GDPR și email marketing în România: ce ai voie să trimiți și ce dovezi păstrezi

Ca să trimiți legal un email comercial în România nu e suficient să ai un temei din GDPR. Îți trebuie două lucruri în același timp: un temei de prelucrare a datelor și dreptul de a folosi canalul. Primul vine din Regulamentul (UE) 2016/679. Al doilea vine din Legea nr. 506/2004, care cere, la articolul 12 alineatul (1), consimțământul prealabil expres al destinatarului pentru comunicări comerciale prin poștă electronică.

Aici se rupe majoritatea materialelor pe subiect. Ele citează corect articolul 6 din GDPR, ajung la interesul legitim, și trag concluzia că poți trimite oferte fără acord. Concluzia e greșită pentru canalul email, pentru că răspunde doar la prima jumătate a întrebării. Cine citește numai regulamentul ajunge la un răspuns fals, cu o sursă corectă.

Articolul de față face trei lucruri, în ordinea asta: pune pe masă cele două straturi, dă pentru fiecare tip de email temeiul și dovada care trebuie păstrată, și arată exact unde se termină ce poate spune un practician de marketing și începe ce trebuie să spună un jurist. Nu ocolește ultima parte: unde un text oficial dă răspunsul, îl citez cu articol și dată; unde nu dă, scriu ce anume lipsește. Ultima secțiune e bilanțul celor două.

Notă: material informativ, nu consultanță juridică. Textele citate au fost deschise și verificate pe 29 iulie 2026, în versiunile precizate lângă fiecare. Două întrebări din articol nu au putut fi închise din sursele oficiale accesibile la acea dată; sunt marcate ca atare în ultima secțiune, cu motivul fiecăreia.

Cele două straturi de reguli care se aplică simultan

Emailul comercial e reglementat de două acte diferite, cu întrebări diferite, iar conformitatea înseamnă să treci de amândouă.

Cele două nu se substituie: un temei RGPD impecabil nu îți dă dreptul de a scrie pe email dacă nu ai și consimțământul cerut de legea specială. Interpretarea practică e că, pe canalul email, legea specială stabilește poarta, iar regulamentul stabilește ce faci după ce ai trecut de ea.

Confuzia din piață are o sursă precisă și merită citată, pentru că e reală: considerentul (47) din RGPD spune că „prelucrarea de date cu caracter personal care are drept scop marketingul direct poate fi considerată ca fiind desfășurată pentru un interes legitim”. Propoziția e adevărată și e chiar în regulament. Doar că e un considerent, nu un articol, se referă la temeiul de prelucrare, și nu spune nimic despre canalul prin care ajungi la om. Legea 506/2004, la art. 12 alin. (1), spune despre canal:

„Este interzisă efectuarea de comunicări comerciale prin utilizarea unor sisteme automate de apelare şi comunicare care nu necesită intervenţia unui operator uman, prin fax ori prin poştă electronică sau prin orice altă metodă care foloseşte serviciile de comunicaţii electronice destinate publicului, cu excepţia cazului în care abonatul sau utilizatorul vizat şi-a exprimat în prealabil consimţământul expres pentru a primi asemenea comunicări.” — Legea nr. 506/2004, art. 12 alin. (1), din consolidarea neoficială publicată de autoritatea de supraveghere, document datat 9 august 2019, consultat 29 iulie 2026

Regula nu e o particularitate românească inventată local: transpune articolul 13 din Directiva 2002/58/CE, în versiunea consolidată la 19 decembrie 2009, care cere și el consimțământ prealabil pentru poșta electronică folosită în marketing direct. Ce e specific României vine mai jos, la excepția pentru clienți existenți și la adresele de firmă.

Ce bază legală ai pentru fiecare tip de email

Nu toate emailurile pe care le trimiți sunt comunicări comerciale, iar tratarea lor la fel e cea mai scumpă simplificare posibilă: fie blochezi mesaje pe care ai dreptul să le trimiți, fie trimiți mesaje pe care nu ai dreptul.

Tabelul se citește pe rânduri, nu pe coloane: fiecare tip de email are propriul lui răspuns, iar rândul al treilea și al cincilea sunt cele care produc cele mai multe greșeli de bună-credință. Ce nu găsești în tabel e o coloană „interes legitim, merge oricum” — pentru canalul email, ea nu există în forma pe care o speră majoritatea celor care întreabă.

