Obowiązki hotelarza w zakresie przetwarzania danych osobowych

Autor: Maciej Kopeć

Hotel jest szczególnym przedsiębiorstwem, w którym przetwarza się dane osobowe, bo dotyczą one jednocześnie pracowników, kontrahentów i gości. Ustawa o ochronie danych osobowych obowiązuje od 1997 roku, ale cały czas pozostaje spora grupa hotelarzy, którzy odkładają wykonanie obowiązkowej dokumentacji i wprowadzenie procedur z powodu złożoności problemu oraz niewielkiej liczby firm specjalizujących się we wdrożeniach ochrony danych osobowych w obiektach hotelowych. Dane osobowe zostały określone w ustawie o ochronie danych osobowych (tekst jednolity Dz.U. 2014 poz. 1182) jako „wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, której tożsamość można określić pośrednio lub bezpośrednio. Za dane osobowe uważane są więc: imię, nazwisko, adres zamieszkania, pesel, nr dowodu osobistego, nr telefonu, adres e-mail itp.”. Przetwarzanie danych jest dość szerokim pojęciem. Art. 7 pkt 2 ustawy mówi o tym, że są to „jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te które wykonuje się w systemach informatycznych”. Dane w związku z usługą i w związku z marketingiem Aby dane można było legalnie przetwarzać, musi być wyrażona zgoda osoby, której dane są przetwarzane. Chyba że spełnione przesłanki wynikające z przepisów prawa (np. prawo pracy nakłada obowiązek prowadzenia dokumentacji osobowej pracowników), wtedy taka zgoda nie jest wymagana. Przez wiele lat podstawą prawną przetwarzania danych osobowych gości w hotelu była ustawa o ewidencji ludności i dowodach osobistych z 1974. Ale od kilku lat już nie obowiązuje, a obecnie podstawą przetwarzania danych jest fakt, że są one niezbędne do realizacji umowy dostawy usługi hotelowej, którą hotel zawiera z gościem. Hotele gromadzą i przetwarzają dane osobowe gości pozyskując je od nich samych. Odbywa się to już w procesie rezerwacji oraz meldowania. Dane należy podzielić na zbierane w związku z realizacją dostawy usługi hotelowej oraz na dane, które w późniejszym okresie wykorzystywane będą do prowadzenia kampanii marketingowych. Jeżeli wysyła się e-maile do byłych gości z informacjami o promocjach, istotne jest, aby zadbać o wyrażenie przez nich zgody na otrzymywanie informacji handlowych drogą elektroniczną w rozumieniu ustawy o świadczeniu usług drogą elektroniczną. Gdy hotel posiada SPA, które zbiera dane o stanie zdrowia gościa (np. przeciwwskazania do zabiegu na karcie zabiegowej gościa), bezwzględnie należy posiadać zgodę na ich przetwarzanie, ponieważ są to dane wrażliwe i muszą być zgłoszone do Głównego Inspektora Ochrony Danych Osobowych (GIODO). Regulamin umieszczony na stronie internetowej hotelu oraz na karcie meldunkowej powinien w sposób jasny informować gości, które dane są niezbędne do zawarcia umowy, a których podania gość może odmówić oraz kto jest administratorem danych. Podczas procesu zbierania danych należy również pamiętać, że dane powinny być zbierane adekwatnie do potrzeb związanych z realizacją umowy, a w przypadku gdy są już zbędne, powinny zostać us [...]