W jednym z poprzednich artykułów opisywałam przykład pułapki, w którą możesz wpaść, gdy nowa osoba zapisuje się jako odbiorca Twojego newslettera. Możesz przeczytać o tym tu. Ważne jest odpowiednie wypełnienie obowiązku informacyjnego w stosunku do osoby zapisującej się na naszą listę – zdecydowanie nie wystarczy zapisać stosowne informacje w polityce prywatności. Należy jasno w formularzu, w którym zbieramy dane wyjaśnić cel ich przetwarzania. Jednak pułapki czają się też, gdy ktoś rezygnuje z Twojego newslettera. Może ona potencjalnie sprowadzić na Ciebie kłopoty.
Jak się traci subskrybenta?
Utrata osoby subskrybującej Twój newsletter może być wynikiem wielu czynników – słaba treść, zbyt duża liczba wiadomości, spełnił się cel, dla którego osoba się zapisała. Jednak ja nie o tym chcę opowiedzieć. Skupię się na technicznym procesie związanym z tą czynnością oraz wymaganiami, jakie RODO przed każdym administratorem stawia.
W punkcie 3 artykułu 7 RODO znajdziemy zapis:
(…) Wycofanie zgody musi być równie łatwe jak jej wyrażenie.
RODO, Artykuł 7 punkt 3 (fragment)
Zatem skoro aby zapisać się na newsletter wystarczy wypełnić formularz, to wypisanie się z niego musi być co najmniej tak samo nieskomplikowaną czynnością. Niedozwolone będzie żądanie od osoby zapisanej na Twoją listę dystrybucyjną, aby wysyłała do Ciebie podanie w formie papierowej z żądaniem zaprzestania przetwarzania danych i ich usunięcia.
Większość systemów do obsługi newsletterów pozwala na wypisanie się z listy na dwa sposoby. Pierwszy z nich nie wymaga żadnych czynności ze strony administratora. W stopce każdej wysłanej wiadomości odbiorca znajdzie unikalny odnośnik, za pomocą którego samodzielnie może wycofać swoją zgodę. Proces ten jest automatyczny i wbudowany w silnik usługi newslettera. Czasem może wymagać od strony użytkownika dodatkowego potwierdzenia chęci wypisania się, czasem tylko operacja ta potwierdzana jest odpowiednią wiadomością. Drugim ze sposobów jest ręczne usunięcie wskazanej osoby z listy subskrybentów przez administratora.
Wypisany, lecz nie usunięty
Wypisanie osoby z newslettera opiszę na przykładzie popularnego systemu do obsługi newslettera MailChimp. Gdy osoba zapisana do newslettera wypisuje się z niego, nie jest ona automatycznie usuwana z bazy danych kontaktów systemu MailChimp. Dane tej osoby nadal w nim widnieją, lecz zmienia się jej status na Unsubscribed.
MailChimp nie jest jedynym systemem do prowadzenia kampanii mailowych, w którym kontakt nie jest usuwany wraz z wypisaniem się użytkownika z ostatniej listy. Podobnie dzieje się choćby w ActiveCampaign czy GetResponse. Stawiam orzechy przeciw chrupkom ;), że użytkownicy pozostałych dostawców systemów do kampanii marketingowych także nie usuwają od razu kontaktu z bazy adresów.
Czy jest to zgodne z RODO?
Jest to bardzo uzasadnione pytanie. Stosując prostą logikę, należałoby przyjąć, że skoro dana osoba się wypisała z newslettera, to powinniśmy przestać przetwarzać informacje o niej. Samo przechowywanie informacji jest czynnością przetwarzania, zatem logicznym następstwem wycofania zgody wydaje się konieczność usunięcia danych. RODO nie jest jednak tak rygorystyczne. Co więcej, taka jednoznaczna interpretacja byłaby trudna do wdrożenia niezależnie od tego, czy dane przetwarzane są jedynie w formie cyfrowej, czy także papierowej. Aby zrozumieć jakie obowiązki ma administrator, przytoczę zapis całego punktu 3, który we fragmencie już cytowałam.
Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie.
RODO, Artykuł 7 punkt 3
Kluczowe jest sformułowanie użyte w drugim zdaniu, które mówi o tym, że informacje uzyskane w procesie przetwarzania, czy same wykonane czynności przetwarzania, wykonane przed odwołaniem zgody nadal są legalne. Zresztą nie ma możliwości odwołania wysłanych już maili marketingowych. Po wycofaniu zgody nie możesz jednak wysyłać danej osobie kolejnych wiadomości.
