GDPR

GDPR (General Data Protection Regulation, Общий регламент по защите данных) - законодательный акт Европейского союза, регулирующий сбор, хранение, обработку и передачу персональных данных граждан стран ЕС. Регламент вступил в силу в 2018 году и считается одним из самых строгих в мире законов о защите приватности.

Для интернет-маркетинга GDPR имеет огромное значение, поскольку накладывает серьёзные ограничения на использование персональных данных для таргетинга, ретаргетинга, email-маркетинга и других видов маркетинговых коммуникаций. Несмотря на то, что регламент действует в ЕС, он распространяется на любые компании по всему миру, которые работают с данными граждан Евросоюза.

Основные принципы GDPR

Регламент базируется на нескольких ключевых принципах обработки персональных данных.

Законность, справедливость и прозрачность

Данные должны обрабатываться законно, справедливо и прозрачно для субъекта. Компания обязана чётко объяснять, какие данные собираются и зачем.

Ограничение цели

Данные собираются только для конкретных, явных и законных целей и не могут обрабатываться дальше способом, несовместимым с этими целями.

Минимизация данных

Обрабатываться должны только те данные, которые необходимы для достижения заявленных целей. Избыточный сбор не допускается.

Точность

Данные должны быть точными и при необходимости обновляться. Неактуальные данные подлежат удалению или исправлению.

Ограничение срока хранения

Данные хранятся в форме, позволяющей идентифицировать субъектов, не дольше, чем этого требуют цели обработки.

Целостность и конфиденциальность

Данные должны обрабатываться способом, обеспечивающим их защиту от несанкционированного доступа, уничтожения или повреждения.

Подотчётность

Компания несёт ответственность за соблюдение всех принципов и должна быть готова документально это подтвердить.

Ключевые понятия GDPR

Для понимания регламента необходимо знать основные термины.

Персональные данные

Любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу (субъекту данных): имя, адрес, email, IP-адрес, файлы Cookies, данные геолокации и т.д.

Субъект данных

Физическое лицо, чьи персональные данные обрабатываются.

Контролёр

Компания или организация, которая определяет цели и средства обработки персональных данных (например, интернет-магазин, собирающий данные клиентов).

Процессор

Компания, которая обрабатывает данные от имени контролёра (например, сервис email-рассылок, CRM-система, хостинг-провайдер).

Согласие

Одно из оснований для обработки данных. Должно быть свободным, конкретным, информированным и однозначным. Молчание или бездействие не являются согласием.

Нарушение данных (Data Breach)

Инцидент, при котором происходит несанкционированное раскрытие персональных данных.

Права субъектов данных

GDPR предоставляет гражданам ЕС широкие права в отношении их персональных данных.

Право на доступ

Субъект может запросить у компании информацию о том, какие его данные обрабатываются, с какой целью и на каком основании.

Право на исправление

Если данные неполные или неточные, субъект может требовать их исправления.

Право на удаление (право быть забытым)

Субъект может требовать удаления своих данных, если они больше не нужны для целей обработки или если он отозвал согласие.

Право на ограничение обработки

Субъект может требовать приостановки обработки своих данных в определённых случаях (например, если оспаривается их точность).

Право на переносимость данных

Субъект имеет право получить свои данные в структурированном, машиночитаемом формате и передать их другому контролёру.

Право на возражение

Субъект может возражать против обработки своих данных в определённых целях, включая прямой маркетинг.

Право не быть объектом автоматизированного решения

Субъект имеет право не подвергаться решению, основанному исключительно на автоматизированной обработке, если оно влечёт для него юридические последствия.

Требования к маркетингу в соответствии с GDPR

Для интернет-маркетологов GDPR устанавливает жёсткие правила взаимодействия с аудиторией.

Согласие на cookies

Сайты, ориентированные на европейскую аудиторию, должны получать активное согласие на использование всех типов Cookies, кроме строго необходимых для работы сайта. Простое продолжение навигации не считается согласием.

Подтверждение подписки (Double Opt-in)

Для email-рассылок рекомендуется (а в некоторых случаях требуется) использование механизма двойного подтверждения, когда пользователь подтверждает подписку переходом по ссылке в письме.

