Kundedata og samtykke: hvad må du bruge?

Kort svar: hvad må du bruge kundedata til?

Kundedata må kun bruges til et bestemt formål, og behandlingen skal have et grundlag. Formålet sætter grænsen: Oplysninger, der bruges til at sælge en vare eller levere en ydelse, må ikke uden videre bruges til noget andet.

Samtykke er kun ét af flere grundlag. Andre er nødvendig behandling for at opfylde en aftale med kunden, behandling der følger af loven, eller en legitim interesse, der vejer tungere end kundens interesse i ikke at få oplysningerne behandlet.

For hver type kundedata skal du kunne svare på, hvad oplysningen bruges til, og hvilket grundlag du har. Kan du ikke det, bør oplysningen slettes.

Samtykke i praksis: krav du skal kunne dokumentere

Et gyldigt samtykke er frivilligt, specifikt, informeret og utvetydigt. De fire krav skal du kunne holde op mod, hvis kunden eller tilsynsmyndigheden spørger.

Frivilligt betyder, at kunden kan sige nej uden reelt pres.

GDPR artikel 7, stk. 4, siger, at vurderingen af, om samtykket er givet frit, bl.a. skal tage størst muligt hensyn til, om opfyldelsen af en kontrakt – inkl. en tjenesteydelse – gøres betinget af, at kunden samtykker til behandling af personoplysninger, som ikke er nødvendig for at opfylde kontrakten.

Specifikt og informeret betyder, at kunden ved, hvad han eller hun siger ja til.

Gives samtykket i en skriftlig erklæring, der også dækker andre forhold, følger det af GDPR artikel 7, stk. 2, at anmodningen om samtykke skal forelægges klart adskilt fra de andre forhold, i letforståelig og lettilgængelig form og i klart og enkelt sprog. En del af en sådan erklæring, der overtræder forordningen, er ikke bindende.

Du skal også kunne påvise samtykket. GDPR artikel 7, stk. 1, siger direkte: Er behandlingen baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har samtykket til behandling af sine personoplysninger.

Gem i praksis, hvornår samtykket blev givet, hvad kunden blev oplyst om, og hvad samtykket præcis dækker. Et flueben i et system uden tilhørende tekst er svært at dokumentere over for en kunde, der ikke kan huske, hvad hun sagde ja til.

Fra kundekøb til markedsføring: hvor går grænsen?

At bruge kundedata til at gennemføre et køb er noget andet end at sælge noget nyt. Det er to formål, og ét formål må ikke uden videre smitte af på det næste.

Når kunden køber hos dig, kan det være nødvendigt at behandle oplysningerne for at overholde aftalen. Det kan fx være e-mailkorrespondance for at finde ud af, hvad kunden vil købe, eller hvor varen skal leveres. Den behandling hviler på aftalen – ikke på et samtykke.

Markedsføring hviler på sit eget grundlag, og et markedsføringssamtykke kan trækkes tilbage uafhængigt af købet. Kunden skal have en reel mulighed for at sige fra, og den skal virke i praksis – ikke bare stå i en politik.

Når kunden trækker samtykket tilbage

Kunden har til enhver tid ret til at trække sit samtykke tilbage, jf. GDPR artikel 7, stk. 3. Det gælder, uanset hvordan samtykket blev givet, og hvor længe det har været i kraft.

Tilbagetrækningen virker fremadrettet. Den ændrer ikke lovligheden af behandling, der var baseret på samtykke inden tilbagetrækningen. Det, du gjorde med et gyldigt samtykke, bliver altså ikke ulovligt bagefter.

Den registrerede skal oplyses om retten til at trække samtykket tilbage, inden samtykket gives. Det skal være lige så let at trække samtykket tilbage som at give det. Kan man tilmelde nyhedsbrevet med ét klik, skal man ikke ringe, skrive og oplyse kundenummer for at komme ud igen.

I praksis skal tilbagetrækningen føre til en handling. I Datatilsynets eksempel sletter virksomheden kundens kontaktoplysninger fra listen over nyhedsbrevmodtagere. Er kunden oplistet flere steder – en nyhedsbrevsløsning, et CRM-system og en separat kampagneliste – skal tilbagetrækningen slå igennem alle steder, hvor oplysningen bruges til markedsføring.

Tilbagetrækningen dækker det formål, samtykket omfattede. Har du et andet grundlag eller en anden lovbestemt pligt til at opbevare nogle af oplysningerne, er det en selvstændig vurdering ud over samtykket.

Hvor længe må du gemme kundedata?

Databeskyttelsesreglerne har ingen faste opbevaringsfrister. Datatilsynet siger, at der ikke er faste grænser for opbevaring, og at det ikke altid er let at fastlægge, hvor længe personoplysninger må opbevares.

