A lista de verificação definitiva do GDPR para profissionais de marketing

Muitos profissionais de marketing ainda estão confusos quando se trata de regulamentações sobre privacidade de dados, especialmente o GDPR. Há muito o que absorver, mas como isso funciona em termos práticos? O guia do profissional de marketing a seguir deve ajudá-lo a organizar seus processos de marketing ao lidar com os regulamentos do GDPR.

Para obter informações básicas, você também pode querer ler nossa visão geral sobre GDPR e Marketing e ouvir nosso podcast com o especialista Steven Roberts sobre Data Privacy 101 .

Preparação do RGPD

Audite seus dados

Este guia é para profissionais de marketing que trabalham em empresas que processam informações sobre cidadãos da UE. Muitas empresas sediadas fora da UE também podem processar inadvertidamente dados relacionados a cidadãos da UE – portanto, o primeiro passo para essas empresas é auditar seus dados e descobrir se algum deles está relacionado a cidadãos da UE.

Dica profissional : não cometa o erro de presumir que, se você está em conformidade com o GDPR, provavelmente está em conformidade com todos os mercados. Embora o GDPR seja indiscutivelmente a regulamentação de dados mais robusta do mundo, você também deve estar ciente das nuances das regulamentações locais em todos os mercados em que você negocia, como a Lei de Privacidade do Consumidor da Califórnia (CCPA). Para obter informações completas sobre quem é afetado e onde, consulte o site oficial do GDPR da UE .

Familiarize-se com sua equipe de TI

A maior parte da conformidade com o GDPR fica sob a responsabilidade do marketing e da TI. Neste guia, discutiremos os itens que se enquadram no marketing, mas você precisará trabalhar em estreita colaboração com seu departamento ou provedor de TI.

O departamento de TI precisará de sua ajuda para cobrir elementos altamente importantes da conformidade com o GDPR, como:

• Saber onde os dados são armazenados (em que país eles são armazenados? É em uma máquina legada ou em um servidor local? É na nuvem?)
• Preparando-se para uma violação de segurança
• Garantir que existem medidas de segurança ao longo de cada etapa do processamento de dados

Cumprir com o RGPD

Os dados são muitas vezes considerados como o ‘ novo petróleo ‘. Faz sentido tomar medidas para garantir que você o esteja usando de maneira compatível.

Vimos muitas violações de dados de alto nível nos últimos anos, com consequências financeiras e de reputação resultantes. A British Airways foi multada em £ 20 milhões por não proteger os dados pessoais e financeiros de mais de 400.000 de seus clientes. E o grupo hoteleiro Marriott foi multado em 80,5 milhões de libras por não proteger os dados pessoais de milhões de clientes.

A não conformidade pode ser causada por diversos fatores. Pode ser uma decisão deliberada. Muitas organizações foram consideradas menos transparentes em como usam dados pessoais, por exemplo. Em muitos casos, no entanto, é simplesmente o resultado de erro humano ou descuido organizacional. (É por isso que o treinamento contínuo é tão importante!)

Você sabia? As autoridades de proteção de dados da UE emitiram quase € 1,1 bilhão em multas nos 12 meses até janeiro de 2022!

Para garantir a conformidade com o GDPR, as empresas precisam:

• Seja transparente sobre como eles coletam e usam dados pessoais.
• Tenha processos e procedimentos em vigor para proteger esses dados.
• Seja responsável quando esses dados forem comprometidos.

Consulte nosso artigo GDPR e marketing para obter mais informações sobre as responsabilidades dos profissionais de marketing em relação à conformidade com o GDPR.

8 passos para a conformidade com o GDPR

Aqui está nossa lista de verificação de oito etapas para conformidade com o GDPR:

1. Deixe sua página de política de privacidade atualizada.
2. Audite seus bancos de dados atuais para consentimento de aceitação.
3. Campanhas de reinscrição para bancos de dados atuais.
4. Crie um processo para consentimento opcional.
5. Coloque a equipe de vendas a bordo.
6. Revise os terceiros que têm acesso aos seus bancos de dados.
7. Tenha um processo simplificado para solicitações de informações.
8. Prepare-se para uma violação de segurança.
9. 

