Newsletter i pliki cookies to codzienność każdego sklepu internetowego, ale to właśnie tutaj najłatwiej niepostrzeżenie przekroczyć granicę między skutecznym marketingiem a naruszeniem RODO i przepisów o świadczeniu usług drogą elektroniczną.
Zgoda na newsletter — jedna zgoda to za mało
Zapisanie się na newsletter wymaga w praktyce dwóch odrębnych podstaw: zgody na przetwarzanie danych osobowych w celach marketingowych (RODO) oraz zgody na przesyłanie informacji handlowych drogą elektroniczną (ustawa o świadczeniu usług drogą elektroniczną). Łączenie obu zgód w jedno, niejasne zdanie bywa kwestionowane jako niewystarczające.
Double opt-in jako zabezpieczenie, nie formalność
Wysłanie linku potwierdzającego zapis na newsletter (double opt-in) to nie nadgorliwość — to sposób na udowodnienie, że dana osoba faktycznie wyraziła zgodę, a nie że ktoś zapisał jej adres bez wiedzy właściciela. W razie kontroli lub skargi to sprzedawca musi wykazać, że zgoda została udzielona świadomie.
Cookies — zgoda musi być świadoma i granularna
Banner cookies, w którym jedyną realną opcją jest kliknięcie „Akceptuję wszystkie”, a odmowa wymaga przeklikania się przez kilka podstron ustawień, jest traktowany jako naruszenie zasady swobodnej i świadomej zgody. Odmowa zgody powinna być równie łatwa jak jej udzielenie — najlepiej jednym kliknięciem, na tym samym poziomie banera.
Cookies niezbędne do funkcjonowania strony (np. koszyk zakupowy) nie wymagają zgody. Cookies analityczne, marketingowe i reklamowe — już tak, i powinny być domyślnie wyłączone, dopóki użytkownik nie wyrazi zgody.
Przechowywanie dowodu zgody
Samo uzyskanie zgody nie wystarczy — trzeba umieć wykazać, kiedy i w jakiej formie została udzielona. W praktyce oznacza to zapisywanie w systemie znacznika czasu, treści zgody, na jaką dana osoba się zgodziła, oraz np. adresu IP użytego przy zapisie.
Gdzie kończy się marketing, a zaczyna naruszenie
Najczęstsze praktyczne błędy to: wysyłanie newslettera do osób, które wypisały się wcześniej (bo baza nie została faktycznie zaktualizowana), profilowanie na podstawie zachowania na stronie bez wyraźnej, odrębnej zgody na profilowanie, oraz przekazywanie adresów e-mail zewnętrznym narzędziom marketingowym bez podpisanej umowy powierzenia przetwarzania danych.