W przedświątecznym natłoku niektórzy marketerzy stosując mailing chcą osiągnąć możliwie wielu klientów, odbiorców newsletterów czy partnerów biznesowych, aby złożyć im życzenia świąteczne. Jeszcze inni chcą tą drogą po prostu zwiększyć obroty.
Niestety, ich poczta dotarła również do niektórych adresatów, którzy nie chcieli otrzymywać od nich poczty elektronicznej. Wprawdzie nadawcy w przeszłości starannie pielęgnowali swoje bazy adresów i usuwali z niej wszystkie osoby, które zrezygnowały z subskrypcji, ale jakoś ten czy tamten adres wylądował przez pomyłkę ponownie w ich bazie, na przykład przez ponowny import starszej bazy adresów. Adresaci nie będą zadowoleni, a to zaszkodzi reputacji nadawców, a w perspektywie czasu także ich biznesowi.
Aby temu zapobiec, dostawcy usług poczty elektronicznej zazwyczaj prowadzą tzw. czarne listy blokad. Są to listy adresów e-mailowych, na które tylko wybrani klienci mogą wysyłać e-maile lub na które generalnie nie wolno ich wysyłać. Zapamiętywanie i przechowywanie danych osobowych nie jest jednak bezproblemowe z punktu widzenia RODO, nawet jeśli służy jedynie wyżej wymienionym celom.
Sytuacja jest trudna: z jednej strony nie wolno wysyłać e-maili na adres, który ma być skasowany, z drugiej strony nie wolno tego adresu zapamiętywać. Ale jest rozwiązanie. Przy użyciu tak zwanych algorytmów haszu z adresu e-mailowego zostaje wygenerowana funkcja skrótu (inaczej funkcja haszująca). Rekonstrukcja adresu e-mailowego na podstawie funkcji skrótu jest możliwa, choć nie bez większego nakładu pracy. Wartości funkcji skrótu są następnie zapisywane na czarnej liście blokad i porównywane z wartością funkcji skrótu każdego adresu e-mailowego, który ma być zaimportowany. Jeśli istnieje zgodność wartości funkcji skrótu, dany adres e-mailowy jest zablokowany i nie może otrzymywać poczty elektronicznej.
System ten działa, ale ma swoje słabe strony:
- po pierwsze, aktualność algorytmów haszu nie zawsze idzie w parze z postępem technicznym, co powoduje, że algorytmy stają się przestarzałe i nie mogą być uważana za bezpieczne.
- Innym słabym punktem są tak zwane tęczowe tablice. Niektórzy sprytni informatycy używając rozpowszechnionych algorytmów haszu generują obszerne listy danych wejściowych wraz z wartościami funkcji skrótu. Szukając – jak w leksykonie – odpowiednich wartości funkcji skrótu można zrekonstruować pierwotne dane, na przykład adresy e-mailowe. Jak temu zaradzić?
Funkcje skrótu wygenerowana przy użyciu algorytmu, który nie jest już bezpieczny, mogą być ponownie wygenerowane przy użyciu nowszego, bezpiecznego algorytmu. W obronie przed tęczowymi tablicami pomaga sól (inaczej ciąg zaburzający). Jest to wartość, która jest dodawana do zakodowanej wartości, czyli adresu e-mailowego, zanim zostanie wygenerowana funkcja skrótu. Metoda ta czyni generowanie tęczowych tablic nieopłacalną, gdyż dla każdej możliwej wartości soli należałoby utworzyć oddzielną tabelę tęczową, aby złamać adresy pocztowe. Jest to teoretycznie możliwe, ale praktycznie niewykonalne.
Strona prawna problemu
Rozporządzenie o ochronie danych osobowych (RODO) ma zastosowanie wyłącznie do danych osobowych. Adresy e-mailowe to dane osobowe, ale jak traktować funkcję skrótu? Dla ustawodawcy ważne jest to, czy szyfrowanie (osobistych) adresów e-mail przy użyciu algorytmów haszu jest pseudonimizacją czy anonimizacją.
Ponieważ pierwsza wspomniana metoda stosuje proste algorytmy bez ”soli”i pozwala na stosunkowo łatwą rekonstrukcję adresu e-mailowego, procedura ta jest jedynie pseudonimizacją, a funkcje skrótu wygenerowane w ten sposób są nadal uważane za dane osobowe i dlatego podlegają RODO.
Druga metoda jest inna. Danych osobowych, które były kilkakrotnie przetwarzane przy użyciu nowoczesnych i bezpiecznych algorytmów i zostały zaopatrzone w „sól”, nie da się zrekonstruować bez użycia znacznych środków i nakładu pracy. Dane zaszyfrowane w ten sposób są zatem uważane za anonimowe i nie są objęte postanowieniami RODO.
Eksperci mailowi z Certified Senders Alliance (CSA) zalecają zatem anonimizację danych, tę drugą, nieco bardziej złożoną procedurę wdrażania czarnych list blokad, tak aby dane te nie podlegały postanowieniom RODO. Te i podobne kwestie prawne zostaną również omówione podczas warsztatów prawnych w dniu 12 kwietnia. Warsztaty są częścią Konferencji CSA 2019 w dniach 10-12 kwietnia 2019 r. w Kolonii. Szczegółowe informacje na temat czarnych list można również znaleźć na stronie (język niemiecki) https://certified-senders.org/wp-content/uploads/2018/12/Sperrlisten-DSGVO-konform.pdf.
Certified Senders Alliance CSA jest wspólnym projektem Stowarzyszenia Przemysłu Internetowego eco e.V. i Niemieckiego Stowarzyszenia Marketingu Dialogowego (DDV). Aktualne informacje na temat pracy CSA, certyfikacji z CSA oraz bieżących technicznych i prawnych aspektów e-mail marketingu można znaleźć na stronie https://certified-senders.org/de/.
Zapisz się do newslettera wypełniając pola poniżej. Będziesz na bieżąco ze wszystkimi wydarzeniami związanymi z Silesia SEM i informacjami o marketingu internetowym w sieci. Nie spamujemy.
Zostanie wysłany do Ciebie e-mail potwierdzający: przeczytaj zawarte w nim instrukcje, aby potwierdzić subskrypcję.
Julia Janßen-Holldiek
Ostatnie wpisy Julia Janßen-Holldiek (zobacz wszystkie)
- Logotyp w skrzynce odbiorcy poczty elektronicznej – nowy standard BIMI zachwyca marketerów, technologicznych freaków i odbiorców poczty - 16 września 2020
- Co firmy wysyłające e-maile do klientów muszą brać pod uwagę w czasach pandemii? - 7 maja 2020
- 10 obowiązkowych postanowień na efektywny marketing e-mailowy w 2020 roku - 17 lutego 2020