Celovit vodič do uspešne uvedbe skladnosti z GDPR v 10 korakih

V tem članku vam podajamo celovit postopek, skozi katerega mora iti vsakdo, ki oglašuje s pomočjo email marketinga in želi biti skladen z GDPR. Članek je napisan iz stališča zagotavljanja skladnosti za email marketing.

1. korak: Seznanite se z osnovami GDPR

GDPR oziroma General Data Protection Regulation je uredba, ki jo je sprejel Evropski parlament in stopi v veljavo s 25. Majem 2018.

Uredba prinaša precej novosti na področju pridobivanja, obdelovanja in hranjenja osebnih podatkov.

Ključna vprašanja, na katera morate poznati odgovore, so sledeča:

1. Kakšni so osnovni pojmi GDPR?
2. Za koga velja GDPR?
3. Za katere podatke in kako velja GDPR?
4. Kakšne so obveznosti upravljavca osebnih podatkov?
5. Kako postopati v primeru zlorabe?
6. Kdo je odgovornen v primeru zlorab?
7. Kakšne so kazni v primeru zlorab?
8. Kdaj začne veljati GDPR?

Sistematične in ravno prav podrobne odgovore na vsa ta vprašanja smo za vas pripravili v ločenem članku za katerega vam toplo priporočamo, da ga preberete preden nadaljujete.

Vse kar morate vedeti o GDPR v 8 točkah V tem članku vas bomo seznanili z osnovami GDPR, ki vam bodo pomagale pri lažjem razumevanju in implementaciji zakona v vašem podjetju oziroma organizaciji. Članek je napisan iz stališča skladnosti z GDPR-jem za email marketing.

2. korak: Dokumentirajte svoje procese obdelave podatkov

Sedaj, ko ste seznanjeni s tem, kaj GDPR je in kaj od vas zahteva, je naslednji korak ta, da najprej naredite popis stanja glede osebnih podatkov. Predlagamo vam, da to naredite po sledečem postopku:

1. Dokumentirajte namene zbiranja osebnih podatkov, nato definirajte katere podatke zbirate in jih nato kategorizirajte.

Tukaj je predvsem potrebno vedeti, da GDPR predvideva najprej namen za katerega se podatki zbirajo. Iz tega pa nato izhaja katere osebne podatke se zbira. Razmišljanje mora torej iti v obratni smeri kot do sedaj.

Pri kategorizaciji pa je pomembno, da ločite med običajnimi osebnimi podatki (ime, priimek, ipd.) in občutljivimi osebnimi podatki (podatki o spolni usmerjenosti, zdravstveni podatki, ipd.). V kontekstu email marketinga najverjetneje ne beležite občutljivih osebnih podatkov.

2. Dokumentirajte, kdo obdeluje osebne podatke v podjetju, s katerimi zunanjimi izvajalci (obdelovalci) imate sklenjene pogodbe o obdelavi podatkov, s katerimi partnerji (uporabniki) imate sklenjene pogodbe o obdelavi podatkov in kaj te pogodbe pravijo glede obdelave podatkov – zagotovite torej skladnost pogodb.

Dokumenti morajo tako biti trije (lahko je seveda tudi eden v treh delih) in vsebovati:

1. Dokument, ki vsebuje seznam zaposlenih, ki imajo dostop do osebnih podatkov, do katerih podatkov in zakaj imajo ta dostop.
2. Dokument, ki opredeljuje vse obdelovalce podatkov, definira, do katerih osebnih podatkov ima vsak od njih dostop in s kakšnim namenom obdelujejo te podatke.
3. Dokument, ki opredeljuje vse uporabnike osebnih podatkov, definira, katere osebne podatke ste jim posredovali in s kakšnim namenom.

3. Poizvedite, s kom imajo vaši partnerji in obdelovalci sklenjene pogodbe za obdelavo podatkov.

V dokumente dodajte tudi vse podizvajalce vaših pogodbenih obdelovalcev, definicijo, kateri podatki se prenašajo naprej na podizvajalce in razlog, zakaj se prenašajo.

