Asiakasrekisteri ja GDPR: mitä pieni yritys saa tallentaa ja kuinka kauan

Lyhyt vastaus

Asiakasrekisteriin saa GDPR:n eli EU:n tietosuoja-asetuksen mukaan tallentaa ne tiedot, jotka ovat tarpeen asiakassuhteen hoitamiseen, kun käsittelylle on laillinen peruste. Suostumus on vain yksi peruste, ja asiakassuhteessa peruste on usein sopimus, oikeutettu etu tai lakisääteinen velvoite. Tietoja säilytetään vain niin kauan kuin niitä tarvitaan, paitsi ne, jotka laki velvoittaa säilyttämään, kuten kirjanpitoaineisto.

Kun asiakas pyytää tietonsa tai niiden poistamista, sinun pitää vastata ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa. Jos kaikkea ei voi poistaa, kerrot miksi.

Tämä koskee pientäkin yritystä ja jokaista paikkaa, jossa asiakastietoja on: asiakasjärjestelmää, taulukkoa, sähköpostia, puhelinta ja paperikansiota.

Mitä tietoja asiakkaista saa tallentaa?

Asiakkaista saa tallentaa tietoja, jotka ovat tarpeen siihen tarkoitukseen, jota varten niitä kerätään. Tarkoitus päätetään ensin ja tiedot vasta sen jälkeen. Tietosuojavaltuutetun toimiston käsittelyperusteita koskevan ohjeen mukaan esimerkiksi sopimukseen perustuva käsittely pitää rajata vain välttämättömiin henkilötietoihin.

Käytännössä pienen palveluyrityksen asiakasrekisteriin riittää usein nimi, yhteystieto, jolla asiakas tavoitetaan, ostetut palvelut tai tuotteet, varaushistoria ja laskutukseen tarvittavat tiedot. Yritysasiakkaista tallennetaan yrityksen tiedot ja yhteyshenkilön työyhteystiedot.

Kaikki muu vaatii perustelun. Syntymäaika, kotiosoite, henkilötunnus tai tieto perheestä ei ole automaattisesti tarpeen, vaikka se olisi kätevä. Jos et osaa sanoa, mihin tietoa käytät, sitä ei kannata kerätä.

Erityistä varovaisuutta vaativat terveystiedot. Tietosuojavaltuutetun toimiston mukaan erityisten henkilötietoryhmien, kuten terveyttä koskevien tietojen, käsittely on lähtökohtaisesti kiellettyä, ellei siihen ole säädetty poikkeusta. Asiakaskortin merkintä allergiasta tai vaivasta on terveystieto, joten sen tallentaminen pitää selvittää erikseen.

Vapaat muistiinpanot ovat riskialtein kenttä

Asiakasjärjestelmän vapaa tekstikenttä on käytännöllinen ja vaarallinen. Siihen kirjoitetaan asioita, joita ei kirjoitettaisi mihinkään muuhun kenttään: arvioita asiakkaan käytöksestä, maksukyvystä tai terveydestä.

Muistiinpanot ovat henkilötietoja siinä missä nimi ja puhelinnumero. Jos asiakas pyytää nähdä tietonsa, hänelle toimitetaan jäljennös käsiteltävistä henkilötiedoista, ja siihen kuuluvat myös muistiinpanot.

Hyvä sääntö on kirjoittaa muistiinpanot niin kuin asiakas lukisi ne. ”Haluaa ajan aamupäivisin” ja ”toimitus takaoven kautta” ovat hyviä. Mielipiteet ja arviot ihmisestä eivät kuulu rekisteriin.

Tarvitaanko asiakkaan suostumus?

Ei aina. Henkilötietojen käsittelyyn tarvitaan laillinen peruste, ja tietosuoja-asetuksessa perusteita on kuusi. Suostumus on yksi niistä. Tietosuojavaltuutetun toimiston ohjeen mukaan peruste on määritettävä ennen käsittelyn aloittamista, eikä sitä voi myöhemmin vaihtaa toiseen.

Pienen yrityksen asiakassuhteessa tavallisia perusteita ovat sopimus, oikeutettu etu ja lakisääteinen velvoite. Kun asiakas tilaa tuotteen, varaa ajan tai tekee sopimuksen, hänen tietojaan saa käsitellä sopimuksen täyttämiseksi. Toimiston ohjeessa mainitaan myös, että oikeutettu etu voi tulla kyseeseen, kun henkilön ja yrityksen välillä on merkityksellinen suhde, esimerkiksi kun henkilö on yrityksen asiakas. Oikeutetun edun käyttö edellyttää niin sanottua tasapainotestiä.

