RODO – najważniejsze kwestie
RODO
RODO, czyli Rozporządzenie o Ochronie Danych Osobowych (ang. GDPR – General Data Protection Regulation) obowiązuje od 25 maja 2018 roku wszystkie kraje członkowskie Unii Europejskiej.
RODO a dotychczasowa ustawa ochrony danych osobowych
Chociaż przepisy RODO zastąpią obowiązującą w Polsce ustawę o ochronie danych osobowych nie oznacza to, że trzeba będzie zbierać na nowo zgody na przetwarzanie danych osobowych – oczywiście tylko, jeśli te wcześniej zostały otrzymane w prawidłowy sposób, tj. zgodny z zasadą marketingu za przyzwoleniem.
RODO a tworzenie/zbieranie baz danych
Ponieważ prawo do bycia zapomnianym nie może ingerować w bezpieczeństwo innych danych osobowych nie jest konieczne usuwanie danych z back-up’ów baz danych, jeśli przekładałoby się na duże koszta lub nadmierne działania techniczne.
Jeżeli prowadzona przez Ciebie baza posiada dane osobowe uzyskane zgodnie z dotychczasowym prawem (z zasadą marketingu za przyzwoleniem) może być ona w dalszym użyciu. Wiele firm decyduje się jednak na ponowne wysłanie potwierdzenia do swoich odbiorców, głównie z powodu wysokich kar. Wykorzystując dotychczasowe bazy danych osobowych należy również pamiętać o rozszerzonym obowiązku informacyjnym.
RODO a cookies
RODO nie zmieni nic jesli chodzi o dotychczasowa politykę cookies, jeśli ciasteczka nie sa wykorzystywane w sposób umożliwiający identyfikację konkretnych osób. W przypadku, gdy ciasteczka stosowane są w celach identyfikacji jednostek będa one traktowane jak każde przetwarzanie danych osobowych.
RODO a profilowanie
Profilowanie, czyli działania grupujące użytkowników e-commerce w celu dobierania lepszej oferty dla nich jest również tematem podlegającym zmianie w świetle RODO. Do 25 maja 2018 użytkownicy nie musieli być informowani o profilowaniu. Wraz z wejściem w życie przepisów RODO nie tylko sklepy będą musiały zamieszczać stosowną informację o prowadzonych działaniach, ale dodatkowo zostaną zmuszone na danie użytkownikom możliwości niewyrażenia zgody na profilowanie.
RODO a obowiązek informacyjny
RODO wprowadza kilka zmian i wymogów, których należy bezwzględnie przestrzegać zbierając i przetwarzając dane osobowe.
Między innymi istnieje obowiązek każdorazowego poinformowania użytkowników o:
- danych kontaktowych właściciela
- celu przetwarzania pozyskanych danych, który nie może być rozszerzony po czasie wyrażenia zgody (każdy cel powinien posiadać możliwość osobnego wyrażenia zgody)
- podstawie prawnej do przetwarzania danych
- jeśli taki występuje, zamiar przekazania danych innemu podmiotowi
- czasie przechowywania danych (po stronie administratora danych leży obowiązek określenia czasu przechowywania – na podstawie celów ich przetwarzania)
- prawie odbiorców do:
- wglądu do danych
- edycji danych lub ich usunięcia z bazy
- wycofania zgody na przetwarzanie
- przeniesienia danych
- wniesienia skargi
Kary za nieprzestrzeganie RODO
Kary za nieprzestrzeganie rozporządzenia wynoszą 4% całkowitego rocznego obrotu z poprzedniego roku obrotowego i mogą sięgnąć nawet górnej granicy 20’000’000 EUR. Są to kwoty określone jako maksymalne, lecz faktyczne kary będą proporcjonalne do przewinienia
RODO a potrzeba zbierania danych
RODO kładzie silny nacisk na zasadę Privacy by default, którą można interpretować, jako wymóg zbierania jedynie tych danych, które są nam potrzebne do spełnienia określonego celu. Na przykład jeśli zbieramy adresy email osób zapisywanych do newslettera nie ma potrzeby pytania o adres zamieszkania. Innymi słowy nie powinniśmy wymagać od użytkowników podania niepotrzebnych danych “na zapas”.
Jeśli istnieje potrzeba zbierania dodatkowych danych przy okazji np. zapisu na newsletter należy w takim formularzu umieścić informacje o dodatkowym celu pozyskiwania danych wraz z możliwością wyrażenia zgody na przetwarzanie danych osobowych.
