GDPR nedir ve işinizi nasıl etkileyecek?

GDPR'ye ve bir izin yönetimi platformunun işinizi nasıl etkileyebileceğine bakmak, hepimizin yapması gereken bir şeydir. Müşteri rızası ile meşru menfaat arasındaki savaş alanı şiddetlidir. Birleşik Krallık, şirketlerin tüketici verilerini nasıl toplayıp işleyebileceğine ilişkin GDPR standardını geçtiğinde, tüm dünyaya şok dalgaları gönderdi. Ancak, bu tür bir standart yalnızca ilkti. O zamandan beri Kanada , California eyaletinde olduğu gibi kendi standardını yayınladı .

GDPR nedir?

GDPR tanımlı: GDPR, Genel Veri Koruma Yönetmeliği anlamına gelir. Dünyanın en zorlu veri gizliliği ve güvenliği yasasıdır. Avrupa Birliği (AB) tarafından taslak haline getirilip kanunla imzalanmış olmasına rağmen, GDPR, AB vatandaşlarıyla ilgili verileri topladıkları takdirde dünya çapındaki kuruluşlar için ağır yasal sorumluluklar taşır. GDRP 25 Mayıs 2018'de yürürlüğe girdi.

Yakında, Apple ve Google işletim sistemlerinde yapılan güncellemeler verileri daha da anonimleştirecek ve şirketlerin, kullanıcıların sitelerini başlangıçta nasıl bulduklarını anlamalarını zorlaştıracak. Birincil gelir kaynağının reklam ürünü olduğu düşünüldüğünde, bu durum Facebook'u oldukça endişelendiriyor - ve uygun atıf yapılmadan şirketler Facebook'ta veya Instagram gibi diğer mülklerinde bir reklamın gerçekten ne kadar etkili olduğunu söyleyemeyecek. Yakında tüm şirketlerin bir rıza yönetimi platformu kullanması temel olacaktır.

Genel Veri Koruma Yönetmeliğinin (GDPR) çevrimiçi işletmeler üzerindeki etkisi

Ancak şimdilik, orijinal tüketici verileri gizlilik politikası olan GDPR'ye bakalım. Diğerleri benzer dil ve kullanım örneklerinden yararlanarak GDPR'yi standart bir politika haline getirir. Pazarlamacıların GDPR belgeleriyle ilgili bilmesi gereken özellikle iki bölüm vardır:

• GDPR Madde 6(1)(a) – Verilerin işlenmesi için yasal bir dayanak olarak rıza: Veri sahibi, kişisel verilerinin bir veya daha fazla özel amaç için işlenmesine izin vermiştir;
• GDPR Madde 6(1)(f) – Veri öznesinin çıkarlarının veya temel hak ve özgürlüklerinin, veri sahibinin çıkarları veya temel hak ve özgürlükleri tarafından geçersiz kılındığı durumlar haricinde, veri sorumlusu veya üçüncü bir taraf tarafından izlenen meşru menfaatlerin amaçları için işleme gereklidir. özellikle veri sahibinin bir çocuk olması durumunda kişisel verilerin korunması.

Bu iki makale, rıza toplama ve meşru menfaat toplama olarak bilinen şeyi özetlemektedir. Her ikisini de iyi anladığınızdan emin olalım.

Kuruluşunuz nasıl GDPR uyumlu hale gelebilir: Müşteri onayını bir kez ve herkes için sıralama

GDPR uyumlu olmak, müşteri onayına bağlıdır.

Müşteri onayı, veri toplamanın altın standardı olarak kabul edilir: Bir tüketici, bilgilerini şirkete vermeyi kabul ettiğini söylemek için (önceden doldurulamayan) bir düğmeyi tıklamalıdır. Bir rıza yönetimi platformu, rızanın güvence altına alınması sürecini kolaylaştırır.

Bunları kuşkusuz son zamanlarda ziyaret ettiğiniz çeşitli sitelerde görmüşsünüzdür. SAP'nin Future of Commerce web sitesinden bir örnek:

Müşteri onayı, müşterinin - her bir bireyin - verilerinin toplanmasına ve işlenmesine fiziksel olarak onay vermesini gerektirir.

Gerçekten de, SMS TCPA politikaları , metin mesajı pazarlaması için benzer bir şey gerektirir.

Müşteri onayının önceden kontrol edilmiş bir kutuya sahip olmaması ve fiziksel onay gerektirmesi gibi, TCPA politikaları da metin mesajları göndermek için fiziksel bir anlaşma gerektirir ve bu anlaşma önceden kontrol edilemez. Ayrıca, sözleşmenin dili, bir kullanıcının ne sıklıkla mesaj gönderileceği ve tüm mesajların aboneliğinden nasıl çıkılacağı ve nasıl durdurulacağı hakkında bilgileri içermelidir.

