Ja, GDPR gælder også, hvis du udelukkende arbejder med andre virksomheder. Forordningen ser ikke på, hvem din kunde er, men på det, du behandler: så snart du registrerer navn, e-mailadresse, telefonnummer eller titel på en kontaktperson, behandler du personoplysninger. Det gør ingen forskel for loven, at kontaktpersonen ringer eller mailer på vegne af en virksomhed.
Forvirringen opstår, fordi mennesker forbinder GDPR med forbrugerdata: ordrer, kundekonti, nyhedsbreve. Men en fakturaafdresse med navnet på en indkøber, en CRM-post med en kontaktpersons mobilnummer eller emailkorrespondance med en leverandør falder alle under de samme regler. Det handler om oplysninger om en fysisk person, ikke om den type forhold, du har til virksomheden.
Hvad der ændrer sig, og hvad der ikke ændrer sig i B2B
Det faktum, at du arbejder i et B2B-miljø, ændrer ikke kernen i GDPR, men det ændrer den praktiske betydning. Mange af de forpligtelser, der føles tunge ved forbrugerdata, såsom at anmode om samtykke til markedsføring eller forklare, hvorfor du indsamler data, har ofte en anden, lettere fortolkning ved erhvervskontaktoplysninger. Der er for eksempel oftere et berettiget interesse i at kontakte en kontaktperson om en igangværende opgave end ved en tilfældig forbruger. Det ændrer ikke på, at du stadig skal kunne forklare, hvorfor du gemmer disse oplysninger, og hvor længe.
Hvad der heller ikke ændrer sig: forpligtelsen til at opbevare disse oplysninger sikkert, og kontaktpersonens ret til selv at anmode om, hvad du har registreret om ham eller hende. En indkøber hos en kunde kan teoretisk anmode om indsigt, ligesom en privat kunde. GDPR skelner ikke efter, hvem der anmoder.
Praktiske eksempler
En installatørvirksomhed, der udelukkende arbejder med andre virksomheder, har typisk alligevel en CRM fuld af navne, telefonnumre og e-mailadressen på kontaktpersoner hos kunder og leverandører. En HR-chef, der gemmer cv'er fra ansøgere, behandler personoplysninger, selv om stillingen er til en teknisk funktion inden for en B2B-virksomhed. En kontorchef, der får besøgende til at skrive sig ind ved ankomst, registrerer også navne på mennesker, der besøger på vegne af en anden virksomhed.
I ingen af disse tilfælde handler det om forbrugerdata i klassisk forstand, og alligevel falder de under samme forordning. Det vigtige skel i praksis er ikke B2B versus B2C, men: handler det om en fysisk person, der kan identificeres, eller handler det om helt anonymiserede eller rent erhvervsmæssige oplysninger såsom et CVR-nummer eller en generisk info@-adresse uden navn.
Hvad det betyder for dit behandlingsregister
Fordi erhvervskontaktoplysninger er omfattet af GDPR, hører de også hjemme i dit behandlingsregister: hvor de kommer fra, hvorfor du gemmer dem, hvem der har adgang, og hvor længe du gemmer dem. Hos mange SMV'er viser det sig, at det netop er denne kategori, der bliver overset, fordi fokus ligger på personalesager eller kundedata fra slutforbrugere. I vidensbanken med forklaring pr. situation finder du mere baggrund om, hvornår data betragtes som personoplysninger, og hvornår de ikke gør.
Hvis du bruger SaaS-værktøjer til din CRM, emailtrafik eller fakturering, behandler disse værktøjer ofte også disse erhvervskontaktoplysninger. Det er relevant for de databehandleraftaler, du har eller bør have med disse leverandører, og for spørgsmålet om, hvilket værktøj der behandler præcis hvilke data. Via de hyppigst stillede spørgsmål om GDPR i praksis kan du læse, hvordan det hænger sammen med dine bredere forpligtelser.
Hvorvidt din specifikke situation falder under visse undtagelser, eller hvilken præcis retlige grund der gælder for din arbejdsform, varierer fra virksomhed til virksomhed og er noget, du bedst bør konsultere en jurist eller Datatilsynet om, hvis du er i tvivl. Hvad der dog gælder for næsten enhver virksomhed: hvis du registrerer personoplysninger om kontaktpersoner uden at vide præcist hvilke og hvorfor, er det et godt udgangspunkt at få orden på.
Se selv, hvor du står
Vil du hurtigt se, hvilke datastrømme i din virksomhed der tæller med, herunder forretningsmæssige kontaktoplysninger fra kunder og leverandører? Udfør den gratis quick-scan eller læs først hvordan gdpria.eu strukturerer informationen fra GDPR'en og tilsynsmyndighederne, og opret en erhvervskonto hvis du vil få opbygget dit register ud fra de tools, du allerede bruger.