GDPR og kundedata i handelsfaget
Samtykke, opbevaring og sikker håndtering af persondata i CRM
Næsten alt arbejde i en handelsvirksomhed involverer persondata: navn, adresse, telefonnummer, købshistorik og ofte betalingsoplysninger. Det gør persondataforordningen — bedre kendt som GDPR — til noget, du møder i praksis fra din første dag i kundeservice eller salg, ikke bare noget juristerne tager sig af.
§Hvad tæller som persondata i en handelsvirksomhed
Persondata er enhver oplysning, der kan henføres til en identificerbar person — det gælder både private forbrugere og kontaktpersoner hos erhvervskunder. Navn, e-mail, kundenummer, IP-adresse og noter i CRM-systemet om en kundes præferencer er alt sammen persondata, som skal behandles efter reglerne.
§Retsgrundlag — hvornår må du behandle data
Du må ikke bare registrere og bruge data, fordi det er praktisk. Der skal være et retsgrundlag, og i handelsfaget er de mest almindelige, at behandlingen er nødvendig for at opfylde en aftale med kunden, at virksomheden har en legitim interesse, der vejer tungere end kundens, eller at kunden har givet sit samtykke.
- 01Aftale — fx at gemme leveringsadressen for at kunne sende varen
- 02Legitim interesse — fx grundlæggende salgsstatistik uden direkte markedsføring
- 03Samtykke — fx nyhedsbreve og målrettet markedsføring
- 04Retlig forpligtelse — fx bogføringslovens krav om opbevaring af bilag
§Samtykke til markedsføring
Vil virksomheden sende nyhedsbreve eller tilbud, kræver det som udgangspunkt et aktivt samtykke fra kunden — en forudkrydset boks eller stiltiende accept er ikke nok. Samtykket skal være frivilligt, specifikt og informeret, og kunden skal let kunne trække det tilbage igen, uden at det koster ham noget.
§Opbevaring, sletning og datasikkerhed
Data skal kun opbevares, så længe det er nødvendigt for det formål, de blev indsamlet til — bogføringsbilag har en lovbestemt opbevaringspligt, mens et gammelt tilbud til en kunde, der aldrig blev til noget, ikke skal ligge i systemet i årevis. Adgang til CRM-systemet bør begrænses til de medarbejdere, der reelt har brug for det, og bruger virksomheden eksterne it-leverandører til at drifte systemerne, skal der ligge en databehandleraftale, der regulerer, hvordan leverandøren må bruge og opbevare dataene.
| Situation | Retsgrundlag | Eksempel |
|---|---|---|
| Behandle en ordre | Opfyldelse af aftale | Navn og leveringsadresse registreres |
| Sende tilbud til eksisterende kunde | Legitim interesse | Opfølgende tilbud efter et køb |
| Sende nyhedsbrev | Samtykke | Kunden har krydset af ved tilmelding |
| Gemme fakturaer | Retlig forpligtelse | Bogføringslovens opbevaringskrav |
Er du i tvivl om en konkret situation, findes der offentlige vejledninger — blandt andet Datatilsynets vejledning målrettet mindre virksomheder — der går trin for trin igennem, hvad der kræves. Det er langt billigere at slå op på forhånd end at rydde op efter en fejl, når en kunde beder om at få slettet sine oplysninger, og virksomheden ikke aner, hvor de ligger.