Ανεξάρτητα από το μέγεθος της οργάνωσης, ανεξάρτητα από το αν πρόκειται για ανεξάρτητο εργαστήριο ή αλυσίδα πολυχώρων υγείας, όλοι οι εργαζόμενοι στην ενεργό βιομηχανία αναψυχής πρέπει να προσέχουν ολοένα και περισσότερο τα προσωπικά δεδομένα που συλλέγουν από χρήστες, πελάτες και ποιες είναι αυτές οι πληροφορίες που χρησιμοποιείτε. Σε γενικές γραμμές, η GDPR θέλει να επιβάλει αυστηρότερους κανόνες όσον αφορά τη συλλογή, την αποθήκευση και την επεξεργασία δεδομένων πελατών.
Εκείνοι που εργάζονται στον τομέα της υγείας και της φυσικής κατάστασης έχουν τη δυνατότητα να έρθουν σε επαφή με πληθώρα προσωπικών πληροφοριών και σε ορισμένες περιπτώσεις αυτές οι πληροφορίες θα μπορούσαν να είναι ιδιαίτερα ευαίσθητες. Αυτές οι πληροφορίες θα μπορούσαν να περιλαμβάνουν:
- Όνομα
- Διεύθυνση
- Τηλέφωνα
- Ηλεκτρονική διεύθυνση (email)
- Στοιχεία πληρωμής / κάρτας
- Ιατρικές πληροφορίες (π.χ. ύψος, βάρος, ιατρικές συνθήκες, αναπηρίες)
- Εθνικότητα
Η πλειοψηφία των εγκαταστάσεων γυμναστικής θα έχει ήδη εφαρμόσει διαδικασίες για την εξασφάλιση και επεξεργασία δεδομένων και υπάρχει μια πιθανότητα ότι αυτές θα είναι ήδη συμβατές με το GDPR. Είναι ακόμα σημαντικό για κάθε επαγγελματία γυμναστικής, ιδιαίτερα εκείνοι που είναι ελεύθεροι / αυτοαπασχολούμενοι να γνωρίζουν τις αρχές του GDPR.
Ορισμοί
Προτού να μπορέσετε να διερευνήσετε τα κύρια σημεία του GDPR, είναι σημαντικό να ορίσετε μερικούς βασικούς όρους. Πρώτον, το GDPR ισχύει για δύο ρόλους: υπεύθυνους και επεξεργαστές. Ένας υπεύθυνος είναι ένα πρόσωπο που καθορίζει τους σκοπούς και τα μέσα επεξεργασίας των προσωπικών δεδομένων. Ο δεύτερος ρόλος είναι ένας επεξεργαστής, ο οποίος είναι υπεύθυνος για την επεξεργασία δεδομένων προσωπικού χαρακτήρα για λογαριασμό ενός υπεύθυνου επεξεργασίας. Η επεξεργασία αυτή θα μπορούσε να περιλαμβάνει τη συλλογή, την καταγραφή, την αποθήκευση και ακόμη τη διαγραφή ή καταστροφή προσωπικών δεδομένων.
Σύμφωνα με το GDPR, συγκεκριμένες νομικές υποχρεώσεις εμπίπτουν στους επεξεργαστές, για παράδειγμα, έχουν νομική ευθύνη εάν ευθύνονται για παραβίαση δεδομένων. Οι υπεύθυνοι επεξεργασίας δεδομένων εξακολουθούν να έχουν υποχρεώσεις και πρέπει να διασφαλίζουν ότι οι συμβάσεις που ισχύουν με τους επεξεργαστές είναι συμβατές με GDPR.
Ένα εύκολο παράδειγμα είναι το γυμναστήριο που χρησιμοποιεί μια εξωτερική εταιρεία για τη συλλογή πληρωμών άμεσης χρέωσης για μηνιαίες συνδρομές. Η εξωτερική εταιρεία είναι ο επεξεργαστής και θα πρέπει να αναλάβει νομική ευθύνη για οποιεσδήποτε παραβιάσεις δεδομένων που συνέβησαν με τα δεδομένα που έχουν συλλέξει.
Όπως αναφέρθηκε προηγουμένως, το GDPR ισχύει όχι μόνο για τους υπεύθυνους ή για τους επεξεργαστές δεδομένων που είναι εγκατεστημένοι στην ΕΕ, αλλά και για εκείνους που εδρεύουν αλλού και προσφέρουν υπηρεσίες σε ιδιώτες εντός της ΕΕ.
Επεξεργασία προσωπικών δεδομένων
Το άρθρο 5 του GDPR ορίζει έξι αρχές για την επεξεργασία δεδομένων. Αν είστε αυτοαπασχολούμενος εκπαιδευτής με τη δική του επιχείρηση, τότε θα είναι δική σας ευθύνη να συμμορφώνεστε με τα παρακάτω:
- Τα δεδομένα προσωπικού χαρακτήρα πρέπει να διεκπεραιώνονται με νόμιμο, δίκαιο και διαφανή τρόπο.
- Οποιαδήποτε δεδομένα συλλέγονται πρέπει να γίνονται για συγκεκριμένο και δηλωμένο σκοπό. Πρέπει να εξηγηθεί στον χρήστη / πελάτη γιατί αυτά τα δεδομένα έχουν συλλεχθεί και γιατί πρόκειται να χρησιμοποιηθούν.
- Τα δεδομένα που συλλέγονται πρέπει να είναι σχετικά με μια συγκεκριμένη εργασία, με άλλα λόγια, να ελαχιστοποιούν την ποσότητα των δεδομένων που συλλέγονται όπου είναι δυνατόν.
- Τα προσωπικά δεδομένα πρέπει να ενημερώνονται και να είναι ακριβή.