Ta točka je lahko še posebej nevarna, saj živimo v času razmaha računalništva v oblaku, kar pomeni, da lahko določeni obdelovalci uporabljajo veliko število podizvajalcev in morajo zato poskrbeti za ustreznost pogodb.

Tukaj so seveda veliko bolj problematični obdelovalci, ki imajo sedež izven EU. Napisano namreč pomeni, da morajo npr. ameriška podjetja med seboj skleniti pogodbe, ki so skladne z GDPR. To pa je še zelo daleč, tako vam svetujemo, da ste izredno previdni pri predajanju osebnih podatkov obdelovalcem izven EU, ki jih ne poznate dovolj dobro.

4. Opredelite ali gre za neobčutljive osebne podatke ali občutljive osebne podatke.

Za občutljive osebne podatke se štejejo podatki o spolni usmerjenosti, rasi, zdravstveni podatki, …

Če obdelujete občutljive osebne podatke boste najverjetneje potrebovali DPO-ja. Priporočamo vam, da se glede tega obrnete na strokovno pravno službo.

5. Opredelite kje se osebni podatki shranjujejo.

Tukaj je pomembno, da definirate tako elektronske oblike kot tudi fizične oblike zapisa podatkov. Seveda pa ne pozabite na to, kje se shranjujejo varnostne kopije.

6. Definirajte kje in na kakšen način se osebni podatki procesirajo.

Ključno je predvsem to, da predvidite vse točke – znotraj vaše organizacije in izven nje – kjer pride do stika s podatki. Primeri so tako lahko zelo različni – od brskanja po CRM bazi, do pregleda rezultatov marketinških kampanj, do izplačila plač zaposlenim – torej povsod, kjer so v poslovnem procesu udeleženi osebni podatki.

7. Definirajte kdo ima dostop do teh podatkov.

Seveda smo notranje in zunanje obdelovalce definirali že v 2. točki, a ne smemo pozabiti na zaposlene (ali zunanje obdelovalce), ki imajo dostop do podatkov, četudi jih ne obdelujejo. Najpogostejši primer je IT služba, ki izdeluje varnostne kopije podatkov.

Pazite tudi, če izdelujete varnostne kopije v oblaku – v tem primeru je praktično nujno, da varnostne kopije tudi šifrirate z geslom.

8. Navedite kateri ukrepi so bili sprejeti in izvedeni za zaščito osebnih podatkov.

Če še nimate definirane varnostne politike je sedaj pravi (in skrajni) čas, da jo pripravite. Priporočamo vam, da za to najamete ustrezne strokovnjake. Če pa jo že imate, vam priporočamo, da jo revidirate za skladnost z GDPR – tudi tukaj je najbolje, da se obrnete na pravne strokovnjake.

9. Določite za kakšno obdobje se bodo podatki hranili.

Zelo pomemben vidik obdelave osebnih podatkov je tudi obdobje zadrževanja podatkov. Potrebno je tako definirati politiko zadrževanja podatkov (ang. Data retention policy), kjer jasno definirate za vsak namen posebej, koliko časa boste podatke zadrževali oziroma jih hranili in na kakšen način boste to zagotovili.

Ključne postavke, ki jih morate definirati glede email marketinga, so:

1. Da podatke prejemnikov, ki berejo vaše novice, hranite, dokler vaše novice berejo oziroma se od njih ne odjavijo.
2. Da podatke prejemnikov, ki se odjavijo, hranite še (na primer) 1 leto.
3. Da podatke prejemnikov, ki zahtevajo izbris, izbrišete v 5 dneh od zahtevka.
4. Da podatke prejemnikov, ki se ne odjavijo, a tudi ne berejo vaših novic (na primer) več kot 1 leto, po tem obdobju izbrišete. To je smiselno ne samo iz stališča GDPR ampak tudi iz stališča stopnje dostavljivosti vaših sporočil.
5. Da podatke o zahtevkih prejemnikov (metapodatki), ki so shranjeni v revizijski sledi, hranite še (na primer) 2 leti po izbrisu.

