Newsletter a RODO — dlaczego to ważne?
Jeśli zbierasz adresy email do newslettera, przetwarzasz dane osobowe w rozumieniu RODO. Oznacza to, że masz obowiązek poinformować subskrybentów o tym przetwarzaniu i uzyskać ich zgodę.
Brak prawidłowej zgody lub brak klauzuli informacyjnej to jedno z najczęstszych naruszeń RODO zgłaszanych do Prezesa UODO.
Podstawa prawna przetwarzania danych do newslettera
Do wysyłki newslettera potrzebujesz zgody (art. 6 ust. 1 lit. a RODO). Zgoda musi być:
Co musi zawierać formularz zapisu?
Przy formularzu newslettera umieść:
1. Checkbox ze zgodą (obowiązkowy, domyślnie odznaczony)
Przykładowy tekst: *"Wyrażam zgodę na przetwarzanie mojego adresu email przez [Firma] w celu otrzymywania newslettera. Zgoda jest dobrowolna i mogę ją wycofać w dowolnym momencie."*
2. Link do polityki prywatności
Subskrybent musi mieć możliwość zapoznania się ze szczegółami przetwarzania.
3. Informacja o możliwości wypisania się
Wystarczy zdanie: *"W każdej chwili możesz zrezygnować z newslettera klikając link wypisania w stopce wiadomości."*
Co musi zawierać polityka prywatności w kontekście newslettera?
Zgodnie z art. 13 RODO polityka prywatności musi informować o:
| Element | Co napisać |
|---|---|
| Administrator | Pełna nazwa firmy, adres, email kontaktowy |
| Cel przetwarzania | Wysyłka newslettera z treściami marketingowymi/informacyjnymi |
| Podstawa prawna | Art. 6 ust. 1 lit. a RODO — zgoda |
| Odbiorcy danych | Narzędzie emailowe (np. Mailchimp, GetResponse, Brevo) |
| Okres przechowywania | Do czasu cofnięcia zgody |
| Prawa subskrybenta | Dostęp, sprostowanie, usunięcie, wycofanie zgody |
Narzędzia emailowe a umowa powierzenia
Jeśli używasz zewnętrznego narzędzia (Mailchimp, GetResponse, MailerLite, Brevo) — dane subskrybentów trafiają na ich serwery. To powierzenie przetwarzania danych i wymaga:
1. Zawarcia umowy powierzenia z dostawcą (większość robi to automatycznie w regulaminie),
2. Wskazania dostawcy w polityce prywatności jako odbiorcy danych,
3. Jeśli dostawca ma serwery poza UE (np. Mailchimp — USA) — poinformowania o transferze do państwa trzeciego i podstawie prawnej tego transferu (standardowe klauzule umowne SCC).
Double opt-in — najlepsza praktyka
Mimo że RODO nie wymaga potwierdzenia emailem, double opt-in (zapis + potwierdzenie kliknięciem w link) jest najlepszą praktyką:
Prawo do wycofania zgody
Każda wiadomość musi zawierać link do wypisania się. Wypisanie musi być natychmiastowe — nie możesz wymagać od subskrybenta podania powodu ani przechodzenia przez wieloetapowy proces.
Po wypisaniu usuń lub zanonimizuj adres emailowy — nie możesz go zachować "na wszelki wypadek".
Podsumowanie
Newsletter to jeden z najprostszych w obsłudze obszarów RODO — wymaga jednej poprawnej zgody i polityki prywatności zawierającej informacje o przetwarzaniu. Jeśli chcesz mieć kompletną politykę prywatności obejmującą newsletter i wszystkie inne obszary Twojej strony — wygeneruj ją w 5 minut na [regulaminrodo.pl](/generate).