Etapa 1. Prepare sua página de política de privacidade

O GDPR contém regulamentos rígidos sobre sua política de privacidade – como deve ser escrito, o que deve conter e como deve ser acessado.

• Embora você deva trabalhar com sua equipe jurídica ou consultor jurídico na redação de sua política de privacidade, os regulamentos do GDPR estipulam que ela deve ser escrita em linguagem “concisa, transparente, inteligível e facilmente acessível, usando linguagem clara e simples”.
• Você deve fornecer uma “visão geral significativa do processamento pretendido” – como exatamente você usará os dados coletados.
• Forneça a identidade e os detalhes de contato do controlador de dados e do responsável pela proteção de dados em sua organização.
• Se você pretende compartilhar dados com terceiros, identifique essas organizações e as salvaguardas implementadas para proteger os dados transferidos.

Além disso, forneça os seguintes detalhes:

• Períodos de retenção pretendidos ou os critérios usados ​​para determinar esse período
• Detalhes sobre direitos de acesso e correção ou exclusão de dados pessoais
• Detalhes sobre o direito de retirar o consentimento para todos e quaisquer fins de processamento de dados
• O direito de apresentar uma reclamação a uma autoridade supervisora
• Detalhes de qualquer tomada de decisão automatizada, incluindo detalhes da lógica usada e possíveis consequências para o indivíduo

Dica importante : lidere desde o topo e identifique defensores da proteção de dados em toda a organização. GDPR não é apenas uma preocupação de marketing!

Etapa 2. Auditar seus bancos de dados atuais para obter consentimento opcional

Comece determinando se você tem consentimento explícito para usar os detalhes pessoais de seu banco de dados atual e para quais finalidades exatas eles deram consentimento para que seus dados sejam usados.

Certifique-se de que o consentimento para cada finalidade seja documentado e, em seguida, divida seu banco de dados em listas separadas com base no consentimento documentado por finalidade. Em seguida, crie um plano de ‘próximos passos’ para cada lista – entrando em contato para reconfirmar o consentimento ou solicitar consentimento para diferentes propósitos. Pode ser necessário reconfirmar o opt-in nas seguintes situações:

• Detalhes de contato fornecidos por terceiros
• Nenhum opt-in registrado
• Opt-in inespecífico (não dá consentimento explicitamente para cada uso de dados)
• Nenhuma opção para certas maneiras que você está usando ou deseja usar os dados para
• Nos casos em que o opt-in é registrado, mas você não se envolveu por um período prolongado

Etapa 3. Reativar campanhas para bancos de dados atuais

Com base nas listas que você identificou na etapa 1, crie campanhas envolventes para solicitar que os contatos optem ou retornem para determinados fins para os quais você deseja usar seus dados.

Isso não é tarefa fácil, pois o sentimento do consumidor em relação à privacidade de seus dados pessoais nunca foi tão tenso. As pessoas não estarão dispostas a compartilhar esses dados valiosos com você se não confiarem que você os usará de maneira razoável e justa. Ao mostrar seu compromisso com o GDPR, você pode ajudar a tranquilizar os clientes e melhorar sua reputação.

Transmita claramente ao consumidor o benefício de por que ele deve fornecer a você consentimento para usar seus dados e assegure-os de que o máximo cuidado será tomado para proteger seus dados.

• Crie a mensagem certa para cada campanha.
• Crie páginas de destino envolventes e formulários de inscrição.
• Se for relevante ou possível para o seu negócio, acompanhe os e-mails com telefonemas personalizados da equipe de marketing ou vendas.

Nota : O consentimento verbal para uma pergunta clara em uma chamada gravada é uma forma válida de aceitação. Crie um script para os membros da equipe que fazem essas chamadas.

Etapa 4. Crie um processo para consentimento opcional

Para quaisquer novos detalhes de contato que você adicionar ao seu banco de dados após sua auditoria, você deseja garantir que haja um processo para reunir o nível necessário de aceitação para cada novo contato e que seus detalhes sejam adicionados à lista apropriada.

