Cel konkretny i wyraźny

Audyt celu przetwarzania należy zatem rozpocząć od identyfikacji celów, na jakie poszczególne bazy danych zostały zebrane. Chodzi tu o cel, który był komunikowany podmiotom danych.

Cel konkretny – to taki, który wywołuje w podmiocie danych świadomość, jakie konkretnie rodzaje operacji będą na jego danych przeprowadzane. Zbyt ogólne stwierdzenia nie będą spełniały powyższego warunku. Grupa Robo­cza Art. 29 w swoich wytycznych dotyczących zasady ograniczenia celu[1] wskazuje, że cele określone jako „cele marketingowe”, „bezpieczeństwo IT” czy „polepszanie funkcjonalności serwisu” mogą nie być wystarczająco konkretne.

W przypadku celów marketingowych należy co najmniej podać podmiot – administratora, którego marketing będzie realizowany. Pożądane byłoby doprecyzowanie celu marketingowego, np. w następujący sposób:

Twoje dane będą przetwarzane do celów marketingowych XYZ Spółki z o.o., tj. w celu przesyłania Ci spersonalizowanych ofert i informacji o promocjach.

Nie należy również używać blankietowego określenia typu „na cele marketingowe XYZ Sp. z o.o. oraz jej partnerów”. Podmiot danych w takiej sytuacji nie wie, komu zostaną przekazane jego dane i do czyich celów będą używane.

Pożądane byłoby wymienienie nazw podmiotów współpracujących, co jednak bardzo rzadko się praktykuje. Moim zdaniem można określić partnerów w sposób opisowy, tzn. np. poprzez przynależność do pewnej branży, z którą jest związany także administrator zbierający dane.
 

PRZYKŁAD

Portal internetowy www.mkt.pl publikuje wartościowe i bardzo przydatne treści z dziedziny marketingu. Artykuły na portalu są często cennymi wskazówkami pomagającymi prowadzić biznes małym firmom. Portal udostępnia przedmiotowe treści za darmo jedynie czytelnikom, którzy założyli w portalu konto. Możliwość czytania wszystkich treści dostępna jest po zalogowaniu z użyciem adresu e-mail.

Publikowanie regularnych, merytorycznych treści na portalu to praca kilku osób. Redakcja portalu musi zatem posiadać jakieś źródło dochodów. Okazuje się, że partnerzy portalu zgadzają się go finansować w zamian za możliwość kierowania reklam wprost do czytelników portalu – na ich skrzynki e-mail.

Jeśli właściciel portalu przy zakładaniu konta użytkownika wymagał jedynie zaakceptowania checkboxa o treści: Wyrażam zgodę na przetwarzanie moich danych osobowych na cele marketingowe przez właś­ciciela portalu mkt.pl oraz jego partnerów – takie działanie nie będzie spełniało warunku określenia konkretnego celu przetwarzania danych osobowych.

Lepszym komunikatem będzie:

Drogi Czytelniku, tworzymy ten serwis z pasją i darmowo udostępniamy Ci wiele bardzo wartościowych treści. Nasza redakcja, podobnie jak redakcja każdej gazety papierowej, musi się z czegoś utrzymywać. Jeśli zgodzisz się otrzymywać treści handlowe od nas (mkt Sp. z o.o.) i naszych reklamodawców, będziesz mógł czytać nasz serwis bez żadnych ograniczeń i opłat. Rozumiemy, że interesujesz się branżą marketingową, dlatego obiecujemy, że będziemy przesyłać Ci komunikaty reklamowe wyłącznie z tej branży (np. informacje o konferencjach lub szkoleniach marketingowych, o narzędziach i aplikacjach przydatnych w pracy marketera, ofertach pracy w branży).

Cel musi też być wyraźny. Podmiot danych musi wiedzieć, komu i na jakie cele przekazuje swoje dane. Cel zatem nie może być stworzony jedynie „w głowie” administratora. Musi zostać zakomunikowany, wyartykułowany wobec podmiotu danych. Należy też pamiętać o odpowiednim oznaczeniu zakresu danych, które będą przetwarzane. Nie powinno się komunikować klientowi mniejszego zakresu, podczas gdy w rzeczywistości przetwarzaniu podlega większa ilość danych.

