GDPR กับการตลาดอีเมล: คู่มือปฏิบัติเพื่อความสอดคล้อง

GDPR เรียกร้องอะไรจากนักการตลาดอีเมลจริง ๆ

พูดตรง ๆ คือ General Data Protection Regulation (Regulation (EU) 2016/679) ไม่มีกฎข้อใดที่บอกว่า “คุณต้องได้รับการยินยอมจึงจะส่งอีเมลได้” สิ่งที่มันกำกับคือข้อมูลส่วนบุคคลที่อยู่เบื้องหลังโปรแกรมอีเมลของคุณ คุณต้องมีฐานทางกฎหมายในการประมวลผลข้อมูลนั้น ต้องโปร่งใสเกี่ยวกับมัน ต้องถูกต้อง ต้องจำกัดการจัดเก็บ ต้องปลอดภัย และต้องมีหลักฐานของทั้งหมดนั้น มาตรา 5(2) สรุปไว้ในบรรทัดเดียวว่าผู้ควบคุมข้อมูล “ต้องรับผิดชอบต่อ และต้องพิสูจน์ได้ว่าปฏิบัติตาม” หลักการประมวลผล

กฎที่ตัดสินว่าคุณกดส่งได้หรือไม่นั้นอยู่ในเครื่องมือทางกฎหมายอีกฉบับ คือ ePrivacy Directive บทความส่วนใหญ่ในหัวข้อนี้ยุบสองเรื่องรวมกันแล้วให้คำตอบผิด การแยกทั้งสองออกจากกันคือสาระสำคัญของคู่มือนี้

บทความนี้เป็นคำแนะนำเชิงปฏิบัติสำหรับนักการตลาด ไม่ใช่คำปรึกษาทางกฎหมาย มันอ้างอิงแหล่งข้อมูลปฐมภูมิเพื่อให้คุณตรวจสอบได้ แต่กฎหมายคุ้มครองข้อมูลถูกบังคับใช้โดยหน่วยงานกำกับดูแลและศาลของแต่ละประเทศ การนำไปปรับใช้ในกฎหมายภายในแตกต่างกัน และสถานการณ์ของคุณก็สำคัญ ก่อนจะเปลี่ยนกระบวนการขอความยินยอม กฎการเก็บรักษาข้อมูล หรือการโอนข้อมูลระหว่างประเทศ ควรขอคำแนะนำจากผู้เชี่ยวชาญที่มีคุณสมบัติในเขตอำนาจศาลของคุณ

GDPR กับ ePrivacy: สองเครื่องมือ หนึ่งการส่ง

ePrivacy Directive ว่าอย่างไร

Directive 2002/58/EC หรือ ePrivacy Directive ซึ่งแก้ไขโดย Directive 2009/136/EC เป็นตัวกำหนดกฎการส่ง มาตรา 13(1) อนุญาตให้ส่งอีเมลอิเล็กทรอนิกส์เพื่อการตลาดตรงได้เฉพาะกับผู้ติดตามที่ให้ความยินยอมล่วงหน้าแล้ว คำว่า “electronic mail” ถูกนิยามไว้กว้างและเป็นกลางทางเทคโนโลยี ความเห็นที่ 5/2004 ของ Article 29 Working Party ยืนยันว่ามันครอบคลุมทั้งจดหมายข่าวทางอีเมล SMS และข้อความที่จัดเก็บในลักษณะคล้ายกัน มาตรา 13(2) แยกข้อยกเว้นสำหรับลูกค้าเดิมออกมา และมาตรา 13(4) ห้ามอีเมลการตลาดที่ปกปิดตัวตนของผู้ส่ง หรือที่ไม่มี “ที่อยู่ที่ใช้งานได้ ซึ่งผู้รับสามารถส่งคำขอให้ยุติการสื่อสารดังกล่าวไปยังที่อยู่นั้น”

ทำไมเรื่องนี้จึงสำคัญในทางปฏิบัติ

การยินยอมไม่ได้ถูกนิยามไว้ใน ePrivacy Directive มันรับความหมายมาจากกฎหมายคุ้มครองข้อมูลทั่วไป มาตรา 94(2) ของ GDPR กำหนดว่าการอ้างถึง Directive 95/46/EC ที่ถูกยกเลิกไปแล้วให้อ่านเป็นการอ้างถึง GDPR ดังนั้น ePrivacy จึงตัดสินว่า เมื่อใด ที่ต้องมีการยินยอมสำหรับการกระทำที่เป็นการส่ง ส่วน GDPR ตัดสินว่า อะไรนับเป็น การยินยอมและคุณพิสูจน์มันอย่างไร

