Franchise-adatkezelés: ki felel a közös ügyféladatokért?

Amikor meglévő vállalkozásodból franchise-közösséget építesz, a közös foglalási rendszer, webáruház vagy hűségprogram könnyen természetes alapfelszerelésnek tűnik. Az ügyféladatok azonban nem válnak szabadon megoszthatóvá attól, hogy minden partner ugyanazt a márkát használja. Még az első csatlakozó előtt meg kell határoznod, ki milyen adatot, milyen célból és milyen felelősséggel kezel. Enélkül a jól működő központi rendszer is adatvédelmi kockázatot teremthet.

1. Rajzold fel az adat útját, ne csak a szoftverét

Indulj ki egy valós ügyfélhelyzetből: valaki időpontot foglal a központi honlapon, megjelenik a partner üzletében, fizet, majd elégedettségi kérdőívet kap. Minden lépésnél más vállalkozás és más adatkezelési cél jelenhet meg. A szoftver tulajdonosa önmagában nem feltétlenül az összes adatkezelés felelőse.

Készíts egyszerű adatáramlási táblázatot, amelyben külön sor szerepel minden folyamathoz. Legalább ezeket rögzítsd:

• milyen személyes adat keletkezik;
• melyik vállalkozás gyűjti, és ki fér hozzá;
• mi az adatkezelés célja és jogalapja;
• meddig szükséges megőrizni az adatot;
• történik-e adattovábbítás külső szolgáltatónak vagy másik partnernek.

Válaszd külön a szolgáltatás teljesítését, a számlázást, a panaszkezelést és a marketinget. Attól, hogy egy e-mail-cím szükséges a foglalás visszaigazolásához, még nem használható automatikusan központi reklámlevelekhez. Ugyanígy a partner számlázási kötelezettsége sem indokolja, hogy a teljes ügyféllistáját minden másik üzlet lássa.

A tervezés során kérdezd meg: valóban szüksége van a központnak név szerinti adatokra? A forgalom vagy a kapacitás kihasználtságának elemzéséhez gyakran elegendő összesített kimutatás. A pusztán kóddal helyettesített ügyfélazonosító ugyanakkor még nem feltétlenül jelent anonim adatot.

2. A tényleges működés alapján oszd ki a szerepeket

Az adatvédelmi szerepeket nem a franchise-szerződésben választott elnevezés, hanem a tényleges döntési helyzet határozza meg. Az adatkezelő az adatkezelés céljairól és eszközeiről dönt; az adatfeldolgozó az adatkezelő nevében, annak utasításai szerint jár el.

Három gyakori helyzetet érdemes elkülöníteni:

• Önálló adatkezelés: a partner saját ügyfeleivel szerződik, saját számlázást végez, és önállóan teljesíti kapcsolódó kötelezettségeit.
• Adatfeldolgozás: a központ kizárólag a partner dokumentált utasításai alapján működtet egy ügyfélkezelő funkciót, saját felhasználási cél nélkül.
• Közös adatkezelés: a központ és a partner együtt határozza meg például egy közös hűségprogram adatkezelési céljait és lényeges eszközeit.

Egy vállalkozás eltérő folyamatokban eltérő szerepet tölthet be. Ezért ne minősítsd a partnert általánosságban adatfeldolgozónak csak azért, mert követnie kell a közösség működési szabályait.

Közös adatkezelésnél a GDPR 26. cikke szerinti megállapodásban kell rendezni a felelősségeket, különösen az érintetti jogok és a tájékoztatás teljesítését. A megállapodás lényegét az ügyfelek számára is hozzáférhetővé kell tenni. Adatfeldolgozásnál a GDPR 28. cikkének megfelelő szerződés vagy más kötelező jogi aktus szükséges. Az önálló adatkezelők közötti adatátadásnál pedig külön vizsgálandó a továbbítás jogalapja és átláthatósága.

3. Illeszd össze a magyar jogot és a dokumentumokat

Magyarországon nincs önálló, átfogó franchise-törvény, de nem pontos azt állítani, hogy a franchise-szerződés szabályozatlan. A 2013. évi V. törvény, vagyis a Polgári Törvénykönyv a jogbérleti szerződést a 6:376–6:381. §-okban szabályozza. Emellett az általános szerződési szabályok is alkalmazandók.

Az ügyféladatok kezelésének elsődleges kerete az Európai Unió általános adatvédelmi rendelete, a GDPR, amelyet Magyarországon is közvetlenül alkalmazni kell. Ehhez kapcsolódik a 2011. évi CXII. törvény, az Infotv. A felügyeleti hatóság a Nemzeti Adatvédelmi és Információszabadság Hatóság, a NAIH. Elektronikus reklámküldésnél a magyar reklámjogi előírásokat is figyelembe kell venni; a GDPR szerinti jogalap vizsgálata önmagában nem elegendő.

Nincs általános, kötelező franchise-nyilvántartásba vétel vagy amerikai mintájú, kötött FDD-rendszer. Ettől azonban a Ptk. szerinti szerződéskötés előtti tájékoztatási kötelezettség és az ügyfelek adatvédelmi tájékoztatása továbbra is fennáll. A szakmai etikai kódex nem helyettesíti ezeket a jogszabályokat.

Az induláshoz hangold össze a franchise-szerződést, az adatkezelési megállapodásokat, az ügyféltájékoztatókat és a belső hozzáférési szabályokat. Rögzítsd, ki fogadja az ügyfél kérelmét, ki keresi meg az érintett adatokat, és ki válaszol. A központi kapcsolattartó kijelölése nem szünteti meg a partner saját jogi felelősségét.

4. Teszteld a hozzáférést és a hibakezelést indulás előtt

A szerződések mellett technikai korlátokra is szükség van. A partner alapbeállításként csak a saját működéséhez szükséges adatokat lássa. Használjatok személyhez kötött felhasználói fiókokat, megfelelő hitelesítést és jogosultsági szinteket; a közös jelszó kerülendő. A munkakört váltó vagy távozó dolgozó hozzáférését haladéktalanul módosítsátok.

Mesterséges tesztadatokkal próbáljatok végig három helyzetet: egy ügyfél hozzáférést kér az adataihoz, téves címzett kap egy üzenetet, illetve illetéktelen személy exportál egy ügyféllistát. Legyen világos, ki intézkedik, milyen információt továbbít, és hogyan dokumentálja az eseményt.

Adatvédelmi incidensnél az adatkezelőnek indokolatlan késedelem nélkül, lehetőség szerint a tudomásszerzéstől számított 72 órán belül kell bejelentést tennie a hatóságnál, kivéve, ha az incidens valószínűsíthetően nem jár kockázattal az érintettek jogaira és szabadságaira. Az adatfeldolgozó indokolatlan késedelem nélkül értesíti az adatkezelőt. A belső jelzési rend ezért nem várhat a következő rendszeres egyeztetésig.

Gyakorlati útravaló: az első partner csatlakoztatása előtt legyen kész az adatáramlási térkép, a folyamatonkénti szerepkiosztás és a kipróbált incidenskezelési rend. A közös márka bizalmát az védi, ha minden adatnak világos célja, minden hozzáférésnek indoka és minden feladatnak felelőse van.