Jest jeszcze druga podstawa wynikająca z RODO, która uprawnia Cię do zachowania informacji o subskrybencie. Systemy obsługujące kampanie marketingowe są skonstruowane w ten sposób, że użytkownik za pomocą wspomnianego wcześniej odnośnika zawartego w mailu cofa jedynie zgodę na przetwarzanie podanych przez niego danych w celu wysyłki newslettera. Nie jest to tożsame z żądaniem usunięcia danych. Pamiętaj jednak, że jeżeli takie żądanie zostanie przez niego złożone, to musisz ręcznie usunąć wszystkie dane.
Niebezpieczeństwa
Taki sposób działania produktów takich jak MailChimp, ActiveCampaign czy GetResponse, wydaje się być oczywisty z punktu widzenia administratora danych. Każda z osób prowadząca serwis internetowy czy sklep chce jak najwięcej wiedzieć o swoich czytelnikach, czy klientach. Jako administrator musisz jednak rozumieć, w jaki sposób działa produkt, z którego korzystasz, by nie złamać innych ograniczeń wynikających z RODO.
Pamiętaj, że masz prawo przechowywać i przetwarzać dane historyczne zebrane w czasie, gdy udzielona była zgoda. Zatem nadal możesz przeglądać informację o tym, które wiadomości przez daną osobę zostały otwarte, statystyki klikania w odnośniki czy innego zaangażowania. Dotyczy to wszystkich atrybutów, które system przypisał do danego kontaktu (pamiętaj jednak zawsze o zasadzie minimalizacji i nie zbieraj więcej danych, niż jest to niezbędne).
Nie wolno Ci jednak dopisywać żadnych nowych informacji czy przetwarzać tych już posiadanych w innym celu niż pierwotnie określony, nawet jeżeli zaktualizowana została przez Ciebie polityka prywatności. Swego rodzaju „wytrychem” w tej sytuacji jest odpowiednie skonstruowanie polityki prywatności. Możesz rozdzielić wszelkiego rodzaju czynności związane z profilowaniem czy statystykami od czynności wysyłki samego newslettera. Wtedy wycofanie zgody na otrzymywanie maili nie będzie cofać zgody na inne działania. Takie podejście może być jednak ryzykowne – musisz bardzo uważać, w jaki sposób spełniasz obowiązek informacyjny. Ponadto część takich działań może wymagać od profilowanej osoby wyrażonej świadomej dodatkowej zgody.
Oczywiście nie możesz danej osobie wysyłać już więcej wiadomości z newslettera. Bardzo łatwo jednak popełnić błąd migrując swoją bazę kontaktów pomiędzy różnymi systemami do kampanii marketingowych. Jeżeli przez nieuwagę lub pomyłkę przeniesiesz taką wypisaną z list osobę do nowego systemu, a następnie otrzyma ona od nas maila z newsletterem będzie miała ona solidne podstawy, by złożyć na Ciebie skargę do UODO, czy dochodzić zadośćuczynienia.
Moje rady
Końcowa decyzja o tym, co robić a czego nie zależy od Ciebie i tego, jakie cele chcesz osiągnąć. Ja mam dla Ciebie kilka porad:
Jeżeli jesteś początkującym przedsiębiorcą, to nie kombinuj. Zajmujesz się na pewno bardzo wieloma rzeczami i łatwo możesz przeoczyć drobnostki, jak niepoprawna migracja bazy kontaktów. Ja po prostu co miesiąc kasuję osoby, które nie są zapisane na żadną z moich list.
Oddzielanie profilowania od czynności związanych z newsletterem w polityce prywatności może być ryzykowne. Jeżeli się na to decydujesz, to postaraj się skorzystać z opinii prawnika i specjalisty od IT.
Postaraj się rozumieć jak najlepiej, w jaki sposób działa system do kampanii marketingowych, z którego korzystasz. Przeczytaj dokładnie dokumentację techniczną lub zadaj pytanie do wsparcia technicznego. Pamiętaj, że twórcy mogą szumnie określać swój produkt jako „zgodny z RODO”, co nie oznacza, że nie masz żadnych obowiązków.
Dbaj o jasne zapisy w polityce prywatności i samym formularzu zapisywania na newsletter.
Jednym z obowiązków, jakie RODO oraz Ustawa o Świadczeniu Usług Drogą Elektroniczną nakładają na przedsiębiorcę, jest zebranie zgody na przetwarzanie danych osobowych w celach marketingowych. Wymogi stawiane przed przedsiębiorcą wynikające z tych dwóch różnych aktów prawnych mają jedną wspólną cechę – to do przedsiębiorcy należy wykazanie, że zgoda została wyrażona. Mechanizm Double Opt-in jest jedną z technik, które mają za zadanie zebrać jednoznaczną i weryfikowalną zgodę.
Po co te zgody marketingowe?
Marketing może być prowadzony na bardzo wiele sposobów. W internecie spotkamy się z reklamami graficznymi, zarówno sprofilowanymi, jak i wyświetlanymi w sposób losowy. Mniej popularne są formy afiliacyjne czy marketing szeptany. Jedną z najstarszych i nadal najpopularniejszych metod dotarcia do klienta jest jednak marketing za pomocą e-maili. Może on przyjąć wiele form. Najczęściej jest to newsletter z treściami przynoszącymi odbiorcy konkretną wartość. Spotkać się możemy też z bezpośrednim przeniesieniem idei gazetki reklamowej do postaci elektronicznej. Z kuponami zniżkowymi włącznie.
RODO, tam gdzie nie wynika to z innych przepisów, nakłada obowiązek zebrania zgody na przetwarzanie danych osobowych do wszelkich czynności. Nie inaczej jest, gdy chcemy te dane przetwarzać w celach marketingu produktów własnych czy remarketingu oferty firm trzecich. Jednak w przypadku tego typu działań w formie elektronicznej musimy się liczyć także z zapisami Ustawy o Świadczeniu Usług Drogą Elektroniczną. Szczególnie ważne są zapisy zawarte w artykule 10 ustawy.
Zakazane jest przesyłanie niezamówionej informacji handlowej skierowanej do oznaczonego odbiorcy będącego osobą fizyczną za pomocą środków komunikacji elektronicznej, w szczególności poczty elektronicznej.
Informację handlową uważa się za zamówioną, jeżeli odbiorca wyraził zgodę na otrzymywanie takiej informacji, w szczególności udostępnił w tym celu identyfikujący go adres elektroniczny
Zatem jasno wynika, że zgoda na marketing w formie newslettera jest wymagana. Co więcej, zarówno RODO, jak i Prawo Telekomunikacyjne wprost mówią, że zgoda ta „nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści”. Zatem administrator musi mieć możliwość wykazania w przypadku kontroli, że dana osoba zgodę wyraziła. Double Opt-In jest metodą na wykazanie dopełnienia wszystkich obowiązków przez przedsiębiorcę.
Typowy mechanizm pozwalający zapisać się do newslettera ma postać formularza. Zainteresowana osoba wypełnia go wpisując w odpowiednim polu swój adres e-mail i klika przycisk rejestracji. Następnie na jego skrzynkę mailową przychodzi potwierdzenie w formie wiadomości powitalnej. Taki proces nazywamy Single Opt-In, gdyż zgoda na dopisanie się wyrażana jest jednokrotnie poprzez wypełnienie formularza. Nawet jeżeli do formularza dodamy dodatkowy checkbox z przygotowaną formułą typu „wyrażam zgodę na przesyłanie informacji handlowych”. Przy dobrze spełnionym obowiązku informacyjnym jest on w wielu przypadkach zbędny.
Single Opt-In jest bardzo prostą i wydajną metodą lecz nie w każdej sytuacji
Zalety
Prostszy proces zapisu przekłada się na szybszą budowę bazy odbiorców newslettera
Szybciej przyrastająca liczba subskrybentów
Wady
Mniejszy poziom zaangażowania uczestników listy mailowej, większa liczba „martwych dusz”.
Wyższy wskaźnik osób wypisujących się z newslettera i odbitych maili (bounce rate), który negatywnie może wpływać na Twoją reputację i efektywność dostarczania maili.
Potencjalnie lista może łatwo zostać zaśmiecona nieistniejącymi adresami przez Twoją konkurencję.
Wymaga innych dodatkowych metod potwierdzających, że zgoda została wydana świadomie.