Tietosuojavaltuutettu on käsitellyt tapauksen, jossa optikkoliikkeen asiakas vaati tietojensa poistamista, koska ei ollut antanut suostumusta niiden tallentamiseen. Liike oli käsitellyt tietoja sopimuksen ja oikeutetun edun perusteella, ja tietosuojavaltuutettu totesi, että suostumus on vain yksi mahdollinen peruste ja että käsittelylle oli ollut peruste.

Tapaus ei kuitenkaan päättynyt yrityksen kannalta hyvin, ja syy on opettavainen. Siitä lisää poistopyyntöjä käsittelevässä kohdassa.

Miksi suostumus on usein väärä valinta asiakastiedoille

Suostumus kuulostaa turvalliselta, mutta asiakassuhteen perustana se on hankala. Toimiston ohjeen mukaan suostumuksen on oltava vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen, se on voitava peruuttaa yhtä helposti kuin sen voi antaa, ja yrityksen on pystyttävä osoittamaan, että se on saatu.

Jos laskutus- ja varaustiedot perustuvat suostumukseen ja asiakas peruu sen, yritys joutuu tilanteeseen, jossa tiedot pitäisi lakata käsittelemästä, vaikka ne tarvitaan esimerkiksi keskeneräisen tilauksen hoitamiseen. Koska perustetta ei voi jälkikäteen vaihtaa, väärä valinta seuraa mukana.

Suostumus sopii silloin, kun asiakas voi aidosti valita, eikä valinta vaikuta palvelun saamiseen. Tyypillisiä esimerkkejä ovat asiakkaan kuvan käyttö markkinoinnissa ja vapaaehtoiset lisätiedot, joita palvelu ei tarvitse.

Markkinointi asiakasrekisteristä

Markkinointi on oma kysymyksensä, koska siitä säädetään myös sähköisen viestinnän palveluista annetussa laissa. Lain 200 §:n mukaan sähköpostilla, tekstiviestillä ja vastaavilla keinoilla tehtyä suoramarkkinointia saa kohdistaa luonnollisiin henkilöihin vain, jos he ovat antaneet siihen ennalta suostumuksensa.

Laissa on asiakkaita koskeva poikkeus. Jos yritys saa asiakkaalta sähköposti- tai puhelinyhteystiedon tuotteen tai palvelun myynnin yhteydessä, se voi käyttää tietoa omien samaan tuoteryhmään kuuluvien tai muuten vastaavien tuotteiden ja palvelujen markkinointiin. Asiakkaalle on annettava mahdollisuus kieltää käyttö helposti ja maksutta sekä tiedon keräämisen yhteydessä että jokaisessa viestissä.

Yrityksille lähetettävää suoramarkkinointia lain 202 § sallii, ellei vastaanottaja ole kieltänyt sitä, ja kieltomahdollisuus on annettava jokaisessa viestissä. Tarkemmin markkinointiluvista kerrotaan artikkelissa sähköpostimarkkinointi ja markkinointilupa.

Kuinka kauan asiakastietoja saa säilyttää?

Asiakastietoja saa säilyttää niin kauan kuin ne ovat tarpeen siihen tarkoitukseen, jota varten ne kerättiin. Tietosuoja-asetuksessa ei ole määritelty tarkkoja säilytysaikoja, joten yrityksen pitää itse arvioida, perustella ja dokumentoida ne.

Säilytysaikaa ei siis voi jättää auki. Tietosuojavaltuutetun toimiston mukaan henkilötietoja saa säilyttää tunnistettavassa muodossa vain niin kauan kuin se on tarpeen käsittelyn tarkoitusta varten. Kun peruste päättyy, tiedot poistetaan tai muutetaan muotoon, josta henkilöä ei voi tunnistaa.

Käytännössä säilytysaika johdetaan asiakassuhteesta. Aktiivisen asiakkaan tiedot säilytetään asiakkuuden ajan. Kun asiakkuus on päättynyt, pitää päättää, kuinka kauan tietoja vielä tarvitaan esimerkiksi takuiden, reklamaatioiden tai mahdollisten vaatimusten vuoksi. Tarjouspyynnöille, joista ei tullut kauppaa, kannattaa päättää oma, lyhyempi aikansa.

Tärkeintä on, että päätös on kirjattu ja että sitä noudatetaan. Säilytysaika, joka lukee tietosuojaselosteessa mutta jota kukaan ei toteuta, on pelkkä lupaus.

Kirjanpitolaki: mitä pitää säilyttää

Osa asiakastiedoista kuuluu kirjanpitoaineistoon, ja niitä koskee kirjanpitolaki. Lain 2 luvun 10 §:n mukaan tilinpäätös, toimintakertomus, kirjanpidot, tililuettelo sekä luettelo kirjanpidoista ja aineistoista on säilytettävä vähintään 10 vuotta tilikauden päättymisestä.

