邮件合规：CAN-SPAM、GDPR 和全球法规指南

电子邮件营销合规不是可选的——它对于保护您的业务、维护订阅者信任以及避免高达数百万美元的高额罚款至关重要。随着法规持续发展和全球执法力度加强,理解和实施适当的合规实践从未如此重要。本综合手册涵盖所有主要电子邮件法规、实践实施策略以及 2025 年的最新要求。

为什么电子邮件合规在 2025 年很重要

电子邮件合规格局已发生重大变化。全球监管机构正在积极执行罚款,风险从未如此之高。

财务现实

各法规的最高罚款:

GDPR: 高达 2000 万欧元或全球年收入的 4%(以较高者为准)
CAN-SPAM: 每封违规电子邮件高达 51,744 美元
CASL: 组织每次违规高达 1000 万加元
CCPA: 每次故意违规高达 7,500 美元

这些罚款是按违规次数计算的。一个发送给 100,000 订阅者的不合规营销活动理论上可能导致数十亿美元的罚款。虽然并不总是执行最高罚款,但执法是真实存在且正在增加的。

实际执法案例

2024-2025 年重大案例:

亚马逊 (GDPR): 因未经适当同意的行为广告被罚款 7.46 亿欧元
Meta/WhatsApp (GDPR): 因透明度违规被罚款 2.25 亿欧元
西班牙沃达丰 (GDPR): 因未经同意营销被罚款 815 万欧元
CompuFinder (CASL): 加拿大首例重大 CASL 罚款 110 万美元

如需更多执法案例和经验教训,请参阅我们的电子邮件营销罚款指南。

超越财务罚款

声誉损害: 执法行动公开化,损害品牌信任和客户关系。

可投递性影响: 不合规的做法导致垃圾邮件投诉、黑名单和收件箱送达率降低。

运营中断: 调查消耗资源,分散领导层注意力,可能需要重大流程改革。

客户流失: 感到隐私被侵犯的订阅者会离开——并告诉他人。

道德基础

除了法律要求,合规反映了对订阅者的基本尊重:

他们信任您使用个人信息
他们应该控制如何使用这些信息
他们的收件箱是他们的私人空间
同意和透明度建立持久关系

理解全球监管格局

电子邮件营销受到重叠法规的监管,具体取决于您的业务运营地点和订阅者所在位置。

监管模式

选择加入模式(需要同意):

欧盟 (GDPR + 电子隐私)
加拿大 (CASL)
澳大利亚(垃圾邮件法)
大多数更严格的司法管辖区

选择退出模式(可以发送直到取消订阅):

美国 (CAN-SPAM)
一些监管较少的市场

关键洞察: 全球趋势是转向选择加入要求。现在建立基于同意的流程可以为未来的法规做好准备。

如需完整的国家/地区细分,请参阅我们的国际电子邮件法律指南。

CAN-SPAM 法案(美国)

《控制非请求色情和营销侵扰法案》为美国的商业电子邮件建立了基本要求。

CAN-SPAM 适用对象

商业电子邮件: 主要目的是广告或推广商业产品或服务的电子邮件。

交易电子邮件: 与约定交易相关的电子邮件(订单确认、账户更新)要求较少,但仍必须准确和诚实。

地理范围: 如果您向美国收件人发送电子邮件,无论您的业务位于何处,CAN-SPAM 都适用。

CAN-SPAM 的七项要求

1. 不得使用虚假或误导性的标头信息

"发件人"、"收件人"、"回复"和路由信息必须准确并识别发件人。

✅ 合规: From: "Sarah at BillionVerify" <sarah@billionverify.com> ❌ 不合规: From: "Customer Service" <reply@randomdomain.com> (如果不是该公司)

2. 不得使用欺骗性主题行

主题行必须准确反映电子邮件内容。

✅ 合规: "您的每周营销技巧" ❌ 不合规: "回复:您的账户"(如果这不是关于他们账户的回复)

