Kundedata i loyalitetsprogrammet: GDPR, formål og kundens rettigheder

Kundedata i loyalitetsarbejdet: hvad taler vi om?

Kundedata dækker ifølge Henrik Bak, Senior Solutions Sales Executive i SAP Customer Experience, service, after sales, klager og økonomi – ikke kun marketingdata. Et loyalitetsprogram skal trække på hele bredden, hvis belønningen skal afspejle den faktiske relation.

Awardit kalder sig specialist i loyalitets- og belønningsprogrammer og knytter belønning til styrket kundeloyalitet og øget motivation hos personalet. Det forudsætter data om kunden, ikke kun om den enkelte kampagne.

Bak kalder en KPI for en enkelt kampagne "en lille fisk i havet" og vurderer, at infrastrukturen for data er 1.000 gange mere værd. Loyalitetsarbejde hviler derfor på vedvarende datastrukturer frem for enkeltstående indsatser. Data skal stadig være brugbare, når kampagnen er slut.

En personoplysning er alle oplysninger, der kan henføres til en fysisk person – fx navn, adresse, billede eller stemme. Derfor er tekniske spor fra et websted eller en loyalitetsapp også kundedata.

Felterne kan være navn, adresse, e-mail og telefonnummer, hvad der er købt og returneret, henvendelser og klager samt økonomi. Hertil kommer tekniske data som browsertype og -version, operativsystem, referrer, besøgte undersider, dato og tid, IP-adresse og internetudbyder.

Adfærdssporing hører også til. Besøgshistorik kan bruges til at udpege bestemte typer af personer, som virksomheden vil markedsføre til.

Kort svar: Et dansk loyalitetsprogram må bruge navn, adresse, e-mail, telefonnummer, køb og returneringer, henvendelser og klager samt økonomi, når formålet er fastlagt. Tekniske data som IP-adresse, browsertype og adfærdssporing må bruges til at vise indhold, optimere og udpege målgrupper. Følsomme oplysninger og oplysninger om strafbare forhold kræver en særskilt hjemmel.

Reglerne er GDPR, databeskyttelsesloven og markedsføringsloven § 10. Datatilsynet fører tilsyn med GDPR i Danmark. Om en oplysning må bruges, afgøres af formålet og hjemlen – ikke af datatypen alene. For elektronisk direkte markedsføring gælder markedsføringsloven § 10.

Må du bruge kundedataene? Retsgrundlag og samtykke

Når en privat virksomhed i Danmark behandler personoplysninger, skal den overholde GDPR. Datatilsynet præciserer, at "behandling" dækker bredt – at indsamle, registrere, videregive eller slette oplysninger om f.eks. kunder eller ansatte. Datatilsynet fører tilsyn med GDPR i Danmark og vejleder om, hvordan virksomheder lever op til reglerne. Databeskyttelsesloven supplerer GDPR i dansk ret.

Før du bruger loyalitetsdata til et nyt formål – f.eks. markedsføring mod en kunde i en ny kanal eller videregivelse til en samarbejdspartner – bør du kunne forklare formålet med behandlingen. Du bør kunne dokumentere, hvordan behandlingen hænger sammen med de formål, du har fastlagt, hvis kunden eller tilsynet spørger.

Inden du gennemfører din markedsføringsaktivitet, anbefales det, at du får overblik over, hvem du vil henvende dig til, hvilke personoplysninger der er nødvendige at behandle, om du behandler følsomme oplysninger, og hvilken hjemmel du har til din behandling af personoplysninger.

Artikel 5 i GDPR opstiller principperne: lovlighed, rimelighed og gennemsigtighed, formålsbegrænsning, dataminimering, rigtighed, opbevaringsbegrænsning samt integritet og fortrolighed. Efter artikel 5, stk. 2, er den dataansvarlige ansvarlig for og skal kunne påvise, at principperne overholdes.

For elektronisk direkte markedsføring i dansk ret gælder Markedsføringsloven § 10. En erhvervsdrivende må ikke rette henvendelse til nogen ved brug af elektronisk post, et automatisk opkaldssystem eller telefax med henblik på direkte markedsføring, medmindre den pågældende har givet sit forudgående samtykke. Inden samtykket skal kunden oplyses om, at det kan trækkes tilbage, og at tilbagekaldelsen skal være nem og gratis.

Efter § 10, stk. 2, kan en erhvervsdrivende, der fra en kunde har modtaget dennes elektroniske adresse i forbindelse med salg af produkter, markedsføre egne tilsvarende produkter til kunden via elektronisk post. Det kræver, at kunden klart og utvetydigt kan frabede sig markedsføringen uden gebyr og besvær, både da adressen blev afgivet, og ved hver senere henvendelse.

