Ten sam e-mail marketingowy, wysłany w tej samej chwili przez tę samą firmę, może być legalny, gdy trafi do czytelnika w Ohio, i niedozwolony, gdy trafi do czytelnika w Berlinie lub Toronto. Nic w wiadomości nie musi się zmienić. Różni się lokalizacja odbiorcy i to, czy ta osoba zgodziła się wcześniej. Sklep z USA może zasadniczo napisać do obcej osoby bez pytania o zgodę, o ile jest uczciwy i pozwala jej zrezygnować, podczas gdy w UE i Kanadzie taka sama wiadomość zwykle wymagałaby zgody przed wysłaniem.
Ten podział jest sednem przepisów o prywatności poczty e-mail. Europejskie RODO (GDPR) i przepisy ePrivacy oraz kanadyjska CASL działają na zasadzie zgody z góry (opt-in), a amerykańska ustawa CAN-SPAM na zasadzie rezygnacji (opt-out). Obok nich są ogólne przepisy o prywatności, takie jak RODO i kalifornijska CCPA, które dają ci prawa do danych, jakie firmy o tobie przechowują. Ten artykuł zawiera informacje ogólne i nie jest poradą prawną. Prawo się zmienia i różni między krajami, a jego zastosowanie zależy od okoliczności, więc sprawdź wytyczne właściwego organu albo porozmawiaj z wykwalifikowanym prawnikiem w konkretnej sprawie.
Jedna wiadomość promocyjna, cztery wyniki
Weźmy przykład. Mały sklep internetowy z Teksasu kupuje listę adresów i wysyła wszystkim z niej e-mail „20% zniżki w ten weekend”. Wiadomość ma uczciwy temat, adres pocztowy i link do wypisania się. Tak mniej więcej wygląda to dla poszczególnych odbiorców w różnych miejscach, przy założeniu, że każde z tych praw dotyczy działalności sklepu na danym terenie.
| Odbiorca w | Główna zasada | Prawdopodobna sytuacja w tym przykładzie |
|---|---|---|
| Stany Zjednoczone | Ustawa CAN-SPAM | Wcześniejsza zgoda nie jest wymagana. Wiadomość może być zgodna z prawem, jeśli spełnia zasady dotyczące treści i rezygnacji, choć adresy zdobyte przez zbieranie niosą osobne problemy |
| Niemcy (UE) | RODO plus krajowe przepisy ePrivacy, w Niemczech § 7 ustawy o zwalczaniu nieuczciwej konkurencji (UWG) | Zasadniczo wymaga wcześniejszej zgody. Kupione adresy bez relacji z klientem nie spełniają wyjątku soft opt-in |
| Wielka Brytania | UK GDPR i PECR, przepis 22 | Zasadniczo wymaga wcześniejszej zgody w przypadku indywidualnych abonentów albo soft opt-in, którego sklep tu nie może powołać |
| Kanada | CASL | Wymaga zgody wyraźnej lub dorozumianej. Kupiona lista zwykle nie daje żadnej, a sklep musi umieć udowodnić zgodę |
To pokazuje też, dlaczego kraj nadawcy rozstrzyga niewiele. Firma z Teksasu, która kieruje ofertę do klientów w UE, może podlegać prawu UE, a CASL obejmuje wiadomości odczytywane na komputerach w Kanadzie. Częściej liczy się to, gdzie firma sprzedaje i gdzie są jej odbiorcy, niż to, gdzie ma biuro.
Przepisy w skrócie
| Prawo | Gdzie | Model marketingu | Egzekwuje | Maksymalna kara (nagłówkowo) |
|---|---|---|---|---|
| RODO (GDPR) | UE i EOG; także organizacje gdzie indziej, które kierują ofertę do ludzi tam lub monitorują ich zachowanie | Wymaga podstawy prawnej; czytane razem z przepisami ePrivacy | Krajowe organy ochrony danych i sądy | Do 20 milionów € albo 4% światowego rocznego obrotu, zależnie od tego, która kwota jest wyższa |
| Dyrektywa ePrivacy | UE, przez prawo krajowe każdego państwa członkowskiego | Opt-in dla osób fizycznych, z soft opt-in dla obecnych klientów | Krajowe organy, różne w różnych krajach | Określa prawo krajowe |
| UK GDPR i PECR | Wielka Brytania | Opt-in z soft opt-in, zbliżony do modelu UE | Brytyjski organ ochrony danych | 17,5 mln £ albo 4% światowego obrotu, zależnie od tego, która kwota jest wyższa |
| Ustawa CAN-SPAM | Stany Zjednoczone | Opt-out | FTC, inne agencje federalne, prokuratorzy generalni stanów, dostawcy dostępu do internetu | Ponad 50 000 $ za każdy naruszający e-mail, co roku korygowane o inflację |
| CCPA, zmieniona przez CPRA | Mieszkańcy Kalifornii i objęte ustawą firmy nastawione na zysk | Brak zasady zgody na e-mail; reguluje zbieranie, sprzedaż i udostępnianie | California Privacy Protection Agency i prokurator generalny | Kary za każde naruszenie, wyższe za naruszenia umyślne i dotyczące małoletnich |
| CASL | Kanada, także wiadomości wysyłane z zagranicy i odczytywane tam | Zgoda wyraźna lub dorozumiana przed wysłaniem | CRTC, Urząd ds. Konkurencji, Urząd Komisarza ds. Ochrony Prywatności | Do 10 mln C$ za naruszenie dla organizacji, 1 mln C$ dla osób fizycznych |
Czy adres e-mail to dane osobowe?
