Jak legalnie prowadzić działania marketingowe po wejściu w życie PKE

Obowiązek informacyjny w marketing automation

Podstawowym obowiązkiem wynikającym z RODO (Rozporządzenie (UE) 2016/679) jest zapewnienie użytkownikom przejrzystej informacji o tym, że ich dane osobowe są przetwarzane. W praktyce oznacza to, że jeśli korzystasz z narzędzi marketing automation - takich jak systemy mailingowe, CRM, platformy analityczne - musisz jasno poinformować użytkownika o:

• rodzaju danych przetwarzanych (np. adres e-mail, historia zakupów, dane cookies),
  
  
• celu przetwarzania (np. dopasowanie ofert marketingowych),
  
  
• podstawie prawnej (najczęściej zgoda lub uzasadniony interes),
  
  
• podmiotach, którym dane są udostępniane,
  
  
• okresie przechowywania danych.
  
  

Taka informacja powinna być łatwo dostępna - najczęściej realizuje się to poprzez widoczny baner cookies, rozwiniętą klauzulę informacyjną na stronie oraz odpowiednią politykę prywatności.

Aktualizacja polityki prywatności jako fundament zgodności

Polityka prywatności to nie tylko formalność - to fundament komunikacji z użytkownikiem i kluczowy dokument z punktu widzenia RODO. W mojej praktyce podkreślam, że polityka powinna być aktualizowana zawsze wtedy, gdy zmienia się:

• zakres przetwarzanych danych,
  
  
• cel przetwarzania,
  
  
• odbiorcy danych (np. nowa agencja marketingowa, nowe narzędzie SaaS).
  
  

W polityce prywatności musisz wskazać - o ile to możliwe - pełne dane odbiorców, podstawę prawną przetwarzania, zakres przekazywanych danych oraz okres ich przechowywania. Niedopełnienie tych kwestii grozi nie tylko utratą zaufania klientów, ale również poważnymi sankcjami finansowymi.

Zgody marketingowe – jak je prawidłowo pozyskiwać?

W praktyce oznacza to kilka bardzo konkretnych obowiązków, które każdy przedsiębiorca powinien wdrożyć:

• Brak domyślnego zaznaczenia checkboxów - użytkownik samodzielnie zaznacza pole zgody; brak działania nie oznacza zgody.
  
  
• Oddzielne zgody dla każdego kanału - użytkownik powinien osobno zaakceptować kontakt e-mailowy, telefoniczny i SMS-owy; przykładowo trzy osobne checkboxy, każdy wyraźnie opisany.
  
  
• Precyzyjne dokumentowanie zgód - musisz być w stanie w dowolnym momencie wykazać, kto, kiedy i na jakich warunkach udzielił zgody; system marketing automation powinien zapisywać datę, godzinę, treść klauzuli i sposób udzielenia zgody.
  
  
• Zrozumiała i pełna klauzula zgody - treść klauzuli musi wyjaśniać, kto jest administratorem danych, w jakim celu przetwarza dane oraz informować o prawie do cofnięcia zgody w dowolnym momencie.
  
  

Przykład prawidłowo skonstruowanej klauzuli zgody, który moim zdaniem spełnia wymagania nowych przepisów:

"Wyrażam zgodę na otrzymywanie od [nazwa firmy] informacji handlowych. Wiem, że mogę cofnąć zgodę w każdym czasie, bez wpływu na zgodność przetwarzania danych przed jej cofnięciem."

W mojej ocenie brak prawidłowego systemu zarządzania zgodami to jedno z największych ryzyk. Warto zatem nie tylko wdrożyć odpowiednie procedury, ale również przeprowadzić testowe audyty zgodności systemów marketing automation przed rozpoczęciem nowych kampanii.

Prawo do bycia zapomnianym - obowiązki administratora

RODO przyznało użytkownikom prawo do bycia zapomnianym, a obowiązkiem administratora jest skuteczne wykonanie tego prawa. Oznacza to, że na żądanie użytkownika musisz:

• usunąć wszystkie jego dane z baz i systemów marketing automation,
  
  
• poinformować o usunięciu dane podmioty przetwarzające,
  
  
• zapewnić, że dane zostały również usunięte z backupów (o ile to technicznie możliwe).
  
  

Brak pełnego wykonania żądania usunięcia danych grozi wysokimi karami administracyjnymi.

Umowy powierzenia przetwarzania danych - jak je poprawnie skonstruować?

