GDPR cere organizațiilor să protejeze datele personale în toate formele lor. De asemenea, modifică regulile de consimțământ și consolidează drepturile de confidențialitate ale persoanelor. În acest articol, vom explica modul de asigurare a conformității prin e-mail GDPR.

Utilizatorii de e-mail trimit peste medie , în medie , peste 122 de e-mailuri legate de muncă pe zi , iar acest număr este așteptat să crească. Deși este posibil să nu ne gândim la e-mailuri care fac obiectul Regulamentului general al Uniunii Europene privind protecția datelor (GDPR) , cutia dvs. poștală conține, de fapt, o mulțime de date cu caracter personal. De la nume și adrese de e-mail la atașamente și conversații despre oameni, toate ar putea fi acoperite de cerințele stricte ale GDPR privind protecția datelor.

Orice organizație (companii, organizații caritabile sau chiar microîntreprinderi) care gestionează informațiile personale ale cetățenilor sau rezidenților UE este supusă GDPR . Aceasta include organizații care nu sunt în UE, dar care oferă bunuri sau servicii oamenilor acolo. Cerințele în mod esențial se aruncă în jos la două lucruri: securizarea datelor oamenilor și ușurarea controlului asupra datelor de către oameni. ( Ce estearticolul GDPR? ) Cei care nu respectă regulile pot fi loviți cu o amendă de 20 de milioane de euro sau cu 4% din veniturile globale , oricare este mai mare, plus o despăgubire pentru daune.

În timp ce cea mai mare parte a atenției privind cerințele de e-mail GDPR se axează pe marketingul prin e-mail și spam, există și alte aspecte, cum ar fi criptarea poștei electronice și securitatea prin e-mail, care sunt la fel de importante pentru respectarea GDPR. Mai jos vom explica ce spune GDPR și ce înseamnă pentru e-mail.

Rețineți că nimic pe care îl citiți aici nu reprezintă un bun substitut pentru consultanța juridică. Vă recomandăm să consultați un avocat pentru a înțelege modul în care GDPR se aplică situației dvs. specifice. 

Vedeti si articolul GDPR în sectorul public - cele mai mari și mai mici schimbări

Criptare GDPR și securitate

Ce spune GDPR:

Dacă colectați, stocați sau utilizați datele persoanelor din UE, atunci GDPR vi se aplică. Și asta înseamnă că este posibil să aveți o obligație de a schimba modul în care operează organizația dvs. în câteva moduri fundamentale.

GDPR necesită "protecția datelor prin design și implicit", ceea ce înseamnă că organizațiile trebuie să țină cont întotdeauna de implicațiile privind protecția datelor ale oricăror produse sau servicii noi sau existente. Articolul 5 din GDPR enumeră principiile de protecție a datelor pe care trebuie să le respecte, inclusiv adoptarea unor măsuri tehnice adecvate pentru securizarea datelor. Criptarea și pseudonimizarea sunt citate în lege ca exemple de măsuri tehnice pe care le puteți utiliza pentru a minimiza daunele potențiale în cazul unei încălcări a datelor.

Ce inseamna pentru e-mail:

Când vine vorba de e-mail, criptarea este cea mai fezabilă opțiune. Încă de acum cinci ani, nu ar fi fost adevărat. Tehnologia de criptare prin e-mail sa dezvoltat însă rapid, iar mai multe companii oferă acum servicii de e-mail criptate end-to-end . Informațiile pe e-mail pe bază de e-mail sunt acum o opțiune convenabilă și practică. (Dezvăluire: GDPR.eu este gestionat de ProtonMail , cel mai mare serviciu de e-mail criptat din lume și finanțat în parte de Programul-cadru al Uniunii Europene Orizont 2020).

În timp ce criptarea nu este necesară, este de competența fiecărei organizații să dezvolte o rațiune pentru dezvoltarea celor mai adecvate practici de securitate a datelor.

