GDPR: Nakládání s osobními údaji pro kadeřníky

GDPR neboli Obecné nařízení o ochraně osobních údajů se týká všech, kteří nakládají s osobními údaji svých zaměstnanců nebo zákazníků. GDPR víceméně není revolucí, protože obdobná pravidla pro nakládání s osobními údaji již nějaký ten pátek fungují, nicméně v souvislosti s GDPR je těmto pravidlům věnována větší pozornost.

Zprvu je důležité uvést na pravou míru problematiku tolika médii propírané pokuty za porušení pravidel GDPR až do výše miliard korun českých. Nicméně platí, že pokuta nesmí být likvidační, takže pokud nejste Google nebo Agrofert, nemusíte se takto vysokých pokut obávat.

Osobní údaje jsou v podstatě vše, co může vést k identifikaci určité osoby. Jméno a příjemní společně s telefonním číslem nebo emailem jsou zpravidla osobní údaje, které každá kadeřnice eviduje. Pozor ovšem. Existují ještě také citlivé údaje, mezi které například patří rasa, náboženské vyznání, sexuální orientace apod. Tyto údaje nejspíše kadeřník neeviduje (a správně by ani neměl), nicméně někdo z kadeřníků může u klienta vést poznámku, že je například alergický na PPD, amoniak nebo jinou látku. V tomto případě pozor, zdravotní stav a nemoci spadají do kolony citlivých údajů, které je nutno evidovat ve zpřísněné formě a je nutné mít podepsaný souhlas. Proto je lepší se evidenci citlivých údajů úplně vyhnout, například: Paní Kropáčková je alergická na PPD“ je vhodné přeformulovat na: „Paní Kropáčková (1, 2).“ Jednička pak bude znamenat například alergii na PPD, dvojka třeba na amoniak. Pár čísel je snadno zapamatovatelných, nicméně kdyby ne, je možné vysvětlivky vést na zvláštním papíře, který nebude spojitelný s evidencí klientů.

Interní směrnice

Pro případ kontroly ÚOOÚ je nutné mít zpracovanou interní směrnici. Tato směrnice nemusí být právničinou, stačí si ji sepsat vlastními slovy. Interní směrnice je velmi individuální a neexistuje jednotný vzor. Z pohledu kadeřníka živnostníka, který nemá zaměstnance, by interní směrnice měla obsahovat

• Jak osobní údaje získáváte
• Jakým způsobem probíhá zpracování osobních údajů
• Jakým způsobem jsou data chráněna
• Kdo s nimi může nakládat a jak
• Jak probíhá archivace, skartace dat

Vzor interní směrnice GDPR pro kadeřníky v "pdf" a v "docx"

Kadeřníci zaměstnanci nemusí GDPR vlastními silami vůbec řešit. GDPR řeší jejich zaměstnavatel.

Jak evidovat zákazníka

Pokud kadeřník požádá svého klienta o jméno a telefonní číslo pro účel objednání, není nutné, aby zákazník poskytl souhlas se zpracováním osobních údajů. Jedná se o oprávněný zájem. Zákazník nemusí podepsat souhlas, protože musí vzít na vědomí, že osobní údaje poskytuje pro účel služeb kadeřnictví. Osobní údaje klienta ovšem nesmí být použity k jinému účelu.

Jak pracovat s osobními údaji

Jméno a telefonní číslo jsou určitě osobními údaji, které kadeřníci nejčastěji  evidují, a to buď v papírovém diáři nebo elektronicky v mobilním telefonu, tabletu nebo počítači, nebo kombinací uvedených způsobů. Nejdůležitější na celém GDPR je zabezpečit, aby přístup k osobním údajům klientů neměl nikdo další, případně pouze osoby, se kterými je uzavřena zpracovatelská nebo jiná (například pracovní) smlouva, kde je zacházení s osobními údaji zohledněno.

Zpracovatelské smlouvy

Nezapomeňte také na to, že s vaším zpracovatelem osobních údajů (například účetní, software pro online objednávky, software, který pracuje s osobními údaji apod.), byste měli mít uzavřenou zpracovatelskou smlouvu. Pokud ovšem účetní nejsou známy osobní údaje klientů, není třeba zpracovatelskou smlouvou disponovat. Tutu smlouvu vám dodá právě účetní nebo poskytovatel služeb, který zpracovává údaje kadeřníkových klientů. Zpracovatelské smlouvy je nutné archivovat.

Ochrana osobních údajů

Chraňte kontakty vašich klientů. V případě ztráty diáře nebo mobilního telefonu se jmény a telefonními čísly klientů, je třeba neprodleně o této skutečnosti informovat Úřad pro ochranu osobních údajů. V opačném případě je možný postih.

Jednoduše a stručně

Kadeřníci, zpracujte interní směrnici, případně si zajistěte zpracovatelskou smlouvu s tím, kdo má přístup k osobním údajům vašeho zákazníka, chraňte osobní údaje před ztrátou nebo zcizením, nešiřte osobní údaje svých zákazníků a nenabízejte jim životní pojištění nebo pobyt na Kanárech za zvýhodněných podmínek, a jste s GDPR v pohodě.