CRM a RODO: co sprawdzić w małej firmie

RODO, czyli unijne ogólne rozporządzenie o ochronie danych z 2016 roku, stosowane od maja 2018 roku, kojarzy się małym firmom z klauzulami pod formularzem. W rzeczywistości dotyczy codziennej pracy z danymi klientów, a więc także systemu CRM. Dobra wiadomość: uporządkowany CRM ułatwia zgodność bardziej niż arkusze rozsyłane mailem. Jak projektować system, opisuje przewodnik CRM na miarę. Poniższe uwagi są ogólne i nie zastępują analizy prawnika.

Jakie dane w CRM są danymi osobowymi

Dane	Czy osobowe	Uwaga
Imię, nazwisko, telefon, e-mail osoby	Tak	Także służbowe
Dane osoby prowadzącej jednoosobową działalność	Tak	Mimo że to przedsiębiorca
Nazwa spółki, NIP, adres siedziby	Nie	Dane osoby prawnej
Notatki z rozmów	Tak, jeśli dotyczą osoby	Najbardziej ryzykowna część systemu
Historia zakupów osoby fizycznej	Tak	Powiązana z konkretną osobą
Informacje o zdrowiu, poglądach, przynależności	Tak, szczególna kategoria	Wymagają dodatkowych podstaw i ostrożności

Siedem spraw do sprawdzenia

1. Wiesz, co zbierasz i po co

Każde pole w karcie klienta powinno mieć cel. Zasada minimalizacji mówi, żeby zbierać tylko dane potrzebne do tego celu. Pokrywa się to z dobrą praktyką projektowania systemu, opisaną w artykule jakie dane zbierać w CRM.

2. Masz podstawę prawną dla każdego celu

Cel	Podstawa stosowana zwykle
Odpowiedź na zapytanie, przygotowanie oferty	Działania przed zawarciem umowy na żądanie osoby
Realizacja zlecenia	Wykonanie umowy
Faktury i dokumentacja	Obowiązek prawny
Kontakt z pracownikami klienta firmowego	Prawnie uzasadniony interes
Newsletter, oferty marketingowe	Zgoda lub uzasadniony interes, z uwzględnieniem przepisów o komunikacji elektronicznej

Tabela pokazuje typowy układ. Marketing drogą elektroniczną i telefoniczną regulują dodatkowo osobne przepisy, dlatego ten obszar warto skonsultować.

3. Informujesz ludzi

Osoba, której dane trafiają do systemu, powinna dostać informację, kto je przetwarza, po co, na jakiej podstawie, jak długo i jakie ma prawa. Zwykle załatwia to klauzula przy formularzu, w stopce oferty i w polityce prywatności. Warto sprawdzić, czy treść odpowiada temu, co firma faktycznie robi.

4. Ograniczasz dostęp

• Każdy użytkownik ma własne konto. Bez wspólnych haseł.
• Uprawnienia według roli: nie każdy musi widzieć wszystko.
• Logowanie dwuskładnikowe, zwłaszcza przy pracy zdalnej.
• Odebranie dostępu w dniu odejścia pracownika.
• Historia zmian: kto i kiedy coś edytował lub eksportował.

5. Umiesz obsłużyć żądanie osoby

Prawo osoby	Co musi umieć system i firma
Dostęp	Znaleźć i pokazać wszystkie dane o osobie, także notatki
Sprostowanie	Poprawić błędne dane
Usunięcie	Usunąć lub zanonimizować, o ile nie ma podstawy do dalszego przechowywania
Sprzeciw wobec marketingu	Oznaczyć osobę tak, żeby nie dostawała wiadomości marketingowych
Przenoszenie	Wyeksportować dane w czytelnym formacie

Na odpowiedź firma ma co do zasady miesiąc. W praktyce wystarczy, że wiadomo, kto się tym zajmuje, i że w systemie da się wyszukać osobę po nazwisku, mailu i telefonie we wszystkich miejscach.

