A szektor szabályozásának alapjait eddig az Infotv., a Reklámtv. és az elektronikus kereskedelemről szóló törvények adták. Ez egészül ki az uniós e-commerce irányelvvel és az e-privacyval, amit viszont még nem vezettek be. Május 25-től mindenek felettivé válik a GDPR, mindent annak utasításaiból kell levezetni. A jogharmonizáció kialakítása miatt a hazai jogalkotók feladata az Infotv. és az ágazati törvények hozzáigazítása a főszabályozóhoz.

A GDPR bevezetése a személyes adatok gyűjtésének újragondolására készteti az elektronikus direkt marketinget (EDM) alkalmazó vállalkozásokat. Tudnunk kell, hogy minden EDM reklámnak minősül, és az azokat érintő szabályozók is érvényesek rá. Majdnem minden e-mailben küldött anyag így reklámmá válik, kivételt ez alól a rendszerüzenetek, a megrendelés visszaigazolások  és a központi címre továbbított üzenetek jelentenek.

A GDPR enyhítést is hoz a szabályozásban, mert ugyan főszabályként a hozzájárulás meglétét tünteti fel, de a jogos (üzleti) érdekre való hivatkozás körét kiterjeszti. A hozzájárulás új kitételeként az „egyértelmű megerősítő aktív magatartás”-t határozza meg az érintettől. Ez a gyakorlatban azt jelenti, hogy reakció kell (pl. gomb megnyomásával aktivizálás), és nem lehet az ÁFSZ-be integrálni, főleg nem apróbetűs részbe eldugni a beleegyezés paramétereit.

A GDPR kiemelten kezeli a hozzájárulás önkéntességét is. Azaz tájékoztatáson alapulónak kell lennie, nem lehet a hírlevél a feltétele a kedvezmények igénybevételének, megtagadása esetén nem lehet ”megtorlás” (hátrányos megkülönböztetés) és bármikor visszavonhatónak kell lennie.

Felmerülhet a kérdés, hogy kell-e május 25-e után új tájékoztatót szerkeszteni? Ha az GDPR-kompatibilis volt, akkor nincs szükség az átírására, lehet tovább alkalmazni. Megjegyzendő, hogy az újonnan megkeresett érintettekre vonatkozó különbségtétel a továbbiakban is érvényes, vagyis ez a részkönnyítés megmaradt.

Ügyelni kell a harmadik fél részére továbbított adatok kezelésére (itt az amerikai óriásvállalatok a főbb szereplők). Ha a cég már csatlakozott a Privacy Shield (Adatvédelmi Pajzs) egyezményhez, akkor az EU-s adatvédelmi szabályozók vonatkoznak már rá, és azok mentén kell eljárniuk.
Találkozhatunk már lokáció alapú marketinggel is (GPS koordináták alapján történik az adatgyűjtés), ez már szigorúbb elbírálás alá esik, a tevékenységet nem lehet jogos érdek alapján végezni, csak hozzájárulást követően, mely talán az applikáció fejlesztőknek fogja a legnagyobb kihívást jelenteni.

Ugyanez mondható el a profilalkotást alkalmazók esetében is, nekik szintén nyilatkoztatni kell az érintettet, hogy online lábnyomatának feltérképezését követően viselkedésalapú reklámokkal kívánjuk őt megszórni. A profilozás nem egyenlő egyébként az automatikus döntéshozatallal, viszont automatikus adatkezelésnek minősül. A profilalkotásnál ügyelni kell az anonimizálásra, a diszkrimináció elkerülésére, technikai oldalról pedig az algoritmusok felülvizsgálatára. Az érintett kérhet tájékoztatást, részletes leírást és egyéb jogaival is tisztában kell lennünk.

Alapvetően két dolgot kell nagyon megszívlelnünk. Egyfelől, ha két egymásnak ellentmondó szabályozóval van dolgunk, akkor a GDPR utasításai lesznek a követendőek. Másfelől ügyeljünk az adatkezelés mikéntjének jogalapjára: hozzájárulást követő vagy jogos érdeken alapuló, esetleg a körülmények függvényében a kettő közül választható az adott szituációban.

Menedzser Praxis