قانون التواصل التجاري B2B في الاتحاد الأوروبي: القواعد الخمس السارية في كل مكان

المصنّع الذي يبحث عن موزعين في دولة أخرى من دول الاتحاد الأوروبي يصطدم بطبقتين من القانون قبل أن تخرج رسالته الأولى. فاللائحة العامة لحماية البيانات (GDPR) تحكم أي استخدام لمعلومات عن شخص يمكن التعرف عليه، بما في ذلك اسم مسؤول المشتريات وبريده الإلكتروني المهني. وتضيف توجيهة الخصوصية الإلكترونية (ePrivacy، 2002/58/EC) قواعد خاصة بكل قناة: البريد الإلكتروني والفاكس والمكالمات الآلية، والهاتف في معظم الدول. اللائحة العامة لحماية البيانات واحدة في كل مكان؛ أما قواعد الخصوصية الإلكترونية فتطبّقها كل دولة بطريقتها وتختلف، وأحيانًا اختلافًا حادًّا.

بعبارة بسيطة: يجوز لك التواصل مع شركة في دولة أخرى من دول الاتحاد بشأن منتجاتك، لكن عليك (1) أن يكون لديك أساس قانوني لاستخدام أي بيانات شخصية، (2) وأن تُعلِم الأشخاص من أين حصلت على بياناتهم، (3) وأن تحترم قاعدة البريد الإلكتروني الوطنية، التي تتراوح بين «الرفض اللاحق (opt-out) للشركات» و«الموافقة للجميع»، (4) وأن تتوقف فور اعتراض أي شخص، (5) وأن تكون قادرًا على إثبات ذلك كله كتابيًا.

القواعد الخمس أدناه سارية في كل دولة عضو. أما مقالات الدول في هذا القسم فتتناول ما يتغيّر عند عبور الحدود.

القاعدة 1: تحتاج إلى أساس قانوني، و«المصلحة المشروعة» هي المعتاد

كلما عالجت بيانات عن شخص (مدير مشتريات معروف بالاسم، أو عنوان مدير المبيعات)، تشترط المادة 6 من اللائحة العامة لحماية البيانات أساسًا قانونيًا. وفي التنقيب عن العملاء بين الشركات، الأساس الواقعي هو المادة 6(1)(f)، أي المصلحة المشروعة. وتنص الحيثية 47 صراحةً على أن «معالجة البيانات الشخصية لأغراض التسويق المباشر يمكن اعتبارها منفّذة لمصلحة مشروعة».

لكن هذا لا يعني أن كل شيء مباح. فالمصلحة المشروعة تتطلب أن توازن بين مصلحتك (العثور على موزع) والتوقعات المعقولة للشخص. فمدير المشتريات لدى تاجر جملة يبيع فئة منتجاتك أصلًا يمكنه أن يتوقع بشكل معقول استفسارًا ذا صلة من مورد. أما المحاسب في الشركة نفسها فلا. دوّن هذا التعليل مرة واحدة وطبّقه على كل قائمة تبنيها.

صناديق البريد العامة (info@ وsales@ وcontact@) لا تحتوي عادةً على بيانات شخصية، لذا تكون طبقة اللائحة العامة لحماية البيانات أخف هناك. لكن طبقة الخصوصية الإلكترونية (القاعدة 3) تبقى سارية.

القاعدة 2: أخبر الأشخاص من أين حصلت على بياناتهم

تغطي المادة 14 من اللائحة العامة لحماية البيانات البيانات التي لم تجمعها من الشخص نفسه: اسم من إشعار ترسية عقد، أو من موقع إلكتروني، أو من دليل معرض تجاري. ويجب أن تقدّم للشخص معلومات الخصوصية المعتادة (من أنت، ولماذا تحتفظ بالبيانات، والمصدر، وحقوقه) خلال مدة معقولة وفي موعد أقصاه شهر واحد، وإذا استخدمت البيانات للتواصل معه، ففي موعد أقصاه أول تواصل — أيهما أسبق؛ فالاحتفاظ بقائمة لأشهر حتى تكتب غير مسموح.

عمليًا: تحمل رسالتك الأولى إشعارًا قصيرًا ورابطًا إلى صفحة خصوصية تذكر المصدر («إشعارات ترسية العقود العامة»، «موقع شركتك الإلكتروني»). وكون البيانات متاحة للعموم لا يُسقط هذا الواجب؛ بل يغيّر فقط ما يتعيّن عليك قوله.

القاعدة 3: قاعدة البريد الإلكتروني في توجيهة الخصوصية الإلكترونية، ولماذا تقسم الاتحاد الأوروبي

تحظر المادة 13(1) من توجيهة الخصوصية الإلكترونية البريد الإلكتروني (والفاكس والاتصال الآلي) لأغراض التسويق المباشر دون موافقة مسبقة من المشترك أو المستخدم. ثم تنص المادة 13(5) على أن تلك الفقرة تسري على المشتركين من الأشخاص الطبيعيين، وعلى أن الدول الأعضاء يجب أن «تضمن أيضًا» أن تكون المصالح المشروعة للمشتركين الآخرين، أي الشركات، «محمية بشكل كافٍ». أما كيفية ذلك فمتروكة للقانون الوطني.

