Kenelle suoramarkkinointia saa lähettää ilman lupaa, entä evästeet?

Lyhyesti

Sähköpostia, tekstiviestejä ja vastaavia sähköisiä markkinointiviestejä saa yleensä lähettää luonnolliselle henkilölle vain ennakkosuostumuksella. Ilman uutta lupaa sama myyjä tai palveluntarjoaja saa käyttää asiakkaalta myynnin yhteydessä saatua yhteystietoa omien samaan tuoteryhmään kuuluvien tai muuten vastaavien tuotteiden ja palvelujen markkinointiin. Yhteisölle suoramarkkinointia saa lähettää, ellei yhteisö ole sitä nimenomaisesti kieltänyt. Evästeissä varma lähtökohta on tämä: jos evästeellä kerätään tunnistettavaan henkilöön liittyviä verkkotunnistetietoja, yleinen tietosuoja-asetus vaatii oikeusperusteen ja selkeät tiedot.

Luonnolliselle henkilölle sähköinen markkinointi vaatii pääsäännön mukaan ennakkosuostumuksen

Lain sähköisen viestinnän palveluista 200 § koskee suoramarkkinointia luonnolliselle henkilölle. Luonnollinen henkilö tarkoittaa ihmistä. Esimerkiksi kuluttaja, jäsen, kuntalainen tai nimetty työntekijä on luonnollinen henkilö.

Pykälän pääsääntö on tiukka. Automatisoidut soittojärjestelmät, telekopiolaitteet, sähköpostit, tekstiviestit, puheviestit, ääniviestit ja kuvaviestit vaativat etukäteen annetun suostumuksen. Tämä koskee tilanteita, joissa markkinointi kohdistetaan luonnolliseen henkilöön.

Käytännössä sääntö koskee esimerkiksi kuluttajan henkilökohtaista sähköpostiosoitetta. Se voi koskea myös työosoitetta, jos viesti kohdistuu nimettyyn henkilöön. Yleisen tietosuoja-asetuksen 4 artiklan mukaan henkilötieto on tieto, joka liittyy tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Etunimi.sukunimi-muotoinen työosoite voi siksi olla henkilötieto.

Suostumus ei ole vain tekninen valintaruutu. Yleisen tietosuoja-asetuksen 4 artikla määrittelee suostumuksen tahdonilmaisuksi, joka on vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Työssä tämä tarkoittaa, että henkilö tietää, mihin markkinointiin hän antaa luvan. Lupa ei saa peittää useita eri tarkoituksia yhteen epäselvään hyväksyntään.

Suoramarkkinoinnin yhteystietolista on samalla henkilötietojen käsittelyä, jos listalla on tunnistettavia henkilöitä. Silloin tarvitaan myös yleisen tietosuoja-asetuksen 6 artiklan mukainen käsittelyn oikeusperuste. Aihe jatkuu artikkelissa Millä perusteella henkilötietoja saa käsitellä?.

Vanhalle asiakkaalle saa markkinoida omia vastaavia tuotteita ilman uutta lupaa

Sähköisen viestinnän palveluista annetun lain 200 § sisältää poikkeuksen pääsääntöön. Poikkeus koskee luonnollista henkilöä, joka on asiakas.

Poikkeus toimii vain, kun kaikki keskeiset ehdot täyttyvät:

• yhteystieto on saatu asiakkaalta tuotteen tai palvelun myynnin yhteydessä
• lähettäjä on sama palvelun tarjoaja tai tuotteen myyjä
• markkinointi koskee omia tuotteita tai palveluja
• tuotteet tai palvelut kuuluvat samaan tuoteryhmään tai ovat muuten vastaavia
• asiakkaalle kerrotaan selvästi kielto-oikeudesta
• kielto onnistuu helposti ja ilman erillistä maksua
• kielto-oikeus annetaan tiedon keräämisen yhteydessä ja jokaisessa viestissä

Esimerkki on tilanne, jossa asiakas ostaa palvelun ja antaa samalla sähköpostiosoitteen. Sama palveluntarjoaja voi käyttää osoitetta omien vastaavien palvelujen markkinointiin. Poikkeus ei tee osoitteesta yleistä markkinointitietoa. Se ei anna lupaa myydä listaa eteenpäin. Se ei myöskään kata täysin eri tuoteryhmää, jos vastaavuus puuttuu.

