İspanya’da B2B soğuk e-posta: LSSI ve GDPR ne diyor?

Not: Bu yazı, şirketlere gönderilen ticari e-postalar hakkında İspanya ve Avrupa Birliği mevzuatının ne söylediğini açıklar; Türkiye’deki alıcılara yazıyorsanız yerel mevzuatı ayrıca incelemeniz gerekir. Bu bir hukuki danışmanlık değildir. E-postayla müşteri arıyorsanız, kendi durumunuzun nasıl değerlendirileceğini bir avukata danışın.

Başka şirketlere satış yapıyorsanız er ya da geç şu soruyu sorarsınız: Beni tanımayan bir şirkete, sattığım şeyi önermek için yazabilir miyim? İspanya’da bunun kısa cevabı pek hoş değildir ve ilk kampanyanızı başlatmadan önce bilmeniz gerekir: genel kural olarak yasa, talep edilmemiş ya da izin verilmemiş ticari e-postaların gönderilmesini yasaklar; buna şirketler de dahildir.

Bu yazıda, uygulanan iki düzenlemenin —LSSI ve GDPR— tam olarak ne söylediğini, info@ adresine yazmakla maria@ adresine yazmanın neden aynı şey olmadığını, yasanın hangi para cezalarını öngördüğünü ve e-postayla müşteri aramaya karar verirseniz riski azaltan uygulamaları ele alıyoruz.

Aynı anda uygulanan iki ayrı düzenleme

İlk yanlış anlama, tek bir yasa olduğunu düşünmektir. Aslında bir şirkete ticari e-posta gönderdiğinizde, konuları farklı iki düzenleme birden uygulanır:

Birine uymak sizi diğerinden muaf tutmaz. Bir kişinin e-posta adresini saklamak için kusursuz bir hukuki dayanağınız (GDPR) olabilir; yine de ona talep etmediği bir reklam gönderirseniz LSSI’yi ihlal etmiş olursunuz.

LSSI’nin 21. maddesi ne diyor?

Meselenin merkezinde LSSI’nin 21.1 maddesi vardır. Madde, kelimesi kelimesine, alıcıları tarafından önceden talep edilmemiş ya da açıkça izin verilmemiş reklam veya tanıtım amaçlı iletilerin e-posta ya da eşdeğer başka bir elektronik iletişim aracıyla gönderilmesinin yasak olduğunu söyler.

Üç önemli ayrıntı:

• Bireyler ve şirketler arasında ayrım yapmaz. Madde, tüzel kişileri hariç tutmadan “alıcılardan” söz eder. Bir şirkete gönderilen ticari e-posta, bir bireye gönderilenle aynı kurala tabidir.
• İzin önceden ve açıkça verilmiş olmalıdır. Adresin herkese açık olması ya da şirketin web sitesinde yer alması yetmez: bir iletişim adresini yayımlamak, size reklam gönderilmesine izin vermek anlamına gelmez.
• “Ticari ileti” geniş bir kavramdır. Yasa bunu, bir şirketin imajını, mallarını ya da hizmetlerini doğrudan veya dolaylı olarak tanıtmaya yönelik her türlü iletişim biçimi olarak tanımlar. Satış amacıyla hizmetlerinizi tanıtan bir e-posta tam olarak bu kapsama girer.

İstisna: önceden var olan sözleşme ilişkisi

21.2 madde temel istisnayı düzenler: önceden var olan bir sözleşme ilişkisi varsa, alıcının verilerini hukuka uygun şekilde elde etmiş olmanız ve ona satın aldığı ürün ya da hizmetlere benzer, kendi şirketinize ait ürün veya hizmetler hakkında ileti göndermeniz koşuluyla yasak uygulanmaz. Bu durumda bile her iletide ona itiraz etme imkânı sunmanız gerekir.

Yani bu istisna müşterileriniz içindir; henüz müşteriniz olmayan potansiyel müşteriler için değil.