Stingerea e-mailului în GDPR

Ce spune GDPR:

Ștergerea datelor reprezintă o mare parte din GDPR. Este unul dintre cele șase principii de protecție a datelor: articolul 5 litera (e) prevede că datele cu caracter personal pot fi stocate "pentru a nu mai dura decât este necesar pentru scopurile pentru care sunt prelucrate datele cu caracter personal". Ștergerea datelor este, de asemenea, unul dintre drepturile personale protejat de GDPR la articolul 17 , faimosul " drept de uitat ". "Persoana vizată are dreptul de a obține de la operator o ștergere a datelor cu caracter personal care îl privesc fără întârzieri nejustificate." Există câteva excepții această cerință, cum ar fi interesul public. Dar, în general, aveți obligația de a șterge datele cu caracter personal pe care nu mai aveți nevoie.

Ce inseamna pentru e-mail:

Mulți dintre noi nu ștergeți niciodată e-mailurile. Există o mulțime de motive întemeiate: este posibil să ne referim într-o bună zi la o evidență a activităților noastre sau chiar pentru eventuale litigii. Dar cu cât mai multe date păstrați, cu atât este mai mare răspunderea dvs. dacă există o încălcare a datelor. În plus, ștergerea datelor cu caracter personal care nu sunt necesare este acum impusă de legislația europeană. Din cauza GDPR, trebuie să revizuiți periodic politica de păstrare a e-mail a organizației dvs., cu scopul de a reduce cantitatea de date pe care angajații dvs. o stochează în cutiile poștale. Regulamentul vă solicită să puteți demonstra că aveți o politică care să echilibreze interesele dvs. legitime de afaceri împotriva obligațiilor dvs. de protecție a datelor din cadrul GDPR.

Din punct de vedere tehnic, ștergerea datelor de e-mail poate fi destul de simplă și poate fi automatizată. ProtonMail și alte servicii de e-mail au o opțiune de e-mail care expiră și vă permite să setați mesajele pentru ștergere după o perioadă de timp indicată. Indiferent de strategia de păstrare a e-mail-urilor pe care organizația dvs. o decide, va fi necesar să vă obișnuiți, dar vă va reduce semnificativ expunerea dvs. la GDPR.

Marketing prin e-mail și spam

Ce spune GDPR:

Printre celelalte principii de protecție a datelor din articolul 5 se numără "legalitatea, corectitudinea și transparența". Aceasta înseamnă că puteți utiliza datele oamenilor numai dacă este permisă sub una dintre cele șase justificări juridice, trebuie să fie corectă față de persoana vizată și trebuie să fie bazată pe o comunicare transparentă și lipsită de ambiguitate cu persoana vizată. ("Persoana vizată", apropo, este persoana identificabilă, despre care sunt date datele.)

Există șase "baze legale" pentru a "procesa" (colecta, păstra, utiliza, etc.) datele oamenilor. Acestea sunt enumerate la articolul 6 . Primul este consimțământul, care trebuie obținut fără ambiguitate și după o explicație completă a ceea ce intenționați să faceți cu datele. Specific:

• • Consimțământul trebuie să fie "dat în mod liber, specific, informat și lipsit de ambiguitate".

• • Cererile de aprobare trebuie să fie "clar distinse de celelalte aspecte" și prezentate în "limbaj clar și clar".

• • Persoanele vizate pot retrage consimțământul acordat ori de câte ori doresc și trebuie să-și onoreze decizia. Nu puteți schimba pur și simplu temeiul juridic al prelucrării la una dintre celelalte justificări.

• • Copiii cu vârsta sub 13 ani pot da consimțământul numai cu permisiunea părintelui.

• Trebuie să păstrați dovada documentară a consimțământului.

A șasea bază juridică este de a avea un "interes legitim" de a procesa datele persoanei. Deși termenul este vag și se poate aplica unei game largi de situații, puteți avea dificultăți în a se baza pe această bază, deoarece "drepturile și libertățile fundamentale ale persoanei vizate" pot deseori să depășească interesul dvs. legitim. În plus, rămâne de văzut modul în care autoritățile de reglementare și instanțele judecătorești vor interpreta această bază. Probabil că nu vrei să fii un caz de probă.

