Прямой маркетинг и закон о защите данных
Короткие сообщения, электронные письма, звонки и почтовые материалы — всё это формы прямого маркетинга, и в Грузии они регулируются статьёй 12 закона «О защите персональных данных». Соответствующий подпункт статьи 3 закона определяет прямой маркетинг как прямую и непосредственную передачу субъекту данных информации по телефону, почте, электронной почте или иным электронным средствам с целью формирования, сохранения, реализации или поддержки интереса к физическому или юридическому лицу, товару, идее, услуге или начинанию.
Управление этой сферой кажется простым, но именно маркетинговые кампании — то место, где правила защиты данных нарушаются чаще всего. Ниже рассмотрены правило согласия, механизм отказа, бремя доказывания и санкции.
Правило согласия: что можно и что нельзя
Согласно первому пункту статьи 12, независимо от основания сбора данных и их доступности, обработка данных в целях прямого маркетинга возможна только с согласия субъекта данных. Это решающая деталь: факт законного сбора данных для иной цели не даёт автоматически права использовать их в маркетинге.
Второй пункт устанавливает, что, помимо имени, фамилии, адреса, номера телефона и адреса электронной почты субъекта, для обработки иных данных в целях прямого маркетинга необходимо письменное согласие. Иначе говоря, для контактных данных достаточно обычного согласия, а для иных данных — только письменного.
До получения согласия и в ходе кампании закон требует, чтобы субъекту ясно, просто и понятно разъяснялось право отозвать согласие в любое время и механизм его осуществления. Субъект должен также иметь возможность потребовать прекращения обработки в той же форме, в которой ведётся маркетинг, и это средство должно быть простым. Установление платы или иного ограничения для отзыва недопустимо.
Прекращение и отзыв согласия
Согласно четвёртому пункту статьи 12, ответственное или уполномоченное лицо обязано прекратить обработку данных в целях прямого маркетинга в разумный срок с момента получения соответствующего требования субъекта, но не позднее 7 рабочих дней. Обязанность обмена информацией об отзыве должна быть встроена во внутренние процессы организации, чтобы разные подразделения больше не беспокоили одного и того же субъекта.
Действует и общее основание: согласно первому пункту статьи 20, субъект вправе в любое время, без всяких пояснений и обоснований, отозвать согласие. В этом случае обработка прекращается либо данные удаляются или уничтожаются не позднее 10 рабочих дней с момента требования, если иное основание не существует. До отзыва субъект может потребовать и получить информацию о возможных последствиях отзыва.
Бремя доказывания и учёт
Согласно восьмому пункту статьи 12, бремя доказывания наличия согласия, простоты средства отказа, лёгкой воспринимаемости указания, доступности и адекватности лежит на ответственном или уполномоченном лице. Это значит, что в споре именно организация должна доказать, что согласие было, — а не субъект, что его не было.
Для этого закон требует и учёта: время и факт дачи и отзыва согласия фиксируются и хранятся в течение срока прямого маркетинга и 1 года после его прекращения. Иначе говоря, и после завершения кампании, ещё один год организация должна уметь подтвердить, когда и как было получено согласие.
Санкции
Статья 71 связывает с нарушением правил прямого маркетинга отдельную санкцию: нарушение влечёт предупреждение или штраф 2 000 лари для лиц с годовым оборотом до 500 000 лари и предупреждение или штраф 3 000 лари при более высоком обороте. При отягчающих обстоятельствах штраф возрастает до 4 000 и 6 000 лари. Из-за масштабов маркетинговых кампаний эти суммы легко умножаются — каждая отправка вне правил не является отдельным нарушением, но кампания в целом оценивается как отправная точка риска.
Опыт показывает, что нарушение чаще всего происходит по трём причинам: использование контактных данных из старой базы без нового согласия; сокрытие механизма отказа в конце сообщения на фоне вынесенного на передний план содержания; и восприятие разными подразделениями одного и того же субъекта как отдельных кампаний, когда отказ на один канал не распространяется на другие. Все три — процедурные ошибки, и все три устраняются процедурной правкой. Команда Legal.ge поможет выстроить соответствие маркетинговых данных: подготовкой форм согласия и механизмов отказа, внедрением правил учёта и аудитом существующих кампаний — так, чтобы маркетинг работал в границах закона.
Часто задаваемые вопросы
Ниже мы отвечаем на самые частые вопросы по этой теме.
Что нужно для маркетингового сообщения?
Согласие субъекта данных — без исключений. Для данных, кроме имени, фамилии, адреса, телефона и электронной почты, требуется письменное согласие.
В какой срок прекращается обработка при отзыве?
Обработка в целях прямого маркетинга прекращается не позднее 7 рабочих дней с момента требования. По общему правилу отзыва обработка прекращается или данные удаляются в течение 10 рабочих дней, если иное основание не существует.
Кто доказывает наличие согласия?
Организация. Бремя доказывания согласия, простоты и доступности механизма отказа лежит на ней. Для этого время и факт согласия хранятся срок кампании и 1 год после прекращения.
Какой штраф предусмотрен?
По статье 71: предупреждение или 2 000 лари при обороте до 500 000 лари и предупреждение или 3 000 лари выше; при отягчающих обстоятельствах — 4 000 и 6 000 лари.
Как мы помогаем на Legal.ge
Команда Legal.ge проверяет кампании прямого маркетинга на соответствие требованиям защиты данных: выстраиваем основания согласия, составляем процедуры отзыва и отказа и готовим учёт. Обращайтесь на Legal.ge — соответствие дешевле всего проверяется до запуска кампании.