GDPR – Sähköpostimarkkinointi

Uutiskirjeiden lähettäminen ja sähköpostimarkkinointi ovat kiinteä osa online-markkinointimaailmaa. Periaatteessa periaate, jonka mukaan käsittely on kiellettyä, mutta sen salliminen on mahdollista, koskee myös henkilökohtaisia tietoja, joita käytetään sähköpostien lähettämiseen. Käsittely on sallittua yleisen tietosuoja-asetuksen (GDPR) mukaan vain, jos rekisteröity on antanut suostumuksensa tai jos on olemassa jokin muu laillinen peruste. Tämä voisi olla esimerkiksi rekisterinpitäjän oikeutetun edun säilyttäminen lähettää sähköpostimarkkinointia. Yleisen tietosuoja-asetuksen johdanto-osan 47 kappale toteaa nimenomaisesti, että laki koskee myös henkilötietojen käsittelyä suoramarkkinointiin rekisterinpitäjän oikeutettuna etuna.

Lisäksi tällainen intressi voisi olla havaittavissa, esimerkiksi jos rekisteröidyn ja rekisterinpitäjän välillä on asianmukainen ja suhteellinen suhde. Tämä voisi olla tilanne, jos rekisteröity on rekisterinpitäjän asiakas tai tämän palveluksessa. Siksi on paljon viitteitä siitä, että sähköpostimarkkinointi on sallittua ilman suostumusta, ainakin nykyisten asiakkaiden osalta. Jos yrityksellä on oikeutettu etu ”kylmäsoittoon” sähköpostimarkkinoinnin kautta, markkinointisähköposteja voidaan lähettää potentiaalisille asiakkaille ilman suostumusta. Jos asiakas ei halua saada lisää tietoa uutiskirjeellä tai sähköpostilla, riittää, että asiakas vastustaa prosessointia markkinointitarkoituksiin. GDPR:n artiklan 21(2), (3) mukaan rekisteröidyllä on aina oikeus vastustaa henkilötietojen käsittelyä suoramarkkinointitarkoituksiin. Jos rekisteröity vastustaa, rekisterinpitäjän täytyy vain lopettaa käsittely markkinointitarkoituksiin, mutta se voi silti käsitellä tietoja muihin tarkoituksiin, esim. sopimuksen täyttämiseksi. Rekisterinpitäjän oikeutettu intressi käsitellä tietoja markkinointitarkoituksiin ei koskaan voi ylittää rekisteröidyn vastustusta. On kuitenkin huomioitava, että yleisen tietosuoja-asetuksen artiklan 95 mukaan tämä koskee kaikkia tietosuojaan liittyviä tarkoituksia, ellei ePrivacy-direktiivissä ole samaa sääntelyalaa koskevia erityissääntöjä (ks. myös johdanto-osan kappale 173). Seurauksena on, että sähköpostimarkkinointi on tällä hetkellä sallittua vain asianomaisten osapuolten suostumuksella (Direktiivin 2002/58/EY artikla 13(1)). On odotettava, tuoko tuleva ePrivacy-asetus lisää selkeyttä tähän kysymykseen.

Riippumatta siitä, perustaako yritys markkinointitoimenpiteensä myöhemmin oikeutettuun etuun tai suostumukseen, rekisterinpitäjän on noudatettava rekisteröidyn oikeutta saada tietoa. Kyseisen tiedon sisältö riippuu käytetystä oikeuttamisperusteesta. Huomaa, että saattaa olla tiettyjä kansallisia lisälakeja (esim. kilpailulainsäädäntö), jotka voivat olla hieman tiukempia tai jotka voivat asettaa lisärajoituksia.