Две ежедневни области изискват особено внимание: маркетинговите съобщения и споделянето на данни с други.
Директен маркетинг и PECR
Директният маркетинг е реклама или промоционален материал, насочен към конкретни хора. Privacy and Electronic Communications Regulations 2003 (PECR) добавят правила към UK GDPR за електронния маркетинг.
- Маркетингът по имейл и SMS към физически лица изисква съгласие, с едно изключение: soft opt-in. Той позволява на фирма да пише по имейл или SMS на собствените си настоящи клиенти за сходни продукти или услуги, ако е получила данните им при продажба и е дала ясна възможност за отказ при събирането на данните и във всяко следващо съобщение.
- Съобщенията до фирма (корпоративен абонат) имат други правила, но едноличните търговци и някои съдружия се третират като физически лица.
- Маркетингови обаждания на живо не бива да се правят на номера в Telephone Preference Service (TPS) или Corporate TPS (списъци с номера, които не искат търговски обаждания), освен ако човекът не е казал ясно, че не възразява.
- Автоматизирани записани маркетингови обаждания изискват предварително съгласие.
- Всяко маркетингово съобщение трябва да казва от кого е и да дава прост начин за отказ.
- Правото на човек да възрази срещу директен маркетинг е абсолютно. Щом каже стоп, спрете и предайте искането, за да се обнови записът.
- Бисквитките и подобни технологии в уебсайтовете изискват ясна информация и в повечето случаи съгласие. Законът от 2025 г. добави изключения за няколко употреби с нисък риск, като някои статистики и сигурност. С това се занимава уеб екипът на работодателя ви.
Data (Use and Access) Act 2025 повиши максималната глоба по PECR до равнището на UK GDPR: 17,5 млн. £ или 4 % от общия световен годишен оборот, което от двете е по-високо. Вижте ico.org.uk за актуалните насоки за другите промени в PECR.
Ако работите в маркетинг, никога не купувайте списък и не вземайте такъв от предишна работа. Попитайте дали хората в него са се съгласили да получават съобщения от вашата организация.
Споделяне на данни с други организации
Законът за защита на данните не забранява споделянето. Изисква да споделяте правилно.
- Споделяйте само каквото е необходимо и с този, който има право на него.
- Проверявайте самоличността и причината за искането.
- Използвайте сигурен метод.
- Следвайте правилата на работодателя за споделяне на данни. Голямото редовно споделяне обикновено има писмено споразумение.
- Ако външна фирма обработва данни за работодателя ви (обработващ), е нужен писмен договор.
- Полицията и други органи могат да поискат данни. Предавайте такива искания на лицето, посочено във вашата процедура. То ще провери правното основание. Не отговаряйте на място.
- При спешност, когато има риск за живота или сериозна вреда, законът за защита на данните не ви пречи да споделите нужното, за да защитите някого. Кажете веднага на лицето по safeguarding или на управителя. Много прегледи са установили, че страхът от защитата на данните е бил погрешно използван, за да се избегне споделянето.
Снимки, социални мрежи и записи
- Не публикувайте в социалните мрежи снимки или данни на клиенти, пациенти, ученици или колеги без ясно разрешение и служебна причина.
- Видеонаблюдението и нагръдните камери изискват знаци и правила от работодателя. Не копирайте и не споделяйте записите сами.
- Не записвайте обаждания или срещи на телефона си, освен ако политиката на работодателя го позволява.
Изпращане на данни в чужбина
Преместването на лични данни извън Обединеното кралство се нарича ограничен трансфер. Изисква гаранции. С това се занимава администраторът. Ако смятате да използвате нов инструмент или доставчик, базиран в чужбина, попитайте първо.
Нови инструменти и изкуствен интелект
Не поставяйте данни на клиенти или служители в безплатни онлайн инструменти или публични AI чатботове. Това е споделяне на данни с трета страна. Използвайте само инструментите, които работодателят е оторизирал. Автоматизираните решения за хора имат допълнителни правила.
Кога да попитате
Ако ви поискат да започнете нов начин на използване на данни, ново приложение или нов списък, попитайте управителя или лицето по защита на данните дали е нужна оценка на въздействието върху защитата на данните (ОВЗД; на английски data protection impact assessment). ОВЗД е проверка на риска, изисквана преди употреби с висок риск.