Rodo - bezpieczeństwo danych osobowych w systemie LucidCRM
Wymagania RODO i bezpieczeństwo danych osobowych
Rozporządzenie, nazywane GDPR (od angielskiej nazwy General Data Protection Regulation), a w Polsce znane pod nazwą RODO (Rozporządzenie Ogólne o Ochronie Danych Osobowych) obowiązuje od 25 maja 2018 roku na terenie całej Unii Europejskiej i zakłada, że dzięki niemu konsumenci będą bardziej świadomi tego, jak przetwarzane są ich dane osobowe i jakie mają w tym zakresie prawa. W związku z powyższym rozporządzenie to nakłada na firmy szereg obostrzeń w zakresie informowania na temat sposobów wykorzystywania przez nie danych, a przede wszystkim ochrony danych osobowych.
Przedsiębiorcy inwestujący w systemy informatyczne zmuszeni są do pilnowania bezpieczeństwa i sposobu przepływu danych, zwłaszcza w systemach chmurowych. W artykule tym przedstawiamy w jaki sposób można spełnić wymagania RODO z wykorzystaniem systemu LucidCRM:
W jaki sposób ochronić i wyizolować dane?
Izolacja danych to jeden z najważniejszych punktów RODO. Chodzi w nim o to, że użytkownik systemu powinien widzieć tylko te dane klientów, którymi tak naprawdę się zajmuje. Możemy sobie wyobrazić sytuację, w której dany pracownik obsługuje tylko klientów z jednego województwa / kraju. Jeśli będzie on mieć wgląd w dane klientów spoza swojego obszaru, oznaczać to będzie naruszenie polityki prywatności RODO. Sprowadza się to do faktu, że dana osoba powinna mieć wgląd tylko do danych, do których tak naprawdę została upoważniona.
W systemie LucidCRM podchodzimy do tego problemu dwuwymiarowo w rozbudowanym i intuicyjnym systemie uprawnień: z jednej strony umożliwiamy dostęp do danych tylko dla konkretnych typów obiektów tj. np. kontrahent, z drugiej zaś udostępniamy użytkownikom tylko rekordy, do których zostali upoważnieni. Izolacja danych w LucidCRM to po prostu brak dostępu do obiektów, do których nie zostaliśmy upoważnieni. Upoważnienie dostajemy na skutek współdzielenia danych. Mechanizm ten bazuje na grupach, a każdy użytkownik systemu ma określony sposób współpracy z daną grupą. Grupą może być więc określone województwo lub kraj, a osoba będąca członkiem grupy może mieć w niej specjalnie określoną rolę. Aby dowiedzieć się więcej na temat sposobu współdzielenia danych, skorzystaj z artykułu "Użytkownicy i grupy" w naszej bazie wiedzy.
Kiedy i w jaki sposób trzeba spełnić obowiązek informacyjny?
RODO wskazuje, że obowiązek ten powinien zostać spełniony w dwóch sytuacjach: gdy dane pozyskujemy bezpośrednio od osoby, której one dotyczą oraz w sytuacji gdy gromadzimy dane z innych źródeł – pośrednich. Powinien on zostać wypełniony w momencie zbierania danych od osoby, której dane dotyczą lub bezpośrednio przed ich zebraniem. W przypadku gdy administrator chce przetwarzać dane w innych celach niż te, o których poinformował osobę, musi ponownie wykonać wobec tej osoby obowiązek informacyjny.
W systemie LucidCRM umożliwiamy spełnienie obowiązku informacyjnego od razu podczas zbierania danych jak również w dowolnej chwili, kiedy użytkownik / administrator zauważy taką potrzebę.
Zbieranie tzw. danych wrażliwych czyli osobowych możliwe jest z wykorzystaniem funkcjonalności formularzy, które można udostępnić klientowi / osobie w dowolnym miejscu. Formularze administrator sam konfiguruje i dostosowuje do swoich potrzeb, a więc może w nich umieścić od razu np. link prowadzący do dokumentacji informującej o sposobie przetwarzania danych. Gotowe formularze można również wykorzystać do komunikacji z daną osobą, która już istnieje w systemie. Na karcie klienta można wysłać do takiej osoby wiadomość mailową, również z wykorzystaniem gotowych szablonów, a więc formularzy do wypełnienia. Dodatkowo posiadanie aplikacji LucidMailer z pakietu LucidOffice zapewnia możliwość przesłania kampanii mailingowej przedstawiącej sposób przetwarzania danych.
Kiedy i jak można udostępniać dane prywatne?
Z punktu widzenia ułatwionej w systemie LucidCRM komunikacji z klientem, funkcjonalność pozwala spełnić również wymaganie prawa dostępu do danych. Zgodnie z art. 15 RODO administrator jest obowiązany udzielić dostępu do przetwarzanych danych osobie, której one dotyczą, jeśli zgłosi ona takie żądanie. Jeżeli więc w ramach swojej działalności przetwarzasz dane osobowe, możesz zostać poproszony o ich udostępnienie.
Musisz w związku z tym pamiętać o kilku rzeczach. Przede wszystkim powinieneś za każdym razem upewnić się, że osoba zgłaszająca żądanie ma do tego prawo, a w szczególności zweryfikować jej tożsamość, aby nie spowodować nieuprawnionego dostępu do danych. RODO wskazuje, że realizacja prawa dostępu do danych nie powinna naruszać praw lub wolności innych osób, co oznacza także, że powinieneś dopilnować, aby udzielenie informacji nie spowodowało przypadkowego ujawnienia danych także innych osób.
Z wykorzystaniem komunikacji na karcie klienta to pracownik Twojej firmy kontroluje komu udziela informacji o danych a każda taka akcja jest rejestrowana w systemie i łatwo dostępna na karcie klienta dla innych pracowników firmy. Widać więc, kiedy obowiązek prawa dostępu do danych został spełniony, z zachowaniem historii komunikacji.
W jaki sposób automatycznie zbierać zgody na przetwarzanie danych osobowych i żądania bycia zapomnianym
Ważne jest spełnienie następujących warunków dotyczących zbierania i przetwarzania zgód, które dotyczą systemów informatycznych:
1. Jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.
2. Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie.
W systemie LucidCRM zgody można zbierać na różne sposoby, choć największe ułatwienie wprowadza tu funkcjonalność formularzy - administrator systemu wystawia skonfigurowany przez siebie formularz, który udostępnia na stronie i jest on od tej pory dostępny do wypełnienia publicznie przez dowolną osobę, bądź też przesyła go do wypełnienia w mailu / kampanii mailingowej. Specjalne pole oznaczone w formularzu jako zgoda zostanie po wypełnieniu formularza automatycznie przypisane do klienta. Możesz również zbierać same kontakty (leady), które jeśli będą oznaczone dedykowaną zgodą na przetwarzanie danych osobowych, pozwolą na automatyczne utworzenie kontrahenta a nie jedynie kontaktu. W ten sposób budujesz od razu bazę potencjalnych klientów, którzy udzielili już zgody na przetwarzanie swoich danych osobowych, albo nawet na wysyłkę dedykowanej kampanii mailingowej. Udostępniony formularz pozwoli również na np. zdjęcie / anulowanie zgody przez klienta albo wypisanie się z kampanii mailingowej, jeśli wyrazi on taką wolę.
Funkcjonalność formularzy pozwala na zbieranie także zgłoszeń od klientów na wypadek chęci bycia zapomnianym. Wypełniony formularz stworzy w systemie zgłoszenie, które potem obsłuży pracownik i wykasuje dane klienta na jego żądanie.