Výběr z činnosti AČCKA – 5/2018: GDPR tématem jednání nově vzniklé pracovní komise ECTAA

Nová pravidla pro ochranu osobních údajů byla hlavním tématem prvního jednání nedávno vzniklé pracovní skupiny pro GDPR, která byla v rámci struktur ECTAA založena z iniciativy delegátů národních asociací během pololetního zasedání ECTAA v Budapešti na podzim loňského roku.

Hlavním cílem této pracovní skupiny bylo vytvořit srozumitelný orientační materiál, který by členským organizacím přehlednou formou přiblížil všechny důležité pokyny týkající se nových zásad ochrany dat. Z rozhodnutí skupiny tak nyní k tématu vzniká seznam nejčastějších otázek a odpovědí (FAQ) jako doplněk k vodítkům vypracovaným ze strany jednotlivých národních asociací.

V průběhu zasedání byly diskutovány vybrané tematické okruhy, které budou v dokumentu podrobněji rozpracovány na příkladu několika konkrétních dotazů. Významnější pozornost si hned v úvodu diskuse vysloužila otázka doporučeného vzoru oznámení o ochraně osobních údajů, a to ve smyslu nezbytných náležitostí, které by takové sdělení směrem k zákazníkovi mělo postihnout. Pohledem členů skupiny lze doporučit, aby oznámení uživatele webových stránek jednoduchou formou informovalo, že použitím rezervačního systému vyjadřuje souhlas se shromažďováním osobních údajů a s jejich zasíláním třetím stranám (např. letecké společnosti, hotely) za účelem dokončení rezervace. Oznámení by zákazníkovi mělo být k dispozici hned na začátku procesu rezervace a mělo by být provázáno s kompletními zásadami ochrany osobních údajů dané společnosti.

Foto: Shutterstock.com

Další projednávanou otázkou bylo postavení obchodních partnerů (např. hotely, letecké společnosti), kterým CK/CA v postavení správců posílají osobní údaje k provedení rezervace. V této souvislosti pracovní skupina konstatovala, že obchodní partneři se mohou stát správci a že GDPR výslovně počítá i možností tzv. společných správců. Pracovní skupina vznesla doporučení, že CK/CA by měly formalizovat své vztahy s různými obchodními partnery před účinností GDPR. Jedná se o nezbytný předpoklad, který pomůže splnit povinnosti GDPR týkající se např. posouzení odpovídající úrovně ochrany, požadavků na zabezpečení údajů a informací uvedených v oznámení o ochraně osobních údajů.

V další částí diskuse se skupina mimo jiné zabývala souhlasem klienta se zpracováním osobních údajů, přímým marketingem, shromažďováním citlivých informací nebo nutností jmenování pověřence pro ochranu osobních údajů. Zkoumán byl také dopad nových pravidel pro organizaci školních zájezdů. V tomto bodě zaznělo doporučení, že cestovní kancelář by měla zajistit, aby rodiče/poručníci nezletilého byli řádně informováni o tom, že údaje o dětech budou zpracovávány a používány CK/CA k organizaci cesty. Odpovědný učitel/zaměstnanec by měl být rovněž pověřen rodiči za účelem shromažďování údajů o nezletilých a za jejich předávání směrem k CK/CA. To znamená, že formulář podepsaný rodiči by měl obsahovat oznámení o ochraně osobních údajů, které by je informovalo o výše uvedených skutečnostech.

Co se týče přímého marketingu, vyslovila pracovní skupina předpoklad, že pro účely GDPR se za určitých okolností budou CK/CA moci spoléhat na oprávněné zájmy správce jako právní základ pro zpracování údajů a marketingová sdělení by v těchto případech mohla být rozesílána bez souhlasu zákazníka. Mělo by být provedeno posouzení oprávněného zájmu, avšak pokud je marketing omezen na cestovní služby a klient má jasnou možnost příjem dalších marketingových sdělení odmítnout, pracovní skupina se domnívá, že oprávněný zájem CK/CA v roli správce a základní práva a svobody klienta (subjektu údajů) by měly být ve vzájemné rovnováze.

Průběh jednání naznačil, že výklad dopadů nařízení je napříč partnerskými asociacemi spojen s určitou mírou nejistoty a téma vzbuzuje řadu otazníků. Vznikající seznam otázek a odpovědí pro cestovní kanceláře a agentury si klade za cíl usnadnit orientaci členských organizací v novém předpisu, a přispět tak k jejich aktivitám, které zajišťují na národní úrovni.

Členským asociacím byl materiál zpřístupněn koncem dubna a členům AČCKA bude nabídnut jako doplněk k vzorové dokumentaci, kterou AČCKA k tématu GDPR již zdarma vypracovala.

Ing. Tereza PickováAsociace českých cestovních kanceláří a agentur
výkonná ředitelka
www.accka.cz