Robisz mailing do bazy kontaktów z CRM i dostajesz odpowiedź: "Proszę o usunięcie moich danych, podstawa prawna RODO". Pierwsza myśl: dobra, usuwam. Druga myśl: a skąd ja w ogóle mam ten kontakt i na jakiej podstawie go trzymam? Jak nie wiesz, to nie jesteś sam. Widzę to przy prawie każdym wdrożeniu CRM, które ogarniam klientom.
Wybór CRM-a i wdrożenie go w zespole to jedna sprawa. RODO w CRM to zupełnie inna, o której mało kto myśli, dopóki nie dostanie pierwszego takiego maila albo pisma z urzędu.
Czy mała firma musi mieć ogarnięte RODO w CRM?
Tak, bez wyjątku: jeśli trzymasz w CRM dane osób fizycznych, takie jak imię, telefon, e-mail czy adres, to przetwarzasz dane osobowe i RODO Cię dotyczy niezależnie od wielkości firmy. RODO to unijne rozporządzenie o ochronie danych osobowych, które określa, na jakiej podstawie, jak długo i w jaki sposób wolno przechowywać oraz wykorzystywać dane ludzi.
Nie jestem prawnikiem i to nie jest porada prawna. Ale prowadzę firmę, która wdraża CRM-y klientom, więc ten temat wracał u mnie dziesiątki razy. Wypracowałem sobie praktyczne podejście i nim się dzielę.
Jakie dane klientów w ogóle wolno trzymać w CRM?
Wolno trzymać te dane, które faktycznie są Ci potrzebne do kontaktu i obsługi klienta, i tylko tak długo, jak masz do tego podstawę: zgodę, umowę albo tzw. prawnie uzasadniony interes. To jest zasada minimalizacji danych: zbierasz tyle, ile potrzebujesz, nie więcej "na zapas".
W praktyce najczęstszy błąd małych firm to odwrotność tej zasady. CRM ma pole "notatki" i ludzie wpisują tam wszystko. Stan cywilny klienta, jego nastrój na spotkaniu, coś, co usłyszeli od znajomego o jego firmie. To nie są dane potrzebne do sprzedaży. To są dane, które przy kontroli albo wycieku robią z prostej sprawy duży problem.
Czy zgoda na kontakt handlowy to to samo co zgoda na newsletter?
Nie, i to jedna z częstszych pomyłek w małych firmach. Zgoda handlowa, czyli kontakt w sprawie oferty, o którą klient sam poprosił, to co innego niż zgoda marketingowa na regularny newsletter i mailing do całej bazy. W CRM warto rozdzielić te dwie rzeczy jako osobne pola albo tagi, a nie jedno wspólne "zgoda: tak".
Jeśli ktoś zapytał Cię o wycenę, możesz się z nim skontaktować w tej konkretnej sprawie. To nie znaczy, że możesz dopisać go do cotygodniowego newslettera. Firmy najczęściej się na tym potykają. Mieszają kontakt roboczy z bazą marketingową.
Najczęstsze błędy, które widzę przy CRM i danych klientów
- Baza kontaktów bez informacji, skąd dany kontakt pochodzi i czy jest na to zgoda, a po pół roku nikt już tego nie pamięta
- Handlowiec zapisuje w CRM prywatny numer klienta "na wszelki wypadek", zdobyty poza formularzem zgody
- Stare kontakty leżą latami, bo "może się przydadzą", mimo że nikt się z nimi nie kontaktował od dwóch lat
- Dostęp do całej bazy ma każdy w firmie, łącznie z osobami na stażu, które tego do pracy nie potrzebują
- Eksport bazy do Excela "do analizy" i plik leży potem na czyimś pulpicie miesiącami
Żaden z tych błędów nie wynika ze złej woli. Wynika z tego, że nikt w firmie nie ma tego pilnować, dopóki nie zapyta o to klient albo, gorzej, urząd.
