Jakmile do pokladního systému uložíte jméno, telefon nebo e-mail zákazníka kvůli věrnostní slevě nebo fakturaci, stáváte se správcem osobních údajů podle GDPR – stejně jako e-shop nebo velká firma. Rozsah povinností je u malého provozu mnohem menší, ale pár věcí byste si měli pohlídat. Tohle není právní poradenství, spíš praktický rozcestník, od čeho se odrazit.
Jaké údaje běžně ukládáte a proč to je v pořádku
Jméno, telefon, e-mail nebo adresa zákazníka pro účely vystavení faktury, přiřazení věrnostní slevy nebo evidence firemního odběratele patří mezi standardní a legitimní důvody zpracování. Nepotřebujete kvůli tomu žádný zvláštní souhlas navíc – zpracováváte je proto, že je to nutné pro plnění smlouvy (prodej zboží nebo služby) nebo splnění zákonné povinnosti (např. vystavení daňového dokladu).
Na co si dát pozor
- Sbírejte jen to, co skutečně potřebujete. Pokud stačí jméno a telefon pro věrnostní slevu, neptejte se navíc na datum narození nebo adresu „pro jistotu".
- Omezte přístup k datům. Ne každý zaměstnanec potřebuje vidět kompletní zákaznickou evidenci – pokud to systém umožňuje, nastavte přístupová práva podle role.
- Mějte přehled, kde všude data leží. Kromě pokladního systému to může být e-mailová schránka, účetní software nebo sdílený excel – čím míň kopií, tím jednodušší GDPR.
- Řešte žádosti o výmaz. Zákazník má právo požádat o smazání svých údajů. Měli byste vědět, jak to v pokladním systému technicky uděláte.
- Zabezpečte přístup k počítači i pokladně. Heslo k systému, zamčená provozovna po zavíračce, aktuální antivirus – základní hygiena, která GDPR řeší nepřímo, ale řeší.
A co třeba kamerový záznam nebo Wi-Fi pro zákazníky?
Tohle jsou samostatná témata mimo pokladní systém, ale často se řeší ve stejné provozovně – kamerový systém i veřejná Wi-Fi mají svá vlastní pravidla zpracování údajů. Pokud provozujete kamery, podrobně to rozebíráme v článku Kamerový systém a GDPR v provozovně. U obou témat platí totéž co jinde: pokud si nejste jistí, poraďte se s někým, kdo se GDPR věnuje profesionálně.
Tip: Oficiální metodické materiály a formuláře k ohlášení případného úniku dat najdete na webu Úřadu pro ochranu osobních údajů (ÚOOÚ). Stojí za to mít tuhle stránku v záložkách i pro případ, kdy budete potřebovat rychle ověřit, jak postupovat.
Nejsme právní poradna
Tento článek je praktický přehled, ne právní stanovisko. Konkrétní situaci (zejména pokud zpracováváte citlivější údaje nebo větší objem dat) je vždy lepší probrat s právníkem nebo pověřencem pro ochranu osobních údajů.
Jak to řešíme u nás
V ZaKasou a SmartPubu si zákaznickou evidenci vedete přímo v systému – jméno, adresu, IČ i DIČ, podle potřeby. Data zůstávají u vás, v systému, který sami spravujete, ne rozesetá po cizích cloudových nástrojích. Naše vlastní zásady zpracování osobních údajů najdete na stránce GDPR.
Časté otázky
Musím mít pověřence pro ochranu osobních údajů (DPO)?
Většina malých provozoven ho mít nemusí – povinnost se týká hlavně orgánů veřejné moci a firem, jejichž hlavní činností je rozsáhlé nebo systematické zpracování osobních údajů či citlivých kategorií dat. Běžný obchod nebo restaurace evidující zákazníky kvůli faktuře nebo věrnostní slevě do této kategorie typicky nespadá.
Potřebuji souhlas zákazníka, abych mu mohl vystavit fakturu s jeho údaji?
Ne. Zpracování údajů nutných pro vystavení dokladu nebo splnění smlouvy nevyžaduje zvláštní souhlas – právním základem je zde plnění smlouvy, případně zákonná povinnost. Souhlas potřebujete až u zpracování nad rámec nutného, například zasílání marketingových nabídek.