Kiedy warto stosować
Model Single Opt-In możemy z powodzeniem stosować w formularzach dedykowanych jedynie do zapisu do listy mailingowej. Osoba zapisująca się na listę musi wykonać świadomą i jednoznaczną czynność polegającą na wpisaniu swojego adresu e-mail i jednoznacznego potwierdzenia odpowiednim przyciskiem. Formularz powinien zawierać w sobie dobrze wypełniony obowiązek informacyjny, w tym jednoznaczną informację, że podanie danych jest dobrowolne i będzie skutkowało wyrażeniem zgody na otrzymywanie informacji o charakterze marketingowym. Zatem sam formularz jest kluczem do poprawnego zebrania zgody i wypełniania obowiązku informacyjnego
Double Opt-In
W modelu Double Opt-In stosuje się dwa kroki celem weryfikacji udzielonej zgody. Wypełnienie przez zainteresowanego odbiorcę formularza na stronie nie kończy procesu dodawanie nowej osoby do listy. Powoduje natomiast wysłanie na podany adres e-mail wiadomości zawierającej specjalnie przygotowany link potwierdzający chęć rejestracji. W tym etapie system obsługujący wysyłkę newslettera ma już informacje podane w formularzu, lecz nie wysyła jeszcze wiadomości marketingowych. Osoba, która dołącza do newslettera musi potwierdzić swoją chęć klikając na wygenerowany dla niej specjalny link, który wysyłany jest do niej w wiadomości zwrotnej. Jeżeli nie odbierze ona maila lub nie potwierdzi chęci zapisania się do newslettera, to po określonym czasie wygenerowany odnośnik wygaśnie. Pozyskany zaś adres zostanie usunięty z systemu mailowego. Dokończenie rejestracji możliwe jest tylko poprzez świadome otwarcie maila i kliknięcie na załączony odnośnik. Dopiero po wykonaniu tych czynności system mailingowy zarejestruje wyrażoną zgodę i przeniesie osobę do wskazanej grupy odbiorców.
Zalety
Lepsza weryfikacja fałszywych adresów e-mail oraz osób niezainteresowanych wysyłanymi do nich wiadomościami
Subskrybenci rzeczywiście zainteresowani wysyłanymi do nich wiadomościami
Wady
Wolniej przebiegający proces budowy listy mailowej.
Młodsi odbiorcy, szczególnie nastolatkowie, są mniej przyzwyczajeni do sprawdzania skrzynki pocztowej, co powoduje, że mogą nie potwierdzić na czas subskrypcji.
Wyższy koszt pozyskania subskrybenta, jeżeli korzysta się z usług operatora, u którego koszt zależy także od ilości wysyłanych maili.
Kiedy warto stosować
Proces Double Opt-In jest przydatny w sytuacji, gdy dajemy osobom możliwość dopisania się do odbiorców newslettera przy okazji innej czynności. Jest to bardzo wygodne rozwiązanie dla prowadzących sklepy internetowe. Zazwyczaj oferują oni możliwość wyrażenia zgody na otrzymywanie wiadomości marketingowych w finalnym kroku dokonywania zakupów. Metoda Double Opt-In pozwoli im zebrać jednoznaczną i wiarygodnie udokumentowaną zgodę. Pozwoli to uniknąć podejrzeń o bezprawne dopisywanie do listy lub domyślne zaznaczenie w formularzu zamówienia zgody na marketing. Skorzystają na niej też osoby, którym zależy na dodatkowej weryfikacji adresów e-mail i automatycznym odrzucaniu nieprawidłowych adresów.
Praktycznie nie istnieją już chyba przedsiębiorstwa, które mogą obejść się bez poczty elektronicznej. Służy nam ona do kontaktu z klientami, partnerami handlowymi czy urzędami administracji publicznej. W samych listach znajdują się natomiast dane osobowe, które przetwarzamy poprzez odbieranie, przechowywanie, przesyłanie czy kasowanie wiadomości. Zatem usługa poczty elektronicznej musi być zgodna z RODO. Czy zatem darmowy e-mail możemy za taki uznać?
Darmowa skrzynka pocztowa e-mail, czyli kto za to płaci?
W biznesie nie ma nic za darmo. Nie inaczej jest z usługami darmowej poczty. Polskie firmy czy globalne koncerny przecież nie wydają swoich pieniędzy na zbudowanie i utrzymanie darmowej poczty bezinteresownie. Walutą, którą za taką usługę płacimy, jest prywatność – nasza i osób, z którymi korespondujemy. Dokonując analizy treści przesyłanych wiadomości e-mail, można bardzo wiele dowiedzieć się o danej osobie, o jej nawykach, upodobaniach, hobby, animozjach, kręgu znajomych itp. A wszystkie te dane firma oferująca darmowe skrzynki może potem sprzedać lub samodzielnie przetwarzać w celach marketingowych. Za naszą zgodą. Jej brak skutkowałby zakończeniem świadczenia „darmowej” usługi dla nas.
