CRM-løsninger i skyen - hva har du lov til å lagre?

Transkript

1 CRM-løsninger i skyen - hva har du lov til å lagre?

2 CRM for en advokat Kundedata satt i system Kommersielle mål mot forbrukers rett Innhenter data for profilering Økt digitalisering senket personvern? Kunden mister kontroll? Hvor befinner dataene seg? Hvem eier dataene?

3 Samfunnets syn på personvern Personvern er en menneskerett Enorm økning av dataflyt fordrer krav til sikkerhet Økte krav til personvern fra brukere Klare krav i GDPR «Accountability» Den virksomheten som følger reglene, vinner!

4 GDPR tøffere for bruk av kundedata? Virksomhetene forpliktet til ha kontroll på personopplysningene sine Virksomheter i EU/EEA må dokumentere at de etterlever GDPR Skjerpede krav til samtykke De registrerte får høyere beskyttelse Økte sanksjoner

5 Den registrerte CRM-løsningens «gull» Får mer tydelig beskyttelse Informasjon Tilgang til data Retting Sletting - og dataportabilitet Minimering av data, kun for formål, lovlig og korrekt Lovlig grunnlag: i lov, samtykke, «vital interest», avtale Varighet: kun så lenge som nødvendig for formålet Pseudonymisering/kryptering sikkerhetstiltak

6 Personvern vs Markedsføringsloven Innhenting og behandling i forbindelse med markedsføring er omfattet av reglene om personvern Direkte markedsføring mot enkeltpersoner er behandling av personopplysninger Reklame rettet mot virksomheter faller utenfor Markedsføringsloven: regler om direkte markedsføring Direkte markedsføring er forbudt uten særskilt grunnlag (samtykke eller kundeforhold)

7 Når er det lov å behandle data? Art 6 b: En del opplysninger nødvendig for å gjennomføre et salg Kortopplysninger for salg på nettbutikk Adresse for levering Art 6 a: Samtykke: opplysninger som ikke er nødvendige for å gjennomføre salg Kunden må gi et samtykke til innsamlingen av «unødvendige» data Reklame i kundeforhold: forutsetter behov for oppfølgning (eks bilkjøp, advokat, PC)

8 Hva kan lagres i en CRM-løsning? Nødvendige data Formål Samtykke Sammenstilling Profilering

9 Direkte markedsføring og profilering Kundedata Facebook, Linkedin etc Målrettet kommunikasjon med kombinasjon av egne data og annen data (som er kjøpt) GDPR Art 21: Rett til å motsette seg profilering Rett til å motsette seg direkte markedsføring

10 Data Privacy Policy og Samtykke Informasjonsplikt og transparens Formålet må være tydelig Data Privacy Policy transparens i praksis GDPR: strengere krav til samtykke «able to demonstrate» «easily accessible form» «clear and plain language» «right to withdraw»

11 CRM i skyen CRM-kundene skal kun benytte CRM-leverandører som gir «sufficient guarantees to implement appropriate technical and organisational measures» For å møte kravene i GDPR For å sikre kundenes og brukernes data Både kunden og leverandøren skal ha på plass tiltak for å sikre datasikkerheten Databehandleravtale Lagring i land utenfor EU

12 Rolleinnehavere Bruker av CRM-system: Behandlingsansvarlige (BA) Den virksomheten som bestemmer hvilke formål og med hvilke midler personopplysninger skal innhentes og brukes (til markedsføring og oppfølgning) CRM-leverandør: Databehandler (DB) Leverandøren av CRM i skyen, som får overført til seg og behandler personopplysninger på vegne av sine kunder Kundene de registrerte i CRM-løsningen

13 Krav til CRM-brukeren Accountability Oversikt over personopplysninger Få styr på formålene! Oversikt over samtykker Dokumentere at etterlever GDPR Innebygget personvern Minimering Lagringstid og sletting og dataportabilitet

14 CRM-leverandørens plikter Dokumentere sin behandling av personopplysninger på vegne av ulike kunder Plikt til å ikke behandle utenom avtale med sine kunder Informere kunden om at instrukser er i strid med forordningen Søke forhåndsgodkjenning fra kunden ved overføring av personopplysninger til underleverandør

15 Databehandleravtalen som før Bindende for skyleverandøren overfor BA Beskriver databehandlingen Formålet med avtalen og behandlingen Beskrivelse av type data Kategorier av registrerte (eks ansatte, kunder hos BA) Beskriver forpliktelsene Beskriver rettighetene til BA

16 Nye elementer i avtalen: Varslingsrutiner varsle behandlingsansvarlig ved databrudd Dokumentasjon av databrudd Oversikt over typer data som behandles til enhver tid Minimering av data Dataportabilitet Innebygget personvern? Bistand til DPIA Utvidet ansvar skal beskrives

17

18 Kristin Haram Førde, Partner Mobil: Epost: