Provozovatelé obsahových webů se podle odborníků GDPR nemusejí bát

K obsahovým webům řadíme stránky typu Podnikatel.cz, různé online magazíny a také blogy, tedy weby, kde se nachází články a uživatelé mají možnost přihlásit se k jejich odběru. Kvůli sběru e-mailových kontaktů se i tohoto oboru a e-mailového marketingu celkově dotkne nařízení o ochraně osobních údajů (GDPR). Ti, kteří vše dělali správně, by se neměli obávat žádných výrazných změn. Stejně jako tomu bylo podle zákona o ochraně osobních údajů, je třeba získat od potenciálního čtenáře souhlas k tomu, aby mu byly články zasílány, dodává Alžběta Kokešová, advokátní koncipientka, která se specializuje na právo v marketingu, z advokátní kanceláře eLegal. Jakub Olexa, zakladatel a CEO společnosti Mailkit také doplňuje, že ti, kteří se snaží držet pravidla, že e-mailový marketing je nástroj pro komunikaci se zákazníky a udržování dobrých vztahů, se nemají čeho bát. Oni by už dnes měli mít double-opt in, být transparentní a orientovaní na příjemce, doplňuje.  

V prvé řadě je důležité si uvědomit, jaké typy osobních údajů a proč provozovatelé webů shromažďují, a v té souvislosti pak připravit pro uživatele odpovídající informace. Úpravy mohou zahrnovat také přeformulování textu souhlasu, úpravu všeobecných podmínek nebo pravidel ochrany osobních údajů (privacy policy), upřesňuje advokát Martin Kornel z Frank Bold Advokáti. Jakub Olexa však upozorňuje, že je podle GDPR nově kladen velký důraz právě na transparentnost a nepodmíněnost souhlasu. Současná praxe schovávání souhlasu do všeobecných podmínek a vázání například nákupu na souhlas se zasíláním obchodních sdělení je striktně zakázaná.

Psali jsme: GDPR a výmaz osobních údajů po skončení pracovního poměru

Potvrzení raději dvakrát – double-opt in

V případě sběrů e-mailů a především newsletterů se doporučuje využít takzvaný double opt-in přístup, kdy registrování k odběru proběhne prostřednictvím potvrzujícího e-mailu. Právě tento způsob považujeme za nejsnadnější a nejlépe evidovatelný. Do databáze si takto uložíte jenom ty maily, které vám „odklikly“ potvrzující email, vysvětluje Alžběta Kokešová. Tento přístup není v rámci GDPR přímo vyžadován, ale jedná se o jediný postup, kterým může být zajištěn od subjektu důkaz. Checkbox může zaškrtnout každý a vyplnit jakoukoliv adresu – i tu, která mu nepatří a ke které tak nemá právo poskytnout souhlas, dodává Jakub Olexa. 

Důležité je si také uvědomit, že checkbox se souhlasem není všechno, ale jen cestou, jak si vyžádat potvrzení tohoto souhlasu. Checkbox vám nezajistí důkaz a samotná změna podmínek neznamená transparentnost, vysvětluje dále Jakub Olexa. Kromě souhlasu je také nutné informovat odběratele o tom, kdo je správcem osobních údajů, kdo další je zpracovává, jak dlouho bude e-mailovou adresu zpracovávat a ideálně je i poučit o právech dle GDPR, jako je právo na výmaz nebo přístup k osobním údajům. Nejjednodušeji se dá tato povinnost splnit tak, že pod formulář umístíte odkaz na toto poučení, upřesňuje Kokešová.  

Dále čtěte: Musíte kvůli GDPR chránit osobní data v ocelové skříni? Odborník radí v poradně

Z hlediska obsahu samotných e-mailů nenastává žádná změna – stále musí obsahovat informace o tom, kdo je posílá a především nabízet snadný způsob, jak se z nich odhlásit. Pokud chtějí být tyto weby opravdu poctivé, můžou krom odkazu na odhlášení v každém e-mailu mít trvale i link na plné znění zpracování osobních údajů, dodává Alžběta Kokešová. Když je udělen souhlas se zasíláním e-mailů, tak není nutné posílat další zprávy. Mezi nejlepší praktiky však patří navázat vztah takzvaným welcome mailem. V něm doporučuji příjemci poděkovat a dát mu vědět o informacích, které může očekávat, frekvenci a samozřejmě možnosti se kdykoliv odhlásit, upřesňuje Olexa.

E-book výměnou za e-mail budí rozpaky

Především blogy často nabízejí možnost stažení nějaké e-knihy výměnou za čtenářův e-mail. V souvislosti s GDPR se o tomto kroku hodně diskutuje, protože podle nařízení souhlas nesmí být podmíněn a výměna „e-book za souhlas“ úplně nepodmíněná není. Můžete žádat poskytnutí kontaktu, ale nesmí tím být podmíněno stažení e-booku. Tedy pokud si subjekt nepřeje svůj kontakt poskytnout, pořád musí mít právo si e-book stáhnout. Pokud by například byl e-book zasílán e-mailem, tak nelze poskytnutí e-mailu za účelem získání odkazu ke stažení vázat na souhlas se zasíláním obchodních sdělení. Takto získanou adresu bude moci správce použít jen pro účel zaslání e-booku, dodává Jakub Olexa.

Čtěte také: Výjimky v GDPR pro neziskovky a veřejné subjekty? Je to nehoráznost, říká HK ČR

Podle Alžběty Kokešové se na stávající praxi změní to, že pro zasílání následných obchodních sdělení bude třeba získat další souhlas. Obecně platí, že neudělením souhlasu nemůžete zákazníka šikanovat, ale za udělení jej můžete odměnit, vysvětluje. Martin Kornel také zmiňuje tento oddělený a stažením nepodmíněný souhlas a navíc další pohled: Takto shromážděné e-maily bude možné využít, pokud nabídnu dvě varianty – stáhnutí knihy za poplatek (např. 50 Kč), nebo zdarma s předáním e-mailu s možností dalšího zasílání e-mailů.

Odborníci závěrem doporučují zkontrolovat nastavení souhlasů, přípravu stručných a srozumitelných informací pro uživatele a také sbírání opravdu jen těch e-mailů, ke kterým jim byl dán aktivní souhlas. Provozovatelé musí počítat s určitou „úmrtností“ databáze, dodává Alžběta Kokešová. Jakub Olexa dále upozorňuje, že na GDPR není možné nahlížet pouze skrz internet a e-maily, ale je nutné se na něj dívat tak, jak to má v názvu. Jde o obecné nařízení ochrany osobních údajů, a to jak online, tak i offline. Jeho cílem je chránit nás jako jednotlivce, abychom nebyli vystaveni situacím, kdy společnosti zneužívají data získaná na internetu pro skóring a úniky dat, které mohou mít zásadní vliv na jednotlivce a procházejí de facto beztrestně, shrnuje.