Személyi edzők, fitnesztermek és az adatvédelem
Bő három év elteltével elmondhatjuk, hogy a gazdasági élet szereplői, főként a cégek egyre szélesebb körben – ha különböző szinteken is – igyekeznek megfelelni az EU-s adatvédelmi rendelet (General Data Protection Regulation – GDPR) előírásainak. Kevésbé kap azonban hangsúlyt az egyéni vállalkozók által nyújtott szolgáltatásokhoz kapcsolódó adatkezelés. E cikkünkben személyi edzők, illetve a különböző edzőtermek, fitneszközpontok szolgáltatásaihoz kötődő adatkezelés kérdéseire világítunk rá – bemutatva a Crosssec Solutions speciálisan számukra kidolgozott egyszerű megoldásait is.
Egyéni vállalkozó személyi edző vagyok, rám is vonatkozik a GDPR?
Általánosságban kijelenthetjük, e téren nem az a kérdés, hogy ki, hanem hogy mit csinál – tehát, ha egy vállalkozó vagy szervezet személyes adatot kezel, és az valamilyen nyilvántartási rendszer részét képezi, akkor nem számít a vállalkozási forma, sem a méret; a GDPR szabályai alkalmazandóak.
Így tehát az egyéni vállalkozókra is – erősíti meg a Nemzeti Adatvédelmi és Információszabadság Hatóság állásfoglalása természetesen abban az esetben, amikor – akár számítógépes akár hagyományos, papír alapú – adatkezelői tevékenységet végeznek. Önmagában egy keresztnév és egy időpont feljegyzése ugyanakkor nem jelenti a GDPR hatálya alá tartozó adatkezelést, ám a legtöbb esetben nemcsak ezeket az adatokat kezeli ügyfeleiről a tréner, hanem jóval többet. Tulajdonképpen egy órára történő online bejelentkezéstől egészen a személyre szabott étrend kialakításáig számos helyen találkozhat személyes adattal, ezért nem kerülhető el a GDPR-nak megfelelő tevékenység kialakítása.
Milyen adatokkal találkozhatok, milyen adatokat kezelhetek a személyi edzés, táplálkozási tanácsadás körében?
Elsőre talán nem is gondolnánk, hogy számos, közte különleges személyes adat kezelése merül fel a szolgáltatás nyújtása során. Gondoljunk csak a weboldalra, ahol az érdeklődők – nevük, e-mail-címük, telefonszámuk megadásával – regisztrálni tudnak; vagy az állapotfelmérésre, amely tipikus adatkezelési tevékenység a szolgáltatás kezdetekor. Sok esetben az ügyfelekről előtte/utána fényképek készülnek, amelyeket felhasználnak a weboldalon vagy a közösségi médiában, és bizony ezek a fotók is személyes adatnak minősülnek.
Csakúgy, mint az életkor, a testsúly, a magasság, és az ezekhez kapcsolódó különböző értékek, például a testtömeg-index (BMI), a testzsírszázalék, az ideális testsúly vagy a pulzusszám. De nyilvántarthatjuk egészségügyi állapotukat is (betegségek, sérülések, műtétek, mozgásszervi panaszok, szedett gyógyszerek). Sok esetben a személyi edzés magába foglalja a táplálkozási tanácsadást is, amelynek során számos személyes adattal találkozhat az edző, mint az ételallergia, étel-intoleranciák, amelyek a GDPR szerint szintén különleges egészségügyi adatnak minősülnek, így fokozottabb védelemben kell részesülniük.
Mindezek mellett egy edzőteremben gyakran előfordulhat kamerás megfigyelés, arcképes bérlet vagy sportkártyák használata, lefoglalt órák típusainak nyilvántartása, az órák időpontjai, a terembe történő be- és kilépés időpontjai, online órák tartása, hírlevél-feliratkozás, kapcsolattartás közösségi platformon, amelyek mind-mind további személyes adatok kezelését hordozzák magukban.
Mit kell tennem személyi edzőként, hogy megfeleljek a GDPR előírásainak?
Az első feladat az adatkezelési folyamatok feltérképezése: meg kell határozni azokat a folyamatokat, amelyek során személyes adatok kezelésére kerül sor. Ez lesz az alapja az adatkezelési tájékoztatóknak, amelyekben meg kell határozni az adatkezelés célját, jogalapját, a kezelt adatok körét és egyéb jellemzőket, amelyeket a rendelet előír. Ha a hozzájárulás a megfelelő jogalap az adatkezelésre, azt – szabályosan – be kell szerezni az ügyfelektől. Ez történhet papír alapon vagy a weboldalon – nem előre bepipált! – jelölőnégyzet segítségével, illetve online alkalmazáson keresztül. Majd el kell készíteni az adatkezelési tájékoztatókat, amelyeket elérhetővé is kell tenni az ügyfelek számára: személyesen, illetve célszerű a honlapra is kihelyezni.
Az egészségügyi adataik kezelése esetén nem szabad megfeledkezni a kifejezett, vagyis teljes mértékben igazolható hozzájárulás biztosításáról és az adatvédelmi hatásvizsgálat szükségességének felméréséről vagy akár magáról a hatásvizsgálatról sem.
Az adatvédelmi megfelelés fontos pontja továbbá a szükséges adatbiztonsági intézkedések megtétele: ezek magukban foglalják az egészen hétköznapi, jól ismert információbiztonsági lépéseket (jelszavas védelem, vírusirtó használata stb), nagyobb edzőtermek esetén pedig akár az informatikai rendszerek alaposabb felülvizsgálatát, az ehhez kapcsolódó belső szabályzat elkészítését is.
Gondoskodni kell továbbá a munkavállalók, a szerződéses partnerek, alvállalkozók kapcsolattartóinak adatkezelésével, esetlegesen információbiztonsági szabályokkal, üzletmenet-folytonossági tervvel és a kamerás megfigyelés szabályozásával – amennyiben ez releváns.
Mindezek alapján láthatjuk, hogy egyéni vállalkozóként működő személyi edzőként, edzőterem üzemeltetőjeként is elengedhetetlen az adatvédelmi megfelelőséggel foglalkozni, hiszen számos szabályszegési lehetőséget rejt klienseink adatainak kezelése, ami akár adatvédelmi bírságot is vonhat maga után. Ennek kialakítása ugyanakkor összetett folyamat, amihez célszerű támogató szakembereket bevonni, mind jogi, mind információbiztonsági területen.
A Crosssec Solutions felkészült szakemberei az edzőterem-üzemeltetők számára is kínálnak megoldást, továbbá az egyéni vállalkozóként tevékenykedő személyi edzők számára kidolgoztak egy egyszerűsített szolgáltatást, amellyel az ő működésük is könnyen, gyorsan megfeleltethető a GDPR szabályainak.
