GDPR и email-маркетинг: что нужно знать, прежде чем отправлять письма в Европу

Европейский регламент о персональных данных касается не только европейских компаний. Если вы продаёте людям в Евросоюзе и пишете им письма, их адреса обрабатываются по правилам GDPR, а за серьёзные нарушения штраф доходит до 20 млн евро или 4% мирового оборота за прошлый год, смотря что больше.

Что такое GDPR и при чём тут email-адрес

GDPR (General Data Protection Regulation) это Общий регламент ЕС о защите персональных данных, Регламент 2016/679. Его приняли в 2016 году, применяется он с 25 мая 2018-го и действует во всех странах союза напрямую, без местных законов-посредников.

Персональными данными регламент называет любую информацию о человеке, которого можно опознать прямо или косвенно (ст. 4(1)). Адрес ivan.petrov@example.de указывает на конкретного Ивана сам по себе. Общий ящик info@ говорит о человеке меньше, но как только он лежит в CRM рядом с именем и историей заказов, разница пропадает. Обработкой ст. 4(2) считает любую операцию с данными: сбор, хранение, разбивку на сегменты, выгрузку, отправку письма и даже удаление.

Где действует регламент, решает ст. 3. Компанию без офиса в ЕС он касается, когда она предлагает товары или услуги людям, находящимся в союзе, или следит за их поведением там. Гражданство подписчика роли не играет. Магазин из Алматы, который возит заказы в Германию и шлёт немецким покупателям рассылку, под регламент попадает.

Есть и техническая сторона. Человек, который не помнит, что подписывался, жмёт «Это спам». Gmail просит держать долю таких жалоб в Postmaster Tools ниже 0,1% и никогда не доходить до 0,3%, а жалобы из европейского сегмента считаются вместе со всеми остальными.

Откуда берётся требование согласия: GDPR и директива ePrivacy

Здесь путаются чаще всего. Само правило «рекламу по почте только с разрешения» записано не в GDPR, а в директиве 2002/58/EC о приватности в электронных коммуникациях, её называют ePrivacy. Ст. 13(1) директивы допускает email для прямого маркетинга только в отношении тех, кто дал предварительное согласие. Директива работает через законы стран. В Германии это § 7 закона о недобросовестной конкуренции (UWG): реклама по электронной почте без предварительного явного согласия адресата там прямо названа недопустимым беспокойством.

GDPR отвечает на соседний вопрос, что вообще считать согласием. Директива ссылалась на определение из старой директивы 95/46, а ст. 94(2) регламента велит читать такие ссылки как ссылки на GDPR. Поэтому планка для согласия на рассылку та, что описана в следующем разделе.

Из правила есть одно исключение, его зовут soft opt-in (ст. 13(2) ePrivacy). Если адрес вы получили от клиента при продаже ему товара или услуги, ему можно присылать рекламу своих похожих товаров без отдельного согласия. Условия при этом конкретные: отказаться от таких писем человек может бесплатно и без усилий, причём эту возможность ему дают и при сборе адреса, и в каждом письме. Реклама партнёров под исключение не подпадает, подписчик, который у вас ничего не покупал, тоже.

По ст. 13(4) рекламное письмо к тому же не может скрывать, от чьего имени оно отправлено, и обязано содержать рабочий адрес, куда человек напишет, чтобы рассылку прекратили.

Какое согласие считается действительным

По ст. 4(11) согласие должно быть свободным, конкретным, информированным и однозначным и выражаться заявлением или ясным утвердительным действием. Для формы подписки это четыре проверки.

• 1. Свободное. Отказаться можно без потерь. Ст. 7(4) велит смотреть, не поставлена ли услуга в зависимость от согласия, которое для неё не нужно. «Подпишитесь, чтобы скачать PDF» проходит, если PDF можно получить и без подписки.
• 2. Конкретное. Просьба о согласии на рассылку должна чётко отличаться от прочих условий (ст. 7(2)). Одна галочка «согласен со всем» не годится. Не годится и фраза «нажимая „Купить“, вы соглашаетесь на рассылку»: покупка и подписка это два решения, и на каждое нужна своя отметка.
• 3. Информированное. Человек знает, кто будет писать и о чём. «Новости магазина раз в неделю» понятно, просто «Рассылка» уже нет.
• 4. Однозначное. Нужен активный жест: галочка, которую поставили сами, нажатая кнопка, адрес, вписанный в форму с понятной подписью. Рецитал 32 прямо говорит, что молчание, заранее отмеченные галочки и бездействие согласием не считаются.

