एक ही कंपनी, एक ही पल में भेजा गया एक ही मार्केटिंग ईमेल, ओहायो के किसी पाठक तक पहुंचे तो वैध हो सकता है और बर्लिन या टोरंटो के पाठक तक पहुंचे तो अवैध। संदेश में कुछ भी बदलने की ज़रूरत नहीं। फ़र्क इससे पड़ता है कि पाने वाला कहां है और उस व्यक्ति ने पहले से सहमति दी थी या नहीं। अमेरिका की कोई दुकान आम तौर पर अनजान व्यक्ति को बिना पूछे ईमेल कर सकती है, बशर्ते वह ईमानदार हो और व्यक्ति को ऑप्ट-आउट करने दे, जबकि EU और कनाडा में वही संदेश आमतौर पर भेजे जाने से पहले सहमति मांगता।
ईमेल प्राइवेसी क़ानूनों का मूल यही बंटवारा है। यूरोप के GDPR और ePrivacy नियम और कनाडा का CASL ऑप्ट-इन के आधार पर चलते हैं, जबकि अमेरिका का CAN-SPAM एक्ट ऑप्ट-आउट पर। इनके साथ सामान्य प्राइवेसी क़ानून हैं, जैसे GDPR और कैलिफ़ोर्निया का CCPA, जो आपको उस डेटा पर अधिकार देते हैं जो कंपनियां आपके बारे में रखती हैं। यह लेख सामान्य जानकारी है, क़ानूनी सलाह नहीं। क़ानून बदलते हैं और देश के हिसाब से अलग होते हैं, और वे कैसे लागू होते हैं यह तथ्यों पर निर्भर है, इसलिए किसी ख़ास स्थिति के लिए संबंधित नियामक की गाइडेंस देखें या किसी योग्य वकील से बात करें।
एक प्रमोशनल ईमेल, चार नतीजे
एक उदाहरण लेते हैं। टेक्सास की एक छोटी ऑनलाइन दुकान पतों की एक सूची ख़रीदती है और उसमें सबको “इस वीकेंड 20% छूट” वाला ईमेल भेजती है। संदेश में ईमानदार विषय, डाक का पता और अनसब्सक्राइब लिंक है। अलग-अलग जगहों के पाठकों के लिए यह मोटे तौर पर ऐसे बैठता है, इस मान्यता पर कि दुकान की वहां की गतिविधि पर हर क़ानून लागू होता है।
| पाने वाला कहां है | मुख्य नियम | इस उदाहरण में संभावित स्थिति |
|---|---|---|
| संयुक्त राज्य अमेरिका | CAN-SPAM एक्ट | पहले से सहमति ज़रूरी नहीं। अगर संदेश सामग्री और ऑप्ट-आउट के नियम पूरे करता है तो वह अनुपालन में हो सकता है, हालांकि इकट्ठा (हार्वेस्ट) किए गए पते अलग समस्याएं खड़ी करते हैं |
| जर्मनी (EU) | GDPR और राष्ट्रीय ePrivacy नियम, जर्मनी में अनुचित प्रतिस्पर्धा क़ानून (UWG) की धारा 7 | आम तौर पर पहले से सहमति चाहिए। ग्राहक संबंध के बिना ख़रीदे गए पते सॉफ़्ट ऑप्ट-इन की छूट पर खरे नहीं उतरते |
| यूनाइटेड किंगडम | UK GDPR और PECR का नियम 22 | व्यक्तिगत सब्सक्राइबरों के लिए आम तौर पर पहले से सहमति चाहिए, या सॉफ़्ट ऑप्ट-इन, जिसका दावा दुकान यहां नहीं कर सकती |
| कनाडा | CASL | स्पष्ट या अप्रत्यक्ष सहमति चाहिए। ख़रीदी गई सूची में आम तौर पर दोनों नहीं होतीं, और दुकान को सहमति साबित करने में सक्षम होना चाहिए |
इससे यह भी दिखता है कि भेजने वाले का अपना देश ज़्यादा कुछ तय नहीं करता। EU के ग्राहकों को निशाना बनाने वाली टेक्सास की कंपनी EU क़ानून के दायरे में आ सकती है, और CASL कनाडा के कंप्यूटरों पर खोले गए संदेशों को कवर करता है। कंपनी कहां बेचती है और उसके पाने वाले कहां हैं, यह उसके दफ़्तर की जगह से ज़्यादा मायने रखता है।
एक नज़र में क़ानून
| क़ानून | कहां | मार्केटिंग का मॉडल | कौन लागू करता है | अधिकतम जुर्माना (मुख्य आंकड़ा) |
|---|---|---|---|---|
| GDPR | EU और EEA; साथ ही दूसरी जगहों की वे संस्थाएं जो वहां के लोगों को निशाना बनाती हैं या उन पर नज़र रखती हैं | वैध आधार चाहिए; ePrivacy नियमों के साथ पढ़ा जाता है | राष्ट्रीय डेटा संरक्षण प्राधिकरण और अदालतें | 2 करोड़ यूरो तक या विश्वव्यापी वार्षिक टर्नओवर का 4%, जो भी ज़्यादा हो |
| ePrivacy Directive | EU, हर सदस्य देश के राष्ट्रीय क़ानून के ज़रिए | व्यक्तियों के लिए ऑप्ट-इन, मौजूदा ग्राहकों के लिए सॉफ़्ट ऑप्ट-इन के साथ | राष्ट्रीय नियामक, जो देश के हिसाब से अलग हैं | राष्ट्रीय क़ानून तय करता है |
| UK GDPR और PECR | यूनाइटेड किंगडम | सॉफ़्ट ऑप्ट-इन के साथ ऑप्ट-इन, EU मॉडल के क़रीब | UK का डेटा संरक्षण नियामक | £17.5 मिलियन या विश्वव्यापी टर्नओवर का 4%, जो भी ज़्यादा हो |
| CAN-SPAM एक्ट | संयुक्त राज्य अमेरिका | ऑप्ट-आउट | FTC, अन्य संघीय एजेंसियां, राज्यों के अटॉर्नी जनरल, इंटरनेट एक्सेस प्रदाता | उल्लंघन करने वाले हर ईमेल पर $50,000 से अधिक, हर साल महंगाई के हिसाब से समायोजित |
| CCPA, CPRA के संशोधन के साथ | कैलिफ़ोर्निया के निवासी और दायरे में आने वाले लाभ कमाने वाले कारोबार | ईमेल सहमति का कोई नियम नहीं; संग्रह, बिक्री और साझा करने को नियंत्रित करता है | California Privacy Protection Agency और अटॉर्नी जनरल | हर उल्लंघन पर जुर्माना, जानबूझकर किए और नाबालिगों से जुड़े उल्लंघनों पर ज़्यादा |
| CASL | कनाडा, विदेश से भेजे और वहां खोले गए संदेशों समेत | भेजने से पहले स्पष्ट या अप्रत्यक्ष सहमति | CRTC, Competition Bureau, Office of the Privacy Commissioner | हर उल्लंघन पर संस्थाओं के लिए C$10 मिलियन तक, व्यक्तियों के लिए C$1 मिलियन |
क्या ईमेल पता निजी डेटा है?
