Datatilsynets bøde til Elkjøp/Elgiganten på 20 millioner norske kroner viser, hvor alvorlige konsekvenser det kan have, når samtykker, databehandling og dokumentation ikke er tilstrækkeligt styret.
Men sagen bør ikke kun læses som en historie om én virksomheds fejl.
Den bør ses som et eksempel på en bredere udfordring for mange store virksomheder: Kundedata bruges på tværs af systemer, kanaler og formål, og jo mere kompleks forretningen bliver, desto sværere bliver det at sikre, at data behandles korrekt.
Det er netop derfor, GDPR ikke kun bør betragtes som jura, men som et forretningskritisk projekt.
De fleste GDPR-fejl skyldes ikke dårlige intentioner
Langt de fleste virksomheder ønsker at behandle kundedata korrekt. De har ofte teams, processer, interne politikker og systemer, der har til formål at skabe kontrol og sikkerhed.
Alligevel opstår fejl.
Ikke nødvendigvis i et forsøg på at omgå reglerne, men fordi virkeligheden er kompleks. En moderne kunderejse går ofte på tværs af e-commerce, CRM, marketing, apps, butikker og kundeservice, hvor hvert system har sin egen datamodel, regler og måde at håndtere samtykker og profiler på.
Det betyder, at én kunde kan eksistere flere steder på én gang, hvor samtykker, profiler og præferencer ikke altid er opdateret eller synkroniseret korrekt.
Fragmenterede kundedata skaber reel forretningsrisiko
For mange virksomheder er kundedata blevet et af de vigtigste aktiver. Data bruges til personalisering, loyalitetsprogrammer, segmentering, kampagner, service, analyser og automatiseret kommunikation.
Men værdien af data afhænger af, om virksomheden faktisk har styr på dem.
Hvis samtykker og profiler ligger spredt, bliver det svært at svare sikkert på grundlæggende spørgsmål:
- Hvilke data har vi om kunden, og hvor kommer de fra?
- Hvad har kunden givet samtykke til, og hvilke formål må vi bruge dataene til?
- Hvordan sikrer vi, at ændringer slår igennem i alle relevante systemer?
Uden et samlet overblik bliver compliance hurtigt afhængig af manuelle processer, fortolkninger og tekniske workarounds. Det kan fungere i en periode, men skalerer dårligt i organisationer med mange kontaktpunkter, afdelinger og markeder.
Det er her – i mellemrummene mellem systemerne – at risikoen især opstår.
Compliance kræver governance – ikke kun gode intentioner
GDPR-compliance handler ikke kun om de rigtige tekster, politikker og juridiske vurderinger. Det handler om at kunne omsætte reglerne til praksis i hverdagen.
Det kræver governance.
Governance betyder, at virksomheden har klare regler for, hvordan kundedata oprettes, opdateres, bruges, dokumenteres og slettes. Det sikrer, at ansvar ikke forsvinder mellem afdelinger, og at systemerne understøtter organisationens beslutninger.
For større virksomheder bør central governance især omfatte fire områder:
1️⃣ Samlet overblik over kundeprofiler, så kunden kan identificeres entydigt, og dubletter undgås.
2️⃣ Central håndtering af samtykker og præferencer, så det er klart, hvad kunden har accepteret.
3️⃣ Operationalisering af retention-regler, så slettefrister kan håndhæves på tværs af systemer.
4️⃣ Tilgængelig dokumentation, så beslutninger, processer og datagrundlag kan redegøres for.
RubiqCloud: Et centralt fundament for samtykker og profiler
RubiqCloud er udviklet til virksomheder, der har brug for en central samtykke- og præferencemaster. Ikke som endnu et system, men som et lag, der er designet til at skabe sammenhæng mellem CRM, CDP, marketing automation og kundeservice.
Med RubiqCloud kan virksomheden skabe et centralt overblik over kunders samtykker, præferencer og tilladte dataanvendelse. Samtidig kan samtykker og kundeprofiler holdes opdaterede på tværs af kanaler og systemer, så hele organisationen arbejder ud fra samme datagrundlag.
Det reducerer risikoen for fejlkommunikation, manglende dokumentation og usikker brug af kundedata.
Men værdien ligger ikke kun i at undgå compliance-risiko. Når datagrundlaget er struktureret og pålideligt ligger værdien især i at:
- Kommunikation bliver mere relevant
- Kundeoplevelsen bliver mere gennemsigtig
- Kundeservice får et bedre kundeoverlik
- Marketing bliver mere målrettet
Fra juridisk krav til forretningskritisk fundament
Den vigtigste læring fra sager som Elkjøps er ikke, at virksomheder skal være bange for at bruge kundedata. Tværtimod.
Men data skal kunne styres, dokumenteres og aktiveres korrekt. Derfor bør samtykke og compliance ikke først tænkes ind til sidst i et projekt, men være en del af fundamentet.
Når GDPR kun placeres i juridisk afdeling, risikerer det at blive et kontrolpunkt.
For store virksomheder med mange systemer, kanaler og markeder er spørgsmålet derfor ikke, om GDPR er vigtigt, men om virksomheden har den datastyring, der gør det muligt at leve op til reglerne i praksis.
Det er et forretningskritisk fundament.