Доказывать согласие придётся вам, а не регулятору, потому что ст. 7(1) требует, чтобы контролёр мог его продемонстрировать. Сохраняйте дату и время, IP-адрес, текст формы на момент подписки, адрес страницы и версию политики конфиденциальности, которая тогда действовала: эту запись вы и покажете, если придёт жалоба.

Double opt-in: регламент его не требует, но без него трудно доказать согласие

Слов «double opt-in» в GDPR нет. Механика простая. Человек вводит адрес, получает письмо со ссылкой, переходит по ней, и только после этого адрес попадает в список рассылки.

Зачем второй шаг, видно из той же ст. 7(1). Галочка в форме доказывает, что кто-то ввёл адрес, но не что это сделал владелец ящика, ведь подписать чужую почту может кто угодно, от шутника до бота. Клик в подтверждающем письме приходит уже из самого ящика. В Германии, где UWG требует явного предварительного согласия на рекламу по email, двойное подтверждение стало обычным способом это согласие задокументировать.

Заодно до базы не доходят опечатки вроде gmial.com и мусорные адреса, ведь подтверждать письмо там некому. Когда хватит одного шага, а когда нет, разобрано в статье double opt-in или single opt-in.

Законный интерес: где он работает, а где нет

Шесть оснований для обработки данных перечислены в ст. 6(1): согласие, договор, обязанность по закону, жизненно важные интересы, публичная задача и законный интерес. О рассылках спорят из-за двух, согласия и законного интереса (ст. 6(1)(f)).

Рецитал 47 и правда допускает, что обработку данных для прямого маркетинга можно считать законным интересом. Только интерес компании надо взвесить против прав человека с учётом того, чего он разумно ожидает от отношений с вами, и это взвешивание оформляют письменно (Legitimate Interest Assessment, LIA). Покупатель, которому вы предлагаете похожий товар, такого письма ждать может, а человек из купленной базы не ждёт ничего.

Для email сверху действует ePrivacy. Даже при законном интересе по GDPR без согласия директива пропускает только soft opt-in, то есть ваших же клиентов и ваши же похожие товары. Холодную рассылку по новой аудитории в ЕС на законный интерес не опереть. С адресами компаний сложнее: ст. 13(5) оставляет защиту юрлиц на усмотрение стран, поэтому B2B-рассылку сверяйте с законом конкретной страны.

Транзакционные письма к этому спору не относятся. Подтверждение заказа, уведомление о доставке, сброс пароля держатся на исполнении договора (ст. 6(1)(b)), согласие на маркетинг им не нужно. Где проходит граница, написано в статье о транзакционных и маркетинговых письмах.

Права подписчика и сроки ответа

Права субъекта данных собраны в ст. 12–22. Ответить на запрос надо без неоправданной задержки и в любом случае в течение месяца после получения. Если запрос сложный или их много, срок можно продлить ещё на два месяца, но о продлении и его причинах человеку сообщают в первый же месяц (ст. 12(3)). Денег за ответ не берут (ст. 12(5)).

На каждое право порядок действий нужен заранее: кто принимает запрос, как проверяют личность, куда записывают результат. Ст. 5(2) и 24 обязывают контролёра не только соблюдать правила, но и уметь показать, что он их соблюдает.

Хранение: собирать минимум и не держать вечно

Принцип минимизации (ст. 5(1)(c)) разрешает собирать только то, что нужно для заявленной цели. Для рассылки нужен адрес. Имя пригодится, если вы обращаетесь по имени в письмах. Дату рождения, телефон и город берите только под конкретную задачу, записанную в политике обработки.

Второй принцип, ограничение хранения (ст. 5(1)(e)), запрещает держать данные дольше, чем нужно. Числа в регламенте нет. Срок определяете вы и при сборе данных сообщаете подписчику либо его, либо критерии, по которым он считается (ст. 13(2)(a)). Для рассылки естественный критерий это активность: адрес, который давно не открывает писем и никуда не кликает, повод спросить человека, нужна ли ему рассылка, а без ответа удалить. Сколько месяцев ждать, решите сами, впишите в политику и настройте удаление в ESP автоматически.

