E-mail marketing – jak budować bazę odbiorców zgodnie z prawem?

E-mail marketing może być jednym z najbardziej przewidywalnych kanałów sprzedaży, ale tylko wtedy, gdy baza odbiorców powstaje w sposób legalny, przejrzysty i możliwy do udokumentowania. Samo posiadanie adresu e-mail nie oznacza jeszcze prawa do wysyłania newslettera, ofert ani automatycznych sekwencji sprzedażowych.

Po lekturze dowiesz się, kiedy potrzebna jest zgoda marketingowa, jak łączą się przepisy RODO i Prawa komunikacji elektronicznej, jak powinien wyglądać formularz zapisu, czym różni się single opt-in od double opt-in oraz jak przechowywać dowody zgód. Poznasz także zasady dotyczące baz B2B, lead magnetów, konkursów, kupionych list, profilowania i wypisywania odbiorców.

Czym jest legalne budowanie bazy e-mail marketingowej?

Budowanie bazy e-mail marketingowej to proces pozyskiwania, zapisywania i wykorzystywania adresów e-mail oraz powiązanych z nimi danych w celu prowadzenia komunikacji marketingowej. Proces ten obejmuje między innymi:

• formularze zapisu na newsletter,
• formularze pobrania e-booka lub raportu,
• zapisy na webinar i wydarzenie,
• konta klientów w sklepie internetowym,
• lead ads w mediach społecznościowych,
• formularze kontaktowe,
• programy lojalnościowe i konkursy,
• integracje CRM z systemem e-mail marketingowym,
• import kontaktów pozyskanych offline,
• segmentację, personalizację i analizę aktywności odbiorców.

Legalna baza to nie tylko lista adresów. To zbiór danych, dla którego administrator potrafi wykazać:

1. skąd pochodzi każdy kontakt,
2. w jakim celu został pozyskany,
3. jaka podstawa prawna pozwala przetwarzać dane,
4. czy odbiorca zgodził się na komunikację marketingową danym kanałem,
5. jaką treść zgody zobaczył,
6. kiedy i w jaki sposób zgoda została udzielona,
7. czy odbiorca nie wycofał zgody lub nie wniósł sprzeciwu.

Legalność należy więc oceniać na dwóch poziomach: przetwarzania danych osobowych oraz korzystania z kanału komunikacji elektronicznej.

Jakie przepisy regulują e-mail marketing w Polsce?

W praktyce najważniejsze są dwa obszary regulacyjne.

RODO i przetwarzanie danych osobowych

RODO reguluje między innymi:

• zbieranie i przechowywanie danych,
• określanie celu przetwarzania,
• wybór podstawy prawnej,
• realizację obowiązku informacyjnego,
• profilowanie i automatyzację,
• udostępnianie danych dostawcom,
• przekazywanie danych poza Europejski Obszar Gospodarczy,
• realizację praw osób, których dane dotyczą,
• zabezpieczenie bazy.

Adres e-mail jest daną osobową, jeżeli pozwala bezpośrednio lub pośrednio zidentyfikować konkretną osobę. Dotyczy to nie tylko adresów prywatnych, ale także wielu adresów służbowych, na przykład jan.kowalski@firma.pl.

Adres ogólny, taki jak biuro@firma.pl, nie zawsze będzie daną osobową. Nie oznacza to jednak automatycznie, że można bez zgody wysyłać na niego marketing. Oprócz RODO trzeba uwzględnić przepisy dotyczące samego użycia poczty elektronicznej.

Prawo komunikacji elektronicznej i zgoda na marketing

Prawo komunikacji elektronicznej reguluje korzystanie z usług komunikacji elektronicznej i urządzeń końcowych do przesyłania informacji handlowych, w tym marketingu bezpośredniego.

Co do zasady wysłanie marketingowego e-maila wymaga uprzedniej zgody abonenta lub użytkownika końcowego. Regulacja nie ogranicza się wyłącznie do konsumentów. Może obejmować również komunikację kierowaną do przedsiębiorców oraz na firmowe adresy e-mail.

Zgoda powinna być dobrowolna, świadoma, konkretna, jednoznaczna i możliwa do wycofania. Administrator musi też być w stanie wykazać, że została udzielona przed rozpoczęciem wysyłki.

Dwie warstwy legalności

Podstawy wynikającej z RODO nie należy utożsamiać ze zgodą na wykorzystanie poczty elektronicznej.

Przykładowo administrator może uznać, że ma prawnie uzasadniony interes w prowadzeniu marketingu własnych produktów. Nie oznacza to jednak automatycznie, że może wysłać newsletter bez spełnienia wymagań dotyczących użycia kanału e-mail.

W praktyce trzeba odpowiedzieć na dwa pytania:

1. Czy wolno przetwarzać dane tej osoby w określonym celu?
2. Czy wolno użyć adresu e-mail do przesłania jej komunikatu marketingowego?

Odpowiedź na pierwsze pytanie nie zastępuje odpowiedzi na drugie.

Kiedy wiadomość jest marketingiem bezpośrednim?

Marketing bezpośredni należy rozumieć szerzej niż wiadomość zawierającą cenę i przycisk „Kup teraz”. Charakter marketingowy może mieć również komunikat, którego celem jest:

• promowanie produktów lub usług,
• zachęcanie do kontaktu handlowego,
• budowanie popytu,
• zwiększanie rozpoznawalności marki,
• kierowanie odbiorcy do oferty,
• promowanie webinaru prowadzącego do sprzedaży,
• reaktywowanie nieaktywnych klientów,
• odzyskiwanie porzuconych koszyków,
• prezentowanie treści sponsorowanych,
• zachęcanie do przedłużenia lub rozszerzenia usługi.

O charakterze wiadomości decydują jej treść, kontekst i cel, a nie nazwa nadana przez nadawcę.

