Дві повсякденні сфери потребують особливої уваги: маркетингові повідомлення та передавання даних іншим.
Прямий маркетинг і PECR
Прямий маркетинг — це реклама або рекламні матеріали, спрямовані на конкретних людей. Privacy and Electronic Communications Regulations 2003 (PECR) додають до UK GDPR правила щодо електронного маркетингу.
- Маркетинг електронною поштою та SMS приватним особам вимагає згоди, з одним винятком: soft opt-in. Він дозволяє компанії писати своїм наявним клієнтам про схожі товари чи послуги, якщо вона отримала їхні дані під час продажу та чітко запропонувала відмовитися під час збирання даних і в кожному наступному повідомленні.
- Повідомлення компанії (корпоративному абоненту) регулюються іншими правилами, але самозайняті підприємці й деякі партнерства прирівнюються до приватних осіб.
- Маркетингові дзвінки наживо не можна здійснювати на номери в Telephone Preference Service (TPS), британському списку номерів, власники яких не хочуть таких дзвінків, або Corporate TPS, якщо людина чітко не сказала, що не проти.
- Автоматизовані записані маркетингові дзвінки потребують попередньої згоди.
- Кожне маркетингове повідомлення має вказувати, від кого воно, і давати простий спосіб відмовитися.
- Право людини заперечувати проти прямого маркетингу абсолютне. Щойно вона каже «стоп», припиніть і передайте прохання далі, щоб оновити запис.
- Файли cookie й подібні технології на сайтах потребують чіткої інформації та в більшості випадків згоди. Закон 2025 року додав винятки для кількох видів використання з низьким ризиком, як-от деяка статистика й безпека. Цим займається вебкоманда вашого роботодавця.
Data (Use and Access) Act 2025 підвищив максимальний штраф за PECR до рівня UK GDPR: 17,5 млн £ або 4 % світового річного обороту, залежно від того, що більше. Актуальні роз’яснення щодо інших змін PECR перевіряйте на ico.org.uk.
Якщо ви працюєте в маркетингу, ніколи не купуйте список і не беріть його з попереднього місця роботи. Запитайте, чи люди з нього погодилися отримувати повідомлення від вашої організації.
Передавання даних іншим організаціям
Законодавство про захист даних не забороняє ділитися. Воно вимагає робити це належним чином.
- Передавайте лише те, що потрібно, і тому, хто має на це право.
- Перевіряйте особу й причину запиту.
- Користуйтеся безпечним способом.
- Дотримуйтеся правил роботодавця щодо передавання даних. Масштабне регулярне передавання зазвичай має письмову угоду.
- Якщо зовнішня компанія обробляє дані для вашого роботодавця (обробник), потрібен письмовий договір.
- Поліція й інші органи можуть просити дані. Передавайте такі запити особі, названій у вашій процедурі. Вона перевірить правову підставу. Не відповідайте на місці.
- У надзвичайній ситуації, коли є ризик для життя чи серйозної шкоди, законодавство про захист даних не забороняє передавати потрібне для захисту людини. Негайно скажіть відповідальному за safeguarding або керівникові. Багато розслідувань показали, що побоювання щодо захисту даних помилково використовували, щоб уникнути обміну інформацією.
Фото, соцмережі й записи
- Не публікуйте в соцмережах фото чи дані клієнтів, пацієнтів, учнів або колег без чіткого дозволу й робочої причини.
- Камери спостереження й нагрудні камери потребують знаків і правил від роботодавця. Не копіюйте й не передавайте записи самі.
- Не записуйте дзвінки чи зустрічі на телефон, якщо політика роботодавця цього не дозволяє.
Надсилання даних за кордон
Передавання персональних даних за межі Великої Британії називають обмеженою передачею (restricted transfer). Вона потребує гарантій. Цим займається контролер. Якщо ви плануєте використати новий засіб чи постачальника з-за кордону, спершу запитайте.
Нові засоби та ШІ
Не вставляйте дані клієнтів чи працівників у безкоштовні онлайн-засоби або публічні чат-боти зі ШІ. Це передавання даних третій стороні. Користуйтеся лише засобами, які дозволив роботодавець. Автоматизовані рішення щодо людей мають додаткові правила.
Коли питати
Якщо вас просять почати нове використання даних, нову програму чи новий список, запитайте керівника або відповідальну особу із захисту даних, чи потрібна оцінка впливу на захист даних (DPIA). DPIA — це перевірка ризиків, яку вимагають до початку використання з високим ризиком.