GDPR SMS marketing: consimțământ și opt-out corect

SMS-ul comercial e reglementat mai strict decât cred majoritatea celor care-l folosesc pentru prima dată. Nu e vorba doar de GDPR în sens larg, ci și de o lege specifică, dedicată comunicărilor electronice nesolicitate, cu o autoritate care aplică amenzi concrete pentru cine trimite SMS-uri comerciale fără bază legală. Articolul ăsta explică, în termeni practici, pe ce temei poți trimite SMS de marketing, ce înseamnă un consimțământ valid și cum te asiguri că mecanismul de dezabonare funcționează chiar și fără canal de răspuns pe SMS — vezi și cum tratăm securitatea și responsabilitățile GDPR la nivel de platformă. Nu e consultanță juridică — pentru situații punctuale sau litigioase, recomandarea e să consulți un avocat specializat în protecția datelor.

Pe ce temei legal trimiți SMS comercial în România

Trimiterea de SMS comerciale în România intră sub incidența a două seturi de reguli care se aplică simultan:

• GDPR (Regulamentul (UE) 2016/679) — cadrul general pentru prelucrarea datelor cu caracter personal, inclusiv numărul de telefon.
• Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice — legea specifică pentru comunicările comerciale nesolicitate, care se aplică explicit și SMS-ului, nu doar e-mailului.

Articolul 12 din Legea 506/2004 interzice comunicările comerciale efectuate prin sisteme automate de apelare sau comunicare, prin fax, e-mail sau „orice alt mijloc ce folosește servicii de comunicații electronice destinate publicului" — categorie în care intră și SMS-ul — cu excepția cazului în care abonatul sau utilizatorul vizat și-a exprimat în prealabil consimțământul expres pentru a primi astfel de comunicări.

Autoritatea care supraveghează respectarea acestei legi e ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal) — aceeași autoritate care aplică și GDPR în România. ANSPDCP a aplicat, în ultimii ani, mai multe amenzi companiilor care au trimis SMS-uri comerciale fără consimțământ, cu valori care au ajuns și la câteva zeci de mii de euro, potrivit comunicatelor de presă publicate de instituție.

Practic, regula de bază e simplă: ai nevoie de consimțământul prealabil al destinatarului, cu excepția situației specifice de „soft opt-in" pentru clienți existenți, detaliată mai jos.

Ce înseamnă consimțământ valid pentru SMS marketing

Nu orice formă de „acord" contează ca și consimțământ valid din perspectiva GDPR. Pentru ca un consimțământ să fie valabil, trebuie să fie:

• Explicit — persoana trebuie să facă o acțiune clară de confirmare (bifarea unei căsuțe nepre-bifate, completarea unui formular, un „da" activ), nu o presupunere dedusă din tăcere sau din faptul că nu s-a opus.
• Informat — persoana trebuie să știe, la momentul acordului, cine trimite mesajele, ce fel de conținut va primi (oferte, notificări, ambele) și cu ce frecvență aproximativă.
• Specific — consimțământul pentru SMS marketing nu se subînțelege dintr-un consimțământ dat pentru altceva (de exemplu, crearea unui cont sau acceptarea termenilor și condițiilor generale).
• Liber exprimat — nu poate fi condiție obligatorie pentru a beneficia de un serviciu care, prin natura lui, nu are legătură cu marketingul.
• Revocabil oricând, la fel de simplu cum a fost dat.

O căsuță pre-bifată „accept să primesc SMS-uri promoționale" nu constituie consimțământ valid — persoana trebuie să bifeze activ, nu doar să nu debifeze.

Cum documentezi consimțământul

Consimțământul trebuie să fie dovedibil — în caz de control sau plângere, responsabilitatea de a demonstra că ai avut acord cade pe operatorul care trimite mesajele, nu pe destinatar să demonstreze că nu l-a dat. Practic, asta înseamnă să păstrezi, pentru fiecare număr de telefon din baza ta:

1. Momentul exact (dată și oră) la care a fost dat consimțământul.
2. Canalul prin care a fost obținut (formular pe site, checkout, aplicație, formular fizic în magazin).
3. Textul exact afișat persoanei în momentul acordului — dacă modifici formularea de-a lungul timpului, păstrează versiunile istorice.
4. Dovada acțiunii active — de exemplu, log-ul de submit al formularului, nu doar o presupunere.

Recomandare practică: dacă folosești un formular online pentru colectarea numerelor de telefon, integrează un câmp separat, cu bifă neobligatorie și nepre-bifată, dedicat exclusiv consimțământului pentru SMS marketing — separat de consimțământul pentru alte canale (email, telefon).

Regula „soft opt-in" pentru clienți existenți

Legea 506/2004 prevede o excepție de la regula consimțământului explicit prealabil, cunoscută informal ca soft opt-in: dacă ai obținut datele de contact ale unui client direct cu ocazia unei vânzări (produs sau serviciu), poți folosi acele date pentru a-i trimite comunicări comerciale despre produse sau servicii similare, fără să fi cerut separat consimțământ explicit — cu condiția să-i fi oferit, clar și expres, posibilitatea de a se opune acestei utilizări, atât la momentul colectării datelor, cât și cu ocazia fiecărui mesaj trimis ulterior.

Trei condiții trebuie îndeplinite simultan pentru ca excepția să se aplice:

• Datele au fost obținute direct, cu ocazia unei vânzări reale (nu dintr-o listă terță sau dintr-un formular de „newsletter" generic).
• Comunicările privesc produse sau servicii similare celor cumpărate inițial.
• Clientul a avut, de la început, o opțiune simplă și gratuită de a refuza, plus posibilitatea de a se opune la fiecare mesaj ulterior.

