Como os formulários de cadastro levam spam à caixa de entrada

O que um formulário de inscrição pode fazer com seu endereço

Quando você envia um endereço por meio de um formulário de inscrição, o site pode usá-lo, e esse endereço também pode se disseminar: por meio de compartilhamento informado, venda ou transferência, violação de dados ou coleta a partir de uma publicação pública. Uma solicitação de cancelamento segundo a CAN-SPAM impede que o remetente envie futuras mensagens de marketing abrangidas pela lei e restringe a transferência posterior, por esse remetente, do endereço para o qual o cancelamento foi solicitado. Ela não recupera cópias já compartilhadas, vendidas, vazadas ou coletadas.

O formulário recebe mais do que uma sequência de caracteres. Ele recebe um endereço válido, além de informações de contexto: o que despertou seu interesse, de qual página você veio e quando. É essa combinação que torna um endereço valioso para ser repassado e explica por que os caminhos abaixo existem.

Se você ainda está decidindo qual endereço fornecer a determinado formulário, pode crie um endereço descartável para esse formulário e manter sua caixa de entrada habitual fora disso. O nome dado a esse tipo de endereço não determina como ele funciona, e é isso que A diferença entre e-mail descartável, descartável e descartável esclarece. Tudo o que vem a seguir trata do que acontece com um endereço depois que ele é enviado.

Uma ressalva para todo este artigo: ele descreve caminhos possíveis com base no que dizem as regras aplicáveis e as políticas publicadas. Não pretende afirmar o que qualquer site específico faz com seu endereço.

Comunicação da própria empresa e disseminação para terceiros

Segundo a CAN-SPAM dos EUA, uma solicitação de cancelamento se aplica ao remetente de uma mensagem comercial abrangida pela lei, seja ele o site original ou uma empresa que recebeu o endereço posteriormente. Ela não cria uma ordem global de bloqueio para todos os detentores do endereço.

Do seu ponto de vista, há duas situações observáveis, e é útil nomeá-las, embora a distinção seja descritiva, e não jurídica. Há os e-mails enviados pelo site ao qual você forneceu o endereço: newsletters, ofertas e anúncios de produtos. E há os e-mails de empresas às quais você nunca forneceu informação alguma.

O ponto principal é o que decorre disso. Se uma empresa que recebeu o endereço posteriormente for remetente de uma mensagem comercial abrangida pela CAN-SPAM dos EUA, ela terá sua própria obrigação de oferecer o cancelamento. O limite jurídico é definido pelo remetente abrangido pela lei, não pelo fato de o endereço ter chegado até ele por uso da própria empresa ou por disseminação posterior. A lei não cria uma ordem global de bloqueio para todos os detentores do endereço.

Compartilhamento, venda de listas, violações de dados e coleta automatizada são caminhos diferentes

Depois que o endereço entra no sistema do site, ele pode ser usado nos e-mails enviados pelo próprio site. Separadamente, pode se disseminar por quatro caminhos, que diferem quanto ao que você pode fazer a respeito.

Compartilhamento informado. A política de privacidade do site declara que ele compartilha dados com parceiros ou empresas afiliadas, e esse compartilhamento ocorre. Esse é o caminho que você pode examinar antes de enviar o formulário, pois a informação está registrada em algum lugar que você pode consultar.

Venda ou transferência. O endereço é repassado a outra empresa como um ativo. Há uma restrição importante que vale a pena conhecer: segundo as regras da CAN-SPAM dos EUA, depois que você solicita o cancelamento, esse remetente não pode vender nem transferir seu endereço, inclusive como parte de uma lista de e-mails. A única exceção expressamente prevista é a transferência para uma empresa contratada para ajudar esse remetente a cumprir a lei. Essa restrição limita o que o remetente pode fazer posteriormente; ela não recupera uma cópia transferida antes da sua solicitação de cancelamento.

Uma violação de dados. O endereço sai do controle do site sem que isso seja intencional.

Coleta a partir de uma publicação pública. Se o endereço acabar exposto em algum local público, ele poderá ser coletado dali. Esse caminho depende de o endereço primeiro se tornar público, razão pela qual não se aplica a toda inscrição.

O que uma solicitação de cancelamento realmente muda

Essas são regras da CAN-SPAM dos EUA e se aplicam a e-mails comerciais de marketing abrangidos pela lei, não a todas as mensagens que uma empresa possa enviar a você.

Dentro desse escopo, o cancelamento é uma obrigação sujeita a prazo, não uma cortesia. O remetente deve atender à solicitação em até 10 dias úteis. O mecanismo de cancelamento oferecido deve ser capaz de processar solicitações por pelo menos 30 dias após o envio da mensagem. Esse é um requisito sobre o período em que o mecanismo deve permanecer disponível, não o prazo para concluir sua solicitação.

As regras também limitam o que um remetente pode exigir como condição para atender à solicitação. Ele não pode cobrar nenhuma taxa, exigir informações de identificação pessoal além de um endereço de e-mail nem exigir qualquer etapa além do envio de um e-mail de resposta ou do acesso a uma única página da web.

Depois que você solicita o cancelamento, a restrição à venda e à transferência descrita acima passa a valer para esse remetente. Há penalidades para cada e-mail que viole essas regras, razão pela qual essa obrigação tem força legal e não é meramente uma recomendação.

