क्या कोल्ड ईमेल कानूनी है? DPDP, GDPR और CAN-SPAM

यह लेख सामान्य जानकारी है, कानूनी सलाह नहीं। मार्केटिंग और डेटा सुरक्षा के नियम देश-दर-देश अलग होते हैं, समय के साथ बदलते हैं, और आपके व्यवसाय, आपकी संपर्क सूची तथा आपके संदेश की बारीकियों पर निर्भर करते हैं। किसी भी पैमाने पर कोल्ड आउटरीच शुरू करने से पहले हर लक्षित बाज़ार के योग्य वकील से अपनी योजना की समीक्षा करवाएँ।

«क्या कोल्ड ईमेल कानूनी है?» — यह सवाल ही गलत तरीके से पूछा गया है, क्योंकि उत्तर पूरी तरह इस पर निर्भर करता है कि प्राप्तकर्ता कहाँ बैठा है। भारत में नया डेटा संरक्षण कानून सहमति पर केंद्रित है। अमेरिका में वही ईमेल डिफ़ॉल्ट रूप से वैध है, बशर्ते आप ईमानदार रहें और असली अनसब्सक्राइब दें। जर्मनी में पूर्व सहमति के बिना वही ईमेल लगभग निश्चित रूप से अवैध है। फ्रांस में पेशेवर पते पर पेशेवर भूमिका से जुड़ा संदेश आपत्ति के अधिकार के साथ आमतौर पर स्वीकार्य है। एक ही ईमेल, चार अलग कानूनी नतीजे।

यह गाइड मुख्य कानूनी व्यवस्थाओं को सरल भाषा में समझाती है: B2B पर वास्तव में क्या लागू होता है, छूट कहाँ हैं, ऑप्ट-आउट की आपकी ज़िम्मेदारियाँ क्या हैं, और कौन-सी प्रथाएँ वाकई अस्पष्ट क्षेत्र में हैं, स्पष्ट रूप से सुरक्षित नहीं।

भारत: DPDP अधिनियम और उससे जुड़े नियम

भारत का डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 एक बिंदु पर यूरोपीय GDPR से संरचनात्मक रूप से सख़्त है: यह मुख्यतः सहमति पर आधारित है, साथ में «वैध उपयोग» (legitimate uses) की एक सीमित सूची है। इसमें यूरोपीय शैली का व्यापक «वैध हित» (legitimate interest) आधार नहीं है, जिस पर यूरोप में अधिकांश B2B आउटरीच टिकी होती है। यह अंतर व्यावहारिक रूप से बहुत बड़ा है।

मुख्य बातें जो प्रॉस्पेक्टिंग के लिए मायने रखती हैं:

• किसी पहचाने गए व्यक्ति का कार्यालयी ईमेल भी व्यक्तिगत डेटा है। «यह कॉर्पोरेट पता है» अपने-आप कोई छूट नहीं देता, यदि पते से व्यक्ति की पहचान हो जाती है।
• सहमति स्वतंत्र, विशिष्ट, सूचित और स्पष्ट होनी चाहिए, और उसे वापस लेना उतना ही आसान होना चाहिए जितना देना था।
• नोटिस अनिवार्य है — किस डेटा का, किस उद्देश्य से उपयोग होगा, और अधिकारों का प्रयोग कैसे किया जाए, यह बताना होगा।
• डेटा प्रिंसिपल के अधिकारों में जानकारी, सुधार और मिटाने का अधिकार तथा शिकायत निवारण शामिल है, और आपको एक संपर्क बिंदु उपलब्ध कराना होगा।

अधिनियम के नियम और प्रवर्तन तंत्र चरणबद्ध रूप से लागू हो रहे हैं, इसलिए B2B मार्केटिंग के लिए सटीक दायित्व अभी पूरी तरह स्थिर नहीं हुए हैं। सावधानीपूर्ण पाठ यही है: भारत में नामित व्यक्तियों को बिना माँगे भेजे गए वाणिज्यिक ईमेल सहमति या स्पष्ट रूप से दर्ज पूर्व-संबंध पर टिके होने चाहिए। तुलनात्मक रूप से सुरक्षित रास्ता है कंपनी के सामान्य चैनल — वेबसाइट पर प्रकाशित info@ या sales@ पता, या संपर्क फ़ॉर्म — जहाँ किसी विशिष्ट व्यक्ति की पहचान जुड़ी नहीं होती।

