Czasy własnych serwerów pod biurkiem w domu czy biurze to już historia. Obecnie usługi utrzymania strony internetowej, niezależnie czy jest to strona statyczna czy cały system CMS taki jak WordPress, stanowią marginalny koszt dla większości przedsiębiorców. Ale co to takiego ten Hosting zgodny z RODO?
Z firmą, która świadczy na naszą rzecz tego typu usługę dzielimy się zarówno zadaniami jak i odpowiedzialnością. Powierzamy jej obszerny zbiór danych osobowych, często bardzo cennych dla naszej działalności gospodarczej. Gdy wybieramy hosting odpowiedni do potrzeb naszej firmy musimy wybrać firmę, która oferuje odpowiednie podejście do przetwarzania danych osobowych – zarówno to techniczne, jak i poprzez odpowiednie umowy.
Nie powinno być to dla nikogo zaskoczeniem, że hosting naszego serwisu wiąże się z przetwarzaniem danych osobowych. A jednak wielu przedsiębiorców, z którymi rozmawiam, nie widzi od razy tego związku. Powiązanie takie niewątpliwie istnieje i to na dwóch obszarach.
Do jakich danych ma dostęp hostingodawca
Po pierwsze hostingodawca posiada dostęp do treść samej strony internetowej. Informacje, które zamieszczamy na naszej witrynie mogą zawierać przeróżne dane osobowe. Najczęściej będą to dane kontaktowe do wybranych pracowników, często także ich zdjęcia. Fotografii może tam być o wiele więcej. Popularne jest umieszczanie zdjęć z organizowanych przez firmę wydarzeń. Dane osobowe możemy nie tylko udostępniać za pomocą strony internetowej, ale też i pozyskiwać. Wykorzystuje się do tego systemy komentarzy wbudowane w silnik WordPress-a, ankiety, czy formularze kontaktowe. Wiele z nich zapisuje zebrane dane w bazie lub plikach, które przechowywane są na serwerze dostawcy.
Ale nawet jeżeli dopilnujemy by na naszej stronie nie znalazły się wspomniane powyżej treści, to prawie na pewno w samym silniku CMS będziemy przechowywali dane osobowe osób zarządzających treściami na stronie. Wystarczy, że będzie to służbowy imienny adres e-mail powiązany z lokalnym kontem administratora czy moderatora.
Drugi obszar przetwarzania danych osobowych przez dostawcę hostingu jest nieco mniej oczywisty dla osób, które nie znają technicznych aspektów świadczenia usługi. Obowiązkiem dostawcy tego typu usługi jest zapewnienie najwyższej jakości jej działania. Równie ważne są jego zobowiązania w zakresie bezpieczeństwa świadczonej usługi i przechowywanych w niej danych. Jego obowiązkiem jest stosowana reakcja na incydenty związane z bezpieczeństwem, w tym także w zakresie współpracy choćby z uprawnionymi organami ścigania.
Aby wypełnić te zobowiązania operator hostingu między innymi zbiera informacje na temat połączeń z utrzymywanymi serwisami. Takie logi zawierają adres IP urządzenia, z którego nastąpiła próba połączenia. W świetle RODO adres IP jest daną osobową, gdyż na jego podstawie można ustalić konkretnego użytkownika, mimo że niekoniecznie jest to proste.
Zadbaj o Hosting zgodny z RODO
Niewątpliwie firma oferująca hosting dla naszego serwisu będzie przetwarzać dane osobowe. Najczęściej występować będzie ona w roli podmiotu przetwarzającego, czyli firmy, która przetwarza powierzone nam dane osobowe. Wykonywane jest ono na nasze żądanie i jest związane z realizowaniem przez nas wskazanego celu przetwarzania. Takim celem jest choćby marketing naszych usług lub produktów poprzez stronę WWW, czy kontakt z potencjalnymi klientami poprzez formularz na stronie. W przypadku takiej relacji wymagane jest abyśmy podpisali umowę powierzenia, która ureguluje zakres przekazywanych danych i cel ich przetwarzania. Muszą znaleźć się w niej także zapisy o odpowiedzialności każdej ze stron.
Firma hostingowa jest także administratorem danych na przykład w odniesieniu do danych kontaktowych związanych z realizacją usługi hostingowej. Mogą to być na przykład dane kontaktowe do osoby odpowiedzialnej za utrzymanie strony WWW w naszej firmie. W przypadku jednoosobowych działalności gospodarczych będą to dane samej firmy. W tym wypadku odpowiednie formalności najlepiej dopełnić poprzez uważne przeczytanie i zaakceptowanie regulaminu usługi. Jeżeli firma hostingowa zbiera dane o adresach IP jedynie na własny użytek zazwyczaj będzie też w odniesieniu do nich administratorem danych osobowych.
Nieco inaczej sytuacja wygląda, gdy do informacji od adresach IP masz także dostęp ty jako klient. Możesz wtedy wykorzystywać tą informację także na swoje potrzeby na przykład do prowadzenia własnych statystyk. W takiej sytuacji do wskazanych czynności zarówno Twoja firma jak i firma hostingowa jesteście współadministratorami. Wymaga ona podpisania specjalnej umowy, która w szczegółach będzie opisywać relację pomiędzy firmami, cele przetwarzania czy obowiązki każdej ze stron. Więcej o tej formie współpracy przeczytasz w moim artykule „Współadministrator to brzmi odpowiedzialnie„.
