GDPR: Что новый закон Европы о конфиденциальности означает для email-маркетологов

В настоящее время местные правила в отношении спама в Европейском союзе (ЕС) существенно различаются от страны к стране в соответствии с Директивой о конфиденциальности и электронных коммуникациях (также известной как Директива ЕС о конфиденциальности в сфере электронных коммуникаций). В то время как Директива о конфиденциальности в сфере электронных коммуникаций определяет общие цели, каждое государство-член вправе трансформировать эти цели в местное законодательство. Результат: разные законы об электронной почте для каждого из 28 государств-членов ЕС.

Общий регламент о защите данных (GDPR), новый закон ЕС о конфиденциальности, призван навести порядок в лоскутном одеяле правил о защите данных в ЕС. Поскольку GDPR является *регламентом*, а не директивой, он имеет обязательную юридическую силу и будет непосредственно применяться в качестве закона во всех государствах-членах ЕС с 25 мая 2018 года. Большая согласованность между европейскими странами должна стать отличной новостью для всех email-маркетологов, но GDPR также влечет за собой немало изменений, влияющих на индустрию email-маркетинга.

Мы побеседовали с некоторыми ведущими экспертами в области email-маркетинга и законодательства о конфиденциальности, чтобы обсудить мельчайшие детали GDPR и то, что новый регламент означает для email-маркетологов.

………………………………

#### Наши эксперты:

**Джеймс Кунс (James Koons)** — Директор по конфиденциальности в dotmailer**Эндрю Бонар (Andrew Bonar)** — сооснователь Deliverability Ltd**Тим Ро (Tim Roe)** — Директор по доставляемости и комплаенсу в RedEye. Руководитель рабочей группы по GDPR в email-совете DMA.

………………………………

**На кого распространяется действие GDPR?**

GDPR затронет каждую компанию, которая использует персональные данные граждан ЕС. Если вы собираете адреса электронной почты и отправляете письма подписчикам в ЕС, вам придется соблюдать GDPR — независимо от того, где вы находитесь.

Великобритания, Германия, Франция и другие европейские страны представляют собой ценные рынки для многих брендов. Но дело не только в стратегической важности рынка, которая делает GDPR важным для всех маркетологов, но и в огромном количестве граждан, которых будет защищать новый закон о конфиденциальности.

В то время как Канада и их недавно введенный Закон Канады о борьбе со спамом (CASL) казались некоторым жесткими, они применялись при отправке сообщений примерно 35 миллионам человек. При отправке сообщений бизнесу есть лазейки, аналогичные австралийскому законодательству. В совокупности австралийское и канадское законодательство защищает менее 60 миллионов человек. Под защитную рамку GDPR подпадут 750 миллионов человек, что в 10 раз больше — и европейское законодательство распространяет практически такой же уровень защиты на корпоративные почтовые ящики.

– Эндрю Бонар

**Какие изменения принесет GDPR для email-маркетологов?**

GDPR затрагивает несколько аспектов email-маркетинга, особенно то, как маркетологи запрашивают, собирают и фиксируют согласие. Вот что нужно знать каждому email-маркетологу:

**Более строгие правила сбора согласия**

С вступлением GDPR маркетологам будет разрешено отправлять электронные письма только тем людям, которые подписались на получение сообщений (opt-in). Хотя это уже было так в большинстве европейских стран согласно Директиве ЕС о конфиденциальности, GDPR дополнительно уточняет характер согласия, необходимого для коммерческих коммуникаций. Начиная с мая 2018 года, чтобы соответствовать GDPR, бренды должны собирать недвусмысленное согласие, которое является «свободно данным, конкретным, информированным и однозначным».

GDPR разъясняет, что действие, выражающее согласие, может включать установку флажка на веб-сайте, «выбор технических настроек для услуг информационного общества» или «иное заявление или действие», которое четко указывает на согласие на обработку. Однако «молчание, предварительно отмеченные галочкой поля или бездействие» не являются достаточным основанием.

