Согласие на маркетинг по SMS и email: как собирать и хранить доказательство

Когда вообще нужно согласие: art. 398 закона об электронной коммуникации

В основе один пункт закона, и его стоит прочитать внимательно, прежде чем настраивать что-либо в системе рассылки.

Запрет без предварительного согласия

Закон об электронной коммуникации Польши в art. 398 ust. 1 запрещает использовать автоматические вызывающие системы и телекоммуникационные оконечные устройства — в том числе в рамках услуг межличностной связи — для отправки коммерческой информации, включая прямой маркетинг, абоненту или конечному пользователю, если он заранее не дал на это согласия. Норма охватывает как SMS, так и голосовой звонок или мессенджер, если они служат отправке коммерческой информации. Подпадает ли конкретный канал или конкретное сообщение под этот запрет, в деталях бывает спорно — окончательную оценку в неочевидном случае оставь юристу или инспектору защиты данных (IOD).

Согласие через предоставление email-адреса

Ust. 2 той же статьи уточняет один способ выражения согласия: оно может быть выражено предоставлением абонентом или конечным пользователем идентифицирующего его адреса электронной почты с целью получения коммерческой информации на этот адрес. Это не значит, что любой email, попавший в базу — например, при заказе или записи на приём, — автоматически считается согласием на рассылку. Норма говорит именно о предоставлении адреса с этой целью, а не об адресе, собранном по другому поводу.

Сервисное сообщение или рекламное — где проходит граница

Не каждое сообщение клиенту — маркетинг, требующий согласия по art. 398. Подтверждение записи, напоминание о визите или отправленный счёт — часть исполнения уже заказанной клиентом услуги. Сообщение про акцию, скидку или «давно тебя не было, возвращайся» — простой пример коммерческой информации.

Строка «зависит от текста» — не отговорка, а самое частое место спора на практике: техническое сообщение о смене часов без элемента приглашения к покупке обычно сервисное, но добавление к нему акции сдвигает всё в сторону рекламы. Сомнительный конкретный случай лучше свериться с юристом или IOD, чем угадывать.

Что RODO требует параллельно с согласием на канал

Согласие по art. 398 касается канала связи, но сама обработка персональных данных в целях маркетинга одновременно подчиняется RODO, и материал UODO напоминает три принципа, которые здесь имеют значение. Во-первых, если обработка основана на согласии, администратор должен быть в состоянии доказать, что человек действительно его выразил, — просто адрес в таблице для этого не достаточно, нужен след самого акта выражения согласия.

Во-вторых, запрос согласия, вставленный в заявление, касающееся и других вопросов, — например, согласие на маркетинг в том же окошке, что и условия записи, — должен быть явно отделён от них, в понятной форме и простым языком. В-третьих, согласие можно отозвать в любой момент, и отзыв не влияет на законность обработки, произведённой до него, — то есть уже отправленные ранее сообщения от этого незаконными не становятся, а вот рассылка после отзыва уже да.

Где собирать согласие: форма, запись, ресепшн, чат-бот

Согласие можно собирать сразу в нескольких местах, и каждое из них требует одного и того же: отдельной отметки для каждого канала, а не одного общего согласия «на контакт». Форма на сайте и форма онлайн-записи — самое простое место: чекбокс у поля телефона и отдельный у поля email, ни один не отмечен по умолчанию. На ресепшн, где согласие собирают на планшете или на бумаге, нужен тот же разбор по каналам и та же обязанность зафиксировать факт согласия, а не только номер телефона. Чат-бот на сайте или в мессенджере может собирать согласие тем же механизмом, если фиксирует момент и точный текст вопроса, на который ответили «да».

Весь путь от сбора до рассылки выстраивается в одну цепочку:

Сегмент рассылки — это группа контактов, у которых в базе реально стоит записанное согласие на данный канал, а не весь список клиентов, а только доказуемая его часть.

Отдельная практика для SMS

Для SMS доказательно проще всего привязать согласие к конкретному номеру телефона и зафиксировать момент его выражения вместе с текстом чекбокса, который человек тогда видел. Номер без отмеченной даты и текста согласия, даже если он в базе годами, не доказывает ничего, кроме того, что кто-то когда-то его оставил.

Отдельная практика для email

Для email доказательство обычно проще автоматизировать, потому что форма записи может сама отправить подтверждение на указанный адрес — отсутствие ответа на это подтверждение само по себе не отменяет согласие, но наличие такой записи облегчает доказательство того, что адрес действительно принадлежит человеку, который его указал.

Что записывать как доказательство согласия

Доказательство согласия — не просто «согласие: да» в колонке базы, а полный набор полей, которые вместе восстанавливают, когда, как и на что именно человек согласился.

Конкретный набор полей и способ их хранения стоит согласовать с IOD или юристом, ведущим фирму, — таблица показывает каркас, а не готовую форму для копирования. О похожем подходе к тому, куда физически попадают и как хранятся данные клиентов в автоматизированных процессах, мы пишем в статье об автоматизации и RODO.

Отзыв согласия и возражение против маркетинга

Материал UODO о праве на удаление данных говорит прямо: администратор обязан удалить персональные данные, среди прочего, когда человек отозвал согласие на их обработку в целях маркетинга и нет другого правового основания для дальнейшей обработки, а также когда человек возразил против обработки в целях прямого маркетинга. В обоих случаях ответ и исполнение запроса должны произойти без промедления, не позднее чем через месяц; если случай сложный, срок можно продлить ещё на два месяца, сообщив об этом до истечения первого месяца и указав причину.

