Данни на клиенти и GDPR в ресторанта: какво трябва да знаете

Всеки ден в ресторанта Ви влизат лични данни: гост оставя име и телефон за резервация, редовен клиент Ви казва, че е алергичен към ядки, камерата на входа записва кой влиза и излиза. По смисъла на Общия регламент за защита на данните (GDPR) Вие сте „администратор на лични данни“, независимо дали записвате тези данни в софтуер или в тетрадка на бара.

Добрата новина: за един ресторант правилата са напълно изпълними и не изискват нито юрист на щат, нито скъпи консултанти. Изискват ред. В тази статия разглеждаме какви данни всъщност обработвате, на какво основание, колко време можете да ги пазите, какви права имат гостите Ви и какво гласят българските правила за имейл и SMS маркетинг. А редът започва от мястото, където данните се съхраняват: една система за резервации, която пази данните подредено, върши в тази посока повече от всяка папка с декларации.

Какви лични данни обработва един ресторант

Преди да говорим за задължения, струва си да видите колко данни реално минават през заведението Ви:

• Данни от резервации: име, телефон, имейл, дата, час, брой гости, бележки към резервацията. Това е ядрото и то е лични данни в най-чист вид.
• Предпочитания и история: любима маса, повод, честота на посещенията. Полезни за сервиза, но също лични данни.
• Алергии и хранителни ограничения: тук внимавайте. Информацията „алергичен към ракообразни“ се отнася до здравословното състояние на госта, а данните за здравето са специална категория по чл. 9 от GDPR. Записвайте само това, което гостът сам Ви е съобщил за конкретното посещение, и не изграждайте „здравни досиета“ на гостите си.
• Видеонаблюдение: записът от камерите е обработване на лични данни на всеки, който попада в кадър, гости и служители.
• Маркетингови данни: имейл списък за бюлетин, телефони за SMS кампании, последователи, които Ви пишат в социалните мрежи.

Ако водите хартиена тетрадка с имена и телефони, тя също е регистър с лични данни: GDPR не прави разлика между хартия и софтуер. Разликата, както ще видим, е в това колко трудно е с хартията да изпълните задълженията си.

На какво основание обработвате данните: обяснено просто

GDPR изисква за всяко обработване „правно основание“. Звучи страшно, но за ресторант картината е проста и в повечето случаи не Ви трябва съгласие:

• Изпълнение на договор (чл. 6, пар. 1, б. „б“): когато гост резервира маса, между Вас възниква уговорка и Вие имате право да обработите името и телефона му, за да я изпълните. Не Ви е нужно отделно съгласие, за да запишете резервацията, да изпратите потвърждение или напомняне за нея.
• Легитимен интерес (чл. 6, пар. 1, б. „е“): видеонаблюдението за сигурност е класическият пример. Интересът Ви трябва да е реален, а намесата в личната сфера на гостите, разумна и обозначена.
• Съгласие (чл. 6, пар. 1, б. „а“): нужно е там, където обработването не следва от резервацията, преди всичко за маркетинг. Бюлетин, промоционални SMS кампании, поздрав за имен ден: всичко това стъпва на свободно, конкретно и оттегляемо съгласие.

Практическото правило: данните, без които не можете да изпълните резервацията, обработвате без съгласие; всичко, което е „хубаво да имаме за после“, изисква гостът изрично да е казал „да“.

Кой закон важи и кой следи за спазването му

В България се прилагат едновременно Общият регламент (ЕС) 2016/679, GDPR, в сила от 25 май 2018 г., и Законът за защита на личните данни (ЗЗЛД), който го допълва на национално ниво. Надзорен орган е Комисията за защита на личните данни (КЗЛД): тя разглежда жалби на граждани, извършва проверки и налага санкции.

Нека бъдем честни и по въпроса, който вълнува всеки ресторантьор: към момента на писане на тази статия няма публично известна санкция на КЗЛД, наложена на ресторант в България заради данни на гости. Това обаче не е основание за спокойствие по две причини. Първо, задълженията важат независимо от статистиката на глобите, а жалба на един недоволен гост е достатъчна за проверка. Второ, максималните санкции по GDPR са сериозни за бизнес от всякакъв размер: до 20 млн. евро или 4% от годишния оборот за най-тежките нарушения. За малко заведение реалният риск не е милионна глоба, а проверка, предписания и загубено доверие.