Wiadomości transakcyjne a marketingowe

Wiadomość transakcyjna służy realizacji działania oczekiwanego przez użytkownika, na przykład:

• potwierdzeniu zamówienia,
• wysłaniu faktury,
• przekazaniu linku do resetowania hasła,
• poinformowaniu o terminie dostawy,
• potwierdzeniu rejestracji,
• przekazaniu informacji o zmianie istotnej dla realizowanej usługi.

Taka wiadomość co do zasady nie wymaga zgody marketingowej, jeżeli jest rzeczywiście niezbędna do realizacji usługi lub umowy.

Problem powstaje, gdy do komunikatu transakcyjnego zostaje dodana reklama. Baner z promocją, kod rabatowy na kolejne zakupy albo rozbudowana sekcja produktowa mogą nadać wiadomości dodatkowy cel marketingowy. Bezpieczniej oddzielać komunikację operacyjną od kampanii promocyjnych.

Jaką podstawę prawną wybrać?

Podstawa prawna zależy od celu i rodzaju operacji na danych. Jedna baza może być przetwarzana na kilku podstawach, ale każda z nich powinna odpowiadać konkretnemu celowi.

Zgoda

Zgoda jest najczęściej stosowana przy:

• zapisie na newsletter,
• otrzymywaniu ofert e-mailowych,
• komunikacji partnerów handlowych,
• wybranych działaniach profilujących,
• udostępnieniu danych innym administratorom w celach marketingowych.

Nie można ukrywać kilku niezależnych celów w jednym ogólnym oświadczeniu. Jeżeli dane mają być wykorzystywane przez różne podmioty lub w różnych kanałach, może być potrzebne rozdzielenie zgód.

Wykonanie umowy

Podstawa ta może obejmować wiadomości niezbędne do:

• założenia i obsługi konta,
• wykonania zamówienia,
• dostarczenia zakupionej usługi,
• obsługi płatności,
• realizacji świadczenia zamówionego przez użytkownika.

Nie należy na tej podstawie prowadzić dowolnego marketingu. Fakt, że ktoś kupił produkt, nie oznacza jeszcze zgody na regularne kampanie promocyjne.

Prawnie uzasadniony interes

Prawnie uzasadniony interes może znaleźć zastosowanie między innymi przy:

• podstawowej analityce prowadzonej zgodnie z zasadą minimalizacji,
• ochronie przed nadużyciami,
• obronie przed roszczeniami,
• utrzymywaniu listy osób, które wycofały zgodę,
• niektórych działaniach dotyczących marketingu własnego.

Zastosowanie tej podstawy wymaga oceny interesów administratora, konieczności przetwarzania oraz praw i oczekiwań odbiorcy. Nie znosi ono wymogu uprzedniej zgody na użycie poczty elektronicznej, jeżeli taka zgoda jest wymagana przez przepisy sektorowe.

Obowiązek prawny

Może dotyczyć między innymi przechowywania dokumentacji księgowej lub realizowania określonych obowiązków wobec organów publicznych. Nie jest samodzielną podstawą do wysyłania newslettera.

Jak powinna wyglądać prawidłowa zgoda?

Prawidłowa zgoda nie powinna pozostawiać wątpliwości, kto będzie wysyłał wiadomości, jakim kanałem i w jakim celu.

Cechy ważnej zgody

Zgoda powinna być:

• uprzednia – udzielona przed wysłaniem marketingu,
• dobrowolna – bez nieuzasadnionej presji lub negatywnych konsekwencji,
• konkretna – odnosząca się do określonego celu,
• świadoma – poprzedzona jasną informacją,
• jednoznaczna – wyrażona poprzez aktywne działanie,
• rozliczalna – możliwa do udowodnienia,
• odwoływalna – możliwa do łatwego wycofania.

Milczenie, brak reakcji oraz wcześniej zaznaczone pole nie są bezpiecznym sposobem uzyskania zgody.

Przykładowa treść zgody

Chcę otrzymywać od [nazwa administratora] na podany adres e-mail informacje handlowe i marketingowe dotyczące [kategorie produktów lub usług]. Wiem, że zgodę mogę wycofać w dowolnym momencie.

Obok formularza należy wskazać administratora i udostępnić informacje o przetwarzaniu danych. Pełna klauzula nie musi zajmować całego formularza. Można zastosować warstwowy obowiązek informacyjny: najważniejsze informacje pokazać przy zapisie, a szczegóły opisać w polityce prywatności.

Treść zgody musi odpowiadać rzeczywistemu modelowi komunikacji. Nie warto kopiować gotowej formuły bez sprawdzenia, kto jest administratorem, jakie treści będą wysyłane i czy dane trafią do innych podmiotów.

Czy zgoda może być częścią regulaminu?

Zgoda marketingowa nie powinna być ukryta w akceptacji regulaminu ani polityki prywatności. Regulamin określa zasady świadczenia usługi, a polityka prywatności informuje o przetwarzaniu danych. Samo potwierdzenie zapoznania się z tymi dokumentami nie powinno zastępować aktywnej zgody marketingowej.

Czy zgoda może być obowiązkowa?

Jeżeli istotą usługi jest newsletter, podanie adresu i zgoda na jego wysyłkę są naturalnym elementem zapisu. Inaczej należy ocenić sytuację, w której otrzymanie niezwiązanej usługi, zakup produktu lub wysłanie reklamacji uzależnia się od akceptacji dodatkowego marketingu.

Zgoda nie jest dobrowolna, jeżeli użytkownik musi zaakceptować niepotrzebny marketing, aby zrealizować działanie, które powinno być dostępne bez niego.

Jak zaprojektować legalny formularz zapisu?

Dobry formularz powinien łączyć wysoką konwersję z przejrzystością. Nie musi być długi, ale użytkownik powinien rozumieć, na co się zapisuje.