Os regulamentos do GDPR estipulam que o consentimento agora deve ser obtido pelos clientes que optam ativamente, em vez de ser o padrão e eles terem que optar por não participar. Por exemplo, isso significa que as marcas de seleção para permitir a comunicação de vendas e marketing no final dos formulários de contato devem ser desmarcadas por padrão e os usuários devem marcar as caixas para aceitar.
Aqui estão alguns exemplos de maneiras pelas quais as pessoas podem participar ativamente:

1. Marque uma caixa de seleção de opção
2. Clique em um botão ou link de ativação
3. Selecione a partir de uma opção Sim/Não suspensa ou botões
4. Defina as preferências no painel da conta.
5. Responder a um e-mail solicitando consentimento
6. Responda sim a um pedido de consentimento verbal claro – pessoalmente ou por telefone
7. Assine uma declaração de consentimento em um formulário de papel.

Consentimento de aceitação

Você também precisa de um consentimento de aceitação separado para cada maneira como deseja usar seus dados. Depois de decidir sobre seu novo processo de aceitação:

• Ajuste o formulário de assinatura do blog ou boletim informativo em seu site para incluir opt-in específico e explícito para cada maneira que você deseja usar os dados.
• Ajuste todos os formulários (contato, solicitação de cotação, solicitação de demonstração e assim por diante) em seu site para incluir opt-ins explícitos específicos.
• Link para sua política de privacidade em todos os formulários.
• Ofereça maneiras claras de cancelar a assinatura.
• Se você mantiver cópias duplicadas de bancos de dados por qualquer motivo, documente um processo pelo qual todas as informações do cliente possam ser excluídas de cada cópia se for solicitada a exclusão de todos ou tipos específicos de contato
• Treine todos os membros da equipe existentes e novos sobre a importância de seguir este procedimento.
• Pergunte como cada novo projeto, ferramenta ou processo pode afetar seus procedimentos de coleta, processamento e armazenamento de dados.

Lembre-se : sua empresa está em conformidade apenas com a pessoa menos treinada de sua equipe; portanto, o treinamento contínuo da equipe existente é essencial!

Etapa 5. Envolva a equipe de vendas

Se o seu negócio for de geração de leads (em oposição ao varejo ou comércio eletrônico), o marketing provavelmente trará os leads e os encaminhará à equipe de vendas para conversão.

No passado, sua equipe de vendas pode ter obtido bancos de dados de leads que forneceram seus e-mails para baixar conteúdo fechado ou assinar o boletim informativo e contatá-los com um discurso de vendas ou oferta de teste ou demonstração gratuita. No entanto, de acordo com o GDPR, a menos que os leads deem consentimento explícito para que a equipe de vendas entre em contato com eles, essa prática não é mais permitida.

Realizar treinamento de GDPR para a equipe de vendas para:

• Prepare-os para números de chumbo reduzidos.
• Eduque-os sobre as consequências da não conformidade com o GDPR.
• Deixe-os saber com quais leads eles podem se envolver.
• Eduque-os sobre como obter e registrar o consentimento de aceitação ao fazer networking, interagir com um lead frio ou no LinkedIn.
• Revise o processo de como os leads são transferidos do marketing para as vendas e trabalhe com a TI para garantir que todas as etapas desse caminho sejam seguras.

Etapa 6. Revise os terceiros que têm acesso aos seus bancos de dados

Com quais terceiros você compartilha dados? Como eles o usam? Quais são suas políticas de GDPR?

• Revise todos os parceiros que acessam os dados de seus clientes. Eles precisam de acesso? Para que eles usam isso? Revogue o acesso, se necessário.
• Entre em contato com todos os parceiros externos que ainda precisam acessar seus bancos de dados e confirme se seus processos de trabalho são seguros e compatíveis com GDPR.
• O mesmo se aplica aos fornecedores de software nos quais você insere ou por meio dos quais coleta dados de clientes. Pergunte onde eles armazenam os dados (país) e se há algo que você precisa adicionar à sua política de privacidade em relação ao software.

Para agências de marketing

Se você é um profissional de marketing digital em uma agência (em vez de interno), provavelmente é um desses terceiros que lida com bancos de dados de muitas empresas. Você pode, por exemplo, ter clientes que compartilham com você documentos, arquivos Excel, acesso ao CRM ou acesso ao CMS do site que mostra os dados pessoais de seus clientes.

