Kyllä, GDPR pätee myös silloin, kun työskentelet yksinomaan muiden yritysten kanssa. Asetus ei katso sitä, ketkä ovat asiakkaasi, vaan sitä, mitä tietoja käsittelet: heti kun tallennat yhteyshenkilön nimen, sähköpostiosoitteen, puhelinnumeron tai tehtävän, käsittelet henkilötietoja. Se, että yhteyshenkilö ottaa yhteyttä tai lähettää sähköpostia yrityksen puolesta, ei muuta lain kannalta mitään.
Sekaannusta syntyy, koska ihmiset liittävät GDPR:n kuluttajatietoihin: tilaukset, asiakastilit, uutiskirjeet. Mutta laskutusosoite, johon on kirjoitettu ostajan nimi, CRM-merkintä, jossa on yhteyshenkilön matkapuhelinnumero, tai sähköpostinvaihto toimittajan kanssa kuuluvat kaikki samojen sääntöjen alaisuuteen. Kysymys on luonnollisen henkilön tietojen käsittelystä, ei siitä, millainen suhde sinulla on kyseisen yrityksen kanssa.
Mitä muuttuu ja mitä ei B2B-yhteydessä
Se, että työskentelet B2B-ympäristössä, ei muuta GDPR:n ydinasia, mutta muuttaa sen käytännön vaikutusta. Monet velvoitteet, jotka tuntuvat raskaalta kuluttajatietojen käsittelyssa, kuten markkinointiluvan pyytäminen tai selittäminen, miksi kerätään tietoja, saavat usein eri ja kevyemmän sisällön liiketoiminnallisten yhteystietojen kohdalla. Esimerkiksi on usein oikeutetumpaa syytä ottaa yhteyttä yhteyshenkilöön meneillään olevan projektin osalta kuin satunnaiseen kuluttajaan. Tämä ei kuitenkaan poista velvoitetta pystyä selittämään, miksi säilytät tietoja ja kuinka kauan.
Se, mitä ei myöskään muutu: velvoite säilyttää nämä tiedot turvallisesti, ja yhteyshenkilön oikeus pyytää tietoa siitä, mitä olet tallennetusta hänestä. Ostaja asiakasyritykksessä voi teoriassa tehdä tarkastelu- tai tietojenhallinnan pyynnön, aivan kuten yksityinen asiakas. GDPR ei tee tässä eroa sen mukaan, kuka pyynnön tekee.
Käytännön esimerkkejä
Asennusliikkeellä, joka toimii yksinomaan muiden yritysten kanssa, on yleensä silti CRM-järjestelmä, joka on täynnä asiakkaiden ja toimittajien yhteyshenkilöiden nimiä, puhelinnumeroita ja sähköpostiosoitteita. HR-johtaja, joka säilyttää hakijoiden ansioluetteloa, käsittelee henkilötietoja, vaikka toimi olisi tekninen tehtävä B2B-yrityksessä. Toimistojohtaja, joka merkitsee vieraiden nimet saapumislomakkeeseen, tallentaa myös nimiä ihmisistä, jotka tulevat toisen yrityksen edustajina.
Missään näistä tapauksista ei ole kyse perinteisesti ymmärretystä kuluttajatiedoista, ja silti ne kuuluvat saman asetuksen piiriin. Käytännön kannalta tärkeä ero ei ole B2B versus B2C, vaan: onko kyseessä tunnistettavissa oleva luonnollinen henkilö vai täysin anonymisoitu tai puhtaasti liiketoiminnallinen tieto, kuten KvK-numero tai yleinen info@-osoite ilman nimeä.
Mitä tämä merkitsee käsittelytoimintojen rekisterillesi
Koska liiketoiminnallisiin yhteystietoihin liittyvät tiedot kuuluvat GDPR:n piiriin, niiden tulee kuulua myös käsittelytoimintojen rekisteriisi: mistä ne tulevat, miksi säilytät niitä, keillä on niihin pääsy ja kuinka kauan ne säilytät. Monissa pienissä ja keskisuurissa yrityksissä tämä on juuri se kategoria, joka jää huomaamatta, koska huomio kohdistuu henkilöstöasiakirjoihin tai loppukuluttajien asiakastietoihin. Tutkiessa tietokannan selitys kussakin tilanteessa löydät lisää taustaa siitä, milloin tiedot katsotaan henkilötiedoiksi ja milloin eivät.
Jos käytät SaaS-sovelluksia CRM:ssä, sähköpostiliikenteessä tai laskutuksessa, nämä sovellukset käsittelevät usein myös näitä liiketoiminnallisia yhteystietoja. Tämä on merkityksellinen niiden käsittelysopimusten kannalta, jotka sinulla on tai pitäisi olla näiden toimittajien kanssa, ja sen kannalta, mitä tietoja kukin työkalu käsittelee. Kautta usein esitetyt kysymykset GDPR:stä käytännössä voit lukea, miten se liittyy laajempiin velvoitteisiisi.
Onko tilanteeseenne sovellettavissa tiettyjä poikkeuksia vai mikä perusta täsmälleen koskee toimintatapaa, vaihtelee liiketoimittain ja epävarmuuden tapauksessa on parasta neuvotella oikeusjärjestelmän asiantuntijan tai Tietosuojaviranomaisen kanssa. Se, mikä pätee lähes jokaiseen yritykseen: jos kirjaat muistiin henkilötietoja yhteyshenkilöistä ilman, että tiedät tarkalleen mitä ja miksi, se on hyvä lähtökohta, josta kannattaa aloittaa.
Oman tilanteen tarkistaminen
Haluatko nopeasti nähdä, mitkä tietovirrat liiketoiminnassasi ovat merkityksellisiä, mukaan lukien asiakkaiden ja toimittajien liikeyhteyksien yhteystiedot? Tee ilmainen pika-arvio tai lue ensin kuinka gdpria.eu jäsentää tietoja AVG:sta ja valvontaviranomaisista, ja luo liikeyrityksen tili jos haluat, että rekisterisi rakennetaan työkaluista, joita jo käytät.