Dwa codzienne obszary wymagają szczególnej uwagi: wiadomości marketingowe i udostępnianie danych innym.
Marketing bezpośredni i PECR
Marketing bezpośredni to reklama lub materiały promocyjne kierowane do konkretnych osób. Privacy and Electronic Communications Regulations 2003 (PECR) dodają do UK GDPR zasady dotyczące marketingu elektronicznego.
- Marketing e-mailowy i SMS-owy do osób fizycznych wymaga zgody, z jednym wyjątkiem: soft opt-in. Pozwala firmie wysyłać e-maile lub SMS-y do swoich dotychczasowych klientów o podobnych produktach lub usługach, jeśli zdobyła ich dane przy sprzedaży, dała wyraźną możliwość rezygnacji przy zbieraniu danych i w każdej kolejnej wiadomości.
- Wiadomości do firmy (abonenta korporacyjnego) podlegają innym zasadom, ale jednoosobowi przedsiębiorcy i niektóre spółki osobowe są traktowani jak osoby fizyczne.
- Rozmowy marketingowe na żywo nie mogą trafiać na numery z rejestru Telephone Preference Service (TPS), brytyjskiej listy numerów, których właściciele nie chcą takich rozmów, ani Corporate TPS, chyba że osoba wyraźnie powiedziała, że jej to nie przeszkadza.
- Zautomatyzowane nagrane rozmowy marketingowe wymagają uprzedniej zgody.
- Każda wiadomość marketingowa musi podawać nadawcę i zawierać prosty sposób rezygnacji.
- Prawo sprzeciwu wobec marketingu bezpośredniego jest bezwzględne. Gdy ktoś powie „dość”, przestań i przekaż prośbę dalej, aby zaktualizowano rekord.
- Pliki cookie i podobne technologie na stronach wymagają jasnej informacji i, w większości przypadków, zgody. Ustawa z 2025 r. dodała wyjątki dla kilku zastosowań o niskim ryzyku, np. niektórych statystyk i zabezpieczeń. Zajmuje się tym zespół internetowy pracodawcy.
Data (Use and Access) Act 2025 podniosła maksymalną karę za naruszenie PECR do poziomu UK GDPR: 17,5 mln £ lub 4% światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Wytyczne dotyczące pozostałych zmian PECR sprawdzaj na ico.org.uk.
Jeśli pracujesz w marketingu, nigdy nie kupuj listy ani nie bierz jej z poprzedniej pracy. Zapytaj, czy osoby z listy zgodziły się na kontakt od twojej organizacji.
Udostępnianie danych innym organizacjom
Prawo ochrony danych nie zakazuje udostępniania. Wymaga, by robić to właściwie.
- Udostępniaj tylko to, co potrzebne, i osobie uprawnionej.
- Sprawdź tożsamość i powód prośby.
- Używaj bezpiecznej metody.
- Stosuj zasady pracodawcy dotyczące udostępniania danych. Duże, regularne udostępnianie zwykle ma pisemną umowę.
- Jeśli zewnętrzna firma przetwarza dane dla pracodawcy (podmiot przetwarzający), wymagana jest pisemna umowa.
- Policja i inne organy mogą prosić o dane. Przekaż takie prośby osobie wskazanej w procedurze. Sprawdzi ona podstawę prawną. Nie odpowiadaj na miejscu.
- W nagłej sytuacji, gdy zagrożone jest życie lub grozi poważna krzywda, prawo ochrony danych nie zabrania udostępnić tego, co potrzebne do ochrony kogoś. Powiedz o tym od razu osobie odpowiedzialnej za safeguarding lub przełożonemu. Wiele analiz wykazało, że obawy o ochronę danych były niesłusznie wykorzystywane, by unikać dzielenia się informacjami.
Zdjęcia, media społecznościowe i nagrania
- Nie publikuj w mediach społecznościowych zdjęć ani danych klientów, pacjentów, uczniów lub współpracowników bez wyraźnej zgody i powodu służbowego.
- Monitoring (CCTV) i kamery nasobne wymagają oznakowania i zasad od pracodawcy. Nie kopiuj ani nie udostępniaj nagrań samodzielnie.
- Nie nagrywaj rozmów ani spotkań w telefonie, chyba że polityka pracodawcy na to pozwala.
Przesyłanie danych za granicę
Przekazywanie danych osobowych poza Wielką Brytanię nazywa się przekazaniem ograniczonym (restricted transfer). Wymaga zabezpieczeń. Zajmuje się tym administrator. Jeśli planujesz użyć nowego narzędzia lub dostawcy z zagranicy, najpierw zapytaj.
Nowe narzędzia i sztuczna inteligencja
Nie wklejaj danych klientów ani pracowników do darmowych narzędzi online ani publicznych chatbotów AI. To udostępnianie danych osobie trzeciej. Używaj tylko narzędzi dopuszczonych przez pracodawcę. Decyzje zautomatyzowane dotyczące ludzi podlegają dodatkowym zasadom.
Kiedy pytać
Jeśli masz rozpocząć nowy sposób wykorzystania danych, nową aplikację lub listę, zapytaj przełożonego lub osobę odpowiedzialną za ochronę danych, czy potrzebna jest ocena skutków dla ochrony danych (DPIA). DPIA to analiza ryzyka wymagana przed rozpoczęciem wykorzystania danych o wysokim ryzyku.