Vernostný program a GDPR: ktoré správy potrebujú súhlas zákazníka

Vernostný program v súlade s GDPR potrebuje dve oddelené veci: dôvod uchovávať údaje zákazníka, aby karta fungovala, a samostatné áno predtým, ako mu pošlete marketing. Aktualizácie karty, napríklad „pribudla pečiatka“ alebo „vaša odmena je pripravená“, patria k prevádzke karty. Reklamné správy, napríklad „chýbate nám, čaká vás pečiatka zadarmo“ alebo narodeninový darček, potrebujú súhlas, ktorý zákazník dal sám: prázdne políčko pri registrácii, ktoré si zaškrtne sám, záznam o tomto súhlase a jednoduchú cestu von v každej správe.

Píšem to práve teraz, lebo v decembri posielajú majitelia najviac správ a s nimi prichádzajú otázky: „Môžem napísať všetkým, ktorí majú moju kartu?“ „Je správa vo Wallete to isté ako e-mail?“ Keď som v novembri 2026 čítal stránky, ktoré Google ukazuje na „GDPR vernostný program“, hovorili o SMS a newsletteroch. Ani jedna nespomína správu na karte vo Wallete. Preto tu vysvetľujem, ako funguje súhlas pri vernostnej karte vo Wallete, od QR plagátu až po odhlásenie. Nie som právnik a nie je to právne poradenstvo. Je to to, čo hovoria oficiálne texty, preložené do reči obchodu, a k tomu, ako by som to nastavil ja.

Čo znamená GDPR pre vernostný program

GDPR je zákon EÚ o ochrane osobných údajov a vernostný program pod neho spadá, len čo je karta spojená s konkrétnym človekom: meno, e-mail, história návštev. O tom, čo sa s týmito údajmi deje, rozhoduje podnik, ktorý kartu vydáva, takže za ne aj zodpovedá. Platforma za kartou údaje spracúva podľa jeho pokynov.

Prevádzka samotnej karty je tá jednoduchšia časť. Zákazník chcel kartu, takže potrebujete jeho e-mail, aby ste mu ju poslali, jeho návštevy, aby ste rátali pečiatky, a jeho zostatok, aby ste ukázali odmenu. Tieto údaje slúžia karte, o ktorú požiadal.

Marketing je iný účel a GDPR posudzuje každý účel zvlášť. Európsky výbor pre ochranu údajov, ktorý vydáva usmernenia EÚ k súhlasu, je jasný v troch bodoch (podľa jeho zhrnutia o súhlase z apríla 2026, v angličtine):

• Predvyplnené políčko nie je súhlas. Zákazník si ho musí zaškrtnúť sám.
• Súhlas naviazaný na niečo iné nie je slobodný. Ak karta funguje len vtedy, keď zákazník prijme marketing, takýto súhlas sa nepočíta.
• Odvolať súhlas musí byť rovnako jednoduché ako ho dať.

Ktoré správy vernostného programu potrebujú súhlas?

Správy, ktoré propagujú návštevu, ponuku alebo produkt, súhlas potrebujú; správy, ktoré oznamujú, čo sa stalo na karte, ho zvyčajne nepotrebujú. Rozhoduje, čo v správe stojí, nie ktorým kanálom príde.

Takto by som roztriedil správy, ktoré posiela bežný obchod:

Narodeninový darček mnohých prekvapí. Pôsobí ako dar, ale je to správa, ktorá ponukou pozýva do vášho obchodu, takže patrí do stĺpca marketing. Na posledný riadok by som si dával pozor: oznam o otváracích hodinách sa stáva marketingom vo chvíli, keď k nemu pridáte ponuku.

Je push správa vo Wallete marketing?

Reklamná push správa vo Wallete je marketing, presne ako reklamný e-mail. Pravidlo EÚ pre nevyžiadané reklamné správy, článok 13 smernice o súkromí a elektronických komunikáciách, bolo písané s myšlienkou na e-mail a SMS a nenašiel som oficiálny text, ktorý by presne povedal, kam patrí správa vo Wallete. GDPR platí tak či tak, pretože správa ide známemu človeku a používa jeho údaje. Bezpečný výklad je teda jednoduchý: ak by tie slová v e-maile potrebovali súhlas, potrebujú ho aj na zamknutej obrazovke.

Ku kanálu ešte dve veci. Na iPhone si zákazník môže v nastaveniach jednej karty vo Wallete vypnúť upozornenia bez toho, aby kartu vymazal. A Google Wallet podľa svojej dokumentácie pre vývojárov dovoľuje najviac 3 správy s upozornením za 24 hodín (stav k novembru 2026). Obchod, ktorý sa k tejto hranici čo i len priblíži, má väčší problém ako GDPR.

Ako funguje súhlas, od plagátu po odhlásenie

Tu je celý postup, ako by mal v obchode fungovať, v šiestich krokoch.

