RODO w email marketingu: minimum, które musisz mieć

RODO w email marketingu sprowadza się do dwóch pytań, które ktoś kiedyś ci zada: skąd masz ten adres i kto go wysłał. Pierwsze zadaje kontroler albo sam subskrybent. Drugie zadaje filtr pocztowy po drugiej stronie, tyle że po swojemu, technicznie: sprawdza podpis DKIM, politykę DMARC i reputację IP. I obie osie musisz obsłużyć naraz, bo brak jednej psuje drugą. Prowadzimy własną flotę serwerów wysyłkowych, więc oglądamy to codziennie: baza kupiona z drugiej ręki najpierw generuje skargi, potem odbicia, a na końcu blokadę całej puli.

Poniżej lista minimum. Siedem rzeczy, które musisz mieć przed pierwszą wysyłką, plus kilka, których mieć nie musisz, choć internet twierdzi inaczej. To nie jest porada prawna. To zestaw z praktyki inżynierskiej, spisany przez ludzi, którzy odbierają telefon, gdy kampania utknie w kolejce.

Podstawa prawna: RODO i PKE artykuł 398, także w B2B

Dwa akty, dwie różne rzeczy. RODO mówi o przetwarzaniu danych osobowych subskrybenta. Prawo komunikacji elektronicznej, artykuł 398, mówi o samym akcie wysłania informacji handlowej na adres odbiorcy. Możesz mieć wzorowy porządek w rejestrze i nadal łamać ten drugi przepis.

Najwięcej nieporozumień jest przy adresach firmowych. jan.kowalski@firma.pl to dane osobowe, bo identyfikuje konkretną osobę. Skrzynki rodzajowe typu kontakt@ czy biuro@ nie są automatycznie zwolnione z obowiązków, bo za nimi też siedzi człowiek, który dostaje twoją ofertę. Zgoda na komunikację handlową obowiązuje również w B2B. Nie ma wyjątku dla zimnego maila do firmy. Żadnego.

Uzasadniony interes bywa naciągany jako uniwersalna wymówka. Do newslettera marketingowego nie wystarczy, bo PKE wymaga zgody niezależnie od tego, jaką podstawę wpiszesz sobie w rejestr czynności. Zakup gotowej bazy i scraping stron nie dają ani podstawy prawnej, ani reputacji nadawcy. W takich adresach siedzą pułapki spamowe, a te trafiają prosto do list blokujących. Potem tygodniami odbudowujesz zaufanie.

Zgoda, która się obroni: co zapisujesz w momencie zapisu

Zgoda ma być dobrowolna, konkretna, świadoma i możliwa do wykazania. Ten ostatni warunek to problem techniczny, nie prawny: ciężar dowodu leży po twojej stronie, więc dane trzeba zebrać w chwili zapisu. Później ich nie odtworzysz.

Rekord dowodowy powinien zawierać:

• datę i godzinę zapisu ze strefą czasową,
• adres IP, z którego przyszło zgłoszenie,
• pełną treść klauzuli w wersji obowiązującej tego dnia,
• źródło zapisu: konkretny formularz, import pliku albo integracja,
• status potwierdzenia wraz z czasem kliknięcia w link aktywacyjny.

Osobne cele to osobne checkboxy. Newsletter to nie profilowanie, a profilowanie to nie przekazanie adresu partnerowi handlowemu. Jedno pole na wszystko trzy przewraca się przy pierwszej skardze. Pola domyślnie zaznaczone odpadają, tak samo warunkowanie zakupu zapisem na listę.

Double opt-in traktuj jako standard, nie jako fanaberię ostrożnych. Potwierdzenie mailem odsiewa literówki w domenie, cudze adresy wpisane złośliwie i pułapki spamowe. Kosztuje kilka procent listy na starcie. Oszczędza kryzys później. Jeśli zapis idzie z twojego CRM-u albo sklepu, sprawdź, czy integracja przekazuje komplet danych o zgodzie, a nie sam adres.

Tip: wersjonuj treść klauzuli zgody i trzymaj identyfikator wersji przy rekordzie. Za dwa lata nie odtworzysz z pamięci, na co dokładnie ktoś się zapisał.

