Регламент Европейского парламента 2016/679 по защите персональных данных GDPR вступит в силу 25 мая 2018 года. Мы изучили его основные принципы, нововведения и возможные штрафы за нарушения. Как подготовиться email маркетологу к новым правилам, расскажем в нашей статье.
Что такое GDPR
Цифровой маркетинг основан на анализе больших объемов данных о потребителях. Эта информация помогает создавать релевантные предложения и достигать больших результатов.
Сайты сохраняют файлы cookie, чтобы отследить предпочтения пользователя, операторы сотовой связи ведут учет входящих и исходящих звонков и записывают телефонные разговоры. Facebook распознает лицо на фотографии и предлагает отметить человека. Instagram отображает посты в ленте на основе просмотров, лайков и комментариев пользователя.
Однако обрабатывать информацию нужно законно. Именно для этого и вступают в силу обновленные правила Регламента — General Data Protection Regulation (GDPR). Согласно этому Постановлению, компаниям, которые работают с личной информацией пользователей, нужно пересмотреть три главных аспекта:
- Сбор данных.
- Обработку, хранение, изменение, удаление и передачу полученных сведений.
- Безопасность персональных данных.
На кого распространяется GDPR
Россия, Украина, Беларусь и другие страны СНГ не попадают под действие законодательства ЕС, но если в вашей базе подписчиков есть хоть один европеец, соблюдать правила придется.
Ответственные стороны
Давайте рассмотрим, кто участвует в сборе, обработке и хранении информации и какие обязанности выполняет:
- Субъект данных — человек, который оставил личную информацию.
- Контролер (data controller) — тот, кто получает персональные данные, а затем определяет цели и механизм их обработки (processing). Контролером считается любой бизнес, который собирает и использует информацию о пользователях. Он рассказывает зачем собирают данные, документирует процессы обработки, оценивает риски, связанные со сбором информации, заботится о безопасности данных и уведомляет надзорные органы и граждан о проблемах с ними.
- Обработчик (data processor) — компания-подрядчик, которая собирает, обрабатывает и хранит персональные данные по поручению контролера. В email маркетинге эту нишу занимает сервис рассылок. Обработчик уведомляет контролера о нарушениях.
- Надзорный орган (supervisory authority) — сторона, которая следит за обработкой персональных данных. Этот орган определяет значимость нарушения и назначает соответствующие штрафы.
Штрафы
Потенциальные штрафы за несоблюдение правил GDPR суровы. Они делятся на две категории и зависят от типа нарушения.
До 10 миллионов евро
Эта сумма или 2% от годового дохода компании — в зависимости от того, какая из них будет больше, назначается за нарушения обязательств контролера и обработчика. Сюда входят согласие на обработку данных ребенка и безопасность персональных данных.
До 20 миллионов евро
Такой размер штрафа или 4% от годового оборота компании — в зависимости от того, какая сумма будет больше, грозит за нарушение ключевых правил GDPR. Это основные права субъектов данных, принципы обработки и передачи персональных данных, правила согласия.
Если нарушение незначительное, компания получит выговор.
Рассмотрим ключевые принципы обработки данных согласно GDPR.
Законность, справедливость и прозрачность
Компания объясняет простым и понятным языком для чего и на каких условиях собирает персональные данные. Пользователь получает открытый доступ к этой информации, благодаря чему знает, как используются предоставленные сведения, и осознает риски, правила и свои права в их отношении.
В email маркетинге часто используют лид-магниты, чтобы увеличить базу подписчиков. Это полезный контент в виде бесплатных пробных периодов, статей, руководств и других материалов, которые потребитель получает не за деньги, а в обмен на контактные данные.
Чтобы такой метод соответствовал правилам GDPR, получите явное согласие пользователей на хранение и обработку данных. Такое согласие заключается в утвердительном действии подписчика, например:
- галочка на сайте,
- выбор технических настроек в личном кабинете сайта,
- либо другое действие или документальное подтверждение того, что подписчик ознакомился с порядком обработки данных.
Как получить явное согласие в email маркетинге
При подписке просите пользователей ознакомиться с политикой конфиденциальности (privacy policy) и правилами использования (terms of use). В этих документах подробно опишите, каким образом вы собираете сведения о клиентах, как систематизируете, храните, изменяете и удаляете их.
Собирайте базу адресов с помощью double opt-in. При single opt-in пользователь вводит электронный адрес и нажимает «подписаться». Если же используется double opt-in, пользователю нужно дополнительно перейти по ссылке или нажать на кнопку в письме-подтверждении. Это и является активным действием субъекта данных, которым он дает явное согласие на обработку и хранение личной информации.
Как вариант, под активным действием субъекта данных может подразумеваться проставленная галочка в чекбоксе формы, как на примере ниже. В первом чекбоксе пользователь отметит, что ознакомлен с правилами использования и политикой конфиденциальности, а во втором согласится на рассылку. Не проставляйте галочки заранее — такое согласие не соответствует правилам GDPR.
Используйте другие каналы коммуникации. Наладить контакт можно не только с помощью email. Достойная альтернатива — это web push уведомления. При подписке на web push пользователи не оставляют персональные данные, но дают явное согласие получать уведомления, нажимая кнопку «Разрешить».
С помощью web push вы сможете оповестить клиентов о новостях, акциях и других важных событиях.
Минимизация данных
Регламент призывает маркетологов собирать лишь релевантные сведения о клиентах, которые понадобятся для выполнения целей. Если вам нужно знать размер верхней одежды подписчика или его цветовые предпочтения, обоснуйте зачем. Иначе собирать эти данные не рекомендуется.
