Ez a cikk általános tájékoztatás, nem jogi tanácsadás. Konkrét kérdésben adatvédelmi szakemberhez vagy ügyvédhez érdemes fordulni.
A legtöbb szervizvezető úgy gondol a GDPR-ra, mint ami a nagy cégeknek szól. Pedig az autószerviz napi szinten kezel személyes adatot: az ügyfél nevét és telefonszámát, a rendszámot és az alvázszámot (ezek egy konkrét emberhez köthetők, tehát személyes adatok), a munkalap tartalmát, a számla adatait. Az adatkezelő ilyenkor a szerviz — a szoftver, amiben tárolja, csak adatfeldolgozó. A jó hír: a teendők száma véges, és egy rendes rendszer a felét elvégzi.
1. Milyen jogalapon kezeli az ügyfél adatait?
A munkalaphoz, a javításhoz és a számlázáshoz szükséges adatokat a szerződés teljesítése jogcímén kezeli — a javítás maga a szerződés, ahhoz kell a név, az elérhetőség, a jármű adata. Hozzájárulást ehhez nem kell kérni (és nem is szabad úgy tenni, mintha az ügyfél „választhatna”: a rendszám nélkül nincs munkalap). A számla adatait jogi kötelezettség alapján őrzi. Ami nem kell a javításhoz — például a születési dátum —, azt ne kérje el.
2. Meddig őrizze a munkalapot?
A számlát és a hozzá tartozó bizonylatokat a számviteli törvény szerint nyolc évig. A munkalapot magát legalább addig, amíg a javításból igény származhat — a jótállási és szavatossági idő alatt biztosan, és a járműelőzmény a szakmai munkához is kell. Amit nem tud indokolni, azt törölje: egy tíz éve nem járt ügyfél telefonszáma nem „jól jöhet még”, hanem kockázat. Ezért fontos, hogy a rendszerben ügyfelet és járművet lehessen törölni, és hogy ez a törlés a mentésekből is kikerüljön.
3. Mit kell írásba adnia az ügyfélnek?
Egy adatkezelési tájékoztatót: ki az adatkezelő (a szerviz, elérhetőséggel), milyen adatot, milyen célból, mennyi ideig kezel, kinek adja át (számlázó, szoftverszolgáltató, könyvelő), és milyen jogai vannak az ügyfélnek (hozzáférés, helyesbítés, törlés, tiltakozás, panasz a NAIH-nál). Ez egy-két oldal, a pultnál kifüggesztve és a honlapon elérhetően. Nem kell aláíratni — tájékoztatni kell.
4. Mi a szoftverszolgáltató szerepe?
Ha az ügyféladatok egy felhős rendszerben vannak, a szolgáltató adatfeldolgozó: az Ön utasítása szerint tárolja és dolgozza fel az adatokat, és erről a GDPR 28. cikke szerint adatfeldolgozási megállapodást kell kötni. Ezt nem külön papíron kell aláírni — egy tisztességes szolgáltatónál az ÁSZF része. Amit ellenőrizzen benne:
- hol tárolják az adatokat (az EU-n belül vagy kívül);
- kik a további adatfeldolgozók (tárhely, levelezés), és értesítik-e Önt, ha változik;
- mi történik incidens esetén, és mennyi időn belül szólnak;
- mi lesz az adatokkal, ha felmond: kiadják-e, mikor törlik;
- tudja-e az érintetti kérelmeket (törlés, adatkiadás) a rendszerben magától teljesíteni.
A Mechano ÁSZF-jének 1. sz. melléklete pontosan ez a megállapodás, az adatkezelési tájékoztató pedig felsorolja a további adatfeldolgozókat és a tárolás helyét.
5. Küldhet e-mailt az ügyfélnek?
A javításhoz kapcsolódó üzeneteket — „kész az autó”, „alkatrészre várunk”, „minden rendben azóta?” — igen: ezek a szolgáltatás részei, nem reklám. Két feltétel: az ügyfél tudjon róla (tájékoztató), és bármikor kérhesse, hogy ne kapjon ilyet — ezért kell, hogy a rendszerben ügyfelenként vagy munkalaponként ki lehessen kapcsolni az értesítést. Ami viszont reklám (akció, hírlevél, „hozza be a barátait”), ahhoz külön, kifejezett hozzájárulás kell, és minden levélben leiratkozási lehetőség.
6. Mi van, ha baj történik?
Elveszett laptop, feltört jelszó, rossz címzettnek küldött munkalap — ez adatvédelmi incidens. A szabály: 72 órán belül bejelentés a NAIH-nak, ha az incidens kockázattal jár az érintettekre, és az érintettek tájékoztatása, ha a kockázat magas. Ehhez tudnia kell, mi történt — ezért fontos, hogy a rendszer naplózza a hozzáféréseket, és hogy a szolgáltató időben szóljon. Egy elveszett laptop kevésbé ijesztő, ha az adatok nem rajta vannak, hanem a felhőben, jelszó és titkosított kapcsolat mögött.
Ellenőrzőlista szervizvezetőknek
- Van egy-két oldalas adatkezelési tájékoztató, a pultnál és a honlapon.
- Csak azt kéri el, ami a javításhoz és a számlához kell.
- Tudja, meddig őriz mit: számla nyolc év, munkalap a jótállás idejéig és a szakmai előzményhez; a többi törlődik.
- A szoftverszolgáltatóval van adatfeldolgozási megállapodás, és tudja, hol vannak az adatok.
- Az ügyfél-értesítés kikapcsolható, a reklámhoz külön hozzájárulás van.
- Minden munkatárs saját belépéssel dolgozik, a szerelő csak azt látja, ami rá tartozik.
- Van mentés, és tudja, ki fér hozzá.
- Tudja, mit tesz incidens esetén, és kihez fordul.
A lista fele a rendszer dolga — a másik fele az Öné. A jó hír, hogy egyik sem nagy: egy délután, és rendben van.