Hotele, w związku z prowadzoną przez siebie działalnością, przetwarzają ogromne ilości danych osobowych. Na gruncie wspomnianego RODO dane osobowe to, w najprostszym ujęciu, wszelkie dane dotyczące możliwej do zidentyfikowania osoby. Tożsamość tak wskazanej osoby można wobec tego ustalić między innymi na podstawie jej imienia i nazwiska, numeru telefonu, adresu e-mail, adresu IP, czy numeru rezerwacji. W praktyce hotele najczęściej zbierają dane prosząc o dokumenty tożsamości, adresy zamieszkania informacje bankowe oraz finansowe.

Mając na uwadze korzystanie przez nie z wielu punktów płatności, systemów rezerwacji online czy poczty elektronicznej, a także przechowywanie dokumentów zawierających dane kart płatniczych, paszportów lub dowodów osobistych, hotele muszą poświęcić szczególną uwagę zagwarantowaniu bezpieczeństwa przetwarzania danych i zapewnieniu zgodności procedur z wymogami RODO.

W branży hotelarskiej dane osobowe są gromadzone i wymieniane pomiędzy stronami internetowymi, menadżerami kanałów i zewnętrznymi systemami rezerwacji. Wynika z tego, że hotele mogą występować w procesie przetwarzania danych zarówno jako administratorzy (w szczególności przy dokonywaniu rezerwacji bezpośrednich), jak i w charakterze podmiotów przetwarzających.

Przedsiębiorcy powinny więc przede wszystkim zrozumieć jakie dane osobowe są w ich posiadaniu, skąd pochodzą, komu są udostępniane i jak zapewnić ich skuteczną ochronę. W tym celu warto rozważyć przeprowadzenie audytu, polegającego na analizie procesów wewnętrznych, umów z dostawcami, istniejących baz danych oraz sposobów przepływu danych pomiędzy systemami.

W praktyce, najłatwiej będzie go wykonać z pomocą Inspektora Ochrony Danych, który oprócz doradztwa przy wdrożeniu odpowiednich dokumentów, przeprowadzi szkolenie dla kierownictwa i pracowników z zakresu prawidłowego sposobu przetwarzania danych w spółce.              

Ocena, czy powołanie Inspektora Ochrony Danych w danym przypadku jest niezbędne, dokonywana jest zawsze na podstawie konkretnych okoliczności. Należy rozważyć, czy wymagane jest formalne wyznaczenie IOD, a zależy to od ilości i wrażliwości informacji. Na poziomie sieci i dużych grup IOD jest prawie na pewno wymagany, ale w przypadku hoteli indywidualnych niezbędna jest bardziej szczegółowa analiza. Powołanie IOD jest jednak zalecane w każdym przypadku, nawet jeżeli prawo wprost tego nie wymaga.

Ma to związek z obowiązkiem prowadzenia rozległej dokumentacji, która jest niezbędna, aby w razie potrzeby udowodnić przed organem nadzorczym odpowiednie wywiązywanie się z RODO. Stworzenie i aktualizacja wszelkich wymaganych dokumentów bez profesjonalnego wsparcia IOD może okazać się znacznie bardziej skomplikowane, powodując trudności w bieżącym działaniu spółki. Zatrudnienie IOD może więc być dla przedsiębiorcy istotnym odciążeniem przy prowadzeniu działalności.

Należy też pamiętać, że ochronie podlegają nie tylko dane klientów, ale także dane pracowników, takie jak listy płac czy informacje kadrowe, co jeszcze bardziej komplikuje sprawę.

Za naruszenie Rozporządzenia, w przypadku obu tych kategorii podmiotów, hotele są zagrożone karą pieniężną: niższą (w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa) lub wyższą (w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa).

Brak powołania IOD czuwającego nad zgodnością przetwarzania z RODO może więc narazić spółkę na duże straty finansowe oraz na, często dużo bardziej bolesne, straty wizerunkowe. Tak było między innymi w przypadku rekordowej kary w wysokości 20 450 000 funtów nałożonej na międzynarodową sieć Marriott International Inc. przez brytyjski urząd regulacyjny za nieprzestrzeganie przepisów rozporządzenia (konkretnie art. 32 RODO) , czy sankcji w postaci obowiązku zapłaty 475 tysięcy funtów przez serwis Booking.com, zastosowanej przez holenderski organ nadzorczy w wyniku naruszeń ze strony podmioty kontrolowanego.

