Δεδομένα πελατών και GDPR στο εστιατόριο: πρακτικός οδηγός 2026

Ο GDPR έχει κακή φήμη στην εστίαση: φέρνει στο μυαλό πρόστιμα, δικηγόρους και ακαταλαβίστικα έντυπα. Και κάποιες «συμβουλές» χειροτερεύουν τα πράγματα, λέγοντας ότι χρειάζεστε συγκατάθεση ακόμη και για να γράψετε ένα όνομα στο βιβλίο κρατήσεων. Η πραγματικότητα είναι πολύ πιο ήρεμη. Ο Γενικός Κανονισμός Προστασίας Δεδομένων (ΓΚΠΔ, ο ελληνικός όρος για τον GDPR) δεν απαγορεύει το πελατολόγιο· ζητάει τρία πράγματα που είναι πάνω απ' όλα κοινή λογική: συλλέξτε μόνο ό,τι χρειάζεστε, μην κρατάτε τίποτα για πάντα και σεβαστείτε μερικά βασικά δικαιώματα των πελατών σας.

Ένα εστιατόριο που δέχεται κρατήσεις επεξεργάζεται αναπόφευκτα προσωπικά δεδομένα: όνομα, τηλέφωνο, συχνά email, καμιά φορά και μια αλλεργία. Αυτός ο οδηγός εξηγεί τι επιτρέπεται να συλλέγετε και για πόσο καιρό, τι ζητάει στην πράξη η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), τι σημαίνει το άρθρο 11 του ν. 3471/2006 για τα διαφημιστικά σας email και τι πρέπει να είναι εντάξει στη σχέση σας με το σύστημα κρατήσεων.

Με λίγα λόγια:

• το πελατολόγιο επιτρέπεται: η ίδια η κράτηση στηρίζεται στη σύμβαση ως νομική βάση, δεν χρειάζεται συγκατάθεση·
• ο GDPR δεν ορίζει συγκεκριμένο χρόνο διατήρησης: τον ορίζετε εσείς, τον αιτιολογείτε και τον γράφετε στην πολιτική απορρήτου σας·
• η αλλεργία είναι δεδομένο υγείας: καταγράψτε την μόνο όταν τη δηλώνει ο ίδιος ο πελάτης και χρησιμοποιήστε την μόνο για το γεύμα·
• σε αίτημα πρόσβασης ή διαγραφής απαντάτε μέσα σε έναν μήνα·
• τα email στους δικούς σας πελάτες επιτρέπονται χάρη στην εξαίρεση της υπάρχουσας πελατειακής σχέσης, αρκεί κάθε μήνυμα να έχει λειτουργικό link διαγραφής·
• με τον πάροχο του συστήματος κρατήσεων χρειάζεστε σύμβαση επεξεργασίας δεδομένων και αξίζει να ξέρετε ποιος είναι στην πραγματικότητα ο ιδιοκτήτης του πελατολογίου σας.

Ποια δεδομένα πελατών συλλέγει μια κράτηση;

Βασική αρχή του GDPR είναι η ελαχιστοποίηση: συλλέγετε ό,τι χρειάζεται για τον σκοπό, όχι παραπάνω. Έτσι το εξηγεί και ο οδηγός συμμόρφωσης της ΑΠΔΠΧ για τους υπευθύνους επεξεργασίας, και σε μια κράτηση τραπεζιού η λίστα είναι σύντομη και εντελώς ακίνδυνη:

• όνομα (ή ονοματεπώνυμο): για να βρείτε την κράτηση και να υποδεχθείτε τον πελάτη·
• τηλέφωνο: για να βρεθείτε αν κάτι αλλάξει·
• email: για την επιβεβαίωση και την υπενθύμιση της κράτησης·
• ημερομηνία, ώρα και αριθμός ατόμων: αυτό είναι η ίδια η κράτηση·
• ειδικές επιθυμίες: καρεκλάκι μωρού, τραπέζι στην αυλή, γενέθλια.

