Podaci gostiju i GDPR u restoranu: što smijete prikupljati i kako ostati u skladu s propisima

Svaka rezervacija stola znači osobne podatke: ime, telefon, često i e-mail. Zapisivali ih u bilježnicu ili ih primao rezervacijski sustav, vi ste prema GDPR-u voditelj obrade osobnih podataka, sa svime što uz to ide. Dobra vijest: za običan restoran obveza je manje nego što se priča. Privola gosta za obradu rezervacije ne treba vam, službenika za zaštitu podataka ne morate imenovati, a većinu obveza rješavate s nekoliko jednostavnih navika.

Pravni okvir čine izravno primjenjiva Opća uredba o zaštiti podataka (GDPR) i domaći Zakon o provedbi Opće uredbe o zaštiti podataka (NN 42/18), a nadzor provodi Agencija za zaštitu osobnih podataka (AZOP). Ovaj članak nije pravni savjet, nego praktičan pregled za svakodnevni rad: što smijete prikupljati, na kojoj osnovi, koliko dugo čuvati, kada smijete slati marketinške poruke i zašto je u ugostiteljstvu najveći stvarni rizik, vidjet ćete niže, natpis o videonadzoru.

Koje podatke o gostima uopće prikupljate kod rezervacije

Tipična rezervacija sadrži iznenađujuće malo podataka: ime i prezime, broj telefona, eventualno e-mail, broj osoba, datum i vrijeme, ponekad napomenu. Točno tako izgleda i online: u besplatnoj verziji rezervacijskog sustava za restorane ViteUneTable gost upisuje ime, kontakt, broj osoba i termin, ništa više restoranu za posluživanje rezervacije ne treba.

I to je prvo načelo GDPR-a u praksi: smanjenje količine podataka (čl. 5 Uredbe). Prikupljajte samo ono što vam je za obradu rezervacije stvarno potrebno. Datum rođenja, kućna adresa ili OIB nemaju što tražiti u rezervacijskom obrascu.

Oprez s jednim neupadljivim poljem: napomenom uz rezervaciju. Kad gost napiše „bezglutenska prehrana" ili „alergija na rakove", riječ je o podatku o zdravlju, dakle posebnoj kategoriji osobnih podataka iz čl. 9 GDPR-a, koja podliježe strožem režimu. To ne znači da napomene morate zabraniti: gost vam je podatak dao dobrovoljno i u vlastitom interesu. Znači da napomene nikad ne koristite ni za što drugo osim za posluživanje tog posjeta i da ih ne čuvate dulje nego što treba.

Trebate li privolu gosta? Uglavnom ne

Najrašireniji mit o GDPR-u glasi da za sve treba privola. U stvarnosti je privola samo jedna od šest pravnih osnova iz čl. 6 Uredbe, i za restoran je gotovo uvijek najmanje prikladna. Kako se pravne osnove dijele u praksi:

• Obrada rezervacije: izvršavanje ugovora (čl. 6 st. 1 t. b). Gost je naručio stol, vi mu ga držite. Ime, kontakt, broj osoba i termin obrađujete zato da dogovor ispunite: potvrdite rezervaciju, pošaljete podsjetnik, javite ako kasni kuhinja. Privola nije potrebna i pogreška ju je tražiti: privola se u svakom trenutku može povući, izvršavanje ugovora ne.
• Marketing prema vlastitim gostima: legitimni interes (čl. 6 st. 1 t. f). Uvodna izjava 47 GDPR-a izričito navodi da se obrada u svrhu izravnog marketinga može smatrati legitimnim interesom voditelja obrade. No pozor: to rješava samo razinu GDPR-a. Za samo slanje e-mailova vrijedi još i poseban Zakon o elektroničkim komunikacijama, o njemu niže.
• Sve ostalo: privola (čl. 6 st. 1 t. a). Želite e-mail adrese ljudi koji kod vas nikad nisu rezervirali, recimo preko obrasca „prijavite se na novosti" na webu? Onda vam treba dobrovoljna, konkretna i dokaziva privola koju gost može bilo kada povući.

Praktična posljedica: kvačica „slažem se s obradom osobnih podataka" u rezervacijskom obrascu suvišna je i zbunjujuća. Ono što tamo pripada jest kratka informacija tko podatke obrađuje, zašto i koliko dugo (obveza informiranja iz čl. 13), najčešće poveznicom na pravila privatnosti.

