Zaščita podatkov strank v trženju, skladnem z GDPR: Najboljše prakse

Uvod

Zakon o splošni uredbi o varstvu podatkov (GDPR) je začel veljati pred nekaj leti in v tem času se je v številnih panogah pojavilo vprašanje: kako je GDPR vplivala na trženje? Odgovor je, da je uredba GDPR pomembno vplivala na trženjske pristope. Vse organizacije različnih velikosti in v skoraj vseh panogah, ki sodelujejo z EU in Združenim kraljestvom, bi morale upoštevati to uredbo, da bi se izognile pravnim težavam. Zato je uredba GDPR po svoji zasnovi regionalna, v resnici pa globalna.

V tem prispevku pojasnjujemo, kaj GDPR pomeni za tržnike, in navajamo najboljše prakse, ki jih lahko organizacija uvede v trženju za učinkovitejšo zaščito podatkov strank v skladu z GDPR. Te prakse vam lahko pomagajo zmanjšati možnost pravnih težav, poslabšanja ugleda in resnih denarnih kazni.

Kaj je GDPR za tržnike?

GDPR je uvedla Evropska komisija, veljati pa je začela leta 2018, da bi izboljšala varstvo podatkov prebivalcev EU. Na tem področju GDPR opredeljuje načine in sredstva za zaščito podatkov uporabnikov pred krajo, zlorabo in prodajo s strani ustreznih subjektov. Uredba GDPR opredeljuje dva subjekta, katerih odgovornosti po zakonu so različne: upravljavce podatkov (subjekti, ki hranijo in shranjujejo občutljive podatke) in obdelovalce podatkov (subjekti, ki upravljajo podatke v korist upravljavcev).

Ključna načela uredbe GDPR, ki določajo glavni poudarek celotnega zakona, so:

• Zakonitost, preglednost in pravičnost
• Omejitev namena
• Minimiziranje podatkov
• Natančnost
• Omejitev shranjevanja
• Varnost
• Odgovornost

Za tržnike GDPR pomeni, da morajo razviti pošten in pregleden pristop k podatkom o strankah. Natančneje rečeno, z občutljivimi podatki, ki so lahko dragoceni ali omogočajo identifikacijo osebe, je treba ravnati spoštljivo. Organizacija lahko takšne podatke zbira le, ko od lastnika podatkov (stranke) pridobi jasno soglasje, prevzame izključno zahtevane evidence in zagotovi točnost podatkov. Posebna ključna podrobnost je obveznost organizacije, da uporabi potrebna sredstva za zanesljivo zaščito podatkov o strankah.

Najboljše prakse za varnost podatkov o strankah v trženju GDPR

Kako podjetja varujejo podatke o strankah v skladu z uredbo GDPR? Posebej za tržnike obstajajo preverjene rešitve in prakse, ki pomagajo zagotoviti zaščito občutljivih podatkov in skladnost z zakonom o splošni uredbi o varstvu podatkov. Preverite in uporabite spodnja priporočila, da povečate učinkovitost varstva podatkov v svoji organizaciji na splošno in še posebej zanesljiveje zaščitite podatke o strankah.

Zbirajte le zahtevane podatke in pridobite soglasje strank.

Zmanjšanje količine zbranih podatkov je eden najučinkovitejših načinov, kako lahko organizacija zmanjša tveganje izgube in kršitve varnosti podatkov. Hekerji si prizadevajo, da bi v zbirke podatkov vnesli čim več podatkov, saj lahko večje število in širša vrsta zapisov, do katerih dostopajo, neposredno poveča njihov dobiček. Kadar organizacija ne hrani velikih količin podatkov o strankah, se kibernetski kriminalci lahko odločijo, da ne bodo ciljali na te zbirke podatkov.

Kot tržnik lahko in morate zbirati le podatke, ki so potrebni za trenutne tržne namene. Preglejte svoje delovne postopke in predloge za zbiranje podatkov ter analizirajte podatkovne prakse, da preverite, ali se zapisi, ki jih zbirate, dejansko uporabljajo. Če se nekateri podatki ne uporabljajo ali nimajo pomembnega vpliva na izkušnjo vaših strank, razmislite o zavrnitvi zbiranja te vrste podatkov in odstranitvi zapisov, ki so vam že na voljo.

