Co mówi RODO o danych klientów w CRM?
CRM to z definicji baza danych osób. Podlega więc rozporządzeniu (UE) 2016/679, czyli RODO (ang. GDPR), a w Polsce nadzorowi Prezesa Urzędu Ochrony Danych Osobowych (UODO).
Krótka odpowiedź
- Każda czynność przetwarzania wymaga podstawy prawnej: zgody, umowy, obowiązku prawnego lub prawnie uzasadnionego interesu.
- Prospecting B2B opiera się zwykle na prawnie uzasadnionym interesie; marketing e-mail lub WhatsApp wymaga zgody.
- Z dostawcą CRM zawierasz umowę powierzenia przetwarzania danych — on jest podmiotem przetwarzającym, Ty administratorem.
- Musisz umieć odpowiedzieć na żądania osób, których dane dotyczą: dostęp, sprostowanie, usunięcie, przenoszenie.
- W razie naruszenia bezpieczeństwa termin zgłoszenia do organu nadzorczego wynosi 72 godziny.
Co musi istnieć w CRM, aby zachować zgodność
- Pole z podstawą prawną i źródłem każdego kontaktu — skąd pochodzi i dlaczego go przetwarzasz.
- Zapis zgody na komunikację handlową, z datą i kanałem.
- Role i uprawnienia, aby każdy pracownik widział tylko dane, których potrzebuje.
- Dziennik zmian: kto i kiedy zmienił rekord.
- Eksport i usunięcie na żądanie, w ustrukturyzowanym formacie.
- Polityka przechowywania — kontaktów nie trzyma się bez końca „na wszelki wypadek”.
Najczęstsze przyczyny sankcji
W praktyce organów nadzorczych w UE kary najczęściej dotyczą braku odpowiednich zabezpieczeń technicznych i organizacyjnych oraz zgód niezgodnych z wymogami — zaznaczonych domyślnie, powiązanych z innymi celami lub niemożliwych do wycofania.
Przy poważnych naruszeniach kara może sięgnąć 20 milionów euro lub 4% rocznego światowego obrotu.
Najczęstsze błędy
- Importowanie kupionej listy bez możliwości wykazania, skąd pochodzą dane.
- Przesyłanie listy klientów między kolegami e-mailem lub przez WhatsApp.
- Pełny dostęp dla każdego użytkownika, „żeby było prościej”.
- Brak podpisanej umowy powierzenia z dostawcą CRM i innymi dostawcami, którzy mają styczność z danymi.
- Usunięcie kontaktu bez usunięcia kopii w lokalnych eksportach.
Jak pomaga 4softcrm
- Podstawa prawna, źródło i zgoda zapisywane jako dane ustrukturyzowane na każdym kontakcie.
- Szczegółowe role i uprawnienia, z dziennikiem zmian rekordów.
- Eksport i usunięcie na żądanie, z danymi hostowanymi w Unii Europejskiej.