Koliko dugo čuvati podatke o rezervacijama i bazu gostiju

GDPR ne propisuje nikakav konkretan rok. Vrijedi načelo ograničenja pohrane: podatke smijete držati samo dok su nužni za svrhu radi koje ste ih prikupili. I budimo iskreni: AZOP nije objavio nikakvu preporuku o rokovima čuvanja rezervacijskih podataka specifično za restorane, točnu granicu vam nitko službeno neće reći. To nije razlog da ne radite ništa, naprotiv: rok morate odrediti i obrazložiti sami.

Razumno vodilo za praksu:

• Podatke o odrađenoj rezervaciji držite samo dok vam nečemu služe: rješavanju reklamacije ili sporne naplate, statistici posjećenosti, povijesti stalnog gosta. U praksi su to prije mjeseci nego godine; odabrani rok zapišite i držite ga se.
• Kontakte za marketing čuvajte samo za goste koji su kod vas stvarno bili i samo dok marketing zaista radite; u svakoj poruci gost mora imati mogućnost odjave, i čim je iskoristi, kontakt izbacite iz marketinške baze.
• Napomene sa zdravstvenim sadržajem (alergije, prehrana) nemaju razloga preživjeti posjet, osim ako gost nije stalni gost koji izričito želi da mu preferencije pamtite.

Beskonačna baza svih gostiju „za svaki slučaj" upravo je ono čemu se načelo nužnosti protivi. Posebna slabost je papirnata bilježnica na pultu: imena i telefoni svih gostiju večeri vidljivi su svakome tko se nagne preko pulta, pojedinačnog gosta iz nje ne možete obrisati, a izgubljena bilježnica znači curenje podataka svih gostiju odjednom. Elektronička knjiga te slabosti rješava iz temelja: pristup po korisničkom računu, povijest izmjena, brisanje gosta u par klikova. Ako razmišljate o prelasku, pročitajte naš vodič o online knjizi rezervacija.

E-mail marketing gostima: što kaže čl. 50 ZEK-a

Ovdje se GDPR susreće s drugim propisom koji ugostitelj mora poznavati: člankom 50 Zakona o elektroničkim komunikacijama (NN 76/22), koji uređuje neželjene elektroničke komunikacije. Pravila u kratkim crtama:

• Osnovno pravilo je opt-in: marketinški e-mail ili SMS smijete poslati samo onome tko je za to prethodno dao privolu.
• Iznimka za vlastite goste (soft opt-in): e-mail adresu dobivenu u kontekstu prodaje vlastite usluge smijete koristiti za promidžbu vlastitih sličnih usluga i bez posebne privole. Gost koji je kod vas rezervirao i večerao vaš je kupac: pozivnicu na martinjsku gusku smijete mu poslati. Uvjet: mogućnost odjave morate ponuditi već pri prikupljanju kontakta i u svakoj sljedećoj poruci.
• B2B je izuzet: pravila se ne odnose na komunikaciju prema pravnim osobama.
• Kazne nisu simbolične: za prekršaje iz čl. 50 predviđene su novčane kazne od 13 270 do 132 720 € (čl. 170 ZEK-a), a nadzor dijele HAKOM i AZOP.

Kupljene baze adresa i kontakti ljudi koji kod vas nikad nisu bili uvijek traže prethodnu privolu. I još jedna granica koju vrijedi znati: potvrda i podsjetnik rezervacije nisu marketing, nego izvršavanje same rezervacije, pa za njih ne trebate ništa od navedenog. Kako pravilno izgraditi bazu i newsletter koji gosti stvarno žele, detaljno razrađujemo u članku o e-mail marketingu za restorane.

Videonadzor: ono zbog čega AZOP stvarno kažnjava ugostitelje

Kad se pogleda objavljena praksa AZOP-a, upada u oči jedno: novčane kazne ugostiteljskim objektima gotovo se isključivo odnose na videonadzor, točnije na natpis o njemu. U prosincu 2022. AZOP je nakon nenajavljenih nadzora izrekao deset kazni subjektima iz igara na sreću, ugostiteljstva i trgovine, ukupno 186 000 kuna: jedan voditelj obrade uopće nije označio da je objekt pod videonadzorom, devetorica su na natpisu izostavila obvezne informacije. U travnju 2024. uslijedila je nova serija od sedam kazni hotelima, ugostiteljskim objektima i trgovinama, pojedinačno od 500 do 4 000 €, opet zbog neoznačenog ili nepotpuno označenog videonadzora.

