Ugyanaz a marketinglevél, ugyanabban a pillanatban, ugyanattól a cégtől lehet jogszerű, ha egy ohiói olvasóhoz érkezik, és jogsértő, ha egy berlini vagy torontói olvasóhoz. Az üzeneten semmit sem kell változtatni. A különbség a címzett tartózkodási helye, és az, hogy az illető előre beleegyezett-e. Egy amerikai bolt általában kérdezés nélkül is írhat egy idegennek, ha őszinte, és lehetővé teszi a leiratkozást, az EU-ban és Kanadában viszont ugyanehhez az üzenethez a küldés előtt jellemzően hozzájárulás kell.
Ez a megosztottság az e-mail adatvédelmi törvények lényege. Az európai GDPR és ePrivacy-szabályok, valamint a kanadai CASL előzetes hozzájáruláson (opt-in) alapul, az amerikai CAN-SPAM törvény pedig leiratkozáson (opt-out). Ezek mellett általános adatvédelmi törvények is vannak, például a GDPR és a kaliforniai CCPA, amelyek jogokat adnak a cégeknél tárolt adataid fölött. Ez a cikk általános tájékoztatás, nem jogi tanács. A törvények változnak és országonként eltérnek, az alkalmazásuk pedig a tényektől függ, ezért egy konkrét helyzetben nézd meg az illetékes hatóság útmutatását, vagy fordulj képzett ügyvédhez.
Egy reklámlevél, négy kimenet
Nézzünk egy példát. Egy texasi kis webáruház vesz egy címlistát, és mindenkinek elküld egy „20% kedvezmény a hétvégén” levelet. Az üzenetnek őszinte tárgya, postacíme és leiratkozási linkje van. Alább nagyjából az látszik, hogyan alakul ez a különböző helyeken élő címzetteknél, feltételezve, hogy az egyes törvények a bolt ottani tevékenységére vonatkoznak.
| A címzett helye | Fő szabály | Valószínű helyzet ebben a példában |
|---|---|---|
| Egyesült Államok | CAN-SPAM törvény | Előzetes hozzájárulás nem szükséges. Az üzenet megfelelhet, ha teljesíti a tartalmi és leiratkozási szabályokat, bár a begyűjtéssel szerzett címek külön problémákat vetnek fel |
| Németország (EU) | GDPR és a nemzeti ePrivacy-szabályok, Németországban a tisztességtelen versenyről szóló törvény (UWG) 7. szakasza | Általában előzetes hozzájárulás kell. A vásárolt címek ügyfélkapcsolat nélkül nem felelnek meg a soft opt-in kivételnek |
| Egyesült Királyság | UK GDPR és a PECR 22. szabálya | Magánelőfizetőknél általában előzetes hozzájárulás kell, vagy olyan soft opt-in, amelyre a bolt itt nem hivatkozhat |
| Kanada | CASL | Kifejezett vagy hallgatólagos hozzájárulás kell. A vásárolt lista általában egyiket sem adja, és a boltnak bizonyítania kell a hozzájárulást |
Ebből az is látszik, miért árul el keveset a feladó hazája. Egy texasi cég, amely az EU-ban élő vásárlókat célozza, az uniós jog hatálya alá kerülhet, a CASL pedig a Kanadában lévő számítógépeken elért üzenetekre vonatkozik. Gyakran az számít többet, hol ad el a cég és hol vannak a címzettjei, nem az, hol van az irodája.
A törvények egy pillantásra
| Törvény | Hol | Marketingmodell | Ki érvényesíti | Legmagasabb büntetés |
|---|---|---|---|---|
| GDPR | EU és EGT; más országok szervezetei is, ha ott élőket céloznak vagy figyelnek | Jogalap kell; az ePrivacy-szabályokkal együtt kell olvasni | Nemzeti adatvédelmi hatóságok és bíróságok | Legfeljebb 20 millió euró vagy a világméretű éves árbevétel 4%-a, amelyik magasabb |
| ePrivacy-irányelv | EU, a tagállamok nemzeti jogán keresztül | Magánszemélyeknél opt-in, meglévő ügyfeleknél soft opt-in | Nemzeti szabályozók, országonként eltérően | A nemzeti jog szabja meg |
| UK GDPR és PECR | Egyesült Királyság | Opt-in soft opt-innel, közel az uniós modellhez | A brit adatvédelmi hatóság | 17,5 millió font vagy a világméretű árbevétel 4%-a, amelyik magasabb |
| CAN-SPAM törvény | Egyesült Államok | Opt-out | FTC, más szövetségi ügynökségek, állami főügyészek, internetszolgáltatók | Szabálysértő e-mailenként több mint 50 000 dollár, évente az inflációhoz igazítva |
| CCPA, a CPRA-val módosítva | Kaliforniai lakosok és az érintett profitorientált vállalkozások | Nincs e-mail-hozzájárulási szabály; a gyűjtést, eladást és megosztást szabályozza | California Privacy Protection Agency és a főügyész | Szabálysértésenként kiszabott bírság, magasabb szándékos és kiskorúakat érintő esetekben |
| CASL | Kanada, a külföldről küldött és ott elért üzeneteket is beleértve | Kifejezett vagy hallgatólagos hozzájárulás küldés előtt | CRTC, Competition Bureau, Office of the Privacy Commissioner | Szabálysértésenként legfeljebb 10 millió kanadai dollár szervezeteknek, 1 millió magánszemélyeknek |
Személyes adat az e-mail-cím?
A GDPR 4. cikkének (1) bekezdése szerint személyes adat minden olyan információ, amely azonosított vagy azonosítható természetes személyre vonatkozik. Egy olyan cím, mint a maria.lopez@example.com, egyértelműen annak minősül. Egy kevésbé árulkodó, például az ml1987@example.com általában szintén, mert egy személyhez tartozik, és más információval összekapcsolva azonosítani lehet vele. Egy közös cím, mint az info@company.example, nem biztos, hogy személyes adat, hacsak nem köthető egy személyhez.
