GDPR v hotelu nezačíná u formuláře. Začíná u provozu.
Rezervace, recepce, kamerové záznamy i newsletter. Jak bych postupovala při nastavení ochrany osobních údajů v hotelu nebo penzionu.
Pracovní návrh autorského článku pro Danu Šturmovou k obsahovému schválení před zveřejněním.
Právnička · specialistka na GDPR a compliance · externí DPO
O nás a naší praxi →Když se mě provozovatel hotelu zeptá, jaké GDPR dokumenty potřebuje, nezačala bych výběrem vzoru. Nejdřív bych chtěla pochopit, jak jeho provoz funguje. Kdo přijímá rezervaci? Co recepce zapisuje? Kam se údaje předávají a kdo k nim má přístup? Teprve podle odpovědí má smysl připravovat dokumentaci.
OD REZERVACE PO ODJEZD
Jméno, e-mail, telefon i údaje spojené s rezervací mohou být osobními údaji. Pro každý účel potřebujeme odpovídající právní základ. Souhlas není univerzální odpověď: jiné podmínky má vyřízení pobytu a jiné další využití údajů. Sbírat bychom měli jen potřebné údaje a uchovávat je po odůvodněnou dobu.
DOKLAD HOSTA NENÍ AUTOMATICKY PŘÍLOHOU REZERVACE
Zákonnou evidenci hostů je potřeba odlišit od pořizování kopií jejich dokladů. V historické kontrole hotelu ÚOOÚ řešil mimo jiné skenování dokladů bez doloženého právního důvodu. Proto bych u recepce ověřila skutečný postup, nikoli jen text prohlášení na webu. Případ je popsaný ve zprávě UOOU-03541/20 z kontrol za rok 2021.
KAMERY, DODAVATELÉ A PŘÍSTUPY
U kamer se ptám na účel, nezbytnost sledování, záběr, dobu uchování a lidi, kteří mohou záznamy otevřít. Podkladem je také metodika ÚOOÚ. Samotná cedulka u vchodu nastavení nevyřeší.
U rezervačního systému a dalších dodavatelů potřebujeme určit jejich skutečnou roli. Kdo zpracovává údaje jménem hotelu, může být zpracovatelem; tehdy je třeba odpovídající smluvní úprava. Každý obchodní partner ale zpracovatelem automaticky není.
HOST MÁ VĚDĚT, CO SE S ÚDAJI DĚJE
Informace mají srozumitelně vysvětlovat účely, právní základy, příjemce, uchování i práva hosta. Měly by odpovídat používaným systémům. Zaměstnanec na recepci zároveň potřebuje vědět, komu předat žádost o přístup nebo výmaz, místo aby sám odhadoval správnou odpověď.
NEWSLETTER JE SAMOSTATNÉ TÉMA
E-mail kvůli rezervaci není bezpodmínečnou vstupenkou k dalším reklamním zprávám. Je potřeba ověřit souhlas nebo podmínky zákonné zákaznické výjimky, možnost odmítnutí a podobu každého sdělení. Obchodní sdělení mají vedle GDPR i vlastní pravidla.
CO MÁ BÝT VÝSLEDKEM
Za užitečný výstup považuji přehled zpracování, seznam potřebných oprav, rozdělení odpovědností a jednoduché pokyny pro zaměstnance. Dokumenty potom popisují skutečný provoz. Podle zadání navazuje jejich doplnění, školení nebo odborné právní posouzení spolupracujícím advokátem. Rozsah a cenu domluvíme předem.