Por Ana Iglesias, directora de corporativos de Equipo Kapta.
Cumplir con el Reglamento General de Protección de Datos (RGPD) en campañas de email marketing puede ser un desafío para cualquier empresa, incluso para un centro comercial. En este artículo vamos a ver cómo podemos navegar estas aguas turbias de la privacidad de los datos.
En un mundo cada vez más digital, el email marketing se ha convertido en una herramienta esencial para promocionar productos y servicios. Sin embargo, con la introducción del Reglamento General de Protección de Datos (RGPD), los centros comerciales se enfrentan a un desafío adicional al tratar de cumplir con estas regulaciones mientras promocionan sus ofertas.
Primero, ¿qué es el RGPD?
Es una regulación de la Unión Europea que establece una serie de reglas para proteger los datos personales de los ciudadanos europeos. Esto significa que, si tienes clientes en Europa, debes cumplir con estas reglas. Y aunque pueda parecer abrumador, cumplir con la RGPD no tiene por qué ser tan difícil.
Entonces, ¿cómo pueden los centros comerciales cumplir con el RGPD en sus campañas de email marketing?
Hay varias cosas que deben tener en cuenta:
- Obtener el consentimiento del destinatario. Una de las principales áreas en las que los centros comerciales deben prestar atención es en obtener el consentimiento del
destinatario antes de enviar cualquier correo electrónico. Esto puede ser tan simple como incluir una casilla de verificación en un formulario de registro en tu sitio web, donde los clientes pueden optar por recibir correos electrónicos de tu parte. Hasta aquí la parte fácil. Pero hay un pequeño detalle en el que aún fallan muchos centros, que es el de la doble verificación. Lo veremos más abajo. - Proporcionar un enlace de cancelación de suscripción: En cada correo electrónico que envíes, debes incluir un enlace fácil de encontrar para que los destinatarios puedan cancelar su suscripción en cualquier momento. El RGPD requiere que los destinatarios tengan la opción de dejar de recibir correos electrónicos en cualquier momento, así que asegúrate de cumplir con esta norma.
- Utilizar una herramienta de gestión de correo electrónico: Una herramienta de gestión de correo electrónico especializada, como MailChimp, Active Campaign o similar, te ayudará a cumplir con el RGPD. Estas herramientas suelen incluir características como la posibilidad de cancelar suscripciones y cumplir con los requisitos de consentimiento.
- No compartir datos: En ninguna circunstancia debes compartir los datos de tus clientes con terceros sin su consentimiento. Esto incluye vender o alquilar listas de correo electrónico.
- Asegurar la seguridad de los datos: Es esencial asegurar que los datos de tus clientes estén seguros y protegidos contra posibles violaciones de seguridad. Esto puede incluir medidas como el cifrado de datos, la implementación de políticas de contraseñas seguras y la realización de auditorías regulares de seguridad.
- Mantener registros: Es importante mantener registros detallados de cómo se recolectaron y utilizaron los datos de tus clientes. Esto incluye información sobre quién recibió los datos, cómo se utilizaron y cómo se protegieron. Estos registros deben ser accesibles para cumplir con cualquier solicitud de información por parte de las autoridades reguladoras.
- Nombrar un Oficial de Protección de Datos: El RGPD requiere que las empresas nombren un Oficial de Protección de Datos (DPO) para supervisar el cumplimiento de la regulación. Este puede ser un empleado interno o una empresa externa contratada. El DPO es responsable de asegurar que el centro comercial está cumpliendo con todas las reglas del RGPD y de asesorar a la empresa en caso de cualquier problema relacionado con la protección de datos.
La doble verificación o doble opt-in
Este es el pequeño-gran detalle que muchos omiten, y que los puede llevar a tener que pagar una importante sanción si reciben una denuncia fundada.
El doble opt-in es un proceso de confirmación de suscripción utilizado para asegurar que una dirección de correo electrónico es correcta, y que el titular de esta ha dado su consentimiento para recibir correos electrónicos.
En este proceso, después de que un usuario proporciona su dirección de correo electrónico, se le envía un correo electrónico de confirmación con un enlace para confirmar su suscripción. El usuario debe hacer clic en ese enlace para confirmar que es él efectivamente quien ha introducido los datos. Es como cuando haces una compra online y el banco te envía un código de seguridad a tu móvil, que debes introducir en el proceso de compra, para confirmar que eres realmente tú quien está comprando.