Tilikauden tositteet, liiketapahtumia koskeva kirjeenvaihto ja muu kirjanpitoaineisto on säilytettävä vähintään kuusi vuotta sen vuoden lopusta, jonka aikana tilikausi päättyi, jollei muualla laissa säädetä pidemmästä ajasta.

Säilytysvelvollisuus koskee kirjanpitoaineistoa, kuten laskuja ja kuitteja, ei koko asiakasrekisteriä. Se, että asiakkaan lasku säilytetään kuusi vuotta, ei tarkoita, että hänen puhelinnumeronsa ja muistiinpanonsa pitäisi säilyttää yhtä kauan.

Siksi kirjanpito ja asiakasrekisteri kannattaa pitää eri paikoissa tai ainakin niin, että asiakastiedot voi poistaa ilman, että kirjanpitoaineisto katoaa.

Säilytysajat taulukkona

Kirjaa säilytysajat taulukkoon, jonka voi liittää sekä omaan dokumentaatioon että tietosuojaselosteen pohjaksi. Rakenne voi olla tällainen:

Taulukon perusteet ovat esimerkkejä, eivät valmis ratkaisu. Jokaisen rivin kohdalla peruste valitaan oman toiminnan mukaan ennen käsittelyn aloittamista.

Kelpaako Excel asiakasrekisteriksi?

Kelpaa, jos se hoidetaan huolellisesti. Tietosuojavaltuutetun toimiston mukaan tietosuoja-asetus suojaa henkilötietoja riippumatta siitä, mitä tekniikkaa käsittelyssä käytetään, eikä tietojen säilytystavalla ole merkitystä. Sama sääntö koskee taulukkoa, asiakasjärjestelmää ja paperikansiota.

Taulukon ongelma ei ole laissa vaan käytännössä. Tiedosto kopioituu sähköpostin liitteeksi, omalle koneelle ja muistitikulle, ja jokaisesta kopiosta tulee oma rekisterinsä. Käyttöoikeuksia on vaikea rajata, muutoksista ei jää jälkeä, ja poistopyynnön tullessa kukaan ei tiedä, montako versiota tiedostosta on olemassa.

Jos pysyt taulukossa, pidä siitä yksi versio yhdessä paikassa, jossa pääsy on rajattu ja salasana suojattu, ja lisää sarakkeet sille, milloin asiakkuus päättyi ja milloin tiedot poistetaan. Kun asiakkaita, käyttäjiä tai järjestelmiä tulee lisää, siirtymä asiakasjärjestelmään kannattaa suunnitella. Siirtymän vaiheista on oma artikkelinsa asiakastiedot Excelistä CRM:ään, ja asiakashallinnan ratkaisuissa säilytysajat ja käyttöoikeudet voidaan rakentaa järjestelmään alusta asti.

Missä asiakastiedot oikeasti ovat

Asiakasrekisteri ei ole vain se järjestelmä, jonka nimi on asiakasrekisteri. Asiakastietoja on myös sähköpostissa, puhelimen yhteystiedoissa, viestisovelluksissa, ajanvarausjärjestelmässä, laskutusohjelmassa, verkkokaupassa, uutiskirjepalvelussa ja paperikansioissa.

Tämä näkyy viimeistään silloin, kun asiakas pyytää tietojensa poistamista. Jos poistat hänet asiakasjärjestelmästä mutta hänen viestinsä ja yhteystietonsa jäävät kolmeen muuhun paikkaan, pyyntö on hoidettu vain osittain.

Tee siksi kerran lista kaikista paikoista, joissa asiakastietoja on, ja kirjaa jokaisen kohdalle, kuka sitä hoitaa. Samalla näet, mitkä paikat voisi yhdistää.

Mitä teet, kun asiakas pyytää tietonsa tai niiden poistamista?

Vastaa ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Tietosuojavaltuutetun toimiston ohjeen mukaan määräaikaa voi jatkaa enintään kahdella kuukaudella, jos pyyntöjä on paljon tai ne ovat monimutkaisia, mutta jatkaminen on perusteltava.

Kun asiakas pyytää nähdä tietonsa, hänelle toimitetaan vahvistus siitä, käsitelläänkö hänen tietojaan, ja jäljennös tiedoista. Jos pyyntö tulee sähköisesti, tiedot annetaan yleisesti käytetyssä sähköisessä muodossa, ellei hän pyydä muuta. Toimiston mukaan pelkkä viittaus tietosuojaselosteeseen ei kaikissa tapauksissa riitä, vaan tiedot kootaan juuri hänen tietojensa käsittelystä.

