GDPR a analýza chování zákazníků

Mnozí z vás využívají cílenou reklamu na základě analýzy chování zákazníka na webu. Údaje o charakteristickém chování zákazníka získáváte přes záznamy o jejich činnosti při prohlížení webových stránek – přes tzv. webové logy a přes cookies. Přestože to může odporovat logice, i cookies a web logs se od 25.05.2018 považují za osobní údaje. Jak tedy od května 2018 přistupovat k cílené reklamě, která je součástí přímého marketingu? Dozvíte se v článku.

GDPR a cílená reklama?

GDPR nepojmenovává výslovně cílenou reklamu, ale používá právnické výrazy, jakými jsou profilování nebo automatizované individuální rozhodování.

Profilování znamená automatizované zpracování osobních údajů, které spočívá v tom, že osobní údaje týkající se fyzické osoby se použijí na vyhodnocení jejích určitých osobních znaků či charakteristik. A to hlavně na analýzu, předvídání znaků a charakteristik subjektu osobních údajů, které souvisí s:

• výkonností v práci,
• majetkovými poměry,
• zdravím,
• osobními preferencemi,
• zájmy,
• spolehlivostí,
• chováním,
• polohou nebo pohybem.

Jednoduše řečeno, profilování je základem pro cílenou marketingovou kampaň.

Např.

Pokud jsem naposledy přes Google vyhledávala nabídku šicích strojů, jsem profilovaná jako volnočasová krejčí a na moji IP adresu je přes Google Ads vysílaná reklama s nabídkou šicích strojů na domácí použití za přijatelnou cenu. Tím pádem moje osobní preference byli profilované ve smyslu GDPR.

Profilování znamená zároveň i určitou segmentaci zákazníků za účelem zasílání marketingových nabídek nejčastěji na placené produkty. Pokud užíváte jakýkoliv software na email marketing – Mailchimp, Smartemailing, MailerLite a jiné – vždy si segmentujete zákazníky do jednotlivých mailing listů. Máte např. mailing list se zákazníky, kteří si už něco zakoupili a druhý mailing list tvoří emailové adresy vašich čitatelů, kteří se vám přihlásili na newsletter, a tedy si tímto způsobem zákazníka profilujete.

Druhou vyšší skupinu cílené reklamy tvoří tzv. automatizované individuální rozhodování. GDPR ho definuje jako „vyšší“ formu profilování, výsledkem které je automatizované rozhodnutí bez lidského zásahu s právními účinky, nebo s obdobně významnými účinky pro vašeho zákazníka.

Např.

Online žádost o poskytnutí půjčky na nákup šicího stroje na základě mých zadaných osobních údajů, kde je rozhodnutí o poskytnutí půjčky vygenerované bez jakéhokoli lidského zásahu jen na základě zadaných údajů.

Co přináší GDPR ve vztahu k cílené reklamě?

Více povinností pro správce – tedy pro vás.

1. V první řadě jste povinni informovat zákazníka/návštěvníka na vaší webové stránce, že u vás toto profilování/automatizované individuální rozhodování probíhá.
2. Kromě všeobecného informování na stránce, ho už při první komunikaci musíte srozumitelně informovat, že jeho údaje zpracováváte na účely přímého marketingu a že jsou profilované (např. odkázat na zásady na webu). Případně i informovat o tom, že u vás existují automaticky generovaná rozhodnutí bez zásahu člověka, což je však spíše výjimkou než pravidlem. Častokrát je totiž výsledek automatického zpracování údajů ještě před přijetím rozhodnutí revidovaný lidským prvkem = pracovníkem.
3. Dále musíte informovat vašeho zákazníka o právu namítat proti takovému zpracování jeho osobních údajů. Toto právo má zákazník kdykoliv, pokud jsou jeho osobní údaje profilované za účelem přímého marketingu.

Po doručení námitky máte povinnost zpravidla v lhůtě 1 měsíce od doručení přestat dále zpracovávat údaje této osoby na účely přímého marketingu.

Uvedené případy se však nevztahují na:

• automatické zpracování údajů nevyhnutelné na plnění smlouvy, kterou jste uzavřeli s vaším zákazníkem přes eshop/offline a vaše zájmy převažují nad zájmem vašeho zákazníka uvedeným v námitce;
• údaje jsou potřebné na prokazování, obhajování právních nároků (reklamace a jiné);
• NEBO pokud je automatizované zpracování údajů založené na výslovném souhlasu s takovým zpracováním (Více o souhlasu a kdy připadá do úvahy)…

…samozřejmě, uvedené platí při současném přijetí vhodných opatření zabezpečení proti úniku údajů na vaší straně (zabezpečený protokol; šifrovaní; hesla apod.).

Všechni díly seriálu o GDPR:

1. GDPR 2018: strašák nebo pomocník?
2. GDPR a zpracování osobních údajů: stačí souhlas?
3. GDPR: o čem všem informovat zákazníka?
4. GDPR: právo na zapomnění a další práva I.
5. GDPR: právo na zapomnění a další práva II.
6. GDPR a analýza chování zákazníků (právě čtete)
7. GDPR: administrativa správce (v přípravě)