Αντίστροφα: ημερομηνία γέννησης, διεύθυνση κατοικίας ή επάγγελμα δεν έχουν θέση στη φόρμα κράτησης, γιατί δεν χρειάζονται για να στρωθεί ένα τραπέζι. Ακριβώς αυτή τη λιτότητα ζητάει ο GDPR, και μια καλοφτιαγμένη φόρμα online κρατήσεων την εφαρμόζει από μόνη της: ρωτάει μόνο τα απαραίτητα, στέλνει αυτόματα την επιβεβαίωση και χτίζει το πελατολόγιο τακτικά, κράτηση την κράτηση. Έτσι δουλεύει η ViteUneTable, ένα σύστημα κρατήσεων όπου το πελατολόγιο ανήκει στο εστιατόριο: κάθε κράτηση εμπλουτίζει τη δική σας βάση, όχι κάποιου μεσάζοντα.

Αλλεργίες και διατροφικές προτιμήσεις: προσοχή, δεδομένα υγείας

Μία περίπτωση αξίζει δικό της κεφάλαιο. Ο GDPR κατατάσσει τα δεδομένα υγείας στις ειδικές κατηγορίες δεδομένων με αυξημένη προστασία, και η αλλεργία που δηλώνεται σε μια κράτηση ανήκει εκεί: λέει κάτι για την υγεία ενός συγκεκριμένου ανθρώπου. Ο γενικός κανόνας για τις ειδικές κατηγορίες είναι η απαγόρευση επεξεργασίας, με εξαιρέσεις όπως η ρητή συγκατάθεση. Κανένας λόγος πανικού, αρκεί να κρατήσετε τρεις κανόνες:

1. Ο πελάτης το δηλώνει μόνος του, εσείς δεν το ζητάτε ως υποχρεωτικό πεδίο. Ένα ελεύθερο πεδίο σχολίων όπου γράφει ό,τι θέλει είναι εντελώς διαφορετικό από ένα υποχρεωτικό πεδίο «διατροφικοί περιορισμοί».
2. Η πληροφορία υπηρετεί το γεύμα, όχι το μάρκετινγκ. Χρησιμοποιήστε την στην κουζίνα, τη μέρα της κράτησης. Μην τη μετατρέψετε ποτέ σε διαφημιστικό κριτήριο· αυτό θα απαιτούσε ρητή συγκατάθεση.
3. Μην την κρατάτε επ' αόριστον. Η σημείωση αλλεργίας μιας κράτησης πριν από τρία χρόνια δεν εξυπηρετεί πια τίποτα. Καθαρίζετε τακτικά τέτοια πεδία ή αφήστε τον πελάτη να τη δηλώνει ξανά σε κάθε κράτηση.

Και μια υπενθύμιση που δεν έχει σχέση με τον GDPR: την ενημέρωση για τα αλλεργιογόνα των πιάτων σας τη χρωστάτε ούτως ή άλλως στους πελάτες βάσει του κανονισμού (ΕΕ) 1169/2011, με τον ΕΦΕΤ ως ελεγκτική αρχή, όπως κι αν διαχειρίζεστε τις κρατήσεις σας.

Σε ποια νομική βάση στηρίζεται το πελατολόγιό σας;

Κάθε επεξεργασία προσωπικών δεδομένων χρειάζεται κατά τον GDPR μια νομική βάση. Ακούγεται πιο απειλητικό απ' ό,τι είναι, γιατί στο εστιατόριο δύο περιπτώσεις καλύπτουν σχεδόν τα πάντα. Στην Ελλάδα το πλαίσιο συμπληρώνεται από τον ν. 4624/2019, τον ελληνικό εφαρμοστικό νόμο του GDPR, με την ΑΠΔΠΧ ως εποπτική αρχή.

Η ίδια η κράτηση: σύμβαση. Όποιος κλείνει τραπέζι συνάπτει μια σύμβαση μαζί σας, και το όνομα με τα στοιχεία επικοινωνίας είναι απαραίτητα για την εκτέλεσή της (άρθρο 6 παρ. 1 στοιχείο β του GDPR). Κανένα κουτάκι συγκατάθεσης, κανένα έντυπο: η κράτηση είναι η σύμβαση. Το ίδιο ισχύει για την επιβεβαίωση και την υπενθύμιση πριν από το γεύμα, ανήκουν στην εξυπηρέτηση της κράτησης.