Ved elektronisk post med direkte markedsføring skal markedsføringen klart kunne identificeres som sådan, og betingelser for salgsfremmende foranstaltninger skal være let tilgængelige og fremlægges klart og utvetydigt. Det skal fremgå, på hvis vegne markedsføringen udsendes, og der skal være en adresse, som modtageren kan henvende sig til for at få standset henvendelserne.

For andre midler til fjernkommunikation end elektronisk post, automatiske opkald og telefax må der ikke rettes henvendelse til en bestemt fysisk person med direkte markedsføring, hvis den pågældende har frabedt sig det. Det gælder også, hvis det fremgår af CPR's fortegnelse, der udarbejdes hvert kvartal, eller hvis den erhvervsdrivende ved undersøgelse i CPR er blevet bekendt med, at den pågældende har frabedt sig direkte markedsføring.

Stk. 5: Forbuddet i stk. 4, nr. 2 og 3, gælder ikke, hvis den pågældende person forudgående har anmodet om henvendelsen fra den erhvervsdrivende. Første gang en erhvervsdrivende retter henvendelse ved andre midler til fjernkommunikation, skal den klart og utvetydigt oplyse om retten til at frabede sig direkte markedsføring. Det skal altid være nemt og gratis at frabede sig sådanne henvendelser.

Videregiver du oplysninger om dine kunder til sociale medier, så de kan henvende sig til dem, skal GDPR overholdes. Det samme gælder, når du sorterer i datasæt eller segmenterer for at udvælge den rigtige målgruppe.

Ved siden af forordningen gælder databeskyttelsesloven. Den supplerer GDPR i dansk ret og begrænser blandt andet den offentlige forvaltnings behandling af oplysninger om strafbare forhold. Efter databeskyttelsesloven § 8 må den offentlige forvaltning ikke behandle oplysninger om strafbare forhold, medmindre det er nødvendigt for varetagelsen af myndighedens opgaver.

DACHSER's databeskyttelseserklæring viser princippet i praksis: Hvis selskabet vil tilbyde særlige tjenesteydelser via webstedet eller på anden måde, og der ikke er retsgrundlag for den nødvendige databehandling, indhenter DACHSER kundens samtykke. Det er DACHSER's fremgangsmåde i den situation – ikke en generel regel om, at samtykke altid er reservegrundlaget.

Hvad du må bruge, afgøres derfor ikke af datatypen alene, men af formålet og den hjemmel, behandlingen hviler på. Samtykke er én vej, men ikke den eneste. For et loyalitetsprogram betyder det, at du må bruge kundedata til de formål, programmet er fastlagt til. Elektronisk direkte markedsføring kræver efter Markedsføringsloven § 10 forudgående samtykke eller den snævre undtagelse for egne tilsvarende produkter.

Følsomme oplysninger og oplysninger om strafbare forhold falder uden for de almindelige loyalitetsdata. Databeskyttelsesloven begrænser offentlig forvaltnings behandling af oplysninger om strafbare forhold. For begge typer skal hjemlen vurderes særskilt.

Datatilsynet vejleder blandt andet om cookies og GDPR, om hvad en personoplysning er, og om forskellen mellem dataansvarlig og databehandler. Datatilsynet fører tilsyn med GDPR i Danmark; hjemlen for behandlingen afgøres af formålet.

Formål og hjemmel for kundedata i loyalitetsprogrammer

Formål, nødvendighed og opbevaring

Datatilsynet kalder GDPR for fleksible regler. Vurderingen ligger hos virksomheden selv. Du kender bedst din egen virksomhed.

Derfor er du bedst til at vurdere, hvilke personoplysninger du har behov for at behandle, til hvilke formål, og hvor længe det er nødvendigt at gemme dem. Datatilsynet afviser samtidig myten om, at GDPR skulle kunne fortælle dig, hvornår personoplysninger skal slettes. Opbevaringsfristen er din egen beslutning, men den skal være truffet og kunne forklares.

For et loyalitetsprogram betyder det, at du selv skal beslutte og kunne forklare, hvor længe point, købs- og servicehistorik opbevares. Der findes ikke en fast slettefrist i GDPR, som du kan læne dig op ad.

En beslutningsmodel med fire trin følger den logik. Formål: Skriv i én sætning, hvad oplysningen bruges til, f.eks. at beregne point og udstede belønninger. Data: Medtag kun de felter, formålet kræver, og undlad resten.

Opbevaring: Sæt en frist, og slet når formålet er opnået. Adgang: Beslut hvem i marketing, service og økonomi der må se hvilke felter, og hvorfor.

DACHSER's serverlogning illustrerer formålsstyringen. Der registreres browsertype og -version, operativsystem, referrer, besøgte undersider, dato og tid, IP-adresse, internetudbyder og lignende data. Formålet er snævert angivet: vise webstedets indhold korrekt, optimere indhold og annoncer samt afværge angreb på it-systemerne. DACHSER oplyser samtidig, at man ikke drager konklusioner om den enkelte bruger gennem disse data, og at profilering ikke finder sted.