1. Plagát hovorí, k čomu sa ľudia pridávajú. „Vaša karta pekárne Lipa v Apple Wallet alebo Google Wallet“ stačí. Nikto by nemal mať pocit, že ho naskenovanie QR kódu nenápadne prihlásilo k newsletteru.
2. Registračný formulár sa pýta zvlášť. Zákazník zadá e-mail a potvrdí ho. Pod ním je jedno prázdne políčko pre správy so zrozumiteľnými slovami, napríklad: „Posielajte mi ponuky a novinky pekárne Lipa na kartu a e-mailom. Môžem to kedykoľvek vypnúť.“ Karta funguje, či ho zaškrtne, alebo nie.
3. Súhlas sa zaznamená. GDPR od vás žiada, aby ste vedeli preukázať, že človek súhlasil: kto, kedy a s akým znením. Poznámka na papieri to pri väčšom počte nezvládne; váš vernostný systém by mal.
4. Správy sa delia podľa odpovede. Aktualizácie karty idú všetkým, ktorí majú kartu. Ponuky, správy pre stratených zákazníkov a narodeninové darčeky len tým, ktorí políčko zaškrtli.
5. Každá reklamná správa má cestu von. Odkaz na odhlásenie v e-maile a nastavenie priamo na karte stoja jedno ťuknutie, rovnako ako zaškrtnutie.
6. Nie platí hneď. Kto súhlas odvolá, toho ďalšia kampaň nezastihne a karta funguje ďalej ako predtým. Prichádza o ponuky, nie o pečiatky.

Pri krokoch 3 až 6 papierový zoznam alebo tabuľka e-mailov zlyhá. V Loyalius, vernostnej platforme, ktorá dáva pečiatkové, bodové a cashbackové karty do Apple Wallet a Google Wallet, sa súhlas eviduje pri každom zákazníkovi, reklamné správy idú len ľuďom, ktorí súhlasili, a zákazník môže súhlas odvolať na karte alebo cez odkaz na odhlásenie v správe. Evidencia súhlasov je v každom pláne, takže jeden obchod na pláne Starter má rovnaký záznam ako sieť prevádzok.

A čo zákazníci, ktorí nikdy nesúhlasili?

Zákazníci, ktorí sa zaregistrovali bez zaškrtnutia, si kartu nechajú a dostávajú ďalej aktualizácie karty; vaše ponuky nie. Pre väčšinu obchodov je to celá odpoveď.

Existuje jedna výnimka, na ktorú sa ľudia často pýtajú. Článok 13 ods. 2 smernice o súkromí a elektronických komunikáciách dovoľuje podniku poslať existujúcemu zákazníkovi e-mailom reklamu na vlastné podobné produkty, ak adresu získal v súvislosti s predajom, zákazník mohol pri jej získaní nesúhlasiť a môže nesúhlasiť v každej správe. Súdny dvor EÚ v novembri 2025 potvrdil, že táto cesta funguje bez samostatného súhlasu podľa GDPR, ak sú splnené všetky podmienky (vec C-654/23). Krajiny ju uplatňujú rôzne a bola napísaná pre e-mail, nie pre karty vo Wallete.

Môj názor: vernostnú kartu na tejto výnimke nestavajte. Opýtať sa stojí jedno políčko a zákazník, ktorý ho zaškrtol, vie, že vaše správy prídu. Takýto zákazník si po prvej správe upozornenia vypne oveľa menej často.

Najlepšia chvíľa opýtať sa tých, čo políčko preskočili, je ich ďalšia návšteva, osobne. Je to tá istá zručnosť ako dostať ľudí do programu vôbec, o ktorej som písal v článku o otázke pri pokladni.

Krátke odpovede

Môžem pridať starý zoznam e-mailov do vernostného programu a napísať všetkým?

Len v rozsahu toho, s čím títo ľudia súhlasili, keď ste adresy zbierali. E-mailová adresa v zozname sama osebe nie je súhlas. Ak neviete preukázať, kto a kedy súhlasil s marketingom, pozvite ich radšej ku karte, než by ste im posielali ponuky.

Môžem podmieniť vernostnú kartu súhlasom s marketingom?

Nie, ak má súhlas platiť. Podľa usmernení Európskeho výboru pre ochranu údajov súhlas naviazaný na niečo, čo človek nemôže odmietnuť, nie je slobodný. Kartu a správy preto oddeľte: kartu pre všetkých, ponuky pre tých, čo povedia áno.

Ako dlho môžem podľa GDPR uchovávať údaje z vernostnej karty?

GDPR neurčuje pevný počet mesiacov; hovorí, že údaje sa uchovávajú len tak dlho, ako sú potrebné na svoj účel. Určte si lehotu pre neaktívne karty, uveďte ju v informáciách o ochrane osobných údajov a dodržiavajte ju.

Platí GDPR aj pre malý obchod s jednou prevádzkou?

Áno. GDPR platí pre každý podnik v EÚ, ktorý spracúva osobné údaje, bez ohľadu na veľkosť. Jedna pekáreň s 200 držiteľmi karty má pri súhlase rovnaké povinnosti ako sieť, len s menším počtom ľudí v zozname.

Radšej menej súhlasov, ale skutočných

V decembri láka poslať vianočnú ponuku všetkým, ktorí majú vašu kartu. Ja si myslím, že ľudia, ktorí políčko zaškrtli, sú jediní, ku ktorým sa oplatí dostať. Zoznam 200 zákazníkov, ktorí o vaše správy požiadali, privedie späť viac ľudí ako 600, ktorých sa nikto nepýtal, pretože medzi tými 200 nikoho prvá správa nenahnevá.

Skôr než pôjdu von vaše decembrové správy, otvorte si registračný formulár na vlastnom telefóne. Skontrolujte, že políčko je prázdne, že v texte je názov vášho obchodu a že karta funguje aj bez zaškrtnutia. Ak platia všetky tri, vaša januárová správa pre stratených zákazníkov môže ísť von bez obáv.