GDPR και email marketing: πρακτικός οδηγός συμμόρφωσης

Τι απαιτεί πραγματικά ο GDPR από όσους κάνουν email marketing

Με απλά λόγια: ο Γενικός Κανονισμός για την Προστασία Δεδομένων (Κανονισμός (ΕΕ) 2016/679) δεν περιέχει κανόνα που να λέει «χρειάζεστε συγκατάθεση για να στείλετε email». Αυτό που ρυθμίζει είναι τα προσωπικά δεδομένα πίσω από το πρόγραμμα email σας. Χρειάζεστε νομική βάση για την επεξεργασία τους, διαφάνεια, ακρίβεια, περιορισμό αποθήκευσης, ασφάλεια και απόδειξη όλων αυτών. Το άρθρο 5 παράγραφος 2 το θέτει σε μία γραμμή: ο υπεύθυνος επεξεργασίας «φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση» με τις αρχές επεξεργασίας.

Ο κανόνας που αποφασίζει αν επιτρέπεται να πατήσετε αποστολή βρίσκεται σε άλλο νομοθέτημα, την οδηγία ePrivacy. Τα περισσότερα άρθρα για το θέμα συγχέουν τα δύο και δίνουν λάθος απάντηση. Ο διαχωρισμός τους είναι το νόημα αυτού του οδηγού.

Το άρθρο αυτό αποτελεί πρακτική καθοδήγηση για ανθρώπους του μάρκετινγκ, όχι νομική συμβουλή. Παραθέτει πρωτογενείς πηγές ώστε να τις ελέγξετε, αλλά το δίκαιο προστασίας δεδομένων εφαρμόζεται από εθνικές αρχές και δικαστήρια, οι εθνικές μεταφορές διαφέρουν και οι δικές σας συνθήκες μετρούν. Πριν αλλάξετε μια ροή συγκατάθεσης, έναν κανόνα διατήρησης δεδομένων ή μια διεθνή διαβίβαση, ζητήστε συμβουλή από ειδικό στη δικαιοδοσία σας.

GDPR και ePrivacy: δύο νομοθετήματα, μία αποστολή

Τι λέει η οδηγία ePrivacy

Η οδηγία 2002/58/ΕΚ, η οδηγία ePrivacy, όπως τροποποιήθηκε από την οδηγία 2009/136/ΕΚ, θέτει τον κανόνα αποστολής. Το άρθρο 13 παράγραφος 1 επιτρέπει ηλεκτρονικό ταχυδρομείο για άμεσο μάρκετινγκ μόνο προς συνδρομητές που έχουν δώσει προηγούμενη συγκατάθεση. Το «ηλεκτρονικό ταχυδρομείο» ορίζεται ευρέως και τεχνολογικά ουδέτερα: η γνώμη 5/2004 της Ομάδας Εργασίας του άρθρου 29 επιβεβαίωσε ότι καλύπτει τόσο τα newsletters όσο και τα SMS και παρόμοια αποθηκευμένα μηνύματα. Το άρθρο 13 παράγραφος 2 θεσπίζει την εξαίρεση για υφιστάμενους πελάτες, ενώ το άρθρο 13 παράγραφος 4 απαγορεύει email μάρκετινγκ που αποκρύπτει την ταυτότητα του αποστολέα ή δεν διαθέτει «έγκυρη διεύθυνση στην οποία ο παραλήπτης μπορεί να αποστείλει αίτημα παύσης των επικοινωνιών αυτών».

Γιατί αυτό έχει σημασία στην πράξη

Η συγκατάθεση δεν ορίζεται στην οδηγία ePrivacy. Παίρνει το νόημά της από το γενικό δίκαιο προστασίας δεδομένων: το άρθρο 94 παράγραφος 2 του GDPR ορίζει ότι οι παραπομπές στην καταργηθείσα οδηγία 95/46/ΕΚ νοούνται ως παραπομπές στον GDPR. Έτσι η ePrivacy αποφασίζει πότε χρειάζεται συγκατάθεση για την πράξη της αποστολής, και ο GDPR αποφασίζει τι θεωρείται συγκατάθεση και πώς την αποδεικνύετε.

Μπορείτε επομένως να έχετε έγκυρη βάση κατά τον GDPR για να κρατάτε και να αναλύετε μια εγγραφή επαφής και να μην έχετε κανένα δικαίωμα να στείλετε email σε αυτό το άτομο. Και επειδή η ePrivacy είναι οδηγία και όχι κανονισμός, μεταφέρεται στο εθνικό δίκαιο, οπότε οι λεπτομέρειες διαφέρουν μεταξύ κρατών μελών.