Bu durumda, daha manuel bir onay süreci için bu gereklilik konusunda GDPR yalnız değildir. Kuruluşlar beklemeyi seçebilir, ancak bir onay yönetimi platformunun gerekliliği GDPR duvarındaki yazıdır.

GDPR uyumlu bir gizlilik politikası nasıl oluşturulur ve meşru çıkarlar nasıl tanımlanır?

Meşru menfaat, GDPR'de daha çok gri bir alandır ve sonuç olarak birçok pazarlamacı bunu tercih eder. Veri toplama için manuel bir anlaşma için bir gereksinim eklemek, bir web sitesine sürtüşme ekler ve sürtüşme, dönüşümü ciddi şekilde azaltabilir. Bir rıza yönetimi platformunun uygulanmasına karşı direnç olması anlaşılabilir, ancak sonuçta hem tüketiciler hem de şirketler için değer katan bir şey olacak.

İşletmelere GDPR gibi İngiltere'nin veri gizliliği yasalarının nasıl uygulanacağı konusunda rehberlik eden İngiltere merkezli bağımsız bir otorite olan Bilgi Komisyonu Ofisi (ICO), şirketlere GDPR uyumlu bir gizlilik politikasının nasıl oluşturulacağı ve meşru menfaatin nasıl yorumlanacağı konusunda rehberlik sunmuştur. ICO'nun açıklaması :

1. İşleme kanunen gerekli değildir, ancak sizin veya başkaları için açık bir yarar sağlar;
2. Kişi üzerinde sınırlı bir mahremiyet etkisi vardır;
3. Kişi, verilerini bu şekilde kullanmanızı makul bir şekilde beklemelidir; ve
4. Bireye tam ön kontrol (yani rıza) veremez veya işlemeye itiraz etme ihtimalleri olmadığında onları rahatsız edici rıza talepleriyle rahatsız edemezsiniz veya vermek istemezsiniz.

Bu, meşru menfaati müşteri rızasından çok daha esnek hale getirir.

Rıza ne zaman kullanılmalı - meşru menfaat: Kullanışlı bir meşru menfaat değerlendirmesi

Şu ana kadar rıza ile meşru menfaat arasındaki dağılımımıza dayanarak, meşru menfaati her durumda kullanmanın daha kolay olduğunu düşünüyor olabilirsiniz. Bu mutlaka doğru değil. Aslında, ICO, şirketiniz için varsayılan tahsilat yöntemi olarak meşru menfaati kullanamayacağınızı açıkça belirtti.

Meşru menfaat esnek bir kavram olmasına ve çoğu zaman alakalı olmasına rağmen, her şey için geçerli değildir ve bunu tüm işlemleriniz için varsayılan temel olarak kullanamazsınız.

Bu nedenle çoğu web sitesi, siteye giriş yaptığınızda onay ister. Bir onay yönetimi platformu, bu süreci sorunsuz hale getirir.

Peki, meşru menfaati ne zaman kullanabilirsiniz? Neyse ki, ICO, projeniz, web siteniz vb. için meşru menfaatin geçerli olup olmadığını belirlemek için üç bölümlü bir test sunar.

1. Amaç testi – işlemenin arkasında meşru bir menfaat var mı? Amaç testi kapsamında, veri toplamanın etik, yasal ve hem şirketinizin hem de tüketicinin yararına olup olmadığını kendinize sormanız gerekir. Ardından, bu verileri rızanız olmadan (veya meşru menfaat kapsamında) işlemek istemenizin arkasındaki amacı açıkça belirtmeniz gerekir.
2. Gereklilik testi – bu amaç için işleme gerekli mi? Gereklilik testini kullanarak, amacınıza ulaşmak için daha az istilacı başka bir yol olmadığını göstermeniz ve işlemenin amaçlarınıza ulaşmakla orantılı olduğundan emin olmanız gerekir.
3. Dengeleme testi – bireyin çıkarları, hakları veya özgürlükleri meşru menfaatin önüne geçiyor mu? Son olarak, dengeleme testi kapsamında, verilerin işlenmesinin kişinin hak ve özgürlüklerini ihlal etmediğinden emin olmanız gerekir.

Pekala – yani, bu üç parçalı test o kadar da yararlı değil. Bunun yerine birkaç örneğe bakalım.

Üç parçalı testi uygulama: GDPR meşru menfaat örnekleri

Aşağıdaki senaryolar, şirketlerin üç parçalı testin nasıl uygulanacağını ve nihayetinde hangi veri toplama ve bilgi uygulamalarının kullanılacağını daha iyi anlamalarına yardımcı olmak için belgelerinde ICO tarafından sunulmaktadır.

Yardım davası.

Bir hayır kurumu, geçmişte kendilerine bağışta bulunan ancak daha önce onlardan pazarlama materyali almaya itiraz etmemiş kişilere posta yoluyla bağış toplama materyali göndermek istiyor.