अलग से, वाणिज्यिक SMS और वॉइस कॉल पर TRAI का अपना सख़्त ढाँचा लागू होता है, जिसमें प्राथमिकता रजिस्टर, DLT पंजीकरण और अनुमोदित टेम्पलेट शामिल हैं। यह ईमेल से अलग व्यवस्था है और इसे मिलाना नहीं चाहिए — जो ईमेल में चल जाता है वह SMS में सीधे उल्लंघन हो सकता है। WhatsApp जैसे प्लेटफ़ॉर्म पर मैसेजिंग के लिए प्लेटफ़ॉर्म की अपनी नीतियाँ भी लागू होती हैं, चाहे कानूनी स्थिति कुछ भी हो।

कानूनों के दो बड़े परिवार

लगभग हर क्षेत्राधिकार दो में से किसी एक खेमे में आता है, और यह जान लेना अधिकांश उत्तर दे देता है।

• ऑप्ट-आउट व्यवस्थाएँ। पहला वाणिज्यिक संदेश बिना पूर्व अनुमति भेजा जा सकता है, बशर्ते आप ईमानदारी से अपनी पहचान दें, संदेश को छिपाएँ नहीं, और आगे संदेश रोकने का कार्यशील तरीका दें। अमेरिका सबसे स्पष्ट उदाहरण है।
• सहमति आधारित व्यवस्थाएँ। पहले संदेश से पहले वैध आधार चाहिए: स्पष्ट सहमति, मौजूदा व्यावसायिक संबंध, या यूरोपीय संघ में GDPR का वैध हित। भारत, जर्मनी, कनाडा और रूस इस सख़्त छोर पर हैं।

दूसरा अंतर दोनों को काटता है: पते का प्रकार। सामान्य कंपनी मेलबॉक्स (info@, sales@) को लगभग हर जगह नाम वाले पते की तुलना में अधिक ढील मिलती है, क्योंकि नाम वाला पता पहचाने जा सकने वाले व्यक्ति का व्यक्तिगत डेटा है। कई देशों में यह अंतर B2B बनाम B2C के लेबल से भी ज़्यादा मायने रखता है।

यूरोपीय संघ: GDPR और ePrivacy, और देश अलग-अलग

सबसे आम गलती यह मान लेना है कि «GDPR अनुपालन» यूरोप का पूरा सवाल हल कर देता है। यह आधा ही है — दो परतें एक-दूसरे पर टिकी हैं।

पहली परत: GDPR

GDPR तय करता है कि आप व्यक्तिगत डेटा संसाधित कर भी सकते हैं या नहीं। B2B के लिए सामान्य आधार वैध हित (अनुच्छेद 6(1)(f)) है, और GDPR की प्रस्तावना प्रत्यक्ष मार्केटिंग को संभावित वैध हित के रूप में स्वीकार करती है। यह खुली छूट नहीं है: एक संतुलन परीक्षण चाहिए जिसे आप दिखा सकें — हित ठोस हो, प्रसंस्करण आवश्यक और आनुपातिक हो, और प्राप्तकर्ता के अधिकार व उचित अपेक्षाएँ भारी न पड़ें। साथ में पारदर्शिता (अनुच्छेद 14 के तहत बताना कि डेटा कहाँ से मिला), प्रत्यक्ष मार्केटिंग पर आपत्ति का पूर्ण अधिकार, और पहुँच व मिटाने के अधिकार अनिवार्य हैं।

दूसरी परत: ePrivacy, हर देश में अलग

ePrivacy निर्देश विशेष रूप से बिना माँगे भेजे गए इलेक्ट्रॉनिक संदेशों को नियंत्रित करता है, और चूँकि यह एक निर्देश है, हर सदस्य देश ने अपना कानून बनाया। कानूनी व्यक्तियों यानी कंपनियों के साथ कैसा व्यवहार हो, यह देशों पर छोड़ा गया, और नतीजा एक असली पैचवर्क है:

