Обработване на лични данни в хотелиерския бизнес

Обработването на лични данни е неразделна част от предоставянето на хотелиерски услуги. Всеки хотелиер, независимо дали управлява голям хотел, семеен обект или предоставя подслон в къща за гости, ежедневно събира и съхранява лични данни на туристи, служители и други физически лица. Това обработване е строго регулирано от Общия регламент за защита на данните (Регламент (ЕС) 2016/679, GDPR), както и от националното законодателство. В настоящата статия ще представим основните задължения на администраторите в сферата на хотелиерството, произтичащи от специфичната правна уредба, приложима към този сектор.

1. Кои лица извършват хотелиерство?

В Закона за туризма са посочени лицата, които могат да извършват хотелиерство. Това са:

• Търговци по смисъла на търговския закон или юридически лица, които имат право по силата на друг закон да извършват стопанска дейност, включително по законодателство на друга държава – члена на ЕС, на ЕИП и на Конфедерация Швейцария. Необходимо е тези лица да разполагат със собствен, нает или ползван на друго основание туристически обект, в който ще се извършва хотелиерство.
• Лица, които не са търговци по смисъла на Търговския закон, когато хотелиерството се извършва в стаи за гости, апартаменти за гости и къщи за гости, като е без значение дали те са част от обитаваното от тях жилище в жилищна сграда.

Всички тези лица, при упражняване на хотелиерска дейност, имат качеството на администратори на лични данни по смисъла на GDPR. Обработването на личните данни от тези лица е тяхно законово задължение във връзка с предоставяните хотелиерски услуги, като съществените елементи на обработване (категории субекти на данни, категории лични данни, операции по обработване) са нормативно дефинирани. Администраторите следва да съобразят обработването на лични данни за целите на хотелиерски услуги със специфичната правна уредба на сектора, в частност Закон за туризма и Закон за гражданската регистрация. Неспазването на специалния правен режим към сектора ангажира административнонаказателната отговорност на лицата, извършващи хотелиерство, поради незаконосъобразност на обработването на данните.

Лицата, които предоставят хотелиерски услуги, са администратори на лични данни не само спрямо данните на настанените гости, но и по отношение на други категории лица. Това включва служителите/персонала (ако обектът разполага с такива), физическите лица, посочени като страни или представители в договори, както и всякакви други лични данни, които се обработват във връзка с дейността. Като пример могат да се посочат данни, събирани чрез системи за видеонаблюдение, когато такива са инсталирани и се използват на територията на съответния туристически обект.

2. Кои принципи на GDPR се прилагатв хотелиерската дейност?

2.1. Законосъобразност, добросъвестност и прозрачност

Принципът на законосъобразност предполага личните данни да се обработват при стриктно спазване на приложимите правни изисквания. При хотелиерската дейност това означава съобразяване не само с GDPR, но и с всички нормативни актове, които уреждат специфично сектора.

Събирането и съхраняването на данни за туристите е свързано с предвидени в Закона за туризма и Закона за гражданската регистрация задължения. Когато се настаняват чуждестранни граждани, за администраторите възникват и допълнителни изисквания по Закона за чужденците в Република България. В този смисъл, типичното правно основание за обработването на лични данни в рамките на хотелиерските услуги е изпълнение на законово задължение.

Същото основание обичайно е релевантно и при обработването на лични данни на служители, заети в хотелиерския бизнес, доколкото значителна част от обработванията произтичат от трудовото и осигурителното законодателство и свързаните с него задължения.

Независимо от конкретната операция по обработване и избраното правно основание, администраторът следва да действа добросъвестно и прозрачно. Добросъвестността се свързва с полагане на необходимата грижа и организиране на процесите така, че обработването да е правилно, законосъобразно и съобразено с добрите нрави. Прозрачността, от своя страна, изисква субектите на данни да бъдат надлежно уведомени – обработването не трябва да е „невидимо“ за тях, а информацията следва да се предоставя в обем и форма, съответстващи на изискванията на GDPR.

С оглед изпълнение на задължението за прозрачност, хотелиерите могат да предоставят необходимата информация както на интернет страницата си, така и на видно място на рецепцията (например чрез информационна табела или кратко уведомление, допълнено с препратка към по-подробна политика).

