Newsletter podlega dwóm warstwom reguł
Adres e-mail może być daną osobową, więc trzeba ustalić podstawę przetwarzania i spełnić obowiązek informacyjny z RODO. Niezależnie od tego art. 398 Prawa komunikacji elektronicznej zakazuje używania urządzeń końcowych do przesyłania informacji handlowej, w tym marketingu bezpośredniego, bez uprzedniej zgody abonenta lub użytkownika końcowego.
To rozróżnienie jest ważne. Podstawa przetwarzania danych w RODO i zgoda na wykorzystanie kanału komunikacji nie powinny być mieszane w niejasnym zdaniu. Dla prostego newslettera praktycznym rozwiązaniem jest dobrowolna, konkretna i udokumentowana zgoda obejmująca jasno nazwany cel oraz wysyłkę na podany adres.
Jak powinna wyglądać decyzja subskrybenta
Zgoda w rozumieniu RODO musi być dobrowolna, konkretna, świadoma i jednoznaczna. Administrator musi umieć wykazać, że ją uzyskał. Wycofanie powinno być równie łatwe jak udzielenie.
W formularzu zapisu:
- opisz nadawcę i rodzaj wiadomości;
- nie używaj domyślnie zaznaczonej kontroli;
- nie łącz zapisu z akceptacją regulaminu ani z niezbędną obsługą kontaktu lub zakupu;
- wskaż częstotliwość, jeśli jest istotna dla decyzji;
- pokaż link do informacji z art. 13 RODO;
- zapowiedz prosty sposób rezygnacji.
Jedno działanie użytkownika może dokumentować kilka jasno przedstawionych elementów zgody, ale nie może ukrywać wielu odrębnych celów. Jeżeli planujesz newsletter partnerów, profilowanie albo przekazywanie adresów innym administratorom, to wykracza poza prosty zapis i wymaga osobnej kwalifikacji.
Co opisać w polityce prywatności
Dla procesu newslettera ustal i pokaż:
| Obszar | Informacja oparta na faktach |
|---|---|
| Administrator | Tożsamość i działający kontakt |
| Cel | Wysyłka dokładnie opisanego newslettera |
| Podstawa | Podstawa z art. 6 RODO oraz uprzednia zgoda na kanał z art. 398 PKE |
| Dane | Zwykle adres e-mail; imię tylko jeśli jest rzeczywiście potrzebne |
| Dostawcy | Faktyczny system wysyłkowy, jego rola i dalsi odbiorcy |
| Transfer | Rzeczywista lokalizacja i właściwy mechanizm, jeśli dane opuszczają EOG |
| Retencja | Okres aktywnej subskrypcji oraz uzasadniony okres dowodu lub listy blokującej |
| Prawa | Dostęp, sprostowanie, usunięcie, ograniczenie, wycofanie i skarga |
Nie zakładaj, że każdy system pocztowy jest wyłącznie procesorem ani że każdy transfer opiera się na SCC. Sprawdź aktualne warunki, role, lokalizacje i umowę konkretnego dostawcy.
Double opt-in: po co drugi krok
Double opt-in oznacza, że po podaniu adresu wysyłasz wiadomość potwierdzającą, a subskrypcja staje się aktywna dopiero po użyciu jednorazowego linku. RODO nie wymienia tej nazwy jako obowiązkowej techniki, ale mechanizm pomaga:
- ograniczyć zapis cudzych lub błędnie wpisanych adresów;
- powiązać aktywację z kontrolą nad skrzynką;
- utrwalić dowód zakresu i wersji zgody;
- oddzielić stan oczekujący od aktywnego odbiorcy marketingu.
Token powinien wygasać, być przechowywany w postaci skrótu i nie trafiać do logów analitycznych. Nie wysyłaj kampanii do adresu, który nie potwierdził zapisu. Dla niepotwierdzonych rekordów ustaw krótki, automatyczny termin usunięcia.
Jak dokumentować zgodę bez nadmiaru danych
Zapisz co najmniej:
- wersję oraz treść komunikatu;
- zakres wyboru;
- czas i źródło zapisu;
- czas potwierdzenia double opt-in;
- status wycofania;
- identyfikator techniczny potrzebny do wykazania przebiegu, bez kopiowania zbędnych danych urządzenia.
Sam adres w tabeli subskrybentów nie pokazuje, co użytkownik zobaczył. Z kolei rozbudowany profil urządzenia może naruszać zasadę minimalizacji. Dowód powinien być proporcjonalny.
Rezygnacja i dane po rezygnacji
Każda wiadomość marketingowa powinna prowadzić do łatwej rezygnacji bez logowania i bez pytania o powód. Po wycofaniu zatrzymaj dalszą wysyłkę i odnotuj zdarzenie.
Nie ma jednej odpowiedzi „zawsze usuń natychmiast wszystko”. Adres aktywnej subskrypcji przestaje być potrzebny do wysyłki, ale minimalny dowód wcześniejszej zgody lub wpis na liście blokującej może mieć odrębny cel, podstawę i ograniczoną retencję. Opisz ten proces uczciwie i nie wykorzystuj takiego rekordu do ponownego marketingu.
Wycofanie zgody nie działa wstecz: nie podważa zgodności wcześniejszego przetwarzania opartego na zgodzie. Użytkownik powinien otrzymać tę informację przed jej udzieleniem.
Zakupy i kontakt nie tworzą subskrypcji
Adres podany do dostawy dokumentów, faktury lub odpowiedzi na pytanie nie może być automatycznie przeniesiony do listy marketingowej. Zgoda newsletterowa powinna być oddzielna i dobrowolna. Wiadomości niezbędne do wykonania usługi należy oznaczać oraz projektować jako komunikację serwisową, bez dokładania reklamy zmieniającej ich charakter.
Test gotowości
- Spróbuj zapisać adres bez zaznaczenia zgody.
- Sprawdź, że brak potwierdzenia nie uruchamia kampanii.
- Porównaj zapisaną wersję zgody z tekstem widocznym w formularzu.
- Użyj linku rezygnacji bez logowania i potwierdź zatrzymanie wysyłki.
- Zweryfikuj automatyczne usuwanie niepotwierdzonych zapisów.
- Upewnij się, że kupujący i nadawcy formularza nie trafiają na listę.
Site Starter może opisać prosty, dobrowolny newsletter jednej polskiej firmy. Nie obejmuje profilowania, baz partnerów, danych dzieci, lead scoringu ani międzynarodowych kampanii.
Metryka redakcyjna
- Autor i redakcja: Redakcja regulaminrodo.pl
- Metoda źródłowa: Warunki i dowodzenie zgody porównano z art. 4, 6, 7 i 13 RODO oraz materiałem UODO; zgodę na kanał marketingowy sprawdzono w art. 398 PKE.
- Data przeglądu: 7 sierpnia 2026 r.
- Zakres: prosty newsletter własny polskiej strony firmowej, bez profilowania i udostępniania list partnerom.
- Ograniczenie: materiał ma charakter edukacyjny i nie jest indywidualną opinią prawną; retencja dowodu i rola dostawcy wymagają decyzji opartej na faktach.