GDPR के अनुच्छेद 4(1) के तहत निजी डेटा का मतलब है किसी पहचाने गए या पहचाने जा सकने वाले व्यक्ति से जुड़ी कोई भी जानकारी। maria.lopez@example.com जैसा पता साफ़ तौर पर इसमें आता है। ml1987@example.com जैसा कम साफ़ पता भी आम तौर पर आता है, क्योंकि वह एक व्यक्ति का है और दूसरी जानकारी से जोड़कर उसकी पहचान की जा सकती है। info@company.example जैसा साझा पता शायद निजी डेटा ही न हो, जब तक उसे किसी व्यक्ति से जोड़ा न जा सके।
ईमेल में पते से कहीं ज़्यादा निजी डेटा होता है। संदेश की सामग्री और उसके अटैचमेंट होते हैं। मेटाडेटा होता है, यानी भेजने वाला, पाने वाले, समय, विषय और हेडर में IP पते। एंगेजमेंट डेटा होता है, जैसे आपने संदेश कब खोला और किन लिंक पर क्लिक किया। और व्युत्पन्न प्रोफ़ाइलें भी होती हैं, जैसे रुचि के सेगमेंट और इसका अनुमान कि आप आगे क्या ख़रीद सकते हैं।
अमेरिकी शब्दावली अलग है। CCPA “personal information” की बात करता है, जिसे व्यापक रूप से परिभाषित किया गया है और जिसमें ईमेल पते जैसे पहचानकर्ता और प्रोफ़ाइल बनाने के लिए निकाले गए अनुमान शामिल हैं। CAN-SPAM ऐसी कोई धारणा नहीं इस्तेमाल करता, क्योंकि यह कोई सामान्य प्राइवेसी क़ानून है ही नहीं। यह इसे नियंत्रित करता है कि व्यावसायिक ईमेल कैसे भेजे जाएं, और कंपनी के पास रखी किसी चीज़ को देखने या मिटाने का अधिकार नहीं देता।
यूरोप: दो क़ानून साथ-साथ
कई लेख ऑप्ट-इन मार्केटिंग को GDPR का नियम बताते हैं। मार्केटिंग ईमेल के लिए सहमति की ज़रूरत असल में एक अलग क़ानून, ePrivacy Directive (Directive 2002/58/EC), से आती है, जबकि GDPR तय करता है कि वैध सहमति का मतलब क्या है और डेटा के साथ क्या होता है। चूंकि निर्देश (directive) हर सदस्य देश में अलग से लागू होता है, इसलिए ब्योरे EU में हर जगह अलग हैं। उदाहरण के लिए फ़्रांस और जर्मनी के अपने राष्ट्रीय प्रावधान और अपने नियामकों के विचार हैं।
ePrivacy Directive का अनुच्छेद 13
अनुच्छेद 13 बुनियादी ढांचा तय करता है। व्यक्तियों को डायरेक्ट मार्केटिंग ईमेल के लिए पहले से सहमति चाहिए। एक संकीर्ण छूट, जिसे आम तौर पर सॉफ़्ट ऑप्ट-इन कहा जाता है, उस कंपनी को जिसे आपका पता किसी उत्पाद या सेवा की बिक्री के संदर्भ में मिला, अपने ही मिलते-जुलते उत्पादों या सेवाओं की मार्केटिंग करने देती है, बशर्ते पता लिए जाते समय और उसके बाद हर संदेश में आपके पास आपत्ति करने का साफ़ और आसान मौका था। भेजने वाले अपनी पहचान छिपा नहीं सकते, और उन्हें ऑप्ट-आउट के लिए एक वैध पता देना होगा।
कंपनियों को ईमेल करने के नियम अलग-अलग हैं। अनुच्छेद 13(5) सदस्य देशों को क़ानूनी व्यक्तियों से अलग बर्ताव करने की गुंजाइश देता है, इसलिए कुछ ऑप्ट-इन को कंपनी के पतों तक बढ़ाते हैं और कुछ नहीं। firstname.lastname@company.example जैसे नामित दफ़्तर के पते GDPR के तहत तब भी निजी डेटा रहते हैं जब मार्केटिंग का नियम ढीला हो।
ट्रैकिंग पिक्सल
इसी निर्देश का अनुच्छेद 5(3) किसी उपयोगकर्ता के डिवाइस पर जानकारी रखने या उस तक पहुंचने के लिए सहमति मांगता है, जब तक वह उपयोगकर्ता की मांगी सेवा के लिए सख़्त रूप से ज़रूरी न हो। यह कुकी बैनरों के लिए सबसे ज़्यादा जाना जाता है। यूरोपियन डेटा प्रोटेक्शन बोर्ड की अनुच्छेद 5(3) के तकनीकी दायरे पर गाइडलाइंस 2/2023 का मत है कि ईमेल में ट्रैकिंग पिक्सल इसके दायरे में आ सकते हैं। फ़्रांस के नियामक CNIL ने और आगे जाकर अप्रैल 2026 में एक सिफ़ारिश प्रकाशित की जो ईमेल ट्रैकिंग पिक्सल के लिए सहमति को डिफ़ॉल्ट बनाती है, सुरक्षा जैसे उद्देश्यों के लिए सीमित छूटों के साथ। देशों के बीच फ़र्क की उम्मीद रखें, और अपने नियामक का रुख़ देखें। तकनीक खुद कैसे काम करती है, यह हमारे ईमेल ट्रैकिंग पिक्सल वाले लेख में है।
GDPR क्या जोड़ता है
General Data Protection Regulation 25 मई 2018 से लागू है। यह EU में स्थापित संस्थाओं को कवर करता है, और अनुच्छेद 3(2) के तहत दूसरी जगहों की उन संस्थाओं को भी जो EU के लोगों को सामान या सेवाएं देती हैं या वहां उनके व्यवहार पर नज़र रखती हैं। रेसिटल 23 निशाना बनाने के बारे में संकेत देता है: सिर्फ़ यूरोप से पहुंचने लायक वेबसाइट होना काफ़ी नहीं है, जबकि किसी सदस्य देश की भाषा या मुद्रा में वहां सामान देना काफ़ी हो सकता है। आइसलैंड, लिकटेंस्टाइन और नॉर्वे GDPR को EEA के ज़रिए लागू करते हैं।
सिद्धांत और वैध आधार
अनुच्छेद 5 सिद्धांत तय करता है। ऑर्डर कन्फ़र्मेशन भेजने के लिए लिया गया पता बिना संबंध वाले उद्देश्यों के लिए सीधे दोबारा इस्तेमाल नहीं हो सकता (उद्देश्य की सीमा)। केवल ज़रूरी डेटा इकट्ठा होना चाहिए (डेटा न्यूनतमीकरण), जितनी ज़रूरत हो उससे ज़्यादा समय तक नहीं रखा जाना चाहिए (भंडारण की सीमा) और सुरक्षित रखा जाना चाहिए। संस्था को यह दिखा पाना भी चाहिए कि उसने अनुपालन किया (जवाबदेही)।
अनुच्छेद 6 हर इस्तेमाल के लिए एक वैध आधार मांगता है। ईमेल के लिए आम आधार ये हैं:
- अनुबंध: आपका ऑर्डर कन्फ़र्मेशन या अकाउंट नोटिस भेजना।
- क़ानूनी बाध्यता: कर के लिए चालान रखना।
- सहमति: न्यूज़लेटर की सदस्यता लेना।
