Jak informować za pomocą mailingu o usługach przedsiębiorcy nie naruszając zakazu "spamowania’’

 

Opis

Jako przedsiębiorca na pewno korzystasz z tzw. mailingu lub newsletteru co oznacza, iż wysyłasz swoim klientom, a także potencjalnym klientom bezpośrednio lub pośrednio oferty handlowe lub informacje handlowe w drodze – mail. Warto jednak abyś rozważył, czy robisz to w sposób legalny, a Twój mailing nie stanowi w istocie spamu, a newsletter został zgłoszony jako publikator (prasa).

Prawo przewiduje pewne narzędzia pozwalające na legalizację przesyłania w omawiany sposób ofert handlowych. Przede wszystkim musisz pamiętać, iż w większości przypadków konieczne jest uzyskanie przez Ciebie zgody od odbiorcy na przesyłanie wiadomości e - mail. Omawiane kwestie zostały uregulowane w kilku ustawach, a także w RODO, które obecnie pełni ogromną rolę i nakłada na przedsiębiorców przetwarzających dane osobowe szereg obowiązków.

Podczas lektury niniejszej Porady dowiesz się jak legalnie informować za pomocą mailingu lub newsletteru o świadczonych przez Ciebie usługach.

I. Czym jest spam?

W art. 10 ustawy z dnia z dnia 18 lipca 2002 roku o świadczeniu usług drogą elektroniczną („u.s.u.d.e.”) został zawarty zakaz  przesyłania niezamówionej informacji handlowej. Przedmiotowa zasada w języku potocznym nazywana jest zakazem spamowania. W świetle tegoż artykułu zakazane jest przesyłanie niezamówionej informacji handlowej skierowanej do oznaczonego odbiorcy będącego osobą fizyczną za pomocą środków komunikacji elektronicznej, w szczególności poczty elektronicznej.

Informację handlową uważa się za zamówioną, jeżeli odbiorca wyraził zgodę na otrzymywanie takiej informacji, w szczególności udostępnił w tym celu identyfikujący go adres elektroniczny.

Co istotne, naruszenie omawianej zasady stanowi czyn nieuczciwej konkurencji w rozumieniu przepisów ustawy z dnia 16 kwietnia 1993 roku o zwalczaniu nieuczciwej konkurencji.

Dodatkowo niezastosowanie się do powołanego zakazu, stosownie do treści art. 24 u.s.u.d.e. grozi karą grzywny, przy czym ściganie następuje na wniosek pokrzywdzonego. Orzekanie w sprawach o przedmiotowy czyny odbywa się w trybie przepisów o postępowaniu w sprawach o wykroczenia.

II. Czym jest RODO i jak się ma do mailingu i newsletteru?

Przedsiębiorco, wysyłając wiadomości e – mail zawierające oferty handlowe, obok przepisów ustaw powołanych w pkt I, musisz przestrzegać także regulacji RODO.

W chwili obecnej pojęcie RODO nie jest już chyba obce żadnemu przedsiębiorcy w Polsce. Przedmiotowa regulacja ma bardzo istotne znaczenie z punktu widzenia informowania za pomocą mailingu/newsletteru o usługach świadczonych przez przedsiębiorcę. Zanim jednak przejdziemy do analizy poszczególnych postanowień RODO mogących mieć istotne znaczenie dla omawianego tematu, warto wskazać na podstawowe informacje o RODO.

W 2018 roku we wszystkich krajach członkowskich Unii Europejskiej weszły w życie przepisy tzw. RODO, czyli Rozporządzenia o Ochronie Danych Osobowych (Rozporządzenie Parlamentu Europejskiego i Rady UE (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych – „Rozporządzenie” lub „RODO”).

Przepisy RODO oraz te z ustawy o ochronie danych osobowych z dnia 10 maja 2018 roku („Ustawa”) rozszerzyły przede wszystkim obowiązek informowania konsumentów, których dane zapisujemy i przetwarzamy. Powinniśmy informować osoby od których pobieramy dane osobowe na każdym kroku o celu, zakresie i sposobie wykorzystania pobierania danych.

