Koncom mája 2018 vstúpilo do platnosti nariadenie EÚ o ochrane osobných údajov – GDPR pre blogerov aj všetkých ostatných, ktorí na území EÚ zbierajú osobné údaje, ako sú napríklad e-maily, IP adresy a podobne. Ide o nové pravidlá, ktoré sa týkajú doslova každého.

Znamená to teda, že nariadenie GDPR platí aj pre blogerov? Áno, bez výnimky.

„Vraj budem musieť všetkým čitateľom znovu poslať e-mail, aby sa prihlásili do mailing listu? A vraj ani nesmiem zbierať cookies?!“

Internet je plný podobných apokalyptických scenárov, pritom GDPR nie je nič hrozné. Len sa tým treba prekousiť. Spísali sme pre teba návod, čo a ako na blogu zmeniť, aby si spĺňal/a nové nariadenie. Poradíme ti aj, čo robiť so stávajúcimi odberateľmi v e-mailových zoznamoch.

UPOZORNENIE. Nie sme právnici ani odborníci na osobné údaje. Všetko, čo si tu prečítaš, je len naša interpretácia nariadenia GDPR z pohľadu blogerov. Pri zbieraní informácií sme vychádzali zo samotného nariadenia a z toho, ako sa s tým popasovali iní. Prešli sme niekoľko väčších aj menších blogerov a online obchodníkov a ich spôsob vysporiadania sa s GDPR. Neberte tento článok ako záväzný právny výklad, ale skôr ako vodítko k tomu, ako GDPR riešiť vo vašom konkrétnom prípade. Ďakujeme, ideme na to!

Úlohou GDPR je dať zákazníkovi (v prípade blogerov čitateľovi) väčšiu kontrolu nad jeho dátami. Čím transparentnejšie budeš pri spracúvaní dát a čím viac kontroly čitateľom dáš, tým skôr budeš spĺňať všetky podmienky.

Aké dáta ako blogeri od čitateľov máme

Spracúvaním dát sa myslia akékoľvek údaje, ktoré o používateľoch zbieraš, a spôsoby, ako s nimi nakladáš. Osobnými údajmi sú dáta, pomocou ktorých môžeš priamo alebo nepriamo identifikovať čitateľa. Patria sem mená, adresy, telefónne čísla, e-maily, ale aj IP adresy a ďalšie identifikátory. Takže ak robíš alebo máš na blogu niečo z nasledujúceho, GDPR sa ťa týka:

• Zbieraš e-maily – napríklad posielaš newslettery
• Máš zapnuté komentáre k článkom (najmä WordPress)
• Sleduješ pohyb používateľov, napr. cez Google Analytics
• Máš na blogu kontaktný formulár
• Používaš pluginy, ktoré zbierajú dáta o používateľoch
• Organizuješ súťaže a giveaways

#1 Používajte checkboxy (alebo inú formu súhlasu) vždy, keď vám čitateľ (zákazník) poskytuje dáta

Vždy, keď od čitateľa získavaš osobné údaje, musíš tak robiť s jeho explicitným súhlasom. Pri odovzdávaní údajov musí byť tiež jasné, na čo ich budeš používať. Ak ti teda čitateľ dáva e-mail, aby si mu posielal/a novinky, musí ti explicitne odsúhlasiť, že si ich od teba praje dostávať.

Najjednoduchšou variantou je pridať checkbox, ktorým ti čitateľ dá jasný súhlas. Táto varianta je trochu otrocká, ale kryje ťa na všetkých frontoch. U nás na Loudavým Krokem to vyzerá takto:

Druhou variantou je zapracovať súhlas priamo do tlačidla. Napríklad pri prihlasovaní na kryptokurz tu na Power of Doing potvrdíš súhlas stlačením tlačidla na prihlásenie do kurzu.

VZOR TEXTU

Aby si to mal/a ešte jednoduchšie, pripravili sme pre teba vzorový text. Bodky nahraď výčtom toho, čo budeš čitateľom na e-mail posielať, a poslednú vetu odkáž na tvoje zásady spracúvania osobných údajov. (Vzor zásad si stiahneš o chvíľu.)

VZOROVÝ TEXT PRE SÚHLAS: Stlačením tlačidla „Súhlasím…“ súhlasíte s tým, že vám budeme zasielať …………… Ak už nebudete chcieť e-maily naďalej dostávať, kedykoľvek sa môžete odhlásiť a tento súhlas odvolať prostredníctvom odhlasovacieho odkazu v každom e-maile. Viac o našich zásadách spracúvania osobných údajov nájdete tu.

Ak na zber používaš klasické WordPress formuláre, stačí ti použiť plugin WP GDPR Compliance. Ak zbieraš e-maily cez Mailchimp, ConvertKit alebo iné služby, riešenie nájdeš priamo na ich platformách.

