GDPR в ЕС и Великобритании: 5 вещей, которые нужно знать о согласии на email-рассылку

Закон Европейского союза о защите персональных данных, известный как GDPR (General Data Protection Regulation), вступил в силу 25 мая 2018 года. В то время многие задавались вопросом, что это означает для email-маркетологов. К счастью, GDPR не «убил» email-маркетинг, как предсказывали пессимисты. Но одна вещь до сих пор может вызывать головную боль: как правильно собирать и хранить согласие на рассылку.

GDPR устанавливает более строгие стандарты получения согласия для подписчиков из Европейского союза (ЕС), а это значит, что способы сбора согласий, которые вы использовали в прошлом, могут больше не соответствовать требованиям.

Даже после того, как Великобритания (UK) официально вышла из состава ЕС, ситуация с GDPR после Brexit изменилась незначительно. Великобритания создала свой собственный закон — UK GDPR, который по сути идентичен европейскому, за исключением того, что он применяется только к резидентам Великобритании. Подробности изложены в руководстве ICO (Управления комиссара по информации Великобритании). Для простоты я буду называть оба регламента просто GDPR, если не потребуется уточнение.

Итак, главный вопрос: что все это значит для получения согласия от ваших подписчиков из ЕС и Великобритании?

## Как обеспечить соответствие email-рассылок требованиям GDPR

Для соответствия требованиям GDPR бренды должны получать активное согласие, которое является «свободным, конкретным, осознанным и недвусмысленным». ICO также подготовило подробное руководство по согласию согласно GDPR. Если вы пока не готовы изучать 39-страничный документ, вот краткий обзор пяти самых важных вещей, которые нужно знать о согласии на email-рассылку — с примерами того, как мы внедряем их в Litmus.

### 1. Получайте согласие через активное действие, а не через предзаполненные галочки

Чтобы согласие было действительным, пользователь должен активно подтвердить его, например, поставив галочку в пустом чекбоксе. Предварительно отмеченные галочки, которые предполагают согласие, если пользователь их не уберет, по GDPR недействительны.

**Пункт 32:** «Молчание, предварительно отмеченные галочки или бездействие не должны считаться согласием».

#### Пример

В нашей работе в Litmus мы используем только пустые чекбоксы для получения согласия. Если бы галочка была проставлена заранее, это было бы нарушением GDPR.

### 2. Отделяйте запрос на подписку от других условий использования

Согласие на email-рассылку должно быть добровольным — это возможно только тогда, когда у человека есть реальный выбор. Например, если подписка на рассылку обязательна для скачивания технического документа (whitepaper), то такое согласие нельзя считать свободным.

Согласно GDPR, согласие на email должно быть отдельным пунктом. Не объединяйте его с условиями обслуживания, политикой конфиденциальности или другими сервисами (если только email-рассылка не является необходимой частью этой услуги).

**Статья 7(4):** «При оценке того, является ли согласие добровольным, необходимо учитывать, не является ли исполнение договора, включая оказание услуги, обусловленным согласием на обработку персональных данных, которая не требуется для исполнения этого договора».

#### Пример

Когда кто-то скачивает электронную книгу в Litmus, там есть пустой чекбокс для подписки. Но она опциональна — вы можете скачать книгу без подписки на письма.

Однако в футере нашего сайта есть форма подписки, где галочка также не стоит, но красная звездочка указывает, что согласие необходимо. Почему? Потому что в данном случае сама услуга — это отправка наших писем, и мы не можем ее предоставить без вашего согласия.

### 3. Сделайте отказ от подписки простым — и объясните как

**Статья 7(3):** «Субъект данных имеет право отозвать свое согласие в любое время… Процесс отзыва согласия должен быть столь же простым, как и процесс его дачи».

Все основные законы об email-маркетинге требуют наличия возможности отписаться. Каждое рекламное письмо должно содержать ссылку для отписки.

Если вы уже соблюдаете текущие законы (CASL, CAN-SPAM и другие), вам, вероятно, не придется сильно менять свои процессы. Но это отличный повод проверить, следуете ли вы лучшим практикам:

— Не берите плату за отписку.

— Не запрашивайте ничего, кроме email-адреса.

— Не требуйте авторизации в личном кабинете.

— Не заставляйте пользователя переходить на несколько страниц для подтверждения.

#### Пример

В футере каждого нашего письма есть ссылка для отписки. Это делает процесс легким и снижает количество жалоб на спам.

### 4. Храните доказательства: кто, когда и как дал согласие

GDPR требует, чтобы компании вели учет полученных согласий.

**Статья 7(1):** «Если обработка основана на согласии субъекта данных, контролер должен иметь возможность доказать, что субъект данных дал такое согласие».

Это означает, что вы должны уметь предоставить доказательства:

— Кто дал согласие;

— Когда это произошло;

— Что было сказано пользователю в момент получения согласия;

— Как именно было получено согласие (например, через форму на сайте);

— Было ли согласие отозвано.

#### Пример

Мы используем двойное подтверждение (double opt-in). Когда пользователь кликает по ссылке в письме-подтверждении, наш провайдер фиксирует это действие, создавая запись о времени и способе подписки.

### 5. Регулярно пересматривайте свои практики сбора согласий

GDPR распространяется на всех текущих подписчиков из ЕС и Великобритании, независимо от того, когда они подписались. Если ваши старые методы сбора данных соответствовали требованиям GDPR, повторно собирать согласия не нужно. Если же нет — вы должны принять меры:

**Проведите аудит базы.** Выясните, по каким подписчикам у вас есть подтвержденные данные.

**Запустите кампанию по переподтверждению (re-permission).** Для контактов, по которым у вас нет доказательств согласия, проведите кампанию, где подписчик должен явно подтвердить свое желание получать письма. Тех, кто не откликнулся, лучше удалить из базы.

#### Пример

В Litmus мы периодически проводим кампании по переподтверждению, чтобы поддерживать актуальность списка. Если подписчик не кликает по ссылке для подтверждения, мы удаляем его из базы.

## Цените согласие своих подписчиков

Ваши подписчики — ваша самая ценная аудитория. Хотя эти меры обязательны для жителей ЕС и Великобритании, уважение к подписчикам должно стать стандартом для любого бизнеса. Стройте доверие и, если кто-то захочет уйти, — отпускайте их.

### Отказ от ответственности

Эта статья является общим обзором и не является юридической консультацией. Пожалуйста, обратитесь к юристу для решения конкретных правовых вопросов.