Mitä GDPR sanoo asiakastiedoista CRM:ssä?
CRM on määritelmällisesti ihmisten tietokanta. Se kuuluu siksi suoraan EU:n yleiseen tietosuoja-asetukseen (EU) 2016/679, ja valvojana Suomessa toimii tietosuojavaltuutetun toimisto.
Lyhyt vastaus
- Jokainen käsittely tarvitsee oikeusperusteen: suostumus, sopimus, lakisääteinen velvoite tai oikeutettu etu.
- B2B-prospektointi perustuu yleensä oikeutettuun etuun; sähköpostin tai WhatsAppin markkinointi vaatii suostumuksen.
- Allekirjoitat CRM-toimittajan kanssa henkilötietojen käsittelysopimuksen (DPA) – he ovat käsittelijä, sinä rekisterinpitäjä.
- Sinun on pystyttävä vastaamaan rekisteröityjen pyyntöihin: pääsy, oikaisu, poisto, siirrettävyys.
- Tietoturvaloukkauksessa ilmoitusaika valvontaviranomaiselle on 72 tuntia.
Mitä CRM:ssä on oltava vaatimustenmukaisuuden vuoksi
- Kenttä oikeusperusteelle ja kunkin yhteyshenkilön lähteelle – mistä tieto tuli ja miksi sitä käsitellään.
- Kirjaus suostumuksesta kaupalliseen viestintään päivämäärineen ja kanavineen.
- Roolit ja käyttöoikeudet, jotta jokainen työntekijä näkee vain tarvitsemansa tiedot.
- Muutoshistoria: kuka muutti tietuetta ja milloin.
- Vienti ja poisto pyynnöstä jäsennellyssä muodossa.
- Säilytyskäytäntö – yhteyshenkilöitä ei säilytetä loputtomiin ”varmuuden vuoksi”.
Yleisimmät seuraamusten syyt
Valvontaviranomaisten ratkaisuissa yleisimpiä perusteita ovat puutteelliset vähimmäistietoturvatoimet ja vaatimustenvastainen suostumus – ennalta rastitettu, niputettu tai mahdoton peruuttaa.
Vakavissa rikkomuksissa sakko voi nousta 20 miljoonaan euroon tai 4 prosenttiin vuotuisesta maailmanlaajuisesta liikevaihdosta.
Yleiset virheet
- Tuodaan ostettu lista ilman keinoa todistaa, mistä tiedot ovat peräisin.
- Asiakaslista lähetetään kollegoiden kesken sähköpostilla tai WhatsAppissa.
- Kaikille käyttäjille täysi pääsy ”yksinkertaisuuden vuoksi”.
- CRM-toimittajan ja muiden tietoihin koskevien toimittajien kanssa ei ole allekirjoitettua DPA:ta.
- Yhteyshenkilö poistetaan, mutta paikallisissa vienneissä olevia kopioita ei poisteta.
Miten 4softcrm auttaa
- Oikeusperuste, lähde ja suostumus kirjataan jäsenneltynä tietona jokaiselle yhteyshenkilölle.
- Hienojakoiset roolit ja oikeudet sekä tietuekohtainen muutoshistoria.
- Vienti ja poisto pyynnöstä, tiedot Euroopan unionissa.