Ваш ESP и сторонние сервисы: ответственность не делегируется

ESP, CRM, сервис аналитики и сервис проверки адресов обрабатывают данные подписчиков по вашему поручению, то есть выступают обработчиками (processor). Ст. 28 разрешает работать только с теми, кто даёт достаточные гарантии защиты, и требует договора с каждым: какие данные, для каких целей, какие меры безопасности. Этот договор и называют Data Processing Agreement (DPA). По ст. 28(3)(g) после окончания работы обработчик по вашему выбору удаляет данные или возвращает их и стирает копии.

Загрузка базы в сервис валидации тоже передача данных обработчику, так что договор нужен и здесь, даже если список проверяется один раз.

Второй вопрос, где физически лежат данные. Передачу за пределы ЕС регулирует глава V (ст. 44–49). 16 июля 2020 года Суд ЕС в деле Schrems II (C-311/18) признал недействительным решение о Privacy Shield, и передачи в США на какое-то время остались на стандартных договорных условиях (SCC). 10 июля 2023 года Еврокомиссия приняла решение об адекватности для EU-US Data Privacy Framework. Американской компании, которая в нём участвует, данные можно передавать без дополнительных механизмов. Если поставщик не участвует, нужны SCC или другое основание из главы V.

Практический чек-лист для маркетолога

Восемь шагов, которые закрывают основные требования GDPR и ePrivacy для email-канала:

Штрафы и предписания

Ст. 83 делит штрафы на два уровня, и в обоих берётся большая из двух сумм. До 10 млн евро или 2% мирового годового оборота за прошлый год грозит за обязанности контролёра и обработчика из ст. 25–39: договор с обработчиком (ст. 28), реестр операций обработки (ст. 30), уведомление об утечке (ст. 33). До 20 млн евро или 4% грозит за основные принципы и условия согласия (ст. 5–7 и 9), права субъектов (ст. 12–22), передачу данных за пределы ЕС и неисполнение предписания надзорного органа.

Вот два решения очень разного масштаба.

• Meta, 1,2 млрд евро, Ирландия, 2023. Штраф ирландского регулятора по обязательному решению EDPB 1/2023 за передачу данных пользователей Facebook в США на основе SCC. К рассылкам прямого отношения не имеет, но касается любого, кто держит европейские данные на американских серверах.
• BBVA, 5 508 000 евро, Италия, 2026. Реклама клиенту после его возражения по ст. 21, случай разобран выше в разделе о правах.

Штраф не единственный инструмент. По ст. 58(2)(f) надзорный орган может временно или окончательно ограничить обработку, вплоть до запрета. Компании, у которой email главный канал продаж, остановка рассылок может обойтись дороже самого штрафа.

Проверка базы и принцип точности

Ст. 5(1)(d) требует, чтобы данные были точными и при необходимости актуальными, а неточные без промедления исправлялись или удалялись. Адрес, которого больше нет, неточен в самом прямом смысле. Человек сменил работу, закрыл ящик, компания не продлила домен. Письма на такой адрес возвращаются жёсткими отказами, а они бьют по репутации отправителя.

В uChecker проверяются синтаксис адреса, MX-записи домена и то, принимает ли почтовый сервер ящик. Итог по каждому адресу один из трёх: good (ящик есть и принимает почту), bad (ошибка в синтаксисе, сюда же попадают одноразовые домены из стоп-листа и домены с опечатками, или сервер отверг ящик), unknown (выяснить не удалось, например у домена нет MX или сервер принимает почту на любой адрес). Загружая базу в любой такой сервис, включая наш, вы передаёте данные обработчику, и сказанное выше о договоре относится и сюда.

С чего начать

С EU-сегмента. По каждому адресу выясните, откуда он пришёл и есть ли запись о согласии или о покупке, которая даёт право на soft opt-in. Адреса без такой записи выведите из рассылки, а можно ли им писать вообще, решайте вместе с юристом. Дальше договоры с поставщиками, политика конфиденциальности и срок хранения.