Hva Datatilsynet ser etter
Datatilsynet fører tilsyn med både offentlige og private virksomheter. Når de ser på CRM-systemer som Salesforce, handler tilsynet som regel om fire ting: om bedriften har et klart behandlingsgrunnlag for personopplysningene de lagrer, om dataene slettes eller anonymiseres når behandlingsformålet er oppfylt, om registrerte personer faktisk kan kreve innsyn og sletting, og om bedriften har en gyldig databehandleravtale med Salesforce.
Det er ikke komplisert i teorien. I praksis er det mange bedrifter som aldri har tenkt gjennom hva de egentlig lagrer i Salesforce, hvorfor de lagrer det, og hva de gjør med det når det ikke lenger er aktuelt.
Datatilsynet kan gi gebyrer på inntil 4 prosent av global årlig omsetning eller 20 millioner euro, avhengig av hva som er høyest. For norske SMB-er er det mer vanlig med pålegg om retting og offentlige vedtak, som i praksis er skadelig for omdømmet. Tilsynet har også adgang til å gi midlertidig forbud mot behandling av personopplysninger.
Behandlingsgrunnlag i Salesforce
Personvernforordningen (GDPR) krever at du har et lovlig grunnlag for all behandling av personopplysninger. I Salesforce betyr det at du må kunne svare på dette spørsmålet for hver type data du lagrer: hvorfor har vi lov til å ha denne informasjonen?
For norske B2B-bedrifter er de vanligste grunnlagene:
Berettiget interesse. Du kan behandle kontaktinformasjon til potensielle kunder dersom du har en legitim forretningsinteresse og den ikke overstyres av personens rettigheter. Dette er det vanligste grunnlaget for prospektdata i Salesforce. Det krever at du gjør en interesseavveining og dokumenterer den.
Avtalefullbyrdelse. Når noen er en aktiv kunde, er behandling av kontaktdata nødvendig for å gjennomføre avtalen. Dette er det sterkeste og enkleste grunnlaget, men det dekker bare det som faktisk trengs for å levere tjenesten.
Samtykke. For markedsføringskommunikasjon som e-postutsendelser, nyhetsbrev og automatiserte kampanjer kreves eksplisitt samtykke. Samtykket må være fritt gitt, spesifikt, informert og utvetydig. I Salesforce betyr det at du må ha en mekanisme for å registrere når samtykke ble gitt, til hva, og mulighet for å dokumentere tilbaketrekking.
Problemet vi ser hos mange bedrifter er ikke at de mangler grunnlag, men at de aldri har dokumentert hva grunnlaget er. Datatilsynet er ikke interessert i hva du tror du gjorde. De er interessert i hva du kan dokumentere.
Hvor lenge kan du beholde dataene?
GDPR har ikke faste tidsfrister for lagring. Det finnes ingen regel som sier at kundeopplysninger må slettes etter tre år. Men prinsippet om lagringsminimering sier at personopplysninger ikke skal lagres lenger enn nødvendig for det formålet de ble samlet inn for.
I praksis betyr det at du må definere en lagringsperiode for ulike typer data i Salesforce, og sette i gang en prosess for å slette eller anonymisere data når perioden er ute. De fleste bedrifter har aldri gjort dette.
Noen eksempler på hva som er rimelig:
Leads og prospects som aldri ble kunder: Behandlingsgrunnlaget (berettiget interesse) faller bort når du er sikker på at personen ikke er interessert. En periode på tolv til atten måneder etter siste kontakt er vanlig praksis. Etter det bør kontakten slettes eller anonymiseres.
Tidligere kunder: Regnskapslovens krav om dokumentasjon i fem år gjelder transaksjonsdata, ikke nødvendigvis all kontaktinformasjon. Det er viktig å skille mellom hva du er pliktig til å beholde og hva du velger å beholde fordi det er praktisk.
Kontaktpersoner i aktive kundeforhold: Så lenge avtaleforholdet er aktivt, er lagring av kontaktdata nødvendig. Når forholdet avsluttes, står du overfor samme vurdering som for tidligere kunder.
Salesforce har innebygd funksjonalitet for automatisk sletting og anonymisering via Flow og Data Management-verktøy. Du kan definere regler som identifiserer inaktive kontakter etter et gitt tidsrom, og enten sletter dem, anonymiserer dem, eller flagger dem for manuell gjennomgang. Dette tar noe tid å sette opp, men kjører deretter automatisk.
