Spracúvanie osobných údajov ubytovacími zariadeniami

Nariadenie GDPR sa týka každého, kto akýmkoľvek spôsobom spracováva osobné údaje fyzických osôb, ktoré označujeme aj ako dotknuté osoby a dané spracovávanie vykonáva úplne alebo čiastočne automatizovane.

Pravidlá v spracúvaní osobných údajov, ktoré prinieslo nariadenie GDPR, platia teda aj pre ubytovacie zariadenia (napr. hotely, penzióny), ktoré spracúvajú osobné údaje ubytovaných hostí, ale aj svojich zamestnancov, či iných osôb, ktoré využívajú ich ďalšie služby, nielen tie ubytovacie (­napr. objednávky klientov do wellness).

Tento článok poukazuje na niektoré povinnosti prevádzkovateľov – ubytovacích zariadení pri spracúvaní osobných údajov podľa nariadenia GDPR.

Právne základy spracúvania osobných údajov ubytovaných osôb

V rámci prevádzkovania ubytovacieho zariadenia dochádza k spracúvaniu osobných údajov zákazníkov (ubytovaných hostí) a využitiu týchto právnych základov:

• Rezervácia pobytu, ktorá vedie k uzavretiu zmluvy – právnym základom takéhoto spracúvania osobných údajov zákazníkov je zmluva s dotknutou osobou podľa čl. 6 ods. 1 písm. b) nariadenia GDPR. Spracúvanie osobných údajov zákazníka v tomto prípade prebieha bez potreby súhlasu zákazníka, nakoľko právnym základom spracúvania jeho osobných údajov je práve zmluva (objednávka) ubytovania medzi zákazníkom a ubytovacím zariadením.
• Vedenie knihy ubytovaných – právnym základom takéhoto spracúvania osobných údajov je, že je potrebné na splnenie zákonnej povinnosti prevádzkovateľa podľa čl. 6 ods. 1 písm. c) nariadenia GDPR. Zákonná povinnosť ubytovacieho zariadenia vyplýva zo zákona č. 253/1998 Z. z. o hlásení pobytu občanov Slovenskej republiky a registri obyvateľov Slovenskej republiky v z. n. p. a zo zákona č. 404/2011 Z. z. o pobyte cudzincov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov.
• Nahlasovanie ubytovaných cudzincov policajnému útvaru – aj v tomto prípade je právnym základom spracúvania osobných údajov splnenie zákonnej povinnosti prevádzkovateľa, konkrétne povinnosti podľa zákona č. 404/2011 Z. z. o pobyte cudzincov a o zmene a doplnení niektorých zákonov v z. n. p.
• Spracovanie účtovných dokladov a účtovníctva – právnym základom spracúvania osobných údajov je opäť splnenie zákonnej povinnosti prevádzkovateľa, a to viacerých povinností podľa viacerých osobitných predpisov, napr. zákona č. 431/2002 Z. z. o účtovníctve v z. n. p., zákona č. 222/2004 Z. z. o dani z pridanej hodnoty v z. n. p., zákona č. 595/2003 Z. z. o dani z príjmov v z. n. p., zákona č. 582/2004 Z. z. o miestnych daniach a miestnom poplatku za komunálne odpady a drobné stavebné odpady.
• Marketingová komunikácia s ubytovaným – ani pri zasielaní newslettrov nie je potrebné získavať súhlas od zákazníka, nakoľko spracúvanie osobných údajov prebieha na základe oprávneného záujmu prevádzkovateľa podľa čl. 6 ods. 1 písm. f) nariadenia ­GDPR. Oprávnený záujem spočíva napríklad v informovaní zákazníka o ďalších službách ubytovacieho zariadenia, akciách s cieľom podporiť ich predajnosť.
• Marketingová komunikácia s osobou, ktorá ešte ubytovaná nebola (bez predchádzajúceho právneho vzťahu) – v tomto prípade jeprávnym základom spracúvania osobných údajov súhlas dotknutej osoby podľa čl. 6 ods. 1 písm. a) nariadenia GDPR.
• Monitorovanie priestoru, ktorý nie je verejnosti prístupný – napr. v prípade monitorovania priestorov ako je napr. hotelové parkovisko – pričom spracúvanie osobných údajov prebieha na základe oprávneného záujmu prevádzkovateľa podľa čl. 6 ods. 1 písm. f) nariadenia GDPR. Oprávnený záujem spočíva napríklad v ochrane majetku (áut) zaparkovaných v monitorovanom priestore.

Získané osobné údaje môže prevádzkovateľ ubytovacieho zariadenia spracúvať len na konkrétne vymedzený a výslovne uvedený legitímny účel. Spracúvanie osobných údajov spôsobom, ktorý je nezlučiteľný s takýmto účelom, je vylúčené. Vyplýva to zo zásady obmedzenia účelu.

Spracúvanie len nevyhnutných údajov

V zmysle zásady minimalizácie údajov je prevádzkovateľ ubytovacieho zariadenia povinný spracúvať len také osobné údaje, ktoré sú nevyhnutné na dosiahnutie konkrétneho účelu spracúvania. V nadväznosti na účely a právne základy uvedené skôr ide najmä o ti