Kunduppgifter i franchise: fördela GDPR-ansvaret före start

När ditt befintliga företag blir en franchisegemenskap förändras förutsättningarna för kunduppgifter. Ett register som tidigare användes inom ett företag kan behöva hanteras av flera självständiga företag. Innan den första franchisetagaren får tillgång till bokningar, köphistorik eller kontaktuppgifter behöver ni bestämma vem som får göra vad – och varför. Ett gemensamt varumärke innebär inte automatiskt rätt att dela personuppgifter.

1. Kartlägg uppgifterna innan du väljer system

Börja med kundens väg genom verksamheten, inte med systemleverantörens funktioner. Följ exempelvis en bokning från webbplatsen till den lokala enheten, betalningen och eventuell uppföljning. Skriv ned vilka personuppgifter som samlas in, vilka företag som får tillgång till dem och vad varje företag använder dem till.

Gör en enkel arbetslista med följande kolumner:

• Situation: exempelvis bokning, leverans eller medlemskap.
• Uppgifter: exempelvis namn, kontaktuppgifter och köphistorik.
• Ändamål: det konkreta skälet till behandlingen.
• Mottagare: vilka företag eller leverantörer som får uppgifterna.
• Lagring: var uppgifterna finns och när de ska raderas.

Skilj mellan sådant som behövs för att leverera kundens beställning och sådant som ni vill använda för andra syften. Central analys, lokala erbjudanden och ett gemensamt lojalitetsprogram är inte självklart samma behandling.

Fråga också om franchisegivaren verkligen behöver identifierbara kunduppgifter. För viss uppföljning kan sammanställda uppgifter utan möjlighet att identifiera kunder räcka. Det minskar både riskerna och behovet av åtkomst till lokala kundregister.

2. Bestäm GDPR-rollen för varje behandling

EU:s dataskyddsförordning, GDPR, gäller även inom en franchisegemenskap och kompletteras i Sverige av bland annat lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Rollen avgörs av hur behandlingen faktiskt organiseras, inte enbart av vad franchiseavtalet kallar parterna.

Den som bestämmer ändamålen och de väsentliga medlen för behandlingen är personuppgiftsansvarig. Ett personuppgiftsbiträde behandlar i stället uppgifter för den ansvariges räkning och enligt dennes instruktioner.

En franchisetagare kan exempelvis vara personuppgiftsansvarig för sin egen kundadministration. Om franchisegivaren enbart hanterar dessa uppgifter på franchisetagarens dokumenterade instruktioner kan franchisegivaren vara biträde för just den behandlingen. Att franchisegivaren tillhandahåller systemet räcker däremot inte för att avgöra rollen.

Om parterna gemensamt bestämmer ändamål och medel kan de vara gemensamt personuppgiftsansvariga. Då krävs ett arrangemang som fördelar skyldigheterna enligt GDPR. Om parterna är självständigt ansvariga måste ett utlämnande mellan dem också ha rättsligt stöd.

Gör därför bedömningen per behandling, inte per företag. Samma företag kan ha olika roller för bokningar, support och ett lojalitetsprogram. Dokumentera även rättslig grund och vilken information kunden ska få. Samtycke är inte en generell lösning på all delning av kunduppgifter.

3. Gör ansvar och systemkrav tydliga före avtal

Sverige har en särskild lag för franchise: lag (2006:484) om franchisegivares informationsskyldighet. Den kräver att franchisegivaren i god tid före avtal lämnar klar och begriplig skriftlig information om avtalets innebörd och andra relevanta förhållanden. Sverige har däremot ingen heltäckande franchiselag som ersätter exempelvis avtalsrätten eller dataskyddsreglerna.

Om franchisetagaren måste köpa eller hyra ett visst kundsystem är det relevant för lagens krav på information om obligatoriska varor och tjänster. Systemavgifter och andra ekonomiska villkor ska också beskrivas tydligt. Den informationen ersätter inte GDPR-dokumentationen.

Förbered därefter handlingar utifrån de roller ni har identifierat. En biträdesrelation kräver ett personuppgiftsbiträdesavtal enligt GDPR. Gemensamt personuppgiftsansvar kräver ett annat slags arrangemang; använd inte samma standardmall för båda situationerna.

Dokumentera också praktiska frågor: vem besvarar kundens begäran om tillgång eller radering, vem kontaktar systemleverantören och vem bedömer en personuppgiftsincident? Bestäm hur uppgifter ska hanteras när samarbetet upphör. En avtalsklausul om att någon ”äger kundregistret” avgör inte vilka behandlingar som är tillåtna enligt GDPR.

4. Testa behörigheter och kundärenden före öppning

Genomför ett test med påhittade kunduppgifter innan den första franchiseenheten ansluts. Kontrollera att en lokal användare bara ser de uppgifter som behövs för arbetsuppgiften. Testa även centrala supportkonton och hur åtkomsten stängs när någon slutar.

Öva på tre situationer:

• En kund begär tillgång till sina personuppgifter.
• Ett meddelande med kunduppgifter skickas till fel mottagare.
• En franchisetagare lämnar gemenskapen och behöver avsluta sin systemåtkomst.

Följ varje ärende från upptäckt till dokumenterat avslut. Finns en ansvarig person, en kontaktväg och tillräcklig information för att agera inom tillämpliga tidsfrister? Kontrollera även att leverantörens rutiner stödjer era beslut om säkerhet och radering.

Praktisk slutsats: Ge inte den första franchisetagaren tillgång till kundsystemet förrän dataflöden, GDPR-roller, nödvändiga avtal och behörigheter är dokumenterade och testade. Det ger franchisegemenskapen en tryggare start och kunden ett tydligare ansvar att vända sig till.