Woordenlijst
Wat is avg-toestemming?
GDPR-toestemming is de vrijwillig gegeven, specifieke en vastgelegde toestemming die een bedrijf moet verkrijgen voordat het de persoonsgegevens van een EU-klant verwerkt voor een loyaliteitsprogramma.
Voor loyaliteitsprogramma's betekent dit in de praktijk twee dingen. Ten eerste moet de klant bij aanmelding actief instemmen in plaats van stilzwijgend te worden toegevoegd, wat vooral van belang is wanneer een medewerker het nummer namens hem intypt. Ten tweede is het bedrijf, en niet het loyaliteitsplatform, de verantwoordelijke voor de gegevensverwerking: de klantenlijst is eigendom van het bedrijf en het platform verwerkt deze in opdracht.
Wanneer is toestemming vereist?
Voor marketingberichten geldt dit altijd. Voor het gebruik van de klantenkaart zelf is de wettelijke grondslag doorgaans de uitvoering van een contract of gerechtvaardigde belangen, omdat de klant zelf heeft aangegeven deel te willen nemen aan een systeem dat zonder identificatiecode niet kan functioneren.
| Bericht | Type | Is marketingtoestemming vereist? |
|---|---|---|
| Hier is uw klantenkaart. | Dienst | Nee |
| Je hebt 8 van de 10 postzegels. | Dienst | Nee |
| Je beloning staat klaar. | Dienst | Nee |
| 20% korting dit weekend | Marketing | Ja |
| We missen je: kom terug | Marketing | Ja |
Wat maakt toestemming geldig?
De toestemming moet vrijwillig, specifiek, geïnformeerd en ondubbelzinnig zijn, en het bedrijf moet kunnen aantonen dat deze is verkregen. Een vooraf aangevinkt vakje is geen toestemming, en het stilzwijgen van een klant evenmin.
Wanneer een medewerker namens de klant een nummer invoert, wordt er mondeling toestemming gegeven en moet het systeem registreren dat dit is gebeurd, wanneer en waarvoor. "Kan ik u uw klantenkaartnummer via sms sturen?" is een voldoende formulering; het belangrijkste is dat het antwoord wordt vastgelegd.
En hoe zit het met de ePrivacy-regels?
Elektronische marketing wordt geregeld door ePrivacy-regels naast de AVG (PECR in het VK, nationale equivalenten in de hele EU), en die vereisen doorgaans voorafgaande toestemming in plaats van gerechtvaardigd belang. Dit is de laag die het vaakst over het hoofd wordt gezien door bedrijven die aannemen dat het rechtmatig bezitten van een nummer ook toestaat om het te sms'en.
Zie ook
- Verwerkingsverantwoordelijke: De gegevensbeheerder is de organisatie die beslist waarom en hoe persoonsgegevens worden verwerkt; in een loyaliteitsprogramma is dit het bedrijf dat het programma uitvoert, niet de softwareleverancier.
- Verwerker: Een gegevensverwerker verwerkt persoonsgegevens namens een verwerkingsverantwoordelijke en uitsluitend volgens diens instructies; een loyaliteitsplatform is een verwerker die handelt namens het bedrijf dat er gebruik van maakt.
- First-party data: First-party data is informatie die een bedrijf rechtstreeks van zijn eigen klanten verzamelt, zoals een telefoonnummer dat aan de balie wordt gegeven, en binnen een loyaliteitsprogramma is dit het bezit dat het programma oplevert.
Meer informatie
AVG en loyaliteitsprogramma's: wat een klein bedrijf moet doen
De praktische compliancechecklist voor het uitvoeren van een digitaal loyaliteitsprogramma in de EU: rechtsgrond, toestemming voor marketing, bewaartermijnen en rechten van betrokkenen.
Loyaliteitsprogramma's waarvoor geen klantapp nodig is.
Waarom het vragen aan klanten om een app te installeren de loyaliteitsprogramma's ondermijnt, en hoe digitale betaalkaarten dezelfde voordelen bieden zonder download.