Επιλέγοντας νομική βάση για το email marketing

Συγκατάθεση

Η συγκατάθεση κατά το άρθρο 6 παράγραφος 1 στοιχείο α) είναι αυτή στην οποία στηρίζονται τα περισσότερα καταναλωτικά προγράμματα email, και για καλό λόγο: όταν η ePrivacy απαιτεί ούτως ή άλλως προηγούμενη συγκατάθεση για την αποστολή, η χρήση της συγκατάθεσης ως βάσης του GDPR κρατά μία ιστορία αντί για δύο. Το κόστος είναι ότι μπορεί να ανακληθεί ανά πάσα στιγμή κατά το άρθρο 7 παράγραφος 3.

Έννομο συμφέρον

Το άρθρο 6 παράγραφος 1 στοιχείο στ) επιτρέπει επεξεργασία απαραίτητη για τα έννομα συμφέροντα του υπευθύνου επεξεργασίας, εκτός αν υπερισχύουν τα συμφέροντα ή τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων. Η αιτιολογική σκέψη 47 λέει ρητά ότι «η επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπούς άμεσης εμπορικής προώθησης μπορεί να θεωρηθεί ότι διενεργείται χάριν έννομου συμφέροντος».

Αυτή η πρόταση παρατίθεται συνεχώς για να υποστηριχθεί ότι η συγκατάθεση είναι προαιρετική. Διαβάστε την προσεκτικά. Αφορά τη βάση επεξεργασίας κατά τον GDPR, λέει «μπορεί να», οπότε πρέπει ακόμη να κάνετε και να τεκμηριώσετε τη στάθμιση, και δεν λέει τίποτα για τον κανόνα της ePrivacy σχετικά με την αποστολή. Το έννομο συμφέρον είναι πιο υπερασπίσιμο για την επεξεργασία γύρω από το πρόγραμμά σας, όπως η τμηματοποίηση, ο αποκλεισμός και η ανάλυση, καθώς και για επαφές μεταξύ επιχειρήσεων όπου οι εθνικοί κανόνες αντιμετωπίζουν διαφορετικά τους εταιρικούς συνδρομητές. Είναι αδύναμο θεμέλιο για ψυχρό καταναλωτικό email στην ΕΕ.

Η ήπια συγκατάθεση για υφιστάμενους πελάτες

Το άρθρο 13 παράγραφος 2 της οδηγίας ePrivacy είναι η πραγματική εξαίρεση. Όταν κάποιος αποκτά στοιχεία επικοινωνίας email πελατών «στο πλαίσιο της πώλησης προϊόντος ή υπηρεσίας», το ίδιο πρόσωπο μπορεί να τα χρησιμοποιήσει για να προωθήσει «δικά του παρόμοια προϊόντα ή υπηρεσίες», εφόσον στους πελάτες «δίνεται σαφώς και ευδιάκριτα η δυνατότητα να αντιταχθούν, δωρεάν και εύκολα» τόσο κατά τη συλλογή των στοιχείων όσο και σε κάθε επόμενο μήνυμα.

Η Ομάδα Εργασίας του άρθρου 29 ανέφερε ότι η εξαίρεση αυτή «is limited in several ways and must be interpreted restrictively». Τρεις περιορισμοί αξίζει να απομνημονευθούν:

• Ισχύει μόνο για πραγματικούς πελάτες. Όποιος εγκατέλειψε ένα ταμείο δεν καλύπτεται.
• Μόνο το ίδιο νομικό πρόσωπο που συνέλεξε τη διεύθυνση μπορεί να στείλει. Θυγατρικές και μητρικές εταιρείες δεν είναι η ίδια εταιρεία.
• Μόνο παρόμοια προϊόντα ή υπηρεσίες πληρούν τις προϋποθέσεις, κρινόμενα από τις εύλογες προσδοκίες του παραλήπτη και όχι από τις φιλοδοξίες του αποστολέα.

Πώς διαφέρει η ήπια συγκατάθεση μεταξύ κρατών μελών

Επειδή η οδηγία μεταφέρθηκε εθνικά, εδώ η ίδια συμβουλή αποκλίνει πραγματικά ανά αγορά.