- वैध हित: कुछ सुरक्षा और धोखाधड़ी की रोकथाम, और सीमित मामलों में डायरेक्ट मार्केटिंग, लेकिन तभी जब ePrivacy नियम खुद संदेश की इजाज़त दें।
सहमति को वैध क्या बनाता है
अनुच्छेद 4(11) सहमति को स्वतंत्र रूप से दी गई, विशिष्ट, सूचित और असंदिग्ध बताता है, जो एक साफ़ सकारात्मक कार्रवाई से दिखे। रेसिटल 32 कहता है कि चुप्पी, पहले से टिक किए बॉक्स और निष्क्रियता गिनी नहीं जातीं, और यूरोपीय संघ के न्यायालय ने पहले से टिक किए बॉक्स वाली बात की पुष्टि 2019 के Planet49 मामले (C-673/17) में की। अनुच्छेद 7(3) कहता है कि सहमति वापस लेना देने जितना ही आसान होना चाहिए, इसलिए एक क्लिक की सदस्यता को पलटने के लिए लॉगिन और पांच पेज नहीं लगने चाहिए। अनुच्छेद 7(1) संस्था से सहमति दिखा पाने की मांग करता है, और भरोसेमंद भेजने वाले इसी वजह से डबल ऑप्ट-इन कन्फ़र्मेशन ईमेल इस्तेमाल करते हैं, हालांकि GDPR उस तरीके का नाम नहीं लेता।
बंडलिंग एक आम कमज़ोरी है। अनुच्छेद 7(4) पूछता है कि क्या किसी सेवा को ऐसी सहमति पर निर्भर बना दिया गया जिसकी उसे ज़रूरत नहीं। “हमें मार्केटिंग की सहमति दें, वरना यह पेज नहीं पढ़ सकते” वह तरह का इंतज़ाम है जिसे नियामक बारीकी से देखते हैं, और जवाब संदर्भ के हिसाब से बदल सकता है।
आपके अधिकार
| अधिकार | अनुच्छेद | यह आपको क्या देता है | ईमेल का उदाहरण |
|---|---|---|---|
| जानकारी | 13, 14 | आपका डेटा कौन प्रोसेस करता है, क्यों, कितने समय तक और किसे मिलता है | न्यूज़लेटर साइन-अप पर लिंक किया गया प्राइवेसी नोटिस |
| पहुंच | 15 | आपके डेटा की कॉपी और उसके उपयोग का ब्योरा, आम तौर पर मुफ़्त | किसी दुकान से पूछना कि आपके पते से जुड़ा क्या रखा है, सेगमेंट समेत |
| सुधार | 16 | ग़लत डेटा को ठीक करना | ग़लत लिखा नाम ठीक कराना |
| मिटाना | 17 | सूचीबद्ध मामलों में मिटाना, जैसे डेटा की अब ज़रूरत न रहना या सहमति वापस ली जाना | छोड़ी हुई सेवा से अपनी प्रोफ़ाइल हटवाना |
| प्रतिबंध | 18 | विवाद के दौरान इस्तेमाल पर रोक | सटीकता जांचे जाने तक प्रोसेसिंग रोकना |
| पोर्टेबिलिटी | 20 | आपका दिया डेटा मशीन से पढ़े जा सकने वाले फ़ॉर्मेट में, जहां प्रोसेसिंग सहमति या अनुबंध पर टिकी हो | मेल प्रोवाइडर से कॉन्टैक्ट एक्सपोर्ट करना |
| आपत्ति | 21 | वैध हित पर आधारित प्रोसेसिंग रोकना; डायरेक्ट मार्केटिंग के लिए पूर्ण | कंपनी से सारी मार्केटिंग बंद करने को कहना |
| शिकायत और मुआवज़ा | 77, 82 | प्राधिकरण से शिकायत, और नुकसान का हर्जाना मांगना | आपकी आपत्ति अनदेखी करने वाले भेजने वाले की रिपोर्ट करना |
अनुच्छेद 12(3) संस्थाओं को जवाब देने के लिए एक महीना देता है, जिसे जटिल या बहुत सारे अनुरोधों के लिए दो महीने और बढ़ाया जा सकता है, और तब उन्हें पहले महीने के भीतर आपको बताना होता है। वे पहचान का उचित प्रमाण मांग सकते हैं। अनुच्छेद 12(5) के तहत वे उचित शुल्क ले सकते हैं या मना कर सकते हैं, केवल तब जब अनुरोध स्पष्ट रूप से निराधार या अत्यधिक हो।
मार्केटिंग पर आपत्ति का अधिकार इनमें सबसे मज़बूत है, और इसे अनदेखा करना आसान है। अनुच्छेद 21(2) और (3) कहते हैं कि एक बार आप डायरेक्ट मार्केटिंग पर आपत्ति करें, तो आपका डेटा उस उद्देश्य के लिए प्रोसेस नहीं होना चाहिए। दूसरी आपत्तियों के उलट, इसमें कोई संतुलन की जांच लागू नहीं होती। कंपनी आपका पता सप्रेशन सूची में रख सकती है ताकि वह आपको दोबारा ईमेल न करे, लेकिन वह आपको मार्केटिंग करती नहीं रह सकती।
मिटाने के अधिकार की इसके उलट सीमाएं हैं। अनुच्छेद 17(3) अपवाद गिनाता है, जिनमें क़ानूनी बाध्यताएं शामिल हैं। दुकान आपकी प्रोफ़ाइल मिटाने के बाद भी आपके चालान रख सकती है, और पूछने पर उसे यह बताना चाहिए।
ब्रीच की सूचना
अनुच्छेद 33 संस्था से कहता है कि निजी डेटा ब्रीच की जानकारी होने के 72 घंटे के भीतर अपने पर्यवेक्षी प्राधिकरण को सूचित करे, जब तक ब्रीच से लोगों को जोखिम की संभावना न हो। अनुच्छेद 34 उससे प्रभावित लोगों को बिना अनुचित देरी के बताने को कहता है जहां जोखिम ऊंचा हो। इसी कारण कभी-कभी आपको उन सेवाओं से सूचना मिलती है जिन्हें आप सालों पहले छोड़ चुके हैं। अगर आपको नोटिस मिले, तो ईमेल डेटा ब्रीच के बाद क्या करें, इस पर हमारी गाइड व्यावहारिक कदम बताती है।
एक बदलाव आने वाला हो सकता है। यूरोपीय आयोग का Digital Omnibus प्रस्ताव, जो नवंबर 2025 में प्रकाशित हुआ, अन्य बातों के साथ 72 घंटे को 96 तक बढ़ाएगा और नियामक को सूचना केवल ऊंचे जोखिम वाले ब्रीच तक सीमित करेगा। 2026 के आख़िर तक यह विधायी प्रक्रिया में एक प्रस्ताव ही है, इसलिए मौजूदा नियम अब भी लागू हैं। अगर आपको इस पर निर्भर रहना हो तो अंतिम पाठ देखें।
यूनाइटेड किंगडम: मिलता-जुलता, अपने अपडेट के साथ
ब्रेक्ज़िट के बाद UK ने GDPR को घरेलू क़ानून में UK GDPR के रूप में रखा, Data Protection Act 2018 के साथ। Privacy and Electronic Communications Regulations 2003 (PECR) ePrivacy नियम समेटते हैं, और नियम 22 व्यक्तिगत सब्सक्राइबरों के लिए EU के ऑप्ट-इन और सॉफ़्ट ऑप्ट-इन मॉडल जैसा है।
