Polskie przepisy prawne
Zacząć należy od tego, że dzwonienie i przedstawianie oferty sprzedażowej bez otrzymania wcześniejszej zgody na to jest zakazane - zgodnie z art. 172 prawa telekomunikacyjnego. Grozi za to kara finansowa wymierzana przez Urząd Komunikacji Elektronicznej. Takie zachowanie może być uznane za nieuczciwą praktykę rynkową, której z kolei dotyczy art. 12 ustawy o przeciwdziałaniu nieuczciwym praktykom rynkowym. Konsument ma również możliwość zwrócić się w takiej sytuacji o pomoc do UOKiK, rzecznika konsumentów albo zajmującej się tą tematyką organizacji pozarządowej.
Natomiast przetwarzanie danych osobowych, jeśli jest niezgodne z prawem, należy zgłosić do Generalnego Inspektora Ochrony Danych Osobowych (GIODO). Dodatkowo zgodnie z ustawą o ochronie danych osobowych karze podlega zarówno ten, kto w sposób nieuprawniony przetwarza w zbiorze dane osobowe (art. 49 ust. 1), jak i ten, kto zarządza zbiorem danych i nie informuje osoby, której owe dane dotyczą, jakie ma prawa (art. 54). W obu przypadkach sąd może wymierzyć karę grzywny, ograniczenia wolności, a nawet pozbawienia wolności.
Co zmieniło RODO?
Unijne rozporządzenie z maja 2018 r. nakłada na przedsiębiorców obowiązek stworzenia własnego systemu ochrony danych. To po ich stronie leży zadbanie o to, by przechowywane dane były bezpieczne i to już na etapie konstruowania czy wybierania rozwiązań z tym związanych. Jeśli firma przymierza się do stworzenia strony internetowej, na której będzie używany formularz kontaktowy, założenia profili w mediach społecznościowych, zaprojektowania firmowej aplikacji itd., musi tak je zaplanować, by zagwarantować użytkownikom bezpieczeństwo ich danych.
Co ciekawe, przepisy nie regulują tego, w jaki sposób cel ma być osiągnięty, zostawia przedsiębiorcy wolną rękę, ale też obarcza dużą odpowiedzialnością. Jest to o tyle zrozumiałe, że ryzyko i zagrożenia w różnych branżach i firmach o odmiennych profilach są różne. Dla przykładu e-commerce i sektor bankowy rządzą się innymi prawami, dlatego muszą stosować inne rozwiązania. Ponadto warunki działania zmieniają się obecnie tak szybko, że bardziej sprecyzowane regulacje w krótkim czasie zdezaktualizowałyby się i konieczna byłaby ich częsta weryfikacja i korekta. Kompetencje rozdzielone są więc tak: przedsiębiorca decyduje, jakie środki w dostateczny sposób zabezpieczą dane osobowe przetwarzane w firmie, a urząd ochrony danych osobowych ocenia, czy faktycznie wybrane metody są odpowiednie.
Ważnym pojęciem jest domyślna ochrona danych osobowych. Zastosowane rozwiązania muszą być tak zaprojektowane, by ustawienia dotyczące danych osobowych domyślnie miały minimalną wartość, czyli aby domyślnie było to niezbędne do przetwarzania minimum i nic ponadto. Jest też prawo do bycia zapomnianym. Klient ma więc prawo zażądać okazania mu, jakie dane osobowe dotyczące jego osoby dana firma przetwarza, ale też wycofać zgodę na posługiwanie się nimi.
Kolejna sprawa dotyczy samej zgody na przetwarzanie danych osobowych, która jest teraz zdecydowanie dłuższa. Prośba musi zawierać informację o celu, zakresie i czasie, w jakim będą przetwarzane. Dodatkowo dane osobowe oznaczają według nowych regulacji także adresy IP i pliki cookies zapisywane przez przeglądarkę internetową.
Wielu przedsiębiorców ucieszy natomiast obniżenie wieku, w jakim samodzielnie można zdecydować o udzieleniu zgody na przetwarzanie danych osobowych w przypadku świadczenia usług internetowych (a dokładnie „usług społeczeństwa informacyjnego”). Dzięki RODO już 16-latek może przekazać zgodę, a tylko w przypadku młodszych dzieci będzie musiał wyrazić ją rodzic.
W przypadku gdy bezpieczeństwo danych osobowych przechowywanych w firmie ulegnie naruszeniu bądź będą one w jakiś sposób bezprawnie zmienione, zniszczone lub wykradzione, jest ona zobligowana do zgłoszenia tego do GIODO. Ma na to zaledwie 72 godziny. Czasem konieczne będzie też poinformowaniu o tym fakcie klientów. Kara za naruszenie przepisów ustalana będzie indywidualnie i może wynieść nawet do 20 mln euro lub do 4% rocznego obrotu firmy.
Warto podkreślić, że małe i średnie przedsiębiorstwa potraktowane zostały ulgowo, gdyż ich obowiązki są nieco mniejsze niż obowiązki korporacji.
Obowiązki telemarketera w praktyce
Jak RODO przekłada się na przebieg rozmowy telemarketingowej? Otóż na początku telemarketer musi przedstawić sporo informacji „technicznych”. Powinien poinformować, że rozmowa jest nagrywana, przedstawić siebie i firmę lub organizację, jaką reprezentuje, a także jakie jest źródło danych osobowych, które posiada. W związku z rozporządzeniem niedopuszczalne są formułki typu „Pana/Pani numer został wylosowany”, gdyż to kwalifikuje się do nałożenia kary finansowej. Na koniec rozmowy telemarketer ma obowiązek poinformować, jaki jest cel przetwarzania danych, czas, zakres itd. Końcowa lista informacyjna jest dość długa, dlatego może on zapytać, czy rozmówca nie woli otrzymać tych informacji mailem czy SMSem, co zapewne wybierze wiele osób. Natomiast w sytuacji, gdy klient nie będzie sobie życzył więcej telefonów, jego żądanie musi być spełnione i powinno być odnotowane w bazie danej firmy.