RODO kładzie przy tym szczególny nacisk na dodatkową ochronę „danych wrażliwych”. Obejmują one dane osobowe, które, w przypadku hoteli, ujawniają, bądź mogą ujawnić jedną z poniższych kwestii:
– przynależność do związków zawodowych, która może być ujawniona przez uczestnictwo w imprezach organizowanych na terenie hotelu;
– dane biometryczne służące do jednoznacznej identyfikacji osoby, takie jak odcisk palca przechowywany w celu otwarcia drzwi;
– stan zdrowia, który może zostać ujawniony w prośbach gości kierowanych do obsługi hotelowej;
– wrażliwe informacje na temat orientacji seksualnej, czy szeroko pojętej seksualności, które również mogą zostać ujawnione w niektórych prośbach gości;
– dużo rzadziej i ze znacznie mniejszym prawdopodobieństwem, w systemach hotelowych mogą pojawić się informacje na temat: danych genetycznych, pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych lub filozoficznych, ale wciąż należy brać je pod uwagę i, gdyby zostały ujawnione, traktować jako dane wrażliwe, a co za tym idzie, szczególnie chronione.

Inspektor oceni więc czy tego rodzaju dane wrażliwe występują w przedsiębiorstwie i czy istnieje ryzyko ich naruszenia. Mogą być one bowiem przetwarzane wyłącznie po spełnieniu warunków  wymienionych wprost w art. 9 ust. 2 RODO, wśród których szczególną rolę odgrywa wyrażenie wyraźnej zgody przez osobę, której dane dotyczą. Jeżeli tego rodzaju dane są zbierane przypadkowo, należy je natychmiast usunąć, aby uniknąć konsekwencji z tym związanych.

Zadaniem IOD jest też ostrzeganie Administratora przed działaniami, które mogłyby go narazić na straty innego rodzaju. Do takich działań należy, między innymi, niezgodne z prawem skanowanie paszportów i dowodów osobistych,  niestety wciąż stanowi częstą praktykę w działalności branży hotelarskiej.

Powołanie Inspektora Ochrony Danych, choć w świetle prawa nie zawsze obligatoryjne, będzie więc znaczącym ułatwieniem dla wszystkich przedsiębiorców świadczących usługi hotelarskie. Wyłonienie odpowiedniego kandydata na to stanowisko zagwarantuje zgodność procesów przetwarzania z normami ogólnego rozporządzenia o ochronie danych, a co za tym idzie zapewni bezpieczeństwo danych osobowych zarówno gości hotelu, jak i jego pracowników, pozwalając jednocześnie uniknąć wszelkich negatywnych następstw związanych z naruszeniami danych.

1) Dokumentacja ochrony danych oparta na przepisach ustawy o ochronie danych osobowych z 1997 roku

Wciąż zdarza się, że audytowana organizacja posada dokumentację stworzoną na gruncie poprzednio obowiązujących przepisów. Jest to sytuacja niedopuszczalna, ponieważ aktualnie administratorzy mają wiele nowych obowiązków, których uprzednio nie było.

2) Brak lub niewłaściwie skontrowane umowy powierzenia przetwarzania danych

W sytuacji, gdy administrator zleca pewne czynności przetwarzania podmiotom zewnętrznym (np. usługi księgowe) przetwarzanie przez podmiot przetwarzający powinno się odbywać na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora. Szczegółowe wymagania, co do treści umowy powierzenia określone zostały w art. 28 ust. 3 RODO. W rzeczywistości bardzo często zdarza się, że administratorzy nie mają podpisanych umów powierzenia z podmiotami, z którymi takie umowy powinny być zawarte lub umowy te nie zawierają wszystkich wymaganych przez prawo elementów. Jest to istotna kwestia, ponieważ Prezes Urzędu Ochrony Danych Osobowych wydawał już decyzje nakładające kary pieniężne, za brak w/w umów lub ich niekompletną treść.

