CRM a RODO: co musisz wiedzieć

Możesz trzymać dane klientów w CRM zgodnie z RODO, jeśli masz podstawę prawną do ich przetwarzania, poinformujesz klientów, co z nimi robisz, zawrzesz z dostawcą systemu umowę powierzenia przetwarzania danych, ograniczysz dostęp do osób, które go potrzebują, i ustalisz, jak długo przechowujesz dane. Sam program nie jest ani „zgodny”, ani „niezgodny” z RODO. Zgodny albo niezgodny jest sposób, w jaki z niego korzystasz.

Temat CRM a RODO dotyczy każdej firmy, która zapisuje w systemie imię, telefon albo historię rozmów z klientem, czyli praktycznie każdej. Poniżej praktyczna lista dla małej firmy. Nie jestem prawnikiem i ten tekst nie zastąpi porady prawnej. Opisuję zasady, o których pamiętam przy wdrożeniach CRM, oraz miejsca, w których trzeba sięgnąć po pomoc prawnika albo inspektora ochrony danych.

Jakie dane w CRM są danymi osobowymi

Prawie wszystko, co dotyczy konkretnej osoby: imię i nazwisko, telefon, e-mail, nazwa w komunikatorze, adres, a także historia rozmów, notatki, zdjęcia i nagrania połączeń. Nazwa spółki czy jej NIP nie są danymi osobowymi, ale dane osoby kontaktowej w tej spółce już tak. Przy jednoosobowej działalności dane firmy często są jednocześnie danymi przedsiębiorcy.

Szczególnie uważaj na dane o zdrowiu. W salonie kosmetycznym albo gabinecie karta klienta z informacją o alergiach czy przeciwwskazaniach do zabiegu zawiera dane szczególnej kategorii, a ich przetwarzanie podlega surowszym zasadom. Zanim zaczniesz je zapisywać w CRM, zastanów się, czy muszą tam być, i skonsultuj to z prawnikiem.

Podstawa prawna: na jakiej zasadzie trzymasz dane

RODO wymienia kilka podstaw przetwarzania danych. W CRM małej firmy najczęściej spotykam cztery:

Dla każdego celu ustal podstawę z osobna. Ten sam klient może być w bazie na podstawie umowy, a jednocześnie mieć albo nie mieć zgody na marketing.

Obowiązek informacyjny

Gdy zbierasz dane, musisz przekazać klientowi podstawowe informacje: kto jest administratorem, w jakim celu i na jakiej podstawie przetwarzasz dane, komu je przekazujesz (na przykład dostawcy CRM jako podmiotowi przetwarzającemu), czy trafiają poza Europejski Obszar Gospodarczy, jak długo je przechowujesz i jakie prawa przysługują klientowi.

W praktyce oznacza to krótką klauzulę przy formularzu z odnośnikiem do polityki prywatności. Przykład takiego rozwiązania znajdziesz na mojej stronie: klauzula informacyjna i polityka prywatności. W komunikatorach dobrze sprawdza się automatyczna pierwsza wiadomość z linkiem do polityki. Więcej o samej stronie przeczytasz w tekście RODO na stronie internetowej.

Umowa powierzenia z dostawcą CRM

Dostawca systemu przechowuje dane Twoich klientów na swoich serwerach, więc przetwarza je w Twoim imieniu. RODO wymaga, żeby taka współpraca była oparta na umowie powierzenia przetwarzania danych. Duzi dostawcy oprogramowania zwykle mają gotową umowę (często nazwaną DPA) jako część regulaminu. Sprawdź w niej:

• gdzie fizycznie przechowywane są dane,
• jakich podwykonawców używa dostawca,
• jakie środki bezpieczeństwa stosuje,
• co dzieje się z danymi po zakończeniu umowy i jak je odzyskasz.

To samo dotyczy każdej osoby z zewnątrz, która ma dostęp do Twojej bazy: wykonawcy wdrożenia, firmy od bota, biura rachunkowego. Dostęp do danych powinien wynikać z umowy, a nie z przekazanego hasła.