[Твитните это]

– Джеймс Кунс

Кроме того, процесс регистрации должен информировать подписчиков о бренде, собирающем согласие, и предоставлять информацию о целях сбора персональных данных.

GDPR требует, чтобы получателю была предоставлена адекватная информация о том, как будут использоваться его данные. Например, если вы намерены профилировать чьи-либо данные, чтобы определить, какие предложения он получит, вы теперь должны сообщить своему клиенту, что вы собираетесь использовать данные именно так, и дать ему возможность возразить.

– Тим Ро

В совокупности многие методы, которые маркетологи ранее использовали для расширения своей базы данных, не будут соответствовать GDPR. Кто-то оставил свой адрес электронной почты, чтобы скачать whitepaper, или предоставил свои контактные данные для участия в конкурсе? Если вы не сказали им, что будете использовать их персональные данные для отправки маркетинговых сообщений — и если они активно не согласились с тем, что их данные можно использовать по этой причине — добавлять эти адреса электронной почты в ваш список рассылки будет незаконно.

**Новые требования к хранению записей о согласии**

GDPR не только устанавливает правила сбора согласия, но и требует от компаний вести учет этих согласий.

Согласно GDPR, бремя доказательства наличия достаточного согласия лежит на компании. Это означает, что в случае претензий вам нужно будет доказать и представить разумные доказательства того, что вы соблюли GDPR.

[Твитните это]

– Тим Ро

В некоторых странах, таких как Германия, бремя доказательства согласия всегда было ответственностью компании, получившей подписку (opt-in). Однако для многих других маркетологов это требование представляет собой новую задачу, которую предстоит решить.

Хранение форм согласия — это то, что большинству владельцев данных никогда раньше не приходилось делать, но в будущем все формы должны будут представлены по запросу.

– Джеймс Кунс

Я полагаю, маркетологам будет разумно делать скриншот страницы или приложения, где было получено согласие. Это то, что ваша платформа, скорее всего, не поддерживает по умолчанию на сегодняшний день.

– Эндрю Бонар

**Приведение существующих данных в соответствие с новыми стандартами**

В дальнейшем email-маркетологам придется изменить способы сбора и хранения согласий подписчиков. Но это лишь половина дела. GDPR также применяется ко всем *существующим* данным. Если ваша база данных включает подписчиков, чьи разрешения не были собраны в соответствии со стандартами GDPR, или если вы не можете предоставить достаточное доказательство согласия для некоторых из ваших контактов, вам больше может быть запрещено отправлять электронные письма этим подписчикам.

Для данных, полученных до GDPR, никаких исключений не делается. Как только GDPR вступит в силу, если у вас нет достаточного согласия, вы не сможете законно обрабатывать данные. Пора привести все данные ваших клиентов и бизнес-процессы в соответствие с правильным стандартом.

[Твитните это]

– Тим Ро

Столкнувшись с проблемой приведения существующей базы данных в соответствие с новыми стандартами, мы, вероятно, увидим, как многие бренды запускают кампании по повторному получению разрешений (re-permissioning) до вступления GDPR в силу весной 2018 года.

**Нужно ли вносить изменения во всю мою программу email-маркетинга?**

Более строгие правила конфиденциальности и подписки часто заставляют маркетологов опасаться, что они не смогут продолжать увеличивать свою базу данных так же быстро, как раньше. Кроме того, проверка и, при необходимости, адаптация существующих процессов подписки — это задача, требующая значительных затрат времени и ресурсов.

Разве нет способа обойти это?

Теоретически маркетологи могут удалить европейские адреса и просто заблокировать весь трафик и регистрации из Европы.

– Эндрю Бонар

Однако, учитывая размер и важность европейского рынка, исключение европейских подписчиков вряд ли станет вариантом для большинства брендов, работающих на международном уровне.

