Oprogramowanie fryzjerskie zgodne z RODO: dane i hosting

Salon prowadzi więcej danych osobowych, niż zwykle się o nim myśli. W kartotece stoi imię, numer telefonu i historia wizyt, obok tego formuły koloru, notatki o strukturze włosa, wzmianki o wcześniejszych reakcjach skóry, czasem zdjęcia „przed i po”. Każdy taki wpis jest przetwarzaniem, za które odpowiada salon — także wtedy, gdy oprogramowanie prowadzi ktoś inny.

Warto od razu wyjaśnić jedno nieporozumienie: wyłączenie z art. 2 ust. 2 lit. c RODO, które zdejmuje obowiązki z czynności czysto osobistych lub domowych, dla salonu nie działa nigdy. Działalność gospodarcza jest przeciwieństwem tego wyjątku. Ten artykuł opisuje, jak uporządkować tę odpowiedzialność w praktyce i po czym poznać, że system pomaga zamiast przeszkadzać. Nie zastępuje porady prawnej — wiążąco wypowiada się Prezes Urzędu Ochrony Danych Osobowych albo prawnik znający temat.

Administratorem jest ten, kto ustala cele i sposoby przetwarzania (art. 4 pkt 7 RODO). W salonie jest to firma prowadząca lokal: to ona decyduje, że prowadzi kartotekę, że wysyła przypomnienia i że zapisuje formuły. Dostawca oprogramowania jest podmiotem przetwarzającym (art. 4 pkt 8) — działa na polecenie salonu i tylko w jego granicach.

Danymi osobowymi jest każda informacja dająca się przypisać możliwej do zidentyfikowania osobie. W salonie mieści się w tym znacznie więcej niż lista adresowa: numer do przypomnienia, adres e-mail z rezerwacji online, historia wizyt, notatka „często się spóźnia”, informacja, kto ostatnio obsługiwał, i sama receptura koloru.

Osobnej uwagi wymaga wąska grupa wpisów: wzmianki o alergiach, nietolerancjach, chorobach skóry, ciąży albo leczeniu onkologicznym. To mogą być dane dotyczące zdrowia, objęte art. 9 ust. 1 RODO, a więc zakazem przetwarzania z wyjątkami z art. 9 ust. 2 — w praktyce salonowej najczęściej wyraźną zgodą osoby, której dane dotyczą. Zbieranie ich nie jest zakazane i przy zabiegach chemicznych bywa wręcz konieczne, ale wymaga świadomej podstawy i osobnego miejsca, nie przypadkowego pola „uwagi”.

Pierwszy krok nic nie kosztuje: przejdź raz pola swojej kartoteki i zaznacz te, które naprawdę służą obsłudze. Czego nie potrzebujesz, tego nie musisz zbierać — a czego nie zbierasz, tego nie da się źle zapisać ani przypadkiem ujawnić.

Pytanie o czas przechowywania wygląda w salonie inaczej niż w większości firm, bo dane pozostają tu użyteczne latami. Receptura sprzed trzech lat to przy stałej klientce wartość, a nie zaległość. Właśnie dlatego w salonach usuwa się rzadko — i właśnie dlatego kartoteki puchną o osoby, które nie były tu od siedmiu lat.

Zasada ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO nie podaje liczby lat; wymaga, żeby dane nie były trzymane dłużej, niż to niezbędne dla celu. Cel ustala salon, więc i termin ustala salon — raz, na piśmie, a potem go stosuje. Dwa lata od ostatniej wizyty to spotykany rząd wielkości dla danych obsługowych, ale to punkt wyjścia do rozmowy, nie norma prawna.

Osobno biegną terminy księgowe. Dokumenty potwierdzające sprzedaż podlegają przepisom podatkowym i o rachunkowości — w praktyce pięć lat liczonych od końca roku — i nie znikają razem z kartoteką. To dwa różne zbiory z dwiema różnymi podstawami i warto trzymać je rozdzielnie; zakres, który dotyczy Twojej firmy, potwierdź w księgowości.

Sprawdź wreszcie na samym systemie, czy taką regułę da się w ogóle wykonać: czy pokazuje nieaktywne rekordy, czy pozwala usunąć pojedynczy wpis bez psucia dawnych wizyt i czy potrafi to zrobić zbiorczo. System, który zna wyłącznie „zachowaj wszystko”, zamienia porządkowanie w pracę ręczną.

Gdy oprogramowanie przechowuje dane klientów, dostawca przetwarza je w imieniu salonu. Potrzebna jest do tego umowa powierzenia przetwarzania, której obowiązkową treść wylicza art. 28 ust. 3 RODO. To nie jest formalność do uzupełnienia później: bez niej powierzenie nie ma podstawy, a w razie kontroli jest to pierwszy dokument, o który zapyta organ.

