1. Które dane są naprawdę potrzebne
Zasada minimalizacji brzmi prosto: zbierają Państwo dane niezbędne do zawarcia i wykonania umowy, a nie wszystkie, jakie klient ma przy sobie.
| Dane | Po co | Ocena |
|---|---|---|
| Imię i nazwisko, adres | identyfikacja strony umowy | niezbędne |
| Seria i numer dokumentu tożsamości | weryfikacja tożsamości najemcy | uzasadnione, spisane z dokumentu |
| Numer telefonu, adres e-mail | kontakt w trakcie najmu | niezbędne |
| Numer i kategoria prawa jazdy | wymóg przy pojazdach silnikowych | uzasadnione tam, gdzie ma znaczenie |
| Dane firmy wraz z NIP | rozliczenie z klientem firmowym | niezbędne |
| Numer PESEL | dochodzenie roszczeń | ryzykowne, tylko przy jasno określonym celu |
| Skan lub zdjęcie dowodu osobistego | wygoda obsługi | wysokie ryzyko, do unikania |
| Kopia prawa jazdy | wygoda obsługi | wysokie ryzyko, do unikania |
Reguła praktyczna: dane z dokumentu przepisujemy, dokumentu nie kopiujemy. Spisanie serii i numeru realizuje ten sam cel, a nie tworzy zbioru wizerunków i danych, których nikt nie potrzebuje i za które w razie wycieku odpowiadają Państwo.
2. Na jakiej podstawie wolno przetwarzać dane
W wypożyczalni występują zwykle trzy podstawy:
- Wykonanie umowy — dane klienta potrzebne do rezerwacji, wydania sprzętu i rozliczenia. Zgoda nie jest tu potrzebna i proszę o nią nie prosić, bo zgodę można wycofać, a umowę trzeba wykonać.
- Obowiązek prawny — dane na fakturach i w dokumentacji księgowej, przechowywane przez okres wynikający z przepisów podatkowych.
- Prawnie uzasadniony interes — dochodzenie roszczeń, dokumentacja stanu sprzętu, podstawowe zabezpieczenie mienia.
Zgoda pozostaje wyłącznie do marketingu: newsletter, oferty sezonowe, kontakt telefoniczny w celach handlowych. Musi być dobrowolna i możliwa do wycofania, a odmowa nie może blokować wynajmu. Zgoda „przy okazji" wpisana w formularz najmu jako pole obowiązkowe jest wadliwa.
3. Zdjęcia z protokołów
Zdjęcia sprzętu z protokołu wydania i zwrotu są w praktyce danymi osobowymi, ponieważ są powiązane z konkretnym najmem i konkretnym klientem — a bywa, że przypadkiem uchwycą też jego wizerunek albo prywatny pojazd.
Trzy zasady, które porządkują ten temat:
- Fotografujemy sprzęt, nie ludzi. Kadr obejmuje przyczepę, maszynę czy pojazd, nie klienta.
- Zdjęcia należą do rezerwacji, a nie do galerii w prywatnym telefonie pracownika. Po zmianie pracownika dowody nie mogą znikać ani wędrować poza firmę.
- Ten sam okres przechowywania co dla pozostałej dokumentacji najmu, po którym są usuwane.
Jak prowadzić samą dokumentację, opisuje Protokół zdawczo-odbiorczy sprzętu.
4. Jak długo przechowywać dane
Przepisy nie podają jednej liczby dla wszystkiego — okres wynika z celu. Praktyczny podział wygląda tak:
| Rodzaj danych | Orientacyjny okres | Powód |
|---|---|---|
| Dokumenty księgowe i faktury | okres wymagany przepisami podatkowymi | obowiązek prawny |
| Umowy, protokoły i zdjęcia | do upływu terminu przedawnienia roszczeń | dochodzenie i obrona roszczeń |
| Dane kontaktowe do marketingu | do wycofania zgody | zgoda |
| Zapytania, które nie zakończyły się najmem | krótko, zwykle kilka miesięcy | brak dalszego celu |
| Notatki wewnętrzne o kliencie | tylko przez uzasadniony czas | uzasadniony interes |
Konkretne terminy proszę ustalić z księgową i prawnikiem, wpisać do klauzuli informacyjnej i — co najważniejsze — faktycznie ich przestrzegać. Zadeklarowana retencja, po której nikt niczego nie usuwa, jest gorsza niż jej brak.
