Marketing, kolačići i praćenje

Prema članu 4 tački 7 DSGVO, odgovorno lice je ono koje određuje svrhe i sredstva obrade. To je najčešće preduzeće koje koristi bazu klijenata za reklamu ili određuje koje ciljne grupe oglasna platforma treba da dosegne. Pružalac marketinške usluge može biti obrađivač. Ako platforma zajedno odlučuje o svrhama i sredstvima, raspodjela uloga zahtijeva posebnu provjeru.

Za svaku mjeru treba izraditi kratak zapis o toku podataka: izvor, identifikatori, oznake ili interfejsi, primaoci, obilježja profila, svrha i pravilo brisanja. Oznaka „marketinški alat“ ne odgovara na ta pitanja. Pseudonimizirani identifikatori mogu i dalje biti lični podaci ako ih preduzeće ili pružalac može razumno povezati sa osobom.

Upravljanje usklađenošću i zaštitom podataka treba povezati sa odobravanjem novih alata. Kada agencije, platforme ili partneri zajednički oblikuju kampanju, treba odrediti ko informiše osobe, prima prigovore i obrađuje zahtjeve.

Kod kolačića, piksela i sličnih tehnologija prvo treba utvrditi da li se informacije upisuju na uređaj ili sa njega čitaju. § 165 stav 3 austrijskog TKG 2021 zahtijeva aktivnu saglasnost zasnovanu na jasnim i sveobuhvatnim informacijama kada pružalac usluge informacionog društva prikuplja lične podatke. Uski izuzetak obuhvata tehnički prenos ili pristup koji je strogo neophodan za uslugu koju je korisnik izričito zatražio.

Marketinška, analitička ili retargeting oznaka zato nije opravdana samo zato što postavlja „samo“ identifikator ili šalje podatke pružaocu usluge. Korisnik mora prije izbora znati svrhu. Tehnologije koje nisu neophodne ne smiju se učitati pri prvom otvaranju stranice. Odbijanje mora biti moguće bez nepotrebnih prepreka.

Saglasnost prema telekomunikacionom pravu sama po sebi ne odgovara na pitanje prema DSGVO. Ako se obrađuju IP-adresa, online identifikator, podaci o uređaju ili podaci o korištenju, potrebna je i odgovarajuća pravna osnova prema članu 6 DSGVO. Banner treba razumljivo prikazati svrhe, pružaoce, kategorije i povlačenje, a ne samo tehničke nazive proizvoda.

Poštanska reklama, newsletter, SMS i drugi kanali nisu uređeni istim pravilima. Član 6 DSGVO zahtijeva pravni osnov za obradu. Legitimni interes može doći u obzir za direktni marketing ako se pažljivo odmjere svrha, obim, očekivanja i uticaj na osobu. Za elektronsku reklamu dodatno važe stroži uslovi iz § 174 TKG 2021.

Elektronska pošta u svrhu direktne reklame u pravilu je dozvoljena samo uz prethodnu saglasnost. Izuzetak za sopstvene slične proizvode ili usluge zahtijeva, između ostalog, da je kontakt dobijen u vezi sa prodajom ili uslugom i da je pri prikupljanju i u svakoj poruci ponuđeno jasno, besplatno i jednostavno odjavljivanje. Provjera mora obuhvatiti konkretne primaoce i sadržaj poruke.

Osoba koja uloži prigovor na obradu za direktni marketing ima posebno snažno pravo prema članu 21 stav 2 DSGVO. Podaci se tada više ne smiju obrađivati u tu svrhu. Preduzeće zato treba pouzdanu listu zabrane koja obuhvata CRM, newsletter, prodajne liste i, gdje je potrebno, angažovane oglasne platforme.

Član 4 tačka 4 DSGVO definiše profilisanje kao automatizovanu obradu kojom se procjenjuju lični aspekti, naročito radi analize ili predviđanja interesa, ponašanja ili ekonomske situacije. I samo svrstavanje osobe u ciljnu grupu može biti profilisanje. To nije ograničeno na složene modele vještačke inteligencije: CRM pravila, bodovanje i spajanje online i offline podataka mogu stvoriti profil.

Za svaki segment preduzeće treba moći objasniti koja se obilježja koriste, zašto su potrebna, odakle potiču i kada prestaju da važe. Posebne kategorije podataka ili informacije izvedene iz njih ne smiju se tretirati kao obična reklamna obilježja. To je naročito važno kod političkih, zdravstvenih i drugih podataka iz člana 9 DSGVO.

