Gallring av kunddata i CRM: vad GDPR kräver

Det här är en översikt, inte juridisk rådgivning. Den utgår från GDPR:s artiklar 5, 13, 14, 17, 19 och 30, IMY:s vägledning om grundläggande principer och registerföring, och bokföringslagen. Hur ni får in kontakterna i CRM:et från början, den rättsliga grunden för prospektering, har vi gått igenom i en egen artikel. Det här handlar om vad som ska hända med dem sedan.

Problemet: tre genvägar som inte håller

Den första genvägen är en påhittad siffra. 'GDPR säger att prospekt ska raderas efter 24 månader' förekommer i många CRM-policyer, men ingen sådan siffra finns i förordningen eller i IMY:s vägledning. IMY skriver att ni får spara personuppgifter så länge de behövs för ändamålet med behandlingen, och lämnar det till er att avgöra vad det betyder. En siffra kan mycket väl vara 24 månader, men då är det er policy, motiverad av er säljcykel, inte lag.

Den andra genvägen är sju år. Bokföringslagen (1999:1078) 7 kap. 2 § kräver att räkenskapsinformation sparas till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Det gäller fakturor, avtal och underlag för bokföringen, alltså kunder som faktiskt köpt något. En anteckning om att inköpschefen på ett bolag som aldrig blev kund 'verkade intresserad i mars' är inte räkenskapsinformation. IMY påpekar att man i vissa fall måste spara handlingar med personuppgifter även efter att man slutat använda dem, men rekommenderar samtidigt att sådana uppgifter hålls skilda från den aktiva användningen.

Den tredje genvägen är att radera hela kontot. Skäl 14 i GDPR säger att förordningen inte omfattar uppgifter om juridiska personer: bolagsnamn, organisationsnummer, adress, växelnummer och affärshistorik på bolagsnivå ligger utanför. Det som omfattas är personen: namn, direktnummer, arbetsmejl, anteckningar om personen, inspelningar. Att radera företagskortet med tre års affärshistorik för att en kontaktperson bytt jobb är att förstöra information ni får behålla.

Vad lagen faktiskt kräver

Artikel 5.1 e: uppgifter får inte sparas i identifierbar form längre än nödvändigt för ändamålet. Artikel 5.2: ni ska kunna visa att ni följer det, vilket IMY formulerar som att ni ansvarar för principerna och måste kunna visa att ni följer dem. Artikel 30.1 f: registret över behandlingar ska där det är möjligt ange de förutsedda tidsfristerna för radering per kategori av uppgifter. Artiklarna 13.2 a och 14.2 a: er integritetspolicy ska ange lagringstiden, eller om det inte går, kriterierna för att bestämma den. Fyra bestämmelser som tillsammans säger samma sak: bestäm en frist, skriv in den i registret och i policyn, och följ den.

Därtill kommer rättigheterna. Artikel 17 ger rätt till radering utan onödigt dröjsmål när uppgifterna inte längre behövs för ändamålet, när personen invänt mot direktmarknadsföring enligt artikel 21.2, eller när radering krävs av en rättslig skyldighet, med undantag för uppgifter ni måste spara enligt lag. Och artikel 19, som IMY lyfter fram: om uppgifter raderas på den registrerades begäran måste ni också informera dem ni lämnat ut uppgifterna till. Har ni delat listan med en partner eller ett annat system måste den raderas där också.

Lösningen: en gallringsrutin i fem steg

Rutinen nedan bygger på IMY:s rekommendation om återkommande genomgångar eller tidsstyrd gallring, och på att skilja uppgifter som sparas av en lagskyldighet från dem som används aktivt. Varje frist är ett exempel på en policy ni själva sätter, inte en lagregel.

1. Dela upp CRM:et i tre kategorier: kunder (avtal, fakturor, räkenskapsinformation som styrs av bokföringslagen), aktiva prospekt (pågående dialog med ett dokumenterat ändamål) och vilande prospekt (ingen kontakt på länge, inget nej).
2. Sätt en frist per kategori och koppla den till ett skäl: till exempel att ett vilande prospekt anonymiseras på personnivå efter en tid som motsvarar två säljcykler, eller direkt när personen lämnat bolaget eller sagt nej. Skriv fristen och skälet i artikel 30-registret och i integritetspolicyn.
3. Anonymisera personen, behåll bolaget: ta bort namn, direktnummer, arbetsmejl och anteckningar om personen, men låt företagskortet och affärshistoriken på bolagsnivå stå kvar, eftersom uppgifter om juridiska personer ligger utanför GDPR.
4. Bygg spärrlistan: efter en invändning enligt artikel 21.2 behövs ett minimum av uppgifter för att personen inte ska läggas till igen från nästa lista. Vilka uppgifter det får vara, och på vilken grund, är en fråga för er jurist eller ert dataskyddsombud, eftersom IMY inte uttalat sig om det.
5. Kör gallringen på schema och logga den: en månatlig automatisk körning eller en kvartalsvis genomgång, med en logg som visar vad som anonymiserades och när, så att artikel 5.2 går att uppfylla vid en fråga från IMY eller från den registrerade.

Det som blir bättre när listan krymper

En lista på 4 000 kontakter där 2 500 inte svarat på två år är inte en tillgång. Den är en risk vid ett dataintrång, en kostnad vid varje registerutdrag och en anledning att ringa fel personer. De kontakter som återstår efter gallringen är dem det är värt att ringa igen, och det samtalet, till någon som fått ett mejl för nio månader sedan och inte svarade, är sitt eget hantverk. I Salesprep-modulen Uppföljning övar du precis det: att öppna mot en AI-kund som knappt minns er, utan att låta som en påminnelse. Varje samtal bedöms på sju metrics med en skriftlig kommentar per betyg. Uppföljning ingår från Pro och uppåt, med tre gratis samtal i Cold call-modulen när du skapar kontot, utan kort.