Data (Use and Access) Act 2025 ने इस तस्वीर के कुछ हिस्से बदले। इसने PECR का अधिकतम जुर्माना £500,000 से बढ़ाकर UK GDPR के स्तर तक कर दिया, यानी £17.5 मिलियन या विश्वव्यापी टर्नओवर का 4%, जो भी ज़्यादा हो, और बताया गया कि यह बदलाव 2026 की शुरुआत में लागू हुआ। इसने चैरिटी के लिए सॉफ़्ट ऑप्ट-इन का एक रूप भी बनाया, जो उन्हें उन लोगों को ईमेल करने देता है जिन्होंने उनके काम का समर्थन किया या उसके बारे में पूछा, उन शर्तों के साथ जिनमें डेटा लेते समय ऑप्ट-आउट शामिल है। नियामक का खुद का स्वरूप भी बदला जा रहा है, Information Commissioner’s Office की जगह Information Commission लेने वाला है, इसलिए आपको दोनों में से कोई नाम दिख सकता है। मौजूदा गाइडेंस देखने के लिए उसकी वेबसाइट ही सही जगह है, और वहां अनचाही मार्केटिंग की रिपोर्ट करने का टूल भी है।
CAN-SPAM: अमेरिकी संघीय क़ानून असल में क्या मांगता है
2003 का CAN-SPAM एक्ट व्यावसायिक ईमेल पर अमेरिका का मुख्य संघीय क़ानून है। नाम के बावजूद, यह अनचाही मार्केटिंग पर रोक नहीं लगाता। यह ऐसे ईमेल कैसे भेजे जाने चाहिए इसके नियम तय करता है, और पाने वालों को उसे रोकने का अधिकार देता है। FTC का लागू करने वाला नियम 16 CFR Part 316 में है, और एजेंसी कारोबार के लिए एक अनुपालन गाइड प्रकाशित करती है जिसे अगर आप मार्केटिंग मेल भेजते हैं तो पूरा पढ़ना ठीक रहेगा।
कौन-से संदेश गिने जाते हैं
संदेश का मुख्य उद्देश्य मायने रखता है। व्यावसायिक संदेश किसी उत्पाद या सेवा का विज्ञापन या प्रचार करते हैं और पूरी तरह कवर होते हैं। लेन-देन या संबंध वाले संदेश किसी लेन-देन की पुष्टि करते हैं, वारंटी या सुरक्षा की जानकारी देते हैं, अकाउंट या सदस्यता में बदलाव बताते हैं, रोज़गार की जानकारी देते हैं, या पहले ख़रीदा सामान पहुंचाते हैं। इन्हें ज़्यादातर ज़रूरतों से छूट है, लेकिन इनमें झूठी या भ्रामक रूटिंग जानकारी नहीं होनी चाहिए। विशुद्ध निजी मेल इस एक्ट के बाहर है।
बिज़नेस-टू-बिज़नेस ईमेल के लिए कोई छूट नहीं है। कॉर्पोरेट पते पर प्रमोशनल संदेश को भी अनुपालन करना पड़ता है, जो उन लोगों को चौंकाता है जो कुछ देशों में B2B के नरम बर्ताव के आदी हैं।
ज़रूरतें
- हेडर की जानकारी सटीक होनी चाहिए। From, To, Reply-To और रूटिंग डेटा को सही बताना चाहिए कि संदेश किसने शुरू किया।
- विषय पंक्तियां सामग्री के बारे में भ्रम में नहीं डालनी चाहिए।
- संदेश को साफ़ तौर पर विज्ञापन के रूप में पहचाना जाना चाहिए, जब तक पाने वाले ने पहले से सकारात्मक सहमति न दी हो।
- उसमें एक वैध भौतिक डाक का पता होना चाहिए, जो सड़क का पता, पंजीकृत पोस्ट ऑफ़िस बॉक्स या पंजीकृत निजी मेलबॉक्स हो सकता है।
- उसे साफ़ समझाना चाहिए कि ऑप्ट-आउट कैसे करें और ऐसा करने का एक चलता हुआ तरीका देना चाहिए, जैसे रिप्लाई का पता या लिंक।
- ऑप्ट-आउट 10 कारोबारी दिनों के भीतर माने जाने चाहिए, और तरीका भेजने के बाद कम से कम 30 दिन चलता रहना चाहिए। भेजने वाला शुल्क नहीं ले सकता, ईमेल पते और ऑप्ट-आउट पसंद से ज़्यादा निजी जानकारी नहीं मांग सकता, और रिप्लाई या एक वेब पेज पर जाने से ज़्यादा कोई कदम नहीं मांग सकता।
- ऑप्ट-आउट किए गए पते बेचे या ट्रांसफ़र नहीं किए जा सकते, सिवाय अनुपालन में मदद के लिए रखी गई कंपनी को।
- कंपनी अपनी ओर से भेजने वाले हर किसी के लिए ज़िम्मेदार रहती है, इसलिए एजेंसी रखने से ज़िम्मेदारी कहीं और नहीं जाती।
यौन रूप से स्पष्ट व्यावसायिक ईमेल को एक अलग FTC नियम के तहत विषय पंक्ति में चेतावनी लेबल “SEXUALLY-EXPLICIT:” लगाना पड़ता है।
बढ़ाने वाली प्रथाएं और प्रवर्तन
एक्ट कुछ प्रथाओं को गंभीर बनाने वाले कारक मानता है, जिनमें वेबसाइटों से पते हार्वेस्ट करना, नामों और अक्षरों को मिलाकर “डिक्शनरी अटैक” से पते बनाना, और स्पैम भेजने के लिए स्क्रिप्ट से थोक में अकाउंट रजिस्टर करना शामिल है। कुछ धोखे वाली प्रथाएं आपराधिक अपराध हैं।
अलग-अलग पाने वालों को निजी तौर पर मुकदमा करने का अधिकार नहीं है, जो इस क़ानून के बारे में सबसे ज़्यादा ग़लत समझी जाने वाली बातों में से एक है। प्रवर्तन FTC, नियंत्रित उद्योगों के लिए अन्य संघीय एजेंसियों, राज्यों के अटॉर्नी जनरल और इंटरनेट एक्सेस प्रदाताओं का काम है। आप उल्लंघनों की रिपोर्ट ReportFraud.ftc.gov पर कर सकते हैं। FTC मामले लाती है: 2024 में उसने सिक्योरिटी कैमरा कंपनी Verkada पर $2.95 मिलियन के जुर्माने की घोषणा की, एक ऐसे मामले में जिसमें CAN-SPAM के आरोप भी थे। एक्ट व्यावसायिक ईमेल को ख़ास तौर पर नियंत्रित करने वाले ज़्यादातर राज्य क़ानूनों को भी बदल देता है, सिवाय वहां जहां वे झूठ या धोखे को प्रतिबंधित करते हैं।
टेक्स्ट मैसेज अलग हैं
अमेरिका में मार्केटिंग टेक्स्ट मुख्य रूप से Telephone Consumer Protection Act से नियंत्रित होते हैं, जो आम तौर पर स्वचालित मार्केटिंग टेक्स्ट के लिए पहले से स्पष्ट सहमति मांगता है। इसलिए ईमेल का ऑप्ट-आउट वाला तर्क आपके फ़ोन नंबर पर लागू नहीं होता, और चेकआउट फ़ॉर्म जो आपका नंबर मांगता है वह एक अलग सहमति मांग रहा है।
कैलिफ़ोर्निया और अमेरिका के अन्य राज्य
