GDPR และการตลาด

เผยแพร่แล้ว: 2023-03-27

ผู้บริโภคที่เชี่ยวชาญจะทราบว่ากิจกรรมและข้อมูลของพวกเขากำลังถูกติดตามทางออนไลน์ ด้วยเหตุนี้จึงเป็นเรื่องสำคัญมากที่จะต้องมีข้อบังคับที่ให้ความเป็นส่วนตัว (โดยเฉพาะบนโซเชียลมีเดีย) และอนุญาตให้ลูกค้าเลือกว่าจะแบ่งปันข้อมูลส่วนบุคคลใด

กฎระเบียบให้ความคุ้มครองข้อมูลส่วนบุคคลของผู้บริโภค (GDPR) เป็นกฎหมายที่สหภาพยุโรปประกาศใช้เมื่อวันที่ 25 พฤษภาคม 2018 กฎหมายนี้เข้ามาแทนที่ Data Protection Directive 95/46/EC และออกแบบมาเพื่อ:

ประสานกฎหมายความเป็นส่วนตัวของข้อมูลทั่วยุโรป
ปกป้องและส่งเสริมความเป็นส่วนตัวของข้อมูลพลเมืองสหภาพยุโรปทั้งหมด
ปรับเปลี่ยนวิธีการที่องค์กรทั่วทั้งภูมิภาคเข้าถึงความเป็นส่วนตัวของข้อมูล

GDPR มีความหมายอย่างไรสำหรับบริษัทต่างๆ

ตามข้อบังคับที่บังคับใช้ตามกฎหมาย GDPR จึง ไม่ใช่ ตัวเลือก หากบุคคลหรือองค์กรต้องการทำธุรกิจภายในสหภาพยุโรปหรือกับพลเมืองของสหภาพยุโรป จะต้องปฏิบัติตามข้อบังคับ

ด้วยกฎหมาย GDPR บริษัทต่างๆ จะต้องมีความชัดเจนเกี่ยวกับวิธีที่พวกเขารวบรวมข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาด ซึ่งหมายถึงการขออนุญาตอย่างชัดแจ้งเป็นการเฉพาะเจาะจงขณะที่พวกเขาเก็บรวบรวม ตลอดจนเสนอเหตุผลที่ถูกต้องแก่ผู้บริโภคในการมีข้อมูลดังกล่าว

โดยพื้นฐานแล้ว GDPR:

ให้บุคคลสามารถควบคุมการใช้ข้อมูลส่วนบุคคลของตนได้มากขึ้น
ให้ความชัดเจนทั่วทั้งภูมิภาคเกี่ยวกับวิธีการใช้ข้อมูลจากประเทศในสหภาพยุโรปหนึ่งไปยังอีกประเทศหนึ่ง (และหลังจากนั้น)
ต้องการให้ธุรกิจต่างๆ จัดสรรทรัพยากรมากขึ้นเพื่อความเป็นส่วนตัวของข้อมูล รวมถึงรับผิดชอบมากขึ้น

ฐานทางกฎหมายสำหรับการประมวลผลข้อมูล

เพื่อให้เป็นไปตามข้อบังคับ GDPR ให้ฐานทางกฎหมาย 6 ฐานสำหรับการประมวลผลและจัดเก็บข้อมูลส่วนบุคคล ในการคุ้มครองข้อมูล ฐานทางกฎหมายหมายถึงเหตุผลสำหรับการประมวลผลข้อมูลส่วนบุคคล

ฐานทางกฎหมายหกประการสำหรับการประมวลผลข้อมูลภายใต้ข้อบังคับ GDPR คือ:

ความยินยอมของแต่ละข้อกังวล - บุคคลนั้นให้ข้อมูลได้อย่างอิสระในสถานการณ์ที่ชัดเจนชัดเจน
ภาระผูกพันตามสัญญาระหว่างองค์กรและบุคคล - องค์กรต้องการข้อมูลบางอย่างเพื่อให้บริการ เช่น ที่อยู่สำหรับจัดส่งอีคอมเมิร์ซ
ภาระผูกพันทางกฎหมายขององค์กร - องค์กรอาจต้องการข้อมูลบางอย่างเพื่อให้เป็นไปตามข้อกำหนดทางกฎหมายหรือกฎหมาย
ผลประโยชน์ที่สำคัญของแต่ละบุคคล - องค์กรอาจต้องประมวลผลข้อมูลบางอย่างเพื่อปกป้องชีวิตของใครบางคน
สาธารณประโยชน์/งานสาธารณะ - องค์กรสามารถประมวลผลข้อมูลเพื่อทำหน้าที่สาธารณะที่กำหนดไว้ในกฎหมาย
ผลประโยชน์โดยชอบด้วยกฎหมาย - องค์กรมีส่วนได้เสียในการประมวลผลข้อมูล เช่น รายละเอียดการติดต่อ เนื่องจากมีประโยชน์ในเชิงพาณิชย์โดยชอบด้วยกฎหมายในการส่งอีเมลหรือโทรหาบุคคลเพื่อเหตุผลด้านการขาย

ความรับผิดชอบของนักการตลาดข้อมูล

นักการตลาดดิจิทัลต้องเข้าใจความรับผิดชอบเฉพาะของตนที่เกี่ยวข้องกับฐานกฎหมายทั้งหกและกฎที่เกี่ยวข้องกับการประมวลผลและการจัดเก็บข้อมูล

เหล่านี้รวมถึง:

กฎการยินยอมข้อมูล : การยินยอมข้อมูลหมายถึงการรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับโอกาสในการขายและผู้มีโอกาสเป็นลูกค้าผ่านช่องทางการตลาดดิจิทัลต่างๆ ขององค์กร และได้รับความยินยอมที่ชัดเจนและไม่กำกวมจากพวกเขาเพื่อเข้าร่วมรับฟังความคิดเห็นจากองค์กร
กฎการประมวลผลข้อมูล : การประมวลผลข้อมูลหมายถึงวิธีที่องค์กรใช้ข้อมูลที่รวบรวม และพิจารณาว่าลีด ผู้มีโอกาสเป็นลูกค้า และลูกค้าเข้าใจหรือไม่ว่าทำไมจึงต้องประมวลผลด้วยวิธีนั้น
กฎการเก็บรักษาข้อมูล : การเก็บรักษาข้อมูลหมายถึงระยะเวลาที่องค์กรเก็บรักษาข้อมูลส่วนบุคคลและเหตุผลทางธุรกิจในการทำเช่นนั้น
กฎการถ่ายโอนข้อมูล : การถ่ายโอนข้อมูลหมายถึงการถ่ายโอนข้อมูลส่วนบุคคลของพลเมืองสหภาพยุโรปนอกสหภาพยุโรปเพื่อวัตถุประสงค์ทางธุรกิจที่ชอบด้วยกฎหมาย
กฎการลบข้อมูล : การลบข้อมูลหมายถึงเวลาและวิธีการลบข้อมูลส่วนบุคคลออกจากระบบขององค์กรอย่างถาวร

บทบาทของฝ่ายการตลาดในการปฏิบัติตาม GDPR

แผนกการตลาด – และตามค่าเริ่มต้น หัวหน้าฝ่ายการตลาด – มีบทบาทสำคัญในการเปิดใช้งาน สนับสนุน และสื่อสาร GDPR และผลกระทบต่อธุรกิจไปยังผู้บริหารระดับสูง

เนื่องจากบทบาทเฉพาะของ Marketing ในการรวบรวม ประมวลผล เก็บรักษา ถ่ายโอน และลบข้อมูลที่เป็นของสาธารณะและของผู้ใช้และลูกค้าขององค์กร บุคคลหรือบุคคลภายในทีมที่ได้รับการเสนอชื่อให้ปฏิบัติตาม GDPR จะต้องตระหนักถึงขอบเขตอย่างเต็มที่ และความรับผิดชอบของโครงการ

นี่เป็นความพยายามของทีมข้ามสายงาน เนื่องจากนักการตลาดดิจิทัลที่เป็นผู้นำกิจกรรมที่เกี่ยวข้องกับ GDPR จะต้องทำงานร่วมกับฝ่ายไอที การขาย การสนับสนุน วิศวกรรม ความสำเร็จของลูกค้า และผลิตภัณฑ์ เป็นต้น เพื่อให้แน่ใจว่ากระบวนการความเป็นส่วนตัวของข้อมูลและการพึ่งพาใดๆ เข้าใจและสนับสนุนทั่วทั้งองค์กร