Το μάρκετινγκ: έννομο συμφέρον ή συγκατάθεση. Το να γράψετε στους πελάτες σας εκ των υστέρων είναι ξεχωριστή επεξεργασία. Βάση της μπορεί να είναι το έννομο συμφέρον σας να καλλιεργείτε τη σχέση με τους δικούς σας πελάτες (άρθρο 6 παρ. 1 στοιχείο στ) ή η συγκατάθεση. Στην πράξη, για email και SMS τον τελικό λόγο έχει ο ν. 3471/2006, που εξετάζουμε αμέσως μετά. Ένα όριο πάντως είναι σαφές: η λεπτομερής κατάρτιση προφίλ των πελατών απαιτεί κατά κανόνα συγκατάθεση. Το ότι ο θαμώνας σας προτιμά το τραπέζι στο παράθυρο είναι σημείωση εξυπηρέτησης· το να χτίζετε αναλυτικά προφίλ συμπεριφοράς για διαφήμιση είναι άλλη ιστορία.

Τα δεδομένα υγείας: ρητή συγκατάθεση για οτιδήποτε πέρα από το γεύμα. Αν διστάζετε, μην το κάνετε. Ένα πελατολόγιο δεν χρειάζεται ευαίσθητα δεδομένα για να είναι χρήσιμο.

Email και SMS στους πελάτες σας: τι επιτρέπει το άρθρο 11 του ν. 3471/2006

Πολλοί εστιάτορες μετά τον GDPR δεν τολμούν πια να γράψουν στους πελάτες τους. Κρίμα, γιατί οι κανόνες είναι πιο γενναιόδωροι από τη φήμη τους, και για email και SMS δεν βρίσκονται κυρίως στον GDPR αλλά στο άρθρο 11 του ν. 3471/2006 για τις ηλεκτρονικές επικοινωνίες. Ο γενικός κανόνας: η διαφημιστική επικοινωνία με email ή SMS «επιτρέπεται μόνο αν ο συνδρομητής συγκατατεθεί εκ των προτέρων ρητώς», δηλαδή opt-in.

Ο νόμος όμως έχει μια εξαίρεση χρυσάφι για το εστιατόριο: την υπάρχουσα πελατειακή σχέση. Αν αποκτήσατε νόμιμα το email ενός πελάτη στο πλαίσιο μιας συναλλαγής, μπορείτε να του προωθείτε δικά σας παρόμοια προϊόντα και υπηρεσίες, αρκεί να μην το έχει αρνηθεί, να είχε τη δυνατότητα αντίρρησης ήδη κατά τη συλλογή του email και κάθε μήνυμα να προσφέρει εύκολο και δωρεάν τρόπο διαγραφής. Ο πελάτης που δείπνησε σε εσάς μπορεί λοιπόν να δει το νέο σας μενού ή το ρεβεγιόν σας στα εισερχόμενά του. Σωστά αξιοποιημένο, το ιστορικό κρατήσεων γίνεται το εργαλείο που φέρνει τους πιστούς πελάτες πιο συχνά πίσω.

Η ΑΠΔΠΧ επιβάλλει πραγματικά πρόστιμα σε μικρές επιχειρήσεις για αζήτητα διαφημιστικά email: 3.000 € για newsletter χωρίς έγκυρη συγκατάθεση, με email που είχε αντληθεί από το LinkedIn (απόφαση 30/2022), 5.000 € σε ιδιωτικό ΙΕΚ που αγνόησε και αιτήματα διαγραφής (απόφαση 17/2021), 4.000 € σε κέντρο κατάρτισης (απόφαση 45/2021) και 10.000 € σε μικρή εταιρεία μάρκετινγκ που επιπλέον δεν συνεργάστηκε με την Αρχή (απόφαση 52/2024). Για να είμαστε ακριβείς: πρόστιμο ειδικά σε εστιατόριο δεν έχει δημοσιευθεί μέχρι σήμερα. Αυτό δεν είναι λόγος να δοκιμάσετε την τύχη σας, είναι λόγος να στήσετε το πράγμα σωστά μία φορά: opt-in για τους αγνώστους, εξαίρεση πελατείας για τους δικούς σας πελάτες, link διαγραφής σε κάθε μήνυμα.

Και δύο έννοιες που πρέπει να μένουν χωριστά: η επιβεβαίωση κράτησης δεν είναι διαφήμιση και δεν χρειάζεται συγκατάθεση, ανήκει στη σύμβαση. Το newsletter είναι διαφήμιση και χρειάζεται συγκατάθεση ή την εξαίρεση της πελατειακής σχέσης. Αν δε ο πελάτης πει «σταματήστε», σταματάτε, χωρίς συζήτηση.