Tässä näkyy tietosuojan minimoinnin merkitys. Yleisen tietosuoja-asetuksen 5 artikla vaatii, että henkilötiedot rajataan siihen, mikä on tarpeellista käsittelyn tarkoituksen kannalta. Markkinointirekisteriin ei siis pitäisi kerätä tietoja vain varmuuden vuoksi. Tarpeeton tieto lisää riskiä ja vaikeuttaa rekisteröidyn oikeuksien toteuttamista.

Yhteisölle saa lähettää markkinointia, kun kielto-oikeus toimii

Laki sähköisen viestinnän palveluista, 202 §, käsittelee suoramarkkinointia yhteisölle. Yhteisö voi olla organisaatio. Esimerkki on yrityksen tai kunnan yleinen yhteystieto.

Yhteisölle saa lähettää suoramarkkinointia, jos yhteisö ei ole sitä erikseen kieltänyt. Tämä eroaa sähköisestä markkinoinnista, jota lähetetään luonnolliselle henkilölle. Yhteisömarkkinoinnissa ennakkosuostumus ei ole 202 §:n mukaan lähtökohta.

Kielto-oikeus on silti pakollinen. Jokaisessa sähköposti-, teksti-, puhe-, ääni- ja kuvaviestissä pitää antaa mahdollisuus kieltää yhteystietojen käyttö. Kiellon pitää onnistua helposti ja ilman erillistä maksua. Markkinoijan pitää myös kertoa kiellon mahdollisuudesta selvästi.

Yhteisömarkkinointi ei poista yleisen tietosuoja-asetuksen vaikutusta, jos viestissä käytetään henkilötietoja. Nimetty ostaja, asiantuntija tai kunnan työntekijä on luonnollinen henkilö. Jos organisaatio käsittelee hänen tietojaan, käsittelylle tarvitaan oikeusperuste. Lisäksi rekisteröidylle pitää antaa tiedot käsittelystä yleisen tietosuoja-asetuksen 13 tai 14 artiklan mukaan.

Jokaisen markkinointiviestin pitää paljastaa tarkoituksensa

Laki sähköisen viestinnän palveluista 203 § asettaa viestille perusvaatimukset. Sähköposti, tekstiviesti, puheviesti, ääniviesti ja kuvaviesti on voitava tunnistaa markkinoinniksi selvästi ja yksiselitteisesti.

Tämä koskee suoramarkkinointia, joka lähetetään luonnolliselle henkilölle tai yhteisölle. Vastaanottajan ei pitäisi joutua arvaamaan, onko kyse palveluviestistä, laskutusasiasta vai mainoksesta.

Vaatimus	Mitä se tarkoittaa työssä
Viesti tunnistuu markkinoinniksi	Otsikko, sisältö ja lähettäjä eivät peitä viestin kaupallista tarkoitusta.
Lähettäjän henkilöllisyys ei peity	Vastaanottaja näkee, kenen puolesta viesti on lähetetty.
Lopettamispyynnölle on toimiva osoite	Vastaanottaja voi ilmoittaa, että viestintä pitää lopettaa.
Kielto-oikeus kerrotaan selvästi	Vastaanottajan ei tarvitse etsiä peruutustapaa piilosta.

203 § kieltää myös suoramarkkinointiviestin, jossa ei ole voimassa olevaa osoitetta viestinnän lopettamispyyntöä varten. Tämä on käytännön riski automaattisissa kampanjoissa. Jos peruutusosoite ei toimi, viesti rikkoo vaatimusta, vaikka kampanjan kohderyhmä olisi muuten valittu oikein.