Her ticari e-postanın karşılaması gerekenler

Yasağın yanı sıra LSSI, gönderdiğiniz her ticari iletiye iki yükümlülük getirir:

• Kimlik bilgisi (20. madde). E-posta açıkça ticari ileti olarak tanınabilmeli ve kimin gönderdiği net olmalıdır.
• Kolay ve ücretsiz ayrılma (22. madde). Alıcı, onayını her zaman basit ve ücretsiz bir yöntemle geri alabilir; bunun için ona bir adres ya da araç sağlamanız gerekir.

info@ ile maria@ arasındaki fark

İkinci yaygın karışıklık burada ortaya çıkar. Birçok kişi, genel bir şirket adresine (info@, merhaba@, iletisim@) yazmanın serbest, bir kişiye yazmanınsa yasak olduğunu düşünür. Gerçek biraz daha nüanslıdır:

LSSI açısından hiçbir şey değişmez. 21. madde, alıcı bir kişi de olsa bir şirket de olsa iletinin alıcısını korur. info@clinica.es adresine gönderilen, talep edilmemiş bir reklam e-postası, maria@clinica.es adresine gönderilenle aynı yasağa tabidir.

GDPR açısından ise değişir. Genel bir şirket adresi, gerçek bir kişiyi tanımlamadığı için genellikle kişisel veri değildir. İsme özel bir adres (maria.roig@clinica.es) ise kişisel veridir ve bu durumda aşağıda göreceğimiz veri koruma yükümlülükleri devreye girer.

Özetle: info@ adresine yazmak sizi veri koruma yükümlülüklerinden kurtarır, ama LSSI’den muaf tutmaz.

Alıcı bir kişiyse GDPR ne ister?

Kullandığınız e-posta adresi bir kişiyi tanımlıyorsa GDPR sizden en az üç şey ister.

1. Verilerini işlemek için bir hukuki dayanak

B2B müşteri kazanımında genellikle başvurulan dayanak meşru menfaattir (GDPR madde 6.1.f). 47 numaralı gerekçe, doğrudan pazarlama amacıyla yapılan işlemenin meşru menfaat kapsamında değerlendirilebileceğini kabul eder. İspanya’da LOPDGDD’nin 19. maddesi, bir şirkette çalışan kişilerin mesleki iletişim bilgilerinin işlenmesini; bu bilgiler yalnızca o kişilere mesleki olarak ulaşmak ve çalıştıkları şirketle ilişki sürdürmek amacıyla kullanıldığı sürece hukuka uygun kabul eder.

Ancak şunun altını çizmek gerekir: meşru menfaat verilerin işlenmesini haklı kılar; LSSI’nin yasakladığı elektronik ticari iletilerin gönderilmesine izin vermez.

2. Kişiyi bilgilendirmek

Verileri doğrudan kişinin kendisinden almadıysanız —örneğin şirketinin web sitesinde bulduysanız— GDPR’nin 14. maddesi sizi, kim olduğunuz, verilerini ne için kullandığınız, onları nereden edindiğiniz ve hangi haklara sahip olduğu konusunda kişiyi bilgilendirmekle yükümlü kılar. Verileri onunla iletişim kurmak için kullanacaksanız, bu bilgiyi en geç ilk iletişimde vermelisiniz.

3. İtirazına saygı göstermek

GDPR’nin 21. maddesi, doğrudan pazarlama amaçlı işlemeye her zaman itiraz etme hakkını tanır. Kişi itiraz ederse, verilerini bu amaçla kullanmayı derhal bırakmanız gerekir; mazeret ve uzun süreler olmadan.

Yasa hangi para cezalarını öngörüyor?

LSSI ihlalleri 38. maddesinde sınıflandırır ve yaptırımları 39. maddede belirler:

• Ağır ihlal: talep etmemiş ya da izin vermemiş alıcılara e-postayla toplu ticari ileti gönderilmesi veya aynı alıcıya bir yıl içinde üçten fazla talep edilmemiş ticari ileti gönderilmesi. 30.001 ile 150.000 euro arasında para cezası.
• Hafif ihlal: 21. maddenin gerekliliklerini karşılamayan ticari iletilerin, ağır ihlal düzeyine ulaşmadan gönderilmesi. 30.000 euroya kadar para cezası.

