Zespoły marketingowe muszą przed wysyłką odpowiedzieć na dwa odrębne pytania prawne. RODO reguluje dane osobowe. Dyrektywa o prywatności i łączności elektronicznej (ePrivacy) reguluje komunikację elektroniczną.
RODO reguluje dane osobowe: co czyni przetwarzanie zgodnym z prawem, jakie prawa ma osoba, której dane dotyczą, i co musisz być w stanie wykazać. Dyrektywa ePrivacy, dyrektywa 2002/58/WE, reguluje łączność elektroniczną i to artykuł 13 tej dyrektywy, wdrożony w prawie krajowym każdego państwa członkowskiego, wymaga uprzedniej zgody na niezamówiony marketing e-mailowy i SMS oraz przewiduje wąski wyjątek dla dotychczasowych klientów usługodawcy.
RODO nie jest więc jedynym aktem prawnym przesądzającym, czy można wysłać marketingowy e-mail. Ta strona opiera się na tekście Dziennika Urzędowego. Nie stanowi porady prawnej. Przepisy ePrivacy różnią się w poszczególnych państwach członkowskich.
Czego RODO wymaga od programu marketingowego?
Podstawy prawnej przetwarzania i dowodu na jej istnienie.
Przetwarzanie danych osobowych jest zabronione, chyba że zachodzi jedna z sześciu podstaw:
Processing shall be lawful only if and to the extent that at least one of the following applies:
(a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes;
...
(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject
Do marketingu wykorzystuje się zarówno podstawę (a), jak i (f), a wybór między nimi ma większe znaczenie, niż się wydaje. Uzasadniony interes wymaga przeprowadzenia i udokumentowania testu wyważenia i nie zwalnia cię z wymogu zgody na samą wysyłkę wynikającego z dyrektywy ePrivacy. Wybieranie go dlatego, że zgoda wydaje się uciążliwa, rozwiązuje niewłaściwy problem.
Co liczy się jako zgoda?
Czynność potwierdzająca, a rozporządzenie wprost wyklucza drogi na skróty:
Consent should be given by a clear affirmative act establishing a freely given, specific, informed and unambiguous indication of the data subject's agreement to the processing of personal data relating to him or her ... Silence, pre-ticked boxes or inactivity should not therefore constitute consent.
Artykuł 7 ustanawia następnie cztery warunki, z których każdy wyklucza powszechny wzorzec rejestracji:
1. Where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data.
2. If the data subject's consent is given in the context of a written declaration which also concerns other matters, the request for consent shall be presented in a manner which is clearly distinguishable from the other matters, in an intelligible and easily accessible form, using clear and plain language.
3. The data subject shall have the right to withdraw his or her consent at any time. The withdrawal of consent shall not affect the lawfulness of processing based on consent before its withdrawal. Prior to giving consent, the data subject shall be informed thereof. It shall be as easy to withdraw as to give consent.
4. When assessing whether consent is freely given, utmost account shall be taken of whether, inter alia, the performance of a contract, including the provision of a service, is conditional on consent to the processing of personal data that is not necessary for the performance of that contract.
Trzy praktyczne odczytania:
- Zgoda marketingowa ukryta w regulaminie usługi nie spełnia wymagań ustępu 2, ponieważ nie jest wyraźnie odróżnialna od pozostałych kwestii zawartych w oświadczeniu.
- Subskrypcja jednym kliknięciem z wieloetapową rezygnacją nie spełnia wymagań ustępu 3. Wycofanie zgody musi być równie łatwe jak jej udzielenie. To wymóg symetrii, a nie ogólnej rozsądności.
- Wymaganie zgody marketingowej do korzystania z produktu nie spełnia wymagań ustępu 4, gdy marketing nie jest niezbędny do świadczenia usługi.
Ustęp 1 kształtuje twój schemat danych, a nie formularz. Musisz być w stanie wykazać zgodę, co oznacza zapisanie kiedy została udzielona, co było powiedziane w danym momencie i jaką czynnością wyrażono zgodę, a nie tylko flagę ze statusem „tak".
Co się dzieje, gdy ktoś złoży sprzeciw?
Marketing ustaje, bez wyważania i bez wyjątków.
Większość praw wynikających z RODO podlega ograniczeniom. Prawo sprzeciwu wobec marketingu bezpośredniego nie:
2. Where personal data are processed for direct marketing purposes, the data subject shall have the right to object at any time to processing of personal data concerning him or her for such marketing, which includes profiling to the extent that it is related to such direct marketing.
3. Where the data subject objects to processing for direct marketing purposes, the personal data shall no longer be processed for such purposes.
Porównaj to z ogólnym prawem sprzeciwu w ustępie 1, gdzie administrator może kontynuować przetwarzanie, jeśli "demonstrates compelling legitimate grounds". W ustępie 2 taka klauzula nie istnieje. Dlatego poleganie na uzasadnionym interesie nie czyni listy marketingowej trwalszą niż zgoda: sprzeciw kończy przetwarzanie w obu przypadkach.
Wiąże się z tym również obowiązek informacyjny:
4. At the latest at the time of the first communication with the data subject, the right referred to in paragraphs 1 and 2 shall be explicitly brought to the attention of the data subject and shall be presented clearly and separately from any other information.
W momencie pierwszej komunikacji, przedstawiony odrębnie. Informacja o prawach dostępna wyłącznie przez link do polityki prywatności niekoniecznie spełnia ten wymóg.
Co jeszcze z tego wynika?
Dwie rzeczy, które łatwo potraktować jako formalność, a nimi nie są.
Umowa z platformą wysyłkową. Dostawca wysyłający w twoim imieniu jest podmiotem przetwarzającym, a RODO wymaga konkretnej pisemnej umowy między wami. Czym jest umowa powierzenia przetwarzania danych opisuje, co artykuł 28 nakazuje w takiej umowie zawrzeć.
Gdzie przechowywane są dane. Transfery poza UE wymagają osobnej podstawy prawnej, co sprawia, że region przechowywania i przetwarzania danych to kwestia zgodności, a nie preferencja infrastrukturalna. Czym jest rezydencja danych opisuje, jak to działa na Bird.
W skrócie
RODO nie jest przepisem, który wymaga zgody na wysyłkę.
Ten przepis znajduje się w dyrektywie o prywatności i łączności elektronicznej (ePrivacy). RODO reguluje dane osobowe, które przechowujesz i przetwarzasz, a to inne pytanie z inną odpowiedzią.
Zgoda ma definicję, a milczenie jej nie spełnia.
Wstępnie zaznaczone pola i bierność są wykluczone, a wycofanie zgody musi być równie łatwe jak jej udzielenie.
Prawo sprzeciwu wobec marketingu bezpośredniego jest bezwzględne.
Nie ma testu wyważenia ani uzasadnionego interesu, który by się temu oparł. Gdy ktoś złoży sprzeciw, przetwarzanie w celach marketingowych ustaje.
Musisz umieć wykazać zgodę, a nie tylko ją posiadać.
Ciężar dowodu spoczywa na administratorze, co oznacza, że rejestr kiedy i w jaki sposób zgoda została udzielona jest częścią wymagania.