Hotely, penzióny, iné druhy ubytovacích zariadení - aké majú povinnosti v oblasti ochrany osobných údajov? Aké účely spracúvania sú osobitné podľa GDPR pre hotely a ubytovateľov? Činnosť hotelov a ubytovateľov reguluje viacero právnych predpisov. „Ubytovatelia“ sú zvyknutí na plnenie právnych povinností. Vyplývajú im z osobitných predpisov a vyhlášok. Ako ovplyvňujú samotné GDPR a spracúvanie osobných údajov? Zákon o hlásení pobytu občanov vyžaduje od ubytovacieho zariadenia viesť knihu ubytovaných. Tá má obsahovať údaje o mene a priezvisku ubytovaného, číslo jeho občianskeho preukazu alebo cestovného dokladu, adresu trvalého pobytu a dobu ubytovania. Zákon nevyžaduje získanie rodného čísla.
Na rodné číslo je potrebné si dať osobitný pozor, keďže vo vzoroch kníh ubytovaných sa často rodné číslo uvádza. Zákon o pobyte cudzincov nadväzuje na zákon o hlásení pobytu občanov. Vyberanie miestnej dane je samostatným účelom spracúvania osobných údajov a je špecifikovaný v § 37 a nasl. zákona o miestnych daniach. Podrobnosti o vedení evidencie o vybratej dani z ubytovania ustanovuje podľa zákona o miestnych daniach každá obec samostatne. V rámci ochrany osobných údajov sa môže považovať aj za porušenie zásady minimalizácie osobných údajov, pretože občiansky preukaz obsahuje väčší rozsah osobných údajov, ako je potrebné viesť v knihe ubytovaných hostí.
Ako predpis upravujúci celý zmluvný vzťah, vrátane úpravy zmluvy o ubytovaní definuje povinnosti ubytovateľa aj ubytovaného. Hotely a ubytovatelia tiež často využívajú externé aplikácie (booking.com, hotels.com a iné). Zároveň majú aj svoje rezervačné systémy, za ktorých licenciu „platia“. Dôvod? Rezervačný portál si sám určuje ako a aké osobné údaje bude spracúvať za účelom sprostredkovania ubytovania. Zároveň vystupuje vo vlastnom mene, nie v mene konkrétneho ubytovacieho zariadenia. Na druhej strane po doručení údajov - ubytovateľ určuje ako a aké osobné údaje bude spracúvať za účelom uzatvorenia zmluvy o ubytovaní a plnenia svojich zákonných povinností.
Dopad na ubytovateľa je taký, že osobné údaje o hosťoch, ktorý si rezervovali pobyt v zariadení získava ubytovateľ od rezervačného portálu, nie priamo od hosťa ako dotknutej osoby, je preto potrebné plniť informačnú povinnosť podľa čl. 14 GDPR. Ak ako ubytovateľ pre manažment rezervácií využívate externú aplikáciu, situácia je iná. Aj tu platí, že väčšie spoločnosti s vami zmluvu uzatvárajú online. V tomto prípade ide o zmluvu o poverení so spracúvaním osobných údajov. Preto je na strane ubytovateľa potrebné evidovať dodávateľa ako sprostredkovateľa v zozname sprostredkovateľov a uvádzať ho v kategóriách príjemcov pri všetkých účeloch spracúvania, ktorých sa to týka.
Z vyššie uvedeného môžete identifikovať účely spracúvania, ktoré sú súčasťou ubytovania hostí v ubytovacích zariadeniach. Keďže osobné údaje ubytovaných hostí sú ťažiskom pre spracúvanie osobných údajov v hoteloch a ubytovacích zariadeniach, odporúčame venovať pozornosť oboznamovaniu hostí najmä v zmysle čl. 13 a čl. 14 GDPR. Ubytovacie zariadenia majú všetky ostatné povinnosti, ako aj podnikatelia spracúvajúci osobné údaje. Od stanovenia interných postupov, bezpečnostných opatrení, cez poverenia, poučenia a oboznamovanie, až po školenie oprávnených osôb… Správne nastavenie ochrany osobných údajov a GDPR hotel má zároveň chrániť.
Do tohto všetkého v roku 2020 a 2021 vstúpili aj povinnosti kontrolovať ubytovaných, či disponujú negatívnym testom ku COVID, následne potvrdením o očkovaní. Naša securion. dokumentácia má pre GDPR ubytovacie zariadenia a hotely uľahčiť a zautomatizovať procesy a zjednodušiť celkovú správu ochrany osobných údajov.
V plnom znení zákon č. 253/1998 Z.z. o hlásení pobytu občanov SR a o registri obyvateľov SR v znení neskorších predpisov; V plnom znení zákon č. 404/2011 Z.z. o pobyte cudzincov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov; V plnom znení zákon č. 582/2004 Z.z. o miestnych daniach a miestnom poplatku za komunálne odpady a drobné stavebné odpady v znení neskorších predpisov; V plnom znení zákon č. 395/2020 Z.z. o občianskych preukazoch a o zmene a doplnení niektorých zákonov v znení neskorších predpisov.
