Pe 25 mai intră în aplicare GDPR, Regulamentul general privind protecția datelor. Până acum câteva luni, cei mai mulți proprietari de magazine online cu care stăteam de vorbă în piață ridicau din umeri: „e pentru bănci și pentru corporații”. Acum, cu trei luni înainte, a apărut panica, plus tot felul de mituri. Nu e nici apocalipsa, nici un moft. E o regulă nouă de joc, care se aplică și magazinului cu doi oameni care vinde ceaiuri din Brașov.
Am fost înscris și la Drept, iar de câțiva ani construiesc, la Retargeting, unelte de marketing automation pentru magazine online. Adică exact genul de software care trăiește din date personale. Așa că văd problema din ambele părți: și ce cere legea, și ce înseamnă asta concret într-un magazin. Mai jos e lista mea practică. Nu e consultanță juridică. E un punct de plecare ca să știi ce întrebări să-i pui unui avocat specializat, înainte de mai, nu după.
1. Fă harta datelor: ce colectezi, de unde și de ce
Primul pas e plictisitor și cel mai important. Ia o foaie (sau un tabel) și notează fiecare loc în care intră date personale în magazinul tău: contul de client, formularul de comandă, newsletterul, chatul de pe site, formularul de contact, recenziile, cookie-urile de analiză și de reclame, exporturile pe care le trimiți curierului. Pentru fiecare, scrie ce date sunt, de ce ai nevoie de ele, cine are acces, unde sunt stocate și cât le păstrezi.
Vei descoperi lucruri amuzante. Să zicem că ai un magazin de articole pentru animale: probabil ceri data nașterii clientului, deși n-o folosești la nimic. GDPR are un principiu simplu: colectezi doar ce îți trebuie. Ce nu folosești, nu mai cere.
2. Temeiul legal: nu totul trebuie să fie consimțământ
Una dintre cele mai mari confuzii e că ai nevoie de acordul clientului pentru orice. Nu e așa. Regulamentul prevede mai multe temeiuri legale, iar pentru un magazin online contează în principal trei:
- Executarea contractului: ca să livrezi o comandă ai nevoie de nume, adresă și telefon. Nu ceri bifă pentru asta, e evident.
- Obligația legală: facturile trebuie păstrate conform legislației fiscale, indiferent dacă clientul vrea sau nu.
- Interesul legitim: prevenirea fraudei, securitatea site-ului, uneori anumite comunicări către clienții existenți. Aici trebuie să cântărești onest dacă interesul tău nu calcă peste drepturile clientului și să documentezi raționamentul.
- Consimțământul: pentru newsletter către persoane care nu sunt clienți, pentru o mare parte din cookie-urile de marketing, pentru profilare mai agresivă.
Pentru fiecare rând din harta de la punctul 1, notează temeiul. Dacă nu găsești niciunul, probabil nu ar trebui să colectezi acea dată.
3. Newsletterul: fără căsuțe pre-bifate
Aici se schimbă cel mai mult pentru marketing. Consimțământul trebuie să fie liber, specific, informat și neechivoc. Pe românește: căsuța de abonare e nebifată implicit, e separată de acceptarea termenilor și spune clar ce primești și cât de des. Dezabonarea trebuie să fie la fel de ușoară ca abonarea. Și trebuie să poți dovedi când și cum și-a dat cineva acordul, așa că păstrează data, sursa și textul formularului.
Problema reală sunt listele vechi. Dacă ai adunat adrese în ultimii ani fără un acord clar sau nu mai știi de unde vin, ia în calcul o campanie de re-permisiune înainte de mai: un email simplu în care le ceri abonaților să confirme că vor să rămână. Vei pierde o parte din listă. E dureros, dar o listă mai mică și activă vinde de obicei mai bine decât una mare și moartă. Am scris mai demult de ce email marketingul aduce încă vânzări, iar argumentul rămâne valabil: cu oameni care chiar vor să te citească.
4. Politica de confidențialitate, pe înțelesul oamenilor
Majoritatea politicilor de confidențialitate din magazinele românești sunt copiate de la altcineva și nu le-a citit nimeni, nici măcar cel care le-a publicat. GDPR cere informații clare, într-un limbaj simplu: cine ești, ce date colectezi, de ce, pe ce temei, cui le transmiți, cât le păstrezi, ce drepturi are omul și cum te contactează. Dacă folosești furnizori din afara Uniunii Europene, spune și asta. Scrie-o ca și cum i-ai explica unui client la telefon, apoi dă-o la verificat unui avocat.