3) Wykorzystywanie przetwarzania danych darmowych poczt elektronicznych zakładanych przez osoby prywatne, na popularnych portalach informacyjnych

Pamiętać należy, że korzystając w pracy z poczty elektronicznej dane przechowywane są na serwerze operatora poczty, z której korzystamy. Jeżeli pracownicy administratora w wiadomościach mailowych wysyłają lub odbierają dane osobowe (czyli dochodzi do ich przetwarzania), a poczta elektroniczna znajduje się na serwerach portalów informacyjnych (zazwyczaj jest darmowa), to faktycznie może następować przekazywanie danych do zewnętrznego podmiotu bez odpowiedniej podstawy prawnej. Zalecane jest, aby skrzynki elektroniczne, z uwagi na zazwyczaj dużą ilość przetwarzanych za ich pośrednictwem danych osobowych, jeżeli administrator chce zlecać tę czynność podmiotowi zewnętrznemu, były zakładane z wykorzystaniem profesjonalnych podmiotów świadczących usługi hostingowe, z którymi zawierane są umowy powierzenia przetwarzania danych osobowych.

4) Brak kopii zapasowych z danymi/ niewłaściwie zabezpieczane kopie

Zdolność systemu do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego to bardzo istotny aspekt, bez którego zapewnienie faktycznego bezpieczeństwa przetwarzania danych osobowych jest niemożliwe. Często zdarza się jednak, że administratorzy nie tworzą żadnych kopii przetwarzanych przez siebie danych, zapisywane kopie nie są właściwie zabezpieczane albo administrator nie weryfikuje w jakikolwiek sposób, czy formowane są one we właściwy sposób.

5) Brak udokumentowanego przeprowadzenia analizy ryzyka

Jedną z najbardziej istotnych zmian dokonanych przez RODO, było wprowadzenie zasady podejścia opartego na ryzyku, która stanowi, że administrator danych lub podmiot przetwarzający powinien zastosować takie środki bezpieczeństwa, jakie w danych okolicznościach przetwarzania minimalizują związane z tym przetwarzaniem ryzyko naruszenia praw i wolności. Analiza ryzyka, po przeprowadzeniu której administrator dobiera zabezpieczenia właściwe do zidentyfikowanych zagrożeń, powinna zostać udokumentowana. Podczas przeprowadzanych audytów bardzo często okazuje się, że administrator nie przeprowadził właściwej analizy ryzyka albo istniejąca w tym zakresie dokumentacja stanowi jedynie niewypełniony – przykładowy szablon, co biorąc pod uwagę jak istotny jest to obowiązek, wiąże się ze sporym ryzykiem dla administratora.

Organem nadzorczym stojącym na straży przestrzegania przepisów rozporządzenia RODO jest Prezes Urzędu Ochrony Danych Osobowych. Jego podstawowym zadaniem jest stanie na straży prawa do ochrony danych osobowych. Jednym z ważnych elementów działalności prezesa UODO jest również podnoszenie świadomości społeczeństwa w zakresie konieczności ochrony danych.

W przypadku stwierdzenia naruszeń przepisów, obowiązkiem prezesa UODO jest reakcja proporcjonalna do wagi naruszenia. Niewielkie naruszenia prawdopodobnie będą skutkować sankcjami niefinansowymi, określonymi w artykule 58 ust. 2 rozporządzenia. Są to na przykład: ostrzeżenia dotyczące możliwości naruszenia, upomnienia, nakazy spełnienia żądań osób, których dotyczą dane a także czasowe lub całkowite ograniczenie lub zakaz przetwarzania danych osobowych.

Ponadto organ kontrolny ma uprawnienia do stosowania administracyjnych kar pieniężnych. Czynniki, jakie są brane pod uwagę przy ustalaniu wysokości kary pieniężnej to między innymi: charakter, waga oraz czas trwania naruszenia, jego umyślny lub nieumyślny charakter, działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody a także współpraca z poszkodowanymi i organem kontrolnym. Przepisy rozporządzenia RODO wymagają od podmiotu przetwarzającego dochowania i udokumentowania szczególnej staranności podczas procesu gromadzenia i przetwarzania danych osobowych.