Ticari e-postaya ilişkin bu kuralların ihlalini yaptırıma bağlayan kurum, İspanya Veri Koruma Kurumu’dur (AEPD). GDPR de ihlal edilmişse, veri koruma yaptırımları bunlara eklenebilir.

E-postayla müşteri arıyorsanız riski nasıl azaltırsınız?

Bu yasal çerçevede sıfır riskin tek yolu, yalnızca size izin veren ya da zaten müşteriniz olan kişilere yazmaktır. Yine de sizi tanımayan şirketlerle iletişime geçmeye karar verirseniz, aşağıdaki uygulamalar riski ve hepsinden önemlisi e-postayı alan kişiye verebileceğiniz rahatsızlığı azaltır:

1. Başlamadan önce bir avukata danışın. Somut durumunuz —kime, nereden ve hangi içerikle yazdığınız— değerlendirmeyi değiştirebilir.
2. Az yazın ve çok az kişiye yazın. Yasa özellikle toplu gönderimi ve ısrarı cezalandırır. Belirli bir şirkete gönderilen ilgili bir e-posta, binlerce adrese giden bir kampanyayla aynı şey değildir.
3. Israr etmeyin. Yasanın kendisi, aynı alıcıya bir yılda üçten fazla talep edilmemiş ileti göndermeyi ağır ihlal sayar. Yanıt gelmiyorsa durun.
4. Kendinizi her zaman tanıtın. Adınız, şirketiniz ve size nasıl ulaşılacağı açıkça görünür olsun.
5. Her e-postada gerçek bir ayrılma seçeneği sunun ve buna anında uyun. Hayır diyenlere tekrar yazmamak için bir engelleme listesi tutun.
6. Alıcı bir kişiyse, onu ilk e-postada bilgilendirin: verilerini nereden edindiğinizi ve haklarını belirtin (GDPR madde 14).
7. Kayıt tutun: her kişinin nereden geldiğini, aldığınız ayrılma taleplerini ve itirazları kaydedin.
8. Onaya öncelik verin. Formlar, etkinlikler, indirilebilir içerikler ya da tavsiyeler: şirketin sizden bilgi istediği her kanal, talep edilmemiş e-postadan çok daha güvenlidir.

Avrupa’nın geri kalanında durum

LSSI, şirketlere gönderilen ticari e-postanın düzenlenmesinde her devlete belirli bir hareket alanı bırakan, gizlilik ve elektronik haberleşmeye ilişkin 2002/58/AT sayılı Direktif’in İspanya hukukuna aktarılmış hâlidir. Bu nedenle kurallar ülkeden ülkeye değişir: bazıları talep edilmemiş B2B e-postaya belirli koşullarla izin verirken, bazıları onu İspanya kadar sıkı biçimde kısıtlar. Başka ülkelerdeki şirketlere yazıyorsanız her birinin düzenlemesini inceleyin.

Özet

• İspanya’da LSSI’nin 21. maddesi, talep edilmemiş ve izin verilmemiş reklam e-postalarını şirketlere gönderilenler de dahil yasaklar.
• Temel istisna, benzer ürün veya hizmetler söz konusu olduğunda önceden var olan sözleşme ilişkisidir.
• Bir kişi yerine info@ adresine yazmak sizi LSSI’den muaf tutmaz, ama GDPR yükümlülüklerinden kurtarır.
• GDPR’deki meşru menfaat, mesleki iletişim bilgilerinin işlenmesine olanak tanır; ancak LSSI’nin yasakladığı gönderime izin vermez.
• Para cezaları 30.000 euroya kadar (hafif) ve 30.001 ile 150.000 euro arasında (toplu gönderim gibi ağır ihlaller) değişir.
• Müşteri arıyorsanız bunu hukuki danışmanlıkla, düşük hacimle, kimliğinizi belirterek, gerçek bir ayrılma seçeneği sunarak ve ısrar etmeden yapın.