Elementy formularza

Formularz powinien zawierać:

• jasną nazwę newslettera lub komunikacji,
• informację o rodzaju wysyłanych treści,
• częstotliwość, jeżeli może mieć znaczenie dla decyzji,
• nazwę administratora,
• pole na adres e-mail,
• niezaznaczony checkbox, jeśli jest potrzebny,
• krótką informację o możliwości wycofania zgody,
• odnośnik do polityki prywatności,
• prawdziwy opis korzyści lub lead magnetu.

Nie należy zbierać danych „na zapas”. Do wysyłki newslettera zazwyczaj wystarcza adres e-mail. Imię może być uzasadnione personalizacją, ale numer telefonu, data urodzenia czy stanowisko powinny mieć wyraźny cel.

Przykładowy formularz

Zapisz się na cotygodniowy newsletter o marketingu B2B.

Otrzymasz praktyczne poradniki, analizy i informacje o naszych usługach.

[Pole: adres e-mail]

[ ] Chcę otrzymywać od ABC sp. z o.o. na podany adres e-mail informacje handlowe i marketingowe dotyczące usług marketingowych. Zgodę mogę wycofać w dowolnym momencie.

Administratorem danych jest ABC sp. z o.o. Szczegóły dotyczące przetwarzania danych i praw odbiorcy znajdują się w polityce prywatności.

Dark patterns, których należy unikać

Ryzykowne są między innymi:

• wcześniej zaznaczone checkboxy,
• przycisk sugerujący, że zgoda jest obowiązkowa,
• ukrywanie informacji jasnoszarym tekstem,
• podwójne zaprzeczenia,
• niejasne określenie „partnerzy” bez możliwości ich identyfikacji,
• łączenie wielu zgód w jednym polu,
• utrudnianie znalezienia opcji odmowy,
• komunikat sugerujący, że wypisanie się oznacza utratę konta lub praw z umowy.

Single opt-in czy double opt-in?

Single opt-in

W modelu single opt-in adres trafia do aktywnej bazy bezpośrednio po wysłaniu formularza.

Zalety:

• mniej kroków,
• wyższa liczba zakończonych zapisów,
• prostsze doświadczenie użytkownika.

Wady:

• ryzyko literówek,
• możliwość zapisania cudzego adresu,
• słabszy materiał dowodowy,
• większe ryzyko spamu, botów i pułapek spamowych.

Double opt-in

W modelu double opt-in użytkownik po wypełnieniu formularza otrzymuje wiadomość z prośbą o potwierdzenie zapisu. Do bazy aktywnych odbiorców trafia dopiero po kliknięciu linku.

Zalety:

• lepszy dowód kontroli nad adresem,
• mniej nieprawidłowych kontaktów,
• wyższa jakość listy,
• mniejsze ryzyko skarg na spam,
• większa odporność na automatyczne zapisy.

Wady:

• część osób nie kończy procesu,
• wiadomość potwierdzająca może trafić do spamu,
• proces wymaga poprawnej konfiguracji technicznej.

Double opt-in nie jest ogólnym, bezwzględnym obowiązkiem ustawowym. Jest jednak dobrą praktyką dowodową i operacyjną. Sama wiadomość potwierdzająca powinna służyć wyłącznie potwierdzeniu zapisu, bez rozbudowanej reklamy.

Jak dokumentować zgodę?

Administrator powinien potrafić odtworzyć proces zapisu konkretnego odbiorcy. Sam wpis „zgoda: tak” może być niewystarczający.

Warto przechowywać:

• adres e-mail,
• datę i godzinę zapisu,
• źródło zapisu,
• identyfikator formularza,
• wersję treści zgody,
• wersję klauzuli informacyjnej,
• informację o potwierdzeniu double opt-in,
• datę i godzinę potwierdzenia,
• techniczne dane pomocnicze, jeżeli są potrzebne i proporcjonalne,
• historię zmian statusu,
• datę wycofania zgody,
• źródło importu kontaktu,
• zakres zgody, na przykład e-mail, SMS lub telefon.

Należy zachować równowagę między rozliczalnością a minimalizacją. Nie powinno się zbierać nadmiernych danych technicznych tylko dlatego, że system daje taką możliwość.

Wersjonowanie treści zgód

Treść checkboxa może zmieniać się w czasie. Dlatego zamiast zapisywać wyłącznie datę zgody, warto przechowywać identyfikator lub kopię wersji, którą zobaczył użytkownik.

Pozwala to wykazać:

• kto miał wysyłać wiadomości,
• jaki był zakres komunikacji,
• jak opisano cel przetwarzania,
• czy wspomniano o partnerach,
• jakie dokumenty obowiązywały w dniu zapisu.

Skąd legalnie pozyskiwać adresy e-mail?

Newsletter na stronie internetowej

To jeden z najbezpieczniejszych kanałów, jeżeli formularz jest przejrzysty, a zapis odpowiednio rejestrowany. Formularz można umieścić na stronie głównej, blogu, stronie produktu lub w procesie zakupowym.

Checkbox marketingowy w koszyku nie powinien być wcześniej zaznaczony. Zakup musi być możliwy również bez zapisu na newsletter.

Lead magnet

E-book, raport, checklista lub szablon mogą wspierać budowanie bazy. Użytkownik musi jednak wiedzieć, czy:

• podaje adres wyłącznie po to, aby otrzymać materiał,
• zapisuje się również na newsletter,
• otrzyma późniejsze oferty,
• jego dane zostaną udostępnione partnerom.

Najbardziej przejrzyste rozwiązanie oddziela dostarczenie materiału od niezależnej zgody na dalszy marketing. Jeżeli newsletter jest częścią wyraźnie opisanej usługi lub modelu „treść za dane”, zasady muszą zostać przedstawione przed zapisem i ocenione pod kątem dobrowolności oraz proporcjonalności.

