GDPR și programul de loializare — ce trebuie să știți înainte să colectați date despre clienți

Un program de fidelizare simplu — cartelă digitală de vizite, puncte de loialitate, reduceri pentru clienți recurenți — înseamnă, aproape întotdeauna, colectarea a cel puțin numelui și numărului de telefon al clientului. Din momentul în care stocați aceste date, indiferent cât de simplu pare sistemul, intrați sub incidența Regulamentului UE 2016/679 (GDPR) și a legii române de aplicare, Legea nr. 190/2018.

Pentru a colecta legal numele și telefonul unui client în scopul unui program de loializare, cea mai clară și mai sigură bază legală este consimțământul explicit al clientului, obținut la momentul înscrierii în program — de exemplu, printr-o bifă clară la înscriere, nu presupus din simplul fapt că a lăsat numărul de telefon la casă.

Consimțământul trebuie să fie specific (pentru programul de loializare, nu generic «pentru marketing în general»), ușor de retras, și documentat — păstrați o evidență a momentului și modului în care fiecare client și-a dat acordul.

O confuzie frecventă: proprietarii cred că orice colectare de date personale impune desemnarea unui responsabil cu protecția datelor (DPO). Potrivit precizărilor oficiale ale Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), DPO este obligatoriu doar pentru autorități publice, sau pentru prelucrări de date la scară largă ori care implică monitorizare sistematică sau categorii speciale de date.

Un program de loializare pentru clienții unei cafenele sau ale unui restaurant cu 1-3 locații, care colectează doar nume și telefon, nu atinge pragul de «scară largă» definit de autoritate — nu aveți nevoie de un DPO desemnat pentru acest scop, deși documentarea corectă a modului în care gestionați datele rămâne obligatorie indiferent de asta.

Colectarea numărului de telefon pentru programul de loializare este un lucru; trimiterea de SMS-uri sau mesaje promoționale pe acel număr este altceva, guvernat separat de Legea nr. 506/2004 (transpunerea românească a directivei privind protecția vieții private în comunicațiile electronice). Această lege cere consimțământ prealabil explicit pentru trimiterea de comunicări de marketing (SMS, email), cu o excepție limitată («soft opt-in») atunci când datele de contact au fost colectate în contextul unei vânzări similare, iar clientul a avut posibilitatea clară de a refuza la momentul colectării și la fiecare comunicare ulterioară.

Practic: consimțământul pentru cartela de loialitate nu acoperă automat și consimțământul pentru SMS-uri promoționale — dacă intenționați să trimiteți oferte, cereți acest acord separat, explicit, la înscriere.

Indiferent de baza legală folosită, clienții își păstrează drepturile garantate de GDPR: dreptul de acces la datele deținute despre ei, dreptul de rectificare dacă sunt greșite, și dreptul la ștergere («dreptul de a fi uitat»), atunci când nu mai există un motiv legal de a le păstra. Aveți nevoie de un proces clar — chiar și simplu, un email sau un formular de contact — prin care un client poate cere ștergerea datelor sale din programul de loializare, și trebuie să răspundeți efectiv, nu doar formal.

• [ ] Clienții își dau consimțământul explicit la înscrierea în programul de loializare, nu presupus
• [ ] Păstrați o evidență a momentului și modului în care fiecare client a consimțit
• [ ] Nu trimiteți SMS-uri sau email-uri promoționale fără un consimțământ separat, specific pentru asta
• [ ] Aveți un proces clar prin care un client poate cere ștergerea datelor sale
• [ ] Nu ați desemnat inutil un DPO doar pentru programul de loializare — nu e obligatoriu la această scară

Pentru situații mai complexe (colectarea altor tipuri de date, integrare cu platforme externe de marketing), verificarea cu un specialist în protecția datelor rămâne cea mai sigură cale.