,,Kiedy obejmowałem urząd prezydenta, jedynie eksperci od fizyki słyszeli o terminie World Wide Web. Teraz nawet mój kot ma swoją stronę. Bill Clinton, 1996r.
Dane osobowe w e-marketingu - regulacje prawne Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną. Art. 10 - zakaz przesyłania niezamówionej informacji handlowej drogą elektroniczną bez zgody adresata wiadomości. (pierwszeństwo przed ustawą o ochronie danych osobowych) Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Art. 7 pkt 5 Zgoda na przetwarzanie danych osobowych to oświadczenie woli, zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może być odwołana w każdym czasie. Ustawa z dnia 27 lipca 2001 r. o ochronie baz danych. Art. 6 ust. 1 - Producentowi bazy danych przysługuje wyłączne i zbywalne prawo pobierania danych i wtórnego ich wykorzystania w całości lub w istotnej części, co do jakości lub ilości.
Dane osobowe w marketingu ADRES POCZTY ELEKTRONICZNEJ (E-MAIL) Czy e-mail jest daną osobową? imię.nazwisko@domena.pl imię.nazwisko@odo24.pl misiaczek@gmail.pl i.nazwisko@gmail.com NUMER TELEFONU Czy numer telefonu to dana osobowa? 501 800 900 XYZ Sp. z o.o. + numer telefonu PPHU Jan Kowalski + numer telefonu Imię i nazwisko + numer telefonu Imię + numer telefonu Czy adres IP usługobiorcy to dana osobowa?
Zgoda osoby, której dane dotyczą rodzaje zgody ZGODA NA PRZETWARZANIE DANYCH W CELU ŚWIADCZENIA USŁUGI Może być wymuszona jeżeli przetwarzanie konkretnych danych jest niezbędne do świadczenia usługi. Brak zgody = brak usługi. ZGODA HANDLOWA I MARKETINGOWA Musi być dobrowolna, konkretna, jednoznaczna, wyraźna i świadoma. Nie może być domniemana lub dorozumiana. Może obejmować również podmioty trzecie. ZGODA NA OTRZYMYWANIE INFORMACJI HANDLOWYCH DROGĄ ELEKTRONICZNĄ Musi być dobrowolna, konkretna, jednoznaczna, wyraźna i świadoma. Nie może być domniemana lub dorozumiana. Może obejmować również podmioty trzecie. Fakt jej wyrażenia musi być utrwalony (w celach dowodowych)
Obowiązek informacyjny w e-marketingu OBOWIĄZEK INFORMACYJNY BEZPOŚREDNI (art. 24 UoODO) Przyjmuję do wiadomości, że administratorem danych osobowych podanych w powyższym formularzu jest..., moje dane osobowe są przetwarzane w celu..., posiadam prawo wglądu do moich danych, ich poprawiania oraz podaję moje dane dobrowolnie. OBOWIĄZEK INFORMACYJNY POŚREDNI (art. 25 UoODO) (przekazany osobie) Uprzejmie informujemy, że administratorem Pana/Pani dany osobowych w postaci. jest Pana/Pani dane osobowe są przetwarzane w celu.. Pana/Pani dane osobowe pochodzą od. Posiada Pan/Pani prawo wglądu do treści swoich danych oraz ich poprawiania, a także prawo do żądania zaprzestania przetwarzania danych jak również prawo do złożenia skargi wobec przetwarzania danych w konkretnym celu. Czy można wysyłać zapytania o zgodę na przetwarzanie danych w celu wysyłania informacji handlowych drogą elektroniczną?
E-marketing własny czy outsourcing Kto jest administratorem danych właścicielem danych? Kto jest producentem bazy? Kto jest określony jako nadawca wiadomości (mailingu)? E-MAREKTING WŁASNY: My jesteśmy administratorem danych. My jesteśmy podmiotem, do którego składa się skargę. My ponosimy odpowiedzialność za naruszenie prawa do prywatności osoby fizycznej. E-MAREKTING W OUTSOURCINGU: Nie my jesteśmy administratorem danych. Nie my jesteśmy podmiotem, do którego składa się skargę. Nie my ponosimy odpowiedzialność za naruszenie prawa do prywatności osoby fizycznej. SAM MAILING W OUTSOURCINGU.