Un detaliu care schimbă practica zilnică: un email tranzacțional care conține și o ofertă încetează să mai fie doar tranzacțional. Confirmarea de comandă cu un banner „încă 20% la a doua comandă” e, pe partea aceea, o comunicare comercială, cu tot ce implică. Separarea celor două tipuri de mesaje nu e o preferință de design, e o consecință a regulii de canal.

Cum arată un consimțământ valid și ce rămâne din el ca dovadă

Regulamentul răstoarnă sarcina probei, iar propoziția care o face are un singur rând:

„În cazul în care prelucrarea se bazează pe consimțământ, operatorul trebuie să fie în măsură să demonstreze că persoana vizată și-a dat consimțământul pentru prelucrarea datelor sale cu caracter personal.” — RGPD, art. 7 alin. (1), versiunea consolidată în română, consultată 29 iulie 2026

Deci întrebarea utilă nu e „am consimțământ?”, ci „ce anume pot pune pe masă ca să demonstrez că am?”. Iar răspunsul e o listă de câmpuri, nu o bifă. Ce trebuie să poți scoate din sistem, pentru fiecare abonat în parte:

1. Momentul — data și ora la care a fost dat consimțământul.
2. Sursa — formularul, pagina, campania sau punctul de vânzare de unde a venit.
3. Textul văzut atunci — formularea exactă a casetei, în versiunea de la acea dată, nu cea de azi.
4. Ce anume a acceptat — separat pe scopuri și pe canale, dacă ai colectat mai multe.
5. Confirmarea, dacă folosești dublă confirmare — momentul în care a apăsat linkul din emailul de verificare.
6. Marcajul tehnic reținut de platformă la abonare, în forma în care îl exportă ea.
7. Istoricul de ieșire — dacă și când s-a dezabonat sau s-a opus, și ce s-a întâmplat după.

Platformele de email marketing rețin de regulă aceste câmpuri, dar le rețin per canal și per scop, iar exportul lor nu e același lucru cu ecranul din interfață. Când abonarea vine prin API, dintr-un magazin sau dintr-un CRM, câmpul care spune de unde a venit persoana se completează de integrator, nu automat — și e exact câmpul care lipsește cel mai des la o verificare. Merită văzut, înainte de a alege, ce reține fiecare platformă și în ce format o exportă. Aceleași câmpuri — cine, când și pe ce bază — sunt și fundația unei măsurători corecte, motiv pentru care consimțământul stă la baza raportării, nu doar a conformității.

Regulamentul spune și cum trebuie să arate cererea de consimțământ, iar cele trei cerințe se traduc direct în elemente de formular:

Ce nu apare în niciunul dintre textele de mai sus e dubla confirmare. Ea rămâne cea mai ieftină metodă de a produce o dovadă solidă și de a curăța adresele greșite, dar e o decizie de proces, nu o obligație legală — iar diferența merită păstrată în minte, mai ales când cineva îți vinde una ca pe cealaltă.

Întrebarea care vine imediat după „ce păstrez” este „cât timp”. Regulamentul nu dă un termen: art. 13 alin. (2) lit. (a) cere doar să comunici perioada de stocare sau criteriile după care o stabilești. Criteriul propriu-zis există însă, formulat de Comitetul European pentru Protecția Datelor:

„Atât timp cât se desfășoară activitatea de prelucrare a datelor în cauză, există obligația de a demonstra consimțământul. După încheierea activității de prelucrare, dovada consimțământului nu ar trebui să fie păstrată mai mult decât este strict necesar pentru respectarea unei obligații legale sau pentru constatarea, exercitarea sau apărarea unui drept în instanță.” — Orientările 05/2020 privind consimțământul, versiunea 1.1, adoptate la 4 mai 2020, punctul 107

Orientările nu sunt normă obligatorie, iar punctul 110 al aceluiași document spune direct că „nu există o limită temporală exactă în RGPD referitoare la durata de valabilitate a consimțământului”. Termenul rămâne așadar decizia ta, dar are două repere pe care le poți scrie într-o procedură și susține la o verificare:

• cât ține prelucrarea — dovada se păstrează pe toată perioada în care trimiți mesaje pe baza acelui consimțământ, fără excepție și fără arhivare separată;
• cât mai poate fi cerută după — sancțiunile pe care autoritatea le aplică în temeiul regulamentului pot fi aplicate în termen de 3 ani de la data faptei, iar întreruperea acestui termen nu poate depăși 4 ani de la aceeași dată, potrivit art. 15 alin. (4) și (5) din Legea nr. 102/2005, republicată.

