Articole

Newsletter (direct marketing) și cookie-uri după cauza Inteligo Media: ce a decis de fapt Curtea de Justiție a UE

Newsletter (marketing) și cookie-uri după cauza Inteligo Media: ce a decis de fapt Curtea de Justiție a UE

Dacă site-ul dumneavoastră trimite clienților e-mailuri cu noutăți, promoții sau articole utile, acest articol explică când puteți face acest lucru și când trebuie să cereți mai întâi permisiunea.

Pe scurt, trei idei:

1. Orice newsletter care duce la vânzări este considerat publicitate, chiar dacă conține doar noutăți utile, fără reduceri.
2. Puteți scrie celor care și-au dat consimțământul bifând singuri căsuța sau propriilor clienți, dacă la colectarea adresei li s-a oferit imediat posibilitatea de a refuza și fiecare e-mail conține un link de dezabonare.
3. Și înregistrarea gratuită pe site poate face dintr-o persoană un „client”, dacă accesul gratuit conduce spre cel plătit. Este o veste bună pentru serviciile cu tarife gratuite și plătite.

Multe companii scriu încă în politica de confidențialitate că trimit newslettere, selecții de produse și promoții în baza „interesului legitim”. Pentru marketingul prin e-mail în UE, acesta este un temei fragil și a fost dintotdeauna. Aici se aplică o normă specială, articolul 13 din Directiva ePrivacy (2002/58/CE). Ea lasă două variante: consimțământul prealabil sau așa-numitul soft opt-in pentru clienți.

La 13 noiembrie 2025, Curtea de Justiție a UE, în cauza Inteligo Media (C-654/23), a analizat cum funcționează aceste reguli în practică. Pentru mediul de afaceri, concluzia a fost mai blândă decât se aștepta.

Ce s-a întâmplat cu avocatnet.ro

Portalul juridic românesc avocatnet.ro funcționa pe modelul freemium. Fără înregistrare se puteau citi șase articole pe lună. Înregistrarea gratuită oferea încă două articole și un newsletter zilnic cu noutăți legislative și linkuri către site. Utilizatorul putea refuza newsletterul bifând o căsuță la înregistrare, dar implicit îl primeau toți.

Autoritatea națională de supraveghere (ANSPDCP) a amendat compania. Potrivit logicii sale, adresele au fost colectate pentru executarea contractului privind contul gratuit, dar au fost folosite pentru marketing fără consimțământ. Curtea de Apel București a adresat întrebări preliminare Curții de Justiție a UE.

Ce a decis Curtea

În primul rând, și un rezumat de știri util este considerat marketing. E-mailurile nu conțineau reduceri sau bannere, doar noutăți legislative. Însă newsletterul îl ducea pe cititor pe site și îl îndemna spre abonamentul plătit, de aceea Curtea l-a calificat drept marketing direct. Argumentul „noi doar informăm” nu a funcționat.

În al doilea rând, și acesta este cel mai important lucru pentru afaceri, înregistrarea gratuită poate fi considerată „vânzare a unui serviciu”. Dacă contul gratuit face parte dintr-un model care conduce spre abonamentul plătit, adresa a fost obținută în contextul unei vânzări. Prin urmare, acestor utilizatori li se poate aplica soft opt-in.

În al treilea rând, dacă sunt respectate condițiile soft opt-in, nu este necesar un temei separat în baza articolului 6 din GDPR. Invocarea „interesului legitim” nu își are rostul aici, este suficient articolul 13 alineatul (2) din Directivă.

Decizia finală privind amenda aparține instanței române, care trebuie să verifice dacă toate condițiile sunt îndeplinite. Totodată, Curtea a reamintit că excepția se interpretează restrictiv și nu se potrivește oricărui serviciu gratuit.

