Всё, что стоит знать, и ничего лишнего.
Законное основание для SMS-маркетинга
Статья 6 требует наличия одного из шести законных оснований. Для коммерческих сообщений практическими являются явное согласие (самое безопасное) или законный интерес (работоспособный, но требующий проверки баланса и исключающий большую часть прямой маркетинговой деятельности). PECR (режим защиты конфиденциальности в электронных коммуникациях Великобритании/ЕС) добавляет к статье 6 GDPR требование о согласии на получение маркетинговых сообщений — для маркетинговых SMS-сообщений требуется и то, и другое. Для транзакционных SMS-сообщений (OTP, подтверждения заказов) согласие не требуется, но все же необходимо законное основание (обычно исполнение договора, статья 6(1)(b)).
Трансграничные переводы
Отправка SMS-сообщения получателю из ЕС через SMSC, не зарегистрированный в ЕС, считается трансграничной передачей данных. После решения по делу Schrems II (2020) действительность стандартных договорных положений зависит от оценки влияния на передачу данных. Для агрегаторов, базирующихся в США, Рамочная программа ЕС-США по защите данных (действующая с 2023 года) предоставляет правовую основу для передачи данных, если агрегатор сертифицирован. Для агрегаторов из стран Ближнего Востока и Северной Африки, таких как BroadNet, трафик получателей из ЕС в идеале должен проходить через SMSC, зарегистрированный в ЕС; мы используем такой SMSC во Франкфурте именно для этой цели.
Право на удаление и прекращение обработки
Статья 17 предоставляет субъекту данных право на удаление по запросу. В случае с рассылкой сообщений это означает: немедленное соблюдение ключевого слова STOP, удаление MSISDN получателя из активных списков, сохранение предпочтения отказа от рассылки (чтобы не добавлять его повторно в следующей кампании), а также удаление или анонимизацию истории сообщений в зависимости от законного основания для их хранения. BroadNet предоставляет API для удаления данных каждого получателя в соответствии с GDPR DSAR.
Процессор против контроллера
Ваша CPaaS выступает в роли обработчика (статья 28). Вы являетесь контроллером. Вы должны иметь подписанное соглашение об обработке данных. Изменения в работе субподрядчиков (например, сети оператора, через которую осуществляется маршрутизация) должны быть раскрыты, и вы должны иметь право возражать. BroadNet ведет публичный список субподрядчиков по адресу /trust/subprocessors и уведомляет контроллеров за 30 дней до любых изменений.