Az e-mail sokkal több személyes adatot hordoz, mint maga a cím. Ott van az üzenet tartalma és a mellékletei. Ott vannak a metaadatok: feladó, címzettek, időpontok, tárgysorok és a fejlécekben lévő IP-címek. Ott vannak az elköteleződési adatok, például mikor nyitottál meg egy üzenetet, és mely linkekre kattintottál. És ott vannak a származtatott profilok, mint az érdeklődési szegmensek és a megjósolt következő vásárlásod.
Az amerikai fogalmak mások. A CCPA „személyes információról” beszél, amelyet tágan határoz meg, beleértve az olyan azonosítókat, mint az e-mail-címek, és a profilépítéshez levont következtetéseket. A CAN-SPAM ilyen fogalmat nem használ, mert egyáltalán nem általános adatvédelmi törvény. Azt szabályozza, hogyan küldhető kereskedelmi e-mail, és nem ad jogot arra, hogy megnézd vagy töröltesd bármit, amit egy cég tárol rólad.
Európa: két törvény együtt
Sok cikk a GDPR szabályaként írja le az opt-in marketinget. A marketinglevelek hozzájárulási követelménye valójában egy másik törvényből, az ePrivacy-irányelvből (2002/58/EK irányelv) ered, a GDPR pedig azt határozza meg, mit jelent az érvényes hozzájárulás, és az adatokkal történő bánásmódot szabályozza. Mivel az irányelvet minden tagállam külön ülteti át, a részletek az EU-ban országonként eltérnek. Franciaországnak és Németországnak például saját nemzeti rendelkezései és saját szabályozói álláspontjai vannak.
Az ePrivacy-irányelv 13. cikke
A 13. cikk adja az alapkeretet. A magánszemélyeknek küldött közvetlen marketing e-mailhez előzetes hozzájárulás kell. Egy szűk kivétel, amelyet általában soft opt-in néven emlegetnek, lehetővé teszi, hogy az a cég, amely egy termék vagy szolgáltatás eladása során jutott a címedhez, a saját hasonló termékeit vagy szolgáltatásait reklámozza, feltéve, hogy az adatok gyűjtésekor és minden későbbi üzenetben világos és könnyű lehetőséged volt tiltakozni. A feladók nem rejthetik el vagy titkolhatják a kilétüket, és érvényes címet kell megadniuk a leiratkozáshoz.
A cégeknek küldött levelek szabályai eltérnek. A 13. cikk (5) bekezdése lehetőséget ad a tagállamoknak, hogy a jogi személyeket másképp kezeljék, így egyesek kiterjesztik az opt-int a céges címekre, mások nem. A névvel ellátott munkahelyi címek, mint a firstname.lastname@company.example, a GDPR szerint akkor is személyes adatnak számítanak, ha a marketingszabály lazább.
Követőpixelek
Ugyanezen irányelv 5. cikkének (3) bekezdése hozzájárulást ír elő az információ felhasználó eszközén való tárolásához vagy eléréséhez, kivéve, ha az feltétlenül szükséges a felhasználó által kért szolgáltatáshoz. Leginkább a sütis sávokról ismert. Az Európai Adatvédelmi Testület (EDPB) 2/2023. számú, az 5. cikk (3) bekezdésének technikai hatályáról szóló iránymutatása szerint az e-mailekben lévő követőpixelek is beleeshetnek. A francia hatóság, a CNIL még tovább ment, és 2026 áprilisában ajánlást tett közzé, amely az e-mailes követőpixelekre alapértelmezetten a hozzájárulást írja elő, korlátozott kivételekkel például biztonsági célokra. Számíts országonkénti különbségekre, és nézd meg a saját szabályozód álláspontját. Magát a technológiát az e-mail követőpixelekről szóló cikkünk tárgyalja.
Amit a GDPR hozzátesz
Az általános adatvédelmi rendeletet 2018. május 25. óta kell alkalmazni. Az EU-ban letelepedett szervezetekre vonatkozik, és a 3. cikk (2) bekezdése alapján azokra is, amelyek máshol működnek, de árut vagy szolgáltatást kínálnak az EU-ban élőknek, vagy ott figyelik a viselkedésüket. A (23) preambulumbekezdés támpontokat ad a célzásról: pusztán az, hogy egy weboldal elérhető Európából, nem elég, míg egy tagállam nyelvének vagy pénznemének használata az ottani árukínálathoz már lehet. Izland, Liechtenstein és Norvégia az EGT-n keresztül alkalmazza a GDPR-t.
Alapelvek és jogalapok
Az 5. cikk az alapelveket rögzíti. Egy rendelés visszaigazolásához gyűjtött címet nem lehet csak úgy másra, össze nem függő célokra felhasználni (célhoz kötöttség). Csak a szükséges adatot szabad gyűjteni (adattakarékosság), nem tovább megőrizni, mint kell (korlátozott tárolhatóság), és biztonságosan kell tárolni. A szervezetnek azt is tudnia kell igazolni, hogy megfelelt (elszámoltathatóság).
A 6. cikk minden felhasználáshoz jogalapot kíván. E-mailnél ezek a szokásosak:
- Szerződés: a rendelés visszaigazolásának vagy a fiókértesítéseknek a küldése.
- Jogi kötelezettség: a számlák megőrzése adózási célból.
- Hozzájárulás: feliratkozás egy hírlevélre.
- Jogos érdek: bizonyos biztonsági és csalásmegelőzési célok, és korlátozott esetekben a közvetlen üzletszerzés, de csak ott, ahol az ePrivacy-szabályok magát az üzenetet megengedik.