Niciunul dintre cele două repere nu e un termen de păstrare impus de lege; sunt intervalul în care dovada îți poate fi cerută. Un termen ales pe baza lor și scris în informarea pe care o dai la colectare e apărabil. Unul ales din obișnuință nu are ce să susțină, în nicio direcție.

Clientul existent și adresa de firmă: excepția și marginile ei

Aici e întrebarea pe care o pune toată lumea: pot scrie clienților vechi fără să le cer din nou acordul? Răspunsul e da, dar numai dacă se îndeplinesc toate condițiile de la art. 12 alin. (2), și sunt trei, nu una:

• adresa a fost obținută direct de la client, cu ocazia vânzării către el a unui produs sau serviciu — nu dintr-o listă, nu de la un partener, nu de pe site-ul lui;
• mesajul e despre produse sau servicii similare cu ce a cumpărat, comercializate de aceeași persoană fizică sau juridică;
• posibilitatea de a se opune e oferită clar și expres, printr-un mijloc simplu și gratuit, atât la momentul obținerii adresei, cât și cu ocazia fiecărui mesaj.

Condiția a treia e cea care cade cel mai des, și nu la primul mesaj, ci la colectare: adresa se obține la vânzare fără ca nimeni să ofere atunci opțiunea de a refuza comunicările comerciale. Autoritatea a sancționat exact acest tipar, iar cazul e detaliat mai jos, în secțiunea despre risc.

Textul alineatului (2) mai conține o condiție care îi arată vechimea: adresa trebuie obținută „în conformitate cu prevederile Legii nr. 677/2001”, adică o lege abrogată din 25 mai 2018. Trimiterea nu a rămas suspendată, cum s-ar putea crede citind doar legea specială — actul care a abrogat-o rezolvă chestiunea expres:

„Toate trimiterile la Legea nr. 677/2001, cu modificările şi completările ulterioare, din actele normative se interpretează ca trimiteri la Regulamentul general privind protecţia datelor şi la legislaţia de punere în aplicare a acestuia.” — Legea nr. 129/2018, art. V alin. (2), publicată în Monitorul Oficial al României, Partea I, nr. 503 din 19 iunie 2018

Condiția se citește deci așa: adresa trebuie să fi fost obținută cu respectarea RGPD și a Legii nr. 190/2018, care e legislația română de punere în aplicare a lui. Nu e o interpretare de-a mea, e ce prevede norma de trimitere.

Ce intră și ce nu intră sub excepție, pe cazuri concrete:

Folosește tabelul ca test înainte de a segmenta o campanie, nu după: dacă un rând din listă nu se încadrează curat în primul caz, mesajul are nevoie de consimțământ separat, nu de o justificare scrisă ulterior.

Textul legii spune și cine e acoperit de regulă, iar formularea românească e mai strictă decât ce găsești în materialele în engleză:

„Prevederile alin. (1) şi (3) se aplică în mod corespunzător şi abonaţilor persoane juridice.” — Legea nr. 506/2004, art. 12 alin. (4)

Practic: o adresă de tip office@firma.ro nu e o zonă liberă. Interdicția din alineatul (1) — deci cerința de consimțământ prealabil expres — se aplică și ei. Directiva europeană cerea statelor membre doar să protejeze „interesele legitime” ale persoanelor juridice; România a transpus mai strict, iar asta contrazice frontal presupunerea că „la B2B se poate”.

