RODO a powierzenie procesów przetwarzania danych osobowych w hotelu firmom zewnętrznym

Autor: Maciej Kopeć. Autor jest specjalistą ds. ochrony danych osobowych w hotelach

Do powierzenia przetwarzania danych osobowych dochodzi w wielu sytuacjach. Hotele, które korzystają z usług outsourcingowych, często nie zdają sobie sprawy, jak wielu podmiotom powierzane są dane osobowe gości, kontrahentów lub pracowników. Mówimy tu o takich usługach jak np. zewnętrzna obsługa kadrowo-płacowa, finansowo-księgowa, IT, prawna, marketingowa, rezerwacji internetowych itp. Ochrona ma dostęp do monitoringu, w którym przetwarzane są dane wizerunku gości i pracowników. W RODO wizerunek twarzy określony został jako szczególny rodzaj danych osobowych – dane biometryczne. Hotel zbiera te dane w celu zapewnienia bezpieczeństwa gości oraz personelu, dlatego z firmą świadczącą usługi ochrony hotel również powinien podpisać umowę powierzenia. Powierzenie do przetwarzania a przekazanie danych Należy umiejętnie rozgraniczyć sytuacje, kiedy hotel powierza dane osobowe do przetwarzania, a kiedy dochodzi do przekazania danych przez innego administratora. Przykładem takiego przekazania może być współpraca z portalem rezerwacyjnym booking.com, HRS, organizatorem imprez turystycznych takim jak TUI lub inny touroperator. W wymienionych przykładach administratorem danych osobowych jest przedsiębiorstwo, z którym gość zawiera umowę rezerwacyjną lub pobytu, a dane osobowe gościa w wyniku zawartej umowy przekazywane są do hotelu. Specyficzna sytuacja zachodzi w wypadku największego polskiego dostawcy booking enginu, firmy Profitroom, która oferuje hotelom wiele różnych usług. Z jednej strony, jest operatorem przekazującym dane gościa dokonującego rezerwacji poprzez stronę internetową hotelu, a z drugiej – jest procesorem, czyli podmiotem przetwarzającym dane należące do hotelu. Ponieważ po 25 maja 2018 r. w istotny sposób zmienią się zasady powierzania danych zewnętrznym podmiotom, korzystanie z wielu usług B2B będzie musiało odbywać się na nowych zasadach. W RODO (rozporządzeniu Parlamentu Europejskiego i Rady UE 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych) określony został podmiot przetwarzający. W art. 28 RODO zawarto warunki, jakie powinna spełniać umowa między administratorem danych osobowych a podmiotem przetwarzającym, lub inny instrument prawny, na mocy którego następuje powierzenie przetwarzania danych osobowych. Jeżeli przetwarzanie ma następować w imieniu administratora, kor [...]