Задължението за информиране не се отнася само до събирането на данни при настаняване, но също така и до други дейности, като например видеонаблюдението. Поради специфичния характер на видеонаблюдението е подходящо обществеността да бъде информирана чрез ясно обозначени табели. Добра практика е те да съдържат пиктограма на камера, кратка информация за администратора и неговите контакти, целта на видеонаблюдението, срок за съхранение на записите и препратка към уебсайт, където има по-подробна информация.

2.2. Ограничение на целите

Съгласно принципа за ограничаване на целите, администраторът следва да обработва лични данни само за ясно формулирани, конкретни и законосъобразни цели. В хотелиерския сектор това задължение важи при всяка дейност, при която се събират, използват или съхраняват данни.

Когато целите и средствата на обработването са предвидени в нормативен акт, по правило се приема, че обработването е допустимо от гледна точка на този принцип. Така например законово обусловени обработки са: събирането на данни за туристи по реда на Закона за туризма и Закона за гражданската регистрация, воденето на счетоводна отчетност съгласно Закона за счетоводството, както и обработването на данни за персонала във връзка с изискванията на трудовото и осигурителното законодателство.

Когато обаче за определена цел няма изрична законова уредба, администраторът трябва сам да я определи и да гарантира, че тя е легитимна и достатъчно конкретна. Пример за това е видеонаблюдение с цел защита на живота и здравето на гости и служители – подобна цел не е автоматично „зададена“ от закон и следва да бъде убедително аргументирана и ясно описана от хотелиерa.

Точното и коректно дефиниране на целите е важно не само за спазване на принципа за ограничение на целите, но и като отправна точка за избора на подходящо правно основание, както и за изпълнение на останалите задължения по GDPR (включително информиране, срокове за съхранение, мерки за сигурност и др.).

2.3. Свеждане на данните до минимум

Съгласно принципа за минимизиране на данните, администраторът следва да събира и обработва единствено онези лични данни, които са необходими, релевантни и пряко свързани с конкретната цел. Когато нормативен акт определя кои данни подлежат на събиране, администраторът е длъжен да се придържа към този обхват и не може по собствена преценка да изисква допълнителна информация.

В хотелиерството, например, данните за настанените гости, които се вписват в съответните регистри, не се определят свободно от хотелиерите. Техният обем е установен по реда на Закона за туризма, включително чрез актове на министъра на туризма. Следователно хотелиерът няма право да събира повече данни от предвидените, тъй като това би довело до прекомерно обработване. От друга страна, непълното събиране на задължителните категории данни води до непълен регистър, което също представлява нарушение на приложимите правила.

По отношение на данните за персонала, работодателят следва да съобрази обработването с нормативно определените граници на информацията, която може да се изисква и съхранява във връзка с трудовото правоотношение. В законовата и подзаконовата уредба са конкретизирани категориите данни, които се приемат за допустими за тази цел, и работодателят трябва да се придържа към тях.

2.4. Точност

Принципът на точност задължава администратора да предприема всички разумни мерки, за да гарантира, че личните данни, които обработва, са верни и актуални. Това обхваща както коректното им събиране още при въвеждането, така и своевременното им поправяне или заличаване, когато се установи грешка, като винаги се отчита целта, за която данните се обработват.

При регистрацията на гости в хотелите не само е допустимо, но и е препоръчително да се изисква документ за самоличност. Част от съдържащата се в него информация подлежи на задължително вписване в регистъра на настанените лица, поради което проверката и сверяването на въведените данни с представения документ е съществен елемент за гарантиране на тяхната точност.

За по-ефективно прилагане на този принцип е добра практика в длъжностните характеристики на служителите, които извършват регистрация на гости, изрично да се предвиди задължение за проверка и потвърждаване на коректността на данните, които се въвеждат в системите и регистрите на хотела.

2.5. Ограничение на съхранението

Съгласно принципа за ограничаване на съхранението, личните данни следва да се пазят във вид, който позволява идентифициране на лицата, само за периода, необходим за постигане на целите, за които са събрани.

В хотелиерската дейност срокът за съхранение на данните в регистъра на настанените туристи е определен с изрична заповед на министъра на туризма, издадена на основание Закона за туризма. Този срок представлява минимален праг, който администраторът трябва да спазва. Възможно е да бъде определен и по-дълъг период на съхранение, но само когато това е обективно необходимо и може да се аргументира с ясни, разумни критерии.

