Δικαιόχρηση στην Ελλάδα: προστασία δεδομένων πελατών

Όταν μια υπάρχουσα επιχείρηση αναπτύσσεται μέσω δικαιόχρησης, το πελατολόγιό της δεν μπορεί απλώς να γίνει ένας κοινός φάκελος για όλους τους συνεργάτες. Κρατήσεις, ηλεκτρονικές παραγγελίες και προγράμματα επιβράβευσης δημιουργούν διαφορετικές ευθύνες για κάθε συμμετέχοντα. Σε μια οργανωμένη κοινότητα δικαιόχρησης, η προστασία προσωπικών δεδομένων χρειάζεται σχεδιασμό πριν αποκτήσει ο πρώτος δικαιοδόχος πρόσβαση στα συστήματα — όχι μετά το πρώτο παράπονο πελάτη.

1. Χαρτογραφήστε τις πληροφορίες πριν μοιράσετε πρόσβαση

Ξεκινήστε από την υφιστάμενη επιχείρηση. Καταγράψτε ποιες πληροφορίες συλλέγετε, από πού προέρχονται, για ποιον σκοπό χρησιμοποιούνται και ποιος τις βλέπει. Μην περιοριστείτε στο κεντρικό λογισμικό: υπολογίστε έντυπα ραντεβού, μηνύματα σε κοινωνικά δίκτυα, αρχεία παραπόνων και καταλόγους επικοινωνίας που διατηρούν εργαζόμενοι.

Για κάθε διαδικασία δημιουργήστε μια σύντομη καταγραφή με:

• τις κατηγορίες δεδομένων και τον συγκεκριμένο σκοπό χρήσης,
• την εταιρεία που τα συλλέγει και τους αποδέκτες τους,
• το σύστημα αποθήκευσης και τα δικαιώματα πρόσβασης,
• τη νομική βάση επεξεργασίας και τον χρόνο διατήρησης,
• τον τρόπο διόρθωσης, διαγραφής ή περιορισμού της πρόσβασης.

Διαχωρίστε τις ανάγκες λειτουργίας από την ευκολία της διοίκησης. Ο δικαιοπάροχος μπορεί να χρειάζεται συγκεντρωτικά στοιχεία παραγγελιών χωρίς να χρειάζεται ονόματα ή τηλέφωνα πελατών. Όπου αρκούν πραγματικά ανώνυμα δεδομένα, προτιμήστε αυτή τη λύση. Η απλή αντικατάσταση του ονόματος με έναν κωδικό δεν σημαίνει κατ’ ανάγκη ανωνυμοποίηση.

2. Προσδιορίστε τους νομικούς ρόλους ανά διαδικασία

Στην Ελλάδα δεν υπάρχει ειδικός νόμος που να ρυθμίζει συνολικά τη δικαιόχρηση ως αυτοτελή συμβατικό τύπο, ούτε ειδικό μητρώο δικαιόχρησης ή υποχρεωτικό νομοθετημένο έντυπο προσυμβατικής ενημέρωσης. Η σύμβαση στηρίζεται κυρίως στις γενικές διατάξεις του Αστικού Κώδικα για τις συμβάσεις και τις ενοχές. Αυτό όμως δεν εξαιρεί τη συνεργασία από ειδικούς κανόνες άλλων αντικειμένων.

Για τα προσωπικά δεδομένα εφαρμόζονται ο Γενικός Κανονισμός Προστασίας Δεδομένων, Κανονισμός (ΕΕ) 2016/679, και ο ν. 4624/2019. Για ηλεκτρονική εμπορική επικοινωνία χρειάζεται επίσης έλεγχος του ν. 3471/2006. Δεν αρκεί, επομένως, μια γενική ρήτρα ότι «όλοι τηρούν τη νομοθεσία».

Ο υπεύθυνος επεξεργασίας καθορίζει τους σκοπούς και τα ουσιώδη μέσα της επεξεργασίας. Ο εκτελών επεξεργάζεται δεδομένα για λογαριασμό του υπευθύνου και βάσει οδηγιών. Όταν δύο επιχειρήσεις καθορίζουν από κοινού σκοπούς και μέσα, μπορεί να είναι από κοινού υπεύθυνοι.

