Vastaus
Ennen yhteystietoluettelon tai yksilöiden yhteystietoja sisältävän tietokannan hankkimista toiselta organisaatiolta kyseisen organisaation on pystyttävä osoittamaan, että tiedot on hankittu yleisen tietosuoja-asetuksen vaatimusten mukaisesti ja että se saa käyttää tietoja mainontatarkoituksiin. Jos organisaatio on esimerkiksi hankkinut tiedot suostumuksen perusteella, suostumukseen on täytynyt sisältyä mahdollisuus siirtää tiedot muille tahoille suoramarkkinointitarkoituksiin.
Lisäksi yrityksesi/organisaatiosi on varmistettava, että luettelo tai tietokanta on päivitetty ja ettei mainoksia lähetetä yksilöille, jotka ovat vastustaneet henkilötietojensa käsittelyä suoramarkkinointitarkoituksissa. Jos suoramarkkinointi tapahtuu viestintävälineiden kuten sähköpostin välityksellä, yrityksesi/organisaatiosi on lisäksi noudatettava sähköisen viestinnän tietosuojadirektiiviä (direktiivi 2002/58/EY1).
Tietojenkäsittely tapahtuu tuolloin oikeutetun edun perusteella, ja yksilöillä on oikeus vastustaa käsittelyä. Yrityksesi/organisaatiosi on lisäksi ilmoitettava yksilöille viimeistään ensimmäisen yhteydenoton yhteydessä, että olet saanut heidän henkilötietonsa ja että käsittelet niitä mainosten lähettämiseksi.
Esimerkki
Kahdella ystävällä on yritykset. A:lla on kuntosali ja B:llä kirjakauppa. Molemmat keräävät asiakkailtaan tietoja. B:n kaupalla ei mene kovin hyvin. Hänen asiakastietokannassaan on vähän yhteystietoja, ja vain harva löytää tiensä hänen liikkeeseensä. Hän kertoo A:lle ottaneensa myyntiin kuuluisan urheilijan elämäkerran ja kysyy, kiinnostaisiko A:n asiakkaita saada mainoksia kirjasta. A:n tietosuojaselosteessa asiakkaille on ilmoitettu, että yritys saattaa jakaa tietoja kumppaneille, jotka tarjoavat terveyteen ja kuntoiluun liittyviä tuotteita. Siltä osin kuin A:n asiakkaat ovat antaneet suostumuksensa tietojen mahdolliselle siirtämiselle muilla tahoille suoramarkkinointitarkoituksiin A voi lähettää asiakasluettelonsa B:lle. Mitään tietoja ei saa lähettää sellaisista yksilöistä, jotka ovat vastustaneet henkilötietojensa käsittelyä.
Viitteet
- Artiklat 4(10), 5, 6, 14, 21
- Euroopan tietosuojaneuvoston suuntaviivat asetuksen 2016/679 mukaisesta läpinäkyvyydestä
- Sähköisen viestinnän tietosuojadirektiivi 2002/58/EY suoramarkkinointia koskevat säännöt, erityisesti 13 artikla
Example
Two friends, Mrs. A and Mr. B, run, respectively, a gym and a book shop. Each collects data from their respective customers. Mr. B’s book shop isn’t doing well. His client database has few entries and not many people walk into his shop. He tells Mrs. A that he has a new biography of a famous athlete and asks whether Mrs. A’s clients would be interested in receiving advertising about the book. The terms of Mrs. A’s privacy notice informed her clients that she could share the data with partners offering products in the health and fitness area. As far as specific consent was given for the purpose of transmitting the data to other recipients for their own direct marketing, Mrs. A can send the client list to Mr. B. No data can be sent about an individual who objected to the processing of their personal data.
References
- Article 4(10) and Articles 5, 6, 14 and 21 of the GDPR
- EDPB guidelines on Transparency under Regulation 2016/679
- ePrivacy Directive 2002/58/EC rules on direct marketing, in particular Article 13
1 Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (OJ L 201, 31.07.2002 p.37).