Хартиената тетрадка: най-подценяваният риск

Тетрадката с резервации на бара изглежда безобидна, но погледната през GDPR, тя е регистър с лични данни, който:

• стои на публично място и може да бъде прочетен от всеки, надвесил се над плота;
• не позволява контрол на достъпа: целият екип, включително напусналият миналия месец сервитьор, е виждал всичко в нея;
• не може да „изтрие“ един гост при поискване, освен с коректор;
• изчезва цялата наведнъж, ако бъде изгубена, залята или изхвърлена в края на сезона с всички имена и телефони вътре.

В една електронна система достъпът е с парола и по роли, действията се проследяват, а изтриването на данните на конкретен гост е операция от няколко секунди. Защо преходът си струва и отвъд личните данни сме описали подробно в статията за електронната книга за резервации.

Практична хигиена на данните: пет навика

Не Ви трябва наръчник от 60 страници. Трябват Ви пет работещи навика:

1. Събирайте минимум. Име, телефон, брой гости, час: това стига за резервация. Не изисквайте ЕГН, адрес или дата на раждане, защото „така е полето във формуляра“.
2. Ограничете достъпа. Определете кой от екипа реално има нужда да вижда данните на гостите и затворете достъпа за останалите. При напускане на служител деактивирайте профила му още същия ден.
3. Не пазете вечно. GDPR изисква данните да се съхраняват само докато са необходими. Фиксиран законов срок за данни от резервации няма: определете си разумен срок (например история на резервациите, докато гостът е активен, и периодично изчистване на отдавна неактивните), запишете го и го спазвайте.
4. Изберете си обработващ с договор. Софтуерът за резервации, който ползвате, е Ваш „обработващ лични данни“ по чл. 28 от GDPR и трябва да имате с него договор или споразумение за обработване на данни, което урежда какво прави той с данните на гостите Ви. Сериозните доставчици Ви предоставят такова стандартно: ViteUneTable например урежда това в условията си и описва в политиката си за поверителност какво се събира и защо, а данните на гостите Ви остават Ваши, не се препродават и не хранят чужда маркетингова база.
5. Кажете на гостите какво правите. Кратко и ясно съобщение при онлайн резервация и страница с политика за поверителност покриват задължението за прозрачност. Никой не очаква от ресторант юридически трактат, очаква се честност.

Правата на гостите: какво да правите при поискване

Всеки гост има право да поиска от Вас:

• достъп: да разбере какви негови данни съхранявате;
• коригиране: да поправите сгрешен телефон или име;
• изтриване: да заличите данните му, когато няма основание да ги пазите;
• възражение и оттегляне на съгласие: да спре маркетинговите Ви съобщения по всяко време.

Отговорете без излишно забавяне и най-късно до един месец. В практиката на един ресторант това са редки, прости искания: „изтрийте ми номера“ и „спрете да ми пращате имейли“. С подредена система и двете отнемат минута; проблем стават само когато данните са пръснати между тетрадка, лични телефони и папка в офиса. Ако гостът не е доволен от отговора Ви, той може да подаде жалба до КЗЛД, затова е по-добре искането да бъде уважено бързо и любезно.

Имейл и SMS маркетинг: българските правила

Тук грешат най-често дори добросъвестни заведения. Правилата са две и се допълват:

• Опция „съгласие първо“ (opt-in): чл. 6 от Закона за електронната търговия (ЗЕТ) забранява изпращането на непоискани търговски съобщения до потребители без предварителното им съгласие. Купен списък с имейли или „ще ги добавя, нали са ми били гости“ не е съгласие.
• Облекчението за собствени клиенти (soft opt-in): чл. 261, ал. 2 от Закона за електронните съобщения (ЗЕС) позволява да използвате имейл, получен при продажба на Ваша услуга, за да предлагате Ваши сходни услуги, при две условия: гостът да е имал възможност да откаже още при събирането на адреса и всяко следващо съобщение да съдържа лесен отказ.

