欧盟 B2B 开发信与营销联系法规：处处适用的五条规则

制造商在另一个欧盟国家寻找经销商时，发出首封消息之前就会遇到两层法律。《通用数据保护条例》（GDPR）规范对可识别个人信息的任何使用，包括采购人员的姓名和工作邮箱。《电子隐私指令》（ePrivacy Directive，2002/58/EC）则针对电子邮件、传真、自动呼叫以及在大多数国家针对电话，增加了按渠道区分的规则。GDPR 在各国完全相同；ePrivacy 规则由各国自行转化实施，彼此不同，有时差异很大。

简单来说： 您可以就自己的产品联系另一个欧盟国家的企业，但必须（1）在使用任何个人数据时具备合法依据，（2）告知对方您从何处获得其信息，（3）遵守对方所在国的电子邮件规则——从“对企业采用退出制”到“对所有人都须同意”不等，（4）一旦有人反对立即停止，（5）能够以书面形式证明以上各项。

以下五条规则在每个成员国都适用。本栏目中的各国文章介绍跨越国界后会有哪些变化。

规则 1：您需要合法依据，“正当利益”是最常用的一种

凡处理与个人有关的数据（一位具名的采购经理、一位销售总监的地址），GDPR 第 6 条都要求具备合法依据。对 B2B 客户开发而言，现实可行的依据是第 6(1)(f) 条，即正当利益。鉴于条款第 47 条明确写道：“the processing of personal data for direct marketing purposes may be regarded as carried out for a legitimate interest”（为直接营销目的处理个人数据，可被视为基于正当利益）。

这并不意味着可以为所欲为。正当利益要求您在自身利益（寻找经销商）与当事人的合理预期之间进行权衡。一家已在销售您所属产品品类的批发商的采购经理，可以合理预期会收到相关供应商的询洽；同一家公司的会计则不会。把这套推理写下来一次，并应用于您建立的每一份名单。

通用邮箱（info@、sales@、contact@）通常不含个人数据，因此在这些邮箱上 GDPR 这一层的要求较轻。但 ePrivacy 这一层（规则 3）仍然适用。

规则 2：告知对方您从何处获得其数据

GDPR 第 14 条适用于并非从当事人处收集的数据：来自合同授予公告、网站或展会会刊的姓名。您必须在合理期限内、最迟在一个月内向当事人提供常规的隐私信息（您是谁、为何持有这些数据、数据来源、其享有的权利）；如果您使用这些数据联系对方，最迟须在首次通信时提供——以先到者为准。把一份名单搁置数月直到写信时才告知，是不允许的。

实际做法：您的首封消息附上一段简短声明和一个指向隐私页面的链接，页面写明数据来源（“公开的合同授予公告”“贵公司网站”）。数据公开可得并不免除这项义务，只是改变您需要告知的内容。

规则 3：ePrivacy 电子邮件规则，以及欧盟为何因此分化

《电子隐私指令》第 13(1) 条禁止未经用户或订户事先同意，以电子邮件（以及传真和自动呼叫）进行直接营销。第 13(5) 条随后规定，该款适用于身为自然人的订户，并要求成员国“also ensure”（同时确保）其他订户——也就是企业——的正当利益“are sufficiently protected”（得到充分保护）。具体如何保护，交由各国法律决定。

正是这一句话，造就了如今的格局：

• 一些国家决定以退出制保护企业：在企业表示拒绝之前，您可以向其企业邮箱发送邮件。英国（脱欧后保留了这一规则）、爱尔兰和瑞典属于这一组，但附有条件。
• 法国介于两者之间：监管机构 CNIL 接受以正当利益为依据向专业人士开展客户开发，前提是消息内容与对方的职务相关，并提供信息告知和反对权；企业通用邮箱则完全不受个人数据规则约束。
• 另一些国家把同意要求扩展到了企业。德国、荷兰、意大利和丹麦要求营销邮件须事先取得同意，无论收件人是谁。

第 13 条有两部分在任何地方都毫无例外地适用：您绝不能伪装或隐瞒发件人身份；每封消息都必须附有一个有效地址，收件人可借此要求您停止发送（第 13(4) 条）。欧盟法院还确认，“电子邮件”应作宽泛理解：在 C-102/20 号案中，法院认定在电子邮件收件箱内展示的广告属于用于直接营销的电子邮件。对即时通讯平台和网站联系表单也应同样谨慎。第 13(2) 条中的现有客户例外，对一个您从未向其销售过的经销商并无帮助。

规则 4：反对权是绝对的

GDPR 第 21(2) 条赋予每个人随时反对为直接营销目的处理其数据的权利，第 21(3) 条规定，一旦对方提出反对，相关数据“shall no longer be processed for such purposes”（不得再为此类目的处理）。这里没有权衡测试，也没有例外。第 21(4) 条要求最迟在首次通信时，明确、清楚并与其他信息分开地提请当事人注意这项权利。

对企业而言，各国 ePrivacy 规定的退出机制起着同样的作用。在这两种情况下，落到操作层面就是一份屏蔽名单：每一项反对都要登记，名单上的任何地址都不得再被联系，即便是同事使用其他工具也不行。

规则 5：保存可以交给监管机构的记录

GDPR 第 5(2) 条规定了问责原则：您必须能够证明合规，而不仅仅是声称合规。第 30 条要求保存处理活动记录；员工少于 250 人的组织所享有的豁免，在处理活动并非偶发时不适用，而客户开发项目很少是偶发的。

对制造商而言，一套可行的最低标准是：

• 每个联系人：来源、收集日期、法律依据、所适用的国家规则；
• 每封消息：日期、渠道、所使用的身份信息和退订文字；
• 每项反对：收到日期、处理日期；
• 本次活动的正当利益推理，并注明日期。

合同授予数据的定位

公开的合同授予公告（例如在 TED 上发布的公告）是一个开放的证据来源，可显示哪些企业在某个国家销售某一品类。企业名称、合同和采购方不属于个人数据，除非中标方是个体经营者、其商号能够识别出某个人。公告中具名的联系人属于个人数据。Cresques 保留企业层面的证据，并在存储公告之前删除其中的个人信息，因此您看到的是“谁在卖什么”的线索，而不是一份邮寄名单。

这对制造商意味着什么

• 在建立名单之前确定合法依据并写下来。正当利益涵盖相关的 B2B 客户开发，不涵盖不相关的职务。
• 让您的首封消息包含您的身份、数据来源以及一步即可要求停止的方式。这样一个页脚就能同时满足 ePrivacy 第 13(4) 条以及 GDPR 第 14 条和第 21 条。
• 发送任何内容之前，先查明收件方所在国的电子邮件规则。在德国、荷兰、意大利和丹麦，陌生邮件的答案是不行；请改用信函、在允许情况下打电话、参加展会或利用对方主动来询的渠道。
• 在整个公司范围内使用同一份屏蔽名单。
• 保存好记录。保存它们成本很低，事后重建则代价高昂。