När en kund ber dig radera sina uppgifter har du som regel en månad på dig att svara. Men att radera kunddata i ett CRM handlar om mer än att klicka på "ta bort". Du behöver veta vad du måste radera, vad lagen kräver att du sparar och var personens uppgifter finns utanför själva CRM-systemet. Här går vi igenom rätten till radering i praktiken, steg för steg, för svenska företag som vill göra rätt utan att krångla till det.
Kort sagt
- En begäran om radering ska besvaras utan onödigt dröjsmål och senast inom en månad.
- Rätten är inte absolut: fakturor och annan räkenskapsinformation ska sparas i sju år enligt bokföringslagen.
- Anonymisering är ofta smartare än total radering. Du behåller statistiken, men inte personen.
- Radera i alla kopplade system samtidigt: e-postverktyg, ekonomisystem, e-signering och integrationer.
- Dokumentera varje ärende: när begäran kom, vad du beslutade, vad som raderades och vad som sparades och varför.
Innehållsförteckning
- Vad rätten till radering betyder för ditt CRM
- Bokföringslagen: det här får du spara
- Radera eller anonymisera?
- Steg för steg: så hanterar du en begäran om radering
- Glöm inte de kopplade systemen
- Vanliga misstag som leder till anmälningar
- Ett samlat CRM gör raderingen enklare
- Vårt perspektiv: radering är en del av en bra kundrelation
- Vanliga frågor
- Källor
Vad rätten till radering betyder för ditt CRM
Rätten till radering, ofta kallad rätten att bli bortglömd, finns i artikel 17 i dataskyddsförordningen (GDPR). Den ger en person rätt att vända sig till den som behandlar hens personuppgifter och be att de tas bort. Enligt Integritetsskyddsmyndigheten (IMY) ska du som personuppgiftsansvarig svara senast inom en månad från att begäran kom in.
Två saker är bra att ha klart för sig från början:
- Ansvaret ligger hos ditt företag. Det är du som äger kundrelationen och bestämmer varför uppgifterna behandlas. Din CRM-leverantör hanterar uppgifterna för din räkning, men det är du som ska ta emot begäran, fatta beslutet och se till att raderingen blir gjord.
- B2B-kontakter räknas också. En kontaktperson hos ett kundföretag, med namn, direktnummer och jobbmejl, är en fysisk person. Uppgifterna om hen är personuppgifter, även om affären görs med företaget.
Det är också vanligt att kunder tror att de kan vända sig till en myndighet för att få sina uppgifter raderade. IMY är tydliga med att rätten ska utövas mot varje enskild verksamhet som har uppgifterna. Det betyder att din rutin måste fungera, eftersom ingen annan kommer att göra jobbet åt dig.
När du måste radera
Enligt IMY:s genomgång av rätten till radering har en person i regel rätt att få sina uppgifter raderade bland annat när:
- uppgifterna inte längre behövs för det syfte de samlades in för, till exempel en avslutad kundrelation där inget annat skäl finns kvar,
- behandlingen bygger på samtycke och personen tar tillbaka det, vilket är typiskt för nyhetsbrev,
- personen invänder mot behandling för direktmarknadsföring,
- uppgifterna har behandlats olagligt, till exempel köpta listor utan laglig grund.
När du får behålla uppgifter
Rätten är inte absolut. Du får, och ibland måste du, behålla uppgifter när det behövs för att uppfylla en rättslig förpliktelse, som bokföringslagen, eller för att fastställa, göra gällande eller försvara rättsliga anspråk. Pågår en tvist om en leverans, eller finns ett garantiåtagande kvar, kan avtalet och korrespondensen kring det behöva sparas så länge anspråket kan bli aktuellt.
Det viktiga är att du sparar det som behövs, inte allt. Ett undantag för fakturan ger dig inte rätt att behålla mötesanteckningar, intressen eller nyhetsbrevshistorik.
