Zapytaj dziesięciu właścicieli sklepów internetowych, co sądzą o RODO w marketingu, a dziewięciu powie coś w stylu "wiem, że powinienem coś z tym zrobić". Dziesiąty powie, że już to zrobił, w 2018 roku, i nigdy więcej tam nie zaglądał.
Otóż problem nie leży w samym RODO. RODO od 2018 roku prawie się nie zmieniło. Problem w tym, że 10 listopada 2024 roku weszło w życie Prawo komunikacji elektronicznej, w skrócie PKE, i od tego dnia trzeba spełniać dwie ustawy naraz, nie jedną zamiast drugiej. Większość sklepów internetowych w Polsce wciąż działa tak, jakby istniała tylko jedna.
Ten przewodnik nie tłumaczy, czym jest RODO od podstaw, zakładam, że to już z grubsza wiesz. Pokazuje za to, gdzie dokładnie RODO i PKE nakładają się na siebie w codziennej pracy z newsletterem, i jak to poukładać raz, żeby nie wracać do tematu co miesiąc.
Najważniejsze wnioski:
Co się właściwie zmieniło i dlaczego dotyczy to Twojego sklepu
RODO reguluje, na jakiej podstawie prawnej wolno Ci przetwarzać dane osobowe. Zgoda to jedna z sześciu takich podstaw, obok na przykład wykonania umowy czy prawnie uzasadnionego interesu. Wielu właścicieli sklepów zna tylko tę jedną i traktuje ją jako uniwersalny klucz do wszystkiego.
PKE działa inaczej. Nie pyta, na jakiej podstawie prawnej przetwarzasz dane. Pyta, czy dana osoba zgodziła się na sam kanał, którym się z nią kontaktujesz. Artykuł 398 PKE wymaga tej zgody niezależnie od tego, jaką podstawę prawną masz już załatwioną na gruncie RODO.
Co reguluje | RODO | Prawo komunikacji elektronicznej |
|---|---|---|
Przedmiot | Podstawa prawna przetwarzania danych osobowych | Zgoda na sam kanał komunikacji marketingowej |
Organ nadzorczy | UODO | UKE |
Dotyczy | Każdych danych osobowych, nie tylko marketingu | Tylko komunikacji marketingowej drogą elektroniczną |
Kara maksymalna | Do 4% rocznego obrotu | Do 3% przychodu |
Nie od dziś wiadomo, że nowe przepisy budzą więcej pytań niż odpowiedzi w pierwszych miesiącach. PKE nie jest inne. Rok po wejściu w życie wciąż trafiam na sklepy, które o istnieniu tej ustawy dowiadują się dopiero podczas rozmowy ze mną, nie od swojego biura rachunkowego czy prawnika.
Jak to wygląda w praktyce, krok po kroku Twojego newslettera
Rozbijmy to na etapy, przez które przechodzi każdy kontakt na Twojej liście: zapis, wysyłka, i w końcu, prędzej czy później, wypisanie.
Etap zapisu: gdzie powstaje większość problemów
Formularz zapisu to miejsce, gdzie najczęściej widzę jeden checkbox obsługujący dwie ustawy naraz. Rozdzielenie zgód na poszczególne kanały (e-mail, SMS) to nie jest formalność do odhaczenia, to jest realny wymóg z art. 398 PKE.
Mieliśmy klientkę, właścicielkę sklepu z odzieżą damską, która na pierwszej rozmowie powiedziała wprost: "u mnie jeden checkbox wystarczy, bo klientki i tak wszystko akceptują, nikt nigdy się nie skarżył". Miała rację, że nikt się nie skarżył. Nie miała racji co do tego, że to znaczy, że jest bezpiecznie. Rozdzieliliśmy zgody, dodaliśmy osobne pole na SMS, którego wtedy jeszcze w ogóle nie wysyłała, więc formalnie nie musiała, ale planowała zacząć za pół roku. Czy w międzyczasie ktoś złożył skargę? Nie. Czy formularz jest teraz zgodny z przepisami niezależnie od tego? Tak. To dwie różne rzeczy i obie są ważne.
Zapamiętaj: jedna zgoda obsługująca dwa różne kanały komunikacji to najczęstszy błąd, jaki widzę, i najłatwiejszy do naprawienia w jeden dzień.
Etap wysyłki: umowa powierzenia i cel przetwarzania
Klaviyo, GetResponse, MailerLite, każde z tych narzędzi przetwarza dane Twoich subskrybentów w Twoim imieniu, co czyni je procesorem w rozumieniu art. 28 RODO. Bez podpisanej umowy powierzenia teoretycznie łamiesz przepisy niezależnie od tego, jak dobrze wygląda Twój formularz zapisu.
Drugi częsty problem to mieszanie celów. Adres e-mail podany do realizacji zamówienia nie jest automatycznie zgodą na newsletter, nawet jeśli technicznie trafia do tego samego systemu. To dwa różne cele przetwarzania, i zasada celowości z RODO wymaga ich rozdzielenia.
