Lista mailingowa zgodnie z RODO: zgody i obowiązki

Mailing tylko za zgodą — dlaczego to nie formalność

Zgoda musi istnieć, zanim wiadomość trafi do skrzynki odbiorcy. Art. 10 ustawy o świadczeniu usług drogą elektroniczną zakazuje przesyłania niezamówionej informacji handlowej do oznaczonego odbiorcy będącego osobą fizyczną środkami komunikacji elektronicznej, zwłaszcza pocztą elektroniczną.

Informacja handlowa jest zamówiona, gdy odbiorca zgodził się na jej otrzymywanie, w szczególności udostępniając w tym celu identyfikujący go adres elektroniczny.

Skutki wysłania mailingu na adres konsumenta bez wyraźnej zgody są podwójne. To czyn nieuczciwej konkurencji, a konsekwencje mogą być poważne, zwłaszcza finansowe.

Po drugie, z automatycznych urządzeń wywołujących do przesyłania wiadomości marketingowych wolno korzystać wyłącznie wobec odbiorców, którzy wcześniej wyrazili na to zgodę.

Równolegle obowiązuje RODO — rozporządzenie (UE) 2016/679. Przetwarzanie danych osobowych osób fizycznych zawsze wymaga podstawy prawnej.

W działaniach marketingowych podstawą wysyłki jest zgoda osoby, której dane mają być przetwarzane. Sam zebrany adres e-mail nią nie jest; służy tylko wykonaniu zgody, nie zastępuje jej.

Nowe prawo o komunikacji elektronicznej w Polsce, obowiązujące od 2024 r., wymaga jednoznacznej zgody na przesyłanie treści marketingowych zarówno w B2B, jak i w B2C. Nie można zakładać, że w relacjach firmowych zgoda nie jest potrzebna.

Nadzór nad ochroną danych osobowych sprawuje Prezes Urzędu Ochrony Danych Osobowych (UODO). Zastąpił on Generalnego Inspektora Ochrony Danych Osobowych (GIODO).

Cechy ważnej zgody na mailing według RODO

Art. 4(11) RODO definiuje zgodę jako „dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych”.

Te cztery przymiotniki mają praktyczne znaczenie przy zapisie do newslettera. Dobrowolność wyklucza uzależnianie zgody od spraw niezwiązanych z mailingiem. Konkretność wymaga wskazania celu, świadomość — zrozumiałego komunikatu, a jednoznaczność — braku wątpliwości, na co odbiorca się zgadza.

Motyw 32 RODO precyzuje, że zgodę wyraża się „w drodze wyraźnego aktu potwierdzającego”, np. w formie pisemnego oświadczenia, w tym elektronicznego, lub oświadczenia ustnego. Może to być zaznaczenie pola wyboru podczas odwiedzania strony internetowej. Forma jest więc dowolna — pisemna, ustna czy dorozumiana, dokonana przez działanie.

Skoro zgoda jest dobrowolna, samo jej zebranie nie wystarcza. Trzeba jeszcze wykazać, kto, kiedy i na co ją wyraził, oraz obsłużyć jej wycofanie. Dlatego równolegle z formularzem projektuje się rejestr zgód.

RODO wymaga wyraźnej zgody na przetwarzanie danych osobowych, w tym na cele marketingowe. Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna — te cechy trzeba spełnić łącznie.

Zgodę można wycofać w każdej chwili. Administrator musi to uwzględnić już na etapie projektu listy i formularza.

Kluczowe fakty o zgode i RODO w mailingu

Formularz zapisu: jasny, konkretny, bez pułapek

Formularz zapisu to pierwsze miejsce, w którym zgoda musi być zrozumiała. Warunek podstawowy: ma być jasny, zwięzły i transparentny wobec tego, na co subskrybenci wyrażają zgodę. Nie chodzi o długość tekstu, ale o to, czy po lekturze odbiorca wie, jakie wiadomości i od kogo będzie otrzymywał.

W praktyce zrezygnuj z niekończących się checkboxów, prawniczego żargonu i długich regulaminów. Wyjaśnij po prostu, na co ludzie się zapisują, umieść link do polityki prywatności, prowadź rejestr zgód i dotrzymaj obietnicy z formularza.

Jeśli zgoda obejmuje więcej niż jeden cel, każdy wymaga odrębnego, zrozumiałego wskazania. Dotyczy to zwłaszcza sytuacji, gdy adres ma służyć także do wysyłki treści od partnerów: zgodę na otrzymywanie tych e-maili od partnerów trzeba zebrać osobnym polem wyboru.

Nie pomijaj przy tym obowiązków, które zaczynają się po zapisie: zebrania zgody w jednym celu nie wolno wykorzystywać do wysyłki w innym. Zakres wysyłki wyznacza dokładnie treść zgody, a nie to, co wygodne dla nadawcy.

