Sådan registrerer du lovligt information om gæster på din restaurant under Corona

Sundhedsministeren kom på et pressemøde d. 7. september med en opfordring til alle restauranter, barer mv., om at foretage registrering af deres gæster, for at kunne lave efterfølgende smitteopsporing.
Nu er Datatilsynet kommet med 6 gode råd til, hvordan registreringen bør foregå.

Vi giver her vores bud på hvordan det løses i praksis og nederst kan du tilmelde dig vores gratis webinar om emnet.

Da Sundhedsminister Magnus Heunicke på pressemødet kom med en opfordring til alle restauranter, barer mv., om at foretage registrering af deres gæster, for at kunne lave efterfølgende smitteopsporing, så var der naturligt mange der stillede spørgsmålet: "Jamen, hvordan gør vi det i praksis og hvordan overholder vi lovgivningen?"

Flere hoteller, restauranter, barer og deres brancheforening Horesta (læs nyhed hos Horesta) var hurtigt ude med kritik af udmeldingen, for hvordan skulle man løse dette i praksis og hvordan undgik man at det blev endnu et 'benspænd' for en i forvejen hårdt ramt branche.

Nu er Datatilsynet så kommet branchen lidt i møde, da De i dag d. 9. september har udgivet en nyhed med 6 gode råd til, hvordan registreringen kan foregå lovligt (læs nyhed hos Datatilsynet). Som det altid er med Datatilsynet, så kan de ikke give konkrete råd om f.eks. slettefrister, hjemmel mv., men alene give gode råd i henhold til lovgivningen. Derfor giver vi her vores bud på, hvordan opgaven løses i praksis, så det hverken bliver ulovligt eller et benspænd.

De 6 gode råd fra Datatilsynet vedr. registrering af gæster under Corona

Datatilsynet skriver i sin nyhed, at restauranter, cafeer, barer mv. godt kan registrere informationer om deres gæster inden for rammerne af de databeskyttelsesretlige regler, såfremt dette gøres i henhold til følgende 6 råd:

• Lad det være frivilligt: Det skal være den enkelte gæsts valg, om vedkommende ønsker at registrere sine oplysninger. Og det skal være reelt frivilligt - det vil sige, at der ikke må være nogen ulempe for gæsten ved ikke at gøre det.
• Oplys om formålet: Gør det klart for gæsterne, hvad der registreres, hvad det skal bruges til, og hvor længe det opbevares. Hvis man benytter sig at fx et online-bookingsystem, bør man også her oplyse om, hvis oplysningerne fra bookingen vil kunne blive brugt til smitteopsporing.
• Registrer kun det nødvendige: Der vil normalt være tale om navn, kontaktoplysninger og det tidsrum, man har opholdt sig på restauranten - og afhængig af lokalets størrelse evt. også, hvor man har siddet henne.
• Pas på oplysningerne: Sørg for, at uvedkommende ikke får adgang til de oplysninger, der bliver registreret.
• Brug ikke oplysningerne til andet: Oplysningerne må kun bruges til smitteopsporing efter behov - og ikke til fx efterfølgende markedsføring eller andre formål.
• Slet oplysningerne løbende: Når oplysningerne ikke længere er relevante ift. smitteopsporing, skal de slettes.

Derudover minder Datatilsynet om, at man også skal være opmærksom på gæsternes rettigheder, nemlig retten til indsigt, indsigelse, sletning mv.

De 6 gode råd i praksis

Så hvad betyder de 6 gode råd egentlig i praksis? Vi giver her et bud på praktisk implementering af hvert råd. Vi bruger en restaurant som reference, men det kunne være det samme for et hotel, en cafe, en bar eller en hvilken som helst anden forsamling.

Nederst her i artiklen beskriver vi et konkret forløb for en fiktiv restaurant. Nederst vil du også kunne finde tilmelding til vores webinar, hvor vi gennemgår de 6 råd med konkrete eksempler. På webinaret vil der også blive uddelt konkrete tekster og skabeloner der kan anvendes direkte.

