GDPR og CRM: slik behandler du kundedata trygt

Hva GDPR krever av et CRM-system

Et CRM-system samler det du vet om en kunde på ett sted: navn, e-post, telefonnummer, adresse, hva de har kjøpt, hva de har fått tilsendt, og hvilke sider de har besøkt. Mye av dette er personopplysninger, og så snart de ligger i systemet, gjelder personvernreglene for dem. Det er lett å tenke på CRM som et salgsverktøy og glemme at det også er en database med opplysninger om enkeltpersoner.

To ord er kjernen i regelverket: åpenhet og samtykke. Du skal informere tydelig om hvilke opplysninger du samler inn, hvorfor du gjør det, og hvordan de brukes. For markedsføring må du i tillegg ha et gyldig behandlingsgrunnlag, og du må kunne dokumentere at du har det. Reglene er ikke til hinder for god markedsføring, men de krever at du har kontroll på dataene dine.

For de fleste små bedrifter starter kontrollen på nettsiden. Skjemaet kunden fyller ut, informasjonskapslene som følger med, og personvernerklæringen som skal forklare sammenhengen, er alle en del av samme bilde. Regler for nettsider og netthandel: komplett guide for bedrifter går gjennom helheten, og GDPR-krav for bedrifter: slik blir du compliant gir deg selve kravlisten du kan jobbe deg gjennom.

Tre ting du må ha orden på før du fyller systemet

Det første er behandlingsgrunnlaget. Hvorfor har du lov til å lagre opplysningen? Det kan være at kunden har inngått en avtale med deg, at du har fått et samtykke, eller at du har en annen lovlig grunn. Poenget er at du skal kunne svare på spørsmålet for hver type data du behandler, ikke bare for systemet som helhet. Nyhetsbrev og kundeforhold er typisk to forskjellige grunnlag, og de skal holdes fra hverandre.

Det andre er åpenheten. Kunden skal forstå hva som skjer, og det skal stå skrevet på et sted det er mulig å finne. GDPR og personvernerklæring: slik lager du en god erklæring viser hvordan du bygger opp en erklæring som faktisk beskriver det du gjør, i stedet for en tekst som er kopiert fra en mal og glemt.

Det tredje er dokumentasjonen. Du skal kunne vise hva du behandler, hvorfor, hvor lenge, og hvem som har tilgang. En enkel oversikt over hvilke skjemaer som finnes, hvilke felt de sender videre til CRM, og hvor dataene havner, er ofte nok til å gi deg den oversikten du mangler den dagen noen spør.

Slik rydder du i kundedataene

Start med å gå gjennom feltene i systemet. For hvert felt stiller du tre spørsmål: trenger vi dette, hvor kom det fra, og når skal det slettes? Felt som aldri brukes til noe, kan som regel fjernes. Fritekstfelt med løse notater er ofte der de mest sensitive opplysningene havner uten at noen har bestemt det.

Deretter skiller du kunder fra abonnenter. En person som har handlet hos deg, er ikke automatisk en som vil ha nyhetsbrev. Sørg for at markedsføringssamtykket er registrert med tidspunkt og kilde, slik at du kan vise det frem senere. Mange CRM-systemer har egne funksjoner for masseoppdatering, slik at du kan rydde mange kontakter samtidig i stedet for én og én.

Til slutt må du kunne levere på kundens rettigheter. En kunde som ber om innsyn, skal få vite hva du har lagret. En kunde som ber om sletting, skal få det gjennomført. En kunde som trekker et samtykke, skal ikke få flere markedsføringsutsendelser. Hvis du ikke kan løse dette med et par tastetrykk, er det et tegn på at strukturen bør forenkles.

Tilgang, roller og databehandlere

Ikke alle i bedriften trenger å se alt. Selgeren trenger kontaktinformasjon og historikk, mens regnskapet trenger noe annet. Sett opp roller og tilganger etter hva folk faktisk gjør i jobben sin, og fjern tilganger når noen slutter. Adgangskontroll og GDPR: slik beskytter du personopplysninger forklarer sammenhengen mellom tilganger, logging og ansvar.

CRM-leverandøren din behandler opplysninger på dine vegne, og da skal dere ha en databehandleravtale. Sjekk også hvor dataene lagres, og hvilke underleverandører som er involvert. Dette er spørsmål du kan stille før du velger leverandør, ikke etterpå, for det er vanskelig å flytte seg ut av en løsning som først er tatt i bruk.