Στην Ιρλανδία, ο κανονισμός 13 παράγραφος 11 του S.I. No. 336/2011 επαναλαμβάνει την εξαίρεση και προσθέτει αυστηρό χρονικό όριο: η πώληση πρέπει να έγινε «not more than 12 months prior to the sending of the direct marketing communication», ή τα στοιχεία πρέπει να έχουν χρησιμοποιηθεί για email μάρκετινγκ μέσα σε αυτό το διάστημα.

Στο Ηνωμένο Βασίλειο, ο αντίστοιχος κανόνας είναι ο κανονισμός 22 του PECR, και η ICO δεν αναφέρει τέτοιο χρονικό όριο. Περιγράφει την ήπια συγκατάθεση ως καλύπτουσα έναν υφιστάμενο πελάτη «who bought (or negotiated to buy) a similar product or service from you in the past», και σημειώνει ότι δεν ισχύει για υποψήφιους πελάτες, αγορασμένες λίστες ή μη εμπορικές προωθήσεις όπως φιλανθρωπικοί έρανοι και πολιτικές εκστρατείες.

Δύο γειτονικές αγορές, δύο ουσιωδώς διαφορετικοί κανόνες. Μην υποθέτετε ποτέ ότι η εκδοχή της χώρας σας ταξιδεύει.

Τι σημαίνει πραγματικά έγκυρη συγκατάθεση

Το άρθρο 4 σημείο 11 ορίζει τη συγκατάθεση ως «κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν». Το ΕΣΠΔ ανέπτυξε κάθε στοιχείο στις κατευθυντήριες γραμμές 05/2020 για τη συγκατάθεση, που εκδόθηκαν στις 4 Μαΐου 2020.

Τα τέσσερα στοιχεία

• Ελεύθερα δοσμένη. Το άρθρο 7 παράγραφος 4 ορίζει ότι λαμβάνεται «ιδιαιτέρως υπόψη» αν μια σύμβαση εξαρτάται από συγκατάθεση σε επεξεργασία που δεν είναι απαραίτητη γι’ αυτήν. Μην κάνετε τη συγκατάθεση για μάρκετινγκ προϋπόθεση της ολοκλήρωσης της παραγγελίας.
• Συγκεκριμένη. Όταν η επεξεργασία έχει πολλαπλούς σκοπούς, η συγκατάθεση πρέπει να δίνεται για όλους (αιτιολογική σκέψη 32). Διαφορετικοί σκοποί χρειάζονται ξεχωριστές επιλογές: η εγγραφή σε newsletter δεν είναι συγκατάθεση για SMS ούτε για κοινοποίηση δεδομένων σε συνεργάτες.
• Ενημερωμένη. Το άρθρο 7 παράγραφος 2 απαιτεί ένα αίτημα συγκατάθεσης ενσωματωμένο σε ευρύτερη δήλωση να είναι «σαφώς διακριτό από τα άλλα θέματα, σε κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση».
• Ρητή. Πρέπει να υπάρχει δήλωση ή σαφής θετική ενέργεια.

Τι δεν μετράει

Η αιτιολογική σκέψη 32 είναι κοφτή: «Ως εκ τούτου, η σιωπή, τα προσυμπληρωμένα τετραγωνίδια ή η αδράνεια δεν θα πρέπει να εκλαμβάνονται ως συγκατάθεση». Ούτε ένα πλαίσιο θαμμένο μέσα σε όρους, ούτε ένα τσεκάρισμα που καλύπτει email, SMS, κατάρτιση προφίλ και κοινοποίηση σε συνεργάτες.

Ανάκληση

Το άρθρο 7 παράγραφος 3 δίνει το δικαίωμα ανάκλησης της συγκατάθεσης ανά πάσα στιγμή, απαιτεί το άτομο να ενημερώνεται εκ των προτέρων για αυτό το δικαίωμα, και ορίζει ότι «η ανάκληση της συγκατάθεσης είναι εξίσου εύκολη με την παροχή της». Αν κάποιος μπορεί να εγγραφεί με ένα κλικ, μια ροή ανάκλησης που απαιτεί σύνδεση και μια θαμμένη σελίδα ρυθμίσεων δεν πληροί το πρότυπο. Η ανάκληση δεν έχει αναδρομική ισχύ: η επεξεργασία που έγινε πριν παραμένει νόμιμη.