Według art. 4 pkt 1 RODO dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Adres taki jak maria.lopez@example.com wyraźnie się łapie. Mniej oczywisty, jak ml1987@example.com, zwykle też, bo należy do jednej osoby i można go połączyć z innymi informacjami, by ją zidentyfikować. Wspólny adres, jak info@company.example, może w ogóle nie być danymi osobowymi, chyba że da się go powiązać z konkretną osobą.
E-mail niesie znacznie więcej danych osobowych niż sam adres. Jest treść wiadomości i jej załączniki. Są metadane, czyli nadawca, odbiorcy, czasy, tematy i adresy IP w nagłówkach. Są dane o zaangażowaniu, takie jak to, kiedy otworzyłeś wiadomość i w które linki kliknąłeś. Są też profile pochodne, jak segmenty zainteresowań i prognozy tego, co możesz kupić następnym razem.
W USA terminy są inne. CCPA mówi o „informacjach osobistych”, zdefiniowanych szeroko tak, by obejmowały identyfikatory, takie jak adresy e-mail, i wnioski wyciągane po to, by zbudować profil. CAN-SPAM nie używa takiego pojęcia, bo w ogóle nie jest ogólnym prawem o prywatności. Reguluje, jak wysyłać e-maile handlowe, i nie daje ci prawa do wglądu w nic, co firma przechowuje, ani do usunięcia tego.
Europa: dwa przepisy działające razem
Wiele artykułów opisuje marketing oparty na zgodzie jako zasadę RODO. Wymóg zgody na e-mail marketingowy pochodzi jednak z innego aktu, dyrektywy ePrivacy (dyrektywa 2002/58/WE), podczas gdy RODO określa, co oznacza ważna zgoda, i reguluje, co dzieje się z danymi. Ponieważ dyrektywę każde państwo członkowskie wdraża osobno, szczegóły różnią się w UE. Francja i Niemcy mają na przykład własne przepisy krajowe i własne stanowiska organów.
Artykuł 13 dyrektywy ePrivacy
Artykuł 13 ustala podstawowe ramy. Bezpośredni e-mail marketingowy do osób fizycznych wymaga wcześniejszej zgody. Wąski wyjątek, zwykle zwany soft opt-in, pozwala firmie, która dostała twój adres w związku ze sprzedażą produktu lub usługi, promować własne podobne produkty lub usługi, pod warunkiem że miałeś wyraźną i łatwą możliwość sprzeciwu, gdy zbierano twoje dane, i przy każdej kolejnej wiadomości. Nadawcy nie mogą ukrywać ani zatajać swojej tożsamości i muszą podać prawidłowy adres do rezygnacji.
Zasady pisania do firm bywają różne. Artykuł 13 ust. 5 zostawia państwom członkowskim miejsce na odmienne traktowanie osób prawnych, więc w niektórych krajach opt-in rozciąga się na adresy firmowe, a w innych nie. Imienne adresy służbowe, takie jak firstname.lastname@company.example, pozostają według RODO danymi osobowymi nawet tam, gdzie zasada marketingowa jest luźniejsza.
Piksele śledzące
Artykuł 5 ust. 3 tej samej dyrektywy wymaga zgody na zapisywanie informacji na urządzeniu użytkownika lub uzyskiwanie do nich dostępu, chyba że jest to absolutnie niezbędne dla usługi, o którą użytkownik prosił. Najbardziej znane są z tego banery cookies. Wytyczne 2/2023 Europejskiej Rady Ochrony Danych o technicznym zakresie art. 5 ust. 3 zajmują stanowisko, że piksele śledzące w e-mailach mogą podlegać tej regulacji. Francuski organ, CNIL, poszedł dalej i w kwietniu 2026 roku opublikował zalecenie, w którym zgoda jest regułą domyślną dla pikseli śledzących w e-mailach, z ograniczonymi wyjątkami na cele takie jak bezpieczeństwo. Spodziewaj się różnic między krajami i sprawdź stanowisko własnego organu. Samo działanie tej technologii opisuje nasz artykuł o pikselach śledzących w e-mailach.
Co dodaje RODO
Ogólne rozporządzenie o ochronie danych obowiązuje od 25 maja 2018 roku. Obejmuje organizacje z siedzibą w UE, a na mocy art. 3 ust. 2 także organizacje gdzie indziej, które oferują towary lub usługi osobom w UE albo monitorują tam ich zachowanie. Motyw 23 daje wskazówki co do kierowania oferty: samo posiadanie strony dostępnej z Europy nie wystarcza, natomiast użycie języka lub waluty państwa członkowskiego do oferowania tam towarów może wystarczyć. Islandia, Liechtenstein i Norwegia stosują RODO przez EOG.
Zasady i podstawy prawne
Artykuł 5 określa zasady. Adresu zebranego, by wysłać potwierdzenie zamówienia, nie wolno po prostu używać do niezwiązanych celów (ograniczenie celu). Należy zbierać tylko niezbędne dane (minimalizacja danych), przechowywać je nie dłużej, niż trzeba (ograniczenie przechowywania) i zabezpieczać. Organizacja musi też umieć wykazać, że przestrzega zasad (rozliczalność).
Artykuł 6 wymaga podstawy prawnej dla każdego wykorzystania. W przypadku e-maila zwykle są to:
- Umowa: wysłanie potwierdzenia zamówienia lub powiadomień o koncie.
- Obowiązek prawny: przechowywanie faktur dla celów podatkowych.
- Zgoda: zapisanie się na newsletter.
- Prawnie uzasadniony interes: część zabezpieczeń i zapobiegania nadużyciom, a w ograniczonych przypadkach marketing bezpośredni, ale tylko tam, gdzie przepisy ePrivacy dopuszczają samą wiadomość.