Pravila su u čl. 26–32 Zakona o provedbi Opće uredbe (NN 42/18) i nisu komplicirana:

• videonadzor smijete koristiti samo koliko je nužno za zaštitu osoba i imovine (čl. 26),
• natpis mora biti vidljiv najkasnije pri ulasku u perimetar snimanja (čl. 27) i mora sadržavati jednostavnu sliku uz tekst da je prostor pod nadzorom, podatke o voditelju obrade i kontakt za ostvarivanje prava gostiju,
• pristup snimkama smiju imati samo ovlaštene osobe, uz automatski zapis tko je i kada snimkama pristupao (čl. 28),
• snimke se čuvaju najviše šest mjeseci, osim ako su dokaz u postupku (čl. 29),
• kamere ne smiju pokrivati prostore za osobnu higijenu, a nadzor radnih prostorija ima dodatna pravila iz propisa o zaštiti na radu (čl. 30).

AZOP je objavio i detaljnu preporuku o videonadzoru s primjerima ispravnog natpisa. Ako imate kamere, provjera natpisa je posao od pola sata koji uklanja daleko najvjerojatniji prekršaj u ugostiteljstvu.

Za potpunu sliku dodajmo i jedinu veliku objavljenu kaznu iz sektora smještaja i ugostiteljstva koja se ne tiče videonadzora: hotel je kažnjen s 15 000 € jer je kod rezervacija soba od gostiju e-mailom tražio CVC broj kartice i preslike osobnih dokumenata, bez pravne osnove i preko nezaštićenih kanala. Pouka za restorane je izravna: nikad ne tražite od gosta da vam broj kartice pošalje e-mailom ili porukom. Ako želite karticu kao jamstvo rezervacije, to se radi predautorizacijom kartice kroz certificirani platni sustav, gdje podaci o kartici uopće ne prolaze kroz vaše ruke. Objavljene kazne restoranima zbog e-mail marketinga ili baze gostiju u Hrvatskoj nismo pronašli: rizik postoji na papiru, ali stvarna praksa nadzora danas cilja natpise o videonadzoru i pretjerano prikupljanje podataka.

Koja prava imaju gosti i kako na njih odgovoriti

Gost vam se može obratiti sa zahtjevom prema čl. 15–21 GDPR-a. U restoranskoj praksi najčešća su tri:

1. Pravo na pristup: „Koje podatke imate o meni?" Odgovorite pregledom: ime, kontakt, povijest rezervacija, otkud podaci potječu.
2. Pravo na brisanje: „Izbrišite me." Udovoljite ako vam podaci više ne trebaju za izvršavanje ugovora ili zakonsku obvezu; buduću rezervaciju, naravno, ne morate brisati dok se ne odradi.
3. Pravo prigovora na marketing: u praksi je to klik na „odjavu" u podnožju e-maila. Prigovoru protiv izravnog marketinga morate udovoljiti uvijek i besplatno.

Na zahtjev treba odgovoriti u roku od mjesec dana (čl. 12 st. 3). Odgovor ne mora biti pravnički elaborat, dovoljno je konkretno i pisanim putem. Ignoriranje zahtjeva najkraći je put do pritužbe AZOP-u.

Vaš rezervacijski sustav kao izvršitelj obrade

Čim rezervacije prima softver, u igru ulazi druga uloga iz GDPR-a: izvršitelj obrade. Podjela je jednostavna:

• Vi ste voditelj obrade. Gosti rezerviraju kod vas, vi određujete zašto i koliko dugo se njihovi podaci obrađuju.
• Rezervacijski sustav je izvršitelj obrade. Podatke gostiju obrađuje u vaše ime i za vas, i ne smije ih koristiti ni za što svoje.

Čl. 28 GDPR-a traži da taj odnos pokriva ugovor o obradi osobnih podataka (kod SaaS alata najčešće dio uvjeta korištenja, često pod kraticom DPA). Prije nego što se vežete uz bilo koji sustav, provjerite tri stvari: nudi li takav ugovor, gdje su podaci pohranjeni (pohrana u EU znači da ne morate rješavati prijenos u treće zemlje) i koristi li podatke vaših gostiju za vlastiti marketing.