• जर्मनी सबसे सख़्त बड़ा बाज़ार है। §7 UWG के तहत विज्ञापन ईमेल के लिए पूर्व स्पष्ट सहमति आवश्यक है, और जर्मन व्यवहार इसे व्यावसायिक प्राप्तकर्ताओं पर भी लागू करता है। मौजूदा ग्राहकों के लिए एक संकीर्ण अपवाद है जिसकी शर्तें कड़ी हैं।
• फ्रांस B2B के लिए अधिक व्यावहारिक रुख रखता है। CNIL की प्रकाशित स्थिति यह है कि किसी पेशेवर से उसके पेशेवर पते पर, उसकी पेशेवर भूमिका से जुड़े विषय पर, बिना पूर्व सहमति संपर्क किया जा सकता है, बशर्ते उसे सूचित किया जाए और आपत्ति का सरल साधन दिया जाए।
• स्पेन GDPR के ऊपर LSSI-CE लगाता है: वाणिज्यिक ईमेल के लिए आमतौर पर सहमति या समान उत्पादों पर पूर्व अनुबंधीय संबंध चाहिए, संदेश स्पष्ट रूप से विज्ञापन के रूप में पहचान योग्य हो और उसमें अनसब्सक्राइब हो। वहाँ Lista Robinson नामक राष्ट्रीय बहिष्करण रजिस्टर भी है।
• नीदरलैंड, आयरलैंड और बेल्जियम स्थानीय शर्तों के साथ कॉर्पोरेट पतों पर B2B ईमेल की अनुमति देते हैं। इटली GDPR को सख़्ती से लागू करता है।

व्यावहारिक निष्कर्ष: कोल्ड ईमेल के लिए कोई एकल «यूरोपीय नियम» नहीं है। यदि आपकी सूची आठ देशों तक फैली है, तो आप आठ राष्ट्रीय कानूनों के तहत काम कर रहे हैं। देशवार खंडीकरण और हर खंड पर सबसे सख़्त लागू नियम — यही एकमात्र भरोसेमंद बचाव योग्य तरीका है।

यूनाइटेड किंगडम

ब्रिटेन ने लगभग समान ढाँचा बनाए रखा: UK GDPR और PECR। PECR की सहमति की शर्त «व्यक्तिगत सब्सक्राइबर» पर लागू होती है — उपभोक्ता, एकल स्वामी और अधिकांश साझेदारियाँ। कॉर्पोरेट सब्सक्राइबर (लिमिटेड कंपनियाँ, सरकारी निकाय) को ईमेल के लिए पूर्व सहमति ज़रूरी नहीं, पर किसी पहचाने गए व्यक्ति के डेटा पर UK GDPR लागू रहता है।

अमेरिका: CAN-SPAM

सबसे उदार बड़ा बाज़ार और सबसे ग़लत समझा गया। CAN-SPAM पूर्व सहमति की माँग नहीं करता — न B2C में, न B2B में। वह ईमानदारी की माँग करता है:

• कोई झूठा या भ्रामक हेडर नहीं। From, To, Reply-To और रूटिंग जानकारी भेजने वाले की सही पहचान बताए।
• कोई भ्रामक विषय पंक्ति नहीं।
• विज्ञापन होने पर संदेश को विज्ञापन के रूप में पहचान दें।
• वैध भौतिक डाक पता संदेश में शामिल करें।
• स्पष्ट, कार्यशील ऑप्ट-आउट व्यवस्था, जो भेजने के कम से कम 30 दिन बाद तक काम करे, बिना लॉगिन, शुल्क या अतिरिक्त जानकारी माँगे।
• 10 कार्यदिवसों के भीतर ऑप्ट-आउट का पालन, और ऑप्ट-आउट करने वाले का पता बेचना या स्थानांतरित करना मना।

दो बातें अक्सर छूट जाती हैं: जवाबदेही उस कंपनी की भी है जिसका उत्पाद प्रचारित हो रहा है, केवल भेजने वाली एजेंसी की नहीं; और अलग-अलग राज्यों के अपने नियम हैं — कैलिफ़ोर्निया का CCPA/CPRA अंतर्निहित व्यक्तिगत डेटा को नियंत्रित करता है, भले भेजना CAN-SPAM के अनुरूप हो।

कनाडा: CASL

CASL कनाडा भेजे गए या वहाँ खोले गए वाणिज्यिक इलेक्ट्रॉनिक संदेशों पर लागू होता है और सहमति पर आधारित है। या तो स्पष्ट सहमति (दर्ज ऑप्ट-इन) चाहिए, या निहित सहमति, जो सीमित परिस्थितियों में बनती है: मौजूदा व्यावसायिक संबंध, जिसमें आमतौर पर लेन-देन से दो साल या पूछताछ से छह महीने की खिड़की मिलती है; या पते का प्रकट प्रकाशन — पता सार्वजनिक रूप से प्रकाशित हो, बिना यह कहे कि अवांछित संदेश नहीं चाहिए, और आपका संदेश उसकी पेशेवर भूमिका से प्रासंगिक हो। दोनों शर्तें साथ पूरी होनी चाहिए।