След изтичане на приложимия срок или когато данните вече не са нужни за първоначално заявените цели, администраторът следва да предприеме действия за заличаването им. В зависимост от носителя това означава изтриване на информацията при електронно съхранение или унищожаване на хартиените носители по начин, който изключва възстановяване на данните.

2.6. Цялостност и поверителност

Администраторите на лични данни са задължени да осигурят подходящо ниво на сигурност при обработката на тези данни, така че да се гарантира тяхната цялост и поверителност. Това означава, че трябва да вземат мерки, които предпазват данните от неразрешено или незаконно обработване, както и от случайна загуба, унищожение или повреждане. Тези мерки трябва да бъдат както технически (например защитни системи и криптиране), така и организационни (процедури и обучения).

Какви точно мерки ще бъдат приложени зависи от конкретния администратор и особеностите на обработването. В отделни случаи секторното законодателство поставя допълнителни или специфични изисквания към начина на водене и защита на данните – пример за това е уредбата в Закона за туризма относно регистъра на настанените лица.

Местата за настаняване от клас А (като хотели, мотели, апартаментни туристически комплекси, вилни селища, туристически селища и вили) и клас Б (като семейни хотели, хостели, пансиони, почивни станции, къщи за гости, бунгала и къмпинги) могат да използват централизирана информационна система, поддържана от Министерството на туризма, или собствена информационна система, която отговаря на изискванията на Закона за електронното управление. За туристически хижи, учебни центрове, туристически спални, освен гореописаните варианти, регистърът може да се води и на хартиен носител, съгласно утвърден образец от министъра на туризма.

Данните от тези регистри се подават в Единната система за туристическа информация, като те не са публични. Достъп до тях имат само определени лица, посочени в Закона за туризма – например хотелиерите за данните на настанените от тях гости, съответната община – за данните за броя на настанените лица, тяхното гражданство и броя на реализираните нощувки на територията ѝ; Националната агенция по приходите  за броя на настанените лица, тяхното гражданство, и броя на реализираните от тях нощувки на територията на цялата страна; министерство на вътрешните работи – за всички данни; Националният статистически институт – за обобщени статистически данни.

Сходна логика на контролиран достъп и защита е предвидена и при предоставяне на подслон по реда на Закона за гражданската регистрация. В тези хипотези данните се предоставят след надлежно искане от компетентните органи, което цели да гарантира проследимост и отговорно използване на информацията.

2.7. Отчетност

Принципът на отчетност означава, че администраторът не само е длъжен да спазва останалите принципи за обработване на лични данни, но и трябва да е в състояние да демонстрира и докаже това спазване. На практика това изисква предприетите мерки да бъдат надлежно документирани, а в организацията да съществуват вътрешни правила, процеси и процедури за работа с лични данни.

Регламентът (ЕС) 2016/679 (GDPR) въвежда два основни типа мерки за отчетност, които са приложими независимо от сектора на дейност:

Задължителни мерки, които включват:

• доказване, че е получено валидно съгласие от субекта на данни, когато обработката се основава на съгласие;
• удостоверяване, че съгласието за обработка на данни на дете е дадено от родител или настойник, при условията на информационното общество;
• сключване на писмени договори с обработващите лични данни, съдържащи всички изисквани реквизити;
• поддържане на регистър на дейностите по обработване;
• определяне на длъжностно лице по защита на данните в случаите, предвидени в Регламента;
• извършване на оценка на въздействието върху защитата на личните данни, когато това е необходимо;
• документиране на всяко нарушение на сигурността на личните данни.

Доброволни мерки, които не са задължителни, но се насърчават – например придържането към одобрени кодекси за поведение.

За да се осигури постоянно съответствие с принципите на Регламента, администраторите, включително хотелиерите, трябва периодично да преглеждат както изпълнението на нормативните изисквания, така и ефективността на въведените мерки и нивото на сигурност при обработката на лични данни.

3. Какви са основните задължения на администраторите във връзка с GDPR

Конкретният обем от задължения на администратора се определя според няколко водещи елемента: характера, мащаба, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица.

