cu o întrebare concretă, e altceva decât o campanie trimisă automat la sute de adrese. Unde e linia exactă depinde de caz, iar când ai dubii, tratează adresa de firmă ca pe una personală: ceri acordul înainte de campanie.

Ce scrii în formular: informarea cerută de GDPR

Articolul 13 din GDPR spune ce trebuie să afle omul în momentul în care îți dă adresa. Nu trebuie să pui totul lângă butonul de abonare; e suficient un text scurt și un link spre politica de confidențialitate, unde găsește restul. Informațiile cerute:

• cine ești (numele firmei) și cum te contactează;
• pentru ce folosești adresa și pe ce temei (consimțământ, în cazul abonării);
• cui o transmiți, de exemplu platforma de trimitere a emailurilor, și dacă datele ajung în afara UE;
• cât timp o păstrezi sau după ce criteriu decizi;
• drepturile omului: acces, rectificare, ștergere, restricționare, opoziție, portabilitate;
• că își poate retrage acordul oricând;
• că poate depune plângere la autoritatea de supraveghere, în România ANSPDCP.

Articolul 21 adaugă două lucruri specifice marketingului. Omul are dreptul să se opună oricând folosirii datelor pentru marketing direct, iar după ce s-a opus nu le mai folosești în acest scop. Iar dreptul trebuie adus explicit la cunoștința lui cel târziu la prima comunicare, clar și separat de alte informații.

Șablon de text lângă formular

Exemplu pentru o brutărie din Cluj care strânge adrese pe site, de adaptat:

• Căsuță nebifată: „Vreau să primesc pe email, de cel mult două ori pe lună, noutățile și ofertele [Numele firmei].”
• Sub ea: „Te poți dezabona oricând, cu un clic, din orice email. Detalii despre cum folosim adresa ta găsești în [Politica de confidențialitate].”

Textul spune ce primește omul, cât de des și cum iese. Acesta e și textul pe care îl salvezi ca dovadă, cu data la care a fost folosit.

Dubla confirmare și dovada acordului

Dubla confirmare (double opt-in) înseamnă că, după ce omul completează formularul, primește un email cu un link pe care trebuie să-l apese ca să intre pe listă. Legea nu o numește ca obligație, dar rezolvă două probleme deodată: îți dă o dovadă solidă că persoana care deține adresa a vrut mesajele și ține departe de listă adresele greșite sau introduse de altcineva.

Indiferent dacă folosești dubla confirmare, păstrează pentru fiecare adresă un registru minim. Exemplu de coloane:

Multe platforme de email pot salva automat sursa și data, dar textul formularului și versiunile lui le păstrezi tu. Pentru formularele pe hârtie, de la un târg sau de la recepția unei clinici dentare, păstrează foile sau o copie scanată, cu data evenimentului.

Dezabonații nu se șterg pur și simplu. Păstrează adresa pe o listă de excludere, ca să nu ajungă înapoi pe listă la următorul import de clienți. Fără această listă, articolul 21 alin. (3) se încalcă ușor din neatenție.

Ce nu ai voie să faci

• Să cumperi sau să închiriezi liste de adrese. Oamenii de pe ele nu și-au dat acordul pentru mesajele tale, iar o promisiune a vânzătorului că „sunt cu GDPR” nu e dovada ta de consimțământ.
• Să folosești căsuțe bifate în prealabil sau să legi abonarea de acceptarea termenilor.
• Să adaugi pe listă pe toți cei care ți-au scris, cărțile de vizită strânse la un târg sau contactele din telefon.
• Să ascunzi cine trimite. Articolul 12 alin. (3) interzice în orice caz emailurile comerciale care ascund identitatea expeditorului sau nu au o adresă validă la care omul poate cere oprirea mesajelor.
• Să continui după dezabonare, nici măcar „un ultim mesaj cu o ofertă specială”.

Riscul nu e doar teoretic. Conform articolului 13 din Legea nr. 506/2004, încălcarea articolului 12 este contravenție și se sancționează cu amendă de la 5.000 la 100.000 de lei, iar pentru firmele cu o cifră de afaceri anuală de peste 5.000.000 de lei, cu până la 2% din cifra de afaceri.