În ce temeiuri se pot trimite newslettere

Consimțământul. Este necesar pentru toți cei care nu sunt clienții dumneavoastră: abonații blogului, cei care au descărcat un ghid, vizitatorii ocazionali ai site-ului. Persoana bifează singură o căsuță goală. Consimțământul pentru newsletter nu poate fi combinat cu acceptarea termenilor de utilizare.

Soft opt-in. Puteți scrie fără consimțământ prealabil dacă sunt îndeplinite trei condiții. Adresa a fost obținută la vânzarea unui produs sau serviciu (după cauza Inteligo, aici poate intra și înregistrarea gratuită într-un model plătit). Promovați propriile produse sau servicii similare. Persoanei i s-a oferit o modalitate simplă și gratuită de a refuza la colectarea adresei, iar aceeași posibilitate există în fiecare e-mail.

Confirmările de comandă, bonurile fiscale, e-mailurile de resetare a parolei și notificările privind livrarea nu sunt marketing, cu condiția să nu includeți publicitate în ele.

Cookie-urile: reguli separate

Cauza Inteligo nu a vizat cookie-urile. Pentru acestea se aplică articolul 5 alineatul (3) din Directiva ePrivacy, iar Curtea de Justiție a UE a stabilit încă din 2019, în cauza Planet49 (C-673/17), că o căsuță bifată în prealabil nu constituie consimțământ.

Cookie-urile strict necesare (autentificare, coș de cumpărături, securitate) funcționează fără consimțământ. Google Analytics, Yandex Metrica, Meta Pixel și scripturile similare nu trebuie să se încarce până când utilizatorul nu apasă „Sunt de acord” pe bannerul de cookie-uri.

Ce să verificați pe site-ul dumneavoastră

1. Politica de confidențialitate și politica de cookie-uri. Temeiul pentru newslettere trebuie să fie consimțământul sau soft opt-in, nu „interesul legitim”.
2. Formularele de înregistrare și de comandă. Nu trebuie să existe căsuțe bifate în prealabil pentru newsletter.
3. Căsuțele de bifare. „Accept termenii” și „doresc să primesc newsletterul” trebuie să fie căsuțe separate.
4. Posibilitatea de a refuza la colectarea adresei, dacă vă bazați pe soft opt-in. Fără ea, excepția nu funcționează și nu poate fi corectată retroactiv.
5. Dezabonarea. Trebuie să funcționeze dintr-un singur clic, fără autentificare în cont și fără introducerea parolei.
6. Registrul consimțămintelor. Înregistrați când, prin ce formular și cu ce text și-a dat persoana consimțământul. Double opt-in este util ca probă.

Întrebări frecvente

Pot trimite mementouri despre coșul abandonat?
Un astfel de e-mail este considerat marketing. Dacă adresa a fost lăsată la plasarea comenzii și tot atunci i s-a oferit persoanei posibilitatea de a refuza newsletterele, se poate încerca aplicarea soft opt-in. Totuși, întrebarea dacă o comandă nefinalizată este considerată „vânzare” nu are un răspuns clar. În celelalte cazuri este necesar consimțământul.

Se aplică aceste reguli în B2B?
Articolul 13 din Directiva ePrivacy protejează în primul rând persoanele fizice. Pentru persoanele juridice, regulile sunt stabilite de fiecare stat, iar abordările diferă. Totodată, o adresă de tipul nume@companie.com rămâne dată cu caracter personal în sensul GDPR, de aceea este mai sigur să i se aplice aceleași reguli ca unei adrese personale.

Este obligatoriu double opt-in?
Nu. Dar este cea mai simplă modalitate de a dovedi că acordul a fost dat chiar de titularul adresei.

Concluzie

Politica de confidențialitate, formularele, bannerul de cookie-uri și setările scripturilor trebuie să funcționeze în mod coerent. Dacă un element nu se potrivește cu celelalte, autoritatea de supraveghere va avea de ce să se agațe. Biroul nostru efectuează audituri ale site-urilor și newsletterelor privind conformitatea cu cerințele ePrivacy și GDPR.