Холодні B2B-листи в Іспанії: що кажуть LSSI і GDPR

Застереження: ця стаття пояснює, що кажуть іспанські та європейські норми про комерційні листи компаніям. Це не юридична консультація. Якщо ви шукаєте клієнтів через email, порадьтеся з юристом, як ці правила застосовуються саме до вашого випадку.

Ця стаття стосується законодавства Іспанії: саме там працює команда Dressmail, і саме іспанські правила ми розбираємо нижче. Якщо ви пишете компаніям в інших країнах, діють місцеві норми.

Якщо ви продаєте іншим компаніям, рано чи пізно постає питання: чи можна написати компанії, яка мене не знає, і запропонувати їй свій продукт? Коротка відповідь для Іспанії незручна, і її варто знати ще до запуску першої кампанії: як загальне правило, закон забороняє надсилати комерційні листи, яких не запитували й на які не давали згоди, — зокрема й компаніям.

У цій статті розберемо, що саме кажуть дві чинні норми — LSSI та GDPR, — чому писати на info@ і на maria@ — не одне й те саме, які штрафи передбачає закон і які практики зменшують ризик, якщо ви все ж вирішите шукати клієнтів через email.

Дві різні норми, що діють одночасно

Перше непорозуміння — думати, що закон лише один. Насправді, коли ви надсилаєте комерційний лист компанії, діють дві норми з різним предметом регулювання:

Дотримання однієї не звільняє від іншої. У вас може бути бездоганна правова підстава зберігати адресу людини (GDPR), і водночас ви порушите LSSI, якщо надішлете їй рекламу, якої вона не запитувала.

Що каже стаття 21 LSSI

Стаття 21.1 LSSI — суть питання. У ній дослівно сказано, що забороняється надсилати рекламні або промоційні повідомлення електронною поштою чи іншим рівноцінним засобом електронного зв’язку, якщо адресати попередньо їх не запитували або не дали на них явної згоди.

Три важливі деталі:

• Закон не розрізняє приватних осіб і компанії. Стаття говорить про «адресатів», не виключаючи юридичних осіб. Комерційний лист компанії підпадає під те саме правило, що й лист приватній особі.
• Згода має бути попередньою та явною. Недостатньо того, що адреса публічна чи вказана на сайті компанії: опублікувати контактну адресу — не те саме, що дозволити надсилати на неї рекламу.
• «Комерційне повідомлення» — широке поняття. Закон визначає його як будь-яку форму комунікації, спрямовану на пряме чи непряме просування іміджу, товарів або послуг компанії. Лист, у якому ви представляєте свої послуги з метою продажу, повністю під це підпадає.

Виняток: попередні договірні відносини

Стаття 21.2 містить головний виняток: заборона не діє, якщо існують попередні договірні відносини, за умови, що ви отримали дані адресата законно і надсилаєте повідомлення про схожі продукти чи послуги вашої компанії, як ті, що він уже придбав. Навіть у такому разі в кожному повідомленні ви маєте давати йому змогу відмовитися.

Інакше кажучи, виняток працює для ваших клієнтів, а не для потенційних клієнтів, які ще ними не стали.

Чого вимагає будь-який комерційний лист

Окрім заборони, LSSI покладає на будь-яке комерційне повідомлення два обов’язки:

• Ідентифікація (стаття 20). Лист має бути чітко впізнаваним як комерційний, і має бути зрозуміло, хто його надсилає.
• Проста й безкоштовна відписка (стаття 22). Адресат може будь-коли відкликати згоду за простою й безкоштовною процедурою, і ви повинні надати йому адресу чи інший спосіб це зробити.

Info@ проти maria@: що змінюється

Тут друге поширене непорозуміння. Багато хто вважає, що писати на загальну адресу компанії (info@, hello@, contact@) можна, а конкретній людині — ні. Насправді все тонше:

Для LSSI нічого не змінюється. Стаття 21 захищає адресата повідомлення — чи то людину, чи компанію. Незапитаний рекламний лист на info@clinica.es підпадає під ту саму заборону, що й лист на maria@clinica.es.

Для GDPR змінюється. Загальна адреса компанії зазвичай не є персональними даними, бо не ідентифікує фізичну особу. Іменна адреса (maria.roig@clinica.es) — є, і тоді додаються обов’язки щодо захисту даних, про які йдеться далі.

Підсумок: лист на info@ звільняє вас від обов’язків щодо захисту даних, але не від LSSI.

Чого вимагає GDPR, якщо адресат — людина

Якщо адреса, яку ви використовуєте, ідентифікує людину, GDPR вимагає від вас щонайменше трьох речей.

