Kartična zvestoba do groba

Dober dan, imate našo kartico zvestobe? Takšen blagajniški pozdrav sliši kupec v skoraj vseh velikih trgovskih verigah, na bencinski črpalki, v lekarni, drogeriji in med nakupovanjem otroških igrač. Več sto tisoč slovenskih nakupovalcev se na vabilo odzove in blagajničarki izroči svojo trgovsko kartico. Ta jo povleče skozi čitalnik in transakcija o nakupu se zapiše v elektronsko zbirko.

Kartice zvestobe so za številne potrošnike zelo prijazna iznajdba. Nič ne stanejo, ničesar ne zahtevajo, le ob vsakem nakupu se prištejejo nove točke, popusti ali druga »darila«, s katerimi jih razvaja trgovec. Takšno razvajanje za trgovca ni poceni, saj so marže v maloprodaji nizke, postavitev kartičnega sistema pa zelo draga, saj zahteva nadgradnjo informacijskega sistema in blagajn, posebno programsko opremo in specializirane podatkovne analitike.

Zakaj se kartična naložba trgovcu kljub temu splača?

Velika trgovska središča že desetletja uporabljajo številne pristope za povečevanje prodaje in nižanje stroškov. Nadzorne kamere, ki so jih sprva namestili zaradi preprečevanja tatvin, so trgovcem omogočile natančno spremljanje nakupovalcev in jim pomagale bolje razporediti izdelke na policah. Informatizacija blagajn je izboljšala logistiko, saj so lastniki trgovskih verig v vsakem trenutku poznali stanje zalog in vedeli, kateri izdelki so bolj zanimivi za določena prodajna mesta. Zelo učinkoviti so bili tudi programi za zbiranje točk in popustov, saj so ljudje v povprečju zapravili več, če so vedeli, da jim do naslednje nagrade manjka samo še dodatna malenkost v nakupovalni košari.

Izboljšana dobavna veriga, programi za spodbujanje prodaje in razporeditev blaga v trgovinah so prinesli zelo dobre prodajne rezultate. Vendar so trgovci vedeli, da jih čaka še veliko zahtevnejša naloga: natančno spoznavanje posameznega potrošnika. Opazovalci za nadzornimi kamerami ali blagajničarji so najprej spremljali najbolj preproste demografske podatke kupcev – spol, približno starost, nakupujejo sami ali z družino. Ti podatki so bili koristni, a trgovci še vedno niso mogli povezati nakupovalne košarice s posameznim kupcem ali mu slediti v svojih drugih trgovinah.

Kartice zvestobe so učinkovito rešile ta problem. Imetniki kartic niso bili več samo naključni kupci moškega ali ženskega spola, ki so zašli v trgovino, ampak so imeli imena in priimke, ki so jih skupaj z drugimi demografskimi podatki napisali v pristopnem obrazcu. Trgovci so natančno izvedeli, kaj, kje in kdaj nakupujejo imetniki njihovih kartic, saj se je vsebina nakupovalne košare ali vozička ob vsakem nakupu zapisala v njihove osebne profile. S kartico zvestobe imetnikov niso samo osebno določili, ampak so pridobili tudi njihovo soglasje za shranjevanje, analizo in preprodajo zbranih podatkov, brez katerega niso smeli profilirati kupcev ter jim prilagajati oglasov, popustov in ponudbe na trgovskih policah.

Pridobivanje elektronskega dosjeja

Avstrijski študent prava Max Schrems je v pogovoru za Sobotno prilogo pred tremi leti povedal, da si državljani zelo težko predstavljamo dejanske količine podatkov, ki jih o nas shranjujejo trgovci, ponudniki spletnih storitev, telekomunikacijski operaterji in država.

Od Facebooka je zahteval izpis podatkov, ki so jih v dobrih dveh letih zbrali o njegovi spletni dejavnosti. Po več pritožbah in posredovanju irskega informacijskega pooblaščenca so mu poslali datoteko z več kot 1000 stranmi besedila. Pogled na velik kup potiskanega papirja je naredil močan vtis na obiskovalce njegovih predavanj in marsikdo je prvič pomislil, da takšen dokument hranijo tudi o njem. Zato je Schrems spodbujal poslušalce, naj tudi sami zahtevajo vpogled v lastne osebne podatke, saj si bodo ob listanju elektronskih dosjejev bolje predstavljali, kaj vse prepuščajo trgovcem in spletnim podjetjem v zameno za popuste in (na videz) brezplačno uporabo internetnih storitev.

Postopek za takšen vpogled je v Sloveniji razmeroma preprost. Pri informacijskem pooblaščencu so pripravili poseben obrazec z zahtevo za seznanitev z lastnimi osebnimi podatki, ki je skupaj z navodili objavljen na njihovi spletni strani. V obrazcu je že zapisana ustrezna pravna utemeljitev zahteve, zato ga imetnik kartice samo izpolni in označi, katere osebne podatke si želi pridobiti. Nato ga natisne in s priporočeno pošto pošlje na sedež izdajatelja kartice, ta pa mora na zahtevo odgovoriti v 15 ali 30 dneh – odvisno od zahtevanih podatkov.