Obowiązek informacyjny i prawa subskrybenta w praktyce

Przy formularzu widoczne mają być cztery rzeczy: kto jest administratorem danych, po co zbierasz adres, jak długo go trzymasz i komu przekazujesz. Link do polityki prywatności daj obok pola z adresem, a nie w stopce trzy ekrany niżej. Odbiorca ma podjąć świadomą decyzję tam, gdzie ją faktycznie podejmuje.

Wycofanie zgody musi być tak samo łatwe jak jej udzielenie. Czyli: jedno kliknięcie w link rezygnacji, bez logowania, bez ankiety wyjściowej, bez pytania „czy na pewno”. Każde dodatkowe pole zamienia rezygnację w skargę u operatora, a skarga waży w reputacji dużo więcej niż zwykły wypis.

Nagłówek List-Unsubscribe wraz z wariantem One-Click załatwia dwie sprawy naraz. Duzi operatorzy pocztowi wymagają go od nadawców masowych, a przy okazji realizuje on prawo do sprzeciwu bez otwierania przeglądarki. Odbiorca klika przycisk w interfejsie skrzynki, twój serwer dostaje żądanie POST i usuwa adres. Tyle.

Ustal wcześniej, kto w firmie odbiera zgłoszenia dotyczące dostępu do danych, sprostowania i usunięcia, i w jakim kanale. Skrzynka sprawdzana raz na kwartał to nie jest procedura. Terminy biegną od dnia wpływu, nie od dnia, w którym ktoś w końcu zajrzał.

Tip: rezygnacja musi działać natychmiast w kolejce wysyłkowej. Jeśli wypis wchodzi dopiero po nocnej synchronizacji, kampania ruszona rano trafi do kogoś, kto już powiedział nie.

Techniczna strona zgodności: uwierzytelnianie i nagłówki

Tożsamość nadawcy zaczyna się od trzech rekordów DNS. SPF określa, które serwery mogą wysyłać w imieniu domeny. DKIM podpisuje wiadomość kluczem, którego publiczna część leży w DNS. DMARC spina jedno z drugim i mówi odbiorcy, co zrobić z pocztą, która nie przechodzi weryfikacji. Bez tego zestawu nikomu nie udowodnisz, że mail rzeczywiście wyszedł od ciebie.

Return-Path wskazuje adres, na który wracają odbicia, i musi się zgadzać z domeną w nagłówku From na poziomie organizacyjnym. Inaczej DMARC nie zaliczy dopasowania SPF. Domena bounce to jednocześnie miejsce, gdzie zbierasz twarde zwroty i skąd czyścisz listę. Rekord PTR dla adresu IP serwera wysyłkowego i odpowiadający mu rekord A ustawia u nas flota, nie klient. Ty ogarniasz DNS swojej domeny, my odpowiadamy za to, co widać po stronie IP.

Poza uwierzytelnianiem zostają cztery sprawy:

• TLS w transporcie oraz szyfrowanie kopii zapasowych bazy subskrybentów,
• rozdzielenie strumienia transakcyjnego od marketingowego, żeby kampania nie położyła resetów hasła,
• role i uprawnienia w panelu zamiast jednego konta współdzielonego przez zespół,
• log eksportów: kto, kiedy i jaką listę pobrał.

Retencja, higiena listy i wychodzenie z blokad

Minimalizacja to zasada prawna z bardzo praktycznym skutkiem. Zbieraj tylko te pola, których naprawdę używasz w segmentacji. Numer telefonu w formularzu newslettera obniża konwersję i powiększa zakres ryzyka przy naruszeniu. Po co ci to?

Ustal czas przechowywania i trzymaj się go. Baza „na zawsze” to zbiór martwych rekordów, które psują wskaźniki. Twarde odbicia usuwaj po pierwszym zwrocie, miękkie po serii kolejnych. To jednocześnie higiena danych i ochrona reputacji nadawcy, bo filtry liczą procent nieistniejących adresów w wysyłce.

