Karta klienta to podstawa pracy warsztatu i jednocześnie zbiór danych osobowych, którym rządzi RODO. Zaniedbanie tego obszaru grozi z jednej strony bałaganem w obsłudze stałych klientów, z drugiej karą administracyjną. Artykuł pokazuje, co zapisywać w karcie klienta, czego wymaga RODO od małego warsztatu i podaje gotowy wzór klauzuli informacyjnej.
Do czego służy karta klienta
Pozwala rozpoznać klienta przy kolejnej wizycie i połączyć go z historią jego aut, przypomina, jak klient woli się kontaktować, jest podstawą do faktury i pozwala przypomnieć o przeglądzie. Po kilku latach uporządkowana baza kilkuset klientów z historią aut jest jednym z najcenniejszych zasobów warsztatu.
Co zapisywać w karcie klienta
Dane podstawowe: imię i nazwisko albo nazwa firmy z NIP, telefon, e-mail. Bez nich nie da się obsłużyć klienta; każda z tych informacji to dane osobowe.
Dane dodatkowe: adres do faktury, preferencje kontaktu (wieczorem, SMS zamiast telefonu), krótkie notatki organizacyjne i źródło, z którego klient trafił do warsztatu. RODO wymaga, żeby zbierać tylko to, co ma zastosowanie; ocen osobistych lepiej nie zapisywać, bo klient ma prawo zobaczyć wszystko, co warsztat o nim trzyma.
Dane aut na osobnych kartach; ich zakres opisuje artykuł o historii serwisowej auta. Numer VIN razem z pozostałymi danymi także pozwala rozpoznać osobę, więc podlega ochronie; więcej w artykule o numerze VIN.
Czego RODO wymaga od warsztatu
RODO obowiązuje od maja 2018 roku każdego, kto przetwarza dane klientów, także jednoosobowy warsztat. Sześć zasad w praktyce:
- Podstawa prawna. W warsztacie to zwykle wykonanie umowy naprawy (art. 6 ust. 1 lit. b) albo uzasadniony interes warsztatu, np. obrona przed reklamacją (lit. f).
- Jeden cel. Dane zebrane do naprawy służą naprawie i obsłudze klienta. Reklama niezwiązana z usługami warsztatu albo odsprzedaż danych wymagają osobnej zgody.
- Tylko to, co potrzebne. Bez zbierania informacji na zapas.
- Dane aktualne. Klient ma prawo poprawić błędne dane.
- Nie dłużej, niż trzeba. Wyjątkiem są dokumenty księgowe, przechowywane przez okres z przepisów podatkowych.
- Bezpiecznie. Hasła, szyfrowane połączenie, kopie zapasowe, a przy papierze zamykana szafa.
Prawa klienta
Klient może zażądać informacji, jakie dane warsztat ma i po co (art. 15), ich poprawienia (art. 16), usunięcia (art. 17, z wyjątkiem dokumentów wymaganych przepisami), ograniczenia przetwarzania (art. 18), wydania w formie elektronicznej (art. 20) i może sprzeciwić się np. marketingowi (art. 21). Na żądanie trzeba odpowiedzieć w ciągu miesiąca, niezależnie od wielkości warsztatu. W dobrym programie kopia danych klienta to jedno kliknięcie i gotowy PDF.
Wzór klauzuli informacyjnej dla warsztatu samochodowego
Klauzula informacyjna realizuje obowiązek z art. 13 RODO: klient dostaje informację o przetwarzaniu swoich danych w chwili ich podania, zwykle przy przyjęciu auta. Można ją wręczyć, dołączyć do zlecenia albo wywiesić w miejscu obsługi. Pola w nawiasach kwadratowych wymagają uzupełnienia, a pozycje oznaczone jako opcjonalne usuwa się, jeżeli nie dotyczą warsztatu.
Klauzula informacyjna dla klientów warsztatu [nazwa warsztatu]
Zgodnie z art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) informuje się, że:
- Administrator danych. Administratorem danych osobowych jest [imię i nazwisko lub nazwa firmy], [adres siedziby], NIP [numer]. Kontakt z administratorem: tel. [numer telefonu], e-mail [adres e-mail]. [Opcjonalnie, jeżeli wyznaczono inspektora ochrony danych: kontakt z inspektorem pod adresem [adres e-mail].]