Co sprawia, że zgoda jest ważna
Artykuł 4 pkt 11 definiuje zgodę jako dobrowolną, konkretną, świadomą i jednoznaczną, wyrażoną przez wyraźne działanie potwierdzające. Motyw 32 mówi, że milczenie, domyślnie zaznaczone pola i bierność się nie liczą, a Trybunał Sprawiedliwości UE potwierdził kwestię zaznaczonych pól w sprawie Planet49 z 2019 roku (C-673/17). Artykuł 7 ust. 3 stanowi, że wycofanie zgody musi być tak samo łatwe jak jej udzielenie, więc subskrypcja jednym kliknięciem nie powinna wymagać logowania i pięciu stron, żeby ją cofnąć. Artykuł 7 ust. 1 wymaga, by organizacja potrafiła wykazać zgodę, co jest jednym z powodów, dla których rzetelni nadawcy używają e-maili z podwójnym potwierdzeniem (double opt-in), choć RODO nie wymienia tej metody.
Łączenie zgód to częsty słaby punkt. Artykuł 7 ust. 4 pyta, czy usługę uzależniono od zgody, która nie jest jej potrzebna. „Daj nam zgodę marketingową albo nie przeczytasz tej strony” to układ, któremu organy przyglądają się uważnie, a odpowiedź może zależeć od kontekstu.
Twoje prawa
| Prawo | Artykuł | Co ci daje | Przykład z e-mailem |
|---|---|---|---|
| Informacja | 13, 14 | Kto przetwarza twoje dane, po co, jak długo i kto je otrzymuje | Informacja o prywatności z linkiem przy zapisie na newsletter |
| Dostęp | 15 | Kopia twoich danych i informacje o ich wykorzystaniu, zwykle bezpłatnie | Zapytanie sklepu, co przechowuje w związku z twoim adresem, w tym o segmenty |
| Sprostowanie | 16 | Poprawienie nieprawidłowych danych | Poprawienie błędnie wpisanego nazwiska |
| Usunięcie | 17 | Usunięcie w wymienionych przypadkach, np. gdy dane nie są już potrzebne albo cofnięto zgodę | Usunięcie profilu z usługi, z której odszedłeś |
| Ograniczenie | 18 | Wstrzymanie wykorzystywania na czas sporu | Wstrzymanie przetwarzania, dopóki sprawdzana jest prawidłowość danych |
| Przenoszenie | 20 | Dane, które podałeś, w formacie nadającym się do odczytu maszynowego, gdy przetwarzanie opiera się na zgodzie lub umowie | Eksport kontaktów od dostawcy poczty |
| Sprzeciw | 21 | Zatrzymanie przetwarzania opartego na prawnie uzasadnionym interesie; bezwzględne w przypadku marketingu bezpośredniego | Polecenie firmie, by zaprzestała wszelkiego marketingu |
| Skarga i odszkodowanie | 77, 82 | Skarga do organu i dochodzenie odszkodowania za szkodę | Zgłoszenie nadawcy, który ignoruje twój sprzeciw |
Artykuł 12 ust. 3 daje organizacjom miesiąc na odpowiedź, z możliwością przedłużenia o kolejne dwa miesiące w przypadku złożonych lub licznych żądań, i wtedy muszą poinformować cię w pierwszym miesiącu. Mogą poprosić o rozsądne potwierdzenie tożsamości. Na mocy art. 12 ust. 5 mogą pobrać rozsądną opłatę albo odmówić tylko wtedy, gdy żądanie jest ewidentnie nieuzasadnione lub nadmierne.
Prawo do sprzeciwu wobec marketingu jest z nich najmocniejsze i łatwo je przeoczyć. Artykuł 21 ust. 2 i 3 mówią, że gdy sprzeciwisz się marketingowi bezpośredniemu, twoje dane nie mogą już być do tego celu przetwarzane. W przeciwieństwie do innych sprzeciwów nie stosuje się testu równowagi. Firma może trzymać twój adres na liście wykluczeń, żeby więcej do ciebie nie pisać, ale nie może dalej prowadzić wobec ciebie marketingu.
Usunięcie z kolei ma granice. Artykuł 17 ust. 3 wymienia wyjątki, w tym obowiązki prawne. Sklep może zachować twoje faktury po usunięciu profilu i powinien ci o tym powiedzieć, gdy zapytasz.
Powiadamianie o naruszeniach
Artykuł 33 wymaga, by organizacja powiadomiła organ nadzorczy o naruszeniu ochrony danych osobowych w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by powodowało ryzyko dla osób. Artykuł 34 wymaga, by bez zbędnej zwłoki poinformowała osoby, których to dotyczy, gdy ryzyko jest wysokie. Dlatego czasem odzywają się do ciebie usługi, które porzuciłeś lata temu. Jeśli dostaniesz takie powiadomienie, nasz poradnik, co zrobić po wycieku danych e-mail, tłumaczy praktyczne kroki.
Może nadchodzić zmiana. Propozycja Komisji Europejskiej „Digital Omnibus”, opublikowana w listopadzie 2025 roku, przedłużyłaby między innymi 72 godziny do 96 i ograniczyła powiadamianie organu do naruszeń wysokiego ryzyka. Pod koniec 2026 roku nadal jest to projekt w procesie legislacyjnym, więc obowiązują dotychczasowe zasady. Sprawdź ostateczny tekst, jeśli musisz się na tym oprzeć.
Wielka Brytania: podobnie, z własnymi zmianami
Po brexicie Wielka Brytania zachowała RODO w prawie krajowym jako UK GDPR, obok Data Protection Act 2018. Przepisy ePrivacy zawiera ustawa Privacy and Electronic Communications Regulations 2003 (PECR), a jej przepis 22 odzwierciedla unijny model opt-in i soft opt-in dla indywidualnych abonentów.