Nieaktywnym wyślij kampanię reaktywacyjną, a potem ich wypisz. Uparte wysyłanie do skrzynek, które nigdy nie otwierają, jest sygnałem negatywnym niezależnie od tego, jak dobrą masz treść.

Nową pulę IP i nową domenę rozgrzewamy etapami. Wolumen rośnie stopniowo, najpierw do najbardziej zaangażowanych odbiorców, dopiero potem szerzej. Skracanie tego procesu kończy się przewidywalnie.

Gdy przychodzi blokada u dużego filtra, procedura jest zawsze ta sama: diagnoza z logów SMTP i treści odpowiedzi serwera, ograniczenie wysyłki do minimum, wniosek o zdjęcie z listy, potem cierpliwa odbudowa reputacji. Nikt tu nie obiecuje omijania filtrów, bo się nie da. Czego dziś nie mamy, mówimy wprost i wpisujemy na roadmapę, zamiast dopisywać nieistniejącą funkcję do cennika.

Powierzenie przetwarzania: umowa, podprocesorzy, lokalizacja serwerów

Dostawca platformy przetwarza dane twoich subskrybentów w twoim imieniu. Umowa powierzenia jest wtedy obowiązkowa, nie opcjonalna, i powinna być podpisana przed pierwszym importem listy. Brak takiej umowy to najprostsze do wykazania uchybienie, jakie w ogóle istnieje.

Pytaj o dwie konkretne rzeczy. Pierwsza: lista podprocesorów, czyli kto jeszcze dotyka danych, gdy klikasz „wyślij”. Druga: kraj, w którym fizycznie stoją serwery i leżą kopie zapasowe. Transfer poza Europejski Obszar Gospodarczy wymaga dodatkowej podstawy i papierów. Przetwarzanie w Unii jest po prostu prostsze proceduralnie.

Nasza flota serwerów wysyłkowych oznacza znany adres IP, znanego operatora i jeden podmiot odpowiedzialny za dostarczanie. Gdy coś pójdzie nie tak, nie ma odsyłania między dostawcą platformy a anonimowym pośrednikiem SMTP. Jeśli szukasz takiego układu, zobacz polską platformę do email marketingu z własnymi serwerami wysyłkowymi. Warto przy okazji sprawdzić, jakie mechanizmy zgodności ma platforma po stronie funkcji: dowód zapisu, wypis na jedno kliknięcie i uwierzytelnianie domeny.

Do kompletu potrzebujesz jeszcze rejestru czynności przetwarzania i procedury zgłoszenia naruszenia w ciągu 72 godzin. Procedura ma odpowiadać na trzy pytania: kto dzwoni, do kogo i z jakimi logami. Napisana po incydencie jest bezużyteczna.

Minimum, które musisz mieć: lista kontrolna przed pierwszą wysyłką

1. Podstawa prawna zgody zgodna z RODO i PKE artykuł 398, także dla odbiorców B2B.
2. Dowód zapisu: data, IP, wersja klauzuli, źródło, potwierdzenie double opt-in.
3. Obowiązek informacyjny widoczny przy formularzu, z linkiem do polityki prywatności obok pola.
4. Działający wypis na jedno kliknięcie plus nagłówek List-Unsubscribe z wariantem One-Click.
5. SPF, DKIM i DMARC ustawione dla domeny nadawcy, ze zgodnym Return-Path.
6. Polityka retencji z konkretnym terminem i automatycznym czyszczeniem odbić.
7. Umowa powierzenia z dostawcą, wraz z listą podprocesorów i lokalizacją serwerów.

Kolejność wdrożenia ma znaczenie. Najpierw uwierzytelnianie domeny, bo bez niego nawet bez zarzutu poprawna prawnie kampania wyląduje w spamie. Potem formularz i mechanika zgody. Na końcu pierwsza wysyłka, na małym wolumenie, do najbardziej zaangażowanej części listy.

Traktuj zgodność jak parametr techniczny produktu, obok czasu dostarczenia i procentu odbić. Dokument w szufladzie nie podpisze wiadomości kluczem DKIM. Jeśli konfigurujesz domenę albo rozgrzewasz nową pulę, napisz do nas i zróbmy to razem, zanim ruszy pierwsza kampania.