Mitől érvényes a hozzájárulás
A 4. cikk (11) bekezdése a hozzájárulást önkéntesnek, konkrétnak, megfelelően tájékoztatáson alapulónak és egyértelműnek határozza meg, amelyet egyértelmű megerősítő cselekedet fejez ki. A (32) preambulumbekezdés szerint a hallgatás, az előre kipipált négyzetek és a tétlenség nem számít, és az Európai Unió Bírósága a 2019-es Planet49-ügyben (C-673/17) megerősítette az előre kipipált négyzetekről szóló álláspontot. A 7. cikk (3) bekezdése szerint a hozzájárulás visszavonásának ugyanolyan könnyűnek kell lennie, mint megadásának, így egy egykattintásos feliratkozás visszavonásához nem kellhet belépés és öt oldal. A 7. cikk (1) bekezdése megköveteli, hogy a szervezet igazolni tudja a hozzájárulást, ami az egyik oka annak, hogy a tekintélyes feladók kettős opt-in megerősítő e-maileket használnak, bár a GDPR ezt a módszert nem nevezi meg.
A csomagolás gyakori gyenge pont. A 7. cikk (4) bekezdése azt vizsgálja, hogy egy szolgáltatást feltételhez kötöttek-e olyan hozzájáruláshoz, amelyre nincs szüksége. Az „add meg a marketinghozzájárulást, különben nem olvashatod ezt az oldalt” éppen az a fajta megoldás, amelyet a szabályozók közelről vizsgálnak, és a válasz a körülményektől függően változhat.
A jogaid
| Jog | Cikk | Mit ad neked | E-mailes példa |
|---|---|---|---|
| Tájékoztatás | 13., 14. | Ki kezeli az adataidat, miért, mennyi ideig, és kik kapják meg | Adatkezelési tájékoztató a hírlevél-feliratkozásnál |
| Hozzáférés | 15. | Az adataid másolata és a felhasználásuk részletei, általában ingyen | Megkérdezni egy boltot, mit tárol a címedhez kapcsolva, a szegmenseket is beleértve |
| Helyesbítés | 16. | A pontatlan adatok kijavítása | Egy elírt név javítása |
| Törlés | 17. | Törlés a felsorolt esetekben, például ha az adatra már nincs szükség vagy visszavontad a hozzájárulást | A profilod eltávolítása egy elhagyott szolgáltatásból |
| Korlátozás | 18. | A felhasználás szüneteltetése vita idejére | A kezelés leállítása, amíg az adat pontosságát ellenőrzik |
| Hordozhatóság | 20. | Az általad megadott adatok gépileg olvasható formátumban, ha a kezelés hozzájáruláson vagy szerződésen alapul | Kapcsolatok exportálása egy levelezőszolgáltatóból |
| Tiltakozás | 21. | A jogos érdeken alapuló kezelés leállítása; a közvetlen üzletszerzésnél abszolút | Megmondani egy cégnek, hogy hagyjon fel minden marketinggel |
| Panasz és kártérítés | 77., 82. | Panasz egy hatóságnál, és kártérítés követelése a kárért | Olyan feladó bejelentése, aki figyelmen kívül hagyja a tiltakozásodat |
A 12. cikk (3) bekezdése egy hónapot ad a szervezeteknek a válaszra, amely összetett vagy sok kérelem esetén további két hónappal meghosszabbítható, ilyenkor az első hónapon belül tájékoztatniuk kell téged. Ésszerű igazolást kérhetnek a személyazonosságodról. A 12. cikk (5) bekezdése szerint ésszerű díjat csak akkor számíthatnak fel, vagy csak akkor utasíthatják el a kérelmet, ha az nyilvánvalóan megalapozatlan vagy túlzó.
A marketing elleni tiltakozás joga ezek közül a legerősebb, és könnyű figyelmen kívül hagyni. A 21. cikk (2) és (3) bekezdése szerint ha tiltakozol a közvetlen üzletszerzés ellen, az adataidat többé nem lehet erre a célra kezelni. A többi tiltakozástól eltérően itt nincs mérlegelési teszt. A cég egy kizárási listán megtarthatja a címedet, hogy ne írjon többet, de nem folytathatja a marketinget feléd.
A törlésnek ezzel szemben vannak korlátai. A 17. cikk (3) bekezdése kivételeket sorol fel, köztük a jogi kötelezettségeket. Egy bolt a profilod törlése után is megtarthatja a számláidat, és ezt meg kell mondania, ha rákérdezel.
Adatvédelmi incidens bejelentése
A 33. cikk előírja, hogy a szervezet az incidensről való tudomásszerzéstől számított 72 órán belül értesítse a felügyeleti hatóságot, hacsak az incidens valószínűleg nem jár kockázattal az emberekre nézve. A 34. cikk szerint indokolatlan késedelem nélkül tájékoztatnia kell az érintetteket is, ha a kockázat magas. Ezért kaphatsz néha hírt olyan szolgáltatásoktól, amelyeket évekkel ezelőtt hagytál el. Ha értesítést kapsz, az e-mail adatszivárgás utáni teendőkről szóló útmutatónk elmagyarázza a gyakorlati lépéseket.
Változás jöhet. Az Európai Bizottság 2025 novemberében közzétett Digital Omnibus javaslata egyebek mellett a 72 órát 96-ra bővítené, és a hatósági bejelentést a magas kockázatú incidensekre korlátozná. 2026 végén ez még mindig csak javaslat a jogalkotási folyamatban, így a jelenlegi szabályok érvényesek. Ha erre kell támaszkodnod, nézd meg a végleges szöveget.
Az Egyesült Királyság: hasonló, saját frissítésekkel
A Brexit után az Egyesült Királyság UK GDPR néven megtartotta a GDPR-t a hazai jogban, a Data Protection Act 2018 mellett. Az ePrivacy-szabályokat a Privacy and Electronic Communications Regulations 2003 (PECR) hordozza, amelynek 22. szabálya a magánelőfizetőkre az uniós opt-in és soft opt-in modellt tükrözi.