Data (Use and Access) Act 2025 zmienił część tego obrazu. Podniósł maksymalną karę PECR z 500 000 £ do poziomu UK GDPR, czyli wyższej z kwot 17,5 mln £ lub 4% światowego obrotu, przy czym zmiana miała według doniesień wejść w życie na początku 2026 roku. Stworzył też wersję soft opt-in dla organizacji charytatywnych, która pozwala im pisać do osób, które wspierały ich działalność lub o nią pytały, pod warunkami obejmującymi możliwość rezygnacji przy zbieraniu danych. Sam organ jest przekształcany: Information Commissioner's Office ma zostać zastąpiony przez Information Commission, więc możesz spotkać obie nazwy. Jego strona internetowa pozostaje miejscem, gdzie sprawdzisz aktualne wytyczne, i udostępnia narzędzie do zgłaszania niechcianego marketingu.
CAN-SPAM: czego naprawdę wymaga amerykańskie prawo federalne
CAN-SPAM Act z 2003 roku to główna amerykańska ustawa federalna o e-mailach handlowych. Wbrew nazwie nie zakazuje niezamówionego marketingu. Określa, jak taki e-mail musi być wysyłany, i daje odbiorcom prawo do jego zatrzymania. Wykonawcza reguła FTC to 16 CFR Part 316, a agencja publikuje przewodnik zgodności dla firm, który warto przeczytać w całości, jeśli wysyłasz pocztę marketingową.
Które wiadomości się liczą
Liczy się główny cel wiadomości. Wiadomości handlowe reklamują lub promują produkt albo usługę i są w pełni objęte ustawą. Wiadomości transakcyjne lub dotyczące relacji potwierdzają transakcję, podają informacje o gwarancji lub bezpieczeństwie, zgłaszają zmiany na koncie lub w subskrypcji, dostarczają informacje o zatrudnieniu albo przekazują już kupione towary. Są wyłączone z większości wymogów, ale nie mogą zawierać fałszywych ani wprowadzających w błąd informacji o trasie przekazu. Czysto prywatna poczta jest poza zakresem ustawy.
Nie ma wyjątku dla e-maili między firmami (B2B). Wiadomość promocyjna na adres firmowy też musi być zgodna z ustawą, co zaskakuje osoby przyzwyczajone do łagodniejszego traktowania B2B w niektórych krajach.
Wymagania
- Informacje w nagłówku muszą być prawdziwe. Pola From, To, Reply-To i dane routingu muszą poprawnie wskazywać, kto zainicjował wiadomość.
- Tematy nie mogą wprowadzać w błąd co do treści.
- Wiadomość musi być wyraźnie oznaczona jako reklama, chyba że odbiorca wcześniej wyraził wyraźną zgodę.
- Musi zawierać prawidłowy fizyczny adres pocztowy, którym może być adres ulicy, zarejestrowana skrytka pocztowa albo zarejestrowana prywatna skrzynka.
- Musi jasno wyjaśniać, jak zrezygnować, i oferować działający sposób, np. adres do odpowiedzi albo link.
- Rezygnacje trzeba uwzględnić w ciągu 10 dni roboczych, a mechanizm musi działać co najmniej 30 dni po wysłaniu. Nadawca nie może pobierać opłaty, prosić o dane osobowe poza adresem e-mail i preferencjami rezygnacji ani wymagać żadnego kroku poza odpowiedzią lub wizytą na jednej stronie internetowej.
- Adresów osób, które zrezygnowały, nie wolno sprzedawać ani przekazywać, z wyjątkiem firmy wynajętej do pomocy w zgodności z prawem.
- Firma pozostaje odpowiedzialna za każdego, kto wysyła w jej imieniu, więc zatrudnienie agencji nie przenosi obowiązku gdzie indziej.
Komercyjny e-mail o charakterze jednoznacznie seksualnym musi w temacie nosić ostrzeżenie „SEXUALLY-EXPLICIT:” na podstawie odrębnej reguły FTC.
Praktyki zaostrzające i egzekwowanie
Ustawa traktuje niektóre praktyki jako okoliczności obciążające, w tym zbieranie adresów ze stron internetowych, generowanie adresów „atakami słownikowymi” łączącymi imiona i litery oraz używanie skryptów do hurtowej rejestracji kont w celu wysyłania spamu. Niektóre oszukańcze praktyki są przestępstwami.
Poszczególni odbiorcy nie mają prywatnego prawa do pozwu, co jest jednym z najczęściej błędnie rozumianych punktów tej ustawy. Egzekwowaniem zajmują się FTC, inne agencje federalne w branżach regulowanych, prokuratorzy generalni stanów i dostawcy dostępu do internetu. Naruszenia możesz zgłaszać na ReportFraud.ftc.gov. FTC prowadzi sprawy: w 2024 roku ogłosiła karę 2,95 mln $ wobec firmy od kamer monitoringu Verkada, w sprawie, która obejmowała zarzuty z CAN-SPAM. Ustawa wyłącza też spod stosowania większość stanowych przepisów, które konkretnie regulują e-maile handlowe, z wyjątkiem tych, które zakazują fałszu lub oszustwa.
SMS-y to osobna sprawa
Amerykańskie SMS-y marketingowe podlegają głównie Telephone Consumer Protection Act, który zasadniczo wymaga wcześniejszej wyraźnej zgody na zautomatyzowane SMS-y marketingowe. Logika rezygnacji znana z e-maila nie przenosi się więc na twój numer telefonu, a formularz w kasie, który prosi o numer, prosi o odrębną zgodę.