Απόδειξη: τι πρέπει να μπορείτε να αποδείξετε

Το άρθρο 7 παράγραφος 1 είναι σύντομο και κρίσιμο: «Όταν η επεξεργασία βασίζεται σε συγκατάθεση, ο υπεύθυνος επεξεργασίας είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε». Μια στήλη «έδωσε συγκατάθεση: ναι» δεν αποδεικνύει τίποτα. Μια εγγραφή που ανασυνθέτει τη στιγμή της συγκατάθεσης, ναι.

Τι να καταγράφετε κατά την εγγραφή

Συλλέξτε και αποθηκεύστε, ανά επαφή και ανά σκοπό:

• Χρονική σήμανση της ενέργειας συγκατάθεσης, σε σταθερή ζώνη ώρας.
• Πηγή και μέθοδο: ποια φόρμα, URL σελίδας, κανάλι ή εκδήλωση εκτός διαδικτύου.
• Την ακριβή διατύπωση συγκατάθεσης και την έκδοση της δήλωσης απορρήτου που εμφανίστηκε. Ένα αναγνωριστικό έκδοσης που παραπέμπει σε αρχειοθετημένη διατύπωση είναι πιο πρακτικό από την αποθήκευση ολόκληρου κειμένου σε κάθε γραμμή.
• Τους συγκεκριμένους σκοπούς που έγιναν αποδεκτοί, ως ξεχωριστές σημαίες αντί για μία δυαδική τιμή.
• Απόδειξη επιβεβαίωσης και χρονική σήμανση όπου χρησιμοποιείτε διπλή επιβεβαίωση.
• Διεύθυνση IP όπου είναι αναλογικό προς τον κίνδυνο. Είναι συνήθης πρακτική και χρήσιμη απόδειξη, αλλά δεν αποτελεί νομική απαίτηση και είναι η ίδια προσωπικό δεδομένο.

Το άρθρο 30 απαιτεί χωριστά από τους περισσότερους οργανισμούς να τηρούν αρχεία δραστηριοτήτων επεξεργασίας: σκοπούς, κατηγορίες υποκειμένων και δεδομένων, αποδέκτες, διαβιβάσεις, περιόδους διατήρησης και μέτρα ασφαλείας. Η εξαίρεση για οργανισμούς με λιγότερους από 250 εργαζομένους είναι στενή και εκπίπτει όταν η επεξεργασία ενδέχεται να θέτει σε κίνδυνο δικαιώματα και ελευθερίες, δεν είναι περιστασιακή ή αφορά ειδικές κατηγορίες δεδομένων. Το τακτικό μάρκετινγκ προς μια βάση πελατών δεν είναι περιστασιακό.

Πόσο καιρό να κρατάτε αποδείξεις συγκατάθεσης

Ο GDPR δεν ορίζει σταθερή περίοδο. Η εφαρμόσιμη αρχή είναι ότι η απόδειξη συγκατάθεσης πρέπει να επιβιώνει του μάρκετινγκ που δικαιολογεί, συν την περίοδο μέσα στην οποία θα μπορούσε ρεαλιστικά να υποβληθεί καταγγελία. Η διαγραφή της εγγραφής ενός συνδρομητή με ταυτόχρονη διατήρηση μιας ελαχιστοποιημένης καταχώρησης που αποδεικνύει την άδεια είναι συνηθισμένη.

Δικαιώματα υποκειμένων που αγγίζουν τα προγράμματα email

Πέντε δικαιώματα εμφανίζονται συνεχώς στις λειτουργίες email.