California Consumer Privacy Act 2020 में लागू हुआ और 2023 से California Privacy Rights Act से काफ़ी संशोधित हुआ। यह एक सामान्य प्राइवेसी क़ानून है, जो ईमेल के लिए इसलिए प्रासंगिक है कि आपका पता निजी जानकारी है और कंपनियां उसे अक्सर विज्ञापन के लिए साझा करती हैं।
यह कैलिफ़ोर्निया में कारोबार करने वाले उन लाभ कमाने वाले व्यवसायों पर लागू होता है जो तीन में से कम से कम एक शर्त पूरी करते हैं: महंगाई के हिसाब से समायोजित सीमा से ऊपर सालाना सकल राजस्व (यह $25 मिलियन से शुरू हुई थी, और नियामक के 2025 के समायोजन ने इसे $26,625,000 किया); साल में 100,000 या ज़्यादा कैलिफ़ोर्निया उपभोक्ताओं या परिवारों की निजी जानकारी ख़रीदना, बेचना या साझा करना; या सालाना राजस्व का कम से कम आधा निजी जानकारी बेचने या साझा करने से कमाना।
दायरे में आने वाले व्यवसायों को इन अधिकारों का सम्मान करना होता है:
- जानने का कि क्या इकट्ठा हुआ, कहां से, क्यों और तीसरे पक्षों की किन श्रेणियों के साथ साझा हुआ।
- आपसे इकट्ठा की गई निजी जानकारी मिटाने का, अपवादों के साथ जैसे लेन-देन पूरा करना या क़ानूनी कर्तव्य निभाना।
- ग़लत निजी जानकारी को सुधारने का।
- बिक्री या साझा करने से ऑप्ट-आउट करने का। “साझा करना” ख़ास तौर पर क्रॉस-कॉन्टेक्स्ट व्यवहारिक विज्ञापन के लिए किए गए खुलासे को कवर करता है, जिसमें ग्राहकों की ईमेल सूचियां विज्ञापन प्लेटफ़ॉर्म पर अपलोड करना शामिल हो सकता है।
- संवेदनशील निजी जानकारी के इस्तेमाल को सीमित करने का, एक श्रेणी जिसमें मेल, ईमेल और टेक्स्ट की सामग्री शामिल है जब तक व्यवसाय इच्छित पाने वाला न हो।
- इन अधिकारों का इस्तेमाल करने पर भेदभाव न झेलने का, हालांकि व्यवसाय बताए गए वित्तीय प्रोत्साहन दे सकते हैं, जैसे लॉयल्टी प्रोग्राम।
जानने, मिटाने और सुधारने के अनुरोधों का जवाब 45 कैलेंडर दिनों के भीतर आना चाहिए, नोटिस के साथ 45 दिन और बढ़ाया जा सकता है। ऑप्ट-आउट की नियमों के तहत छोटी सीमा है, ज़्यादा से ज़्यादा 15 कारोबारी दिन। व्यवसायों को Global Privacy Control जैसे ऑप्ट-आउट प्रेफ़रेंस सिग्नल को भी, जो आपका ब्राउज़र या एक्सटेंशन भेजता है, बिक्री और साझा करने से वैध ऑप्ट-आउट मानना होता है।
California Privacy Protection Agency, जिसे CalPrivacy भी कहा जाता है, और अटॉर्नी जनरल क़ानून लागू करते हैं। व्यक्ति सिर्फ़ उन्हीं डेटा ब्रीच पर मुकदमा कर सकते हैं जो उचित सुरक्षा न रखने से हुए, प्रति उपभोक्ता प्रति घटना वैधानिक हर्जाने के साथ। कैलिफ़ोर्निया के लोगों के पास Delete Act के तहत एक अलग टूल भी है: Delete Request and Opt-out Platform (DROP) उन्हें पंजीकृत डेटा ब्रोकरों को एक ही डिलीशन अनुरोध भेजने देता है, और ब्रोकरों को ये अनुरोध अगस्त 2026 में प्रोसेस करना शुरू करना था।
कई अन्य राज्यों, जिनमें Virginia, Colorado, Connecticut, Texas और Oregon शामिल हैं, ने मोटे तौर पर मिलते-जुलते अधिकारों वाले व्यापक प्राइवेसी क़ानून पास किए हैं। ब्योरे और सीमाएं अलग हैं, और ज़्यादातर मुकदमा करने का निजी अधिकार नहीं देते, इसलिए अपने राज्य का अटॉर्नी जनरल पेज देखें।
CASL: कनाडा की सख़्त व्यवस्था
कनाडा का Anti-Spam Legislation 1 जुलाई 2014 से काफ़ी हद तक लागू है और कहीं के भी ईमेल मार्केटिंग क़ानूनों में सबसे सख़्त में से है। यह उन व्यावसायिक इलेक्ट्रॉनिक संदेशों को कवर करता है, जिनमें ईमेल और टेक्स्ट शामिल हैं, जो कनाडा के कंप्यूटरों पर भेजे या खोले जाते हैं।
भेजने वाले को स्पष्ट सहमति चाहिए या, ख़ास स्थितियों में, अप्रत्यक्ष सहमति। अप्रत्यक्ष सहमति का सबसे जाना उदाहरण मौजूदा कारोबारी संबंध है, जैसे पिछले दो साल में ख़रीदारी या पिछले छह महीने में पूछताछ। हर संदेश में भेजने वाले की पहचान और संपर्क जानकारी देनी होती है। हर संदेश को ऐसा अनसब्सक्राइब तंत्र भी चाहिए जो भेजने के बाद कम से कम 60 दिन वैध रहे, और अनुरोध 10 कारोबारी दिनों के भीतर प्रोसेस होने चाहिए।
जुर्माने संस्थाओं के लिए हर उल्लंघन पर C$10 मिलियन और व्यक्तियों के लिए C$1 मिलियन तक पहुंच सकते हैं। क़ानून का निजी कार्रवाई का अधिकार, जो व्यक्तियों को मुकदमा करने देता, लागू होने से पहले 2017 में सरकार ने स्थगित कर दिया था। कनाडा के लोग संघीय स्पैम-विरोधी कार्यक्रम का हिस्सा Spam Reporting Centre के ज़रिए स्पैम की रिपोर्ट कर सकते हैं।
बाकी जगहों का संक्षेप
ऑस्ट्रेलिया का Spam Act 2003 सहमति, भेजने वाले की पहचान और काम करने वाली अनसब्सक्राइब सुविधा मांगता है, और अनुरोध पांच कार्यदिवसों के भीतर माने जाने चाहिए। Australian Communications and Media Authority इसे लागू करती है। ब्राज़ील का LGPD GDPR जैसा सामान्य क़ानून है, जिसे राष्ट्रीय प्राधिकरण ANPD लागू करता है, और जिसमें पहुंच, सुधार, मिटाने और साझा करने की जानकारी के अधिकार हैं। भारत का Digital Personal Data Protection Act 2023 सहमति पर आधारित प्रोसेसिंग लाता है, और नवंबर 2025 में अधिसूचित इसके नियम 18 महीनों में चरणबद्ध रूप से लागू होंगे, इसलिए ज़्यादातर संचालन संबंधी कर्तव्य अभी लागू नहीं हैं। स्विट्ज़रलैंड का संशोधित Federal Act on Data Protection सितंबर 2023 से लागू है और GDPR के सिद्धांतों से काफ़ी मेल खाता है।
