Prawo a kontakt B2B w UE: pięć zasad obowiązujących wszędzie

Producent szukający dystrybutorów w innym kraju UE trafia na dwie warstwy prawa, zanim wyśle pierwszą wiadomość. Ogólne rozporządzenie o ochronie danych (RODO, ang. GDPR) reguluje każde wykorzystanie informacji o osobie, którą można zidentyfikować — w tym imię i nazwisko kupca oraz jego służbowy e-mail. Dyrektywa o prywatności i łączności elektronicznej (ePrivacy, 2002/58/WE) dodaje zasady dla poszczególnych kanałów: e-maila, faksu, połączeń automatycznych, a w większości krajów także telefonu. RODO jest wszędzie takie samo; przepisy ePrivacy wdraża każdy kraj osobno i różnią się one, czasem bardzo.

W skrócie: możesz kontaktować się z firmą w innym kraju UE w sprawie swoich produktów, ale musisz (1) mieć podstawę prawną do wykorzystania danych osobowych, (2) poinformować ludzi, skąd masz ich dane, (3) przestrzegać krajowej reguły dotyczącej e-maili, która waha się od „sprzeciwu (opt-out) dla firm” po „zgodę dla wszystkich”, (4) przestać w chwili, gdy ktoś zgłosi sprzeciw, i (5) móc to wszystko wykazać na piśmie.

Pięć poniższych zasad obowiązuje w każdym państwie członkowskim. Artykuły o poszczególnych krajach w tej sekcji opisują, co zmienia się na granicy.

Zasada 1: potrzebujesz podstawy prawnej, a zwykle jest nią „prawnie uzasadniony interes”

Za każdym razem, gdy przetwarzasz dane o osobie (imiennie wskazany kierownik zakupów, adres dyrektora sprzedaży), art. 6 RODO wymaga podstawy prawnej. W pozyskiwaniu klientów B2B realną podstawą jest art. 6 ust. 1 lit. f, czyli prawnie uzasadniony interes. Motyw 47 mówi wprost: „Za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego”.

Nie znaczy to, że wszystko wolno. Prawnie uzasadniony interes wymaga wyważenia Twojego interesu (znalezienia dystrybutora) i rozsądnych oczekiwań danej osoby. Kierownik zakupów w hurtowni, która już sprzedaje Twoją kategorię produktów, może rozsądnie spodziewać się trafnego zapytania od dostawcy. Księgowy w tej samej firmie — nie. Spisz to uzasadnienie raz i stosuj je do każdej budowanej listy.

Skrzynki ogólne (info@, sales@, contact@) zwykle nie zawierają danych osobowych, więc warstwa RODO jest tam lżejsza. Warstwa ePrivacy (zasada 3) nadal obowiązuje.

Zasada 2: poinformuj ludzi, skąd masz ich dane

Art. 14 RODO dotyczy danych, których nie zebrałeś od samej osoby: nazwiska z ogłoszenia o udzieleniu zamówienia, ze strony internetowej, z katalogu targowego. Musisz przekazać tej osobie standardowe informacje o prywatności (kim jesteś, po co masz dane, skąd je masz, jakie ma prawa) w rozsądnym terminie, najpóźniej w ciągu miesiąca, a jeśli wykorzystujesz dane do kontaktu z nią — najpóźniej przy pierwszej komunikacji, w zależności od tego, co nastąpi wcześniej; trzymanie listy miesiącami, zanim napiszesz, jest niedozwolone.

W praktyce: Twoja pierwsza wiadomość zawiera krótką informację i link do strony o prywatności, która wskazuje źródło („publiczne ogłoszenia o udzieleniu zamówienia”, „strona internetowa Twojej firmy”). Publiczna dostępność danych nie znosi tego obowiązku; zmienia tylko to, co musisz napisać.

Zasada 3: reguła ePrivacy dotycząca e-maili i dlaczego dzieli UE

Art. 13 ust. 1 dyrektywy ePrivacy zakazuje wysyłania e-maili (a także faksów i połączeń automatycznych) w celach marketingu bezpośredniego bez uprzedniej zgody abonenta lub użytkownika. Art. 13 ust. 5 stanowi następnie, że ten ustęp dotyczy abonentów będących osobami fizycznymi, a państwa członkowskie „zapewniają również” wystarczającą ochronę uzasadnionych interesów pozostałych abonentów, czyli firm. Sposób, w jaki ma się to odbyć, pozostawiono prawu krajowemu.

To jedno zdanie wyjaśnia, dlaczego mapa wygląda tak, jak wygląda:

• Część krajów uznała, że firmy chroni sprzeciw (opt-out): możesz pisać na adres firmowy, dopóki firma nie powie „nie”. Do tej grupy należą, z zastrzeżeniami, Wielka Brytania (która zachowała tę regułę po wyjściu z UE), Irlandia i Szwecja.
• Francja jest pośrodku: regulator CNIL akceptuje pozyskiwanie klientów spośród profesjonalistów na podstawie prawnie uzasadnionego interesu, gdy wiadomość dotyczy roli zawodowej odbiorcy, przy zapewnieniu informacji i prawa sprzeciwu; ogólne adresy firmowe w ogóle nie podlegają przepisom o danych osobowych.
• Inne kraje rozciągnęły wymóg zgody na firmy. Niemcy, Holandia, Włochy i Dania wymagają uprzedniej zgody na e-mail marketingowy bez względu na to, kim jest odbiorca.