3. korak: Pripravite Oceno tveganja pri zaščiti podatkov (Data protection impact assessments (DPIA).

Ocena tveganja pri zaščiti podatkov je proces (v nadaljevanju bomo uporabljali kar angleško kratico DPIA), ki vam bo pomagal identificirati in zmanjšati tveganja, ki se pojavljajo pri obdelavi osebnih podatkov.

GDPR zahteva izdelavo DPIA za vse procese, “za katere je verjetno, da bodo imeli visoko tveganje za svobode in svoboščine fizičnih oseb”.

Tri glavne kategorije situacij, za katere GDPR pravi, da je DPIA potreben, so:

1. sistematsko in razširjeno ocenjevanje osebnih aspektov fizične osebe – to vključuje profiliranje;
2. obdelava podatkov v velikem obsegu, predvsem če gre za občutljive podatke;
3. sistematični nadzor javnih površin v velikem obsegu.

DPIA je torej dokument, ki opredeljuje proces in tveganja in tako vsebuje naslednje:

1. Opis narave, področje, obseg, kontekst in namen procesiranja.
2. Oceno potrebe, sorazmernosti in skladnostnih ukrepov.
3. Identifikacijo in oceno tveganja za fizične osebe.
4. Identifikacijo dodatnih ukrepov za zmanjševanje tveganja.

Pri oceni tveganja je potrebno upoštevati tako verjetnost kot resnost vpliva na fizične osebe. Visoko tveganje lahko namreč nastopi tako v primerih, kjer je verjetnost visoka, a resnost vpliva nizka, kot tudi v premerih, ko je verjetnost nizka, a resnost vpliva visoka.

DPIA je smiselno pripraviti po sledečih korakih:

1. Identificirajte potrebo po DPIA
2. Opišite proces
3. Razmislite o pravni pomoči
4. Ocenite potrebo in sorazmernost
5. Identificirajte in ocenite tveganje
6. Identificirajte ukrepe za zmanjšanje tveganja
7. Zapišite rezultate
8. Vključite rezultate v plan
9. Revidirajte postopek in proces

Ker podrobna analiza vseh teh korakov presega namen tega članka, vam za nadaljevanje vzpostavitve DPIA podajamo uradni dokument (v angleščini), ki ga je pripravila delovna skupina evropske unije za varstvo podatkov. Na voljo je tukaj.

4. korak: Preučite ali potrebujete pooblaščeno osebo za varstvo podatkov – data protection officer (DPO)

Pooblaščena oseba za varstvo podatkov (v nadaljevanju DPO) je strokovnjak za varnost v podjetjih, ki ga zahteva GDPR v določenih primerih. DPO je zadolžen za nadzor nad strategijo upravljanja osebnih podatkov v podjetju ali organizaciji in uvedbi ukrepov, ki zagotavljajo skladnost z GDPR.

DPO mora:

1. Biti neodvisen – To pomeni, da DPO ne sme biti nekdo, ki ima neposreden ali posreden interes pri obdelavi osebnih podatkov. DPO je sicer lahko zaposleni v podjetju, a najverjetneje vsi zaposleni, ki delajo v marketingu, prodaji, IT-ju, računovodstvu, kadrovski službi, …, najverjetneje niso primerni za to pozicijo. Običajno je tako najbolje, da se obrnete na zunanje strokovnjake.
2. Biti strokovnjak v varovanju podatkov – DPO se mora dobro spoznati tako na fizično varnost, kot tudi na informacijsko varnost, saj mora zagotavljati celovito storitev.
3. Imeti primerna sredstva – DPO mora imeti dovolj informacij, ustrezne dostope in varnostne mehanizme, da lahko opravlja svoje delo.
4. Imeti neposreden dostop do vodstva podjetja – V primeru neskladja varnostne politike z GDPR mora DPO imeti možnost o tem obvestiti vodstvo podjetja/organizacije neposredno.