คุณจึงอาจมีฐานตาม GDPR ที่สมบูรณ์สำหรับการเก็บและวิเคราะห์เรคคอร์ดผู้ติดต่อ แต่ยังไม่มีสิทธิ์ส่งอีเมลหาคนคนนั้น และเพราะ ePrivacy เป็นไดเรกทีฟไม่ใช่เรกูเลชัน มันจึงถูกนำไปบัญญัติเป็นกฎหมายภายในของแต่ละประเทศ รายละเอียดจึงต่างกันระหว่างรัฐสมาชิก

การเลือกฐานทางกฎหมายสำหรับการตลาดอีเมล

การยินยอม

การยินยอมตามมาตรา 6(1)(a) คือสิ่งที่โปรแกรมอีเมลถึงผู้บริโภคส่วนใหญ่ใช้ ด้วยเหตุผลที่ดี ในเมื่อ ePrivacy กำหนดให้ต้องมีการยินยอมล่วงหน้าสำหรับการส่งอยู่แล้ว การใช้การยินยอมเป็นฐานตาม GDPR ช่วยให้เรื่องราวเป็นเรื่องเดียวแทนที่จะเป็นสองเรื่อง ต้นทุนคือมันถูกถอนได้ทุกเมื่อตามมาตรา 7(3)

ประโยชน์อันชอบธรรม

มาตรา 6(1)(f) อนุญาตการประมวลผลที่จำเป็นต่อประโยชน์อันชอบธรรมของผู้ควบคุมข้อมูล เว้นแต่จะถูกลบล้างด้วยประโยชน์หรือสิทธิขั้นพื้นฐานของเจ้าของข้อมูล Recital 47 ระบุอย่างชัดแจ้งว่า “การประมวลผลข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดตรงอาจถือได้ว่ากระทำไปเพื่อประโยชน์อันชอบธรรม”

ประโยคนั้นถูกยกมาอ้างตลอดเวลาเพื่อบอกว่าการยินยอมเป็นทางเลือก อ่านให้ละเอียด มันพูดถึงฐานตาม GDPR สำหรับการประมวลผล มันใช้คำว่า “อาจถือได้ว่า” คุณจึงยังต้องทำและบันทึกการทดสอบชั่งน้ำหนัก และมันไม่ได้พูดถึงกฎของ ePrivacy สำหรับการส่งเลย ประโยชน์อันชอบธรรมป้องกันตัวได้ดีที่สุดสำหรับการประมวลผลรอบ ๆ โปรแกรมของคุณ เช่นการแบ่งกลุ่ม การ suppression และการวิเคราะห์ และสำหรับการติดต่อแบบ B2B ที่กฎภายในประเทศปฏิบัติต่อผู้ติดตามที่เป็นนิติบุคคลต่างออกไป แต่มันเป็นฐานที่อ่อนมากสำหรับอีเมลเย็นถึงผู้บริโภคในสหภาพยุโรป

Soft opt-in สำหรับลูกค้าเดิม

มาตรา 13(2) ของ ePrivacy Directive คือข้อยกเว้นที่แท้จริง เมื่อบุคคลได้รับรายละเอียดการติดต่อทางอีเมลของลูกค้ามา “ในบริบทของการขายสินค้าหรือบริการ” บุคคลเดียวกันนั้นอาจใช้ข้อมูลดังกล่าวทำการตลาด “สินค้าหรือบริการที่คล้ายกันของตนเอง” ได้ โดยมีเงื่อนไขว่าลูกค้า “ได้รับโอกาสในการคัดค้านอย่างชัดเจนและแยกออกมาต่างหาก โดยไม่มีค่าใช้จ่ายและด้วยวิธีที่ง่าย” ทั้งตอนที่เก็บรายละเอียดและในทุกข้อความถัดมา