हर संदेश में प्रेषक की पहचान, 60 दिन तक वैध संपर्क जानकारी, और 10 कार्यदिवसों में क्रियान्वित होने वाला अनसब्सक्राइब होना चाहिए। सहमति सिद्ध करने का भार भेजने वाले पर है।

अन्य बाज़ार

ब्राज़ील — LGPD

LGPD काफी हद तक GDPR जैसी है, जिसमें वैध हित का आधार और मजबूत पारदर्शिता शामिल है। CAN-SPAM जैसा समर्पित एंटी-स्पैम कानून वहाँ नहीं है; उपभोक्ता संरक्षण संहिता और स्व-नियमन साथ चलते हैं। वैध हित पर आधारित B2B सिद्धांततः संभव है, पर डेटा का स्रोत समझाना, स्पष्ट अनसब्सक्राइब देना और अनुरोधों का उत्तर देना आवश्यक है।

यूएई और सऊदी अरब

यूएई का संघीय व्यक्तिगत डेटा संरक्षण कानून और सऊदी PDPL दोनों सहमति-उन्मुख हैं और प्रत्यक्ष मार्केटिंग को स्पष्ट रूप से संबोधित करते हैं, आमतौर पर सहमति और ऑप्ट-आउट व्यवस्था की माँग करते हुए। यूएई में DIFC और ADGM जैसे फ्री-ज़ोन के अपने कानून भी हैं, इसलिए लागू कानून इस पर निर्भर करता है कि प्राप्तकर्ता संस्था कहाँ स्थापित है।

रूस

दो कानून साथ लागू होते हैं। संघीय कानून 152-FZ व्यक्तिगत डेटा को नियंत्रित करता है और आधार — व्यवहार में सहमति — तथा डेटा स्थानीयकरण की माँग करता है। अलग से, «विज्ञापन पर» संघीय कानून का अनुच्छेद 18 दूरसंचार नेटवर्क के माध्यम से विज्ञापन वितरण को ग्राहक या प्राप्तकर्ता की पूर्व सहमति के बिना प्रतिबंधित करता है, और सहमति सिद्ध करने का भार विज्ञापनदाता पर डालता है।

ऑस्ट्रेलिया

Spam Act सहमति पर आधारित है पर अनुमानित सहमति को मान्यता देता है जब कार्यालयी पता प्रकट रूप से प्रकाशित हो और संदेश उस व्यक्ति की भूमिका से प्रासंगिक हो — कनाडाई नियम से मिलती-जुलती संरचना।

वास्तविक अस्पष्ट क्षेत्र

यहाँ आत्मविश्वास से भरे उत्तर की तुलना में ईमानदार उत्तर ज़्यादा उपयोगी है। कई आम प्रथाएँ स्पष्ट रूप से अनुमत नहीं, बल्कि अनिर्णीत हैं:

• यूरोपीय प्राप्तकर्ताओं के लिए नाम वाले कार्यालयी ईमेल की बड़े पैमाने पर स्क्रैपिंग। वैध हित लक्षित संपर्क को सहारा दे सकता है, बड़े पैमाने के संग्रह को नहीं; «यह सार्वजनिक रूप से उपलब्ध था» अपने-आप वैध आधार नहीं है।
• पैटर्न से पता अनुमान लगाना। आप अनुमान से व्यक्तिगत डेटा बना रहे हैं और यह दावा नहीं कर सकते कि वह प्रकाशित था।
• क्या पहले ईमेल में ही स्रोत-सूचना पर्याप्त है। सामान्य प्रथा है डेटा स्रोत की एक पंक्ति और गोपनीयता नीति का लिंक; क्या यह हर मामले में दायित्व पूरा करता है, निर्णायक रूप से तय नहीं।
• LinkedIn और अन्य प्लेटफ़ॉर्म संदेश। डेटा कानून डेटा पर लागू है; प्लेटफ़ॉर्म की शर्तें आपके खाते पर, और खाता बंद होना वैधता से स्वतंत्र है।
• स्क्रैप किए गए संपर्कों का स्वचालित संवर्धन। कई स्रोतों को जोड़कर किसी व्यक्ति की प्रोफ़ाइल बनाना प्रसंस्करण की दख़लंदाज़ी बढ़ाता है और संतुलन परीक्षण में आपके ख़िलाफ़ जाता है।

