Kundregister och dataskydd: vad en säljare får spara och skicka

I korthet

• Uppgifterna om en kundorganisations kontaktperson är personuppgifter. Den personuppgiftsansvarige bestämmer ändamålen och medlen för behandlingen.
• Elektronisk direktmarknadsföring får riktas till en sammanslutning om den inte har förbjudit den (202 §); en fysisk person kräver förhandssamtycke (200 §).
• Varje marknadsföringsmeddelande ska ge möjlighet att förbjuda utan särskild avgift, och om den möjligheten ska det informeras tydligt.
• För kundregistret finns ingen lagstadgad förvaringstid; organisationen bestämmer tiderna själv och motiverar dem med ändamålet.

Namnet, befattningen och arbetsadressen till en kundorganisations kontaktperson är personuppgifter, även om kundrelationen är mellan organisationer. Av det följer två regeluppsättningar som lätt blandas ihop i säljarens vardag: dataskyddsförordningen avgör vad som får samlas in i registret och hur länge uppgifterna förvaras, och lagen om tjänster inom elektronisk kommunikation avgör vem elektronisk direktmarknadsföring får skickas till. Den förra gäller varje kontaktperson på samma sätt, den senare skiljer mellan en sammanslutning och en fysisk person.

Kundens uppgifter och kontaktpersonens uppgifter

Kundens grunduppgifter omfattar exempelvis namn, FO-nummer, faktureringsadress, bransch och e-fakturaadress. Även grunduppgifter kan vara personuppgifter om de gäller en identifierbar människa, till exempel en enskild näringsidkare. Kontaktpersonens uppgifter gäller en människa: namn, befattning, e-postadress i arbetet, arbetstelefon, den korrespondens som förts och de anteckningar som gjorts om hen. En arbetsadress i formen förnamn.efternamn@företag.fi identifierar personen lika exakt som en privat adress, och en anteckning om vem man har förhandlat med och om vad är en uppgift om hen.

Den personuppgiftsansvarige bestämmer ändamålen och medlen för behandlingen. För ett kundregister är det vanligen den organisation som använder registret. Systemleverantören behandlar uppgifterna för den personuppgiftsansvariges räkning, och arbetsfördelningen skrivs in i ett avtal om behandling av personuppgifter. Ansvaret för den registrerades rättigheter stannar hos den personuppgiftsansvarige också när uppgifterna finns i en köpt tjänst.

Dataskyddsförordningens principer styr kundregistret

Förordningen talar om behandling i allmänhet; i försäljningen leder den till fem avgöranden som ska göras innan den första raden sparas.

Ändamålet definieras före insamlingen. Kundregistrets ändamål är vanligen att sköta kundrelationen, att ge offerter och att kommunicera med kunden. När samma kontaktuppgifter börjar användas till något annat, till exempel en kampanj för ett nytt produktområde eller en partners marknadsföring, är det fråga om ett nytt ändamål som bedöms separat.

Relevans och uppgiftsminimering. Man samlar in de uppgifter som kontakten och affären kräver. Kontaktpersonens hemadress eller privata telefonnummer behövs sällan när ärendena sköts i en arbetsroll.

Lagringsminimering. Uppgifter i identifierbar form behålls så länge ändamålet kräver det. I praktiken betyder det att registret måste ges bestämda förvaringstider – annars blir allt kvar i tabellen för alltid.

Information. Den registrerade ska få kännedom om behandlingen. Skyldigheten gäller också uppgifter som har samlats in någon annanstans än hos personen själv: ur ett offentligt register, från en deltagarlista på en mässa eller från ett formulär på webbplatsen.

Den registrerades rättigheter. Personen har rätt att få tillgång till uppgifter om sig själv, att begära rättelse av en felaktig uppgift och att invända mot direktmarknadsföring. En invändning mot direktmarknadsföring verkställs alltid, utan avvägning.

Den rättsliga grunden väljs utifrån ändamålet och parterna. Behandling av uppgifter om en kundorganisations kontaktperson kan stödjas på berättigat intresse om förutsättningarna är uppfyllda och en intresseavvägning har gjorts. Ett avtal mellan organisationer gör inte i sig kontaktpersonen till avtalspart. Avtal kan vara grund när behandlingen behövs för personens eget avtal eller för förberedelser på personens begäran. För myndigheters uppgifter kan grunden exempelvis vara en rättslig förpliktelse eller en uppgift av allmänt intresse; myndigheter får inte stödja behandling inom sina uppgifter på berättigat intresse. Grunden och dess förutsättningar dokumenteras före insamlingen.

Elektronisk direktmarknadsföring skiljer mellan sammanslutning och fysisk person

Marknadsföring med e-post, textmeddelande eller motsvarande meddelande regleras av lagen om tjänster inom elektronisk kommunikation, och lagens två paragrafer leder till olika slutresultat beroende på vem mottagaren är.

