Nakon što je objavljeno da je u Španjolskoj agencija za zaštitu osobnih podataka kaznila iznajmljivača turističkog smještaja jer je zatražio obostranu kopiju dokumenata osoba koje će boraviti u smještaju, provjerili smo kakva je praksa kod domaćih iznajmljivača i prijete li i njima slične kazne

Španjolska agencija za zaštitu osobnih podataka kaznila je iznajmljivača turističkog smještaja s ukupno 75 tisuća eura, zbog kršenja Opće uredbe o zaštiti podataka (GDPR).

Problem je nastao jer je iznajmljivač napravio obostranu kopiju osobnog dokumenta gosta. Kako znamo da je kopiranje dokumenata i u Hrvatskoj učestala praksa, istražili smo kako izbjeći potencijalne probleme.

Kazna za kopiranje osobne iskaznice – 25 tisuća eura

U slučaju iz Španjolske, koji je opisan na internetskoj stranici GDPRHub, gost je rezervirao smještaj putem interneta te je tada ostavio svoje osobne podatke, ali je dodatno zatraženo da pošalje i obostranu kopiju dokumenata osoba koje će boraviti u smještaju.

Iznajmljivač je prijavljen Agenciji, koja je odlučila da je dvostranim kopiranjem osobnog dokumenta uzeto više podataka, nego što je to nužno za iznajmljivanje apartmana, odnosno da je prekršio članak 5. Opće uredbe o zaštiti podataka, zbog čega je kažnjen s 25 tisuća eura.

Također, kažnjen je s dodatnih 50 tisuća eura jer je Agencija utvrdila da gosti nisu transparentno obaviješteni o tome kako se postupa s prikupljenim osobnim podacima, što je propisano člankom 13. Opće uredbe. Uglavnom, ukupna kazna tako popela se na 75 tisuća eura.

Hrvatski iznajmljivači trebaju osobne podatke za eVisitor

Iznajmljivači u Hrvatskoj za evidentiranje gostiju dužni su koristiti sustav eVisitor te su u njega moraju upisati određene podatke. Konkretno, Pravilnikom o sustavu eVisitor propisano je koji su točno podaci potrebni – prezime i ime, mjesto, država i datum rođenja, državljanstvo, vrsta i broj isprave o identitetu, prebivalište ili boravište i adresa, datum i vrijeme dolaska u objekt, predviđeni datum odlaska iz objekta, datum i vrijeme odlaska iz objekta, spol i broj prijave.

Osobni podaci uzimaju se iz osobnog dokumenta i ako gost odbije dati na uvid osobnu iskaznicu ili neki drugi osobni dokument kojim može dokazati identitet, iznajmljivač je dužan odbiti uslugu. Što znači, kako su nam pojasnili iz Agencije za zaštitu osobnih podataka, da iznajmljivač ima pravo i obvezu prikupljati te podatke jer mu služe za prijavu u sustav eVisitor.

Kopiranje dokumenata je prekršaj, osim ako gost da izričiti pristanak

No, kada se radi o kopiranju osobnog dokumenta, onda je situacija drugačija. Naime, pravilnik kojim je reguliran eVisitor ne traži kopiranje osobnog dokumenta pa onda ni iznajmljivač nema na temelju čega tražiti ili izrađivati kopiju. Znači da je u prekršaju. Ipak, iz Agencije kaži da načelno “iznajmljivači mogu fotografirati, skenirati, kopirati osobnu iskaznicu ukoliko od gosta dobiju izričitu privolu”.

Odvjetnica Inge Ilin, s kojom smo razgovarali o ovoj temi kaže da bi iznajmljivači, ali i svi drugi, trebali uskladiti svoje poslovanje sa zakonskom regulativom o obradi i zaštiti osobnih podataka.

“Ovo ne znači uskladiti svoje poslovanje samo forme radi, kako je to većina učinila kopiranjem ili kupovinom određenih ‘špranci’ i čuvanjem te dokumentacije za slučaj nadzora. Potrebno je doista uložiti u zaštitu osobnih podataka. Prvi korak je analizirati svoje poslovanje i utvrditi propise na koje se iznajmljivači oslanjaju u svom radu, utvrditi koji se osobni podaci prikupljaju i u koju svrhu, utvrditi postoji li pravni temelj za takvu obradu i koji su postupci obrade, gdje se podaci i na koji način pohranjuju i dr.”, pojašnjava Ilin.

“Potrebno je educirati osoblje koje može doći u doticaj s osobnim podacima”

Ključ usklađenosti je prije svega edukacija osoblja koje na bilo koji način može doći u doticaj s osobnim podacima, o tome kako s njima postupati. “I čistačica koja čisti apartman vrlo lako može doći u doticaj s osobnim podacima te je potrebno i nju educirati o tome kako s njima postupati”, kaže Ilin.

Inače, iz Agencije za zaštitu osobnih podataka poručuju da su do sada održali niz edukacija kako bi osobama koje su zadužene za GDPR pružili pomoć u usklađivanju sa zakonskom regulativom.

Većim organizacijama, poput hotelskih kuća, vjerojatno nije problem uskladiti se sa svim mogućim zahtjevima kako bi poslovanje ostalo u okvirima zakona, no nekom malom iznajmljivaču vrlo se lako može dogoditi da se suoči s kaznom, a da nije bio ni svjestan da je u prekršaju.