Hvert datasæt i et loyalitetsprogram bør kunne tåle samme test. Testen er et skrevet formål, en begrundet mængde og en defineret levetid.

De fire trin følger principperne i artikel 5: formålsbegrænsning, dataminimering, opbevaringsbegrænsning og ansvarlighed. Skriver du formålet ned, har du svaret, når kunden eller tilsynet spørger.

Viderebehandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål er efter artikel 89, stk. 1 ikke uforenelig med de oprindelige formål.

Du kan altid få vejledning hos Datatilsynet, og typisk kan din brancheorganisation hjælpe med konkrete spørgsmål til netop din virksomheds håndtering af GDPR.

4-trins beslutningsmodel til behandling af kundedata

Kundens rettigheder i loyalitetsprogrammet

DACHSER opsummerer registreredes rettigheder: information, berigtigelse, sletning, begrænsning af behandling, dataportabilitet og indsigelse. Virksomheden gør det muligt at udøve dem online. Datatilsynet beskriver det samme på EU-niveau: Alle danskere har som EU-borgere en række rettigheder i GDPR. Med GDPR har EU-borgere de samme databeskyttelsesrettigheder inden for EU, uanset hvilket EU-land data bruges i.

DACHSER's erklæring er et eksempel på information om arten og omfanget af samt formålet med de personoplysninger, der indsamles og behandles, og om de rettigheder, der tilkommer den registrerede. Den information skal et loyalitetsprogram kunne give kunden på et let tilgængeligt sted.

I et loyalitetsprogram skal kunden kunne se, hvilke oplysninger I har registreret. Kunden skal også kunne få rettet forkerte kontaktoplysninger, få slettet oplysninger der ikke længere skal bruges og få begrænset behandlingen.

Desuden skal kunden kunne få udleveret sine data i et flytbart format og gøre indsigelse mod f.eks. markedsføring. Det forudsætter, at datamodellen kan finde alle oplysninger om én person på tværs af kampagne-, købs- og servicedata – ikke kun i det system, hvor oplysningen oprindeligt blev indsamlet.

En indsigelse mod markedsføring skal kunne efterkommes, uden at programmet mister sit grundlag.

DACHSER navngiver en dataansvarlig og en databeskyttelsesrådgiver med kontaktoplysninger. Et loyalitetsprogram bør have en tilsvarende klar indgang for spørgsmål om kundedata. Kunden skal kunne finde den, når rettigheder skal bruges.

Kundens rettigheder efter GDPR i et loyalitetsprogram

Fra spredte data til et samlet kundebillede

Ifølge Henrik Bak samler de bedste virksomheder data i én model – én samlet dataarkitektur for hele virksomheden. Det giver én version af sandheden og en lav omkostning, når de kommunikerer online og offline med kunderne. Han fremhæver Pandora som eksempel på en flerårig rejse, hvor teknologi, kultur og kompetence udvikles sideløbende for at få effekten af samlede kundedata.

Han tilføjer, at integrationen ikke er et snævert marketinganliggende, men drives af topledere, forretningsudviklere eller CIO'er. For loyalitet betyder det, at samme kunde skal genkendes, uanset om vedkommende henvender sig i service, køber i butik, returnerer en vare eller klager.

Økonomidata viser, om relationen er rentabel. Service og klager viser, hvor den er under pres. Transaktioner viser, hvad belønningen skal hænge sammen med. Er data spredt per funktion, opstår modstridende kundebilleder – og et program, der belønner ud fra det forkerte grundlag.

Før oplysninger videregives til en samarbejdspartner eller til sociale medier, skal behandlingen have en hjemmel. Et samlet kundebillede gør det lettere at se, hvilke data der flyttes, og hvem der må se dem.

Et samlet kundebillede ændrer ikke reglerne: du må kun bruge oplysningerne til de fastlagte formål. Reglerne er GDPR, databeskyttelsesloven og markedsføringsloven § 10, og Datatilsynet fører tilsyn med GDPR i Danmark.

Personalisering og automatisering – med kundens data

Når datagrundlaget er samlet og struktureret, kan virksomheden lave automatiseret, personlig og individ-orienteret markedsføring, skriver Henrik Bak. Personaliseringen bygger da på kundens egne data: hvad hun har købt, hvad hun har henvendt sig om, og hvordan hun reagerer på kanaler og tilbud.

Rammen for den automatiserede regel er de formål, der er fastlagt for behandlingen, og kundens rettigheder. Hver regel skal kunne begrundes ud fra disse formål. Kunden skal kunne bruge sine rettigheder – f.eks. indsigelse og sletning – uden at programmet bryder sammen.

