GDPR a zpětná vazba, kde CX týmy nejčastěji chybují

Většina CX manažerů vám řekne, že GDPR je věc právního oddělení. Že se jich týká, jen když posílají newsletter nebo nastavují cookies na webu. Realita je jiná a méně pohodlná: každý dotazník spokojenosti, každé propojení odpovědi z NPS (Net Promoter Score, metrika loajality zákazníků měřená na škále 0 až 10) s konkrétním jménem v CRM, každé „podíváme se, kdo nám dal jedničku a zavoláme mu“ je zpracování osobních údajů. A GDPR (Obecné nařízení o ochraně osobních údajů, evropská legislativa platná od května 2018) na něj platí úplně stejně, jako na e-mailový marketing.

Číslo, které by mělo každého CX lídra přimět k zamyšlení: evropské úřady v roce 2024 udělily pokuty za porušení GDPR v celkové výši 1,2 miliardy eur, tedy zhruba 30 miliard korun. Vyplývá to ze sedmého ročníku reportu GDPR Fines and Data Breach Survey od advokátní kanceláře DLA Piper. Je to sice o třetinu méně než rok předtím, ale jde o první meziroční pokles od roku 2018. Kumulativně od zavedení nařízení úřady udělily pokuty za téměř 5,9 miliardy eur. Data ukazují jasný trend: úřady se čím dál víc zaměřují na to, jak firmy zpracovávají údaje o zákaznících v běžném provozu, nejen na velké úniky dat.

A zpětná vazba je přesně ten druh „běžného provozu“, kde se dělá nejvíc chyb. Ne z pokut, které padly na CX konkrétně, ale ze srovnatelných případů je jasné, kudy vede hranice.

Co znamená mít „právní důvod“ na sbírání zpětné vazby

GDPR nabízí šest právních základů pro zpracování osobních údajů, ale v praxi zpětné vazby se točí kolem dvou: souhlasu a oprávněného zájmu (legitimate interest, jeden ze šesti právních titulů podle článku 6 GDPR).

Řada odborných zdrojů, včetně analýz specializovaných na dotazníkové nástroje, se shoduje na tom, že dotazník spokojenosti zákazníka po nákupu nebo po interakci se zákaznickou podporou typicky spadá pod oprávněný zájem, ne pod souhlas. Dává to logiku: pokud jste si u firmy něco koupili, firma má legitimní důvod zeptat se, jak jste spokojení. Nepotřebuje k tomu odškrtnuté políčko.

Oprávněný zájem ale není žádná univerzální výmluva. Aby obstál, musí projít takzvaným třífázovým testem, který popularizoval britský úřad ICO (Information Commissioner’s Office, britský dozorový úřad pro ochranu osobních údajů) a který dnes používají i kontinentální úřady:

• test účelu (je zájem reálný a konkrétní?),
• test nezbytnosti (musíte k tomu opravdu tato data a v tomto rozsahu?)
• test vyvážení (nepřevažují práva zákazníka nad vaším zájmem?).

Tady je zásadní posun, na který CX týmy často zapomínají. V říjnu 2024 vydal Soudní dvůr Evropské unie rozhodnutí, které potvrdilo, že i čistě komerční zájem, tedy něco jako „chceme si udržet zákazníka“ nebo „chceme zlepšit produkt“, může projít testem účelu. Zní to jako dobrá zpráva pro CX, a do jisté míry je. Jenže stejné rozhodnutí spolu s navazujícími pokyny Evropského sboru pro ochranu osobních údajů (EDPB) zpřísnilo nároky na dokumentaci. Nestačí si myslet, že máte oprávněný zájem. Musíte mít písemné posouzení, takzvané LIA (Legitimate Interest Assessment), které projde všemi třemi testy a které jste schopni předložit úřadu, pokud si o to řekne.

