Um leið og þú setur vildarkerfi af stað byrjar þú að vinna persónuupplýsingar. Það er ekki formsatriði sem eitt hak í skráningunni leysir – en heldur engin ástæða til að örvænta. Skyldurnar eru afmarkaðar og það má uppfylla þær á einum eftirmiðdegi.

Þessi grein er hagnýtt yfirlit yfir það sem þarf að vera í lagi. Þetta er ekki lögfræðiráðgjöf; ef reksturinn er flóknari eða þú ert í vafa skaltu ráðfæra þig við lögfræðing.

Hver ber ábyrgð á gögnunum: þú, ekki þjónustuaðilinn

Mikilvægasta atriðið fyrst, því allt hitt leiðir af því.

Í vildarkerfi er reksturinn ábyrgðaraðili persónuupplýsinganna (hann ákveður hvers vegna og hvernig þær eru unnar) og kerfisveitandinn vinnsluaðili (hann vinnur þær aðeins samkvæmt fyrirmælum rekstursins). Þetta samband þarf að byggja á vinnslusamningi samkvæmt 28. gr. GDPR.

Í reynd þýðir þetta:

  • Ábyrgðin gagnvart viðskiptavininum og eftirlitsyfirvaldi liggur hjá rekstrinum, ekki þjónustuaðilanum.
  • Þjónustuaðilinn þarf að aðstoða þig þegar viðskiptavinur nýtir réttindi sín.
  • Án gerðs vinnslusamnings brýtur öll vinnslan gegn GDPR – jafnvel þótt allt annað sé í lagi.

Hjá Walio er vinnslusamningurinn hluti af viðskiptaskilmálunum, svo hann verður til sjálfkrafa með aðganginum. Ef þú velur annan þjónustuaðila skaltu ganga úr skugga um þetta fyrst; ef hann býður ekki upp á slíkan samning skaltu leita annað.

Gildir þetta líka um pappírskort?

Algengasti misskilningurinn á þessu sviði: að GDPR snúist um öpp og stafræn kerfi.

Það sem skiptir máli er hvort þú vinnur persónuupplýsingar, ekki með hverju. Kort með tíu reitum fyrir stimpla og engu öðru inniheldur engar persónuupplýsingar – það er einfalt tilvik. En um leið og þú heldur stílabók með nöfnum og símanúmerum við hliðina á því, eða skrifar nafnið beint á kortið, gilda sömu reglur og um hvaða stafræna kerfi sem er: vinnsluheimild, fræðsluskylda, frestir og réttindi viðskiptavinarins.

Munurinn er sá að á pappír uppfyllir þú þær í höndunum og yfirleitt verr. Stílabók undir afgreiðsluborðinu getur hvorki sýnt fram á hvenær viðskiptavinur veitti samþykki né eytt því að beiðni hans án þess að endurskrifa heila síðu. Samanburður á pappír og stafrænu korti skoðar þetta frá hagnýtu hliðinni.

Hvaða vinnsluheimild þú þarft

Vinnsla persónuupplýsinga þarf að byggja á einni af heimildunum í 6. gr. GDPR. Í vildarkerfi rekst þú í reynd á tvær þeirra og það skiptir öllu að rugla þeim ekki saman.

Útgáfa og umsjón kortsins – efndir samnings

Þegar viðskiptavinur biður um vildarkort stofnar hann til sambands við þig: hann safnar stimplum og þú gefur honum umbun fyrir þá. Vinnsla upplýsinga sem eru nauðsynlegar til að þetta gangi upp byggir á efndum samnings (b-liður 1. mgr. 6. gr.).

Hér þarftu ekki samþykki og það eru mistök að krefjast þess – það myndi leiða til þeirrar fáránlegu niðurstöðu að ef viðskiptavinurinn dregur það til baka þyrftir þú að eyða kortinu hans ásamt stimplum sem hann hefur ekki glatað.