Webinar i wydarzenie

Rejestracja na webinar nie oznacza automatycznej zgody na stały newsletter. Bez dodatkowej zgody można przesyłać wiadomości organizacyjne potrzebne do przeprowadzenia wydarzenia, takie jak potwierdzenie rejestracji, link do transmisji czy zmiana terminu.

Oferty sprzedażowe, newsletter i komunikacja sponsorów wymagają odrębnej oceny. Jeżeli sponsorzy mają otrzymać dane uczestników jako niezależni administratorzy, trzeba ich jasno wskazać i odpowiednio zaprojektować zgody.

Zakup w sklepie internetowym

Adres podany przy zakupie może być używany do obsługi zamówienia. Nie powinien być automatycznie przenoszony do listy marketingowej.

W formularzu zakupowym można zaproponować dobrowolny zapis na newsletter, ale odmowa nie może blokować zakupu ani pogarszać realizacji umowy.

Formularz kontaktowy

Wysłanie zapytania nie jest równoznaczne z zapisem do newslettera. Dane z formularza można wykorzystywać do udzielenia odpowiedzi i prowadzenia rozmowy dotyczącej zapytania. Dalsza automatyczna komunikacja marketingowa wymaga odpowiedniej podstawy i spełnienia wymogów dla kanału e-mail.

Targi, konferencje i wizytówki

Wręczenie wizytówki umożliwia kontakt w zakresie, którego można racjonalnie oczekiwać w danym kontekście. Nie zawsze oznacza zgodę na dodanie adresu do cyklicznego newslettera.

Jeżeli baza ma być budowana na wydarzeniu, warto przygotować:

• osobny formularz zapisu,
• kod QR prowadzący do formularza,
• tablet z pełną informacją,
• rejestr źródła i treści zgody.

Lead ads i media społecznościowe

Formularz platformy reklamowej musi zawierać informacje o administratorze, celu przetwarzania i dalszej komunikacji. Trzeba też ustalić role prawne platformy, reklamodawcy oraz systemów, do których dane są przesyłane.

Nie należy zakładać, że zgoda udzielona „na platformie” obejmuje każdy kanał i dowolną przyszłą kampanię.

Baza B2B – czy do firm można pisać bez zgody?

To jeden z najczęstszych mitów w e-mail marketingu. Adres firmowy nie tworzy automatycznego wyjątku od zasad dotyczących marketingu elektronicznego.

Należy rozróżnić:

• adres imienny, na przykład anna.nowak@firma.pl,
• adres przypisany do stanowiska, na przykład dyrektor@firma.pl,
• adres ogólny, na przykład kontakt@firma.pl.

W przypadku adresu imiennego zwykle dochodzi również do przetwarzania danych osobowych. Przy adresie ogólnym RODO może nie mieć zastosowania w takim samym zakresie, ale nadal trzeba ocenić legalność wysłania informacji handlowej na podstawie przepisów dotyczących komunikacji elektronicznej.

Cold mailing

Cold mailing nie staje się legalny tylko dlatego, że:

• odbiorca jest przedsiębiorcą,
• adres znajduje się na stronie firmy,
• wiadomość została napisana ręcznie,
• wysłano ją tylko raz,
• oferta jest „dopasowana”,
• nadawca pyta najpierw o zgodę na przesłanie oferty.

Wiadomość z pytaniem „Czy mogę przesłać ofertę?” może sama służyć rozpoczęciu procesu sprzedażowego i mieć charakter marketingowy. Liczy się jej faktyczny cel, a nie brak załączonego cennika.

Publikacja adresu w internecie oznacza możliwość wykorzystania go zgodnie z kontekstem publikacji, na przykład do obsługi zapytań. Nie jest równoznaczna z ogólną zgodą na newslettery i masowe oferty.

Czy można kupić gotową bazę adresów?

Zakup bazy należy do najbardziej ryzykownych metod pozyskiwania odbiorców. Sprzedawca powinien wykazać nie tylko legalne pochodzenie danych, ale również to, że zakres udzielonych zgód obejmuje konkretnego nabywcę, cel i kanał komunikacji.

Ogólna zgoda na „oferty partnerów” może być niewystarczająca, szczególnie gdy odbiorca nie był w stanie ustalić, kto i w jakiej branży będzie się z nim kontaktował.

Przed nabyciem bazy należałoby zweryfikować:

• źródło każdego kontaktu,
• treść i wersję zgody,
• datę jej udzielenia,
• sposób identyfikacji nabywcy,
• zakres kanałów komunikacji,
• sposób realizowania wycofania zgody,
• aktualność danych,
• wcześniejsze sprzeciwy i skargi,
• możliwość przedstawienia dowodów.

W praktyce często nie da się spełnić tych warunków. Dochodzą do tego ryzyka wizerunkowe, niska jakość listy, spam traps, blokady domeny i skargi odbiorców. Zwykle bezpieczniej i efektywniej jest zbudować własną bazę first-party.

Jak realizować obowiązek informacyjny?

Odbiorca powinien otrzymać informacje między innymi o:

• tożsamości i danych kontaktowych administratora,
• celach przetwarzania,
• podstawach prawnych,
• odbiorcach lub kategoriach odbiorców danych,
• okresie przechowywania lub kryteriach jego ustalania,
• prawie dostępu, sprostowania i usunięcia danych,
• prawie ograniczenia przetwarzania,
• prawie do przenoszenia danych, jeżeli ma zastosowanie,
• prawie do wycofania zgody,
• prawie do sprzeciwu,
• prawie wniesienia skargi do organu nadzorczego,
• ewentualnym profilowaniu,
• przekazywaniu danych poza EOG,
• dobrowolności podania danych i skutkach ich niepodania.