3. 将消息标识为广告

商业电子邮件必须明确标识为广告,尽管法律在如何实现这一点上提供了灵活性。

4. 包含实际邮政地址

每封商业电子邮件都必须包含您有效的实际邮政地址——街道地址、邮政信箱或注册的私人邮箱。

5. 提供明确的取消订阅机制

必须包含明确、显著的退出方式,该方式:

在发送后至少 30 天内有效
不需要登录或费用
易于找到和使用

6. 及时执行取消订阅请求

必须在 10 个工作日内处理退出请求。不能收取费用、要求个人信息或设置障碍。

7. 监控第三方合规性

如果其他人代表您发送电子邮件(附属公司、合作伙伴、代理机构),您需要对他们的合规性负责。

CAN-SPAM 罚款

每封违规电子邮件高达 51,744 美元
使用收集、欺骗或使用僵尸网络的刑事处罚
发件人和代表他们发送的公司都可能承担责任

CAN-SPAM 最佳实践

重要: CAN-SPAM 不需要事先同意——但这并不意味着您不应该获得同意。基于许可的营销提供更好的参与度、更少的投诉和更强的客户关系。

如需详细的 CAN-SPAM 指导,请参阅我们的 CAN-SPAM 合规指南。

《通用数据保护条例》是世界上最严格的隐私法规,对电子邮件营销有重大影响。

如果您符合以下条件,GDPR 适用:

在欧盟有订阅者
在欧盟有业务存在
向欧盟居民提供商品或服务
监控欧盟居民的行为

地理覆盖范围: 无论您的业务位于何处,GDPR 都适用。

GDPR 要求在发送营销电子邮件之前获得明确、知情、自由给予的同意。

同意必须是:

明确的: 需要主动选择加入。不能预先勾选复选框,不能从沉默或不作为中暗示同意。

知情的: 清楚解释他们同意的内容、谁将联系他们以及如何使用数据。

自由给予的: 不能将服务与不必要的同意挂钩。订阅者不应该为了使用您的产品而必须接受营销。

具体的: 为不同目的分别同意(营销 vs. 第三方共享 vs. 不同的通信类型)。

可证明的: 您必须能够证明同意是如何给予的——什么、何时以及如何。

✅ 合规表单:

□ 我同意接收来自 BillionVerify 的营销电子邮件,
  内容涉及电子邮件验证技巧和产品更新。
  查看我们的隐私政策。

❌ 不合规表单:

☑ 我同意接收来自 BillionVerify 和合作伙伴的电子邮件
  (预先勾选的复选框、捆绑同意)

欧盟订阅者拥有您必须尊重的特定权利:

访问权: 请求其数据副本
更正权: 更正不准确的数据
删除权: 请求删除("被遗忘权")
限制处理权: 限制您如何使用其数据
数据可移植权: 以可转移格式接收数据
反对权: 反对处理,包括营销
撤回同意权: 随时撤销许可

高达 2000 万欧元或全球年营业额的 4%(以较高者为准)
较低级别: 对于不太严重的违规,高达 1000 万欧元或 2%
监管机构调查和公开执法行动

如需全面的 GDPR 指导,请参阅我们的 GDPR 电子邮件营销指南。

CCPA/CPRA(加利福尼亚州)

《加州消费者隐私法》经《加州隐私权法》修订,是影响电子邮件营销的最全面的美国州隐私法。

CCPA 适用对象

CCPA 适用于符合以下条件的企业:

在加州开展业务,且
满足以下任一门槛:
- 年总收入超过 2500 万美元
- 每年购买、出售或共享 100,000 名以上加州居民/家庭的个人信息
- 年收入的 50% 以上来自出售/共享个人信息

