Տվյալների պաշտպանության խնդիրներ մարքեթինգում

Առիթը

Ժամանակակից «բիզնեսը բիզնեսին» (B2B՝ business to business) մարքեթինգում արագորեն տարածվում է նոր միտում կամ հնարավորություն, երբ տնտեսվարողներն իրենց ծառայությունների կամ ապրանքների վաճառքի եւ հաճախորդների որոնման գործընթացում կարող են կիրառել ավտոմատացման գործիքներ, երբեմն էլ դրա ողջ շղթան արտապատվիրակել արհեստական բանականության (ԱԲ՝AI) ինքնավար գործակալներին: Այսպես, 2026 թվականի հոկտեմբերի 19-ին եւ 20-ին հայկական կազմակերպություններից մեկի անունից ՀՀ տարբեր քաղաքացիներ ստացան էլեկտրոնային նամակներ՝ կազմակերպության ծառայությունների առաջարկով։ Այդ նամակները գեներացվել էին Explee (նախկինում՝ AutoGTM) հարթակի միջոցով, որն առաջարկում է մարքեթինգի իրականացման հետեւյալ լուծումը. պատվիրատու տնտեսվարողը պարզապես տրամադրում է իր կայքի հասցեն, իսկ ԱԲ-ն ինքնուրույն վերլուծում է ապրանքը, գտնում պոտենցիալ հաճախորդներին, գրում անհատականացված նամակներ եւ ուղարկում դրանք: Արդյունքում, B2B մարքեթինգային գործիքով (AI agent/outreach platform) իրականացվում է ուղղակի մարքեթինգ (direct marketing)։

Explee-ն հայտարարում է միլիոնավոր կոնտակտային տվյալներ պարունակոող բազա ունենալու մասին։ Օրինակ, 2025 թվականի հուլիսի տվյալների համաձայն՝ Explee-ն ուներ 40 միլիոն կազմակերպության եւ 536 միլիոն օգտահաշիվների տվյալներ, որոնք ստացվել էին ավելի քան 64 միլիոն կայքերի (LinkedIn եւ ոչ միայն) սքանի  արդյունքում։ 2026 թվականի սեպտեմբերի տվյալներով՝ սքանավորված կայքերի թիվը գերազանցել է 75 միլիոնը։

Թեեւ Explee-ն հայտնում է կայքերի սքանավորման (web scanning) մասին, սակայն փաստացի այստեղ գործ ունենք Web Scraping-ի հետ, երբ սոցիալական ցանցերից, տվյալների հանրային ռեգիստրներից եւ այլ կայքերից ավտոմատացված «քերվում» ու հավաքվում են տեղեկություններ, այդ թվում՝ անձնական տվյալներ։

Տվյալների պաշտպանության խնդիրները

Օրինականության խնդիր

Առաջին հայացքից կարող է թյուր տպավորություն լինել, որ եթե որեւէ տվյալ հանրամատչելի է, ապա այն կարելի է ազատորեն օգտագործել ցանկացած նպատակով։ Սակայն, պետք է նկատի ունենալ, որ որեւէ տվյալի հանրամատչելի լինելը դեռ չի նշանակում, որ այդ տվյալը կարող է ազատորեն օգտագործվել, օրինակ, ուղղակի մարքեթինգի, մարդկանց ծառայություններ կամ ապրանքներ առաջարկելու կամ գովազդելու նպատակով։

Այսպես, «Անձնական տվյալների պաշտպանության մասին» օրենքի 4-րդ հոդվածի համաձայն՝ անձնական տվյալները պետք է մշակվեն օրինական եւ որոշակի նպատակներով, եւ առանց տվյալների սուբյեկտի համաձայնության չեն կարող օգտագործվել այլ նպատակներով:

Սա նշանակում է, որ անգամ եթե մարդու մասին տեղեկությունը, օրինակ, էլեկտրոնային փոստի հասցեն, հանրամատչելի են դարձել մի նպատակով, ապա մեկ այլ նպատակով այդ տվյալները մշակելու համար անհրաժեշտ է ստանալ այդ համաձայնությունը։ Օրինակ, տվյալ դեպքում հայկական կազմակերպության անունից Explee-ն օգտագործել է մարդկանց էլեկտրոնային փոստի հասցեները եւ մարդկանց մասին այլ տեղեկություններ ուղղակի մարքեթինգային նպատակով, այնինչ այդ մարդկանցից առնվազն որոշները նման նպատակով իրենց տվյալները մշակելու համաձայնություն երբեւէ չեն տվել որեւէ մեկին եւ տվյալներն էլ հանրմատչելի չեն դարձվել այդ նպատակներով։

Ստացվում է, որ այս դեպքում մարդկանց անձնական տվյալները մարքեթինգային նպատակներով մշակվում են առանց մարդկանց համաձայնության, այն է՝ առանց պատշաճ իրավական հիմքի, ինչն «Անձնական տվյալների պաշտպանության մասին» օրենքի առերեւույթ խախտում է։

