Jakmile spustíte věrnostní program, začnete zpracovávat osobní údaje. Není to formalita, kterou vyřeší zaškrtávátko v registraci – ale není to ani důvod k panice. Povinností je konečný počet a dají se splnit za odpoledne.
Tenhle článek je praktický přehled toho, co musí být v pořádku. Není to právní poradenství; u složitějšího provozu nebo při pochybnostech se poraďte s právníkem.
Kdo je za data odpovědný: vy, ne dodavatel
Nejdůležitější věc na začátek, protože z ní plyne všechno ostatní.
Ve věrnostním programu je provozovna správcem osobních údajů (rozhoduje, proč a jak se údaje zpracovávají) a dodavatel systému zpracovatelem (zpracovává je jen podle pokynů provozovny). Tenhle vztah musí být podložený zpracovatelskou smlouvou podle čl. 28 GDPR.
Prakticky to znamená:
- Odpovědnost vůči zákazníkovi i úřadu nese provozovna, ne dodavatel.
- Dodavatel vám musí poskytnout součinnost, když zákazník uplatní svá práva.
- Bez uzavřené zpracovatelské smlouvy je celé zpracování v rozporu s GDPR – i kdyby jinak bylo všechno správně.
U Walio je zpracovatelská smlouva součástí obchodních podmínek, takže vzniká automaticky s účtem. Pokud vybíráte jiného dodavatele, tohle si ověřte jako první; když ji nemá, hledejte dál.
Platí to i pro papírové kartičky?
Nejčastější omyl v téhle oblasti: že GDPR je věc aplikací a digitálních systémů.
Rozhoduje, jestli zpracováváte osobní údaje, ne čím to děláte. Kartička, na které je deset okýnek na razítka a nic víc, osobní údaj neobsahuje – to je jednoduchý případ. Jakmile si k ní ale vedete sešit se jmény a telefony, nebo píšete jméno přímo na kartičku, platí pro vás stejná pravidla jako pro jakýkoli digitální systém: právní titul, informační povinnost, lhůty, práva zákazníka.
Rozdíl je v tom, že u papíru je plníte ručně a obvykle hůř. Sešit pod pultem neumí doložit, kdy zákazník udělil souhlas, ani ho na požádání smazat bez přepisování celé stránky. Srovnání papíru a digitální karty bere tohle z praktické stránky.
Jaký právní titul potřebujete
Zpracování osobních údajů musí stát na některém z důvodů podle čl. 6 GDPR. U věrnostního programu se v praxi potkáte se dvěma a je zásadní je nesměšovat.
Vydání a vedení karty – plnění smlouvy
Když zákazník požádá o věrnostní kartu, uzavírá s vámi vztah: bude sbírat razítka a vy mu za ně dáte odměnu. Zpracování údajů nutných k tomu, aby to fungovalo, stojí na plnění smlouvy (čl. 6 odst. 1 písm. b).
Souhlas tu nepotřebujete a je chyba ho vyžadovat – vedlo by to k absurdnímu závěru, že když ho zákazník odvolá, musíte mu smazat kartu i s razítky, o která nepřišel.
Marketing – souhlas
Jiná věc je posílat zákazníkovi nabídky, kampaně a push notifikace o akcích. To už není nutné k vedení karty, takže na to potřebujete souhlas (čl. 6 odst. 1 písm. a) – svobodný, konkrétní a doložitelný.
Z toho plynou tři pravidla:
- Souhlas s marketingem musí být oddělený od registrace karty. Ne jedno zaškrtávátko na obojí.
- Nesmí být podmínkou získání karty. „Kartu dostanete, jen když souhlasíte s newslettery“ souhlas znehodnotí.
- Musí jít stejně snadno odvolat, jako byl udělen, a vy musíte umět doložit, kdy a k čemu byl dán.
Provozní připomínka („zbývá vám jedno razítko do odměny“) leží na hraně – je to spíš servisní zpráva k vedení karty. Obchodní nabídka („dnes 20 % na všechno“) je marketing a bez souhlasu se posílat nemá.
Sbírejte míň, než můžete
Zásada minimalizace říká, že máte zpracovávat jen údaje nezbytné pro daný účel. U věrnostní karty to znamená míň, než většina formulářů chce.
Co skutečně potřebujete: identifikátor karty a záznam o razítkách či bodech. To je celé. Karta ve Wallet funguje i bez jména.
Co má smysl, pokud to k něčemu použijete: e-mail nebo telefon (kontakt pro odměny a marketing), křestní jméno (oslovení), měsíc a den narození (přání k narozeninám).