Rozporządzenie dotyczy tak naprawdę wszystkich przedsiębiorców. Gdyż każdy z nich musi gromadzić i wykorzystywać dane dotyczące osób fizycznych. Mogą to być zarówno duże korporacje jak i mniejsze niewielkie przedsiębiorstwa. Zgodnie z art. 5 Rozporządzenia zasady dotyczące przetwarzania danych osobowych zostały określone następująco: Dane osobowe muszą być:

• przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą („zgodność z prawem, rzetelność i przejrzystość”);
• zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami („ograniczenie celu”);
• adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”);
• prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane („prawidłowość”);
• przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą („ograniczenie przechowywania”);
• przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („integralność i poufność”).

Warto już w tym miejscu zaznaczyć, iż RODO dotyczy osób fizycznych. Innymi słowy nakłada obowiązki na przedsiębiorców w zakresie pozyskiwania i przetwarzania danych osobowych osób fizycznych, ale to oznacza także różnych menedżerów czy członków zarządu, rady nadzorczej, komandytariusza itp. w stosunkach B2B.

Zatem to firma jest zobowiązana do przestrzegania RODO, w sytuacji, w której przetwarza dane osobowe obywateli Unii Europejskiej, a także wtedy, gdy ma swoją siedzibę na terenie Unii Europejskiej, nie ma przy tym znaczenia, czy przedmiotowe przetwarzanie jest dokonywane na terenie Unii Europejskiej.

Istotne znaczenie ma również zakres podmiotowy stosowania RODO w odniesieniu do poszczególnych klientów. Co prawda RODO wskazuje na jego stosowanie w odniesieniu do obywateli UE, jednakże należy przez to rozumieć wszystkie osoby przebywające na terenie Unii Europejskiej, nawet jeżeli nie mają one obywatelstwa Unii Europejskiej. Co więcej, osoby, które są obywatelami Unii Europejskiej, jednak nie przebywają na jej terytorium – w odniesie do nich nie musisz stosować RODO. Dlatego też, jeżeli Twoja baza kontaktów zawiera dane kontaktowe klientów z różnych miejsc, warto sortować adresy e – mail według lokalizacji, a więc adresu IP.

Jak już zostało wskazane wyżej, gdy Twoja firma ma siedzibę na terenie Unii Europejskiej, RODO Cię obejmuje, nawet w sytuacji, w której Twoi klienci przebywają poza terenem Unii Europejskiej. Tym samym jesteś zobowiązany do wysłania swoim klientom spoza Unii Europejskiej informacji o RODO.

Nie można również zapomnieć o konsekwencjach naruszenia bezpieczeństwa danych w Twojej firmie. Stosowanie do treści art. 33 RODO

W przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki - w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia - zgłasza je organowi nadzorczemu właściwemu zgodnie z art. 55, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia.

Jak widać, naruszenie ochrony danych osobowych w Twojej firmie wymaga szybkiej i sprawnej reakcji. Zgodnie z RODO Administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu weryfikowanie przestrzegania omawianego obowiązku.

III. Adres e – mail – czy jest daną osobową?

Aby ustalić, czym jest dana osobowa, należy ponownie sięgnąć do RODO. Zgodnie bowiem z art. 4 ust 1 RODO  "dane osobowe" oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Z powyższego wynika, iż RODO szeroko definiuje pojęcie danych osobowych. Powołana definicja jednoznacznie wskazuje również, że katalog danych osobowych ma charakter otwarty, dlatego też każdorazowo należy dokonać analizy, czy dana informacja o osobie może stanowić jej daną osobową. Za dane osobowe powszechnie uważa się numer dowodu osobistego oraz innych dokumentów, w tym np. paszportu, a także PESEL.

Przechodząc do omawianego adresu e – mail, on również stanowi daną osobową, ponieważ za jego pośrednictwem możemy zidentyfikować konkretną osobę – przede wszystkim w sytuacji, gdy w treści e – maila znajduje się imię i nazwisko. Właściciel e – maila może domagać się od podmiotu, który go przetwarza udzielenia mu stosownych informacji. Przedmiotowe uprawnienie wynika z ochrony danych osobowych, którą zapewnia zarówno RODO, jak i Ustawa. Zatem w sytuacji, w której jako przedsiębiorca wykorzystujesz adres e – mail osoby fizycznej (zawierający imię i nazwisko), osoba, do której on należy jest uprawniona do uzyskania od Ciebie następujących informacji w zakresie:

• celu i sposobu przetwarzania adresu e – mail;
• wskazania Administratora Danych Osobowych;
• wskazanie źródła pozyskania adresu e –mail;
• wskazania, czy adres e – mail jest udostępniany przez Twoją firmę kolejnym podmiotom;

Dodatkowo właściciel adresu e – mail może także zażądać usunięcia go z Twojej bazy danych.