Pole wyboru podczas odwiedzania strony internetowej może być wyraźnym aktem potwierdzającym zgodę. Forma zgody może być więc elektroniczna, a nie tylko pisemna.

Double opt-in — potwierdzenie świadomej zgody

Double opt-in (podwójna zgoda) to proces weryfikacji w marketingu e-mailowym. Ma upewnić się, że subskrybenci świadomie i dobrowolnie zgodzili się na otrzymywanie wiadomości. Po zapisie subskrybent dostaje e-mail z prośbą o potwierdzenie subskrypcji newslettera lub innej komunikacji — rejestrację kończy dopiero kliknięcie w link potwierdzający z tej wiadomości.

Dla jakości bazy double opt-in działa jak filtr. Usuwa nieaktualne lub nieprawidłowe adresy e-mail i blokuje dodawanie danych wprowadzonych przez osoby trzecie bez zgody właściciela skrzynki. Baza jest dzięki temu bardziej aktualna i precyzyjna.

Drugi efekt to zaangażowanie. Osoby, które aktywnie potwierdziły zainteresowanie, chętniej otwierają wiadomości, klikają linki i wchodzą w interakcje z treściami marketingowymi. Weryfikacja adresów zmniejsza też ryzyko dodania do listy osób bez zgody, a przez to obniża prawdopodobieństwo, że wysyłki zostaną oznaczone jako spam.

Na poziomie zgodności double opt-in pomaga firmom przestrzegać przepisów o ochronie danych osobowych, takich jak RODO, i ogranicza ryzyko skarg i kar.

We wdrożeniu kluczowe są: automatyczna wysyłka wiadomości potwierdzającej zaraz po zapisie, unikalny link potwierdzający w tej wiadomości oraz zapis w rejestrze faktu i terminu potwierdzenia.

Adres bez potwierdzenia nie powinien trafiać na listę wysyłkową — dopóki jest niepotwierdzony, nie ma podstawy do wysyłania na niego mailingu.

Double opt-in pomaga firmom przestrzegać RODO i innych przepisów o ochronie danych. Uzyskanie świadomej zgody minimalizuje ryzyko skarg i kar.

Proces double opt-in w praktyce

Czego nie robić: cold mailing i kupione bazy

Przedsiębiorcy nie mogą wysyłać reklam swoich produktów pod każdy adres e-mail znaleziony w sieci lub kupiony od handlarzy bazami danych. Zakup bazy nie daje żadnej podstawy prawnej — wręcz przeciwnie, oznacza, że na liście znajdą się osoby, które nigdy nie wyraziły zgody.

Ryzyko rośnie, gdy dotyczy konsumentów; dochodzą do tego skargi odbiorców i konsekwencje za nieprzestrzeganie przepisów o ochronie danych.

Double opt-in ogranicza część tego ryzyka już przy zbieraniu danych. Utrudnia dodanie do listy adresu osoby bez zgody.

Wycofanie zgody, rejestr i obowiązki po zapisie

Do obowiązków nadawcy należy obsługa wycofania zgody. Zgodę można wycofać w każdej chwili, a wycofanie trzeba odnotować równie starannie jak jej udzielenie — od tej chwili wysyłka na dany adres traci podstawę i powinna zostać wstrzymana.

Rejestr zgód dokumentuje zgody. Odpowiada na podstawowe pytanie: kto, kiedy i na co wyraził zgodę oraz kiedy potwierdził subskrypcję w double opt-in.

Po zapisie dane wolno wykorzystywać zgodnie z celem, na który zgodę wyrażono. W systemie CRM dane klientów są gromadzone w jednym miejscu — dane kontaktowe, profil, historia zakupów i preferencje — co pozwala personalizować oferty i kampanie.

Segmentacja umożliwia dzielenie odbiorców według kryteriów, takich jak demografia, wartość zakupów czy zachowania, i kierowanie komunikatów do konkretnych grup.

Automatyzacja obsługuje powtarzalne zadania, np. e-mail powitalny po rejestracji czy przypomnienie o porzuconym koszyku.

Każdy kontakt — rozmowa, e-mail, czat, zamówienie — trafia do historii relacji z odbiorcą.

Odrębna kwestia to aktualność bazy. Adresy nieaktualne lub nieprawidłowe eliminuje właśnie double opt-in, a bieżące porządkowanie listy i reagowanie na odbicia ogranicza wysyłanie treści do skrzynek, których nikt już nie używa.

Obowiązki administratora nie kończą się na zebraniu zgody. Obejmują też prowadzenie rejestru, obsługę rezygnacji oraz pilnowanie, by baza zawierała wyłącznie adresy objęte ważną zgodą — także po zmianie celu komunikacji.

RODO wymaga wyraźnej zgody na przetwarzanie danych osobowych, w tym na cele marketingowe. Po wycofaniu zgody dalsza wysyłka na dany adres nie ma podstawy.

Checklista zgodnej listy mailingowej krok po kroku