Kalifornia i pozostałe stany USA
California Consumer Privacy Act weszła w życie w 2020 roku i została istotnie zmieniona przez California Privacy Rights Act od 2023 roku. To ogólne prawo o prywatności, istotne dla e-maila, bo twój adres to informacja osobista, a firmy często udostępniają go do celów reklamowych.
Dotyczy firm nastawionych na zysk, które prowadzą działalność w Kalifornii i spełniają co najmniej jeden z trzech warunków: roczny przychód brutto powyżej progu korygowanego o inflację (początkowo 25 mln $, a korekta organu z 2025 roku ustaliła go na 26 625 000 $); kupowanie, sprzedawanie lub udostępnianie informacji osobistych 100 000 lub więcej kalifornijskich konsumentów albo gospodarstw domowych rocznie; albo uzyskiwanie co najmniej połowy rocznych przychodów ze sprzedaży lub udostępniania informacji osobistych.
Objęte firmy muszą respektować te prawa:
- Prawo do wiedzy, co jest zbierane, skąd, po co i z jakimi kategoriami osób trzecich jest udostępniane.
- Prawo do usunięcia informacji osobistych zebranych od ciebie, z wyjątkami takimi jak dokończenie transakcji czy spełnienie obowiązków prawnych.
- Prawo do poprawienia nieprawidłowych informacji osobistych.
- Prawo do rezygnacji ze sprzedaży lub udostępniania. „Udostępnianie” obejmuje konkretnie ujawnianie na potrzeby reklamy behawioralnej między kontekstami, co może obejmować wgrywanie list e-mail klientów na platformy reklamowe.
- Prawo do ograniczenia wykorzystania wrażliwych informacji osobistych, kategorii obejmującej treść poczty, e-maili i SMS-ów, chyba że firma jest ich zamierzonym odbiorcą.
- Prawo do niedyskryminacji za korzystanie z tych praw, choć firmy mogą oferować ujawnione zachęty finansowe, takie jak programy lojalnościowe.
Na żądania dostępu, usunięcia i poprawienia trzeba odpowiedzieć w ciągu 45 dni kalendarzowych, z możliwością przedłużenia o kolejne 45 po powiadomieniu. Rezygnacje mają według przepisów wykonawczych krótszy limit, najwyżej 15 dni roboczych. Firmy muszą też traktować sygnał preferencji rezygnacji, taki jak Global Privacy Control, wysyłany przez twoją przeglądarkę lub rozszerzenie, jako ważną rezygnację ze sprzedaży i udostępniania.
Prawa przestrzegają California Privacy Protection Agency, występująca też jako CalPrivacy, i prokurator generalny. Osoby prywatne mogą pozywać tylko w związku z niektórymi naruszeniami danych spowodowanymi brakiem utrzymania rozsądnych zabezpieczeń, z odszkodowaniem ustawowym na konsumenta na incydent. Kalifornijczycy mają też osobne narzędzie na mocy Delete Act: Delete Request and Opt-out Platform (DROP) pozwala im wysłać jedno żądanie usunięcia do zarejestrowanych brokerów danych, a brokerzy mieli zacząć przetwarzać te żądania w sierpniu 2026 roku.
Wiele innych stanów, w tym Wirginia, Kolorado, Connecticut, Teksas i Oregon, uchwaliło kompleksowe prawa o prywatności o z grubsza podobnych prawach. Szczegóły i progi się różnią, a większość nie daje prywatnego prawa do pozwu, więc sprawdź stronę prokuratora generalnego w swoim stanie.
CASL: surowy reżim Kanady
Kanadyjskie przepisy antyspamowe (Anti-Spam Legislation) obowiązują w większości od 1 lipca 2014 roku i należą do najsurowszych przepisów o e-mail marketingu na świecie. Obejmują komercyjne wiadomości elektroniczne, w tym e-maile i SMS-y, wysyłane na komputery w Kanadzie lub odczytywane na nich.
Nadawca potrzebuje zgody wyraźnej albo, w określonych sytuacjach, dorozumianej. Najbardziej znanym przykładem zgody dorozumianej jest istniejąca relacja biznesowa, np. zakup w ciągu ostatnich dwóch lat albo zapytanie w ciągu ostatnich sześciu miesięcy. Każda wiadomość musi identyfikować nadawcę i podawać dane kontaktowe. Każda wiadomość potrzebuje też mechanizmu wypisania się, który pozostaje ważny co najmniej 60 dni po wysłaniu, a żądania trzeba przetworzyć w ciągu 10 dni roboczych.
Kary mogą sięgać 10 mln C$ za naruszenie dla organizacji i 1 mln C$ dla osób fizycznych. Prywatne prawo do pozwu w tej ustawie, które pozwoliłoby osobom pozywać, zostało zawieszone przez rząd w 2017 roku, zanim weszło w życie. Kanadyjczycy mogą zgłaszać spam przez Spam Reporting Centre, część federalnego programu antyspamowego.
Gdzie indziej, w skrócie
Australijska ustawa Spam Act 2003 wymaga zgody, identyfikacji nadawcy i działającej opcji wypisania się, a żądania trzeba uwzględnić w ciągu pięciu dni roboczych. Egzekwuje ją Australian Communications and Media Authority. Brazylijska LGPD to ogólne prawo w stylu RODO, egzekwowane przez krajowy organ ANPD, z prawami dostępu, poprawiania, usunięcia i informacji o udostępnianiu. Indyjska Digital Personal Data Protection Act 2023 wprowadza przetwarzanie oparte na zgodzie, a jej przepisy wykonawcze, ogłoszone w listopadzie 2025 roku, wchodzą etapami w ciągu 18 miesięcy, więc większość zasadniczych obowiązków jeszcze nie obowiązuje. Zrewidowana szwajcarska federalna ustawa o ochronie danych obowiązuje od września 2023 roku i jest ściśle zgodna z zasadami RODO.