Powyższe, jak już zostało wskazane, dotyczy tylko sytuacji, w której e – mail zawiera imię i nazwisko danej osoby. Jednakże adres e – mail może stanowić dane osobowe również w innych przypadkach, w których jego treść pozwala na zidentyfikowanie danej osoby. W woli przykładu można wskazać adresy e – mail zawierające określenie stanowiska i nazwę firmy lub pseudonim danej osoby. Przedmiotowe informacje pozwalają bowiem na połączenie adresu e – mail z konkretną osobą.

Pamiętaj również, że RODO dotyczy danych osobowych, a więc danych należących do osób fizycznych. Jeżeli jednak dysponujesz adresami e – mail firm, to RODO nie ma do nich zastosowania, ponieważ takie dane kontaktowe dotyczą organizacji.

IV. Zgodność przetwarzania danych z prawem

Aby dokonać analizy zgodności przetwarzania  prawem, warto odwołać się do definicji „przetwarzania” zawartej w RODO, zgodnie z którą „przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Przesłanki legalności przetwarzania danych osobowych zostały wyrażone w art. 6 RODO:

1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Szczególnej uwagi wymaga treść art. 6 ust 1 lit b), zgodnie z którym przetwarzanie jest legalne, gdy jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.

Po pierwsze bowiem, przetwarzanie jest dopuszczalne, jeżeli jest konieczne do wykonania umowy, gdy osoba, której dane dotyczą, jest jej stroną. Na tę przesłankę możemy się powołać wyłącznie po zawarciu umowy. Przypadek ten nie powinien budzić żadnych wątpliwości. Legalizuje on między innymi przetwarzanie danych naszych klientów czy kontrahentów.

Po drugie, przetwarzanie danych jest legalne, gdy jest niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą. Oznacza to, że chęć zawarcia umowy powinna zostać w sposób jednoznaczny wyrażona przez osobę, której dane dotyczą.

Biorąc pod uwagę powyższe, w przypadku wysyłania wiadomości e – mail do sowich kontrahentów, nie jest wymagane ich wyrażenie zgody na przetwarzanie danych osobowych. Jednakże zgoda ta byłaby konieczna w sytuacji, w której wykorzystanie adresu e – mail nie byłoby związane z wykonaniem uprzednio zawartej umowy.

V. Pozyskiwanie zgód na mailing lub newsletter

W sytuacji, w której chcesz wysłać wiadomość e – mail z ofertą do potencjalnego klienta, musisz wcześniej uzyskać jego zgodę na dokonanie tej czynności. 

Definicja zgody została sformułowana w art. 4 pkt. 11 RODO, zgodnie z którym „zgoda" osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.

Przedmiotowa definicja jest uzupełniona przez motyw 42 Preambuły RODO, który stanowi, że aby wyrażenie zgody było świadome, osoba, której dane dotyczą, powinna znać przynajmniej tożsamość administratora oraz zamierzone cele przetwarzania danych osobowych.

Dodatkowo Administratorzy Danych Osobowych („ADO”) mogą korzystać ze zgód zebranych na podstawie wcześniej obowiązującej ustawy z dnia 29 sierpnia 1997  o ochronie danych osobowych.  Jednakże,  zgody te muszą spełniać warunki ich wyrażenia przewidziane w nowych przepisach. ADO, którzy zbierali zgody, zgodnie z wymaganiami w/w ustawy oraz uwzględniali stanowiska GIODO oraz orzecznictwo, nie są zmuszeni zbierać nowych zgód.

Przedsiębiorco, nie musisz otrzymywać zgody od osoby, do której wysyłasz wiadomość e – mail w przypadkach wskazanych w przytoczonym w pkt III art. 6 ust 1 RODO, jako przykłady można wskazać:

• Twoją korespondencję ze swoim klientem w związku z zawartą umową – chodzi o realizację wcześniej złożonego zamówienia, a zatem może to dotyczyć między innymi kwestii np. ilości towaru, jakości, czy miejsca jego dostawy;
• Wysyłanie przez Ciebie wiadomości e – mail na adres publicznie dostępny, kiedy realizujesz cel, dla którego ten adres e – mail został udostępniony;
• Wysyłanie przez Ciebie wiadomości e – mail w odpowiedzi na zapytanie i prośbę o przedstawienie oferty handlowej  - taka sytuacja może mieć miejsce jednak tylko jednorazowo – bez zgody adresata nie możesz wysyłać mu kolejnych wiadomości ofertowych;
• Wysyłanie przez Ciebie wiadomości e – mail w prawnie uzasadnionym interesie – np. w związku z żądaniem zapłaty przysługujących Ci należności.