Bojový plán je jednoduchý: musíš mať pre každého čitateľa zaznamenané, ako a kedy ti udelil súhlas so zasielaním e-mailov.

#2 Ak chceš byť naozaj krytý/á, používaj double opt-in – teda potvrdenie súhlasu

Hoci to nariadenie GDPR explicitne nevyžaduje, dvojitý opt-in je dobrý nápad. Potom, čo sa ľudia zapíšu do newslettera alebo do kurzu, pošleme im e-mailom ešte jedno tlačidlo, ktorým nám potvrdia, že od nás naozaj chcú dostávať správy. Ak nepotvrdí, do mail listu ho nezaradíme. Na čo je to dobré?

• Dvojitý súhlas so zasielaním správ
• Máme istotu, že má čitateľ o náš obsah skutočný záujem
• Ak urobil chybu pri zadávaní e-mailu, nezaradíme si bezcenný kontakt do databázy

Ako taký double opt-in e-mail vyzerá:

Až po kliknutí na červené tlačidlo je e-mail zaradený do databázy a spúšťa sa e-mailová sekvencia. Osobné údaje používateľov, ktorí ti súhlas neudelili, musíš bez zbytočného odkladu vymazať z databázy.

#3 Pripravte Zásady ochrany osobných údajov podľa GDPR a zverejnite ich na webe

Tvorba Zásad ochrany osobných údajov je to, čoho sa ľudia najviac boja. Ty sa však báť nemusíš, pretože sme pre teba pripravili šablónu – stačí len doplniť, čo treba. Takto vyzerajú naše. Zásady ochrany osobných údajov musíš vytvoriť pre každý blog, ktorý prevádzkuješ, a umiestniť ich do menu – môžu byť v rozbaľovacej lište. Čo sa do Zásad píše:

• Koho si určil/a ako správcu osobných údajov
• Aké údaje spracúvaš a za akým účelom
• Kam ďalej údaje odovzdávaš
• Ako údaje chráníš
• Práva čitateľov

Vo vzorovom dokumente sme ti vyznačili, kde si máš doplniť vlastné údaje, a v komentároch je napísané, čo tam treba uviesť. 🙂

#4 Dajte svojím aktuálnym odberateľom vedieť, že spĺňate požiadavky GDPR, alebo požiadajte o súhlas

A tu prichádza ten najdôležitejší moment. Pravdepodobne máš v databáze desiatky, stovky, možno aj tisíce e-mailov. Čo teraz s nimi? Treba všetkým poslať znova registračný formulár, aby ti odklikli, že ti dávajú súhlas? Alebo to môžeš nechať tak? Záleží na tom, ako kvalitne si e-maily doteraz zbierali.

1. E-maily si zbierali za určitým účelom a dodržiavaš slovo

Ak si doteraz zbieral/a e-maily tak, ako to požaduje nariadenie GDPR, nemusíš znovu žiadať o súhlas. Zber podľa GDPR znamená, že vieš preukázať, kedy, ako a za akým účelom ti čitateľ udelil súhlas a poskytol e-mail. V takom prípade podľa nás stačí, keď stávajúcim odberateľom dáš vedieť:

• Ako si získal/a ich údaje (kde sa ti zaregistrovali)
• Na čo údaje používaš (čo im zasielaš)
• Že od teraz spracúvaš údaje podľa nariadenia GDPR
• Ako sa môžu z odberu odhlásiť

My sme to urobili takto:

1. E-maily si zbierali cez univerzálne formuláre (alebo inak), alebo posielaš aj obsah, na ktorého odber sa čitateľ neprihlásil, prípadne si pri zbere nesplnil/a iné podmienky

Ak máš trochu čierne svedomie, pretože e-maily vo svojej databáze si buď nezískal/a s explicitným súhlasom, alebo rozosielaš rôzne e-maily celej databáze, budeš musieť získať explicitný súhlas od každého čitateľa – teda ak v tom chceš pokračovať.

To je aj náš prípad – e-maily sme na Loudavým Krokem zbierali najmä cez súťaže a cestovateľské giveaways a nikdy sme čitateľom explicitne nedali vedieť, že účasťou v súťaži sa prihlasujú aj na odber noviniek. Požiadali sme ich teda o súhlas so zasielaním všetkého, čo im plánujeme posielať:

Po kliknutí sa dostanú na stránku, kde nám musia zaškrtnúť, že so zasielaním explicitne súhlasia.

#5 Ak tagujete čitateľov a zbieráte e-maily z viacerých formulárov, premyslite si štruktúru

Pre nás nebolo jednoduché zapracovať GDPR do štruktúry našich formulárov, pretože ich používame veľa. Máme niekoľko kategórií záujmu, do ktorých sa môžu čitatelia registrovať, a postupne všetkých odberateľov tagujeme (označujeme štítkami, podľa ktorých im potom posielame obsah).

