Холодные B2B-письма в Испании: что говорят LSSI и GDPR

Важно: эта статья о законодательстве Испании и Европейского союза. Она объясняет, что испанские и европейские нормы говорят о коммерческих письмах компаниям. Это не юридическая консультация. Если вы ищете клиентов по email, обсудите с юристом, как всё это применимо к вашей ситуации.

Если вы продаёте другим компаниям, рано или поздно вы задаётесь вопросом: можно ли написать компании, которая меня не знает, и предложить то, что я продаю? Короткий ответ для Испании неудобен, и его стоит знать до запуска первой кампании: как правило, закон запрещает отправлять коммерческие письма, которые не были запрошены или разрешены, — в том числе компаниям.

В этой статье мы разберём, что именно говорят две применимые нормы — LSSI и GDPR, — почему писать на info@ и на maria@ не одно и то же, какие штрафы предусматривает закон и какие практики снижают риски, если вы всё же решите искать клиентов по email.

Две разные нормы, которые действуют одновременно

Первое заблуждение — думать, что закон всего один. На самом деле, когда вы отправляете коммерческое письмо компании, действуют две нормы с разным предметом регулирования:

Соблюдение одной не освобождает от другой. У вас может быть безупречное правовое основание для хранения адреса человека (GDPR), и всё равно вы нарушите LSSI, если отправите ему рекламу, которую он не запрашивал.

Что говорит статья 21 LSSI

Статья 21.1 LSSI — суть вопроса. В ней буквально сказано, что запрещается отправка рекламных или промоционных сообщений по электронной почте или иным равнозначным средствам электронной связи, если они предварительно не были запрошены или прямо разрешены их получателями.

Три важные детали:

• Закон не различает частных лиц и компании. Статья говорит о «получателях», не исключая юридических лиц. Коммерческое письмо компании подчиняется тому же правилу, что и письмо частному лицу.
• Разрешение должно быть предварительным и явным. Недостаточно того, что адрес публичный или указан на сайте компании: опубликованный контактный адрес не означает согласия получать рекламу.
• «Коммерческое сообщение» — широкое понятие. Закон определяет его как любую форму коммуникации, прямо или косвенно направленную на продвижение имиджа, товаров или услуг компании. Письмо, в котором вы представляете свои услуги с целью продать, подпадает под это определение полностью.

Исключение: существующие договорные отношения

Статья 21.2 закрепляет главное исключение: запрет не действует, если существуют предшествующие договорные отношения, при условии что вы получили данные получателя законным образом и пишете ему о продуктах или услугах своей компании, аналогичных тем, которые он уже приобрёл. Но даже в этом случае в каждом сообщении нужно давать возможность отказаться.

Иными словами, исключение работает для ваших клиентов, а не для тех, кто ещё только может ими стать.

Чего требует любое коммерческое письмо

Помимо запрета, LSSI вводит два обязательства для любого коммерческого сообщения, которое вы отправляете:

• Идентификация (статья 20). Письмо должно быть явно распознаваемо как коммерческое, и должно быть понятно, кто его отправил.
• Простая и бесплатная отписка (статья 22). Получатель может в любой момент отозвать согласие простым и бесплатным способом, и вы обязаны предоставить ему адрес или иное средство для этого.

Info@ или maria@: что меняется

Здесь кроется второе частое заблуждение. Многие считают, что писать на общий адрес компании (info@, hola@, contacto@) можно, а конкретному человеку — нельзя. На деле всё сложнее:

Для LSSI ничего не меняется. Статья 21 защищает получателя сообщения, будь то человек или компания. Незапрошенное рекламное письмо на info@clinica.es подпадает под тот же запрет, что и письмо на maria@clinica.es.

Для GDPR меняется. Общий адрес компании обычно не является персональными данными, потому что не идентифицирует конкретного человека. Именной адрес (maria.roig@clinica.es) — является, и тогда добавляются обязательства по защите данных, о которых речь пойдёт ниже.

Итог: письмо на info@ избавляет вас от обязательств по защите данных, но не освобождает от LSSI.

Чего требует GDPR, если получатель — человек

Если адрес, который вы используете, идентифицирует конкретного человека, GDPR требует от вас как минимум трёх вещей.

1. Правовое основание для обработки данных

В B2B-продажах обычно ссылаются на законный интерес (статья 6.1.f GDPR). Пункт 47 преамбулы признаёт, что обработку в целях прямого маркетинга можно считать осуществляемой в законных интересах. В Испании статья 19 LOPDGDD презюмирует законность обработки деловых контактных данных сотрудников компании, если они используются только для того, чтобы связаться с человеком по работе, и с целью поддерживать отношения с компанией, в которой он работает.