अगर आपका देश यहां सूचीबद्ध नहीं है, तब भी उसका कोई प्रासंगिक क़ानून हो सकता है। जांचने की जगह आपके देश का डेटा संरक्षण या उपभोक्ता प्राधिकरण है।
अनसब्सक्राइब करने से आपकी रसीदें क्यों नहीं रुकतीं
लोग अक्सर पूछते हैं कि किसी दुकान की मार्केटिंग से ऑप्ट-आउट करने के बाद भी उसके ऑर्डर वाले ईमेल क्यों आते रहते हैं। क़ानून दोनों को जान-बूझकर अलग रखते हैं, और इसीलिए भेजने वाला किसी चीज़ को सर्विस संदेश कह देने भर से मार्केटिंग नियमों से बच नहीं सकता।
| प्रकार | उदाहरण | GDPR और ePrivacy | CAN-SPAM | CASL |
|---|---|---|---|---|
| लेन-देन वाले | रसीदें, शिपिंग अपडेट, पासवर्ड रीसेट, सिक्योरिटी अलर्ट | वैध आधार चाहिए, आम तौर पर अनुबंध या वैध हित, मार्केटिंग सहमति नहीं | ज़्यादातर नियमों से छूट; झूठी रूटिंग जानकारी नहीं | सूचीबद्ध श्रेणियों को सहमति से छूट है लेकिन भेजने वाले की पहचान और अनसब्सक्राइब की सामग्री फिर भी चाहिए |
| मार्केटिंग | सेल, प्रमोशनल न्यूज़लेटर, उत्पाद सुझाव | सहमति या सॉफ़्ट ऑप्ट-इन; आपत्ति का पूर्ण अधिकार | बिना सहमति के अनुमति; सभी ज़रूरतें लागू | स्पष्ट या अप्रत्यक्ष सहमति ज़रूरी |
| मिला-जुला | बड़े प्रमोशनल बैनर वाला ऑर्डर कन्फ़र्मेशन | प्रमोशनल हिस्से के लिए मार्केटिंग सहमति चाहिए हो सकती है | मुख्य उद्देश्य से परखा जाता है, विषय पंक्ति और सामग्री की जगह देखकर | अगर उत्पादों का प्रचार करे तो व्यावसायिक माना जा सकता है |
हर नियम जो आपके सामने आता है वह किसी विधायिका से भी नहीं आता। 2024 से Google और Yahoo ने बल्क भेजने वालों से RFC 8058 के तंत्र के ज़रिए वन-क्लिक अनसब्सक्राइब का समर्थन करना और अनुरोधों पर दो दिन में कार्रवाई करना ज़रूरी कर दिया है। यह मेलबॉक्स प्रोवाइडरों की तय की हुई अच्छी डिलीवरी की शर्त है, जिसके पीछे कोई क़ानूनी ताक़त नहीं, फिर भी व्यवहार में वह कुछ भेजने वालों को क़ानून के 10 कारोबारी दिनों से जल्दी रोक देती है।
अपने अधिकारों का इस्तेमाल, कदम-दर-कदम
1. मार्केटिंग बंद करवाएं
अपने मेल ऐप में भेजने वाले के बगल में दिखने वाला अनसब्सक्राइब बटन इस्तेमाल करें, जो List-Unsubscribe हेडर पर टिका है। अगर वह न हो, तो वैध संदेश के फ़ुटर का लिंक इस्तेमाल करें। यह सिर्फ़ उन भेजने वालों के साथ करें जिन्हें आप पहचानते हैं, क्योंकि साफ़ स्पैम में लिंक कहीं भी ले जा सकता है, और वहां रिपोर्ट करना बेहतर जवाब है। तारीख़ नोट कर लें। CAN-SPAM और CASL के तहत मेल 10 कारोबारी दिनों में बंद हो जानी चाहिए। EU और UK में आपत्ति बिना देरी के असर में आनी चाहिए, हालांकि नियामक आम तौर पर थोड़ा प्रोसेसिंग समय मान लेते हैं।
2. पता करें कि कंपनी के पास क्या है
GDPR के तहत डेटा सब्जेक्ट एक्सेस रिक्वेस्ट भेजें, या CCPA के तहत जानने का अनुरोध। कई कंपनियां प्राइवेसी फ़ॉर्म या पोर्टल देती हैं, और उसका इस्तेमाल चीज़ें तेज़ कर सकता है। नहीं तो इस टेम्पलेट जैसा एक छोटा संदेश काफ़ी है:
विषय: निजी डेटा तक पहुंच का अनुरोध
मैं GDPR के अनुच्छेद 15 के तहत [या: California Consumer Privacy Act के तहत] उस निजी डेटा तक पहुंच का अनुरोध कर रहा/रही हूं जो आपके पास मेरे बारे में है। आपके रिकॉर्ड में मेरा ईमेल पता [पता] है। कृपया डेटा की एक कॉपी, प्रोसेसिंग के उद्देश्य, प्राप्तकर्ताओं की श्रेणियां जिनके साथ आपने इसे साझा किया, आप इसे कितने समय तक रखेंगे, और अगर डेटा आपने मुझसे नहीं लिया तो उसका स्रोत उपलब्ध कराएं। मैं क़ानूनी समय-सीमा के भीतर आपके जवाब की प्रतीक्षा करूंगा/करूंगी।
इसे कंपनी के पास दर्ज पते से, उसकी प्राइवेसी नीति में दिए प्राइवेसी संपर्क को भेजें, और तारीख़ के साथ एक कॉपी रखें। पहचान की जांच की उम्मीद रखें। यह वैध है, हालांकि अनुपातिक होनी चाहिए। न्यूज़लेटर के पते के बारे में अनुरोध का जवाब देने के लिए दुकान का पासपोर्ट स्कैन मांगना सवाल उठाने लायक है।
3. मिटाने को कहें
अगर आपने कोई सेवा इस्तेमाल करना छोड़ दिया है, तो GDPR के अनुच्छेद 17 के तहत मिटाने या CCPA के तहत डिलीशन के लिए कहें। कंपनी वे रिकॉर्ड रख सकती है जिन्हें रखना उसके लिए ज़रूरी है, जैसे चालान, और सप्रेशन सूची में एक पता ताकि वह ग़लती से आपको ईमेल न करे। यह पूछना उचित है कि वह क्या रख रही है और क्यों।
4. अमेरिकी राज्यों में बिक्री और साझा करने से ऑप्ट-आउट करें
“Do Not Sell or Share My Personal Information” या “Your Privacy Choices” जैसा लिंक ढूंढें, या Global Privacy Control को ऐसे ब्राउज़र या एक्सटेंशन में चालू करें जो उसे सपोर्ट करता हो। कैलिफ़ोर्निया के लोग पंजीकृत डेटा ब्रोकरों के लिए DROP इस्तेमाल कर सकते हैं।
5. कहीं बात न बने तो आगे ले जाएं
- EU और EEA: अपने राष्ट्रीय डेटा संरक्षण प्राधिकरण से शिकायत करें। European Data Protection Board उन सबकी सूची देता है।
- UK: पहले संस्था के सामने मुद्दा उठाने के बाद UK के डेटा संरक्षण नियामक से शिकायत करें, या उसके ऑनलाइन टूल से अनचाही मार्केटिंग की रिपोर्ट करें।
