Evidencia zákazníkov a GDPR: čo uchovávať, ako dlho a kto má prístup

GDPR nezakazuje evidovať zákazníkov

Okolo GDPR koluje veľa obáv, no evidencia zákazníkov je bežnou a legitímnou súčasťou podnikania. Nariadenie nehovorí, že údaje nesmiete mať. Hovorí, že ich musíte spracúvať zákonne, na jasný účel, v primeranom rozsahu a bezpečne. Na Slovensku ho dopĺňa zákon č. 18/2018 Z. z. o ochrane osobných údajov a dohľad vykonáva Úrad na ochranu osobných údajov SR.

Osobnými údajmi nie sú údaje o firme ako takej, napríklad obchodné meno či sídlo. Sú nimi však meno, e-mail a telefón kontaktnej osoby, ako aj údaje o živnostníkoch a súkromných zákazníkoch. Prakticky teda pravidlá platia pre takmer každé CRM.

Tento článok je praktický prehľad pre majiteľov menších firiem, nie právne poradenstvo. Pri konkrétnych otázkach, najmä pri citlivých údajoch alebo rozsiahlejšom spracúvaní, sa poraďte s odborníkom na ochranu osobných údajov.

Na akom základe údaje máte

Každé spracúvanie osobných údajov potrebuje právny základ. GDPR ich pozná šesť a pri bežnej evidencii zákazníkov sa najčastejšie uplatnia štyri. Súhlas teda nie je jediná možnosť a často ani nie tá najvhodnejšia.

Pri oprávnenom záujme by ste mali vedieť zdôvodniť, prečo údaje potrebujete a prečo tým zákazníka neprimerane nezaťažujete. Pri súhlase platí, že ho možno kedykoľvek odvolať a odvolanie má byť rovnako jednoduché ako jeho udelenie.

• Plnenie zmluvy: údaje potrebné na dodanie tovaru či služby vrátane krokov pred uzavretím zmluvy, napríklad pri príprave ponuky na žiadosť zákazníka.
• Zákonná povinnosť: napríklad údaje na faktúrach, ktoré musíte uchovávať podľa účtovných a daňových predpisov.
• Oprávnený záujem: napríklad evidencia komunikácie so zákazníkom alebo vymáhanie pohľadávok, ak váš záujem neprevažuje nad právami zákazníka.
• Súhlas: typicky pri marketingu, newsletteri či zverejnení fotografií, ak sa nedajú oprieť o iný základ.

Čo môžete uchovávať

Základným pravidlom je minimalizácia: evidujte len to, čo naozaj potrebujete na daný účel. Na dodanie služby zvyčajne stačí meno, kontakt, adresa a fakturačné údaje. Dátum narodenia, číslo občianskeho preukazu či kópiu dokladu bežná firma spravidla nepotrebuje, pokiaľ to nevyžaduje osobitný predpis.

Pozor aj na poznámky v CRM. Zápis „zákazník má zdravotné problémy, preto mešká s platbou“ je osobný údaj. Pri informáciách o zdraví ide dokonca o osobitnú kategóriu s prísnejšími pravidlami. Píšte poznámky vecne a len o tom, čo súvisí s obchodom.

Údaje majú byť aj správne. Ak vám zákazník oznámi novú adresu alebo telefón, opravte ich a staré už nepoužívajte.

Ako dlho údaje uchovávať

GDPR neurčuje konkrétne lehoty, ale požaduje, aby ste údaje nedržali dlhšie, než je na daný účel potrebné. Niektoré lehoty si preto stanovujete sami, iné určujú osobitné predpisy. Napríklad účtovné doklady vrátane faktúr sa podľa zákona o účtovníctve uchovávajú desať rokov po roku, ktorého sa týkajú, takže údaje na nich nemôžete vymazať skôr.

Pre ostatné údaje si určte rozumné lehoty a zapíšte si ich. Neúspešný dopyt, ktorý nemal pokračovanie, nemusíte držať roky. Bývalého zákazníka môžete evidovať, kým trvajú záruky, reklamácie či možné nároky, potom jeho údaje vymažte alebo anonymizujte.

Dobrý systém vám s tým pomôže, keď na staré záznamy upozorní alebo ich po uplynutí lehoty sám anonymizuje. Ručné upratovanie raz za rok sa totiž v bežnej prevádzke ľahko odkladá.