Poleg tega morate v skladu z uredbo GDPR svoje stranke obvestiti o podatkih, ki jih zbirate, in pridobiti njihovo izrecno dovoljenje za zbiranje podatkov. Po drugi strani pa je treba zagotoviti možnost, da se v vsakem trenutku odjavijo. V skladu z uredbo GDPR je lahko zbiranje občutljivih podatkov brez dovoljenja stranke razlog za pravne kazni.

Revizija poštnih seznamov

Večja kot je količina podatkov v shrambi vaše organizacije, večje je tveganje za kršitev varnosti podatkov. Zato so redne revizije poštnih seznamov praksa e-poštnega trženja GDPR, ki jo morate vključiti. Stranke, ki se odjavijo od vaših e-poštnih promocijskih sporočil, glasil in drugega trženjskega gradiva, je treba odstraniti iz zbirke podatkov. Poleg tega boste morda morali naslove strank razvrstiti glede na njihove kategorije e-poštnih naročnin, da jim ne boste pošiljali trženjskega gradiva, ki ga ne želijo prejemati.

Razmislite o avtomatizaciji postopka čiščenja seznamov za e-poštno trženje, da boste v trženju upoštevali uredbo GDPR, prihranili čas in izboljšali uporabniško izkušnjo z bolj prilagojenimi e-poštnimi sporočili.

Sestavite ekipo za upravljanje podatkov

Sodobne organizacije, tudi manjše, zbirajo, shranjujejo in obdelujejo terabajte podatkov za trženje in druge namene. Z ekipo za upravljanje podatkov lahko zapise kategorizirate, določite prednostno uporabo in jih nadzorujete v skladu z zakonskimi zahtevami za varstvo podatkov. Usposobljeni strokovnjaki za upravljanje podatkov vam lahko pomagajo zagotoviti višjo raven varnosti podatkov o strankah ter tudi prihraniti stroške in čas pri delovnih postopkih shranjevanja, iskanja in zaščite.

Pregled načina zbiranja osebnih podatkov

To vključuje vsaj delovni postopek zbiranja podatkov in pot, ki jo opravijo podatki, preden se zabeležijo v shrambo. Razmislite o preverjanju obrazca na pristajalni strani, ki ga uporabljate, da stranke pozovete k posredovanju zahtevanih podatkov. Prav tako GDPR želi, da organizacije dodajo informativna pojavna okna z obvestili za obiskovalce spletišča o zbiranju podatkov in ponovno pridobijo njihovo izrecno privolitev, ki vam omogoča zbiranje osebnih podatkov.

Naslednji pomemben korak je spremljanje drugih virov občutljivih podatkov (če jih vaša organizacija v skladu s pogodbenimi zahtevami zbira ali obdeluje). Nazadnje morate razumeti, katere tretje osebe lahko na poti dostopajo do teh podatkov. Ne pozabite, da uredba GDPR zahteva pravne pogodbe, sklenjene med različnimi subjekti, ki delajo z občutljivimi podatki strank, in razmislite o izključitvi tretjih oseb, ki nimajo pogodbenih obveznosti, iz vaših verig oskrbe s podatki.

Omejitev in nadzor dostopa do podatkov

Podobno kot pri zunanjih izvajalcih je tudi pri zaščiti podatkov o strankah v organizaciji treba nadzorovati dostop. Analizirajte, kateri podatki in dostopi so potrebni, da lahko posamezni oddelki in člani ekipe opravljajo svoje naloge. Nato tem oddelkom in članom ekipe zagotovite le tiste ravni dostopa do podatkov in dovoljenja, ki jih potrebujejo. Upoštevajte načelo najmanjšega privilegija (PoLP) in vključite rešitve za nadzor dostopa na podlagi vlog (RBAC) za učinkovito in hitro upravljanje dovoljenj za dostop do podatkov za ekipe.

Izobraževanje osebja

GDPR je kompleksen zakon, ki je obvezen za vse organizacije, ki zbirajo osebne podatke prebivalcev EU. Pravne posledice in globe v skladu s tem aktom so stroge in že majhna napaka zaposlenega lahko sproži pravni postopek. Zato morajo zaposleni in vodje poznati zahteve in nianse akta GDPR, da bi zmanjšali verjetnost človeških napak. Razmislite o izvedbi usposabljanja o skladnosti za vsakega novinca in uvedite tematske teste, na primer enkrat na leto, da ohranite usposobljenost zaposlenih v skladu z GDPR ne le v marketinški ekipi, temveč tudi v drugih oddelkih.