Преведено на ресторантски език: на гост, който е резервирал и вечерял при Вас, можете да изпратите съобщение за Вашето новогодишно меню, ако при резервацията е имал отметка за отказ и ако в имейла има работещ линк „отпиши ме“. Не можете обаче да пишете на хора, които никога не са Ви били клиенти, нито да продължавате след отказ. Всеки отказ изпълнявайте веднага и окончателно. Как да превърнете това в работеща програма за връщане на гостите, без да дразните никого, сме разгледали в статията за постоянните клиенти на ресторанта.

Видеонаблюдение: две изречения, които спестяват проблеми

Камерите за сигурност са допустими на основание легитимен интерес, но с три условия: видимо обозначение (табела „обектът е под видеонаблюдение“ с данни кой е администраторът), обхват, ограничен до необходимото (входът и касата, не тоалетните), и кратък срок на съхранение на записите, след който те се изтриват автоматично. Не използвайте записите за друго освен за сигурност: „да видим колко се бави сервитьорката“ е друго обработване, за което това основание не стига.

Чеклист: GDPR в ресторанта за един следобед

• Знаете какви данни събирате и къде физически стоят те
• Резервациите са в система с пароли и роли, не в тетрадка на бара
• Събирате само необходимото: без ЕГН, без излишни полета
• Алергии записвате само по думите на госта и само за посещението
• Имате договор за обработване на данни с доставчика на софтуера си
• Определили сте срок на съхранение и чистите неактивните данни
• Маркетингови съобщения пращате само със съгласие или по soft opt-in, с отказ във всяко съобщение
• Табела за видеонаблюдение има, записите се пазят кратко
• Екипът знае, че при искане „изтрийте ме“ се реагира до месец
• Имате кратка политика за поверителност, достъпна за гостите

Често задавани въпроси

Трябва ли ми съгласие от госта, за да запиша резервацията му?

Не. Записването на име и телефон за резервация стъпва на основанието „изпълнение на договор“ по чл. 6 от GDPR: без тези данни не можете да изпълните резервацията. Съгласие Ви трябва едва когато искате да използвате същите данни за нещо друго, най-често за маркетинг.

Колко време мога да пазя данните от резервациите?

GDPR не посочва конкретен срок, а принцип: данните се пазят само докато са необходими. Определете си сами разумен срок, запишете го в политиката си и го прилагайте, например периодично изтриване или анонимизиране на гости без нито едно посещение от дълго време. Важното е да можете да обясните защо пазите това, което пазите.

Мога ли да пращам имейли на стари клиенти без изрично съгласие?

Да, при условията на чл. 261, ал. 2 от ЗЕС: адресът да е получен при продажба на Ваша услуга, съобщенията да рекламират Ваши сходни услуги и гостът да е можел да откаже при събирането на адреса и да може да откаже във всяко следващо съобщение. Извън тази хипотеза важи чл. 6 от ЗЕТ: първо съгласие, после съобщение.

Хартиената тетрадка с резервации нарушава ли GDPR?

Сама по себе си не: регламентът е технологично неутрален. На практика обаче с тетрадка е трудно да изпълните основните задължения: контрол на достъпа, изтриване при поискване, защита срещу загуба. Затова преминаването към електронна книга за резервации е най-бързият практически ход към съответствие.

Глобяван ли е ресторант в България по GDPR?

Публично известна санкция на КЗЛД срещу ресторант заради данни на гости няма към момента на писане. Задълженията обаче важат за всеки администратор, а проверка може да започне от една-единствена жалба, най-често заради нежелани маркетингови съобщения или видеонаблюдение без обозначение.

Алергиите на гостите специална категория данни ли са?

Информацията за хранителна алергия се отнася до здравето и попада в специалните категории по чл. 9 от GDPR. Практическият подход: записвайте я само когато гостът сам я съобщи, използвайте я само за конкретното обслужване и не я превръщайте в траен „здравен профил“ без изрично съгласие.