Маркетологи, которые хотят отправлять электронные письма гражданам ЕС, не имеют иного выбора, кроме как пересмотреть свои процессы email-маркетинга. У них есть несколько вариантов:

**Настроить отдельные процессы регистрации для подписчиков из разных частей мира.**Люди из ЕС должны будут пройти процесс регистрации, соответствующий GDPR, в то время как для пользователей из США, например, все останется прежним. Однако затраты и сложность управления двумя отдельными базами списков представляют собой значительный недостаток этого подхода.**Привести всю свою базу данных в соответствие со стандартами GDPR**и адаптировать все процессы подписки в соответствии с требованиями ЕС, что может быть наилучшим подходом. Хотя изменения в процессах подписки и кампании по повторному получению разрешений, вероятно, замедлят рост списков в краткосрочной перспективе, они помогут маркетологам убедиться, что они отправляют письма только тем подписчикам, которые *действительно* хотят их слышать, и, таким образом, могут улучшить общее качество списка.

Поскольку законы ЕС о конфиденциальности являются одними из самых строгих в мире, приведение вашей программы email-маркетинга в соответствие со стандартами GDPR дает еще одно преимущество: если ваша программа соответствует GDPR, вероятно, вы также соответствуете и другим международным правилам в сфере email-маркетинга.

**Что будет, если не соблюдать правила?**

GDPR подразумевает не только более строгие правила в отношении согласия и использования персональных данных, но и рекордно высокие штрафы для предприятий, не играющих по правилам. Несоблюдение GDPR может привести к штрафам в размере до 20 миллионов евро или 4% от общего годового оборота бренда в мире (в зависимости от того, что больше).

Хотя неизвестно, какие суммы штрафов могут наложить контролирующие органы на нарушителей закона, одно известно наверняка: у органов не будет ресурсов гоняться за каждым брендом, который не полностью соблюдает GDPR. Они будут в значительной степени полагаться на потребителей в сообщении о нарушениях и, вероятно, сосредоточат свои усилия на самых серьезных нарушениях.

Именно это произошло после принятия CASL. Усилия по обеспечению соблюдения были направлены на вопиющие случаи, такие как Compu-Finder, канадская обучающая компания, которая в 2015 году была оштрафована на 1,1 миллиона канадских долларов. По словам властей, Compu-Finder отправляла электронные письма без согласия, а также сообщения, в которых механизм отписки не работал должным образом. Жалобы на Compu-Finder составили 26% от всех жалоб по CASL, поданных против ее сектора промышленности.

**Ресурсы, чтобы узнать больше о GDPR**

Для более глубокого изучения GDPR вот несколько ресурсов:

— Планируете ли вы кампанию по повторному получению разрешений (re-permission) в рамках GDPR? Вот шесть советов с множеством примеров от брендов для вдохновения.

— Узнайте о 5 вещах, которые вы должны знать о согласии на email-рассылку в соответствии с GDPR

— Посмотрите запись нашего вебинара по старту email-маркетинга и узнайте, почему GDPR является одним из самых больших рисков, с которыми сталкиваются email-маркетологи в 2018 году

— Полный текст закона: Общий регламент о защите данных (GDPR) от 27 апреля 2016 года

— DMA UK: Вебинары, факты и обновления о GDPR

— Информационный бюллетень Европейской комиссии: Вопросы и ответы о реформе защиты данных в Европе

— ICO (Управление Уполномоченного по информации, Великобритания): Подготовка к Общему регламенту о защите данных (GDPR). 12 шагов, которые нужно предпринять сейчас.

## Будьте в курсе последних обновлений по email-маркетингу

Получайте самые свежие новости о email-маркетинге прямо на свою электронную почту. Подпишитесь на нашу рассылку.

### Отказ от ответственности

Этот пост предоставляет общий обзор GDPR, но не предназначен и не должен рассматриваться как юридическая консультация. Пожалуйста, обратитесь к своему адвокату за советом по вопросам регулирования email-маркетинга или любым конкретным юридическим проблемам.