A Data (Use and Access) Act 2025 a kép egyes részeit megváltoztatta. A PECR szerinti legmagasabb bírságot 500 000 fontról az UK GDPR szintjére emelte, vagyis 17,5 millió fontra vagy a világméretű árbevétel 4%-ára, amelyik magasabb, a változás a hírek szerint 2026 elején lépett életbe. Létrehozta a soft opt-in egy változatát a jótékonysági szervezetek számára is, amely lehetővé teszi, hogy leveleket írjanak azoknak, akik támogatták vagy érdeklődtek a munkájuk iránt, feltételekkel, amelyek között szerepel a leiratkozási lehetőség a gyűjtéskor. Magát a szabályozót is átalakítják, az Information Commissioner's Office helyét egy Information Commission veszi át, így bármelyik névvel találkozhatsz. A weboldala marad a hely, ahol a hatályos útmutatást nézheted, és eszközt is kínál a kéretlen marketing bejelentésére.
CAN-SPAM: mit követel valójában az amerikai szövetségi törvény
A 2003-as CAN-SPAM törvény a fő amerikai szövetségi törvény a kereskedelmi e-mailről. A nevével ellentétben nem tiltja a kéretlen marketinget. Szabályokat állít fel arra, hogyan kell az ilyen levelet küldeni, és jogot ad a címzetteknek, hogy leállítsák. Az FTC végrehajtási szabálya a 16 CFR Part 316, és az ügynökség megfelelési útmutatót tesz közzé vállalkozásoknak, amelyet érdemes végigolvasni, ha marketinglevelet küldesz.
Mely üzenetek számítanak
Az üzenet elsődleges célja számít. A kereskedelmi üzenetek terméket vagy szolgáltatást hirdetnek vagy népszerűsítenek, és teljes mértékben a törvény hatálya alá esnek. A tranzakciós vagy kapcsolati üzenetek megerősítenek egy ügyletet, jótállási vagy biztonsági információt adnak, jelzik egy fiók vagy előfizetés változásait, foglalkoztatási információt nyújtanak, vagy már megvásárolt árut szállítanak. Ezek a legtöbb követelmény alól mentesek, de nem tartalmazhatnak hamis vagy félrevezető útválasztási információt. A tisztán személyes levelezés kívül esik a törvényen.
A vállalkozások közötti (B2B) levelekre nincs kivétel. A céges címre küldött reklámüzenetnek is meg kell felelnie, ami meglepi azokat, akik megszokták a B2B-nek egyes országokban járó engedékenyebb bánásmódot.
A követelmények
- A fejlécadatoknak pontosnak kell lenniük. A From, To, Reply-To és az útválasztási adatok helyesen azonosítsák, ki indította az üzenetet.
- A tárgysor nem téveszthet meg a tartalomról.
- Az üzenetet egyértelműen reklámként kell megjelölni, kivéve, ha a címzett előzetesen kifejezetten hozzájárult.
- Érvényes fizikai postacímet kell tartalmaznia, ami lehet utcai cím, bejegyzett postafiók vagy bejegyzett magánpostafiók.
- Világosan el kell magyaráznia a leiratkozás módját, és működő megoldást kell kínálnia rá, például válaszcímet vagy linket.
- A leiratkozást 10 munkanapon belül teljesíteni kell, és a megoldásnak a küldés után legalább 30 napig működnie kell. A feladó nem számíthat fel díjat, nem kérhet az e-mail-címen és a leiratkozási beállításokon túli személyes adatot, és nem követelhet a válaszon vagy egyetlen weboldal meglátogatásán túli lépést.
- A leiratkozott címeket nem szabad eladni vagy átadni, kivéve a megfelelésben segítő megbízott cégnek.
- A cég felelős marad mindenkiért, aki az ő nevében küld, így egy ügynökség megbízása nem viszi máshová a felelősséget.
A szexuálisan explicit kereskedelmi e-mailnek egy külön FTC-szabály szerint a tárgysorban viselnie kell a „SEXUALLY-EXPLICIT:” figyelmeztető címkét.
Súlyosbító gyakorlatok és érvényesítés
A törvény bizonyos gyakorlatokat súlyosbító tényezőként kezel, ilyen a címek begyűjtése weboldalakról, a címek „szótártámadással” való előállítása nevek és betűk kombinálásával, és a szkriptek használata fiókok tömeges regisztrálására spamküldés céljából. Egyes megtévesztő gyakorlatok bűncselekménynek minősülnek.
Az egyéni címzetteknek nincs magánjogi keresetük, ez a törvény egyik leggyakrabban félreértett pontja. Az érvényesítés az FTC, a szabályozott iparágakban más szövetségi ügynökségek, az állami főügyészek és az internetszolgáltatók kezében van. A szabálysértéseket a ReportFraud.ftc.gov oldalon jelentheted. Az FTC indít eljárásokat: 2024-ben 2,95 millió dolláros büntetést jelentett be a Verkada biztonságikamera-cég ellen, egy olyan ügyben, amely CAN-SPAM-vádakat is tartalmazott. A törvény a kereskedelmi e-mailt kifejezetten szabályozó állami törvények többségét is felülírja, kivéve, ahol azok a hamisságot vagy megtévesztést tiltják.
Az SMS-ek külön ügy
Az amerikai marketing SMS-eket főként a Telephone Consumer Protection Act szabályozza, amely az automatizált marketing SMS-ekhez általában előzetes kifejezett hozzájárulást ír elő. Az e-mail leiratkozásos logikája tehát nem vihető át a telefonszámodra, és egy fizetési űrlap, amely a számodat kéri, külön hozzájárulást kér.
Kalifornia és a többi amerikai állam
A California Consumer Privacy Act 2020-ban lépett hatályba, és a California Privacy Rights Act 2023-tól lényegesen módosította. Általános adatvédelmi törvény, az e-mail szempontjából azért releváns, mert a címed személyes információ, és a cégek gyakran megosztják reklámcélokra.