Przekazywanie danych poza Europę

Wiele popularnych systemów CRM pochodzi spoza Unii Europejskiej. Samo w sobie nie wyklucza to ich używania, ale przekazanie danych poza Europejski Obszar Gospodarczy musi mieć podstawę z RODO, na przykład decyzję Komisji Europejskiej o odpowiednim stopniu ochrony albo standardowe klauzule umowne. Przy firmach z USA często chodzi o program Data Privacy Framework, ale ta część przepisów zmieniała się w ostatnich latach kilka razy, więc aktualny stan sprawdź z prawnikiem. Informację o przekazaniu wpisz do polityki prywatności.

Jak długo trzymać dane w CRM

RODO nie podaje jednej liczby. Okres przechowywania wynika z celu, dlatego ustal go osobno dla kilku grup:

• Zapytania, z których nic nie wyszło: tak długo, jak to uzasadnione, na przykład rok, a potem usunięcie albo anonimizacja.
• Klienci: przez czas współpracy i później przez okres, w którym mogą pojawić się roszczenia z umowy.
• Dokumenty księgowe: przez okres wymagany przepisami podatkowymi, zwykle pięć lat liczonych od końca roku, w którym minął termin płatności podatku.
• Zgody marketingowe: do wycofania zgody.

W wielu systemach ustawisz automatyczne przypomnienie albo regułę, która raz na kwartał pokaże zapytania starsze niż przyjęty okres. Bez tego baza rośnie latami.

Dostęp i bezpieczeństwo

• Osobne konta. Każdy pracownik loguje się własnym kontem, a nie wspólnym hasłem z kartki przy monitorze.
• Role i uprawnienia. Handlowiec widzi swoich klientów, właściciel całość, a osoba od faktur tylko to, czego potrzebuje.
• Weryfikacja dwuetapowa tam, gdzie system ją oferuje.
• Zabezpieczony telefon. Skoro CRM jest w aplikacji, telefon z dostępem do bazy musi mieć blokadę ekranu.
• Odejście pracownika. Dostęp odbierasz tego samego dnia, a rozmowy z klientami zostają w firmie.

Prawa klientów w praktyce CRM

Klient może poprosić o dostęp do swoich danych, ich poprawienie lub usunięcie, może też sprzeciwić się marketingowi. Odpowiedź należy się bez zbędnej zwłoki, co do zasady w ciągu miesiąca. W CRM przygotuj na to trzy rzeczy: eksport danych jednej osoby, sposób usuwania danych również z połączonych narzędzi oraz pole „nie kontaktować w celach marketingowych”, które automatyzacje respektują.

Rejestr czynności przetwarzania

RODO przewiduje zwolnienie z prowadzenia rejestru dla firm zatrudniających mniej niż 250 osób, ale tylko wtedy, gdy przetwarzanie danych jest sporadyczne i nie dotyczy szczególnych kategorii danych. Prowadzenie bazy klientów w CRM to zwykle przetwarzanie regularne, więc wiele małych firm i tak powinno taki rejestr mieć. Szablon i ocenę, czy Ciebie to dotyczy, najlepiej przygotować z prawnikiem albo inspektorem ochrony danych.

Jak ustawiam CRM z myślą o danych

Dokumentów prawnych nie piszę, od tego jest prawnik. Przy wdrożeniu dbam o technikę: konto zakładam na Twoją firmę, ustawiam role i uprawnienia, zostawiam tylko pola potrzebne do pracy i pokazuję zespołowi, jak eksportować i usuwać dane na prośbę klienta.

Jeśli wybierasz system, dorzuć ochronę danych do kryteriów z tekstu jaki CRM wybrać, a zakres wdrożenia znajdziesz na stronie wdrożenie CRM. Za naruszenia przepisów Prezes UODO może nałożyć karę do 20 mln euro lub 4% światowego obrotu, choć w małych firmach częściej kończy się na nakazach i upomnieniach. Porządek w danych jest po prostu tańszy.

Checklista: CRM a RODO

• Masz podstawę prawną dla każdego celu, w którym używasz danych.
• Klauzula informacyjna jest przy formularzach i w pierwszej wiadomości w komunikatorach.
• Z dostawcą CRM masz umowę powierzenia i wiesz, gdzie są przechowywane dane.
• Przekazanie danych poza EOG ma podstawę i jest opisane w polityce prywatności.
• Ustaliłeś okresy przechowywania i regularnie sprzątasz bazę.
• Każdy pracownik ma własne konto i tylko potrzebne uprawnienia.
• Wiesz, jak wyeksportować i usunąć dane jednej osoby.
• Zgody marketingowe są zapisane z datą i źródłem.