เจ้าหน้าที่คุ้มครองข้อมูล

การแต่งตั้ง DPO หรือเจ้าหน้าที่คุ้มครองข้อมูลจะช่วยควบคุมทรัพยากรเพื่อให้สอดคล้องกับ GDPR:

[The] GDPR เรียกร้องให้มีการแต่งตั้ง DPO แบบบังคับสำหรับองค์กรใดๆ ที่ประมวลผลหรือจัดเก็บข้อมูลส่วนบุคคลจำนวนมาก ไม่ว่าจะเป็นพนักงาน บุคคลภายนอกองค์กร หรือทั้งสองอย่าง DPO จะต้อง "ได้รับการแต่งตั้งสำหรับหน่วยงานของรัฐทั้งหมด และในกรณีที่กิจกรรมหลักของผู้ควบคุมหรือผู้ประมวลผลเกี่ยวข้องกับ 'การตรวจสอบอย่างสม่ำเสมอและเป็นระบบของเจ้าของข้อมูลในวงกว้าง' หรือในกรณีที่หน่วยงานดำเนินการประมวลผลขนาดใหญ่ของ 'หมวดหมู่พิเศษส่วนบุคคล ข้อมูล'” เช่นเดียวกับรายละเอียดเชื้อชาติหรือชาติพันธุ์หรือความเชื่อทางศาสนา

ผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล

สมาชิกในทีมการตลาดดิจิทัลต้องคุ้นเคยกับบทบาทผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล จำเป็นอย่างยิ่งที่จะต้องเข้าใจว่าในสถานการณ์ใดที่พวกเขาเป็นผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูล

ผู้ควบคุมข้อมูล สามารถกำหนดเป็น:

บุคคลหรือองค์กรที่กำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคล ในภาษาอังกฤษธรรมดา คุณเป็นผู้ตัดสินใจว่าข้อมูลมีไว้เพื่ออะไร และจะเกิดอะไรขึ้นกับข้อมูลนั้น

ตัวประมวลผลข้อมูล สามารถกำหนดเป็น:

บุคคลหรือหน่วยงานที่แยกจากผู้ควบคุมข้อมูล (เช่น ไม่ใช่พนักงาน) และเป็นผู้ประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมข้อมูลนั้น กล่าวอีกนัยหนึ่ง คอนโทรลเลอร์จะมอบงานเฉพาะให้โปรเซสเซอร์ทำ – และโปรเซสเซอร์ก็ทำหน้าที่นั้น

เป็นสิ่งสำคัญสำหรับนักการตลาดดิจิทัลที่จะต้องรู้ว่าเมื่อใดที่พวกเขามีบทบาทอย่างใดอย่างหนึ่งหรือทั้งสองอย่าง ทุกครั้งที่พวกเขาจัดการกับข้อมูลในบทบาทของตน

ผลประโยชน์ทางธุรกิจที่ถูกต้องตามกฎหมาย

“ผลประโยชน์ทางธุรกิจที่ชอบด้วยกฎหมาย” หมายความว่าต้องมีเหตุผลที่ชัดเจนสำหรับธุรกิจในการรวบรวมและประมวลผลข้อมูลเฉพาะเกี่ยวกับเจ้าของข้อมูล ตัวอย่างเช่น อาจเป็นชื่อและที่อยู่บ้านของลูกค้าสำหรับธุรกิจจัดส่งพิซซ่า เพียงเพราะมีคนสั่งพิซซ่าไม่ได้หมายความว่าข้อมูลนี้จะถูกนำไปใช้เพื่อวัตถุประสงค์ทางการตลาดทางตรงโดยอัตโนมัติ ตัวอย่างเช่น การส่งใบปลิวให้พวกเขา การส่งข้อมูลนี้ไปยังบุคคลที่สามโดยไม่มีผลประโยชน์ที่ถูกต้องตามกฎหมายอาจถือเป็นการฝ่าฝืน GDPR

เหตุผลในการรวบรวมและประมวลผลจะต้องไม่ละเมิดสิทธิใด ๆ ของบุคคลธรรมดา ในฐานะนักการตลาดดิจิทัล คุณต้องพิจารณาอย่างรอบคอบ: ข้อมูลใดที่ถูกรวบรวม และทำไม