Informacje powinny być napisane prostym językiem. Polityka prywatności nie powinna być zbiorem niejasnych formuł prawnych, które nie odpowiadają rzeczywistym procesom w firmie.

Jak długo można przechowywać bazę?

RODO nie określa jednego uniwersalnego terminu przechowywania adresów e-mail. Dane powinny być przechowywane nie dłużej, niż jest to potrzebne do realizacji celu.

W praktyce trzeba zdefiniować:

• czas przechowywania aktywnych subskrybentów,
• zasady przeglądu nieaktywnych kontaktów,
• okres przechowywania dowodów zgód,
• czas potrzebny do ustalenia lub obrony roszczeń,
• zasady usuwania danych z kopii zapasowych,
• okres utrzymywania listy blokującej ponowną wysyłkę.

Nie należy ustalać terminu wyłącznie na podstawie aktywności marketingowej. Brak otwarcia wiadomości nie zawsze oznacza brak zainteresowania, między innymi z powodu blokowania obrazów i mechanizmów ochrony prywatności.

Lista wykluczeń

Po wypisaniu odbiorcy nie zawsze należy usuwać wszelki ślad po adresie. Minimalny zapis na liście wykluczeń może być potrzebny, aby nie zaimportować tej osoby ponownie i nie wznowić wysyłki.

Lista wykluczeń powinna:

• zawierać możliwie mało danych,
• być używana tylko do blokowania wysyłki,
• mieć ograniczony dostęp,
• nie służyć do ponownego profilowania,
• być synchronizowana między systemami.

Wycofanie zgody i rezygnacja z newslettera

Wycofanie zgody powinno być równie łatwe jak jej udzielenie. W każdej wiadomości marketingowej warto umieścić widoczny link rezygnacji, który działa bez logowania i zbędnych etapów.

Niedopuszczalne lub ryzykowne praktyki to:

• wymaganie podania hasła,
• żądanie wysłania pisemnego wniosku,
• ukrywanie linku bardzo małą czcionką,
• zmuszanie do wypełnienia ankiety,
• wymaganie kontaktu telefonicznego,
• kontynuowanie wysyłki przez nieokreślony czas,
• automatyczne ponowne zapisywanie przy kolejnym imporcie.

Można zaproponować centrum preferencji, w którym użytkownik zmniejszy częstotliwość albo wybierze interesujące go tematy. Nie może ono jednak zastępować prostej możliwości całkowitego wypisania się.

Wycofanie zgody działa na przyszłość. Nie powoduje automatycznie, że wcześniejsze przetwarzanie staje się nielegalne.

Segmentacja, personalizacja i profilowanie

Prosta segmentacja może opierać się na:

• deklarowanych zainteresowaniach,
• historii zakupów,
• wybranej kategorii newslettera,
• aktywności na stronie,
• kliknięciach w wiadomości,
• lokalizacji lub branży,
• etapie relacji z marką.

Odbiorca powinien zostać poinformowany, jeżeli dane są wykorzystywane do profilowania. Im bardziej rozbudowany model i bardziej odczuwalne skutki dla użytkownika, tym dokładniejszej analizy wymaga proces.

Szczególnej ostrożności wymagają:

• dane dotyczące zdrowia,
• poglądy polityczne i religijne,
• informacje o seksualności,
• dane biometryczne,
• precyzyjna lokalizacja,
• wnioski dotyczące sytuacji finansowej,
• łączenie danych z wielu niezależnych źródeł,
• ustalanie cen lub dostępności ofert na podstawie profilu.

Zwykła personalizacja treści newslettera zazwyczaj nie jest decyzją wywołującą skutki prawne. Może jednak nadal stanowić profilowanie i powinna być opisana zgodnie z rzeczywistym zakresem operacji.

Piksele śledzące, linki i analityka wiadomości

Systemy e-mail marketingowe mogą mierzyć otwarcia, kliknięcia, typ urządzenia, przybliżoną lokalizację i dalsze działania na stronie. Dane te mogą być niedokładne, a ich zbieranie wymaga oceny pod kątem prywatności, przejrzystości i zasad dotyczących dostępu do informacji na urządzeniu użytkownika.

W szczególności należy sprawdzić:

• czy śledzenie jest konieczne,
• jakie dane zapisuje dostawca,
• czy odbiorca został o nim poinformowany,
• jaka jest podstawa prawna,
• czy identyfikatory są łączone z profilem użytkownika,
• jak długo przechowywane są zdarzenia,
• czy dane trafiają poza EOG,
• czy można prowadzić kampanię z ograniczonym śledzeniem.

Współczynnik otwarć nie powinien być traktowany jako w pełni wiarygodna miara zaangażowania. Mechanizmy ochrony prywatności mogą automatycznie pobierać obrazy i zawyżać liczbę otwarć, a blokowanie grafik może prowadzić do wyniku zaniżonego.

Dostawca systemu e-mail marketingowego

Firma korzystająca z platformy mailingowej zazwyczaj pozostaje administratorem danych, a dostawca systemu działa jako podmiot przetwarzający. Role należy jednak ocenić na podstawie rzeczywistych działań, a nie samej nazwy zapisanej w umowie.

Przed wyborem platformy warto sprawdzić:

• dostępność umowy powierzenia przetwarzania,
• lokalizację serwerów,
• zasady transferów poza EOG,
• listę podwykonawców,
• mechanizmy kontroli dostępu,
• szyfrowanie danych,
• obsługę usuwania i eksportu danych,
• historię operacji na kontaktach,
• rejestrowanie zgód,
• automatyczne listy wykluczeń,
• czas usuwania danych po zakończeniu umowy,
• procedury reagowania na incydenty.