Не просите лишней информации
Ограничивайтесь минимумом и обдумывайте вопросы, которые вы задаете в письмах-опросниках и формах подписки.
К примеру, туристическая компания Massachusetts Office of Travel & Tourism добавляет опрос в рассылку, приуроченную к Хеллоуину, но интересуется только тем, что поможет предложить релевантный тур.
Нажимая кнопку «Принять участие в опросе», подписчик переходит к страницам, где оставляет свои данные:
- возраст,
- информацию о детях,
- города в штате Массачусетс, которые желает посетить,
- когда предпочитает путешествовать: на выходные или в будни,
- отношение к страшным развлечениям в этот праздник.
Точность
Согласно этому принципу, пользователь имеет право попросить компанию об исправлении неточной или неактуальной информации о себе. Реагировать на такие запросы нужно быстро, поэтому разработайте удобную систему обновления данных.
Предложите подписчикам обновить предпочтения
Добавьте ссылку на страницу настроек в письмо (email preferences, update preferences, manage preferences) или подключите службу поддержки к изменению личной информации пользователя. При наличии страницы настроек, пользователи смогут перейти по ссылке и обновить данные о себе самостоятельно. Смотрите, как это делает компания Astley Clarke в своем письме.
Вот что может изменить подписчик на странице предпочтений Astley Clarke:
Ограничение цели
Собирайте и используйте личную информацию только в заявленных целях. Не утаивайте свои намерения от пользователя и обязательно просите повторного согласия, если первоначальная цель изменилась.
Говорите правду пользователям
Чтобы повторно не обращаться к подписчикам, продумайте все цели сбора данных наперед и четко обозначьте их в политике конфиденциальности.
В каких целях можно собирать данные:
- регистрация аккаунта,
- обращение в службу поддержки,
- предоставление услуги или использование продукта,
- отправка сообщений о продукте, новости и предложения компании.
Ограничение хранения
Компании разрешается хранить личные данные пользователя до тех пор, пока это необходимо для целей обработки.
Продумайте политику хранения данных
В отдельном пункте политики конфиденциальности опишите, как долго вы храните данные и что с ними происходит, когда подписчик уходит от вас.
Целостность и конфиденциальность
Компания несет ответственность за сохранность полученных данных, а значит защищает их от незаконной обработки, случайной потери, уничтожения или повреждения.
При утечке личной информации не мешкайте. В течение 72 часов сообщите пользователю и Национальному органу по защите данных (Data Protection Authorities) о случившемся.
В России данную функцию исполняет Роскомнадзор. В уведомление входит расследование инцидента, его причины, а также описание принятых мер. Все это необходимо для своевременной реакции субъектов и минимизации финансовых и других потерь.
Заботьтесь о безопасности данных и приучайте к этому пользователей
Не покупайте, не передавайте и не раскрывайте персональную информацию — это незаконно. Рекомендуйте зарегистрированным у вас пользователям установить надежный пароль, не разглашать его и периодически менять для более надежной защиты.
Перенесите информацию о пользователях из файлов Excel и Google Docs в систему CRM — это безопаснее и удобнее.
Права субъектов данных
Новые правила GDPR расширяют права европейцев по контролю своих персональных данных. Ответственность за их соблюдение несет контролер.
Доступ
Не ограничивайте доступ пользователя к данным. Рассказывайте, кто использует полученную информацию и зачем. Указывайте период хранения.
Портативность
Теперь пользователь может попросить электронную копию своих персональных данных. И передать материалы пользователю или другому сервису нужно в течение 30 дней. Такое нововведение упрощает процесс смены сервиса.
Удаление данных
При желании пользователь может отозвать свое согласие на обработку данных и отправить запрос на их удаление. Реагируйте на такие запросы без промедлений.
Для email маркетинга — это в первую очередь изъятие электронного адреса субъекта из всех адресных книг. Прямая ссылка отписки в письме ускоряет этот процесс. Если подписчик больше не хочет получать рассылки, ему достаточно нажать на кнопку или перейти по ссылке «отписаться».
В сервисе SendPulse вам не придется удалять каждого отписавшегося вручную. Адреса таких пользователей попадают в список отписавшихся и в дальнейшем рассылка на эти адреса блокируется.
Ограничение обработки данных
Если пользователя не устраивает автоматическая обработка данных, он может запросить, чтобы его профиль составлял вручную живой человек. Опишите в правилах конфиденциальности, как у вас происходит ручная обработка данных и кто из сотрудников в ней задействован.
Защита детей
Чтобы собирать и обрабатывать данные детей до 16 лет, сначала получите согласие родителей. Не забудьте указать в политике конфиденциальности, как именно дети будут подписываться на рассылку.
Подведем итоги
Чтобы соответствовать требованиям принципов GDPR и уберечь себя от штрафов, начните с этих пяти шагов:
- Настройте double opt-in для сбора базы подписчиков.
- Добавьте два чекбокса в форму подписки: «ознакомлен с политикой конфиденциальности» и «согласен на рассылку».
- Собирайте не больше данных, чем нужно для достижения целей, и сообщайте о них пользователям.
- Включите ссылку на страницу предпочтений в рассылку, чтобы подписчик мог исправить устаревшие данные самостоятельно.
- Разработайте механизмы, которые предотвратят утечку, повреждение или потерю данных.
- Проведите аудит существующей email базы.
Адреса тех подписчиков, которые не дали явное согласие на сбор и обработку своих данных, необходимо переподписать заново или удалить. Для этого отправьте по этим подписчикам рассылку с просьбой подтвердить свое желание получать письма от вас. В письме информируйте о новых правилах сбора данных, которые прописаны в политике конфиденциальности.
Loading...