Preverite svoje pristope k podatkom in varnosti

Grožnje kibernetske varnosti se nenehno razvijajo, saj kibernetski kriminalci izumljajo nove načine za vdor v zaščitene sisteme in dostop do občutljivih podatkov. Ne glede na to, kakšni so vaši varnostni ukrepi, si morate kot tržnik vedno prizadevati za izboljšanje zaščite tržnih podatkov. Če želite to učinkovito storiti, morate vzpostaviti delovne tokove revizije informacijske varnosti, ki vas bodo obveščali o najnovejših trendih na področju kibernetske zaščite.

Razmislite o uvedbi rednega celovitega testiranja prodora, pri katerem strokovnjak za varnost poskuša prodreti skozi zaščito organizacije. Tako lahko odkrijete ranljivosti v svojih varnostnih plasteh in nato uvedete popravke, še preden bi jih hekerji lahko uporabili za dejanski vdor. Zaradi zapletenosti sodobnih infrastruktur in razvoja orodij za kibernetske napade je oblikovanje nepremagljivega zaščitnega oboda skoraj nemogoče.

Poleg tega morate pregledati podatke, ki jih shranjujete. Če obstajajo podatki, ki jih ne uporabljate za namene trženja (in jih ne boste uporabljali v prihodnje), razmislite o njihovem izbrisu. S tem zmanjšate morebitne ranljivosti svoje organizacije, prav tako pa zmanjšate možnosti uhajanja občutljivih podatkov tudi po uspešni kršitvi.

Izvajajte redne varnostne kopije

Kaj je eno od največjih tveganj, ki jih organizacija predstavlja pri shranjevanju podatkov o strankah? Običajno bi rekli, da je to kraja ali uhajanje podatkov. Vendar uredba GDPR določa kazni za še eno pogostejšo posledico kršitve varnosti: izgubo podatkov. Poleg tega lahko izguba občutljivih podatkov, kot je baza strank, na primer po uspešnem napadu z izsiljevalsko programsko opremo, povzroči velike težave pri dejavnosti in dobičkonosnosti organizacije v prihodnosti.

Ne glede na varnostne ukrepe, uporabljene v infrastrukturi vaše organizacije, so napadalci vedno korak pred vsako obrambo. To pomeni, da bo vaša zaščita prej ali slej odpovedala, kar bo ogrozilo vaše podatke.

Varnostna kopija, ki je samostojna obnovljiva kopija podatkov, shranjena v drugem pomnilniku, je edini

zanesljiv način za ohranjanje nadzora nad potrebnimi podatki po večjih nesrečah z izgubo podatkov. Če za organizacijo izmenjave in upravljanja podatkov v svoji organizaciji uporabljate Microsoftove izdelke, razmislite o uporabi NAKIVO Backup & Replication. Ne glede na to, kakšna je infrastruktura IT, si prizadevajte avtomatizirati varnostno kopiranje občutljivih podatkov in zagotoviti hitro obnovitev, da boste v vsakem trenutku zadostili zahtevam po skladnosti z GDPR.

Zaključek

Zakon o splošni uredbi o varstvu podatkov je obvezen za organizacije, ki zbirajo osebne podatke prebivalcev EU. Če želite zagotoviti skladnost z uredbo GDPR in izboljšati varstvo podatkov strank pri trženjskih dejavnostih, morate:

• Zmanjšajte zbiranje podatkov: zbirajte in shranjujte le tisto, kar potrebujete;
• Redno izvajajte revizije pošiljanja;
• Sestavite ekipo za upravljanje podatkov za optimizacijo zbiranja, uporabe in zaščite občutljivih podatkov;
• Vedite, kako in kje pridobivate podatke;
• Omejite dostop do podatkov z modelom RBAC in upoštevajte načelo najmanjšega privilegija;
• Zagotovite, da zaposleni poznajo zahteve GDPR in jih upoštevajo;
• Redno posodabljajte svoje pristope k varstvu podatkov;
• Vključite delovne postopke varnostnega kopiranja v okolje IT svoje organizacije.