GDPR za salone in storitvena podjetja

Salon, masažni studio ali ambulanta obdeluje osebne podatke ves dan: ime in telefon za termin, zgodovino storitev, včasih tudi podatke o zdravstvenem stanju. GDPR tega ne prepoveduje. Zahteva le, da za vsako obdelavo veste, na kateri pravni podlagi jo izvajate.

Ta članek ni pravni nasvet. Je praktičen okvir, s katerim boste znali postaviti prava vprašanja svojemu ponudniku programa in svojemu pravniku.

Za termine privolitve ne potrebujete

Najpogostejša napaka je zbiranje privolitve za nekaj, za kar privolitev ni prava podlaga. Ko stranka rezervira termin, sklenete pogodbeno razmerje. Obdelava imena, telefona in podatka o storitvi je potrebna za izvedbo te pogodbe, zato dodatna privolitev ni potrebna in bi bila celo zavajajoča, ker privolitev lahko stranka kadar koli prekliče, termina pa brez podatkov ne morete izvesti.

Enako velja za račune. Te hranite zaradi zakonske obveznosti, ne zaradi privolitve.

Kdaj privolitev res potrebujete

Privolitev je prava podlaga v treh primerih:

• Oglasna sporočila. Sporočilo z akcijo ali vabilo na nov termin ni del izvedbe rezervacije. Za to potrebujete ločeno, prostovoljno privolitev, ki mora biti tudi preklicna.
• Zdravstveni in drugi občutljivi podatki. Alergije, diagnoze, nosečnost, poškodbe. Te podatke smete hraniti, če imate izrecno privolitev ali drugo ustrezno podlago za zdravstvene dejavnosti.
• Fotografije stranke. Slike pred in po storitvi so osebni podatek. Za objavo na družbenih omrežjih potrebujete ločeno privolitev, ne le za shranjevanje.

Ključno je, da so te privolitve ločene. Ena skupna kljukica za vse ne velja.

Kaj je opomnik in kaj oglas

Meja je uporabna in preprosta: sporočilo, ki se nanaša na že rezerviran termin, je del izvedbe storitve. Sporočilo, ki poskuša ustvariti nov termin, je oglas.

Zato je pomembno, da program ločuje transakcijska sporočila od kampanj. Če vse pošilja iz istega seznama, boste s prvim marketinškim sporočilom nehote kršili pravila. Kako so opomniki zasnovani pri nas, opisuje stran SMS opomniki.

Kako dolgo hraniti podatke

GDPR ne določa števila let, določa načelo: podatke hranite le toliko, kolikor jih potrebujete. V praksi to pomeni tri različna obdobja:

1. Računi in davčne evidence. Rok določa davčna zakonodaja, ne GDPR, in je bistveno daljši od drugih.
2. Zgodovina terminov in kartoteka. Toliko, kolikor je smiselno za nadaljnjo obravnavo stranke. Za zdravstvene dejavnosti obstajajo posebni predpisani roki.
3. Marketinški seznam. Do preklica privolitve ali do razumnega obdobja neaktivnosti.

Zapišite si te roke. Politika hrambe, ki obstaja samo v glavi lastnika, pri nadzoru ne šteje.

Kaj morate zahtevati od ponudnika programa

Ko podatke strank vnesete v spletni program, ta ponudnik postane vaš obdelovalec, vi pa ostanete upravljavec in odgovorni. Zato pred uporabo preverite pet stvari:

1. Pogodba o obdelavi podatkov. Mora biti sklenjena, ne le omenjena.
2. Seznam podobdelovalcev. Kdo še vidi podatke: ponudnik gostovanja, pošiljatelj SMS, ponudnik plačil.
3. Regija gostovanja. Kje fizično stojijo strežniki in ali gredo podatki iz EU.
4. Izvoz in izbris. Ali lahko podatke stranke izvozite in izbrišete brez zahteve na podporo.
5. Obveščanje o incidentih. V kakšnem roku vas ponudnik obvesti o kršitvi varnosti.

Pri Calendri so pogodba o obdelavi podatkov in seznam podobdelovalcev javno objavljena, brez prijave. To je uporabno merilo za vsakega ponudnika: če dokumentov ne najdete sami, si zapomnite, koliko časa je trajalo, da ste jih dobili.

Pravice strank, ki jih morate znati izvesti

Stranka ima pravico do vpogleda v svoje podatke, popravka, izbrisa in prenosa. V praksi to pomeni, da morate znati v razumnem času izpisati vse, kar imate o eni osebi. Če so podatki v zvezku, treh Excelih in WhatsAppu, tega ne zmorete. To je poleg prihranka časa eden od tehtnejših razlogov za en sistem.

Več o tem, kako uveljavljate pravice pri nas, je na strani Pravice posameznikov.

Trije ukrepi za ta teden

Prvič, preverite, ali imate za marketinška sporočila ločeno privolitev in ne le splošne kljukice. Drugič, zapišite roke hrambe za račune, kartoteko in marketing. Tretjič, poiščite pogodbo o obdelavi podatkov svojega trenutnega programa. Če je ne najdete v petih minutah, začnite tam.