Polityka prywatności
Nie zapomnij o umieszczeniu odpowiednich informacji o tym komu udostępniasz dane w swojej polityce prywatności. Nie zalecam odsłaniania swojego warsztatu pracy i ujawniania szczegółowych informacji o firmach, które realizują na twoją rzecz usługi. Najlepiej gdy w polityce prywatności opiszemy jakiego typu usługi podwykonawcy dla nas realizują. Możemy też wymienić jakie kategorie danych osobowych im przekazujemy. Bardziej szczegółowego opisania wymagać będzie sytuacja, w której jesteście wspólnie współadministratorami.
Jeśli prowadzisz firmę i nie posiadasz jeszcze pakietu dokumentów w którym znajdziesz min. umowę powierzenia przetwarzania danych osobowych to zajrzyj do naszego sklepu online w którym znajdziesz dokumentację przygotowaną przez specjalistów zgodną z obowiązującym prawem.
Musimy mieć świadomość, że do naruszeń dochodzi codziennie, a dane osobowe każdego Polaka gdzieś już zapewne wyciekły. W tym artykule omówimy sobie incydent, który miał miejsce w 2019 r. i w konsekwencji którego w sierpniu 2020 r. PUODO nałożył karę administracyjną w wysokości 50 tys zł. Incydent ten mógłby przejść bez większego echa, gdyby nie dwa czynniki – dotyczył on jednej z największych uczelni w Polsce, i po drugie – popełniono tu wszystkie możliwe podstawowe błędy związane z ochrona danych osobowych. A zaczęło się od prozaicznego zdarzenia jakim była kradzież prywatnego laptopa jednego z pracowników SGGW.
Kradzież urządzenia zawierającego dane osobowe
Kradzież służbowego lub prywatnego komputera, tabletu czy telefonu nie jest zdarzeniem niecodziennym. Może być wynikiem włamania, rozboju czy zwykłej niefrasobliwości, gdy nie będziemy zwracać uwagi na nasze rzeczy lub przez nieuwagę gdzieś je zostawimy. Takie rzeczy się zdarzają i będą zdarzać, dlatego przed skutkami kradzieży urządzenia musimy się zabezpieczać w inny sposób. A dane osobowe to prawdopodobnie nie są jedyne cenne dla Twojej firmy dane, które na takim laptopie mogą się znajdować.
Z komunikatu umieszczonego na stronach uczelni dowiadujemy się, że zbiór danych, które były przetwarzane na laptopie pracownika SGGW był bardzo obszerny.
Na dysku komputera znajdowały się dane osobowe kandydatów obejmujące m.in.: dane identyfikacyjne – imię, drugie imię, nazwisko, nazwisko rodowe, imiona rodziców, pesel, płeć, narodowość, obywatelstwo, adres zamieszkania, seria i numer dowodu/paszportu, seria i numer dowodu osobistego, ukończona szkoła średnia, miejscowość szkoły średniej, nr telefonu komórkowego i stacjonarnego, rok ukończenia szkoły średniej, numer i data świadectwa ukończenia szkoły średniej, organ wydający świadectwo, rok matury i data świadectwa maturalnego, organ wydający świadectwo maturalne, wyniki uzyskane na egzaminie maturalnym, ukończone studia, ukończona uczelnia, ukończony kierunek studiów, ocena na dyplomie, średnia ze studiów, kierunek studiów o który kandydat się ubiega, dane szkoły średniej, informacja o zakwalifikowaniu na studia, punkty kwalifikacyjne kandydata, zbieżność kierunku studiów ukończonego z tym o który się kandydat ubiega.
Uczelnia, po stwierdzeniu naruszenia postępowała zgodnie z nałożonym na nią obowiązkiem wynikającym z artykułu 34 RODO. Poinformowała ona o tym fakcie potencjalnie poszkodowane osoby. Jednak my postarajmy się z jej błędów wyciągnąć odpowiednie wnioski.
Niezaszyfrowany nośnik danych osobowych
Choć informacji tej nie ma w komunikacie, to wszystko wskazuje na to, że dysk twardy w skradzionym komputerze nie był zaszyfrowany. Jest też możliwość, że laptop pracownika SGGW w chwili kradzieży był włączony lub tylko uśpiony. Jest to jednak mniej prawdopodobne. Gdyby dane zapisane na dysku były zaszyfrowane, najprawdopodobniej nie byłoby konieczności informowania o tym i zgłaszania incydentu do UODO. Pisałam o tym szerzej w artykule „Naruszenie ochrony danych – nie panikuj, tylko się przygotuj„. Jeżeli pamięć dowolnego urządzenia byłaby zaszyfrowana, a samo urządzenie wyłączone lub w stanie hibernacji, to dane byłyby bezpieczne i niemożliwe do odczytania przez złodzieja.
