Hotel szanuje prywatność swoich gości i przetwarza dane osobowe wyłącznie w celu realizacji rezerwacji, zapewnienia pobytu oraz spełnienia obowiązków prawnych. Dane są odpowiednio zabezpieczane i udostępniane jedynie upoważnionym podmiotom. Gość ma prawo dostępu do swoich danych, ich poprawiania, usunięcia oraz złożenia skargi do organu nadzorczego.

Polityka prywatności hotelu powinna jasno wyjaśniać gościom, jakie informacje są gromadzone w czasie rezerwacji, zameldowania i korzystania z infrastruktury obiektu. Dokument kierowany jest podobnie jak do klientów własnychi osób rezerwujących pobyt służbowy, organizatorów wydarzeń oraz użytkowników hotelowej strony internetowej. Szczególnej przejrzystości wymagają zapisy dotyczące monitoringu wizyjnego, systemów kontroli dostępu i przekazywania danych podmiotom współpracującym. Gość powinien wiedzieć, czy podanie określonych informacji jest obowiązkowe, jak długo dane pozostaną w systemach oraz do kogo może zwrócić się w sprawie realizacji swoich praw.

Zakres danych przetwarzanych przez hotel

Hotel jako administrator danych pozyskuje informacje potrzebne do zawarcia i wykonania umowy pobytu.

Obejmuje to najczęściej:

Zakres informacji zależy od celu przetwarzania, a nie od samego faktu pobytu w obiekcie:

1. imię, nazwisko, dane kontaktowe i adres korespondencyjny;
2. termin pobytu, numer rezerwacji, preferencje dotyczące pokoju oraz historię usług;
3. dane rozliczeniowe, w tym numer faktury i informacje o płatności;
4. dane wymagane przepisami, na przykład informacje potrzebne do ewidencji gości;
5. informacje przekazane dobrowolnie, takie jak życzenia dotyczące udogodnień lub dieta;
6. dane techniczne, w tym adres IP, identyfikatory urządzenia i aktywność w serwisie internetowym.

Podstawą prawną może być wykonanie umowy, obowiązek ustawowy, uzasadniony interes administratora albo zgoda gościa. Marketing elektroniczny i profilowanie potrzebują odrębnej oceny, ponieważ nie można uzależniać realizacji rezerwacji od zgody na cele niezwiązane z zakwaterowaniem. Dane dotyczące zdrowia, alergii lub niepełnosprawności należy przetwarzać w ograniczonym zakresie i wyłącznie wtedy, gdy jest to rzeczywiście potrzebne do obsługi pobytu.

Monitoring hotelowy i prawa gościa

Monitoring powinien obejmować wyłącznie miejsca, w których jest uzasadniony ochroną osób i mienia, na przykład wejścia, recepcję, parking lub ciągi komunikacyjne. Kamery nie mogą naruszać prywatności w pokojach, łazienkach, przebieralniach ani podobnych przestrzeniach.

Obszary objęte obserwacją trzeba oznaczyć przed wejściem, a klauzula informacyjna powinna wskazywać administratora, cel, podstawę prawną i okres przechowywania nagrań.

Nagrania należy usuwać po czasie adekwatnym do celu, często po kilku lub kilkunastu dniach, chyba że stanowią dowód incydentu albo zostały zabezpieczone na potrzeby postępowania. Stałe nagrywanie dźwięku wymaga wyjątkowo silnego uzasadnienia i co do zasady jest nieproporcjonalne. Dostęp do zapisu powinni mieć wyłącznie upoważnieni pracownicy, firma ochroniarska lub właściwe organy.

Gość może żądać dostępu do swoich danych, ich sprostowania, ograniczenia przetwarzania, usunięcia albo przeniesienia, gdy spełnione są przesłanki RODO.