CCPA 消费者权利

知情权: 消费者可以要求披露您收集的个人信息、来源、目的和接收者。

删除权: 消费者可以要求删除其个人信息(有例外)。

更正权 (CPRA): 消费者可以要求更正不准确的信息。

选择退出出售/共享权: 消费者可以指示您不要出售或共享其个人信息——包括用于跨上下文行为广告。

不歧视权: 不能因消费者行使其权利而惩罚他们。

CCPA 电子邮件营销影响

数据收集披露: 在收集电子邮件地址之前,告知消费者您收集什么以及为什么。

隐私政策要求: 必须披露收集的个人信息类别、目的、接收数据的第三方以及消费者权利。

"请勿出售或共享"链接: 如果您与广告平台共享订阅者数据用于定位,则需要此链接。

CCPA 罚款

每次非故意违规高达 2,500 美元
每次故意违规高达 7,500 美元
数据泄露的私人诉讼权(每位消费者每次事件 100-750 美元)

如需详细的 CCPA 指导,请参阅我们的 CCPA 电子邮件营销指南。

CASL(加拿大)

加拿大的反垃圾邮件法是世界上最严格的同意要求之一。

CASL 适用对象

CASL 适用于发送到或来自加拿大的商业电子消息 (CEM),包括电子邮件、短信和社交媒体消息。

CASL 同意要求

明示同意(首选且永久):

明确、主动选择加入
书面同意记录
描述消息目的
发件人识别
除非撤回,否则不会过期

默示同意(有限且临时):

现有业务关系: 自上次交易起 24 个月
询问关系: 自询问起 6 个月
公开发布的地址: 必须与收件人的角色相关

关键: 默示同意会过期。您必须转换为明示同意或停止发送。

CASL 内容要求

每个 CEM 必须包括:

明确的发件人标识
联系信息(邮寄地址加电话/电子邮件/网站)
有效的取消订阅机制(60 天内有效)
在 10 个工作日内处理退出

CASL 罚款

个人: 每次违规高达 100 万加元
组织: 每次违规高达 1000 万加元
董事和高级管理人员的个人责任
私人诉讼权(个人可以起诉)

如需全面的 CASL 指导,请参阅我们的 CASL 合规指南。

其他全球法规

电子邮件合规超出了这些主要法规。

英国(脱欧后)

英国 GDPR: 在很大程度上反映了欧盟 GDPR,具有英国特定元素。

PECR: 电子营销的附加规则,包括现有客户的软选择加入。

澳大利亚(2003 年垃圾邮件法)

需要同意(明示或推断)
发件人标识和有效取消订阅
罚款高达每天 222 万澳元

巴西 (LGPD)

巴西的数据保护法反映了 GDPR:

同意要求
数据主体权利
罚款高达巴西收入的 2%(上限 5000 万雷亚尔)

其他司法管辖区

日本: 特定电子邮件传输规范法
韩国: 信息通信网络利用促进法
新加坡: 垃圾邮件控制法和 PDPA
印度: 数字个人数据保护法 (2023)

最佳实践: 发送国际邮件时,应用最严格的相关标准。

如需完整的国际覆盖,请参阅我们的国际电子邮件法律指南。

建立合规的电子邮件计划

实现和维护所有法规合规的实用步骤。

同意管理

适当的同意管理是合规的基础。

在注册时:

清楚描述他们将收到什么
主动选择加入复选框(默认未选中)
链接到隐私政策
为不同目的分别同意
记录时间戳、来源和同意文本

同意表单示例:

注册我们的新闻通讯

电子邮件: [________________]

□ 我想接收来自 BillionVerify 的每周电子邮件营销技巧
  和产品更新。

注册即表示您同意我们的隐私政策。
您可以随时取消订阅。

[订阅]

同意记录必须包括:

电子邮件地址
同意的日期和时间
来源(表单 URL、API 等)
显示的确切同意文本
IP 地址(可选但有帮助)
后续更改

取消订阅最佳实践

使其简单:

尽可能一键取消订阅
无需登录
无冗长表单
立即确认

偏好中心替代方案: 提供完全取消订阅的替代方案:

降低电子邮件频率
选择电子邮件类型
暂时暂停订阅
更新电子邮件地址

页脚示例:

您收到此邮件是因为您在 billionverify.com 注册。

管理偏好 | 取消订阅

BillionVerify
123 Main Street, Suite 100
San Francisco, CA 94105

数据主体请求处理

GDPR 要求在 30 天内响应(对于复杂请求可延长至 90 天)。

访问请求:

