Как регистрационные формы приводят к спаму во входящих

Что форма регистрации может сделать с вашим адресом

Когда вы указываете адрес в форме регистрации, сайт может использовать его, а сам адрес может распространяться дальше: в результате заявленной передачи данных, продажи или иной передачи, утечки либо сбора из общедоступной публикации. Отказ от рассылки по закону CAN-SPAM прекращает дальнейшую регулируемую коммерческую рассылку от отправителя и ограничивает последующую передачу им адреса, владелец которого отказался от рассылки. Однако он не позволяет изъять уже раскрытые, проданные, утёкшие или собранные копии адреса.

Форма получает не просто строку символов. Она получает действующий адрес вместе с контекстом: чем вы интересовались, с какой страницы пришли и когда. Именно это сочетание делает адрес ценным для передачи другим, и именно поэтому вообще существуют описанные ниже пути его распространения.

Если вы изначально решаете, какой адрес указать в конкретной форме, вы можете Создайте одноразовый адрес для этой формы и не использовать для этого свой основной почтовый ящик. Название такого адреса само по себе не определяет, как он работает, — именно в этом помогает разобраться Разница между одноразовой, одноразовой и временной электронной почтой. Всё ниже касается того, что происходит с адресом после его отправки.

Важное ограничение всей статьи: в ней описываются возможные пути распространения адреса на основании применимых правил и опубликованных политик. В ней не утверждается, что нам известно, как какой-либо конкретный сайт обращается с вашим адресом.

Последующие рассылки самого сайта и распространение адреса среди третьих лиц

Согласно американскому закону CAN-SPAM, запрос на отписку относится к отправителю регулируемого коммерческого сообщения — независимо от того, является ли им исходный сайт или компания, получившая адрес впоследствии. Такой запрос не создаёт единой команды на прекращение рассылок для всех, у кого есть этот адрес.

С вашей точки зрения, можно наблюдать две ситуации, и их полезно обозначить, хотя различие между ними носит описательный, а не юридический характер. Во-первых, это письма от сайта, которому вы сообщили адрес: его рассылки, предложения и анонсы продуктов. Во-вторых, это письма от компаний, которым вы сами ничего не передавали.

Главное — какие выводы из этого следуют. Если компания, впоследствии получившая адрес, выступает отправителем регулируемого законом CAN-SPAM коммерческого сообщения, она обязана самостоятельно предоставить возможность отказаться от рассылки. Юридически важен статус отправителя регулируемого сообщения, а не то, получил ли он адрес в результате использования исходным сайтом или его дальнейшего распространения. Закон не создаёт единой команды на прекращение рассылок для всех, у кого есть этот адрес.

Передача данных, продажа списков, утечки и автоматизированный сбор — разные пути

Как только адрес попадает в систему сайта, тот может использовать его для собственных рассылок. Кроме того, адрес может распространяться четырьмя разными путями, от которых зависят доступные вам меры.

Заявленная передача данных. В политике конфиденциальности сайта указано, что он передаёт данные партнёрам или аффилированным лицам, и сайт действительно это делает. Этот путь можно проверить до отправки формы, поскольку сведения о передаче изложены в доступном для ознакомления документе.

Продажа или передача. Адрес переходит к другой компании в качестве актива. Здесь действует важное ограничение: согласно правилам американского закона CAN-SPAM, после вашего отказа от рассылки отправитель не вправе продавать или передавать ваш адрес, в том числе в составе списка рассылки. Единственное прямо указанное исключение — передача компании, которую наняли, чтобы помочь этому отправителю соблюдать закон. Ограничение распространяется на дальнейшие действия отправителя, но не позволяет вернуть копию, переданную до вашего отказа.

Утечка данных. Адрес выходит из-под контроля сайта без его намерения.

Сбор из общедоступной публикации. Если адрес оказывается в открытом доступе, его можно оттуда собрать. Этот путь возможен лишь при условии, что адрес сначала стал общедоступным, поэтому он применим не к каждой регистрации.

Что на самом деле меняет запрос на отписку

Это правила американского закона CAN-SPAM, и они распространяются на регулируемые коммерческие маркетинговые письма, а не на любые сообщения, которые компания может вам отправить.

В этих рамках отказ от рассылки — не любезность, а обязательство с установленным сроком исполнения. Отправитель должен выполнить запрос в течение 10 рабочих дней. Предлагаемый им механизм отказа должен принимать запросы как минимум в течение 30 дней после отправки сообщения. Это требование определяет срок доступности механизма, а не срок выполнения вашего запроса.

Правила также ограничивают требования, которые отправитель вправе предъявлять в качестве условия выполнения запроса. Он не может взимать плату или требовать персональные данные помимо адреса электронной почты. Кроме того, он не может требовать никаких действий, кроме отправки ответного письма или посещения одной веб-страницы.

После вашего отказа на этого отправителя распространяется описанное выше ограничение на продажу и передачу адреса. За каждое отдельное письмо, нарушающее эти правила, предусмотрены штрафы, поэтому это обязательное, а не рекомендательное требование.

