RODO w warsztacie samochodowym — jak przetwarzać dane klientów

„RODO nas nie dotyczy, my tylko naprawiamy auta” — to zdanie słyszę w warsztatach regularnie. Tymczasem zakład przetwarza imię, nazwisko, telefon, adres, numer rejestracyjny i VIN, prowadzi historię napraw, nagrywa plac monitoringiem, wysyła SMS-y z przypomnieniem o przeglądzie i trzyma wszystko w systemie warsztatowym w chmurze. To pełnoprawne przetwarzanie danych osobowych. Pokazuję, jak je uporządkować bez korporacyjnego przerostu.

Czy numer rejestracyjny i VIN to dane osobowe

To pytanie wraca zawsze. Odpowiedź: tak, jeżeli pozwalają zidentyfikować osobę fizyczną — a w warsztacie pozwalają, bo są zapisane obok imienia, nazwiska i telefonu właściciela. Dane pojazdu powiązane z danymi właściciela stają się danymi osobowymi i podlegają RODO.

Jakie dane i na jakiej podstawie

Podstawa prawna to fundament. W warsztacie występują zwykle cztery.

1. Wykonanie umowy — dane potrzebne do przyjęcia auta, naprawy i kontaktu w jej sprawie.
2. Obowiązek prawny — dane na fakturze, przechowywanie dokumentacji księgowej, obowiązki BDO.
3. Prawnie uzasadniony interes — monitoring wizyjny, dochodzenie i obrona roszczeń, historia napraw.
4. Zgoda — marketing, przypomnienia o przeglądzie, newsletter, publikacja zdjęć auta klienta.

Dokumenty, które faktycznie są potrzebne

Mały warsztat nie potrzebuje regału segregatorów. Potrzebuje kilku dokumentów, które odpowiadają temu, co realnie robi.

• Klauzula informacyjna dla klienta — na zleceniu naprawy i na stronie internetowej.
• Rejestr czynności przetwarzania — jeśli wymagany dla Twojej działalności; w praktyce warto go mieć.
• Umowy powierzenia z dostawcami: system warsztatowy, biuro rachunkowe, hosting, dostawca SMS.
• Polityka monitoringu wizyjnego wraz z oznakowaniem terenu.
• Upoważnienia do przetwarzania danych dla pracowników i ich zobowiązania do poufności.
• Procedura obsługi żądań klientów i zgłaszania naruszeń.

Monitoring wizyjny na placu

Monitoring jest w warsztacie uzasadniony: chroni mienie klientów i zakładu, a zapisy bywają dowodem w sporach o rysy. Ale wymaga spełnienia warunków.

1. Cel: ochrona mienia i zapewnienie bezpieczeństwa — nie kontrola wydajności pracowników.
2. Oznakowanie terenu w sposób widoczny, przed wejściem w obszar monitorowany.
3. Informacja dla pracowników wprowadzona w regulaminie pracy lub obwieszczeniu.
4. Określony okres przechowywania nagrań i jego przestrzeganie.
5. Ograniczony, udokumentowany dostęp do nagrań.
6. Zakaz obejmowania monitoringiem pomieszczeń sanitarnych i szatni.

Jak długo przechowywać dane

Nie „na zawsze, bo się przyda”. Okres retencji powiąż z celem: dane do rozliczeń podatkowych przez okres wynikający z przepisów podatkowych, dokumentację naprawy przez okres możliwych roszczeń (do upływu przedawnienia), nagrania z monitoringu przez krótki, określony czas, a dane marketingowe do momentu wycofania zgody.

Zdjęcia aut i publikacja w social mediach

Warsztaty chętnie publikują zdjęcia napraw. Trzeba pamiętać o dwóch rzeczach: numer rejestracyjny widoczny na zdjęciu bywa daną osobową i warto go zamaskować, a publikacja wizerunku klienta wymaga jego zgody. Publikowanie zdjęcia cudzego auta z tablicą i podpisem opisującym usterkę to sytuacja, w której klient może realnie protestować.

Prawa klienta, które musisz obsłużyć

• Dostęp do swoich danych i informacja o tym, co przetwarzasz.
• Sprostowanie nieprawidłowych danych.
• Usunięcie danych — o ile nie stoi temu na przeszkodzie obowiązek prawny lub obrona roszczeń.
• Sprzeciw wobec marketingu i wycofanie zgody w dowolnym momencie.
• Ograniczenie przetwarzania i przenoszenie danych w określonych przypadkach.

Najczęstsze błędy warsztatów

• SMS-y i telefony marketingowe bez zgody.
• Brak umów powierzenia z dostawcą systemu warsztatowego i biurem rachunkowym.
• Monitoring bez oznakowania albo obejmujący teren sąsiada.
• Zlecenia z danymi klientów leżące na ladzie, widoczne dla kolejnych osób.
• Brak upoważnień dla pracowników mających dostęp do bazy klientów.
• Przechowywanie danych bezterminowo, bez określonej retencji.

W warsztacie RODO nie polega na segregatorze z politykami, tylko na tym, kto ma dostęp do bazy klientów i czy wysyłasz SMS-y bez zgody.

Zgodność warsztatu z RODO da się osiągnąć kilkoma dokumentami i paroma zmianami w codziennej praktyce — pod warunkiem, że odpowiadają temu, co realnie dzieje się z danymi. W Legalify przygotowujemy dokumentację RODO dla warsztatów, w tym klauzule na zleceniach, politykę monitoringu i umowy powierzenia. Działamy z Wrocławia i zdalnie w całej Polsce — zadzwoń: +48 690 676 629.