Du kender din virksomhed bedst og kan derfor bedst vurdere, hvor længe du har brug for oplysningerne.

I stedet for en fast frist gælder nødvendighedsprincippet. Personoplysninger skal slettes, når du ikke længere har behov for dem – altså når det ikke længere er nødvendigt at behandle dem for at opfylde formålet.

Et praktisk spørgsmål er: Hvorfor har jeg stadig brug for oplysningerne? Kan du svare fornuftigt på det, kan du opbevare dem.

Undtagelsen er vigtig: Hvis andre regler pålægger dig at gemme oplysningerne, må du ikke slette, så længe opbevaringspligten gælder. Datatilsynet nævner bogføringsloven som eksempel – den kræver, at regnskabsmateriale opbevares i 5 år fra udgangen af det regnskabsår, materialet vedrører. Det kan fx være navn og adresse på kunder.

Du behøver ikke løbende gennemgå hvert eneste dokument for at vurdere, om hver oplysning stadig er nødvendig. Datatilsynet skriver, at hvis du har rutiner, der sikrer løbende sletning af personoplysninger, har du ikke pligt til løbende at gennemgå samtlige dokumenter.

Fastlæg for hver kategori af kundedata, hvornår den mister sin berettigelse – fx ved aftalens ophør, ved sagens afslutning eller efter en konkret vurderet periode – og byg sletningen ind i arbejdsgangen i stedet for at gemme "for en sikkerheds skyld".

Tidsramme for opbevaring af kundedata

Når du ikke behøver samtykke

Samtykke er kun ét af flere behandlingsgrundlag. Et behandlingsgrundlag kaldes også en lovhjemmel, og du skal have én for at måtte behandle og opbevare personoplysninger.

Typiske grundlag er samtykke, lovkrav, at behandlingen er nødvendig for at opfylde en kontrakt eller aftale med kunden, eller en legitim interesse, hvor din interesse i at behandle oplysningerne vejer tungere end kundens interesse i, at de ikke behandles.

Derfor kan du i mange situationer behandle kundedata uden at spørge om samtykke. Skal du sende ordrebekræftelse, fakturere eller levere en vare, hviler behandlingen på aftalen eller en retlig forpligtelse – ikke på samtykke.

Et grundlag dækker kun det formål, det bærer. Aftalegrundlaget dækker levering og fakturering, men ikke nødvendigvis nyhedsbreve eller anden markedsføring. Skal oplysningerne bruges til et nyt formål, må du vurdere, om du har grundlag for netop det – eller om du skal indhente samtykke.

Grundlag for behandling af kundedata

Samtykke vs. andre behandlingsgrundlag

Praktisk tjekliste for kundedata og samtykke

Identificér formålet. Skriv ned, hvad du konkret bruger hver type kundedata til, og hvorfor oplysningen er nødvendig. Datatilsynet peger på, at du i praksis kan spørge: "Hvorfor har jeg stadig brug for oplysningerne?"

Vælg grundlag. Afklar for hvert formål, om du bygger på samtykke, aftale, retlig forpligtelse eller legitim interesse. Husk, at et grundlag kun dækker det formål, det bærer.

Indhent dokumenterbart samtykke. Samtykket skal være frivilligt, specifikt, informeret og utvetydigt, og du skal kunne påvise det, jf. GDPR artikel 7, stk. 1. Indgår samtykket i et dokument, der også handler om andre ting, skal anmodningen klart kunne skelnes, og sproget være klart og enkelt, jf. artikel 7, stk. 2.

Undgå at gøre samtykke til adgangsbillet. Gør ikke opfyldelsen af en aftale eller tjenesteydelse betinget af samtykke til behandling, der ikke er nødvendig for aftalen.

Oplys om retten til at trække samtykket tilbage – inden samtykket gives. Det følger af GDPR artikel 7, stk. 3.

Gør tilbagetrækning lige så let som tilmelding. Kunden skal kunne trække sit samtykke tilbage til enhver tid, og det skal være lige så nemt som at give det. Tilbagetrækningen virker kun fremadrettet: Behandling, der var baseret på samtykke inden tilbagetrækningen, er fortsat lovlig.

Handl på tilbagetrækningen. Sørg for, at en afmelding slår igennem overalt, hvor oplysningen bruges til markedsføring.

Slet, når formålet ophører. Databeskyttelsesreglerne har ikke faste opbevaringsfrister, men oplysningerne skal slettes, når de ikke længere er nødvendige. Er du forpligtet af anden lovgivning – fx bogføringslovens 5 år for regnskabsmateriale – skal du gemme i stedet for at slette.

Hav faste sletterutiner. Løbende sletterutiner er nok; du behøver ikke gennemgå samtlige dokumenter for at vurdere hver enkelt oplysning.