Mailchimpin käyttö tietosuojan mukaisesti

Mailchimp (Intuit Inc., Yhdysvallat) käsittelee sähköpostiosoitteita, avaus- ja klikkauskäyttäytymistä ja upottaa sähköposteihin laskuripikselin. Palvelu tarvitsee puhtaan suostumuksen ja dokumentoidun siirron Yhdysvaltoihin.

Double opt-in ei ole Mailchimpissä oletus vaan asetus kohdeyleisöä kohti: kohdassa Settings → Audience name and defaults „Enable double opt-in“ on oltava aktiivinen. Ilman tätä asetusta jokainen lomakkeen kautta syötetty osoite päätyy heti listalle — single opt-in, joka on riidassa vaikeasti todistettavissa ja jota saksalaiset tuomioistuimet pitävät säännöllisesti riittämättömänä mainossähköposteille.

Toinen rakennuspalikka on käsittelysopimus. Intuit tarjoaa Data Processing Addendumin, joka pätee käyttöehtojen hyväksymisellä; sen sisältämät vakiosopimuslausekkeet tai Intuitin DPF-sertifiointi ovat siirtoperuste Yhdysvalloissa tapahtuvalle käsittelylle. Molemmat tulee dokumentoida ja mainita tietosuojaselosteessa.

Mailchimpin kampanjoissa oletuksena aktiivinen seuranta (sähköpostien avaukset laskuripikselin kautta, klikkaukset uudelleenkirjoitettujen linkkien kautta) luo käyttöprofiileja. Puhdas lähestymistapa on joko kytkeä tämä seuranta pois tai sisällyttää se suostumukseen ja ilmoittaa siitä tietosuojaselosteessa. Yleinen huomautus „käytämme Mailchimpiä“ ei riitä.

Onko tämä riski?

Uutiskirjeen lähettämisen oikeusperuste on yleensä suostumus (6 art. 1 kohta a alakohta GDPR), osoitettuna double opt-inin kautta. Ilman vahvistettua ilmoittautumista, ilman Intuitin kanssa tehtyä käsittelysopimusta tai ilman nimettyä siirtoperustetta oikeusperuste puuttuu. Uutiskirjeissä tavallinen avausten ja klikkausten seuranta edellyttää erillistä suostumusta tai se on tehtävä läpinäkyväksi.

Mitä voit tehdä

• Aktivoi double opt-in: ilmoittautumisen jälkeen vahvistussähköposti aktivointilinkillä, vasta sen jälkeen osoite lisätään listalle.
• Kirjaa ilmoittautumisaika, IP ja vahvistusaika (Mailchimp tallentaa sen kenttään „Opt-in“).
• Tee käsittelysopimus (Data Processing Addendum) Intuitin kanssa; dokumentoi vakiosopimuslausekkeet tai DPF-sertifiointi siirtoperusteena.
• Nimeä tietosuojaselosteessa Mailchimp/Intuit vastaanottajaksi, siirto Yhdysvaltoihin, avausten ja klikkausten seuranta ja peruuttamisoikeus (peruutuslinkki).

Usein kysytyt kysymykset

Onko single opt-in sallittu uutiskirjeille?

Mainosuutiskirjeille saksalainen oikeuskäytäntö vaatii käytännössä aina double opt-inin, koska vain niin on todistettavissa, että ilmoittautuminen on osoitteen haltijalta. Single opt-in on riidassa tuskin puolustettavissa.

Tarvitsenko Mailchimpille käsittelysopimuksen?

Kyllä. Mailchimp käsittelee sähköpostiosoitteita puolestasi. Intuitin Data Processing Addendum pätee ehtojen hyväksymisellä; sinun tulisi arkistoida se.

Saanko käyttää avausseurantaa uutiskirjeissä?

Vain läpinäkyvästi ja ihanteellisesti suostumuksen perusteella. Laskuripikseli ja klikkausseuranta luovat käyttäytymisprofiileja; vastaanottajille on ilmoitettava, ja monet tietosuoja-asiantuntijat pitävät erillistä suostumusta tarpeellisena.

Onko siirto Yhdysvaltoihin Mailchimpiin ongelmaton DPF:n jälkeen?

Siirto on lähtökohtaisesti EU-US Data Privacy Frameworkin kattama niin kauan kuin Intuit on sertifioitu. Suostumus- ja todistusvelvollisuudet itse uutiskirjeelle pätevät tästä riippumatta.

Näin consentglass auttaa

Ilmainen skannaus tarkistaa toimitetun HTML:n ja näyttää, mitä palveluita on upotettu, tunnistetaanko evästebanneri ja ovatko linkit tietosuojaan ja vastuuvapauslausekkeeseen olemassa — taustatietojen kanssa jokaisesta havainnosta. Se ei korvaa oikeudellista neuvontaa.