For en butikk med netthandel kommer det i tillegg et lag med sporing på nettsiden. Informasjonskapsler på nettsiden: dette sier reglene går gjennom hva som gjelder når du måler besøk og kobler adferd til kundeprofilen i CRM. CRM for små butikker: slik bruker du kundedata i hverdagen viser hvordan du gjør dette praktisk uten å samle mer enn du trenger.

Fallgruver når du automatiserer oppfølgingen

Automatisering er blitt vanlig i CRM-systemer, og kunstig intelligens brukes til å forutsi kundeadferd, foreslå neste steg og sortere henvendelser. Mulighetene er reelle, men de samme funksjonene krever store datamengder, og det er nettopp der personvernet blir satt på prøve. Uten riktige tiltak kan du fort trå feil.

En vanlig fallgruve er å behandle automatiserte beslutninger som en svart boks. Regelverket krever at du kan forklare hvordan slike beslutninger tas, og kundene skal kunne få innsyn i logikken som ligger bak. En annen fallgruve er å samle inn data bare fordi systemet kan, uten å ha et formål som henger sammen med tjenesten du leverer.

Den tredje er manglende testing. Hvis modellene brukes til å prioritere eller filtrere kunder, bør de gjennomgås jevnlig for å avdekke skjevheter og feil. Sett opp en fast rutine for gjennomgang, og skriv ned hva du fant og hva du gjorde med det. Det er dokumentasjonen som gjør at du kan svare når noen spør.

Rutiner som holder over tid

Personvern er ikke et prosjekt som blir ferdig. Nye ansatte, nye skjemaer, nye integrasjoner og nye funksjoner i systemet endrer bildet. Det som fungerte i fjor, er ikke nødvendigvis riktig i år. Derfor bør du ha en fast gjennomgang, for eksempel én gang i året, der du ser på felt, samtykker, tilganger og avtaler på nytt.

Legg også inn korte rutiner i hverdagen. Når noen ber om innsyn eller sletting, skal det være tydelig hvem som gjør det og hvordan det loggføres. Når en ny ansatt får tilgang, skal det være tydelig hvilke begrensninger som gjelder. Det er de små, gjentatte handlingene som avgjør om kundedataene faktisk er trygge.

Hvis du vil ha nettside, skjemaer og databehandling satt opp slik at det henger sammen med systemene du allerede bruker, kan du se på Nettsagas tjeneste for nettside og book en demo på /book-demo/.

Vanlige spørsmål

Kan jeg lagre kundeopplysninger i CRM uten samtykke?

Ja, hvis du har et annet gyldig behandlingsgrunnlag, for eksempel at kunden har inngått en avtale med deg. Samtykke er ett av flere mulige grunnlag. Til markedsføring via e-post og SMS gjelder i tillegg egne regler for samtykke, så hold kundeforhold og markedsføring adskilt i systemet.

Hvor lenge kan jeg oppbevare kundedata i CRM?

Det finnes ingen fast grense som passer alle. Du skal ikke oppbevare opplysninger lenger enn nødvendig for formålet du samlet dem inn for. Sett derfor en egen lagringstid per type data, og rydd bort kontakter som ikke lenger er aktive.

Er CRM-leverandøren min behandlingsansvarlig?

Nei, som hovedregel er du behandlingsansvarlig og leverandøren er databehandler. Det betyr at du har ansvaret for at behandlingen er lovlig, mens leverandøren behandler dataene på dine vegne etter avtale. Dere skal ha en databehandleravtale.

Må jeg slette data når en kunde ber om det?

Kunden har rett til å få slettet personopplysninger som ikke lenger er nødvendige, men det finnes unntak, blant annet der du er pålagt å oppbevare opplysningene. Vurder hver forespørsel konkret, og dokumenter vurderingen.

Hva sier GDPR om automatiserte beslutninger i CRM?

Du må kunne forklare hvordan automatiserte beslutninger tas, og kunden skal kunne få innsyn i logikken bak. Bruker du AI-funksjoner i systemet, bør du i tillegg teste modellene jevnlig for skjevheter og ha en rutine for gjennomgang.