Om tidsfristen inte räcker
Har ni många begäranden eller ett komplicerat ärende kan fristen enligt artikel 12 i GDPR förlängas med ytterligare två månader. Då måste du meddela personen om förlängningen och skälen till den inom den första månaden. Se det som en nödutgång, inte som standard.
Bokföringslagen: det här får du spara
I Sverige ska räkenskapsinformation sparas i sju år. Till räkenskapsinformationen hör fakturor, och en faktura ska bland annat innehålla uppgift om kunden, alltså vem den är ställd till. Där krockar rätten till radering med bokföringslagen, och där vinner bokföringslagen.
Så här kan du tänka kring de vanligaste uppgifterna i ett CRM:
| Uppgift i CRM | Vad gäller vid en begäran om radering |
|---|---|
| Kontaktuppgifter för nyhetsbrev och kampanjer | Radera. Grunden försvinner när personen drar tillbaka samtycket eller invänder. |
| Mötesanteckningar, samtalsloggar och säljhistorik | Radera eller anonymisera, om inget annat skäl att spara finns. |
| Offerter som aldrig blev affär | Radera i normalfallet. |
| Fakturor och verifikationer | Spara i sju år, men begränsa åtkomsten och använd dem bara för bokföringen. |
| Avtal kopplade till pågående tvist eller garanti | Spara så länge anspråket kan göras gällande. |
| Supportärenden | Radera eller anonymisera, om de inte hör till en pågående reklamation. |
| Samtalsinspelningar | Radera, om du inte har ett tydligt och dokumenterat skäl att spara. |
Inspelade samtal är ett eget kapitel. Läs mer i vår guide om GDPR och samtalsinspelning. Vill du se helheten kring lagringstider, EU-lagring och de sju åren finns den i artikeln om hur svenska SaaS-tjänster sköter datalagring i EU.
Radera eller anonymisera?
Att radera en kund helt kan slå hål i din historik. Plötsligt saknas affären i pipelinerapporten, intäkten per bransch stämmer inte och du ser inte längre vilken kampanj som gav resultat. Därför väljer många företag att anonymisera i stället.
Anonymisering betyder att du tar bort eller skriver över allt som kan kopplas till personen: namn, e-post, telefonnummer, adress, fritextanteckningar och bifogade filer. Kvar blir siffror utan ansikte, till exempel "affär vunnen, 45 000 kr, bransch: bygg, kvartal 2". Är uppgifterna verkligt anonyma går de inte att knyta till en fysisk person, och då räknas de inte längre som personuppgifter.
Tre fällor att undvika:
- Pseudonymisering är inte anonymisering. Byter du namnet mot ett kund-ID men har kvar en nyckel som pekar tillbaka, är uppgiften fortfarande en personuppgift.
- Fritext avslöjar. En anteckning som "Anna på ekonomi, ringer efter föräldraledigheten" pekar ut en person även om kontaktkortet är tomt. Rensa anteckningar och bilagor.
- Små urval kan identifiera. Är personen ensam vd på ett litet företag i en liten ort kan företagsnamnet räcka för att peka ut hen.
Steg för steg: så hanterar du en begäran om radering
En fast rutin är det bästa skyddet. Den gör att alla i teamet hanterar ärendet likadant, även när den som brukar sköta GDPR är på semester.
- Ta emot och registrera. En begäran kan komma via mejl, telefon, chatt eller i ett möte. Den behöver inte vara på ett formulär. Notera datum direkt, eftersom fristen börjar löpa när begäran kommer in.
- Bekräfta mottagandet. Skicka en kort bekräftelse till personen och berätta när hen kan vänta sig besked.
- Kontrollera identiteten. Se till att det är rätt person som frågar, men begär inte mer än vad som behövs. Kommer begäran från samma e-postadress som finns i CRM:et räcker det ofta.
- Kartlägg var uppgifterna finns. Sök på namn, e-post och telefonnummer i CRM:et, och lista sedan varje kopplat system.
