什么是 GDPR 合规性？ 这是您至少需要知道的

GDPR或适用于欧洲任何用户的通用数据保护条例今天生效。 它具有非常重要而难以理解的不幸组合。

大多数转换专家、电子邮件营销人员和一般在线营销人员将没有时间涉足法律术语，但仍需要走出爆炸区。

本文旨在成为这些营销人员的起点。

它不会取代您的法律团队的建议——您绝对应该与您的信息安全和法律团队一起最终确定该策略。 但这应该会为您指明正确的方向，如果您想以通俗易懂的语言获取有关 GDPR 的详细信息，则会为您提供帮助。

数据最小化——没有“贪婪的营销者”综合症

欧盟实施 GDPR 的主要原因之一是营销人员如何收集数据。 当您在世界任何地方询问信息时，您可能会要求提供不成比例的信息作为回报。 你的转化率可能会因此而下降，但没有法律理由你不能这样做。

GDPR 改变了这一点。

这是第 5 条的相关部分，关于处理个人数据的原则。

个人资料应为：

• 以与数据主体相关的合法、公平和透明的方式进行处理（“合法性、公平性和透明度”）；
• 为特定、明确和合法的目的而收集，并且不会以与这些目的不相容的方式进一步处理； 根据第 89 条第 1 款，出于公共利益、科学或历史研究目的或统计目的而进行的进一步处理不应被视为与初始目的不符（“目的限制”）；
• 充分、相关且仅限于与处理目的相关的必要内容（“数据最小化”）；

这意味着您有更多理由只收集您需要的数据。

• 您需要该电子邮件地址来转发用户他或她要求的 PDF
• 您希望电话号码、他们工作的公司、公司规模和实际地址在您的营销自动化系统中建立他们的个人资料

你想要的那些额外的东西？ 如果您在欧洲有用户，它们就不再是公平的游戏了。

您需要明确说明您将使用这些数据的目的，并且只从用户那里收集您需要的数据。

选择同意 – 没有默认订阅

一些营销人员与访问者玩这些同意游戏：

• 用户在填写表格时可以选择退出，但选择加入复选框是预先选中的
• 用户会自动选择加入，用户必须手动通知公司他们不想加入特定程序
• 选择加入程序中的语言非常模糊，以至于用户可能会在没有意识到的情况下注册多项内容

所有这些游戏都会使组织面临违规风险。 以下是第 7 条同意条件的相关部分：

如果处理基于同意，控制者应能够证明数据主体已同意处理其个人数据。

如果数据主体的同意是在涉及其他事项的书面声明的情况下给出的，则应以与其他事项明显区别的方式提出同意请求，以易于理解和易于访问的形式，使用清晰和平白的语言。 该声明中构成违反本条例的任何部分均不具有约束力。

这对您意味着，如果您在欧洲有用户，这些同意游戏将不再可行。

您必须清楚用户选择加入的内容。 如果您希望他们选择加入您的时事通讯并且您想向他们展示产品促销，您将希望他们分别同意这两件事，并且您需要明确说明这一点。

记住这四件事：

• 应积极给予同意
• 应以清晰的语言告知用户他们正在注册的内容
• 沉默和预先勾选的框不算作同意
• 一项活动的同意不适用于其他活动的同意

撤回同意——不让游客跳槽

您需要做的另一件事是让用户可以选择退出您的程序。 第 7 条继续：

数据主体有权随时撤回其同意。 撤回同意不影响撤回前基于同意的处理的合法性。 在给予同意之前，应当告知数据主体。 撤回与同意一样容易。

如果您以产品促销或新闻通讯的形式发送电子邮件，那么这些邮件应该始终有明确的方式让人们选择退出您的计划。 这些应该是显而易见的。

从转换的角度来看，过去最好只有数据库中的人想要在那里。 现在，从法律的角度来看，这也更好。

技术栈——没有安全性，没有名字

如果您一直在玩弄任何包含个人身份信息的东西，那么您最好快速加强您的技术堆栈。 这意味着如果没有假名化或相关技术的规定，您就不能拥有敏感的客户信息和档案建设。

Excel 文件在公司中随处可见，带有实际名称和敏感信息应该一直是禁忌，但现在您有更多理由阻止这种情况发生。

第 25 条，设计和默认的数据保护，对安全性较低的公司有相当严格的规定：

考虑到最先进的技术、实施成本和处理的性质、范围、背景和目的，以及处理对自然人权利和自由造成的不同可能性和严重程度的风险，控制者应：在确定处理方式时和处理本身时，实施适当的技术和组织措施，例如假名化，旨在以有效的方式实施数据保护原则，例如数据最小化方式并将必要的保障措施整合到处理中，以满足本法规的要求并保护数据主体的权利。

控制者应实施适当的技术和组织措施，以确保默认情况下仅处理每个特定处理目的所必需的个人数据。 该义务适用于收集的个人数据量、处理范围、存储期限和可访问性。 特别是，此类措施应确保在没有个人干预的情况下，默认情况下不会将个人数据提供给无限数量的自然人。

最重要的是，如果你想保存个人身份信息，你需要花小钱来保证这些信息的安全。

GDPR 合规性：复杂的野兽

避免受到处罚。 如果您在 GDPR 合规工作方面落后，您至少需要做……

• 审核您收集了多少数据以及是否需要进行任何数据最小化，
• 您如何将个人数据转换为匿名数据的流程，以及
• 审查您对获得使用访问者数据的同意的明确程度