Zgodnie z duchem przepisów, szczególnie istotna jest współpraca administratora danych z osobami poszkodowanymi i organem kontrolnym. Naruszenia mogą się zdarzyć, jednak najgorsze możliwe zachowanie, to ukrywanie ich, odnoszenie z nich korzyści i brak reakcji na sygnały o nich.

Rozporządzenie RODO określa maksymalne poziomy kar. W przypadku nieprawidłowości w zakresie powierzenia przetwarzania danych, niewłaściwego prowadzenia rejestru czynności, niezgłoszenia naruszeń lub niezawiadomienia o naruszeniu osób, których dane dotyczą, maksymalna kara wynosi 10 000 000 euro lub 2% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku. Aż 20 000 000 euro lub 4% obrotu może zapłacić przedsiębiorca, który przetwarza dane osobowe niezgodne z zasadami RODO, nie dotrzymuje warunków wyrażenia zgody na przetwarzanie danych, nie dotrzymuje warunków przetwarzania szczególnych kategorii danych (na przykład o stanie zdrowia, wyznaniu czy orientacji seksualnej) a także nie dopełnia obowiązku informacyjnego lub nie zapewnia prawa do sprostowania. Obniżone maksymalne poziomy kar obowiązują instytucje z sektora finansów publicznych oraz państwowe i samorządowe instytucje kultury. Są to odpowiednio 100 000 i 10 000 złotych.

Należy pamiętać, że niezależnie od kar administracyjnych, przedsiębiorcom grozi również odpowiedzialność cywilna z tytułu pozwów sądowych osób poszkodowanych.

Przede wszystkim należy ustalić podstawę zbierania, wykorzystania i przetwarzania danych osobowych. W większości przypadków do zbierania danych potrzebna jest zgoda osoby udostępniającej. Istnieją jednak przypadki, gdy dane można lub trzeba zbierać na podstawie obowiązujących przepisów prawa. Istotne jest to że, w takim przypadku zgody na przetwarzanie danych nie byłoby można wycofać.

Należy dopełnić obowiązków informacyjnych. Osoby, których dane przetwarzamy musimy poinformować na przykład o wyznaczeniu Inspektora ochrony danych, a także o tym przez jaki okres dane będą przechowywane. Musimy też poinformować o prawie do dostępu do danych, do ich zmiany, do wycofania zgody oraz do złożenia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Cała komunikacja z osobami, których dane zbieramy musi mieć charakter przejrzysty i zrozumiały. Wszelkie informacje muszą również być łatwo dostępne.

Należy stworzyć warunki do respektowania praw osób. Przede wszystkim chodzi o respektowanie sprzeciwów, a także sprawną reakcję na komunikację ze strony osób zainteresowanych.

Zgoda na przetwarzanie danych osobowych może być w każdym momencie wycofana, przy czym wycofanie jej nie może rodzić żadnych negatywnych skutków dla osoby wycofującej, np. nie może prowadzić do utraty rabatów. Nie można też uzależniać warunków proponowanej umowy od udzielenia zgody na przetwarzanie danych osobowych.

Przy administrowaniu danymi należy dochować należytej staranności. Jedną z najważniejszych rzeczy jest informowanie osób zainteresowanych oraz prezesa UODO o wszelkich naruszeniach ustawy.

Nie należy tworzyć niepotrzebnej dokumentacji, w szczególności nie ma obowiązku gromadzenia dokumentacji  w formie papierowej.

Pozyskiwane dane można profilować, np. w celu stworzenia spersonalizowanych ofert dla klientów. W takim wypadku należy poinformować o tym fakcie osobę, której dane dotyczą

Urząd ochrony danych Osobowych poleca zatrudnienie fachowego Inspektora ochrony Danych. Może to zabezpieczyć przedsiębiorcę przed roszczeniami ze strony klientów oraz karami nakładanymi przez stosowne instytucje.

Niestety przepisy RODO są często skomplikowane i jednocześnie restrykcyjne. Bywa to wykorzystywane przez różnego rodzaju oszustów, którzy próbują wzywać do ponoszenia nienależnych opłat, strasząc bardzo wysokimi karami.