01. Lad det være frivilligt

Det bør som Datatilsynet skriver, være frivilligt hvorvidt man ønsker at lade sig registrere eller ej. Om gæster ønsker at lade sig registrere afhænger af personen, men også i høj grad af hvordan indsamlingen af oplysninger præsenteres og særligt hvor tryg man føler sig ved at overlade oplysninger til restauranten. Men mere om det i næste punkt.

Dette råd handler i virkeligheden om, hvilket hjemmel vi kan foretage registreringen under. Vær opmærksom på, at Datatilsynet ikke konkret skriver, at man skal have gæstens 'samtykke' til registreringen, men blot at det skal være frivilligt. Når vi behandler personoplysninger skal vi have hjemmel, og det oplagte hjemmel at anvende i restaurantens behandling vil være 'samtykke' eller 'legitim interesse'.

Vælger man at benytte samtykke, så er der en række formkrav man skal overholde:
- Samtykket skal være givet frivilligt. Vil én person i et selskab ikke lade sig registrere, må man ikke afkræve et samtykke for at lade personen spise sammen med resten af selskabet.
- Det skal kunne dokumenteres. Hvilket i praksis betyder, at et mundtligt samtykke er svært at benytte og at det skriftlige bliver besværligt, for hvor længe skal man så kunne dokumentere lovligt indhentet samtykke.
- Det skal være informeret og specifikt. Man må altså ikke være i tvivl om hvad man giver samtykke til, hvilket kan kræve en længere skriftlig udredning, der bør læses forud for at samtykket afgives.
- Samtykke kan trækkes tilbage på et hvert tidspunkt. Altså skal man kunne gå ind og finde de specifikke oplysninger og slette disse.

Vælger man i stedet for samtykke at benytte legitim interesse, så bliver registreringen nemmere, da der ikke gælder samme formkrav.
- Det er stadig frivilligt om man vil lade sig registre.
- Man skal ikke kunne dokumentere andet, end at man har oplyst korrekt om behandlingen (se næste punkt).
- Kravene til oplysning om behandlingen er knap så formelle.
- Man er som restaurant ikke underlagt helt samme samme krav i forhold til sletning.

Det vil sige, at man kan basere behandlingen på legitim interesse og dermed nøjes med at oplyse gæsten på indsamlingstidspunktet.

02. Oplys om formålet

Et af de grundlæggende principper i GDPR er gennemsigtighed. Det er derfor vigtigt at vi forud for at vi indsamler gæsternes oplysninger, giver dem en række oplysninger om hvordan vi behandler deres oplysninger. Konkret bør man oplyse om formålet med selve behandlingen, hvilket her næsten giver sig selv. Derudover er der en række øvrige formkrav, bl.a. hvor lang tid oplysningerne gemmes, om oplysningerne videregives, samt oplysning om de registreredes rettigheder.

I praksis kan denne 'oplysningspligt' løftes på mange måder. Man kan uddanne sit personale til at kunne give oplysningerne mundtligt ved bordet. Man kan placere oplysningerne på opstillede informationstavler. Personalet kan give en kort information mundtligt, f.eks. formål og hvornår data slettes igen og så kan der på bordet ligge en A5/A4 side eller postkort med resten af oplysningerne under oplysningspligten.

Som nævnt indledningsvis, så bør oplysningerne gives så gennemsigtigt som muligt, det giver både flere registreringer (gæster er mere trygge), men det virker også mest professionelt, at personale og restaurant har styr på hvad de gør med gæsternes oplysninger og at de kan oplyse tydeligt om det både mundtligt og skriftligt.

03. Registrer kun det nødvendige

Det her råd giver nærmest sig selv. Igen er det et grundlæggende princip i GDPR, at vi ikke skal registrere flere oplysninger end det er nødvendigt. Det vil sige til det her formål burde man kunne nøjes med navn (evt. kun fornavn), e-mail eller telefon (afhængig af hvordan man vil kontakte personer) samt dato og tidspunkt for besøget. For nogle resturanter kan man vælge også at registrere i hvilket område eller hvilket rum gæsterne har siddet, hvis det giver mening i forhold til kun at kontakte udvalgte grupper.

