Юридические аспекты CRM‑маркетинга

Как работать с клиентскими данными

• идентификационные — Ф. И. О., пол, адрес, контакты;
• количественные — всё, что показывает взаимодействие человека с брендом: например, просмотры сайта, брошенные корзины, обращения в техподдержку;
• социально-демографические — семейный статус, образование, профессия;
• качественные — потребности и мотивация клиента; так мы понимаем, почему человек делает какой-то выбор.

Закон относится к персональным данным очень серьёзно. Статья 24.1 Федерального закона № 152 ФЗ «О персональных данных» указывает ответственность за нарушения вплоть до уголовной. А если отправить человеку письмо на адрес, который получили незаконно, можно получить штраф от 100 до 500 тысяч рублей.

Чтобы запустить email-рассылку, достаточно идентификационных данных. Но даже их нельзя просто получить. Нужно:

1. Обеспечить надёжное хранение персональных данных.
2. Рассказать клиенту, зачем нам обрабатывать его данные.
3. Получить от клиента согласие на их обработку.
4. Собрать данные.

Это регламентируют Федеральные законы «О рекламе» и «О персональных данных». А также регламенты GDPR и CCPA, о которых рассказываем дальше.

Что учитывать при запуске маркетинговых активностей

DOI и запрет на спам

Спам — любая нежелательная коммуникация. Неважно, по электронной почте, СМС или телефонным звонком. Если кто-то пожалуется на вашу рассылку в ФАС, можно получить штраф до полумиллиона.

Отдельного закона о спаме в России нет. По крайней мере, на момент написания статьи. Зато есть Федеральные законы «О рекламе» и «О персональных данных» — из них можно вынести главные требования к рассылкам:

• Отправлять что-то адресату можно только с его предварительного согласия на конкретную рекламную рассылку. Важный момент — если абонент согласился на вашу рассылку, а вы не сможете этого доказать, можно получить штраф.
• Применять нелегальные базы адресов для рассылки нельзя — это нарушает закон «О персональных данных».
• использовать персональные данные человека — имя, email адрес, номер телефона — можно с предварительного согласия на конкретный вид коммуникации. Нельзя получить согласие только на СМС-рассылки, а отправлять электронные письма.

GDPR и CCPA

Все эти нюансы можно расписать в политике конфиденциальности. Составить её нужно так, чтобы понять мог любой пользователь.

Также GDPR требует, чтобы у компании был сотрудник по защите информации — DPO.

Надо ли вам соблюдать GDPR? Да, если:

• ваша организация зарегистрирована в ЕС или является филиалом такой компании;
• если пользователи из ЕС оставляют личные данные на вашем сайте;
• если вы предлагаете товары и услуги гражданам ЕС. Даже бесплатные.

CCPA — закон Калифорнии о защите персональных данных потребителей. От GDPR отличается лишь компаниями, на которые распространяется. CCPA должны соблюдать компании с валовым доходом более 25 млн $ или те, кто продаёт или предоставляет доступ к данным более 50 000 пользователей.

Защита авторских прав

В Гражданском кодексе РФ расписано, на что распространяется авторское право. Если коротко — это всё, что создано другим человеком. А значит, нельзя использовать такие произведения в рассылках без согласия автора. Штрафы за это варьируются от 10 тысяч рублей до нескольких миллионов, в зависимости от нарушения.

Как можно нарушить авторские права email-рассылкой:

• Использовать чужой дизайн. При этом следовать брендбуку вашего заказчика можно. Главное, не копировать чужие готовые решения.
• Взять чужие фото. Например, использовать в рассылке частные фотографии клиентов или украденные с фотостоков иллюстрации.
• Скопировать чужой текст. Разумеется, можно использовать текст заказчика из ТЗ. Но дословно забрать в письмо чужой комментарий из интернет-магазина — плохая идея.

Какие другие законы и правовые акты регулируют CRM-маркетинг

В России нет нормативных актов, которые регулируют интернет-маркетинг. Поэтому CRM-агентствам приходится опираться на законы, которые действуют для маркетинга организаций и ИП.

Чтобы разобраться, мы собрали ключевые регламенты и выбрали из них самое важное. Разделили всё на два блока: название закона и чем он важен для CRM-агентств.