Dla monitoringu realizacja żądania może wymagać zabezpieczenia nagrania i zanonimizowania innych osób. Polityka powinna także podawać dane kontaktowe inspektora ochrony danych, jeśli został wyznaczony, oraz informację o prawie wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Kategorie danych gromadzonych przy rezerwacji i pobycie

Polityka prywatności hotelu powinna bardzo dokładnie wskazywać, jakie dane są zbierane, z jakiego źródła pochodzą oraz w jakim celu są wykorzystywane. Podstawowy zakres obejmuje dane identyfikacyjne i kontaktowe gościa: imię, nazwisko, adres e-mail, numer telefonu, adres zamieszkania lub adres do faktury. Przy rezerwacji przetwarzane są także informacje o terminie pobytu, liczbie osób, rodzaju pokoju, wybranych usługach, wymaganiach dotyczących zakwaterowania oraz historii dokonanych rezerwacji.

Jeżeli płatność odbywa się kartą lub za pośrednictwem operatora internetowego, hotel może otrzymać dane związane z transakcją, na przykład jej identyfikator, status i kwotę. Polityka nie powinna sugerować, że hotel przechowuje pełny numer karty, jeżeli w rzeczywistości obsługuje go zewnętrzny operator płatności. Zakres danych musi odpowiadać konkretnemu celowi. Do obsługi rezerwacji zazwyczaj wystarczą dane potrzebne do zawarcia i wykonania umowy. Dane wymagane przepisami prawa podatkowego lub rachunkowego mogą obejmować także numer NIP, nazwę firmy i adres przedsiębiorstwa. Hotel powinien rozdzielić pola obowiązkowe od fakultatywnych, przede wszystkim gdy prosi o informacje dotyczące preferencji gościa, planowanej godziny przyjazdu, alergii albo szczególnych potrzeb.

Czy hotel może przetwarzać dane szczególnie chronione?

Informacje o stanie zdrowia, niepełnosprawności, alergiach, diecie wynikającej ze względów medycznych lub przekonaniach religijnych należą do szczególnych kategorii danych osobowych. Hotel powinien pozyskiwać je wyłącznie wtedy, gdy są rzeczywiście potrzebne do realizacji konkretnej prośby gościa i istnieje odpowiednia przesłanka z RODO. Zwykłe pole „uwagi do rezerwacji” może prowadzić do niekontrolowanego ujawniania takich informacji, dlatego formularz powinien ograniczać zakres wpisywanych treści.

Polityka powinna także opisywać dane osób towarzyszących, dzieci i uczestników pobytu.

Osoba dokonująca rezerwacji nie zawsze ma prawo przekazywać hotelowi dowolne informacje o pozostałych gościach. Należy wskazać, jakie dane są wymagane przy meldunku, kto może uzyskać dostęp do informacji o rezerwacji oraz jak długo poszczególne kategorie danych będą przechowywane. Inny okres może dotyczyć dokumentów księgowych, inny systemu rezerwacyjnego, a jeszcze inny danych używanych do marketingu za zgodą gościa.

Monitoring gości obejmuje przede wszystkim kamery, rejestry wejść, karty pokojowe, Wi-Fi oraz systemy bezpieczeństwa obiektu.

Zakres monitoringu gości w hotelowej polityce prywatności

Polityka prywatności powinna bardzo dokładnie wskazywać, jakie dane są obserwowane lub rejestrowane, w jakim celu oraz przez jaki czas.

Samo ogólne stwierdzenie o „monitoringu obiektu” nie zapewnia przejrzystości wymaganej przez RODO. Hotel powinien rozdzielić monitoring wizyjny od rejestrowania aktywności cyfrowej i kontroli dostępu. Informacje przekazywane gościom powinny obejmować:

1. lokalizację kamer, z wyłączeniem miejsc, w których monitoring naruszałby szczególną sferę prywatności;
2. cele monitoringu, takie jak ochrona osób, mienia i bezpieczeństwa przeciwpożarowego;
3. zakres rejestrowanych danych, w tym wizerunek, datę, godzinę oraz miejsce zdarzenia;
4. podstawę prawną przetwarzania, najczęściej prawnie uzasadniony interes administratora;
5. okres przechowywania nagrań i logów, ustalony proporcjonalnie do ryzyka oraz celu;
6. kategorie odbiorców danych, na przykład firmę ochroniarską, serwis techniczny lub organy ścigania.