Celelalte patru baze legale sunt mai puțin frecvente, dar este o idee bună să revizuiți articolul 6 pentru a vă asigura că nu vă vor aplica. Concluzia este că ar trebui să fii foarte atent în folosirea datelor cuiva, dacă nu ești sigur că persoana dorește să o folosească în acest fel.

Cu toate acestea, Directiva privind confidențialitatea în mediul electronic, în special articolul 13 , prezintă organizațiilor un alt mod de utilizare a datelor unei persoane în scopuri de marketing care derivă din baza contractuală a GDPR. În contextul vânzării unui bun sau serviciu, o organizație "poate utiliza aceste date de contact electronice pentru comercializarea directă a propriilor sale produse sau servicii similare, cu condiția ca clienților în mod clar și distinct să li se acorde posibilitatea de a se opune, în mod gratuit și în o modalitate ușoară ", conform articolului 13 partea 2. În esență, aceasta înseamnă că o organizație vă poate trimite în mod legal e-mailuri de marketing cu privire la serviciul pe care ni-l furnizează atâta timp cât vă informează că puteți renunța în orice moment și că există opțiune de dezabonare în fiecare comunicare.

Ce înseamnă acest lucru pentru e-mail:

După ce a trecut GDPR, unii oameni au spus că va fi "sfârșitul marketingului prin e-mail" sau "sfârșitul spamului". Dar nu va fi nici unul. Spam-ul a fost întotdeauna scos în afara legii sau împotriva termenilor de utilizare ai majorității furnizorilor de e-mail. Cei care trimit mesaje de poștă electronică nesolicitate sau rău intenționate vor continua probabil să le trimită. Dosarul tău de spam a dispărut după data de 25 mai 2018, când GDPR a intrat în vigoare?

În ceea ce privește marketingul prin e-mail, GDPR nu interzice marketingul prin e-mail prin nici un mijloc. GDPR nu a stabilit că este anti-de afaceri, doar pro-consumator. Un e-mail de marketing bun ar trebui să ofere în mod ideal o valoare destinatarului și să fie ceva ce vor să primească oricum. Ceea ce face GDPR este să clarifice termenii consimțământului, cerând organizațiilor să solicite opțiunea de înscriere afirmativă pentru a putea trimite comunicații. Și trebuie să le ușurați și pe oameni să-și schimbe mintea și să renunțe. Numai dacă un e-mail de marketing nu prezintă opțiunea de dezabonare, este trimis la cineva care nu sa înscris niciodată în acest scop sau nu face publicitate unui serviciu legat de utilizarea unui receptor, încălcând GDPR.

Securitatea e-mailului organizațional

Ce spune GDPR:

Există încă un aspect de e-mail al GDPR și asta e securitatea e-mailului. Articolul 5 (f) prevede că trebuie să protejați datele personale "împotriva pierderii, distrugerii sau deteriorării accidentale, utilizând măsuri tehnice sau organizatorice adecvate".

Ce înseamnă acest lucru pentru e-mail:

Criptarea prin e-mail este o măsură tehnică. Măsurile organizatorice au de-a face cu politicile interne, managementul și instruirea. Nouăzeci și unu la sută din atacurile cibernetice încep cu un e-mail de phishing, în care hackerii încearcă să obțină acces la un cont sau la un dispozitiv care utilizează înșelăciune sau programe malware. Legăturile și atașamentele din conturi necunoscute nu trebuie să fie niciodată clicate sau descărcate. Odată ce un atacator obține accesul la un cont sau la un dispozitiv, este adesea ușor să accesați alte persoane, ceea ce înseamnă că o greșeală a unui angajat ar putea compromite cantități mari de date. Dacă nu puteți arăta autorităților de reglementare că ați implementat măsurile tehnice și organizatorice adecvate, atunci puteți fi în cârlig pentru amenzile uriașe ale UE și compensațiile acordate persoanelor vizate.

Pentru a evita răspunderea, este important să educați echipa dvs. în legătură cu siguranța prin e-mail. Pașii de bază cum ar fi necesitatea autentificării cu doi factori pot merge mult spre protejarea datelor și respectarea GDPR.