DPO-ja morate imeti, če:

1. ste javna ustanova,
2. vaša glavna dejavnost predvideva obdelavo osebnih podatkov v večjem obsegu, pogost in sistematičen nadzor posameznikov (na primer sledenje obnašanju fizičnih oseb na spletu),
3. vaša glavna dejavnost predvideva obdelavo občutljivih osebnih podatkov v večjem obsegu.

Večina podjetij oziroma organizacij, ki so v vlogi upravljavca podatkov tako ne potrebuje DPO-ja, ga pa potrebuje večina obdelovalcev podatkov.

5. korak: Sklenite pogodbe z vašimi obdelovalci podatkov

Vedno ko osebne podatke, ki jih imate kot upravljavec v upravljanju, predate obdelovalcu, morate imeti z njim sklenjeno pogodbo. To je zahteva GDPR in pa varnostni mehanizem za vas ter obdelovalca, da lahko obe strani razumeta dolžnosti in odgovornosti.

GDPR pravi, da so upravljavci odgovorni za skladnost in da smejo sodelovati samo z obdelovalci, ki  lahko ponujajo “zadostne garancije”, da bodo zahteve GDPR izpolnjenje in da bodo pravice fizičnih oseb spoštovane.

V prihodnosti bodo na voljo programi certificiranja za obdelovalce, ki bodo objektivno zagotovili skladnost obdelovalca z GDPR, a zaenkrat ti programi še niso na voljo, tako da breme preverjanja pade na upravljavce.

Obdelovalci lahko podatke upravljajo samo na podlagi dokumentiranih navodil (ki so del pogodbe) upravljavca.

6.  korak: Zagotovite revizijsko sled

Revizijska sled (ang. audit trail) je varnostni mehanizem, ki vzpostavlja kronološki pregled dogodkov, ki so se zgodili z nekim osebnim podatkom.

Navadno je vzpostavljen kot dnevnik, ki vsebuje (vsaj) naslednje podatke:

• Čas dogodka (datum in ura)
• Avtorja dogodka (uporabnik ali prejemnik, ki je dogodek izvedel)
• Tip dogodka (na primer: sprememba podatkov, vpogled v podatke, izbris podatkov, ipd.)
• Parametri dogodka (na primer: sprememba priimka, dodajanje rojstnega datuma, ipd.)

Revizijska sled mora biti ločena od ostalih podatkov in se tako ne sme mešati v isti podatkovni zbirki, kot podatki sami.

GDPR od vseh upravljavcev in obdelovalcev zahteva vodenje revizijske sledi glede vseh osebnih podatkov. Na podlagi le-te je namreč mogoče raziskati primere potencialnih zlorab.

V revizijski sledi se lahko nahajajo določeni osebni podatki, tako da je nujno, da je dostop do revizijske sledi omejen in da se tudi ta beleži. Imate pa kot upravljavec podatkov pravico obdržati revizijsko sled za nek osebni podatek, četudi njegov lastnik zahteva izbris vseh podatkov. Gre namreč za prednost drugih zakonov pred GDPR oziroma za nujnost zadrževanja za primere dokazovanja glede zlorab.

7. korak: Dopolnite točke zbiranja osebnih podatkov

V 2. koraku ste med drugim dokumentirali tudi vse točke zbiranja osebnih podatkov, tako da sedaj že imate informacijo o tem, kje in kaj je potrebno urediti.

Točke zbiranja osebnih podatkov so lahko registracija v spletni trgovini, zbiranje podatkov prek obrazca na Facebooku, prijavni obrazec na spletni strani, pojavno okno na spletni strani, itd.