- US: भ्रामक या अनुपालन न करने वाले व्यावसायिक ईमेल की रिपोर्ट ReportFraud.ftc.gov पर करें। CCPA की समस्याओं के लिए California Privacy Protection Agency या अटॉर्नी जनरल के पास शिकायत दर्ज करें।
- कनाडा: Spam Reporting Centre को रिपोर्ट करें।
अपना सबूत सीधा रखें: आपके अनुरोध की तारीख़, उसकी कॉपी, अगर जवाब आया तो उसकी कॉपी, और आते रहने वाले संदेशों के उदाहरण उनके पूरे हेडर के साथ। नियामक हर शिकायत का पीछा नहीं कर सकते, इसलिए एक अकेली शिकायत से जल्दी नतीजा न मिले, पर बार-बार करने वाले के ख़िलाफ़ रिकॉर्ड ज़रूर बढ़ता है।
ये क़ानून क्या कवर नहीं करते
आपराधिक स्पैम सबसे साफ़ ख़ाली जगह है। हाईजैक किए सर्वर से नकली दवा बेचने वाला ऊपर के हर नियम को अनदेखा करता है, इसीलिए स्पैम फ़िल्टर और आपके प्रोवाइडर का रिपोर्ट बटन उस मेल के ख़िलाफ़ किसी भी क़ानून से ज़्यादा काम करते हैं। उस तरह की धोखाधड़ी को पहचानना और रिपोर्ट करना एक व्यावहारिक हुनर है, और कोई नियामक यह आपके लिए नहीं कर सकता।
आपका अपना पत्राचार भी ज़्यादातर इन नियमों के बाहर है। दोस्तों को निजी नोट व्यावसायिक ईमेल नहीं है, और GDPR में अनुच्छेद 2(2)(c) के तहत विशुद्ध निजी या घरेलू गतिविधि के लिए छूट है। मेलबॉक्स तक क़ानून लागू करने वालों की पहुंच अलग क़ानूनों के दायरे में आती है, जैसे अमेरिका का Stored Communications Act और राष्ट्रीय निगरानी क़ानून, और वे अपनी अलग व्याख्या के हक़दार हैं।
आख़िर में, इनमें से ज़्यादातर क़ानून एक ख़ास तरह की संस्थाओं, या एक ख़ास आकार से ऊपर की संस्थाओं पर बाध्यकारी हैं। CCPA की सीमाओं से नीचे की कैलिफ़ोर्निया की छोटी दुकान को फिर भी CAN-SPAM मानना पड़ता है लेकिन उस पर CCPA के कर्तव्य नहीं हैं। कोई गैर-लाभकारी संस्था CCPA से बच सकती है पर यूरोप के लोगों को ईमेल करते समय GDPR के अधीन रहती है। कौन-से नियम लागू हैं यह मान लेने से पहले हमेशा देखें कि भेजने वाला कौन है।
डिस्पोज़ेबल पता कहां बैठता है?
डिस्पोज़ेबल ईमेल पता एक अस्थायी इनबॉक्स है जिसे किसी रजिस्ट्रेशन की ज़रूरत नहीं और जो थोड़े समय बाद अपने संदेश हटा देता है। ऊपर के क़ानूनी ढांचों में हमारी जानकारी में कोई क़ानून नहीं है जो लोगों को अपनी प्राइवेसी के लिए इसे इस्तेमाल करने से रोके, और ऐसा करना उसी सोच पर चलता है जो GDPR संस्थाओं पर डेटा न्यूनतमीकरण के कर्तव्य के रूप में डालता है। अगर किसी साइट को आपसे लंबे संबंध की ज़रूरत नहीं, तो आप वह देने से मना कर सकते हैं, बशर्ते उसकी शर्तें इजाज़त दें। नियम और शर्तें अलग-अलग होती हैं, इसलिए यह एक सामान्य टिप्पणी है, किसी ख़ास मामले की गारंटी नहीं।
आम उपयोगों में एक बार का डाउनलोड पाना या अपनी ही वेबसाइट के साइन-अप और कन्फ़र्मेशन ईमेल टेस्ट करना शामिल है। VookMail ऐसी ही एक सेवा है। पेज खुलते ही पता तैयार होता है, आप नया दबाकर 30 से ज़्यादा डोमेन में से किसी पर यूज़रनेम टाइप कर सकते हैं या रैंडम पते के लिए पीला रैंडम बटन इस्तेमाल कर सकते हैं, और संदेश, अटैचमेंट और पते क़रीब एक दिन बाद हटा दिए जाते हैं। यह डेटा को कैसे संभालता है, यह प्राइवेसी नीति में बताया गया है, और कार्यप्रणाली पेज समझाता है कि इसके डोमेन की मेल MX रिकॉर्ड के ज़रिए डिलीवरी प्रोवाइडर तक कैसे पहुंचती है और HTTPS पर आगे भेजी जाती है।
कई सीमाएं लागू होती हैं:
- सेवाएं डिस्पोज़ेबल पते मना कर सकती हैं, और कई के पास इसकी अच्छी वजहें होती हैं। हमारा लेख वेबसाइटें डिस्पोज़ेबल ईमेल क्यों ब्लॉक करती हैं उन्हें समझाता है। जब कोई साइट मना करे, तो उसका सम्मान करें और स्थायी पता या एलियास इस्तेमाल करें।
- जो भी अस्थायी पते को जानता या अंदाज़े से बना ले वह उस इनबॉक्स को खोल सकता है, इसलिए वह कंपनी की मेलिंग सूची से प्राइवेसी देता है, संदेशों की गोपनीयता नहीं। रैंडम पता ज़्यादा सुरक्षित चुनाव है।
- बैंकिंग, सरकारी, स्वास्थ्य सेवा और मुख्य सोशल अकाउंट को ऐसा पता चाहिए जो हमेशा आपके नियंत्रण में रहे, क्योंकि वे क़ानूनी रूप से अहम नोटिस और रिकवरी संदेश भेजते हैं।
- दुरुपयोग की कोई सुरक्षा नहीं है। धोखाधड़ी, उत्पीड़न, किसी की नकल करना या प्रतिबंध से बचना, किसी भी पते से हो, क़ानूनी नतीजे ला सकता है, और हमारी नियम और शर्तें इन्हें मना करती हैं।
- अधिकारों के अनुरोधों के लिए स्थिर पता चाहिए। कंपनी आम तौर पर दर्ज पते से आपकी पुष्टि करेगी, इसलिए अगर आप बाद में GDPR या CCPA के अधिकार इस्तेमाल करना चाहें, तो स्थायी पता आपके ज़्यादा काम आता है।
अगर आप खुद ईमेल भेजते हैं
न्यूज़लेटर या छोटी ऑनलाइन दुकान आपको इस सबके दूसरी तरफ़ खड़ा कर देती है। अगर आपके पाठक अलग-अलग देशों में हैं, तो व्यावहारिक तरीका यह है कि आप अपने दर्शकों पर लागू सबसे सख़्त नियम के हिसाब से बनाएं। नीचे की सूची एक आधार है, और असली अनुपालन समीक्षा आपके देश और ग्राहकों पर निर्भर है।
- सहमति बिना टिक किए चेकबॉक्स या साफ़ साइन-अप कार्रवाई से लें, और दर्ज करें कि वह कब और कैसे दी गई।
- डबल ऑप्ट-इन पर विचार करें, जो आपको सहमति का सबूत देता है और टाइपो और नकली साइन-अप को बाहर रखता है।
