GDPR в автосервиза: номера, VIN, камери и напомняния

Сервизът обработва лични данни всеки ден: име, телефон, регистрационен номер, VIN, история на ремонтите. За самия ремонт не ви трябва съгласие, защото основанието е изпълнение на договор. Съгласие трябва само за маркетинг, включително SMS напомняния за ГТП, а за камерите трябва табела на всеки вход, срок на съхранение и регистър. Останалото е ред в документите, който се прави веднъж.

Кои данни в сервиза са лични

Лични данни са всички, които водят до конкретен човек. В сервиза това е почти всичко в тефтера или в програмата.

Регистрационният номер сам по себе си е просто номер. Записан до името и телефона на собственика в картата, той е лични данни. Същото важи за VIN. Затова снимка на кола с четлив номер, пусната в социалните мрежи "вижте какво оправихме днес", е обработка на лични данни без основание, ако клиентът не е съгласен.

Основанието за ремонта е договорът

За всичко, което е нужно за ремонта и фактурата, правното основание е изпълнение на договор. Не искайте съгласие за неща, за които не ви трябва. Съгласие, което клиентът може да оттегли, е по-слабо основание от договора, който не може да оттегли, докато иска колата си обратно.

Практически това значи: клиентът дава име, телефон и номер на колата, вие ги записвате в картата, и толкова. Не трябва отметка "съгласен съм да ми обработвате данните", защото без тях няма как да го намерите, когато колата е готова.

Това, което трябва, е информация. Клиентът има право да знае кой е администраторът, за какво ползвате данните, колко ги пазите и какви права има. Тази информация е кратък текст в общите условия или в отделна декларация, която стои в приемната и на сайта. Готов текст има в бланката информация за лични данни и съгласие за напомняния.

SMS и имейл напомняния: тук трябва съгласие

Напомнянията за ГТП, за смяна на масло по километри или за сезонна смяна на гуми са полезни за клиента и добри за сервиза, но не са част от изпълнението на конкретна поръчка. Те са маркетинг. За тях се иска отделно съгласие с отделна отметка, която не е предварително сложена.

Правилата, които работят:

• отделна отметка "искам да получавам напомняния за ГТП и обслужване по SMS и имейл", не скрита в общите условия
• възможност за отказ във всяко съобщение или с едно обаждане
• записана дата и начин на даване на съгласието, за да го докажете при жалба
• отделно съгласие за реклама на промоции, ако пращате и такива

Отметката може да е на приемо-предавателния протокол, в клиентския портал или на страницата за онлайн записване. В програма за сервиз това е поле по клиент. В Сервизко напомнянията за ГТП и сервизни интервали през графика и календара се пращат по SMS и имейл на клиентите, при които съгласието е отбелязано, а как да ги организирате е описано в статията за напомнянията за технически преглед.

Съобщението "колата ви е готова" не е маркетинг. То е част от изпълнението на поръчката и не иска съгласие.

Камерите: най-честата жалба в КЗЛД

Видеонаблюдението е категорията с най-много жалби в Комисията за защита на личните данни: 345 жалби през 2024 г. Камери има навсякъде, табели има рядко.

Какво изисква редът за камерите:

• Информационна табела на всеки вход - пиктограма и текст: администратор, цел, срок на съхранение, контакт за права. На входа за клиенти, на входа за коли, на служебния вход.
• Определен срок на съхранение - обичайно до 30 дни. След това записите се изтриват автоматично. По-дълъг срок трябва да е обоснован.
• Регистър "Видеонаблюдение" - дейността е вписана в регистъра на дейностите по обработка: цел, обхват, срок, кой има достъп.
• Обхват на камерите - работни зони, двор, каса. Не съблекални и битови помещения на персонала.
• Достъп до записите - определен човек, парола, без пращане на записи в чат групи.
• Информиране на персонала - работниците знаят за камерите и за целта им, писмено.

