حفاظت از داده های مشتری تجارت الکترونیک: انطباق با GDPR

مقدمه

حفاظت از داده های مشتری یک مسئله استراتژیک اصلی برای هر بازیگر تجارت الکترونیکی است. از زمان لازم‌الاجرا شدن مقررات حفاظت از داده‌های عمومی (GDPR) در 25 مه 2018، سایت‌های تجاری، اپلیکیشن‌های فروش موبایل و بازارها باید چارچوب قانونی سخت‌گیرانه‌ای را تحت مجازات تحریم‌هایی تا سقف 20 میلیون یورو یا 4 درصد از گردش مالی سالانه جهانی رعایت کنند. فراتر از محدودیت های نظارتی، رعایت GDPR نشان دهنده یک اهرم واقعی از اعتماد مشتری است: 87 درصد از مصرف کنندگان اروپایی می گویند که از سایتی که در آن به امنیت داده ها شک دارند خرید نخواهند کرد. این مقاله ستونی به جزئیات تعهدات واقعی خرده فروشان الکترونیکی از نظر رضایت، کوکی ها، خبرنامه ها و امنیت داده های پرداخت می پردازد.

رضایت: سنگ بنای انطباق با GDPR

رضایت یکی از شش مبنای قانونی برای پردازش پیش‌بینی شده در ماده 6 GDPR است. برای معتبر بودن، باید چهار معیار انباشته تعریف شده در ماده 7 را داشته باشد: آزاد، مشخص، آگاه و بدون ابهام. در زمینه تجارت الکترونیک، این بدان معناست که یک کاربر اینترنت نمی تواند رضایت خود را مشروط به خرید یک محصول داشته باشد (اصل آزادی) و باید بتواند به طور جداگانه با هر هدف (نمایه بازاریابی، اشتراک گذاری با شرکا، خبرنامه و غیره) موافقت کند.

CNIL از سال 2020 با دستورالعمل های خود در مورد کوکی ها و ردیاب ها، الزامات خود را به طور قابل توجهی تقویت کرده است. دکمه «پذیرفتن همه» اکنون باید با یک دکمه «رد کردن همه» با قابلیت دسترسی و دید معادل همراه شود. جعبه‌های از پیش علامت‌گذاری شده به شدت ممنوع هستند (دکمه CJEU Planet49، 1 اکتبر 2019). بازرگانان الکترونیکی همچنین باید گواهی رضایت با مهر زمانی را برای مدت زمان پردازش نگه دارند و اجازه خروج را به سادگی کمک مالی اولیه بدهند.

مدیریت کوکی‌ها و ردیاب‌ها در سایت‌های تاجر

سایت‌های تجارت الکترونیک به طور متوسط ​​از 40 تا 60 کوکی شخص ثالث استفاده می‌کنند: تجزیه و تحلیل، هدف‌گذاری مجدد تبلیغات، شبکه‌های اجتماعی، ربات‌های گفتگو، تست A/B. ماده 82 قانون اصلاح شده حفاظت از داده ها مستلزم کسب رضایت قبلی برای هر ردیابی است که برای بهره برداری از سرویس کاملاً ضروری نیست. فقط سبد خرید، جلسه احراز هویت و کوکی‌های متعادل کننده بار مستثنی هستند.

راه اندازی یک پلت فرم مدیریت رضایت (CMP) سازگار ضروری شده است. باید به بازدیدکننده اجازه دهد تا در انتخاب های خود دقیق باشد: پذیرش بر اساس هدف (سنجش مخاطب، شخصی سازی، تبلیغات هدفمند) و توسط گیرنده. تحریم ها در حال باریدن هستند: گوگل (150 میلیون یورو)، آمازون (35 میلیون یورو)، فیس بوک (60 میلیون یورو) در سال 2022 به دلیل عدم وجود دکمه امتناع به اندازه دکمه پذیرش.

خبرنامه و جستجوی تجاری: انتخاب دقیق

ارسال خبرنامه و ایمیل‌های تبلیغاتی تحت ماده L.34-5 کد ارتباطات پستی و الکترونیکی قرار می‌گیرد که دستورالعمل حفظ حریم خصوصی الکترونیکی را جابجا می‌کند. اصل این است که انتخاب قبلی صریح برای افراد بالقوه (B2C). یک استثنا قابل توجه برای مشتریانی وجود دارد که قبلاً خریدی انجام داده‌اند: جستجو برای محصولات یا خدمات مشابه مجاز است، مشروط بر اینکه در حین جمع‌آوری از آنها مطلع شده باشند و بتوانند به هر محموله اعتراض کنند.

به طور مشخص، کادر «من می‌خواهم پیشنهادات تجاری از [برند] دریافت کنم» باید به‌طور پیش‌فرض علامت‌گذاری نشده باشد و از پذیرش شرایط و قوانین متمایز باشد. هر ایمیل باید شامل یک پیوند لغو اشتراک با یک کلیک، هویت فرستنده و یک آدرس تماس معتبر باشد.

ایمن کردن داده‌های پرداخت

پردازش داده‌های بانکی هم تحت GDPR (ماده 32 در مورد امنیت) و هم استاندارد PCI-DSS (استاندارد امنیت داده‌های صنعت کارت پرداخت) قرار می‌گیرد. بازرگانان الکترونیکی باید از توکن‌سازی از طریق ارائه‌دهنده خدمات پرداخت دارای گواهی PCI-DSS سطح 1 (PSP) استفاده کنند، بنابراین از ذخیره مستقیم شماره‌های کارت خودداری می‌کنند. احراز هویت قوی (3D Secure v2) از 15 مه 2021 در اجرای دستورالعمل DSP2 اجباری شده است.

نگهداری رمزنگاری بصری (CVV) پس از تراکنش اکیداً ممنوع است. شماره کارت فقط با رضایت صریح برای تسهیل خریدهای بعدی قابل نگهداری است (شماره بحث CNIL 2018-303).

نتیجه گیری

انطباق GDPR در تجارت الکترونیک فقط یک چک لیست قانونی نیست: کل روابط دیجیتالی مشتری را ساختار می دهد. بین رضایت کامل، مدیریت کوکی‌ها، سخت‌گیری در جستجو و پرداخت‌های ایمن، خرده‌فروشان الکترونیکی هنگام طراحی سفرهای خود باید رویکرد «حریم خصوصی با طراحی» را اتخاذ کنند. این رویکرد، به دور از اینکه یک مانع تجاری باشد، به یک بحث متمایزکننده در بازاری تبدیل می‌شود که اعتماد دیجیتال نرخ تبدیل و وفاداری را تعیین می‌کند.