Håll personuppgifter borta från offentliga kommentarer

Be inte kunder att skriva personuppgifter som namn, adress, ordernummer, telefonnummer eller betalningsuppgifter i ett offentligt kommentarsfält. Om sådana uppgifter ändå publiceras, upprepa dem inte. Hjälp kunden vidare och bedöm hur exponeringen kan begränsas utan att klagomålet tas bort från handläggningen.

Känn igen uppgifter som kan identifiera någon

Personuppgifter inkluderar namn, adress, e-postadress, telefonnummer, bilder och betalningsuppgifter. En enstaka uppgift som inte identifierar någon kan göra det i kombination med andra. Hantera till exempel ordernummer varsamt om företaget kan koppla det till en kund.

En regel för öppna svar: be inte om fler personuppgifter och beskriv inte kundens personliga ärende. Visa i stället hur kunden når kundservice.

När uppgifterna redan ligger öppet

Citera inte kommentaren och sprid inte uppgifterna via skärmbilder. Bedöm om kommentaren kan döljas eller tas bort med kontots modereringsverktyg. Om det inte går, kontakta kunden eller plattformen. Visa samtidigt var kunden kan fortsätta ärendet.

Innehåller kommentaren ett sakligt klagomål, spara bara de uppgifter som krävs för handläggning i företagets behörighetsstyrda ärendehantering. Ta inte bort kritik bara för att den är obekväm. Skilj på att minska exponering av personuppgifter och att besvara kundens problem.

När en kund själv publicerar personuppgifter måste företaget göra en bedömning av om det är en personuppgiftsincident, enligt IMY:s vägledning om hantering av personuppgiftsincidenter. Om en medarbetare felaktigt har röjt kunduppgifter måste företaget bedöma händelsen enligt sin incidentrutin. Inträffade incidenter ska dokumenteras, och riskbedömningen avgör om anmälan krävs.

Viktiga fakta om personuppgifter enligt GDPR i Sverige

Svara utan att återge uppgifterna

Anta att en kund skriver att ett paket saknas och publicerar ordernummer och adress. Ett öppet svar kan vara: ”Vi vill hjälpa dig att undersöka leveransen. Kontakta kundservice via vår officiella webbplats. Vi ser också över uppgifterna i kommentaren.” Svaret upprepar inga detaljer och lovar inget leveransbesked.

I kundservicekanalen måste företaget avgöra vilka uppgifter som behövs för att hitta ärendet och vem som får se svaret. Även där ska personuppgifter skyddas mot obehörig åtkomst.

Förebygg nya publiceringar

Om gränssnittet tillåter, visa intill kommentarsfältet att personliga orderuppgifter ska lämnas via kundservice. Se över standardsvar och schemalagda inlägg så att de inte uppmanar kunder att publicera sådana uppgifter. Fortsätter samma typ av uppgifter att dyka upp, gör instruktionen tydligare.