CRM ja GDPR: näin hoidat asiakasrekisterin tietosuojan

Miksi CRM on henkilörekisteri?

Vaikka myisit vain yrityksille, CRM:ään tallentuu ihmisiä: yhteyshenkilöiden nimiä, titteleitä, sähköpostiosoitteita, puhelinnumeroita, tapaamismuistiinpanoja ja viestihistoriaa. Nämä ovat henkilötietoja, joten niiden käsittelyssä noudatetaan EU:n yleistä tietosuoja-asetusta (GDPR).

Tietosuojan perusperiaatteet pätevät myös CRM:ssä: käsittelyn on oltava lainmukaista, kohtuullista ja läpinäkyvää, tietoja kerätään vain tiettyyn tarkoitukseen ja vain tarpeellinen määrä, tiedot pidetään ajan tasalla, niitä säilytetään vain niin kauan kuin tarpeen ja ne käsitellään luottamuksellisesti ja turvallisesti. Rekisterinpitäjän on lisäksi pystyttävä osoittamaan, että se noudattaa periaatteita.

Rekisterinpitäjä ja käsittelijä: kuka vastaa mistä?

Rekisterinpitäjän ja käsittelijän välillä on oltava sopimus, joka kattaa tietosuoja-asetuksen 28 artiklan sisällön: käsittelyn kohteen ja keston, luonteen ja tarkoituksen, henkilötietotyypit ja rekisteröityjen ryhmät sekä osapuolten velvollisuudet.

Käsittelyperuste: millä perusteella tietoja saa käsitellä?

Tietosuoja-asetus tuntee kuusi käsittelyperustetta. Peruste on määriteltävä ennen kuin käsittely alkaa.

• Suostumus. Vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Suostumuksen peruminen on tehtävä yhtä helpoksi kuin sen antaminen.
• Sopimus. Tietoja voi käsitellä sopimuksen täytäntöön panemiseksi, mutta vain tarpeellisessa laajuudessa.
• Lakisääteinen velvoite. Esimerkiksi kirjanpitoon liittyvä velvollisuus.
• Elintärkeä etu. Ihmisen hengen tai terveyden suojaaminen.
• Yleinen etu tai julkinen valta. Koskee lähinnä viranomaistehtäviä.
• Oikeutettu etu. Edellyttää tasapainotestin, jossa yrityksen etua punnitaan rekisteröidyn oikeuksia vasten.

B2B-myynnissä CRM:n tavallisimmat perusteet ovat sopimus olemassa olevien asiakkaiden kohdalla ja oikeutettu etu esimerkiksi asiakassuhteen hoidossa ja suoramarkkinoinnissa.

Oikeutettu etu ja tasapainotesti kuudessa vaiheessa

B2B-suoramarkkinointi: milloin suostumusta tarvitaan?

Tietosuojavaltuutetun toimiston mukaan sähköisen suoramarkkinoinnin säännöt riippuvat siitä, onko vastaanottaja organisaatio vai yksityishenkilö.

Säilytysajat ja vanhojen tietojen poistaminen

Tietosuoja-asetus ei määrää kiinteitä säilytysaikoja. Henkilötietoja saa säilyttää vain niin kauan kuin se on käsittelyn tarkoituksen kannalta tarpeen, ja rekisterinpitäjän on pystyttävä perustelemaan ja dokumentoimaan säilytysajat. Tarpeettomat tiedot on joko anonymisoitava tai poistettava.

• Määritä säilytysaika tietoryhmittäin. Esimerkiksi asiakkaat, päättyneet asiakkuudet ja liidit, joista ei tullut kauppaa.
• Huomioi lakisääteiset velvoitteet. Esimerkiksi kirjanpitolainsäädäntö voi edellyttää pidempiä säilytysaikoja osalle tiedoista.
• Siivoa säännöllisesti. Sovi, kuka käy vanhat liidit ja yhteyshenkilöt läpi ja kuinka usein.
• Pidä tiedot ajan tasalla. Virheelliset tiedot on oikaistava tai poistettava viipymättä, esimerkiksi kun yhteyshenkilö vaihtaa työpaikkaa.