Jeśli twojego kraju tu nie ma, może mieć mimo to odpowiednie prawo. Sprawdź je w krajowym organie ochrony danych lub ochrony konsumentów.
Dlaczego rezygnacja z newslettera nie zatrzymuje paragonów
Ludzie często pytają, dlaczego po rezygnacji z marketingu sklepu nadal przychodzą jego e-maile o zamówieniach. Przepisy celowo je rozdzielają i dlatego nadawca nie ucieknie od zasad marketingowych, nazywając coś wiadomością serwisową.
| Rodzaj | Przykłady | RODO i ePrivacy | CAN-SPAM | CASL |
|---|---|---|---|---|
| Transakcyjne | Potwierdzenia, informacje o wysyłce, resety haseł, alerty bezpieczeństwa | Wymaga podstawy prawnej, zwykle umowy lub prawnie uzasadnionego interesu, a nie zgody marketingowej | Wyłączone z większości zasad; bez fałszywych informacji o trasie przekazu | Wymienione kategorie są zwolnione ze zgody, ale nadal wymagają treści identyfikujących nadawcę i możliwości wypisania się |
| Marketingowe | Wyprzedaże, promocyjne newslettery, rekomendacje produktów | Zgoda albo soft opt-in; bezwzględne prawo do sprzeciwu | Dozwolone bez zgody; obowiązują wszystkie wymagania | Wymagana zgoda wyraźna lub dorozumiana |
| Mieszane | Potwierdzenie zamówienia z dużym banerem promocyjnym | Część promocyjna może wymagać zgody marketingowej | Oceniane według głównego celu, z uwzględnieniem tematu i rozmieszczenia treści | Może być uznane za komercyjne, jeśli promuje produkty |
Nie każda zasada, na którą trafiasz, pochodzi też od ustawodawcy. Od 2024 roku Google i Yahoo wymagają od nadawców masowych obsługi wypisania jednym kliknięciem przez mechanizm z RFC 8058 oraz reagowania na żądania w ciągu dwóch dni. To warunek dobrej dostarczalności ustawiony przez dostawców poczty, bez mocy prawnej, a w praktyce zatrzymuje niektórych nadawców szybciej niż 10 dni roboczych z ustawy.
Korzystanie z praw, krok po kroku
1. Zatrzymaj marketing
Użyj przycisku wypisania, który twoja aplikacja pocztowa pokazuje obok nadawcy i który opiera się na nagłówku List-Unsubscribe. Jeśli go nie ma, użyj linku w stopce prawdziwej wiadomości. Rób to tylko z nadawcami, których znasz, bo link w oczywistym spamie może prowadzić gdziekolwiek, a tam lepszą reakcją jest zgłoszenie. Zanotuj datę. Według CAN-SPAM i CASL poczta powinna ustać w ciągu 10 dni roboczych. W UE i Wielkiej Brytanii sprzeciw powinien zadziałać bez zwłoki, choć organy zasadniczo akceptują krótki czas przetwarzania.
2. Dowiedz się, co firma przechowuje
Wyślij żądanie dostępu osoby, której dane dotyczą, na podstawie RODO albo żądanie wiedzy na podstawie CCPA. Wiele firm oferuje formularz lub portal prywatności i skorzystanie z niego może przyspieszyć sprawę. W przeciwnym razie wystarczy krótka wiadomość, jak ten wzór:
Temat: Żądanie dostępu do danych osobowych
Proszę o dostęp do danych osobowych, które państwo o mnie przechowują, na podstawie art. 15 RODO [lub: na podstawie California Consumer Privacy Act]. Mój adres e-mail w państwa rejestrach to [adres]. Proszę o kopię danych, cele przetwarzania, kategorie odbiorców, którym je udostępniono, okres przechowywania oraz źródło danych, jeśli nie zebrano ich ode mnie. Oczekuję odpowiedzi w ustawowym terminie.
Wyślij ją z adresu, który firma ma w rejestrach, na kontakt do spraw prywatności z jej polityki prywatności i zachowaj kopię z datą. Spodziewaj się weryfikacji tożsamości. To jest uprawnione, choć powinno być proporcjonalne. Sklep, który prosi o skan paszportu, by odpowiedzieć na żądanie dotyczące adresu z newslettera, zasługuje na pytanie.
3. Poproś o usunięcie
Jeśli przestałeś korzystać z usługi, poproś o usunięcie na podstawie art. 17 RODO albo o skasowanie na podstawie CCPA. Firma może zachować zapisy, które musi przechowywać, takie jak faktury, oraz adres na liście wykluczeń, by przez przypadek nie pisać do ciebie. Rozsądnie jest zapytać, co zachowuje i dlaczego.
4. Zrezygnuj ze sprzedaży i udostępniania w stanach USA
Poszukaj linku w rodzaju „Do Not Sell or Share My Personal Information” albo „Your Privacy Choices” albo włącz Global Privacy Control w przeglądarce lub rozszerzeniu, które to obsługuje. Kalifornijczycy mogą użyć DROP wobec zarejestrowanych brokerów danych.
5. Eskaluj, jeśli nic nie wskórasz
- UE i EOG: złóż skargę do krajowego organu ochrony danych. Europejska Rada Ochrony Danych wymienia je wszystkie.
- Wielka Brytania: złóż skargę do brytyjskiego organu ochrony danych po wcześniejszym zgłoszeniu sprawy organizacji albo zgłoś niechciany marketing przez jego narzędzie online.