Si no implementamos este sistema, cualquiera podría coger tu dirección de correo electrónico, ponerla en un formulario, clicar la casilla de aceptación de políticas de privacidad, y pulsar “Enter”. Pero en realidad tú no te habrías suscrito en esa web. Otra persona lo habría hecho por ti de forma fraudulenta.
Así que, cuando se trata de formularios online, el doble opt-in es, hoy por hoy, la única herramienta que podemos usar para demostrar ante la AEPD que el dato se ha recogido de forma legal, dado que la ley exige el “consentimiento inequívoco”. No es obligatorio (El RGPD no establece ningún mecanismo que debamos usar), pero no tenemos otra forma de demostrar que los datos que tenemos nos los han dado sus titulares, y no terceros de forma ilícita.
La doble capa informativa
Antes, cuando teníamos un formulario online, se admitía el “consentimiento tácito”, con el cual podíamos recabar datos de los usuarios y guardarlos para diferentes fines, simplemente avisando de ello a los usuarios. Pero hoy en día esto ya no es posible, y se ha pasado del consentimiento tácito al consentimiento expreso, con lo que hay que recabar datos para cada una de las finalidades que queramos dar a los mismos.
Un rollo, ¿verdad? Pero no te preocupes, que no es tan complicado.
En este caso, para cumplir con la legalidad, tenemos que usar la “doble capa informativa”. Esto consiste en facilitar la información a los usuarios en una primera capa más genérica, y en una segunda capa más detallada.
Como estamos obligados a informar a los interesados de todo lo que tiene que ver con el tratamiento de sus datos (cuánto tiempo los vamos a conservar, quién es el responsable del tratamiento, qué medidas de seguridad se implementan, etc.) y esa es una información muy extensa que sería poco práctica de poner junto al formulario, además de que sería un horror a nivel de diseño, lo que hacemos es lo siguiente:
Por un lado, bajo el formulario, ponemos una primera capa de información básica referida al tratamiento de datos personales que vamos a realizar cuando alguien rellene dicho formulario. Esta primera capa debe tener, sí o sí, la siguiente información:
- Identidad del responsable del tratamiento.
- Finalidad: para qué se van a usar los datos personales que se están recogiendo.
- Legitimación: la legitimación del tratamiento, que será el consentimiento expreso.
- Destinatarios: a dónde van estos datos, quién los guarda y trata.
- Derechos: la vía para ejercer los derechos de los usuarios (acceso, rectificación, supresión, limitación, portabilidad y oposición)
Por otro lado, pondremos en el formulario un enlace a la segunda capa informativa, que es la política de privacidad de la página web, donde se va a poder ver toda esa información que requiere la LOPD, ya de forma detallada, y redactada con un lenguaje claro, fácil de entender y sin ambigüedades. Ojo con esto, que, si usas un lenguaje demasiado técnico o difícil de entender, estarás infringiendo la normativa de Protección de Datos.
Y, por último, las casillas de verificación
Ya hemos dicho que necesitamos el consentimiento expreso de la persona que rellena el formulario. Así que debemos de incluir una casilla de verificación que, importante, debe estar desmarcada, y que el usuario deberá marcar para aceptar la política de privacidad.
Por ejemplo: si estamos recogiendo datos en una promoción que hacemos en el centro comercial, en la Finalidad, bajo el formulario, deberemos especificar que los datos son recogidos con la finalidad de que el usuario pueda participar en la promoción X.
Pero si luego esos datos los queremos usar para, por ejemplo, enviar newsletters a esa persona, deberemos incluir otra casilla de verificación, también desmarcada, que haga referencia a esa finalidad, de modo que el usuario decida si quiere o no recibir emails.
En resumen, cumplir con la RGPD en campañas de email marketing puede parecer un desafío, pero con un poco de planificación y atención a los detalles, los centros comerciales pueden seguir promoviendo sus productos y servicios de manera ética y legal. Recuerda, la privacidad de los datos de tus clientes es importante, ¡así que no la tomes a la ligera!
Leer en Hi Retail, número de febrero, página 44.