,,Swobody obywatelskie są jak kapiszony: czuje się je dopiero wtedy, gdy się na nie nadepnie Paul Reynaud
Własne bazy danych, a legalność baz obcych WŁASNE BAZY DANYCH Dane z biuletynów informacyjnych, formularzy kontaktowych, konkursów, programów lojalnościowych, eventów, etc. Wstępne zainteresowanie marką, produktem lub usługą. (jakość bazy) Pierwszy kontakt = pierwsze wrażenie. Budowanie wizerunku. OBCE BAZY DANYCH Dane te z reguły pochodzą z publicznie dostępnych źródeł (internetu, publicznie dostępnych rejestrów, kradzieży). Dane te często są nieaktualne, nie ma możliwość zweryfikowania daty ich opublikowania (zebrania). Dane te z reguły nie są sprofilowane, potencjalni klienci wcale nie są zainteresowani naszą usługą lub produktem. Dane nie posiadają wymaganych prawem zgód.
Żądanie zaprzestania przetwarzania danych REALIZACJA PRAWA DO INFORMACJI Każda osoba, której dane przetwarzamy ma prawo raz na 6 miesięcy zwrócić się do administratora danych o przekazanie w zrozumiałej dla niej formie informacji o wszelkich danych (przetwarzanych w konkretnym zbiorze) jakie są na jej temat przetwarzane oraz o odbiorcach tych danych. ŻĄDANIE CAŁKOWITEGO ZAPRZESTANIA PRZETWARZANIA DANYCH Każda osoba ma prawo do żądania zaprzestania przetwarzania jej danych oraz ich usunięcia ze względu na szczególne okoliczności. ŻĄDANIE ZAPRZESTANIA PRZETWARZANIA DANYCH W KONKRETNYM CELU Marketingowym Przekazywania innym podmiotom. Zgoda może być w każdym czasie odwołana!
Skargi składane do GIODO i organów ścigania SKAGI DO GIODO Skargę do GIODO może złożyć każdy. GIODO nie jest związany treścią skargi. Wystarczy podać swoje imię, nazwisko i adres zamieszkania oraz wnieść opłatę skarbową w kwocie 10 zł. Znaczna część skarg jest nieuzasadniona, Jednak mogą one być podstawą do sygnalizacji lub kontroli bezpośredniej. CHARAKTER SKARG Znaczna część skarg, który wpłynęły do GIODO W 2013r. dotyczyła w mniejszym lub większym stopniu działań marketingowych w szczególności przetwarzania danych osobowych w celu wysyłania niezamówionych informacji handlowych. (SPAMU) ZAWIADOMIENIE O PODEJRZENIU POPEŁNIENIA PRZESTĘPSTWA.
Kontrole i odpowiedzialność usługodawcy INSPEKTORZY GIODO MOGĄ Kontrolować podmioty w godzinach 6.00 22.00. Mają prawo wstępu do wszystkich pomieszczeń gdzie mogą być dane osobowe. Sprawdzać zgodność dokumentacji ODO ze stanem faktycznym. Sprawdzać przeszkolenie pracowników w zakresie ODO. NEGATYWNY WYNIK KONTROLI OZNACZA, ŻE Mamy 30 dni na usunięcie braków wykrytych w trakcie kontroli. Możemy zostać ukarani karą grzywny, za nie dostosowanie się do decyzji GIODO. Musimy poświęć czas własny i naszych pracowników oraz, często, dodatkowe środki na szybkie dostosowanie się do wymogów ustawy ODO.