Mai departe de atât nu merg, și spun de ce: alineatul (4) enumeră alineatele (1) și (3). Nu enumeră alineatul (2), cel care conține excepția pentru clienți existenți. Aceeași enumerare apare și în directiva pe care legea o transpune, dar acolo are rolul invers — limitează, nu extinde:

„Alineatele (1) și (3) se aplică abonaților persoane fizice. Statele membre se asigură, de asemenea, că în cadrul legislației comunitare și a legislației naționale aplicabile interesele legitime ale abonaților alții decât persoane fizice în privința comunicărilor nesolicitate sunt suficient de protejate.” — Directiva 2002/58/CE, art. 13 alin. (5), versiunea consolidată la 19 decembrie 2009

Numerotarea celor două texte nu se suprapune, iar diferența se vede cel mai bine în paralel:

Ce urmează din asta pentru un email trimis către adresa de firmă a unui client care a cumpărat deja de la tine nu se poate stabili din niciunul dintre cele două texte, iar o normă expresă sau o decizie publicată a autorității pe acest alineat nu am identificat la 29 iulie 2026. Rămâne o întrebare deschisă, marcată ca atare în ultima secțiune, și nu formulez nicio concluzie pe ea.

Drepturile abonatului și termenele care se ratează cel mai des

Partea de intrare în listă primește toată atenția. Partea de ieșire produce sancțiunile.

Ce se citește din tabel: nu ai nevoie de un motiv ca să oprești marketingul către cineva, dar ai nevoie de o procedură care să oprească efectiv, în tot ecosistemul, nu doar în platforma de newsletter. Un contact scos din lista de email, dar rămas activ în automatizarea din CRM, e o opoziție nerespectată.

Cât de scump e termenul se vede într-o sancțiune publicată de autoritate pe 1 iulie 2026: un operator a soluționat cererea de ștergere a unei persoane în aproximativ 12 luni, fără să îi transmită un răspuns final și fără să justifice depășirea termenului; la alte persoane vizate, soluționarea a durat până la 37 de luni. Amenda a fost de 57.839 de lei, echivalentul a 11.000 de euro. Nu e o sancțiune despre marketing, e una despre ce se întâmplă după ce cineva cere să iasă — și tocmai de aceea e relevantă pentru oricine administrează o listă.

Un strat suplimentar, care nu e juridic dar are efect imediat: furnizorii de inbox impun propriile reguli. Pentru expeditorii care trimit peste 5.000 de mesaje pe zi către conturi Gmail, Google cere, de la 1 februarie 2024:

• dezabonare într-un singur clic, implementată prin anteturile List-Unsubscribe și List-Unsubscribe-Post;
• un link de dezabonare clar vizibil în corpul mesajului, pe lângă antet;
• menținerea ratei de spam raportate în Postmaster Tools sub 0,30%.

Cerința tehnică ajunge, în practică, în același loc cu art. 7 alin. (3): ieșirea trebuie să fie la fel de ușoară ca intrarea. Diferența e că, aici, sancțiunea nu vine de la o autoritate, ci de la filtrul care decide dacă mesajele tale mai ajung în inbox.

Listele vechi, importate sau moștenite de la altcineva

Cazul cel mai frecvent în firmele care au trecut prin mai multe site-uri, mai mulți furnizori și mai multe platforme: există o listă, nimeni nu știe de unde a venit fiecare adresă, și toată lumea speră că e în regulă.

Testul e simplu și nu are legătură cu vechimea listei: pentru fiecare adresă, poți arăta când, de unde și pe baza cărui text a intrat în listă? Dacă răspunsul e nu, atunci consimțământul nu e invalid — e nedemonstrabil, ceea ce, în raport cu art. 7 alin. (1), duce în același loc. Iată ce se poate face, în ordinea în care se face:

1. Separă ce e demonstrabil de ce nu. Adresele venite din formularul actual, cu marcaj de timp și sursă, rămân. Restul intră într-un segment separat, fără să fie șterse încă.
2. Reconstituie ce se mai poate reconstitui. Exporturi vechi din platforma anterioară, loguri ale formularului, ordine de comandă din magazin. Dacă găsești proba, adresa se întoarce în lista principală, cu proba atașată.
3. Trimite o singură campanie de re-confirmare către segmentul rămas, cu un mesaj care explică de ce scrii și ce se întâmplă dacă nu răspunde. Cine confirmă intră cu dovadă nouă, datată azi.
4. Renunță la restul. O listă mai mică, dar demonstrabilă, valorează mai mult decât una mare pe care nu o poți apăra — și, în plus, rata de spam scade, ceea ce îți repară livrabilitatea pe termen lung.