Najlepiej, aby szyfrowanie dysków było włączone na każdym urządzeniu, za pomocą którego pracownik ma dostęp do danych firmowych. Tę dobrą praktykę należy stosować zawsze. Postępuj tak, gdy za pomocą urządzenia uzyskuje on dostęp do danych osobowych. Nie zapominaj o innych cennych dla Twojej firmy dokumentów a nawet poczcie elektronicznej. Dostęp do nich także powinien obywać się z urządzenia z włączonym szyfrowaniem. Nie zapomnij także, aby szyfrować wszelkie dyski zewnętrzne czy pamięci typu pendrive.
Brak kontroli i monitoringu dostępu do plików
Tak poważnego incydentu można byłoby uniknąć także poprzez odpowiednią kontrolę i rejestrację dostępu do plików, w których zapisane były dane osobowe. Nie traktuj jednak tego mechanizmu jako alternatywę dla szyfrowania, gdyż ma ono swoje ograniczenia.
Kontrola i monitoring dostępu do plików są dzisiaj o wiele bardziej rozbudowane niż jeszcze parę lat temu. Ten skok był możliwy między innymi dzięki temu, że co raz więcej usług realizujemy w tzw. chmurze. Nie na własnych serwerach a jako usługę, którą kupujesz od zewnętrznej firmy. Jedną z nich jest choćby usługa przechowywania plików Microsoft OneDrive, która jest składnikiem pakietu Microsoft Office 365. Odpowiednia ochrona nie ogranicza się jednak tylko do plików zapisanych na OneDrive. Wykorzystasz ją chroniąc dowolne pliki znajdujące się na komputerach.
Usługa ta to Azure Information Protection, a jej licencja kosztuje 1,70 EUR miesięcznie dla każdego użytkownika. Jest to moim zdaniem bardzo niska cena za zaawansowane narzędzie. Jej działanie polega w skrócie na tym, że do każdego pliku możemy przypisać odpowiednią etykietę. Z tą etykietą powiązana jest polityka, w której zdefiniowanych jest wiele atrybutów bezpieczeństwa. Opcję pozwalającą na skonfigurowanie, co ile dni muszą być odświeżane uprawnienia do pliku. Dzieje się to przez połączenie z centralnym serwerem usługi za pośrednictwem sieci Internet. Sprawdzenie odbywa się automatycznie, o ile uprawniony użytkownik jest zalogowany.
Funkcjonalność pozwalającą na skonfigurowanie swego rodzaju terminu ważności dokumentu. Możemy go ustawić w postaci konkretnej daty lub liczby dni. Gdy tak skonfigurowana ważność dokumentu wygaśnie nikt nie będzie w stanie odczytać jego zawartości.
Oprócz wymuszania samej kontroli administratorzy dostają możliwość śledzenia i raportowania kto i kiedy otwierał wskazany plik. Pozwala to na ocenę, czy nieuprawniony dostęp do danych osobowych z dużym prawdopodobieństwem nastąpił, czy nie.
Zasada minimalizacji w RODO
Pamiętasz o zasadzie minimalizacji? Mówi ona, że administrator nie powinien przetwarzać więcej danych osobowych, niż jest to niezbędne do osiągnięcia celu przetwarzania. Podobnie postępuj, jeżeli chodzi o ilość danych, do których Ty i Twoi pracownicy macie w danej chwili dostęp. Z komunikatu SGGW wynika, że skradziono prywatny laptop, na który dane zostały skopiowane w sposób nieuprawniony. Odpowiednie korzystanie z narzędzi opisanych w poprzednim akapicie powinno pozwolić administratorom wykryć taką sytuację i zapobiec wynoszeniu danych. Przed takim wyzwaniem stoją wszyscy przedsiębiorcy pozwalający na dostęp do firmowych zasobów z prywatnych urządzeń.
Ochrona powinna odbywać się zarówno w warstwie technicznej, jak i przez wdrożenie odpowiednich polityk i procedur w firmie. Twój zespół powinien mieć dostęp jedynie do tych danych, które są niezbędne do wykonania stojącego przed nim zadania. Załóżmy, że pracownikowi SGGW skradziono nie prywatny laptop, na który kopiował dane w sposób nieuprawniony, a służbowy komputer, który wykorzystywał do codziennej pracy.
Jeżeli był on odpowiedzialny za proces rekrutacji na rok akademicki 2019/2020 to raczej nie powinien mieć już dostępu do danych kandydatów z lat ubiegłych, a już na pewno nie do tak szerokiego zbioru danych. Napisanie i wdrożenie odpowiednich polityk i regulaminów to skomplikowane zadanie spoczywające na barkach zarówno administratora danych, jak i zespołu IT. Konieczne są też wartościowe i regularne szkolenia dla osób, które mają dostęp do przetwarzanych danych osobowych.
Co czuje przedsiębiorca dostosowujący działanie swojej firmy do wymogów RODO? Jak wygląda RODO w małej firmie? Czy pierwsze kroki budzą strach? A może jawią się jako niewykonalne zadania? Między innymi o to pytam Damiana Michalaka – przedsiębiorcę i prowadzącego serwis nastykusieci.pl. Jak wyglądały pierwsze kroki w świat RODO? Jak wdrożone rozwiązania proceduralne oraz teleinformatyczne usprawniły i zabezpieczyły działanie biznesu.
Pytanie: Kiedy pierwszy raz usłyszałeś, że Twój cały biznes musi być zgodny z RODO to co sobie wyobraziłeś?