Azokra a Kaliforniában működő profitorientált vállalkozásokra vonatkozik, amelyek legalább egy a három próba közül teljesítenek: az éves bruttó bevétel meghaladja az inflációhoz igazított küszöböt (25 millió dollárról indult, a szabályozó 2025-ös kiigazítása 26 625 000 dollárra állította); évente 100 000 vagy több kaliforniai fogyasztó vagy háztartás személyes információját vásárolja, adja el vagy osztja meg; vagy éves bevételének legalább felét személyes információ eladásából vagy megosztásából szerzi.
Az érintett vállalkozásoknak tiszteletben kell tartaniuk ezeket a jogokat:
- Megtudni, mit gyűjtenek, honnan, miért, és harmadik felek mely kategóriáival osztják meg.
- Törölni a rólad gyűjtött személyes információt, olyan kivételekkel, mint egy ügylet lezárása vagy jogi kötelezettségek teljesítése.
- Helyesbíteni a pontatlan személyes információt.
- Leiratkozni az eladásról vagy megosztásról. A „megosztás” kifejezetten a környezetek közötti viselkedésalapú hirdetés céljából történő közlést jelenti, ami magában foglalhatja az ügyfél-e-mail-listák feltöltését hirdetési platformokra.
- Korlátozni az érzékeny személyes információ felhasználását, ide tartozik a postai levelek, e-mailek és SMS-ek tartalma, kivéve, ha a vállalkozás a szándékolt címzett.
- Nem szenvedni hátrányos megkülönböztetést e jogok gyakorlása miatt, bár a vállalkozások kínálhatnak közzétett pénzügyi ösztönzőket, például hűségprogramokat.
A tájékozódási, törlési és helyesbítési kérelmekre 45 naptári napon belül kell válaszolni, ez értesítéssel újabb 45 nappal meghosszabbítható. A leiratkozásokra a rendeletek rövidebb határidőt szabnak, legfeljebb 15 munkanapot. A vállalkozásoknak az olyan leiratkozási preferenciajelzést is, mint a Global Privacy Control, amelyet a böngésződ vagy egy bővítmény küld, érvényes leiratkozásnak kell tekinteniük az eladásról és megosztásról.
A törvényt a California Privacy Protection Agency, amelyet CalPrivacy néven is ismernek, és a főügyész érvényesíti. Magánszemélyek csak bizonyos olyan adatvédelmi incidensek miatt perelhetnek, amelyeket az ésszerű biztonság fenntartásának elmulasztása okozott, fogyasztónként és incidensenként törvényes kártérítéssel. A kaliforniaiaknak a Delete Act alapján külön eszközük is van: a Delete Request and Opt-out Platform (DROP) lehetővé teszi, hogy egyetlen törlési kérelmet küldjenek a regisztrált adatközvetítőknek, és az adatközvetítőknek 2026 augusztusában kellett elkezdeniük feldolgozni ezeket a kérelmeket.
Sok más állam, köztük Virginia, Colorado, Connecticut, Texas és Oregon, átfogó adatvédelmi törvényt fogadott el nagyjából hasonló jogokkal. A részletek és a küszöbök eltérnek, a legtöbb nem ad magánjogi perlési jogot, ezért nézd meg a saját államod főügyészének oldalát.
CASL: Kanada szigorú rendszere
Kanada spamellenes törvénye (Anti-Spam Legislation) nagyrészt 2014. július 1. óta hatályos, és a világ egyik legszigorúbb e-mail-marketing törvénye. A kereskedelmi elektronikus üzenetekre vonatkozik, az e-mailt és az SMS-t is beleértve, amelyeket Kanadában lévő számítógépekre küldenek vagy ott érnek el.
A feladónak kifejezett, vagy bizonyos helyzetekben hallgatólagos hozzájárulás kell. A hallgatólagos hozzájárulás legismertebb példája egy meglévő üzleti kapcsolat, például egy vásárlás az előző két évben vagy egy érdeklődés az előző hat hónapban. Minden üzenetnek azonosítania kell a feladót, és elérhetőséget kell adnia. Minden üzenethez leiratkozási megoldás is kell, amely a küldés után legalább 60 napig érvényes marad, és a kérelmeket 10 munkanapon belül fel kell dolgozni.
A büntetések szabálysértésenként elérhetik a 10 millió kanadai dollárt szervezeteknek és az 1 millió kanadai dollárt magánszemélyeknek. A törvény magánjogi keresetét, amely lehetővé tette volna, hogy egyének pereljenek, a kormány 2017-ben felfüggesztette, mielőtt hatályba lépett volna. A kanadaiak a Spam Reporting Centre-ön keresztül jelenthetik a spamet, amely a szövetségi spamellenes program része.
Máshol, röviden
Ausztrália 2003-as Spam Act törvénye hozzájárulást, a feladó azonosítását és működő leiratkozási lehetőséget követel, a kérelmeket pedig öt munkanapon belül teljesíteni kell. Az Australian Communications and Media Authority érvényesíti. Brazília LGPD-je GDPR-stílusú általános törvény, amelyet a nemzeti hatóság, az ANPD érvényesít, hozzáférési, helyesbítési, törlési és a megosztásról szóló tájékoztatási jogokkal. India 2023-as Digital Personal Data Protection Act törvénye hozzájáruláson alapuló adatkezelést vezet be, a 2025 novemberében kihirdetett szabályai 18 hónap alatt lépnek életbe fokozatosan, így a működési kötelezettségek többsége még nem hatályos. Svájc felülvizsgált szövetségi adatvédelmi törvénye 2023 szeptembere óta alkalmazandó, és szorosan igazodik a GDPR alapelveihez.