提供对个人持有的所有数据
解释如何使用
以常用格式提供

删除请求:

删除所有数据,除非有合法理由保留
确认删除
停止所有处理
维护抑制列表以防止重新添加

流程设置:

指定负责的团队成员
创建请求接收流程
记录验证程序
建立响应模板
跟踪所有请求
维护响应 SLA

隐私政策要求

您的隐私政策必须涵盖:

您收集什么数据
如何使用
与谁共享
数据保留期限
如何行使权利
如何联系您

GDPR 特定要求:

控制者身份和联系方式
数据保护官联系方式(如适用)
处理的法律依据
国际转移详情
向监管机构提出投诉的权利

数据保护措施

实施适当的数据保护措施:

技术措施:

订阅者数据加密
访问控制和身份验证
安全监控
定期漏洞评估

组织措施:

数据处理政策
员工培训
供应商安全评估
事件响应程序

列表卫生和合规

干净的列表就是合规的列表

退信电子邮件可能表明:

过时的同意
无效地址
潜在的购买列表

了解更多关于电子邮件列表卫生和维护干净的电子邮件列表的信息。

电子邮件验证支持合规:

确认真实、可投递的地址
删除潜在的垃圾邮件陷阱
识别一次性电子邮件
捕获表明收集做法不佳的拼写错误

使用 BillionVerify 电子邮件验证:

使用实时 API 在收集点进行验证
使用批量验证在大型营销活动之前进行验证
定期对整个列表进行维护

常见的合规错误

避免这些导致罚款的常见错误。

错误 1: 购买或租用列表

问题: 购买的列表很少有适当的同意。

违规:

GDPR: 无有效同意
CASL: 无明示同意
CAN-SPAM: 合法但破坏可投递性

解决方案: 仅向直接选择加入您的通信的人发送电子邮件。

错误 2: 预先勾选的同意框

问题: 预先勾选的复选框在 GDPR 或 CASL 下不构成有效同意。

解决方案: 未勾选的复选框需要主动、肯定的选择。

错误 3: 隐藏或破坏取消订阅链接

问题: 微小的、难以找到的或无法正常工作的取消订阅链接。

违规: CAN-SPAM、GDPR、CASL 都要求明确、有效的取消订阅。

解决方案: 在每封电子邮件中显著的一键取消订阅。定期测试。

错误 4: 忽略取消订阅请求

问题: 在退出请求后继续发送电子邮件。

违规: 所有主要法规都要求及时执行退出。

解决方案: 立即抑制、自动处理、实时列表同步。

错误 5: 缺少实际地址

问题: 商业电子邮件中没有邮政地址。

违规: CAN-SPAM 要求实际地址。

解决方案: 在每封商业电子邮件的页脚中包含有效的实际地址。

错误 6: 捆绑同意

问题: 将营销同意埋在服务条款或其他协议中。

违规: GDPR 要求自由给予的特定同意。

解决方案: 单独的、清楚标记的营销同意及其自己的复选框。

错误 7: 无同意记录

问题: 无法证明何时以及如何获得同意。

违规: GDPR 要求可证明的同意。

解决方案: 从第一天开始全面的同意记录。

错误 8: 忽略国际法规

问题: 假设本国法律适用于所有订阅者。

违规: 根据订阅者位置,可能适用多个司法管辖区。

解决方案: 应用最严格的适用标准;如果需要,按司法管辖区分段。

如需更多合规失败和经验教训,请参阅电子邮件营销罚款。

按电子邮件类型划分的合规

不同的电子邮件类型有不同的要求。

营销电子邮件

适用最严格的要求:

需要明确同意 (GDPR、CASL)
完全符合 CAN-SPAM
强制性简易取消订阅
需要广告标识

请参阅我们的电子邮件营销最佳实践指南。

交易电子邮件

更灵活但不是无限制:

