Служебен имейл адрес по GDPR: кога е лични данни и кога не

Всеки B2B SDR екип, който строи списък с контакти за студени имейли, рано или късно се сблъсква с въпроса дали служебен имейл адрес е лични данни по GDPR. Отговорът не е еднозначно да или не — зависи от формата на адреса и от контекста, в който се използва. Тази статия дава ясни критерии, с които да прецените риска и да изградите compliant база, без да спирате кампанията.

Защо въпросът не е теоретичен за студените имейли

Когато SDR екип съставя лист с двеста контакта за нова B2B кампания, рядко някой спира да провери дали GDPR обхваща служебните имейл адреси, преди да натисне „изпрати“. А трябва — защото грешната класификация на данните определя какво правно основание, каква документация и какъв процес за жалби са нужни. Въпросът дали служебен имейл адрес е лични данни по GDPR не е академичен спор между юристи, а практически филтър, който решава дали кампанията е защитима при проверка.

Разликата е реална: имейл във формат ivan.petrov@fabrika.bg почти винаги идентифицира физическо лице и попада под GDPR лични данни, докато info@fabrika.bg сам по себе си рядко го прави. Но повечето реални B2B бази съдържат и двата типа адреси — и именно смесването им без ясни правила е откъде идва рискът.

GDPR обхваща ли служебните имейл адреси: правният отговор

Регламент (ЕС) 2016/679 определя лични данни като всяка информация, свързана с идентифицирано или идентифицируемо физическо лице. Форматът на служебния адрес е решаващ: ivan.petrov@fabrika.bg или m.ivanova@stroykompania.bg директно сочи към конкретен човек — неговото име, фамилия и работодател — и следователно е лични данни, дори когато се използва изцяло в служебен контекст. GDPR не прави изключение за „бизнес“ данни — критерият е идентифицируемост, не собственост върху акаунта.

Генеричните адреси — info@, sales@, office@, contact@ — обикновено не сочат към конкретен човек и сами по себе си не са лични данни. Но комбинирани с друга информация (например „отговорено от Мария Иванова, търговски директор“ в подпис или CRM бележка), те бързо стават свързани с физическо лице и попадат обратно под режима на GDPR. Затова коректният отговор на въпроса дали служебен имейл адрес е лични данни по GDPR е: зависи от адреса и контекста, не от факта, че е служебен.

За България практическото тълкуване следва насоките на Комисията за защита на личните данни (КЗЛД) и общата линия на Европейския комитет по защита на данните: обработването на лично идентифицируем служебен имейл за целите на директен B2B маркетинг е допустимо на основание легитимен интерес (Съображение 47 от GDPR), без да е нужно предварително съгласие — стига да е направен и документиран баланс между интереса на компанията и правата на лицето.

Как да изградите compliant B2B база стъпка по стъпка

Легитимният интерес не е бланкетно разрешение — той изисква тест, който показва, че сте обмислили въздействието върху получателя, преди да добавите контакта в списъка.

• Направете Legitimate Interest Assessment (LIA): цел на изпращането, необходимост от точно този контакт, баланс срещу очакванията на лицето.
• Събирайте адреса само от публично достъпни служебни източници — уебсайт на компанията, LinkedIn профил, търговски регистър.
• Документирайте източника и датата на всеки контакт в CRM, за да можете да отговорите на запитване за произход.
• Ограничете данните до необходимото — име, длъжност, служебен имейл; не добавяйте лична информация без връзка с кампанията.
• Включвайте ясна информация за подателя и правото на възражение (opt-out) във всеки имейл, не само в първия.
• Обработвайте opt-out заявките веднага и премахвайте контакта трайно, не само от текущата кампания.

Практически ориентири от GDPR-съобразени B2B кампании

Когато легитимният интерес е обоснован правилно и имейлите са персонализирани към конкретна роля, а не изпращани в маса, реакцията на получателите остава здравословна — ниски нива на оплаквания и opt-out заявки, приемлив reply rate. Ето ориентировъчни диапазони от практиката при таргетирани кампании с малки дневни обеми:

Най-честите грешки при третиране на служебни имейли

По-голямата част от проблемите не идват от липса на правно основание, а от процеса около него.

• Купуване на готова база с фирмени контакти без проверка на нейния произход и правно основание — рискът се наследява от купувача.
• Липса на видим и работещ opt-out линк или игнориране на отговори тип „спри“.
• Смесване на генерични и лично идентифицируеми адреси в един сегмент без отделна оценка на легитимния интерес.
• Съхранение на контакти безсрочно, без период за преразглеждане или изтриване след дълга неактивност.
• Персонализация с данни извън служебния контекст (лични снимки, семейно положение, хобита), която излиза извън обхвата на легитимния интерес за B2B outreach.

Чеклист и как LDM подхожда към GDPR compliance

Платформа за таргетиран B2B outreach трябва да прави правилното поведение лесно по подразбиране, не да разчита SDR екипите да помнят всяко правило. В LDM всеки контакт носи полета за източник и дата на добавяне, всяка кампания логва кой е получил opt-out и блокира повторно добавяне на същия адрес, а обемите на изпращане остават малки и разпределени във времето — точно каквото очаква и балансовият тест за легитимен интерес.

• Проверете формата на всеки адрес — личен формат изисква LIA, генеричен формат изисква само добра практика.
• Дръжте LIA документа актуален и достъпен при поискване от КЗЛД.
• Автоматизирайте обработката на opt-out заявки, не разчитайте на ръчно филтриране.
• Пазете лог на източника за всеки контакт в базата.
• Ревизирайте базата на 6–12 месеца и трийте неактивните контакти.

Често задавани въпроси