GDPR και WhatsApp marketing

Δύο νόμοι, όχι ένας

Οι περισσότεροι που ρωτούν για τον GDPR και το WhatsApp ρωτούν πρώτα για τον λάθος νόμο. Εφαρμόζονται δύο, θέτουν διαφορετικά ερωτήματα, και το ότι περνάτε τον έναν δεν σας απαλλάσσει από τον άλλον.

Ο GDPR ρωτά: έχετε καν νομική βάση για την επεξεργασία των δεδομένων αυτού του προσώπου, και μπορείτε να σεβαστείτε τα δικαιώματά του επ' αυτών; Ένας αριθμός τηλεφώνου είναι δεδομένο προσωπικού χαρακτήρα, όπως και η συνομιλία.

Η Οδηγία ePrivacy — ενσωματωμένη στο εθνικό δίκαιο κάθε κράτους μέλους — θέτει ένα στενότερο ερώτημα, για την ίδια την πράξη της αποστολής: επιτρέπεται να στείλετε σε αυτό το πρόσωπο αζήτητη ηλεκτρονική επικοινωνία για σκοπούς απευθείας εμπορικής προώθησης; Το άρθρο 13 της Οδηγίας το εξαρτά από την εκ των προτέρων συγκατάθεση. Το WhatsApp είναι ηλεκτρονική απευθείας εμπορική προώθηση με τον ίδιο τρόπο που είναι τα SMS και το email.

Γι' αυτό το «βασιζόμαστε στο έννομο συμφέρον» δεν κλείνει το ζήτημα. Το έννομο συμφέρον μπορεί κάλλιστα να καλύπτει την πλευρά του GDPR. Ο κανόνας της ePrivacy στέκεται από πάνω του και εξακολουθεί να ζητά συγκατάθεση.

Υπάρχει μία αναγνωρισμένη εξαίρεση, που συνήθως λέγεται soft opt-in: όταν αποκτήσατε τα στοιχεία επικοινωνίας στο πλαίσιο πώλησης σε αυτό το πρόσωπο, μπορείτε να του προωθείτε δικά σας παρόμοια προϊόντα, εφόσον του δώσατε δωρεάν και εύκολη δυνατότητα άρνησης κατά τη συλλογή και σε κάθε μήνυμα. Τα περισσότερα κράτη μέλη την ενσωμάτωσαν, αλλά οι προϋποθέσεις διαφέρουν — πόσο παρόμοιο πρέπει να είναι το προϊόν, πόσο πρόσφατη η πώληση, και αν καλύπτει και επαγγελματικές επαφές. Είναι στενότερη απ' ό,τι ελπίζουν οι περισσότεροι, και η εκδοχή της Γερμανίας είναι η αυστηρότερη.

Πώς είναι μια έγκυρη συγκατάθεση

Ο ορισμός του GDPR είναι μια σύντομη λίστα, και σχεδόν κάθε συγκατάθεση που αποτυγχάνει σκοντάφτει σε ένα από τα σημεία της:

• Ελεύθερη. Όχι όρος για μια υπηρεσία που δεν τη χρειάζεται. Το «Τσεκάρετε για να λαμβάνετε προσφορές στο WhatsApp ώστε να ολοκληρωθεί η αγορά σας» δεν είναι συγκατάθεση.
• Συγκεκριμένη. Συγκατάθεση για WhatsApp marketing, όχι για «marketing». Το κανάλι είναι μέρος αυτού που αποδέχεται το πρόσωπο, όπως και η ταυτότητα του αποστολέα.
• Εν πλήρει επιγνώσει. Το πρόσωπο ξέρει ποιοι είστε, τι θα στέλνετε και πώς να το σταματήσει.
• Ρητή, με σαφή θετική ενέργεια. Ένα προεπιλεγμένο κουτάκι δεν είναι τέτοια ενέργεια. Η σιωπή δεν είναι. Η συνέχιση της περιήγησης δεν είναι.
• Εξίσου εύκολη στην ανάκληση όσο και στην παροχή. Αν η εγγραφή χρειάστηκε ένα πάτημα, η διακοπή δεν μπορεί να απαιτεί email στην υποστήριξη.

Η Meta επιβάλλει τη δική της απαίτηση για opt-in ανεξάρτητα, και δεν είναι ακριβώς η ίδια. Τη Meta την ενδιαφέρει να ήξερε το πρόσωπο ότι θα λαμβάνει μηνύματα από τη δική σας επιχείρηση στο WhatsApp· δεν ορίζει πώς συλλέξατε τη συγκατάθεση. Στην πράξη, μια συγκατάθεση που ικανοποιεί τον GDPR ικανοποιεί και τη Meta, γι' αυτό αξίζει να τη γράψετε μία φορά, σωστά — η διατύπωση και η τοποθέτηση εξηγούνται εδώ.

Τι πρέπει να μπορείτε να αποδείξετε

Ο GDPR σας επιρρίπτει το βάρος να αποδείξετε ότι δόθηκε συγκατάθεση. Μια λίστα αριθμών δεν αποδεικνύει τίποτα. Για κάθε επαφή θα πρέπει να μπορείτε να προσκομίσετε:

Μια λίστα εξαιρέσεων δεν είναι λίστα διαγραφής. Όταν κάποιος ανακαλεί τη συγκατάθεσή του, κρατάτε τα ελάχιστα που χρειάζονται ώστε να παραμείνει στη λίστα εξαιρέσεων· η πλήρης διαγραφή της εγγραφής είναι ο τρόπος με τον οποίο οι άνθρωποι εισάγονται ξανά και λαμβάνουν πάλι μηνύματα.