Наред с изискванията, които следват от принципите на обработване и от правата на субектите на данни, всички администратори – независимо от сектора – имат и допълнителни ангажименти, които могат да се групират в няколко ключови направления. Те са общоприложими за всеки администратор на лични данни, включително и в хотелиерството:

• Преценка за необходимостта от определяне на длъжностно лице по защита на данните (ДЛЗД)

Администраторът трябва да направи оценка дали в конкретния случай е задължен да назначи ДЛЗД. При хотелиерската дейност водещо значение има това дали организацията е публична или частна.

При публични структури (например бюджетни организации, общински или държавни предприятия, които например управляват почивни станции), определянето на ДЛЗД е задължително. Това произтича от законовото изискване публичните структури, които основно разходват публични средства, да разполагат с такова длъжностно лице.

При частни структури, задължението възниква, когато:

• обработването включва редовно и систематично мащабно наблюдение на субекти на данни (например чрез видеонаблюдение, проследяване на онлайн поведение и др.);
• се извършва мащабна обработка на специални категории лични данни (например здравни данни, данни за етнически произход и др.).

Дори когато не съществува законово задължение, администраторът може доброволно да определи длъжностно лице по защита на данните. В случаите, в които не е задължен и не желае да назначи ДЛЗД, администраторът все пак може да ангажира вътрешен служител или външен консултант, който да изпълнява функции, свързани със защита на личните данни.

Подобен подход улеснява поддържането на съответствие с GDPR и подпомага контрола на рисковете при обработването на лични данни.

• Защита на личните данни още на етапа на проектирането и по подразбиране

Администраторите са длъжни да предвидят мерки за защита на личните данни още при проектирането на процесите, продуктите и информационните системи, които ще използват за обработването им. Това означава, че при избора, настройването и внедряването на технически и организационни решения следва предварително да се гарантира съответствие с приложимите изисквания и принципите на GDPR.

Понятието „защита по подразбиране“ изисква администраторът да прилага настройки и процеси, които поначало ограничават обработката на лични данни само до онова, което е абсолютно необходимо за конкретната цел. С други думи – системите и услугите трябва да са проектирани така, че да защитават личните данни автоматично, без да е нужно потребителят или субектът на данните да предприема допълнителни действия.

Този модел има за цел да поддържа висока степен на защита през целия „жизнен цикъл“ на данните – от събирането и използването им, през съхранението и контрола на достъпа, до тяхното заличаване или унищожаване.

• Управление на риска за сигурността на личните данни

Управлението на риска при обработването на лични данни представлява структуриран и аналитичен процес, насочен към разпознаване и ограничаване на потенциалните заплахи за правата и свободите на физическите лица. То включва преценка както на вероятността дадено неблагоприятно събитие да настъпи, така и на тежестта на възможните последици за субектите на данни, както и определяне на мерки за предотвратяване или намаляване на тези рискове.

За да подбере подходящи технически и организационни мерки, администраторът следва да извърши анализ на риска. Когато конкретна операция по обработване е вероятно да доведе до висок риск за правата и свободите на лицата, GDPR изисква да се проведе оценка на въздействието върху защитата на данните.

Оценката се извършва преди започване на съответното обработване, но не следва да се възприема като еднократно действие „на хартия“. Тя е част от динамично управление, което предполага периодично преразглеждане – така че да се потвърждава, че реалното обработване съответства на направената оценка и че идентифицираните рискове остават ефективно контролирани.

• Определяне на отношенията между съвместни администратори

Когато две или повече организации заедно определят целите и начините (средствата) на обработване на лични данни, те придобиват качеството съвместни администратори. В подобни ситуации е необходимо да се уреди с ясно, писмено и прозрачно споразумение как се разпределят ролите, задълженията и отговорностите на всяка от страните по GDPR.

Пример за съвместно администриране е създаването на интернет платформа от туристическа агенция, авиопревозвач и хотел, които обикновено действат като самостоятелни администратори. Ако те решат да сътрудничат чрез обща платформа и постигнат съгласие относно:

• какви лични данни ще се събират и съхраняват;
• как ще се разпределят и потвърждават резервациите;
• кой ще има достъп до данните;
• как ще обменят информацията помежду си;
• и как ще провеждат съвместни маркетингови кампании,

то те ще се считат за съвместни администратори и ще трябва да формализират отношенията си съгласно изискванията на GDPR.

