Ja, GDPR gäller även om du arbetar uteslutande med andra företag. Förordningen tittar inte på vem din kund är, utan på vad du behandlar: så snart du registrerar namn, e-postadress, telefonnummer eller befattning för en kontaktperson, behandlar du en personuppgift. Att denna kontaktperson ringer eller mejlar på uppdrag av ett företag spelar ingen roll enligt lag.
Förvirringen uppstår eftersom människor förknippar GDPR med konsumentdata: beställningar, kundkonton, nyhetsbrev. Men en fakturaadress med namnet på en inköpare, en CRM-rad med telefonnumret för en kontaktperson, eller ett mejlutbyte med en leverantör omfattas alla av samma regler. Det handlar om uppgifter om en fysisk person, inte om vilken typ av affärsrelation du har med det företaget.
Vad som förändras och inte förändras vid B2B
Det faktum att du arbetar i en B2B-miljö förändrar inte själva kärnan i GDPR, men väl den praktiska innebörden av den. Många av de krav som känns tunga vid konsumentdata, som att be om samtycke för marknadsföring eller förklara varför du samlar in data, får ofta en annan, lättare utformning vid affärskontaktuppgifter. Det finns till exempel oftare en berättigad anledning att kontakta en kontaktperson om ett pågående uppdrag än när det gäller en slumpmässig konsument. Det ändrar inte det faktum att du fortfarande måste kunna förklara varför du håller dessa uppgifter och hur länge.
Vad som heller inte förändras: skyldigheten att säkra dessa uppgifter ordentligt, och kontaktpersonens rätt att själv fråga vad du har registrerat om honom eller henne. En inköpare på ett kundföretag kan i teorin göra en begäran om åtkomst, precis som en privatperson. GDPR gör ingen skillnad när det gäller vem som ställer frågan.
Praktiska exempel
En installatörsföretag som bara arbetar med andra företag har vanligtvis ändå ett CRM fullt med namn, telefonnummer och e-postadresser för kontaktpersoner hos kunder och leverantörer. En HR-chef som sparar CV:er från jobbsökande behandlar personuppgifter, även om tjänsten är för en teknisk tjänst inom ett B2B-företag. En kontorschef som låter besökare skriva in sitt namn vid ankomst registrerar också namn på människor som besöker företaget på uppdrag av ett annat företag.
I inget av dessa fall handlar det om konsumentdata i klassisk mening, och ändå omfattas de av samma förordning. Det som faktiskt spelar roll i praktiken är inte B2B kontra B2C, utan: handlar det om en identifierbar fysisk person, eller om helt anonymiserade eller rent affärsmässiga uppgifter såsom ett organisationsnummer eller en generisk info@-adress utan namn.
Vad detta betyder för ditt behandlingsregister
Eftersom affärskontaktuppgifter omfattas av GDPR ska de också finnas med i ditt behandlingsregister: var de kommer ifrån, varför du sparar dem, vem som har åtkomst till dem och hur länge du sparar dem. För många små och medelstora företag visar det sig att just denna kategori ofta överses, eftersom uppmärksamheten går till personalakter eller kunduppgifter från slutkonsumenter. I kunskapsbanken med vägledning för varje situation hittar du mer bakgrund om när uppgifter räknas som personuppgifter och när de inte gör det.
Om du använder SaaS-verktyg för ditt CRM, e-postkommunikation eller fakturering, behandlar dessa verktyg ofta även dessa affärskontaktuppgifter. Det är relevant för de behandlaravtal som du har eller borde ha med dessa leverantörer, och för frågan om vilken verktyg som behandlar exakt vilka uppgifter. Via de vanligaste frågorna om GDPR i praktiken läser du hur det hänger samman med dina övriga skyldigheter.
Huruvida din specifika situation faller under vissa undantag, eller vilken rättslig grund som exakt gäller för ditt sätt att arbeta, varierar från företag till företag och är något du vid osäkerhet bäst diskuterar med en jurist eller Datainspektionen. Det som däremot gäller för nästan alla företag: om du registrerar personuppgifter om kontaktpersoner utan att veta exakt vilka och varför, är det en bra startpunkt att få ordning på.
Kontrollera själv var du står
Vill du snabbt se vilka dataflöden i ditt företag som räknas, inklusive affärskontaktuppgifter för kunder och leverantörer? Gör den kostnadsfria snabbkontrollen eller läs först hur gdpria.eu strukturerar informationen från GDPR och tillsynsmyndigheterna, och skapa ett affärskonto om du vill få ditt register byggt från de verktyg du redan använder.