Firma sprzątająca — nawet jednoosobowa działalność gospodarcza obsługująca kilkanaście mieszkań miesięcznie — przetwarza dane osobowe niemal na każdym kroku: adresy klientów, numery telefonów, kody do domofonów, czasem kody do skrzynek na klucze, dane do faktur, a jeśli zatrudniasz ekipę — także dane pracowników i zleceniobiorców. RODO dotyczy Cię tak samo jak dużej korporacji, tylko obowiązki trzeba dopasować do skali działania.
Ten artykuł pokazuje, co realnie musisz zrobić jako właściciel firmy sprzątającej w Polsce, żeby nie narazić się na kontrolę UODO ani na utratę zaufania klientów. To uzupełnienie tematu ubezpieczeń i odpowiedzialności — jeśli jeszcze nie czytałeś, zajrzyj do artykułu Ubezpieczenie firmy sprzątającej: co musisz wiedzieć, bo ochrona danych i ochrona przed roszczeniami często idą w parze.
Jakie dane klientów zbiera firma sprzątająca
W praktyce najczęściej są to:
- imię, nazwisko, adres sprzątanej nieruchomości
- numer telefonu i e-mail (kontakt, przypomnienia o wizycie)
- dane do faktury (przy JDG na ryczałcie często NIP firmy klienta lub dane osoby prywatnej)
- kody dostępu: domofon, klatka, skrzynka na klucze, czasem alarm
- preferencje sprzątania, uwagi o alergiach domowników, informacje o zwierzętach
- w niektórych przypadkach — dane kart płatniczych, jeśli obsługujesz płatności online
Kody do domofonów i informacje o rozkładzie mieszkania to dane szczególnie wrażliwe z punktu widzenia bezpieczeństwa klienta, nawet jeśli RODO formalnie nie klasyfikuje ich jako „danych szczególnych kategorii”. Traktuj je z taką samą powagą jak dane finansowe.
Podstawa prawna przetwarzania
Nie potrzebujesz zgody klienta na każdy typ danych — wystarczy właściwa podstawa prawna z art. 6 RODO:
- Wykonanie umowy — adres, telefon, zakres usługi, kody dostępu potrzebne do realizacji zlecenia. To podstawowa i najczęstsza podstawa dla firmy sprzątającej.
- Obowiązek prawny — dane na fakturze wymagane przez przepisy podatkowe (ustawa o VAT, przepisy o ryczałcie ewidencjonowanym, wymogi kasy fiskalnej).
- Zgoda — potrzebna dopiero przy marketingu, np. wysyłce newslettera z promocjami czy SMS-ów o nowej ofercie niepowiązanych bezpośrednio z realizacją usługi.
Oznacza to, że do zwykłej obsługi zlecenia nie musisz zbierać podpisanych zgód RODO na każdym kroku — wystarczy jasna informacja (klauzula informacyjna) i umowa lub potwierdzenie zamówienia usługi.
Obowiązek informacyjny — co musi wiedzieć klient
Zanim zbierzesz dane, klient powinien otrzymać informację (najczęściej w regulaminie, na stronie rezerwacji online albo w wiadomości potwierdzającej zlecenie) zawierającą:
- kto jest administratorem danych (Twoja firma, z nazwą i adresem)
- w jakim celu i na jakiej podstawie przetwarzasz dane
- komu dane mogą być przekazywane (np. biuro rachunkowe, pracownicy realizujący zlecenie, firma obsługująca płatności)
- jak długo dane będą przechowywane
- jakie prawa ma klient (dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, skarga do UODO)
Wystarczy jedna zakładka „Polityka prywatności” na stronie i link do niej przy formularzu rezerwacji online — nie trzeba drukować osobnych dokumentów dla każdego klienta.
Dane pracowników i zleceniobiorców
Jeśli zatrudniasz osoby na umowę zlecenie, umowę o pracę albo współpracujesz z podwykonawcami na własnej JDG, dochodzi drugi front RODO:
- dane do ZUS i rozliczeń podatkowych — numer PESEL, NIP, adres zamieszkania
- dane kontaktowe do grafikowania zmian
- ewentualnie dane o niekaralności, jeśli branża klienta (np. sprzątanie biur instytucji) tego wymaga
Pamiętaj o umowach powierzenia przetwarzania danych z biurem rachunkowym oraz z dostawcami oprogramowania, przez które przechodzą dane klientów (np. system do rezerwacji i fakturowania). Bez takiej umowy formalnie nie możesz przekazywać im danych osobowych do przetwarzania w Twoim imieniu.