Важно е да се подчертае, че подобно споразумение не освобождава нито един от съвместните администратори от отговорност спрямо субектите на данни. Всеки участник носи ангажимент да осигури необходимата прозрачност, да съдейства за упражняване на правата на лицата и да гарантира подходящо ниво на защита на обработваните данни.

• Спазване на изискванията в отношенията между администратор и обработващ лични данни

Администраторът не е длъжен по правило да възлага обработването на външен изпълнител – това е въпрос на организационен избор. Той може да обработва личните данни със собствени ресурси и персонал или да възложи определени дейности на външна структура.

Когато обаче администраторът ангажира обработващ лични данни, той трябва да спази изискванията на GDPR за този тип отношения. Връзката следва да бъде уредена с договор или друг правнообвързващ акт, който е задължителен за обработващия и е в писмена форма, включително и електронна.

Този договор следва ясно да определя ключови аспекти на обработването, като например:

• предметът и продължителността на обработването;
• естеството и целта на обработката;
• видовете лични данни и категориите субекти;
• правата и задълженията на администратора;
• условията за ангажиране на подизпълнители (други обработващи);
• задълженията на обработващия по отношение на сигурността, поверителността и съдействието при упражняване правата на субектите на данни.

В контекста на хотелиерската дейност, администраторите често използват външни обработващи в редица случаи – например:

• сключване на договор със служба по трудова медицина;
• използване на външна ИТ фирма за поддръжка на софтуер и системи за управление на резервации;
• възлагане на счетоводни и ТРЗ услуги на външни специалисти.

Във всички тези случаи е важно администраторът да гарантира, че обработващите действат само по негово указание и в съответствие с изискванията на GDPR.

• Поддържане на регистър на дейностите по обработване на лични данни

Изискването за водене на регистър на дейностите по обработване се отнася както до администраторите, така и до обработващите лични данни. Макар регистрите да имат различно съдържание в зависимост от това дали субектът действа като администратор или като обработващ, логиката на задължението е обща – да се осигурят прозрачност, проследимост и отчетност при обработването на лични данни.

Регистърът представлява практичен вътрешен контролен инструмент и едновременно с това – средство, с което организацията може да демонстрира съответствие с GDPR. Чрез поддържането му администраторът получава ясна картина какви категории данни обработва, за какви цели, чрез какви операции и при какви условия (включително срокове за съхранение, получатели и мерки за защита).

• Задължения при нарушение на сигурността на личните данни

Всеки администратор е длъжен да регистрира и документира всяко нарушение на сигурността на личните данни, независимо от неговия обхват и от това дали реално са настъпили вредни последици. Когато инцидентът е свързан с риск за правата и свободите на физическите лица, администраторът следва да уведоми надзорния орган – в България това е Комисията за защита на личните данни.

При нарушения, които могат да доведат до висок риск за засегнатите лица (например нерегламентиран достъп до чувствителни данни), възниква и допълнително задължение: администраторът трябва без неоправдано забавяне да информира и самите субекти на данни по ясен и разбираем начин.

Важно е да се подчертае, че отговорността за тези действия носи администраторът, при когото е настъпило нарушението – независимо дали използва външен изпълнител за поддръжка на информационните си системи. Това означава, че хотелиерите, в качеството им на администратори на лични данни, са длъжни да предприемат необходимите действия при инцидент със системата, в която съхраняват или обработват лични данни на своите гости, служители или контрагенти.

• Спазване на изискванията при предаване на лични данни в трета държава или международна организация

Предоставянето (прехвърлянето) на лични данни към трета държава или международна организация е допустимо, но само ако са изпълнени приложимите условия и гаранции по GDPR.

В заключение

Защитата на личните данни е съществен елемент от ежедневното упражняване на хотелиерска дейност. Съответствието с изискванията на GDPR не само осигурява закрила на правата на гостите и служителите, но и допринася за изграждане на доверие и устойчив положителен имидж. Независимо дали става дума за малък семеен обект или за голяма хотелска верига, обработването на лични данни следва да бъде организирано и обезпечено по начин, който гарантира необходимото ниво на защита.

Ако имате нужда от консултация, изготвяне или актуализиране на вътрешни правила, преглед на споразумения за защита на личните данни, или ако търсите външно длъжностно лице по защита на данните или външен консултант, Микински и съдружници разполага с богат практически опит и експертиза в тази област.