Article 29 Working Party ระบุว่าข้อยกเว้นนี้ “ถูกจำกัดไว้หลายทางและต้องตีความอย่างจำกัด” มีข้อจำกัดสามข้อที่ควรจำ

• ใช้ได้เฉพาะกับลูกค้าจริงเท่านั้น คนที่ละทิ้งขั้นตอนชำระเงินไม่เข้าข่าย
• ผู้ส่งได้เฉพาะนิติบุคคลเดียวกับที่เก็บที่อยู่มาเท่านั้น บริษัทลูกและบริษัทแม่ไม่ใช่บริษัทเดียวกัน
• เฉพาะสินค้าหรือบริการที่คล้ายกันเท่านั้นที่เข้าข่าย โดยตัดสินจากความคาดหมายอันสมเหตุสมผลของผู้รับ ไม่ใช่จากความทะเยอทะยานของผู้ส่ง

Soft opt-in ต่างกันอย่างไรระหว่างรัฐสมาชิก

เพราะไดเรกทีฟถูกนำไปบัญญัติเป็นกฎหมายภายในของแต่ละประเทศ ตรงนี้จึงเป็นจุดที่คำแนะนำเดียวกันแตกต่างกันตามตลาดจริง ๆ

ในไอร์แลนด์ Regulation 13(11) ของ S.I. No. 336/2011 กล่าวข้อยกเว้นนี้ซ้ำและเพิ่มขีดจำกัดเวลาที่ตายตัวเข้าไป: การขายต้องเกิดขึ้น “ไม่เกิน 12 เดือนก่อนการส่งการสื่อสารทางการตลาดตรงนั้น” หรือรายละเอียดต้องถูกใช้ส่งอีเมลการตลาดภายในช่วงเวลานั้น

ในสหราชอาณาจักร กฎที่เทียบเท่าคือ regulation 22 ของ PECR และ ICO ระบุว่าไม่มีขีดจำกัดเวลาเช่นนั้น มันอธิบาย soft opt-in ว่าครอบคลุมลูกค้าเดิม “ผู้ที่เคยซื้อ หรือเคยเจรจาเพื่อซื้อ สินค้าหรือบริการที่คล้ายกันจากคุณในอดีต” และระบุว่าไม่ใช้กับลูกค้าที่ยังเป็นเพียงผู้มุ่งหวัง รายชื่อที่ซื้อมา หรือการโปรโมตที่ไม่ใช่เชิงพาณิชย์ เช่นการระดมทุนการกุศลและการรณรงค์ทางการเมือง

สองตลาดที่อยู่ติดกัน กฎต่างกันอย่างมีนัยสำคัญ อย่าคิดว่าเวอร์ชันในประเทศของคุณเดินทางไปด้วยได้

การยินยอมที่สมบูรณ์หมายถึงอะไรจริง ๆ

มาตรา 4(11) นิยามการยินยอมว่าคือ “การแสดงเจตนาของเจ้าของข้อมูลที่ให้โดยอิสระ เจาะจง ได้รับข้อมูลครบ และไม่กำกวม ซึ่งเขาหรือเธอแสดงความตกลงต่อการประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวกับตน ด้วยคำแถลงหรือด้วยการกระทำเชิงบวกที่ชัดเจน” EDPB ขยายความแต่ละองค์ประกอบไว้ใน Guidelines 05/2020 ว่าด้วยการยินยอม ซึ่งรับรองเมื่อวันที่ 4 พฤษภาคม 2020

องค์ประกอบทั้งสี่

• ให้โดยอิสระ มาตรา 7(4) ระบุว่าต้อง “คำนึงถึงอย่างที่สุด” ว่าสัญญาถูกทำให้ขึ้นอยู่กับการยินยอมต่อการประมวลผลที่ไม่จำเป็นต่อสัญญานั้นหรือไม่ อย่าทำให้การยินยอมรับการตลาดเป็นเงื่อนไขของการชำระเงิน
• เจาะจง เมื่อการประมวลผลมีหลายวัตถุประสงค์ ควรให้ความยินยอมสำหรับทุกวัตถุประสงค์ (Recital 32) วัตถุประสงค์ที่ต่างกันต้องมีตัวเลือกแยกกัน การยอมรับจดหมายข่าวไม่ใช่การยินยอมรับ SMS และไม่ใช่การยินยอมให้แบ่งปันข้อมูลกับพาร์ตเนอร์
• ได้รับข้อมูลครบ มาตรา 7(2) กำหนดว่าคำขอความยินยอมที่รวมอยู่ในคำแถลงที่กว้างกว่าต้อง “แยกแยะออกจากเรื่องอื่นได้อย่างชัดเจน ในรูปแบบที่เข้าใจได้และเข้าถึงได้ง่าย โดยใช้ภาษาที่ชัดเจนและเรียบง่าย”
• ไม่กำกวม ต้องมีคำแถลงหรือการกระทำเชิงบวกที่ชัดเจน