Aby profilować użytkowników darmowej poczty, operator musi zaglądać w jej treść. Oczywiście dzieje się to w sposób automatyczny bez udziału człowieka, niemniej naraża to przedsiębiorcę na odpowiedzialność z tytułu złamania RODO. Jeżeli skorzystamy z usługi darmowej poczty, to nie podpiszemy z jej operatorem umowy powierzenia. Pozwolimy także profilować naszych klientów, na co oni przecież mogą nie wyrażać zgody. Przyjrzyjmy się kilku najpopularniejszym w Polsce dostawcom usługi darmowej poczty elektronicznej.
Gmail
Niewątpliwie GMail jest jedną z najpopularniejszych platform darmowej poczty elektronicznej nie tylko w Polsce, ale na całym świecie. Jest jedną z usług całego ekosystemu darmowych usług, do korzystania z których Google zaleca, by być na stałe zalogowanym przy pomocy swojej tożsamości identyfikowanej przez konto GMail. Wraz z wejściem RODO przejrzystość dokumentów opisujących warunki użytkowania usług się znacznie poprawiła. Nie oznacza to jednak, że łatwo się połapać w zależnościach i przetwarzanych danych. Świadczą o tym nagłaśniane w mediach co jakiś czas potencjalne nadużycia ze strony Google, a także działania organizacji społecznych wymierzone przeciwko praktykom giganta.
W warunkach użytkowania usługi możemy napotkać następujący fragment: “Nasze automatyczne systemy analizują treść (w tym wiadomości e-mail) w celu oferowania spersonalizowanych funkcji usług, takich jak wyniki wyszukiwania, reklamy indywidualne i wykrywanie spamu oraz złośliwego oprogramowania. Tę analizę przeprowadzamy podczas wysyłania, odbierania oraz zapisywania treści.”
Warunki korzystania z usług Google (https://policies.google.com/terms?hl=pl)
Zapis ten w pewnym uproszczeniu oznacza, mówiąc potocznie, że automaty Google „czytają” pocztę”, gdy ją wysyłamy, odbieramy, a także przechowujemy w usłudze GMail. Jeżeli prowadzimy przedsiębiorstwo, oznacza to, że przekazujemy celem automatycznego przetwarzania dane osobowe, które nasi klienci czy kontrahenci przekazali nam w zupełnie innym celu. Nie można też powiedzieć, że te dane są poufne, skoro analizuje je automat. Google co prawda zapowiedziało wycofywanie się z takiego analizowania poczty, lecz zapisy takie nadal są w regulaminach.
Outlook.com, czyli dawny hotmail.com
Popularny Hotmail jest obecnie darmową usługą realizowaną w ramach Office365, czyli zestawu usług od Microsoft, w skład których wchodzi także darmowa poczta. Podobnie jak Google darmowa poczta wymaga od użytkownika zrzeczenia się części prywatności. Microsoft nie mówi wprost o skanowaniu poczty w celach marketingowych, natomiast nie ma usług za darmo. Pamiętajmy także, że konto może zostać powiązane z systemem Windows, na którym pracujesz, a cały ekosystem może zostać rozszerzony o wiele wtyczek i dodatków, to któreś z rozszerzeń może mieć pełen dostęp do Twojej poczty.
Jedną z takich wtyczek jest popularny Boomerang, który pozwala między innymi na opóźnienie wysłania poczty wysyłając ją za Ciebie w ustalonym momencie. Rozszerzenie takie nie zadziała jednak, jeżeli nie nadamy mu pełnego dostępu do naszej skrzynki pocztowej.
Pamiętajmy, że zarówno korzystając z konta od Googla jak i od Microsoft ustawienia prywatności mogą znajdować się w różnych miejscach. Choć trzeba docenić, że obie firmy starają się stan rzeczy uporządkować i wyjaśniać użytkownikom. Natomiast, jak już wcześniej wspomniałem, darmowa poczta nie jest tak na prawdę darmowa. Wielkie koncerny udostępniając nam usługę darmowej poczty nie oczekują pieniędzy, ale nie znaczy że za nią nie płacimy. Walutą jest prywatność – nasza, a także osób z którymi korespondujemy.