Evästeissä ensimmäinen kysymys on, syntyykö henkilötietoja

Eväste on tekninen tunniste, jonka verkkopalvelu voi tallentaa käyttäjän selaimeen. Tässä artikkelissa evästeitä arvioidaan vain yleisen tietosuoja-asetuksen kannalta. Suoramarkkinointia koskevat 200–204 §:t eivät ratkaise kaikkia evästeiden suostumuskysymyksiä.

Yleisen tietosuoja-asetuksen 4 artikla mainitsee verkkotunnistetiedot mahdollisena perusteena henkilön tunnistamiseen. Jos eväste tai vastaava tunniste liittyy tunnistettuun tai tunnistettavissa olevaan henkilöön, kyse voi olla henkilötiedosta. Tunnistaminen voi olla suoraa tai epäsuoraa. Esimerkiksi asiakastilin, laitteen tunnisteen ja käyttäytymistiedon yhdistelmä voi tehdä henkilöstä tunnistettavan.

Kun evästeillä käsitellään henkilötietoja, rekisterinpitäjän pitää ratkaista ainakin nämä asiat:

• mikä on käsittelyn tarkoitus
• mikä on yleisen tietosuoja-asetuksen 6 artiklan mukainen oikeusperuste
• mitä henkilötietoryhmiä kerätään
• kenelle tietoja luovutetaan
• kuinka kauan tietoja säilytetään tai miten säilytysaika määritellään
• mitä oikeuksia henkilöllä on, jonka tietoja käsitellään

Jos tiedot kerätään henkilöltä itseltään, yleisen tietosuoja-asetuksen 13 artikla vaatii tiedot silloin, kun henkilötietoja saadaan. Jos tiedot on saatu muualta, 14 artikla sisältää erilliset tiedottamisen säännöt. Siksi evästeilmoitus ja tietosuojaseloste eivät ole vain lakitekstiä verkkosivun alalaidassa. Niiden pitää kertoa käsittelyn tarkoitus ja peruste ymmärrettävästi.

Evästeistä kysyttävä asia riippuu valitusta oikeusperusteesta

Yleisen tietosuoja-asetuksen 6 artiklassa on kuusi mahdollista oikeusperustetta henkilötietojen käsittelylle. Suostumus on yksi niistä. Sitä voidaan käyttää evästeisiin liittyvässä henkilötietojen käsittelyssä, mutta se ei ole sama asia kuin pelkkä ilmoitus.

Jos organisaatio käyttää suostumusta, kysymyksen pitää koskea tiettyä tarkoitusta. Henkilön pitää ymmärtää, mihin hän suostuu. Suostumuksen pitää olla vapaaehtoinen ja yksiselitteinen. Jos henkilötietoja aiotaan myöhemmin käsitellä toiseen tarkoitukseen, yleisen tietosuoja-asetuksen 13 ja 14 artikla edellyttävät, että tästä kerrotaan ennen jatkokäsittelyä.

Käytännössä evästekysymys ei voi olla vain epämääräinen hyväksyntä kaikkeen seurantaan. Jos tarkoitus on esimerkiksi kävijätilastointi, se pitää erottaa muista tarkoituksista. Jos tarkoitus on markkinoinnin kohdentaminen, sen pitää näkyä henkilölle omana käsittelytarkoituksenaan.

Yleisen tietosuoja-asetuksen 5 artikla vaatii läpinäkyvyyttä. Sama artikla sisältää osoitusvelvollisuuden. Rekisterinpitäjän pitää pystyä osoittamaan, että periaatteita on noudatettu. Evästeissä tämä tarkoittaa käytännössä dokumentointia siitä, mitä tietoja kerätään, millä perusteella ja mihin tarkoitukseen.