Но подчеркнём ещё раз: законный интерес оправдывает обработку данных; он не разрешает отправлять электронные коммерческие сообщения, которые запрещает LSSI.

2. Уведомить человека

Если вы получили данные не напрямую от человека — например, нашли их на сайте его компании, — статья 14 GDPR обязывает сообщить ему, кто вы, для чего используете его данные, откуда их взяли и какие у него права. Если данные используются для связи с ним, эту информацию нужно предоставить не позднее первого сообщения.

3. Уважать возражение

Статья 21 GDPR закрепляет право в любой момент возразить против обработки данных в целях прямого маркетинга. Если человек возражает, вы обязаны перестать использовать его данные для этой цели — без оговорок и без долгих сроков.

Какие штрафы предусматривает закон

LSSI классифицирует нарушения в статье 38 и устанавливает санкции в статье 39:

• Серьёзное нарушение: массовая рассылка коммерческих сообщений по электронной почте получателям, которые их не запрашивали и не разрешали, либо отправка более трёх незапрошенных коммерческих сообщений одному и тому же получателю в течение года. Штраф — от 30 001 до 150 000 евро.
• Незначительное нарушение: отправка коммерческих сообщений, не соответствующих требованиям статьи 21, если нарушение не дотягивает до серьёзного. Штраф — до 30 000 евро.

Санкции за нарушение этих правил о коммерческих письмах накладывает Испанское агентство по защите данных (AEPD). Если при этом нарушен ещё и GDPR, санкции за нарушение защиты данных могут добавиться.

Как снизить риски, если вы ищете клиентов по email

При такой правовой базе единственный способ полностью исключить риск — писать только тем, кто дал разрешение или уже является клиентом. Если вы всё же решите связаться с компаниями, которые вас не знают, эти практики снижают риск и, главное, вред, который вы можете причинить получателю:

1. Посоветуйтесь с юристом до старта. Ваша конкретная ситуация — кому вы пишете, откуда, с каким содержанием — может изменить оценку.
2. Пишите мало и очень немногим. Закон особенно строго наказывает массовые рассылки и настойчивость. Одно релевантное письмо конкретной компании — совсем не то же самое, что кампания на тысячи адресов.
3. Не будьте навязчивы. Сам закон относит к серьёзным нарушениям более трёх незапрошенных сообщений в год одному получателю. Если не отвечают — остановитесь.
4. Всегда представляйтесь. Ваше имя, компания и способ связаться с вами — на видном месте.
5. Давайте реальную возможность отписаться в каждом письме и выполняйте её сразу. Ведите стоп-лист, чтобы не писать повторно тем, кто отказался.
6. Если получатель — человек, уведомите его в первом письме, откуда у вас его данные и какие у него права (статья 14 GDPR).
7. Ведите учёт того, откуда взят каждый контакт, а также полученных отписок и возражений.
8. Отдавайте приоритет согласию. Формы, мероприятия, скачиваемые материалы или рекомендации: любой канал, где компания сама запрашивает у вас информацию, гораздо безопаснее незапрошенного письма.

А в остальной Европе

LSSI — это испанская имплементация Директивы 2002/58/ЕС о конфиденциальности и электронных коммуникациях, которая оставляет каждому государству определённую свободу в регулировании коммерческих писем компаниям. Поэтому правила различаются от страны к стране: одни допускают незапрошенные B2B-письма при соблюдении условий, другие ограничивают их так же строго, как Испания. Если вы пишете компаниям из других стран, проверьте нормы каждой из них.

Итоги

• В Испании статья 21 LSSI запрещает незапрошенные и неразрешённые рекламные письма, в том числе компаниям.
• Главное исключение — существующие договорные отношения и аналогичные продукты или услуги.
• Письмо на info@ вместо конкретного человека не освобождает от LSSI, хотя и избавляет от части обязательств по GDPR.
• Законный интерес по GDPR позволяет обрабатывать деловые контактные данные, но не разрешает рассылку, которую запрещает LSSI.
• Штрафы — до 30 000 евро (незначительные нарушения) и от 30 001 до 150 000 евро (серьёзные, например массовая рассылка).
• Если ищете клиентов по email, делайте это с юридической консультацией, небольшими объёмами, с указанием отправителя, реальной отпиской и без навязчивости.