Interia
Polscy dostawcy działają w bardzo podobny sposób, choć informacje o metodach profilowania nie są tak bezpośrednie. Mając trochę wiedzy technicznej i znając sposoby, w jaki profilowanie zapisane w regulaminie usługi się odbywa, można wywnioskować stopień zagrożenia dla powierzonych nam danych. W regulaminie usługi darmowej poczty Interii znajdziemy następujący fragment:
W przypadku chęci skorzystania przez Użytkownika z opcji Konta Bezpłatnego Użytkownik przyjmuje do wiadomości, że korzystanie z Usługi bez opłat wymaga od Użytkownika wyrażenia zgód na przetwarzanie danych osobowych w sposób umożliwiający INTERIA.PL dokonywania operacji na danych osobowych Użytkownika w celu kierowania do Użytkownika spersonalizowanej reklamy. Powyższe operacje na danych osobowych dokonywane są przez INTERIA.PL z poszanowaniem praw Użytkownika, umożliwiają INTERIA.PL świadczenie usługi za darmo, gdyż dopasowanie reklam do preferencji użytkownika umożliwia INTERIA.PL zarabianie na reklamach.
REGULAMIN ŚWIADCZENIA USŁUG UDOSTĘPNIANIA KONT POCZTOWYCH PRZEZ GRUPA INTERIA.PL SPÓŁKA z o.o. Sp. k. (Cz VIII pkt. 9) (https://konto-pocztowe.interia.pl/agreements/item/50/file/10)
Zapis mówi enigmatycznie o „operacjach na danych osobowych” nie przekazując wprost na czym to polega, ani czyje dane są przetwarzane. Zatem można przyjąć, że każde, w tym dane nam powierzone w nagłówkach czy treści poczty e-mail. Na liście podmiotów, którym dane zaś mogą być udostępniano znajdziemy przede wszystkim firmy trudniące się marketingiem i profilowaniem pod kątem marketingu. Cel zatem wydaje się jasny.
O2
Regulamin i polityka serwisu O2 jest mało czytelna, jednak zakładając darmowe konto pocztowe musimy zaznaczyć następujące zgody
Darmowa skrzynka e-mail a RODO 5
Zgody marketingowe mówią o zbieraniu danych w celu reklamy w tym jej dopasowania, zatem do profilowania. Dodatkowo w polityce prywatności możemy przeczytać, że firma wykonuje „pomiary statystyczne (…) marketing (w tym analizowanie i profilowanie danych w celach marketingowych)” zarówno w odniesieniu do marketingu własnego jak i firm trzecich. Zatem należy założyć, że także jakiś automat czyta pocztę i zbiera dane.
Czy da się zgodnie z RODO prowadzić działalność gospodarczą korzystając z usług darmowej poczty?
Da się, nie jest to jednak proste. Akceptując regulamin takiej usługi nie podpisujemy umowy powierzenia danych osobowych z operatorem takiej poczty. Zatem ciężko wykazać, że wypełniony został obowiązek formalny. Można próbować na podstawie regulaminu czy polityki prywatności, bo umowę na koniec formalnie zawieramy, lecz jest to działanie, które UODO może w trakcie kontroli podważyć. Warto też zastanowić się nad taką darmową pocztą od strony wizerunku naszej firmy. Adres w domenie darmowych skrzynek e-mail takich jak @gmail.com, @wp.pl i podobne nie wyglądają profesjonalnie i mogą zniechęcić część klientów.
Najlepszym i niedrogim rozwiązaniem, jest płatna usługa pocztowa. Oferuje je bardzo wielu dostawców, często jest elementem składowym bardziej kompleksowego pakietu usług biurowych. Wybierając dostawcę, musisz zwrócić uwagę na to by podpisana została umowa powierzenia, tak aby przetwarzanie danych na serwerze usługodawcy miało poparcie w odpowiednich dokumentach. Przeanalizuj też dokładnie regulamin i politykę prywatności komercyjnej usługi, aby uzyskać pewność, że nie ma w niej uderzających w Twoje interesy zapisów. W razie wątpliwości zapytaj się o wykładnię Inspektora Danych Osobowych dostawcy lub swojego prawnika.
Warto też przyjrzeć się całemu pakietowi usług, nie tylko samej poczcie elektronicznej. Zarówno Google, jak i Microsoft oferują całe pakiety usługi i aplikacji dedykowane przedsiębiorcom. Odsprzedają je także polscy dostawcy, oferując do nich własne dodatkowe serwisy.
