Jak legalnie prowadzić działania marketingowe po wejściu w życie PKE

Świat marketingu cyfrowego zmienia się na naszych oczach. Nowe regulacje prawne, zwłaszcza wejście w życie Prawa Komunikacji Elektronicznej (PKE) od 10 listopada 2024 roku, wprowadzają szereg obowiązków, które każdy przedsiębiorca, szczególnie w branży e-commerce, musi uwzględnić w swoich działaniach marketing automation.

Podstawowym obowiązkiem wynikającym z RODO (Rozporządzenie (UE) 2016/679) jest zapewnienie użytkownikom przejrzystej informacji o tym, że ich dane osobowe są przetwarzane. W praktyce oznacza to, że jeśli korzystasz z narzędzi marketing automation – takich jak systemy mailingowe, CRM, platformy analityczne – musisz jasno poinformować użytkownika o:

• rodzaju danych przetwarzanych (np. adres e-mail, historia zakupów, dane cookies),
• celu przetwarzania (np. dopasowanie ofert marketingowych),
• podstawie prawnej (najczęściej zgoda lub uzasadniony interes),
• podmiotach, którym dane są udostępniane,
• okresie przechowywania danych.

Taka informacja powinna być łatwo dostępna – najczęściej realizuje się to poprzez widoczny baner cookies, rozwiniętą klauzulę informacyjną na stronie oraz odpowiednią politykę prywatności.

Polityka prywatności to nie tylko formalność – to fundament komunikacji z użytkownikiem i kluczowy dokument z punktu widzenia RODO. W mojej praktyce podkreślam, że polityka powinna być aktualizowana zawsze wtedy, gdy zmienia się:

• zakres przetwarzanych danych,
• cel przetwarzania,
• odbiorcy danych (np. nowa agencja marketingowa, nowe narzędzie SaaS).

W polityce prywatności musisz wskazać – o ile to możliwe – pełne dane odbiorców, podstawę prawną przetwarzania, zakres przekazywanych danych oraz okres ich przechowywania. Niedopełnienie tych kwestii grozi nie tylko utratą zaufania klientów, ale również poważnymi sankcjami finansowymi.

W praktyce oznacza to kilka bardzo konkretnych obowiązków, które każdy przedsiębiorca powinien wdrożyć:

• Brak domyślnego zaznaczenia checkboxów – użytkownik samodzielnie zaznacza pole zgody; brak działania nie oznacza zgody.
• Oddzielne zgody dla każdego kanału – użytkownik powinien osobno zaakceptować kontakt e-mailowy, telefoniczny i SMS-owy; przykładowo trzy osobne checkboxy, każdy wyraźnie opisany.
• Precyzyjne dokumentowanie zgód – musisz być w stanie w dowolnym momencie wykazać, kto, kiedy i na jakich warunkach udzielił zgody; system marketing automation powinien zapisywać datę, godzinę, treść klauzuli i sposób udzielenia zgody.
• Zrozumiała i pełna klauzula zgody – treść klauzuli musi wyjaśniać, kto jest administratorem danych, w jakim celu przetwarza dane oraz informować o prawie do cofnięcia zgody w dowolnym momencie.

Przykład prawidłowo skonstruowanej klauzuli zgody, który moim zdaniem spełnia wymagania nowych przepisów:

„Wyrażam zgodę na otrzymywanie od [nazwa firmy] informacji handlowych. Wiem, że mogę cofnąć zgodę w każdym czasie, bez wpływu na zgodność przetwarzania danych przed jej cofnięciem.”

W mojej ocenie brak prawidłowego systemu zarządzania zgodami to jedno z największych ryzyk. Warto zatem nie tylko wdrożyć odpowiednie procedury, ale również przeprowadzić testowe audyty zgodności systemów marketing automation przed rozpoczęciem nowych kampanii.

RODO przyznało użytkownikom prawo do bycia zapomnianym, a obowiązkiem administratora jest skuteczne wykonanie tego prawa. Oznacza to, że na żądanie użytkownika musisz:

• usunąć wszystkie jego dane z baz i systemów marketing automation,
• poinformować o usunięciu dane podmioty przetwarzające,
• zapewnić, że dane zostały również usunięte z backupów (o ile to technicznie możliwe).