Niekoho zaujímajú kryptomeny, iného zasa online marketing alebo online podnikanie. Ak sa nám niekto zaregistruje do kurzu o kryptomenách, nemôžeme mu podľa nariadenia GDPR poslať napríklad článok o propagácii blogu na Instagrame. Je preto dôležité sledovať, kto ti dal aký súhlas. Odporúčame nakresliť si mapu, v ktorej sa jednoducho vyznáš. Takto vyzerá tá naša:

Ako vidíš, pridali sme GDPR double opt-iny do všetkých vstupných formulárov, cez ktoré sa čitateľ môže zapísať do našej e-mailovej databázy.

#6 „Oprávnený záujem“ a ako s ním pracovať

V rámci nariadenia GDPR sa pracuje s pojmom „oprávnený záujem“, ktorý predstavuje výnimku, ktorú môžeš pri zasielaní e-mailov uplatniť.

Ak si u teba niekto napríklad kúpi cestovateľský hrnček, môžeš oprávnene predpokladať, že bude mať záujem o novinky z tvojho obchodu, a teda ho zaradíš do zasielania newslettera. Ide o oprávnený záujem v prípade priameho marketingu.

S oprávneným záujmom však buď opatrný/á – jeho definícia je vágna a podľa nás je lepšie ho používať čo najmenej a súhlas so zasielaním si explicitne vyžiadať.

#7 Používanie cookies a nástrojov ako Google Analytics

Ak používaš analytické nástroje na sledovanie pohybu ľudí na svojom blogu, napríklad Google Analytics, nariadenie GDPR sa ťa týka aj v tomto ohľade.

Keď čitateľ prvýkrát otvorí tvoj web, Google Analytics stiahne do jeho prehliadača cookies, ktoré pomáhajú Googlu sledovať pohyb používateľa. Cookies zbierajú osobné dáta vo forme identifikátorov, ktoré možno potenciálne využiť na nepriamu identifikáciu.

Z tohto dôvodu musíš ľudí informovať, že zbieraš cookies. A nielen to – musia tiež vedieť, aké dáta zbieraš, na čo ich využívaš a ako sa môžu cookies zbaviť.

Najjednoduchším spôsobom je použiť plugin (ak používaš WordPress):

• Cookie Law / GDPR Info

Informáciu o cookies musíš uviesť aj v Zásadách ochrany osobných údajov.

#8 Čitatelia si môžu vyžiadať všetky informácie, ktoré o nich spracúvaš

Používatelia majú podľa nariadenia GDPR nové „právo na prístup“ k informáciám, ktoré o nich máš.

Uisti sa preto, že k takýmto informáciám máš prístup. Nielenže budeš musieť vedieť exportovať logy o tom, kedy a ako sa ti používateľ prihlásil a aké e-maily si mu poslal/a, ale aj informácie o jeho pohybe na webe, napríklad práve z Google Analytics.

Google našťastie pripravil nástroje, ktoré na to môžeš využiť, vrátane možnosti vymazať zozbierané dáta o akomkoľvek používateľovi.

Zhrnutie

Nariadenie GDPR nie je také strašné, ako vyzerá. Nám dokonca pomohlo usporiadať e-mailové databázy, zlepšiť ich zabezpečenie a vyčistiť neaktívnych odberateľov. Aké kroky by si teda mal/a podniknúť, aby si spĺňal/a požiadavky GDPR?

• Spísať Zásady ochrany osobných údajov
• Mať ku každému kontaktu explicitný súhlas so spracúvaním údajov na konkrétny účel
• Musíš byť schopný/á preukázať, kedy a ako udelil čitateľ súhlas
• Mať v Zásadách informácie o ďalších spracovateľoch osobných údajov

Námi vypracovaný vzor, ktorý ti pomôže pri tvorbe GDPR dokumentu

Informácie, ktoré sme dlhé hodiny dávali dokopy, si nechceme nechať len pre seba. Pripravili sme preto podrobný dokument so vzormi zásad ochrany osobných údajov (GDPR), ktorý stačí vyplniť a máš hotovo. Je plný poznámok a vysvetliviek, takže ani začiatočník sa nestratí. 👇

UPOZORNENIE. Nie sme právnici ani odborníci na osobné údaje. Všetko, čo si tu prečítaš, je len naša interpretácia nariadenia GDPR z pohľadu blogerov. Pri zbieraní informácií sme vychádzali zo samotného nariadenia a z toho, ako sa s tým popasovali iní. Prešli sme niekoľko väčších aj menších blogerov a online obchodníkov a ich spôsob vysporiadania sa s GDPR. Neberte tento článok ako záväzný právny výklad, ale skôr ako vodítko k tomu, ako GDPR riešiť vo vašom konkrétnom prípade.