Milloin asiakkaalle saa lähettää sähköpostin tai soittaa? – GDPR:n ja suoramarkkinoinnin käytännöissä on vielä opeteltavaa

GDPR on kirjainyhdistelmä, jota on rummutettu muutama vuosi. Yrittäjät kertoi marraskuun alussa selvityksestä, jonka mukaan GDPR on tuttu, mutta keinot eivät.

Rekisterien ylläpidossa ja tietosuojassa on puutteita. Jutussa kerrotaan myös, että EU:ssa on jaettu viime toukokuusta lähtien sakkoja 400 miljoonan euron edestä.

Markkinoinnissa ja viestinnässä GDPR:n lisäksi suoramakkinointiin ja markkinointilupiin liittyy laki sähköisten palveluiden viestinnästä, joka tulevaisuudessa korvautuu suurelta osin EU:sta pian tulevalle ePrivacy Regulation -asetuksella, sekä kuluttajasuhteissa vielä kuluttajansuojalaki.

Lakipalveluita tarjoavalle yrittäjälle Elina Koivumäelle tilanne on tuttu.

– Yrityksissä saatetaan tietää joku juttu, kuten että kuluttajalle ei saa pääsääntöisesti lähettää sähköpostia ilman lupaa, mutta sitten ei muisteta, päteekö se b-to-b-puolelle. Sääntelyssä on osittain eroavaisuuksia yritysten ja yksityishenkilöiden välillä.

Koivumäki muistuttaa kuitenkin, että moni asia suoramarkkinoinnissatoimii niin sanotulla opt out -mekanismilla, eli saa tehdä, kunnes vastaanottaja sen kieltää.

– Se on peruslähtökohta myyntipuheluissa, kotiin lähetettävissä kirjeissä ja b-to-b-puolen sähköposteissa, kunnes ilmaisee, ettei enää halua vastaanottaa suoramarkkinointia, Koivumäki sanoo.

Suoramarkkinointiin täytyy suostua

Tietosuoja-asetuksessa on kuusi merkittävää perustetta henkilötietojen käsittelylle.

– Näistä suostumus on merkittävin erityisesti, kun kyse on kuluttaja-asiakkaan henkilötietojen käsittelystä markkinointitarkoituksiin, Suomen Yrittäjien asiantuntija Karoliina Katila sanoo.

Tietosuoja-asetus velvoittaa kertomaan kuluttajalle jo henkilötietojen keräämisvaiheessa, jos niitä tullaan käyttämään suoramarkkinointiin. Markkinoijan täytyy kertoa, mistä tiedot on saatu ja että kuluttajalla on oikeus kieltää suoramarkkinointi.

– Sähköposti- tai tekstiviestimarkkinointi edellyttää vastaanottajan suostumusta etukäteen. Se ei voi olla automaattisesti esitäytetty valintaruutu, vaan kuluttajan täytyy voida aktiivisella toimenpiteellä ilmoittaa suostumuksensa vastaanottaa sähköisiä markkinointiviestejä ja klikata ruutua itse, Katila kertoo.

Yritys voi lähettää sähköistä suoramarkkinointia ilman lupaa poikkeustapauksissa. Se edellyttää, että yhteystiedot on saatu tuotteen tai palvelun myynnin yhteydessä ja viestissä markkinoidaan ainoastaan vastaavia tai samanlaisia kuin yritys on aikaisemman kaupan yhteydessä myynyt. Kuluttajalle on täytynyt kertoa markkinointiviestien lähettämisestä kaupan yhteydessä samoin kuin oikeudesta kieltää niiden lähettäminen jokaisen viestin yhteydessä.

– Jokaisen näistä ehdoista täytyy täyttyä, Katila toteaa.

Yritysasiakkaan markkinoinnin täytyy liittyä työhön

B-to-B – suoramarkkinointia voi tehdä yrityksille vapaammin kuin kuluttaja-asiakkaille. Tuotteella tai palvelulla täytyy kuitenkin olla liityntä henkilöön, tämän työtehtävään tai vastuualueeseen. Sokeat massalähetykset eivät ole sallittuja. B-to-B-postituslistakin on GDPR:n alainen henkilörekisteri, jonka täytyy säilyttää vain olennaisia tietoja.