RODO a zgody na przetwarzanie danych
Do momentu wprowadzenia RODO czasami użytkownicy spotykali się z sytuacją, gdzie za pomocą zaznaczenia jednego checkboxu wyrażali zgodę na przetwarzanie danych osobowych do kilku różnych celów. RODO reguluje tą kwestię i wymusza wyrażanie osobnej zgody na każdy z celów. Przykładowo potrzebna jest osobna zgoda na przetwarzanie w celu realizacji zamówienia, marketingowym czy udostępnienia innemu podmiotowi.
RODO a GIODO
RODO nie wymaga zgłaszania baz danych do GIODO i od 25 maja 2018 roku taki obowiązek zostanie zniesiony. Jednakże zbiór danych osobowych muszą zgłaszać firmy przetwarzające te informacje na skalę masową. Co więcej firmy zostaną zmuszone do prowadzenia rejestru czynności przetwarzania we własnym zakresie, który będzie mówił o tym gdzie i w jakim celu dane klientów są przetwarzane.
Wyjątki RODO
RODO nie dotyczy:
- polityki cookies, jeśli ciasteczka nie umożliwiają identyfikacji konkretnych użytkowników
- dotychczasowe bazy danych, których zebranie odbywało się zgodnie z dotychczasowym prawem oraz marketingiem za przyzwoleniem.
- back-up’ów, których modyfikacja będzie zagrażała bezpieczeństwu lub prowadziła do wysokich kosztów
- danych osobowych podawanych w celu realizacji zamówienia – za te odpowiadają inne przepisy prawne
RODO a rejestr czynności przetwarzania
RODO wskazuje, aby w rejestrze czynności przetwarzania danych osobowych znalazły się takie informacje, jak:
- identyfikacja administratora
- cele przetwarzania
- kategorie osób i kategorie danych (np. dane dotyczące zdrowia posiadają dodatkowe wymogi prawne)
- o przekazywaniu danych poza UE, współpracy międzynarodowej ect.
- technicznych metodach zabezpieczania danych
- planowanym terminie usunięcia danych
RODO a prawa użytkowników
- Prawo do sprostowania
Użytkownik ma prawo żądania sprostowania danych, co wiąże się z edycją danych oraz wstrzymania przetwarzania na czas dokonania edycji - Prawo do bycia zapomnianym
Użytkownik ma prawo żądania usunięcia jego danych z bazy (nie tylko przetwarzania, ale i posiadania danych) - Prawo mobilności danych
Użytkownik ma prawo żądania udostępnienia danych w formacie umożliwiającym wprowadzenie do innego systemu RODO rekomenduje trzy formaty: XML, JSON lub CSV. - Prawo sprzeciwu
Użytkownik ma prawo nie wyrażenia zgody na przetwarzanie danych, jeśli dotyczy ono marketingu bezpośredniego
RODO a podmioty przetwarzające dane
Za każdym podmiotem przetwarzającym dane osobowe musi stać Inspektor Ochrony Danych, czyli osoba (pracownik lub zakontraktowany podmiot zewnętrzny) dbająca o bezpieczeństwo danych osobowych. Odpowiada za zgodność procedur z prawem, pełni rolę pierwszego kontaktu z użytkownikiem oraz raportuje potencjalne zagrożenia. Taką osobą może być zarówno wyznaczony pracownik jak i sam administrator.
Dodatkowo zadaniem Inspektora Ochrony Danych jest ciągła ewaluacja zagrożeń i ryzyka.
RODO a partnerzy biznesowi
Pamiętaj, że na administratorze spoczywa odpowiedzialność zarówno za siebie, jak i partnerów biznesowych. Najważniejszym krokiem do zabezpieczenia się będzie w tym przypadku sprawdzenie, czy kontrahenci są przystosowani do wymogów RODO. Zwróć uwagę również na partnerów spoza Unii Europejskiej. Sprawdź poziom ochrony danych osobowych i, w razie potrzeb dostosuj umowy tak aby egzekwowały narzucone minimum bezpieczeństwa.
RODO a rozliczalność
Administrator powinien umieć wykazać, że podejmowane przez niego środki ochrony baz danych osobowych są są zgodne z rozporządzeniem, oraz spełniają swoją funkcje.
