Klantwaarde en privacy

Klantwaarde

lijkt op gespannen voet te staan met de AVG. De verplichte AVG-maatregelen voegen op het eerste gezicht weinig of niets toe voor klanten. Bovendien wordt vaak – en meestal ten onrechte – geroepen dat iets ‘niet meer mag van de AVG’. Toch kun je ook met privacy klanten meerwaarde bieden: door de principes van klantwaarde toe te passen in de privacypraktijk.

Bij Lean is het begrip klantwaarde het centrale uitgangspunt, met ‘klant’ in de brede zin van het woord. Een klant is iedereen die jouw product, dienst of service afneemt. Dat betekent dat ik ook afnemers binnen non-profit- of not-for-profitorganisaties als klant beschouw.

Als privacyprofessional heb je twee soorten klanten. Allereerst zijn er degene die diensten of producten van jouw organisatie afnemen: klanten, studenten, burgers. In AVG-termen zijn dit de ‘betrokkenen’. Als privacyverantwoordelijke dien je er met de organisatie voor te zorgen dat hun persoonsgegevens veilig zijn in de organisatie en conform de AVG worden verwerkt. In een aantal situaties zul je direct contact met ze hebben, bijvoorbeeld als ze een beroep doen op hun rechten of als er een datalek heeft plaatsgevonden, waarvan de personen van wie de data zijn gelekt op de hoogte gesteld moeten worden. Dit noem ik de externe klanten.

De tweede groep klanten zijn degenen die in jouw organisatie de persoonsgegevens verwerken. Met deze klanten heb je direct en vaak dagelijks contact. Dit zijn vanuit de privacyrol de interne klanten.

Privacy en jouw externe klanten

Adviesbureau KPMG

KPMG: ‘Een beetje privacy graag’. KPMG Advisory B.V. 2018.

heeft voor en na de invoering van de AVG onder consumenten een onderzoek uitgevoerd over privacybewustzijn. Voor de invoering van de AVG was 82 procent van de Nederlanders niet op de hoogte van de nieuwe privacywetgeving. Als mensen eenmaal op de hoogte waren van de nieuwe regels, dan gaf de helft van hen aan gebruik te willen maken van de rechten die de AVG hun geeft.

In september 2018, vier maanden na de invoering van de AVG, deed KPMG het onderzoek opnieuw. Toen bleek dat liefst 98 procent van de Nederlanders van de AVG heeft gehoord. Van de onderzochten gaf 69 procent aan privacy een groot goed te vinden. In het meest recente onderzoek gaf 86% van de Nederlanders aan het goed te vinden dat er veel aandacht aan privacy wordt gegeven.

KPMG: ‘Meer zorgen over privacy’. KPMG Advisory B.V. 2021.

Nog een paar opmerkelijke cijfers uit het onderzoek uit 2021: 25% van de ondervraagden gaf aan er niet op te vertrouwen dat hun gegevens bij de overheid en uitvoeringsinstanties in veilige handen zijn. Privacyincidenten tijdens de coronacrisis lijken het bewustzijn over privacy bij Nederlanders te hebben vergroot: 83% was op de hoogte van het datalek bij de GGD. Dit datalek heeft dus een behoorlijke impact gehad.

Op de Europese Dag van de Privacy (28 januari 2020) maakte de Autoriteit Persoonsgegevens de cijfers van een onderzoek over privacy onder de Nederlandse bevolking. Maar liefst 94% maakte zich zorgen over de bescherming van zijn persoonsgegevens. 32% daarvan maakte zich (zeer) veel zorgen. Slechts 6% maakte zich geen zorgen.

Kortom, het privacybewustzijn is in Nederland fors gegroeid en men maakt zich zorgen over de bescherming van persoonsgegevens. Door de privacyongelukken die op ruime aandacht van de pers kunnen rekenen én de actieve opstelling van de toezichthouder Autoriteit Persoonsgegevens, zal dat bewustzijn de komende jaren alleen maar verder toenemen.

Voor jou als privacyverantwoordelijke ligt hier een enorme kans. Klanten hechten steeds meer waarde aan privacy en zullen kritischer worden op het gebruik en de beveiliging van hun persoonsgegevens. Jouw werkzaamheden als privacyverantwoordelijke voegen dus nadrukkelijk waarde toe voor de klanten van jouw organisatie. Dit aspect blijft vaak onderbelicht: aandacht voor privacy en de AVG is bepaald geen (tijd)verspilling meer.

