GDPR, tedy Obecné nařízení o ochraně osobních údajů, se dotkne nepochybně i sektoru hotelnictví a cestovního ruchu, a to už od 25. května 2018. Co se pro ubytovací zařízení změní a na co se musí připravit, společně probereme v tomto článku.
První kroky
Jedním z prvních a nejdůležitějších kroků bude zjištění jaká data svých klientů a zaměstnanců ubytovací zařízení zpracovává, za jakými účely a zda je tento postup v souladu s GDPR (zejména jestli má pro zpracování těchto údajů potřebný souhlas). Na základě tohoto zjištění by měla být vypracována analýza, která se stane podkladem pro všechny následující kroky směřujícími k naprostému souladu s GDPR.
Analýza by především měla odpovídat na otázky:
- kde ubytovací zařízení ukládá osobní údaje,
- kdo má k těmto údajům přístup,
- jak jsou tyto údaje chráněny a zda je tato ochrana dostatečná,
- zda mohou být údaje lehce dohledány, předány, opraveny a smazány,
- zda ubytovací zařízení spolupracuje při správě osobních údajů s dalšími osobami, nebo zda osobní údaje předává do zahraničí,
- zda jsou příslušní zaměstnanci dobře proškoleni ohledně dopadů a závažnosti GDPR,
- zda je ubytovací zařízení schopno v případě úniku dat oznámit tuto událost do 72 hodin příslušnému dozorovému úřadu.
Pokud má dané ubytovací zařízení navíc více různých poboček po celém světe, je žádoucí k implementaci GDPR zaujmout stejný přístup.
Co Vás může překvapit
GDPR se může dotknout i těch subjektů, které ubytovací zařízení provozují mimo Evropskou Unii. Přestože se jedná o evropské nařízení, GDPR bude aplikováno na všechny subjekty, které zpracovávají evropské osobní údaje.
Mnoho ubytovacích zařízení svou marketingovou strategii zakládá na rozesílání emailů svým bývalým klientům, či zájemcům o jejich služby, kteří na webových stránkách hotelu (případně ve smlouvě o ubytování) souhlasili s jejich zasíláním. Takový způsob již nově nebude bez dalšího možný. Klient bude muset výslovně a samostatně a svobodně souhlasit, že si přeje, aby mu byly zasílány reklamní emaily (tzv. opt-in). Nově tedy nebude možné, aby tento souhlas byl implicitně obsažen ve smlouvě, nebo aby klient se zasíláním reklamních údajů musel nesouhlasit (tzv. opt-out).
Je také třeba počítat s tím, že pokud ubytovací zařízení přenese zpracování osobních údajů na externího zpracovatele, nezbaví se tím své odpovědnosti a povinnosti nakládat s osobními údaji v souladu s nařízením.
Při zpracování osobních údajů, které ubytovacímu zařízení (hotelu) nařizuje zákon, není k takovému zpracování (v zákonem daném rozsahu) potřeba souhlasu subjektu údajů se zpracováním těchto údajů. Jedná se o zákonné (nezbytné) zpracování osobních údajů o kterém je třeba subjekt údajů pouze informovat. Tato výjimka směřuje k tomu, aby se souhlasy se zpracováním osobních údajů nehromadily a byly požadovány jen tam, kde jsou potřeba.
Účinnost GDPR se rychle blíží a lze konstatovat, že většina ubytovacích zařízení je na jeho účinnost nedostatečně připravena. Již od 25. května 2018 mohou být těmto zařízením ukládány vysoké pokuty, pokud bude zjištěno, že jejich vnitřní postupy s GDPR nejsou v souladu. Je možné, že podniknutí všech kroků bude pro ubytovací zařízení náročné, v takovém případě by se neměly obávat obrátit se na specializované subjekty, které se problematikou GDPR přímo zabývají.