Consecintele folosirii customer relationship manager software in scop de marketing, din perspectiva legislatiei de protectia datelor cu caracter personal

Folosirea unui customer relationship manager (pe scurt CRM ) in cadrul activitatii online derulate, reprezinta o practica extrem de utila in special pentru societatile care vand produse prin intermediul site-urilor.

Acest program permite prestarea mai facila si fara erori a serviciilor de customer support, de livrare produse si colectare a pretului acestora, insa permite si activarea unor functii suplimentare ce pot conduce la atragerea de noi cumparatori dintre persoanele care doar acceseaza site-ul insa nu plaseaza si o comanda efectiva (persoane denumite generic Lead Customer ).

Astfel de functii pot privi:

Asadar, se poate lese observa ca facilitatile oferite de CRM pot impacta domeniul protectiei datelor cu caracter personal. In acest sens, se va verifica daca prelucrarea datelor cu cu caracter personal, in functie de scopul avut in vedere, se face in baza unuia dintre temeiurile prevazute de art. 6 alin. 1 literele (a) (f) din Regulamentul nr. 679 din 27 aprilie 2016 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date (denumit in continuare Regulamentul sau GDPR ).

In cadrul mai sus descris, importanta ridicata o au in special temeiurile prevazute de:

Cu privire la temeiul consimtamantului, dorim sa atragem atentia supra faptului ca nu trebuie confundate conditiile consimtamantului prevazute de GDPR, cu cele ale consimtamantului reglementat de normele de drept comun. Astfel, nu se va confunda confirmarea unei comenzi prin apasarea unui buton, cu un consimtamant acordat in vederea prelucrarii datelor cu caracter personal fara a fi indeplinite conditiile prevazute de art. 7 respectiv 8 din GDPR.

Inainte de toate, precizam ca incheierea in mod valabil si executarea unui veritabil contract comercial intre cumparator persoana fizica si vanzator in vederea vanzarii si livrarii de produse prin intermediul unui site, presupune cu siguranta prelucrarea de date cu caracter personal. Cu toate acestea, nu trebuie sa uitam ca este obligatorie nu doar respectarea Regulamentului, ci si respectarea normelor legale din domeniul contractelor, al consumatorilor si ePrivacy.

Un exemplu de prelucrare a datelor cu caracter personal efectuata de societate, care poate fi bazata pe acest temei, este pastrarea facturilor dupa momentul livrarii produselor catre cumparator, avand in vedere obligatiile prevazute de legislatia fiscala.

In considerarea acestui temei, precizam ca libertatea de a desfasura o activitate comerciala recunoscuta de art. 16 din Carta drepturilor fundamentale a Uniunii Europene precum si de articolele 56 si 57 din Tratatul privind functionarea Uniunii Europene, trebuie respectata. Cu toate acestea, dreptul de a desfasura activitati economice nu va reprezenta un motiv suficient pentru a justifica existenta unui interes legitim al societatii in vederea prelucrarii sub orice forma a datelor cu caracter personal.

De asemenea, tocmai pentru ca serviciile oferite de magazinele on-line sunt considerate ca fiind afectate de regula de o mai mare lipsa de transparenta in ceea ce priveste mijloacele de prelucrare a datelor cu caracter personal, este important ca interesul legitim sa fie cat se poate de transparent pentru persoanele vizate. De altfel, transparenta pe care Site-ul trebuie sa o dovedeasca si deci informarea utilizatorilor, este obligatorie indiferent de temeiul pe care se bazeaza prelucrarea datelor cu caracter personal.

Astfel, daca societatea va dori sa informeze clientii/Lead Customers cu privire la anumite concursuri sau promotii folosind una din optiunile oferite de CRM, scopul acestui demers va fi cu siguranta unul de marketing. In consecinta, temeiul de drept ce poate sta la baza unei atare operatiuni nu poate fi cel prevazut de art. 6 alin. 1 lit. (b) si nici (c) din Regulament, ci va fi cel de la lit. (a) sau lit. (f).

Intrucat dovedirea unui interes legitim al operatorului sau al unui tert care sa nu prevaleze in fata drepturilor fundamentale ale persoanelor vizate este dificila in cazul prelucrarii datelor in scop de marketing, in majoritatea situatiilor magazinele online aleg temeiul consimtamantului si creaza premisele in acest sens, prin afisarea unei note de consimtamant care poate fi acceptata de catre client (n.n. nu care trebuie sa fie acceptata de client pentru a putea comanda produse).

Prioritatea temeiului consimtamantului fata de cel al interesului legitim poate fi explicata si prin raportare la normele art. 4 din Legea nr. 506/2004 potrivit caruia, cu titlu de exceptie, este permisa prelucrarea comunicarilor si a datelor de trafic aferente, in cazul in care utilizatorul si-a exprimat acordul.

Un alt argument ce vine in sprijinul utilizarii temeiului consimtamantului in cazul prelucrarii de date ce presupune crearea de profiluri ale utilizatorilor, il constituie art. 22 din GDPR, ce permite acest demers atunci cand produce efecte juridice semnificative pentru utilizatori (adica in situatia in care e necesara o evaluare a impactului asupra protectiei datelor), daca acestia si-au exprimat consimtamantul explicit in acest sens.

Ca un motiv in plus a utilitatii alegerii temeiului consimtamantului, amintim exemplul nr. 5 oferit de Ghidul nr. 2/2019 emis de EDPB. Exemplul se refera la farmacie on-line care analizeaza informatiile la care are acces cu privire la clienti (inclusiv informatii demografice, clickstream data, produsele achizitionate sau numai vizualizate) si creaza un profil care permite comunicarea de e-mailuri cu produsele ce au sansele cele mai ridicate sa fie interesante pentru acel client. Concluzia EDPB este aceea ca nu poate fi folosit temeiul interesului legitim atunci cand se creaza astfel de profile ale clientilor in scop de marketing.

Lasand deoparte argumentele de mai sus ce vin in sprijinul alegerii consimtamantului ca temei de drept atunci cand sunt prelucrate date cu caracter personal in scop de marketing, se va verifica de fiecare data de catre societate care este temeiul potrivit fiecarei operatiuni de prelucrare a datelor. Dupa ce se va determina care temeiuri este cel mai potrivit situatiei de fapt respective, persoana vizata trebuie informata la momentul primei comunicari si daca e necesar, trebuie obtinut consimtamantul acesteia.

Indiferent de temeiul ales insa, principiile generale revazute de Regulament la art. 5, trebuie respectate.

In concluzie: Temeiul de drept folosit in vederea prelucrarii datelor cu caracter personal de catre un magazin care vinde produse on-line, difera in functie de scopul urmarit. Astfel, daca se vor activa anumite optiuni ale CRM-urilor ce au drept scop folosirea datelor cu caracter personal in scop de marketing, iar nu numai pentru achizitionarea produselor, se va alege cel mai adesea temeiul consimtamantului.