5. Klauzula informacyjna
Klient musi wiedzieć, kto i po co przetwarza jego dane. Klauzula informacyjna powinna zawierać:
- dane administratora wraz z kontaktem,
- cele i podstawy przetwarzania,
- kategorie odbiorców danych (księgowość, dostawca systemu, ubezpieczyciel, firma windykacyjna),
- okresy przechowywania,
- prawa klienta: dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie,
- informację o prawie wniesienia skargi do organu nadzorczego,
- informację, czy podanie danych jest wymogiem umownym i jakie są skutki ich niepodania.
Miejsce jest jedno: na stronie internetowej plus odesłanie w umowie i w formularzu rezerwacji online. Zasady umieszczenia dokumentów zbiera Regulamin wypożyczalni.
6. Dostawcy, czyli umowy powierzenia
Dane klientów trafiają do podmiotów, które pracują na Państwa zlecenie: biura rachunkowego, dostawcy systemu do obsługi wynajmu, hostingu poczty, operatora płatności. Z każdym z nich potrzebna jest umowa powierzenia przetwarzania danych, a dostawcy powinni być wymienieni w rejestrze czynności przetwarzania.
Przy wyborze dostawcy warto sprawdzić trzy rzeczy: gdzie fizycznie leżą dane, jakie ma zabezpieczenia i czy udostępnia gotową umowę powierzenia. Poważny dostawca ma ją przygotowaną, a nie odsyła do własnego działu prawnego.
7. Bezpieczeństwo w praktyce małej firmy
Nie chodzi o certyfikaty, tylko o kilka nawyków:
- Konta imienne dla każdego pracownika, bez wspólnego loginu na cały plac.
- Role i uprawnienia — obsługa nie musi widzieć raportów finansowych ani całej historii klienta.
- Koniec z arkuszem na pulpicie. Plik z listą klientów kopiowany na prywatny dysk to najczęstszy wyciek w małej firmie.
- Papier pod kluczem, a nie w otwartym segregatorze na ladzie.
- Odbieranie dostępu przy odejściu pracownika — tego samego dnia.
- Krótka procedura na wypadek naruszenia: kto ocenia sytuację, w jakim terminie i kto powiadamia organ nadzorczy oraz klientów.
8. Sytuacje, które w wypożyczalniach sprawiają najwięcej kłopotu
- Kopiowanie dowodu osobistego. Wygodne przy wydaniu, kosztowne przy wycieku. Wystarczy spisać dane potrzebne do umowy.
- Monitoring placu. Wymaga oznakowania, określonego celu i krótkiego okresu przechowywania nagrań.
- Lokalizator w sprzęcie. Dopuszczalny jako zabezpieczenie mienia, ale klient musi być o nim poinformowany w umowie i w klauzuli informacyjnej.
- Publikowanie danych nierzetelnego klienta. Wpis z imieniem i nazwiskiem w mediach społecznościowych to przetwarzanie bez podstawy prawnej i realne ryzyko.
- Zdjęcia klientów przy sprzęcie w reklamie. Wymagają odrębnej zgody na wykorzystanie wizerunku.
Gdzie pomoże Flotello
Flotello jest zaprojektowane tak, żeby ewidencja klienta obywała się bez skanów dokumentów: dane wpisuje się do formularza, obowiązkowość poszczególnych pól ustawia sobie każda wypożyczalnia, a zdjęcia z protokołów zostają przy rezerwacji, nie w telefonie pracownika. Dostęp regulują role, więc pracownik obsługi nie widzi danych finansowych, a każda zmiana zostaje w historii. Podział uprawnień opisuje poradnik Zespół i role, a system można przetestować 7 dni za darmo.