Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) απηύθυνε επίσημες συστάσεις συμμόρφωσης σε ξενοδοχεία και τουριστικά καταλύματα, συμπεριλαμβανομένων των καταλυμάτων τύπου Airbnb, μετά από καταγγελίες πελατών για παράνομες πρακτικές συλλογής προσωπικών δεδομένων. Στο επίκεντρο βρίσκονται δύο συγκεκριμένες συνήθειες που εφαρμόζει ο κλάδος: η φωτογράφιση ή λήψη φωτοαντιγράφου δελτίων ταυτότητας και η φωτοτύπηση πιστωτικών καρτών πελατών. Η Αρχή χαρακτήρισε τις πρακτικές αυτές ως παραβάσεις του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ) και ζήτησε την άμεση διακοπή τους. Παράλληλα, απευθύνθηκε στις κεντρικές ξενοδοχειακές ενώσεις της χώρας, καλώντας τις να ενημερώσουν αμέσως τα μέλη τους.
Ποιες πρακτικές παραβιάζουν τα φωτοαντίγραφα ταυτοτήτων και καρτών
Σύμφωνα με τις καταγγελίες που κατατέθηκαν στην ΑΠΔΠΧ, τα ξενοδοχεία και τα τουριστικά καταλύματα ακολουθούσαν δύο κεντρικές πρακτικές που κρίθηκαν παράνομες. Η πρώτη αφορά τη φωτογράφιση ή λήψη φωτοαντιγράφου δελτίων ταυτότητας ή διαβατηρίων με σκοπό την καταχώριση στοιχείων ταυτοποίησης ή την έκδοση φορολογικών παραστατικών. Η δεύτερη αφορά τη φωτογράφιση ή φωτοτύπηση και των δύο όψεων πιστωτικών ή χρεωστικών καρτών, με σκοπό τη διατήρηση αντιγράφων για μελλοντική χρήση σε περίπτωση αμφισβήτησης συναλλαγών. Η Αρχή διαπίστωσε ότι αυτές οι συνήθειες παραβιάζουν θεμελιώδεις αρχές του ΓΚΠΔ, και συγκεκριμένα την αρχή της νομιμότητας, αντικειμενικότητας και διαφάνειας, καθώς και την αρχή της ελαχιστοποίησης των δεδομένων.
Η ΑΠΔΠΧ επισήμανε ότι οι εν λόγω πρακτικές αυξάνουν αδικαιολόγητα τους κινδύνους μη εξουσιοδοτημένης πρόσβασης, απάτης ή οικονομικής ζημίας για τους πελάτες. Επίσης, κρίθηκε ότι παραβιάζονται και οι υποχρεώσεις προστασίας δεδομένων ήδη από τον σχεδιασμό και εξ’ ορισμού. Η Αρχή τόνισε ότι δεν υφίσταται ειδική νομοθετική πρόβλεψη που να επιβάλλει τη λήψη φωτοαντιγράφων εγγράφων ταυτοποίησης, οπότε η πρακτική αυτή στερείται νομικής βάσης. Η υποχρέωση αναγνώρισης της ταυτότητας του πελάτη μπορεί να εκπληρωθεί με άλλους τρόπους που σέβονται πλήρως τα προσωπικά δεδομένα.
Οι ξενοδοχειακές ενώσεις καλούνται να ενεργήσουν άμεσα
Η Αρχή Προστασίας Δεδομένων δεν περιορίστηκε στην έκδοση συστάσεων μόνο προς τα εμπλεκόμενα καταλύματα. Απευθύνθηκε επίσης στην Πανελλήνια Ομοσπονδία Ξενοδόχων, στο Ξενοδοχειακό Επιμελητήριο Ελλάδος και στη Συνομοσπονδία Επιχειρηματιών Τουριστικών Καταλυμάτων Ελλάδος, ζητώντας από αυτές να ενημερώσουν άμεσα τα μέλη τους. Ο στόχος είναι η ορθή εφαρμογή των αρχών του ΓΚΠΔ και η γενικευμένη συμμόρφωση σε όλο τον ξενοδοχειακό κλάδο. Οι τρεις ενώσεις εκπροσωπούν το σύνολο σχεδόν των ξενοδοχειακών επιχειρήσεων, οπότε η επικοινωνία μαζί τους εξασφαλίζει ευρεία διάδοση των συστάσεων. Η κίνηση αυτή της Αρχής δείχνει ότι το ζήτημα δεν αντιμετωπίζεται ως μεμονωμένο περιστατικό αλλά ως συστημικό πρόβλημα του κλάδου.
Οι υποχρεώσεις που θέτει η ΑΠΔΠΧ είναι σαφείς και συγκεκριμένες. Τα τουριστικά καταλύματα οφείλουν να μην λαμβάνουν ούτε να διατηρούν φωτοαντίγραφα ή φωτογραφίες δελτίων ταυτότητας, διαβατηρίων ή άλλων εγγράφων ταυτοποίησης. Επίσης, απαγορεύεται ρητά η φωτογράφιση, η φωτοτύπηση ή η αποθήκευση αντιγράφων πιστωτικών ή χρεωστικών καρτών πελατών. Κάθε επεξεργασία προσωπικών δεδομένων πρέπει να στηρίζεται σε κατάλληλη νομική βάση και να έχει προηγηθεί η απαραίτητη αξιολόγηση κινδύνου, ώστε να διασφαλίζεται η προστασία των υποκειμένων.
Τι αλλάζει από εδώ και πέρα για ξενοδοχεία και Airbnb
Με βάση τις συστάσεις της ΑΠΔΠΧ, τα ξενοδοχεία και τα τουριστικά καταλύματα πρέπει να αναθεωρήσουν άμεσα τις πρακτικές τους κατά τη check-in διαδικασία. Η ταυτοποίηση πελατών μπορεί να γίνει με την απλή επίδειξη του εγγράφου ταυτοποίησης, χωρίς τη λήψη αντιγράφου ή φωτογραφίας αυτού. Ομοίως, για τη διασφάλιση πληρωμών, τα καταλύματα έχουν στη διάθεσή τους νόμιμους μηχανισμούς που δεν απαιτούν την αποθήκευση ευαίσθητων στοιχείων καρτών. Η συμμόρφωση με τον ΓΚΠΔ δεν αποτελεί επιλογή αλλά νομική υποχρέωση, η παράβαση της οποίας συνεπάγεται κυρώσεις τόσο από την ελληνική Αρχή όσο και από τους ευρωπαϊκούς εποπτικούς μηχανισμούς.