- Cele i podstawy prawne przetwarzania. Dane osobowe są przetwarzane w celu:
- przyjęcia i wykonania zlecenia naprawy lub obsługi pojazdu, w tym kontaktu w sprawie zlecenia (art. 6 ust. 1 lit. b RODO, wykonanie umowy);
- wystawienia i przechowywania dokumentów księgowych oraz wypełnienia innych obowiązków wynikających z przepisów podatkowych i rachunkowych (art. 6 ust. 1 lit. c RODO, obowiązek prawny ciążący na administratorze);
- ustalenia, dochodzenia lub obrony roszczeń oraz prowadzenia historii serwisowej pojazdu na potrzeby rozpatrywania reklamacji, w tym z tytułu rękojmi i gwarancji (art. 6 ust. 1 lit. f RODO); prawnie uzasadnionym interesem administratora jest udokumentowanie wykonanych prac oraz ochrona przed roszczeniami;
- [opcjonalnie: przesyłania informacji marketingowych na podstawie zgody (art. 6 ust. 1 lit. a RODO); zgodę można wycofać w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem].
- Odbiorcy danych. Dane mogą być przekazywane dostawcy programu warsztatowego [nazwa dostawcy], który przetwarza je jako podmiot przetwarzający na podstawie umowy powierzenia przetwarzania danych (art. 28 RODO), biuru rachunkowemu [nazwa biura] w zakresie obsługi księgowej oraz [opcjonalnie: zakładowi ubezpieczeń w przypadku naprawy rozliczanej z polisy OC lub AC].
- Okres przechowywania. Dane przetwarzane w celu wykonania umowy przechowuje się przez czas jej wykonania, a następnie do upływu terminu przedawnienia roszczeń z umowy (art. 118 Kodeksu cywilnego oraz przepisy szczególne, w tym art. 646 Kodeksu cywilnego dla umowy o dzieło). Dokumenty księgowe przechowuje się do upływu okresu przedawnienia zobowiązania podatkowego, co do zasady przez 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 86 § 1 w związku z art. 70 § 1 Ordynacji podatkowej). Dane przetwarzane na podstawie prawnie uzasadnionego interesu przechowuje się do upływu terminu przedawnienia roszczeń albo do uwzględnienia sprzeciwu. [Opcjonalnie: dane przetwarzane na podstawie zgody przechowuje się do jej wycofania.]
- Prawa klienta. Klientowi przysługuje prawo dostępu do danych (art. 15 RODO), ich sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych przetwarzanych w sposób zautomatyzowany na podstawie umowy lub zgody (art. 20) oraz wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie administratora (art. 21). Prawo do usunięcia nie obejmuje danych, których przechowywania wymagają przepisy prawa lub które są niezbędne do ustalenia, dochodzenia lub obrony roszczeń (art. 17 ust. 3 lit. b i e). Żądania przyjmowane są [w warsztacie, telefonicznie lub pod adresem e-mail [adres e-mail]].
- Skarga do organu nadzorczego. Klientowi przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), jeżeli uzna, że przetwarzanie jego danych narusza RODO (art. 77 RODO).
- Dobrowolność podania danych. Podanie danych jest dobrowolne, lecz niezbędne do zawarcia i wykonania umowy naprawy, a w zakresie danych umieszczanych na fakturze także do jej wystawienia zgodnie z przepisami o podatku od towarów i usług. Niepodanie danych uniemożliwia przyjęcie zlecenia lub wystawienie faktury.
- Zautomatyzowane podejmowanie decyzji. Dane nie są wykorzystywane do zautomatyzowanego podejmowania decyzji, w tym do profilowania.
Wzór trzeba dopasować do własnego warsztatu, zwłaszcza do rzeczywistych celów i odbiorców danych, i przed wdrożeniem warto pokazać go prawnikowi. AutoZeszyt przechowuje dane na serwerach w Unii Europejskiej, a umowę powierzenia zawiera się przy rejestracji konta, od której biegnie 30 dni bez opłat.
Umowa powierzenia z dostawcą programu
Warsztat, który trzyma dane klientów w programie zewnętrznego dostawcy, musi mieć z nim umowę powierzenia przetwarzania danych (art. 28 RODO). Określa ona zakres i cel przetwarzania, obowiązki dostawcy w ochronie danych, postępowanie przy incydencie i zwrot lub usunięcie danych po zakończeniu umowy. Większość dostawców ma gotowy wzór zawierany przy zakładaniu konta; warto sprawdzić, czy zawiera te elementy. Brak takiej umowy to naruszenie RODO.