Daty i liczby o których powinieneś wiedzieć
4 maj 2018 – opublikowanie regulacji GDPR (RODO)
25 maj 2018 – wejście w życie RODO na terenie EU
20 mln / 4% globalnych obrotów firmy – kary za niedopełnienie RODO
72 godziny – czas na zgłoszenie naruszenia bezpieczeństwa danych od momentu wykrycia (w Polsce instytucją do której należy to zgłosić jest GIODO)
Chcesz wiedzieć więcej? Zobacz również przewodnik po RODO Ministerstwa Przedsiębiorczości i Technologii
lub przeczytaj również Rodo dla E-commerce
Wszystkie przedstawione informacje służą wyłącznie do celów edukacujnych. Firma Projekt-Net nie bierze odpowiedzialności branej za błędy wynikające z interpretacji treści.
- Published in Blog, Marketing Automation, Marketing Reklama
Push jako nowa forma komunikacji
Nie wiem, jak Wy, ale mnie wiecznie irytowała konieczność podawania swojego adresu email, aby otrzymać jakieś materiały ze strony. Zawsze wtedy wyobrażałem sobie zapchaną skrzynkę emailową z kilkudziesięcioma wiadomościami, kompletnie nie związanymi z tematem. Numer telefonu z kolei aby otrzymywać smsy? Sami rozumiecie, kompletny brak kontroli nad tym, kiedy otrzymam jakąś wiadomość, która w dodatku może dojść w najmniej odpowiednim momencie.
Dlatego właśnie zainteresowałem się nowym rozwiązaniem na rynku, nie tylko jako potencjalny odbiorca, ale i ktoś, kto teraz ma styczność z tą technologią z drugiej strony.
Push notification to krótkie powiadomienia tekstowe lub graficzne, w zależności od tego, czy zapisu dokonuje się z przeglądarki czy aplikacji mobilnej. Według mnie ma dwie największe zalety: nie wymaga podawania żadnych danych osobowych oraz dochodzi do celu niezależnie, czy ma się obecnie otwartą właściwą stronę lub chociażby samą przeglądarkę internetową.
Pushe na urządzeniach stacjonarnych pojawiają się w prawym dolnym rogu, do której to lokalizacji od dawien dawna przyzwyczaiła mnie cała rzesza komunikatorów i powiadomień innych systemów. Ma niewielkie rozmiary i schludną postać. Prawda, zawiera mało tekstu, ale doprawdy, ile więcej potrzebuje proste powiadomienie o wyjściu nowego tematu albo proponowanym procencie obniżek cenowych? Grafika dołączona do tekstu ma wysokość samego okna i muszę przyznać, że znacznie pomaga mi w szybkiej orientacji od kogo otrzymałem powiadomienie. Sam obrazek może być dowolny, czy to logo firmy, czy miniatura towaru, którego dotyczy notyfikacja, czy nie związana z żadną tematyką ikona – wszystko to sprawia, że nawet bez czytania wiem, czego mogę się spodziewać.
Jak dotąd spotkałem się z dwoma rodzajami push notification. Jedne były zwykłymi powiadomieniami, jak podziękowania za zakup, życzenia świąteczne czy potwierdzenia wykonania jakiejś akcji na stronie, która odpaliła wysłanie pusha. Drugim rodzajem były pushe z odsyłaczem na konkretną stronę. Tak właściwie to do każdego powiadomienia można podpiąć link, tylko że nie do każdego istnieje taka potrzeba. W każdym razie wystarczy kliknąć w powiadomienie, by znaleźć się na konkretnej witrynie, nie tracąc czasu na przekopywanie się przez ileś podstron.
Na urządzeniach mobilnych sprawa ma się nieco inaczej, i jeśli mam być szczery sądzę, że telefony i tablety są pod różnymi względami znacznie bardziej faworyzowane. Nic w tym dziwnego, skoro zdecydowana większość sprawdzeń wiadomości, emaili, ciekawostek w internecie i wejść “na chwilę” odbywa się właśnie z nich. Kwestia praktyczności, jak sądzę.
Wracając jednak do tematyki pushów, aplikacje mobilne są nieco lepiej przystosowane do odbierania większych treści powiadomień, dzięki czemu można w jednej notyfikacji zawrzeć całkiem spora grafikę i tekst. Tego typu rozwiązania zawsze najlepiej sprawdzały się w reklamowaniu produktów, jako swoista forma newslettera. Co więcej, jeśli aplikacja odbierająca wiadomość jest do tego przystosowana, może ona zapisać powiadomienie na później.