Για πόσο καιρό κρατάτε τα δεδομένα πελατών;

Η πιο συχνή ερώτηση, και η ειλικρινής απάντηση πρώτη: ο GDPR δεν ορίζει ενιαία προθεσμία για τα δεδομένα πελατών. Η αρχή του περιορισμού της αποθήκευσης λέει ότι τα δεδομένα διατηρούνται όσο χρειάζονται για τον σκοπό τους, και τον χρόνο τον ορίζετε και τον αιτιολογείτε εσείς. Για το εστιατόριο, μια υπερασπίσιμη πρακτική:

Τα 2 χρόνια δεν είναι απαίτηση του νόμου, και ακριβώς αυτό είναι το νόημα: δεν υπάρχει «νόμιμος αριθμός» για τα δεδομένα πελατών. Αν διαλέξετε 18 μήνες ή 3 χρόνια, κι αυτό στέκει, αρκεί να καταγράψετε γιατί ταιριάζει στον σκοπό. Δύο διευκρινίσεις κάνουν τον κανόνα απόλυτα βιώσιμο στην καθημερινότητα:

• Το ρολόι μηδενίζει σε κάθε επίσκεψη. Ο θαμώνας που έρχεται κάθε μήνα μένει στο πελατολόγιο όσο συνεχίζονται οι επισκέψεις. Δεν χάνετε ποτέ έναν ενεργό πελάτη.
• Το λογιστήριο δεν είναι αρχείο μάρκετινγκ. Το παραστατικό ενός εταιρικού δείπνου φυλάσσεται όσο ορίζει η φορολογική νομοθεσία, αλλά αυτό δεν σας δίνει το δικαίωμα να διαφημίζεστε στο email του πελάτη εξίσου μακρά. Κρατήστε τα χωριστά: τα φορολογικά αρχειοθετούνται, το μάρκετινγκ καθαρίζεται.

Στην πράξη αυτό σημαίνει ένα ξεκαθάρισμα τον χρόνο: οι πελάτες που δεν έχουν δώσει σημείο ζωής εδώ και περίπου δύο χρόνια διαγράφονται από το πελατολόγιο, τα φορολογικά μένουν ανέγγιχτα στο αρχείο τους. Ένα καλό σύστημα κρατήσεων δείχνει την ημερομηνία της τελευταίας κράτησης κάθε πελάτη, οπότε ο γύρος τελειώνει σε μία ώρα.

Το χάρτινο βιβλίο κρατήσεων: ο υποτιμημένος κίνδυνος

Επίμονη παρεξήγηση: ότι ο GDPR αφορά μόνο υπολογιστές. Ο κανονισμός καλύπτει και τα δομημένα χάρτινα αρχεία, και το βιβλίο κρατήσεων με ονόματα και τηλέφωνα είναι ακριβώς αυτό.

Τα πρακτικά προβλήματα απαριθμούνται γρήγορα. Το βιβλίο μένει ανοιχτό στην είσοδο και δείχνει σε όποιον περιμένει τα ονόματα και τα τηλέφωνα όλων των άλλων. Αν κάποιος ζητήσει πρόσβαση ή διαγραφή, ξεφυλλίζετε μήνες σελίδων και «διαγράφετε» με μαρκαδόρο. Το βιβλίο που κάθεται χρόνια στο ράφι δεν έχει από τη φύση του κανέναν χρόνο διατήρησης. Και αν χαθεί, χάνεται μονομιάς το πελατολόγιο μιας ολόκληρης χρονιάς, χωρίς αντίγραφο ασφαλείας. Τίποτα από αυτά δεν είναι απαγορευμένο, όλα όμως είναι δύσκολα. Το ηλεκτρονικό βιβλίο κρατήσεων συγκεντρώνει τα δεδομένα σε ένα μέρος και κάνει την πρόσβαση, τη διόρθωση και τη διαγραφή υπόθεση δευτερολέπτων.

