Samtykke

Samtykke er i personvernsammenheng kundens aktive godkjenning av at du kan behandle opplysningene hennes til et bestemt formål. GDPR stiller fire kjente krav: samtykket skal være frivillig, spesifikt, informert og utvetydig. Kunden skal altså forstå hva hun sier ja til, si ja uten press, og si det med en aktiv handling — en ferdig avkrysset boks teller ikke.

For en kundeklubb er samtykket selve fundamentet. Uten gyldig samtykke kan du verken sende tilbud på SMS og e-post eller bruke kjøpshistorikken til å skreddersy markedsføringen.

Ett samtykke per formål

Et vanlig feilgrep er å bake alt inn i ett samlet «ja takk til alt». GDPR krever at samtykke gis per formål: ønsker du både å sende nyhetsbrev og å profilere medlemmene ut fra kjøpshistorikk, skal kunden kunne si ja til det ene og nei til det andre. Medlemskap i klubben kan heller ikke betinges av at kunden godtar markedsføring som ikke er nødvendig for selve medlemskapet.

I tillegg har du dokumentasjonsplikt: du skal kunne vise hvem som har samtykket til hva, og når. Derfor bør samtykker registreres og loggføres i systemet, ikke ligge i en perm eller et regneark.

Retten til å trekke samtykket tilbake

Et samtykke er aldri endelig. Kunden kan når som helst trekke det tilbake, og det skal være like enkelt å trekke som det var å gi — for eksempel via en avmeldingslenke i e-posten eller et stoppord på SMS. Trekkes samtykket, må utsendelsene til den kunden opphøre. Behandlingen som skjedde mens samtykket var gyldig, var fortsatt lovlig.

Riktig fra start i kundeklubben

Det er langt enklere å håndtere samtykke riktig fra første medlem enn å rydde opp i etterkant. I kundeklubben vi leverer registreres samtykke ved innmelding i kassen, fordelt på formål, og lagres på medlemmet — slik at utsendelser bare går til dem som faktisk har sagt ja. Dette er allment kjente krav, ikke juridisk rådgivning; er du i tvil om egen praksis, er Datatilsynets veiledere et godt sted å starte.