Что автор рассылки и владелец сайта должен знать о GDPR

С 25 мая 2018 года на территории Европейского союза действует «Общий регламент по защите данных» (General Data Protection Regulation; GDPR). Рассмотрим подробнее, что это за документ и к чему он обязывает авторов email-рассылок и вообще всех владельцев сайтов, имеющих дело с персональными данными граждан ЕС.

Что такое GDPR

«Общий регламент по защите данных» касается любого физического или юридического лица, занимающегося обработкой и хранением персональных данных граждан ЕС. Документ включает большую вводную часть и 99 статей.

GDPR гарантирует право граждан на контроль своих персональных данных. Документ констатирует:

За неисполнение требований регламента предусматриваются штрафные санкции — до 20 миллионов евро или до 4% от годового оборота компании.

Страница Регламента на сайте Европейского союза

Россия не входит в Европейский союз и, следовательно, не подпадает под действие его законов. Однако если в вашей базе подписчиков есть хотя бы один гражданин ЕС или просто люди, находящиеся на территории стран ЕС, но имеющие другое гражданство, вы обязаны соблюдать требования GDPR. Статья 3 Регламента уточняет, что:

Перечислим некоторые определения из статьи 4, которые используются в документе:

Какие положения Регламента касаются автора рассылки

Автор email-рассылки не обязан изучать весь многостраничный Регламент. Достаточно принять во внимание и учесть при организации рассылки несколько статей.

Основные принципы обработки персональных данных раскрыты в статье 5:

• законность и прозрачность — для сбора и использования данных должны быть легальные основания;
• ограничение цели — персональные данные должны собираться для решения конкретных явно указанных задач;
• минимизация данных — следует ограничить объем собираемых данных до необходимого минимума;
• ограничение времени хранения данных — не хранить их дольше, чем необходимо для решения указанной задачи;
• целостность и конфиденциальность хранения данных.

Статья 6 прямо требует, чтобы:

Статья 7 уточняет условия для согласия субъекта данных на сбор и обработку информации:

Как оформить рассылку с учетом требований Регламента

Прежде всего на вашем сайте должна быть страница с политикой конфиденциальности и условиями пользования ресурсом. Ссылки на эти документы удобно располагать в футере, где они доступны для пользователя в любой момент.

Политика конфиденциальности портала Navika.pro

В политике конфиденциальности вы должны явно указать цели сбора персональных данных. Рассылка подразумевает получение от пользователя адреса его электронной почты, чтобы в дальнейшем отправлять на него письма по указанной в подписной форме теме.

Также нужно указать способ, каким подписчик может направить вам просьбу об изменении или уничтожении своих персональных данных. Обычно для этого указывается адрес электронной почты автора рассылки. При получении подобного запроса следует реагировать незамедлительно и удалить адрес подписчика из базы.

Форма подписки на рассылку должна содержать несколько обязательных блоков:

• точное описание рассылки: ее тематику и периодичность;
• указание на возможность отказаться от подписки в любой момент;
• действие, подтверждающее, что подписчик ознакомился с порядком обработки персональных данных, при этом чек-бокс нельзя заполнять заранее.

Подписчик должен явно выразить свое согласие на обработку персональных данных

Также в конце каждого письма не забывайте добавлять блок, напоминающий подписчику о возможности отписаться.

Подписчик имеет возможность отказаться от рассылки в любой момент

Поскольку обработкой и хранением собранных данных занимается сервис рассылки, убедитесь, что он в своей работе тоже соблюдает требования Регламента GDPR.

Про файлы cookie на сайте

К персональным данным теперь относится любая информация, позволяющая идентифицировать человека. В том числе это файлы cookie, IP-адрес и даже результаты мониторинга поведения пользователя на сайте. Проинформируйте посетителей сайта о том, что вы собираете такую информацию.

Итоги кратко

Регламент Европейского союза о работе с персональными данными вступил в действие менее года назад. Практика его применения пока невелика. Автор рассылки должны учитывать, что в числе его подписчиков могут оказаться граждане Евросоюза или граждане других стран, находящиеся на территории ЕС, и тогда рассылка подпадает под регулирование Регламента.

Учесть требования GDPR несложно: сделайте на своем сайте страницу с политикой конфиденциальности, уточните содержание подписной формы и в каждом письме напоминайте пользователю о возможности отписаться от рассылки.

При заходе пользователя на сайт должно всплывать уведомление, что ресурс собирает файлы cookie.

Статья опубликована в журнале Navika.pro-05.2019.