Material informativ, nu consultanță juridică. Pentru situația ta concretă, întreabă un jurist sau consultantul GDPR.
Ca patron de sală ești „operator de date” în sensul GDPR: răspunzi de datele membrilor, ale angajaților și de imaginile de pe camere. În practică, asta înseamnă cinci lucruri: ceri doar datele de care chiar ai nevoie, le spui membrilor ce faci cu ele, ceri consimțământ doar acolo unde e nevoie (de exemplu pentru oferte sau poze), le păstrezi în siguranță și le ștergi când nu mai ai nevoie de ele. Autoritatea care verifică toate astea în România este ANSPDCP.
Ce date poți cere la înscriere
Pentru fiecare dată, întreabă-te: chiar am nevoie de ea ca să ofer abonamentul? Principiul se numește „reducerea la minimum a datelor”.
| Dată | O ceri? | De ce |
|---|---|---|
| Nume, telefon sau email | Da | Ca să ai contractul și să-l poți contacta despre abonament |
| Data nașterii | Doar dacă ai nevoie | Pentru minori sau pentru reduceri pe vârstă |
| Fotografie | Opțional | Ca recepția să-l recunoască. Spune-i de ce o ceri. |
| CNP, copie după buletin | De regulă, nu | Nu e necesar pentru un abonament și vine cu obligații în plus |
| Probleme de sănătate | Doar cu grijă | Sunt date sensibile. Vezi mai jos. |
| Contact de urgență | Opțional | Cu acordul membrului |
De ce să nu ceri CNP-ul
Legea 190/2018 (art. 4) cere garanții suplimentare când prelucrezi CNP-ul pe baza interesului legitim, inclusiv numirea unui responsabil cu protecția datelor (DPO). Pentru un abonament la sală nu ai nevoie de CNP. Dacă emiți o factură unei persoane fizice și contabilul îți cere un anumit identificator, întreabă-l exact ce e obligatoriu.
Datele de sănătate
Informațiile despre sănătate sunt o „categorie specială” de date (art. 9 GDPR). Dacă vrei ca membrii să-ți spună de afecțiuni înainte de antrenamentele cu antrenor, cere-le doar ce e relevant, cu acordul lor explicit, și ține informația separat de evidența abonamentelor, cu acces doar pentru antrenor. O variantă mai simplă: o declarație a membrului că s-a consultat cu medicul și că anunță antrenorul dacă are o problemă, fără să-ți descrie diagnosticul.
Consimțământ: când îți trebuie și când nu
Mulți patroni cer „acord GDPR” pentru orice. Nu e nevoie. GDPR are mai multe temeiuri legale (art. 6), iar consimțământul e doar unul dintre ele.
| Ce faci | Temei | Consimțământ? |
|---|---|---|
| Evidența abonamentului, intrări, plăți | Contractul cu membrul | Nu |
| Reamintiri că expiră abonamentul | Contractul cu membrul | Nu |
| Facturi, documente contabile | Obligație legală | Nu |
| Newsletter, oferte, promoții | Consimțământ | Da* |
| Poze sau clipuri cu membrul pe social media | Consimțământ | Da |
| Camere video pentru siguranță | Interes legitim | Nu, dar informezi |
* Pentru ofertele trimise pe email, regula de bază e consimțământul prealabil. Excepția e pentru clienții existenți: poți trimite oferte pentru servicii similare dacă le-ai oferit, de la început și în fiecare mesaj, o cale simplă și gratuită să refuze (Legea 506/2004; vezi explicația de pe avocatnet.ro despre comunicările comerciale prin email).
Consimțământul trebuie să fie separat (nu o bifă ascunsă în contract), liber (abonamentul nu depinde de el) și ușor de retras.
Nota de informare: ce scrii în ea
Membrul trebuie să afle, la înscriere, ce faci cu datele lui (art. 13 GDPR). O pagină simplă, dată la înscriere și afișată pe site sau la recepție, cu:
- Cine ești: firma, adresa, un email de contact pentru date personale
- Ce date colectezi și de ce (abonament, plăți, camere video)
- Temeiul pentru fiecare: contract, obligație legală, interes legitim, consimțământ
- Cui le dai: contabil, programul de evidență, firma de pază
- Cât timp le păstrezi
- Drepturile membrului: acces, rectificare, ștergere, opoziție, plângere la ANSPDCP
- Dacă datele ajung în afara UE
Camere video în sală
Camerele sunt cel mai riscant subiect GDPR pentru o sală. Ghidul autorităților europene (EDPB, Ghidul 3/2019) dă chiar sălile de fitness ca exemplu de loc în care oamenii se așteaptă, în mod rezonabil, să nu fie filmați tot timpul. Concret:
- Niciodată în vestiare, dușuri sau toalete.
