Menu QR a RODO: co musi wiedzieć restaurator

Restauratorzy pytają nas o to regularnie: czy menu QR to nowy obowiązek związany z RODO? Odpowiedź w praktyce brzmi: zwykle bardzo niewielki, o ile dostawca zaprojektował usługę rozsądnie. Ale warto wiedzieć, czego pilnować, zamiast po prostu wierzyć na słowo.

Co się tu w ogóle dzieje z danymi

Gość, który skanuje kod QR i widzi kartę dań, w typowym przypadku nie podaje żadnych danych osobowych. Nie loguje się, nie wypełnia formularza, nie musi podać numeru telefonu, żeby zobaczyć ceny. To spora różnica względem systemów rezerwacji stolików czy programów lojalnościowych, które z natury rzeczy muszą kogoś zidentyfikować.

To, co realnie może się zbierać po drodze, to dane techniczne odwiedzających, czyli adres IP i typ przeglądarki, takie same jak na każdej innej stronie internetowej. Do tego czasem anonimowy licznik odsłon, który pokazuje właścicielowi restauracji, ile razy otworzono menu i które dania oglądano najczęściej, bez żadnego identyfikatora konkretnej osoby. I ewentualnie cookies analityczne albo marketingowe, jeśli dostawca ich w ogóle używa, i tylko za zgodą w bannerze.

Zupełnie osobna sprawa to dane samego właściciela restauracji jako klienta usługi: e-mail, dane firmy, NIP. Te są przetwarzane w związku z zawarciem umowy, nie mają nic wspólnego z obsługą gości lokalu.

Kto tu jest administratorem

To pierwsze pytanie, jakie warto zadać dostawcy: kto administruje danymi zbieranymi na publicznej stronie menu? W typowym modelu, i tak działa to u nas, dostawca usługi odpowiada za dane techniczne strony, bo to on decyduje o celach i sposobach ich przetwarzania. Restauracja jest wyłącznie autorem treści menu, czyli nazw, zdjęć i cen, i przy tym nie przetwarza żadnych danych osobowych swoich gości.

Na co realnie patrzeć przy wyborze dostawcy

Ma sensowną, aktualną politykę prywatności, a nie ogólny szablon ściągnięty skądś z internetu i nigdy niedostosowany do konkretnej usługi. Cookies analityczne uruchamiają się dopiero po zgodzie gościa, nie automatycznie przy pierwszym wejściu na stronę. Jeśli dane trafiają poza Europejski Obszar Gospodarczy, jest to jasno napisane, razem z podstawą prawną takiego transferu. A jeśli dostawca oferuje funkcje AI, na przykład rozpoznawanie menu ze zdjęcia, wynik trafia najpierw do Ciebie do sprawdzenia, a nie prosto na publiczną stronę bez żadnej kontroli.

Nasza Polityka prywatności opisuje wszystkie te elementy wprost, łącznie z tym, jak działa import menu przez AI, bo uznaliśmy, że lepiej to napisać jasno, niż liczyć na to, że nikt nie zapyta.

Menu QR samo w sobie nie jest ryzykowne z perspektywy RODO, w większości przypadków przetwarza mniej danych niż zwykły system rezerwacji stolika. Ważne, żeby dostawca miał to uczciwie opisane, a Ty wiedział, gdzie szukać odpowiedzi, jeśli gość akurat zapyta.

Ten artykuł ma charakter informacyjny, nie jest poradą prawną. W razie wątpliwości co do konkretnego wdrożenia najlepiej skonsultować się z prawnikiem albo inspektorem ochrony danych.