GDPR pre ubytovateľov pôsobiacich naprieč Európou

Čo je rovnaké všade

Štyri zásady GDPR platia úplne rovnako bez ohľadu na to, v ktorej krajine EÚ sa nehnuteľnosť nachádza:

• Zákonnosť (článok 6) — pre každý údaj o hosťovi potrebujete právny základ. Pri ubytovateľoch to takmer vždy je buď zákonná povinnosť (vyžaduje to vnútroštátny hlásiaci zákon), alebo plnenie zmluvy (údaj potrebujete na poskytnutie rezervácie).
• Minimalizácia údajov (článok 5 ods. 1 písm. c) — zbierajte len to, čo daný konkrétny právny základ skutočne vyžaduje, nie všetko, čo náhodou obsahuje šablóna formulára.
• Transparentnosť (článok 13) — hostia musia byť zrozumiteľným jazykom informovaní, čo zbierate a prečo, už v okamihu zberu.
• Zodpovednosť (článok 5 ods. 2 / článok 30) — musíte vedieť compliance preukázať, nielen tvrdiť, čo pre väčšinu ubytovateľov znamená vedenie jednoduchého záznamu o tom, aké údaje spracúvate, prečo a ako dlho.

Čo sa podľa krajiny líši

Čo sa medzi krajinami, kde by ste mohli pôsobiť, skutočne líši:

• Aké konkrétne polia musíte zbierať — zákony o hlásení zahraničných hostí sa líšia v tom, aké presné údaje vyžadujú (meno a číslo pasu takmer všade, ale účel a dĺžka pobytu alebo konkrétne výnimky sa líšia).
• Lehoty uchovávania — ako dlho smiete alebo musíte daný záznam uchovávať, stanovuje vnútroštátny zákon, ktorý povinnosť zakladá, nie samotné GDPR.
• Na aký úrad sa obrátiť — každá krajina má vlastný úrad na ochranu osobných údajov; únik údajov postihujúci hostí z viacerých krajín môže vyžadovať oznámenie viacerým úradom.
• Jazyk a formát informácií pre hostí — povinnosť transparentnosti znamená, že hostia musia rozumieť tomu, s čím súhlasia, čo v praxi znamená, že vaše zásady ochrany osobných údajov musia byť dostupné v miestnom jazyku, nie len v angličtine.

Praktický checklist pre prevádzkovateľov vo viacerých krajinách

1. Zmapujte právny základ pre každú krajinu zvlášť — zapíšte si podľa krajiny, ktorý vnútroštátny zákon vyžaduje ktoré konkrétne polia. Z toho vzniká váš základ pre minimalizáciu údajov.
2. Nepoužívajte jeden “maximálny” vstupný formulár naprieč krajinami — formulár postavený tak, aby splnil požiadavky najprísnejšej krajiny, bude v každej inej krajine zbierať viac údajov, než smie, čo je samo osebe porušenie minimalizácie.
3. Nastavte lehotu uchovávania podľa typu záznamu, nie podľa nehnuteľnosti — hlásenie zahraničného hosťa možno musíte v jednej krajine uchovávať roky a v inej kratšie; uchovávanie by sa malo riadiť právnym základom, nie jednotnou firemnou politikou.
4. Veďte jednoduchý záznam o spracúvaní — čo zbierate, prečo, ako dlho to uchovávate a kto k tomu má prístup. Pri malej prevádzke to nemusí byť rozsiahle, ale musí to existovať a byť presné.
5. Poznajte postup hlásenia úniku pre každú krajinu — zistite si, ktorý úrad na ochranu osobných údajov by ste kontaktovali za hostí v každej krajine, ešte skôr než to budete pod časovým tlakom potrebovať (72-hodinová lehota GDPR nedáva priestor to zisťovať od nuly).

Časté chyby prevádzkovateľov vo viacerých krajinách

• Považovať GDPR za “raz vyriešené” pre celý biznis. Compliance s GDPR sa v skutočnosti týka konkrétnych činností spracúvania viazaných na každú nehnuteľnosť a zákonné požiadavky každej krajiny — jedny všeobecné zásady ochrany osobných údajov skopírované naprieč všetkými ponukami málokedy zodpovedajú tomu, čo sa pri každej z nich skutočne deje.
• Predpokladať, že nastavenie funkčné v Česku je automaticky v poriadku na Slovensku, alebo naopak. Vrstva GDPR sa prenáša; konkrétny právny základ a požadované polia nie.
• Zbierať zjednotenú množinu polí požadovaných všetkými krajinami “pre istotu” na každom formulári. Tým zaručene zbierate viac, než smiete, vo všetkých krajinách okrem tej jednej, ktorá tú maximálnu množinu skutočne vyžaduje.

Ako pomáha Best Guest

Dátový model Best Guest je postavený presne na tomto rozlíšení: zásady GDPR — šifrovanie, riadenie prístupu, minimalizácia, hosting v EÚ — platia rovnako pre každú nehnuteľnosť na platforme, zatiaľ čo konkrétne zbierané polia, lehota uchovávania a proces hlásenia sa automaticky prispôsobujú krajine danej nehnuteľnosti. Pôsobenie v dvoch, troch alebo viacerých európskych krajinách z jedného účtu neznamená udržiavať samostatné nastavenia compliance — znamená to, že platforma už vie, aké pravidlá kde platia.