1. Правова підстава для обробки даних

У пошуку B2B-клієнтів зазвичай посилаються на законний інтерес (стаття 6(1)(f) GDPR). Преамбула 47 визнає, що обробку для цілей прямого маркетингу можна вважати такою, що здійснюється в законних інтересах. В Іспанії стаття 19 LOPDGDD презюмує законність обробки професійних контактних даних людей, які працюють у компанії, якщо ці дані використовують лише для того, щоб зв’язатися з ними в професійних справах і підтримувати відносини з компанією, де вони працюють.

Але наголосимо: законний інтерес обґрунтовує обробку даних; він не дозволяє надсилати електронні комерційні повідомлення, які забороняє LSSI.

2. Поінформувати людину

Якщо ви отримали дані не безпосередньо від неї — наприклад, знайшли на сайті її компанії, — стаття 14 GDPR зобов’язує повідомити їй, хто ви, для чого використовуєте її дані, звідки їх узяли і які права вона має. Якщо ви збираєтеся використати дані для зв’язку з нею, цю інформацію потрібно надати щонайпізніше в першому повідомленні.

3. Поважати її заперечення

Стаття 21 GDPR визнає право будь-коли заперечити проти обробки для цілей прямого маркетингу. Якщо людина заперечує, ви маєте припинити використовувати її дані для цієї мети — без відмовок і без довгих строків.

Які штрафи передбачає закон

LSSI класифікує порушення у статті 38 і встановлює санкції у статті 39:

• Серйозне порушення: масове надсилання комерційних повідомлень електронною поштою адресатам, які їх не запитували й не погоджувалися на них, або надсилання понад трьох незапитаних комерційних повідомлень одному адресатові протягом року. Штраф — від 30 001 до 150 000 євро.
• Незначне порушення: надсилання комерційних повідомлень, що не відповідають вимогам статті 21, якщо це не кваліфікується як серйозне порушення. Штраф — до 30 000 євро.

За порушення цих правил щодо комерційних листів карає Іспанське агентство із захисту даних (AEPD). Якщо до того ж порушено GDPR, санкції за порушення захисту даних можуть додатися.

Як зменшити ризик, якщо ви шукаєте клієнтів через email

За такої правової рамки єдиний спосіб мати нульовий ризик — писати лише тим, хто дав вам дозвіл або вже є клієнтом. Якщо ви все ж вирішите звертатися до компаній, які вас не знають, ці практики зменшують ризик і, головне, шкоду, яку ви можете завдати адресатові:

1. Порадьтеся з юристом, перш ніж почати. Ваш конкретний випадок — кому ви пишете, звідки, з яким змістом — може змінити оцінку.
2. Пишіть мало й дуже небагатьом. Закон особливо суворо карає масові розсилки й наполегливість. Доречний лист конкретній компанії — не те саме, що кампанія на тисячі адрес.
3. Не наполягайте. Сам закон вважає серйозним порушенням понад три незапитані повідомлення одному адресатові на рік. Якщо не відповідають — зупиніться.
4. Завжди представляйтеся. Ваше ім’я, ваша компанія й спосіб зв’язатися з вами — на видному місці.
5. Пропонуйте справжню відписку в кожному листі й виконуйте її одразу. Ведіть стоп-лист, щоб більше не писати тим, хто відмовився.
6. Якщо адресат — людина, поінформуйте її в першому листі, звідки ви взяли її дані і які в неї права (стаття 14 GDPR).
7. Ведіть облік того, звідки взявся кожен контакт, а також отриманих відписок і заперечень.
8. Віддавайте перевагу згоді. Форми, заходи, матеріали для завантаження чи рекомендації: будь-який канал, у якому компанія сама просить у вас інформацію, набагато безпечніший за незапитаний лист.

А в решті Європи

LSSI — це іспанське впровадження Директиви 2002/58/ЄС про конфіденційність і електронні комунікації, яка залишає кожній державі певну свободу в регулюванні комерційних листів компаніям. Тому правила різняться від країни до країни: одні дозволяють незапитані B2B-листи за певних умов, інші обмежують їх так само суворо, як Іспанія. Якщо ви пишете компаніям з інших країн, перевірте норми кожної з них.

Підсумок

• В Іспанії стаття 21 LSSI забороняє рекламні листи, яких не запитували й на які не давали згоди, — зокрема й компаніям.
• Головний виняток — попередні договірні відносини та схожі продукти чи послуги.
• Лист на info@ замість конкретної людини не звільняє вас від LSSI, хоча й знімає частину обов’язків за GDPR.
• Законний інтерес за GDPR дозволяє обробляти професійні контактні дані, але не дозволяє надсилання, яке забороняє LSSI.
• Штрафи сягають 30 000 євро (незначні порушення) і від 30 001 до 150 000 євро (серйозні, як-от масове надсилання).
• Якщо ви шукаєте клієнтів через email, робіть це з юридичною консультацією, у невеликих обсягах, з ідентифікацією, справжньою відпискою й без наполягань.