Odpowiedź na to pytanie zacznę od wprowadzenia dodatkowego kontekstu – a jest nim pierwsza styczność z RODO. Każdy z nas chyba pamięta falę maili od różnych firm i organizacji, gdy te regulacje weszły w życie. Wtedy byliśmy niejako „po drugiej stronie barykady”. Odbiór RODO w tamtym momencie oczywiście był dość subiektywną sprawą, na dodatek mocno zależną od jakości przeprowadzonych kampanii informacyjnych. Moje odczucia były wtedy dość negatywne, nie podobało mi się w świecie rodo.Z jednej strony poirytowanie zalewem maili, z drugiej pewne rozdrażnienie w związku z brakiem pełnego zrozumienia tematu. Mnie osobiście brakowało jakościowej kampanii informacyjnej.Negatywne odczucia jednak bardzo szybko odeszły w niepamięć, gdy już po wprowadzeniu RODO spotkałem się z pierwszymi naruszeniami związanymi z przetwarzaniem moich danych. Wtedy to sobie przypomniałem, że RODO jest orężem do walki z tego typu przewinieniami. Z chęcią wykorzystałem przysługujące mi prawa, chociażby do wycofania zgody na przetwarzanie moich danych osobowych. Tego typu doświadczenia uświadomiły mi, jak istotne jest RODO, zwłaszcza gdy jesteśmy stroną, która te dane przetwarza.W pewnym momencie tak też się stało i u mnie, gdy otworzyłem moją działalność gospodarczą. Spadł na mnie pewien ciężar odpowiedzialności. O ile rozumiałem, po co jest RODO i jakie są podstawy tych regulacji, to dostosowanie mojej działalności do wymogów prawnych było zadaniem, które nie za bardzo wiedziałem, jak ugryźć.Wyobrażałem sobie, że oto teraz będę musiał spędzić godziny na czytaniu ustaw, aby zrozumieć każdy szczegół RODO, a stworzenie integralnej polityki prywatności zajmie mi dni z uwagi na delikatną kwestię doboru odpowiedniego słownictwa. Można powiedzieć, że trochę się bałem tego na wyrost, ale od czasu afery Rywina i słynnego „lub czasopisma” zacząłem z wielką powagą traktować wszelkie kwestie prawne. Podsumowując, na starcie RODO było dla mnie olbrzymią górą, na którą nie wiedziałem, jak się wdrapać i od której strony. Otuchy nie dodawał fakt, że w mojej ocenie nie posiadałem odpowiedniego ekwipunku to zmierzenia się z tym wyzwaniem.Pytanie: Czy trudno było wykonać pierwsze świadome kroki, które nie były kopiowaniem gotowców z innych stron albo szablonów. Jak wyglądała Twoja pierwsza dokumentacja RODO?
Owszem, przyszło mi to z trudem. Cieszę się, że poruszamy kwestię kopiowania gotowców z innych stron. Ja również popełniłem ten grzech zaniechania na początku i poszedłem niejako na łatwiznę. Ot znalazłem wydeptaną ścieżkę i nią podążyłem. Moja polityka prywatności w tamtym momencie stanowiła zlepek tekstów z trzech innych stron. Wybrałem takie fragmenty, które poruszały jak najszerszy zakres zagadnień i dostosowałem je delikatnie do mojej działalności. Wprowadziłem oczywiste modyfikacje takie jak wprowadzenie danych mojej firmy, czy też opisanie narzędzi firm trzecich, z których korzystałem. Wydawało mi się, że osiągnąłem zamierzony efekt – że jestem „zgodny z RODO”. Jak się później okazało, po konsultacji z Tobą, wydeptana ścieżka doprowadziła mnie ledwie na jakiś pagórek, a pełna zgodność z RODO nadal majaczyła daleko na horyzoncie ???? Generalnie moje odczucie jest takie, że trudno wykonać WŁAŚCIWIE, pierwsze, świadome kroki.Dlaczego? W tekstach prawnych bardzo często pojawiają się dość enigmatycznie brzmiące sformułowania, które odstraszają przeciętnego Kowalskiego. Większość z nas nie została nauczona jak czytać teksty prawne. Gdy więc pierwszy raz trafimy chociażby na konieczność przygotowania „wykazu powierzeń” na potrzeby RODO to większość poczuje się jakby stała pod ścianą. Teraz gdy mam już cały proces redagowania polityki prywatności OD ZERA za sobą to wiem, że nie jest to „rocket science”. Nie zmienia to faktu, że mamy dwie opcje. Pierwsza to próba przeskoczenia tej ściany poprzez spędzenie długich godzin na samodzielnym zapoznawaniu się z wymogami prawnymi. Druga, znacznie lepsza opcja, to poświęcenie kilku minut na znalezienie kogoś, kto da nam drabinę, czyli osoby, która już taką wiedzę posiada i nas odpowiednio pokieruje.
Pytanie: Jesteś osobą z branży IT – jak oceniasz, czy w obecnych czasach przedsiębiorca może skutecznie wdrożyć wymogi RODO bez znajomości podstaw teleinformatyki lub wsparciu kogoś, kto „ogarnia IT”?