Табелата е най-лесната част и най-често липсва. Готова табела за входа с текст за видеонаблюдение има за печат в А4 и А3 заедно с табелата по чл. 8 ЗЗП, която също е задължителна на входа.

Запис "за всеки случай" за половин година не е обоснован срок. Ако имате нужда от запис за конкретен инцидент, извадете го, запазете го отделно с отбелязана причина и оставете системата да изтрие останалото по срок.

Документите, които трябва да имате

Комплектът за малък сервиз е от пет документа. Правят се веднъж и се обновяват при промяна.

1. Политика за поверителност: кой сте, какви данни, за какво, колко време, права на клиента, контакт. Стои на сайта и в приемната.
2. Регистър на дейностите по обработка: списък на дейностите (клиенти и автомобили, фактури, персонал, видеонаблюдение, напомняния) с цел, основание, срок и достъп.
3. Табела за видеонаблюдение на всеки вход.
4. Информация за лични данни за клиенти с отделно съгласие за напомняния.
5. Ред за отговор при искане на клиент: кой отговаря, в какъв срок, как се изтриват данни.

Клаузата за лични данни в общите условия за ремонт препраща към политиката, а не я замества. Какво още трябва да пише в общите условия е разгледано в статията за общите условия за ремонт.

Грешките, които се случват в малкия сервиз

Проблемите тръгват от навици, които никой не е смятал за проблем.

• Снимки на коли с четливи номера в социалните мрежи без съгласие на собственика.
• Тефтер с имена и телефони на бюрото в приемната, отворен за всеки, който чака.
• Един общ вход в програмата за целия сервиз с една парола, залепена на монитора.
• Стар компютър с базата данни, продаден или изхвърлен без изтриване.
• Записи от камерите, пратени в чат групата на сервиза "вижте какво направи този".
• Данни на клиенти, пазени от десет години, без никой да знае защо.

Всяка от тях се оправя с едно правило и пет минути.

Данните в програмата

Програмата за сервиз е администратор на данните заедно с вас: вие сте администраторът, доставчикът на софтуера е обработващ. Питайте го къде са сървърите, кой има достъп и как се прави архив. Отговорът трябва да е конкретен.

Вътре в сервиза важат ролите. Майсторът вижда картата, по която работи, офисът вижда клиентите и фактурите, собственикът вижда всичко. В Сервизко има три роли (собственик, офис и механик) и всеки влиза със свой профил, така че знаете кой какво е гледал. Данните се експортират, когато клиент поиска копие или решите да смените програма, и се изтриват по клиент, когато срокът изтече.

Тефтерът няма роли, няма срок на съхранение и няма архив. Това е причината GDPR да е по-лесен в програма, отколкото на хартия.

Какво да направите тази седмица

Обиколете входовете и пребройте табелите. Проверете колко дни пази записите системата за видеонаблюдение и сложете срок, ако няма. Добавете отметката за напомняния в протокола. Разпечатайте политиката за поверителност и я окачете до ценоразписа. Четири неща за един следобед, и най-честите поводи за жалба са затворени.

Източници

• Видеонаблюдение и лични данни, права и практика на КЗЛД: https://www.online-learning.bg/videonablyudenie-i-lichni-danni-%E2%80%93-prava-zakoni-i-sveti-ot-kzld
• Законни видеокамери, изисквания към табела и срок: https://gglaw.bg/zakonni-video-kameri/
• Комисия за защита на личните данни: https://www.cpdp.bg/?p=element_view&aid=365
• Чести GDPR грешки на малкия бизнес: https://gdprbg.com/blog/10-chesti-gdpr-greshki-biznes.html
• Общи GDPR бланки за клиенти: https://advokattrifonov.com/бланки-gdpr/
• Закон за защита на потребителите (чл. 8, табела на входа): https://kik-info.com/normativna-baza/zakoni/zzp/

Тази статия не е правен съвет. Практиката на КЗЛД и изискванията към видеонаблюдението се променят, затова за конкретна ситуация проверете актуалните указания на комисията или се консултирайте с юрист.