什麼是 GDPR 合規性？ 這是您至少需要知道的

GDPR或適用於歐洲任何用戶的通用數據保護條例今天生效。 它具有非常重要而難以理解的不幸組合。

大多數轉換專家、電子郵件營銷人員和一般在線營銷人員將沒有時間涉足法律術語，但仍需要走出爆炸區。

本文旨在成為這些營銷人員的起點。

它不會取代您的法律團隊的建議——您絕對應該與您的信息安全和法律團隊一起最終確定該策略。 但這應該會為您指明正確的方向，如果您想以通俗易懂的語言獲取有關 GDPR 的詳細信息，則會為您提供幫助。

數據最小化——沒有“貪婪的營銷者”綜合症

歐盟實施 GDPR 的主要原因之一是營銷人員如何收集數據。 當您在世界任何地方詢問信息時，您可能會要求提供不成比例的信息作為回報。 你的轉化率可能會因此而下降，但沒有法律理由你不能這樣做。

GDPR 改變了這一點。

這是第 5 條的相關部分，關於處理個人數據的原則。

個人資料應為：

• 以與數據主體相關的合法、公平和透明的方式進行處理（“合法性、公平性和透明度”）；
• 為特定、明確和合法的目的而收集，並且不會以與這些目的不相容的方式進一步處理； 根據第 89 條第 1 款，出於公共利益、科學或歷史研究目的或統計目的而進行的進一步處理不應被視為與初始目的不符（“目的限制”）；
• 充分、相關且僅限於與處理目的相關的必要內容（“數據最小化”）；

這意味著您有更多理由只收集您需要的數據。

• 您需要該電子郵件地址來轉髮用戶他或她要求的 PDF
• 您希望電話號碼、他們工作的公司、公司規模和實際地址在您的營銷自動化系統中建立他們的個人資料

你想要的那些額外的東西？ 如果您在歐洲有用戶，它們就不再是公平的遊戲了。

您需要明確說明您將使用這些數據的目的，並且只從用戶那裡收集您需要的數據。

選擇同意 – 沒有默認訂閱

一些營銷人員與訪問者玩這些同意遊戲：

• 用戶在填寫表格時可以選擇退出，但選擇加入複選框是預先選中的
• 用戶會自動選擇加入，用戶必須手動通知公司他們不想加入特定程序
• 選擇加入程序中的語言非常模糊，以至於用戶可能會在沒有意識到的情況下註冊多項內容

所有這些遊戲都會使組織面臨違規風險。 以下是第 7 條同意條件的相關部分：

如果處理基於同意，控制者應能夠證明數據主體已同意處理其個人數據。

如果數據主體的同意是在涉及其他事項的書面聲明的情況下給出的，則應以與其他事項明顯區別的方式提出同意請求，以易於理解和易於訪問的形式，使用清晰和平白的語言。 該聲明中構成違反本條例的任何部分均不具有約束力。

這對您意味著，如果您在歐洲有用戶，這些同意遊戲將不再可行。

您必須清楚用戶選擇加入的內容。 如果您希望他們選擇加入您的時事通訊並且您想向他們展示產品促銷，您將希望他們分別同意這兩件事，並且您需要明確說明這一點。

記住這四件事：

• 應積極給予同意
• 應以清晰的語言告知用戶他們正在註冊的內容
• 沉默和預先勾選的框不算作同意
• 一項活動的同意不適用於其他活動的同意

撤回同意——不讓遊客跳槽

您需要做的另一件事是讓用戶可以選擇退出您的程序。 第 7 條繼續：

數據主體有權隨時撤回其同意。 撤回同意不影響撤回前基於同意的處理的合法性。 在給予同意之前，應當告知數據主體。 撤回與同意一樣容易。

如果您以產品促銷或新聞通訊的形式發送電子郵件，那麼這些郵件應該始終有明確的方式讓人們選擇退出您的計劃。 這些應該是顯而易見的。

從轉換的角度來看，過去最好只有數據庫中的人想要在那裡。 現在，從法律的角度來看，這也更好。

技術棧——沒有安全性，沒有名字

如果您一直在玩弄任何包含個人身份信息的東西，那麼您最好快速加強您的技術堆棧。 這意味著如果沒有假名化或相關技術的規定，您就不能擁有敏感的客戶信息和檔案建設。

Excel 文件在公司中隨處可見，帶有實際名稱和敏感信息應該一直是禁忌，但現在您有更多理由阻止這種情況發生。

第 25 條，設計和默認的數據保護，對安全性較低的公司有相當嚴格的規定：

考慮到最先進的技術、實施成本和處理的性質、範圍、背景和目的，以及處理對自然人權利和自由造成的不同可能性和嚴重程度的風險，控制者應：在確定處理方式時和處理本身時，實施適當的技術和組織措施，例如假名化，旨在以有效的方式實施數據保護原則，例如數據最小化方式並將必要的保障措施整合到處理中，以滿足本法規的要求並保護數據主體的權利。

控制者應實施適當的技術和組織措施，以確保默認情況下僅處理每個特定處理目的所必需的個人數據。 該義務適用於收集的個人數據量、處理範圍、存儲期限和可訪問性。 特別是，此類措施應確保在沒有個人干預的情況下，默認情況下不會將個人數據提供給無限數量的自然人。

最重要的是，如果你想保存個人身份信息，你需要花小錢來保證這些信息的安全。

GDPR 合規性：複雜的野獸

避免受到處罰。 如果您在 GDPR 合規工作方面落後，您至少需要做……

• 審核您收集了多少數據以及是否需要進行任何數據最小化，
• 您如何將個人數據轉換為匿名數據的流程，以及
• 審查您對獲得使用訪問者數據的同意的明確程度