Cold mailing B2B a RODO: podstawa prawna, obowiązek informacyjny i sprzeciw

Imię, nazwisko i służbowy adres e-mail w formacie imie.nazwisko@firma.pl są danymi osobowymi, mimo że dotyczą kontekstu zawodowego. Ich przetwarzanie wymaga podstawy prawnej z art. 6 RODO.

W kontakcie B2B najczęściej stosowaną podstawą jest prawnie uzasadniony interes administratora, czyli art. 6 ust. 1 lit. f. Marketing bezpośredni jest w motywie 47 preambuły RODO wprost wskazany jako możliwy przykład takiego interesu. To nie jest jednak automatyczne uprawnienie: wymaga przeprowadzenia i udokumentowania testu równowagi interesów.

Test równowagi sprowadza się do trzech pytań: czy interes administratora jest realny i zgodny z prawem, czy przetwarzanie jest niezbędne do jego realizacji i czy nie przeważają nad nim prawa osoby, której dane dotyczą. Kontakt do dyrektora działu w sprawie ściśle związanej z jego obowiązkami wypada w tym teście inaczej niż kontakt na adres prywatny w sprawie niezwiązanej z pracą.

Przepisy regulujące komunikację elektroniczną wymagają zgody odbiorcy na przesyłanie informacji handlowej środkami komunikacji elektronicznej oraz na marketingowe wykorzystanie telekomunikacyjnych urządzeń końcowych. Ta warstwa jest niezależna od RODO i to ona bywa pomijana.

Praktyka rynkowa rozróżnia adresy przypisane do osoby fizycznej i adresy ogólne, takie jak biuro@ czy kontakt@, które nie identyfikują konkretnej osoby. Rozróżnia też kontakt do spółki od kontaktu do jednoosobowej działalności, która na gruncie ochrony danych bywa traktowana jak osoba fizyczna.

To jest obszar, w którym interpretacje się różnią, a orzecznictwo i stanowiska organu ewoluują. Dlatego treść pierwszej wiadomości i dobór adresów w konkretnej kampanii warto ustalić z prawnikiem, zamiast opierać się na artykule, także na tym.

Osoba, do której piszesz, ma prawo wiedzieć, kto przetwarza jej dane, w jakim celu, na jakiej podstawie, skąd je pozyskano, jak długo będą przechowywane i jakie ma prawa. To jest art. 14 RODO, bo dane pozyskano nie od niej.

W wiadomości nie da się tego umieścić w całości bez zniszczenia jej czytelności. Rozwiązanie stosowane powszechnie: krótka informacja w stopce z nazwą administratora, celem i podstawą, plus wyraźny link do pełnej klauzuli informacyjnej oraz jedno zdanie o możliwości wniesienia sprzeciwu.

Informacja ma trafić do adresata przy pierwszym kontakcie, a nie dopiero wtedy, gdy o nią poprosi.

Przy przetwarzaniu na podstawie prawnie uzasadnionego interesu w celach marketingu bezpośredniego sprzeciw jest bezwzględny. Nie podlega ocenie i nie wymaga uzasadnienia: po jego wniesieniu dalszy kontakt w tym celu jest niedopuszczalny.

Praktycznie oznacza to trzy rzeczy. Sprzeciw musi być łatwy do wniesienia, choćby odpowiedzią na wiadomość. Musi być odnotowany w systemie, a nie tylko w skrzynce jednej osoby. I musi obejmować wszystkie kampanie, a nie tylko tę, w której padł.

Utrzymywanie listy sprzeciwów jest tu jedynym rozwiązaniem, które działa. Usunięcie rekordu bez takiej listy oznacza, że przy następnym budowaniu bazy ten sam adres wróci.

Minimalny zestaw, który pozwala wykazać zgodność i jednocześnie ma wartość operacyjną: źródło rekordu wraz z adresem strony lub nazwą rejestru, data pozyskania, podstawa prawna kontaktu, data i treść pierwszej wiadomości, ewentualny sprzeciw z datą oraz planowany okres przechowywania.

To samo pięć pól, które są potrzebne dla zgodności, jest potrzebne, żeby wiedzieć, które źródło kontaktów daje najlepsze wyniki. Zgodność i skuteczność wymagają tu dokładnie tych samych danych.

Nie kupuj gotowych baz adresów osób fizycznych. Poza kwestią podstawy prawnej nie da się przy takim rekordzie wykazać źródła ani obsłużyć wcześniejszych sprzeciwów wniesionych u poprzedniego posiadacza listy.

Nie ukrywaj tożsamości nadawcy ani nie stosuj tematów wprowadzających w błąd co do charakteru wiadomości. To osobne naruszenie, niezależne od RODO.

