A legkritikusabb adatvédelmi pontok a vendégfoglalástól a kamerahasználatig.
Egy szálláshely működése során jóval több személyes adat keletkezik, mint amennyit elsőre gondolnánk. A vendég már az érkezése előtt kapcsolatba kerülhet a szolgáltató adatkezelési rendszerével: érdeklődik, ajánlatot kér, foglal, megadja az elérhetőségeit. Később ehhez kapcsolódhat a számlázás, a vendégadatok kezelése, az elektronikus kapcsolattartás, az online rendszerek használata, a beléptetés vagy akár a kamerás megfigyelés is…
Éppen ezért a szálláshelyek adatvédelme ma már nem egyetlen adatkezelési tájékoztató kérdése.
A valódi kérdés inkább az, hogy a dokumentáció pontosan azt mutatja-e, ami a gyakorlatban valóban történik?
Az adatvédelmi megfelelés a működésből indul ki:
Gyakori helyzet, hogy egy szálláshelynek van adatkezelési tájékoztatója, de az évekkel korábban készült, általános mintára épül, miközben a működés azóta jelentősen megváltozott.
Új foglalási rendszer került bevezetésre. Kamerát szereltek fel. Automata beléptetés indult. Megváltozott a weboldal vagy az online kapcsolattartás módja.
A dokumentáció azonban nem követte ezeket a változásokat.
Ez azért problémás, mert az adatvédelmi megfelelés nem pusztán egy dokumentum meglétét jelenti. A tájékoztatásnak, a jogalapoknak, a megőrzési időknek, a hozzáférési jogosultságoknak és a tényleges adatkezelési folyamatoknak egymással összhangban kell állniuk. Az eredeti anyag is ezt hangsúlyozza: nem elegendő, hogy van tájékoztató; annak a tényleges működést kell tükröznie és felülvizsgálhatónak kell lennie.
A kamerahasználat az egyik legérzékenyebb terület
A kamerarendszer sok szálláshelyen természetes biztonsági eszköznek tűnik.
Egy bejárat, parkoló, udvar vagy közös használatú terület megfigyelése azonban személyesadat-kezelést jelent…..Ezért önmagában az, hogy a kamera biztonsági célt szolgál, még nem teszi automatikusan megfelelővé az adatkezelést!
Meg kell tudni indokolni, hogy miért szükséges a megfigyelés, pontosan milyen területre irányul, mennyi ideig őrzik a felvételeket, ki fér hozzájuk, és milyen tájékoztatást kap erről a vendég.
Különösen érzékennyé válhat a helyzet olyan területeken, ahol a vendég fokozott magánszférára számíthat. Egy wellnessrészleg, medence vagy jacuzzi környezetében már egészen más adatvédelmi mérlegelésre van szükség, mint például egy parkoló bejáratánál. Ilyenkor a biztonsági cél mellett az arányosság, a szükségesség és a vendég magánszférájának védelme is meghatározóvá válik.
A kamera nem csak egy tábla az ajtón!
Ez talán az egyik leggyakoribb félreértés.A kamerás adatkezelés megfelelősége nem merül ki abban, hogy kihelyeznek egy piktogramot vagy egy rövid tájékoztatót.
A kamerarendszert a teljes adatkezelési rendszer részeként kell kezelni. Tudni kell, milyen célból működik, mit lát ténylegesen, mennyi ideig tárol felvételeket, kik férnek hozzá, és milyen belső szabályok alapján történik a kezelésük. A gyakorlatban tehát nem az a kérdés, hogy „van-e kamera”, hanem az, hogy a kamerahasználat jogilag és működésileg is végig van-e gondolva.
A weboldal és az online foglalás ugyanúgy adatvédelmi terület
Az adatvédelmi kockázatok jelentős része már jóval azelőtt megjelenhet, hogy a vendég belépne a szálláshely ajtaján!
Kapcsolatfelvételi űrlapok, online ajánlatkérés, foglalási rendszerek, sütik, hírlevelek és külső szolgáltatások mind adatkezelési folyamatokat generálhatnak.
Ezért a weboldali adatkezelési tájékoztatásnak sem szabad elszakadnia a valós technikai működéstől.
Ha a weboldal megváltozik, új szolgáltatás kerül bevezetésre vagy új külső rendszer kapcsolódik hozzá, az adatvédelmi dokumentációt is érdemes újra megvizsgálni.
Az adatvédelmi dokumentáció nem statikus
Egy jól elkészített dokumentáció sem marad automatikusan megfelelő éveken keresztül.
A szálláshely működése változik. Új rendszereket vezethet be, bővítheti a szolgáltatásait, más foglalási csatornákat használhat, kamerát telepíthet, vagy változhatnak a belső hozzáférési jogosultságok.
Ezért az adatvédelmi dokumentációt érdemes működő rendszerként kezelni.
Időről időre fel kell tenni a legegyszerűbb, mégis legfontosabb kérdést:
Valóban azt csináljuk, amit az adatvédelmi dokumentumaink szerint csinálunk?
Az adatvédelem egy szálláshelyen nem önálló adminisztratív feladat, hanem a mindennapi működés része.A megfelelő dokumentáció akkor jelent valódi biztonságot, ha a vendégfoglalástól a weboldalon és az online rendszereken át egészen a kamerahasználatig ténylegesen követi a szálláshely adatkezelési folyamatait.
Ha a dokumentáció több éve készült, a működés időközben változott, vagy nem egyértelmű, hogy a jelenlegi gyakorlat megfelel-e a leírt szabályoknak, érdemes még egy incidens vagy hatósági vizsgálat előtt auditálni. A hiányosságokat mindig egyszerűbb saját döntésből, tervezetten korrigálni, mint akkor, amikor azokra már egy esetleges NAIH vizsgálat hívja fel a figyelmet.