Markaðssetning – samþykki

Annað mál er að senda viðskiptavinum tilboð, herferðir og push-tilkynningar um tilboð. Það er ekki nauðsynlegt fyrir umsjón kortsins, svo til þess þarftu samþykki (a-liður 1. mgr. 6. gr.) – sem er veitt af fúsum og frjálsum vilja, er afmarkað og hægt að sýna fram á.

Af þessu leiða þrjár reglur:

  1. Samþykki fyrir markaðssetningu þarf að vera aðskilið frá skráningu kortsins. Ekki eitt hak fyrir hvort tveggja.
  2. Það má ekki vera skilyrði fyrir því að fá kortið. „Þú færð kortið aðeins ef þú samþykkir fréttabréf“ ógildir samþykkið.
  3. Það þarf að vera jafn auðvelt að draga það til baka og að veita það, og þú þarft að geta sýnt fram á hvenær það var veitt og til hvers.

Rekstrarleg áminning („þig vantar einn stimpil í umbun“) er á mörkunum – hún er frekar þjónustuskilaboð um umsjón kortsins. Viðskiptatilboð („20 % afsláttur af öllu í dag“) er markaðssetning og á ekki að senda án samþykkis.

Safnaðu minna en þú getur

Meginreglan um lágmörkun gagna segir að þú eigir aðeins að vinna þær upplýsingar sem eru nauðsynlegar í viðkomandi tilgangi. Fyrir vildarkort þýðir það minna en flest eyðublöð biðja um.

Það sem þú þarft í raun: auðkenni kortsins og skrá yfir stimpla eða punkta. Það er allt og sumt. Kort í Wallet virkar líka án nafns.

Það sem er skynsamlegt ef þú notar það til einhvers: netfang eða símanúmer (til að hafa samband vegna umbunar og markaðssetningar), fornafn (til að ávarpa viðskiptavininn), dagur og mánuður fæðingar (afmæliskveðja).

Það sem þú átt ekki að safna: kennitölu, heimilisfang eða fullan fæðingardag með ártali, nema þú hafir ákveðna ástæðu til. Viðkvæmar persónuupplýsingar – heilsufar, mataræðistakmarkanir sem tjáning trúar – eiga alls ekki heima í vildarkerfi.

Gott próf: fyrir hvern reit á eyðublaðinu skaltu spyrja þig hvað nákvæmlega þú ætlar að gera við þær upplýsingar í næsta mánuði. Ef svarið er ekkert, strikaðu hann út.

Hve lengi á að geyma gögnin

GDPR tilgreinir enga ákveðna fresti en bannar að geyma upplýsingar lengur en nauðsyn krefur. Fyrir vildarkerfi hefur einföld regla reynst vel:

  • Virkt kort: á meðan viðskiptavinurinn notar kortið.
  • Óvirkt kort: settu þér frest (algengt er 24 til 36 mánuðir frá síðustu heimsókn) og eyddu upplýsingunum eða gerðu þær ópersónugreinanlegar þegar hann er liðinn.
  • Samþykki fyrir markaðssetningu: geymdu sönnun um það líka eftir að það er dregið til baka, svo þú getir axlað sönnunarbyrðina.

Aðalatriðið er að þú hafir frestinn skráðan og fylgir honum. Gagnagrunnur sem aðeins hefur verið bætt í í tíu ár er vandamál út af fyrir sig.

Hvað þú þarft að segja viðskiptavininum

Áður en upplýsingum er safnað þarf viðskiptavinurinn að vita (13. gr. GDPR) hver ábyrgðaraðilinn er, í hvaða tilgangi upplýsingunum er safnað, á hvaða heimild, hve lengi þær eru geymdar, hverjum þær eru afhentar og hvaða réttindi hann hefur.

Þetta þarf hvorki að standa á kortinu né á standinum – nóg er að vísa á upplýsingar um vinnsluna, yfirleitt á vefsíðunni þinni, sem hægt er að nálgast úr skráningu kortsins. Ein síða á skýrri íslensku, ekki fimm síður af lagamáli.