Podrobneje bomo opisali, kaj je potrebno urediti pri zbiranju podatkov preko prijavnih obrazcev in pojavnih oken, saj sta to najpogostejša načina:

Soglasja, ki jih morate zbirati, morajo biti ločena za vsak namen posebej – torej eno potrditveno polje za vsak namen. V kontekstu email marketinga tako praktično vedno obstajata vsaj dve potrditveni polji:

1. “Strinjam se z obdelavo podatkov za namen pošiljanja novic”
2. “Strinjam se z obdelavo podatkov za namen izboljšanja vsebine novic”

Tukaj je potrebno razložiti, zakaj sta namena ločena. Prvi namen je na primer zbiranje email naslova za pošiljanje email novic medtem ko drugi namen predvideva zbiranje podatkov o IP naslovu, lokacijskih podatkih, ki sledijo iz tega, odjemalcu, resoluciji ekrana, brskalniku, itd., za namen izboljšanja časa pošiljanja, formata pošiljanja, vsebine, itd. V slednjem primeru gre torej za profiliranje.

GDPR zahteva, da se prejemniku vedno omogoči, da soglaša z obdelavo minimalnega nabora osebnih podatkov za nek namen, kar pomeni, da potrebujete za profiliranje dodatno soglasje.

Potrditvena polja ne smejo biti vnaprej obkljukana, smiselno pa je pri vsakem dodati povezavo, kjer je podrobneje opisano, kaj to pomeni. Podrobnejši opis mora tako vsebovati sledeče informacije:

1. Kateri podatki se zbirajo – tukaj ne pozabite, da je potrebno prejemnika obvestiti o tem, da se zbirajo poleg podatkov, ki jih je sam vpisal v polja, tudi dodatni podatki, kot so datum prijave, IP naslov računalnika, iz katerega je bila prijava narejena in kasnejši podatki o klikih.
2. S kakšnim namenom zbirate podatke – poleg seveda jasnega email naslova za pošiljanje novic, je potrebno navesti tudi razlog, za kaj se zbira IP naslov ob prijavi – za revizijsko sled. Prejemniku morate tudi razložiti, zakaj zbirate podatke o klikih – da lahko ugotovite aktivnost prejemnika in ga, v kolikor ni aktiven, izbrišete. Namen zbiranja podatkov je tudi ta, da mu boste pošiljali prave novice ob pravem času.
3. Koliko časa imate namen podatke zadrževati – GDPR od vas zahteva, da jasno opredelite, po kolikšnem času boste podatke izbrisali. Primerna politika zadrževanja je tako na primer:
   1. Aktivni prejemniki – nedoločen čas
   2. Neaktivni prejemniki – 1 leto po zadnjem odprtem sporočilu ali kliku na povezavo
4. Kje lahko prejemnik spremeni svoje osebne podatke in soglasja – nujno je, da svoje prejemnike obvestite, kje lahko svoje osebne podatke spremenijo in kje lahko dodajo ali odvzamejo soglasja za obdelavo osebnih podatkov. Način za to mora biti brezplačen, preprost in hiter. Najboljša rešitev je tako kar posebna spletna stran, kjer lahko prejemnik opravi vse na enem mestu.
5. S kom (če sploh) boste podatke delili – vaših prejemnikov ni potrebno obveščati o vaših obdelovalcih, jih pa je potrebno obvestiti, da (v kolikor to počnete) njihove osebne podatke delite s svojimi poslovnimi partnerji (GDPR to definira kot “uporabniki” osebnih podatkov).

8. – 11. korak: Prihodnji teden

8. korak: Pridobite soglasja vaših obstoječih prejemnikov
9. korak: Omogočite prejemnikom vse pravice, ki jim jih zagotavlja GDPR
10. korak: Zaženite Squalo čarovnika za uvedbo skladnosti z GDPR in uporabite celotno paleto orodij za skladnost z GDPR
11. korak: Postopoma izbrišite podatke za katere nimate soglasja