Audite suas transações e níveis de acesso para cada cliente e onde você acha que tem acesso a dados pessoais:

• Solicite que seu nível de acesso ao software onde você pode acessar dados pessoais seja modificado para permitir que você veja apenas o que precisa – como números de transações e receita sem nenhum dado pessoal.
• Dê aos clientes acesso proprietário a itens como o Google Ads (se eles ainda não o tiverem) e treine-os para fazer upload de suas próprias listas de banco de dados.

Etapa 7. Tenha um processo simplificado para solicitações de informações

Estar em conformidade com o GDPR ajudará a garantir que você seja capaz de responder às solicitações de acesso a dados de maneira oportuna e apropriada. Lembre-se, um dos princípios fundamentais do GDPR é que você faça uso razoável de dados pessoais, e os clientes podem questioná-lo sobre isso.

Você sabia? Às vezes, isso é chamado de Teste da Pessoa Razoável. O que uma pessoa razoável consideraria a prática legal e justa? Coloquialmente, essa pessoa costuma ser chamada de homem no ônibus de Clapham !

As regras do GDPR estipulam que você deve ser capaz de fornecer uma resposta completa a uma solicitação de informações no prazo máximo de um mês. Uma ‘resposta completa’ deve incluir:

• Quais dados estão sendo registrados sobre o indivíduo
• Onde esses dados são armazenados
• Por que você gravou e usou os dados
• Por quanto tempo você pretende mantê-lo

Configure um processo simplificado para recuperar esses dados:

• Crie uma página de destino em seu site com um formulário de solicitação de informações.
• Designe um membro (ou membros) da equipe responsável por verificar as solicitações, extrair os dados (da ferramenta de automação, se possível) e responder em um mês.
• Elabore um modelo de e-mail de resposta no qual os dados individuais possam ser adicionados, o que também inclui a opção de cancelar a inscrição ou gerenciar os níveis de consentimento, bem como a opção de atualizar ou excluir os dados.

Etapa 8. Prepare-se para uma violação de segurança

Embora sua equipe de TI assuma a maior parte do trabalho na prevenção, preparação e tratamento de violações técnicas de segurança, muitas vezes o marketing e o atendimento ao cliente estão na linha de frente para atender às reclamações e perguntas dos clientes quando uma violação de segurança chega às manchetes.

Prepare documentos padrão de comunicação de crise que lidem com a eventualidade de uma violação de segurança, incluindo:

• Um documento de processo incluindo pontos de contato, números de contato de emergência, porta-voz e assim por diante
• Um rascunho de declaração de mídia, blog e atualizações de mídia social
• Um rascunho do roteiro e respostas breves às perguntas dos clientes por telefone ou mídia social
• Documentos de uma página e perguntas e respostas, descrevendo as etapas tomadas por todos os departamentos para cumprir o GDPR e a segurança de TI

5 dicas finais para suas práticas de proteção de dados

Não entrar em pânico. Documente seu processo GDPR.

A conformidade com o GDPR ajuda você a verificar se possui processos robustos de proteção de dados e se pode responder com eficiência a qualquer violação de dados.

Estar em conformidade com o GDPR não é algo ‘bom de se ter’. As organizações podem enfrentar pesadas multas financeiras e danos à reputação se não protegerem os dados pessoais. Estar em conformidade faz sentido para os negócios e, para permanecer em conformidade, você deve se manter atualizado com as últimas tendências e ameaças de dados.

Se você seguir as diretrizes acima e documentar seu processo, poderá mostrar que está fazendo o possível para cumprir os regulamentos.

Observação : não considere esta lista de verificação como aconselhamento jurídico – você deve trabalhar com sua equipe de TI e jurídica para garantir que não haja pontas soltas em relação à conformidade.

Garanta que sua estratégia digital inclua proteção de dados

A proteção de dados agora é fundamental para qualquer estratégia digital. Nosso curso de estratégia de marketing digital não apenas cobrirá os fundamentos da estratégia, mas também explorará automação, análise, orçamento, canais digitais, liderança e muito mais. Inscreva-se hoje para começar!