Παρέμβαση της Αρχής Προστασίας Δεδομένων στα ξενοδοχεία: «Όχι» στις φωτοτυπίες ταυτοτήτων και καρτών πελατών

Παρέμβαση στα ξενοδοχεία και τα τουριστικά καταλύματα όλης της χώρας κάνει η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, ζητώντας τον άμεσο τερματισμό πρακτικών που εξακολουθούν να εφαρμόζονται σε αρκετές επιχειρήσεις φιλοξενίας και οι οποίες κρίνονται ασύμβατες με τον Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR).

Στο επίκεντρο βρέθηκαν δύο ιδιαίτερα διαδεδομένες πρακτικές:

• Η φωτογράφιση ή φωτοτύπηση δελτίων ταυτότητας και διαβατηρίων πελατών.
• Η φωτογράφιση ή φωτοτύπηση των δύο όψεων πιστωτικών και χρεωστικών καρτών και η διατήρηση των αντιγράφων τους για μελλοντική χρήση.

Οι πρακτικές που κρίνονται παράνομες

Σύμφωνα με την Αρχή, πολλές επιχειρήσεις φιλοξενίας ζητούν από τους πελάτες τους να παραδώσουν την ταυτότητα ή το διαβατήριό τους ώστε να φωτοτυπηθεί ή να φωτογραφηθεί, με το επιχείρημα ότι απαιτείται για την καταχώριση των στοιχείων τους ή για την έκδοση φορολογικών παραστατικών.

Αντίστοιχα, έχουν καταγραφεί περιπτώσεις κατά τις οποίες καταλύματα διατηρούσαν φωτοαντίγραφα πιστωτικών καρτών πελατών προκειμένου να μπορούν να αντιμετωπίσουν πιθανές μελλοντικές αμφισβητήσεις συναλλαγών ή ακυρώσεις κρατήσεων.

Η Αρχή ξεκαθαρίζει ότι οι πρακτικές αυτές δεν στηρίζονται σε σαφή και ειδική νομοθετική πρόβλεψη και ως εκ τούτου παραβιάζουν θεμελιώδεις διατάξεις του GDPR.

Όπως επισημαίνεται, η συλλογή και αποθήκευση ολόκληρων αντιγράφων εγγράφων ταυτοποίησης ή τραπεζικών καρτών υπερβαίνει κατά πολύ τα δεδομένα που είναι αναγκαία για τον σκοπό της ταυτοποίησης ή της ολοκλήρωσης μιας συναλλαγής.

Παραβίαση βασικών αρχών του GDPR

Η Αρχή διαπίστωσε ότι οι συγκεκριμένες πρακτικές προσκρούουν σε σειρά βασικών αρχών του Γενικού Κανονισμού Προστασίας Δεδομένων.

Ειδικότερα παραβιάζονται:

• Η αρχή της νομιμότητας, αντικειμενικότητας και διαφάνειας της επεξεργασίας.
• Η αρχή της ελαχιστοποίησης των δεδομένων.
• Οι υποχρεώσεις προστασίας δεδομένων ήδη από τον σχεδιασμό και εξ ορισμού (privacy by design και privacy by default).

Παράλληλα, η διατήρηση αντιγράφων ταυτοτήτων, διαβατηρίων και καρτών αυξάνει σημαντικά τον κίνδυνο μη εξουσιοδοτημένης πρόσβασης σε ευαίσθητα προσωπικά στοιχεία, δημιουργώντας δυνητικά σοβαρούς κινδύνους απάτης, υποκλοπής ταυτότητας ή οικονομικής ζημίας για τους πελάτες.

Παρέμβαση προς τους φορείς του τουρισμού

Η Αρχή δεν περιορίστηκε στην αποστολή συστάσεων προς τα καταλύματα που αποτέλεσαν αντικείμενο των καταγγελιών.

Παράλληλα απευθύνθηκε θεσμικά στην Πανελλήνια Ομοσπονδία Ξενοδόχων (ΠΟΞ), στο Ξενοδοχειακό Επιμελητήριο Ελλάδος (ΞΕΕ) και στη Συνομοσπονδία Επιχειρηματιών Τουριστικών Καταλυμάτων Ελλάδος (ΣΕΤΚΕ), ζητώντας να ενημερώσουν άμεσα τα μέλη τους για τις υποχρεώσεις που απορρέουν από τον GDPR.

Η κίνηση αυτή δείχνει ότι η Αρχή θεωρεί το ζήτημα ευρύτερο και όχι μεμονωμένο, εκτιμώντας ότι αντίστοιχες πρακτικές εξακολουθούν να εφαρμόζονται σε σημαντικό αριθμό επιχειρήσεων φιλοξενίας.

