GDPR pro osobní trenéry: co s fotkami postavy, mírami a zdravotními údaji

Vedete klientům záznamy o váze, obvodech a zraněních. Posílají vám fotky jejich postavy, abyste viděli progres. Možná si píšete poznámky o tom, že klientka řeší štítnou žlázu nebo že klient bere léky na tlak. Gratulujeme: zpracováváte osobní údaje, a to rovnou té nejcitlivější kategorie, jakou GDPR zná.

Většina trenérů to řeší stylem "nějak to dopadne". Obvykle to dopadne dobře, dokud se s klientem nerozejdete ve zlém. Pak stačí jedna stížnost na Úřad pro ochranu osobních údajů a řešíte problém, který se dal ošetřit dvěma podpisy na začátku spolupráce.

Krátké upozornění: nejsme právníci a tenhle článek není právní poradenství. Je to praktický souhrn toho, co jsme nastudovali, když jsme ochranu údajů stavěli do vlastní aplikace. U sporných věcí se poraďte s právníkem.

Potřebujete souhlas připravit pro své klienty? Vytvořte si zdarma vzor GDPR souhlasu pro trenéry. Údaje zůstávají jen ve vašem prohlížeči.

Jaká data vlastně sbíráte

Rozdělte si to na dvě hromádky. První jsou běžné osobní údaje: jméno, e-mail, telefon, datum narození, fakturační údaje. Ty zpracováváte na základě smlouvy, kterou s klientem máte, klidně ústní. Zvláštní souhlas na ně nepotřebujete, potřebujete o nich jen klienta informovat.

Druhá hromádka je zajímavější. Váha, obvody, fotky postavy, zranění, nemoci, léky, menstruační cyklus u klientek. V kontextu, kdy podle nich sledujete zdraví a kondici klienta, jde o údaje o zdraví podle článku 9 GDPR, takzvanou zvláštní kategorii. A tady už běžný právní základ nestačí. Potřebujete výslovný souhlas.

Výslovný souhlas znamená, že klient aktivně a konkrétně odsouhlasil, že tato data smíte zpracovávat a k čemu. Věta "podpisem souhlasíte se vším" schovaná v obchodních podmínkách výslovný souhlas není. Předem zaškrtnutý checkbox také ne.

Jak souhlas udělat správně

Stačí krátký dokument nebo obrazovka v aplikaci, kde stojí: jaká data sbíráte (míry, fotky, zdravotní anamnéza), proč (vedení tréninku a sledování progresu), jak dlouho je držíte a že souhlas jde kdykoli odvolat. Klient ho potvrdí podpisem nebo kliknutím. Uchovejte si záznam o tom, kdy a jak souhlas dal.

Dvě praktické zásady, které vás podrží. Za prvé, sbírejte jen to, co skutečně používáte. Pokud s fotkami postavy nepracujete, nechtějte je. Za druhé, souhlas nesmí být podmínkou spolupráce tam, kde data nutně nepotřebujete. Klient, který nechce posílat fotky, může pořád trénovat podle vašich plánů.

Fotky postavy si zaslouží extra pozornost

Fotka klienta ve spodním prádle je asi nejcitlivější věc, kterou jako trenér držíte. Pár pravidel:

Nikdy je neposílejte přes WhatsApp nebo Messenger. Ne kvůli šifrování, to mají slušné. Problém je jinde: fotka zůstane navždy v historii chatu, zkopíruje se do galerie telefonu a do cloudových záloh na obou stranách a vy nemáte žádnou možnost zaručit její smazání. S provozovatelem chatu navíc nemáte zpracovatelskou smlouvu. E-mail má stejné problémy.

Držte je na jednom místě, ke kterému máte přístup jen vy a klient. Ne v galerii telefonu vedle fotek z dovolené, ne ve sdílené složce na Disku, kterou jste kdysi nasdíleli ještě někomu třetímu.

A nikdy je nepoužívejte v marketingu bez samostatného souhlasu. Souhlas se zpracováním pro účely tréninku nepokrývá instagramový příspěvek před a po. To je jiný účel a chce vlastní ano.

Aplikace je váš zpracovatel

Jedna věc, na kterou se zapomíná úplně nejčastěji. Vy jste v očích GDPR správce údajů svých klientů. Aplikace, do které data ukládáte, ať už je to tabulka na Disku nebo specializovaný nástroj, je váš zpracovatel. A s každým zpracovatelem máte mít zpracovatelskou smlouvu podle článku 28. U seriózních nástrojů ji najdete v podmínkách jako DPA neboli data processing agreement. Pokud ji poskytovatel nemá, je to varovný signál sám o sobě.

Když klient skončí

Klient má právo požádat o výmaz a vy máte povinnost vyhovět, pokud data nedržíte z jiného právního důvodu. Fakturační údaje si necháváte kvůli účetnictví, to po vás nikdo mazat nechce. Ale fotky postavy, míry a tréninkové záznamy bývalého klienta nemáte důvod držet roky.

Praktické doporučení: stanovte si pravidlo, třeba že data smažete do měsíce od ukončení spolupráce, napište ho do souhlasu a dodržujte ho. Je to deset minut práce jednou za čas a řeší to bezpečnostní i právní riziko zároveň.

Checklist na závěr

Máte s klienty dohodu o spolupráci, ústní stačí, písemná vás ochrání. Pro míry, fotky a zdravotní údaje máte výslovný souhlas s uvedeným účelem. Citlivá data neputují přes chatovací aplikace. S nástroji, kam data ukládáte, máte zpracovatelskou smlouvu. Víte, kde všude data leží, a umíte je smazat. A klient ví, na koho se obrátit, když chce data vidět nebo odstranit.

Pokud jste u některého bodu zaváhali, nejste sami. Právě proto jsme souhlasy podle článku 9 zabudovali přímo do Socra.fit: klient je potvrzuje při registraci, fotky z check-inů leží v zabezpečeném úložišti s řízeným přístupem a výmaz je otázka jednoho kliknutí. Aplikace běží naostro a než spustíme placené tarify, je zdarma bez limitu klientů. Jestli chcete vedení klientů, kde je tohle vyřešené za vás, založte si účet níže.