GDPR pro osobní trenéry: co s fotkami postavy, mírami a zdravotními údaji

Vedeš klientům záznamy o váze, obvodech a zraněních. Posílají ti fotky jejich postavy, abys viděl progres. Možná si píšeš poznámky o tom, že klientka řeší štítnou žlázu nebo že klient bere léky na tlak. Gratulujeme: zpracováváš osobní údaje, a to rovnou té nejcitlivější kategorie, jakou GDPR zná.

Většina trenérů to řeší stylem „nějak to dopadne". Obvykle to dopadne dobře, dokud se s klientem nerozejdeš ve zlém. Pak stačí jedna stížnost na Úřad pro ochranu osobních údajů a řešíš problém, který se dal ošetřit dvěma podpisy na začátku spolupráce.

Krátké upozornění: nejsme právníci a tenhle článek není právní poradenství. Je to praktický souhrn toho, co jsme nastudovali, když jsme ochranu údajů stavěli do vlastní aplikace. U sporných věcí se poraď s právníkem.

Potřebuješ souhlas připravit pro své klienty? Vytvoř si zdarma vzor GDPR souhlasu pro trenéry. Údaje zůstávají jen ve tvém prohlížeči.

Jaká data vlastně sbíráš

Rozděl si to na dvě hromádky. První jsou běžné osobní údaje: jméno, e-mail, telefon, datum narození, fakturační údaje. Ty zpracováváš na základě smlouvy, kterou s klientem máš, klidně ústní. Zvláštní souhlas na ně nepotřebuješ, potřebuješ o nich jen klienta informovat.

Druhá hromádka je zajímavější. Váha, obvody, fotky postavy, zranění, nemoci, léky, menstruační cyklus u klientek. V kontextu, kdy podle nich sleduješ zdraví a kondici klienta, jde o údaje o zdraví podle článku 9 GDPR, takzvanou zvláštní kategorii. A tady už běžný právní základ nestačí. Potřebuješ výslovný souhlas.

Výslovný souhlas znamená, že klient aktivně a konkrétně odsouhlasil, že tato data smíš zpracovávat a k čemu. Věta „podpisem souhlasíte se vším" schovaná v obchodních podmínkách výslovný souhlas není. Předem zaškrtnutý checkbox také ne.

Jak souhlas udělat správně

Stačí krátký dokument nebo obrazovka v aplikaci, kde stojí: jaká data sbíráš (míry, fotky, zdravotní anamnéza), proč (vedení tréninku a sledování progresu), jak dlouho je držíš a že souhlas jde kdykoli odvolat, stejně snadno, jako se dává. Klient ho potvrdí podpisem nebo kliknutím. Uchovej si záznam o tom, kdy a jak souhlas dal: podle článku 7 ho musíš umět doložit.

Dvě praktické zásady, které tě podrží. Za prvé, sbírej jen to, co skutečně používáš. Pokud s fotkami postavy nepracuješ, nechtěj je. Za druhé, souhlas nesmí být podmínkou spolupráce tam, kde data nutně nepotřebuješ. Klient, který nechce posílat fotky, může pořád trénovat podle tvých plánů.

Fotky postavy si zaslouží extra pozornost

Fotka klienta ve spodním prádle je asi nejcitlivější věc, kterou jako trenér držíš. Ne že by ji GDPR samo o sobě řadilo mezi zvláštní kategorie, bod 51 odůvodnění výslovně říká, že fotky se za ně automaticky považovat nemají. Citlivou ji dělá kontext: sleduješ podle ní kondici klienta a klient je na ní ve spodním prádle. Pár pravidel:

Nikdy je neposílej přes WhatsApp nebo Messenger. Ne kvůli šifrování, to mají slušné. Problém je jinde: fotka zůstane navždy v historii chatu, zkopíruje se do galerie telefonu a do cloudových záloh na obou stranách a ty nemáš žádnou možnost zaručit její smazání. S provozovatelem chatu navíc nemáš zpracovatelskou smlouvu. E-mail má stejné problémy.

Drž je na jednom místě, ke kterému máš přístup jen ty a klient. Ne v galerii telefonu vedle fotek z dovolené, ne ve sdílené složce na Disku, kterou jsi kdysi nasdílel ještě někomu třetímu.

A nikdy je nepoužívej v marketingu bez samostatného souhlasu. Souhlas se zpracováním pro účely tréninku nepokrývá instagramový příspěvek před a po. To je jiný účel a chce vlastní ano.

Aplikace je tvůj zpracovatel

Jedna věc, na kterou se zapomíná úplně nejčastěji. Ty jsi v očích GDPR správce údajů svých klientů. Aplikace, do které data ukládáš, ať už je to tabulka na Disku nebo specializovaný nástroj, je tvůj zpracovatel. A s každým zpracovatelem máš mít zpracovatelskou smlouvu podle článku 28. U seriózních nástrojů ji najdeš v podmínkách jako DPA neboli data processing agreement. Pokud ji poskytovatel nemá, je to varovný signál sám o sobě.

Když klient skončí

Klient má právo požádat o výmaz a ty máš povinnost vyhovět, pokud data nedržíš z jiného právního důvodu (článek 17 počítá hlavně se zákonnou povinností a s obranou v případném sporu). Fakturační údaje si necháváš kvůli účetnictví, to po tobě nikdo mazat nechce. Ale fotky postavy, míry a tréninkové záznamy bývalého klienta nemáš důvod držet roky.

Praktické doporučení: stanov si pravidlo, třeba že data smažeš do měsíce od ukončení spolupráce, napiš ho do souhlasu a dodržuj ho. Je to deset minut práce jednou za čas a řeší to bezpečnostní i právní riziko zároveň.

Checklist na závěr

Máš s klienty dohodu o spolupráci, ústní stačí, písemná tě ochrání. Pro míry, fotky a zdravotní údaje máš výslovný souhlas s uvedeným účelem. Citlivá data neputují přes chatovací aplikace. S nástroji, kam data ukládáš, máš zpracovatelskou smlouvu. Víš, kde všude data leží, a umíš je smazat. A klient ví, na koho se obrátit, když chce data vidět nebo odstranit.

Pokud jsi u některého bodu zaváhal, nejsi sám. Právě proto jsme souhlasy podle článku 9 zabudovali přímo do Socra.fit: klient je potvrzuje při registraci, fotky z check-inů leží v zabezpečeném úložišti s řízeným přístupem a výmaz je otázka jednoho kliknutí. Aplikace běží naostro, účet si založíš zdarma a první tři klienti jsou zdarma bez časového omezení. Jestli chceš vedení klientů, kde je tohle vyřešené za tebe, založ si účet níže.