Por que cancelar a inscrição não permite recuperar um endereço

A CAN-SPAM impõe obrigações específicas aos remetentes de mensagens comerciais abrangidas pela lei. Separadamente, quando o GDPR da UE ou o GDPR do Reino Unido é aplicável e existe um direito válido ao apagamento, o controlador deve apagar os dados abrangidos; as obrigações relativas a terceiros previstas nos Artigos 17(2) e 19 estão sujeitas a limitações quanto à adoção de medidas razoáveis e à inviabilidade de seu cumprimento. Nenhuma dessas estruturas jurídicas oferece um mecanismo técnico para recuperar os dados.

Antes de prosseguir, uma distinção é importante: uma solicitação de cancelamento para interromper o marketing não constitui automaticamente uma solicitação de apagamento nos termos do Artigo 17. São solicitações diferentes, feitas com base em regras distintas e com alcances diferentes. Segundo o Artigo 17(1) do GDPR da UE, o apagamento pode ser exigido quando se aplica um dos fundamentos enumerados, inclusive quando os dados já não são necessários, o consentimento é retirado sem que exista outra base legal, há oposição ao marketing direto, o tratamento foi ilícito ou o apagamento é exigido por lei. O Artigo 17(3) permite a continuidade do tratamento quando necessário para a liberdade de expressão e de informação; o cumprimento de obrigações legais ou a execução de tarefas de interesse público; a saúde pública; determinados fins de arquivamento, pesquisa ou estatística; e reivindicações judiciais. A ICO descreve o direito equivalente previsto no GDPR do Reino Unido como condicional, e não absoluto.

Quando existe uma obrigação válida de apagamento, é nas obrigações relativas a terceiros que surgem os limites. O Artigo 19 exige que o controlador comunique o apagamento a cada destinatário a quem os dados foram divulgados, salvo se isso for impossível ou exigir um esforço desproporcional, e também exige que, mediante solicitação, o controlador informe a você quem são esses destinatários. O Artigo 17(2) se aplica quando esse controlador tornou os dados públicos e está obrigado a apagá-los: nesse caso, ele deve adotar medidas razoáveis, levando em conta a tecnologia disponível e o custo de implementação, para informar outros controladores sobre sua solicitação referente a links, cópias ou reproduções.

A orientação da autoridade supervisora do Reino Unido acrescenta que o direito se aplica aos dados mantidos no momento em que a solicitação é recebida, e não aos dados criados posteriormente.

Considerados em conjunto, esses pontos respondem à pergunta do título. Ambos os marcos regulatórios podem obrigar uma empresa a agir. Nenhum deles oferece a quem quer que seja um botão capaz de acessar os sistemas de outra empresa e remover uma cópia. Por isso, o momento mais oportuno para agir é antes de enviar o formulário, e não depois.

Como avaliar uma inscrição antes de enviar o formulário

Há quatro itens que você pode ler antes de apertar o botão, e cada um deles fornece uma informação específica.

O texto de consentimento. Verifique se alguma caixa já está marcada e leia com o que você está realmente consentindo. Concordar em receber e-mails de uma empresa é diferente de permitir que ela compartilhe seus dados com parceiros.

A seção sobre compartilhamento da política de privacidade. É nessa seção que o compartilhamento informado é descrito — ou sequer mencionado. Uma política que especifica as categorias de destinatários fornece mais informações do que outra que apenas afirma que os dados podem ser compartilhados com terceiros.

Identidade do remetente. Verifique quem realmente fará os envios. Se os e-mails vierem de um parceiro ou de uma plataforma, e não da empresa cujo formulário você está preenchendo, é importante saber disso enquanto você ainda pode escolher.

Frequência informada. Um formulário que informa o que será enviado e com que frequência estabelece um compromisso que você pode comparar com as mensagens recebidas posteriormente. Um formulário que não informa nada não estabelece esse compromisso.

Perguntas frequentes

Cancelar a inscrição pode confirmar que um endereço está ativo?

Se você reconhece o remetente, use o mecanismo de cancelamento de inscrição oferecido por ele. Se a mensagem for inesperada ou suspeita, não clique nos links; marque-a como spam ou lixo eletrônico e denuncie-a como phishing, quando apropriado. Quanto à pergunta em si, um link exclusivo pode revelar que alguém interagiu com a mensagem, embora o simples fato de ela ter sido entregue já demonstrasse ao remetente que o endereço funcionava.

Como posso saber se um remetente obteve meu endereço de outra empresa?

A mensagem, por si só, talvez não revele onde a empresa obteve o endereço. Receber um e-mail de uma empresa à qual você nunca forneceu o endereço é indício de que ela o obteve posteriormente, mas não mostra se isso ocorreu por meio de compartilhamento informado, transferência, vazamento de dados ou coleta em uma publicação acessível ao público.

Mudar de caixa de entrada remove os dados que um site já armazena?

Não. Mudar para outra caixa de entrada altera o destino dos novos e-mails. Isso não muda o que uma empresa já armazenou nem revoga o consentimento que você concedeu anteriormente. Para remover os dados mantidos por uma empresa específica, é necessário exercer um direito perante essa empresa, quando as regras aplicáveis garantirem esse direito. Decidir para qual tipo de caixa de entrada mudar é uma questão à parte, e A escolha entre um pseudônimo e uma caixa de entrada separada determina onde os e-mails futuros serão recebidos.