यदि कोई विक्रेता कहे कि इनमें से कुछ हर जगह निश्चित रूप से ठीक है, तो वह बिक्री का दावा है, कानूनी राय नहीं।

व्यावहारिक अनुपालन चेकलिस्ट

यह सब कोल्ड आउटरीच को असंभव नहीं बनाता — लापरवाह आउटरीच को महँगा बनाता है। निम्नलिखित अधिकांश व्यवस्थाओं में टिकता है:

1. सूची को देशवार बाँटें और हर खंड पर सबसे सख़्त लागू नियम अपनाएँ। सबसे उदार बाज़ार के हिसाब से बनी एक वैश्विक नीति ही सबसे आम गलती है।
2. सहमति वाले देशों में सामान्य कंपनी पते (info@, sales@, purchase@) को नाम वाले पतों पर वरीयता दें।
3. पूरी पहचान दें: असली प्रेषक नाम, असली कंपनी, असली भौतिक पता, ईमानदार विषय पंक्ति।
4. हर संदेश में कार्यशील ऑप्ट-आउट रखें — एक क्लिक या एक उत्तर, बिना लॉगिन, शुल्क या «क्यों?» वाले फ़ॉर्म के।
5. ऑप्ट-आउट तेज़ी से लागू करें। कानूनी अधिकतम अक्सर 10 कार्यदिवस है; लक्ष्य तत्काल और स्वचालित रखें।
6. स्थायी सप्रेशन सूची रखें जो CRM बदलने, टूल माइग्रेशन और दोबारा आयात के बाद भी बनी रहे।
7. हर संपर्क का स्रोत दर्ज करें — पता कहाँ से आया, कब, और आपने उसे प्रासंगिक क्यों माना। DPDP, GDPR और CASL — तीनों में सफ़ाई आपको ही देनी है।
8. पहले संदेश में बताएँ कि डेटा कहाँ से मिला और गोपनीयता सूचना का लिंक दें।
9. सहमति वाले देशों में स्क्रैप किए व्यक्तिगत पतों का उपयोग न करें — भारत, जर्मनी, कनाडा, खाड़ी देश, रूस।
10. मात्रा को मानवीय रखें। छोटे, प्रासंगिक, सुविचारित संदेश कानूनी रूप से भी अधिक बचाव योग्य हैं और व्यावसायिक रूप से भी अधिक प्रभावी।

इस चेकलिस्ट का बड़ा हिस्सा सीधे-सीधे अच्छी प्रथा है: प्रासंगिक कंपनियों की साफ़ सूची, जिसमें हर संपर्क का स्रोत दर्ज हो, स्क्रैप किए गए पतों के ढेर की तुलना में बचाव में भी आसान है और उत्तर भी अधिक पाती है। यदि आप मानचित्र डेटा, व्यापार रजिस्ट्रियों और सार्वजनिक कंपनी वेबसाइटों से सूचियाँ बनाते हैं, तो JustLeadIt जैसे टूल हर रिकॉर्ड का स्रोत दिखाई देता रखते हैं — ठीक वही जो तब चाहिए जब कोई पूछे कि उसका संपर्क आपको कहाँ से मिला।

संक्षेप में

भारत में DPDP अधिनियम सहमति-केंद्रित है, इसलिए नामित व्यक्तियों को बिना माँगे भेजे ईमेल को सावधानी से देखें और कंपनी के सामान्य चैनलों को प्राथमिकता दें। अमेरिका में ईमानदारी और असली अनसब्सक्राइब के साथ यह वैध है। यूरोपीय संघ के बड़े हिस्से में वास्तविक B2B आउटरीच वैध हित पर संभव है, पर जर्मनी सहमति के बिना स्पष्ट «नहीं» है। कनाडा, खाड़ी देश और रूस को सहमति-प्रथम मानें। हर जगह न्यूनतम एक ही है: पारदर्शिता, कार्यशील ऑप्ट-आउट, तेज़ सप्रेशन और डेटा स्रोत का रिकॉर्ड — और हर जगह आपके बाज़ार को जानने वाला वकील किसी लेख से अधिक मूल्यवान है, इस लेख से भी।