Pasul 3 are o limită pe care trebuie să o știi înainte: campania de re-confirmare e ea însăși un mesaj trimis către o adresă pentru care nu poți dovedi consimțământul. Pe stratul de prelucrare, reînnoirea nu e o invenție de marketing, ci exact acțiunea descrisă de Comitetul European pentru Protecția Datelor. Orientările 05/2020 spun, la punctul 167, că acele consimțăminte „despre care nu se păstrează referințe” sunt automat sub standardul regulamentului „și vor trebui reînnoite”, iar la punctul 170 că, dacă operatorul nu poate reînnoi în mod conform și nu are alt temei, „activitățile de prelucrare trebuie încetate”.

Pe stratul de canal, întrebarea rămâne deschisă, dar are cel puțin un test precis. Legea 506/2004 nu definește ea însăși comunicarea comercială: art. 2 alin. (2) preia definiția din Legea nr. 365/2002 privind comerțul electronic, art. 1 pct. 8 — „orice formă de comunicare destinată să promoveze, direct sau indirect, produsele, serviciile, imaginea, numele ori denumirea, firma sau emblema unui comerciant ori membru al unei profesii reglementate”. Un mesaj care cere doar un răspuns și nu promovează nimic se raportează altfel la definiția asta decât unul care poartă și o ofertă. Care e răspunsul pentru un mesaj concret nu se poate stabili din textele de mai sus, iar autoritatea nu a publicat, dintre comunicatele pe care le-am verificat la 29 iulie 2026, o poziție dedicată acestui caz. Concluzia practică e simplă: scrie mesajul de re-confirmare curat, fără ofertă în el, și pune-l pe la un jurist înainte dacă segmentul e mare.

Contactele strânse de vânzări intră în aceeași logică, indiferent cât de legitim a fost contactul inițial. O carte de vizită primită la un târg dovedește o întâlnire, nu un acord pentru comunicări comerciale — și cu atât mai puțin unul „exprimat în prealabil”, cum cere textul. Dacă lista ta e activul pe care se sprijină vânzarea, merită tratată ca activ: o listă construită corect e ce rămâne când oprești reclamele, iar una fără dovezi e o datorie care se vede abia la primul control.

Cât riscă efectiv o firmă din România, cu cifrele din lege

Nerespectarea articolului 12 e contravenție distinctă, prevăzută la art. 13 alin. (1) litera q) din aceeași lege. Cuantumul e la alineatul (2) al aceluiași articol:

Pragul de cifră de afaceri e cel care schimbă ordinul de mărime, iar el se citește o singură dată: sub prag, riscul e o sumă fixă, cunoscută dinainte; peste prag, e un procent din venituri.

Merită subliniat un detaliu care se pierde în articolele care citează intervalul din auzite: același interval apare în comunicatele autorității și în legătură cu litera i), care privește cu totul altceva — stocarea de informații în echipamentul terminal, adică modulele cookie. Sunt două contravenții diferite, cu temeiuri diferite, care se sancționează în aceeași bandă. Cealaltă față a aceleiași legi, cu tabelul de sancțiuni pe cookie-uri, e tratată separat în ce cere Legea 506/2004 la consimțământul pentru cookie-uri.

Cum arată asta aplicat, într-un dosar real: pe 8 ianuarie 2026, autoritatea a publicat rezultatul unei investigații finalizate în 2025 la un operator din România, cu două sancțiuni în același dosar.

Trei lucruri se citesc din tabel, în ordinea utilității:

1. Amenda pe legea specială e exact minimul legal prevăzut la art. 13 alin. (2). Sancțiunea e reală, dar nu catastrofală la prima abatere — ceea ce e util de știut înainte de a lua o decizie din frică.
2. Cele două temeiuri se cumulează în același dosar, pentru că sunt două straturi diferite, exact cum arată prima secțiune a acestui articol. O firmă care rezolvă doar unul dintre ele rămâne expusă pe celălalt.
3. Operatorul a fost sancționat inclusiv pentru că nu a prezentat dovezi — nu pentru că s-a demonstrat că nu are consimțământ, ci pentru că nu a putut demonstra că are. E exact diferența pe care o descrie art. 7 alin. (1), aplicată într-un dosar real.

