בעשור האחרון, האינטרנט והרשתות החברתיות הפכו לחלק בלתי נפרד מחיינו. כמעט כל חברה, ארגון או עסק מבצעים איסוף כלשהו של מידע, לעיתים תוך הפרת הפרטיות של המשתמשים. בשנים האחרונות תוקנו חוקים שונים כדי להסדיר את איסוף המידע, ואחד מהם הוא ה-GDPR - הרגולציה האירופית.
מה זה GDPR?
GDPR, הן ראשי התיבות של General Data Protection Regulation, או בעברית "האסדרה הכללית להגנה על מידע". מדובר באוסף הוראות מחייבות שנועדו להגן על המידע של אנשים פרטיים באינטרנט, בתחומי האיחוד האירופי.
מטרת ה-GDPR, או הרגולציה, היא לאפשר לכל תושב באיחוד האירופי שליטה על הפרטים האישיים הנוגעים לו, שחברות וגופים עסקיים וממשלתיים אוספים.
לא חוסמים, אלא מצמצמים
חשוב להבין שהחוקים לא נחקקו כדי לחסום את השימוש במידע אישי, אלא להגביל וליצור נתיבים בטוחים. המחוקקים הבינו את החשיבות של עיבוד מידע אישי, ולקחו בחשבון את היתרונות הגדולים של האפשרות הזו. יחד עם זאת, הם פעלו על מנת לשמור על הזכות לפרטיות של כל אדם.
איך זה עובד?
החוק מטיל חובות על ארגונים המעבדים מידע אישי של משתמשים. ארגונים אלה צריכים לאבטח את המידע האישי של הגולשים, וגם לזהות, לסווג ולתחם את זמן השימוש בו. בנוסף, עליהם להצדיק את השימוש במידע אישי ולקבל הסכמה מהגולשים לאיסוף המידע.
החוק יוצר בסיס הרתעתי משמעותי. על ארגונים שלא יעמדו בתנאים, תוטל אחריות פלילית וקנסות כבדים: 4% מהמחזור הגלובלי, או עד 20 מיליון אירו. אזרחים פרטיים יכולים לתבוע מפרים בנזיקין, גם ללא הוכחת נזק.
זה חוק אירופאי, האם הוא רלוונטי גם לחברות ישראליות?
אנחנו אמנם לא נמצאים באירופה, וה-GDPR לא חל כאן במישרין, אולם הרשויות האירופאיות פועלות כבר עכשיו כדי להטיל קנסות גם על תאגידים שאינם אירופאיים. ארגונים המנטרים מידע על אזרחים אירופאים מחויבים לעמוד בתנאי החקיקה, גם אם הם נמצאים מחוץ לגבולות אירופה.
גם אם ה-GDPR לא משפיע הארגון שלכם באופן ישיר, ההשפעה שלו על המרחב הדיגיטלי כולו תגיע גם אליכם. למשל, כל הספקיות הגדולות, כמו פייסבוק, גוגל ואמזון כבר עדכנו את תנאי השימוש שלהן.
האם GDPR רלוונטי לארגון שלכם?
אם אתם נחשפים למידע אישי של גולשים אירופאיים ומעבדים אותו, עליכם לפעול על פי תקנות ה-GDPR. מידע אישי, כולל פרטים מזהים כמו מספר זהות, כתובת, מיקום, כתובת IP ועוד, וגם מאפיינים אישיים, כמו מאפיינים כלכליים, תרבותיים, פסיכולוגיים ועוד. עיבוד מידע כולל איסוף, הקלטה, הבנייה, אחזור, אחסון ופעולות אחרות המבוצעות במידע.
שימו לב, גם אם העסק שלכם פועל במסגרת של B2B ואין לכם קשר ליחידים, יתכן שיש בידכם מידע אישי על גולשים.
גם אם המידע הפרטי שנמצא אצלכם, אינו קשור באופן ישיר לאזרחים אירופאיים - יתכן שתהיו כפופים לרגולציה, כיוון שיש בה גם חריגים.
איך GDPR משפיע על השיווק הדיגיטלי שלכם
שיווק דיגיטלי מבוסס על איסוף מידע אישי, טרגוט והתאמה של המסרים לקהל - לכן טבעי שהוא יושפע מהרגולציה. הנה 3 נקודות חשובות בהן ה-GDPR ישפיע על השיווק שלכם:
1. תידרשו לשקיפות רבה יותר מול המשתמשים
למה? כי עכשיו שכולם שקופים יותר, ולא אוספים מידע מיותר, המשתמשים שלכם מצפים שגם אתם תנהגו כך.
גם אם אתם לא מחויבים לתקנות, המשתמשים שלכם מצפים ממכם לשקיפות. משתמשים הופכים מודעים יותר, הם מתרגלים לכך שמספרים להם איזה מידע נאסף ולמה, והם מצפים ממכם לעדכן אותם מה המדיניות שלכם.
מה עושים? מסבירים למשתמשים איזה מידע אנחנו אוספים ואיזה שימוש נעשה בו. בנוסף, נאפשר להם להתנתק ולמחוק את המידע שאספנו בכל שלב.
2. תוסיפו הסכמות אקטיביות של המשתמשים
הסכמה פסיבית, כזאת בה ה-V כבר מסומן לא עובדת יותר. הרגולציה דורשת שתיבות הסימון יהיו ריקות, כך שהמשתמש יסמן באופן אקטיבי על מה הוא מסכים. בנוסף, יש לנסח הסכמה בהירה, מפורטת וברוח החוק - כך שהמשתמש יבין בדיוק למה הוא נותן הסכמה.
מה עושים? כותבים נוסח הסכמה ברור, ומסירים את סימון ה-V האוטומטי.
3. תפעלו במסגרת אינטרס לגיטימי
לפעמים אי אפשר לקבל את הסכמת המשתמש לאיסוף המידע. במקרים אלה, עליכם להצדיק את עיבוד המידע. במקרה הזה, אתם נוטלים סיכון מסוים כיוון שאתם לא מקבלים הסכמה מפורשת של המשתמש. יחד עם זאת, אם אכן תציגו אינטרס לגיטימי לא אמורה להיות בעיה.
מה עושים? אוספים מידע ללא הסכמה רק אם יש לנו אינטרס לגיטימי. לא בטוחים? כדאי להתייעץ עם מישהו שמבין בזה. בנוסף, הקפידו לאפשר למשתמש להסיר את פרטיו בכל שלב.
מה עושים עכשיו?
צ'קליסט להתמודדות עם GDPR בארגון:
- בדקו האם הארגון שלכם עונה על הקריטריונים והאם עליכם לציית באופן מלא או חלקי לתנאי ה-GDPR.
- תעשו סדר במידע שאתם אוספים. זהו את סוג המידע, סווגו והגדירו אותו ונסו להבין איזה מידע חיוני לעסק, ועל מה אפשר לוותר.
- תסרקו היטב את כל המסמכים ותנאי השימוש בהם אתם משתמשים - מול ספקים ומול לקוחות. וודאו שהם אכן עונים על כל ההגדרות.
- בצעו בדיקה לכל המסכים והפורמטים של האתר או האפליקציה שלכם. בדקו האם המידע מונגש בצורה ברורה, האם משתמשים מבינים למה הם מסכימים והאם הם מבצעים הסכמה אקטיבית.
- תחשבו על ייעוץ מקצועי. אם אתם לא בטוחים שאתם עומדים בהגדרות ה-GDPR, כדאי להיעזר במישהו שמבין בזה.