Oikeuksien käyttäminen on lähtökohtaisesti maksutonta. Pyyntöä ei myöskään voi hylätä sillä perusteella, että se tuli muuta kanavaa kuin yrityksen lomaketta pitkin. Suullinenkin pyyntö on pyyntö.

Henkilöllisyys varmistetaan kevyesti. Toimiston mukaan varmistuksessa noudatetaan tietojen minimoinnin periaatetta, eikä sitä varten pidä kerätä enempää tietoja kuin yrityksellä on jo. Käytännössä riittää usein, että vertaat pyytäjän tietoja rekisterissä oleviin, esimerkiksi soittamalla rekisterissä olevaan numeroon.

Poistopyyntö ei aina tarkoita kaiken poistamista

Poisto-oikeus ei ole ehdoton. Tietosuojavaltuutetun toimiston mukaan tiedot on poistettava esimerkiksi silloin, kun niitä ei enää tarvita alkuperäiseen tarkoitukseen, kun asiakas peruu suostumuksen eikä muuta perustetta ole tai kun hän vastustaa käsittelyä suoramarkkinointia varten. Poisto-oikeutta ei ole esimerkiksi silloin, kun käsittely on tarpeen oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi.

Lisäksi tieto, jonka laki velvoittaa säilyttämään, säilytetään. Kirjanpitoon kuuluvat laskut jäävät, vaikka asiakkaan markkinointitiedot ja muistiinpanot poistetaan.

Tässä kohdassa aiemmin mainittu optikkoliike kompastui. Käsittelylle oli peruste, mutta tietosuojavaltuutettu antoi yritykselle huomautuksen, koska se ei kertonut asiakkaalle riittävän selvästi, mihin toimenpiteisiin pyynnön vuoksi oli ryhdytty tai miksi tietoja ei voitu poistaa. Yritys määrättiin myös poistamaan tiedot siltä osin kuin niiden säilyttäminen ei ollut tarpeen lakisääteisen tehtävän vuoksi.

Jos kieltäydyt pyynnöstä kokonaan tai osittain, ilmoita siitä viimeistään kuukauden kuluessa, perustele kieltäytyminen ja kerro asiakkaalle mahdollisuudesta tehdä valitus valvontaviranomaiselle. Jos olet luovuttanut tietoja muille, ilmoita poistosta mahdollisuuksien mukaan myös niille.

Tee pyynnöille valmis käytäntö

Pyyntöjä tulee pienelle yritykselle harvoin, ja juuri siksi ne jäävät helposti vastaamatta. Kuukausi kuluu nopeasti, jos viesti hukkuu sähköpostiin tai vastuuhenkilö on lomalla.

Tietosuojavaltuutetun toimiston sivuilla kerrotaan Euroopan tietosuojaneuvoston hyvistä käytännöistä, joihin kuuluu sisäinen menettely, jossa pyynnöille on selkeät käsittelyvaiheet ja määräajat, sekä selvä vastuunjako pyyntöjen käsittelyssä ja dokumentoinnissa. Pienessä yrityksessä se voi olla yhden sivun ohje:

1. Kuka vastaanottaa pyynnöt ja kirjaa ne päivämäärineen.
2. Miten henkilöllisyys varmistetaan ilman uusien tietojen keräämistä.
3. Mistä kaikista paikoista tiedot haetaan tai poistetaan.
4. Mitä säilytetään lain vuoksi ja miten se perustellaan asiakkaalle.
5. Mallivastaus, jossa kerrotaan tehdyt toimenpiteet ja valitusoikeus.

Kirjaa jokainen pyyntö ja vastaus. Se on paras todiste siitä, että asia hoidettiin, jos asiakas myöhemmin kysyy.

Yhteenveto

Asiakasrekisteriin tallennetaan tiedot, jotka ovat tarpeen asiakassuhteen hoitamiseen, ja jokaiselle käsittelylle valitaan peruste ennen aloittamista. Suostumus on vain yksi peruste, ja asiakassuhteessa sopimus, oikeutettu etu tai lakisääteinen velvoite on usein oikeampi.

Säilytysajat päätetään ja kirjataan itse, koska tietosuoja-asetus ei anna valmiita aikoja. Kirjanpitoaineistolle kirjanpitolaki asettaa vähimmäisajat, mutta ne eivät koske koko asiakasrekisteriä.

Asiakkaan pyyntöön vastataan kuukauden kuluessa, ja jos kaikkea ei voi poistaa, kerrotaan miksi. Työkalu, oli se taulukko tai asiakasjärjestelmä, ratkaisee vain sen, kuinka helppoa tämä on.