Isključivo automatizovana odluka sa pravnim ili slično značajnim dejstvom može dodatno aktivirati član 22 DSGVO. Personalizovana reklama nije automatski takva odluka. Ako bodovanje odlučuje o pristupu, cijeni, usluzi ili drugoj važnoj mogućnosti, potrebna je dublja provjera, odgovarajuće informacije i, gdje je potrebno, ljudska intervencija. Profilisanje i automatizovane odluke treba dokumentovati kao odvojene korake provjere.

Članovi 13 i 14 DSGVO zahtijevaju informacije koje osoba stvarno može razumjeti. Obavijest o privatnosti ne treba samo navesti naziv oglasne platforme. Treba objasniti koji podaci potiču iz kojeg kontakta, koje se ciljne grupe stvaraju, koliko dugo obilježja ostaju i da li se uključuju primaoci izvan Evropskog ekonomskog prostora.

Ako podaci dolaze iz javnih izvora, od partnera ili pružaoca usluge obogaćivanja podataka, treba uzeti u obzir član 14 DSGVO. Informacije ne smiju nastati tek nakon pritužbe. Ko kupuje listu interesa treba dokumentovati njeno porijeklo, svrhu i put za prigovor, čak i kada se lista koristi samo za jednu kampanju.

Kod posjete internet-stranici obavijest o privatnosti, dijalog za saglasnost i stvarno ponašanje oznaka moraju odgovarati jedno drugom. Banner koji nudi samo „marketing“, dok obavijest navodi mnogo različitih svrha i pružalaca, otežava informisani izbor. Tema o upravljanju zaštitom podataka pomaže da se dokumenti povežu sa internom odgovornošću.

Načelo odgovornosti iz člana 5 stav 2 DSGVO ne zahtijeva od svakog preduzeća isti obim dokumentacije. Preduzeće mora moći pokazati zašto je mjera izgledala zakonito i kako je sprovedena. Zavisno od mjere, to obuhvata evidenciju obrada, procjenu legitimnog interesa, zapis saglasnosti, provjeru pružaoca i postupak za povlačenje i prigovor.

Procjenu uticaja na zaštitu podataka prema članu 35 DSGVO treba razmotriti kada obrada vjerovatno predstavlja visok rizik, na primjer kod obimnog sistematskog praćenja, osjetljivih podataka, povezanih izvora ili značajnih posljedica automatizovanih procjena. To nije automatska posljedica svakog analitičkog alata; važni su obim, trajanje, sistematičnost i posljedice.

Praktično je napraviti zapis o odobrenju za svaku kampanju ili trajni tok podataka. On treba sadržati dijagram toka, svrhu, pravni osnov, obavijest, pružaoca, tehničku aktivaciju, logiku zabrane, rok čuvanja i test odjave. Promjene oznaka, ciljnih grupa ili primalaca zahtijevaju novu provjeru.

Mnogi rizici nastaju zbog malih razlika između plana i rada sistema. Oznaka može biti označena kao „neophodna“, iako mjeri doseg ili podržava reklamu. Ili se prigovor sačuva u newsletter sistemu, ali se nikada ne proslijedi oglasnoj platformi.

Ni pažljiv banner ne može odobriti nezakonito profilisanje u CRM-u. Obrnuto, dobra obavijest o privatnosti ne zamjenjuje aktivan izbor tamo gdje su za pristup uređaju ili elektronsku reklamu potrebni saglasnost i prethodno odobrenje.

Interna provjera može slijediti jednostavan redoslijed. Opišite mjeru, svrhu, ciljnu grupu i kanal. Zabilježite izvor, tehnologiju, primaoce i mjesto čuvanja. Zatim provjerite pravne osnove i obavijesti. Tek nakon toga aktivirajte tehnologiju. Po aktiviranju testirajte prvo otvaranje, prihvatanje, odbijanje, povlačenje, prigovor i brisanje na realnim primjerima.

Provjera uloga pomaže pri prvoj procjeni da li je preduzeće odgovorno lice, obrađivač ili zajednički odgovorni. Za detaljnu provjeru treba pripremiti ugovore, konfiguraciju oznaka, opis kampanje, izvore podataka i rokove brisanja i zabrane.

Ako mjera već radi, nije dovoljno promijeniti tekst bannera. Uporedite browser, spremište saglasnosti, tag-manager, CRM, alat za slanje i oglasnu platformu. Tako se vidi da li povlačenje ili prigovor stvarno stiže do posljednjeg primaoca.