Newslettery – czyli promocja kontrolowana

Już dziś bardzo wiele biur podróży na swoich stronach zachęca odwiedzających do zapisu na newsletter, a zapewne opcja ta będzie wykorzystywana w coraz szerszym zakresie . Dla klienta zapis taki oznacza, że co pewien czas będzie dostawał informacje o ofertach, promocjach i okazjach, a czasem nawet informacje merytoryczne. Korzyść z takich działań jest obopólna. Klient ma łatwiejszy dostęp do oferty, biurom natomiast narzędzie to ułatwia reklamę i jest sposobem na pozyskanie adresu e-mailowego potencjalnego klienta. 

Zgłoś zbiór danych
Zapisowi służą zazwyczaj małe boksy umieszczone na stronach internetowych biur, w których wpisuje się e –mail (często jeszcze imię i nazwisko). Mało kto pamięta, że adres e-mail jest daną osobową – a zatem na firmie ciążą pewne obowiązki wynikające z ustawy o ochronie danych osobowych. Zebrane poprzez stronę internetową e-maile potencjalnych klientów, na które będą wysłane informacje tworzą tzw. zbiór danych, który zgodnie z przepisami o ochronie danych osobowych podlega rejestracji. W związku z powyższym należy zgłosić go do GIODO.  

Klient musi wyrazić zgodę
Każda osoba, która oddaje nam swój adres e-mail powinna wyrazić zgodę na przetwarzanie danych osobowych. Zgoda ta zawsze musi być wyrażana w sposób wyraźny. Nie może być ani domniemywana, ani wyrażana w sposób dorozumiany. Wyrażanie zgody jest elementarnym warunkiem przetwarzania danych. Wielu organizatorów turystyki korzysta z rozwiązania polegającego na tym, że po wpisaniu przez klienta adresu e-mail i naciśnięciu akceptacji otrzymywania newslettera na adres e-mail tej osoby przychodzi komunikat, że oto wyraziła ona zgodę na przetwarzanie danych w celach marketingowych przez biuro. Taka praktyka jest jednak wątpliwa i raczej nieprawidłowa, a już w ogóle niedopuszczalna jest wtedy, gdy zgoda ma dotyczyć też przesyłania informacji i reklam innych podmiotów np. partnerów biura podróży. (patrz przykład)
 
2 w 1 – rozwiązanie niemożliwe
Właściwie najbezpieczniejszym rozwiązaniem jest umieszczanie pod zapisem na newsletter oświadczenia o wyrażeniu zgody na przetwarzanie danych osobowych i danie klientowi możliwości odznaczenia tej opcji. Przy takich konstrukcjach firmy wpadają jednak w inną pułapkę. Chcąc uzyskać zgodę na przetwarzanie danych przez biuro w celu wysyłki newslettera i jednocześnie do celów marketingowych łączą treść takiego oświadczenia w jedno zdanie.
Tymczasem taka praktyka jest przez GIODO, a także w orzecznictwie zakazana. Przykładem takiego postanowienia jest zamieszczenie na stronie internetowej do odznaczenia (opcja TAK lub NIE) przy zapisie na newsletter oświadczenia o następującej treści: „Wyrażam zgodę na przetwarzanie moich danych osobowych przez Biuro podróży Globi Sp. z.o.o. w celu świadczenia usług, archiwizacji, a także w celach marketingowych dotyczących usług i produktów podmiotów, które współpracują z Biurem”.
Tak skonstruowane oświadczenie podczas kontroli GIODO zostanie zakwestionowane. Zarówno bowiem urząd jak również sądy stoją na stanowisku, że połączenie w jednej klauzuli zgody na przetwarzanie danych osobowych dla kliku celów (np. świadczenia usług, w celach marketingowych i archiwizacji) skutkuje tym, że osoba, która chce skorzystać jedynie z usług biura – czyli jedynie z newslettera, musi jednocześnie wyrazić zgodę na inne działania. Oznacza to, że klient nie ma pełnej swobody wyboru przy wyrażaniu zgody na przetwarzanie danych. A zatem w przypadku chęci pozyskania zgody na przetwarzanie danych osobowych do różnych celów, zgoda powinna być wyrażona pod każdym z nich, a nie zbiorczo. 

Poinformuj o firmach współpracujących
Jeśli e-maile pozyskane w drodze zapisu na newsletter chcemy udostępniać firmom z którymi współpracujemy to już na etapie podejmowania przez klienta decyzji o zapisanie na newsletter powinniśmy powiadomić go jakie to będą firmy. Nie wolno tworzyć informacji na tyle ogólnych aby wynikało z nich, że przekażemy e-maile „jakiemuś” parterowi biznesowemu. Osoba, która decyduje się wyrazić zgodę na przetwarzanie danych w takich celach powinna znać pełną nazwę i adres takiej firmy, bowiem po przekazaniu bazy stanie się ona administratorem danych osobowych. Tutaj może pojawić się problem.
Czasami umowy z firmami współpracującymi zawieramy na bieżąco i nie wiadomo, jakie jeszcze firmy nawiążą współpracę z biurem. Stanowisko GIODO jest jednak restrykcyjne: nie można pozyskiwać zgody na przetwarzanie danych osobowych „na przyszłość” gdy nie znamy jeszcze firm, dla których ta zgoda jest pozyskiwana. Nie należy także zapominać o podstawowej kwestii, jaką jest wyraźne poinformowanie klienta o adresie siedziby i pełnej nazwie biura.
 
Chroń e-maile otrzymujących newsletter
Przede wszystkim należy pamiętać, że wobec wszelkich danych, które podaje nam klient (nawet jeśli jest to tylko e-mail) musimy zastosować środki ochrony kryptograficznej. Ponadto przepisy wprowadzają obowiązek prowadzenia przez administratora danych osobowych dokumentacji sposobu przetwarzania danych. Dokumentacja taka musi być prowadzona również dla zbioru danych pozyskanych w celu wysyłki newslettera. 
Joanna Torbé


Postępowanie z danymi osobowymi jest ściśle określone
PRZYKŁAD
Biuro podróży Tur-graver Sp. z o.o. z Poznania na stronie internetowej zamieściło boks z zapisem na newsletter. Klient, który go zamówił (wpisał w wyznaczonym miejscu e-mail oraz imię i nazwisko) otrzymywał w klika minut później informację o następującej treści „Dziękujemy za zapis na newsletter. Jednocześnie informujemy, że wyrażenie zgodny na otrzymywanie newslettera jest równoznaczne z akceptacją otrzymywania reklam, umieszczonych w newsletterze”.
KOMENTARZ PRAWNIKA
Takie postępowanie jest niedopuszczalne z kilku względów, ale najistotniejsze jest to, że oświadczenie woli naszego klienta (zgoda na przetwarzanie danych) jest domniemane i wyinterpretowane z oświadczenia o chęci otrzymywania newslettera. Poza tym
na etapie decyzji o zapisie klient nie otrzymał od nas żadnych informacji np. tej, kto jest administratorem danych.
PODSTAWA PRAWNA
Ustawa z dnia 29.8.1997 r. o ochronie danych osobowych (Dz.U. 2002 Nr 101, poz.
96 ze zm.) rozporządzenie MSWiA z dnia 29.4.2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U Nr 100, poz. 1024) Decyzja GIODO z 2.2.2011 r., sygn. DIS/DEC-63/4537/11 Wyrok NSA =z 11.4.2003 r., II SA 3942/02