Co nesbírejte: rodné číslo, adresu, celé datum narození včetně roku, pokud nemáte konkrétní důvod. Zvláštní kategorie údajů – zdravotní stav, stravovací omezení jako projev náboženství – do věrnostního programu nepatří vůbec.
Dobrý test: u každé kolonky ve formuláři si řekněte, co konkrétně s tím údajem uděláte příští měsíc. Když nic, škrtněte ji.
Jak dlouho data držet
GDPR neurčuje konkrétní lhůty, ale zakazuje držet údaje déle, než je nutné. U věrnostního programu se osvědčuje jednoduché pravidlo:
- Aktivní karta: po dobu, kdy zákazník kartu používá.
- Neaktivní karta: stanovte si lhůtu (běžně 24 až 36 měsíců od poslední návštěvy) a po jejím uplynutí údaje smažte nebo anonymizujte.
- Souhlas s marketingem: doklad o něm si nechte i po jeho odvolání, abyste unesli důkazní břemeno.
Podstatné je, že tu lhůtu máte napsanou a dodržujete ji. Databáze, do které se deset let jen přidává, je problém sama o sobě.
Co musíte zákazníkovi říct
Před získáním údajů musí zákazník vědět (čl. 13 GDPR), kdo je správce, k čemu údaje sbíráte, na jakém právním titulu, jak dlouho je držíte, komu je předáváte a jaká má práva.
Nemusí to být na kartě ani na stojánku – stačí odkaz na informace o zpracování, typicky na vaše webové stránky, dostupný z registrace karty. Jednu stránku srozumitelnou češtinou, ne pět stran právničiny.
Práva zákazníka a co s nimi v praxi
Zákazník má právo na přístup ke svým údajům, opravu, výmaz, omezení zpracování, přenositelnost a námitku. Reagovat máte do jednoho měsíce.
Dvě věci, které lidi překvapí:
- Právo na výmaz není absolutní. Když zákazník požádá o smazání, ale vy máte doklady, které musíte držet podle účetních předpisů, smažete jen to, co držet nemusíte.
- Žádost může přijít i ústně u pultu. Mějte pro obsluhu jednu větu, kam takového zákazníka poslat – typicky na e-mail provozovny.
Kde jsou data uložená
Zákazníci i úřad se ptají, kam údaje putují. Odpověď musí být dohledatelná ve vašich informacích o zpracování a měla by zahrnovat i subdodavatele, které dodavatel systému používá (hosting, e-maily, platby, Apple a Google kvůli kartě).
U předání mimo Evropský hospodářský prostor musí existovat právní základ – rozhodnutí Evropské komise o odpovídající úrovni ochrany, nebo standardní smluvní doložky. Tohle je otázka na dodavatele a odpověď má být okamžitá; když ji nemá, je to varovný signál.
Dvě povinnosti, na které se zapomíná
Záznamy o činnostech zpracování (čl. 30). Výjimka pro organizace pod 250 zaměstnanců zní úlevně, jenže se nevztahuje na zpracování, které není příležitostné – a věrnostní program pravidelný je. Počítejte tedy s tím, že záznam mít máte. V praxi je to jedna tabulka: účel, kategorie údajů a subjektů, právní titul, lhůta pro výmaz, příjemci a předání mimo EHP. Vejde se na stránku a píše se jednou.
Pověřenec pro ochranu osobních údajů. Tady je odpověď pro běžnou provozovnu jednoduchá: nepotřebujete ho. Povinný je u orgánů veřejné moci a tam, kde je hlavní činností rozsáhlé systematické monitorování nebo zpracování zvláštních kategorií údajů. Kavárna ani salon s věrnostním programem pod to nespadá.
Kontrolní seznam před spuštěním
- Uzavřená zpracovatelská smlouva s dodavatelem (čl. 28 GDPR)
- Právní titul určený zvlášť pro vedení karty (smlouva) a zvlášť pro marketing (souhlas)
- Souhlas s marketingem oddělený od registrace a doložitelný
- Sbírané údaje omezené na to, co reálně používáte
- Stanovená a dodržovaná lhůta pro smazání neaktivních karet
- Informace o zpracování dostupné z registrace karty
- Postup, jak vyřídit žádost zákazníka do jednoho měsíce
- Přehled subdodavatelů a míst zpracování údajů
- Záznam o činnostech zpracování podle čl. 30
Když tohle sedí, je věrnostní program po stránce ochrany údajů v pořádku – a je to zároveň argument směrem k zákazníkovi. Databáze hostů, kterou máte ve vlastní správě a ne na cizí platformě, je v tomhle ohledu jednodušší na obhájení než sbírání kontaktů přes sociální sítě.
Jak Walio zpracování řeší, je popsané v ochraně osobních údajů a v obchodních podmínkách.