W tym artykule przyjrzymy się na powszechnemu mechanizmowi, który w skrócie można określić „wartość za e-mail”. Przedsiębiorca oferuje jakiś dokument czy innego rodzaju produkt za darmo w zamian za możliwość przetwarzania danych osobowych w celach marketingowych, które realizuje np. poprzez newsletter. Newsletter zgodny z RODO zrealizujemy min poprzez pobranie jasnej zgody czytelnika na jego otrzymywanie.
Obowiązek informacyjny
Obowiązek informacyjny opisany jest w artykułach 12, 13 i 14 RODO. Pierwszy z nich mówi wprost, że komunikacja musi być prowadzona w sposób jasny i zrozumiały dla odbiorcy.
„Administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem – w szczególności gdy informacje są kierowane do dziecka – udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14, oraz prowadzić z nią wszelką komunikację na mocy art. 15–22 i 34 w sprawie przetwarzania. (…)’
RODO, art 12, pkt. 1 (fragment)
Oznacza to, że w momencie podawania swoich danych osobowych osoba ta musi być już w sposób jasny poinformowana choćby w jakim celu te dane są zbierane, co się stanie, gdy wypełni formularz i wciśnie przycisk Wyślij. Takie informacje zazwyczaj zawarte są w polityce prywatności. Ponieważ jest to zazwyczaj dokument długi, zawierający bardzo dużo informacji, to w wielu przypadkach może być niewystarczającym.
RODO dopuszcza, że możesz zachęcać osobę odwiedzającą Twoją stronę, aby zostawiła swoje dane osobowe w celach marketingowych. Wszyscy tego doświadczamy – operatorzy telefonii komórkowej czy telewizji kablowej oferują kilka złotych upustu ceny abonamentu w zamian za wyrażenie takiej zgody. Zazwyczaj jest ona konieczna zarówno do promowania usług własnych operatora, jak i firm trzecich. Podobną sytuację stworzysz, gdy zaoferujesz darmowy dokument, zestaw dokumentów czy inny produkt w zamian za zapisanie się na newsletter.
Nie ma w tym nic złego, w końcu wszyscy jako przedsiębiorcy chcemy docierać do nowych potencjalnych klientów. Oto przykład z jednej z napotkanych stron takiej zachęty. Osoba, która kliknie podany odnośnik zostaje przeniesiona do formularza, na którym proszona jest o podanie swoich danych. Wypełnienie i wysłanie formularza kończą pierwszy proces rejestracji użytkownika w liście mailowej właściciela serwisu.
Tylko czy osoba, która chciała pobrać e-booka, była świadoma tego, że musi dołączyć do newslettera?
Lepiej nie zakładaj, że ktoś wie jak to działa
Dla osób, które spędzają dużo czasu w sieci, lub wręcz ich biznes jest oparty o usługi czy produkty oferowane przez Internet, zapewne nie byłyby zaskoczone takim komunikatem po wypełnieniu formularza. Jako przedsiębiorca tworzący taką zachętę nie możesz jednak zakładać, że wiedzą o tym wszyscy, czy nawet większość osób, które będą chciały taki e-book pobrać. Pamiętaj, że większość wyłudzeń i innych przekrętów w Internecie bazuje na trzech słabościach – niewiedzy, zaufaniu i naiwności ofiary. Wielu czytelników Twojego portalu może w takiej sytuacji mieć do Ciebie pretensję, że nie dostali jasnej informacji, po co Tobie ich adres e-mail. Przecież oferowałeś e-booka, prawda?
Jak zatem interpretować informację umieszczoną pod przyciskiem „odbierz prezent”? Co można jej zarzucić? Na pewno lakoniczność i spore braki. Nie każdy użytkownik internetu wie czym jest SPAM i newsletter i potrafi powiązać to pojęcie z funkcjonalnością poczty elektronicznej. Zawsze gdy masz wątpliwości co do jasności zapisów na swojej stronie możesz przeprowadzić „test dziadków” – posadź swoich dziadków przed komputerem, poprowadź przez oferty Twoich materiałów, rejestracji i pobrania, a następnie spytaj, czy był on dla nich zrozumiały i czy rozumieją, co się teraz stanie. Ręczę Ci, że jeżeli zapytasz, czy wiedzą, że teraz będą otrzymywali od Ciebie e-maile z propozycjami Twoich usług, jest bardzo wysokie prawdopodobieństwo, że odpowiedź będzie negatywna.