Tu się odwołam do mojej poprzedniej odpowiedzi. Przedsiębiorca może skutecznie samodzielnie wdrożyć wymogi RODO, ale musi być gotowy do zainwestowania znacznej ilości czasu. Ponadto trzeba się również pogodzić z faktem, że najprawdopodobniej i tak się znajdą jakieś niedociągnięcia. Znacznie lepszym pomysłem jest skonsultowanie się z kimś, kto się już na tych regulacjach zna – na przykład z Tobą. Zaoszczędzimy w ten sposób czas i będziemy mogli spać spokojnie, nie martwiąc się, czy czegoś nie pominęliśmy.Z systemami teleinformatycznymi jest generalnie tak, że istnieją one po to, by nam ułatwiać życie. W większości przypadków są one skonstruowane tak, aby poradził sobie z nimi przeciętny Kowalski, nieznający się na technikaliach.Schody zaczynają się w momencie, gdy mamy do czynienia z kilkoma bądź kilkunastoma systemami IT, które na dodatek są ze sobą w jakiś sposób powiązane. A tak jest niemal w każdym przedsiębiorstwie w branży IT – mamy do czynienia chociażby z hostingiem strony, mailingu, mediami społecznościowymi, bazami danych itd. Przygotowanie polityki prywatności uwzględniającej te zawiłości może być nie lada wyzwaniem – dlatego też warto zasięgnąć opinii konsultanta.
Pytanie: Czy wdrożenie przez Ciebie nowych narzędzi dobranych pod kątem RODO usprawniło w innych aspektach to jak pracujesz, lub jak chronisz inne informacje?
Tak, z pewnością. Przede wszystkim postawienie na mailing oparty o G Suite od Google zdjęło z ramion pewien ciężar odpowiedzialności związany z RODO. Możliwość ustawiania polityk retencji to zaledwie jedna z zalet. Śmiem stwierdzić, że przenosiny na G Suite dały mojej firmie również wymierne korzyści w postaci chociażby dostępu do ujednoliconej platformy komunikacyjnej (Google Hangouts + Meet) czy też dodatkowego storage’u opartego o chmurę, który wykorzystujemy do backupowania owoców naszej pracy. Kolejną zaletą, którą dostrzegam po dostosowaniu się do RODO i po wprowadzeniu odpowiednich narzędzi jest większa świadomość mojej firmy. Co mam na myśli? Teraz doskonale zdaję sobie sprawę z tego, jakie dane przetwarzam oraz jaka w związku z tym ciąży na mnie odpowiedzialność. Ponadto bardzo cenna jest wiedza o tym, które z zewnętrznych podmiotów, z którymi współpracuję, również przetwarza dane moich klientów.
Pytanie: Czy Twoim zdaniem przygotowanie do RODO małej firmy wymaga angażowania prawnika?
Dobre pytanie, na które odpowiem trochę przekornie – to zależy. W przypadku dużych firm i korporacji, które przetwarzają ogromne ilości różnego rodzaju danych i powierzają te dane wielu zewnętrznym podmiotom, z pewnością angażowanie prawnika ma sens. Gracze dużego rozmiaru nie mogą sobie zwyczajnie pozwolić na błędy, które w ich przypadku mogłyby kosztować miliony. Inaczej ma się sprawa w przypadku sektora MŚP. Tutaj nadal na nas spoczywa odpowiedzialność za solidne dostosowanie firmy do wymogów RODO, rownież dokumentacja RODO musi być specjalistyczna. Natomiast skala „problemu” jest na tyle mała, że można sobie z nim ze spokojem poradzić bez angażowania funduszy na konsultacje prawne.
Odpowiadając kolokwialnie – prawnik w takiej sytuacji to według mnie trochę overkill. Z pewnością jednak warto się zastanowić nad zasięgnięciem opinii zewnętrznego konsultanta, który pomoże nam poukładać wszystkie klocki na miejscu. Ja osobiście się bardzo cieszę, że przyszło nam razem współpracować. Dogłębne zrozumienie tematyki RODO oraz doświadczenie po Twojej stronie były dla mnie kluczowe. Owocem naszej współpracy był zestaw bardzo praktycznych porad, które udało mi się z powodzeniem wdrożyć w mojej firmie. Tak wygląda ochrona danych osobowych i RODO w małej firmie krok po kroku .
W jednym z poprzednich artykułów opisywałam przykład pułapki, w którą możesz wpaść, gdy nowa osoba zapisuje się jako odbiorca Twojego newslettera. Możesz przeczytać o tym tu. Ważne jest odpowiednie wypełnienie obowiązku informacyjnego w stosunku do osoby zapisującej się na naszą listę – zdecydowanie nie wystarczy zapisać stosowne informacje w polityce prywatności. Należy jasno w formularzu, w którym zbieramy dane wyjaśnić cel ich przetwarzania. Jednak pułapki czają się też, gdy ktoś rezygnuje z Twojego newslettera. Może ona potencjalnie sprowadzić na Ciebie kłopoty.
Jak się traci subskrybenta?
Utrata osoby subskrybującej Twój newsletter może być wynikiem wielu czynników – słaba treść, zbyt duża liczba wiadomości, spełnił się cel, dla którego osoba się zapisała. Jednak ja nie o tym chcę opowiedzieć. Skupię się na technicznym procesie związanym z tą czynnością oraz wymaganiami, jakie RODO przed każdym administratorem stawia.