Οι πέντε υποχρεώσεις για τα ξενοδοχεία με βάση την ανακοίνωση της Αρχής Προστασίας Δεδομένων

Στις συστάσεις που απηύθυνε, η Αρχή ζητεί από τα τουριστικά καταλύματα να συμμορφωθούν άμεσα με πέντε βασικές υποχρεώσεις:

1.Να σταματήσουν τη λήψη και διατήρηση αντιγράφων ταυτοτήτων και διαβατηρίων

Τα ξενοδοχεία δεν πρέπει να φωτογραφίζουν, να φωτοτυπούν ή να αποθηκεύουν αντίγραφα δελτίων ταυτότητας, διαβατηρίων ή άλλων εγγράφων ταυτοποίησης, καθώς δεν υπάρχει ειδική νομοθετική διάταξη που να το επιβάλλει.

2.Να μην διατηρούν αντίγραφα τραπεζικών καρτών

Η φωτογράφιση ή αποθήκευση στοιχείων πιστωτικών και χρεωστικών καρτών απαγορεύεται, ακόμη και αν γίνεται με το επιχείρημα της προστασίας από μελλοντικές αμφισβητήσεις συναλλαγών.

3.Να τεκμηριώνουν τη νομική βάση κάθε επεξεργασίας

Κάθε συλλογή προσωπικών δεδομένων πρέπει να στηρίζεται σε σαφή νομική βάση και να προηγείται αξιολόγηση αναγκαιότητας και αναλογικότητας.

4.Να ενημερώνουν με σαφήνεια τους πελάτες

Οι επιχειρήσεις οφείλουν να παρέχουν εύκολα προσβάσιμη και επικαιροποιημένη ενημέρωση για την επεξεργασία των προσωπικών δεδομένων, τόσο μέσω των ιστοσελίδων τους όσο και κατά τη διαδικασία εξυπηρέτησης.

5.Να αναθεωρήσουν τις διαδικασίες check-in και κρατήσεων

Η Αρχή ζητά επανεξέταση των διαδικασιών υποδοχής, πληρωμών και διαχείρισης κρατήσεων, καθώς και κατάλληλη εκπαίδευση του προσωπικού ώστε να εφαρμόζεται στην πράξη η αρχή της ελαχιστοποίησης των δεδομένων.

Τι σημαίνει αυτό για τον ξενοδοχειακό κλάδο

Σημειώνεται ότι το κανονιστικό πλαίσιο έχει αλλάξει ριζικά μετά την εφαρμογή του GDPR, με αποτέλεσμα πολλές από αυτές τις πρακτικές να θεωρούνται πλέον δυσανάλογες και μη νόμιμες.

Η Αρχή ουσιαστικά υπενθυμίζει ότι η συλλογή προσωπικών δεδομένων δεν μπορεί να γίνεται προληπτικά ή «για παν ενδεχόμενο», αλλά μόνο όταν είναι απολύτως αναγκαία και νομικά τεκμηριωμένη.

Κίνδυνος προστίμων και ελέγχων

Αν και στην παρούσα φάση η Αρχή περιορίστηκε σε συστάσεις συμμόρφωσης και ενημέρωση των συλλογικών φορέων του τουρισμού, το μήνυμα προς την αγορά είναι σαφές.

Οι επιχειρήσεις που εξακολουθούν να διατηρούν φωτοαντίγραφα ταυτοτήτων, διαβατηρίων ή πιστωτικών καρτών εκτίθενται σε κίνδυνο καταγγελιών, ελέγχων και διοικητικών κυρώσεων βάσει του GDPR.

Για τον λόγο αυτό, στελέχη της αγοράς εκτιμούν ότι το επόμενο διάστημα θα απαιτηθεί άμεση αναθεώρηση πολλών διαδικασιών υποδοχής και διαχείρισης πελατών, ώστε να διασφαλιστεί η πλήρης συμμόρφωση με το ευρωπαϊκό και εθνικό πλαίσιο προστασίας προσωπικών δεδομένων.

Διαβάστε επίσης: 

Κομισιόν: Θα εκδώσει ευρωομόλογα αξίας 80 δισ. ευρώ το δεύτερο μισό του 2026

Ερντογάν: Πιθανό να υπάρξουν διμερείς συνομιλίες με τον Τραμπ στη σύνοδο κορυφής του ΝΑΤΟ

ΗΠΑ: Ανάπτυξη 3% προβλέπει ο υπουργός Οικονομικών – «Το Ιράν θα ενταχθεί στο σύστημα του δολαρίου»