Wat zegt de AVG (GDPR) over klantgegevens in een CRM?
Een CRM is per definitie een database van mensen. Daarmee valt het volledig onder Verordening (EU) 2016/679 en onder het toezicht van de Autoriteit Persoonsgegevens in Nederland.
Kort antwoord
- Elke verwerking heeft een rechtsgrond nodig: toestemming, overeenkomst, wettelijke verplichting of gerechtvaardigd belang.
- B2B-prospectie steunt vaak op gerechtvaardigd belang; marketing per e-mail of WhatsApp vraagt in veel gevallen om toestemming.
- Je sluit een verwerkersovereenkomst met de CRM-leverancier — zij zijn de verwerker, jij bent de verwerkingsverantwoordelijke.
- Je moet verzoeken van betrokkenen kunnen beantwoorden: inzage, rectificatie, verwijdering, overdraagbaarheid.
- Bij een datalek met risico voor betrokkenen moet je dit binnen 72 uur melden bij de Autoriteit Persoonsgegevens.
Wat er in het CRM moet bestaan voor compliance
- Een veld met de rechtsgrond en de bron van elke contactpersoon — waar die vandaan kwam en waarom je de gegevens verwerkt.
- Een vastlegging van de toestemming voor commerciële communicatie, met datum en kanaal.
- Rollen en rechten, zodat elke medewerker alleen de gegevens ziet die hij nodig heeft.
- Een wijzigingslog: wie een kaart heeft gewijzigd en wanneer.
- Export en verwijdering op verzoek, in een gestructureerd formaat.
- Een bewaarbeleid — contactgegevens bewaar je niet eindeloos “voor de zekerheid”.
De meest voorkomende aanleidingen voor sancties
Bij handhaving door privacytoezichthouders komen twee gronden vaak terug: het ontbreken van minimale beveiligingsmaatregelen en toestemming die niet voldoet — vooraf aangevinkt, gebundeld of niet in te trekken.
Bij ernstige overtredingen kan de boete oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.
Veelgemaakte fouten
- Een gekochte lijst importeren zonder te kunnen aantonen waar de gegevens vandaan komen.
- De klantenlijst per e-mail of WhatsApp tussen collega’s heen en weer sturen.
- Volledige toegang voor elke gebruiker, “om het simpel te houden”.
- Geen getekende verwerkersovereenkomst met de CRM-leverancier en de andere leveranciers die de gegevens raken.
- Een contactpersoon verwijderen zonder de kopieën in lokale exports te verwijderen.
Hoe 4softcrm helpt
- Rechtsgrond, bron en toestemming worden als gestructureerde gegevens op elke contactpersoon vastgelegd.
- Fijnmazige rollen en rechten, met een wijzigingslog per kaart.
- Export en verwijdering op verzoek, met gegevens gehost in de Europese Unie.