VI. Forma zgody na przesyłanie ofert – mailingu i newsletteru

Udzielenie zgody przez odbiorcę naszej korespondencji powinno nastąpić w odpowiedniej formie. RODO nie określa jednak wymogów formalnych takiej zgody, stanowi jedyne, iż zgoda musi być jednoznaczna, konkretna, świadoma i dobrowolna.

W art. 7 RODO zostały wskazane warunki udzielenia zgody przez osobę, której dane osobowe dotyczą:

1. Jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.
2. Jeżeli osoba, której dane dotyczą, wyrażą zgodę w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Część takiego oświadczenia osoby, której dane dotyczą, stanowiąca naruszenie niniejszego rozporządzenia nie jest wiążąca.
3. Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie.
4. Oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy.

Mając na względzie treść powołanego przepisu, RODO nie określa żadnych wymogów formalnych zgody, Istotne jest jedynie, czy odbiorca zrozumiał na co wyraża zgodę i jest świadomy, czego może się spodziewać w treści przesyłanych przez Ciebie wiadomości e – mail. Zatem od Ciebie zależy jaką formą się posłużysz, jako przykład można wskazać:

• Umieszczenie formułki o wyrażeniu zgody na otrzymywanie newsletteru, którą odbiorca może zaznaczyć –  jeżeli jednak takie oświadczenie także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem.
• Kliknięcie w określony link wskazany na stronie internetowej lub potwierdzającej dokonanie zamówienia wiadomości e – mail;

Jak zostało wymiennie w ust 4 przytoczonego artykułu,

wyrażenia zgody nie można wiązać z wykonaniem umowy – oznacza to, iż skorzystanie z jakiejś usługi przez odbiorcę nie może zostać uzależnione od wyrażenia przez niego zgody na przetwarzanie danych osobowych. Powyższe nie dotyczy jednak sytuacji, w której dla wykonania przedmiotowej usługi konieczne jest przetwarzanie danych osobowych.

Jako ciekawostkę można wskazać, iż przekazanie wizytówki przez daną osobę nie oznacza jeszcze jej zgody na przesyłanie jej ofert handlowych. Oczywiście nie ma przeszkód, abyś przesłał wiadomość e – mail do takiej osoby, jednakże powinna ona dotyczyć jedynie kwestii, które były przez was poruszone w czasie spotkanie, podczas którego doszło do wręczenia Ci wizytówki.

Pomocne będzie, jeśli celem udowodnienia uzyskania zgody będziesz w stanie wskazać:

• Datę i miejsce udzielenia zgody;
• Źródło formularza udzielenia zgody, np. adres strony internetowej;
• Formularz udzielania zgody, którym się posłużyłeś.

VII. Obowiązek informacyjny

Art. 13 RODO normuje kwestię obowiązku informacyjnego wobec osoby, której dane dotyczą. W tym przypadku, prawodawca przewidział wyłączenie powołanego obowiązku w przypadku, gdy osoba, której dane dotyczą posiada już informacje wskazane w rzeczonym przepisie.

Przedmiotowy obowiązek informacyjny został uregulowany bardzo szczegółowo - unijny prawodawca objął omawiany obowiązek o dodatkowe informacje, dotyczące między innymi okresu, przez który dane będą przechowywane, czy też o prawa wniesienia skargi do organu nadzorczego.

Przepisy prawa:

1. Ustawa z dnia z dnia 18 lipca 2002 roku o świadczeniu usług drogą elektroniczną;
2. Ustawa z dnia 29 sierpnia 1997 o ochronie danych osobowych;
3. Ustawa z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz.U.2022.1233);
4. Ustawa z dnia 10 maja 2018 roku o ochronie danych osobowych;
5. Ustawa z dnia 26 stycznia 1984 roku Prawo prasowe;
6. Rozporządzenie o Ochronie Danych Osobowych (Rozporządzenie Parlamentu Europejskiego i Rady UE (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.