สิ่งที่ไม่นับ

Recital 32 พูดตรงไปตรงมาว่า “ความเงียบ ช่องที่ติ๊กไว้ล่วงหน้า หรือการไม่กระทำ จึงไม่ควรถือเป็นการยินยอม” ช่องติ๊กที่ซ่อนอยู่ในข้อกำหนดก็ไม่นับ และการติ๊กครั้งเดียวที่ครอบคลุมทั้งอีเมล SMS การทำโปรไฟล์ และการแบ่งปันกับพาร์ตเนอร์ ก็ไม่นับเช่นกัน

การถอนความยินยอม

มาตรา 7(3) ให้สิทธิถอนความยินยอมได้ทุกเมื่อ กำหนดให้ต้องแจ้งบุคคลนั้นถึงสิทธิดังกล่าวล่วงหน้า และระบุว่า “การถอนความยินยอมต้องง่ายเท่ากับการให้ความยินยอม” หากใครสมัครได้ด้วยคลิกเดียว กระบวนการถอนที่ต้องเข้าสู่ระบบและเข้าไปหาหน้าการตั้งค่าที่ซ่อนอยู่นั้นไม่ผ่านมาตรฐาน การถอนไม่มีผลย้อนหลัง การประมวลผลที่ทำไปก่อนหน้านั้นยังคงชอบด้วยกฎหมาย

หลักฐาน: สิ่งที่คุณต้องพิสูจน์ได้

มาตรา 7(1) สั้นแต่รับน้ำหนักไว้มาก: “ในกรณีที่การประมวลผลตั้งอยู่บนการยินยอม ผู้ควบคุมข้อมูลต้องพิสูจน์ได้ว่าเจ้าของข้อมูลได้ให้ความยินยอมแล้ว” คอลัมน์ที่เขียนว่า “ยินยอมแล้ว: ใช่” ไม่ได้พิสูจน์อะไรเลย แต่บันทึกที่สร้างภาพช่วงเวลาแห่งการยินยอมขึ้นมาใหม่ได้นั้นพิสูจน์ได้

สิ่งที่ต้องบันทึกตอนสมัคร

เก็บและจัดเก็บข้อมูลต่อไปนี้ แยกตามผู้ติดต่อและตามวัตถุประสงค์

• เวลาที่เกิดการกระทำยินยอม ในเขตเวลาที่คงที่
• แหล่งที่มาและวิธีการ: ฟอร์มใด URL หน้าใด ช่องทางใด หรืออีเวนต์ออฟไลน์ใด
• ถ้อยคำการยินยอมที่แสดงและเวอร์ชันของประกาศความเป็นส่วนตัวที่แสดง ณ ขณะนั้นแบบตรงตัว การใช้ตัวระบุเวอร์ชันที่ชี้ไปยังถ้อยคำที่เก็บถาวรไว้นั้นใช้งานได้จริงกว่าการเก็บข้อความเต็มในทุกแถว
• วัตถุประสงค์เฉพาะที่ตกลง โดยเก็บเป็นแฟล็กแยกกัน ไม่ใช่ค่า boolean เดียว
• หลักฐานการยืนยันและเวลาที่ยืนยัน หากคุณใช้ double opt-in
• ที่อยู่ IP เมื่อได้สัดส่วนกับความเสี่ยง นี่เป็นแนวปฏิบัติทั่วไปและเป็นหลักฐานที่มีประโยชน์ แต่ไม่ใช่ข้อกำหนดตามกฎหมาย และตัวมันเองก็เป็นข้อมูลส่วนบุคคล