Οι ρόλοι προκύπτουν από την πραγματική λειτουργία, όχι από την ονομασία στη σύμβαση. Ένας δικαιοδόχος μπορεί να είναι αυτοτελής υπεύθυνος για το δικό του αρχείο πελατών, ενώ ένα κεντρικό πρόγραμμα επιβράβευσης απαιτεί διαφορετική αξιολόγηση. Η κοινή επωνυμία δεν καθιστά αυτομάτως όλους μία ενιαία οντότητα. Ζητήστε νομικό έλεγχο ανά διαδικασία και τις κατάλληλες συμφωνίες, όπως σύμβαση του άρθρου 28 ή ρύθμιση του άρθρου 26, όπου συντρέχουν οι αντίστοιχες προϋποθέσεις.

3. Μετατρέψτε τις ευθύνες σε συμβατικούς και τεχνικούς κανόνες

Πριν υπογράψει ο πρώτος συνεργάτης, συνδέστε τη σύμβαση δικαιόχρησης με σαφές παράρτημα διαχείρισης δεδομένων. Περιγράψτε ποιος ενημερώνει τον πελάτη, ποιος απαντά στα αιτήματά του, ποιος διαχειρίζεται τους τεχνολογικούς παρόχους και ποιος αναλαμβάνει κάθε ενέργεια όταν εντοπιστεί περιστατικό ασφάλειας.

Προβλέψτε προσωπικούς λογαριασμούς χρηστών, πρόσβαση ανά αρμοδιότητα και άμεση απενεργοποίηση όταν αποχωρεί εργαζόμενος. Ο συνεργάτης ενός καταστήματος δεν πρέπει να βλέπει το πελατολόγιο άλλου μόνο επειδή χρησιμοποιούν το ίδιο λογισμικό. Ελέγξτε επίσης πού αποθηκεύονται τα δεδομένα και αν υπάρχουν διαβιβάσεις εκτός Ευρωπαϊκού Οικονομικού Χώρου που χρειάζονται πρόσθετες εγγυήσεις.

Μην αντιμετωπίζετε τη συγκατάθεση ως καθολική λύση. Η εκτέλεση μιας παραγγελίας και η αποστολή διαφημιστικών μηνυμάτων είναι διαφορετικοί σκοποί. Η νόμιμη βάση και η ενημέρωση πρέπει να εξετάζονται χωριστά, ενώ όπου απαιτείται συγκατάθεση χρειάζεται αποδεικτικό και εύκολος τρόπος ανάκλησης.

Ορίστε επίσης τι συμβαίνει στα αρχεία όταν τελειώσει η συνεργασία. Δεν αρκεί μια πρόβλεψη ότι «το πελατολόγιο ανήκει στο δίκτυο». Κάθε διατήρηση, μεταφορά ή διαγραφή πρέπει να συμβιβάζεται με τη νόμιμη βάση και τυχόν υποχρεωτικές περιόδους τήρησης.

4. Δοκιμάστε τη διαδικασία πριν από την επέκταση

Στο υφιστάμενο κατάστημα πραγματοποιήστε μια δοκιμή με εικονικά δεδομένα: ένας πελάτης ζητά πρόσβαση στις πληροφορίες του, ένας εργαζόμενος αποχωρεί και ένα μήνυμα με στοιχεία παραγγελίας αποστέλλεται σε λάθος παραλήπτη. Ελέγξτε αν η ομάδα γνωρίζει πού απευθύνεται και αν μπορεί να ενεργήσει χωρίς αυτοσχεδιασμό.

Για παραβίαση προσωπικών δεδομένων, ορίστε άμεση εσωτερική ειδοποίηση και υπεύθυνο αξιολόγησης. Ο Κανονισμός προβλέπει γνωστοποίηση στην εποπτική αρχή, όπου απαιτείται, χωρίς αδικαιολόγητη καθυστέρηση και, εφόσον είναι εφικτό, εντός 72 ωρών από τη γνώση του περιστατικού. Δεν γνωστοποιείται αυτομάτως κάθε συμβάν, αλλά κάθε παραβίαση χρειάζεται τεκμηρίωση και αξιολόγηση.

Πρακτικό συμπέρασμα: πριν παραδώσετε πρόσβαση σε νέο δικαιοδόχο, ολοκληρώστε έναν χάρτη δεδομένων, επιβεβαιώστε τους ρόλους και δοκιμάστε τα δικαιώματα χρηστών. Η ασφαλής κοινή λειτουργία αρχίζει από συγκεκριμένες ευθύνες, όχι από έναν κοινό κωδικό.