E-marketing w grupach kapitałowych GRUPA KAPITAŁOWA I OCHRONA DANYCH OSOBOWYCH. Przepisy UoODO nie przewidują istnienia grup kapitałowych 1 spółka = 1 administrator danych osobowych Zgoda wyrażona jednemu podmiotowi nie jest równoznaczna ze zgodą dla całej grupy kapitałowej. Kształt zgody marketingowej PRZEPŁYW DANYCH OSOBOWYCH W GRUPIE KAPITAŁOWEJ Konieczność podpisania umów powierzenia przetwarzania danych pomiędzy poszczególnymi spółkami. Bazy danych muszą mieć swojego właściciela Dane klienta jednej spółki nie mogą być przekazane drugiej spółce bez poinformowania o tym klienta. Zakup/przejęcie spółki powoduje obowiązek informacyjny klienta.
Umowy powierzenia i poufności Z KIM NALEŻY PODPISAĆ UMOWY POWIERZENIA? Z podmiotami, które w ramach świadczonych nam usług przetwarzają dane osobowe (w tym i mailing zewnętrzny), które są w naszych zasobach np.: - firmy hostingowe (Data Center) - firmy e-marketingowe - SaaS oprogramowanie marketingowe - wypożyczanie baz danych (na licencji) A Z KIM UMOWY O ZACHOWANIU POUFNOŚCI? Z podmiotami, które w ramach świadczonych nam usług nie przetwarzają danych osobowych, ale mogą mieć do nich dostęp, np.: - doradztwo e-commerce - organizatorzy eventów, targów - reklama (wykorzystanie wizerunku pracowników)
E-marketing w krajach Europy zachodniej NIEMCY Podwójna zgoda (rejestracja na stronie + potwierdzenie mailowe) Zakaz wysyłania mailingu bez zgody (nawet do firm) FRANCJA Można wysyłać informacje handlowe bez zgody, jeżeli jest to adres biznesowy (biuro@domena.pl) Zawsze musi być możliwość wypisania się z mailingu. WŁOCHY Można wysyłać na każdy adres, jeżeli został on przekazany w kontekście biznesowym. Konieczność podania prawdziwego (aktywnego) adresu zwrotnego nadawcy. WIELKA BRYTANIA Przepisy bardzo zbliżone do polskich, można wysyłać mailing za zgodą.
Przykłady nieprawidłowych działań NIEPRAWIDŁOWOŚCI Wysyłanie informacji handlowych bez zgody ich odbiorców Mieszanie celów przetwarzania (mailing dostają również byli pracownicy) Mieszanie baz danych w ramach grupy kapitałowej Brak spełnienia obowiązku informacyjnego Brak Regulaminu ŚUDE lub Polityki prywatności Brak reakcji na żądanie zaprzestania przetwarzania MOŻLIWE SKUTKI Kontrola GIODO + decyzja administracyjna (nakaz usunięcia bazy danych) Utrata dobrego wizerunku szum medialny, złe opinie na forach/blogach czy portalach społecznościowych Kontrole wewnętrzne w ramach grupy kapitałowej Kontrole klientów lub zwiększanie kar umownych Pozwy cywilne i konieczność wypłaty odszkodowań
Przykłady właściwych działań - dobre praktyki PRAWIDŁOWE DZIAŁANIA Stworzenie systemu ochrony danych osobowych Przygotowanie i wdrożenie dokumentacji ODO Przeszkolenie osób z zakresu ochrony danych osobowych Zgłoszenie zbiorów do rejestracji w GIODO Podpisanie umów powierzenia przetwarzania. SKUTKI DZIAŁAŃ WŁAŚCIWYCH Kontrola nad przepływem danych osobowych Kontrola nad dostępem do baz danych Zwiększona świadomość pracowników Zmniejszone ryzyko negatywnego wyniku kontroli wewnętrznych, zewnętrznych i państwowych Zmniejszone ryzyko pozwów cywilnych
DZIĘKUJĘ Konrad Gałaj-Emiliańczyk k.galaj@odo24.pl