Pe lângă amendă, autoritatea a dispus măsuri corective: să răspundă cererilor de ștergere și opoziție și să asigure conformitatea prin revizuirea bazei de date, a aplicațiilor informatice și prin instruirea personalului. Costul real al unui asemenea dosar nu e amenda, ci munca de reconstrucție care vine după ea, plus faptul că numele operatorului rămâne într-un comunicat public.

O precizare de onestitate: dintre comunicatele publicate pe care le-am deschis la 29 iulie 2026, doar cel de mai sus privește comunicări comerciale prin poșta electronică. Celelalte, publicate sub titluri aproape identice, privesc modulele cookie sau securitatea prelucrării. Nu pot spune că e singura sancțiune existentă pe email; pot spune că e singura pe care am găsit-o publicată și am citit-o integral.

Unde se oprește redactorul și începe juristul

Un articol de marketing care pretinde că închide toate întrebările juridice ale unui subiect ca acesta e mai periculos decât unul care nu spune nimic. Ce urmează e bilanțul, în două părți: întrebările la care un text oficial răspunde direct și cele la care, la 29 iulie 2026, nu am găsit niciun răspuns oficial.

Trei dintre ele au răspuns, iar sursa e citată integral mai sus, în secțiunea căreia îi aparține:

Două rămân deschise. Nu le las nemarcate și spun la fiecare ce anume lipsește ca să poată fi închisă:

1. Forma exactă în vigoare a Legii 506/2004. Textul folosit aici e consolidarea publicată de autoritatea de supraveghere, un document datat 9 august 2019; ANCOM publică propria consolidare a aceleiași legi și o descrie ea însăși ca text neoficial, actualizat la 17 octombrie 2015. Registrul legislativ oficial nu a fost accesibil la data verificării, deci nu pot confirma că între timp nu s-a modificat nimic. Ce se poate spune cu certitudine e că autoritatea aplica art. 12 alin. (1) și (2) într-o sancțiune publicată pe 8 ianuarie 2026, deci articolul era în vigoare cu acest conținut la acea dată.
2. Dacă excepția pentru clienți existenți acoperă și adresele de firmă. Art. 12 alin. (4) extinde la persoane juridice alineatele (1) și (3); alineatul (2) nu e enumerat, iar directiva transpusă folosește aceeași enumerare cu efect invers și cu altă numerotare internă. Lipsește o normă expresă sau o decizie publicată a autorității pe acest alineat — nu am identificat niciuna.

Rămâne și punctul de proces din secțiunea despre liste vechi: statutul campaniei de re-confirmare. Pe stratul de prelucrare are răspuns; pe stratul de canal, nu.

Modul în care se pune întrebarea contează. Un jurist care primește „e ok ce facem noi?” răspunde cu prudență generală. Același jurist, care primește cele două întrebări deschise de mai sus, cu articolele și alineatele atașate, răspunde în scris și punctual — iar răspunsul acela devine parte din procedura ta, cu o dată pe el. Partea de conformitate care ne revine nouă, ca agenție, se oprește la colectarea conformă a consimțământului în campaniile de email și la traseul datelor; interpretarea textului nu.

Întrebări frecvente

Pot trimite oferte către contacte de la care am doar cartea de vizită?

Nu, dacă nu poți dovedi un consimțământ prealabil expres pentru comunicări comerciale. O carte de vizită dovedește o întâlnire, nu un acord. Faptul că adresa e una de firmă nu schimbă răspunsul: art. 12 alin. (4) din Legea 506/2004 extinde interdicția de la alineatul (1) și la abonații persoane juridice. Un email personal, individual, prin care propui o discuție, e altceva decât o campanie de marketing direct — dar granița dintre ele e exact zona în care merită o validare juridică.

Ce dovadă de consimțământ trebuie să pot prezenta la un control?