- Bedöm varje uppgift. Radera, anonymisera eller spara med stöd av ett undantag. Skriv ner skälet för det du sparar.
- Genomför i CRM:et. Ta bort kontaktkortet eller anonymisera det, och rensa anteckningar, bilagor, aktiviteter och prospektlistor.
- Genomför i kopplade system. E-postverktyg, ekonomisystem, e-signering, kalendrar och automatiseringar. Mer om det i nästa avsnitt.
- Informera mottagare. Har du lämnat uppgifterna vidare, till exempel till en återförsäljare, behöver de också få veta att personen begärt radering.
- Svara skriftligt. Berätta vad som raderats, vad som sparas, varför och hur länge.
- Dokumentera. Spara en logg över ärendet, utan att logga mer personuppgifter än nödvändigt. Den visar att du följt reglerna om du blir granskad.
Glöm inte de kopplade systemen
Det vanligaste misstaget är att radera i CRM:et och tro att jobbet är klart. Ett modernt CRM är navet i en kedja av verktyg, och varje koppling kan ha en egen kopia av kunden.
Gå igenom åtminstone de här:
- Ekonomisystemet. Synkas kunder till exempelvis Fortnox finns kunduppgifterna även där. Fakturorna ska sparas, men kontaktpersonens övriga uppgifter kan ofta rensas.
- E-signering. Signerade avtal i ett verktyg som Scrive kan omfattas av undantag, men utkast och avbrutna signeringar sällan.
- E-post och kalender. Synkas Microsoft 365 med CRM:et finns mejl och möten även i inkorgen.
- Automatiseringar. Flöden via Zapier eller liknande kan ha skickat uppgifter till kalkylark, listor eller andra tjänster.
- Marknadsföringsverktyg. Mejllistor, annonsmålgrupper och exporterade filer.
- Lokala exporter. Excelfilen som någon laddade ner inför ett säljmöte för ett halvår sedan.
En bra vana är att föra ett register över vilka system som tar emot kunddata och åt vilket håll de synkas. Samma tänk gäller för personaldata. Den som vill se hur det ser ut på HR-sidan kan läsa en genomgång av vilka register över anställda en arbetsgivare behöver ordna enligt GDPR. För att integrationerna ska bli en hjälp snarare än ett problem, läs vår guide om att integrera befintliga verktyg med CRM.
Radering hänger också ihop med god datavård i stort. Har du dubbletter blir det svårt att hitta alla poster om en person. Rensa dubbletter och följ en tydlig ordning för att vårda och städa CRM-data, så blir varje radering både snabbare och säkrare. Vi skriver mer om datakvalitet i CRM data: så säkrar du kvalitet och intäkt.
Vanliga misstag som leder till anmälningar
IMY:s egen sammanställning visar att de vanligaste klagomålen enligt dataskyddsförordningen gällde de enskildas rättigheter, till exempel rätten att få tillgång till eller radera sina uppgifter. Ofta handlar det inte om själva raderingen, utan om hur företaget hanterar frågan. Undvik särskilt:
- Att inte svara. Tystnad är det säkraste sättet att få en anmälan.
- Att hänvisa vidare. "Kontakta vår leverantör" fungerar inte. Ansvaret är ditt.
- Att radera allt utan eftertanke. Raderar du fakturor bryter du mot bokföringslagen i stället.
- Att glömma marknadsföringen. Personen raderas i CRM:et men importeras igen från en gammal lista nästa månad.
- Att sakna rutin. Utan en dokumenterad process blir varje begäran ett nytt projekt.
Raderingen hänger tätt ihop med hur du samlar in uppgifter från början. Har du koll på samtycken blir det enklare att veta vad som ska bort. Läs mer om samtyckeshantering i CRM och följ vår checklista för en GDPR-kompatibel e-postlista.