Hlavné jednotky spracúvania údajov pri ubytovaní
- Identifikačné údaje hostí - meno, priezvisko, číslo občianskeho preukazu alebo cestovného dokladu, adresu trvalého pobytu a doba ubytovania.
- Účely spracúvania - uzatvorenie zmluvy o ubytovaní, plnenie zákonných povinností (hlásenie pobytu, miestne dane), administratívne a fakturačné procesy.
- Dodávatelia a sprostredkovatelia - externé rezervačné portály a ich spracúvanie údajov, uvedenie v zozname sprostredkovateľov a kategórií príjemcov.
- Oboznámenie a informovanosť - povinnosť informovať hostí podľa čl. 13 a 14 GDPR o spracúvaní ich údajov.
- Bezpečnostné opatrenia - interné postupy, školenia, poverenia a oboznamovanie oprávnených osôb s ochranou údajov.
- Kontroly súvisajúce s COVID - povinnosti zo súčasnej legislatívy v rokoch 2020-2021.
Praktické doplnenie pre dieťa pri ubytovaní
Pri dieťati sa často vyžaduje špecifické riešenie identifikácie a spracúvania údajov. Zákony majú v sebe uvedené, že rodné číslo nie je povinné. Pri rodných číslach treba postupovať s opatrnosťou a minimalizovať množstvo zhromažďovaných údajov. V zmysle zmluvného vzťahu a podmienok rezervácie, pre dieťa sa môžu využiť identifikátory, ktoré nepotrebuje rodič alebo zákonný zástupca pri check-ine.
Príklady praktických postupov v ubytovacích zariadeniach
- Vedenie knihy ubytovaných v súlade so zákonom o hlásení pobytu občanov a v spolupráci s právnymi predpismi o ochrane osobných údajov.
- Vykonávanie informovacej povinnosti voči hosťom pri spracúvaní ich údajov (články 13 a 14 GDPR).
- Vedenie zoznamov sprostredkovateľov a kategórií príjemcov pre všetky účely spracúvania údajov.
- Interné postupy, bezpečnostné opatrenia a školenia oprávnených osôb týkajúcich sa ochrany údajov.
- Prispôsobenie procesov na účely vybratia dane z ubytovania a evidenciu súvisiacu s miestnymi daniami podľa miestnych predpisov.
Informačné doplnenie o školení a technickom zabezpečení
Ubytovacie zariadenia by mali mať nastavené interné postupy, bezpečnostné opatrenia, poverenia, poučenia a oboznamovanie oprávnených osôb. Správne nastavenie ochrany osobných údajov a GDPR hotel má chrániť hostí aj zamestnancov a minimalizovať riziká úniku či zneužitia údajov.
Praktické odporúčanie: pri využívaní externých rezervačných portálov je potrebné mať v evidencii dodávateľa ako sprostredkovateľa a uvádzať ho v zozname príjemcov spolu s účelmi spracúvania. Týmto spôsobom sa zabezpečí jasný a zákonný rámec spracúvania údajov hostí aj pri digitálnych procesoch rezervácie.
Potrebné doklady dieťaťa pri ubytovaní
V prípade ubytovania dieťaťa je potrebné zohľadniť, že rodné číslo nie je povinné podľa zákona o hlásení pobytu. Pri cestovnom doklade dieťaťa sa zvyčajne vyžaduje meno, priezvisko a dátum narodenia, ktoré sú potrebné na identifikáciu a správne zaevidovanie pobytu. V prípade rodičovského zastúpenia môžu byť vyžadované aj doklady totožnosti rodičov na overenie súhlasu s ubytovaním dieťaťa vo veci zmluvy o ubytovaní a plnenia zákonných povinností.
V prípade potreby doplniteľných údajov
Ak sa vyžadujú ďalšie údaje zo strany hotela, mali by byť zhromažďované len v nevyhnutnom rozsahu a mali by byť jasne odôvodnené účelom spracúvania. Vždy by mala existovať informácia pre hostí podľa článkov 13 a 14 GDPR a jasné určenie účelu spracúvania a doby uchovania údajov.
Tabuľka - prehľad povinností
| Povinnosť | Popis | Týka sa dieťaťa |
|---|---|---|
| Kniha ubytovaných | Zápis údajov: meno, priezvisko, číslo dokladu, adresa, dobu pobytu | Áno |
| Rodné číslo | Nie je povinné, minimalizovať | Nie |
| Spracúvanie údajov pre zmluvu | Určenie spôsobu spracúvania zo strany ubytovateľa | Áno |
| Informovanosť hostí | Články 13 a 14 GDPR | Áno |
| Sprostredkovatelia | V evidencii a kategóriách príjemcov | Áno |