Ha a te országod nincs itt felsorolva, attól még lehet rá vonatkozó törvény. A nemzeti adatvédelmi vagy fogyasztóvédelmi hatóság az a hely, ahol utánanézhetsz.
Miért nem állítja le a leiratkozás a nyugtáidat
Gyakran kérdezik, miért jönnek tovább egy bolt rendelési levelei, ha leiratkoztál a marketingjéről. A törvények szándékosan szétválasztják a kettőt, és ezért sem menekülhet a feladó a marketingszabályok alól azzal, hogy valamit szolgáltatási üzenetnek nevez.
| Típus | Példák | GDPR és ePrivacy | CAN-SPAM | CASL |
|---|---|---|---|---|
| Tranzakciós | Nyugták, szállítási értesítések, jelszó-visszaállítások, biztonsági riasztások | Jogalap kell, általában szerződés vagy jogos érdek, és nem marketinghozzájárulás | A legtöbb szabály alól mentes; hamis útválasztási információ nem megengedett | A felsorolt kategóriák mentesek a hozzájárulás alól, de a feladó azonosítása és a leiratkozási tartalom továbbra is kell |
| Marketing | Akciók, reklámhírlevelek, termékajánlók | Hozzájárulás vagy soft opt-in; abszolút tiltakozási jog | Hozzájárulás nélkül megengedett; minden követelmény érvényes | Kifejezett vagy hallgatólagos hozzájárulás kell |
| Vegyes | Rendelés-visszaigazolás nagy reklámbannerrel | A reklámrészhez marketinghozzájárulás kellhet | Az elsődleges cél alapján ítélik meg, a tárgysort és a tartalom elhelyezését nézve | Kereskedelminek minősülhet, ha termékeket reklámoz |
Nem minden szabály, amellyel találkozol, jogalkotótól ered. A Google és a Yahoo 2024 óta megköveteli a tömeges feladóktól, hogy támogassák az egykattintásos leiratkozást az RFC 8058 szerinti megoldással, és két napon belül teljesítsék a kérelmeket. Ez a levelezőszolgáltatók által szabott feltétel a jó kézbesítéshez, jogi erő nélkül, a gyakorlatban mégis gyorsabban fékez meg egyes feladókat, mint a törvény 10 munkanapja.
A jogaid gyakorlása lépésről lépésre
1. Állítsd le a marketinget
Használd a leiratkozás gombot, amelyet a levelezőalkalmazásod a feladó mellett mutat, és amely a List-Unsubscribe fejlécre épül. Ha nincs ilyen, használd a jogszerű üzenet láblécében lévő linket. Ezt csak olyan feladóknál tedd, akiket felismersz, mert az egyértelmű spamben lévő link bárhová vezethet, és ott a jelentés a jobb válasz. Jegyezd fel a dátumot. A CAN-SPAM és a CASL szerint a levelek 10 munkanapon belül le kell hogy álljanak. Az EU-ban és az Egyesült Királyságban a tiltakozásnak késedelem nélkül hatályba kell lépnie, bár a szabályozók általában elfogadnak egy rövid feldolgozási időt.
2. Derítsd ki, mit tárol egy cég
Küldj a GDPR szerinti hozzáférési kérelmet (data subject access request), vagy a CCPA szerinti tájékozódási kérelmet. Sok cég kínál adatvédelmi űrlapot vagy portált, és ennek használata gyorsíthat. Egyébként elég egy rövid üzenet, például ez a sablon:
Tárgy: Személyes adatokhoz való hozzáférési kérelem
A GDPR 15. cikke alapján [vagy: a California Consumer Privacy Act alapján] hozzáférést kérek a rólam tárolt személyes adatokhoz. Az e-mail-címem a nyilvántartásukban: [cím]. Kérem, adják meg az adatok másolatát, a kezelés céljait, a címzettek kategóriáit, akikkel megosztották, azt, meddig őrzik, és az adatok forrását, ha nem tőlem gyűjtötték. Várom válaszukat a törvényes határidőn belül.
Küldd el abból a címből, amelyet a cég nyilvántart, az adatvédelmi tájékoztatójában megadott adatvédelmi kapcsolattartónak, és őrizz meg egy másolatot a dátummal. Számíts személyazonosság-ellenőrzésre. Ez jogos, bár arányosnak kell lennie. Ha egy bolt útlevélszkennelést kér azért, hogy egy hírlevélcímre vonatkozó kérésre válaszoljon, azt érdemes megkérdőjelezni.
3. Kérj törlést
Ha abbahagytad egy szolgáltatás használatát, kérd a törlést a GDPR 17. cikke alapján, vagy a CCPA szerinti törlést. A cég megtarthatja a kötelezően megőrzendő nyilvántartásokat, például a számlákat, és egy címet a kizárási listán, hogy véletlenül se írjon. Ésszerű megkérdezni, mit tart meg, és miért.
4. Iratkozz le az eladásról és megosztásról az amerikai államokban
Keress egy olyan linket, mint a „Do Not Sell or Share My Personal Information” vagy a „Your Privacy Choices”, vagy kapcsold be a Global Privacy Controlt egy azt támogató böngészőben vagy bővítményben. A kaliforniaiak a regisztrált adatközvetítőkhöz használhatják a DROP-ot.
5. Lépj feljebb, ha nem jutsz sehová
- EU és EGT: panaszkodj a nemzeti adatvédelmi hatóságnál. Az Európai Adatvédelmi Testület mindet felsorolja.
- Egyesült Királyság: panaszkodj a brit adatvédelmi hatóságnál, miután előbb a szervezetnél jeleztél, vagy jelentsd a kéretlen marketinget az online eszközén.
- Egyesült Államok: jelentsd a megtévesztő vagy szabálytalan kereskedelmi e-mailt a ReportFraud.ftc.gov oldalon. CCPA-problémáknál nyiss panaszt a California Privacy Protection Agencynél vagy a főügyésznél.
