संदेश भेजने से पहले मार्केटिंग टीमों को दो अलग कानूनी प्रश्नों की शर्तें पूरी करनी होती हैं। GDPR व्यक्तिगत डेटा को नियंत्रित करता है। ePrivacy Directive इलेक्ट्रॉनिक संचार को नियंत्रित करता है।
GDPR व्यक्तिगत डेटा को नियंत्रित करता है: प्रोसेसिंग किन आधारों पर वैध है, व्यक्ति के क्या अधिकार हैं, और आपको क्या दिखा पाना ज़रूरी है। ePrivacy Directive, यानी Directive 2002/58/EC, इलेक्ट्रॉनिक संचार को नियंत्रित करता है। इसी डायरेक्टिव का Article 13, जैसा हर सदस्य देश ने अपने कानून में लागू किया है, ईमेल और SMS से भेजी जाने वाली बिना माँगी मार्केटिंग के लिए पहले से सहमति माँगता है। यही Article प्रदाता के अपने मौजूदा ग्राहकों के लिए एक सीमित छूट भी देता है।
इसलिए मार्केटिंग ईमेल भेजा जा सकता है या नहीं, यह अकेले GDPR तय नहीं करता। यह पेज Official Journal का पाठ अपनाता है। यह कानूनी सलाह नहीं है। ePrivacy नियम हर सदस्य देश में अलग होते हैं।
मार्केटिंग प्रोग्राम के लिए GDPR क्या माँगता है?
प्रोसेसिंग के लिए एक वैध आधार, और उसका प्रमाण।
व्यक्तिगत डेटा की प्रोसेसिंग तब तक प्रतिबंधित है, जब तक छह आधारों में से कोई एक लागू न हो:
Processing shall be lawful only if and to the extent that at least one of the following applies:
(a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes;
...
(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject
मार्केटिंग के लिए (a) और (f) दोनों का उपयोग होता है, और इनमें से चुनाव का असर जितना दिखता है उससे ज़्यादा है। वैध हित (legitimate interests) के लिए आपको संतुलन का आकलन करना और उसे दर्ज करना होता है। यह आधार आपको संदेश भेजने के लिए ePrivacy के सहमति नियम से मुक्त भी नहीं करता। सहमति को कठिन मानकर इसे चुनने से असली समस्या हल नहीं होती।
सहमति किसे माना जाता है?
एक सकारात्मक कार्य को, और Regulation शॉर्टकट को स्पष्ट रूप से खारिज करता है:
Consent should be given by a clear affirmative act establishing a freely given, specific, informed and unambiguous indication of the data subject's agreement to the processing of personal data relating to him or her ... Silence, pre-ticked boxes or inactivity should not therefore constitute consent.
इसके बाद Article 7 चार शर्तें तय करता है, और हर शर्त साइनअप के एक आम तरीके को खारिज करती है:
1. Where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data.
2. If the data subject's consent is given in the context of a written declaration which also concerns other matters, the request for consent shall be presented in a manner which is clearly distinguishable from the other matters, in an intelligible and easily accessible form, using clear and plain language.
3. The data subject shall have the right to withdraw his or her consent at any time. The withdrawal of consent shall not affect the lawfulness of processing based on consent before its withdrawal. Prior to giving consent, the data subject shall be informed thereof. It shall be as easy to withdraw as to give consent.
4. When assessing whether consent is freely given, utmost account shall be taken of whether, inter alia, the performance of a contract, including the provision of a service, is conditional on consent to the processing of personal data that is not necessary for the performance of that contract.
व्यवहार में इसके तीन अर्थ:
- सेवा की शर्तों में छिपी मार्केटिंग सहमति paragraph 2 पर खरी नहीं उतरती, क्योंकि वह घोषणा के बाकी विषयों से स्पष्ट रूप से अलग नहीं होती।
- एक क्लिक में सब्सक्राइब और कई चरणों में अनसब्सक्राइब paragraph 3 पर खरा नहीं उतरता। सहमति वापस लेना उतना ही आसान होना चाहिए जितना उसे देना। यह बराबरी की शर्त है, सामान्य तर्कसंगतता की नहीं।
- उत्पाद इस्तेमाल करने के लिए मार्केटिंग सहमति अनिवार्य करना पैराग्राफ 4 का उल्लंघन है, जब सेवा देने के लिए मार्केटिंग ज़रूरी न हो।
पैराग्राफ 1 आपके फ़ॉर्म को नहीं, बल्कि आपके स्कीमा को आकार देता है। आपको सहमति प्रमाणित कर पाना होगा। इसका मतलब है कि आप यह संग्रहीत करें कि सहमति कब दी गई, उस समय क्या कहा गया था और किस कार्य से दी गई। सिर्फ़ "हाँ" वाला फ़्लैग काफ़ी नहीं है।
जब कोई आपत्ति करता है, तब क्या होता है?