Rajat on hyvä tunnistaa, koska kaikki ei ratkea yhdestä pykälästä

Sähköisen suoramarkkinoinnin säännöt eivät anna yleistä lupaa kaikkeen asiakasviestintään. Ne kertovat, milloin markkinointiviestiä saa lähettää ja millainen kielto-oikeus pitää antaa. Ne eivät poista yleisen tietosuoja-asetuksen vaatimuksia, jos viesti perustuu henkilötietoihin.

Asiakassuhteen poikkeus ei myöskään kata mitä tahansa kampanjaa. Laki sähköisen viestinnän palveluista, 200 §, rajaa poikkeuksen saman myyjän tai palveluntarjoajan omiin tuotteisiin ja palveluihin. Tuotteiden ja palvelujen pitää kuulua samaan tuoteryhmään tai olla muuten vastaavia. Jos tämä yhteys puuttuu, pääsääntö suostumuksesta tulee taas sovellettavaksi.

Yhteisölle lähettäminen ei tarkoita, että yksittäisen työntekijän oikeudet katoavat. Jos organisaatio tallentaa nimetyn henkilön osoitteen markkinointijärjestelmään, kyse voi olla henkilötiedon käsittelystä. Rekisteröidyllä voi olla oikeus saada pääsy tietoihin, pyytää oikaisua, pyytää poistoa tai vastustaa käsittelyä. Näitä oikeuksia käsitellään tarkemmin artikkelissa Rekisteröidyn oikeudet: kun asiakas pyytää tietonsa, aikaa on kuukausi.

Evästeiden osalta rajaus on selvä. Sähköisen suoramarkkinoinnin 200–204 § eivät yksin kerro, milloin jokaisesta evästetyypistä pitää pyytää suostumus. Niiden rinnalla pitää arvioida, käsitelläänkö henkilötietoja. Jos henkilötietoja käsitellään, yleinen tietosuoja-asetus määrää oikeusperusteen, läpinäkyvyyden, minimoinnin ja rekisteröidyn oikeudet.

Kampanjan tarkistus kannattaa tehdä ennen lähetystä

Ennen sähköistä kampanjaa organisaation kannattaa erottaa kolme asiaa toisistaan. Ensimmäinen on vastaanottajan tyyppi: onko kyse luonnollisesta henkilöstä, vanhasta asiakkaasta vai yhteisöstä. Toinen on viestin tarkoitus: onko kyse markkinoinnista vai muusta asiakasviestistä. Kolmas on henkilötietojen käsittely: mitä tietoja käytetään, millä perusteella ja kuinka kauan.

Selkeä tarkistus vähentää virheitä:

• jos vastaanottaja on luonnollinen henkilö, pääsääntö on ennakkosuostumus
• jos kyse on omasta vanhasta asiakkaasta, asiakassuhteen poikkeuksen ehdot tarkistetaan
• jos vastaanottaja on yhteisö, tarkistetaan, onko se kieltänyt markkinoinnin
• jokaisessa viestissä pitää olla helppo ja maksuton kielto-oikeus
• viestin pitää tunnistua markkinoinniksi heti vastaanotettaessa
• lähettäjän henkilöllisyyttä ei saa peittää
• lopettamispyyntöä varten pitää olla toimiva osoite
• henkilötietojen käsittelylle pitää olla yleisen tietosuoja-asetuksen mukainen oikeusperuste
• evästeiden kohdalla tarkistetaan, syntyykö tunnistettavaan henkilöön liittyviä verkkotunnistetietoja

Kun nämä päätökset kirjataan, organisaatio pystyy myös näyttämään, miksi kampanja tehtiin tietyllä tavalla. Tämä liittyy yleisen tietosuoja-asetuksen 5 artiklan osoitusvelvollisuuteen. Lisälukemista henkilöstön perustasosta on artikkelissa Mitä tietosuojaosaamista jokaiselta työntekijältä vaaditaan?.