Pentru fiecare abonat, în forma exportabilă din sistem: momentul, sursa, textul exact al casetei în versiunea de la acea dată, ce anume a acceptat, confirmarea dacă folosești dublă confirmare, marcajul tehnic reținut de platformă și istoricul de ieșire. RGPD nu enumeră aceste câmpuri, dar art. 7 alin. (1) pune sarcina probei pe tine, iar acestea sunt elementele care o susțin. Într-un dosar publicat de autoritate în ianuarie 2026, o parte din amendă a fost aplicată tocmai pentru că operatorul nu a prezentat dovezi.

Pot folosi interesul legitim în loc de consimțământ pentru emailuri comerciale?

Considerentul (47) din RGPD spune că marketingul direct poate fi considerat ca desfășurat pentru un interes legitim, deci pentru prelucrarea datelor răspunsul poate fi da, în urma unei evaluări. Pentru canalul email intervine însă art. 12 alin. (1) din Legea 506/2004, care cere consimțământ prealabil expres, cu o singură excepție, cea pentru clienți existenți. Raportul dintre cele două straturi e explicat de Comitetul European pentru Protecția Datelor în Avizul 5/2019, punctul 40: acolo unde directiva privind viața privată în comunicațiile electronice cere consimțământ pentru o acțiune anume, operatorul „nu se poate baza pe toate temeiurile juridice posibile prevăzute de articolul 6 din RGPD”.

Ce fac cu o listă veche, importată sau moștenită de la altcineva?

Separi ce e demonstrabil de ce nu, reconstitui ce se mai poate din exporturi și loguri, trimiți o singură campanie de re-confirmare către restul, apoi renunți la cine nu confirmă. Vechimea listei nu e problema; imposibilitatea de a arăta când, de unde și pe baza cărui text a intrat fiecare adresă este. Reînnoirea consimțământului e chiar acțiunea pe care o descriu orientările CEPD pentru consimțămintele fără dovadă. Ce rămâne nelămurit e dacă mesajul de re-confirmare intră el însuși sub regula de canal din art. 12, așa că pe segmente mari merită întrebat un jurist înainte.

Trebuie ca dezabonarea să funcționeze într-un singur clic?

Din perspectiva RGPD, art. 7 alin. (3) cere ca retragerea consimțământului să fie la fel de simplă ca acordarea lui — fără să impună un mecanism anume. Din perspectiva furnizorilor de inbox, da: Google cere ca expeditorii care trimit peste 5.000 de mesaje pe zi către conturi Gmail să suporte dezabonarea într-un clic și să includă un link vizibil în corpul mesajului, cerință aplicabilă de la 1 februarie 2024. În practică, cele două ajung în același loc.

O listă valorează cât dovezile din spatele ei

Dacă rămâi cu un singur lucru din articolul ăsta, fă-l acesta: valoarea comercială a unei liste de email nu e dată de numărul de adrese, ci de proporția dintre ele pentru care poți arăta, într-un export, când și de unde au venit. Restul e volum. Iar volumul pe care nu îl poți documenta se transformă, la prima cerere a unei persoane sau la primul control, dintr-un activ într-o problemă care consumă timp de management.

Consecința practică e o schimbare mică de proces, nu un proiect: fiecare punct prin care intră o adresă în sistem — formularul de pe site, checkout-ul, importul din CRM, tableta de la eveniment — trebuie să scrie odată cu adresa și cele șapte câmpuri de mai sus. Costul e o oră de configurare per punct de intrare, o singură dată. Costul alternativei se plătește mai târziu și nu se negociază, pentru că se măsoară în ce nu poți demonstra. Merită socotit ca linie separată atunci când calculezi cât costă efectiv canalul de email, alături de licență și de producție.

Dacă vrei să vedem împreună ce dovezi ai efectiv pe lista actuală și unde se rup, cere un Growth Diagnosis. Verificarea durează mai puțin decât o campanie și îți spune, înainte de orice discuție cu un jurist, care sunt exact întrebările pe care merită să i le pui. Iar dacă din tot articolul reții o singură propoziție pentru ședința de luni, reține-o pe asta: consimțământul pe care nu îl poți exporta nu există, indiferent cât de sigur ești că a fost dat.

Ultima revizie legală a acestui material: 29 iulie 2026. Textele citate se pot modifica. Dacă îl citești mult după această dată, verifică versiunile în vigoare înainte de a lua o decizie pe baza lui.