Legalno prikupljanje email adresa klijenata putem weba znači imati jasnu pravnu osnovu za svaku svrhu obrade: privolu za newsletter i marketinške poruke, a za odgovor na upit s kontakt forme pravna osnova je sam upit (čl. 6(1)(b) GDPR-a), bez posebne privole. Te se dvije situacije lako pomiješaju, pa krećem upravo od te razlike.
Kad ti treba privola, a kad ne
GDPR predviđa nekoliko pravnih osnova za obradu podataka. Za obrtnika koji prikuplja emailove putem weba, u praksi su bitne dvije. Ako netko pošalje upit preko kontakt forme i ti mu odgovoriš na to pitanje, pravna osnova je poduzimanje koraka prije sklapanja ugovora ili izvršavanje samog upita (čl. 6(1)(b) GDPR-a), ne privola. Ne moraš tražiti posebnu privolu samo da bi mogao odgovoriti na pitanje koje ti je netko sam postavio.
Privola (čl. 6(1)(a) GDPR-a) treba ti tek kad tu istu adresu želiš dalje koristiti za nešto što nadilazi taj jedan odgovor, najčešće za newsletter ili redovite marketinške poruke. Za to mora postojati zaseban, jasan pristanak, koji korisnik ne daje automatski time što je poslao upit.
Kako izgleda valjana privola za newsletter
Privola prema GDPR-u mora biti dobrovoljna, posebna, informirana i nedvosmislena. U praksi to znači:
- Korisnik sam označava prazno polje za prijavu; unaprijed označena polja (pre-ticked box) ne vrijede kao privola.
- Prijava na newsletter mora biti odvojena od slanja upita ili narudžbe: ne smiješ uvjetovati odgovor na upit time da se osoba prijavi i na newsletter.
- U trenutku prikupljanja jasno navodiš tko si, zašto tražiš email i otprilike koliko dugo ćeš ga čuvati.
Double opt-in, gdje korisnik dodatno potvrđuje prijavu klikom u emailu koji mu stigne nakon upisa, nije zakonska obveza, ali je dobra praksa: daje ti dokaz da je adresu doista upisao njezin vlasnik, a ne netko treći.
Iznimka za postojeće klijente
Zakon o elektroničkim komunikacijama (čl. 50., NN 76/22) dopušta i takozvani soft opt-in: ako si nečiju email adresu dobio u sklopu prodaje proizvoda ili usluge, smiješ mu bez posebne privole slati ponude za slične vlastite proizvode ili usluge, pod uvjetom da si mu već pri prikupljanju adrese dao jasnu, jednostavnu i besplatnu mogućnost da to odbije, i da mu tu istu mogućnost daješ uz svaku sljedeću poruku. Ako je klijent to unaprijed odbio, iznimka ne vrijedi.
Odjava mora biti u svakoj poruci
Prema čl. 21. GDPR-a korisnik ima pravo u svakom trenutku prigovoriti izravnom marketingu (st. 2.), a na to pravo ga moraš izričito upozoriti, jasno i odvojeno od ostalog sadržaja, najkasnije u prvoj poruci (st. 4.). U praksi to znači jedan klik za odjavu u dnu svakog emaila, bez potrebe za pozivom ili posebnim zahtjevom.
Zašto bi ti netko dao svoj email
Ljudi ostavljaju adresu kad zauzvrat dobiju nešto korisno i usko vezano uz tvoj posao. Nekoliko primjera:
- Keramičar ili građevinar: tablica za izračun potrebne količine materijala za kupaonicu.
- Kozmetički salon: obavijest o slobodnim terminima prije blagdana, prije nego što ih objaviš drugdje.
- Automehaničar: podsjetnik na izmjenu ulja prema kilometraži koju klijent upiše.
Ponuda mora odgovarati svrsi za koju tražiš adresu. Frizer koji nudi PDF o popravku automobila skuplja kontakte koji mu ne trebaju, a to se kosi s načelom ograničenja svrhe. Ako materijal šalješ samo uz prijavu na newsletter, to jasno napiši uz polje za privolu. Kupljene baze i adrese prepisane iz javnih imenika ne dolaze u obzir: te ljude nitko nije pitao.
Što mora sadržavati politika privatnosti
Svaki obrtnik koji prikuplja emailove putem weba treba stranicu s politikom privatnosti koja sadrži barem:
- Identitet voditelja obrade: tebe, tvoj obrt, s punim nazivom i adresom sjedišta.
- Svrhu obrade, konkretno napisanu (npr. "slanje obavijesti o novim uslugama").
- Pravnu osnovu (privola za newsletter, izvršavanje upita za odgovor na kontakt formu).
- Rok čuvanja podataka, obično do opoziva privole ili prestanka svrhe.