Till en juridisk person får elektronisk direktmarknadsföring skickas enligt 202 § om den inte har förbjudits. Varje meddelande ska tydligt erbjuda ett enkelt och avgiftsfritt sätt att förbjuda fortsatt marknadsföring, exempelvis en fungerande avregistreringslänk eller svarsadress. En namngiven arbetstagares e-postadress omfattas inte automatiskt av regeln. Utskick utan förhandssamtycke kräver att marknadsföraren har utrett arbetsuppgifterna och produktens eller tjänstens väsentliga koppling till dem.

Till en fysisk person får elektronisk direktmarknadsföring enligt 200 § riktas bara om personen på förhand har gett sitt samtycke till den. Paragrafen har ett undantag: om säljaren har fått kontaktuppgiften av en fysisk person som är kund i samband med försäljning av en produkt eller en tjänst, får samma säljare använda den för att marknadsföra egna produkter som hör till samma produktgrupp eller annars är motsvarande. Också då ska kunden ges möjlighet att utan särskild avgift och enkelt förbjuda användningen av kontaktuppgiften både när uppgiften samlas in och i samband med varje meddelande. Annan direktmarknadsföring, till exempel ett brev eller ett samtal, får riktas till en fysisk person om hen inte uttryckligen har förbjudit den.

En enskild näringsidkare, alltså en företagare med firma, är en fysisk person trots att hen har ett FO-nummer och köper för företagets bruk. Detsamma gäller en yrkesutövare. FO-numret i registret berättar alltså inte vilken paragraf som gäller mottagaren; företagsformen gör det.

Marknadsföringsförbudet är en uppgift i registret, inte en inställning i e-postprogrammet. Förbudet ska antecknas där sändlistan bildas, och det ska överleva att listan byggs upp på nytt: om raden för den som har förbjudit tas bort helt, kan nästa import föra tillbaka hen. Många organisationer bevarar förbudet som en separat anteckning så länge marknadsföring bedrivs.

Vad som antecknas i kundregistret och vad som lämnas oantecknat

Till registret hör de uppgifter som kundrelationen sköts med: kontaktuppgifter, befattning och roll i anskaffningen, den korrespondens som förts, överenskomna fortsatta åtgärder, offerter och beställningar samt marknadsföringsförbudet med tidpunkt.

Kundhantering kräver normalt inte uppgifter om hälsa, övertygelse eller fackligt medlemskap. Även fritext kan innehålla sådana särskilda kategorier av personuppgifter: en anteckning om lång sjukfrånvaro är en hälsouppgift. Om specialkost behövs för ett evenemang, hantera uppgiften separat från försäljningsanteckningar, med rättslig grund och bara så länge den behövs.

Den andra gruppen är personliga omdömen: bedömningar av karaktär, familjesituation, ekonomisk ställning eller av vem i organisationen som är besvärlig. Den uppgift som försäljningen behöver kan oftast uttryckas genom befattningen: “beslutar om anskaffningen tillsammans med ekonomidirektören” säger samma sak som ett omdöme om karaktären, och den går att kontrollera.

Skriv varje anteckning så att du kan läsa upp den för den som den gäller. Den registrerades rätt att få tillgång till sina uppgifter omfattar fritext på samma sätt som strukturerade fält.

Fritexten är också det ställe som blir ostädat när en person raderas. De strukturerade fälten töms med en åtgärd; aktiviteternas rubriker och anteckningar bevaras som de är och kan fortfarande nämna namnet. Ju kortare fritexten är, desto mindre arbete ger en begäran om radering.

Vem ser sparade e-postmeddelanden?

När kundens e-post sparas i kundregistret med en hemlig kopia eller med Microsoft 365-e-post blir meddelandet organisationens information. Det ses av dem som har tillgång till kundens uppgifter: en annan säljare, försäljningschefen, nästa kundansvariga. Detta bör berättas för säljarna före ibruktagningen, eftersom korrespondensen flyttar från den personliga brevlådan till ett gemensamt register.

Spara bara meddelanden som behövs för kundrelationen. Adressfiltrering hjälper, men garanterar inte att privata eller känsliga meddelanden lämnas utanför: samma person kan skicka dem från samma adress. Bestäm vad som sparas, hur undantag tas bort och vem som får se innehållet. Bedöm även interna kunddiskussioner utifrån nödvändighet och behörigheter.

Uppföljning av öppningar och klick är en egen behandling, inte en biprodukt av att e-posten sparas. Används den, fattas ett eget beslut om den och den berättas separat.

Förvaringstiden bestäms separat för tre situationer

Kundregistrets uppgifter har ingen enda lagstadgad förvaringstid, till skillnad från bokföringsmaterialet och arbetstidsbokföringen. Organisationen bestämmer tiderna själv och motiverar dem med ändamålet.

Tidsperioderna är organisationens eget beslut, och de ska tåla en motivering: två år av ett tyst lead är en annan sak än tio. Beslutet skrivs in i dataskyddsbeskrivningen och verkställs i registret, så att det inte stannar på papperet.

