Rozhodně nesmíte s osobními údaji nakládat jak chcete. Každý zápis má svůj účel a k tomuto účelu smíte osobní data zákazníka použít. Pro jiný účel (např. zaslání nabídky na další produkt) tato data použít nesmíte, pokud nemáte samostatný souhlas se zpracováním osobních údajů pro marketingové účely.
GDPR je hlavně o tom, aby si poctivé firmy udělaly pořádek v údajích, které mají a zpracovávají.
1) Osobní údaje při reklamacích jsou opravněný zájem - tzn. není potřeba žádat o souhlas se zpracováním o.ú.
2) Do reklamačních sešitů na prodejně nepsat telefonní čísla a emaily zákazníků (není to potřeba)
3) Reklamační listy u vyřízených reklamací z prodejen pravidelně stahovat, ukládat ve firmě na bezpečném místě a po 2 letech zlikvidovat
4) Podepsat se zaměstnanci Dohodu o mlčenlivosti
5) Teoreticky vydat interní směrnici, která by přesně popsala, jak se ve firmě řeší reklamace s ohledem na osobní údaje reklamujících zákazníků
6) Teoreticky si dát pozor na to, když přeposíláte zboží svému dodavateli na reklamaci. Teoreticky byste mu neměli předávat zboží s těmi reklamačními listy, ale vypsat si vlastní "velkoobchodní" reklamační listy bez údajů zákazníků. Nebo s dodavatelem podepsat Smlouvu o zpracování a přidat ho v interní směrnici do seznamu svých subdodavatelů, kteří zpracovávají osobní údaje vašich zákazníků.
Nejsem expert, jen informovaný laik.