Հավաստիության խնդիր

Որոշ դեպքերում  Explee-ի ԱԲ գործակալը նամակը պատրաստել էր մարդու վերաբերյալ համացանցից ստացված թեեւ իրական, բայց հնացած տեղեկությունների հիման վրա՝ սխալմամբ մարդուն վերագրելով աշխատավայրում այնպիսի դեր, որն այդ մարդը փաստացի չունի։

Սա հանգեցնում է «Անձնական տվյալների պաշտպանության մասին» օրենքի 6-րդ հոդվածով սահմանված հավաստիության սկզբունքի խախտման, որի համաձայն մշակվող անձնական տվյալը պետք է լինի ամբողջական, ճշգրիտ, պարզ և հնարավորինս թարմացված:

Անձնական տվյալների մշակման իրավաչափությունը ենթադրում է անձնական տվյալների մշակման բոլոր սկզբունքների եւ կանոնների միաժամանակյա ապահովում: Նման դիրքորոշում հայտնել է անձնական տվյալների պաշտպանության լիազոր մարմինը N-031/09/21 վարչական գործով կայացրած իր որոշմամբ: Հետեւաբար, եթե կա անձնական տվյալների մշակման որեւէ կանոնի, օրինակ, հավաստիության սկզբունքի խախտում, ապա անձնական տվյալների մշակումն այլեւս չի կարող իրավաչափ լինել, անգամ եթե տվյալները ձեռք են բերվել հանրամատչելի աղբյուրներից։

Տվյալներ մշակողը․ խնդիր հայկական տնտեսվարողների համար

«Անձնական տվյալների պաշտպանության մասին» օրենքի համաձայն՝ անձնական տվյալներ մշակողն այն պետական կառավարման կամ տեղական ինքնակառավարման մարմինը, պետական կամ համայնքային հիմնարկը կամ կազմակերպությունը, իրավաբանական կամ ֆիզիկական անձն է, որը կազմակերպում և (կամ) իրականացնում է անձնական տվյալների մշակում։ Աձնական տվյալներ մշակողը տվյալների մշակումը կարող է իրականացնել անձամբ, կամ տվյալների մշակումն ամբողջությամբ կամ մասամբ պատվիրակել (հանձնարարել) այլ անձի։ Այն անձը, որը տվյալներ մշակողի առաջադրանքով իրականացնում է անձնական տվյալների մշակումը կամ մշակման որեւէ դրվագ, մեր օրենսդրությունում կոչվում է լիազորված անձ։ Կարեւոր է հիշել, որ առաջադրանքի շրջանակներում լիազորված անձի կողմից իրականացվող անձնական տվյալների մշակման համար շարունակում է պատասխանատու լինել տվյալներ մշակողը:

Այսպես, Explee-ն հստակ սահմանում է, որ հանդիսանում է լիազորված անձ եւ ընդամենը տեխնիկական գործիք, իսկ տվյալներ մշակողը եւ տվյալների մշակման պատասխանատուն Explee-ն օգտագործող պատվիրատու կազմակերպությունն է։  Explee-ն ուղղակիորեն նաեւ նշում է, որ Explee-ն օգտագործողն է պատասխանատու․

• Explee-ի ծառայություններից օգտվելիս բոլոր այն հանձնարարությունների համար, որոնք տրվում են ԱԲ գործակալին, եւ բոլոր հաղորդագրությունների համար, որոնք կազմակերպության անունից իրականացնում է ԱԲ գործակալը,
• որ Explee-ի ցանկացած օգտագործում համապատասխանում է տվյալների պաշտպանության բոլոր վերաբերելի օրենքներին եւ կարգավորումներին,
• որ առկա է կոնտակտային տվյալների մշակման պատշաճ իրավական հիմք։

(տես՝ Explee-ի օգտագործման պայմանները՝ Terms of use | Explee, «User Conduct and Prohibited Content» եւ «Data Protection and GDPR Compliance» բաժինները,  Explee-ի գաղտնիության քաղաքականությունը՝ Privacy policy | Explee «Customer’s Role» բաժինը)

Վերոնշյալը նշանակում է, որ Explee-ի միջոցով անձնական տվյալների մշակման պատասխանատուն՝ անձնական տվյալներ մշակողը տվյալ դեպքում հայկական այն կազմակերպությունն է, որն օգտագործել է Explee-ի ծառայությունները, անգամ եթե չի ունեցել կամ պահպանել այն մարդկանց անձնական տվյալները (օրինակ, էլ․փոստի հասցեն), ում իր անունից ուղարկվել են մարքեթինգային հաղորդագրությունները։ Այս համատեքստում անձնական տվյալների մշակման իրավաչափությունը տվյալների սուբյեկտի կողմից վիճարկելու եւ անձնական տվյալների պաշտպանության իրավունիքի խախտման դեպքում Explee-ն օգտագործող տնտեսվարողը չի կարող ազատվել պատասխանատվությունից՝ պատճառաբանելով, որ ավտոմատացված գործընթացը կատարվել է ԱԲ գործիքի կողմից․ գործիքի ընտրությունը եւ դրա միջոցով իրականացվող տվյալների մշակումը ոչ թե Explee-ի, այլ այն օգտագործողի պատասխանատվության տիրույթում է:

Ինչու՞ է սա խնդիր․ բանն այն է, որ անձնական տվյալների պաշտպանության ոլորտում գիտելիքի եւ իրազեկման պակասը Հայաստանում դեռեւս համարվում են համակարգային խնդիրներ տարբեր ոլորտներում։ Այս համատեքստում հնարավոր է, որ Explee-ն կամ մարքեթինգի ավտոմատացման նմանատիպ այլ գործիք օգտագործող հայկական տնտեսվարողները համաձայնեն այդ գործիքների օգտագործման պայմաններին եւ գաղտնիության քաղաքականությանը՝ առանց դրանց մանրամասն ծանոթանալու եւ առանց հստակեցնելու անձնական տվյալների պաշտպանության ոլորտում նման գործիքների օգտագործումից ծագող իրենց պարտականությունները։ Նման պայմաններում թեեւ առանց գիտակցելու, հայկական կազմակերպությունները կարող են կրել անձնական տվյալների ոչ իրավաչափ մշակման ինչպես իրավական, այնպես էլ գործարար համբավի ռիսկերը։

Խորհուրդներ

Ստորեւ մի քանի գործնական խորհուրդներ են այն մասին, թե ինչ կարող են անել տնտեսվարողները կամ տնտեսվարողների SMM/մարքեթինգի թիմերը պոտենցիալ հաճախորդների անձնական տվյալների պաշտպանության իրավունքի խախտման ռիսկերը նվազեցնելու համար․

• Ավտամատացման, այդ թվում ԱԲ գործիքներ կամ հարթակներ օգտագործելուց առաջ պարտադիր ուսումնասիրեք դրանց օգտագործման պայմանները (Terms of Service, Terms of Use) եւ գաղտնիության քաղաքականությունը (Privacy Policy): Եթե դրանցում նշվում է, որ գործիքը կամ հարթակն օգտագործողն է հանդիսանում տվյալներ մշակող (Data Controller), ապա անձնական տվյալների պաշտպանությունն ապահովելու ողջ պատասխանատվությունը կրելու է օգտագործողը:
• Համոզվեք, որ տվայլների մշակման ամբողջ ընթացքում պահպանվում են «Անձնական տվյալների պաշտպանության մասին» օրենքով սահմանված բոլոր կանոնները միաժամանակ։ Այն փաստը, որ անձի էլ. փոստը կամ որեւէ այլ տվյալ հասանելի է LinkedIn-ում կամ հանրամատչելի է համացանցային որեւէ այլ հարթակում կամ կայքում, չի տալիս այդ տվյալը ցանկացած այլ նպատակով մշակելու անսահմանափակ իրավունք եւ չի ազատում տվյալեր մշակողին «Անձնական տվյալների պաշտպանության մասին» օրենքով սահմանված այլ կանոնները պահելու պարտականությունից:
• Վերահսկեք ԱԲ կողմից գեներացվող բովանդակությունը։ Նախքան ԱԲ միջոցով ավտոմատ հաղորդակցություն իրականացնելը, այդ թվում՝ էլեկտրոնային նամակներ ուղարկելը, ապահովեք գեներացված բովանդակության մարդկային վերահսկողություն: Պարբերաբար իրականացրեք ԱԲ-ի հավաքած տվյալների հավաստիության ստուգման վարժություններ:
• Ապահովեք տվյալների սուբյեկտների իրավունքները, այդ թվում՝ նախապես տված համաձայնությունը հետ կանչելու հնարավորությունը (օրինակ, էլեկտրոնային նամակում հետագա հաղորդագրություններից հրաժարվելու (Unsubscribe) կոճակի միջոցով), ինչպես նաեւ տվյալների մշակման վերաբերյալ տեղեկություն ստանալու իրավունքը:
• Եթե գործունեությունը կապված է հաճախորդների կամ այլ անձանց մեծ թվով կամ զգայուն անձնական տվյալների շարունակական մշակման հետ, ապա
  • պարբերաբար իրականացրեք տվյալների մշակման գործընթացների գնատահում, ըստ անհրաժեշտության նաեւ տվյալների պաշտպանության ազդեցության գնահատում (data protection impact assessment` DPIA),
  • տվյալների մշակման կապակցությամբ խորհրդակցեք մասնագետների հետ, ինչպես նաեւ դիտարկեք անձնական տվյալների պաշտպանության պատասխանատու (Data Protection Officer՝ DPO) ունենալու հնարավորությունը,
  • անհրաժեշտության դեպքում տվյալներ մշակելու վերաբերյալ խորհրդատվություն հայցեք անձնական տվյալների պաշտպանության լիազոր մարմնից՝ Անձնական տվյալների պաշտպանության գործակալություն։