- जहां भी पते इकट्ठा करें वहां साफ़ प्राइवेसी नोटिस का लिंक दें।
- लेन-देन वाली और मार्केटिंग वाली धाराओं को अलग रखें, और रसीदों में प्रमोशन न घुसाएं।
- हर मार्केटिंग ईमेल में अपनी संस्था की पहचान और वैध डाक का पता दें।
List-UnsubscribeऔरList-Unsubscribe-Postहेडर के साथ वन-क्लिक अनसब्सक्राइब का समर्थन करें, और ऑप्ट-आउट पर जल्दी कार्रवाई करें।- सप्रेशन सूची रखें ताकि ऑप्ट-आउट किए पते कभी दोबारा इम्पोर्ट न हों।
- सूचियां न ख़रीदें। ख़रीदी सूची ऑप्ट-इन वाले देशों में सहमति की जांच में फ़ेल होती है, और वह शिकायतें और बाउंस लाती है जो हर जगह आपकी डिलीवरी को नुकसान पहुंचाती हैं।
- ओपन और क्लिक ट्रैकिंग का खुलासा करें, और जांचें कि आपके पाठकों के देशों में इसके लिए सहमति चाहिए या नहीं। फ़्रांस में अब इस पर ख़ास गाइडेंस है।
- रिटेंशन अवधि तय करें और निष्क्रिय सब्सक्राइबरों का वह डेटा मिटा दें जिसकी आपको ज़रूरत नहीं।
- पहुंच, मिटाने और सुधार के अनुरोधों का जवाब एक महीने (GDPR) या 45 दिन (CCPA) में देने की प्रक्रिया रखें।
- लॉन्च से पहले साइन-अप और अनसब्सक्राइब का प्रवाह एक नए इनबॉक्स से टेस्ट करें, ताकि आप वही देखें जो सब्सक्राइबर देखता है।
ऐसी धारणाएं जो परेशानी खड़ी करती हैं
“अगर कोई पता सार्वजनिक है, तो मैं उसे मार्केटिंग कर सकता हूं।” ऑप्ट-इन व्यवस्थाओं में सार्वजनिक रूप से दिखता पता अपने आप सहमति नहीं देता। CAN-SPAM के तहत वेबसाइटों से पते हार्वेस्ट करना गंभीर बनाने वाला कारक है। प्रकाशित होना सवाल को सुलझाता ही नहीं।
“अनसब्सक्राइब करना स्पैमरों को मेरे पते की पुष्टि करा देता है।” यह अनजान भेजने वालों के साफ़ स्पैम पर सही है, जहां रिपोर्ट करना बेहतर चुनाव है। वैध भेजने वाले के साथ अनसब्सक्राइब करना सही कदम है, और क़ानून भेजने वाले से उसे मानने की मांग करता है।
“GDPR सिर्फ़ EU की कंपनियों पर लागू होता है।” अनुच्छेद 3(2) दूसरी जगहों की उन संस्थाओं तक पहुंचता है जो EU या EEA के लोगों को निशाना बनाती हैं या उन पर नज़र रखती हैं। नियामक यह उस कंपनी पर कैसे लागू करते हैं जिसकी यूरोप में मौजूदगी नहीं, यह अलग मामला है, और व्यवहार में मुश्किल हो सकता है।
“CAN-SPAM मुझे स्पैमरों पर मुकदमा करने देता है।” यह व्यक्तियों को ऐसा कोई अधिकार नहीं देता। दूसरे क़ानून कुछ ख़ास स्थितियों में मदद कर सकते हैं, और धोखे के ख़िलाफ़ राज्य क़ानून बदले जाने से बच सकते हैं, इसलिए वकील बता सकता है कि आपके मामले में कुछ लागू होता है या नहीं।
“अकाउंट डिलीट करने से मेरा सारा डेटा मिट जाता है।” कंपनियां क़ानूनी तौर पर कुछ रिकॉर्ड रख सकती हैं, जैसे कर के लिए लेन-देन का इतिहास। पूछने पर उन्हें यह समझाना चाहिए।
“लेन-देन वाले ईमेल पर कोई नियम नहीं।” वे कई मार्केटिंग नियमों से बच जाते हैं, लेकिन GDPR के तहत उन्हें फिर भी वैध आधार चाहिए और वे भ्रामक नहीं होने चाहिए।
आम सवालों के छोटे जवाब
क्या कंपनी मुझे ईमेल कर सकती है अगर मैंने कभी साइन-अप नहीं किया?
यह इस पर निर्भर है कि आप कहां हैं। अमेरिका में आम तौर पर हां, बशर्ते वह CAN-SPAM का पालन करे और आपके ऑप्ट-आउट करने पर रुक जाए। EU, UK और कनाडा में मार्केटिंग ईमेल को आम तौर पर आपकी सहमति चाहिए या वह मौजूदा ग्राहकों वाली किसी संकीर्ण छूट में आता है।
क्या यूरोप के बाहर की कंपनी को मेरे GDPR अनुरोध का जवाब देना होगा?
अगर वह EU या EEA के लोगों को सामान या सेवाएं देती है, या वहां उनके व्यवहार पर नज़र रखती है, तो GDPR उस पर लागू हो सकता है। अनुच्छेद 27 भी आम तौर पर ऐसी कंपनी से EU में एक प्रतिनिधि नियुक्त करने को कहता है, जिसका ब्योरा उसके प्राइवेसी नोटिस में होना चाहिए। आप अनुरोध को व्यवहार में लागू करवा पाएंगे या नहीं, यह अलग सवाल है।
अगर मैं कैलिफ़ोर्निया के बाहर रहता हूं तो क्या मेरे पास CCPA के अधिकार हैं?
CCPA कैलिफ़ोर्निया के निवासियों को सुरक्षा देता है। कुछ कंपनियां ऐसे ही विकल्प सबको देती हैं, और कई अन्य राज्यों के अपने क़ानून हैं, इसलिए पूछना फिर भी ठीक है।
अनसब्सक्राइब कितनी जल्दी काम करना चाहिए?
CAN-SPAM और CASL में ज़्यादा से ज़्यादा दस कारोबारी दिन, ऑस्ट्रेलिया में पांच कार्यदिवस, और व्यवहार में EU और UK में बिना अनुचित देरी के। Gmail और Yahoo इस्तेमाल करने वाले बड़े भेजने वालों से उन प्रोवाइडरों के नियमों के तहत दो दिन में कार्रवाई की उम्मीद भी की जाती है।
क्या ओपन ट्रैकिंग वैध है?
अमेरिका में CAN-SPAM इसे सीधे संबोधित नहीं करता। EU में नियामक ईमेल ट्रैकिंग पिक्सल को ePrivacy Directive के अनुच्छेद 5(3) के दायरे में आता मानने लगे हैं, और फ़्रांस का CNIL अब सहमति को डिफ़ॉल्ट नियम मानता है। बाकी जगह यह राष्ट्रीय क़ानून पर निर्भर है।
मैं क़ानून खुद कहां पढ़ सकता हूं?
GDPR और ePrivacy Directive EUR-Lex पर हैं। FTC CAN-SPAM अनुपालन गाइड प्रकाशित करती है, कैलिफ़ोर्निया का नियामक और अटॉर्नी जनरल CCPA गाइडेंस प्रकाशित करते हैं, और कनाडा सरकार CASL पर एक साइट चलाती है। भरोसा इन्हीं आधिकारिक स्रोतों पर करें, क्योंकि यह सारांश केवल वही क़ानून दिखा सकता है जैसा हमने उसे लिखते समय समझा था।