RODO w firmie usługowej - co z danymi klientów?
RODO weszło w życie w 2018 roku i od tamtej pory wielu właścicieli małych firm żyje w permanentnym niepokoju: czy robię to dobrze? Czy mam wszystkie zgody? Czy mi grozi kara?
Dobra wiadomość: dla małej firmy usługowej RODO nie jest straszne, jeśli rozumiesz kilka kluczowych zasad. Zła wiadomość: ignorowanie przepisów ma realne konsekwencje, a urząd (UODO) nakłada kary nie tylko na korporacje.
W tym artykule tłumaczę podstawy bez prawniczego żargonu - na przykładach z warsztatu, salonu, gabinetu i innych firm usługowych.
Jakie dane zbierasz i czy masz prawo je przetwarzać?
Zanim zaczniesz martwić się o zgody i klauzule, zrób prosty audyt: jakie dane klientów faktycznie gromadzisz?
Typowa firma usługowa zbiera:
- Dane kontaktowe - imię i nazwisko, numer telefonu, adres e-mail
- Historię wizyt - daty, usługi, ceny, notatki z realizacji
- Dane pojazdu lub sprzętu (warsztaty, wypożyczalnie) - marka, model, numer rejestracyjny
- Dane płatnicze - w przypadku faktur: NIP, adres firmy lub zamieszkania
Każda kategoria danych wymaga podstawy prawnej do przetwarzania. Rozporządzenie RODO wymienia kilka takich podstaw, a w praktyce firmy usługowe najczęściej opierają się na dwóch:
Wykonanie umowy - przetwarzasz imię, nazwisko i telefon klienta, bo jest to niezbędne do świadczenia usługi (tj. do wykonania umowy). Nie potrzebujesz osobnej zgody. To najbardziej naturalna podstawa dla rezerwacji i realizacji wizyt.
Uzasadniony interes - przetwarzasz historię wizyt klienta w kartotekach klientów, żeby zapewnić mu lepszą obsługę i nie pytać za każdym razem o to samo. Tu możesz powołać się na uzasadniony interes przetwarzania danych w firmie usługowej - pod warunkiem, że interes firmy nie narusza praw klienta.
Zgoda - potrzebna głównie do marketingu. Jeśli chcesz wysyłać newsletter, SMS-y promocyjne lub maile marketingowe albo targetowane reklamy - potrzebujesz wyraźnej zgody. Zgoda musi być dobrowolna, konkretna i odwołalna w każdej chwili.
Jak długo możesz przechowywać dane klientów?
RODO nie podaje konkretnych liczb w tygodniach ani miesiącach. Mówi o zasadzie minimalizacji i ograniczenia przechowywania - dane powinny być trzymane nie dłużej, niż jest to niezbędne do celów, dla których zostały zebrane.
W praktyce dla firmy usługowej wygląda to tak:
- Dane do faktur i rachunków - musisz przechowywać przez 5 lat (wymóg podatkowy, nadrzędny wobec RODO)
- Historia wizyt - tak długo, jak prowadzisz relację z klientem. Jeśli klient nie odwiedzał Cię od 3 lat i nie ma podstaw sądzić, że wróci - czas rozważyć usunięcie jego danych
- Dane marketingowe - do odwołania zgody przez klienta
Dobra praktyka: raz na rok przejrzyj bazę klientów i usuń dane osób, które nie były u Ciebie od ponad 2-3 lat i nie masz wobec nich żadnych zobowiązań podatkowych.
Prawo do usunięcia danych - jak obsłużyć taką prośbę?
Każdy klient ma prawo żądać usunięcia swoich danych (tzw. "prawo do bycia zapomnianym", czyli prawo do usunięcia danych klienta na żądanie). Jeśli klient poprosi Cię o usunięcie jego danych, masz obowiązek to zrobić - chyba że istnieje inna podstawa prawna, która nakazuje Ci je trzymać.
Przykład: klient prosi o usunięcie danych. Ale masz na niego wystawioną fakturę sprzed roku. Dane na fakturze musisz zachować przez 5 lat ze względu na przepisy podatkowe - i masz prawo odmówić usunięcia tych konkretnych danych, wyjaśniając klientowi dlaczego.
Natomiast numer telefonu, historia wizyt i adres e-mail, które nie są częścią dokumentów podatkowych - możesz i powinieneś usunąć.
Jak obsłużyć taką prośbę praktycznie:
- Przyjmij prośbę pisemnie lub mailowo (miej potwierdzenie, że ją otrzymałeś)
- Zidentyfikuj, które dane możesz usunąć, a które musisz zatrzymać
- Usuń to, co możliwe, w ciągu 30 dni
- Poinformuj klienta o działaniach, które podjąłeś
Praktyczne wskazówki dla małej firmy
Klauzula informacyjna przy zbieraniu danych. Przy pierwszej rezerwacji online, telefonicznej lub osobistej powinieneś poinformować klienta, kto jest administratorem jego danych, w jakim celu są zbierane i jak długo będą przechowywane. Wystarczy krótki tekst w formularzu online lub ustna informacja powtarzana przy pierwszym kontakcie.
Baza klientów w jednym, bezpiecznym miejscu. Unikaj rozpraszania danych po arkuszach Excel na różnych komputerach, notatkach w telefonach i kartkach. Jedno źródło danych jest łatwiejsze do zabezpieczenia, aktualizowania i usuwania na żądanie.
Dostęp do danych tylko dla upoważnionych osób. Jeśli masz pracowników, którzy widzą bazę klientów - zrób to świadomie, korzystając z zarządzania pracownikami z kontrolą uprawnień. Pracownik obsługujący klientów potrzebuje widzieć ich dane kontaktowe i historię wizyt. Nie potrzebuje dostępu do danych finansowych.
Silne hasła i szyfrowanie. Dane klientów nie powinny być dostępne z dowolnego komputera bez hasła. Jeśli używasz systemu online - upewnij się, że ma funkcje kontroli dostępu.
Co grozi za naruszenie RODO?
Urząd Ochrony Danych Osobowych (UODO) może nałożyć karę za naruszenie RODO w małej firmie do 4% rocznego obrotu firmy lub 20 mln euro - dla małych firm ta pierwsza wartość jest bardziej realna. Dla firmy z obrotem 500 tys. zł rocznie, 4% to 20 000 zł.
W praktyce UODO nakłada najwyższe kary za poważne naruszenia: wycieki danych tysięcy klientów, celowe ignorowanie praw osób, których dane dotyczą, brak jakiejkolwiek dokumentacji. Małe firmy, które działają w dobrej wierze i starają się przestrzegać przepisów, rzadko trafiają na celownik.
Ale "działanie w dobrej wierze" musi być udokumentowane - rejestr czynności przetwarzania, klauzule informacyjne, procedura obsługi żądań klientów. To nie są skomplikowane dokumenty, ale muszą istnieć. Pomocna bywa też historia aktywności w systemie - czyli prosty audyt zmian w danych klientów, który pokazuje, kto i kiedy modyfikował wpisy w bazie.
Jeśli korzystasz z systemu rezerwacji online, upewnij się, że dostawca gwarantuje odpowiednie bezpieczeństwo danych i podpisuje z Tobą umowę powierzenia przetwarzania danych dla małej firmy usługowej (wymóg RODO przy korzystaniu z zewnętrznych systemów IT).
Terminarz24.pl przetwarza dane klientów zgodnie z RODO i jest gotowy do podpisania umowy powierzenia - wszystkie szczegóły znajdziesz w dokumentacji prawnej platformy.
Przetestuj Terminarz24.pl za darmo, bez zobowiązań - zarejestruj się bezpłatnie.