Man kunne også nøjes med at registrere én person fra et selskab. Hvis en familie på 4 personer gæster restauranten, bør det være nok at registrere kontaktoplysninger på en person fra familien. Har man et fødselsdagsselskab på 100 gæster, kan man overveje om man blot vil registrere værtens kontaktoplysninger eller om det her giver mening at registrere alle (der har lyst).

04. Pas på oplysningerne

Man skal naturligvis (som altid) passe godt på de oplysninger man får fra gæsterne. Generelt hedder det, at man skal træffe "passende og tilstrækkelige foranstaltninger". Hvis man i forvejen kun registrerer det nødvendige og derved kun behandler navn og e-mail/telefonnummer, så vil "passende og tilstrækkelige" foranstaltninger være rimelige at gå til. Man skal altså ikke låse oplysninger udfyldt på et stykke papir inde i et atomsikret pengeskab!

Helt konkret kunne man forestille sig, at følgende vil være passende og tilstrækkeligt for en mindre restaurant. Restauranten tilbyder at en person fra hvert selskab kan udfylde et lille postkort med navn og e-mail, samt tidspunkt for besøget. Postkortet afleveres til personalet, som tager det med ud i køkkenet, hvor det lægges i en bakke. Hver aften når personalet lukker af, samles postkortene i en konvolut der lukkes og dato skrives uden på konvolutten. Konvolutten gives til restaurantens ejer, som lægger den i et skab på sit kontor, som aflåses sammen med resten af restauranten. Når en ny konvolut lægges i skabet, tages samtidig de konvolutter der er mere end 4 uger gamle og makuleres.

05. Brug ikke oplysningerne til andet

Man skal som restaurant afholde sig fra at benytte oplysningerne til andet, selv om det kunne virke besnærende, når man nu har 100 e-mail adresser fra aftenens gæster, som man liiiige kunne putte på ens nyhedsbrev. Den går ikke! Det vil hverken være lovligt i forhold til GDPR og heller ikke i forhold til Markedsføringsloven (§10). Desuden vil man som restaurant kunne risikere dårlige anmeldelser på Trustpilot, Facebook eller andre steder, hvis man sniger sig til at benytte e-mail uden lov.

Men når det er sagt, så er der ikke noget ulovligt i, at man på samme postkort som gæsten udfylder også vælger at skrive et markedsføringssamtykke på, så længe dette blot lever op til de krav der gælder der. Ja, man kunne jo lokke med gratis is, det må man gerne.

06. Slet oplysningerne løbende

Sletning er et af de overordnede temaer i GDPR. Derfor er det også et af de områder, hvor Datatilsynet har været ude og give oplæg på bøder i millionklassen, når virksomheder har glemt at slette gamle data.

Derfor går det ikke, at restauranten indsamler oplysninger og så derefter har dem liggende i al evighed eller så længe Corona står på (hvilket måske kan være længe). Den generelle regel siger, at man skal slette oplysninger, når de ikke længere tjener formålet. Hvis man overordnet siger, at der kan gå op til 14 dage før en person udviser symptomer på Corona, så vil det i udgangspunktet som minimum give anledning til at man kan opbevare oplysninger i 14 dage. Men der kan meget vel være tilfælde hvor personen også lige skal kontakte restauranten mv., så det vil også sagtens kunne forsvares, at man gemmer oplysningerne i op til 4 uger, hvilket umiddelbart vil være vores anbefaling.

Et konkret eksempel på Corona registrering på en restaurant

Det følgende er et opsat eksempel på, hvordan en mindre restaurant kan håndtere registrering af gæster i en manuel proces.

