Direkt marketing és hírlevél – alapvető követelmények a GDPR tükrében – 2. rész

Szerző(k): Dr. Molnár Gergő Zsolt , Dr. Varga Júlia | 2019.02.28 | Adatvédelem

Előző cikkünkben bemutattuk a hírlevélre történő feliratkozás és leiratkozás követelményeit, de a direkt marketing ezen formájához kapcsolódnak további jogszabályi előírások is, melyek főként a GDPR-ból fakadnak. Bejegyzésünkben körbejárjuk a hírlevél célú adatbázissal, adattárolással és hozzáféréssel kapcsolatos tudnivalókat.

Ha szabályszerűen, megfelelő adatkezelési tájékoztatóval és dokumentált, igazolható érintetti hozzájárulással felvértezve megvan a feliratkozásunk, a következő lépés a hírlevélküldés céljából felépített adatbázis megfelelőségének biztosítása. Korábban sok cégnél volt gyakorlat, hogy az ügyfélkapcsolati adatbázis automatikusan összekapcsolásra került a hírlevélküldés céljából létrehozott adatbázissal, vagy a webáruházból rendelők e-mail-címeire a vásárlást követően, feliratkozás nélkül is küldtek hírleveleket.

A fenti gyakorlat azonban nem felel meg az adatvédelmi követelményeket tartalmazó jogszabályoknak, ugyanis a címzettnek – a korábbi bejegyzésünkben is taglaltaknak megfelelően – kifejezetten a hírlevélküldés kapcsán kell hozzájárulnia adatainak kezeléséhez. A célhoz kötött hozzájárulás, illetve a feliratkozás kapcsán biztosított előnyök tilalma azt is jelenti, hogy nem lehet egy szerződés megkötésének vagya  webshopból való rendelés leadásának feltételéül szabni azt, hogy valaki bepipálja a „feliratkozom” gombot. Mivel az adatkezelés jogalapjai és részletei értelemszerűen adatkezelési célonként eltérnek, elkülönülő adatgyűjtést kell megvalósítani, és így ténylegesen elkülönülő, önálló adatbázist kell létrehozni hírlevélküldési célra.

Fontos adatvédelmi követelmény továbbá a pontosság, amely alapelv érvényre juttatásához az adatkezelőnek kötelezettsége fokozottan ügyelni arra, hogy a kezelt adatok naprakészek legyenek és pontos információkat tartalmazzanak. Továbbá, amennyiben valamely érintett visszavonja a hozzájárulását, kéri adatainak törlését, vagy az adatkezelési cél más okból megszűnik, az adatkezelő köteles haladéktalanul törölni a kérdéses adatot és ismét naprakésszé tenni az adatbázist.

Érdemes minden adatkezelőnek tisztában lennie azzal, hogy a nevesített e-mail-címek is személyes adatnak minősülnek, ami egyúttal azt is jelenti, hogy ezen adatok tárolásának is speciális követelményei vannak. A személyes adatok tárolása és hozzáférhetősége, valamint az integritás és a bizalmas jelleg alapelvének érvényre juttatása érdekében az adatkezelő köteles eljárni és intézkedéseket tenni annak érdekében, hogy bizonyos személyes adatokat és adott adatbázisokat csak azon munkavállalók vagy alvállalkozók ismerjenek meg, akiknek a hozzáférés szükségszerűen, munkakörük ellátásával merül fel. Mindezek értelmében tehát azok az alkalmazottak, akiknek a hírlevélre feliratkozók e-mail-címével nincs munkájuk, ne férjenek hozzá ezekhez a személyes adatokhoz. Az adattárolás fenti követelményeit eltérő gyakorlatokkal lehet biztosítani, de a személyes adatokat tartalmazó mappák és adatbázisok megfelelő titkosítását, jelszóval való védettségének ellátását javasolt az adatkezelők mindennapi gyakorlatába beépíteni annak érdekében, hogy a tudatos adatvédelmi hozzáállás fejlődjön a cégnél.

Fontos ügyelni továbbá a hírlevélküldés során arra is, hogy a feliratkozók ne láthassák azokat az e-mail-címeket, amikre a marketing anyag elküldésre került, hiszen ez a gyakorlat a személyes adat (ami ebben az esetben a nevesített e-mail-cím) jogosulatlan személyek általi hozzáférésnek minősül, mely egyrészt sérti az adatvédelmi alapelveket is, másrészt adott esetben adatvédelmi incidensnek minősülhet. A címlista titkosítását úgy is megoldhatja az adatkezelő, ha e-mail-marketing szolgáltatót vesz igénybe, és egy erre kifejlesztett programon vagy honlapon keresztül, titkosított címlistával küldi ki a hírlevelet. Érdemes szem előtt tartani, hogy amennyiben ezt a megoldást választja az adatkezelő, azzal adatfeldolgozót vesz igénybe, hiszen egy külső szolgáltató által megismerhetővé válnak a feliratkozók nevei, e-mail-címei, ami ugyan teljesen jogszerű, de tájékoztatni kell ennek tényéről az érintettet a feliratkozáshoz kapcsolódó adatvédelmi tájékoztatóban.

A blogcikk tájékoztató jelleggel készült, nem minősül egyedi ügyre alkalmazható hivatalos jogi véleménynek vagy jogi állásfoglalásnak. Az Ecovis Hungary Legal a jelen blogcikk egyedi ügyben történő felhasználásáért a jogi felelősségét kizárja.