มาตรา 30 กำหนดแยกต่างหากให้องค์กรส่วนใหญ่เก็บบันทึกกิจกรรมการประมวลผล ได้แก่ วัตถุประสงค์ ประเภทของเจ้าของข้อมูลและข้อมูล ผู้รับ การโอนข้อมูล ระยะเวลาเก็บรักษา และมาตรการความปลอดภัย ข้อยกเว้นสำหรับองค์กรที่มีพนักงานน้อยกว่า 250 คนนั้นแคบมาก และหมดผลไปเมื่อการประมวลผลมีแนวโน้มกระทบสิทธิและเสรีภาพ ไม่ได้เกิดขึ้นเป็นครั้งคราว หรือเกี่ยวข้องกับข้อมูลประเภทพิเศษ การทำการตลาดกับฐานข้อมูลลูกค้าเป็นประจำไม่ถือว่าเกิดขึ้นเป็นครั้งคราว

ควรเก็บหลักฐานการยินยอมนานแค่ไหน

GDPR ไม่ได้กำหนดระยะเวลาตายตัว หลักการที่ใช้ได้จริงคือหลักฐานการยินยอมควรอยู่ได้นานกว่าการตลาดที่มันรองรับ บวกกับช่วงเวลาที่อาจมีการร้องเรียนเกิดขึ้นได้จริง การลบเรคคอร์ดของผู้ติดตามขณะที่ยังเก็บบันทึกแบบย่อที่พิสูจน์การอนุญาตไว้ ถือเป็นเรื่องปกติ

สิทธิของเจ้าของข้อมูลที่กระทบโปรแกรมอีเมล

มีห้าสิทธิที่ปรากฏซ้ำ ๆ ในการดำเนินงานด้านอีเมล

• สิทธิเข้าถึง (มาตรา 15) การยืนยันว่าคุณประมวลผลข้อมูลของเขาหรือไม่ สำเนาข้อมูลนั้น และข้อมูลอื่นรวมถึงวัตถุประสงค์ ประเภทของข้อมูล ผู้รับ ระยะเวลาเก็บรักษา แหล่งที่มา และการตัดสินใจอัตโนมัติหรือการทำโปรไฟล์ใด ๆ สำหรับโปรแกรมอีเมล นั่นมักหมายถึงประวัติ engagement และการอยู่ในกลุ่มลูกค้า ไม่ใช่แค่ที่อยู่อีเมล
• สิทธิแก้ไข (มาตรา 16) การแก้ไขข้อมูลที่ไม่ถูกต้องโดยไม่ชักช้าเกินควร และการเติมข้อมูลที่ไม่ครบถ้วนให้สมบูรณ์
• สิทธิลบ (มาตรา 17) รวมถึงตาม 17(1)(b) เมื่อความยินยอมถูกถอนและไม่มีฐานอื่นใช้ได้ และตาม 17(1)(c) เมื่อบุคคลนั้นคัดค้านตามมาตรา 21(2)
• สิทธิคัดค้านการตลาดตรง (มาตรา 21) สิทธิที่เด็ดขาด ตาม 21(2) เจ้าของข้อมูล “มีสิทธิคัดค้านได้ทุกเมื่อ” ต่อการประมวลผลเพื่อการตลาดตรง รวมถึงการทำโปรไฟล์ที่เกี่ยวข้อง และตาม 21(3) “ข้อมูลส่วนบุคคลนั้นจะต้องไม่ถูกประมวลผลเพื่อวัตถุประสงค์ดังกล่าวอีกต่อไป” ไม่มีการทดสอบชั่งน้ำหนักให้นำมาใช้
• สิทธิในการโอนย้ายข้อมูล (มาตรา 20) ใช้เมื่อการประมวลผลตั้งอยู่บนการยินยอมหรือสัญญาและเป็นแบบอัตโนมัติ ครอบคลุมข้อมูลที่บุคคลนั้นให้มา คะแนนและกลุ่มลูกค้าที่คำนวณขึ้นโดยทั่วไปอยู่นอกขอบเขต