- Kanada: jelentsd a Spam Reporting Centre-nek.
Tartsd egyszerűen a bizonyítékot: a kérésed dátumát, egy másolatot róla, egy másolatot a válaszról, ha volt, és példákat a tovább érkező üzenetekre a teljes fejlécükkel. A szabályozók nem tudnak minden panaszt kivizsgálni, így egy egyéni panasz nem biztos, hogy gyors eredményt hoz, de gyarapítja az ismétlődő szabálysértő elleni nyilvántartást.
Amit ezek a törvények nem fednek le
A bűnözői spam a legnyilvánvalóbb rés. Aki egy eltérített szerverről hamis gyógyszert árul, a fenti szabályok mindegyikét figyelmen kívül hagyja, ezért a spamszűrő és a szolgáltatód jelentés gombja többet tesz az ilyen levél ellen, mint bármelyik törvény. Az ilyen csalás felismerése és jelentése gyakorlati készség, amit egyetlen szabályozó sem végezhet el helyetted.
A saját levelezésed is nagyrészt kívül esik ezeken a szabályokon. Egy személyes üzenet a barátaidnak nem kereskedelmi e-mail, és a GDPR-nak van kivétele a tisztán személyes vagy háztartási tevékenységre a 2. cikk (2) bekezdés c) pontjában. A bűnüldözés hozzáférése a postaládákhoz külön törvények alá tartozik, például az amerikai Stored Communications Act és a nemzeti megfigyelési törvények, és ezek külön magyarázatot érdemelnek.
Végül ezeknek a törvényeknek a többsége bizonyos típusú vagy egy bizonyos méret feletti szervezetekre vonatkozik. Egy kis kaliforniai bolt a CCPA küszöbei alatt is követnie kell a CAN-SPAM-et, de CCPA-kötelezettsége nincs. Egy nonprofit szervezet megúszhatja a CCPA-t, miközben a GDPR hatálya alatt marad, ha európaiaknak ír. Mindig nézd meg, ki a feladó, mielőtt feltételezed, mely szabályok érvényesek.
Hová illik az eldobható cím?
Az eldobható e-mail-cím egy ideiglenes postaláda, amelyhez nem kell regisztráció, és az üzeneteit rövid idő után törli. Nem tudunk olyan törvényről a fenti rendszerekben, amely tiltaná, hogy valaki a saját magánszférája védelmében használjon ilyet, és ezzel ugyanazt a gondolatmenetet követi, mint az adattakarékossági kötelezettség, amelyet a GDPR a szervezetekre ró. Ha egy oldalnak nincs szüksége tartós kapcsolatra veled, eldöntheted, hogy nem kínálsz fel ilyet, feltéve, hogy a feltételei megengedik. A szabályok és feltételek változnak, ezért ez általános megfigyelés, és nem garancia egy konkrét esetre.
Szokásos felhasználás egy egyszeri letöltés fogadása, vagy a saját weboldalad regisztrációs és megerősítő leveleinek tesztelése. A VookMail egy ilyen szolgáltatás. A cím az oldal betöltésekor kész, az Új gombbal megadhatsz egy felhasználónevet a több mint 30 domain egyikén, vagy a sárga Véletlen gombbal véletlenszerű címet kaphatsz, az üzenetek, mellékletek és címek nagyjából egy nap után törlődnek. Az adatkezelését az adatvédelmi tájékoztató rögzíti, a módszertani oldal pedig elmagyarázza, hogyan jut el a domainjeire érkező levél MX-rekordokon át egy kézbesítő szolgáltatóhoz, és hogyan továbbítják HTTPS-en.
Több korlát is érvényes:
- A szolgáltatások elutasíthatják az eldobható címeket, és sokuknak jó okuk van rá. A miért blokkolják a weboldalak az eldobható e-mailt című cikkünk elmagyarázza ezeket. Ha egy oldal elutasít egyet, tartsd tiszteletben, és használj állandó címet vagy aliast.
- Bárki, aki ismeri vagy kitalálja az ideiglenes címet, megnyithatja a postaládát, így az védelmet ad a cég levelezőlistájától, az üzeneteknek viszont semmilyen titkosságot. A véletlenszerű cím a biztonságosabb választás.
- A banki, hatósági, egészségügyi és fő közösségi fiókokhoz olyan cím kell, amelyet mindig te irányítasz, mert jogilag jelentős értesítéseket és helyreállító üzeneteket küldenek.
- A visszaélést semmi nem védi. A csalás, zaklatás, megszemélyesítés vagy tiltás kijátszása jogi következményekkel járhat, bármilyen címet használsz, és a felhasználási feltételeink tiltják ezeket.
- A jogi kérelmekhez stabil cím kell. A cég általában a nyilvántartott címen keresztül ellenőriz, így ha később élni akarsz a GDPR vagy a CCPA szerinti jogaiddal, egy állandó cím jobban szolgál.
Ha te magad küldesz e-mailt
Egy hírlevél vagy egy kis webáruház mindezek másik oldalára állít. Ha az olvasóid nemzetköziek, a gyakorlati megközelítés az, hogy a közönségedre vonatkozó legszigorúbb szabályhoz igazodsz. Az alábbi lista alapvonal, egy valódi megfelelőségi felülvizsgálat az országodtól és az ügyfeleidtől függ.
- Gyűjts hozzájárulást kipipálatlan négyzettel vagy kifejezett feliratkozási lépéssel, és jegyezd fel, mikor és hogyan adták.
- Fontold meg a kettős opt-int, amely bizonyítékot ad a hozzájárulásról, és kiszűri az elírásokat és a hamis feliratkozásokat.
- Linkelj világos adatvédelmi tájékoztatót mindenhol, ahol címeket gyűjtesz.
- Tartsd külön a tranzakciós és a marketing folyamatot, és ne csempéssz reklámot a nyugtákba.