5. Cookie-uri și furnizorii cu care lucrezi
Regulile pentru cookie-uri vin în principal din directiva ePrivacy, transpusă la noi de mult, iar la Bruxelles se lucrează la un regulament nou pe tema asta. Ce e sigur deja: banda cu „acest site folosește cookie-uri” care nu-ți dă nicio opțiune e tot mai greu de apărat pentru cookie-urile de reclame și profilare. Fă un inventar al scripturilor de pe site (analiză, pixeli de reclame, chat, recomandări) și explică-le într-o pagină dedicată.
Apoi, furnizorii. Curierul, platforma de email, procesatorul de plăți, găzduirea, analiza de trafic, platforma de remarketing: toți procesează date în numele tău sau alături de tine. Cu cei care sunt persoane împuternicite îți trebuie un contract de prelucrare a datelor (DPA). Mulți furnizori mari au deja unul standard; cere-l și păstrează-l. Din partea cealaltă a mesei pot să-ți spun că și noi, ca furnizor de software, ne pregătim la fel. Dacă folosești automatizări de tipul emailurilor pentru coșul abandonat, întreabă-ți furnizorul ce temei legal recomandă și unde sunt stocate datele.
6. Drepturile clienților: acces, ștergere, portabilitate
Clientul are dreptul să afle ce date ai despre el, să le corecteze, să ceară ștergerea lor în anumite condiții, să se opună marketingului direct și să-și ia datele cu el. Ai, de regulă, o lună să răspunzi. Nu-ți trebuie un sistem sofisticat, ci un proces: o adresă de email dedicată, cineva responsabil și o listă cu toate locurile din care trebuie scoase datele (magazin, platforma de email, CRM, foile de calcul). Atenție: „ștergerea” nu înseamnă să ștergi și facturile pe care legea fiscală te obligă să le păstrezi.
7. Securitate, breșe și cât păstrezi datele
Securitatea nu e doar pentru bănci. Minimul decent: HTTPS pe tot site-ul, parole puternice și unice pentru admin, autentificare în doi pași unde se poate, actualizări la zi pentru platformă și module, acces pe roluri (nu toată lumea are nevoie să exporte toți clienții) și copii de siguranță. Și oprește obiceiul de a trimite liste de clienți prin email.
Dacă ai o breșă de securitate care poate afecta oamenii, trebuie să notifici autoritatea de supraveghere (la noi, ANSPDCP) în cel mult 72 de ore de când ai aflat, iar în cazurile grave și persoanele afectate. 72 de ore trec repede, așa că scrie dinainte un plan de o pagină: cine decide, pe cine suni, ce comunici.
Pe lângă asta, stabilește perioade de păstrare. Conturi inactive de cinci ani, adrese de la un concurs vechi: de ce le mai ții? Pune o regulă și aplic-o.
8. Îți trebuie un DPO?
Responsabilul cu protecția datelor e obligatoriu pentru autorități publice și pentru firmele a căror activitate principală implică monitorizarea regulată și sistematică a persoanelor pe scară largă sau prelucrarea pe scară largă a datelor sensibile. Majoritatea magazinelor mici nu intră aici. Dar „de obicei nu” nu înseamnă „niciodată”: dacă profilarea clienților e chiar miezul afacerii tale sau vinzi produse din care se pot deduce date de sănătate, verifică cu un avocat.
Amenzile și perspectiva corectă
Da, amenzile maxime ajung până la 20 de milioane de euro sau 4% din cifra de afaceri globală anuală, care dintre ele e mai mare. Nimeni nu știe încă exact cum vor aplica autoritățile regulamentul în primii ani, iar legea națională de punere în aplicare e încă în lucru. Nu te uita la GDPR doar ca la o amenințare. E și o ocazie să faci curat: liste mai curate, mai puține date inutile, clienți care au încredere în tine. Cine face marketing automation cinstit, cu acordul oamenilor, n-are de ce să se teamă.
Tu cum te pregătești pentru 25 mai? Ai început deja, sau aștepți să vezi ce fac ceilalți?