Проведение опросов

Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации» от 27.07.2006

Чем важен

Закон подтверждает, что люди и организации могут искать информацию в любых формах и из любых источников, если соблюдают требования законодательства.

А ещё он делит информацию на общедоступную и ограниченную:

• Общедоступная и так всем известна. Использовать её можно как хочешь, но в рамках закона.
• Ограниченная важнее. Это сведения государственной, коммерческой, служебной и других тайн. С ней важно сохранять конфиденциальность.

Маркетинговые исследования

Федеральный закон № 152-ФЗ «О персональных данных» от 27.07.2006

Чем важен

Закон определяет понятие «персональных данных» — это любая информация, которая относится к определённому или определяемому физическому лицу.

Нельзя обрабатывать эти данные без согласия самого человека. Если только речь не об исключениях, но маркетинговые исследования к ним не относятся.

Продвижение услуг

Закон № 2300-I «О защите прав потребителей» от 07.02.1992

Чем важен

Закон утверждает, что в рекламе товаров и услуг должны быть указаны:

• наименование;
• основные свойства;
• цена и правила оказания услуг.

Сделать это можно хотя бы отсылкой на сайт исполнителя или продавца.

Федеральный закон № 38-ФЗ «О рекламе» от 13.03.2006

Чем он важен

Это основной закон, который регулирует продвижение товаров и услуг. Например, он запрещает недобросовестную рекламу и продвижение запрещённых товаров. Также требует согласие получателя на рекламу и запрещает спам.

Какие документы нужны для CRM-маркетинга

Работая с тысячами адресатов и клиентов, вы должны будете следовать следующим регламентам:

1. Политика конфиденциальности — рассказывает пользователям, для чего и какие их данные вы собираете.
2. Поручение на обработку персональных данных — без него нельзя работать с личными данными абонентов. Даже использовать email-адрес.

Если вам нужен доступ к статистике и метрикам клиента, может потребоваться третий документ — соглашение о неразглашении коммерческой тайны. Это необязательное требование — некоторые компании дают данные без NDA.

Меры по защите клиентских данных

Разберём тезисно, что можно предпринять для комплексной защиты информации ваших клиентов.

Распределить уровни доступа к информации среди сотрудников. Например, копирайтер может открывать редполитику, дизайнер — брендбук, но доступ к финансовой информации будет только у вашего менеджера.

Создать и интегрировать регламент по работе с клиентскими данными. Документ указывает, кто, когда и как может запрашивать информацию у клиента и как долго ей распоряжаться.

Подключить к работе DPO — специалиста по защите данных, который следит за соблюдением регламентов. Он может выступать посредником между клиентом и тем, кто запрашивает данные у клиента.

Использовать сложные пароли и лицензионные программы. Иначе велика вероятность, что злоумышленники получат доступ к клиентским данным.

Установить SSL-сертификат на сайт, если собираете через него данные клиентов.

Использовать CDP — платформу для объединения и защиты данных из разных источников.

Приготовить план действий на крайний случай, если данные всё же утекут. Например, заранее подобрать специалиста по Data Security.

Наш опыт

1. Собираем у заказчиков письменные гарантии, что все подписчики согласились получать рекламу.
2. Актуализируем базы подписчиков, чтобы в них остались только активные и согласные на рассылку абоненты.
3. Проверяем, чтобы в виджетах по сбору согласий на рассылку были отдельные чекбоксы на обработку персональных данных и на получение рекламной рассылки. Подписаться на рекламу без согласия на обработку ПД нельзя.
4. Проверяем, чтобы в вёрстку не попали чужие изображения. Например, создаём их сами либо покупаем на фотостоках. Разумеется, если заказчик на это согласен, а у фотостока есть соответствующая лицензия.
5. Если изображения предоставляет заказчик — берём гарантийное письмо о том, что это не нарушает прав третьих лиц и всю ответственность несёт заказчик.
6. Подписываем с заказчиками поручение на обработку ПД, чтобы были законные основания для работы с их клиентской базой.
7. Соблюдаем закон о персональных данных. Также ввели внутренний регламент по работе с ПД.

Вместо вывода

Скачайте памятку по безопасному запуску CRM-коммуникаций