กรอบเวลาการตอบสนอง

มาตรา 12(3) กำหนดให้คุณดำเนินการโดยไม่ชักช้าเกินควร และอย่างช้าที่สุดภายในหนึ่งเดือนนับจากได้รับคำขอ ระยะเวลานั้นขยายได้อีกสองเดือนตามความซับซ้อนหรือจำนวนคำขอ และคุณต้องแจ้งบุคคลนั้นพร้อมเหตุผลภายในเดือนแรก การคัดค้านการตลาดสมควรได้รับมากกว่าเวลาสูงสุด ให้ถือเป็นการ suppression ทันที แล้วค่อยจัดการเอกสารภายในกรอบเวลาตามกฎหมาย

การนำไปปฏิบัติจริง

ฟอร์มสมัคร

ช่องติ๊กหนึ่งช่องต่อหนึ่งวัตถุประสงค์ ไม่ติ๊กไว้ล่วงหน้า และมีป้ายกำกับชัดเจน ระบุชื่อผู้ส่ง บอกว่าคุณจะส่งอะไรและบ่อยแค่ไหนโดยประมาณ และลิงก์ไปยังประกาศความเป็นส่วนตัวแทนการเอามาแสดงซ้ำทั้งฉบับ อย่ามัดการยินยอมรับการตลาดรวมกับการยอมรับข้อกำหนด และอย่ากั้นการซื้อไว้ด้วยเงื่อนไขนั้น เก็บเวอร์ชันของฟอร์มไว้เพื่อให้คุณพิสูจน์ได้ภายหลังว่าตอนนั้นบนหน้าจอมีอะไร

Double opt-in และสถานะทางกฎหมายตามจริงของมัน

Double opt-in ไม่ใช่ ข้อกำหนดของ GDPR หรือ ePrivacy Directive ไม่มีมาตราใดบังคับ สิ่งที่มันสร้างขึ้นคือหลักฐาน: การคลิกยืนยันจากกล่องจดหมายนั้นเอง ณ เวลาที่ถูกบันทึกไว้ ใกล้เคียงที่สุดกับหลักฐานที่ดีที่สุดเท่าที่มีว่าคนจริงซึ่งควบคุมที่อยู่นั้นตกลงยินยอม Article 29 Working Party ระบุว่าวิธีที่ผู้ติดตามลงทะเบียนแล้วถูกขอให้ยืนยันภายหลังนั้น “ดูเหมือนจะสอดคล้องกับไดเรกทีฟฉบับนี้”

มันจึงเป็นสิ่งที่แนะนำ บางครั้งแนะนำอย่างหนักแน่น และในบางตลาดถือเป็นบรรทัดฐาน แต่มันไม่ใช่กฎหมาย กลไกการทำงานอยู่ใน คู่มือ double opt-in ของเรา

ศูนย์จัดการความชอบและการรับมือการยกเลิก

ทุกข้อความการตลาดต้องมีที่อยู่ที่ใช้งานได้สำหรับคำขอยกเลิก และภายใต้ข้อยกเว้นสำหรับลูกค้าเดิม ช่องทางคัดค้านที่ง่ายและไม่มีค่าใช้จ่ายในทุกข้อความถือเป็นเงื่อนไข ไม่ใช่ความสุภาพ ศูนย์จัดการความชอบที่ให้เลือกความถี่และหัวข้อเป็นแนวปฏิบัติที่ดี แต่ต้องยังคงมีปุ่มยกเลิกทั้งหมดแบบขั้นตอนเดียวที่เรียบง่ายอยู่เสมอ ประมวลผลการยกเลิกโดยอัตโนมัติ คิวที่ต้องจัดการด้วยมือคือวิธีที่องค์กรลงเอยด้วยการส่งอีเมลหลังจากมีการคัดค้านแล้ว

รายการ suppression ที่ต้องอยู่รอดผ่านการย้ายระบบ

การยกเลิกคือคำสั่งถาวร ไม่ใช่การตั้งค่าเฉพาะรายชื่อ สถานะ suppression ต้องเป็นแบบทั่วทั้งระบบ ข้ามแบรนด์ ข้ามช่องทางที่การคัดค้านครอบคลุม และข้ามแพลตฟอร์ม ช่วงเวลาอันตรายคือการย้ายระบบหรือการนำเข้าใหม่ ผู้ติดตามย้ายไปยังระบบใหม่แต่แฟล็กการคัดค้านไม่ตามไปด้วย นี่คือวิธีที่พบบ่อยที่สุดที่โปรแกรมซึ่งเคยสอดคล้องกับกฎหมายกลายเป็นไม่สอดคล้องอย่างเงียบ ๆ