Dostawca nie powinien wykorzystywać bazy klientów do własnych, niezależnych celów marketingowych bez odpowiedniej podstawy i jasnego określenia roli prawnej.

Bezpieczeństwo bazy e-mail

Baza subskrybentów jest aktywem biznesowym i zbiorem danych, który wymaga adekwatnych zabezpieczeń.

Podstawowe środki to:

• uwierzytelnianie wieloskładnikowe,
• indywidualne konta użytkowników,
• ograniczenie uprawnień,
• regularny przegląd dostępów,
• szyfrowanie transmisji i przechowywania,
• bezpieczne integracje API,
• kontrola eksportów CSV,
• zakaz przesyłania baz przez niezabezpieczone kanały,
• kopie zapasowe,
• rejestrowanie operacji,
• procedura reagowania na naruszenia,
• szkolenia pracowników i agencji.

Eksport pełnej bazy do arkusza powinien być wyjątkiem, a nie codzienną praktyką. Po zakończeniu współpracy z pracownikiem lub agencją dostęp należy niezwłocznie odebrać.

Tabela decyzyjna: czy można wysłać e-mail?

Sytuacja	Czy adres jest daną osobową?	Czy można wysłać wiadomość?	Co należy zrobić?
Użytkownik potwierdził zapis na newsletter	Zwykle tak	Tak, w zakresie zgody	Zachować dowód zgody i umożliwić rezygnację
Klient podał adres przy zamówieniu	Zwykle tak	Tak dla obsługi zamówienia, nie automatycznie dla marketingu	Oddzielić wiadomości transakcyjne od promocyjnych
Adres imienny znaleziono na stronie firmy	Tak	Nie daje to automatycznego prawa do wysyłki marketingowej	Ocenić cel publikacji i uzyskać wymaganą zgodę
Adres biuro@firma.pl jest publiczny	Niekoniecznie	Publiczność adresu nie oznacza zgody na reklamę	Nie traktować publikacji jako zgody marketingowej
Uczestnik zapisał się na webinar	Zwykle tak	Tak dla wiadomości organizacyjnych	Newsletter i oferty oprzeć na odrębnej zgodzie
Odbiorca pobrał e-book	Zwykle tak	Tak dla dostarczenia materiału	Jasno oddzielić materiał od dalszego marketingu
Kontakt pochodzi z kupionej bazy	Zwykle tak	Najczęściej wysokie ryzyko lub brak podstaw	Zweryfikować źródło, treść zgód i identyfikację nadawcy
Osoba wręczyła wizytówkę na targach	Tak	Możliwy kontakt zgodny z kontekstem, nie automatycznie newsletter	Użyć osobnego formularza zapisu
Użytkownik wycofał zgodę	Tak	Nie dla komunikacji objętej wycofaniem	Zablokować wysyłkę i zachować minimalny wpis na liście wykluczeń
System wysyła potwierdzenie zamówienia	Tak	Tak, jeśli wiadomość jest potrzebna do realizacji umowy	Nie dodawać niepotrzebnej reklamy
Firma chce wysłać prośbę o zgodę na ofertę	Zwykle tak	Ryzykowne, jeśli wiadomość sama ma cel marketingowy	Nie traktować „pytania o zgodę” jako automatycznego wyjątku
Marka chce ponownie aktywować dawną bazę	Zwykle tak	Tylko jeśli nadal istnieje odpowiednia podstawa i zgoda kanałowa	Zweryfikować historię zgód przed wysyłką

Najczęstsze błędy przy budowaniu bazy

Jeden checkbox na wszystko

Łączenie newslettera, ofert partnerów, telefonu, SMS-ów i profilowania w jednym polu utrudnia wykazanie konkretności i dobrowolności zgody.

Automatyczny zapis klientów

Przenoszenie każdego kupującego do newslettera bez odrębnego procesu zgody miesza cele transakcyjne i marketingowe.

Brak dowodu zgody

Import listy z arkusza bez informacji o źródle, dacie i treści zgody uniemożliwia wykazanie legalności bazy.

Wcześniej zaznaczony checkbox

Zgoda powinna wynikać z aktywnego działania użytkownika. Domyślnie zaznaczone pole nie spełnia tego warunku.

Brak synchronizacji wypisów

Odbiorca wypisuje się w systemie mailingowym, ale pozostaje aktywny w CRM, narzędziu sprzedażowym albo platformie webinarowej. Przy kolejnym imporcie ponownie trafia do kampanii.

Traktowanie polityki prywatności jak zgody

Polityka informuje o przetwarzaniu danych. Samo jej zaakceptowanie nie tworzy automatycznie zgody na każdy rodzaj marketingu.

Zbyt szeroka zgoda

Zwroty takie jak „marketing podmiotów współpracujących dowolnymi kanałami” mogą być nieprzejrzyste i zbyt ogólne.

Brak procedury usuwania danych

Usunięcie kontaktu tylko z jednego narzędzia nie wystarczy, jeżeli jego kopie pozostają w innych aktywnych systemach.

Mity dotyczące legalnego e-mail marketingu

„Jedna wiadomość nie jest spamem”

Liczba wiadomości nie rozstrzyga o ich legalności. Pojedynczy e-mail również może być informacją handlową lub marketingiem bezpośrednim.

„Do firm można pisać bez zgody”

Komunikacja B2B nie jest automatycznie wyłączona z regulacji dotyczących marketingu elektronicznego.

„Adres w internecie jest publiczny, więc można go użyć”

Publiczna dostępność nie oznacza zgody na dowolne wykorzystanie. Znaczenie ma cel i kontekst publikacji.

„RODO zabrania e-mail marketingu”

RODO nie zakazuje marketingu. Wymaga określonego celu, podstawy prawnej, przejrzystości, minimalizacji, bezpieczeństwa i realizacji praw odbiorców.