Почему отписка не позволяет отозвать адрес

CAN-SPAM возлагает конкретные обязанности на отправителей регулируемых коммерческих сообщений. Отдельно от этого, если применяется GDPR ЕС или Великобритании и существует обоснованное право на удаление, контролёр обязан удалить охватываемые этим правом данные; при этом обязанности в отношении последующих получателей, предусмотренные статьями 17(2) и 19, ограничены оговорками о разумных мерах и невозможности исполнения. Ни одна из этих правовых систем не предусматривает технического механизма отзыва данных.

Прежде чем продолжить, важно провести одно различие: запрос на отписку от маркетинговых сообщений не становится автоматически запросом на удаление по статье 17. Это разные запросы, подчиняющиеся разным правилам и имеющие разный охват. Согласно статье 17(1) GDPR ЕС, удаления можно потребовать при наличии одного из перечисленных оснований, в частности если данные больше не нужны, согласие отозвано и отсутствует иное правовое основание, заявлено возражение против прямого маркетинга, обработка была незаконной либо удаление требуется по закону. Статья 17(3) допускает сохранение обработки, необходимой для осуществления права на свободу выражения мнения и получения информации; выполнения юридических обязательств или задач в общественных интересах; охраны общественного здоровья; предусмотренных законом целей архивирования, исследований или статистики; а также предъявления, осуществления или защиты юридических требований. ICO характеризует сопоставимое право по GDPR Великобритании как условное, а не абсолютное.

Если обоснованное обязательство по удалению действительно существует, его ограничения проявляются в обязанностях в отношении последующих получателей. Статья 19 требует, чтобы контролёр уведомил об удалении каждого получателя, которому были раскрыты данные, за исключением случаев, когда это невозможно или требует несоразмерных усилий. По вашему запросу контролёр также обязан сообщить, кто эти получатели. Статья 17(2) применяется, если контролёр обнародовал данные и обязан их удалить: тогда с учётом доступных технологий и затрат на реализацию он должен принять разумные меры, чтобы уведомить других контролёров о вашем запросе на удаление ссылок на эти данные, их копий или воспроизведений.

Руководство надзорного органа Великобритании также уточняет, что это право распространяется на данные, которые хранятся на момент получения запроса, а не на данные, созданные позднее.

В совокупности всё это даёт ответ на вопрос в заголовке. Обе правовые системы могут обязать компанию принять меры. Но ни одна из них не даёт возможности проникнуть в системы другой компании и удалить хранящуюся там копию. Поэтому лучше действовать до отправки формы, а не после.

Как проверить форму регистрации перед отправкой

Перед тем как нажать кнопку, стоит обратить внимание на четыре пункта: каждый из них даёт конкретную информацию.

Текст согласия. Проверьте, не установлен ли флажок заранее, и внимательно прочитайте, на что именно вы соглашаетесь. Согласие получать письма от компании — не то же самое, что согласие на передачу ваших данных её партнёрам.

Раздел политики конфиденциальности о передаче данных. В нём либо описано, кому передаются данные, либо такая информация отсутствует. Политика, в которой указаны категории получателей, сообщает больше, чем политика с общей фразой о возможной передаче данных третьим лицам.

Отправитель. Проверьте, кто именно будет отправлять письма. Если они будут приходить от партнёра или платформы, а не от компании, форму которой вы заполняете, это важно выяснить, пока у вас ещё есть выбор.

Заявленная частота рассылки. Если в форме указано, какие письма и как часто будут отправляться, компания берёт на себя обязательство, с которым впоследствии можно сравнивать её сообщения. Если ничего не указано, такого обязательства нет.

Часто задаваемые вопросы

Может ли отписка подтвердить, что адрес активен?

Если вы знаете отправителя, воспользуйтесь предусмотренным им механизмом отказа от рассылки. Если сообщение неожиданное или подозрительное, не переходите по ссылкам: отметьте его как спам или нежелательную почту, а при необходимости сообщите о фишинге. Если отвечать на вопрос буквально, уникальная ссылка может показать, что кто-то взаимодействовал с сообщением, однако сам факт его доставки уже говорил отправителю о том, что адрес работает.

Как узнать, получил ли отправитель мой адрес от другой компании?

По одному сообщению не всегда можно определить, откуда компания получила адрес. Письмо от компании, которой вы никогда не сообщали свой адрес, свидетельствует о том, что она получила его из другого источника, но не позволяет понять, каким путём: в результате раскрытой передачи данных, иной передачи, утечки или сбора из общедоступной публикации.

Удаляет ли смена почтового ящика данные, которые уже хранятся у сайта?

Нет. Переход на другой почтовый ящик меняет лишь место получения новых писем. Он не влияет на данные, которые компания уже сохранила, и не отменяет согласие, данное вами ранее. Чтобы удалить данные, хранящиеся у конкретной компании, необходимо воспользоваться соответствующим правом в отношении этой компании, если оно предусмотрено применимыми правилами. Выбор типа почтового ящика для перехода — отдельное решение, а выбор между псевдонимом и отдельным почтовым ящиком определяет, куда будут приходить последующие письма.