Przechowywanie danych — ile i jak długo
| Rodzaj danych | Typowy okres przechowywania | Podstawa |
|---|---|---|
| Faktury i dokumenty księgowe | 5 lat od końca roku podatkowego | Ordynacja podatkowa |
| Dane kontaktowe aktywnego klienta | przez czas trwania współpracy + okres przedawnienia roszczeń (zwykle 3–6 lat) | uzasadniony interes / umowa |
| Kody dostępu, uwagi z konkretnego zlecenia | do zakończenia zlecenia, potem usunąć lub zanonimizować | zasada minimalizacji danych |
| Zgody marketingowe | do wycofania zgody | zgoda |
Najczęstszy błąd małych firm sprzątających: kody do domofonów i klucze wpisane w notatniku telefonu albo w arkuszu Excel, który nigdy nie jest czyszczony. Jeśli klient zakończył współpracę rok temu, a Ty nadal masz jego kod do klatki w telefonie — to realne ryzyko, zarówno prawne, jak i wizerunkowe.
Bezpieczeństwo danych w praktyce
- Nie trzymaj danych klientów w prywatnym notesie ani w wiadomościach SMS bez zabezpieczenia telefonu hasłem/biometrią.
- Korzystaj z systemu do zarządzania zleceniami z kontrolą dostępu, zamiast rozproszonych arkuszy Excel i grup na komunikatorach.
- Ogranicz dostęp do kodów i adresów tylko do osób faktycznie realizujących dane zlecenie.
- Regularnie usuwaj dane nieaktywnych klientów zgodnie z przyjętym okresem przechowywania.
- Zabezpiecz kopie zapasowe i urządzenia firmowe hasłem oraz szyfrowaniem dysku.
Dobrze zaprojektowany system do zarządzania firmą sprzątającą — z rezerwacją online, grafikiem i fakturowaniem w jednym miejscu — naturalnie porządkuje ten obszar, bo dane nie są rozproszone między telefonem, Excelem i notatnikiem. Zobacz, jak wygląda to w praktyce na stronie funkcje CleanWhale.
Naruszenie danych — co zrobić
Jeśli doszło do wycieku (np. zgubiony telefon z listą adresów i kodów, albo błędnie wysłana faktura z danymi innego klienta), masz 72 godziny na zgłoszenie naruszenia do Prezesa UODO, jeśli ryzyko dla osób, których dane dotyczą, jest realne. Warto prowadzić prosty rejestr incydentów — nawet drobnych — żeby móc wykazać, że podejmujesz działania zgodnie z zasadą rozliczalności.
Kary za naruszenia RODO
UODO może nałożyć karę do 20 mln euro lub 4% rocznego obrotu — w praktyce wobec małych JDG kary są znacznie niższe i najczęściej poprzedzone upomnieniem lub nakazem naprawczym, jeśli naruszenie nie było rażące. Mimo to sam fakt kontroli, żądania wyjaśnień i ryzyko utraty klientów po ujawnieniu wycieku danych to koszt, którego łatwo uniknąć, wdrażając podstawowe zasady opisane wyżej.
Checklist zgodności RODO dla firmy sprzątającej
- Polityka prywatności dostępna na stronie i przy formularzu rezerwacji
- Umowy powierzenia z biurem rachunkowym i dostawcą oprogramowania
- Ograniczony dostęp do kodów i adresów klientów wyłącznie dla realizujących zlecenie
- Ustalony i przestrzegany okres przechowywania danych
- Procedura zgłaszania naruszeń i prosty rejestr incydentów
- Zabezpieczone hasłem urządzenia firmowe i kopie zapasowe
RODO a ubezpieczenie i odpowiedzialność
Naruszenie RODO to osobne ryzyko od odpowiedzialności cywilnej za szkody w mieniu klienta, ale oba tematy warto traktować razem przy planowaniu bezpieczeństwa firmy. Jeśli jeszcze nie masz polisy OC działalności ani nie wiesz, jaki zakres ochrony jest odpowiedni dla firmy sprzątającej na etapie JDG czy z pracownikami na umowach, sprawdź szczegóły w artykule Ubezpieczenie firmy sprzątającej: co musisz wiedzieć.
Uporządkowane dane klientów to nie tylko zgodność z prawem, ale też lepsza organizacja pracy. CleanWhale pozwala prowadzić rezerwacje online, grafikowanie ekipy, fakturowanie i przypomnienia o wizytach w jednym, zabezpieczonym miejscu — zamiast rozproszonych arkuszy i notatek. Sprawdź plany i ceny na cenniku CleanWhale.