„Double opt-in jest zawsze obowiązkowy”

Nie jest uniwersalnym obowiązkiem dla każdego newslettera, ale znacznie wzmacnia materiał dowodowy i jakość bazy.

„Usunięcie kontaktu oznacza usunięcie wszystkich danych”

Część minimalnych danych może być nadal potrzebna do blokowania kolejnej wysyłki, rozliczalności albo obrony przed roszczeniami.

„Można wysłać e-mail z pytaniem o zgodę”

Jeżeli wiadomość ma rozpocząć proces sprzedażowy lub promuje ofertę, samo nazwanie jej pytaniem o zgodę nie usuwa jej marketingowego charakteru.

Liczby i statystyki ważne dla e-mail marketingu

Poniższe wartości obejmują zarówno liczby wynikające z regulacji, jak i orientacyjne progi operacyjne. Benchmarki należy dostosować do branży, rodzaju wiadomości, kraju, jakości bazy i sposobu pomiaru.

Najważniejsze liczby prawne i organizacyjne

• 10 listopada 2024 r. – data rozpoczęcia stosowania w Polsce Prawa komunikacji elektronicznej.
• 20 mln euro lub 4% całkowitego rocznego światowego obrotu z poprzedniego roku – maksymalny wymiar administracyjnej kary pieniężnej przewidziany dla najpoważniejszych naruszeń RODO; zastosowanie ma wyższa z tych wartości.
• 72 godziny – termin na zgłoszenie organowi nadzorczemu naruszenia ochrony danych, jeżeli naruszenie podlega obowiązkowi zgłoszenia.
• 1 miesiąc – standardowy termin odpowiedzi na żądanie osoby dotyczące jej praw wynikających z RODO, z możliwością przedłużenia w określonych przypadkach.
• 2 etapy – formularz i potwierdzenie adresu w modelu double opt-in.
• 0 uniwersalnych ustawowych okresów przechowywania newslettera – retencję należy określić na podstawie celu, podstawy prawnej i zasady ograniczenia przechowywania.
• 1 kliknięcie – praktyczny standard rezygnacji, do którego warto dążyć w każdej wiadomości marketingowej.

Orientacyjne wskaźniki jakości bazy

• Współczynnik odrzuceń poniżej 2% – często przyjmowany jako bezpieczny cel operacyjny dla regularnych kampanii.
• Skargi spamowe poniżej 0,1% – rozsądny próg ostrzegawczy; wymagania dostawców skrzynek mogą być bardziej restrykcyjne.
• Rezygnacje na poziomie około 0,1–0,5% kampanii – często spotykany zakres, ale zależny od częstotliwości i rodzaju treści.
• Dostarczalność powyżej 95% – użyteczny cel techniczny, który nie oznacza jeszcze dotarcia do głównej skrzynki odbiorczej.
• 100% kontaktów z udokumentowanym źródłem – właściwy standard rozliczalności niezależnie od wielkości bazy.

Współczynnik otwarć należy interpretować ostrożnie. Automatyczne pobieranie obrazów przez systemy ochrony prywatności może zawyżać wyniki. Większą wartość mogą mieć kliknięcia, konwersje, odpowiedzi, skargi, wypisy oraz przychód przypisany do kampanii.

Audyt bazy e-mail krok po kroku

1. Zidentyfikuj wszystkie źródła kontaktów

Uwzględnij stronę, sklep, CRM, wydarzenia, lead ads, konkursy, webinary, aplikacje, arkusze i bazy agencji.

2. Przypisz cele i podstawy prawne

Oddziel obsługę umowy, newsletter, marketing partnerów, analitykę, profilowanie i obronę przed roszczeniami.

3. Zweryfikuj zgodę na kanał e-mail

Sprawdź, czy została udzielona przed wysyłką, komu, w jakim zakresie i na jaką kategorię treści.

4. Oceń materiał dowodowy

Potwierdź, że system przechowuje datę, źródło, treść zgody i historię jej wycofania.

5. Usuń lub odizoluj kontakty o nieznanym pochodzeniu

Brak informacji o źródle jest sygnałem, że kontaktu nie należy automatycznie wykorzystywać w kampaniach.

6. Sprawdź wypisy i sprzeciwy

Listy blokujące powinny być zsynchronizowane między wszystkimi narzędziami.

7. Zweryfikuj dostawców

Sprawdź umowy powierzenia, podwykonawców, transfery międzynarodowe i zasady usuwania danych.

8. Ustal retencję

Zdefiniuj terminy dla aktywnych kontaktów, nieaktywnych profili, dowodów zgód, kopii zapasowych i list wykluczeń.

9. Przetestuj ścieżkę użytkownika

Samodzielnie przejdź zapis, double opt-in, zmianę preferencji, pobranie danych i wypisanie się.

10. Dokumentuj decyzje

Warto posiadać rejestr czynności, opis procesu, test równowagi tam, gdzie stosowany jest prawnie uzasadniony interes, oraz procedurę obsługi praw odbiorców.

Jak rozwijać bazę bez obniżania jej jakości?

Legalność i skuteczność nie są przeciwieństwami. Przejrzysty zapis często prowadzi do mniejszej, ale bardziej zaangażowanej bazy.

Warto:

• jasno opisać korzyść z subskrypcji,
• określić temat i częstotliwość wysyłki,
• stosować double opt-in,
• pozwolić odbiorcy wybrać obszary zainteresowań,
• promować newsletter w treściach o wysokiej intencji,
• regularnie usuwać błędne adresy,
• monitorować skargi i odrzucenia,
• prowadzić centrum preferencji,
• oddzielać treści redakcyjne od intensywnych sekwencji sprzedażowych,
• mierzyć konwersję i wartość kontaktów, a nie tylko wielkość listy.