Τα δικαιώματα των πελατών σας: πρόσβαση, διόρθωση, διαγραφή

Οι πελάτες σας έχουν δικαιώματα που μπορούν να επικαλεστούν: να μάθουν τι έχετε αποθηκεύσει για αυτούς (δικαίωμα πρόσβασης), να διορθωθούν τα λάθη, να ζητήσουν διαγραφή και να αρνηθούν την απευθείας εμπορική προώθηση. Η σελίδα της ΑΠΔΠΧ για τα δικαιώματα των πολιτών αξίζει ένα διάβασμα, και ο βασικός κανόνας είναι ότι απαντάτε χωρίς καθυστέρηση και το αργότερο μέσα σε έναν μήνα από το αίτημα.

Στην καθημερινότητα του εστιατορίου τέτοια αιτήματα είναι σπάνια και κλείνουν σε πέντε λεπτά:

• «Διαγράψτε με από το σύστημά σας»: διαγράφετε το προφίλ από το σύστημα κρατήσεων. Στο αρχείο μένουν μόνο όσα επιβάλλει η φορολογική νομοθεσία.
• «Τι ξέρετε για μένα;»: ανοίγετε το προφίλ και ενημερώνετε: στοιχεία επικοινωνίας, ιστορικό κρατήσεων, σημειώσεις.
• «Σταματήστε τα μηνύματα»: αυτό το λύνει ήδη το link διαγραφής κάθε μηνύματος, πριν καν χρειαστεί να σας γράψει κανείς.

Όποιος θεωρεί ότι κρατάτε δεδομένα υπερβολικά ή δεν απαντάτε, μπορεί να προσφύγει στην ΑΠΔΠΧ. Και μια πρακτική προειδοποίηση για τις σημειώσεις πελατών: το δικαίωμα πρόσβασης καλύπτει και τις ελεύθερες σημειώσεις. Το «θέλει τραπέζι στο παράθυρο» και το «ξέρει από κρασιά» είναι χρήσιμες σημειώσεις εξυπηρέτησης· το «δύσκολος τύπος, όλο παράπονα» είναι σημείωση που ο πελάτης δικαιούται να δει. Γράφετε κάθε σημείωση σαν να τη διαβάζει ο πελάτης πάνω από τον ώμο σας, γιατί έχει το δικαίωμα να το κάνει. Και τα στοιχεία πελατών ανήκουν στο σύστημά σας, ποτέ σε δημόσια απάντηση: όποιος επιβεβαιώνει σε απάντηση κριτικής το ονοματεπώνυμο ή την επίσκεψη ενός πελάτη, μοιράζεται προσωπικά δεδομένα με όλο το διαδίκτυο.

Ο πάροχος του συστήματος κρατήσεων: εκτελών την επεξεργασία

Μόλις οι κρατήσεις ζουν σε ένα λογισμικό, ο πάροχός του επεξεργάζεται δεδομένα πελατών για λογαριασμό σας. Ο GDPR απαιτεί τότε σύμβαση επεξεργασίας κατά το άρθρο 28: μια συμφωνία με την οποία ο εκτελών την επεξεργασία δεσμεύεται να ενεργεί μόνο βάσει των οδηγιών σας, να προστατεύει τα δεδομένα και να τα επιστρέφει ή να τα διαγράφει όταν λήξει η συνεργασία. Η ύπαρξή της είναι δική σας ευθύνη ως υπευθύνου επεξεργασίας. Κάθε σοβαρός πάροχος την προσφέρει από μόνος του, συνήθως προς αποδοχή online. Αν δεν υπάρχει, είναι καμπανάκι, γιατί η ευθύνη μένει σε εσάς.

Η σύμβαση επεξεργασίας είναι και η κατάλληλη στιγμή για την ερώτηση που σχεδόν κανένας οδηγός δεν κάνει: ποιανού είναι τελικά το πελατολόγιο; Σε ένα κλασικό λογισμικό κρατήσεων τα πράγματα είναι καθαρά: ο πάροχος είναι εκτελών, τα δεδομένα μένουν δικά σας. Σε ένα marketplace η δομή είναι διαφορετική: ο πελάτης που κάνει κράτηση δημιουργεί λογαριασμό στην πλατφόρμα και γίνεται χρήστης της, στον οποίο στη συνέχεια προτείνεται όλο το ευρετήριο, μαζί και τα εστιατόρια των ανταγωνιστών σας. Δεν είναι μυστικό, είναι το επιχειρηματικό μοντέλο του marketplace. Τρεις ερωτήσεις για κάθε πάροχο, μεγάλο ή μικρό:

1. Μπορώ να εξαγάγω ολόκληρο το πελατολόγιό μου όποτε θελήσω, σε αξιοποιήσιμη μορφή και δωρεάν;
2. Ποιος χρησιμοποιεί τα δεδομένα για μάρκετινγκ: μόνο εγώ ή και η πλατφόρμα για δικούς της σκοπούς;
3. Τι γίνονται τα δεδομένα αν λύσω τη συνεργασία;

Η απάντηση της ViteUneTable είναι απλή και μέρος της ίδιας της ιδέας: το πελατολόγιο ανήκει στο εστιατόριο, τα δεδομένα φιλοξενούνται σε διακομιστές στη Γαλλία χωρίς μεταφορά εκτός ΕΕ, η δωρεάν έκδοση δέχεται απεριόριστες κρατήσεις με 0% προμήθεια και τα στοιχεία των πελατών σας δεν χρησιμοποιούνται ποτέ για την προώθηση άλλων εστιατορίων. Ας είμαστε όμως ειλικρινείς: κανένα λογισμικό στον κόσμο δεν σας κάνει «συμμορφωμένους με τον GDPR» με ένα κλικ. Υπεύθυνος επεξεργασίας παραμένετε εσείς· τα καλά εργαλεία απλώς κάνουν το φορτίο πολύ πιο ελαφρύ.

Και οι κάμερες; Δύο λόγια για τη βιντεοεπιτήρηση

Αν το εστιατόριο έχει κάμερες ασφαλείας, αυτό είναι ξεχωριστή επεξεργασία προσωπικών δεδομένων με δικούς της κανόνες: αναλογικότητα, ενημερωτικές πινακίδες, σύντομοι χρόνοι διατήρησης και απαγόρευση χρήσης για την παρακολούθηση των εργαζομένων. Η ΑΠΔΠΧ διατηρεί ειδική θεματική ενότητα για τα συστήματα βιντεοεπιτήρησης που καλύπτει το θέμα αναλυτικά· αν έχετε κάμερες, διαβάστε την πριν σας τη θυμίσει ένας έλεγχος.

Η λίστα σας για ένα απόγευμα

Κλείνοντας, το ελάχιστο πρόγραμμα για ένα εστιατόριο ήρεμα εντάξει με τον GDPR:

1. Χαρτογραφήστε: πού ζουν σήμερα τα δεδομένα πελατών σας; Σύστημα κρατήσεων, χάρτινο βιβλίο, Excel, email, ταμειακό σύστημα;
2. Σβήστε τα επικίνδυνα αντίγραφα: τα αρχεία Excel που κοιμούνται σε τρεις διαφορετικούς υπολογιστές είναι ο μεγαλύτερος κίνδυνος διαρροής.
3. Δημοσιεύστε πολιτική απορρήτου: ποιος επεξεργάζεται, τι, γιατί, για πόσο και πώς ασκεί ο πελάτης τα δικαιώματά του. Ένα link στη φόρμα κράτησης και στο υποσέλιδο του site αρκεί.
4. Καταγράψτε τις επεξεργασίες σας: μία γραμμή για τις κρατήσεις, μία για τη μισθοδοσία και, αν έχετε κάμερες, μία για τη βιντεοεπιτήρηση.
5. Ορίστε ετήσιο ξεκαθάρισμα: οι ανενεργοί επί περίπου δύο χρόνια πελάτες διαγράφονται, τα φορολογικά μένουν στο αρχείο τους.
6. Ελέγξτε τον πάροχό σας: σύμβαση επεξεργασίας υπογεγραμμένη, εξαγωγή δεδομένων πάντα δυνατή, καμία χρήση των δεδομένων σας για ξένους σκοπούς.

Τίποτα στη λίστα δεν απαιτεί δικηγόρο με πάγια αντιμισθία. Και αν το σημερινό σας εργαλείο κρατήσεων κάνει κάποιο βήμα αδύνατο, το πρόβλημα μάλλον βρίσκεται στο εργαλείο, όχι στον GDPR.

