Jakie dane klientów wolno przechowywać — a które potrzebują własnej podstawy

Mała firma zbiera dane klientów nie z ciekawości, tylko dlatego, że bez nich nie działa. Wizyta potrzebuje imienia i numeru, faktura potrzebuje adresu, drugi zabieg potrzebuje wyniku pierwszego. RODO niczego z tego nie zakazuje. Wymaga tylko, żeby przy każdym wpisie dało się powiedzieć, po co on tam jest.

Na tym wisi wszystko dalsze: cel rozstrzyga o podstawie prawnej, podstawa prawna o przechowywaniu, a obie razem o tym, czy notatka jest niewinną podpórką dla pamięci, czy kategorią danych o surowszych regułach. Ten tekst sortuje to na trzy koszyki i pokazuje na przykładzie, którędy biegnie granica. Jest orientacją — o twoim konkretnym przypadku rozstrzyga Prezes Urzędu Ochrony Danych Osobowych albo porada prawna.

Art. 5 RODO stawia na początku sześć zasad, a trzy z nich dotyczą cię codziennie. Ograniczenie celu: dane zbiera się w konkretnych, wyraźnych celach i nie przetwarza dalej w sposób z nimi niezgodny. Minimalizacja danych: tylko to, co dla tego celu niezbędne. Ograniczenie przechowywania: tylko tak długo, jak cel to niesie.

Do tego dochodzi art. 6 ust. 1 RODO z listą przesłanek, które w ogóle czynią przetwarzanie zgodnym z prawem. Dla firmy usługowej istotne są cztery: wykonanie umowy wraz z działaniami przed jej zawarciem (lit. b), wypełnienie obowiązku prawnego (lit. c), prawnie uzasadniony interes (lit. f) oraz zgoda (lit. a). Zgoda stoi w praktyce najczęściej właśnie tam, gdzie wcale nie byłaby potrzebna.

To więcej niż systematyka. Kto przechowuje termin tylko dlatego, że ktoś wyraził zgodę, zostaje bez podstawy w chwili jej cofnięcia — mimo że termin jest potrzebny do samego wykonania usługi. Odwrotnie: umowa nie uniesie newslettera, choćby relacja była najserdeczniejsza. Podstawa prawna idzie za celem, a nie za wygodą. I nie da się jej wymienić po fakcie, gdy pierwsza okaże się nietrafiona.

Posortuj raz swoją kartotekę na trzy koszyki. Ćwiczenie trwa pół godziny, a potem samo odpowiada na większość pytań szczegółowych. Tylko drugi koszyk nie jest twoją decyzją — o jego długości rozstrzyga okres przechowywania właściwy dla danego rodzaju dokumentu.

Trzeci koszyk robi pracę, i to nie dlatego, że byłby zakazany, tylko dlatego, że powstaje bez decyzji. Pole „data urodzin” zakłada się, bo program je oferuje; trzy lata później nikt już nie wie, czy było do życzeń, czy do sprawdzenia pełnoletności. Jedno i drugie jest dopuszczalne — ale z inną podstawą i innym terminem.

Do trzeciego wiersza należy osobliwość, która zdejmuje z ciebie decyzje: wobec przetwarzania na potrzeby marketingu bezpośredniego każda osoba może w każdej chwili wnieść sprzeciw na podstawie art. 21 ust. 2 RODO. Bez uzasadnienia, bez ważenia interesów. Taki sprzeciw nie jest prośbą, o której rozstrzygasz, tylko końcem tego przetwarzania.

Tu rozstrzyga się teoria. Zapisujesz notatkę do wizyty — trzy warianty, trzy różne stany prawne:

• „Kolor 7.3, czterdzieści minut czasu działania” — informacja o usłudze. Umowa, bez problemu.
• „Przy następnej wizycie obejrzeć tylne hamulce” — informacja o rzeczy, a nie o osobie. Również bez problemu.
• „Podrażniona skóra głowy, nietolerancja amoniaku” — informacja o zdrowiu. A więc już inny artykuł rozporządzenia.

Art. 9 ust. 1 RODO zakazuje co do zasady przetwarzania szczególnych kategorii danych osobowych; dane dotyczące zdrowia są wymienione wprost. Art. 4 pkt 15 definiuje je jako dane ujawniające informacje o stanie zdrowia, a motyw 35 ujmuje to wyraźnie szeroko — łącznie z informacjami powstającymi przy okazji świadczenia usługi.