Zapytaj przed decyzją o trzy rzeczy. Po pierwsze: czy taka umowa istnieje i czy da się ją przeczytać bez rozmowy z działem sprzedaży. Po drugie: gdzie stoją serwery. Danymi klientów w Salon Wizard zarządzamy na hostingu w Niemczech; przy dowolnym innym dostawcy właściwym pytaniem jest, czy przetwarzanie zostaje w UE i EOG, a jeśli nie — na jakiej podstawie z rozdziału V RODO odbywa się transfer. Po trzecie: jacy podwykonawcy biorą w tym udział. Prawie nikt nie prowadzi wszystkiego samodzielnie — hosting, wysyłka e-maili, bramka SMS i rejestrowanie błędów idą zwykle przez kolejne podmioty, a art. 28 ust. 2 i 4 RODO wymaga, żeby były znane i związane tymi samymi obowiązkami.

Jeden punkt bywa regularnie pomijany: dane klientów przetwarzają też narzędzia używane obok oprogramowania. Potwierdzanie terminów w komunikatorze, lista klientek w arkuszu na prywatnym laptopie, zdjęcie w galerii służbowego telefonu. Te boczne drogi są w praktyce częstszym słabym punktem niż sam system salonowy — i to one najczęściej stoją za zgłoszeniem naruszenia, na które art. 33 ust. 1 RODO daje 72 godziny.

W jednoosobowym salonie pytanie prawie nie istnieje, w zespole staje się konkretne szybko. Czy osoba pomagająca w soboty na recepcji musi widzieć notatkę, że u danej klientki nie wykonuje się określonego zabiegu po leczeniu? Czy osoba ucząca się zawodu potrzebuje pełnej historii wszystkich klientów, czy tylko bieżącego dnia?

Reguła jest prostsza, niż brzmi: każda osoba widzi to, czego potrzebuje do swojej pracy, i nic ponadto. Praktycznie znaczy to, że system musi rozróżniać role — recepcja, zespół, kierownictwo — i pozwalać je zmieniać, gdy ktoś przejmuje inne zadania. Zakres uprawnień warto opisać w upoważnieniach do przetwarzania i odnotować w rejestrze czynności przetwarzania z art. 30 RODO; zwolnienie z ust. 5 przy kartotece salonowej zwykle nie działa, bo przetwarzanie nie jest okazjonalne i obejmuje dane szczególnych kategorii.

Najczęściej psuje się odejście z pracy. Gdy ktoś opuszcza salon, dostęp trzeba zablokować — ale przeszłości w systemie nie kasować, bo inaczej dawnych wizyt nie da się już nikomu przypisać. Wyjaśnij więc wcześniej, czy system potrafi dezaktywować konto bez zabierania historii, i ustal, kto wykonuje ten krok. Dostęp, o którym nikt nie pomyślał w dniu wypowiedzenia, zostaje otwarty miesiącami.

Takie żądania trafiają do salonu rzadko, ale trafiają — zwykle mailem, czasem ustnie przy ladzie. Ktoś chce wiedzieć, co salon o nim przechowuje (art. 15 RODO), ktoś chce usunięcia (art. 17), ktoś prostuje błędny numer telefonu (art. 16). Odpowiedzieć musi salon, nie dostawca oprogramowania, a art. 12 ust. 3 RODO daje na to miesiąc, z możliwością przedłużenia o dwa kolejne przy sprawach złożonych.

Przygotuj więc dwie rzeczy, zanim jakiekolwiek żądanie wpłynie. Po pierwsze: wiedz, gdzie w ogóle leżą dane tej osoby — w kartotece, w kalendarzu, w historii wiadomości, w dokumentach księgowych. Po drugie: sprawdź, czy potrafisz wyciągnąć z systemu komplet informacji bez przepisywania ich ręcznie. Eksport pojedynczego rekordu oszczędza tu decydujący nakład, a przy okazji obsługuje prawo do przenoszenia danych z art. 20 RODO.

Przy usunięciu obowiązuje zastrzeżenie z sekcji drugiej: nie wszystko może zniknąć. Dane z dokumentów sprzedaży podlegają terminom podatkowym i zostają, choć dane obsługowe da się usunąć. Jak te dwa wymagania łączą się w konkretnym przypadku, rozstrzyga prawnik albo Prezes UODO — poradnik pokazuje wyłącznie miejsce, w którym pytanie się pojawia. Porządek w samych polach kartoteki opisuje osobno tekst o cyfrowej kartotece klienta fryzjera.