Συχνές ερωτήσεις

Απαγορεύει ο GDPR το πελατολόγιο του εστιατορίου;

Όχι, το αντίθετο: ο GDPR ρυθμίζει το πελατολόγιο, δεν το απαγορεύει. Η κράτηση στηρίζεται στη σύμβαση ως νομική βάση και δεν απαιτεί συγκατάθεση. Οι βασικές σας υποχρεώσεις: συλλέγετε μόνο τα απαραίτητα, ορίζετε και αιτιολογείτε τον χρόνο διατήρησης και απαντάτε σε αιτήματα πρόσβασης, διόρθωσης ή διαγραφής μέσα σε έναν μήνα.

Πόσο καιρό μπορεί ένα εστιατόριο να κρατά τα δεδομένα των πελατών;

Ο GDPR δεν ορίζει συγκεκριμένη προθεσμία: επιλέγετε εσείς τον χρόνο διατήρησης, τον αιτιολογείτε και τον γράφετε στην πολιτική απορρήτου σας. Υπερασπίσιμη πρακτική για τα προφίλ πελατών: όσο διαρκεί η πελατειακή σχέση και περίπου 2 χρόνια μετά την τελευταία επίσκεψη, με κάθε νέα κράτηση να μηδενίζει το ρολόι. Τα φορολογικά αρχεία ακολουθούν τις δικές τους προθεσμίες από τη φορολογική νομοθεσία, χωρίς χρήση για μάρκετινγκ.

Μπορώ να στέλνω newsletter στους πελάτες μου χωρίς συγκατάθεση;

Υπό προϋποθέσεις, ναι. Το άρθρο 11 του ν. 3471/2006 προβλέπει την εξαίρεση της υπάρχουσας πελατειακής σχέσης: σε όποιον σας έδωσε το email του στο πλαίσιο συναλλαγής μπορείτε να προωθείτε δικά σας παρόμοια προϊόντα, αρκεί να μην έχει εναντιωθεί, να είχε τη δυνατότητα άρνησης από την αρχή και κάθε μήνυμα να έχει εύκολο, δωρεάν τρόπο διαγραφής. Για όσους δεν υπήρξαν ποτέ πελάτες σας χρειάζεστε προηγούμενη συγκατάθεση.

Είναι η αλλεργία ευαίσθητο προσωπικό δεδομένο;

Ναι. Η αλλεργία που δηλώνει ένας πελάτης αφορά την υγεία του και ανήκει στις ειδικές κατηγορίες δεδομένων του GDPR. Στην πράξη: τη δηλώνει ο ίδιος οικειοθελώς, τη χρησιμοποιείτε μόνο για την προετοιμασία και το σερβίρισμα του γεύματος και δεν την αποθηκεύετε μόνιμα. Ως κριτήριο στόχευσης διαφημίσεων είναι ταμπού.

Ισχύει ο GDPR και για το χάρτινο βιβλίο κρατήσεων;

Ισχύει. Όταν ένα χάρτινο αρχείο είναι δομημένο έτσι ώστε να εντοπίζονται τα στοιχεία συγκεκριμένου προσώπου, εμπίπτει στον GDPR, και το βιβλίο κρατήσεων με ονόματα και τηλέφωνα το κάνει ακριβώς αυτό. Το χαρτί δυσκολεύει κυρίως την άσκηση των δικαιωμάτων: πρόσβαση και διαγραφή μέσα σε μήνες σελίδων είναι βάσανο, ενώ ένα ηλεκτρονικό σύστημα τα κάνει σε δευτερόλεπτα.

Έχει επιβάλει η ΑΠΔΠΧ πρόστιμο σε εστιατόριο;

Δημοσιευμένο πρόστιμο ειδικά σε εστιατόριο δεν υπάρχει μέχρι σήμερα. Η ΑΠΔΠΧ όμως επιβάλλει τακτικά πρόστιμα σε μικρές επιχειρήσεις για αζήτητα διαφημιστικά email, με ποσά από 3.000 € έως 10.000 € (αποφάσεις 30/2022, 17/2021, 45/2021, 52/2024), και οι ίδιοι κανόνες ισχύουν απαράλλαχτα και για την εστίαση. Με opt-in για τους αγνώστους, την εξαίρεση πελατείας για τους δικούς σας πελάτες και link διαγραφής σε κάθε μήνυμα, είστε καλυμμένοι.