- Prava korisnika: pristup, ispravak, brisanje i prigovor, te pravo na podnošenje pritužbe Agenciji za zaštitu osobnih podataka (AZOP).
Tekst mora biti razumljiv bez pravničkog rječnika. Ako netko treći za tebe obrađuje podatke, na primjer alat za slanje newslettera, s njim moraš imati ugovor o obradi podataka (čl. 28 GDPR-a); ti ostaješ voditelj obrade, a taj alat izvršitelj.
Sigurnost podataka i povreda
Kad prikupljaš emailove, postaješ voditelj obrade s obvezama koje to nosi. Ako netko neovlašteno pristupi tvojoj bazi kontakata, GDPR nalaže da o povredi obavijestiš AZOP u roku od 72 sata, a u ozbiljnijim slučajevima i same klijente čiji su podaci ugroženi. Zato vrijedi primjenjivati načelo smanjenja količine podataka: traži samo ono što ti stvarno treba za tu svrhu. Za slanje newslettera dovoljan je email, ne treba ti OIB, datum rođenja ili kućna adresa.
Obrtnik u pravilu ne mora imenovati službenika za zaštitu podataka (DPO). Ta obveza vrijedi za tijela javne vlasti i za one čija se osnovna djelatnost sastoji od redovitog i sustavnog praćenja pojedinaca u velikom opsegu ili od obrade posebnih kategorija podataka u velikom opsegu (čl. 37. GDPR-a). Uvodna izjava 91. GDPR-a kaže da obrada podataka pacijenata kod pojedinačnog liječnika ili drugog zdravstvenog djelatnika nije obrada u velikom opsegu. Zdravstveni podaci ipak ostaju posebna kategorija (čl. 9.), pa i stomatološka ordinacija na webu traži samo ono što joj treba za termin.
Kada ti treba web po mjeri, a kada ne
Ako ti je dovoljna jedna kontakt forma koja šalje upit na tvoj email, gotov predložak s ugrađenom formom i jasnom politikom privatnosti obično je sasvim dovoljan. Web po mjeri ima smisla kad imaš više formi s različitim svrhama ili kad forma mora uz adresu spremiti i dokaz privole: datum, tekst koji je osoba vidjela i izvor prijave. Taj dokaz ti treba ako AZOP ili klijent pita kad je i na što pristao (čl. 7. st. 1. GDPR-a).
Kod naručivanja izrade provjeri da forma za newsletter ima prazno polje za privolu, a ne unaprijed označeno, da se svaka poruka šalje s radnim linkom za odjavu i da je politika privatnosti pisana konkretno za tvoj obrt, a ne generički kopirana s druge stranice.
Česta pitanja
Smijem li ručno prepisati emailove s vizitki u svoju bazu za newsletter?
Ne bez privole. Vizitka je razmijenjena radi kontakta, a ne kao pristanak na newsletter. Ni e-mail kojim tražiš privolu nije siguran put, jer se i on smatra marketinškom porukom (britanski ICO je 2017. kaznio Flybe i Hondu upravo zbog takvih poruka). Poziv na prijavu stavi na web, na račun ili uz poruku koju toj osobi ionako šalješ poslovno.
Je li double opt-in obavezan po zakonu?
Ne, GDPR ga izravno ne propisuje. Riječ je o preporučenoj praksi koja ti daje dokaz da je adresu doista upisao njezin vlasnik.
Koliko dugo smijem čuvati email adresu klijenta?
Dok je svrha za koju je prikupljena aktualna ili dok korisnik ne povuče privolu. Dobra je praksa barem jednom godišnje očistiti listu od neaktivnih kontakata.
Trebam li privolu da odgovorim na upit poslan preko kontakt forme?
Ne. Odgovor na upit koji ti je netko sam poslao pokriven je izvršavanjem tog upita, ne privolom. Privola ti treba tek ako tu adresu kasnije želiš koristiti za newsletter ili marketing.
Što ako klijent zatraži brisanje svojih podataka?
Odgovori bez nepotrebnog odgađanja, a najkasnije u roku od mjesec dana. Kod složenih zahtjeva rok se može produljiti za još dva mjeseca, uz obavijest klijentu (čl. 12. st. 3. GDPR-a). Pravo na brisanje nije apsolutno: račune i drugu dokumentaciju koju moraš čuvati po poreznim i računovodstvenim propisima zadržavaš, ali adresu s liste za newsletter makni odmah.
Zaključak
Razlika između privole za marketing i pravne osnove za odgovor na upit rješava glavnu nedoumicu oko prikupljanja emailova. Uz jasnu formu, politiku privatnosti i odjavu u svakoj poruci, GDPR usklađenost za malog obrtnika nije komplicirana, samo traži da pravnu osnovu za svaku svrhu obrade znaš imenovati.