Zarówno na urządzeniach mobilnych jak i stacjonarnych push notification stanowią moją ulubioną formę otrzymywania wiadomości. Są krótkie, treściwe, zawsze widoczne, nie znikną nieodebrane, dzięki czemu mam pewność, że ich nie przeoczę i pozwalają na wygodne przejście do strony, których dotyczą. Mam nad nimi pełną kontrolę i już na pierwszy rzut oka mogę ocenić, czy zawierają coś, co mnie zainteresuje. Póki nie wyjdzie coś lepszego w przyszłości myślę, że warto zwrócić uwagę na ten rodzaj komunikacji.
- Published in Marketing Automation
E-mailing – jak uchronić sie przed filtrem antyspamowym
Spam wysyłany na pocztę jest zmorą XXI wieku i stanowi wyzwanie, na które serwisy pocztowe odpowiadają coraz to skuteczniej działającymi filtrami. Problem pojawia się jednak, kiedy zamiast nieproszonej poczty zostaje zablokowana nasza przesyłka. Co wtedy?
Istnieje spora liczba zasad i wyznaczników, jak należy formułować treści e-maili, aby uchronić się przed zablokowaniem, lecz nie wszystkie są w zasięgu przeciętnego nadawcy. Póki co skupmy się na tych nieco pewniejszych rozwiązaniach, które właściwie dotyczą samego odbiorcy.
Pierwszą regułą, jaką należy kategorycznie przestrzegać jest? nie wysyłanie śmieci. Brzmi kuriozalnie, jednak – nie ważne jak sformułowana – wiadomość zwyczajnie nie dojdzie, jeśli adresat dodał nas do spamu albo zablokował nadawcę. Taka osoba jest już dla nas stracona na długi czas.
Z drugiej strony można poprosić adresata aby dodał nasz adres email do grupy kontaktów, co zapewni, że filtry antyspamowe nie zareagują przy, na przykład zbyt częstych wysyłkach.
No właśnie, tak dochodzimy do trzeciej zasady – nie należy wysyłać emaili zbyt często, ani w zbyt dużych ilościach. Pomijając sam fakt, że odbiorca zwyczajnie zirytuje się dziesiątkami wiadomości zasypującymi jego skrzynkę, filtry antyspamowe mogą wykryć nagły ruch z jednego źródła i dodać nas do blokowanych adresów. Dlatego też warto stosować specjalne automaty do wysyłki emaili, przepuszczających nie więcej niż 1000 wiadomości na godzinę.
Kolejna rzecz, jaka może zagrozić Twoim e-mailom to sama zawartość. Nie wolno stosować kontrowersyjnych słów, typu ?sex?, ?reklama?, albo wyrażeń jak ?kliknij tutaj?, ?jeśli nie chcesz? itp. Podczas skanowania treści takie hasła zostaną wyłapane, a poczta trafi do pudełka z napisem SPAM.
Podobnie stanie się, jeśli email będzie składał się z samego dużego obrazka, albo jeśli przekroczy swoją wagą dopuszczalny limit. Tu niestety każdy filtr stosuje własne miary w zależności od ustawień będzie różnie traktował nasza pocztę.
Jeżeli w e-mailu znajdują się linki, muszą prowadzić do faktycznych, działających stron. Jeżeli liczba wadliwych odnośników w wiadomości przekroczy dopuszczalną przez filtr liczbę, poczta zostanie zablokowana. Tu należy zaznaczyć, że same roboty filtrów nie posiadają mechanizmów równie zaawansowanych jak przeglądarki i jeśli na stronach podlinkowanych znajdują się skrypty i przekierowania, niektóre mechanizmy walidacji pokażą je jako wadliwe.
Niestety to jest jedynie prostsza część, którą łatwo spełnić po stronie samego formułowania e-maila. Schody zaczynają się, kiedy przychodzi do wymogów technicznych.
Najpierw należy zadbać, aby adres nadawcy zgadzał się z adresem domeny. Sama domena powinna być przypisana do serwera pocztowego, tak jak i host musi być powiązany z serwerem pocztowym. Zdecydowanie pomocnym będzie uzyskanie dobrej reputacji na liście wl.mailspike.net i co za tym idzie nasze IP nie może znajdować się na żadnej z blacklist oferowanych w internecie.
Oczywiście w samym procesie wysyłki emaili bierze udział jeszcze więcej mechanizmów i, jeśli nadal Twoje e-maile nie dochodzą do odbiorców, warto zastanowić się nad zasięgnęciem rady specjalisty. Możliwe, że będzie potrzebna precyzyjna konfiguracja Twojego serwera pocztowego.
- Published in Marketing Automation