GDPR za salone in storitvena podjetja

Salon, masažni studio ali druga storitvena dejavnost obdeluje osebne podatke ves dan: ime in telefon za termin, zgodovino obiskov, v nekaterih dejavnostih pa tudi podatke o zdravju. GDPR takšne obdelave ne prepoveduje, zahteva pa, da za vsak namen poznate pravno podlago, zbirate le potrebne podatke in posameznika jasno obvestite o obdelavi.

Ta članek ni pravni nasvet. Je praktičen okvir za pogovor z računovodjo, pravnikom in ponudnikom programske opreme.

Za termin privolitev praviloma ni prava privzeta podlaga

Ko stranka rezervira storitev, potrebujete določene podatke zato, da lahko rezervacijo izvedete. GDPR pozna več pravnih podlag; privolitev je le ena od njih. Pri običajnem naročanju lahko glede na konkretni proces pride v poštev izvajanje pogodbe oziroma ukrepov pred sklenitvijo pogodbe. Pri izdaji in hrambi računov lahko obdelava temelji na zakonski obveznosti.

Pomembno je, da podlage ne izberete zato, ker je tehnično najlažje dodati kljukico. Evropski odbor za varstvo podatkov poudarja, da mora organizacija za vsak namen določiti ustrezno podlago in posamezniku pojasniti, kaj z njegovimi podatki počne.

Zdravstveni podatki potrebujejo dodatno presojo

Podatek o alergiji, diagnozi, nosečnosti ali poškodbi je lahko podatek o zdravju in s tem posebna vrsta osebnih podatkov po 9. členu GDPR. Za takšne podatke ni dovolj samo pravna podlaga iz 6. člena: izpolnjen mora biti tudi eden od posebnih pogojev iz 9. člena.

Izrecna privolitev je ena od možnosti, ni pa edina. Pri nekaterih zdravstvenih dejavnostih lahko pridejo v poštev druge zakonske izjeme. Zato ne uporabljajte splošnega pravila »za zdravstveni podatek vedno potrebujem privolitev«, ampak preverite konkretno dejavnost in namen.

Enako velja za fotografije pred in po storitvi. Fotografija je osebni podatek, za njeno javno objavo pa potrebujete jasno določeno pravno podlago in transparentno obvestilo. Namen »shraniti v kartoteko« ni isti kot namen »objaviti na Instagramu«.

Opomnik ni isto kot marketinška kampanja

Pri komunikaciji ločite sporočila, ki se nanašajo na že obstoječo rezervacijo, od sporočil, katerih namen je prodaja nove storitve.

Za neposredno trženje prek e-pošte in SMS veljajo poleg GDPR tudi pravila ZEKom-2. Praviloma je potrebno predhodno soglasje, zakon pa pozna tudi omejeno izjemo za elektronski naslov obstoječega kupca za trženje podobnih izdelkov ali storitev, če je zagotovljena jasna in enostavna možnost zavrnitve. Zato je trženjska kljukica ločena od same izvedbe rezervacije.

Več o praktični ločitvi transakcijskih sporočil in opomnikov je na strani SMS in e-poštni opomniki.

Hramba: določite namen in rok, ne enega roka za vse

GDPR uporablja načelo omejitve hrambe: podatkov ne hranite dlje, kot je potrebno za namen, zaradi katerega jih obdelujete. To ne pomeni, da imajo vsi podatki isti rok.

1. Računi in davčne evidence. Roke določajo davčni in računovodski predpisi.
2. Zgodovina terminov in zapiski o stranki. Rok mora biti utemeljen z namenom, zaradi katerega jih potrebujete; pri reguliranih dejavnostih lahko veljajo posebni predpisi.
3. Podatki za trženje. Upoštevajte podlago, pravico do ugovora oziroma preklic privolitve in posebna pravila komunikacijskega kanala.

V praksi je koristno imeti zapisano politiko hrambe po kategorijah podatkov in postopek, kaj se zgodi po izteku roka.

Kaj preveriti pri ponudniku spletnega programa

Če ponudnik programske opreme osebne podatke obdeluje v vašem imenu, je za to obdelavo praviloma pogodbeni obdelovalec. GDPR zahteva pogodbo ali drug pravni akt z vsebino iz 28. člena. Pred uporabo preverite predvsem:

1. Pogodbo o obdelavi podatkov (DPA). Kaj sme obdelovalec s podatki početi in po čigavih navodilih.
2. Podobdelovalce. Kateri drugi ponudniki sodelujejo pri gostovanju, sporočilih ali drugih delih storitve.
3. Lokacijo in prenose podatkov. Ali podatki zapuščajo EGP in na kateri podlagi.
4. Varnostne ukrepe. Kako ponudnik varuje dostop, kopije, prenose in incidente.
5. Pomoč pri pravicah posameznika. Kako boste podatke našli, izvozili, popravili ali izbrisali, kadar je zahteva utemeljena.

Pri Calendri so pogodba o obdelavi podatkov in seznam podobdelovalcev javno dostopni. To je uporaben kriterij tudi pri primerjavi drugih ponudnikov.

Pravice strank niso samo pravica do izbrisa

GDPR posameznikom daje več pravic, med drugim pravico do obveščenosti, dostopa, popravka, v določenih primerih izbrisa, omejitve, prenosljivosti in ugovora. Te pravice ne veljajo vedno na enak način za vsako pravno podlago.

Praktični cilj je, da znate hitro ugotoviti, katere podatke o določeni osebi hranite in zakaj. Če so podatki razpršeni po zvezku, telefonu, e-pošti in več preglednicah, je tak postopek težji, kot če so zbrani na enem mestu v upravljanju strank. Več o postopku pri Calendri je na strani Pravice posameznikov.

Trije preverljivi koraki za ta teden

Najprej zapišite, katere podatke potrebujete za rezervacijo in na kateri pravni podlagi jih obdelujete. Nato ločite transakcijska sporočila od neposrednega trženja in preverite pravila za e-pošto oziroma SMS. Na koncu poiščite DPA svojega trenutnega ponudnika ter preverite seznam podobdelovalcev in prenose izven EGP.

Viri in dodatno branje

• EDPB: zakonita obdelava osebnih podatkov
• EDPB: pravice posameznikov
• EDPB: upravljavec ali obdelovalec
• Informacijski pooblaščenec: neželena komunikacija in neposredno trženje
• Informacijski pooblaščenec: obveznosti upravljavca in ZEKom-2