Fakturor och avtal är ett annat material. 2 kap. 10 § i bokföringslagen kräver att räkenskapsperiodens verifikat förvaras i minst sex år från utgången av det kalenderår under vilket räkenskapsperioden har gått ut, så kundregistrets städning når inte dem. När kontaktpersonens uppgifter raderas bevaras namnet på fakturorna som en del av verifikatet.

Att svara på en begäran om uppgifter

Begäran framställs sällan formellt. Den kan vara en mening i ett e-postmeddelande: “ta bort mig från era listor” eller “vilka uppgifter har ni om mig”. Svaret byggs upp i ordning.

1. Identifiera vad som begärs. Ett förbud mot direktmarknadsföring, tillgång till uppgifterna, rättelse och radering är olika begäranden, och ett meddelande kan innehålla två av dem.
2. Kontrollera vem som begär. Den adress som korrespondensen har förts från räcker vanligen för att identifiera kundens kontaktperson; ytterligare uppgifter begärs bara om det finns skäl att tvivla.
3. Samla alla källor. Strukturerade fält, aktiviteter, sparade e-postmeddelanden, bilagor, marknadsföringslistor och fria anteckningar. Uppgiften gömmer sig oftast i fritext och i en separat kampanjtabell.
4. Svara inom tidsfristen. Svara utan oskäligt dröjsmål, normalt inom en månad. Komplexitet eller antal begäranden kan motivera högst två extra månader; meddela förlängningen och skälen inom första månaden.
5. Agera enligt behandlingsgrunderna. Radera onödiga personuppgifter, bevara lagstadgade uppgifter och förklara beslutet. Namnborttagning anonymiserar inte uppgifterna om personen kan identifieras genom andra händelser, texter eller bilagor.

Dataskyddsbeskrivningen och rutinerna

Beskrivningen är det dokument som informationsskyldigheten uppfylls med. För kundregistrets del skrivs i den in åtminstone:

• den personuppgiftsansvarige och den kontaktuppgift som den registrerade får svar från;
• vilka uppgifter som samlas in och varifrån de fås, också andra källor än personen själv;
• ändamålet och den rättsliga grunden separat för skötseln av kundrelationen och för marknadsföringen;
• vilka som behandlar uppgifterna: era egna roller samt de system- och kommunikationstjänster ni använder;
• om uppgifter överförs utanför EU;
• förvaringstiderna eller de grunder som de bestäms enligt;
• den registrerades rättigheter och hur de utövas;
• rätten att lämna in ett klagomål till dataombudsmannens byrå.

Beskrivningen görs tillgänglig där uppgifterna samlas in: på kontaktformuläret, vid beställningen av nyhetsbrevet och som bilaga till offerten. Vid sidan av den lönar det sig att skriva en kort intern anvisning till säljarna om två saker som beskrivningen inte täcker: vad som skrivs i kundregistret och vem som ser det, samt vad som händer med uppgifterna när kundrelationen upphör.

Exempel: kundregistrets fält om en kontaktperson

En kontaktpersons rad plockas isär fält för fält. Kolumnerna är desamma som beskrivningen och raderingsrutinen behöver.

Välj fält utifrån vad kundrelationen behöver. Onödiga uppgifter ökar underhållet och dataskyddsrisken utan motsvarande nytta.

Exempel: samma nyhetsbrev till tre mottagare

Nyhetsbrevet går till tre adresser som har samlats in på samma mässa. Regeln växlar med mottagaren.

Kontrollera mottagarens ställning, meddelandets koppling till arbetsuppgifterna samt samtycken och förbud före utskick. Företagsform eller arbetsadress ensam avgör inte alla fall. Dokumentera bedömningen av grunden och källan till eventuellt samtycke.

Checklista

• Den personuppgiftsansvarige är utsedd och ett behandlingsavtal är ingånget med systemleverantören.
• Ändamålet och den rättsliga grunden är antecknade separat för skötseln av kundrelationen och för marknadsföringen.
• De insamlade fälten är genomgångna: varje fält har en användning, och ett oanvänt fält är borttaget från formuläret.
• Känsliga uppgifter saknas i registret, också i fritexten.
• Anteckningarna är skrivna så att de tål att den registrerade läser dem.
• Avgränsningen för sparad e-post är definierad och säljarna har fått veta vilka som ser de sparade meddelandena.
• Grunden för marknadsföringen är bedömd: mottagarens ställning, arbetsuppgifter, innehåll, samtycken och förbud.
• Varje marknadsföringsmeddelande innehåller en möjlighet att förbjuda, som är avgiftsfri och går att hitta, och det informeras tydligt om förbudet.
• Marknadsföringsförbuden överlever att listan byggs upp på nytt.
• Förvaringstiderna är bestämda för en aktiv kundrelation, en avslutad kundrelation och ett lead som inte svarat, och de verkställs i registret.
• Den som handlägger en begäran om uppgifter är utsedd och de källor uppgifterna samlas från är förtecknade.
• Dataskyddsbeskrivningen är uppdaterad och tillgänglig där uppgifterna samlas in.