Når gæster ankommer byder tjeneren velkommen og placerer gæsterne ved et bord. Med det samme oplyser tjeneren om restaurantens generelle retningslinjer i forhold til Corona, f.eks. brug af håndsprit, antal samtidige personer ved baren mv. Derefter oplyser tjeneren om muligheden for at lade sig registrere, så restauranten kan kontakte gæsterne i tilfælde af, at de har været i restauranten samtidig med en Corona smittet. Tjeneren oplyser mundtligt, at restauranten kun indsamler oplysningerne til dette formål, at oplysningerne maksimalt gemmes 4 uger og at oplysningerne ikke videregives til andre. Dernæst henviser tjeneren til det A4 ark der ligger på bordet med yderligere oplysninger. Tjeneren oplyser at det er nok at én person fra selskabet lader sig registrere, samt at registreringen foregår ved at man udfylder et af de postkort der ligger på bordet.

En af gæsterne udfylder nu postkortet med navn og e-mail, samt dato og tid for besøget. Gæsten giver postkortet til tjeneren, som lægger postkortet i en bakke ude i køkkenet. Da aftenen er slut og personalet lukker ned, tager en af tjenerene alle postkort fra bakken og lægger dem i en konvolut med dags dato udenpå. Konvolutten lukkes og lægges ind på restaurantejerens kontor. Hele restauranten låses af.

Dagen efter møder restaurantchefen ind og finder gårsdagens konvolut på sit skrivebord. Hun placerer konvolutten i et skab med tidligere dages konvolutter og tjekker samtidig om der er nogle af konvolutterne der er mere end 4 uger gamle. Hvis der er, så makuleres disse.

Nu sker det at en gæst ringer og meddeler at vedkommende har været i restauranten på dato X og at vedkommende selv og dennes 7 årige søn er smittet med Corona og at de formodentligt også var det på dato X. Restauraten noterer vedkommendes navn, e-mail og telefonnummer, for at kunne komme i kontakt med vedkommende igen. Herefter kontakter restaurantejeren sundhedsmyndighederne for råd og vejledning i forhold til hvordan situationen herefter håndteres. Skulle dato X vise sig at være tæt på 4 uger siden, så skal konvolutten for dato X naturligvis ikke makuleres, men fortsat gemmes så længe sagen verserer. Når sagen er afsluttet i henhold til sundhedsmyndighedernes anbefalinger, kan oplysningerne makuleres.

Er man en større restaurant eller ønsker man at lave en digital registrering, så vil proceduren være anderledes, men ovenstående vil være en lavpraktisk tilgang for mange mindre restauranter, cafeer, barer mv., hvor eneste udgift vil være til print af postkort.

Deltag på vores webinar og få konkrete råd og skabeloner

Da det ikke er muligt at give konkret rådgivning i dette blogindlæg, som dækker både små og store restauranter, samt cafeer, barer mv., har vi besluttet at afholde et webinar om emnet. På webinaret vil vi gennemgå reglerne med flere eksempler på praktisk implementering og du vil få mulighed for at stille spørgsmål i forhold til netop din situation. På webinaret vil vi også udlevere konkrete tekster, skabeloner og eksempel på postkort, som du kan tage direkte i brug.

Linket til webinaret udsendes via vores nyhedsbrev, så eneste 'krav' for deltagelse er, at du tilmelder dig vores nyhedsbrev. Når du har deltaget på webinaret, kan du altid afmelde dig nyhedsbrevet igen, hvis du ikke synes det giver dig værdi.

Webinaret afholdes online mandag d. 14. september kl 11.30 til 12.30 (eller længere hvis der er mange spørgsmål)
Webinaret optages også, så har du ikke mulighed for at deltage live, så udsendes link til optagelsen også via nyhedsbrevet.

DISCLAIMER: Ovenstående er skrevet ud fra bedste fortolkning af GDPR på nuværende tidspunkt. Ændringer i love, vejledninger, praksis mv. kan have betydning for fortolkningen fremadrettet. Vi anbefaler altid, at du får juridisk rådgivning om den konkrete behandling, hvis du vil være sikker på at overholde reglerne.