Tim pemasaran harus memenuhi dua pertanyaan hukum yang berbeda sebelum mengirim. GDPR mengatur data pribadi. ePrivacy Directive mengatur komunikasi elektronik.
GDPR mengatur data pribadi: apa yang membuat pemrosesan sah, hak apa yang dimiliki seseorang, dan apa yang harus dapat Anda tunjukkan. ePrivacy Directive, Directive 2002/58/EC, mengatur komunikasi elektronik, dan Pasal 13 dari direktif tersebut, sebagaimana diimplementasikan dalam hukum nasional masing-masing negara anggota, yang mewajibkan persetujuan terlebih dahulu untuk pemasaran yang tidak diminta melalui email dan SMS serta menyediakan pengecualian terbatas bagi penyedia layanan terhadap pelanggan yang sudah ada.
Oleh karena itu, GDPR bukan satu-satunya instrumen yang menentukan apakah email pemasaran boleh dikirim. Halaman ini mengikuti teks Official Journal. Ini bukan nasihat hukum. Aturan ePrivacy berbeda di setiap negara anggota.
Apa yang diminta GDPR dari program pemasaran?
Dasar hukum untuk pemrosesan, beserta buktinya.
Pemrosesan data pribadi dilarang kecuali salah satu dari enam dasar hukum berlaku:
Processing shall be lawful only if and to the extent that at least one of the following applies:
(a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes;
...
(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject
Baik (a) maupun (f) digunakan untuk pemasaran, dan pilihannya lebih berdampak dari yang terlihat. Legitimate interests mengharuskan Anda telah melakukan dan mendokumentasikan uji keseimbangan, dan itu tidak membebaskan Anda dari aturan persetujuan ePrivacy untuk pengiriman itu sendiri. Memilihnya karena persetujuan terasa memberatkan berarti menyelesaikan masalah yang salah.
Apa yang termasuk persetujuan?
Tindakan afirmatif, dan Regulasi ini menutup jalan pintas secara eksplisit:
Consent should be given by a clear affirmative act establishing a freely given, specific, informed and unambiguous indication of the data subject's agreement to the processing of personal data relating to him or her ... Silence, pre-ticked boxes or inactivity should not therefore constitute consent.
Pasal 7 kemudian menetapkan empat syarat, dan masing-masing mengesampingkan pola pendaftaran yang umum:
1. Where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data.
2. If the data subject's consent is given in the context of a written declaration which also concerns other matters, the request for consent shall be presented in a manner which is clearly distinguishable from the other matters, in an intelligible and easily accessible form, using clear and plain language.
3. The data subject shall have the right to withdraw his or her consent at any time. The withdrawal of consent shall not affect the lawfulness of processing based on consent before its withdrawal. Prior to giving consent, the data subject shall be informed thereof. It shall be as easy to withdraw as to give consent.
4. When assessing whether consent is freely given, utmost account shall be taken of whether, inter alia, the performance of a contract, including the provision of a service, is conditional on consent to the processing of personal data that is not necessary for the performance of that contract.
Tiga pembacaan praktis:
- Persetujuan pemasaran yang disembunyikan dalam ketentuan layanan melanggar paragraf 2, karena tidak dapat dibedakan dengan jelas dari hal-hal lain dalam pernyataan tersebut.
- Berlangganan satu klik dengan berhenti langganan bertahap melanggar paragraf 3. Pencabutan harus semudah pemberian, yang merupakan persyaratan simetri, bukan kelayakan umum.
- Mewajibkan persetujuan pemasaran untuk menggunakan produk melanggar paragraf 4, ketika pemasaran tersebut tidak diperlukan untuk menyediakan layanan.
Paragraf 1 adalah yang membentuk skema data Anda, bukan formulir Anda. Anda harus dapat menunjukkan persetujuan, yang berarti menyimpan kapan persetujuan diberikan, apa yang disampaikan saat itu, dan melalui tindakan apa, bukan sekadar flag bertuliskan ya.
Apa yang terjadi ketika seseorang menolak?
Pemasaran berhenti, tanpa uji keseimbangan dan tanpa pengecualian.
Sebagian besar hak GDPR bersifat terbatas. Hak untuk menolak pemasaran langsung tidak:
2. Where personal data are processed for direct marketing purposes, the data subject shall have the right to object at any time to processing of personal data concerning him or her for such marketing, which includes profiling to the extent that it is related to such direct marketing.
3. Where the data subject objects to processing for direct marketing purposes, the personal data shall no longer be processed for such purposes.
Bandingkan dengan hak umum untuk menolak di paragraf 1, di mana pengendali data dapat melanjutkan jika "demonstrates compelling legitimate grounds". Klausul semacam itu tidak ada di paragraf 2. Inilah mengapa mengandalkan legitimate interests tidak membuat daftar pemasaran lebih tahan lama dibanding persetujuan: penolakan mengakhirinya dalam kedua skenario.
Ada juga kewajiban pengungkapan yang melekat:
4. At the latest at the time of the first communication with the data subject, the right referred to in paragraphs 1 and 2 shall be explicitly brought to the attention of the data subject and shall be presented clearly and separately from any other information.
Pada saat komunikasi pertama, disajikan secara terpisah. Pemberitahuan hak yang hanya dapat dijangkau melalui tautan kebijakan privasi tidak jelas memenuhi persyaratan ini.
Apa lagi yang terkait?
Dua hal yang mudah dianggap sekadar administrasi, padahal bukan.
Kontrak dengan platform pengiriman Anda. Penyedia yang mengirim atas nama Anda adalah pemroses data, dan GDPR mewajibkan kontrak tertulis spesifik antara Anda dan penyedia tersebut. Apa itu data processing agreement membahas apa yang diwajibkan Pasal 28 dalam kontrak tersebut.
Lokasi penyimpanan data. Transfer ke luar EU memerlukan dasar hukumnya sendiri, yang menjadikan wilayah tempat data Anda disimpan dan diproses sebagai pertanyaan kepatuhan, bukan preferensi infrastruktur. Apa itu data residency membahas cara kerjanya di Bird.
Singkatnya
GDPR bukan aturan yang mewajibkan persetujuan untuk mengirim.
Aturan itu ada di ePrivacy Directive. GDPR mengatur data pribadi yang Anda simpan dan proses, yang merupakan pertanyaan berbeda dengan jawaban berbeda.
Persetujuan memiliki definisi, dan diam bukan persetujuan.
Kotak centang yang sudah terisi dan ketidakaktifan dikecualikan, dan persetujuan harus semudah dicabut seperti saat diberikan.
Hak untuk menolak pemasaran langsung bersifat mutlak.
Tidak ada uji keseimbangan dan tidak ada legitimate interest yang bertahan. Begitu seseorang menolak, pemrosesan untuk pemasaran berhenti.
Anda harus dapat menunjukkan persetujuan, bukan sekadar memilikinya.
Beban ada pada pengendali data, sehingga catatan kapan dan bagaimana persetujuan diberikan menjadi bagian dari persyaratan.