Hva sier GDPR om kundedata i et CRM?
Et CRM er per definisjon en database over mennesker. Det plasserer det midt under GDPR, forordning (EU) 2016/679, som gjelder i Norge gjennom EØS-avtalen og personopplysningsloven, med tilsyn av Datatilsynet.
Kort svar
- Hver behandling trenger et behandlingsgrunnlag: samtykke, avtale, rettslig forpliktelse eller berettiget interesse.
- B2B-prospektering bygger vanligvis på berettiget interesse; markedsføring på e-post, SMS eller WhatsApp krever som hovedregel samtykke.
- Du signerer en databehandleravtale med CRM-leverandøren – de er databehandler, du er behandlingsansvarlig.
- Du må kunne besvare henvendelser fra de registrerte: innsyn, retting, sletting, dataportabilitet.
- Ved et sikkerhetsbrudd er fristen for varsling til Datatilsynet som hovedregel 72 timer.
Hva som må finnes i CRM-et for å oppfylle kravene
- Et felt med behandlingsgrunnlag og kilde for hver kontakt – hvor den kom fra og hvorfor du behandler den.
- En oversikt over samtykket til kommersiell kommunikasjon, med dato og kanal.
- Roller og tilganger, slik at hver ansatt bare ser dataene de trenger.
- En endringslogg: hvem som har endret et kort, og når.
- Eksport og sletting på forespørsel, i strukturert format.
- En retningslinje for oppbevaring – kontakter lagres ikke i det uendelige «for sikkerhets skyld».
De hyppigste årsakene til sanksjoner
I tilsynssaker i EU og EØS går de samme årsakene igjen: manglende grunnleggende IT-sikkerhet og samtykke som ikke oppfyller kravene – forhåndskrysset, samlet eller umulig å trekke tilbake.
Ved alvorlige brudd kan bøten komme opp i 20 millioner euro eller 4 % av global årsomsetning.
Vanlige feil
- Å importere en kjøpt liste uten noen måte å dokumentere hvor dataene kom fra.
- Å sende kundelisten mellom kolleger på e-post eller WhatsApp.
- Full tilgang for alle brukere, «for å holde det enkelt».
- Ingen signert databehandleravtale med CRM-leverandøren og de andre leverandørene som berører dataene.
- Å slette en kontakt uten å slette kopiene i lokale eksporter.
Slik hjelper 4softcrm
- Behandlingsgrunnlag, kilde og samtykke registreres som strukturerte data på hver kontakt.
- Detaljerte roller og tilganger, med endringslogg per kort.
- Eksport og sletting på forespørsel, med data lagret i Den europeiske union.