不少企业表示，电子邮件营销是他们对GDPR处罚最大的担忧。GDPR为企业的电子邮件营销设定了诸多限制，同时不可避免地导致企业营销数据库的缩小，因为GDPR不仅适用于现有客户的数据，还将影响企业的新订阅用户和潜在客户。具体影响和对策请看下文：
影响一，GDPR需要“同意”进行营销//////////
过去的企业活动证明，被动同意具有更高的转换率。但是从2018年5月25日起，所有营销许可必须“选择加入”，并且需要“明确的肯定行动”。被动同意将不被视为有效同意。同意也必须是精细的，并且向订户提供单独的选项。
“同意”有点像选择加入——为个人提供选项，然后告诉数据控制者他们很高兴在日后获得企业的营销。
问题是GDPR的同意标准远高于过去大多数企业会遇到的标准。因此，企业持有的大多数营销数据不符合GDPR标准的“同意”。
首先，GDPR第47条明确规定，GDPR适用于直接营销的个人数据处理，作为数据控制者的合法权益。此处说明，可以保留数据控制者发送电子邮件营销的合法利益。电子邮件营销是在线营销领域的固定部分。一般只有数据主体已同意或存在其他法律依据时，GDPR才允许企业进行处理。
很多迹象表明，如果数据主体和数据控制者之间存在相关和相称关系，例如数据主体是数据控制者的客户或者是后者的服务对象。电子邮件营销在未经同意的情况下是被允许的，至少对现有客户是这样。如果公司有一个合理的“理由”（法律依据）要求通过电子邮件营销,营销电子邮件可以在未经同意的情况下发送给潜在客户。
其次，根据GDPR第21(2)、(3)条，数据主体始终有权反对以直接促销为目的涉及其个人资料的处理。不想自己的电子邮箱在接收到这些信息，客户需要作出反对出于营销目的处理。对数据主体对象，数据控制者仅需对出于营销目的处理停止，但仍可出于其他目的(例如为了履行合同)处理数据。但数据控制者为营销目的处理数据的合法利益永远不会超过数据主体的反对意见。
最后必须注意的是，根据GDPR第95条，这适用于所有与数据保护相关的目的，除非电子隐私权指令中包含具有相同监管范围的特殊规则。即无论公司日后的市场推广措施是基于其合法权益或同意，数据控制者必须遵守数据主体的知情权。最终结果是，电子邮件营销目前只允许在有关各方同意的情况下进行。
关于“同意”的更多资讯请参阅SCA上篇文章：GDPR个人“同意”后才能收集用户信息，要怎样操作才合规？
当企业面临GDPR举证时，企业必须能够提供合理的证据证明自己已按要求遵守了GDPR，这包括证明企业在“同意”时告知订阅用户的内容。这可能包括同意书的内容和企业遵守的隐私政策、条款、条件以及有关同意书的任何背景信息。根据GDPR的规定，有时这些举证还不够。
这对电子邮件营销产生重大影响。平台（企业）通常存储某人提交表单的IP地址，位置和时间，但一般不会存储表单本身。
另外，存在比GDPR更严格或有额外限制的其他国家法律，例如竞争法。
随着更多的企业主开始意识到GDPR的影响 - 尤其是那些电子商务中超过50％的销售额来自电子邮件营销的电子商务企业。对很多人来说，企业的业务价值如何，主要是企业客户数据的价值。如果企业仍然希望继续使用有价值的客户数据进行营销，并且不会被处罚，就需要按照GDPR条例行事。
1、更新企业的网站条款和条件以及隐私政策，这是将关键信息传达给在与您共享个人数据时需要通信的数据主体的最简单方法。
2、更新企业网站上的潜在客户捕获表单的设计。表单设计将直接影响转换率（提交它的人数）。因为用户现在必须在提交表单之前勾选一个“同意”框（它不能预先被勾选），这很可能导致转换率的下降。
3、在更多选项中，改变为符合GDPR标准的同意形式示例。GDPR已在多国广泛推广，这是企业在向客户表示遵守GDPR保护个人数据隐私。
4、记录订阅用户在同意时的告知内容，此处为日后需要的GDPR举证。
5、重新整理现有的数据库，区分哪些客户已经“同意”，可以向其进行电子邮件营销，对没“同意”的数据主体，灵活采取其他合法的营销方式。
以上5点建议仅供参考，至于该怎样对您的电子营销活动作出具体的合规处理，中小企业或欧盟业务量不大的公司可参考行业内领先公司的做法，但欧盟用户量大且用户不断增加的企业建议请外部律师或法务对此进行把关。希望以上内容对您有所帮助。
PS：本篇文章仅供参考，文章根据GDPR官方文案相关内容翻译整理https://gdpr-info.eu/issues/consent/，如有问题欢迎关注SCA官方微信公众号“奥航智讯”留言讨论，转载请注明出处。SCA始终关注安全通信和身份认证领域，为信息安全领域提供中立、专业的认证咨询服务。2019年12月，SCA将举办“智能产品出口海外信息安全技术合规专题培训”，有意参加者欢迎来电咨询！
TEL:021-51099961
Email：jessica.yang@smart-alliance.com
更多GDPR相关内容请点击下方链接查看。
GDPR从数据主体处收集信息时的信息提供，应包含哪些内容？怎样做才合规
GDPR“数据处理”、“处理安全”、“加密”分别对应哪些内容？