Dwie części art. 13 obowiązują wszędzie bez wyjątku. Nigdy nie wolno ukrywać ani maskować tożsamości nadawcy, a każda wiadomość musi zawierać ważny adres, na który odbiorca może poprosić o zaprzestanie (art. 13 ust. 4). Trybunał Sprawiedliwości potwierdził też, że „pocztę elektroniczną” rozumie się szeroko: w sprawie C-102/20 orzekł, że reklama wyświetlana w skrzynce odbiorczej poczty e-mail jest pocztą elektroniczną wykorzystywaną do marketingu bezpośredniego. Do komunikatorów i formularzy kontaktowych na stronach internetowych podchodź z taką samą ostrożnością. Wyjątek dla dotychczasowych klientów z art. 13 ust. 2 nie pomoże w przypadku dystrybutora, któremu nigdy niczego nie sprzedałeś.

Zasada 4: prawo sprzeciwu jest bezwzględne

Art. 21 ust. 2 RODO daje każdej osobie prawo do wniesienia w dowolnym momencie sprzeciwu wobec przetwarzania do celów marketingu bezpośredniego, a art. 21 ust. 3 stanowi, że po wniesieniu sprzeciwu „danych osobowych nie wolno już przetwarzać do takich celów”. Nie ma tu testu wyważenia ani wyjątków. Art. 21 ust. 4 wymaga, by najpóźniej przy pierwszej komunikacji wyraźnie poinformować osobę o tym prawie — jasno i odrębnie od innych informacji.

W przypadku firm tę samą funkcję pełni krajowy sprzeciw (opt-out) z przepisów ePrivacy. W obu sytuacjach praktyczny skutek to lista wykluczeń: każdy sprzeciw jest rejestrowany, a z żadnym adresem z tej listy nikt już nigdy się nie kontaktuje — nawet kolega korzystający z innego narzędzia.

Zasada 5: prowadź dokumentację, którą mógłbyś przekazać regulatorowi

Art. 5 ust. 2 RODO wprowadza zasadę rozliczalności: musisz umieć wykazać zgodność z przepisami, a nie tylko ją deklarować. Art. 30 wymaga prowadzenia rejestru czynności przetwarzania; zwolnienie dla organizacji zatrudniających mniej niż 250 osób nie ma zastosowania, gdy przetwarzanie nie ma charakteru sporadycznego, a program pozyskiwania klientów rzadko jest sporadyczny.

Rozsądne minimum dla producenta:

• dla każdego kontaktu: źródło, data pozyskania, podstawa prawna, zastosowana reguła krajowa;
• dla każdej wiadomości: data, kanał, użyte dane nadawcy i tekst umożliwiający rezygnację;
• dla każdego sprzeciwu: data otrzymania, data realizacji;
• uzasadnienie prawnie uzasadnionego interesu dla kampanii, z datą.

Gdzie pasują dane o udzielonych zamówieniach

Publiczne ogłoszenia o udzieleniu zamówienia, takie jak publikowane w TED, to otwarte źródło dowodów na to, które firmy sprzedają daną kategorię w danym kraju. Nazwa firmy, zamówienie i zamawiający nie są danymi osobowymi — chyba że zwycięzcą jest jednoosobowa działalność gospodarcza, której nazwa identyfikuje osobę. Wskazana w ogłoszeniu osoba kontaktowa to dane osobowe. Cresques zachowuje dowody na poziomie firm i usuwa dane osobowe z ogłoszeń przed ich zapisaniem, więc widzisz ślad tego, kto co sprzedaje, a nie listę mailingową.

Co to oznacza dla producenta

• Ustal podstawę prawną i spisz ją, zanim zbudujesz listę. Prawnie uzasadniony interes obejmuje trafne pozyskiwanie klientów B2B; nie obejmuje osób na niezwiązanych stanowiskach.
• Zbuduj pierwszą wiadomość tak, by zawierała Twoją tożsamość, źródło danych i możliwość rezygnacji jednym krokiem. Jedna stopka spełnia wtedy wymogi art. 13 ust. 4 ePrivacy oraz art. 14 i 21 RODO.
• Przed wysłaniem czegokolwiek sprawdź krajową regułę dotyczącą e-maili. W Niemczech, Holandii, Włoszech i Danii odpowiedź na pytanie o e-mail na zimno brzmi „nie”; użyj listu, telefonu tam, gdzie to dozwolone, targów albo kanału przychodzącego.
• Prowadź jedną listę wykluczeń dla całej firmy.
• Prowadź dokumentację. Prowadzenie jej na bieżąco kosztuje niewiele, a odtwarzanie — dużo.