Hvilke regler gælder for kundedata og samtykke i CRM?

Hvad betyder reglerne for kundedata i CRM?

Datatilsynet gør op med myten om, at en virksomhed kun må bruge personoplysninger, hvis den registrerede giver lov. Samtykke er blot én af seks hjemler til at behandle personoplysninger. Grundlaget kan lige så vel være at opfylde en kontrakt eller en retlig forpligtelse.

For et CRM-system betyder det, at spørgsmålet ikke er »har vi samtykke?«. Det er »hvilket behandlingsgrundlag har vi for netop denne oplysning til netop dette formål?«

Reglerne har været gældende siden maj 2018. Ifølge CRM-leverandøren SkyViewCRM koger det praktiske krav ned til fire ting, som systemet skal kunne. Det skal kunne dokumentere samtykke og slette data, når der ikke længere er grund til at gemme dem. Det skal også give en person indsigt i, hvad virksomheden har liggende, og styre, hvem internt der har adgang til hvad.

Ansvaret følger ikke systemet, men virksomheden. Datatilsynet slår fast, at din virksomhed er dataansvarlig for de personoplysninger, I behandler om medarbejdere og kunder. I skal sikre, at de behandles lovligt, også når de ligger i et eksternt CRM-system.

Samtykke eller et andet behandlingsgrundlag?

Et eksisterende kundeforhold er i sig selv et behandlingsgrundlag. At behandle, opbevare og bruge kundekontaktoplysninger i CRM er en naturlig følge af kundeforholdet. Det kræver ikke særskilt samtykke, når formålet er at opretholde netop det forhold.

Er formålet salgs- og marketingaktiviteter, og er oplysningerne almindeligt offentligt tilgængelige, kræver dansk ret ifølge therightpeople.dk hverken information eller tilladelse for at bruge dem. Vurderingen kan ske efter interesseafvejningsreglen i artikel 6, stk. 1, litra f. Behandling er lovlig, hvis den dataansvarliges legitime interesse går forud for den registreredes interesser og rettigheder.

Samtykke bliver relevant, når der ikke er et kundeforhold eller en offentligt tilgængelig oplysning at læne sig op ad. Det gælder fx private forhold om en kontaktperson som civilstand, børn eller fritidsinteresser. Det gælder også et privat mobilnummer eller en privat e-mailadresse, som en medarbejder selv har lagt ind. Uden samtykke eller en anden behandlingshjemmel må den slags oplysninger ikke noteres i CRM'et.

Behandlingsgrundlag i CRM: Samtykke vs. andre hjemler

Formål, rigtighed og dataminimering i CRM

Formålet skal være sagligt, legitimt og kunne beskrives konkret. Typiske eksempler er at opretholde et kundeforhold eller drive salgs- og marketingaktiviteter over for potentielle kunder og deres kontaktpersoner. Uden et sådant formål er der ingen ret til at opbevare personoplysningerne.

Oplysningerne skal være korrekte. Efter rigtighedsprincippet i persondataforordningen kan forkerte data ikke bruges til det specifikke formål, og virksomheden mister i praksis retten til at opbevare dem. Derfor er datavedligeholdelse – opdatering af kontaktpersoner, stillinger og aftaler – en compliance-opgave, ikke kun en salgsopgave.

Dataminimering handler i CRM om at undgå at trække private kontaktveje og private forhold ind i databasen. Det styrker argumentationen efter interesseafvejningsreglen, hvis oplysninger om personer i en virksomhed er eller har været offentligt tilgængelige. Ifølge therightpeople.dk vurderer Datatilsynets praksis netop offentliggjorte oplysninger efter interesseafvejningsreglen. Der lægges særligt vægt på, at dataene er offentlige.

Sådan håndterer I samtykke og dokumentation i CRM

Når samtykke er grundlaget, skal I kunne påvise det. Et tilsagn kan ikke længere være mundtligt: Det skal være skriftligt, opbevares og kunne vises frem, hvis nogen spørger. Spørger en person, hvad I har liggende om vedkommende, skal I kunne udskrive og sende oplysningerne.

Læg dokumentationen i CRM'et, knyttet til den enkelte person og det konkrete formål. Så fremgår det, hvilke oplysninger personen fik forelagt, da samtykket blev givet. Det skal også vise, hvordan fremgangsmåden levede op til kravene til et gyldigt samtykke.

Dokumentationen skal hænge sammen med den behandling, samtykket dækker. Kravet om dokumentation gælder som udgangspunkt kun, så længe I behandler personoplysninger på baggrund af samtykket. Derfor bør et samtykke i CRM ikke være en generel, tidsubegrænset tilladelse. Det skal knyttes til bestemte formål og behandlinger.

Når samtykket trækkes tilbage: sletning og opbevaring

Når samtykket trækkes tilbage, skal alle personoplysninger, der behandles på det grundlag, normalt slettes. Det gælder også dokumentationen for samtykket, medmindre der er et andet behandlingsgrundlag. Dokumentationen må ikke gemmes for en sikkerheds skyld eller under henvisning til lovens forældelsesfrister.

Datatilsynets udtalelse, som Dansk Erhverv beskrev i februar 2023, udspringer af en sag. En virksomhed opbevarede dokumentation for samtykker i 5 år efter sidste brug. Den henviste til, at strafansvaret efter GDPR forældes efter 5 år. Det holdt ikke.

Dokumentationen kan dog opbevares i en begrænset periode for at afklare, om der er eller måtte opstå en tvist. Klager kunden inden for den kortere periode, kan dokumentationen fortsat opbevares som bevis for, at der er indhentet samtykke.