6. Nie trzymasz danych bez końca

Wystarczy prosta reguła zapisana na pół strony: po jakim czasie od ostatniego kontaktu usuwane są zapytania bez zlecenia, jak długo przechowywane są dane klientów po zakończeniu współpracy, co z kandydatami do pracy. Dobrze, gdy system potrafi pokazać rekordy starsze niż ustalony próg, żeby przegląd raz w roku trwał godzinę, a nie tydzień.

7. Masz umowę z dostawcą systemu

• Umowa powierzenia przetwarzania. Dostawca przetwarza dane w imieniu firmy.
• Miejsce przechowywania. Wiadomo, w jakim kraju są serwery i czy dane trafiają poza Europejski Obszar Gospodarczy.
• Podwykonawcy dostawcy. Lista dalszych podmiotów.
• Kopie zapasowe i bezpieczeństwo.
• Zwrot i usunięcie danych po zakończeniu umowy.

O danych po zakończeniu współpracy z wykonawcą piszemy szerzej w tekście własność kodu i danych w systemie na zamówienie.

Notatki: miejsce największego ryzyka

Pola o ustalonej zawartości łatwo kontrolować. Notatki pisane dowolnie już nie. Trafiają do nich uwagi o zdrowiu, sytuacji rodzinnej, finansach albo charakterze klienta. Osoba ma prawo zażądać dostępu do swoich danych, także do tych zapisów.

• Pisz tak, jakby klient miał to przeczytać.
• Zapisuj fakty i ustalenia, nie oceny.
• Nie notuj informacji o zdrowiu, poglądach czy życiu prywatnym, jeśli nie wymaga ich usługa.
• W branżach pracujących z danymi wrażliwymi ustal osobne zasady z prawnikiem.

Przykład: żądanie, które zajęło dwa tygodnie

Przykład jest zmyślony. Biuro pośrednictwa w wynajmie mieszkań dostało od byłego klienta żądanie informacji, jakie dane o nim przechowuje, i prośbę o ich usunięcie. Dane były w trzech arkuszach, w poczcie czterech pracowników, w telefonach i w programie do umów. Zebranie odpowiedzi zajęło dwa tygodnie, a w jednym z arkuszy znalazła się notatka o „trudnym charakterze” klienta.

Po tym zdarzeniu biuro przeniosło kontakty do jednego systemu z kontami i uprawnieniami, ustaliło zasady pisania notatek i okres, po którym zapytania bez umowy są usuwane. Kolejne żądanie obsłużyła jedna osoba w kwadrans. Przykład pokazuje, że zgodność w praktyce zależy bardziej od porządku w danych niż od dokumentów.

Lista kontrolna

• Lista pól w CRM z celem każdego.
• Podstawa prawna przypisana do celów.
• Aktualna klauzula informacyjna przy formularzach i w ofertach.
• Indywidualne konta, uprawnienia według ról, logowanie dwuskładnikowe.
• Procedura obsługi żądań: kto, w jakim czasie, jak.
• Reguły usuwania danych i coroczny przegląd.
• Umowa powierzenia z dostawcą systemu i innych narzędzi, do których trafiają dane.
• Zasady pisania notatek znane zespołowi.
• Oznaczenie zgód i sprzeciwów marketingowych przy kontakcie.
• Plan na wypadek incydentu, na przykład zgubionego laptopa: kogo powiadomić i w jakim terminie.

Co dalej

Arkusz z listą klientów podlega tym samym zasadom co CRM, tylko trudniej je w nim spełnić. Różnice omawia porównanie CRM czy arkusz kalkulacyjny. Jak przenieść dane i przy okazji je uporządkować, opisuje artykuł migracja danych do CRM. O uprawnieniach i przechowywaniu danych w systemie dla Twojej firmy można porozmawiać na bezpłatnej konsultacji. Pozostałe przewodniki są w bazie wiedzy.