Praktický důsledek pro CX tým: pokud sbíráte zpětnou vazbu od zákazníků, se kterými máte aktivní vztah (koupili si od vás, používají váš produkt), oprávněný zájem obvykle stačí. Jakmile ale chcete oslovit lidi, se kterými žádný vztah nemáte, tedy studenou databázi, nákup kontaktů, formulář obohacený o e-maily odjinud, dostáváte se na tenký led. Maďarský úřad pro ochranu osobních údajů (NAIH) v tomto ohledu už jednou zasáhl: v rozhodnutí z října 2021 řešil dotazník spokojenosti zaslaný lidem, u kterých nebylo jasné, jestli mezi nimi a firmou vůbec existoval obchodní vztah, a firmě uložil povinnost dokládat v LIA právě to, zda takový vztah reálně existuje.

Anonymní, nebo identifikovaná zpětná vazba? Není to jen otázka statistiky

Tohle je místo, kde se CX teorie nejvíc rozchází s CX praxí. Anonymní dotazník je z pohledu GDPR nejjednodušší cesta: pokud opravdu nelze odpověď spárovat s konkrétní osobou, ani přes IP adresu, ani přes časovou značku odeslání, ani přes kombinaci demografických údajů, nejde o osobní údaj a nařízení se na něj nevztahuje. Jenže „anonymní“ je slovo, které se v praxi silně nadužívá. Pokud si ukládáte e-mail respondenta „jen pro účely losování o voucher“ vedle jinak anonymních odpovědí, dotazník anonymní není. Je pseudonymizovaný, což je z pohledu GDPR úplně jiná kategorie: pořád osobní údaj, jen s dalším bezpečnostním opatřením navíc.

Kdy tedy volit skutečně anonymní sběr? Když vás zajímá agregátní trend, ne konkrétní zákazník. Měření spokojenosti napříč pobočkami, roční benchmark v oboru, plošný průzkum nálady na trhu, to všechno funguje anonymně stejně dobře, nebo i lépe, protože lidé jsou upřímnější, když vědí, že je nikdo nedohledá.

Identifikovaná zpětná vazba dává smysl tam, kde chcete na odpověď reagovat: uzavřít smyčku se zákazníkem, který dal špatné hodnocení (closing the loop, standardní CX praxe okamžité reakce na negativní feedback), propojit odpověď s historií nákupů kvůli personalizaci, nebo předat konkrétní stížnost obchodnímu zástupci. To je legitimní důvod k identifikaci, ale platí u něj přísnější pravidla transparentnosti, o kterých je řeč níže, a měl by se omezit jen na to, co je pro daný účel skutečně potřeba.

Chyba, kterou vidím opakovaně: firmy slíbí v úvodu dotazníku anonymitu a pak si za scény spárují odpověď se zákaznickým ID kvůli internímu reportingu. To není jen etický problém, je to přímé porušení principu transparentnosti podle článku 5 GDPR. Pokud slibujete anonymitu, žádné sledování účasti ani zpětné párování prostě není možné, shodují se na tom i metodické příručky k dotazníkovým nástrojům. Buď anonymitu neslibujte, nebo ji dodržte doslova.

Důvěra se nedá odškrtnout v cookiche liště

Tady se dostáváme k číslu, které by měl znát každý, kdo se zpětnou vazbou pracuje: 75 procent spotřebitelů podle Cisco 2024 Consumer Privacy Survey (výzkum zahrnující více než 2 600 respondentů ve 12 zemích) řeklo, že nenakoupí od firmy, které nedůvěřují se svými daty. To není abstraktní compliance metrika, to je přímý dopad na obchodní výsledek.

Zajímavější je ale jiné číslo ze stejného výzkumu: lidé, kteří znají svá práva na ochranu osobních údajů, věří firmám výrazně víc než ti, kdo je neznají. Konkrétně 81 procent informovaných respondentů má pocit, že jejich data jsou chráněná, oproti 44 procentům u těch, kdo o svých právech nic nevědí. Jinými slovy: transparentnost není jen právní povinnost, je to přímá páka na důvěru. Firma, která zákazníkovi jasně řekne, proč se ptá, co s odpovědí udělá a jak dlouho ji bude mít, nezískává jen soulad se zákonem. Získává respondenta, který je ochotnější odpovídat upřímně a příště se zeptat znovu.

