Nøglepunkter
- Compliance er et delt ansvar. Du er normalt dataansvarlig, og udbyderen behandler data på dine vegne som databehandler.
- Samtykke, beskedens indhold og dit behandlingsgrundlag forbliver dit ansvar som afsender.
- Reglerne for SMS varierer fra land til land og ændrer sig. Udbyderen kan håndtere lokale krav som registrering af afsender, men ikke tage dit ansvar for samtykke og indhold.
- ZafeConnect er et dansk selskab, der arbejder under GDPR. Hosting, certificeringer og underdatabehandlere gennemgår vi i en sikkerhedsgennemgang.
Kan en SMS-udbyder give dig fuld compliance med GDPR?
Ikke alene. Compliance er ikke en egenskab, du køber, men et ansvar, der er delt. Du bestemmer, hvorfor og hvordan modtagernes oplysninger bruges, og er derfor som regel den dataansvarlige. Udbyderen behandler oplysningerne på dine vegne.
| Område | Dit ansvar som afsender | Udbyderens rolle |
|---|---|---|
| Samtykke og behandlingsgrundlag | At have et behandlingsgrundlag og til markedsføring et forudgående samtykke, som du kan dokumentere | Behandler data efter dine instrukser |
| Beskedens indhold | At beskeden er lovlig, og at afsenderen kan genkendes | Kundevilkår med en regel om acceptabel brug (Acceptable Use Policy) |
| Databehandling | At indgå en databehandleraftale med en udbyder, du kan stå inde for | Behandler data på dine vegne efter aftalen |
| Lokale regler i dine lande | At kende reglerne for indhold, samtykke og tidspunkter | Håndterer lokale regulatoriske krav, fx registrering af afsender |
Hvad forventes der af en afsender i Danmark og EU?
Generelt er et telefonnummer, der kan knyttes til en person, en personoplysning efter GDPR. Databeskyttelsesreglerne findes i GDPR og den danske databeskyttelseslov, og Datatilsynet fører tilsyn. Markedsføringsreglerne hører under Forbrugerombudsmanden.
- Et behandlingsgrundlag for hver type besked. En ordrebekræftelse er noget andet end en kampagne.
- Markedsføring pr. SMS kræver som udgangspunkt forudgående samtykke (markedsføringsloven § 10), med begrænsede undtagelser.
- En nem måde at melde sig fra på, og dokumentation for, hvem der har givet samtykke, hvornår og til hvad.
- En databehandleraftale med din udbyder.
- En plan for at finde og slette en persons data, når vedkommende beder om det.
Hvad gælder, når du sender til andre lande?
Reglerne for SMS er forskellige fra land til land, og de ændrer sig. Brud kan betyde blokeret trafik eller sanktioner. Det handler typisk om fire ting:
- Afsendernavne: registrering og brug af lokale numre
- Indhold: Mange lande regulerer fx finansielle, sundhedsrelaterede eller reklamerende beskeder, og nogle kræver, at afsenderen kan identificeres
- Samtykke og afmelding: Reklamebeskeder kræver generelt samtykke og en nem måde at melde sig fra på, mens transaktionsbeskeder følger andre regler
- Tidspunkter og trafiktyper: Nogle lande begrænser, hvornår du må sende, eller kræver, at trafiktyper eller brugsscenarier registreres, før du sender
Hvad bør du spørge en udbyder om?
- Hvem har ansvaret for hvad: samtykke, indhold og lokale regler?
- Kan jeg få en databehandleraftale, og hvilke underdatabehandlere indgår?
- Hvor behandles og opbevares data, og hvordan er de beskyttet?
- Hvilke certificeringer eller revisioner kan I dokumentere?
- Hvordan opdager, håndterer og meddeler I sikkerhedshændelser?
- Hvem håndterer registreringer, og hvordan får jeg besked, når lokale regler ændrer sig?
Hvad oplyser ZafeConnect om databeskyttelse?
- ZafeConnect ApS er et dansk selskab (CVR 39532905) og arbejder under GDPR.
- Du som kunde bestemmer, hvorfor og hvordan modtagernes oplysninger bruges. ZafeConnect behandler dem på dine vegne, og en databehandleraftale beskriver, hvordan personoplysninger håndteres.
- Kundevilkårene indeholder en Acceptable Use Policy.
- Hosting og datalokation, kryptering og adgangskontrol, underdatabehandlere og certificeringer samt håndtering af hændelser gennemgår vi i en sikkerhedsgennemgang med dit team.
Hvordan ZafeConnect passer ind
ZafeConnect håndterer lokale regulatoriske krav for de lande, du sender til, så du taler med ét team og ikke med regulatorer i hvert land. Du beholder ansvaret for samtykke og beskedens indhold.
Send dit spørgeskema eller dine krav, så gennemgår vi dem med dig. Siden om sikkerhed og databeskyttelse (på engelsk) har de enkelte punkter.