ด้วยเหตุนี้ ความยินยอมในการบันทึกจึงเป็นข้อกำหนดที่สำคัญมากของ GDPR ต้องให้ความยินยอมอย่างอิสระ ไม่กำกวม ชัดเจน และโปร่งใสต่อเจ้าของข้อมูล จะต้องไม่มีหนังสือเกี่ยวกับกฎหมายที่ยาวและยุ่งเหยิงให้พวกเขาอ่าน ต้องบันทึกความยินยอมอย่างถูกต้อง นอกจากนี้ เส้นทางสู่การยกเลิกสมาชิกจะต้องเรียบง่ายและชัดเจนสำหรับเจ้าของข้อมูล

GDPR และบทบาททางการตลาด

นอกจากนี้ ผู้จัดการสายงานและผู้บริหารระดับสูงยังคาดหวังให้ตระหนักถึงการทำงานทั้งหมดและผลกระทบของ GDPR ที่มีต่อทีมโดยรวม และผู้มีส่วนร่วมรายบุคคล

เมื่อพิจารณาถึงทีมการตลาดดิจิทัลโดยเฉลี่ย บทบาทและงานหลักอะไรบ้างที่ผู้ร่วมให้ข้อมูลแต่ละคนและผู้จัดการของพวกเขาต้องตระหนัก:

นักพัฒนา

แบบฟอร์มเว็บไซต์มีการตั้งค่าอย่างถูกต้อง
ปลั๊กอินของเว็บไซต์เป็นไปตามข้อกำหนด
แพลตฟอร์มเว็บไซต์มีความปลอดภัย
CMS ถูกรวมอย่างถูกต้อง

นักวิเคราะห์ข้อมูล

เครื่องมือวิเคราะห์เป็นไปตามข้อกำหนด
การผสานรวมจะใช้เมื่อเป็นไปได้เพื่อป้องกันการส่งออกข้อมูลไปยังคอมพิวเตอร์

นักออกแบบกราฟิก

ข้อมูลของบริษัทที่ใช้ภายในเท่านั้นจะไม่ถูกใช้บนกราฟิกที่เปิดเผยต่อสาธารณะ
ข้อมูลลูกค้าที่ใช้สำหรับเนื้อหาที่เปิดเผยต่อสาธารณะต้องมีการลงนามและบันทึกความยินยอมอย่างชัดแจ้ง

นักเขียนคำโฆษณา

ข้อมูลบริษัทที่ใช้ภายในเท่านั้นจะไม่ใช้กับเนื้อหาที่เปิดเผยต่อสาธารณะ
ข้อมูลลูกค้าที่ใช้สำหรับเนื้อหาที่เปิดเผยต่อสาธารณะต้องมีการลงนามและบันทึกความยินยอมอย่างชัดแจ้ง
ผู้รับเหมาต้องไม่มีสิทธิ์เข้าถึงข้อมูล CMS โดยไม่ได้รับอนุญาต

ประชาสัมพันธ์

รับ บันทึก และรักษาความยินยอมจากผู้ติดต่อสื่อเพื่อส่งเนื้อหา
เตรียมการสื่อสารการละเมิดข้อมูล
รักษาแบรนด์ที่น่าเชื่อถือเกี่ยวกับการจัดการข้อมูล

เหตุการณ์

รับ บันทึก และรักษาความยินยอมจากผู้เยี่ยมชมบูธก่อนที่จะเพิ่มลงใน CRM ของคุณเพื่อการตลาด
ตรวจสอบข้อกำหนดและเงื่อนไขรายชื่อผู้เข้าร่วมกิจกรรม (ผู้เข้าร่วมทราบหรือไม่ว่าพวกเขาลงทะเบียนเพื่อรับการสื่อสารจากองค์กรของคุณ และการสื่อสารใดที่สอดคล้องกับความคาดหวังเหล่านั้น)
ตรวจสอบนโยบายของแอพและบริการของบุคคลที่สามที่คุณใช้ในการเรียกใช้หรือเข้าร่วมกิจกรรม (ใครเป็นเจ้าของข้อมูล และปลอดภัยหรือไม่)

การตลาดดิจิทัล

การประเมินผลกระทบด้านความเป็นส่วนตัว (PIA) ในทุกกระบวนการและโครงการ

ข้อมูลที่ละเอียดอ่อน

ขึ้นอยู่กับอุตสาหกรรมนั้น นักการตลาดดิจิทัลบางรายจะมีความต้องการที่เข้มงวดมากกว่าคนอื่นๆ ในเรื่องกฎระเบียบของ GDPR

