Je váš web připraven na GDPR?

Web je vaší výkladní skříní a tím pádem taky jedním z prvních míst, kde bude případná kontrola pátrat po tom, zda nakládáte s osobními údaji svých stávajících i potenciálních zákazníků správně. Pokud se tedy teprve chystáte na jarní GDPR úklid, váš web by mohl být fajn místem, kde začít.                   

Kde začít?

Nejprve si zmapujte místa, kde na vašem webu zpracováváte osobní údaje a jaké to jsou. Typicky půjde o:

• nákupní nebo poptávkový formulář –  např. e-mail, telefon, adresa
• kontakty nebo sekce O nás – např. kontakty na zaměstnance, jejich fotky
• zápis do newsletteru – e-mail
• uživatelské účty – např. e-mail, telefon, adresa
• celý web – cookies/IP adresa

Máte? Teď si vyhodnoťte, z jakého důvodu které z těchto osobních údajů zpracováváte. Zní to na první pohled banálně, ale je to vlastně alfa a omega celého procesu – podle toho pak totiž nastavíte na jednotlivých místech webu buď souhlas se zpracováním osobních údajů nebo o jejich zpracování budete jen informovat. A než se zeptáte – ne, nejde si to usnadnit tím, že dáte souhlas pro jistotu všude. Budete se muset trošku víc snažit a pochopit princip.

Ve zkratce: tam, kde vám zpracování osobních údajů umožňuje zákon (např. plnění smlouvy nebo váš tzv. „oprávněný zájem“), musíte o tom informovat.

Tam, kde vám to zákon neumožňuje si musíte zajistit souhlas.

A jak to pak má vypadat v praxi?

Nákupní nebo kontaktní formulář

Tady se, marná sláva, bez osobních údajů neobejdete – abyste mohli zákazníka kontaktovat, tak vám zkrátka ten e-mail nechat musí. Stejně tak například svou adresu, na kterou chce nechat doručit vaše zboží. U nákupních nebo kontaktních formulářů tedy budete zákazníky o zpracování osobních údajů informovat. Stačí někde viditelně v rámci formuláře vložit odkaz na „informace o zpracování osobních údajů“. Ty můžou být i součástí vašich obchodních podmínek.                  

Kontakty nebo sekce O nás

Máte někde na webu medailonky svých zaměstnanců, jejich konkrétní e-mailové adresy, mobilní telefon nebo dokonce fotky? Potřebujete k tomu jejich souhlas. Ten samozřejmě nemusí viset nikde na webu, ale měli byste ho mít někde doložitelný, když na dveře zaklepe kontrola. Třeba v e-mailu nebo v šanonu.

Zápis do newsletteru

Že k přihlášení do newsletteru na vašem webu potřebujete souhlas, je asi jasné. Jak má ale správně vypadat? Nastavte jej jako double opt-in.

U políčka pro zadání e-mailu stačí mít krátkou větu, ideálně s nutností zaškrtnout checkbox. Ta může znít „Souhlasím se zpracováním osobních údajů společností X“, ale samozřejmě si ji můžete také vyšperkovat tak, aby působila trošku víc motivačně, např. „Chci praktické rady, jak na GDPR“. Důležité je, aby zde byl odkaz na plné znění souhlasu se zpracováním osobních údajů. Zápis do newsletteru chtějte ještě jednou odsouhlasit v potvrzovacím e-mailu.

Registrace do uživatelského účtu

Nabízíte svým zákazníkům na webu uživatelský účet? Tady se bez jejich souhlasu ve většině případů, typicky třeba u e-shopů, neobejdete. Pokud jim chcete pomocí uživatelského účtu usnadnit nákup, aby nemuseli své údaje pokaždé zadávat znovu, nebo aby měli přístup ke svým předchozím objednávkám, musí vám k tomu dát svůj souhlas, ať už v rámci první objednávky, nebo extra při registraci.

Jiná situace ale je, pokud je uživatelský účet samotnou podstatou služby, tam stačí zákazníka o zpracování osobních údajů informovat. Co si pod tím představit? Typicky půjde o SaaS aplikace typu Basecamp, Mailchimp, Trello a podobně. Příkladem může být i přístup k online obsahu jako je třeba videozáznam konference GDPR v marketingu.

Marketingové vějičky

Využíváte na svém webu různé marketingové fígle, jak získat e-mail potenciálního zákazníka? V tomto přináší GDPR jednu zásadní změnu – zakazuje podmiňovat poskytnutí služby výměnou za osobní údaje. A např. takový e-book zdarma už by se v tomto případě za poskytnutí služby považoval. Jak se s takovými případy vypořádat jsme přinesli v infografice Sběr e-mailových kontaktů podle GDPR.

Tento způsob získání emailu je zcela v pořádku. Zdroj: Infgrafika právní kanceláře eLegal

Cookies

Ohledně toho, jak má správně vypadat cookie lišta, panuje asi nejvíc nejasností a ještě nějakou dobu bude. S kartami totiž ještě zamíchá připravované ePrivacy, zatím to naštěstí vypadá, že změny budou k lepšímu. Do té doby je ale nutné se řídit pravidly GDPR, která zrovna tuhle oblast nechávají asi nejvíc na vodě. Zjednodušeně ale pamatujte na toto.

Se sběrem cookies, které slouží pro marketingové účely – např. retargeting, z většiny také personalizace obsahu webu apod., musíte mít aktivní souhlas uživatele.

Cookies, které vám umožňují samotné fungování webu či základní analytiku, můžete zahrnout pod oprávněný zájem, což je zákonný důvod pro zpracování, a stačí tedy o jejich zpracování informovat. Ovšem pozor – uživatel musí mít zároveň možnost vznést námitku, která musí být samostatně vydělená a viditelná. V praxi se tím pádem zřejmě neobejdete bez dvou nebo i více různých lišt.

A co vlastně musí v textu informace nebo souhlasu zaznít?

• které údaje shromažďuji
• kdo jsem a kdo další je zpracovává
• za jakým účelem
• na jakou dobu
• jaká má člověk, jehož osobní údaje zpracovávám, práva

U informace navíc nezapomeňte uvést, že vám zpracování povoluje zákon (např. plnění smlouvy nebo oprávněný zájem).

Máte hotovo?

Skvěle! Tak teď se můžete směle vrhnout na další velkou oblast, kde v marketingu pracujete s osobními údaji: udělejte si pořádek v databázích pro e-mailing.

Kam dál? 

V tomto článku často zmiňujeme potřebu aktivního souhlasu. Je pro lidi lákavá nabídka newsletterů a personalizovaných reklam sama o sobě? Ne příliš. Proto si přečtěte doplňující článek GDPR v marketingu: jak motivovat uživatele k souhlasu s využitím osobních údajů k marketingovým účelům.

Doplňujícím čtením mohou být také texty „Velký souhrn: jak dělat marketing na Facebooku a být v souladu s GDPR" a Facebook opět přitvrzuje v ochraně soukromí uživatelů. Tentokrát se zaměřil na FB pixel.

O tom, jak se GDPR dotkne sběru emailových adres a mailingu jako takového, si můžete přečíst v článku Jak na sběr e-mailů podle GDPR. 

Pokud vás zajímá spíše to, jak by měla Zpracovatelská smlouva vypadat a na co v ní rozhodně nezapomenout, podívejte se na článek GDPR – jak nastavit smlouvu mezi klientem a agenturou.

Profesionály pracující s content marketingem pak bude užitečný článek Na co si dát pozor při tvorbě obsahu.

I ten vychází z informací řečených na konferenci GDPR v marketingu. Z ní si můžete zakoupit záznamy všech prezentací.