To se promítá i do generační dynamiky, na kterou by CX týmy měly myslet při návrhu formulářů. Podle stejného výzkumu 49 procent lidí ve věku 25 až 34 let už v minulosti kvůli způsobu nakládání s daty přešlo ke konkurenci, oproti pouhým 18 procentům lidí nad 75 let. Pokud je vaše cílová skupina mladší, netransparentní sběr dat vás bude stát víc, než si myslíte.

Prakticky to znamená tři věci, které by měl obsahovat každý dotazník nebo formulář zpětné vazby: kdo je správcem údajů (konkrétní firma, nejen logo), za jakým účelem se odpověď sbírá a jak dlouho se uchová, a jakým způsobem může respondent uplatnit svá práva, tedy přístup k datům, opravu, výmaz. Nemusí to být odstavec právničiny. Stačí dvě až tři věty psané lidsky, ideálně přímo nad tlačítkem „odeslat“, ne zahrabané v samostatných zásadách ochrany osobních údajů, na které nikdo neklikne.

Checklist, aneb co si projít, než dotazník pustíte ven

Než spustíte další kolo sběru zpětné vazby, zvažte tento seznam. Není vyčerpávající a nenahrazuje právní posouzení konkrétního případu, ale pokrývá body, na kterých se nejčastěji láme.

1. Právní titul je jasný a zdokumentovaný. Víte, jestli se opíráte o souhlas, nebo o oprávněný zájem, a máte k tomu písemný záznam? Pokud jde o oprávněný zájem, existuje LIA, která prošla testem účelu, nezbytnosti a vyvážení?
2. Vztah k respondentovi je ověřitelný. Pokud stavíte na oprávněném zájmu, dokážete doložit, že mezi vámi a respondentem existuje reálný obchodní vztah, nejen nakoupený kontakt?
3. Rozsah sbíraných dat odpovídá účelu. Sbíráte jen to, co skutečně potřebujete k vyhodnocení zpětné vazby, ne demografické údaje „pro jistotu, třeba se budou hodit“?
4. Anonymita je skutečná, nejen deklarovaná. Pokud tvrdíte, že je dotazník anonymní, neukládáte si vedle něj e-mail, IP adresu ani jiný identifikátor, který by odpověď dal zpětně spárovat s osobou?
5. Citlivé kategorie dat mají zvláštní ošetření. Pokud dotazník obsahuje volná pole, kam respondenti mohou napsat cokoliv, počítáte s tím, že se tam občas objeví údaj o zdraví, etnickém původu nebo podobná citlivá kategorie? Máte proces, jak s tím naložit?
6. Zpracovatelé jsou pod kontrolou. Pokud dotazník běží přes externí nástroj (SurveyMonkey, Typeform, Qualtrics a podobně), máte s dodavatelem zpracovatelskou smlouvu podle článku 28 GDPR a víte, kam se data fyzicky ukládají?
7. Doba uchování je stanovená a dodržovaná. Máte definováno, jak dlouho odpovědi držíte, a existuje mechanismus, který je po uplynutí této doby skutečně smaže nebo anonymizuje?
8. Informace pro respondenta je viditelná v okamžiku sběru. Ví respondent už ve chvíli, kdy dotazník otevírá, kdo je správcem, proč se ptáte a jak uplatní svá práva, aniž by musel hledat v menu webu?
9. Právo na námitku funguje v praxi. Pokud se respondent rozhodne odmítnout další kontaktování, existuje jasný a rychlý proces, jak jeho žádost zpracujete, nejen formální odkaz v textu?

Skutečná otázka pro CX týmy proto nezní, jestli si GDPR můžou dovolit ignorovat. Ptát se zákazníků na názor bez jejich důvěry ztrácí smysl už v základu: špatně nastavený sběr dat nevede jen k pokutě, vede k horším a méně upřímným odpovědím. Soulad se zákonem a kvalita zpětné vazby v tomhle případě táhnou stejným směrem.