- Filmează ce ai de protejat: intrarea, recepția, casa. Nu fiecare aparat.
- Afișează un semn la intrare, înainte de zona filmată: că există camere, scopul, cine e operatorul, drepturile și unde găsește informarea completă.
- Păstrează imaginile puțin. EDPB spune că, în general, imaginile ar trebui șterse după câteva zile și că o durată de peste 72 de ore trebuie justificată. Pentru camerele care îi filmează și pe angajați, Legea 190/2018 (art. 5) cere informarea lor prealabilă și o stocare de cel mult 30 de zile, cu excepțiile din lege.
- Acces limitat la înregistrări, cu parolă proprie pentru fiecare persoană.
- Nu publica niciodată imagini de pe camere pe social media.
Un caz real: o sală din Iași a fost amendată de ANSPDCP cu 49.322 lei (10.000 de euro) după ce imagini cu o altercație, filmate de camerele sălii, au ajuns pe paginile ei de Facebook.
Conform StartupCafe, autoritatea a constatat lipsa unui temei pentru publicare, nerespectarea cererii de ștergere și măsuri de securitate insuficiente pentru înregistrări. A cerut proceduri scrise, instruirea personalului și acces la imagini doar pe bază de credențiale individuale.
Unde ții datele: caiet, Excel sau program online
GDPR nu-ți impune un anumit instrument, ci securitate potrivită riscului (art. 32). Pentru fiecare variantă, ce contează:
- Caiet: stă la vedere pe recepție, oricine îl poate fotografia. Ține-l închis și nu nota în el decât strictul necesar.
- Excel: parolă pe fișier sau cont de cloud cu autentificare în doi pași, un singur fișier, fără copii trimise pe chat. Detalii în ghidul despre evidența abonamentelor în Excel.
- Program online: furnizorul devine „persoană împuternicită” și îți trebuie un contract cu el (art. 28). Întreabă unde sunt găzduite datele (ideal în UE), cine are acces și cum le exporți sau le ștergi dacă renunți.
Cum sunt păstrate datele în Gyma.Datele fiecărei săli sunt izolate în baza de date și găzduite în UE. Autentificarea se face cu cod de verificare în doi pași, iar din cont vezi și deconectezi celelalte dispozitive. Rolul „recepție” vede doar check-in-ul, nu toată evidența. Gyma are și consimțăminte GDPR. Citește mai mult despre programul de gestiune pentru sala de fitness și despre cine face Gyma.
Cât timp păstrezi datele foștilor membri
GDPR nu dă un număr de zile. Cere să păstrezi datele doar cât îți trebuie pentru scopul lor și să stabilești tu o durată (art. 5). O împărțire practică:
- Documentele contabile (facturi, bonuri, încasări) le păstrezi cât cere legislația contabilă. Contabilul îți spune exact cât.
- Datele de contact și istoricul de intrări ale unui fost membru: stabilește o perioadă rezonabilă după ultimul abonament (de exemplu un an, pentru cazul în care revine), scrie-o în nota de informare și șterge-le după aceea.
- Imaginile video: zile, nu luni (vezi mai sus).
- Consimțământul pentru oferte: până îl retrage membrul. Apoi nu-i mai trimiți nimic.
Dacă se întâmplă ceva: telefon pierdut, fișier trimis greșit
Dacă datele membrilor ajung unde nu trebuie și există un risc pentru ei, anunți ANSPDCP în 72 de ore de când ai aflat (art. 33 GDPR). Dacă riscul e mare, îi anunți și pe membri. Notează orice incident, chiar și pe cele pe care nu trebuie să le raportezi.
Checklist GDPR pentru sala ta
- Formular de înscriere doar cu datele necesare, fără CNP
- Notă de informare dată la înscriere și afișată
- Bifă separată, nebifată, pentru oferte și poze
- Camere doar unde trebuie, cu semn la intrare și imagini șterse după câteva zile
- Datele într-un singur loc protejat, cu acces doar pentru cine are nevoie
- Contract cu furnizorul de software și cu firma de pază
- Durate de păstrare scrise și respectate
- Personalul știe ce nu are voie: poze cu membrii, liste trimise pe chat
- Regulile despre camere și date apar și în regulamentul sălii