• Πρόσβαση (άρθρο 15). Επιβεβαίωση για το αν επεξεργάζεστε τα δεδομένα τους, αντίγραφό τους, και πληροφορίες όπως σκοποί, κατηγορίες δεδομένων, αποδέκτες, περίοδοι διατήρησης, η πηγή, και τυχόν αυτοματοποιημένη λήψη αποφάσεων ή κατάρτιση προφίλ. Για προγράμματα email αυτό συχνά σημαίνει ιστορικό εμπλοκής και συμμετοχή σε τμήματα, όχι μόνο τη διεύθυνση.
• Διόρθωση (άρθρο 16). Διόρθωση ανακριβών δεδομένων χωρίς αδικαιολόγητη καθυστέρηση και συμπλήρωση ελλιπών δεδομένων.
• Διαγραφή (άρθρο 17). Συμπεριλαμβανομένου του 17 παράγραφος 1 στοιχείο β), όταν ανακαλείται η συγκατάθεση και δεν ισχύει άλλη βάση, και του 17 παράγραφος 1 στοιχείο γ), όταν το άτομο αντιτίθεται κατά το άρθρο 21 παράγραφος 2.
• Αντίρρηση στο άμεσο μάρκετινγκ (άρθρο 21). Το απόλυτο δικαίωμα. Κατά το 21 παράγραφος 2 το υποκείμενο των δεδομένων «δικαιούται να αντιτάσσεται ανά πάσα στιγμή» στην επεξεργασία για άμεσο μάρκετινγκ, συμπεριλαμβανομένης της σχετικής κατάρτισης προφίλ. Κατά το 21 παράγραφος 3, «τα δεδομένα προσωπικού χαρακτήρα δεν υποβάλλονται πλέον σε επεξεργασία για τους σκοπούς αυτούς». Δεν υπάρχει στάθμιση προς εφαρμογή.
• Φορητότητα (άρθρο 20). Ισχύει όταν η επεξεργασία στηρίζεται σε συγκατάθεση ή σύμβαση και είναι αυτοματοποιημένη, και καλύπτει δεδομένα που παρείχε το άτομο. Τα παραγόμενα σκορ και τμήματα γενικά μένουν εκτός.

Χρόνοι απόκρισης

Το άρθρο 12 παράγραφος 3 απαιτεί να ενεργείτε χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός ενός μήνα από την παραλαβή. Αυτό μπορεί να παραταθεί κατά δύο επιπλέον μήνες λόγω πολυπλοκότητας ή αριθμού αιτημάτων, και πρέπει να ενημερώσετε το άτομο, με αιτιολόγηση, μέσα στον πρώτο μήνα. Μια αντίρρηση στο μάρκετινγκ αξίζει καλύτερη μεταχείριση από το ανώτατο όριο: αντιμετωπίστε την ως άμεσο αποκλεισμό και μετά διεκπεραιώστε τη γραφειοκρατία μέσα στη νόμιμη προθεσμία.

Πρακτική εφαρμογή

Φόρμες εγγραφής

Ένα μη τσεκαρισμένο, σαφώς επισημασμένο πλαίσιο ανά σκοπό. Ονομάστε τον αποστολέα, πείτε τι θα στέλνετε και περίπου πόσο συχνά, και συνδέστε τη δήλωση απορρήτου αντί να την αναπαράγετε. Μη συνδυάζετε τη συγκατάθεση για μάρκετινγκ με την αποδοχή των όρων και μην εξαρτάτε την αγορά από αυτήν. Αποθηκεύστε την έκδοση της φόρμας ώστε να μπορείτε αργότερα να αποδείξετε τι εμφανιζόταν στην οθόνη.

Η διπλή επιβεβαίωση και το ειλικρινές νομικό της καθεστώς

Η διπλή επιβεβαίωση δεν απαιτείται από τον GDPR ούτε από την οδηγία ePrivacy. Κανένα άρθρο δεν την επιβάλλει. Αυτό που παράγει είναι αποδείξεις: ένα κλικ επιβεβαίωσης, από το εν λόγω γραμματοκιβώτιο, σε καταγεγραμμένη ώρα, είναι πολύ κοντά στην καλύτερη διαθέσιμη απόδειξη ότι συμφώνησε πραγματικό πρόσωπο που ελέγχει αυτή τη διεύθυνση. Η Ομάδα Εργασίας του άρθρου 29 σημείωσε ότι μέθοδοι όπου ένας συνδρομητής εγγράφεται και αργότερα καλείται να επιβεβαιώσει «seem to be compatible with the Directive».

Άρα συνιστάται, ενίοτε έντονα, και σε ορισμένες αγορές είναι ο κανόνας. Δεν είναι όμως ο νόμος. Οι μηχανισμοί βρίσκονται στον οδηγό μας για τη διπλή επιβεβαίωση.

Κέντρα προτιμήσεων και διαχείριση διαγραφών

Κάθε μήνυμα μάρκετινγκ χρειάζεται έγκυρη διεύθυνση για αιτήματα διαγραφής, και υπό την εξαίρεση για υφιστάμενους πελάτες μια εύκολη και δωρεάν οδός αντίρρησης σε κάθε μήνυμα είναι προϋπόθεση, όχι ευγένεια. Ένα κέντρο προτιμήσεων που προσφέρει επιλογές συχνότητας και θεματικής είναι καλή πρακτική, αλλά μια απλή, μονοβήματη καθολική διαγραφή πρέπει να παραμένει διαθέσιμη. Επεξεργαστείτε τις διαγραφές αυτόματα, γιατί οι χειροκίνητες ουρές είναι ο τρόπος με τον οποίο οι οργανισμοί καταλήγουν να στέλνουν μετά από αντίρρηση.