Πού βρίσκεται η Meta στον χάρτη δεδομένων σας

Με το Cloud API, τα μηνύματα περνούν από υποδομή που φιλοξενεί η Meta. Έτσι η Meta ενεργεί ως εκτελών την επεξεργασία για αυτό το περιεχόμενο, κάτι που έχει συνέπειες τις οποίες πρέπει να καταγράψετε και όχι απλώς να υποθέσετε:

• Το αρχείο δραστηριοτήτων επεξεργασίας σας πρέπει να την κατονομάζει, μαζί με τον πάροχο της πλατφόρμας σας· κατά κανόνα ο πάροχος είναι ο εκτελών την επεξεργασία και η Meta ενεργεί ως υπεκτελών την επεξεργασία.
• Η πολιτική απορρήτου σας πρέπει να ενημερώνει τους ανθρώπους ότι, όταν σας γράφουν στο WhatsApp, η Meta επεξεργάζεται την επικοινωνία.
• Όροι επεξεργασίας δεδομένων. Για το σκέλος της Meta βασίζεστε στους όρους της ίδιας της Meta, και για το σκέλος του παρόχου στους δικούς του. Ζητήστε τη σύμβαση επεξεργασίας δεδομένων (DPA) του παρόχου πριν υπογράψετε, όχι μετά.
• Οι διαβιβάσεις εκτός ΕΟΧ είναι μέρος της σχέσης με τη Meta και καλύπτονται από τον μηχανισμό που προβλέπουν οι όροι της Meta. Αν ο οργανισμός σας έχει πολιτική για τις διαβιβάσεις, εδώ είναι που θα σας απασχολήσει.
• Το πού φιλοξενεί ο πάροχος είναι ξεχωριστό ερώτημα από το πού φιλοξενεί η Meta, και είναι αυτό που μπορείτε πραγματικά να επιλέξετε.

Χειρισμός αιτημάτων των υποκειμένων των δεδομένων

Το ιστορικό συνομιλιών είναι δεδομένα προσωπικού χαρακτήρα, οπότε ισχύουν γι' αυτό τα συνήθη δικαιώματα, και το WhatsApp προσθέτει μια πρακτική ιδιαιτερότητα: μια συνομιλία αφορά δύο ανθρώπους. Όταν κάνετε εξαγωγή ή διαγραφή, αποφασίστε συνειδητά τι γίνεται με τα μηνύματα που έγραψαν οι δικοί σας εκπρόσωποι.

• Πρόσβαση. Ένα πρόσωπο μπορεί να ζητήσει τη συνομιλία. Η δυνατότητα να εξαγάγετε το ιστορικό μίας επαφής χωρίς να εξαγάγετε το ιστορικό όλων είναι απαίτηση, όχι πολυτέλεια.
• Διαγραφή. Η διαγραφή της επαφής πρέπει να διαγράφει και τη συνομιλία, και πρέπει να κρατάτε αρκετά ώστε να παραμένει στη λίστα εξαιρέσεων. Σημειώστε επίσης ότι το αντίγραφο στο κινητό του ίδιου του προσώπου ανήκει σε εκείνο, όχι σε εσάς, και δεν μπορείτε να το διαγράψετε.
• Εναντίωση. Η εναντίωση στην απευθείας εμπορική προώθηση είναι απόλυτη — δεν υπάρχει στάθμιση συμφερόντων. Πρέπει να ισχύσει πριν από την επόμενη καμπάνια, όχι στην επόμενη ενημέρωση της λίστας.
• Η φορητότητα εφαρμόζεται όπου η επεξεργασία βασίστηκε στη συγκατάθεση, κάτι που σε μια συνομιλία marketing ισχύει.

Πόσο να διατηρείτε τις συνομιλίες

Ο GDPR δεν ορίζει αριθμό. Η υποχρέωση είναι να αποφασίσετε μια περίοδο που μπορείτε να αιτιολογήσετε και μετά να την εφαρμόζετε πραγματικά — εισερχόμενα που δεν έχουν διαγράψει ποτέ τίποτα αποτυγχάνουν στο δεύτερο σκέλος, ό,τι κι αν γράφει η πολιτική.

Στην πράξη: οι συνομιλίες υποστήριξης συνήθως διατηρούνται για όσο μπορεί να προκύψει διαφορά για την υποκείμενη συναλλαγή, διάστημα που καθορίζει η προθεσμία παραγραφής στη χώρα σας. Οι συνομιλίες marketing σπάνια δικαιολογούν περισσότερο από έναν ή δύο χρόνους. Τα αρχεία συγκατάθεσης διατηρούνται περισσότερο και από τα δύο, γιατί αποτελούν την απόδειξη ότι είχατε καν δικαίωμα να στείλετε.

Η λίστα ελέγχου

1. Διατύπωση συγκατάθεσης που κατονομάζει το WhatsApp και την επιχείρησή σας, με κουτάκι που δεν είναι προεπιλεγμένο.
2. Καταγραφή της συγκατάθεσης ανά επαφή: πότε, πού, με ποια διατύπωση, για ποια κανάλια.
3. Μηχανισμός διακοπής μέσα στο μήνυμα και ένας εκπρόσωπος που ξέρει τι να κάνει όταν κάποιος γράφει «stop».
4. Μία λίστα εξαιρέσεων που ελέγχει κάθε καμπάνια, και στις εισαγωγές.
5. Η Meta και ο πάροχός σας κατονομάζονται στο αρχείο δραστηριοτήτων επεξεργασίας και στην πολιτική απορρήτου σας.
6. Υπογεγραμμένη σύμβαση επεξεργασίας δεδομένων (DPA) με τον πάροχο.
7. Περίοδος διατήρησης γραμμένη σε χαρτί και επιβαλλόμενη από κάτι περισσότερο από καλές προθέσεις.
8. Τρόπος να εξαγάγετε και να διαγράψετε τη συνομιλία μίας επαφής.