Tako to treba izgledati i kod nas: ViteUneTable prema podacima gostiju nastupa kao tehnički pružatelj, restoran ostaje voditelj obrade, a podaci iz rezervacija obrađuju se isključivo za upravljanje rezervacijama (potvrda, podsjetnik, otkazivanje) i nikad se ne prodaju trećima. Budući da se za rezervacije ne plaća provizija, sustav nema ni motiva trgovati podacima gostiju: besplatna verzija je neograničena, a plaćeni paketi (paket Standard od 29 € + PDV/mjesečno) dodaju funkcije, ne pristup vašim podacima.

GDPR kontrolna lista za restoran

Sažetak u sedam točaka koje svaki objekt riješi u jedno poslijepodne:

1. Popišite koje podatke gostiju prikupljate, gdje su pohranjeni i tko im ima pristup.
2. Objavite kratka pravila privatnosti (na webu i uz rezervacijski obrazac).
3. Maknite suvišne kvačice privole kod rezervacija: rezervacija je izvršavanje ugovora.
4. Odredite rokove čuvanja i povremeno očistite bazu, uključujući stare bilježnice.
5. Provjerite natpis o videonadzoru: vidljiv na ulazu, s piktogramom, podacima o voditelju obrade i kontaktom.
6. Marketinške e-mailove šaljite samo vlastitim gostima, s odjavom u svakoj poruci; kupljene baze nikad.
7. Provjerite da s rezervacijskim sustavom imate ugovor o obradi i podatke u EU.

Najčešća pitanja

Treba li restoranu privola gosta za obradu podataka kod rezervacije?

Ne. Obrada imena, kontakta, broja osoba i termina nužna je za izvršavanje ugovora o rezervaciji (čl. 6 st. 1 t. b GDPR-a), pa se privola ne traži. Obvezna je informacija gostu: tko podatke obrađuje, zašto i koliko dugo, najčešće poveznicom na pravila privatnosti.

Koliko dugo restoran smije čuvati podatke iz rezervacija?

Ni GDPR ni AZOP ne propisuju konkretan rok za restorane; vrijedi načelo nužnosti, dakle samo dok podaci služe svrsi. Rok morate odrediti sami i držati ga se; u praksi su to prije mjeseci nego godine. Kontakte gostiju koji su se odjavili od marketinga izbacite iz slanja odmah.

Smije li restoran gostima slati marketinške e-mailove bez privole?

Vlastitim gostima da, zahvaljujući iznimci iz čl. 50 Zakona o elektroničkim komunikacijama (NN 76/22): kontakt dobiven u kontekstu prodaje smije se koristiti za ponudu vlastitih sličnih usluga. Uvjeti su mogućnost odjave pri prikupljanju i u svakoj poruci. Kupljene baze i kontakti ljudi koji kod vas nikad nisu bili traže prethodnu privolu, a kazne idu od 13 270 do 132 720 €.

Zbog čega AZOP najčešće kažnjava ugostiteljske objekte?

Prema objavljenoj praksi, gotovo isključivo zbog videonadzora: neoznačenog objekta ili natpisa bez obveznih informacija (čl. 27 Zakona o provedbi Opće uredbe, NN 42/18). Kazne ugostiteljima iz objavljenih serija iz prosinca 2022. i travnja 2024. kretale su se pojedinačno od 500 do 4 000 €. Objavljene kazne restoranima zbog marketinga ili baze gostiju nismo pronašli.

Je li papirnata knjiga rezervacija u skladu s GDPR-om?

Sama po sebi nije zabranjena, ali GDPR za nju vrijedi jednako kao za softver. Problem je sigurnost: bilježnica na pultu izlaže podatke svih gostiju svakome tko prođe, pristup se ne može ograničiti, a brisanje pojedinog gosta praktički je nemoguće. Minimum je ne ostavljati je na očima gostiju, uništavati stara godišta i ne upisivati podatke o zdravlju.

Treba li restoran imenovati službenika za zaštitu podataka?

Običan restoran ne treba. Službenika za zaštitu podataka (DPO) čl. 37 GDPR-a traži od tijela javne vlasti i organizacija čija je osnovna djelatnost opsežno sustavno praćenje osoba ili opsežna obrada posebnih kategorija podataka. Evidencija rezervacija ni baza stalnih gostiju to nisu.