Co realnie musisz ogarnąć: checklista
Nie potrzebujesz działu prawnego. Potrzebujesz kilku rzeczy ogarniętych raz, porządnie:
- Podstawa prawna dla każdego kontaktu. Wiesz, skąd masz dany numer albo mail i czy klient się na to zgodził, kupując usługę, wypełniając formularz czy zapisując się na newsletter
- Jedna osoba odpowiedzialna za dane w CRM. Podobnie jak przy wdrożeniu samego systemu: bez właściciela tematu nikt tego nie pilnuje
- Ograniczony dostęp. Handlowiec widzi swoich klientów, nie całą bazę firmy. Mniej osób z dostępem to mniejsze ryzyko
- Realny proces usuwania danych. Ktoś prosi o usunięcie, masz gotową procedurę i nie zastanawiasz się od zera, jak to zrobić w Twoim konkretnym systemie
- Umowa powierzenia z dostawcą CRM. Jeśli używasz zewnętrznego narzędzia, a prawie każda mała firma używa, dostawca przetwarza dane w Twoim imieniu i powinna być na to podpisana umowa. Sensowni dostawcy mają ją gotową do pobrania w panelu
- Polityka przechowywania. Ustal, po jakim czasie nieaktywności kontakt jest usuwany albo anonimizowany, zamiast trzymać wszystko "na zawsze"
To jest robota na jedno popołudnie, jak zrobisz to raz i porządnie. Problem w tym, że prawie nikt tego popołudnia sobie nie znajduje, dopóki nie musi.
Kiedy CRM staje się problemem, a nie rozwiązaniem
CRM miał ułatwić pracę z klientami, a zamiast tego staje się źródłem ryzyka, kiedy gromadzi się w nim więcej danych niż ktokolwiek kontroluje. Im większa baza i dłużej trzymana bez porządku, tym więcej można stracić przy jednym incydencie: zgubionym laptopie, złym uprawnieniu, przypadkowo udostępnionym eksporcie.
Paradoksalnie mniejsza, ale uporządkowana baza jest bezpieczniejsza i często równie skuteczna sprzedażowo jak wielka baza pełna martwych kontaktów sprzed lat. Regularne czyszczenie CRM-a to nie tylko temat RODO. To też higiena sprzedaży. Łatwiej pracować na 500 aktualnych kontaktach niż przeklikiwać się przez 5000, z których większość i tak nie odpowie.
Najczęstsze pytania
Czy jednoosobowa działalność gospodarcza też musi przestrzegać RODO w CRM?
Tak. RODO nie ma progu wielkości firmy. Jeśli przetwarzasz dane osób fizycznych, w tym kontrahentów prowadzących jednoosobową działalność traktowanych jako osoby fizyczne w relacji B2B, przepisy Cię dotyczą.
Czy mogę trzymać stare kontakty w CRM "na wszelki wypadek"?
Nie bez podstawy prawnej i bez ograniczenia w czasie. Kontakt, z którym nie masz relacji ani zgody na dalszy kontakt, powinien zostać usunięty albo zanonimizowany po ustalonym okresie.
Czy darmowy CRM jest gorszy pod kątem RODO niż płatny?
Niekoniecznie. Liczy się, czy dostawca oferuje umowę powierzenia przetwarzania danych i gdzie fizycznie trzyma serwery. Cena narzędzia sama w sobie nic nie mówi o zgodności z przepisami.
Kto w małej firmie powinien odpowiadać za dane w CRM?
Najczęściej właściciel albo jedna wyznaczona osoba. Rozproszona odpowiedzialność w praktyce oznacza brak odpowiedzialności.
RODO w CRM to nie jest temat na kancelarię prawną za grube pieniądze. To kilka nawyków ogarniętych raz, porządnie, i pilnowanych na bieżąco. Mniej danych, więcej porządku, mniej stresu przy pierwszym trudnym mailu od klienta.