Zakaz nie jest końcem, tylko początkiem. Art. 9 ust. 2 lit. a uchyla go, gdy osoba, której dane dotyczą, wyraziła wyraźną zgodę. „Wyraźna” wymaga tu więcej niż zwykle: świadomej, nazwanej zgody dokładnie na tę informację, a nie ptaszka pod ogólnym regulaminem. Praktycznie nie jest to duży nakład — jedna linijka w karcie przyjęcia albo w ankiecie, mówiąca, że informacja jest dobrowolna, do czego będzie użyta i że w każdej chwili można ją wycofać.

Ta sama granica dotyka notatki o dziecku („nie toleruje lateksu”), informacji o diecie na przyjęcie i wzmianki o ograniczonej sprawności ruchowej. Pytanie kontrolne jest zawsze to samo: czy stoi tam coś o stanie osoby, czy o usłudze? Tam, gdzie nie potrafisz odpowiedzieć pewnie, traktuj informację jak informację o zdrowiu. To tańszy kierunek pomyłki.

Minimalizacja danych brzmi jak wyrzeczenie, a w rzeczywistości jest ułatwieniem pracy. Każde pole, które istnieje, kiedyś zostanie wypełnione; każdy wypełniony wpis trzeba później utrzymywać, wymienić w odpowiedzi na wniosek i kiedyś usunąć. Najtańszym momentem na pozbycie się danej jest moment, zanim ona powstanie.

Trzy pytania przed każdym nowym polem:

1. Co robię inaczej, jeśli coś tu stoi? Jeśli odpowiedź brzmi „nic”, pole jest zbędne.
2. Czy wystarczy informacja mniej dokładna? „Pełnoletni: tak” zamiast daty urodzenia. „Preferuje przedpołudnia” zamiast godzin pracy danej osoby.
3. Kto w firmie musi to widzieć? Notatka z zabiegu należy do osoby, która ten zabieg wykonuje — a nie na ekran przy kasie, z którego czyta następny klient.

Na trzecie pytanie musi odpowiedzieć oprogramowanie, a nie dyscyplina. Tam, gdzie terminy, notatki i faktury i tak leżą w jednym systemie, rozdzielenie według ról jest ustawieniem; tam, gdzie są rozproszone po kartkach, kalendarzu ściennym i arkuszu, pozostaje postanowieniem. Jak wygląda to dla salonu, pokazuje oprogramowanie dla salonu, a dla warsztatu samochodowego oprogramowanie dla warsztatu. Samo pytanie pozostaje to samo, niezależnie od narzędzia.

Z trzech koszyków powstaje zestawienie, a to zestawienie jest już rdzeniem tego, czego art. 30 RODO wymaga jako rejestru czynności przetwarzania: cele, kategorie danych i osób, których dane dotyczą, odbiorcy, planowane terminy usunięcia oraz ogólny opis technicznych i organizacyjnych środków bezpieczeństwa.

Art. 30 ust. 5 zawiera wyjątek dla podmiotów zatrudniających mniej niż 250 osób — który w praktyce prawie nigdy nie działa. Odpada z chwilą, gdy przetwarzanie może powodować ryzyko naruszenia praw lub wolności osób, gdy nie ma charakteru sporadycznego albo gdy obejmuje szczególne kategorie z art. 9. Prowadzona na bieżąco kartoteka klientów nie jest przetwarzaniem sporadycznym. Kto powołuje się na ten wyjątek, powołuje się z reguły na kryterium, którego własna firma nie spełnia.

Dobra wiadomość: rejestr nie jest ekspertyzą. Tabela z jednym wierszem na czynność — umawianie wizyt, fakturowanie, newsletter, rekrutacja, monitoring wizyjny, jeśli jest — spełnia wymóg. Prowadzi się go na piśmie, forma elektroniczna wystarcza (art. 30 ust. 3), a do organu nadzorczego trafia wyłącznie na żądanie (ust. 4).

Inspektor ochrony danych z tego nie wynika. Art. 37 ust. 1 wymaga go w trzech przypadkach, które małej firmy usługowej zwykle nie dotyczą: organ lub podmiot publiczny, regularne i systematyczne monitorowanie na dużą skalę jako główna działalność albo przetwarzanie szczególnych kategorii na dużą skalę jako główna działalność. W Polsce — i to jest różnica wobec niektórych innych państw członkowskich — ustawa krajowa nie dokłada tu żadnego progu liczby zatrudnionych; obowiązek wynika wyłącznie z art. 37 ust. 1. Kto natomiast inspektora wyznaczy, dobrowolnie albo z obowiązku, ma jeszcze jedną powinność: zawiadamia o tym Prezesa Urzędu Ochrony Danych Osobowych w terminie 14 dni od wyznaczenia, w postaci elektronicznej opatrzonej kwalifikowanym podpisem elektronicznym albo podpisem zaufanym.