На практике это означает, что «стоп» должен сработать одновременно там, где живут данные — в CRM и в SMS-шлюзе или системе email-рассылок, — а не только в одном из этих мест. Человек, который отписался от рассылки, но продолжает получать SMS, потому что у обоих каналов отдельные согласия и отдельные механизмы отписки, переживает именно то, о чём предупреждает материал: возражение, заявленное в одном месте, должно давать реальный эффект, а не только запись в одной системе.

Сколько людей из базы реально можно охватить рассылкой

База контактов и реальная аудитория кампании почти никогда не совпадают по числу — разницу создаёт именно то, у скольких контактов есть записанное, доказуемое согласие на конкретный канал. Зависимость считается просто: realnaya_auditoriya = kontaktov_v_baze × dolya_s_zapisannym_soglasiem_na_kanal.

Остальная часть базы — 780 контактов в этом примере — может иметь номер телефона, записанный по совсем другой причине (запись на приём, счёт), и рассылка по ней была бы рассылкой без согласия, а не «более широким охватом».

Старые и купленные базы контактов

База, собранная годы назад без отмеченного согласия на маркетинг, или база, купленная или полученная от другой фирмы, попадает точно под тот же запрет из art. 398 — возраст контакта в таблице и то, как он туда попал, не меняют того, что рассылка без записанного согласия — это рассылка без правового основания. Это касается каждого контакта отдельно, а не всей базы разом: часть старой базы может иметь корректно собранное согласие при записи на приём, а часть — не иметь его вовсе; разделение этих двух групп и есть то, что делает карта согласий, а не предположение «раз они в нашей базе, значит можно».

Сделай сам за вечер: проверь свою базу

Выгрузи базу контактов из системы, в которой она лежит. Для каждого контакта отметь, есть ли записанное согласие отдельно на SMS и отдельно на email, — не общее «согласие: да», а конкретный канал с датой. Найди точный текст формы или чекбокса, который клиент видел в момент согласия, — если форма менялась, разные люди могли согласиться на разные версии текста. Проверь ссылку отписки в последней отправленной рассылке и в последнем SMS: работает ли она, куда ведёт и действительно ли отписка от одного канала останавливает рассылку только по нему — или сразу по обоим, если так и должно быть.

Как это выглядит, когда согласиями управляет система

Вручную следить, кто на что согласился, в таблице получается до нескольких десятков контактов — дальше всё расходится с реальностью при первой же смене формы или первой отписке, которую кто-то забыл отметить во второй системе. Когда этим процессом управляет система, чекбокс в форме или на ресепшн сразу записывается как согласие с датой, каналом и версией текста в карточке клиента:

Юридическую оценку конкретной формулировки согласия или конкретного сообщения система не заменяет — это остаётся за юристом или IOD фирмы.

Запись согласия и его привязку к контакту ведёт услуга Данные клиентов — одна карточка клиента вместо расходящихся колонок в нескольких системах. Сами рассылки, которые уходят только по сегменту с согласием, ведут Автоматические сообщения для SMS и Интеграции с email для рассылок и цепочек писем. Форму на сайте с отдельными, ясно подписанными чекбоксами для каждого канала строит услуга Лид-формы, а связку всего этого в одну воронку — CRM и автоматизации. Похожий механизм согласий и напоминаний работает и за пределами маркетинга — об этом мы пишем в статье об автоматизации салона красоты и в статье об автоматизации follow-up после первого разговора. Цепочку подтверждений, которая защищает от неявки клиента, мы тоже разбираем в статье о no-show — тот же принцип записи согласия на напоминания работает и там. Если хочется сначала понять, сколько заявок и звонков вообще теряется на текущих каналах связи с клиентами, можно пройти оценку на портале — это отдельный шаг до любой настройки рассылок.

Частые вопросы

Засчитывается ли подписка на рассылку при покупке в магазине как согласие по art. 398?

Только если email был предоставлен именно с целью получения коммерческой информации — то есть отдельный, осознанный чекбокс при оформлении заказа, а не сам факт указания адреса для отправки счёта или подтверждения заказа. Адрес, собранный исключительно для исполнения заказа, автоматически не становится согласием на маркетинг.

Нужно ли такое же согласие для SMS-напоминания о визите, как для рекламного SMS?

Не в том же объёме — напоминание об уже назначенном визите является частью исполнения заказанной клиентом услуги и обычно не требует отдельного согласия по art. 398. SMS про акцию или скидку — это коммерческая информация, требующая предварительного согласия на этот канал.

Что считается доказательством согласия, если клиент отметил чекбокс на планшете на ресепшн?

То же, что и при онлайн-форме: дата и время отметки, точный текст, который клиент видел в этот момент, и то, к какому контакту — номеру или адресу — оно относится. Сам факт наличия номера в системе записи без такой фиксации доказательством согласия на маркетинг не является.

Нужно ли собирать согласие на SMS и email отдельно?

Да — art. 398 касается канала связи, поэтому согласие на один из них автоматически не распространяется на другой. Одно общее согласие «на маркетинговый контакт» без разбивки по каналам потом усложняет доказательство того, на что именно человек согласился.

Что происходит с данными после отзыва согласия на маркетинг?

Администратор должен удалить данные, обработанные на основании этого согласия, если нет другого правового основания для их дальнейшей обработки, и сделать это без промедления, не позднее чем в течение месяца. Ранее отправленные сообщения остаются законными — проблемой становится именно рассылка после отзыва согласия.

Можно ли исправить старую базу контактов без записанных согласий, дописав согласие задним числом?

Нет — согласие должно быть выражено до рассылки, а не восстановлено постфактум. Единственный законный путь — собрать новое, настоящее согласие у каждого контакта отдельно, например при ближайшем обращении клиента, а не массово отметить старую базу как согласную.