Monitoring nie może służyć do nieograniczonego śledzenia zachowania gości. Hotel powinien stosować zasadę minimalizacji danych, ograniczyć dostęp do materiałów i prowadzić rejestr osób, które je przeglądały.

Nagrania należy zabezpieczyć przed kopiowaniem, modyfikacją i ujawnieniem osobom nieupoważnionym. Jeżeli monitoring może powodować wysokie ryzyko dla praw osób fizycznych, administrator powinien przeprowadzić ocenę skutków dla ochrony danych. Polityka powinna także wyjaśniać zasady monitorowania sieci Wi-Fi. Należy wskazać, czy zapisywane są adresy IP, identyfikatory urządzeń, dane logowania lub historia połączeń. Wykorzystywanie tych informacji do marketingu wymaga odrębnej podstawy prawnej i jasnego poinformowania gościa.

Czy hotel może monitorować korytarze? Tak, jeśli monitoring jest potrzebny i proporcjonalny do celu bezpieczeństwa.

Czy możemy nagrywać pokoje? Co do zasady nie, ponieważ naruszałoby to szczególnie chronioną prywatność. Jak długo przechowuje się nagrania? Tylko tak długo, jak jest to uzasadnione, najczęściej do kilku tygodni, chyba że materiał stanowi dowód incydentu. Gość może żądać informacji o przetwarzaniu danych, dostępu do nich oraz złożyć skargę do Prezesa UODO. Najczęściej hotel przechowuje nagrania monitoringu gości przez 14-30 dni. Nie istnieje jednak jeden ustawowy termin obowiązujący wszystkie obiekty.

Zgodnie z RODO zapis może być przechowywany tylko tak długo, jak jest to potrzebne do realizacji celu monitoringu, na przykład ochrony osób, mienia i bezpieczeństwa na terenie hotelu. Hotel powinien określić czas retencji w wewnętrznej dokumentacji, pilnując pojemność systemu, zakres monitoringu oraz ryzyko wystąpienia incydentów. Krótszy okres, np. 7 dni, może być wystarczający w małym obiekcie, jednak rozbudowany hotel z parkingiem i całodobową recepcją może uzasadnić dłuższe przechowywanie. Nagrania nie powinny być automatycznie zachowywane bezterminowo ani wykorzystywane do innych celów niż wskazane w klauzuli informacyjnej.

Jak długo hotel przechowuje nagrania monitoringu gości zgodnie z RODO?

RODO nie podaje konkretnej liczby dni. Wymaga jednak ograniczenia przechowywania danych i wykazania, że przyjęty termin jest proporcjonalny. Informacja o retencji powinna znajdować się w polityce monitoringu, regulaminie obiektu albo klauzuli informacyjnej dostępnej dla gości.

Kiedy hotel może zabezpieczyć nagranie na dłużej?

Jeżeli doszło do kradzieży, uszkodzenia mienia, wypadku, napaści lub innego zdarzenia, hotel może wyodrębnić konkretny fragment zapisu i przechowywać go dłużej niż standardowe 14-30 dni. Taki materiał staje się dowodem związanym z określonym incydentem, a jego dalsze przechowywanie może być uzasadnione postępowaniem wyjaśniającym, żądaniem policji, prokuratury, sądu albo obroną przed roszczeniem. Po upływie zwykłego okresu retencji system powinien nadpisywać nagrania automatycznie, chyba że konkretny zapis został formalnie zabezpieczony. Nie wystarczy samo przekonanie pracownika, że materiał może kiedyś być przydatny. Hotel powinien wskazać zdarzenie, zakres zabezpieczenia, osoby uprawnione do dostępu oraz przewidywany termin usunięcia kopii.

Gość może złożyć wniosek o dostęp do swoich danych, ale nie znaczy to automatycznego wydania całego filmu. Na nagraniu mogą znajdować się inni goście lub pracownicy, dlatego administrator może zamazać ich wizerunki albo udostępnić materiał właściwym organom. Wniosek należy skierować do hotelu możliwie szybko, zanim zapis zostanie nadpisany.