Minimalne zabezpieczenia
W programie: szyfrowane połączenie, mocne hasła, kontrola tego, kto ma dostęp, regularne kopie zapasowe, aktualizacje i ochrona antywirusowa na urządzeniach z dostępem do bazy. Na papierze: zeszyty i dokumenty w zamykanym miejscu, zabezpieczone przed ogniem i wodą, niszczone po upływie okresu przechowywania. Porównanie obu form zawiera artykuł zeszyt warsztatowy online i papierowy.
Przyjęcie klienta zgodne z RODO
- Przy pierwszym telefonie tylko imię i numer, żeby umówić wizytę.
- Przy przyjęciu auta uzupełnienie karty klienta i auta.
- Przekazanie klauzuli informacyjnej: wręczonej albo wywieszonej w warsztacie.
- Zgoda marketingowa, jeżeli warsztat planuje wysyłać coś więcej niż informacje o zleceniu.
- Zlecenie z pełną historią naprawy.
- Paragon lub faktura razem z wydrukiem z naprawy.
Najczęstsze błędy
Brak klauzuli lub polityki prywatności, brak umowy powierzenia z dostawcą programu, zbieranie danych na zapas, brak sposobu obsługi żądań klientów, słabe hasła i brak kopii zapasowych oraz oceny klienta zapisane tam, gdzie klient może je zobaczyć, korzystając z prawa dostępu. Każdy z tych błędów to ryzyko kary, ale częściej ryzyko utraty zaufania, gdy sprawa wyjdzie na jaw. Porządek w pozostałych dokumentach opisuje artykuł o papierologii w warsztacie.
Najczęstsze pytania
Czy mały warsztat samochodowy podlega RODO?
Tak. RODO obejmuje każdego, kto przetwarza dane osobowe w Unii Europejskiej, niezależnie od wielkości firmy. Jednoosobowy warsztat z bazą klientów też jest administratorem danych.
Czy zeszyt papierowy z danymi klientów podlega RODO?
Tak. Forma nie ma znaczenia; zeszyt z nazwiskami i telefonami klientów to zbiór danych osobowych z tymi samymi obowiązkami co program.
Jak długo można przechowywać dane klienta po ostatniej wizycie?
Dane ze zlecenia zwykle do upływu przedawnienia roszczeń z umowy (art. 118 i 646 Kodeksu cywilnego), a dokumenty księgowe przez 5 lat od końca roku, w którym minął termin płatności podatku (Ordynacja podatkowa). Przyjęte okresy podaje się w klauzuli informacyjnej.
Czy warsztat samochodowy musi posiadać Inspektora Ochrony Danych?
Zwykle nie. Inspektor jest wymagany w przypadkach z art. 37 RODO, np. w organach publicznych i przy przetwarzaniu danych na dużą skalę. Brak inspektora nie zwalnia z pozostałych obowiązków.
Czy warsztat może wysłać klientowi wiadomość SMS z przypomnieniem o przeglądzie bez jego zgody?
Przypomnienie dotyczące auta, które warsztat obsługiwał, mieści się zwykle w uzasadnionym interesie warsztatu. Reklama wykraczająca poza obsługę wymaga osobnej zgody. Granica bywa niejasna, dlatego w razie wątpliwości warto zapytać prawnika.
Jak zabezpieczyć dane klientów w razie kradzieży telefonu z dostępem do programu warsztatowego?
Blokada ekranu (PIN, odcisk palca), automatyczne wylogowanie po bezczynności i możliwość wylogowania urządzenia z konta w programie. Po zgubieniu telefonu trzeba od razu wylogować urządzenie i zmienić hasło.
Czy klient może zażądać kopii wszystkich swoich danych przechowywanych przez warsztat?
Tak, na podstawie art. 15 RODO. Kopię, zwykle wydruk albo PDF, trzeba przekazać w ciągu miesiąca od żądania; w skomplikowanych przypadkach termin można wydłużyć do trzech miesięcy.
Czy AutoZeszyt jest zgodny z RODO?
Program dla warsztatu samochodowego AutoZeszyt przechowuje dane na serwerach w Unii Europejskiej, łączy się wyłącznie szyfrowanym połączeniem i robi regularne kopie zapasowe. Umowa powierzenia przetwarzania danych jest zawierana przy rejestracji konta, a dane klienta można wyeksportować do PDF albo zanonimizować na jego żądanie.
Materiał ma charakter informacyjny i nie stanowi porady prawnej. Przepisy i ich interpretacje zmieniają się, dlatego przy wdrażaniu obowiązków RODO zalecana jest konsultacja z radcą prawnym lub inspektorem ochrony danych.