• faktúry a účtovné doklady: podľa účtovných a daňových predpisov
• údaje k zmluve: počas jej trvania a primeraný čas po skončení, napríklad pre záruky a nároky
• neúspešné dopyty: kratšia lehota, ktorú si viete zdôvodniť
• marketingové kontakty so súhlasom: kým súhlas trvá a kým má kontakt zmysel

Kto má mať k údajom prístup

Nie každý zamestnanec potrebuje vidieť všetko. Obchodník potrebuje svojich zákazníkov a ich históriu, účtovníčka fakturačné údaje, technik adresu a kontakt k zákazke. Nastavte prístupy podľa rolí, nie podľa princípu „všetci vidia všetko“.

Rovnako dôležité je, aby mal každý vlastné prihlásenie, nie zdieľané heslo. Len tak viete, kto k údajom pristupoval a kto čo zmenil. Pri odchode zamestnanca mu prístup jednoducho zrušíte a kontakty zostanú vo firme.

Ak údaje spracúva externý dodávateľ, napríklad poskytovateľ CRM alebo cloudového úložiska, je v pozícii sprostredkovateľa a GDPR vyžaduje, aby ste s ním mali zmluvu o spracúvaní. Zaujímajte sa aj o to, kde sú dáta fyzicky uložené.

Súhlasy a marketing

Na poslanie faktúry či informácie o stave zákazky súhlas nepotrebujete. Pri marketingu je situácia iná. Pri e-mailovom marketingu treba okrem GDPR sledovať aj zákon o elektronických komunikáciách, ktorý pri nevyžiadaných obchodných e-mailoch spravidla vyžaduje súhlas. Výnimkou môže byť za určitých podmienok ponuka vlastných podobných produktov existujúcim zákazníkom, ktorí mali možnosť takéto správy odmietnuť.

Ak súhlas zbierate, evidujte, kto ho dal, kedy, akým spôsobom a na čo presne. Súhlas „na všetko“ ukrytý v obchodných podmienkach neobstojí. Každý marketingový e-mail by mal obsahovať jednoduchý spôsob, ako sa odhlásiť.

Dokumentácia, ktorú sa oplatí mať

GDPR stojí aj na princípe zodpovednosti: nestačí pravidlá dodržiavať, treba vedieť aj preukázať, že ich dodržiavate. Pre menšiu firmu to nemusí znamenať šanón papierov. Stačí stručne zapísať, aké údaje spracúvate, na aký účel, na akom základe, kto k nim má prístup a ako dlho ich uchovávate.

Takýto prehľad je dobrým základom aj pre formálne záznamy o spracovateľských činnostiach. Či ich vaša firma musí viesť, závisí od jej veľkosti a povahy spracúvania, a keďže sa na úrovni EÚ riešilo zjednodušenie tejto povinnosti pre menšie firmy, aktuálny stav si overte. Zákazníkov by ste zároveň mali zrozumiteľne informovať, ako s ich údajmi narábate, napríklad v informácii na webe alebo pri objednávke.

Práva zákazníkov a čo robiť, keď sa ozvú

Zákazník môže požiadať o prístup k svojim údajom, ich opravu či vymazanie, prípadne namietať proti spracúvaniu. Odpovedať musíte bez zbytočného odkladu, najneskôr do jedného mesiaca. Pri zložitých prípadoch možno lehotu predĺžiť o ďalšie dva mesiace, o čom treba zákazníka v pôvodnej lehote informovať aj s dôvodom. Výmaz pritom neznamená zmazať faktúry, ktoré musíte zo zákona uchovávať.

Ak dôjde k úniku údajov, napríklad pri strate notebooku alebo napadnutí e-mailovej schránky, a únik predstavuje riziko pre dotknuté osoby, treba ho spravidla do 72 hodín ohlásiť úradu. Preto je dobré mať vopred jednoduchý postup, kto v takej situácii čo robí.

Systém, v ktorom evidujete zákazníkov, by vám mal tieto úlohy uľahčiť: vyexportovať údaje jedného zákazníka, anonymizovať ho a ukázať, kto k jeho záznamu pristupoval. Ak staviate evidenciu na mieru, v Lumen Studio s takýmito funkciami počítame od začiatku a prvú funkčnú verziu vám zvyčajne ukážeme do 24 hodín po úvodnom hovore.