- USA: zgłoś oszukańczy lub niezgodny z prawem e-mail handlowy na ReportFraud.ftc.gov. W sprawie problemów z CCPA złóż skargę do California Privacy Protection Agency lub prokuratora generalnego.
- Kanada: zgłoś do Spam Reporting Centre.
Dowody miej proste: data twojego żądania, jego kopia, kopia odpowiedzi, jeśli była, i przykłady wiadomości, które nadal przychodziły, z pełnymi nagłówkami. Organy nie mogą ścigać każdej skargi, więc pojedyncza skarga może nie przynieść szybkiego rezultatu, ale dokłada się do akt przeciwko powtarzającemu się sprawcy.
Czego te przepisy nie obejmują
Najbardziej oczywistą luką jest przestępczy spam. Ktoś, kto sprzedaje fałszywe leki z przejętego serwera, ignoruje każdą z powyższych zasad, dlatego filtr spamu i przycisk zgłaszania u twojego dostawcy robią przeciw takiej poczcie więcej niż jakakolwiek ustawa. Rozpoznawanie i zgłaszanie takich oszustw to praktyczna umiejętność i żaden organ nie zrobi tego za ciebie.
Twoja własna korespondencja też w większości leży poza tymi przepisami. Prywatna wiadomość do znajomych nie jest e-mailem handlowym, a RODO ma wyłączenie dla czynności o czysto osobistym lub domowym charakterze w art. 2 ust. 2 lit. c. Dostęp organów ścigania do skrzynek podlega osobnym przepisom, takim jak amerykańska Stored Communications Act i krajowe prawa o nadzorze, i zasługuje na odrębne wyjaśnienie.
Wreszcie większość tych przepisów wiąże organizacje określonego rodzaju albo powyżej pewnej wielkości. Mały kalifornijski sklep poniżej progów CCPA nadal musi przestrzegać CAN-SPAM, ale nie ma obowiązków z CCPA. Organizacja non-profit może uniknąć CCPA, a mimo to podlegać RODO, gdy pisze do ludzi w Europie. Zawsze sprawdź, kim jest nadawca, zanim założysz, jakie zasady mają zastosowanie.
Gdzie pasuje jednorazowy adres?
Jednorazowy adres e-mail to tymczasowa skrzynka, która nie wymaga rejestracji i usuwa wiadomości po krótkim czasie. Nie znamy żadnego przepisu w wyżej opisanych reżimach, który zakazywałby ludziom używania takiego adresu dla własnej prywatności, a robienie tego idzie w parze z obowiązkiem minimalizacji danych, jaki RODO nakłada na organizacje. Jeśli serwis nie potrzebuje trwałej relacji z tobą, możesz zdecydować, że jej nie zaoferujesz, o ile jego regulamin na to pozwala. Zasady i regulaminy się różnią, więc to ogólna uwaga, a nie gwarancja w konkretnym przypadku.
Zwykłe zastosowania to odebranie jednorazowego pliku do pobrania albo testowanie własnej strony: rejestracji i e-maili potwierdzających. VookMail to jedna z takich usług. Adres jest gotowy w chwili załadowania strony, możesz nacisnąć Nowy, żeby wpisać nazwę użytkownika w jednej z ponad 30 domen, albo użyć żółtego przycisku „Losowy”, by dostać losowy, a wiadomości, załączniki i adresy są usuwane po około jednej dobie. To, jak usługa obchodzi się z danymi, opisuje polityka prywatności, a strona o metodologii wyjaśnia, jak poczta dla jej domen trafia przez rekordy MX do dostawcy dostarczania i jest przekazywana przez HTTPS.
Obowiązuje kilka ograniczeń:
- Usługi mogą odrzucać jednorazowe adresy i wiele ma ku temu dobre powody. Wyjaśnia je nasz artykuł o tym, dlaczego strony blokują jednorazowe adresy e-mail. Gdy serwis taki adres odrzuca, uszanuj to i użyj stałego adresu albo aliasu.
- Każdy, kto zna lub zgadnie tymczasowy adres, może otworzyć tę skrzynkę, więc daje ona prywatność wobec listy mailingowej firmy, a nie poufność wiadomości. Bezpieczniejszy jest losowy adres.
- Bankowość, urzędy, opieka zdrowotna i główne konta społecznościowe potrzebują adresu, nad którym zawsze będziesz mieć kontrolę, bo wysyłają powiadomienia o znaczeniu prawnym i wiadomości odzyskiwania.
- Nadużycia nie są chronione. Oszustwo, nękanie, podszywanie się albo obchodzenie blokady może mieć konsekwencje prawne niezależnie od użytego adresu, a nasz regulamin tego zabrania.
- Żądania z praw wymagają stałego adresu. Firma zwykle weryfikuje cię przez adres z rejestrów, więc jeśli możesz później chcieć skorzystać z praw z RODO lub CCPA, lepiej służy ci stały adres.
Jeśli sam wysyłasz e-maile
Newsletter lub mały sklep internetowy stawia cię po drugiej stronie tego wszystkiego. Jeśli twoi czytelnicy są z różnych krajów, praktyczne podejście to dostosowanie się do najsurowszej zasady, jaka dotyczy twojej publiczności. Poniższa lista to punkt wyjścia, a prawdziwa kontrola zgodności zależy od twojego kraju i klientów.
- Zbieraj zgodę niezaznaczonym polem albo wyraźnym działaniem zapisu i zapisuj, kiedy i jak została udzielona.
- Rozważ double opt-in, który daje dowód zgody i odsiewa literówki oraz fałszywe zapisy.
- Dawaj link do jasnej informacji o prywatności wszędzie, gdzie zbierasz adresy.