- Τα δεδομένα δεν πρέπει να αποθηκεύονται για περισσότερο από όσο χρειάζεται.
- Τα προσωπικά δεδομένα πρέπει πάντα να αποθηκεύονται με ασφάλεια.
Συνθήκες επεξεργασίας
Δεν πρόκειται μόνο για τη διασφάλιση ότι τα προσωπικά δεδομένα ικανοποιούν τις αρχές της GDPR, αλλά πρέπει επίσης να διεκπεραιώνονται με νόμιμο τρόπο. Με απλά λόγια, ένας υπεύθυνος επεξεργασίας πρέπει να πληροί τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
- Συναίνεση – Το υποκείμενο των δεδομένων (χρήστης / πελάτης κ.λ.π.) πρέπει να δώσει ρητή συγκατάθεση για την αποθήκευση και τη χρήση των δεδομένων του.
- Συμβατική απόδοση – Τα προσωπικά δεδομένα απαιτούνται για την εκτέλεση μιας σύμβασης ή τη σύναψη σύμβασης. Ένα απλό παράδειγμα θα ήταν οι λεπτομέρειες πληρωμής που απαιτούνται από ένα γυμναστήριο, προκειμένου να τιμολογηθεί ένας πελάτης για την μηνιαία συμμετοχή του στο γυμναστήριο.
- Νομική υποχρέωση – Ο υπεύθυνος επεξεργασίας έχει νομική υποχρέωση να επεξεργάζεται δεδομένα προσωπικού χαρακτήρα.
- Ζωτικά συμφέροντα – Είναι απαραίτητες πληροφορίες για την προστασία των συμφερόντων του υποκειμένου των δεδομένων, για παράδειγμα, οι υποκείμενες ιατρικές παθήσεις που έχει ένας πελάτης που θα μπορούσαν να επηρεάσουν την ικανότητά τους να ασκούν.
- Το δημόσιο συμφέρον – Ο υπεύθυνος επεξεργασίας επεξεργάζεται δεδομένα προσωπικού χαρακτήρα, εφόσον δικαιολογείται από το δημόσιο συμφέρον.
- Δικαιολογημένο συμφέρον – Η επεξεργασία είναι απαραίτητη για σκοπούς νόμιμου συμφέροντος, όπως για παράδειγμα το άμεσο μάρκετινγκ.
Ευαίσθητα δεδομένα
Εάν επεξεργάζεστε ευαίσθητα δεδομένα, καθώς και μία από τις παραπάνω συνθήκες επεξεργασίας, πρέπει επίσης να ικανοποιείτε μία από τις ακόλουθες ειδικές συνθήκες δεδομένων, οι οποίες είναι αυτονόητες:
- Απασχόληση
- Όχι για κέρδος
- Τα δεδομένα έχουν δημοσιοποιηθεί
- Νόμιμες διαδικασίες
- Υγεία
- Αρχειοθέτηση και έρευνα
Συγκατάθεση
- Η συγκατάθεση ήταν ένα από τα πιο ευρέως διαδεδομένα θέματα σχετικά με το GDPR, είναι επίσης η συνήθης συνθήκη επεξεργασίας που χρησιμοποιείται. Η συγκατάθεση ορίζεται ως “ελεύθερη, συγκεκριμένη, ενημερωμένη και αδιαμφισβήτητη ένδειξη των επιθυμιών του προσώπου στο οποίο αναφέρονται τα δεδομένα”. Η συγκατάθεση πρέπει να παρέχεται με θετική δήλωση ή με σαφή καταφατική ενέργεια, για παράδειγμα, ένας πελάτης σημειώνει ένα κουτί στον ιστότοπό σας δηλώνοντας ότι θα ήθελε να λάβει το ενημερωτικό δελτίο ηλεκτρονικού ταχυδρομείου σας.Προκειμένου να ικανοποιηθούν οι απαιτήσεις του GDPR, πρέπει να πληρούνται αυτές οι προϋποθέσεις συγκατάθεσης:Σαφή και απλή γλώσσα.
- Διαχωρισμός – η συγκατάθεση για πολλαπλά πράγματα πρέπει να ορίζεται σαφώς.
- Η επιλογή συμμετοχής.
- Η μη λήψη μέτρων ή τα κουτιά που έχουν επισημανθεί προηγουμένως δεν θεωρούνται ότι δίνουν τη συγκατάθεσή τους.
- Δεν υπάρχουν συνημμένες εγκρίσεις.
- Το υποκείμενο των δεδομένων πρέπει να παρέχει εξατομικευμένη συγκατάθεση για όλα τα δεδομένα που συλλέγονται.
- Γνήσια επιλογή.
- Δεν υπάρχει ανισορροπία ισχύος.
- Ελευθερία να αποσύρει τη συναίνεση.
- Εξουσιοδοτημένη συναίνεση για ευαίσθητα δεδομένα.
Νέα δικαιώματα
Το GDPR εισάγει επίσης δύο νέα δικαιώματα για τα πρόσωπα στα οποία αναφέρονται τα δεδομένα, αξιοποιώντας τα τρία δικαιώματα που υπάρχουν ήδη βάσει του ισχύοντος νόμου περί προστασίας δεδομένων. Τα πέντε δικαιώματα συνολικά είναι:
Το δικαίωμα να αντιταχθεί στο άμεσο μάρκετινγκ.
Το δικαίωμα υποβολής αίτησης πρόσβασης υποκειμένου των δεδομένων.
Το δικαίωμα να αντιταχθεί στην αυτοματοποιημένη λήψη αποφάσεων που έχουν νόμιμες ή σημαντικές συνέπειες.
Το δικαίωμα να ξεχαστεί (ή το δικαίωμα διαγραφής).
Το δικαίωμα μεταφοράς δεδομένων.