W punkcie 3 artykułu 7 RODO znajdziemy zapis:
(…) Wycofanie zgody musi być równie łatwe jak jej wyrażenie.
RODO, Artykuł 7 punkt 3 (fragment)
Zatem skoro aby zapisać się na newsletter wystarczy wypełnić formularz, to wypisanie się z niego musi być co najmniej tak samo nieskomplikowaną czynnością. Niedozwolone będzie żądanie od osoby zapisanej na Twoją listę dystrybucyjną, aby wysyłała do Ciebie podanie w formie papierowej z żądaniem zaprzestania przetwarzania danych i ich usunięcia.
Większość systemów do obsługi newsletterów pozwala na wypisanie się z listy na dwa sposoby. Pierwszy z nich nie wymaga żadnych czynności ze strony administratora. W stopce każdej wysłanej wiadomości odbiorca znajdzie unikalny odnośnik, za pomocą którego samodzielnie może wycofać swoją zgodę. Proces ten jest automatyczny i wbudowany w silnik usługi newslettera. Czasem może wymagać od strony użytkownika dodatkowego potwierdzenia chęci wypisania się, czasem tylko operacja ta potwierdzana jest odpowiednią wiadomością. Drugim ze sposobów jest ręczne usunięcie wskazanej osoby z listy subskrybentów przez administratora.
Wypisany, lecz nie usunięty
Wypisanie osoby z newslettera opiszę na przykładzie popularnego systemu do obsługi newslettera MailChimp. Gdy osoba zapisana do newslettera wypisuje się z niego, nie jest ona automatycznie usuwana z bazy danych kontaktów systemu MailChimp. Dane tej osoby nadal w nim widnieją, lecz zmienia się jej status na Unsubscribed.
MailChimp nie jest jedynym systemem do prowadzenia kampanii mailowych, w którym kontakt nie jest usuwany wraz z wypisaniem się użytkownika z ostatniej listy. Podobnie dzieje się choćby w ActiveCampaign czy GetResponse. Stawiam orzechy przeciw chrupkom ;), że użytkownicy pozostałych dostawców systemów do kampanii marketingowych także nie usuwają od razu kontaktu z bazy adresów.
Czy jest to zgodne z RODO?
Jest to bardzo uzasadnione pytanie. Stosując prostą logikę, należałoby przyjąć, że skoro dana osoba się wypisała z newslettera, to powinniśmy przestać przetwarzać informacje o niej. Samo przechowywanie informacji jest czynnością przetwarzania, zatem logicznym następstwem wycofania zgody wydaje się konieczność usunięcia danych. RODO nie jest jednak tak rygorystyczne. Co więcej, taka jednoznaczna interpretacja byłaby trudna do wdrożenia niezależnie od tego, czy dane przetwarzane są jedynie w formie cyfrowej, czy także papierowej. Aby zrozumieć jakie obowiązki ma administrator, przytoczę zapis całego punktu 3, który we fragmencie już cytowałam.
Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie.
RODO, Artykuł 7 punkt 3
Kluczowe jest sformułowanie użyte w drugim zdaniu, które mówi o tym, że informacje uzyskane w procesie przetwarzania, czy same wykonane czynności przetwarzania, wykonane przed odwołaniem zgody nadal są legalne. Zresztą nie ma możliwości odwołania wysłanych już maili marketingowych. Po wycofaniu zgody nie możesz jednak wysyłać danej osobie kolejnych wiadomości.
Jest jeszcze druga podstawa wynikająca z RODO, która uprawnia Cię do zachowania informacji o subskrybencie. Systemy obsługujące kampanie marketingowe są skonstruowane w ten sposób, że użytkownik za pomocą wspomnianego wcześniej odnośnika zawartego w mailu cofa jedynie zgodę na przetwarzanie podanych przez niego danych w celu wysyłki newslettera. Nie jest to tożsame z żądaniem usunięcia danych. Pamiętaj jednak, że jeżeli takie żądanie zostanie przez niego złożone, to musisz ręcznie usunąć wszystkie dane.
Niebezpieczeństwa
Taki sposób działania produktów takich jak MailChimp, ActiveCampaign czy GetResponse, wydaje się być oczywisty z punktu widzenia administratora danych. Każda z osób prowadząca serwis internetowy czy sklep chce jak najwięcej wiedzieć o swoich czytelnikach, czy klientach. Jako administrator musisz jednak rozumieć, w jaki sposób działa produkt, z którego korzystasz, by nie złamać innych ograniczeń wynikających z RODO.
Pamiętaj, że masz prawo przechowywać i przetwarzać dane historyczne zebrane w czasie, gdy udzielona była zgoda. Zatem nadal możesz przeglądać informację o tym, które wiadomości przez daną osobę zostały otwarte, statystyki klikania w odnośniki czy innego zaangażowania. Dotyczy to wszystkich atrybutów, które system przypisał do danego kontaktu (pamiętaj jednak zawsze o zasadzie minimalizacji i nie zbieraj więcej danych, niż jest to niezbędne).