Λίστες αποκλεισμού που πρέπει να επιβιώνουν από μεταπτώσεις

Μια διαγραφή είναι μόνιμη εντολή, όχι ρύθμιση ανά λίστα. Η κατάσταση αποκλεισμού πρέπει να είναι καθολική σε όλα τα brands, σε όλα τα κανάλια που καλύπτει η αντίρρηση, και σε όλες τις πλατφόρμες. Η επικίνδυνη στιγμή είναι μια μετάπτωση ή επανεισαγωγή: οι συνδρομητές μετακομίζουν στο νέο σύστημα και οι σημαίες αντίρρησης δεν έρχονται μαζί. Αυτός είναι ο πιο συνηθισμένος τρόπος με τον οποίο ένα συμμορφούμενο πρόγραμμα γίνεται αθόρυβα μη συμμορφούμενο.

Ο ίδιος κίνδυνος υπάρχει σε κάθε ενσωμάτωση ανάμεσα σε κατάστημα, CRM και πλατφόρμα email, εκεί όπου η κατάσταση συγκατάθεσης και αποκλεισμού χάνεται στη μεταφορά. Αν μετακινείτε δεδομένα Shopify στο Brevo, το Tajo είναι το επίπεδο συγχρονισμού που μεταφέρει αυτά τα πεδία ανάμεσα στα συστήματα. Όποιο εργαλείο κι αν χρησιμοποιείτε, ο έλεγχος είναι ο ίδιος: μετά από κάθε μετάπτωση, επιβεβαιώστε ότι μια γνωστή αποκλεισμένη διεύθυνση παραμένει αποκλεισμένη.

Διατήρηση και εκ νέου άδεια σε παλιές λίστες

Ο περιορισμός αποθήκευσης ισχύει και για τις λίστες μάρκετινγκ, οπότε ορίστε τεκμηριωμένο κανόνα διατήρησης για ανενεργές επαφές και εφαρμόστε τον. Αν μια λίστα έχει μείνει αχρησιμοποίητη για χρόνια, συχνά προτείνεται καμπάνια εκ νέου άδειας. Προσοχή: ένα email «επιβεβαιώστε ότι θέλετε ακόμη να μας ακούτε» είναι το ίδιο επικοινωνία μάρκετινγκ κατά τις περισσότερες ερμηνείες, οπότε μπορεί να σταλεί μόνο σε ανθρώπους στους οποίους επιτρέπεται νόμιμα να στείλετε email σήμερα. Αν δεν μπορείτε να αποδείξετε βάση τώρα, η ειλικρινής απάντηση είναι η διαγραφή. Ο οδηγός μας για τον καθαρισμό λίστας email καλύπτει την πλευρά της υγιεινής.

Ο πάροχός σας email είναι εκτελών την επεξεργασία

Ο πάροχος υπηρεσιών email επεξεργάζεται προσωπικά δεδομένα κατ’ εντολή σας, οπότε ισχύει το άρθρο 28. Πρέπει να υπάρχει σύμβαση ή άλλη δεσμευτική νομική πράξη που ορίζει το αντικείμενο, τη διάρκεια, τη φύση και τον σκοπό της επεξεργασίας, τους τύπους δεδομένων και τις κατηγορίες υποκειμένων. Το άρθρο 28 παράγραφος 3 απαιτεί στη συνέχεια όρους για τεκμηριωμένες εντολές, εμπιστευτικότητα, ασφάλεια κατά το άρθρο 32, υπεργολάβους επεξεργασίας, συνδρομή σε αιτήματα υποκειμένων και υποχρεώσεις σε περίπτωση παραβίασης, διαγραφή ή επιστροφή δεδομένων στο τέλος της υπηρεσίας, και δικαιώματα ελέγχου. Οι περισσότεροι πάροχοι δημοσιεύουν τυποποιημένη DPA. Διαβάστε τη λίστα υπεργολάβων της.