Ett samlat CRM gör raderingen enklare
Ju färre ställen kunddata ligger på, desto lättare är det att hitta och ta bort den. Det är grundtanken i Notyfile. I stället för separata verktyg för sälj, offert, avtal och support samlar du hela kundresan i en plattform med moduler för:
- kundhantering och prospekt- och försäljningsstöd,
- offertgenerering, order- och avtalsadministration och e-signering,
- projektledning, inbyggd dialer och supportärenden,
- marknadsautomation,
- AI-assistenten Naia, som bland annat analyserar möten och ger smarta rekommendationer.
Notyfile integrerar med Fortnox, Scrive, Microsoft 365 och Zapier, så att du vet var kopplingarna går. Plattformen är byggd med fokus på säkerhet och GDPR, och du får svensk support när du behöver hjälp. Planerna kostar 149 kr (Essential), 299 kr (Ambition), 599 kr (Växa) och 749 kr (Master) per användare och månad. Större organisationer kan få skräddarsydda lösningar och integrationer. Jämför planerna och hitta rätt nivå.
Ska du utvärdera flera system? Använd våra sex verifierande frågor för ett GDPR-kompatibelt CRM och läs om vad du ska kräva kring kryptering i CRM.
Vårt perspektiv: radering är en del av en bra kundrelation
Vi har byggt Notyfile av säljare för säljare, och vi vet hur det känns när en begäran om radering landar i inkorgen en fredagseftermiddag. Första reaktionen är ofta oro: var finns allt om den här personen? Det är precis den frågan som avslöjar om ditt CRM fungerar.
När kunddata är utspridd över mejlkonton, kalkylark och fem olika verktyg blir varje radering som att leta efter nålar i en höstack. När allt finns samlat blir den en rutin. Därför tycker vi att GDPR egentligen inte handlar om att spara mindre, utan om att spara smartare. Du vet vad du har, varför du har det och hur länge du behöver det.
Vi ser också att företag som hanterar radering snabbt och vänligt vinner förtroende. Kunden som lämnar i dag kan komma tillbaka om två år, och då minns hen hur du behandlade hens uppgifter. Ta begäran på allvar, svara tydligt och se det som en del av kundupplevelsen. Det gör vi tillsammans.
— Joakim
Vanliga frågor
Måste jag radera en kontaktperson på ett kundföretag som ber om det?
Ja, i regel. Kontaktpersonen är en fysisk person och uppgifterna om hen är personuppgifter, även när affären görs med företaget. Finns ett undantag, till exempel att hens namn står på fakturor som ska sparas, behåller du bara det som undantaget kräver.
Hur lång tid har jag på mig att radera?
Du ska svara utan onödigt dröjsmål och senast inom en månad från att begäran kom in. Vid många eller komplicerade begäranden kan fristen förlängas med två månader, men då måste du meddela personen och förklara varför inom den första månaden.
Kan jag behålla kundens fakturor efter en begäran om radering?
Ja. Bokföringslagen kräver att räkenskapsinformation, till exempel fakturor, sparas i sju år. Begränsa åtkomsten, använd uppgifterna bara för bokföringen och berätta för personen att de sparas och hur länge.
Räcker det att markera kontakten som inaktiv?
Nej. En inaktiv kontakt finns fortfarande kvar med alla sina uppgifter. Antingen raderar du uppgifterna eller anonymiserar dem så att de inte längre kan kopplas till personen.
Vad händer om vi inte svarar på en begäran?
Personen kan anmäla ert företag till IMY, och utebliven eller sen hantering av de enskildas rättigheter hör till de vanligaste klagomålen. Ha en skriftlig rutin, så att någon alltid tar ärendet även när ordinarie ansvarig är borta.
Källor
- IMY: Rätt till radering av dina personuppgifter
- IMY: Klagomål till IMY, den nationella bilden 2021
- EUR-Lex: Dataskyddsförordningen (EU) 2016/679, artikel 12
- Skatteverket: Bokföring och bokslut
- Skatteverket: Bokföring, vad kräver lagen?