Pozyskiwanie zgód i obowiązek informacyjny hotelu – co zmieni RODO

Z chwilą rozpoczęcia obowiązywania ogólnego rozporządzenia o ochronie danych (RODO), czyli od 25 maja 2018 r., podstawą przetwarzania danych osobowych gościa hotelowego przez hotel będzie art. 6 ust. 1 lit. b RODO. Zgodnie z tą regulacją dane osobowe będą mogły być przetwarzane w takim zakresie, w jakim jest to niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą (umowy o świadczenie usługi hotelowej), lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (np. dokonanie rezerwacji). Jako podstawa prawna przetwarzania danych gościa hotelowego w grę może wchodzić również art. 6 ust. 1 lit. f tzn. prawnie usprawiedliwiony interes realizowany przez administratora danych (np. dochodzenie roszczeń).

Zgodnie z zasadami adekwatności i minimalizacji, które wynikają z RODO, hotel może żądać od gościa hotelowego podania jedynie tych danych osobowych, które są niezbędne do jego identyfikacji i świadczenia usług. Zasadniczo więc hotel może żądać podania imienia i nazwiska w celu dokonania rezerwacji i świadczenia usługi hotelowej. W sytuacji, gdy hotel oferuje inne usługi (np. usługi kosmetyczne, odnowa biologiczna) niezbędne do ich realizacji przez hotel, może się okazać podanie przez klienta innych danych, np. o stanie zdrowia. Powołując się na prawnie usprawiedliwiony interes, tj. dochodzenie ewentualnych roszczeń związanych z realizacją usługi hotelarskiej, hotel ma prawo żądać od klienta podania adresu zamieszkania i numeru PESEL.

Hotel, jako administrator danych, powinien przekazać osobie, której dane dotyczą, m.in. informacje dotyczące jego nazwy, siedziby, adresu, a także dane kontaktowe, cele przetwarzania danych osobowych i podstawę prawną przetwarzania. Powinien także poinformować osobę, której dane dotyczą, o przysługujących jej uprawnieniach. Zakres informacji, które powinny być podane osobie, od której dane są zbierane, wskazuje w art. 13 RODO.