Διεθνείς διαβιβάσεις

Αν προσωπικά δεδομένα φεύγουν από τον ΕΟΧ, χρειάζεστε μηχανισμό διαβίβασης. Το άρθρο 45 επιτρέπει διαβιβάσεις σε χώρες ή πλαίσια που η Ευρωπαϊκή Επιτροπή έκρινε επαρκή. Διαφορετικά, το άρθρο 46 απαιτεί κατάλληλες εγγυήσεις, συνηθέστερα τις τυποποιημένες συμβατικές ρήτρες της Επιτροπής, ή δεσμευτικούς εταιρικούς κανόνες εντός ομίλου. Οι αποφάσεις επάρκειας καλύπτουν αρκετές δικαιοδοσίες, μεταξύ των οποίων το πλαίσιο προστασίας δεδομένων ΕΕ και ΗΠΑ που εγκρίθηκε στις 10 Ιουλίου 2023. Ελέγξτε πού αποθηκεύει δεδομένα ο πάροχός σας, όχι μόνο πού εδρεύει.

Πώς ονομάζεται ο κανονισμός στην αγορά σας

Το νομοθέτημα είναι το ίδιο σε όλη την ΕΕ. Το όνομα όχι.

Εκτός ΕΕ το λεξιλόγιο αλλάζει ξανά. Το Ηνωμένο Βασίλειο έχει τον UK GDPR μαζί με το PECR. Η Τουρκία έχει τον Kisisel Verilerin Korunmasi Kanunu, νόμο υπ’ αριθμόν 6698, γνωστό ως KVKK. Η Βραζιλία έχει τον Lei Geral de Protecao de Dados Pessoais, νόμο υπ’ αριθμόν 13.709 της 14ης Αυγούστου 2018, τον LGPD. Η Ινδονησία έχει τον Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Πρόκειται για ξεχωριστά καθεστώτα με δικούς τους κανόνες, όχι για μεταφράσεις, και η συμμόρφωση με τον GDPR δεν τα ικανοποιεί αυτόματα.

Κυρώσεις και τι κάνουν πραγματικά οι αρχές

Το άρθρο 83 ορίζει δύο κλιμάκια: έως 10 εκατομμύρια ευρώ ή 2 τοις εκατό του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών κατά το 83 παράγραφος 4, και έως 20 εκατομμύρια ευρώ ή 4 τοις εκατό κατά το 83 παράγραφος 5, όποιο είναι υψηλότερο σε κάθε περίπτωση. Το ανώτερο κλιμάκιο καλύπτει τις βασικές αρχές και τις προϋποθέσεις συγκατάθεσης στα άρθρα 5, 6, 7 και 9, τα δικαιώματα υποκειμένων στα άρθρα 12 έως 22, και τους κανόνες διαβίβασης στα άρθρα 44 έως 49, οπότε οι αστοχίες συγκατάθεσης και οι αγνοημένες αντιρρήσεις βρίσκονται εκεί. Οι εθνικοί κανόνες ePrivacy προσθέτουν δικές τους κυρώσεις: στην Ιρλανδία, η παράβαση του κανονισμού 13 είναι ποινικό αδίκημα και κάθε μήνυμα μετράει ξεχωριστά.

Για έναν μεσαίου μεγέθους αποστολέα, ο καθημερινός κίνδυνος δεν είναι ένα πρόστιμο πρώτης σελίδας. Είναι μια καταγγελία που πυροδοτεί την ερώτηση μιας αρχής: δείξτε μας τη συγκατάθεση για αυτή τη διεύθυνση.

Πού συναντιούνται συμμόρφωση και απόδοση

Γίνεται σωστά, αυτό βελτιώνει και την απόδοση. Οι λίστες που χτίζονται πάνω σε γνήσια, συγκεκριμένη άδεια εμπλέκονται καλύτερα και παραπονιούνται λιγότερο, και αυτό ακριβώς ανταμείβουν τα συστήματα παραδοτικότητας. Ο οδηγός μας για την παραδοτικότητα email εξηγεί αυτόν τον μηχανισμό, ενώ ο οδηγός μας για τη δημιουργία λίστας email καλύπτει την απόκτηση επαφών που αντέχει σε έλεγχο.

Σχετικά άρθρα

• Διπλή επιβεβαίωση email: πλήρης οδηγός για επιβεβαιωμένες εγγραφές
• Παραδοτικότητα email: ο πλήρης οδηγός
• Δημιουργία λίστας email: πλήρης οδηγός
• Καθαρισμός λίστας email: πλήρης οδηγός
• Σελίδες διαγραφής και διαγραφή με ένα κλικ: βέλτιστες πρακτικές