Etap wypisania: prostota jako wymóg prawny, nie uprzejmość
Ale serio, to jest ten moment, w którym najwięcej sklepów przegrywa zupełnie niepotrzebnie. Art. 7 ust. 3 RODO mówi wprost: wycofanie zgody musi być tak samo łatwe jak jej udzielenie.
UODO potraktował to dosłownie w decyzji nakładającej ponad 200 tysięcy złotych kary na firmę, w której wypisanie się z newslettera wymagało pięciu kroków i kontaktu z biurem obsługi klienta. Jeden klik w linku na dole maila powinien wystarczyć, bo to jest dokładnie ten sam poziom trudności, co kliknięcie w formularz zapisu.
Test 3Z: jak to ogarnąć raz, a dobrze
Zamiast kolejnej listy przepisów, proponuję klientom prosty filtr złożony z trzech pytań. Nazywam go Testem 3Z, bo każde z trzech pytań zaczyna się od tej samej litery, co ułatwia zapamiętanie w pośpiechu.
Zbieranie: czy zgoda dotyczy konkretnego kanału (e-mail, SMS, telefon), a nie ogólnego "marketingu" naraz? Czy checkbox jest odznaczony domyślnie?
Zapisywanie: czy potrafisz wykazać, kiedy dana osoba wyraziła zgodę i jaka dokładnie klauzula wtedy obowiązywała? Klauzule się zmieniają, formularze się zmieniają, a kontroler pyta o stan z dnia zapisu, nie z dziś.
Zrywanie: czy wypisanie się zajmuje dokładnie tyle samo kliknięć, co zapisanie? Jeśli więcej niż dwa, to już wiesz, co poprawić w tym tygodniu.
Trzy pytania, pięć minut, i w większości przypadków, które widziałem, eliminują większość realnego ryzyka. Nie całe, a właściwie, no dobrze, prawie całe, bo prawo i tak zawsze zostawia gdzieś szarą strefę.
Data | Co się zmieniło | Znaczenie dla e-mail marketingu |
|---|---|---|
25 maja 2018 | RODO wchodzi w życie | Podstawa prawna przetwarzania danych osobowych |
10 listopada 2024 | Prawo komunikacji elektronicznej zastępuje Prawo telekomunikacyjne | Zgoda na kanał komunikacji staje się odrębnym wymogiem |
1 kwietnia 2026 | Obowiązkowy KSeF dla większości firm | Faktury z NIP-em tworzą relację B2B i nowego odbiorcę danych (Ministerstwo Finansów) |
Ta ostatnia data zaskakuje najwięcej osób, z którymi rozmawiam, bo z pozoru nie ma nic wspólnego z marketingiem. A jednak ma, bo jeśli klient poprosi o fakturę z NIP-em, to prawnie jest to już relacja B2B, i Twoja polityka prywatności powinna to odzwierciedlać. Sam musiałem kiedyś poprawić ten fragment u klienta już po wdrożeniu KSeF, bo pierwsza wersja audytu tego nie uwzględniała. Przepisy zmieniają się szybciej, niż ktokolwiek zdąży to spisać w jednym dokumencie na stałe.
Najczęstsze pytania
Nie. RODO reguluje podstawę prawną przetwarzania danych osobowych, PKE reguluje zgodę na sam kanał komunikacji marketingowej. Trzeba spełnić obie ustawy jednocześnie, nie wybrać jedną.
Zwykle tak, jeśli chodzi o e-mail lub SMS marketingowy. Sama transakcja daje Ci podstawę do wysłania potwierdzenia zamówienia, ale nie do wysyłania kolejnych ofert bez zgody na kanał komunikacji, zgodnie z art. 398 PKE.
RODO nie podaje sztywnej liczby miesięcy. Zasada jest inna: dane przechowujesz tak długo, jak długo służą celowi, dla którego je zebrałeś. Kontakt nieaktywny od dwóch lat trudno uzasadnić celem "wysyłania mu newslettera, który i tak nie czyta".
Przeczytaj też
- Zgody marketingowe i RODO: 10 praktycznych porad
- Unsubscribe rate, jak zmniejszyć i dlaczego wszyscy szukają problemu nie tam
- Dostarczalność emaili, co to jest i dlaczego Twoje maile lądują w spamie
RODO w marketingu nie jest karą samą w sobie. To lista rzeczy, które robisz raz, porządnie, i o których potem możesz zapomnieć, dopóki coś się nie zmieni w prawie albo w Twoim formularzu. Problem zaczyna się wtedy, gdy nikt w firmie nie pamięta, gdzie leży dowód zgody sprzed trzech lat.
Reszta to już tylko szczegóły.
Jeśli nie masz pewności, czy Twój sklep przechodzi Test 3Z, napisz do nas. Zrobimy audyt, zanim zrobi go ktoś inny.