Emailuri tranzacționale și emailuri de marketing

Nu orice email trimis unui client e marketing. Confirmarea comenzii, factura, avizul de livrare, resetarea parolei sau confirmarea unei programări sunt mesaje pe care clientul le așteaptă ca parte din serviciu. Google le numește tranzacționale și precizează că ele nu au nevoie de dezabonare cu un singur clic.

Problema apare când amesteci. Dacă emailul de confirmare a comenzii conține jumătate de pagină cu oferte la alte produse, el capătă și caracter comercial, iar pentru acea parte ai nevoie de consimțământ sau de excepția clienților existenți. Regula practică: mesajul tranzacțional rămâne scurt și la obiect, iar ofertele merg în emailuri separate, doar către cei care au voie să le primească. Un mesaj de mulțumire după livrare care invită la abonare e în zona gri; ca să fii sigur, trimite-l doar celor care nu au refuzat mesajele comerciale la comandă.

Cerințele Gmail și Yahoo pentru expeditori

Chiar și cu acordul tuturor abonaților, mesajele pot ajunge în spam dacă nu respecți regulile tehnice ale furnizorilor mari. Google și Yahoo au publicat cerințe asemănătoare.

Pentru orice expeditor:

• domeniul de pe care trimiți e autentificat cel puțin prin SPF sau DKIM;
• rata reclamațiilor de spam rămâne sub 0,3%; Google recomandă ca țintă sub 0,1%.

Pentru expeditorii în volum mare, adică în jurul a 5.000 de mesaje pe zi sau mai mult către conturi Gmail personale, socotite pe domeniul principal:

• SPF, DKIM și DMARC, cu domeniul din câmpul „From” aliniat;
• dezabonare cu un singur clic pentru mesajele de marketing, prin antetele tehnice ale emailului, plus un link de dezabonare vizibil în corpul mesajului;
• dezabonările procesate în cel mult două zile (Yahoo) sau 48 de ore (Google).

Google precizează că un expeditor care a atins o dată pragul rămâne permanent în categoria de volum mare. Un magazin online care trimite de obicei câteva sute de mesaje, dar într-o zi de campanie depășește pragul, intră în ea definitiv. De aceea e mai simplu să configurezi de la început totul ca un expeditor mare: SPF, DKIM, DMARC și dezabonare cu un clic. Platformele de email au aceste funcții, iar setările de domeniu le face cine administrează site-ul.

Lista de verificare înainte de trimitere

1. Fiecare adresă are un temei: consimțământ dovedit sau client existent cu produse similare.
2. Adresele care au refuzat sau s-au dezabonat sunt excluse, inclusiv cele din importurile noi.
3. Expeditorul e clar: numele firmei și o adresă la care se poate răspunde.
4. Mesajul are un link de dezabonare vizibil, care funcționează fără autentificare.
5. Domeniul are SPF și DKIM; dacă trimiți mult, și DMARC și dezabonare cu un clic.
6. Conținutul corespunde cu ce i-ai promis omului la abonare, ca subiect și frecvență.
7. Textul formularului și dovezile de abonare sunt salvate.

Dacă abia îți construiești lista, pașii de pornire, ce scrii și cât de des trimiți sunt detaliați în ghidul despre newsletterul pentru o afacere mică. Pentru campaniile sezoniere, regulile de mai sus se aplică la fel; le găsești aplicate în pregătirea pentru Black Friday și în campania de Crăciun.

Greșeli frecvente

• Importul tuturor clienților pe lista de newsletter, inclusiv cei care au refuzat la comandă sau care au cumpărat cu ani în urmă ceva fără legătură cu ce promovezi acum.
• Lipsa dovezii de consimțământ: ai lista, dar nu știi de unde vine fiecare adresă și ce text a văzut omul când s-a abonat.
• Considerarea adreselor de firmă ca libere, deși Legea nr. 506/2004 aplică regula consimțământului și persoanelor juridice.
• Dezabonarea complicată: autentificare în cont, formular cu motiv obligatoriu sau email către o adresă care nu răspunde.
• Ștergerea dezabonaților în loc de excluderea lor, astfel încât reapar la următorul import.
• Oferte strecurate în emailurile tranzacționale către clienți care au refuzat mesajele comerciale.
• Trimiterea de pe un domeniu neautentificat, cu mesajele ajunse în spam chiar la abonații care le așteaptă.

Întrebări frecvente