Evidence zákazníků a GDPR: co uchovávat, jak dlouho a kdo má přístup

GDPR nezakazuje evidovat zákazníky

Kolem GDPR koluje hodně obav, ale evidence zákazníků je běžnou a legitimní součástí podnikání. Nařízení neříká, že údaje nesmíte mít. Říká, že je musíte zpracovávat zákonně, pro jasný účel, v přiměřeném rozsahu a bezpečně. V Česku ho doplňuje zákon č. 110/2019 Sb., o zpracování osobních údajů, a dozor vykonává Úřad pro ochranu osobních údajů.

Osobními údaji nejsou údaje o firmě jako takové, například název společnosti či sídlo. Jsou jimi však jméno, e-mail a telefon kontaktní osoby, stejně jako údaje o živnostnících (OSVČ) a soukromých zákaznících. Prakticky tedy pravidla platí pro téměř každé CRM.

Tento článek je praktický přehled pro majitele menších firem, ne právní poradenství. U konkrétních otázek, zejména u citlivých údajů nebo rozsáhlejšího zpracování, se poraďte s odborníkem na ochranu osobních údajů.

Na jakém základě údaje máte

Každé zpracování osobních údajů potřebuje právní základ. GDPR jich zná šest a u běžné evidence zákazníků se nejčastěji uplatní čtyři. Souhlas tedy není jediná možnost a často ani ta nejvhodnější.

U oprávněného zájmu byste měli umět zdůvodnit, proč údaje potřebujete a proč tím zákazníka nepřiměřeně nezatěžujete. U souhlasu platí, že ho lze kdykoli odvolat a odvolání má být stejně jednoduché jako jeho udělení.

• Plnění smlouvy: údaje potřebné k dodání zboží či služby včetně kroků před uzavřením smlouvy, například při přípravě nabídky na žádost zákazníka.
• Právní povinnost: například údaje na fakturách, které musíte uchovávat podle účetních a daňových předpisů.
• Oprávněný zájem: například evidence komunikace se zákazníkem nebo vymáhání pohledávek, pokud nad vaším zájmem nepřevažují zájmy či práva zákazníka.
• Souhlas: typicky u marketingu, newsletteru či zveřejnění fotografií, pokud se nedají opřít o jiný základ.

Co můžete uchovávat

Základním pravidlem je minimalizace: evidujte jen to, co opravdu potřebujete pro daný účel. K dodání služby obvykle stačí jméno, kontakt, adresa a fakturační údaje. Datum narození, číslo občanského průkazu či kopii dokladu běžná firma zpravidla nepotřebuje, pokud to nevyžaduje zvláštní předpis.

Pozor i na poznámky v CRM. Zápis „zákazník má zdravotní problémy, proto se zpožďuje s platbou“ je osobní údaj. U informací o zdraví jde dokonce o zvláštní kategorii s přísnějšími pravidly. Pište poznámky věcně a jen o tom, co souvisí s obchodem.

Údaje mají být také správné. Když vám zákazník oznámí novou adresu nebo telefon, opravte je a staré už nepoužívejte.

Jak dlouho údaje uchovávat

GDPR neurčuje konkrétní lhůty, ale požaduje, abyste údaje nedrželi déle, než je pro daný účel potřeba. Některé lhůty si proto stanovujete sami, jiné určují zvláštní předpisy. Například účetní doklady se podle zákona o účetnictví uchovávají pět let a faktury plátců DPH podle zákona o DPH deset let od konce období, kterého se týkají, takže údaje na nich nemůžete vymazat dřív.

Pro ostatní údaje si určete rozumné lhůty a zapište si je. Neúspěšnou poptávku, která neměla pokračování, nemusíte držet roky. Bývalého zákazníka můžete evidovat, dokud trvají záruky, reklamace či možné nároky, potom jeho údaje vymažte nebo anonymizujte.

Dobrý systém vám s tím pomůže, když na staré záznamy upozorní nebo je po uplynutí lhůty sám anonymizuje. Ruční úklid jednou za rok se totiž v běžném provozu snadno odkládá.

• faktury a účetní doklady: podle účetních a daňových předpisů
• údaje ke smlouvě: po dobu jejího trvání a přiměřenou dobu po skončení, například kvůli zárukám a nárokům
• neúspěšné poptávky: kratší lhůta, kterou umíte zdůvodnit
• marketingové kontakty se souhlasem: dokud souhlas trvá a dokud má kontakt smysl

Kdo má mít k údajům přístup

Ne každý zaměstnanec potřebuje vidět všechno. Obchodník potřebuje své zákazníky a jejich historii, účetní fakturační údaje, technik adresu a kontakt k zakázce. Nastavte přístupy podle rolí, ne podle principu „všichni vidí všechno“.

Stejně důležité je, aby měl každý vlastní přihlášení, ne sdílené heslo. Jen tak víte, kdo k údajům přistupoval a kdo co změnil. Při odchodu zaměstnance mu přístup jednoduše zrušíte a kontakty zůstanou ve firmě.

Pokud údaje zpracovává externí dodavatel, například poskytovatel CRM nebo cloudového úložiště, je v pozici zpracovatele a GDPR vyžaduje, abyste s ním měli smlouvu o zpracování osobních údajů. Zajímejte se také o to, kde jsou data fyzicky uložená.

Souhlasy a marketing

K odeslání faktury či informace o stavu zakázky souhlas nepotřebujete. U marketingu je situace jiná. U e-mailového marketingu je třeba kromě GDPR sledovat i pravidla pro obchodní sdělení (tzv. antispamová pravidla), která u nevyžádaných obchodních e-mailů zpravidla vyžadují souhlas. Výjimkou může být za určitých podmínek nabídka vlastních obdobných produktů stávajícím zákazníkům, kteří měli možnost takové zprávy odmítnout.

Pokud souhlas sbíráte, evidujte, kdo ho dal, kdy, jakým způsobem a k čemu přesně. Souhlas „se vším“ ukrytý v obchodních podmínkách neobstojí. Každý marketingový e-mail by měl obsahovat jednoduchý způsob, jak se odhlásit.

Dokumentace, kterou se vyplatí mít

GDPR stojí i na principu odpovědnosti: nestačí pravidla dodržovat, je třeba umět i doložit, že je dodržujete. Pro menší firmu to nemusí znamenat šanon papírů. Stačí stručně zapsat, jaké údaje zpracováváte, k jakému účelu, na jakém základě, kdo k nim má přístup a jak dlouho je uchováváte.

Takový přehled je dobrým základem i pro formální záznamy o činnostech zpracování. Zda je vaše firma musí vést, závisí na její velikosti a povaze zpracování, a protože se na úrovni EU řešilo zjednodušení této povinnosti pro menší firmy, aktuální stav si ověřte. Zákazníky byste zároveň měli srozumitelně informovat, jak s jejich údaji zacházíte, například v informaci na webu nebo při objednávce.

Práva zákazníků a co dělat, když se ozvou

Zákazník může požádat o přístup ke svým údajům, jejich opravu či výmaz, případně vznést námitku proti zpracování. Odpovědět musíte bez zbytečného odkladu, nejpozději do jednoho měsíce. U složitých případů lze lhůtu prodloužit o další dva měsíce, o čemž je třeba zákazníka v původní lhůtě informovat i s důvodem. Výmaz přitom neznamená smazat faktury, které musíte ze zákona uchovávat.

Pokud dojde k úniku údajů, například při ztrátě notebooku nebo napadení e-mailové schránky, a únik představuje riziko pro dotčené osoby, je třeba ho zpravidla do 72 hodin ohlásit Úřadu pro ochranu osobních údajů. Proto je dobré mít předem jednoduchý postup, kdo v takové situaci co dělá.

Systém, ve kterém evidujete zákazníky, by vám měl tyto úkoly usnadnit: vyexportovat údaje jednoho zákazníka, anonymizovat ho a ukázat, kdo k jeho záznamu přistupoval. Pokud stavíte evidenci na míru, v Lumen Studio s takovými funkcemi počítáme od začátku a první funkční verzi vám obvykle ukážeme do 24 hodin po úvodním hovoru.