ความเสี่ยงเดียวกันอยู่ในทุกการเชื่อมต่อระหว่างร้านค้า CRM และแพลตฟอร์มอีเมล ซึ่งเป็นจุดที่สถานะความยินยอมและ suppression หายไประหว่างทาง หากคุณกำลังย้ายข้อมูล Shopify เข้า Brevo Tajo คือชั้นซิงค์ที่พาฟิลด์เหล่านั้นเดินทางระหว่างระบบ ไม่ว่าคุณจะใช้เครื่องมือใด บททดสอบก็เหมือนกัน: หลังการย้ายระบบทุกครั้ง ให้ยืนยันว่าที่อยู่ที่รู้ว่าถูก suppress ไว้นั้นยังคงถูก suppress อยู่

การเก็บรักษาข้อมูลและการขออนุญาตใหม่กับรายชื่อเก่า

หลักการจำกัดการจัดเก็บใช้กับรายชื่อการตลาดด้วย ให้กำหนดกฎการเก็บรักษาสำหรับผู้ติดต่อที่ไม่ตอบสนองเป็นลายลักษณ์อักษรและบังคับใช้จริง หากรายชื่อชุดหนึ่งไม่ได้ถูกใช้มาหลายปี มักมีการเสนอให้ทำแคมเปญขออนุญาตใหม่ ระวังให้ดี: อีเมลที่บอกว่า “ยืนยันว่าคุณยังอยากได้ยินจากเรา” ตัวมันเองก็เป็นการสื่อสารทางการตลาดในการตีความส่วนใหญ่ มันจึงส่งได้เฉพาะกับคนที่คุณส่งอีเมลหาได้อย่างถูกกฎหมายในวันนี้เท่านั้น หากคุณพิสูจน์ฐานทางกฎหมายในตอนนี้ไม่ได้ คำตอบที่ซื่อตรงคือการลบ คู่มือการทำความสะอาดรายชื่ออีเมล ของเราครอบคลุมด้านสุขอนามัยของข้อมูล

ESP ของคุณคือผู้ประมวลผลข้อมูล

ผู้ให้บริการอีเมลของคุณประมวลผลข้อมูลส่วนบุคคลตามคำสั่งของคุณ มาตรา 28 จึงมีผลบังคับ ต้องมีสัญญาหรือการกระทำทางกฎหมายที่ผูกพันอื่น ซึ่งกำหนดสาระ ระยะเวลา ลักษณะและวัตถุประสงค์ของการประมวลผล ประเภทของข้อมูล และประเภทของเจ้าของข้อมูล จากนั้นมาตรา 28(3) กำหนดข้อสัญญาเรื่องคำสั่งที่เป็นลายลักษณ์อักษร การรักษาความลับ ความปลอดภัยตามมาตรา 32 ผู้ประมวลผลช่วง การช่วยเหลือเรื่องคำขอของเจ้าของข้อมูลและหน้าที่เมื่อเกิดเหตุข้อมูลรั่วไหล การลบหรือส่งคืนข้อมูลเมื่อสิ้นสุดบริการ และสิทธิในการตรวจสอบ ผู้ให้บริการส่วนใหญ่เผยแพร่ DPA มาตรฐานไว้ อ่านรายชื่อผู้ประมวลผลช่วงของมันด้วย

การโอนข้อมูลระหว่างประเทศ

หากข้อมูลส่วนบุคคลออกนอก EEA คุณต้องมีกลไกการโอนข้อมูล มาตรา 45 อนุญาตการโอนไปยังประเทศหรือกรอบข้อตกลงที่คณะกรรมาธิการยุโรปเห็นว่าเพียงพอ นอกเหนือจากนั้น มาตรา 46 กำหนดให้มีมาตรการคุ้มครองที่เหมาะสม ซึ่งที่พบบ่อยที่สุดคือ standard contractual clauses ของคณะกรรมาธิการ หรือ binding corporate rules ภายในกลุ่มบริษัท การตัดสินใจเรื่องความเพียงพอครอบคลุมหลายเขตอำนาจศาล รวมถึง EU-US Data Privacy Framework ที่รับรองเมื่อวันที่ 10 กรกฎาคม 2023 ตรวจสอบว่า ESP ของคุณเก็บข้อมูลไว้ที่ไหน ไม่ใช่แค่ว่าสำนักงานใหญ่อยู่ที่ไหน

