CRM a RODO: co musisz ustawić, zanim wpuścisz do systemu pierwszy kontakt

RODO nie zabrania CRM. Wymaga porządku

CRM jest jednym z głównych zbiorów danych osobowych w firmie — obok systemu kadrowego i księgowego. Dobra wiadomość jest taka, że prawie wszystkie wymagania da się odwzorować w konfiguracji systemu, jeśli zrobi się to świadomie na etapie wdrożenia, a nie „doklei” miesiące później.

Zła wiadomość: firmy, które pomijają ten etap, migrują do nowego systemu te same problemy, które miały w arkuszu — tyle że teraz są one lepiej widoczne i łatwiejsze do wykrycia w razie kontroli.

Lista ustawień, którą przechodzimy przy każdym wdrożeniu

• Podstawa prawna przy każdym typie rekordu — umowa, prawnie uzasadniony interes, zgoda. Każdy typ kontaktu w systemie powinien mieć jasno przypisaną podstawę.
• Osobne pola zgód na kontakt telefoniczny i marketing elektroniczny, z datą wyrażenia zgody i źródłem jej pozyskania.
• Retencja — reguła automatycznie oznaczająca rekordy bez aktywności po ustalonym okresie jako kandydatów do usunięcia lub anonimizacji.
• Uprawnienia ról — handlowiec widzi swoje konta i szanse, nie całą bazę firmy, w tym dane klientów innych regionów czy zespołów.
• Rejestr czynności przetwarzania uwzględniający CRM i wszystkie podłączone do niego integracje, nie tylko sam system.
• Umowy powierzenia z dostawcą systemu i każdym podprzetwarzającym, w tym dostawcami integracji telefonii czy poczty.
• Eksport i usunięcie danych na żądanie jako gotowa, przetestowana procedura, a nie coś, co trzeba wymyślać przy pierwszym wniosku klienta.
• Logi dostępu i dwuskładnikowe logowanie dla kont z szerokim wglądem w dane, na przykład administracyjnych.

Przykład konfiguracji retencji

Firma usługowa ustaliła następującą regułę: kontakt bez żadnej aktywności (rozmowy, maila, zmiany statusu szansy) przez 24 miesiące trafia automatycznie do listy do przeglądu przez osobę odpowiedzialną za zgodność. Po kolejnych 30 dniach bez decyzji o przedłużeniu, dane są anonimizowane, a nie usuwane całkowicie — dzięki temu statystyki historyczne (np. liczba zamkniętych transakcji) pozostają spójne, ale dane osobowe przestają być przetwarzane.

Macierz podstaw prawnych

Najczęstszy błąd

Import „bazy z konferencji” albo listy kontaktów kupionej od zewnętrznego dostawcy bez sprawdzenia podstawy prawnej. Migracja do nowego systemu jest dobrym momentem, żeby takie zbiory świadomie zostawić poza CRM — razem z ryzykiem, które ze sobą niosą w razie kontroli lub skargi.

Kto to zatwierdza

Konfigurację zgodności uzgadniamy zawsze z osobą odpowiedzialną za ochronę danych po stronie klienta, jeśli taka funkcja istnieje w organizacji, albo z osobą zarządzającą, jeśli formalnej roli nie ma. To nie jest tylko formalność: decyzje o retencji i uprawnieniach zmieniają codzienny sposób pracy zespołu i trudno je odkręcić po roku funkcjonowania systemu bez dodatkowego projektu porządkowego.

Najczęstsze błędy

• Traktowanie zgodności z przepisami jako etapu „na później”, po uruchomieniu systemu.
• Nadawanie wszystkim użytkownikom pełnego dostępu do bazy „dla wygody”, bez podziału na role.
• Import baz kontaktów bez sprawdzenia, czy istnieje dla nich podstawa prawna do przetwarzania.
• Brak procedury na wniosek o usunięcie lub eksport danych, co wydłuża czas reakcji ponad ustawowy termin.
• Pomijanie integracji (telefonia, poczta, formularze) w rejestrze czynności przetwarzania.

Co zrobić w tym tygodniu

1. Sprawdź, czy każdy typ rekordu w Twojej bazie ma jasno przypisaną podstawę prawną przetwarzania.
2. Zweryfikuj, czy uprawnienia w systemie faktycznie ograniczają widoczność danych zgodnie z rolami zespołu.
3. Ustal regułę retencji dla kontaktów bez aktywności i zapisz ją jako konkretną liczbę miesięcy, nie ogólne „od czasu do czasu”.
4. Sprawdź, czy masz podpisane umowy powierzenia z dostawcą systemu i integracjami.
5. Przygotuj i przetestuj procedurę eksportu oraz usunięcia danych na żądanie, zanim ktoś faktycznie o to poprosi.