Después de bastantes horas de formación en MailChimp de asesorar, gestionar cuentas ajenas y propias hemos ido atesorando un pequeño conjunto de malas prácticas que van desde lo meramente accidental hasta lo totalmente ilegal.
Índice de contenidos
En lo respectivo a la Agencia Española de Protección de Datos
Siempre que se proceda al tratamiento de datos personales, definidos en el art. 3.a) de la Ley Orgánica 15/1999, como «cualquier información concerniente a personas físicas identificadas o identificables», que suponga la inclusión de dichos datos en un fichero, considerado por la propia norma, artículo 3.b), como «conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso», el fichero se encontrará sometido a la Ley, siendo obligatoria su inscripción en el Registro General de Protección de Datos (RGPD).
– No comunicar a la Agencia Español de Protección de Datos que estamos gestionando datos de carácter personal.
Desafortunadamente este error es mucho más común de lo que pudiera parecer y nos encontramos empresas que no sólo no lo han hecho sino que creen que su obligación termina con los datos de carácter personal de sus clientes. Tendríamos que registrar ficheros del conjunto de socios de una cooperativa, de proveedores, de trabajadores, de contactos comerciales, etc.
– No realizar un documento de seguridad.
El Real Decreto 1720/2007, de 21 de diciembre, aprobó el Reglamento de desarrollo de la LOPD que, en su Título VIII, establece las medidas de índole técnico y organizativo que los responsables de los tratamiento o los ficheros y los encargados de tratamiento han de implantar para garantizar la seguridad en los ficheros, los centros de tratamiento, locales, equipos, sistemas, programas y las personas que intervengan en el tratamiento de datos de carácter personal.
Entre estas medidas, se encuentra la elaboración de un documento que recogerá las medidas de índole técnica y organizativa acorde a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los datos de carácter personal.
Tenemos la obligación de elaborar este documento indicando con total claridad cómo se almacenan los datos, quién tiene acceso, equipos, etc. con una seguridad mayor cuanto más graves sean los datos que recopilemos de los usuarios, por ejemplo, un nivel de seguridad alto será necesario para ficheros que contengan información sobre ideología, afiliación sindical, religión, creencias, etc. aunque también existen excepciones al respecto.
En lo respectivo a la comunicación a los usuarios
No comunicar a los usuarios absolutamente nada
Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.
Aunque, de nuevo, es posible encontrar excepciones a la norma en función de la intención de la recogida de datos.
El origen de las direcciones de correo de los usuarios
En lo respectivo al tratamiento de los datos
Listas no segmentadas
Tener una lista no segmentada por cualesquiera criterios y no tener una lista es prácticamente lo mismo. Mandar un boletín a un grupo de usuarios heterogéneo sin que medie ningún criterio es aumentar las probabilidades de que el mensaje enviado no sea relevante y se proceda a la baja de la lista.
El trabajo de segmentación debe ser tan profundo como podamos permitirnos y debe estar en absoluta consonancia con los datos que recojamos de los usuarios, por ejemplo, podemos segmentar por provincia si pedimos estos datos en un formulario.
Listas compradas
Las listas compradas presentan una serie de problemas funcionales y legales:
- no conocemos el origen de la misma ni si ha sido adquirida de forma legal.
- no tenemos el consentimiento expreso de TODOS los usuarios para la cesión de datos de su responsable original (que puede ser la empresa que los vende) a nosotros o a terceros.
- no sabemos si están actualizadas por lo que las tasas de rebote pueden ser muy altas.
- no sabemos si la finalidad con la que los datos fueron cedidos está cercana a la nuestra, por ejemplo: investigación vs prospección comercial.
En lo respectivo al diseño de los boletines
Dar más importancia a las imágenes que al texto
Un boletín debe guardar un equilibrio entre su funcionalidad y comunicar una idea a través de texto e imágenes para ser visualmente más atractiva. El texto que acompañe a las imágenes deben ser coherente y consistente por sí mismo sin necesidad de las imágenes y viceversa. ¿Por qué? Porque no sabemos si el cliente de correo del usuario bloqueará las imágenes por defecto o si éste recibirá el boletín en texto plano.
Adaptado a dispositivos móviles
Piensa siempre en cómo se verá el boletín en el móvil y la tablet. En el caso de MailChimp puedes previsualizar tu plantilla o la campaña para que puedas adaptar contenido y mensaje a esos dispositivos.
La importancia de las redes sociales
Permite compartir cada noticia o contenido en redes sociales desde el mismo boletín, deja que el usuario comparta el boletín completo o lo reenvíe, que le de «un me gusta» a tu página de Facebook o te siga en Twitter. En definitiva, ofrece facilidades para que haya interacción con los social media.
Como podéis ver son un abánico amplio y heterogéneo de aspectos sobre los que habría que trabajar en nuestros propios envíos y los de los clientes. Lo importante es crear una lista de trabajo, un protocolo de actuación para, en el caso de ser contratados, actuar no solo dentro del marco legal sino de la manera más eficaz posible.
Comments (2)
Una pregunta Felipe.
Estoy configurando Mailchimp por primera vez, hasta ahora he creado una lista (sin segmentar, aunque lo haré) y aún no hay ninguna persona registrada. mi pregunta es, ¿qué fichero es el que debo de registrar en la Agencia Española de Protección de Datos? ¿Ese fichero puedo registrarlo aún estando vacío de momento?
Necesito ayuda con el tema del fichero que no tengo claro.
Muchas gracias!
Hola Raúl.
El fichero que debes registrar no tiene porque ser algo físico sino basta cualquier soporte que contenga información de carácter personal, por ejemplo la lista de MailChimp que estás usando, y el procedimiento a seguir es notificarlo a la Agencia antes de que ningún usuario se inscriba. Si no lo has hecho antes es muy sencillo (aunque te aconsejo antes que te leas la normativa al respecto) y, por lo general, basta con descargarse el formulario NOTA y completarlo siguiendo las instrucciones.
Dónde se almacenan esos datos, quien accede a ellos, etc si será relevante cuando tengas que redactar el Documento de Seguridad donde si hay que ser mucho más específico.
Espero haber respondido a tu pregunta, si no me tienes al otro lado de la pantalla.
Un saludo.