Hayır kurumunun amacını ilerletmek için fon aramak için doğrudan pazarlama amacı meşru bir menfaattir.

Hayır kurumu daha sonra, bağış toplama amacı için posta göndermenin gerekli olup olmadığına bakar. Bu amaçla iletişim bilgilerinin işlenmesinin gerekli olduğuna ve postalamanın bağışlar için kişilere yaklaşmanın orantılı bir yolu olduğuna karar verir.

Hayır kurumu, dengeleme testini dikkate alır ve işlenen verilerin doğasının yalnızca isimler ve adresler olduğunu ve bu kişilerin önceki ilişkileri göz önüne alındığında posta yoluyla pazarlama materyali almalarını beklemelerinin makul olacağını dikkate alır.

Hayır kurumu, bir bağış toplama postasının bu bireyler üzerindeki etkisinin muhtemelen minimum düzeyde olacağını belirler, ancak postalamada (ve sonraki her bir iletide), bireylerin gelecekte posta pazarlamasını nasıl devre dışı bırakabilecekleriyle ilgili ayrıntıları içerir.

GDPR'nin iş semineri örneği.

Bireyler bir iş seminerine katılır ve organizatör delegelerin bazılarından kartvizitler toplar.

Organizatör, ağ oluşturma ve işlerinin büyümesi konusunda meşru bir çıkarları olduğunu belirler. Ayrıca, bu amaç için kartvizitlerden temsilci iletişim bilgilerini toplamanın gerekli olduğuna karar verirler.

Organizatör, amaç ve gerekliliği göz önünde bulundurarak, kartvizitlerini teslim eden delegelerin iş iletişim bilgilerinin işlenmesini beklemeleri makul olduğundan ve üzerlerindeki etkinin düşük olacağından, dengenin bunların işlenmesi lehine olduğunu değerlendirir. Organizatör ayrıca, delegelere itiraz haklarının ayrıntıları da dahil olmak üzere gizlilik bilgilerini sağlamasını sağlar. Organizatör daha sonra delegelerin iletişim bilgilerini toplar ve onları iş bağlantıları veri tabanına ekler.

Meşru çıkar boşlukları yoktur: Bu, etik veri uygulamalarıyla ilgilidir

Ne kullanılacağı hakkında çit üzerinde? Altın rıza standardı ile başlayın. Oradan, meşru menfaatlere doğru genişleyin, ancak hangi verilerin hangi amaçlarla toplanacağını her zaman önceden açıklamak için elinizden gelenin en iyisini yapın. Son olarak, her zaman pazarlama materyali alıcılarının gönderilen bilgiler listesinden çıkmalarına izin verin - bu bilgiler rızaya veya meşru menfaate dayalı olsa bile. Şirketinizin rıza ve verileri bir uygulama olarak nasıl ele alacağını belirleyerek bir rıza yönetimi platformu oluşturmaya başlayın.

Başka bir deyişle, tüketici verilerine sizinkilere nasıl davranılmasını istiyorsanız öyle davranın. GDPR, şirketlerin hangi verileri topladıkları, toplamaları gerekiyorsa ve bunu etik bir şekilde nasıl yapacakları konusunda biraz daha düşünmelerini gerektirir.

Bazı şirketler bu standardı yeni bir düzeye taşıyor ve etik veri toplama ve şeffaflığı kendi başlarına bir pazarlama taktiği olarak kullanıyor. Örneğin Lush'a bakalım. Veri Etiğini şirket değerlerinin bir direği haline getirdiler .

“Artık insanlar kişisel verilerinin ne kadar kritik derecede değerli olduğunun farkındalar. En hafif haliyle, gönderdiğiniz tweetler, yüklediğiniz fotoğraflar, DM attığınız kişilerdir. En karanlık biçimleriyle, kimliğinizi takip eden bir izcidir, bir öldürme listesinde olup olmayacağınıza karar veren bir algoritmadır. Veri Gizliliğinin temel bir insan hakkı olduğuna inanıyoruz. Etik veri politikası, Lush'ın tüm personelinin ve müşteri verilerinin güvenli ve şeffaf olmasını sağlamakla ilgilidir. Müşterilerimiz ve çalışanlarımız, onlar hakkında elimizde ne olduğunu bilme hakkına sahiptir.”

Gittikçe daha fazla ülke, eyalet ve benzerleri GDPR tipi standartları benimsedikçe, dijital etik en iyi uygulamalarını içsel değerler olarak benimseyen ve ardından bunları pazarlama yemi olarak kullanan daha fazla şirket göreceğiz. Bu, tüketici verilerinin gizliliği ve koruma politikalarının ideal hedefidir. Bir onay yönetimi platformunu entegre etmek, müşterilerinize saygı duymak için şeffaf bir yatırımdır.