En liste over personer, der har trukket deres samtykke tilbage, er ikke en farbar vej. I samme sag opretholdt virksomheden en sådan suspensionsliste for at undgå at sende mails til de pågældende. Datatilsynet påbød listen slettet.

Listen var en unødvendig behandling af personoplysninger i strid med princippet om dataminimering. Der var heller ikke hjemmel i interesseafvejningsreglen til at opbevare oplysningerne med det formål, når samtykket var trukket tilbage.

Efter sletningen skal I stadig kunne fremlægge systemdokumentation, der dækker procedurerne omkring indhentelsen af samtykket. Den skal vise, at fremgangsmåden levede op til betingelserne for et gyldigt samtykke.

Vigtige tidsrammer og krav fra Datatilsynet

Indsigt, rettelse, sletning og adgangsstyring

Indsigt betyder i praksis, at CRM'et skal kunne trække alle oplysninger om én person ud og levere dem til personen. Ret til rettelse betyder, at fejl skal kunne berigtiges. Datatilsynet anbefaler, at man først kontakter den virksomhed eller myndighed, der behandler oplysningerne, og beder om at få dem rettet.

Retten til sletning er ikke ubetinget. Påstanden »jeg har ret til at få slettet alt, I har på mig« er ifølge Datatilsynet en myte. Dataansvarlige skal slette personoplysninger, når et af flere nærmere angivne forhold gør sig gældende.

Det gælder, når oplysningerne ikke længere er nødvendige for de formål, de blev indsamlet til; når den registrerede trækker sit samtykke tilbage uden en anden hjemmel; når behandlingen er ulovlig; eller når sletning følger af EU-lovgivning eller national lovgivning.

Det gælder også, når den registrerede gør indsigelse. Det samme gælder en informationssamfundstjeneste, hvor en person, der er fyldt 13 år, selv tilbagekalder et samtykke, som en forældremyndighedsindehaver har givet.

Adgangsstyring er et selvstændigt krav. I skal vide, hvem hos jer der har adgang til hvilke data. I skal også sikre, at udefrakommende ikke kan tilgå dem. Ifølge SkyViewCRM er problemet i mange virksomheder ofte, at personoplysninger ikke bliver slettet, når de først er kommet ind.

Dataansvarlig, databehandler og deling af kundedata

Din virksomhed er dataansvarlig for de personoplysninger, I behandler om medarbejdere og kunder. Leverandører af de IT-systemer, I bruger – herunder CRM-systemer – er typisk databehandlere. Når I bruger en databehandler, skal I have en databehandleraftale. Aftalerne bør samles, så I har overblik over dem, for eksempel i en mappe på computeren.

Datatilsynet nævner selv kundehåndteringssystemer/CRM-systemer som eksempel på kategorien, hvor leverandøren er databehandler. Det gælder også eksempelvis Salesforce og WebCRM. Leverandører af nyhedsbrevssystemer, lønsystemer og mailprogrammer er også databehandlere. Aftalen gælder altså ikke kun tunge systemer; den skal dække alle behandlere, der sidder med personoplysninger fra jeres CRM.

Når I videregiver personoplysninger til andre dataansvarlige, skal I overveje, hvem der får oplysningerne. Det kan fx være en samarbejdspartner, der skal invitere jeres kunder til et fælles arrangement. I skal informere kunder eller medarbejdere om, at deres oplysninger deles. Den information kan lægges i persondatapolitikken.

Markedsførings- og cookiesamtykker i CRM

Datatilsynets udtalelse om sletning af samtykkedokumentation gælder ikke kun samtykker efter databeskyttelsesforordningen. Dokumentation for samtykke til elektronisk markedsføring og cookies skal også overholde forordningens regler. Udtalelsen kan derfor få betydning for, hvor længe I opbevarer netop den dokumentation. Her afventer man en eventuel udmelding fra Forbrugerombudsmanden.

Praktisk betyder det, at dokumentation i jeres CRM eller marketingværktøj bør følge samme logik som de øvrige samtykker. Den bør ikke opbevares på ubestemt tid, efter at samtykket er trukket tilbage.

Praktisk tjekliste for CRM og samtykke

Fastlæg for hver datakategori i CRM'et, hvilket formål den tjener. Afklar også, hvilket behandlingsgrundlag der bærer den – kundeforhold, retlig forpligtelse, samtykke eller interesseafvejning efter artikel 6, stk. 1, litra f.

Ryd ud i private forhold, private mobilnumre og private e-mailadresser, medmindre der ligger et samtykke eller en anden hjemmel bag. Brug hvor muligt oplysninger, der er eller har været offentligt tilgængelige. Det styrker vurderingen efter interesseafvejningsreglen.

Dokumentér samtykker skriftligt i CRM'et. Det skal fremgå, hvilke oplysninger personen fik forelagt. Det skal også fremgå, hvordan fremgangsmåden opfyldte samtykkekravene.

Sæt slettefrister op for det enkelte formål. Sørg for, at data faktisk slettes, når grundlaget bortfalder. Det gælder også dokumentationen, når et samtykke trækkes tilbage.

Opbevar kun dokumentationen kortvarigt, hvis der er behov for at afklare en mulig tvist. Opret ikke suspensionslister over personer, der har trukket deres samtykke tilbage.

Begræns og dokumentér de interne adgange. I skal vide, hvem der har adgang til hvilke data. I skal også kunne udskrive og sende alle oplysninger om en person, når der anmodes om indsigt.

Sikr databehandleraftaler med CRM-leverandøren og øvrige systemleverandører. Hold et samlet overblik over aftalerne. Oplys kunder og medarbejdere i persondatapolitikken, når deres oplysninger deles med andre dataansvarlige.