 

PRZYKŁAD

Przy zapisach do list e-mailingowych (newsletterów) przedsiębiorcy często formułują klauzulę informacyjną/treść zgody w następujący sposób:

Zgadzam się na przetwarzanie moich danych osobowych przez XYZ Sp. z o.o. na cele przesyłania mi newslettera. Zgadzam się na przetwarzanie moich danych osobowych przez XYZ Sp. z o.o. na cele marketingowe.

Powyżej takiej zgody mieszczą się zazwyczaj dwa się okienka: do wpisania imienia oraz do wpisania adresu e-mail. To powoduje, że słusznym oczekiwaniem subskrybenta jest, iż zakres jego danych, które będą przetwarzane, ogranicza się właśnie do tych dwóch danych: imienia i adresu e-mail.

Tymczasem obecne narzędzia do e-mail marketingu zawierają liczne inne funkcje poza umożliwieniem realizacji wysyłek. Przedsiębiorca posiadający listę e-mailingową może śledzić: kto otworzył daną wiadomość, na które linki zawarte w wiadomości kliknął, kiedy ostatnio przeczytał kierowaną do niego wiadomość, o jakich godzinach najczęś­ciej czyta newslettery i w jakie dni, jaką płeć posiada subskrybent (na podstawie automatycznej analizy imion) itd. Jak widać, zakres przetwarzanych danych jest znacznie szerszy.

Powyższe powoduje, że zgodnie z omawianą zasadą komunikowania wyraźnego celu przetwarzania należałoby powyższe przykładowe komunikaty zmienić na zbliżone do:

Zgadzam się na przetwarzanie przez XYZ Sp. z o.o. moich danych osobowych (imię, adres e-mail oraz historia otwieralności e-maili) na cele marketingowe.

Ewentualnie można wprost w łatwy i zrozumiały sposób poinformować użytkowników:

Jeśli zapiszesz się do naszego newslettera, będziemy przetwarzać Twoje dane osobowe – imię, adres e-mail oraz historię otwieralności e-maili – po to, by przesyłać Ci treści, które naszym zdaniem będą najlepiej odpowiadały Twoim zainteresowaniom. W zamian podarujemy Ci...[2]

Jeśli newsletter prowadzony jest przez właściciela sklepu internetowego, który zestawia dane, jakie posiada w bazie e-mail marketingowej, z danymi w bazie klientów (właściciel nie tylko śledzi otwieralność e-maili, ale jest w stanie określić, czy dany subskrybent jest już jego klientem i co kupił, a na które komunikaty marketingowe pozostawał obojętny), to takie informacje są potężnym narzędziem marketingowym. Pozwalają bowiem personalizować dalszą komunikację i przesyłać subskrybentowi w e-mailach tylko takie oferty, które odpowiadają wcześniejszym preferencjom zakupowym subskrybenta, a więc co do których szanse konwersji (dokonania zakupu wskutek otrzymanego newslettera) są najwyższe. W takim przypadku zakres danych osobowych subskrybenta, które podlegają przetwarzaniu, jest jeszcze większy.

Zgodnie z zasadą przejrzystości (nakładaną przez art. 5 ust. 1 lit. a RODO) należałoby zatem poinformować subskrybenta np. w następujący sposób:

Jeśli zapiszesz się do naszego newslettera, będziemy przetwarzać Twoje dane osobowe – imię, adres e-mail oraz historię otwieralności e-maili na cele przesyłania Ci informacji o naszych produktach, promocjach i nowościach w ofercie. Jeśli jednocześnie jesteś naszym klientem, będziemy analizować Twoje preferencje zakupowe, tak aby w newsletterze dostarczać Ci treści, które, naszym zdaniem, są najbardziej zgodne z Twoimi oczekiwaniami.

Można powyższą treść sformułować też nieco inaczej i np. zawrzeć ją w wiadomości potwierdzającej zapis do newslettera (w modelu double-opt in):

Jeśli zgadzasz się na przetwarzanie swoich danych osobowych (adres e-mail i historia otwieralności e-maili) przez XYZ Sp. z o.o. w celach marketingowych, kliknij w poniższy link. Jeśli jesteś naszym klientem, będziemy starali się jak najlepiej dopasować treść naszych newsletterów do Twoich preferencji (na podstawie historii Twoich wyborów zakupowych).

 

[1]  „Opinion 03/2013 on purpose limitation” – dostępna pod adre­sem: //ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/index_en.htm

[2]  Tu następuje opis korzyści, która przyznawana jest przez firmę subskrybentowi w zamian za zapis na listę.