GDPR pro osobní trenéry: dotazník, zdravotní údaje a fotky klientů

GDPR se může týkat i samostatného trenéra s malým počtem klientů. Sbírej jen údaje nezbytné pro vymezený účel. Následující tabulka je pracovní mapa, nikoli hotový právní rozbor všech situací. Právní základ musí odpovídat konkrétní činnosti.

Informace o diagnóze, lécích, úrazu či omezení vypovídajícím o zdravotním stavu mohou být zvláštní kategorií osobních údajů. I stručná poznámka „necvičí kvůli nemoci“ může být zdravotní údaj; přepsání diagnózy do běžných slov z ní automaticky neudělá obyčejný kontakt.

Pro takové zpracování určuj právní základ podle článku 6 i podmínku podle článku 9 GDPR. Jednou z možností je výslovný souhlas, pokud splňuje požadavky svobodnosti, konkrétnosti a informovanosti. Samotná smlouva o tréninku zákaz zpracování zvláštních kategorií neodstraňuje. Neopírej se automaticky o výjimku pro poskytování zdravotní péče, pokud běžnou fitness službou zdravotní péči neposkytuješ.

Ptej se na to, co potřebuješ pro bezpečné vymezení služby, a nevyžaduj bez důvodu celou lékařskou zprávu. Souhlas neospravedlní nadbytečný sběr. Pokud potřebné informace chybí, vysvětli hranice služby a případně doporuč nejprve zdravotní konzultaci; neslibuj vhodnost cvičení naslepo.

Soukromý záznam pro zpětnou vazbu a veřejný příspěvek na sociální síti mají jiný účel i dosah. U propagace si samostatně vyjasni oprávnění k pořízení a zveřejnění podoby a použitelný právní základ pro osobní údaje. Ochrana podoby podle občanského práva a GDPR se nepřekrývají dokonale.

Pokud propagaci stavíš na souhlasu, uveď konkrétní kanály a použití, umožni skutečně odmítnout bez zhoršení tréninkové služby a vysvětli snadné odvolání. Uchovej důkaz udělení. Souhlas s jednou fotkou není neomezené povolení k placené kampani nebo zveřejnění diagnózy. U identifikovatelné proměny spojené se zdravotními informacemi posuzuj i zvláštní kategorii údajů.

Prakticky používej při natáčení úhel bez dalších návštěvníků a předem si domluv pravidla gymu. Ani souhlas hlavního klienta neopravňuje zveřejnit cizí lidi v pozadí. Před odesláním zkontroluj také text, jméno, označení profilu a viditelné dokumenty.

Když samostatně určuješ účel a prostředky klientské evidence, jsi zpravidla jejím správcem. Gym může být samostatným správcem vstupů a rezervací. Samotný pronájem prostoru z něj nedělá zpracovatele tvého zdravotního dotazníku. Společné rozhodování o účelu může naopak znamenat společné správce.

U rezervačního či cloudového nástroje ověř skutečnou roli poskytovatele. Pokud zpracovává údaje tvým jménem podle pokynů, potřebuješ odpovídající smluvní úpravu podle článku 28, znalost přístupů a podmínek dalších zpracovatelů. Prověř i případné předávání mimo EHP; evropská faktura sama umístění a režim dat nepotvrzuje.

Při spolupráci v Arena Gym si domluv, které údaje zůstávají u trenéra, co potřebuje recepce a kdo reaguje na žádosti klientů. Nepředpokládej, že provozovatel potřebuje kopii celého tvého dotazníku nebo že za tvou vlastní evidenci automaticky odpovídá.

Klientovi srozumitelně sděl, kdo údaje spravuje, účely a právní základy, komu se mohou dostat, dobu uchování nebo její kritéria a způsob uplatnění práv. Nepřidávej univerzální počet let pro všechny složky: účetní doklad, technické video a zdravotní dotazník mají jiné účely i důvody uchování.

Používej vlastní účty s omezenými přístupy, silné přihlášení a podle rizika vícefaktorové ověření. Zamkni zařízení, chraň zálohy a papíry, odstraň nepotřebná sdílení. Zdravotní záznamy ani identifikovatelná videa neposílej bez vyhodnocení do veřejného AI chatu. Zabezpečení nástroje samo neřeší jeho právní roli a účel dalšího využití.

Po skončení spolupráce zkontroluj každou skupinu údajů a smaž to, pro co už nemáš důvod. Odvolání souhlasu nečiní dřívější zákonné zpracování nezákonným a automaticky neruší jinou povinnost uchovat například doklad. Na žádost o práva reaguj bez zbytečného odkladu, zpravidla nejpozději do jednoho měsíce; případné zákonné prodloužení musíš včas vysvětlit.

Zastav další sdílení, zruš dostupný odkaz, ověř rozsah a zajisti důkazy o tom, co se stalo. Zapiš čas zjištění, dotčené údaje, osoby, možné následky a kroky nápravy. Ztracený telefon i omylem odeslaný e-mail mohou být porušením ochrany osobních údajů.

Ne každý incident se povinně hlásí ÚOOÚ, ale každý vyžaduje zdokumentování a posouzení rizika. Ohlášení je nutné bez zbytečného odkladu, pokud možno do 72 hodin od zjištění, ledaže je nepravděpodobné riziko pro práva a svobody lidí. Při pravděpodobném vysokém riziku se bez zbytečného odkladu informují také dotčení lidé. Při nejistotě vyhledej rychle odbornou pomoc; lhůtu nepočítej až od dokončení interního vyšetřování.