Nie wolno Ci jednak dopisywać żadnych nowych informacji czy przetwarzać tych już posiadanych w innym celu niż pierwotnie określony, nawet jeżeli zaktualizowana została przez Ciebie polityka prywatności. Swego rodzaju „wytrychem” w tej sytuacji jest odpowiednie skonstruowanie polityki prywatności. Możesz rozdzielić wszelkiego rodzaju czynności związane z profilowaniem czy statystykami od czynności wysyłki samego newslettera. Wtedy wycofanie zgody na otrzymywanie maili nie będzie cofać zgody na inne działania. Takie podejście może być jednak ryzykowne – musisz bardzo uważać, w jaki sposób spełniasz obowiązek informacyjny. Ponadto część takich działań może wymagać od profilowanej osoby wyrażonej świadomej dodatkowej zgody.
Oczywiście nie możesz danej osobie wysyłać już więcej wiadomości z newslettera. Bardzo łatwo jednak popełnić błąd migrując swoją bazę kontaktów pomiędzy różnymi systemami do kampanii marketingowych. Jeżeli przez nieuwagę lub pomyłkę przeniesiesz taką wypisaną z list osobę do nowego systemu, a następnie otrzyma ona od nas maila z newsletterem będzie miała ona solidne podstawy, by złożyć na Ciebie skargę do UODO, czy dochodzić zadośćuczynienia.
Moje rady
Końcowa decyzja o tym, co robić a czego nie zależy od Ciebie i tego, jakie cele chcesz osiągnąć. Ja mam dla Ciebie kilka porad:
Jeżeli jesteś początkującym przedsiębiorcą, to nie kombinuj. Zajmujesz się na pewno bardzo wieloma rzeczami i łatwo możesz przeoczyć drobnostki, jak niepoprawna migracja bazy kontaktów. Ja po prostu co miesiąc kasuję osoby, które nie są zapisane na żadną z moich list.
Oddzielanie profilowania od czynności związanych z newsletterem w polityce prywatności może być ryzykowne. Jeżeli się na to decydujesz, to postaraj się skorzystać z opinii prawnika i specjalisty od IT.
Postaraj się rozumieć jak najlepiej, w jaki sposób działa system do kampanii marketingowych, z którego korzystasz. Przeczytaj dokładnie dokumentację techniczną lub zadaj pytanie do wsparcia technicznego. Pamiętaj, że twórcy mogą szumnie określać swój produkt jako „zgodny z RODO”, co nie oznacza, że nie masz żadnych obowiązków.
Dbaj o jasne zapisy w polityce prywatności i samym formularzu zapisywania na newsletter.
Jednym z obowiązków, jakie RODO oraz Ustawa o Świadczeniu Usług Drogą Elektroniczną nakładają na przedsiębiorcę, jest zebranie zgody na przetwarzanie danych osobowych w celach marketingowych. Wymogi stawiane przed przedsiębiorcą wynikające z tych dwóch różnych aktów prawnych mają jedną wspólną cechę – to do przedsiębiorcy należy wykazanie, że zgoda została wyrażona. Mechanizm Double Opt-in jest jedną z technik, które mają za zadanie zebrać jednoznaczną i weryfikowalną zgodę.
Po co te zgody marketingowe?
Marketing może być prowadzony na bardzo wiele sposobów. W internecie spotkamy się z reklamami graficznymi, zarówno sprofilowanymi, jak i wyświetlanymi w sposób losowy. Mniej popularne są formy afiliacyjne czy marketing szeptany. Jedną z najstarszych i nadal najpopularniejszych metod dotarcia do klienta jest jednak marketing za pomocą e-maili. Może on przyjąć wiele form. Najczęściej jest to newsletter z treściami przynoszącymi odbiorcy konkretną wartość. Spotkać się możemy też z bezpośrednim przeniesieniem idei gazetki reklamowej do postaci elektronicznej. Z kuponami zniżkowymi włącznie.
RODO, tam gdzie nie wynika to z innych przepisów, nakłada obowiązek zebrania zgody na przetwarzanie danych osobowych do wszelkich czynności. Nie inaczej jest, gdy chcemy te dane przetwarzać w celach marketingu produktów własnych czy remarketingu oferty firm trzecich. Jednak w przypadku tego typu działań w formie elektronicznej musimy się liczyć także z zapisami Ustawy o Świadczeniu Usług Drogą Elektroniczną. Szczególnie ważne są zapisy zawarte w artykule 10 ustawy.
Zakazane jest przesyłanie niezamówionej informacji handlowej skierowanej do oznaczonego odbiorcy będącego osobą fizyczną za pomocą środków komunikacji elektronicznej, w szczególności poczty elektronicznej.
Informację handlową uważa się za zamówioną, jeżeli odbiorca wyraził zgodę na otrzymywanie takiej informacji, w szczególności udostępnił w tym celu identyfikujący go adres elektroniczny
Zatem jasno wynika, że zgoda na marketing w formie newslettera jest wymagana. Co więcej, zarówno RODO, jak i Prawo Telekomunikacyjne wprost mówią, że zgoda ta „nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści”. Zatem administrator musi mieć możliwość wykazania w przypadku kontroli, że dana osoba zgodę wyraziła. Double Opt-In jest metodą na wykazanie dopełnienia wszystkich obowiązków przez przedsiębiorcę.