Når personaliseringen bruges til elektronisk direkte markedsføring, gælder Markedsføringsloven § 10 ved siden af GDPR. Den automatiserede regel skal derfor kunne håndtere forudgående samtykke og frabedelser.

Segmentering er en selvstændig behandling: også når du sorterer i datasæt for at finde den rigtige målgruppe, gælder GDPR. Reglerne skal være overholdt i alle faser, fra planlægning til udsendelse.

DACHSER oplyser, at profilering ikke finder sted gennem de generelle serverlogdata. I et loyalitetsprogram skal profilering og automatiserede regler vurderes efter formålet og hjemlen.

Fordel vs. risiko ved brug af adfærdssporing i loyalitet

Sikkerhed og ansvar for kundedata

Ifølge adjunkt Jeppe T. Jacobsen (FAK, 2. marts 2023) er private aktører i dag med til at løse Danmarks sikkerhedsudfordringer. National sikkerhed er derfor ikke længere blot et anliggende for staten. Han beskriver offentlig-private partnerskaber som en bevægelse væk fra juridisk bindende, tidsbegrænsede kontrakter hen imod appel til selvregulering. Appel fører ikke automatisk til højere cybersikkerhed.

Det kræver, at parterne deler forståelse af cyberrisici, at der er gensidig tillid, og at der faktisk er ressourcer til at løse problemerne. Jacobsens eksempel viser mekanismen.

Da Colonial Pipeline blev ramt af et cyberangreb i maj 2021, kostede det firmaet næsten fem millioner dollars i løsesum til cyberkriminelle og desuden tabt fortjeneste i den lille uge, hvor olien ikke flød. For forbrugere og virksomheder må de sekundære omkostninger ved tomme benzintanke og højere benzinpriser formodes at have været langt højere.

Colonial Pipeline var kategoriseret som kritisk infrastruktur og kunne ifølge analysen have undgået angrebet med basale cybersikkerhedsforanstaltninger. Jacobsen peger på, at kritiske infrastrukturvirksomheder investerer i cybersikkerhed med skelen til bundlinjen. Vurderingen af egne omkostninger ved et nedbrud harmonerer ikke altid med den samfundsmæssige omkostning – hvilket fører til mindre investering, end sikkerhedsbehovet tilsiger.

Overført til loyalitetsdata ligger værdien i at kunne genkende og belønne enkeltpersoner. Det gør datamængden attraktiv og følsom. Artikel 5 kræver integritet og fortrolighed: oplysningerne skal beskyttes mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse.

DACHSER har en fast kanal til at indberette hændelser som uautoriseret adgang, videregivelse, behandling eller tab af personoplysninger. Efter artikel 5, stk. 2, skal virksomheden kunne påvise, at beskyttelsen er på plads. For loyalitetsdata betyder det, at du skal beskytte oplysningerne mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse, og at du skal kunne dokumentere det.

Loyalitet som forretningscase – ikke bare dataindsamling

Awardit beskriver, at selskabets loyalitets- og gavekortsløsninger kan aflæses direkte på bundlinjen. Systemerne er skabt til at levere tydelige tal, så kunden kan følge, hvordan investeringen betaler sig tilbage. Selskabet blev noteret på Nasdaq First North Growth Market i 2017 og har gennemført tolv strategiske opkøb i Norden og DACH-regionen.

Awardit formulerer grundtanken som "at anerkende og selv få noget igen". Selskabet knytter økonomiske fremskridt til, at virksomheder aktivt værdsætter deres målgrupper og personale. For at gøre loyalitetsdata til en forretningscase skal databrugen kunne kobles til konkrete udfald: gentagne køb, indløste belønninger, færre eller billigere servicehenvendelser, klager der bliver løst.

Henrik Bak henviser til Shoshana Zuboffs "Overvågningskapitalismens tidsalder". Her er værdien, der skabes gennem data om adfærd, indiskutabel. Fordelingen af værdien er en helt anden historie, som en moderne virksomhed må tage højde for.

I et loyalitetsprogram er svaret på det fordelingsspørgsmål, at kunden selv skal kunne se, hvad hun får for sine data. Programmets formål, opbevaring og rettigheder skal kunne forklares i den samme sætning.

Ansvarlighedsprincippet i artikel 5, stk. 2, kræver, at I kan påvise, at behandlingen følger principperne. Derfor hører skrevne formål, frister og hjemmel med til de tal, der skal vise, at investeringen betaler sig.

Kort sagt: Et dansk loyalitetsprogram må bruge navn, adresse, e-mail, telefonnummer, køb og returneringer, henvendelser og klager samt økonomi, når formålet er fastlagt. Reglerne er GDPR, databeskyttelsesloven og markedsføringsloven § 10, og Datatilsynet fører tilsyn med GDPR i Danmark. Elektronisk direkte markedsføring kræver forudgående samtykke efter § 10 eller undtagelsen for egne tilsvarende produkter.