Vendar je Schremsov poskus pokazal, da zbiratelji podatkov zelo neradi razkrijejo elektronske dosjeje uporabnikov. Facebook ga je hotel sprva odpraviti z zelo okrnjenim izpisom, v katerem so bili samo podatki o elektronskih stikih in osebna sporočila. Podobno so se odzvala tudi druga spletna podjetja, na katera je poslal zahtevke, saj mu niso hotela izročiti popolnega izpisa. Zato nas je zanimalo, ali so tudi slovenski upravljavci podatkovnih zbirk enako ­skrivnostni.

Sorodnike in znance, ki uporabljajo kartice zvestobe, smo prosili, naj v svojem imenu pošljejo zahtevek za seznanitev z lastnimi osebnimi podatki. Tako smo se hoteli izog­niti morebitni »posebni obravnavi« zahteve, če bi upravljavci prepoznali novinarsko ime. Zbrali smo enajst klubskih kartic, med katerimi so bili vsi veliki trgovci (Spar, Mercator, Tuš, Leclerc, Merkur), nekatere večje trgovine (Hervis, Baby center), Lekarna Ljubljana in nekaj manjših ponudnikov klubskih kartic (Klub BTC, Pikapolonica, Mana). V prvem krogu smo izpustili Petrol, Drogerie Markt, Mladinsko knjigo in nekatere druge izdajatelje, ker nismo našli nobenega imetnika njihove kartice. Prostovoljci so zahtevke poslali s priporočeno pošto in po nekaj dneh prejeli prve odzive.

Katere podatke zbirajo trgovci

Dva sodelujoča sta povedala, da so ju že naslednji dan po oddaji pošiljke klicali zaskrbljeni prejemniki, ki jih je zanimalo, zakaj hočeta videti svoje podatke. Iz pogovora je bilo razvidno, da so prvič prejeli takšno zahtevo in niti niso vedeli, da je pravica do seznanitve z lastnimi osebnimi podatki zapisana v slovenskem zakonu o varstvu osebnih podatkov in celo ustavi. Drugi naslovniki so potrebovali za odgovor malo več časa, a so vsi upoštevali zakonski rok, zato smo v nekaj tednih pričakali vse odgovore in jih analizirali.

Vsi imetniki kartic so poslali enak obrazec in označili ista polja za dostop do podatkov. Zanimalo nas je, katere podatke shranjujejo izdajatelji, ali jih obdelujejo in jih delijo še s kakim pogodbenim sodelavcem (drugim obdelovalcem podatkov). Zahtevali smo seznanitev z osebnimi podatki in naročili izpis vseh osebnih podatkov o imetniku kartice, ki so zapisani v njihovi zbirki. A so bili odgovori kljub enakemu zahtevku zelo različni.

Predstavniki Leclerca so odgovorili, da o poslanem imenu in priimku nimajo nobenih podatkov, zato ne morejo poslati zahtevanih odgovorov (zahtevek je poslala imetnica njihove kartice). Iz Merkurja so odgovorili, da je zahteva pomanjkljiva, saj nismo dovolj natančno napisali, katera zbirka osebnih podatkov nas zanima, čeprav je bilo jasno, da nismo zahtevali vpogleda v njihovo »evidenco o sindikalnih članarinah«. Vsi drugi so poslali kopijo pristopne izjave in izpis iz kataloga uporabnikov (ime, priimek, spol, starost, zaposlitev, naslov, kontaktni podatki in šifra uporabnika). Korektno so odgovorili tudi na vprašanja, kdo vse ima vpogled v njihovo zbirko podatkov (marketinški oddelki, podjetja za direktni marketing, družbe za raziskave javnega mnenja …).

Elektronski nakupovalni seznam, kakršnega je od Facebooka prejel Max Schrems, so poslali samo trije izdajatelji. Baby center je posredoval seznam nakupov, na katerem so označene številke artiklov, cena in šifra imetnika kartice. Bolj podroben seznam so pripravili v Lekarni Ljubljana, saj je imetnica kartice dobila seznam, lokacijo in vsebino nakupov – katere izdelke je na določen dan kupila v eni izmed ljubljanskih poslovalnic. Pravemu elektronskemu dosjeju so se najbolj približali upravljavci Sparovega kluba, saj so na zapisljivo ploščo dvd posneli kopije vseh računov, ki jih je imetnica opravila v zadnjih nekaj letih. Celotnega seznama nismo natisnili, a bi se z njim verjetno približali Schremsovemu kupu papirja, saj je podatkov za več kot 500 strani.