Brak pełnego wykonania żądania usunięcia danych grozi wysokimi karami administracyjnymi.

Zgodnie z art. 28 RODO (Rozporządzenie (UE) 2016/679), administrator danych osobowych ma obowiązek zawrzeć pisemną umowę powierzenia przetwarzania danych z każdym podmiotem, który przetwarza dane w jego imieniu. Jest to kluczowe zabezpieczenie prawne, chroniące zarówno dane osobowe użytkowników, jak i samego administratora przed konsekwencjami nieprawidłowego przetwarzania danych. Umowa powierzenia nie jest dokumentem o charakterze technicznym – to pełnoprawna umowa cywilnoprawna, której naruszenie może skutkować odpowiedzialnością odszkodowawczą i administracyjną.

Aby umowa powierzenia spełniała wymogi prawne i faktycznie zabezpieczała proces przetwarzania, powinna zawierać:

• Określenie zakresu i celu powierzenia – dokładne wskazanie, jakie dane są powierzane oraz w jakim celu są przetwarzane (np. wysyłka newslettera, obsługa płatności online).
• Czas przetwarzania danych – wskazanie, jak długo dane będą przetwarzane przez procesora oraz jakie zasady obowiązują po zakończeniu współpracy (np. obowiązek usunięcia lub zwrotu danych).
• Obowiązki administratora i procesora – wyraźne przypisanie odpowiedzialności za zabezpieczenie danych, informowanie o naruszeniach, współpracę z organami nadzorczymi oraz wykonywanie praw osób, których dane dotyczą.
• Środki techniczne i organizacyjne – opis stosowanych zabezpieczeń adekwatnych do ryzyka związanego z przetwarzaniem (np. szyfrowanie danych, uwierzytelnianie wieloskładnikowe, pseudonimizacja).
• Zasady dalszego powierzania (subpowierzenia) – warunki, na jakich procesor może powierzyć dane kolejnemu podmiotowi, w tym wymóg uzyskania uprzedniej zgody administratora.

W praktyce rekomenduje się także, aby w umowach powierzenia zawierać szczegółowe klauzule dotyczące audytów bezpieczeństwa, mechanizmów kontroli wykonywania umowy oraz odpowiedzialności za szkody wynikające z naruszeń ochrony danych osobowych. Tylko tak skonstruowana umowa realnie minimalizuje ryzyko prawne.

Analiza prawna umów DPA – lochowski.legal

Wejście w życie Prawa Komunikacji Elektronicznej 10 listopada 2024 roku stanowi istotny element dla wszystkich przedsiębiorców prowadzących działania marketingowe. Ustawodawca, w art. 398 PKE, jasno przesądził, że bez uprzedniej zgody odbiorcy niedopuszczalne jest wysyłanie jakiejkolwiek komunikacji marketingowej przy użyciu automatycznych systemów wywołujących lub urządzeń końcowych użytkownika.

Brzmienie przepisu jest jednoznaczne:

„Zakazane jest używanie automatycznych systemów wywołujących lub telekomunikacyjnych urządzeń końcowych dla celów marketingu bezpośredniego bez uprzedniej zgody abonenta lub użytkownika końcowego.”

W praktyce oznacza to:

• Cold mailing i cold calling bez zgody są nielegalne – nie wolno inicjować pierwszego kontaktu marketingowego z osobą fizyczną ani przedsiębiorcą bez ich uprzedniej zgody.
• Zakaz obejmuje również kontakty B2B – prawo nie różnicuje już odbiorców na konsumentów i przedsiębiorców; każda forma marketingu bez zgody jest zabroniona.
• Zakaz wykorzystywania danych z publicznych rejestrów np. CEIDG, KRS czy GUS nie mogą stanowić źródła danych do działań marketingowych bez wyraźnej zgody osób, których dane dotyczą.
• Nowe obowiązki dotyczące modeli inicjowania kontaktu każdy proces marketingowy musi być przemyślany pod kątem pozyskiwania wcześniejszej zgody i dokumentowania jej udzielenia.

Co ważne, naruszenie nowych przepisów PKE nie tylko naraża przedsiębiorcę na wysokie kary administracyjne, ale może również skutkować roszczeniami odszkodowawczymi ze strony osób, których dane zostały wykorzystane w sposób nieuprawniony.