可以在没有营销同意的情况下发送
必须与约定的交易相关
不能主要是促销性质
仍需要准确的标头和主题

示例: 订单确认、发货通知、账户更新、密码重置。

注意: 向交易电子邮件添加营销内容可能会将它们转换为受完全要求约束的商业电子邮件。

关系电子邮件

需要仔细处理的灰色地带:

新闻通讯(通常是商业性质)
产品更新(可能是交易性质)
续订提醒(可能是交易性质)

最佳实践: 将不明确的情况视为商业/营销并获得适当的同意。

合规文档

文档保护您的业务并展示诚信合规。

基本文档

隐私政策: 您收集什么数据、如何使用、与谁共享、保留期限、如何行使权利。

同意记录: 他们同意了什么、何时、如何以及显示的确切同意文本。

数据处理记录: 处理的类别和目的、接收者、保留期限、安全措施。

程序文档: 数据主体请求流程、违规通知流程、同意收集程序、取消订阅处理。

定期审查计划

每月:

审查取消订阅处理
检查投诉率
审计同意收集

每季度:

审查合规程序
更新文档
培训新团队成员

每年:

完整合规审计
政策审查和更新
法律/法规检查
第三方评估

合规快速参考清单

CAN-SPAM 清单

[ ] 准确的发件人信息
[ ] 诚实的主题行
[ ] 广告标识
[ ] 包含实际地址
[ ] 有效的取消订阅链接
[ ] 在 10 个工作日内执行退出
[ ] 监控第三方合规性

[ ] 获得并记录明确同意
[ ] 维护包含完整详细信息的同意记录
[ ] 发布并可访问隐私政策
[ ] 建立数据主体权利流程
[ ] 实践数据最小化
[ ] 实施适当的安全措施
[ ] 国际转移保障措施(如适用)

CASL 清单

[ ] 记录明示或有效默示同意
[ ] 跟踪默示同意到期
[ ] 在每条消息中清楚标识发件人
[ ] 包含联系信息(地址 + 电话/电子邮件/网站)
[ ] 有效的取消订阅(60 天内有效)
[ ] 在 10 个工作日内处理退出

CCPA 清单

[ ] 隐私政策包含所需披露
[ ] 提供收集时通知
[ ] 建立消费者请求处理流程
[ ] "请勿出售或共享"链接(如适用)
[ ] 更新服务提供商协议

2025 年合规趋势

保持领先于不断发展的要求。

加强执法

全球监管机构正在投资执法资源。预计会有更多调查和更大的罚款。

州隐私法扩展

除了加州,弗吉尼亚州、科罗拉多州、康涅狄格州和犹他州已经颁布了隐私法。更多州正在跟进。建立适应性合规框架。

AI 和个性化审查

随着 AI 在电子邮件营销中变得更加普遍,预计会对自动决策和分析实践进行审查。

电子隐私法规的发展和浏览器的变化正在影响电子邮件跟踪。准备好降低打开跟踪可靠性。

跨境执法合作

国际执法合作正在增加。非欧盟公司不能假设他们超出了 GDPR 的范围。

结论

电子邮件合规不仅仅是避免罚款——而是尊重订阅者和建立可持续的营销计划。蓬勃发展的组织是那些将合规视为建立信任的机会,而不仅仅是法律义务的组织。

需要记住的关键原则:

同意是基础: 如有疑问,请获得明确许可。这是最安全和最有防御性的方法。
使取消订阅变得简单: 它在法律上保护您并尊重订阅者偏好。
记录一切: 如果您无法证明合规,您可能不合规。
保持最新: 法规不断发展;您的做法也必须发展。
质量胜于数量: 合规的、经过验证的列表优于更大的不合规列表。
应用最严格的标准: 当法规重叠时,应用最严格的适用要求。

合规和列表质量密不可分。无效地址可能表明同意做法不佳,而经过验证的列表则展示了适当的收集方法。使用 BillionVerify 电子邮件验证确保您的列表仅包含合法、适当收集的、可投递的地址。

其他资源:

准备好通过经过验证的有效电子邮件地址支持您的合规工作了吗? 从 BillionVerify 开始,确保您的订阅者列表符合最高质量标准。