– Myös tältä listalta on oltava mahdollisuus poistua helposti sekä tarjota helppo tapa tietää, mitä tietoja yrityksellä on heistä, Katila sanoo.

Täyskielto ei ole tarpeen

Koivumäki kannustaisi yrityksiä miettimään, voisiko oman yrityksen kohdalla kieltoja pilkkoa. Jos yritys tarjoaa esimerkiksi monenlaisia tuotteita tai palveluita, asiakkaan antaman markkinointikiellon ei tarvitsisi olla totaalinen.

Koivumäki antaa esimerkin. Asiakas saa jatkuvasti kutsuja tapahtumiin, joihin hän ei halua osallistua. Yrityksellä on muuten kiinnostavaa sisältöä ja hyviä tarjouksia.

– Yksi pieni virhemainos voi johtaa siihen, että yritykselle vedetään punaiset laput kokonaan, mitä laki ei sinänsä edellytä. Kannustaisin yrityksiä miettimään, että pilkkoisi kiellon niin, että ”etkö halua enää kutsuja tapahtumiimme, klikkaa tästä”, eikä niin, että etkö halua kuulla enää ikinä koko yrityksestä. Osin siihen vaikuttaa myös se, taipuuko It-järjestelmä tämän tyyppisiin merkintöihin, Koivumäki toteaa.

GDPR:ssä auttaa maalaisjärki

Kuluttajat ja asiakkaat ovat hyvin tietoisia oikeuksistaan. Yrittäjä voi kuitenkin yrittää tehdä myyntivaltin siitä, että kertoo asiakkaalle rekisteröimistään tiedoista.

– Kun menee seuraavan kerran kampaajalle, joka on vuosikaudet kirjannut kaiken, mitä hiuksillesi on tehty, kampaaja voi kysyä, onko ok, että kaikki tiedot ovat edelleen olemassa. Voisin kuvitella, että reaktio on positiivinen, kun minua informoidaan ja kaikki asiakkaan tiedot ovat turvassa ja hyödynnettävissä, Koivumäki miettii.

Koivumäen mielestä GDPR:ää ei kuitenkaan tarvitse lukea kirjaimellisesti.

– Myönnän, että GDPR:ssä on pienen yrityksen kannalta ylimitoitettujakin vaatimuksia, ja onhan se selvää, että ei valvontaviranomaisten intressit kohdistu samalla tavalla pieneen yritykseen, kuin miljoonien liikevaihtoa tekevän yhtiön kanta-asiakasjärjestelmään.

Mutta mistä tietää, mitä jättää noudattamatta niin ettei sakkoja tule?

Koivumäen mukaan tulkinnassa auttaa maalaisjärki ja vakavuusaste.

– Itse mietin solmukohdissa, mikä oli Brysselin tarkoitus sille, että tämä uusi laki tuli. Tarkoitus on asiakkaidesi tai potentiaalisten asiakkaiden yksityisyyden suojaaminen samalla kun yrityksesi digitaalista liiketoimintaa kasvatetaan ja kehitetään. Lainsäätäjä ehdottomasti halusi sallia monimuotoisemman tietojenkäsittelyn, mutta miten yrittäjä omassa yrityksessään tekee asiat niin, että asiakkaiden tiedot tai yksityisyys eivät vaarannu.

Henkilötietojen arkaluontoisuus vaikuttaa tulkinnan tiukkuuteen myös. Terveys, seksuaalinen suuntautuminen, poliittiset mielipiteet tai vastaavat tiedot vaativat tarkempia yksityiskohtia.

– Kampaaja ei sinänsä käsittele arkaluontoista asiaa, jos kirjoittaa, millä värillä on värjännyt ja että tykkään polkkatukasta, mutta kampaajathan tietävät meistä vaikka kuinka paljon! Ihmisuhdekuvioita tai muita vastaavia kampaaja ei kuitenkaan kirjaa minnekään rekisteriin – tai ei ainakaan saisi kirjata. Henkilötietolainsäädäntö lähtee siitä, että vain kun tallennat tietoa jollekin alustalle, se muuttuu henkilötiedoksi ja rekisteriksi, Koivumäki sanoo.

Elina Hakola

elina.hakola (at) yrittajat.fi