A hírlevélküldés klasszikus adatvédelmi kérdésnek tűnik, de valójában két jogterület találkozik benne: az általános adatvédelmi szabályozás, vagyis a GDPR, valamint az elektronikus reklámokra vonatkozó speciális szabályok, így a magyar Grt., az Ektv. és az uniós ePrivacy irányelv.
A magyar kiindulópont szigorú. A gazdasági reklámtevékenységről szóló törvény, vagyis a Grt. 6. §-a szerint természetes személynek e-mailben, SMS-ben vagy más hasonló közvetlen elektronikus csatornán reklám főszabály szerint csak akkor küldhető, ha ehhez az érintett előzetesen, egyértelműen és kifejezetten hozzájárult. Az Ektv. ezt a szabályt az elektronikus hirdetésekre is alkalmazni rendeli, sőt elektronikus hirdetésnek tekinti azt az e-mailt is, amelynek kizárólag az a célja, hogy a címzett hozzájárulását kérje a későbbi reklámküldéshez.
Ebből következően a magyar hatósági gyakorlat hagyományosan hozzájárulás-központú: ha e-mailes reklámról vagy hírlevélről van szó, az első kérdés rendszerint az, hogy van-e igazolható feliratkozás.
A GDPR oldaláról nézve két jogalap merül fel leggyakrabban. Az egyik a hozzájárulás, amely akkor érvényes, ha önkéntes, konkrét, megfelelő tájékoztatáson alapul és egyértelmű. A másik a jogos érdek, amely elvileg direkt marketingnél is szóba jöhet, de csak akkor, ha az adatkezelő érdekét nem írja felül az érintett jogai és érdekei, és nincs olyan speciális szabály, amely kifejezetten hozzájárulást követel meg. E-mailes hírlevélnél éppen ez a nehézség: a GDPR általános szabályai mellett az elektronikus marketingre külön szabályok is vonatkoznak.
Itt válik érdekessé az ePrivacy irányelv 13. cikk (2) bekezdése. Ez az uniós szabály úgynevezett „soft opt-in” kivételt tartalmaz. Ennek lényege, hogy ha a vállalkozás az ügyfél e-mail címét saját termékének vagy szolgáltatásának értékesítése során jogszerűen szerezte meg, akkor azt felhasználhatja saját hasonló termékei vagy szolgáltatásai reklámozására, feltéve, hogy az ügyfél már az adatgyűjtéskor, majd minden egyes későbbi üzenetben egyszerűen, ingyenesen és egyértelműen tiltakozhat a hírlevélküldés ellen.
Ez nem korlátlan felhatalmazás. Csak meglévő ügyfelekre vonatkozhat, csak saját és hasonló termékekre vagy szolgáltatásokra, és csak akkor, ha az ügyfélnek tényleges opt-out lehetősége volt és van. Nem alkalmazható vásárolt adatbázisokra, érdeklődői listákra vagy olyan marketingre, amely már nem kapcsolódik érdemben a korábbi ügyfélkapcsolathoz.
Az Európai Unió Bírósága a C-654/23. számú Inteligo Media ügyben tovább pontosította ezt a kérdést. A Bíróság kimondta, hogy ha az ePrivacy irányelv 13. cikk (2) bekezdésének feltételei teljesülnek, akkor az adott e-mailes direkt marketing művelet jogszerűségét nem kell külön a GDPR 6. cikk szerinti jogalapok alapján is vizsgálni; másként fogalmazva: ebben a körben az ePrivacy szabály speciális szabályként működik a GDPR általános jogalapi rendszeréhez képest.
Ez azonban Magyarországon óvatosságot igényel, különösen arra tekintettel, hogy az ePrivacy irányelv nem rendelkezik a tagállamokban közvetlen hatállyal, annak rendelkezéseit a jogalkotónak kell átültetnie a nemzeti jogba. A magyar Grt. és Ektv. szövege nem tükrözi egyértelműen az ePrivacy soft opt-in kivételét, ezért a hozzájárulás nélküli hírlevélküldés meglévő ügyfeleknek sem tekinthető kockázatmentesnek. Egy ilyen modell alkalmazása előtt célszerű megvizsgálni, hogy az e-mail címeket valóban szolgáltatásnyújtás során szerezték-e meg, a címzettek ténylegesen meglévő ügyfelek-e, korábban kaptak-e tájékoztatást a leiratkozás lehetőségéről, és a jövőbeni hírlevél valóban saját, hasonló szolgáltatásokra vonatkozik-e.
A gyakorlati válasz tehát: meglévő ügyfeleknek bizonyos feltételek mellett elképzelhető hozzájárulás nélküli hírlevélküldés, de nem egyszerű „jogos érdekre” hivatkozva. A védhetőbb konstrukció az ePrivacy 13. cikk (2) bekezdése szerinti soft opt-in, szigorú feltételekkel, dokumentált megfelelési vizsgálattal és minden üzenetben egyszerű leiratkozási lehetőséggel.