Typowy mechanizm pozwalający zapisać się do newslettera ma postać formularza. Zainteresowana osoba wypełnia go wpisując w odpowiednim polu swój adres e-mail i klika przycisk rejestracji. Następnie na jego skrzynkę mailową przychodzi potwierdzenie w formie wiadomości powitalnej. Taki proces nazywamy Single Opt-In, gdyż zgoda na dopisanie się wyrażana jest jednokrotnie poprzez wypełnienie formularza. Nawet jeżeli do formularza dodamy dodatkowy checkbox z przygotowaną formułą typu „wyrażam zgodę na przesyłanie informacji handlowych”. Przy dobrze spełnionym obowiązku informacyjnym jest on w wielu przypadkach zbędny.
Single Opt-In jest bardzo prostą i wydajną metodą lecz nie w każdej sytuacji
Zalety
Prostszy proces zapisu przekłada się na szybszą budowę bazy odbiorców newslettera
Szybciej przyrastająca liczba subskrybentów
Wady
Mniejszy poziom zaangażowania uczestników listy mailowej, większa liczba „martwych dusz”.
Wyższy wskaźnik osób wypisujących się z newslettera i odbitych maili (bounce rate), który negatywnie może wpływać na Twoją reputację i efektywność dostarczania maili.
Potencjalnie lista może łatwo zostać zaśmiecona nieistniejącymi adresami przez Twoją konkurencję.
Wymaga innych dodatkowych metod potwierdzających, że zgoda została wydana świadomie.
Kiedy warto stosować
Model Single Opt-In możemy z powodzeniem stosować w formularzach dedykowanych jedynie do zapisu do listy mailingowej. Osoba zapisująca się na listę musi wykonać świadomą i jednoznaczną czynność polegającą na wpisaniu swojego adresu e-mail i jednoznacznego potwierdzenia odpowiednim przyciskiem. Formularz powinien zawierać w sobie dobrze wypełniony obowiązek informacyjny, w tym jednoznaczną informację, że podanie danych jest dobrowolne i będzie skutkowało wyrażeniem zgody na otrzymywanie informacji o charakterze marketingowym. Zatem sam formularz jest kluczem do poprawnego zebrania zgody i wypełniania obowiązku informacyjnego
Double Opt-In
W modelu Double Opt-In stosuje się dwa kroki celem weryfikacji udzielonej zgody. Wypełnienie przez zainteresowanego odbiorcę formularza na stronie nie kończy procesu dodawanie nowej osoby do listy. Powoduje natomiast wysłanie na podany adres e-mail wiadomości zawierającej specjalnie przygotowany link potwierdzający chęć rejestracji. W tym etapie system obsługujący wysyłkę newslettera ma już informacje podane w formularzu, lecz nie wysyła jeszcze wiadomości marketingowych. Osoba, która dołącza do newslettera musi potwierdzić swoją chęć klikając na wygenerowany dla niej specjalny link, który wysyłany jest do niej w wiadomości zwrotnej. Jeżeli nie odbierze ona maila lub nie potwierdzi chęci zapisania się do newslettera, to po określonym czasie wygenerowany odnośnik wygaśnie. Pozyskany zaś adres zostanie usunięty z systemu mailowego. Dokończenie rejestracji możliwe jest tylko poprzez świadome otwarcie maila i kliknięcie na załączony odnośnik. Dopiero po wykonaniu tych czynności system mailingowy zarejestruje wyrażoną zgodę i przeniesie osobę do wskazanej grupy odbiorców.
Zalety
Lepsza weryfikacja fałszywych adresów e-mail oraz osób niezainteresowanych wysyłanymi do nich wiadomościami
Subskrybenci rzeczywiście zainteresowani wysyłanymi do nich wiadomościami
Wady
Wolniej przebiegający proces budowy listy mailowej.
Młodsi odbiorcy, szczególnie nastolatkowie, są mniej przyzwyczajeni do sprawdzania skrzynki pocztowej, co powoduje, że mogą nie potwierdzić na czas subskrypcji.
Wyższy koszt pozyskania subskrybenta, jeżeli korzysta się z usług operatora, u którego koszt zależy także od ilości wysyłanych maili.
Kiedy warto stosować
Proces Double Opt-In jest przydatny w sytuacji, gdy dajemy osobom możliwość dopisania się do odbiorców newslettera przy okazji innej czynności. Jest to bardzo wygodne rozwiązanie dla prowadzących sklepy internetowe. Zazwyczaj oferują oni możliwość wyrażenia zgody na otrzymywanie wiadomości marketingowych w finalnym kroku dokonywania zakupów. Metoda Double Opt-In pozwoli im zebrać jednoznaczną i wiarygodnie udokumentowaną zgodę. Pozwoli to uniknąć podejrzeń o bezprawne dopisywanie do listy lub domyślne zaznaczenie w formularzu zamówienia zgody na marketing. Skorzystają na niej też osoby, którym zależy na dodatkowej weryfikacji adresów e-mail i automatycznym odrzucaniu nieprawidłowych adresów.
Dołącz do mnie na 
Dołącz do mnie na 
Dołącz do mnie na 
Dołącz do mnie na 
Dołącz do mnie na 
