Najpierw trzeba ustalić role
Jeżeli agencja wysyła wiadomości do bazy klienta wyłącznie według jego instrukcji, najczęściej przetwarza dane w jego imieniu. Potrzebna jest wtedy umowa powierzenia zgodna z art. 28 RODO.
Jeżeli agencja wykorzystuje dane do własnych celów, przykładowo promuje swoje usługi albo buduje własną bazę, może stać się odrębnym administratorem. Samo wpisanie w umowie, że zawsze działa jako podmiot przetwarzający, nie zmienia rzeczywistego charakteru operacji.
Przy targetowaniu użytkowników platform społecznościowych może powstać również współadministracja w określonym zakresie. Europejska Rada Ochrony Danych wskazuje, że wybranie kryteriów grupy docelowej może oznaczać współdecydowanie o sposobie przetwarzania, nawet jeżeli reklamodawca nie widzi danych konkretnych użytkowników.
Umowa powierzenia powinna odpowiadać praktyce
Dokument powinien określać rodzaje danych, kategorie osób, cele operacji i wykorzystywane systemy. Powinien również regulować bezpieczeństwo, dalszych podwykonawców, pomoc przy realizacji praw osób oraz postępowanie po zakończeniu współpracy.
Lista podwykonawców może obejmować narzędzia mailingowe, systemy analityczne, chmurę, hosting i platformy do zarządzania kampaniami. Nie należy kopiować jej z innego projektu bez sprawdzenia faktycznego środowiska agencji.
Agencja powinna wiedzieć, jak szybko zgłosić klientowi incydent i kto odpowiada za dalszą analizę. Brak procedury może spowodować utratę czasu potrzebnego klientowi na ocenę obowiązku zgłoszenia naruszenia.
Legalna baza nie oznacza jeszcze legalnego kontaktu
RODO reguluje podstawę przetwarzania danych, ale wysyłka e-maili, SMS-ów i wykonywanie połączeń marketingowych podlega również Prawu komunikacji elektronicznej.
Artykuł 398 PKE wymaga uprzedniej zgody na używanie automatycznych systemów wywołujących lub telekomunikacyjnych urządzeń końcowych do przesyłania informacji handlowej, w tym marketingu bezpośredniego. Zasada nie powinna być ograniczana wyłącznie do klasycznych kampanii konsumenckich.
Przed uruchomieniem mailingu należy więc sprawdzić zarówno podstawę przetwarzania danych, jak i zgodę na wykorzystanie określonego kanału komunikacji.
Zakupiona baza jest szczególnie ryzykowna
Zapewnienie sprzedawcy, że baza jest „zgodna z RODO”, nie wystarcza. Trzeba sprawdzić źródło danych, treść udzielonych zgód, zakres udostępnienia, obowiązki informacyjne oraz możliwość wykazania, kiedy i w jaki sposób dane zostały pozyskane.
Jeżeli dokumentacja nie pozwala potwierdzić legalności planowanej kampanii, agencja nie powinna zakładać, że odpowiedzialność poniesie wyłącznie klient albo dostawca bazy.
Umowa może rozdzielać odpowiedzialność pomiędzy stronami, ale nie zastąpi wymaganej podstawy prawnej wobec odbiorców.
Custom Audience, lookalike i piksele reklamowe
Przekazywanie adresów e-mail albo numerów telefonów platformie w celu dopasowania użytkowników jest osobną operacją przetwarzania. Klient powinien wiedzieć, jakie dane są wysyłane, w jakim celu i na jakich warunkach korzysta z nich platforma.
Podobnej analizy wymagają piksele i inne technologie śledzące instalowane na stronie. Nie każdy mechanizm analityczny lub reklamowy może zostać uruchomiony przed uzyskaniem wymaganej zgody użytkownika.
Agencja odpowiadająca za wdrożenie techniczne powinna otrzymać jasną decyzję dotyczącą konfiguracji. Klient powinien natomiast zapewnić odpowiednie informacje i mechanizm zarządzania zgodami.
Sprzeciw, wycofanie zgody i lista blokująca
Proces marketingowy powinien pozwalać na sprawne wycofanie zgody oraz realizację sprzeciwu. Nie wystarczy usunąć adres z jednej kampanii, jeżeli pozostaje on aktywny w innych narzędziach.
Jednocześnie całkowite skasowanie danych może prowadzić do ponownego dodania tej samej osoby do bazy. Dlatego często potrzebna jest ograniczona lista blokująca, służąca wyłącznie do zapobiegania dalszej komunikacji.
Umowa powinna wskazywać, kto obsługuje żądania, aktualizuje systemy i odpowiada za synchronizację danych pomiędzy narzędziami.
Jak ten problem wygląda w praktyce
Hipotetyczny przykład: Najpierw trzeba ustalić role
Kampania rusza, zanim agencja, klient i twórcy ustalą kwestie „najpierw trzeba ustalić role” oraz „umowa powierzenia powinna odpowiadać praktyce”. Spóźniona akceptacja albo brak praw blokuje publikację i generuje dodatkowy koszt. Umowa powinna rozdzielać akceptacje, prawa i odpowiedzialność w całym łańcuchu realizacji.
Kwestie do ustalenia lub sprawdzenia przed działaniem
- Najpierw trzeba ustalić role
- Umowa powierzenia powinna odpowiadać praktyce
- Legalna baza nie oznacza jeszcze legalnego kontaktu
- Zakupiona baza jest szczególnie ryzykowna
- Custom Audience, lookalike i piksele reklamowe
- Sprzeciw, wycofanie zgody i lista blokująca
- Zakres i format materiałów
Najważniejsze zagadnienia w skrócie
| Zagadnienie | Kluczowa informacja |
|---|---|
| Najpierw trzeba ustalić role | Jeżeli agencja wysyła wiadomości do bazy klienta wyłącznie według jego instrukcji, najczęściej przetwarza dane w jego imieniu. |
| Umowa powierzenia powinna odpowiadać praktyce | Dokument powinien określać rodzaje danych, kategorie osób, cele operacji i wykorzystywane systemy. |
| Legalna baza nie oznacza jeszcze legalnego kontaktu | RODO reguluje podstawę przetwarzania danych, ale wysyłka e-maili, SMS-ów i wykonywanie połączeń marketingowych podlega również Prawu komunikacji elektronicznej. |
| Zakupiona baza jest szczególnie ryzykowna | Zapewnienie sprzedawcy, że baza jest „zgodna z RODO”, nie wystarcza. |
| Custom Audience, lookalike i piksele reklamowe | Przekazywanie adresów e-mail albo numerów telefonów platformie w celu dopasowania użytkowników jest osobną operacją przetwarzania. |
Podstawy prawne
- Ustawa z dnia 15 września 2000 r. – Kodeks spółek handlowych
- Ustawa z dnia 23 kwietnia 1964 r. – Kodeks cywilny
- Ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)
- Ustawa z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej
Materiał ma charakter ogólny i nie stanowi porady prawnej w konkretnej sprawie. Właściwe rozwiązanie zależy od stanu faktycznego, dokumentów i celu biznesowego.
Podsumowanie
Agencja może być podmiotem przetwarzającym, odrębnym administratorem albo uczestnikiem wspólnego przetwarzania. Rola zależy od rzeczywistych decyzji dotyczących danych. Właściwe rozwiązanie powinno odpowiadać dokumentom, rzeczywistemu procesowi i celowi biznesowemu.