मार्केटिंग रुक जाती है। इसमें न कोई संतुलन परीक्षण होता है, न कोई अपवाद।
GDPR के ज़्यादातर अधिकार शर्तों के साथ आते हैं। डायरेक्ट मार्केटिंग पर आपत्ति का अधिकार ऐसा नहीं है:
2. Where personal data are processed for direct marketing purposes, the data subject shall have the right to object at any time to processing of personal data concerning him or her for such marketing, which includes profiling to the extent that it is related to such direct marketing.
3. Where the data subject objects to processing for direct marketing purposes, the personal data shall no longer be processed for such purposes.
इसकी तुलना पैराग्राफ 1 में आपत्ति के सामान्य अधिकार से करें। वहाँ कंट्रोलर प्रोसेसिंग जारी रख सकता है, अगर वह "demonstrates compelling legitimate grounds"। पैराग्राफ 2 में ऐसा कोई प्रावधान नहीं है। इसलिए वैध हित पर निर्भर रहने से मार्केटिंग सूची सहमति की तुलना में ज़्यादा टिकाऊ नहीं बनती। दोनों ही स्थितियों में आपत्ति उसे समाप्त कर देती है।
इसके साथ जानकारी देने का एक दायित्व भी जुड़ा है:
4. At the latest at the time of the first communication with the data subject, the right referred to in paragraphs 1 and 2 shall be explicitly brought to the attention of the data subject and shall be presented clearly and separately from any other information.
यह जानकारी पहले संचार के समय और अलग से दी जानी चाहिए। अगर अधिकारों की सूचना सिर्फ़ प्राइवेसी पॉलिसी के लिंक से ही मिलती है, तो यह शर्त स्पष्ट रूप से पूरी नहीं होती।
इसके साथ और क्या लागू होता है?
दो चीज़ें, जिन्हें सिर्फ़ कागज़ी काम मान लेना आसान है, पर वे ऐसी नहीं हैं।
आपके भेजने वाले प्लेटफ़ॉर्म के साथ अनुबंध। जो प्रदाता आपकी ओर से संदेश भेजता है, वह प्रोसेसर है। GDPR आपके और उसके बीच एक विशिष्ट लिखित अनुबंध की माँग करता है। Article 28 के अनुसार उस अनुबंध में क्या होना चाहिए, यह डेटा प्रोसेसिंग एग्रीमेंट क्या है में बताया गया है।
डेटा कहाँ रखा है। EU के बाहर डेटा ट्रांसफ़र के लिए अलग आधार चाहिए। इसलिए आपका डेटा जिस क्षेत्र में संग्रहीत और प्रोसेस होता है, वह इंफ़्रास्ट्रक्चर की पसंद नहीं, बल्कि अनुपालन का सवाल है। Bird पर यह कैसे काम करता है, यह डेटा रेज़िडेंसी क्या है में बताया गया है।
संक्षेप में
भेजने के लिए सहमति की अपेक्षा GDPR नहीं करता।
यह नियम ePrivacy Directive में है। GDPR उस व्यक्तिगत डेटा को नियंत्रित करता है जिसे आप रखते और प्रोसेस करते हैं। यह एक अलग प्रश्न है और इसका उत्तर भी अलग है।
सहमति की एक परिभाषा है, और चुप्पी उस पर खरी नहीं उतरती।
पहले से टिक किए गए बॉक्स और निष्क्रियता सहमति नहीं माने जाते। सहमति वापस लेना उतना ही आसान होना चाहिए जितना उसे देना था।
डायरेक्ट मार्केटिंग पर आपत्ति करने का अधिकार पूर्ण है।
इसमें कोई संतुलन परीक्षण नहीं होता, और कोई भी वैध हित इस आपत्ति के सामने टिक नहीं पाता। जैसे ही कोई व्यक्ति आपत्ति करता है, मार्केटिंग के लिए प्रोसेसिंग बंद हो जाती है।
आपके पास सहमति होना काफ़ी नहीं है, आपको उसे साबित भी कर पाना चाहिए।
यह साबित करने की ज़िम्मेदारी कंट्रोलर पर है। इसलिए सहमति कब और कैसे दी गई, इसका रिकॉर्ड रखना भी इस अपेक्षा का हिस्सा है।