Gastronomia i hotelarstwo przetwarzają więcej danych osobowych, niż się powszechnie wydaje — od rezerwacji przez monitoring po dokumenty gości. Dlatego zebraliśmy w jednym miejscu obowiązki RODO typowe dla restauracji, hoteli i pensjonatów.
Rezerwacje i goście
Imię, telefon, e-mail, czasem preferencje żywieniowe (a to już mogą być dane o zdrowiu!). Podstawą przetwarzania danych potrzebnych do rezerwacji i pobytu jest umowa (art. 6 ust. 1 lit. b RODO) — nie zgoda, bo bez tych danych usługi nie da się wykonać. Zgoda pojawia się tylko tam, gdzie gość podaje coś ponad to: alergie i diety (art. 9 ust. 2 lit. a RODO) albo udział w programie lojalnościowym. Do tego dochodzi obowiązek informacyjny przy zbieraniu danych oraz ustalone okresy przechowywania. Ponadto systemy rezerwacyjne zewnętrznych dostawców to powierzenie danych — wymaga umowy powierzenia.
Monitoring wizyjny
Kamera w recepcji obejmuje jednocześnie gości i stanowisko pracy — działają więc dwa reżimy naraz. Wobec pracowników obowiązuje art. 22² Kodeksu pracy: cel z katalogu, zapis w regulaminie pracy albo obwieszczeniu, informacja 2 tygodnie przed uruchomieniem, tabliczki najpóźniej dzień przed, nagrania maksymalnie 3 miesiące (dłużej tylko, gdy są dowodem w postępowaniu). Wobec gości i parkingu przepis limitu nie ustala — okres ustalasz sam według celu i wpisujesz na tabliczkę i do rejestru; branżowe „do 30 dni” to praktyka, nie przepis. Nigdy: pokoje, łazienki, przebieralnie, pomieszczenia socjalne personelu. Mamy do tego osobny produkt: Monitoring wizyjny zgodnie z RODO.
Meldunek i dokumenty gości
Hotel nie melduje gości — obowiązek meldowania „u kierownika zakładu” zniknął 1 stycznia 2013 r. razem ze starą ustawą o ewidencji ludności, a typowy gość (pobyt poniżej 30 dni) w ogóle nie podlega meldunkowi. „Karta meldunkowa wymagana przepisami” to mit. Zbierasz to, co potrzebne do umowy noclegu (art. 6 ust. 1 lit. b RODO) i do faktury; jedyna ustawowa „księga gości” to ewidencja osób płacących opłatę miejscową lub uzdrowiskową — jeśli Twoja gmina wprowadziła ją uchwałą. Dokument tożsamości wolno obejrzeć i spisać z niego potrzebne pola. Zatrzymanie dowodu jako kaucji jest wykroczeniem z art. 79 pkt 2 ustawy o dowodach osobistych i zgoda gościa tego nie legalizuje. Kserowanie i skanowanie dowodu nie jest wykroczeniem, ale w hotelu prawie zawsze narusza zasadę minimalizacji z art. 5 ust. 1 lit. c RODO — do umowy noclegu i faktury wystarczy kilka pól, a nie obraz całego dokumentu. Dostęp do danych gości ma mieć tylko upoważniony personel, a przy danych z kart płatniczych obowiązują dodatkowo standardy rozliczeń.
Pracownicy sezonowi
Wysoka rotacja to ryzyko: upoważnienia do przetwarzania i krótkie szkolenie stanowiskowe powinny być standardem przy każdym zatrudnieniu, również na sezon. W przeciwnym razie za błąd kelnera odpowiada właściciel.
Wszystko w jednym pakiecie
Pakiet RODO dla hotelu, restauracji i pensjonatu zawiera komplet: polityki, rejestry, klauzule dla gości, regulamin monitoringu i upoważnienia dla personelu — do wypełnienia bez prawnika. Aktualna cena jest na karcie produktu. Zobacz również: jak wypełnić rejestr czynności.
Najczęstsze pytania (FAQ)
Jak długo można trzymać nagrania z monitoringu?
Z kamer obejmujących stanowiska pracy — do 3 miesięcy (art. 22² § 3 Kodeksu pracy). Z kamer obejmujących tylko gości, korytarze i parking — tyle, ile potrzebujesz do wyjaśnienia zdarzenia; ustal ten okres sam i stosuj konsekwentnie. Jeśli system nagrywa wszystko na jednym nośniku, ustaw dla całości nie więcej niż 3 miesiące.
Czy można prosić gościa o dowód osobisty?
Można poprosić o okazanie w celu weryfikacji, ale kopiowanie dowodu „na zapas” jest praktyką zakwestionowaną przez organ nadzorczy.
Czy karta menu z QR i zamówieniem online to też RODO?
Tak — jeżeli system zbiera dane zamawiającego, obowiązuje informacja o przetwarzaniu i umowa z dostawcą systemu.