- Trzymaj osobno strumienie transakcyjne i marketingowe i nie wsuwaj promocji do potwierdzeń.
- Umieszczaj tożsamość organizacji i prawidłowy adres pocztowy w każdym e-mailu marketingowym.
- Obsługuj wypisanie jednym kliknięciem z nagłówkami
List-UnsubscribeiList-Unsubscribe-Posti szybko realizuj rezygnacje. - Prowadź listę wykluczeń, żeby adresy, które zrezygnowały, nigdy nie wróciły przez ponowny import.
- Nie kupuj list. Kupiona lista nie przechodzi testów zgody w krajach z opt-in i zwykle przynosi skargi oraz odbicia, które szkodzą twojej dostarczalności wszędzie.
- Ujawniaj śledzenie otwarć i kliknięć i sprawdź, czy kraje twoich czytelników wymagają na nie zgody. Francja ma teraz konkretne wytyczne w tej sprawie.
- Ustal okresy przechowywania i usuwaj dane nieaktywnych subskrybentów, których już nie potrzebujesz.
- Miej proces odpowiadania na żądania dostępu, usunięcia i poprawienia w ciągu miesiąca (RODO) lub 45 dni (CCPA).
- Przetestuj proces zapisu i wypisania na świeżej skrzynce przed startem, żeby zobaczyć to, co widzi subskrybent.
Przekonania, które sprawiają kłopoty
„Skoro adres jest publiczny, mogę prowadzić do niego marketing.” W systemach opt-in publicznie widoczny adres sam w sobie nie jest zgodą. Według CAN-SPAM zbieranie adresów ze stron jest okolicznością obciążającą. Publikacja po prostu nie rozstrzyga sprawy.
„Wypisanie się tylko potwierdza spamerom mój adres.” To prawda w przypadku oczywistego spamu od nieznanych nadawców, gdzie lepszym wyborem jest zgłoszenie. W przypadku rzetelnego nadawcy wypisanie jest właściwym krokiem, a prawo wymaga, by nadawca je uwzględnił.
„RODO dotyczy tylko firm z UE.” Artykuł 3 ust. 2 sięga organizacji gdzie indziej, które kierują ofertę do ludzi w UE lub EOG albo monitorują ich zachowanie. To, jak organy egzekwują to wobec firmy bez obecności w Europie, to inna sprawa i w praktyce bywa trudne.
„CAN-SPAM pozwala mi pozywać spamerów.” Nie daje osobom prywatnym takiego prawa. Inne przepisy mogą pomóc w szczególnych sytuacjach, a stanowe prawa przeciw oszustwu mogą przetrwać wyłączenie spod stosowania, więc prawnik może ci powiedzieć, czy cokolwiek dotyczy twojej sprawy.
„Usunięcie konta usuwa wszystkie moje dane.” Firmy mogą zgodnie z prawem zachować niektóre zapisy, jak historię transakcji dla celów podatkowych. Powinny to wyjaśnić, gdy zapytasz.
„E-maile transakcyjne nie są regulowane.” Unikają wielu zasad marketingowych, ale nadal potrzebują podstawy prawnej według RODO i nie mogą wprowadzać w błąd.
Krótkie odpowiedzi na częste pytania
Czy firma może do mnie napisać, jeśli się nie zapisałem?
To zależy od tego, gdzie jesteś. W USA zasadniczo tak, pod warunkiem że przestrzega CAN-SPAM i przestaje, gdy zrezygnujesz. W UE, Wielkiej Brytanii i Kanadzie e-mail marketingowy zasadniczo wymaga twojej zgody albo mieści się w wąskim wyjątku dla obecnych klientów.
Czy firma spoza Europy musi odpowiedzieć na moje żądanie z RODO?
Jeśli oferuje towary lub usługi osobom w UE lub EOG albo monitoruje tam ich zachowanie, RODO może jej dotyczyć. Artykuł 27 zasadniczo wymaga też od takiej firmy wyznaczenia przedstawiciela w UE, którego dane powinny znaleźć się w jej informacji o prywatności. To, czy w praktyce możesz wyegzekwować żądanie, to osobne pytanie.
Czy mam prawa z CCPA, jeśli mieszkam poza Kalifornią?
CCPA chroni mieszkańców Kalifornii. Niektóre firmy dają podobne wybory wszystkim, a wiele innych stanów ma własne prawa, więc nadal warto zapytać.
Jak szybko powinno zadziałać wypisanie?
Najwyżej dziesięć dni roboczych według CAN-SPAM i CASL, pięć dni roboczych w Australii, a w UE i Wielkiej Brytanii w praktyce bez zbędnej zwłoki. Od dużych nadawców używających Gmaila i Yahoo oczekuje się też reakcji w ciągu dwóch dni według zasad tych dostawców.
Czy śledzenie otwarć jest legalne?
W USA CAN-SPAM nie porusza tego bezpośrednio. W UE organy coraz częściej uznają, że piksele śledzące w e-mailach podlegają art. 5 ust. 3 dyrektywy ePrivacy, a francuski CNIL traktuje teraz zgodę jako regułę domyślną. Gdzie indziej zależy to od prawa krajowego.
Gdzie mogę przeczytać same przepisy?
RODO i dyrektywa ePrivacy są na EUR-Lex. FTC publikuje przewodnik zgodności z CAN-SPAM, kalifornijski organ i prokurator generalny publikują wytyczne do CCPA, a rząd Kanady prowadzi stronę o CASL. To te oficjalne źródła są tymi, na których warto polegać, bo ten przegląd może odzwierciedlać tylko prawo w takim stanie, w jakim je rozumieliśmy w chwili pisania.