Hur hanterar man personuppgifter som inte längre används eller är relevanta för sin verksamhet? Den nya dataskyddsförordningen kräver att alla som sparar personuppgifter också har rutiner för att radera de uppgifter som är nödvändiga för de ändamål för vilka personuppgifterna behandlas. Så hur ska man gå tillväga? I denna artikel kommer vi gå igenom hur du praktiskt kan gå tillväga när du vill gallra personuppgifter i ditt CRM-system.

• Gallring av personuppgifter i CRM-systemet
• Gallra eller bevara?
• Radera eller anonymisera?
• Gallring av personuppgifter i Mira
• Förslag till Data Retention Rules

Dataskyddsförordningen kräver att personuppgifter inte får sparas under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas (artikel 5 § 5 e). Som personuppgiftsansvarig är du skyldig att “utan onödigt dröjsmål” radera personuppgifter som inte längre är nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats. (Art 17 § 1 a)

När uppgifterna ska raderas ska framgå av det register som personuppgiftsansvarig ska föra över den behandling av personuppgifter som utförts under dess ansvar. (Art 30 § 1 f) Mira kan hjälpa till med att ta fram denna typ av register, men det är inte det denna artikel handlar om utan vi kommer gå igenom hur du rent praktiskt gallrar personuppgifter i CRM-system. Sist i artikeln beskriver vi hur det fungerar specifikt i Mira.

Gallring av personuppgifter i CRM-system

I de flesta CRM-system så hanteras olika kategorier av personer, t.ex. deltagare på evenemang, mottagare av nyhetsbrev och kontaktpersoner hos partnerföretag.

För varje kategori så gäller olika gallringsregler. För kontaktperson hos partnerföretag gäller kanske att uppgifterna ska 3 år efter att partneravtalet upphört, och för evenemangsdeltagare gäller kanske att uppgifter ska gallras 6 månader efter evenemanget avslutats, etc.

Du behöver därmed ha en rutin som regelbundet kontrollerar om det är några personuppgifter som ska gallras.

Gallra eller bevara?

I och med att det kan finnas flera olika skäl till att en persons personuppgifter behandlas, t.ex. kan en person både vara kontaktperson hos ett partnerföretag och deltagare på evenemang, så går det inte att radera uppgifter per personkategori.

Istället för att tänka vilka personuppgifter som ska raderas, behöver du identifiera regler för vilka personuppgifter som ska bevaras. Om det inte går att motivera att personuppgifter för en person ska bevaras, så ska de raderas.

Gallringsreglerna i exemplet ovan behöver tänkas om som bevaranderegler: För kontaktpersoner hos ett partnerföretag så ska uppgifterna bevaras i 3 år efter att partneravtalet upphört, därefter ska de raderas. För deltagare på evenemang ska uppgifterna uppgifterna bevaras i 6 månader efter att evenemanget avslutats, därefter ska de raderas.

Med dessa regler så går det att för varje person kontrollera om det finns någon regel som säger att uppgifterna ska bevaras. Om personen inte faller inom någon sådan regel, så ska hennes personuppgifter raderas.

Radera eller anonymisera?

Nästa fråga är hur uppgifterna ska raderas. Oftast är det bäst att, istället för att radera personer, anonymisera personen genom att radera alla uppgifter som identifierar personen. Dels är det lättare tekniskt, och dels ger det möjlighet att följa aggregerad statistik över exempelvis antal deltagare på evenemang, eller antal mottagare som klickat på länk i e-postutskick.

Hur hantera avlidna?

Dataskyddsförordningen gäller inte för avlidna (Beaktandesats 27). Det är oftast lämpligt att behålla avlidna i ett CRM-system en viss tid efter personen har avlidit, men med en flagga om att personen är avliden för att förhindra att personen läggs in igen antingen manuellt eller genom integrationer med andra system.

Gallring av personuppgifter i Mira

I Mira hanteras gallring genom att vi definierar ett antal Data Retention Rules. Mira kommer med ett antal fördefinierade Data Retention Rules, men det är möjligt för varje kund att definiera egna regler för vilken information som ska bevaras. Det är möjligt att skapa Data Retention Rules baserade på all information i Mira.

Som standard så raderas inte personer, men personuppgifter som inte ska bevaras enligt någon Data Retention Rule, raderas.

Det är därmed möjligt att se antal deltagare på evenemang historisk och följa aggregerad statistik, utan att bryta mot dataförordningens regler.

Förslag till Data Retention Rules i Mira per modul

Personuppgifter bevaras om personen…

CRM

• Har fått en kontaktnotering, exkl utskick från systemet senaste 2 år
• Är skapad senaste 1 år
• Är VIP
• Är avliden (enligt Dataskyddsförordningen behöver personuppgifter om avlidna inte gallras. Däremot bör du radera deras kontaktuppgifter och flagga personen som avliden.)

E-postmarknadsföring

• Har klickat på på länk i utskick senaste 1 år

Evenemangshantering

• Har deltagit på evenemang senaste 3 år

Medlemskap

• Har aktivt medlemskap
• Har medlemskap senaste 2 åren

Alumnrelationer

• Är kategoriserade som alumn
• Är supporter

Fundraising

• Har givit gåva
• Är potentiell givare och har bytt status senaste 2 år

Kommersiell utbildning / Uppdragsutbildning

• Alla som gått eller anmält sig till kurs senaste 7 åren
• Alla externa medverkande på kurser senaste 7 åren

Karriärservice

• Har publicerat en jobbannons senaste 2 åren

Företagsrelationer

• Har registrerat sig eller uppdaterat sina uppgifter i Company Sign Up senaste 2 åren.

 

Andra inlägg om dataskyddsförordningen:

• Så uppfyller du dataskyddsförordningens regler om gallring av personuppgifter i CRM-system
• Nya dataskyddsförordningen (GDPR) och samverkan – samtycke eller uppgift av allmänt intresse?
• Webinar tre av tre – Smart funktionalitet som gör det lättare att uppfylla kraven i dataskyddsförordningen
• Webinar två av tre – Hur du säkerställer att du arbetar enligt den nya dataskyddsförordningen
• Webinar ett av tre – Nya dataskyddsförordningen för dig som arbetar med externa relationer i Norden
• Tre webinars om nya dataskyddsförordningen för dig som arbetar med externa relationer
• Vem är egentligen alumn?