Nie traktuj braku odpowiedzi jako zgody i nie stosuj konstrukcji „jeśli nie odpisze Pan w ciągu 7 dni, uznamy to za zgodę". Taka klauzula nie tworzy zgody w rozumieniu przepisów.

To rozróżnienie decyduje o tym, kto odpowiada za co, i bywa mylone nawet w umowach. Administrator ustala cele i sposoby przetwarzania danych. Podmiot przetwarzający, czyli procesor, robi to wyłącznie na jego udokumentowane polecenie.

W typowej kampanii outboundowej administratorem jest firma, która sprzedaje, bo to ona decyduje, kogo kontaktować i po co. Dostawca narzędzia albo usługi prowadzącej kampanię jest procesorem i działa na podstawie umowy powierzenia.

Umowa powierzenia nie jest formalnością do podpisania po wdrożeniu. Musi określać przedmiot i czas przetwarzania, charakter i cel, rodzaj danych, kategorie osób oraz obowiązki obu stron, w tym zasady korzystania z dalszych podprocesorów i sposób usunięcia danych po zakończeniu współpracy.

Praktyczne pytanie kontrolne: czy potrafisz wskazać, gdzie fizycznie znajdują się dane Twoich kontaktów i kto po stronie dostawcy ma do nich dostęp. Jeśli nie, umowa powierzenia istnieje tylko na papierze.

Zasada ograniczenia przechowywania mówi, że dane trzyma się nie dłużej, niż jest to niezbędne do celu, w którym zostały zebrane. W praktyce oznacza to konieczność ustalenia własnego okresu i trzymania się go, bo przepis nie podaje liczby.

Rozsądny układ, który spotyka się na rynku, rozróżnia trzy sytuacje. Kontakt, który nie odpowiedział na całą sekwencję: krótki okres przechowywania, po którym rekord jest usuwany albo anonimizowany. Kontakt, który poprosił o powrót za jakiś czas: okres wynikający z ustalonej daty, zapisany przy rekordzie.

I sytuacja trzecia: sprzeciw. Tu rekord nie jest usuwany w całości, bo trzeba zachować minimum pozwalające nie skontaktować się ponownie. To jest jedyny przypadek, w którym usunięcie wszystkiego byłoby błędem.

Okres przechowywania warto zapisać w klauzuli informacyjnej konkretną wartością, a nie formułą „przez okres niezbędny do realizacji celu”, która nikomu niczego nie mówi.

Zanim wyjdzie pierwsza wiadomość, warto przejść przez siedem punktów. Każdy z nich da się sprawdzić w kilkanaście minut, a razem obniżają ryzyko bardziej niż jakakolwiek pojedyncza decyzja później.

Po pierwsze: czy potrafisz wskazać podstawę prawną kontaktu i czy test równowagi interesów został przeprowadzony i zapisany. Po drugie: czy przy każdym rekordzie jest źródło i data pozyskania. Po trzecie: czy klauzula informacyjna jest gotowa, opublikowana i podlinkowana w wiadomości.

Po czwarte: czy istnieje działający sposób wniesienia sprzeciwu i miejsce, w którym sprzeciwy są rejestrowane globalnie, a nie w skrzynce jednej osoby. Po piąte: czy okres przechowywania jest ustalony i zapisany.

Po szóste: czy dostawcy, którzy dotykają tych danych, mają podpisane umowy powierzenia. Po siódme: czy rekordy zawierają wyłącznie dane potrzebne do celu, a nie wszystko, co udało się znaleźć. Ten ostatni punkt jest łamany najczęściej.

Najczęstszy scenariusz nie zaczyna się od kontroli, tylko od skargi osoby, która dostała wiadomość i uznała, że jej dane przetwarzane są bezpodstawnie. Organ nadzorczy zwraca się wtedy o wyjaśnienia i wskazanie podstawy prawnej oraz źródła danych.

W tym momencie okazuje się, czy zapisy przy rekordzie istnieją. Odpowiedź „pozyskaliśmy adres z internetu” nie jest odpowiedzią. Odpowiedź wskazująca konkretny adres strony, datę pozyskania, podstawę prawną i treść spełnionego obowiązku informacyjnego jest.

Drugą rzeczą, o którą się pyta, jest sposób obsługi sprzeciwu. Jeżeli osoba wcześniej prosiła o zaprzestanie kontaktu, a mimo to dostała kolejną wiadomość, sytuacja jest trudna do obrony niezależnie od jakości pozostałej dokumentacji.

Wniosek praktyczny jest banalny i dlatego często ignorowany: dokumentacja nie jest kosztem ponoszonym na wypadek kontroli, tylko warunkiem prowadzenia tego kanału. Kampania bez zapisanego źródła i bez rejestru sprzeciwów jest ryzykiem, którego nie da się później naprawić wstecz.