Den virksomhed, der vil markedsføre sig, er dataansvarlig for sine lister. En tjeneste som Robinsontjek, der tjekker listerne på jeres vegne, er databehandler og må kun bruge data efter jeres instruks. Det kræver en databehandleraftale.
Den virksomhed, der vil markedsføre sig, er dataansvarlig for sine lister. En tjeneste som Robinsontjek, der tjekker listerne på jeres vegne, er databehandler og må kun bruge data efter jeres instruks. Det kræver en databehandleraftale, og I skal kunne vise, at I har styr på den.
To regelsæt, der mødes
Robinsonlisten og GDPR handler om to forskellige ting:
- Robinsonlisten handler om, hvem I må kontakte med markedsføring. Reglerne står i markedsføringsloven og CPR-loven.
- GDPR handler om, hvordan I behandler personoplysninger, herunder jeres lister.
De mødes, fordi tjekket mod Robinsonlisten er en behandling af personoplysninger. Når I sender en liste med navne og adresser til en leverandør, skal den behandling også være i orden.
CPR-loven knytter selv de to sammen: en markering om, at man frabeder sig markedsføring, giver både beskyttelse efter markedsføringsloven og efter GDPR's artikel 21 om retten til at gøre indsigelse mod direkte markedsføring (CPR-loven § 29, stk. 2).
Hvem er hvad?
Datatilsynet beskriver rollerne sådan: den dataansvarlige bestemmer formålet med og midlerne til behandlingen, mens databehandleren kun behandler oplysningerne efter den dataansvarliges instruks (Datatilsynet).
I praksis:
| Part | Rolle | Hvorfor |
|---|---|---|
| Jer, der sender kampagnen | Dataansvarlig | I bestemmer, hvem der skal kontaktes og hvorfor |
| Robinsontjek | Databehandler | Vi tjekker listen, fordi I beder om det, og bruger den ikke til andet |
| Vores hostingleverandør | Underdatabehandler | Driver de servere, vi bruger |
Når der er flere led
Er I et callcenter, et trykkeri eller et bureau, der arbejder for en kunde, ser kæden typisk sådan ud:
- Kunden er dataansvarlig.
- I er databehandler for kunden.
- Robinsontjek er underdatabehandler for jer.
Det kræver, at jeres aftale med kunden tillader, at I bruger underdatabehandlere, og at vores databehandleraftale passer ind i kæden. Det gør den.
Hvad I skal sikre som dataansvarlig
- En databehandleraftale med enhver leverandør, der behandler jeres lister. Datatilsynet understreger, at aftalen ikke er nok i sig selv: I skal også føre tilsyn med, at databehandleren overholder den.
- At data ikke bliver brugt til andet. Leverandøren må ikke bruge jeres lister til egne formål, for eksempel til at bygge sine egne lister eller sælge data videre.
- Sletning. Data skal slettes, når de ikke længere bruges til formålet.
- Sikkerhed. Kryptering, adgangskontrol og logning.
- Placering. Ved overførsel uden for EU gælder særlige regler. Det er nemmest, hvis data bliver i EU.
- Brud. Som dataansvarlig skal I anmelde brud på persondatasikkerheden til Datatilsynet inden for 72 timer (Datatilsynet). Derfor skal jeres databehandler give jer besked hurtigt.
Send ikke mere, end der skal til
Et tjek mod Robinsonlisten kræver navn og adresse. Det kræver ikke CPR-numre, telefonnumre, købshistorik eller noter fra CRM'et. Send kun de kolonner, der skal bruges. Det er dataminimering, og det gør jeres egen dokumentation enklere.
Sådan gør Robinsontjek
- Vi er databehandler og har en databehandleraftale, som accepteres i appen, når I har oprettet jer.
- Vi bruger kun jeres lister til at tjekke dem.
- Data ligger på servere i EU. Vores underdatabehandlere får I en liste over på forespørgsel.
- Filer og navne slettes automatisk efter 30 dage, eller efter det antal dage I vælger mellem 0 og 90.
- Vi beder ikke om CPR-numre.
- Ved brud får I besked senest 24 timer efter, at vi har opdaget det.
- Vil I hellere bruge den Robinsonliste, I selv har købt hos CPR, kan vi tjekke mod den i stedet.
Læs mere på sikkerhedssiden.
Spørgsmål og svar
Må vi bruge Robinsonlisten til andet end at sortere i vores lister?
Listen må ikke videregives til andre eller offentliggøres. Brug den kun til det, den er til: at finde ud af, hvem I ikke må kontakte med markedsføring.
Skal vi oplyse forbrugerne om, at vi tjekker Robinsonlisten?
Tjekket er en del af jeres behandling af personoplysninger til markedsføring og bør nævnes i jeres privatlivspolitik, hvor I beskriver formål og databehandlere. Spørg jeres DPO om formuleringen.
Artiklen er ikke juridisk rådgivning. Tal med jeres DPO om jeres konkrete opsætning.