Nie warto ponownie prosić nieudokumentowanej, dawnej bazy o zgodę za pomocą masowego e-maila marketingowego. Taka wiadomość sama może wymagać uprzedniej zgody. Odbudowę listy lepiej prowadzić przez własne kanały, formularze na stronie, konta użytkowników lub kontakt inicjowany przez odbiorcę.

FAQ

Czy do wysyłania newslettera zawsze potrzebna jest zgoda?

W typowym newsletterze marketingowym należy przyjąć, że potrzebna jest uprzednia zgoda na użycie adresu e-mail. Niezależnie od niej trzeba ustalić podstawę przetwarzania danych zgodnie z RODO.

Czy klient sklepu może automatycznie trafić do newslettera?

Nie. Adres przekazany w celu realizacji zamówienia nie powinien być automatycznie wykorzystywany do stałej komunikacji promocyjnej. Zapis marketingowy należy zaprojektować oddzielnie.

Czy checkbox jest zawsze konieczny?

Nie zawsze. Zgoda może wynikać z jednoznacznego działania, jeżeli formularz jasno wskazuje, że jego wysłanie oznacza zapis na określoną komunikację. Checkbox często zwiększa jednak przejrzystość i ułatwia oddzielenie newslettera od innych działań.

Czy zgoda może wynikać z podania adresu e-mail?

Może, jeśli użytkownik podaje adres w jasno i jednoznacznie opisanym celu otrzymywania informacji handlowych na ten adres. Samo wpisanie adresu do formularza kontaktowego, zamówienia lub pobrania pliku nie oznacza automatycznie zgody na dowolny marketing.

Czy double opt-in jest wymagany przez prawo?

Nie jest powszechnym obowiązkiem dla każdej listy. Jest rekomendowany, ponieważ ogranicza nadużycia i ułatwia wykazanie, że osoba kontrolująca dany adres potwierdziła zapis.

Czy można wysłać ofertę na adres znaleziony w CEIDG lub na stronie firmy?

Sama dostępność adresu w publicznym rejestrze lub na stronie nie oznacza zgody na marketing elektroniczny. Trzeba ocenić cel publikacji, charakter wiadomości i wymagania dotyczące kanału komunikacji.

Czy można korzystać z kupionej bazy?

Tylko gdy można wykazać legalne pochodzenie danych oraz zgodę obejmującą konkretnego nadawcę, cel i kanał. W praktyce wiele kupowanych baz nie spełnia tych warunków i stwarza wysokie ryzyko prawne oraz techniczne.

Czy e-mail do firmy podlega RODO?

Jeżeli adres identyfikuje osobę fizyczną, zwykle tak. Adres ogólny może nie być daną osobową, ale nadal obowiązują zasady dotyczące przesyłania marketingu elektronicznego.

Czy można dodać reklamę do potwierdzenia zamówienia?

Jest to ryzykowne. Potwierdzenie zamówienia powinno służyć realizacji umowy. Rozbudowana reklama może sprawić, że wiadomość będzie miała również cel marketingowy.

Jak szybko należy zrealizować wypisanie?

Należy zrobić to bez zbędnej zwłoki. Technicznie najlepiej blokować dalsze kampanie natychmiast po kliknięciu linku rezygnacji.

Czy po wypisaniu trzeba usunąć cały rekord?

Nie zawsze. Można pozostawić minimalny wpis na liście wykluczeń, jeśli jest potrzebny do zapobiegania ponownej wysyłce lub wykazania historii zgody. Nie powinien on służyć do dalszego marketingu.

Czy można wysłać kampanię reaktywacyjną do nieaktywnej bazy?

Tak, jeżeli nadal istnieje właściwa podstawa prawna, zgoda obejmuje taką komunikację i nie została wycofana. Sama chęć „odnowienia zgód” nie legalizuje wysyłki do kontaktów o nieznanym pochodzeniu.

Czy agencja może przechowywać kopię bazy po zakończeniu współpracy?

Powinna postępować zgodnie z umową, instrukcjami administratora oraz ustalonym okresem retencji. Co do zasady po zakończeniu świadczenia usług dane należy zwrócić lub usunąć, chyba że ich dalsze przechowywanie wynika z prawa.

Czy można nagradzać zapis rabatem?

Tak, ale zasady muszą być przejrzyste. Użytkownik powinien wiedzieć, że rabat jest związany z zapisem marketingowym, a wycofanie zgody nie może powodować nieuzasadnionych konsekwencji wobec już zrealizowanego świadczenia.

Kto odpowiada za nielegalny mailing wysłany przez agencję?

Zlecenie wysyłki nie przenosi automatycznie całej odpowiedzialności na agencję. Administrator powinien określić cele i zasady przetwarzania, sprawdzić pochodzenie bazy, zawrzeć właściwe umowy oraz nadzorować wykonawcę.

Podsumowanie

Legalne budowanie bazy odbiorców wymaga czegoś więcej niż dodania checkboxa do formularza. Firma musi połączyć wymagania RODO z zasadami dotyczącymi marketingu elektronicznego, a następnie wdrożyć je w formularzach, CRM, automatyzacjach, analityce i procesach obsługi praw odbiorców.

Najbezpieczniejsza baza to baza własna, dobrowolnie zbudowana i oparta na jasnej obietnicy wartości. Każdy kontakt powinien mieć udokumentowane źródło, cel i zakres zgody. Odbiorca musi wiedzieć, kto do niego pisze, dlaczego otrzymuje wiadomość oraz jak może łatwo zakończyć komunikację.

Przed uruchomieniem kampanii o podwyższonym ryzyku — zwłaszcza opartej na cold mailingu, bazach zewnętrznych, danych wrażliwych, profilowaniu lub przekazywaniu danych partnerom — warto przeprowadzić indywidualną analizę prawną i techniczną.