Privacy en jouw interne klant

De AVG is bedoeld om waarborgen te bieden voor het verwerken van persoonsgegevens, niet om het verwerken daarvan onmogelijk of onnodig gecompliceerd te maken. Denken en handelen vanuit het klantperspectief naar je interne klant betekent dat het verwerken van persoonlijke gegevens niet onmogelijk moet worden gemaakt, maar dat het met voldoende privacywaarborgen moet worden omkleed. Alles wat we deden, kunnen we blijven doen; de AVG vraagt alleen een aantal zaken goed te regelen, opdat de persoonlijke gegevens veilig worden verwerkt. Dat zou jouw boodschap moeten zijn. Soms is daarbij een dosis creativiteit vereist, maar die geeft wel een beter resultaat dan simpelweg stellen dat ‘het niet meer mag van de AVG.’

Als je de collega’s die persoonsgegevens verwerken als interne klant beschouwt en hun werkprocessen als vertrekpunt neemt, dan bied jij als privacyverantwoordelijke op deze manier klantwaarde aan jouw interne klanten.

Klantwensen en koppeling met privacy en de AVG

De invulling van klantwaarde is vanzelfsprekend organisatiespecifiek; die hangt af van de producten of diensten die de organisatie levert. De literatuur noemt wel een aantal algemene factoren die de waarde van een dienst of product voor de klant definiëren. Hieronder som ik de algemene typeringen van klantwensen op:

Los mijn probleem volledig op. Geen halve antwoorden of producten of diensten die niet volledig functioneren.

Lever wat, waar en wanneer ik wil. Deze drie factoren zijn onder meer bepalend voor het succes van internetwinkels. Zij kunnen precies het product leveren met de specificaties die de klant wenst en het product wordt vaak binnen 24 uur afgeleverd waar de klant wil: internetwinkels leveren dus optimale klantwaarde.

Zorg dat ik zo min mogelijk beslissingen hoef te nemen. Oftewel: maak het mij zo makkelijk mogelijk.

Vanuit privacy geredeneerd zijn er standaard minimaal drie klantcontactmomenten met je externe klant te onderkennen.

Als je externe klanten een beroep op hun rechten doen, bijvoorbeeld het recht op inzage.

Als je de grondslagen toestemming en gerechtvaardigd belang gebruikt voor de verwerking van persoonsgegevens.

Het privacyreglement op de website van jouw organisatie.

Steeds zijn hier de algemene principes van klantwaarde van toepassing. Daarnaast heeft de AVG twee eisen die, als jouw organisatie ze naleeft, sowieso de klantwaarde verhogen. Allereerst de eis van dataminimalisatie: alleen gegevens vragen die nodig zijn voor het doel waarvoor ze worden gebruikt. Door dit principe consequent toe te passen, zul je de klantwaarde verhogen. De klant wordt immers niet met meer vragen lastiggevallen dan nodig. Als je bijvoorbeeld een nieuwsbrief aan je klanten wilt versturen, dan heb je niet meer nodig dan de naam en het e-mailadres. Andere gegevens, zoals postbusadres, aantal werknemers, bedrijfsnaam, zijn niet nodig. Die gegevens vragen is in strijd met de doelbinding en kan bovendien irritatie wekken bij je klant.

De andere eis is die van subsidiariteit: is er geen andere manier te vinden om het doel te bereiken zonder dat er persoonsgegevens worden verwerkt? Vanuit het perspectief van de klant: val me niet lastig met het opvragen van mijn gegevens als je het ook zonder die gegevens kunt doen.

Klantwaarde en de rechten van betrokkenen

Veel organisaties voelen weerstand als een betrokkene een beroep doet op een van de rechten die de AVG geeft. Je ziet de mensen bijna denken: ‘Wat een gezeur’. Of: ‘Waar is dat nu helemaal voor nodig?’ Als je deze verzoeken vanuit het perspectief van klantwaarde bekijkt, dan bieden ze juist een kans voor jouw organisatie om ook hier de klant een goede ervaring te geven.

Als een betrokkene een beroep doet op zijn inzagerecht, dan verplicht de AVG om binnen één maand op het verzoek te reageren. Als het verzoek ingewikkeld is of de betrokkene meerdere verzoeken heeft gestuurd, dan mag de organisatie twee maanden extra nemen en dus drie maanden over het verzoek doen.

Als ik naar dit artikel kijk vanuit de klantwens ‘Lever wat, waar en wanneer ik wil’, dan bied je klantwaarde als je binnen de termijn van één maand reageert. Als het ook maar enigszins mogelijk is, zou ik vanuit klantwaarde de optionele verlenging proberen te vermijden. Wil je de termijn halen, dan zul je snel de gegevens boven tafel moeten krijgen. Je moet dus op voorhand een procedure hebben ontwikkeld voor als betrokkenen hun recht uitoefenen. Als je daarover pas nadenkt op het moment dat de vraag komt, dan verlies je kostbare tijd.