- Tedd minden marketinglevélbe a szervezeted azonosságát és egy érvényes postacímet.
- Támogasd az egykattintásos leiratkozást a
List-UnsubscribeésList-Unsubscribe-Postfejlécekkel, és gyorsan teljesítsd a leiratkozásokat. - Vezess kizárási listát, hogy a leiratkozott címeket soha ne importálják újra.
- Ne vegyél listát. A vásárolt lista megbukik a hozzájárulási teszteken az opt-in országokban, és hajlamos panaszokat és visszapattanásokat hozni, amelyek mindenhol rontják a kézbesítésedet.
- Közöld a megnyitás- és kattintáskövetést, és nézd meg, hogy az olvasóid országai megkövetelnek-e hozzá hozzájárulást. Franciaországban már erre vonatkozó külön útmutatás van.
- Határozz meg megőrzési időket, és töröld az inaktív feliratkozók adatait, amelyekre már nincs szükséged.
- Legyen folyamatod a hozzáférési, törlési és helyesbítési kérelmek megválaszolására egy hónapon (GDPR) vagy 45 napon (CCPA) belül.
- Indulás előtt teszteld a feliratkozást és a leiratkozást egy friss postaládával, hogy lásd, mit lát a feliratkozó.
Bajt okozó hiedelmek
„Ha egy cím nyilvános, reklámozhatok neki.” Az opt-in rendszerekben egy nyilvánosan látható cím önmagában nem jelent hozzájárulást. A CAN-SPAM szerint a címek begyűjtése weboldalakról súlyosbító tényező. A nyilvánosság egyszerűen nem dönti el a kérdést.
„A leiratkozás csak megerősíti a címemet a spammereknek.” Ez az ismeretlen feladóktól érkező egyértelmű spamre igaz, ahol a jelentés a jobb választás. Jogszerű feladónál a leiratkozás a helyes lépés, és a törvény megköveteli, hogy a feladó teljesítse.
„A GDPR csak az uniós cégekre vonatkozik.” A 3. cikk (2) bekezdése eléri azokat a máshol működő szervezeteket, amelyek az EU-ban vagy az EGT-ben élőket céloznak vagy figyelik. Hogy a szabályozók hogyan érvényesítik ezt egy európai jelenlét nélküli céggel szemben, az más kérdés, és a gyakorlatban nehéz lehet.
„A CAN-SPAM lehetővé teszi, hogy perelhessem a spammereket.” Egyéneknek nem ad ilyen jogot. Más törvények segíthetnek egyes helyzetekben, és a megtévesztés elleni állami törvények túlélhetik a felülírást, így egy ügyvéd megmondhatja, érvényes-e valami az esetedre.
„A fiókom törlése minden adatomat törli.” A cégek jogszerűen megtarthatnak bizonyos nyilvántartásokat, például az adózáshoz szükséges ügyletek előzményeit. Ezt el kell magyarázniuk, ha rákérdezel.
„A tranzakciós e-mailek szabályozatlanok.” Sok marketingszabály alól mentesülnek, de a GDPR szerint még így is jogalap kell hozzájuk, és nem lehetnek megtévesztőek.
Rövid válaszok gyakori kérdésekre
Írhat nekem egy cég, ha soha nem iratkoztam fel?
Attól függ, hol vagy. Az Egyesült Államokban általában igen, feltéve, hogy követi a CAN-SPAM-et, és leáll, amikor leiratkozol. Az EU-ban, az Egyesült Királyságban és Kanadában egy marketinglevélhez általában a te hozzájárulásod kell, vagy beleesik egy szűk meglévő ügyfeles kivételbe.
Válaszolnia kell egy Európán kívüli cégnek a GDPR-kérelmemre?
Ha árut vagy szolgáltatást kínál az EU-ban vagy az EGT-ben élőknek, vagy ott figyeli a viselkedésüket, a GDPR vonatkozhat rá. A 27. cikk általában azt is előírja egy ilyen cégnek, hogy nevezzen ki képviselőt az EU-ban, akinek az adatai szerepelnie kell az adatvédelmi tájékoztatóban. Hogy a gyakorlatban érvényesítheted-e a kérelmet, az külön kérdés.
Vannak CCPA-jogaim, ha Kalifornián kívül élek?
A CCPA a kaliforniai lakosokat védi. Néhány cég hasonló választási lehetőségeket mindenkinek biztosít, és sok más államnak saját törvénye van, így mindenképp érdemes rákérdezni.
Milyen gyorsan kell működnie a leiratkozásnak?
A CAN-SPAM és a CASL szerint legfeljebb tíz munkanap, Ausztráliában öt munkanap, az EU-ban és az Egyesült Királyságban a gyakorlatban indokolatlan késedelem nélkül. A Gmailt és a Yahoót használó nagy feladóktól e szolgáltatók szabályai szerint azt is elvárják, hogy két napon belül lépjenek.
Jogszerű a megnyitáskövetés?
Az Egyesült Államokban a CAN-SPAM nem foglalkozik vele közvetlenül. Az EU-ban a szabályozók egyre inkább az ePrivacy-irányelv 5. cikkének (3) bekezdése alá tartozónak tekintik az e-mailes követőpixeleket, és a francia CNIL ma már a hozzájárulást tekinti alapszabálynak. Máshol a nemzeti jogtól függ.
Hol olvashatom magukat a törvényeket?
A GDPR és az ePrivacy-irányelv az EUR-Lexen található. Az FTC közzéteszi a CAN-SPAM megfelelési útmutatóját, Kalifornia szabályozója és főügyésze CCPA-útmutatót tesz közzé, a kanadai kormány pedig oldalt működtet a CASL-ről. Ezekre a hivatalos forrásokra érdemes támaszkodni, mert ez az áttekintés csak a törvényt tükrözheti úgy, ahogy a megírásakor értettük.