Co mogę zrobić lepiej?
W tym konkretnym przykładzie poprawy wymaga drugi krok całego procesu, czyli moment zbierania danych osobowych w formularzu. Bardzo dobrze, że autor zaznaczył wymóg podania jedynie adresu poczty elektronicznej – żądanie podania także imienia prawdopodobnie zostałoby uznane za zbieranie danych nadmiarowych, nieadekwatnych względem celu przetwarzania. Imię nie jest niezbędne, aby do odbiorcy dotarł e-mail z newslettera.
Rozbudowana powinna zostać sekcja informacyjna. Należałoby dodać czytelny opis, że oferujemy prezent, w zamian za możliwość wysyłania newslettera i oferowania swoich usług. Dobrze też już w tym miejscu zaznaczyć, że osoba ta, może w każdym momencie się z listy wypisać. Ponadto powinien w opisie znaleźć się odnośnik to polityki prywatności, w której dokładnie zostanie opisane czym jest newsletter i przedstawimy cel, czas i zakres przetwarzanych w tym celu danych osobowych.
Umieszczenie w tym miejscu odnośnika jest szczególnie jeżeli nie znajduje się on w stopce strony lub odczytanie polityki wymagałoby przerwanie procesu rejestracji. Wielu świadomych czytelników, gdy przerwie podawanie swoich danych, by sprawdzić politykę prywatności może do procesu rejestracji już nie powrócić. Nie dlatego, że znajdzie w niej zapisy, które nie będą tej osobie pasować, lecz może uznać proces za skomplikowany i niewygodny.
Podpięcie odnośnika do polityki prywatności należy uznać za dobrą praktykę spełniania obowiązku informacyjnego. Pamiętaj tylko, aby odnośnik domyślnie otwierał się w nowym oknie lub zakładce.
Gdybym miała zmodyfikować informacje zawarte pod formularzem rejestracji do newslettera w drugim kroku zarekomendowałabym następującą formę:
„W zamian za pobranie mojego e-booka proszę Cię zapisz się do mojego newslettera podając swój adres e-mail. Nie wysyłam SPAM-u, moim celem jest dzielić się z Tobą wartościową wiedzą o tym, co znalazłem ciekawego w sieci oraz tym, co mam do zaoferowania. Jeżeli uznasz wysyłane informacje za nieprzydatne, to w każdej chwili możesz wypisać się z listy korzystając ze specjalnego odnośnika znajdującego się na końcu każdej wiadomości. Będę wysyłał Ci informacje tylko tak długo, jak będziesz chcieć je otrzymywać! Jeżeli chcesz dokładnie zapoznać się w jaki sposób będą przetwarzane powiązane z Tobą dane osobowe, w każdej chwili możesz wejść na stronę opisującą stosowaną przeze mnie politykę prywatności.”
Tak sformułowana informacja jest jasna dla czytelnika i jednoznacznie informuje co się stanie z jego adresem e-mail w zamian za przygotowany dokument oraz odsyła go do polityki prywatności po bardziej szczegółowe informacje. Nie pozostawia ona pola do niedomówień i każdy, kto ją przeczyta będzie świadomy zapisania się na newsletter
RODO nie mówi, w jaki sposób należy pewne rzeczy robić, mówi jedynie jaki stan należy uzyskać. Dlatego będę opisywała różne napotkane w Internecie sytuacje, które moim zdaniem wymagają poprawy. Na tej stronie znajdziesz nowe artykuły, ale także inne wydarzenia związane z RODO, które mogą mieć wpływ na to, w jaki sposób działa Twoja firma, a w szczególności o tym, jak usprawnić i zabezpieczyć jej codzienne funkcjonowanie.
Dołącz do mnie na Facebooku
Nie omieszkaj wbić się na instagram
Dołącz do mnie na 
Dołącz do mnie na 
W tym konkretnym przykładzie poprawy wymaga drugi krok całego procesu, czyli moment zbierania danych osobowych w formularzu. Bardzo dobrze, że autor zaznaczył wymóg podania jedynie adresu poczty elektronicznej – żądanie podania także imienia prawdopodobnie zostałoby uznane za zbieranie danych nadmiarowych, nieadekwatnych względem celu przetwarzania. Imię nie jest niezbędne, aby do odbiorcy dotarł e-mail z newslettera.
Dołącz do mnie na 