Отписка

В каждом маркетинговом письме должна быть понятная и простая ссылка для отписки. Отписка должна обрабатываться немедленно.

Таргетинг и ретаргетинг

Использование данных для персонализированной рекламы требует согласия пользователя. Пиксели отслеживания и ретаргетинговые коды могут устанавливаться только после получения согласия.

Передача данных третьим лицам

Передача данных партнёрам (например, рекламным платформам) должна быть раскрыта в политике конфиденциальности и может требовать отдельного согласия.

Аналитика

Сбор данных для аналитики также требует согласия, если используются неанонимизированные данные и файлы cookies.

Обязанности компаний

Компании, работающие с данными граждан ЕС, должны выполнять ряд организационных и технических требований.

Политика конфиденциальности

Наличие документа, понятным языком объясняющего, какие данные собираются, зачем, как долго хранятся, кому передаются и какие права есть у пользователей.

Уведомление о нарушении

В случае утечки данных компания обязана уведомить надзорный орган в течение 72 часов, а в некоторых случаях - и самих субъектов данных.

DPO (Data Protection Officer)

Для некоторых категорий компаний обязательно назначение сотрудника, ответственного за защиту данных (Data Protection Officer).

Документирование

Компании должны вести учёт всех видов обработки персональных данных и быть готовыми предоставить эту информацию надзорным органам.

DPIA (Data Protection Impact Assessment)

Для обработки, представляющей высокий риск для прав субъектов, требуется проведение оценки воздействия на защиту данных.

Штрафы и ответственность

GDPR предусматривает одни из самых высоких в мире штрафов за нарушение правил работы с данными.

Размеры штрафов

До 10 миллионов евро или 2% от годового глобального оборота компании (в зависимости от того, что больше) - за менее серьёзные нарушения.
До 20 миллионов евро или 4% от годового глобального оборота - за наиболее серьёзные нарушения.

Примеры нарушений

Обработка данных без законного основания.
Недостаточная защита данных, приведшая к утечке.
Невыполнение требований субъекта о доступе или удалении данных.
Отсутствие уведомления о нарушении.
Отсутствие DPO там, где он обязателен.

GDPR и российский бизнес

Для российских компаний GDPR важен в нескольких случаях.

Когда российская компания подпадает под GDPR

Если компания предлагает товары или услуги гражданам ЕС (сайт на европейских языках, оплата в евро, доставка в Европу).
Если компания отслеживает поведение граждан ЕС (например, использует аналитику для адаптации контента под европейскую аудиторию).
Если компания обрабатывает данные граждан ЕС по любым другим основаниям.

Что делать российскому бизнесу

Оценить, попадает ли деятельность под действие GDPR.
Привести политику конфиденциальности в соответствие с требованиями.
Настроить механизмы получения согласий на cookies.
Обеспечить возможность выполнения запросов субъектов (доступ, удаление, исправление).
Заключить соответствующие договоры с процессорами (партнёрами, сервисами).

Влияние GDPR на интернет-маркетинг

GDPR существенно изменил ландшафт цифрового маркетинга.

Снижение доступности данных

Ограничения на сбор данных сделали таргетинг менее точным, особенно для ретаргетинга и look-alike аудиторий.

Рост стоимости привлечения

Меньше данных - выше стоимость привлечения клиента, так как кампании становятся менее эффективными.

Развитие альтернативных подходов

GDPR стимулировал развитие контент-маркетинга, SEO и работы с first-party данными (данными, собранными напрямую от клиентов).

Укрепление доверия

Прозрачная политика обработки данных и уважение к приватности повышают доверие клиентов к бренду.

Критика GDPR

Регламент подвергается критике по ряду направлений.

Сложность: для малого бизнеса выполнение всех требований может быть непомерно дорогим.
Бюрократизация: избыточная документация и отчётность отвлекают ресурсы.
Неоднозначность: некоторые положения регламента допускают различное толкование.
Снижение инноваций: ограничения на данные замедляют развитие технологий машинного обучения и персонализации.

Связанные термины

Аноним

Поиск