Odgovora Lekarne Ljubljana in Spara sta potrdila domnevo, da tudi slovenski trgovci in upravljavci podatkov zbirajo zelo veliko informacij o imetnikih klubskih kartic. Če bi se na pomanjkljive odgovore pritožili pri informacijskem pooblaščencu, bi morali verjetno tudi drugi veliki trgovci poslati enako podrobne izpiske kot Spar, saj so nam poznavalci kartičnega področja potrdili, da vsi uporabljajo podobne sisteme za zbiranje in analizo podatkov (vsi sogovorniki so se bili pripravljeni pogovarjati samo, če v prispevku ne bodo omenjena njihova imena ali funkcije). Prepričali smo se tudi, da so zahteve za seznanitev z lastnimi osebnimi podatki v Sloveniji izjemno redke, saj so morali nekateri prejemniki verjetno prvič prebrati zakon o varstvu osebnih podatkov in preveriti, kakšne pravice in dolžnosti imajo uporabniki podatkovnih zbirk.

Nakupovalni prstni odtis

Izpiska Lekarne Ljubljana in Spara sta na imetnico kartice naredila podoben vtis, kot ga je predvidel Schrems. Med pregledovanjem nakupljenih zdravil in lekarniških pripomočkov je lahko že zdravniški laik precej dobro uganil njene glavne zdravstvene tegobe in ugotovil, kdaj je prebolevala virozo, kdaj so jo mučile bolečine in s katerimi pripravki si dviguje odpornost. Še bolj natančen nakupovalni prstni odtis je pustila v Sparu, kjer večinoma nakupuje hrano in druge potrebščine, saj ni bilo težko ugotoviti njenih prehranjevalnih navad, najljubšega jogurta ali količine zaužitega sadja in zelenjave.

Pred dvema letoma je imetnike kartic velikega ameriškega trgovca Target vznemirila novica, da so z analizo nakupovalnih navad iskali nosečnice in jih v skoraj 90 odstotkih primerov odkrili že v prvem trimesečju. Med anekdotami iz zadnje ameriške predvolilne tekme ne manjka primerov, da so podatkovni analitiki iskali potencialne demokratske ali republikanske volivce celo po znamki piva, ki so ga spili pred televizorjem. Naši sogovorniki so povedali, da slovenski trgovci in drugi upravljavci kartičnih klubov še ne uporabljajo takšnih prijemov, saj na področju podatkovne analitike za več let zaostajajo za ameriškimi in britanskimi praksami. Vendar se hitro učijo in med pripravo promocij in pri načrtovanju oskrbe trgovin že upoštevajo nakupovalne ­navade.

Med najpogostejšimi analizami nakupovalnih navad je izdelava potrošniških profilov. Če potrošnik nakupuje slane prigrizke, gazirane pijače ali popije veliko alkohola, njegov profil označijo z »negativnimi točkami« v polju prehranjevalnih navad. Kupovanje trgovskih blagovnih znamk in najcenejših izdelkov kaže na varčnega potrošnika ali osebo z nizkimi prihodki. Nasprotno so nakupi ekološko pridelanega sadja, naravne kozmetike, kakovostnega vina ali delikatesnega sira dober namig, da lahko imetniku kartice ponudimo dražje izdelke. Iz vsebine nakupovalne košarice in časa nakupa je mogoče brez večjih težav določiti, katere družine imajo otroke, kateri imetniki kartic verjetno živijo sami in s katerimi dejavnostmi se ukvarjajo v prostem času.

Ti podatki niso zanimivi samo za učinkovitejše načrtovanje promocijskih ponudb in priporočil, ampak so dragoceni tudi za pogajanja z dobavitelji, je povedal eden izmed sogovornikov. »Znani blagovni znamki čokolade lahko namignete, da boste 50.000 največjim sladkosnedom in kupcem njihovih izdelkov začeti ponujati konkurenčno čokolado, če vam ne zagotovijo ugodnejše cene,« je pojasnil. Pogoste so tudi debate o možnostih povezovanja podatkovnih zbirk, saj bi nakupovalne navade zelo zanimale zavarovalnice, farmacevtska podjetja in oglaševalce. Vendar slovenska zakonodaja še ne dovoljuje takšnega združevanja podatkov, saj prinaša neomejeno profiliranje potrošnikov preveč možnosti diskriminacije in zlorab.

Velika spletna podjetja so se že odzvala na zahteve uporabnikov in imetnikom elektronskih računov omogočila vsaj delen vpogled v lastne osebne podatke prek svetovnega spleta, česar slovenski kartični klubi ne ponujajo. Med pridobivanjem podatkov smo potrdili Schremsovo ugotovitev, da veliki zbiratelji zelo neradi razkrijejo dejanski obseg uporabniškega elektronskega dosjeja, čeprav bi ga po zakonu in ustavi morali. Ob pregledovanju Sparovega izpisa v datoteki pdf smo postali pozorni na pomanjkljivo definicijo v zakonu o varstvu osebnih podatkov, saj zakon od izdajateljev ne zahteva izvoza podatkov v odprtem in strojno berljivem zapisu, kar bi precej olajšalo pregledovanje in analizo datotek.

Izdajatelji bodo omenjene pomanjkljivosti prisiljeni odpraviti šele, ko bo uporabnike kartic začela zanimati resnična cena njihovih popustov in nakupovalnih točk. Vendar zanemarljivo število zahtevkov za vpogled v lastne osebne podatke kaže, da se izdajateljem še ni treba bati takšnega državljanskega pritiska.