Retten til sletting og innsyn
En person som er registrert i din Salesforce-org har rett til å få vite hva du har lagret om dem (innsyn), og i mange tilfeller kreve at dataene slettes (retten til å bli glemt).
Retten til sletting gjelder ikke absolutt. Du kan avvise en sletteanmodning dersom du har en rettslig plikt til å beholde dataene, for eksempel bokføringsloven. Men der det ikke finnes slike plikter, må du slette.
Problemet er ikke alltid vilje. Det er kapasitet. Når en henvendelse om innsyn eller sletting kommer inn, må noen faktisk gå inn i Salesforce, finne alle forekomster av personens data, eksportere det for innsyn eller slette det for sletteanmodninger, og dokumentere at det ble gjort. Hos bedrifter uten klare rutiner for dette kan en enkelt slik henvendelse ta mange timer.
Datatilsynet krever at innsyn gis innen en måned. Klarer du ikke det, må du varsle personen og gi en begrunnelse. Gjentatte overskridelser er et tegn på systematisk svikt, ikke bare enkeltstående forsinkelser.
De vanligste bruddene vi ser
Ingen lagringsrutine for inaktive kontakter. Leads som aldri ble til noe, tidligere ansatte hos kunder som sluttet for lenge siden, og kontakter fra kampanjer fem år tilbake. Alt ligger i orgen fordi ingen har definert når det skal fjernes.
Markedsføring uten dokumentert samtykke. E-poster og SMS-kampanjer sendt til lister der det ikke finnes dokumentasjon på når eller hva samtykket gjaldt. Salesforce kan sende e-postene, men det er ikke Salesforce sitt ansvar at du har grunnlag for å sende dem.
Manglende eller utdatert databehandleravtale. Salesforce tilbyr en standardavtale (Data Processing Addendum), men mange bedrifter har aldri aktivt akseptert den eller vet ikke om de har gjort det. Det er behandlingsansvarlig, altså din bedrift, som er ansvarlig for at avtalen er på plass.
Sensitive opplysninger lagret i fritekstfelt. Kommentarfelt og notatfelt i Salesforce er ikke designet for sensitiv informasjon. Vi ser helseopplysninger, fagforeningsmedlemskap og andre sensitive kategorier lagt inn av selgere som ikke visste at det var problematisk.
Ingen rutine for sletteanmodninger. Ingen vet hvem som skal håndtere dem, ingen vet hvor i systemet alle forekomster av en persons data finnes, og ingen har dokumentert at det ble gjort.
Databehandleravtalen med Salesforce
Når du bruker Salesforce til å lagre personopplysninger, er Salesforce en databehandler på dine vegne. GDPR krever at du har en skriftlig databehandleravtale med alle databehandlere.
Salesforce tilbyr et standardisert Data Processing Addendum (DPA) som du kan akseptere via din Salesforce-konto. Avtalen regulerer blant annet hvilke sikkerhetstiltak Salesforce har på plass, hvordan de håndterer avvik og sikkerhetsbrudd, og reglene for overføringer av personopplysninger ut av EU/EØS.
Det siste punktet er viktig. Salesforce har datasentre i EU, men bruker også underleverandører i USA og andre land. Dersom personopplysninger overføres ut av EU, krever GDPR at det finnes et lovlig overføringsgrunnlag. Salesforce benytter EUs standardpersonvernbestemmelser (SCC) for dette. Det er din plikt som behandlingsansvarlig å kontrollere at dette er på plass.
Avtalen er på plass fra Salesforces side. Utfordringen er at mange bedrifter ikke vet om de har akseptert den formelt, og dermed ikke kan dokumentere det overfor Datatilsynet.
Hos Valon gjennomgår vi din Salesforce-org for å identifisere de vanligste personvernrisikoene: manglende lagringsrutiner, data som burde vært slettet, samtykkehåndtering som ikke er på plass, og konfigurasjon som ikke er i samsvar med hva behandlingsregisteret sier. Vi leverer et konkret bilde av hva som bør gjøres, i prioritert rekkefølge.
Vet du hva du faktisk lagrer i Salesforce?
Vi gjennomgår din Salesforce-org og identifiserer de vanligste GDPR-risikoene: data som burde vært slettet, manglende samtykkedokumentasjon og konfigurasjon som ikke er i samsvar med personvernregelverket.