هذه الجملة الواحدة هي سبب ظهور الخريطة على هذا النحو:

• قررت بعض الدول أن الشركات تُحمى بآلية الرفض اللاحق (opt-out): يجوز لك مراسلة عنوان مؤسسي بالبريد الإلكتروني إلى أن تقول الشركة لا. وتنتمي إلى هذه المجموعة المملكة المتحدة (التي أبقت على القاعدة بعد خروجها من الاتحاد الأوروبي) وأيرلندا والسويد، مع شروط.
• وتقع فرنسا في المنتصف: إذ تقبل الجهة الرقابية CNIL التنقيب عن المهنيين على أساس المصلحة المشروعة عندما تتعلق الرسالة بدور الشخص، مع الإعلام وحق الاعتراض؛ أما عناوين الشركات العامة فتقع خارج قواعد البيانات الشخصية تمامًا.
• ووسّعت دول أخرى شرط الموافقة ليشمل الشركات. فألمانيا وهولندا وإيطاليا والدنمارك تشترط موافقة مسبقة على البريد الإلكتروني التسويقي أيًّا كان المتلقي.

ثمة جزءان من المادة 13 يسريان في كل مكان دون استثناء. فلا يجوز لك أبدًا إخفاء هوية المرسل أو التستّر عليها، ويجب أن تحمل كل رسالة عنوانًا صالحًا يستطيع المتلقي أن يطلب عبره منك التوقف (المادة 13(4)). وقد أكدت محكمة العدل أيضًا أن «البريد الإلكتروني» يُفهم بمعنى واسع: ففي القضية C-102/20 قضت بأن الإعلان المعروض داخل صندوق الوارد يُعدّ بريدًا إلكترونيًا لأغراض التسويق المباشر. تعامل مع منصات المراسلة ونماذج الاتصال في المواقع الإلكترونية بالحذر نفسه. أما استثناء العملاء الحاليين في المادة 13(2) فلا يفيد مع موزع لم تبع له من قبل قط.

القاعدة 4: حق الاعتراض مطلق

تمنح المادة 21(2) من اللائحة العامة لحماية البيانات كل شخص الحق في الاعتراض في أي وقت على المعالجة لأغراض التسويق المباشر، وتنص المادة 21(3) على أنه بمجرد اعتراضه «لا تُعالَج البيانات بعد ذلك لهذه الأغراض». لا يوجد اختبار موازنة ولا استثناء. وتشترط المادة 21(4) لفت انتباه الشخص صراحةً إلى هذا الحق، بوضوح وبمعزل عن أي معلومات أخرى، في موعد أقصاه أول تواصل.

أما بالنسبة إلى الشركات، فتؤدي آلية الرفض اللاحق الوطنية في الخصوصية الإلكترونية المهمة نفسها. وفي الحالتين، النتيجة التشغيلية هي قائمة حظر (suppression list): تُسجَّل كل حالة اعتراض، ولا يُتواصل مع أي عنوان مدرج فيها مرة أخرى أبدًا، حتى من زميل يستخدم أداة مختلفة.

القاعدة 5: احتفظ بسجلات يمكنك تسليمها إلى جهة رقابية

تجعلك المادة 5(2) من اللائحة العامة لحماية البيانات مسؤولًا: يجب أن تكون قادرًا على إثبات الامتثال، لا مجرد ادّعائه. وتشترط المادة 30 الاحتفاظ بسجلات أنشطة المعالجة؛ ولا ينطبق الإعفاء الخاص بالمنظمات التي يعمل لديها أقل من 250 موظفًا حين تكون المعالجة غير عرضية، ونادرًا ما يكون برنامج التنقيب عن العملاء عرضيًا.

حدّ أدنى عملي للمصنّع:

• لكل جهة اتصال: المصدر، وتاريخ الجمع، والأساس القانوني، والقاعدة الوطنية المطبّقة؛
• لكل رسالة: التاريخ، والقناة، ونص الهوية والرفض اللاحق المستخدَم؛
• لكل اعتراض: تاريخ الاستلام، وتاريخ التنفيذ؛
• تعليل المصلحة المشروعة للحملة، مؤرّخًا.

أين تأتي بيانات ترسية العقود

إشعارات ترسية العقود العامة، كتلك المنشورة على TED، مصدر مفتوح للأدلة على الشركات التي تبيع فئة معيّنة في بلد معيّن. واسم الشركة والعقد والجهة المشترية ليست بيانات شخصية، إلا حين يكون الفائز تاجرًا فرديًا يدل اسمه التجاري على شخص. أما اسم شخص الاتصال الوارد في الإشعار فهو بيانات شخصية. ويحتفظ Cresques بالأدلة على مستوى الشركة ويزيل التفاصيل الشخصية من الإشعارات قبل تخزينها، بحيث يكون ما تراه أثرًا لمن يبيع ماذا، لا قائمة بريدية.

ما يعنيه هذا للمصنّع

• حدّد الأساس القانوني ودوّنه قبل بناء القائمة. المصلحة المشروعة تغطي التنقيب ذا الصلة بين الشركات؛ ولا تغطي الأدوار غير ذات الصلة.
• صُغ رسالتك الأولى بحيث تحمل هويتك ومصدر البيانات وطريقة بخطوة واحدة لقول «توقّف». فهذا يستوفي المادة 13(4) من الخصوصية الإلكترونية والمادتين 14 و21 من اللائحة العامة لحماية البيانات في تذييل واحد.
• تحقّق من قاعدة البريد الإلكتروني الوطنية قبل إرسال أي شيء. ففي ألمانيا وهولندا وإيطاليا والدنمارك، الجواب عن البريد الإلكتروني غير المطلوب هو لا؛ استخدم رسالة بريدية، أو مكالمة حيث يُسمح بها، أو معرضًا تجاريًا، أو قناة واردة.
• اعتمد قائمة حظر واحدة على مستوى الشركة كلها.
• احتفظ بالسجلات. فالاحتفاظ بها زهيد الكلفة، وإعادة بنائها باهظة.