Zgodnie z art. 28 RODO (Rozporządzenie (UE) 2016/679), administrator danych osobowych ma obowiązek zawrzeć pisemną umowę powierzenia przetwarzania danych z każdym podmiotem, który przetwarza dane w jego imieniu. Jest to kluczowe zabezpieczenie prawne, chroniące zarówno dane osobowe użytkowników, jak i samego administratora przed konsekwencjami nieprawidłowego przetwarzania danych. Umowa powierzenia nie jest dokumentem o charakterze technicznym - to pełnoprawna umowa cywilnoprawna, której naruszenie może skutkować odpowiedzialnością odszkodowawczą i administracyjną.

Aby umowa powierzenia spełniała wymogi prawne i faktycznie zabezpieczała proces przetwarzania, powinna zawierać:

• Określenie zakresu i celu powierzenia - dokładne wskazanie, jakie dane są powierzane oraz w jakim celu są przetwarzane (np. wysyłka newslettera, obsługa płatności online).
  
  
• Czas przetwarzania danych - wskazanie, jak długo dane będą przetwarzane przez procesora oraz jakie zasady obowiązują po zakończeniu współpracy (np. obowiązek usunięcia lub zwrotu danych).
  
  
• Obowiązki administratora i procesora - wyraźne przypisanie odpowiedzialności za zabezpieczenie danych, informowanie o naruszeniach, współpracę z organami nadzorczymi oraz wykonywanie praw osób, których dane dotyczą.
  
  
• Środki techniczne i organizacyjne - opis stosowanych zabezpieczeń adekwatnych do ryzyka związanego z przetwarzaniem (np. szyfrowanie danych, uwierzytelnianie wieloskładnikowe, pseudonimizacja).
  
  
• Zasady dalszego powierzania (subpowierzenia) - warunki, na jakich procesor może powierzyć dane kolejnemu podmiotowi, w tym wymóg uzyskania uprzedniej zgody administratora.
  
  

W praktyce rekomenduje się także, aby w umowach powierzenia zawierać szczegółowe klauzule dotyczące audytów bezpieczeństwa, mechanizmów kontroli wykonywania umowy oraz odpowiedzialności za szkody wynikające z naruszeń ochrony danych osobowych. Tylko tak skonstruowana umowa realnie minimalizuje ryzyko prawne.

Analiza prawna umów DPA - lochowski.legal

Nowe prawo komunikacji elektronicznej (PKE) - zmiany

Wejście w życie Prawa Komunikacji Elektronicznej 10 listopada 2024 roku stanowi istotny element dla wszystkich przedsiębiorców prowadzących działania marketingowe. Ustawodawca, w art. 398 PKE, jasno przesądził, że bez uprzedniej zgody odbiorcy niedopuszczalne jest wysyłanie jakiejkolwiek komunikacji marketingowej przy użyciu automatycznych systemów wywołujących lub urządzeń końcowych użytkownika.

Brzmienie przepisu jest jednoznaczne:

"Zakazane jest używanie automatycznych systemów wywołujących lub telekomunikacyjnych urządzeń końcowych dla celów marketingu bezpośredniego bez uprzedniej zgody abonenta lub użytkownika końcowego."

W praktyce oznacza to:

• Cold mailing i cold calling bez zgody są nielegalne - nie wolno inicjować pierwszego kontaktu marketingowego z osobą fizyczną ani przedsiębiorcą bez ich uprzedniej zgody.
  
  
• Zakaz obejmuje również kontakty B2B - prawo nie różnicuje już odbiorców na konsumentów i przedsiębiorców; każda forma marketingu bez zgody jest zabroniona.
  
  
• Zakaz wykorzystywania danych z publicznych rejestrów np. CEIDG, KRS czy GUS nie mogą stanowić źródła danych do działań marketingowych bez wyraźnej zgody osób, których dane dotyczą.
  
  
• Nowe obowiązki dotyczące modeli inicjowania kontaktu każdy proces marketingowy musi być przemyślany pod kątem pozyskiwania wcześniejszej zgody i dokumentowania jej udzielenia.
  
  

Co ważne, naruszenie nowych przepisów PKE nie tylko naraża przedsiębiorcę na wysokie kary administracyjne, ale może również skutkować roszczeniami odszkodowawczymi ze strony osób, których dane zostały wykorzystane w sposób nieuprawniony.