RODO – czy trzeba będzie usunąć dotychczasowe dane gości

Autor: Maciej Kopeć, specjalista ds. ochrony danych osobowych w hotelu, www.odowhotelu.pl

Zbieranie i przetwarzanie danych osobowych gościa hotelowego w świetle nowych przepisów RODO Wielu hotelarzy, przygotowując się do wprowadzenia RODO, zastanawia się, jak prawidłowo zbierać dane osobowe od gości. Czy po 25 maja zmienią się podstawy przetwarzania danych osobowych gości? Co z tymi zebranymi do tej pory? Czy wystarczy spełnić obowiązek informacyjny wobec gościa, czy też należy poprosić go o zgodę na przetwarzanie ? Co powinno znaleźć się w klauzuli informacyjnej? Wart. 6 RODO określono zgodność przetwarzania danych osobowych z prawem. W jego kolejnych punktach zostały wymienione przesłanki legalizujące proces przetwarzania (patrz ramka). Wybór przesłanki determinuje długość okresu, w którym można przetwarzać dane gościa. Dane osobowe gościa Dotychczas wykorzystywana przez hotele przesłanka to przetwarzanie, które jest niezbędne do wykonania umowy o świadczenie usług hotelarskich lub podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy – rezerwacji pobytu (przesłanka zawarta w ppkt b). Ze względu na wytyczne opublikowane przez Grupę Art. 29 (więcej o Grupie Art. 29 patrz ramka) oraz GIODO, wykorzystując tę przesłankę, należy usunąć dane gościa niezwłocznie po zakończeniu celu przetwarzania (czyli po zakończeniu pobytu w hotelu), chyba że hotel będzie miał obowiązek przetwarzać dane w celu wypełnienia obowiązku prawnego opisanego ppkt c (np. przepisy prawa podatkowego lub bankowego). Hotel ma jednak prawo przechowywać dane osobowe gościa (nawet mimo prośby o usunięcie danych przez osobę, której dotyczą). Taka przesłanką będzie art. 118 kodeksu cywilnego, który dotyczy przedawnienia roszczeń: „Jeżeli przepis szczególny nie stanowi inaczej, termin przedawnienia wynosi lat dziesięć, a dla roszczeń o świadczenia okresowe oraz roszczeń związanych z prowadzeniem działalności gospodarczej – trzy lata”. podstawie paragonu a wystawieniem faktury wynika z faktu, że na paragonie, w odróżnieniu od faktury, nie umieszcza się danych osobowych gościa. Jeśli hotel chce przetwarzać dane gościa dłużej, np. w celu przesyłania ofert handlowych lub lepszej obsługi podczas jego przyszłych pobytów, musi poprosić go o wyrażenie w tym celu zgody na przetwarzanie jego danych osobowych wykorzystując przesłankę z ppkt a („osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów”). Artykuł 4 ust. 11 RODO definiuje zgodę jako: „dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, w którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych”. Element „dobrowolna” oznacza rzeczywisty wybór i kontrolę zapewnione dla osoby, której dane dotyczą. Dlatego należy bardzo umiejętnie dobrać słowa w klauzuli zgody oraz oddzielić ją od świadczenia usług hotelowych. Jeżeli zgoda jest włączona jako niepodlegająca negocjacjom część warunków, zakłada się, że nie została wyrażona dobrowolnie, gdyż osoba, której dane dotyczą, nie ma możliwości odmówienia lub wycofania swojej zgody bez niekorzystnych konsekwencji. RODO przewiduje, że zgoda będzie nieważna, jeżeli osoba, której dane dotyczą, nie ma rzeczywistego wyboru, czuje się zmuszona do wyrażenia zgody lub poniesie negatywne konsekwencje, jeśli jej nie wyrazi. Przykład Jeśli w ofercie hotelu znajduje się informacja o bezpłatnym dostępie do Wi-Fi, a hotel podczas logowania się do sieci żąda podania adresu mailowego gościa w celu monitorowania jego zachowań w sieci oraz profilowania, nie udostępniając jednocześnie w logowaniu możliwości pominięcia tego kroku, należy uznać, że jest to wymuszenie zgody, a hotel nie udostępnia bezpłatnego Wi-Fi swoim gościom. Bardzo pomocne w opracowywaniu klauzul zgody będą wytyczne zawarte w rozporządzeniu 2016/679 (RODO) nr 17/PL WP259 przyjęte 28 listopada 2017 r. przez Grupę Art. 29. Wytyczne zapewniają dokładną analizę pojęcia zgody jako jednej z sześciu legalnych podstaw przetwarzania danych osobowych, które wymieniono w art. 6 RODO (pełny tekst publikacj [...]