Vad säger GDPR om kunduppgifter i ett CRM-system?
Ett CRM-system är per definition en databas över människor. Det placerar det mitt under dataskyddsförordningen (EU) 2016/679, GDPR, och under tillsyn av Integritetsskyddsmyndigheten (IMY) i Sverige.
Kort svar
- Varje behandling kräver en rättslig grund: samtycke, avtal, rättslig förpliktelse eller berättigat intresse.
- B2B-prospektering bygger oftast på berättigat intresse; marknadsföring via e-post eller WhatsApp kräver som regel samtycke – kontrollera de nationella reglerna för direktmarknadsföring.
- Du tecknar ett personuppgiftsbiträdesavtal (PUB-avtal) med CRM-leverantören – de är personuppgiftsbiträde, du är personuppgiftsansvarig.
- Du måste kunna svara på de registrerades begäranden: tillgång, rättelse, radering, dataportabilitet.
- Vid en personuppgiftsincident är tidsfristen för anmälan till IMY 72 timmar.
Vad som måste finnas i CRM-systemet för regelefterlevnad
- Ett fält med rättslig grund och källa för varje kontakt – var den kom ifrån och varför du behandlar den.
- En registrering av samtycket till kommersiell kommunikation, med datum och kanal.
- Roller och behörigheter, så att varje anställd bara ser den data hen behöver.
- En ändringslogg: vem som har ändrat ett kort och när.
- Export och radering på begäran, i ett strukturerat format.
- En gallringspolicy – kontakter sparas inte i all oändlighet ”för säkerhets skull”.
De vanligaste orsakerna till sanktioner
Bland de vanligaste orsakerna till sanktioner enligt GDPR finns bristande tekniska och organisatoriska säkerhetsåtgärder och samtycken som inte uppfyller kraven – förifyllda, bundna till annat eller omöjliga att återkalla.
Vid allvarliga överträdelser kan sanktionsavgiften uppgå till 20 miljoner euro eller 4 % av den globala årsomsättningen, beroende på vilket belopp som är högst.
Vanliga misstag
- Att importera en köpt lista utan möjlighet att bevisa var datan kommer ifrån.
- Att mejla eller skicka kundlistan via WhatsApp mellan kollegor.
- Full åtkomst för alla användare, ”för enkelhetens skull”.
- Inget undertecknat PUB-avtal med CRM-leverantören och de andra leverantörer som hanterar datan.
- Att radera en kontakt men inte kopiorna i lokala exporter.
Så hjälper 4softcrm
- Rättslig grund, källa och samtycke registreras som strukturerad data på varje kontakt.
- Detaljerade roller och behörigheter, med en ändringslogg per kort.
- Export och radering på begäran, med data lagrad i Europeiska unionen.