GDPR i CRM – gallring, samtycke och radering

Rättslig grund per kontakttyp

GDPR kräver inte en rättslig grund för hela CRM:et, utan en grund per ändamål. I praktiken hamnar de flesta B2B- och B2C-kontakter i ett fåtal grupper med olika grunder. Att skriva ner dem är grunden för allt annat, eftersom lagringstid och radering följer av ändamålet.

Lagringstider och gallringsregler

En gallringsregel har två delar: en tid och en utlösande händelse. ”Radera leads 24 månader efter senaste aktivitet” är en regel; ”rensa gammal data regelbundet” är det inte. Tiden ska motsvara hur länge ändamålet faktiskt varar. Ett lead som inte svarat på två år är ingen säljmöjlighet. En tidigare kund som köpt något med lång garanti kan motivera längre tid.

• Definiera ”aktivitet” exakt: öppnat mejl, svar, möte, köp.
• Basera regeln på ett datumfält som uppdateras automatiskt, inte för hand.
• Bestäm om ni raderar eller anonymiserar; anonymiserade poster kan behålla statistik utan att peka ut någon.
• Dokumentera reglerna i registerförteckningen, så att de kan visas för Integritetsskyddsmyndigheten (IMY) vid behov.

Samtycken för marknadsföring

Bygger mejlutskicken på samtycke måste ni kunna visa att samtycket lämnats: när, var, för vad och med vilken formulering. Ett fält ”marknadsföring: ja” som importerades från ett kalkylark för tre år sedan visar inte det. De flesta moderna CRM, även HubSpot, har prenumerationstyper med historik per kontakt; använd dem i stället för egna ja/nej-fält.

1. Spara datum, källformulär och samtyckestext för varje samtycke.
2. Ha separata prenumerationstyper, som nyhetsbrev och produktnyheter, så att folk kan välja.
3. Hantera avregistreringar direkt och registrera aldrig om någon via import.
4. Spara en uppgift om själva avregistreringen, så att adressen inte läggs till igen av misstag.

Leads från formulär på hemsidan ska föra med sig sitt samtycke in i CRM:et automatiskt; läs mer i leads från hemsidan till CRM.

Hantera begäran om radering och registerutdrag

Enskilda kan fråga vilka uppgifter ni har om dem och begära att de raderas. Ni ska svara inom en månad. CRM:et är oftast huvudkällan, men kopior finns ofta i mejl, kalkylark, nyhetsbrevsverktyget, ekonomisystemet och supportverktyget.

1. Ha en enkel rutin: vem som tar emot begäranden, hur identiteten kontrolleras och vem som svarar.
2. Lista alla system där personens uppgifter kan finnas, och sök i samtliga.
3. Vid registerutdrag, exportera uppgifterna i läsbar form, inklusive var de kommer ifrån.
4. Vid radering, radera överallt utom där annan lag kräver att uppgifterna sparas, som bokföringen, och berätta för personen vad som sparades och varför.
5. Logga begäran och datum för svaret.

Automatisera rensningen

Manuella rensningar görs en gång och sedan aldrig igen. Bygg in reglerna i CRM:et: ett schemalagt flöde som hittar kontakter som omfattas av en gallringsregel, flaggar dem för granskning under en kort period och sedan raderar eller anonymiserar dem. Börja med en rapport över vad som skulle tas bort och granska den innan raderingen slås på. Samma logik håller CRM:et användbart, eftersom säljarna jobbar snabbare med färre döda poster. Vår checklista för CRM-hälsa tar upp datakvaliteten.

När ni inte behöver köpa hjälp: har CRM:et några hundra kontakter och en användare kan ni sätta upp reglerna själva på en eftermiddag. När CRM:et delas, matas från flera källor eller har åratal av ohanterad historik kartlägger en CRM-genomgång rättsliga grunder, fält och automatiseringar i ett svep. Boka ett kort samtal för att se vad det skulle innebära.

Vanliga frågor