Do warsztatu przychodzi pismo od byłego klienta. Prosi o informację, jakie jego dane warsztat przechowuje, i o ich usunięcie. Właściciel nie bardzo wie, co z tym zrobić. Dane klienta są w zeszycie z zeszłego roku, w kilku papierowych zleceniach, w telefonie mechanika w postaci zdjęć auta i w programie do faktur. Nie wie też, czy w ogóle wolno mu je usunąć, skoro faktury trzeba przechowywać dla urzędu skarbowego.
Ochrona danych osobowych kojarzy się z dużymi firmami i działami prawnymi. Tymczasem obowiązki wynikające z RODO dotyczą także jednoosobowego warsztatu. Dobra wiadomość jest taka, że w małej firmie da się je spełnić prostymi środkami. Ten tekst ma charakter ogólnego przewodnika – w sprawach budzących wątpliwości warto skonsultować się z prawnikiem.
Jakie dane osobowe przetwarza warsztat
- dane kontaktowe klienta – imię, nazwisko, telefon, e-mail, adres,
- dane do faktur – w przypadku przedsiębiorców także NIP,
- numer rejestracyjny i VIN auta w połączeniu z danymi właściciela,
- zdjęcia auta, na których widać tablicę rejestracyjną lub osoby,
- historia napraw przypisana do klienta,
- nagrania z monitoringu, jeśli warsztat go ma,
- dane pracowników – osobna kategoria z własnymi zasadami.
Sam numer rejestracyjny czy VIN nie zawsze jest daną osobową, ale w połączeniu z danymi właściciela pozwala zidentyfikować konkretną osobę. W praktyce warsztat powinien traktować te informacje z taką samą ostrożnością jak dane kontaktowe.
Na jakiej podstawie warsztat może przetwarzać dane
Większość danych klientów warsztat przetwarza, bo są potrzebne do wykonania usługi – nie da się naprawić auta i wystawić dokumentu bez wiedzy, czyje to auto i jak się z klientem skontaktować. Część danych trzeba przechowywać, bo wymagają tego przepisy podatkowe i rachunkowe. Do niektórych celów, na przykład wysyłania ofert promocyjnych, potrzebna jest osobna zgoda klienta.
| Cel przetwarzania | Typowa podstawa | Jak długo przechowywać |
|---|---|---|
| Wykonanie naprawy | Umowa z klientem | Na czas realizacji i ewentualnych roszczeń |
| Faktury i dokumenty księgowe | Obowiązek prawny | Przez okres wymagany przepisami podatkowymi |
| Historia napraw dla kolejnych wizyt | Prawnie uzasadniony interes lub zgoda | Dopóki klient korzysta z usług, z rozsądnym limitem |
| Przypomnienia o przeglądach | Prawnie uzasadniony interes lub zgoda | Do sprzeciwu klienta |
| Oferty marketingowe | Zgoda | Do wycofania zgody |
| Monitoring wizyjny | Prawnie uzasadniony interes | Krótki, ograniczony okres |
Obowiązek informacyjny – prosto i bez stron drobnego druku
Klient ma prawo wiedzieć, kto przetwarza jego dane, w jakim celu, jak długo i jakie ma prawa. W warsztacie najprościej zrealizować to przez krótką klauzulę informacyjną: wywieszoną przy ladzie, dołączoną do zlecenia albo dostępną na stronie internetowej z odnośnikiem w wiadomościach do klientów. Nie musi to być kilkustronicowy dokument – liczy się, żeby informacja była jasna i łatwo dostępna.
Gdzie warsztaty najczęściej popełniają błędy
- Zdjęcia aut klientów w prywatnych telefonach mechaników, bez kontroli i bez usuwania.
- Rozmowy z klientami prowadzone przez prywatne komunikatory pracowników.
- Zeszyty z danymi klientów leżące na ladzie, dostępne dla każdego, kto podejdzie.
- Jedno wspólne hasło do programu dla wszystkich pracowników.
- Brak umowy z dostawcą programu, który przechowuje dane klientów.
- Wysyłanie ofert promocyjnych klientom, którzy się na nie nie zgodzili.
Większość tych błędów nie wynika ze złej woli, tylko z przyzwyczajeń. Ich usunięcie zwykle nie wymaga dużych kosztów, tylko zmiany kilku nawyków.
Dostawca programu jako podmiot przetwarzający
Jeśli warsztat prowadzi zlecenia w programie działającym w chmurze, dane klientów są przechowywane na serwerach dostawcy. Dostawca jest wtedy podmiotem przetwarzającym dane w imieniu warsztatu, a między nimi powinna istnieć umowa powierzenia przetwarzania danych. Rzetelni dostawcy mają gotowy wzór takiej umowy, często jako część regulaminu. Przy programie instalowanym lokalnie odpowiedzialność za zabezpieczenie danych na komputerze leży w całości po stronie warsztatu.
Przy wyborze narzędzia warto więc patrzeć nie tylko na funkcje, ale też na to, gdzie i jak dane są przechowywane. Zestawienie, w którym programy warsztatowe podzielono na działające w przeglądarce i instalowane lokalnie, pomaga zrozumieć, które obowiązki spoczną na warsztacie, a które przejmie dostawca.
Prośba klienta o dostęp lub usunięcie danych
Klient może zapytać, jakie dane warsztat o nim przechowuje, i poprosić o ich usunięcie. Na prośbę o dostęp warto odpowiedzieć konkretnie i w rozsądnym terminie. Przy prośbie o usunięcie trzeba pamiętać, że dane wymagane przepisami podatkowymi – na przykład na fakturach – muszą zostać zachowane przez wymagany okres. Pozostałe dane, takie jak historia napraw czy zgody marketingowe, można usunąć lub ograniczyć ich przetwarzanie.
Najczęstsze pytania
Czy jednoosobowy warsztat musi mieć inspektora ochrony danych?
Zwykle nie. Obowiązek wyznaczenia inspektora dotyczy specyficznych rodzajów działalności i przetwarzania na dużą skalę, czego mały warsztat najczęściej nie prowadzi.
Czy mogę wysyłać przypomnienia o przeglądach bez zgody?
Przypomnienia związane z usługami, z których klient już korzysta, są bliższe obsłudze niż reklamie, ale bezpieczniej zapytać klienta o zgodę przy przyjęciu auta i ją odnotować.
Czy monitoring w warsztacie wymaga oznaczenia?
Tak, osoby wchodzące na teren objęty monitoringiem powinny być o nim poinformowane, na przykład tabliczką przy wejściu, a nagrania przechowywane przez ograniczony czas.
RODO w warsztacie to nie stos dokumentów, tylko kilka dobrych nawyków: dane klientów w jednym, zabezpieczonym miejscu, jasna informacja dla klienta i porządek w telefonach pracowników.