Réttindi viðskiptavinarins og hvað þau þýða í reynd

Viðskiptavinurinn á rétt á aðgangi að upplýsingum sínum, leiðréttingu, eyðingu, takmörkun vinnslu, flutningi eigin gagna og andmælum. Þú þarft að svara innan eins mánaðar.

Tvennt sem kemur fólki á óvart:

  • Rétturinn til eyðingar er ekki skilyrðislaus. Ef viðskiptavinur biður um eyðingu en þú ert með gögn sem þér ber að varðveita samkvæmt bókhaldsreglum eyðir þú aðeins því sem þér ber ekki að geyma.
  • Beiðni getur líka komið munnlega við afgreiðsluborðið. Hafðu eina setningu tilbúna fyrir starfsfólkið um hvert á að vísa slíkum viðskiptavini – yfirleitt á netfang rekstursins.

Hvar gögnin eru geymd

Bæði viðskiptavinir og eftirlitsyfirvöld spyrja hvert upplýsingarnar fara. Svarið þarf að koma fram í upplýsingunum þínum um vinnsluna og ætti líka að ná til undirvinnsluaðila sem kerfisveitandinn notar (hýsing, tölvupóstur, greiðslur, Apple og Google vegna kortsins).

Fyrir flutning út fyrir Evrópska efnahagssvæðið þarf lagagrundvöll – ákvörðun framkvæmdastjórnar ESB um fullnægjandi vernd eða staðlaða samningsskilmála. Þetta er spurning til þjónustuaðilans og svarið á að liggja fyrir strax; ef það gerir það ekki er það viðvörunarmerki.

Tvær skyldur sem gleymast

Skrá yfir vinnslustarfsemi (30. gr.). Undanþágan fyrir fyrirtæki með færri en 250 starfsmenn hljómar léttandi, en hún nær ekki til vinnslu sem er ekki tilfallandi – og vildarkerfi er reglubundin vinnsla. Gerðu því ráð fyrir að þú þurfir skrána. Í reynd er hún ein tafla: tilgangur, flokkar upplýsinga og hinna skráðu, vinnsluheimild, frestur til eyðingar, viðtakendur og flutningur út fyrir EES. Hún kemst fyrir á einni síðu og er skrifuð einu sinni.

Persónuverndarfulltrúi. Hér er svarið einfalt fyrir venjulegan rekstur: þú þarft hann ekki. Hann er skylda hjá stjórnvöldum og þar sem meginstarfsemin felst í umfangsmiklu, kerfisbundnu eftirliti eða vinnslu viðkvæmra persónuupplýsinga. Kaffihús eða snyrtistofa með vildarkerfi fellur ekki þar undir.

Gátlisti fyrir upphaf

  • Gerður vinnslusamningur við þjónustuaðilann (28. gr. GDPR)
  • Vinnsluheimild ákveðin sérstaklega fyrir umsjón kortsins (samningur) og sérstaklega fyrir markaðssetningu (samþykki)
  • Samþykki fyrir markaðssetningu aðskilið frá skráningu og hægt að sýna fram á það
  • Upplýsingasöfnun takmörkuð við það sem þú notar í raun
  • Ákveðinn frestur til að eyða óvirkum kortum, og honum fylgt
  • Upplýsingar um vinnsluna aðgengilegar úr skráningu kortsins
  • Verklag við að afgreiða beiðni viðskiptavinar innan eins mánaðar
  • Yfirlit yfir undirvinnsluaðila og hvar gögnin eru unnin
  • Skrá yfir vinnslustarfsemi samkvæmt 30. gr.

Þegar þetta er í lagi stenst vildarkerfið kröfur um persónuvernd – og það er um leið rök gagnvart viðskiptavinum. Gestagrunnur sem þú hefur í eigin umsjá, en ekki á annarra manna vettvangi, er í þessu tilliti auðveldara að verja en tengiliðir sem safnað er í gegnum samfélagsmiðla.

Hvernig Walio stendur að vinnslunni er lýst í persónuverndarstefnunni og í viðskiptaskilmálunum.