Soft opt-in-ul e util, dar limitat — nu acoperă achiziția de liste, nu acoperă produse fără legătură cu achiziția inițială și nu elimină obligația de a oferi opt-out la fiecare mesaj. Pentru orice situație la limită, decizia sigură e să ceri consimțământ explicit separat, nu să te bazezi pe interpretarea extensivă a excepției.

Mecanismul de dezabonare — cum îl implementezi fără SMS bidirecțional

Orice comunicare comercială trebuie să ofere destinatarului o modalitate simplă și gratuită de a se dezabona. Complicația specifică pentru multe platforme de SMS marketing B2B, inclusiv BlueText, e că trimiterea e unidirecțională — destinatarul nu poate răspunde direct la SMS, pentru că platforma nu procesează răspunsuri primite. Soluții practice pentru un canal one-way:

• Link de dezabonare în mesaj — un link scurt către o pagină dedicată unde destinatarul confirmă dezabonarea (ideal, un link unic per destinatar). E soluția cea mai directă și cea mai ușor de auditat.
• Canal alternativ de contact — o adresă de email sau un număr de telefon cu operator uman, unde destinatarul poate solicita oprirea comunicărilor.
• Actualizare a preferințelor din contul de client, dacă destinatarul are deja un cont pe platforma ta — o secțiune clară de „preferințe de comunicare" unde poate opri SMS-urile.

Indiferent de metodă, cererea de opt-out trebuie aplicată efectiv și rapid, nu doar înregistrată — destinatarul nu ar trebui să mai primească mesaje comerciale după ce s-a dezabonat printr-un canal valid.

Cât timp păstrezi datele

GDPR cere ca datele personale să fie păstrate doar atât cât e necesar pentru scopul colectării — principiul limitării stocării. Pentru SMS marketing, asta se traduce în câteva decizii pe care operatorul trebuie să le ia și să le documenteze:

• Stabilește o perioadă de retenție pentru numerele de telefon colectate pentru marketing (de exemplu, legată de perioada de inactivitate a clientului) și documenteaz-o în politica de confidențialitate.
• Șterge sau anonimizează numerele persoanelor care s-au dezabonat, cu excepția păstrării unei evidențe minime necesare să dovedești că dezabonarea a fost respectată (ca să nu retrimiți din greșeală).
• Revizuiește periodic baza de date pentru numere invalide sau inactive de mult timp — pe lângă conformitate, reduce și costul campaniilor trimise către contacte moarte.

Perioada exactă de retenție potrivită depinde de tipul de business și de baza legală folosită — pentru o decizie fermă, merită discutată cu un specialist în protecția datelor, mai ales dacă operezi la volum mare.

Ce se întâmplă cu listele cumpărate

Listele de numere de telefon cumpărate sau colectate din surse terțe (scraping, liste „de piață", baze de date agregate) nu pot fi folosite legal pentru SMS marketing, pentru că, în marea majoritate a cazurilor, nu poți dovedi consimțământul explicit al fiecărei persoane pentru comunicări din partea ta specific. Nici soft opt-in-ul nu se aplică — condiția lui e ca datele să fi fost obținute direct, cu ocazia unei vânzări proprii, nu preluate de la un terț.

Riscurile practice: rată mare de plângeri către ANSPDCP, pentru că destinatarii nu recunosc brandul; rată de conversie slabă, pentru că o listă fără relație reală cu brandul performează sub una construită organic; și risc de sancțiune directă, documentat prin deciziile publice ale ANSPDCP din ultimii ani pentru cazuri similare.

Construirea organică a listei — prin formulare proprii, checkout, înscrieri explicite — costă mai mult timp, dar e singura variantă care ține și din perspectivă legală, și din perspectiva ratei de răspuns.

Întrebări frecvente

Am nevoie de consimțământ explicit pentru fiecare SMS marketing trimis?

Da, ca regulă generală — cu excepția situației de soft opt-in pentru clienți existenți, aplicabilă doar când datele au fost obținute direct cu ocazia unei vânzări, comunicările privesc produse similare, iar clientul a avut mereu opțiunea de a refuza. În orice altă situație, ai nevoie de consimțământ explicit prealabil.

Ce autoritate sancționează SMS marketingul fără consimțământ în România?

ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal) supraveghează respectarea Legii 506/2004 privind comunicările electronice nesolicitate și a aplicat, în ultimii ani, amenzi companiilor care au trimis SMS-uri comerciale fără acordul destinatarului.

Cum implementez dezabonarea dacă platforma mea de SMS nu primește răspunsuri?

Cea mai practică soluție e un link de dezabonare inclus în mesaj, care duce către o pagină unde destinatarul confirmă oprirea comunicărilor, sau un canal alternativ (email, telefon cu operator) menționat explicit în mesaj. Important e ca cererea de dezabonare să fie procesată efectiv, nu doar oferită formal.

Pot folosi o listă de numere de telefon cumpărată de la un furnizor de date?

Nu, în general. Fără consimțământul explicit, dovedibil, al fiecărei persoane de pe listă pentru comunicări din partea ta, trimiterea de SMS marketing către o listă cumpărată încalcă atât GDPR, cât și Legea 506/2004, și expune la risc real de sancțiune.

Cât timp trebuie să păstrez dovada consimțământului?

Nu există un termen fix universal în lege — perioada corectă depinde de scopul prelucrării și trebuie documentată în politica proprie de retenție a datelor. Recomandarea practică e să păstrezi dovada consimțământului cel puțin cât ține relația comercială activă, plus o perioadă rezonabilă după aceea, stabilită cu sprijinul unui specialist în protecția datelor.

Dacă ai nevoie de un canal de SMS marketing configurat corect din start — cu link de dezabonare inclus în fiecare campanie și facturare transparentă la consumul real — echipa BlueText poate ajuta la partea tehnică de implementare.