เหล่านี้รวมถึง:

ดูแลสุขภาพ
การเงินหรือฟินเทค
บริการสาธารณะ
องค์กรที่จัดการกับข้อมูลของบุคคลที่มีอายุต่ำกว่า 16 ปี
องค์กรที่รวบรวมข้อมูล PII ที่ละเอียดอ่อนและเปราะบาง

องค์กรทั้งหมดเหล่านี้จำเป็นต้องปฏิบัติตามนโยบายความเป็นส่วนตัวและการปกป้องข้อมูลที่เข้มงวดที่สุด

ความรับผิดชอบของแผนกการตลาด

ดังนั้น อะไรคือความรับผิดชอบของทีมการตลาดดิจิทัลในการบันทึก บำรุงรักษา และรายงานข้อมูลที่เกี่ยวข้องกับ GDPR

เหล่านี้รวมถึง:

การกำหนดและบันทึกการเลือกรับอีเมลและการเลือกไม่รับอีเมล
ออกแบบขั้นตอนการเลือกเข้าร่วมและยกเลิกที่ชัดเจนซึ่งสามารถตีความความยินยอมได้อย่างชัดเจน ตรวจสอบให้แน่ใจว่าการยกเลิกนั้นง่ายและชัดเจนเหมือนการเลือกเข้าร่วม

กำหนดมาตรฐานว่าผู้ติดต่อรายใหม่เข้ามาใน CRM ผ่านทางช่องทางการตลาดทั้งหมดได้อย่างไร
ทำความเข้าใจทุกกระบวนการรับข้อมูลของ CRM ภายใต้อำนาจของทีมการตลาด และตรวจสอบให้แน่ใจว่าในกรณีของพลเมืองสหภาพยุโรป แต่ละกระบวนการมีหลักเกณฑ์ที่ชัดเจนเกี่ยวกับความยินยอม

สรุปกระบวนการเคารพคำขอของเจ้าของข้อมูลและการลบ
ทำการทดลองใช้คำขอของเจ้าของข้อมูลและคำขอลบข้อมูล ปรับแต่งและบันทึกกระบวนการ และฝึกอบรมสมาชิกในทีมที่เกี่ยวข้อง

การสื่อสารการละเมิดข้อมูล
ทำความเข้าใจเกี่ยวกับกรอบเวลาที่คุณต้องเผยแพร่ประกาศเกี่ยวกับการละเมิดข้อมูล และมีเทมเพลตการสื่อสารที่ได้รับการอนุมัติล่วงหน้าพร้อมสำหรับสถานการณ์วิกฤต

ปรับปรุงหน้าความเป็นส่วนตัวและข้อกำหนดและเงื่อนไขของเว็บไซต์ให้เป็นปัจจุบันอยู่เสมอ
ในช่วงเวลาปกติ ให้ DPO ทีมไอที และผู้เชี่ยวชาญด้านกฎหมายตรวจสอบเอกสารการใช้ข้อมูลสาธารณะของคุณ

ตรวจสอบและอนุมัติวิธีการใช้ข้อมูล CRM เพื่อวัตถุประสงค์ทางการตลาดทั้งภายในและภายนอก
ตรวจสอบให้แน่ใจว่าสมาชิกในทีมของคุณมีสิทธิ์ที่เหมาะสมในการเข้าถึงข้อมูลภายในเครื่องมือที่พวกเขาใช้ และพวกเขารู้ว่าข้อมูลใดที่พวกเขาเข้าถึงได้และไม่สามารถใช้ในการตลาดได้ มีนโยบายที่กำหนดไว้เกี่ยวกับการตลาดร่วมหรือการตลาดพันธมิตร ซึ่งเจ้าของข้อมูลได้รับการคุ้มครองตามระเบียบข้อบังคับของ GDPR

การทำความเข้าใจระเบียบข้อบังคับของ GDPR แนวปฏิบัติที่ดีที่สุด และวิธีที่คุณสามารถปฏิบัติตามหลักจริยธรรมได้นั้นจำเป็นต่อบทบาทของคุณในฐานะผู้เชี่ยวชาญด้านการตลาดดิจิทัล