กฎหมายฉบับนี้เรียกว่าอะไรในตลาดของคุณ

เครื่องมือทางกฎหมายเป็นฉบับเดียวกันทั่วสหภาพยุโรป แต่ชื่อไม่ใช่

นอกสหภาพยุโรป คำศัพท์เปลี่ยนไปอีก สหราชอาณาจักรมี UK GDPR ควบคู่กับ PECR ตุรกีมี Kisisel Verilerin Korunmasi Kanunu กฎหมายเลขที่ 6698 ที่รู้จักกันในชื่อ KVKK บราซิลมี Lei Geral de Protecao de Dados Pessoais กฎหมายเลขที่ 13.709 ลงวันที่ 14 สิงหาคม 2018 หรือ LGPD อินโดนีเซียมี Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi กฎหมายเหล่านี้เป็นระบบแยกต่างหากที่มีกฎของตัวเอง ไม่ใช่คำแปล และการทำตาม GDPR ไม่ได้ทำให้คุณทำตามกฎหมายเหล่านั้นโดยอัตโนมัติ

บทลงโทษ และสิ่งที่หน่วยงานกำกับดูแลทำจริง

มาตรา 83 กำหนดสองระดับ: สูงสุด 10 ล้านยูโรหรือ 2 เปอร์เซ็นต์ของรายได้รวมทั่วโลกต่อปีตามมาตรา 83(4) และสูงสุด 20 ล้านยูโรหรือ 4 เปอร์เซ็นต์ตามมาตรา 83(5) โดยยึดจำนวนที่สูงกว่าในแต่ละกรณี ระดับที่สูงกว่าครอบคลุมหลักการพื้นฐานและเงื่อนไขของการยินยอมในมาตรา 5, 6, 7 และ 9 สิทธิของเจ้าของข้อมูลในมาตรา 12 ถึง 22 และกฎการโอนข้อมูลในมาตรา 44 ถึง 49 ความล้มเหลวเรื่องการยินยอมและการเพิกเฉยต่อการคัดค้านจึงอยู่ในระดับนั้น กฎ ePrivacy ภายในประเทศยังเพิ่มบทลงโทษของตัวเองเข้าไปอีก ในไอร์แลนด์ การฝ่าฝืน Regulation 13 เป็นความผิดอาญา และแต่ละข้อความนับแยกกัน

สำหรับผู้ส่งขนาดกลาง ความเสี่ยงในชีวิตประจำวันไม่ใช่ค่าปรับที่เป็นข่าวพาดหัว แต่คือการร้องเรียนเพียงครั้งเดียวที่จุดคำถามจากหน่วยงานกำกับดูแลว่า ขอดูการยินยอมของที่อยู่นี้หน่อย

จุดที่ความสอดคล้องกับผลลัพธ์มาบรรจบกัน

หากทำอย่างถูกต้อง เรื่องนี้ยังช่วยให้ผลลัพธ์ดีขึ้นด้วย รายชื่อที่สร้างบนการอนุญาตที่แท้จริงและเจาะจงจะมี engagement ดีกว่าและร้องเรียนน้อยกว่า ซึ่งเป็นสิ่งที่ระบบ deliverability ให้รางวัล คู่มือ deliverability ของอีเมล ของเราอธิบายกลไกนั้น และ คู่มือการสร้างรายชื่ออีเมล ครอบคลุมการเก็บรายชื่อที่ทนต่อการตรวจสอบได้

บทความที่เกี่ยวข้อง

• อีเมลแบบ double opt-in: คู่มือฉบับสมบูรณ์สำหรับการยืนยันการสมัคร
• Deliverability ของอีเมล: คู่มือฉบับสมบูรณ์
• การสร้างรายชื่ออีเมล: คู่มือฉบับสมบูรณ์
• การทำความสะอาดรายชื่ออีเมล: คู่มือฉบับสมบูรณ์
• หน้ายกเลิกการติดตามและการยกเลิกแบบคลิกเดียว: แนวปฏิบัติที่ดีที่สุด