Een andere belangrijke klantwens is dat een probleem snel en volledig wordt opgelost. Dat betekent dat, naast inzage in de persoonsgegevens, ook de volgende extra informatie moet worden gegeven:

voor welk doel jouw organisatie de gegevens gebruikt;

welke soorten gegevens jouw organisatie gebruikt;

met welke organisaties of soorten organisaties gegevens worden gedeeld;

hoe lang jouw organisatie de persoonsgegevens bewaart. Kan de organisatie dit niet precies aangeven? Dan moet de organisatie in elk geval duidelijk maken hoe de organisatie de bewaartermijn bepaalt;

hoe jouw organisatie aan de gegevens is gekomen, als ze die niet van de klant zelf heeft gekregen;

of de organisatie automatisch besluiten over mensen neemt, inclusief profilering. De organisatie moet daarbij ook uitleggen waarom de organisatie dat doet, op basis van welke logica en welke gevolgen dat voor de klant kan hebben;

welke privacyrechten de klant heeft en dat hij het recht heeft een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Deze informatie kun je in het privacyregelement opnemen en bij het verzoek daar naar verwijzen.

En dan zijn er nog de kosten. Volgens de AVG mogen voor het recht op inzage geen kosten worden berekend, tenzij het verzoek ongegrond of buitensporig is, bijvoorbeeld als iemand erg veel verzoeken indient. In dat laatste geval mag je een redelijke administratieve vergoeding vragen. In normale gevallen staat de AVG dus niet toe dat je kosten rekent om aan het klantverzoek te voldoen, maar ook vanuit het perspectief van klantwaarde zou ik dit afraden. Met de AVG klantwaarde creëren betekent dus in de praktijk: lever alle verplichte informatie, doe dat gratis en bij voorkeur binnen de termijn van één maand.

Klantwaarde, de opt-out en het intrekken van toestemming

De opt-out wordt vaak gebruikt bij het toesturen van nieuwsbrieven aan klanten. Met de grondslag gerechtvaardigd belang kan jouw organisatie nieuwsbrieven aan haar klanten versturen, maar dan moet je klanten wel de mogelijkheid bieden om zich eenvoudig uit te laten schrijven: de opt-out.

Een andere grondslag voor het verwerken van persoonsgegevens is dat dit met toestemming van de betrokkenen gebeurt. De AVG eist dat die toestemming weer moet kunnen worden ingetrokken. Klantwaarde bij deze grondslagen betekent dat de klant zijn toestemming makkelijk moet kunnen intrekken en ook makkelijk van de opt-out gebruik moet kunnen maken. Het gaat hierbij vooral om de derde klantenwens: Zorg dat ik zo min mogelijk beslissingen hoef te nemen. Oftewel: maak het de klant zo makkelijk mogelijk. Zorg ervoor dat klanten zich met één of twee handelingen kunnen afmelden.

In de praktijk gaat dit nog vaak mis. Bij een van de grootbanken zag ik een mooi voorbeeld van hoe het niet moet. Onderaan een nieuwsbrief stond de mogelijkheid om af te melden voor de nieuwsbrief. Om dit te doen, moest eerst via internetbankieren worden ingelogd of de app voor mobiel bankieren worden geopend. Eenmaal ingelogd, moesten de volgende stappen worden doorlopen:

Ga naar ‘Instellingen’.

Ga dan naar ‘Persoonlijk’.

Ga dan naar ‘Persoonlijke gegevens’.

Tik in het scherm ‘Mijn gegevens aanpassen’ op het blok met e-mailvoorkeuren.

Geef aan welke nieuwsbrieven je niet meer wilt ontvangen.

Tik op ‘Verzenden’.

Bevestig met identificatiecode of vingerafdruk.

Als ik het klikken op ‘Uitschrijven’ meereken, dan telt deze opt-out liefst acht stappen. Aan het klantprincipe Zorg dat ik zo min mogelijk beslissingen hoef te nemen wordt hier bepaald niet voldaan.

Kortom, zorg ervoor dat als je persoonsgegevens verwerkt met de grondslag toestemming of gerechtvaardigd belang, dat het afmelden geen irritatie bij je klant opwekt. Het intrekken van de toestemming moet het liefst in één, maximaal in twee stappen door de klant geregeld kunnen worden.

Klantwaarde en het privacyreglement

De AVG stelt een aantal eisen aan het privacyreglement, wat – jawel, ook hier – gelegenheid biedt om klantwaarde te creëren. Dat begint al door het reglement makkelijk vindbaar te maken op de website. Daarnaast is het belangrijk om jip-en-janneketaal te gebruiken; geen onnodig juridisch jargon, maar altijd begrijpelijke taal.

Als laatste geldt ook hier: wees volledig voor de klant – en niet alleen omdat de AVG het vraagt. Bedenk wat jij zelf als klant zou willen weten over jouw persoonsgegevens en vul dat uitgangspunt aan met de eisen uit de AVG.