GDPR și marketingul pe WhatsApp

Două legi, nu una

Cei mai mulți dintre cei care întreabă despre GDPR și WhatsApp se uită mai întâi la legea greșită. Se aplică două, fiecare pune o altă întrebare, iar dacă treci de una nu ești scutit de cealaltă.

GDPR întreabă: ai, în primul rând, un temei legal pentru prelucrarea datelor acestei persoane și poți respecta drepturile pe care le are asupra lor? Un număr de telefon este o dată cu caracter personal, la fel și conversația.

Directiva ePrivacy — transpusă în legislația națională a fiecărui stat membru (în România, prin Legea nr. 506/2004) — pune o întrebare mai îngustă, despre actul trimiterii: ai voie să-i trimiți acestei persoane comunicări nesolicitate de marketing direct prin mijloace electronice? Articolul 13 al directivei condiționează acest lucru de consimțământul prealabil. Mesajele pe WhatsApp sunt marketing direct prin mijloace electronice, exact ca SMS-ul și emailul.

De aceea „ne bazăm pe interesul legitim” nu închide discuția. Interesul legitim poate foarte bine să acopere partea de GDPR. Regula ePrivacy se adaugă peste el și cere în continuare consimțământ.

Există o singură excepție recunoscută, numită de obicei soft opt-in: dacă ai obținut datele de contact cu ocazia unei vânzări către acea persoană, îi poți face marketing pentru propriile tale produse similare, cu condiția să-i fi oferit o posibilitate gratuită și simplă de a refuza, atât în momentul colectării, cât și în fiecare mesaj. Majoritatea statelor membre au transpus-o, dar condițiile diferă — cât de similar trebuie să fie produsul, cât de recentă trebuie să fie vânzarea și dacă se extinde și la contactele de business. Este mai îngustă decât speră oamenii, iar varianta Germaniei este cea mai strictă.

Cum arată un consimțământ valabil

Definiția din GDPR este o listă scurtă, iar aproape orice consimțământ care nu este valabil cade la unul dintre aceste puncte:

• Liber exprimat. Nu poate fi condiția unui serviciu care nu are nevoie de el. „Bifează ca să primești oferte pe WhatsApp, pentru a finaliza cumpărătura” nu este consimțământ.
• Specific. Consimțământ pentru marketing pe WhatsApp, nu pentru „marketing”. Canalul face parte din ceea ce acceptă persoana, la fel și identitatea expeditorului.
• Informat. Persoana știe cine ești, ce îi vei trimite și cum poate opri mesajele.
• Lipsit de ambiguitate, printr-un act afirmativ clar. O căsuță prebifată nu este așa ceva. Nici tăcerea. Nici faptul că persoana continuă să navigheze.
• La fel de ușor de retras ca de dat. Dacă abonarea a durat o atingere, oprirea nu poate cere un email către suport.

Meta impune, independent, propria cerință de opt-in, iar aceasta nu este identică. Pe Meta o interesează ca persoana să fi știut că va primi mesaje de la firma ta pe WhatsApp; nu prescrie cum l-ai colectat. În practică, un consimțământ care satisface GDPR satisface și Meta, motiv pentru care merită scris o singură dată, cum trebuie — formularea și amplasarea sunt explicate aici.

Ce trebuie să poți dovedi

GDPR pune pe umerii tăi sarcina de a demonstra că persoana și-a dat consimțământul. O listă de numere nu dovedește nimic. Pentru fiecare contact ar trebui să poți prezenta:

O listă de excludere nu este o listă de ștergere. Când cineva se dezabonează, păstrezi minimul necesar ca să-l menții exclus; ștergerea completă a înregistrării este calea prin care oamenii ajung reimportați și primesc din nou mesaje.

Unde se află Meta în harta datelor tale

Cu Cloud API, mesajele trec printr-o infrastructură găzduită de Meta. Asta face din Meta o persoană împuternicită de operator pentru acel conținut, cu consecințe pe care trebuie să le pui în scris, nu să le presupui:

• Evidența activităților de prelucrare trebuie să o menționeze, alături de furnizorul platformei tale, care este de regulă persoana împuternicită de operator, iar Meta, persoană împuternicită ulterioară (subcontractant).
• Nota de informare privind protecția datelor trebuie să le spună oamenilor că, atunci când îți scriu pe WhatsApp, schimbul de mesaje este prelucrat de Meta.
• Termenii de prelucrare a datelor. Te bazezi pe cei ai Meta pentru segmentul Meta și pe cei ai furnizorului pentru segmentul lui. Cere acordul de prelucrare a datelor (DPA) al furnizorului înainte să semnezi, nu după.
• Transferurile în afara SEE fac parte din relația cu Meta și sunt acoperite de mecanismul prevăzut în termenii Meta. Dacă organizația ta are o politică privind transferurile, aici intră ea cu adevărat în joc.
• Unde găzduiește furnizorul este o întrebare separată de unde găzduiește Meta, și este cea la care chiar poți alege.

Cum gestionezi cererile persoanelor vizate

Istoricul conversațiilor reprezintă date cu caracter personal, așa că i se aplică drepturile obișnuite, iar WhatsApp adaugă o complicație practică: o conversație privește două persoane. Când exporți sau ștergi, fii atent la mesajele scrise de propriii tăi agenți.

• Dreptul de acces. O persoană poate cere conversația. Să poți exporta istoricul unui singur contact fără să exporți istoricul tuturor este o cerință, nu un bonus.
• Dreptul la ștergere. Ștergerea contactului trebuie să șteargă și conversația, iar tu trebuie să păstrezi suficient cât persoana să rămână exclusă. Reține și că exemplarul de pe telefonul persoanei îi aparține ei, nu ție, și nu îl poți șterge.
• Dreptul la opoziție. Opoziția față de marketingul direct este absolută — nu se face nicio cântărire a intereselor. Trebuie să producă efecte înainte de următoarea campanie, nu la următoarea actualizare a listei.
• Dreptul la portabilitate se aplică acolo unde ai prelucrat datele pe baza consimțământului, ceea ce, în cazul unei conversații de marketing, ai făcut.

Cât timp păstrezi conversațiile

GDPR nu conține nicio cifră. Obligația este să stabilești o perioadă pe care o poți justifica și apoi să o aplici efectiv — un inbox din care nu s-a șters niciodată nimic pică la a doua parte, indiferent ce scrie în politică.

În practică: conversațiile de suport sunt păstrate de obicei atât timp cât ar mai putea apărea un litigiu legat de tranzacția de bază, perioadă stabilită de termenul de prescripție din țara ta. Conversațiile de marketing rareori justifică mai mult de un an sau doi. Înregistrările consimțământului le supraviețuiesc amândurora, pentru că ele sunt dovada că aveai voie să trimiți mesaje.

Lista de verificare

1. O formulare de opt-in care numește WhatsApp și numește firma ta, cu căsuța nebifată implicit.
2. O înregistrare a consimțământului pentru fiecare contact: când, unde, ce formulare, ce canale.
3. Un mecanism de oprire chiar în mesaj și un agent care știe ce are de făcut când cineva scrie „stop”.
4. O singură listă de excludere, verificată de fiecare campanie, inclusiv la importuri.
5. Meta și furnizorul tău menționați în evidența activităților de prelucrare și în nota de informare.
6. Un DPA semnat cu furnizorul.
7. O perioadă de păstrare scrisă și aplicată de altceva decât de bunele intenții.
8. O modalitate de a exporta și de a șterge conversația unui singur contact.