GDPR v reštaurácii: ako správne pracovať s údajmi hostí z rezervácií

Každá rezervácia stola znamená osobné údaje: meno, telefón, často aj e-mail. Či ich zapisujete do papierovej knihy, alebo ich prijíma rezervačný systém, ste podľa GDPR prevádzkovateľom osobných údajov so všetkým, čo k tomu patrí. Dobrá správa: pre bežnú reštauráciu je toho menej, než sa traduje. Súhlas hosťa na vybavenie rezervácie nepotrebujete, zodpovednú osobu menovať nemusíte a väčšinu povinností vyriešite niekoľkými jednoduchými návykmi.

Tento článok zhŕňa, čo GDPR od reštaurácie prakticky žiada: aké údaje smiete zbierať, na akom právnom základe, ako dlho ich uchovávať, aké práva majú hostia a kedy im smiete poslať marketingový e-mail. Nejde o právne poradenstvo, ale o praktický prehľad pre každodennú prevádzku, s odkazmi na oficiálne zdroje, predovšetkým na Úrad na ochranu osobných údajov SR, ktorý na GDPR na Slovensku dozerá (popri priamo účinnom nariadení platí aj zákon č. 18/2018 Z. z. o ochrane osobných údajov).

Aké údaje o hostoch pri rezervácii vlastne zbierate

Typická rezervácia obsahuje prekvapivo málo údajov: meno a priezvisko, telefónne číslo, prípadne e-mail, počet osôb, dátum a čas, niekedy poznámku. Presne tak to funguje aj online: napríklad v bezplatnej verzii rezervačného systému pre reštaurácie ViteUneTable hosť vyplní meno, kontakt, počet osôb a termín, nič viac reštaurácia na obslúženie rezervácie nepotrebuje.

A to je prvá zásada GDPR v praxi: minimalizácia údajov (čl. 5 nariadenia). Zbierajte len to, čo na vybavenie rezervácie skutočne potrebujete. Dátum narodenia, adresa bydliska či rodné číslo nemajú v rezervačnom formulári čo hľadať.

Pozor na jedno nenápadné pole: poznámku k rezervácii. Keď hosť napíše „bezlepková diéta“ alebo „alergia na kôrovce“, môže ísť o údaj o zdraví, teda osobitnú kategóriu osobných údajov podľa čl. 9 GDPR, ktorá podlieha prísnejšiemu režimu. Neznamená to, že poznámky musíte zakázať, hosť vám údaj oznámil dobrovoľne a vo vlastnom záujme. Znamená to, že poznámky nemáte nikdy používať na nič iné než na obslúženie danej návštevy a nemáte ich zbytočne dlho skladovať.

Potrebujete súhlas hosťa? Väčšinou nie

Najrozšírenejší omyl okolo GDPR znie, že na všetko treba súhlas. V skutočnosti je súhlas len jedným zo šiestich právnych základov podľa čl. 6 nariadenia a pre reštauráciu je takmer vždy ten najmenej vhodný. Ako sa právne základy v praxi rozdelia:

• Vybavenie rezervácie: plnenie zmluvy (čl. 6 ods. 1 písm. b). Hosť si objednal stôl, vy mu ho držíte. Meno, kontakt, počet osôb a termín spracúvate preto, aby ste dohodu splnili: potvrdili rezerváciu, poslali pripomienku, dali vedieť pri meškaní kuchyne. Súhlas nie je potrebný a je chybou ho vyžadovať: súhlas možno kedykoľvek odvolať, plnenie zmluvy nie.
• Marketing voči vlastným hosťom: oprávnený záujem (čl. 6 ods. 1 písm. f). Recitál 47 GDPR výslovne uvádza, že spracúvanie na účely priameho marketingu možno považovať za oprávnený záujem prevádzkovateľa. Pozor: to rieši len rovinu GDPR. Na samotné posielanie e-mailov sa vzťahuje ešte osobitný zákon o elektronických komunikáciách, o tom nižšie.
• Všetko ostatné: súhlas (čl. 6 ods. 1 písm. a). Chcete e-maily ľudí, ktorí u vás nikdy nerezervovali, napríklad cez formulár „odoberajte novinky“ na webe? Potom potrebujete slobodný, konkrétny a preukázateľný súhlas s možnosťou kedykoľvek ho odvolať.

Praktický dôsledok: zaškrtávacie políčko „súhlasím so spracúvaním osobných údajov“ v rezervačnom formulári je zbytočné a mätúce. Čo tam patrí, je stručná informácia, kto údaje spracúva, prečo a ako dlho (informačná povinnosť podľa čl. 13), typicky odkazom na zásady ochrany osobných údajov.

Ako dlho údaje o rezerváciách uchovávať

GDPR nijakú konkrétnu lehotu nestanovuje. Platí zásada minimalizácie uchovávania: údaje smiete držať len po čas nevyhnutný na účel, na ktorý ste ich získali. A buďme úprimní: Úrad na ochranu osobných údajov SR nevydal žiadne odporúčanie špecificky pre reštaurácie a lehoty uchovávania rezervačných údajov, presnú hranicu vám teda nikto oficiálne nepovie. To však nie je dôvod neriešiť nič, naopak: lehotu si musíte stanoviť a obhájiť sami.

Rozumné vodidlo pre prax:

• Údaje o uskutočnenej rezervácii nechajte len dovtedy, kým vám na niečo slúžia: vybavenie reklamácie či spornej platby, štatistika návštevnosti, história stáleho hosťa. V praxi ide skôr o mesiace než o roky; zvolenú lehotu si zapíšte a dodržiavajte.
• Kontakty na marketing držte len pri hosťoch, ktorí u vás skutočne boli, a len kým marketing reálne robíte; pri každom rozposlaní musí mať hosť možnosť odhlásiť sa, a len čo to urobí, kontakt z marketingovej databázy vyraďte.
• Poznámky so zdravotným obsahom (alergie, diéty) nemajú dôvod prežiť návštevu, ak hosť nie je štamgast, ktorý si výslovne želá, aby ste si jeho preferencie pamätali.

Nekonečná databáza všetkých hostí „pre istotu“ je presne to, čo zásade nevyhnutnosti odporuje.

Papierová rezervačná kniha očami GDPR

GDPR platí aj pre papier: štruktúrovaná evidencia mien a telefónov je spracúvanie osobných údajov bez ohľadu na to, či beží v cloude, alebo v krúžkovom bloku. A papierová kniha má z pohľadu ochrany údajov niekoľko slabín, o ktorých sa málo hovorí:

• Leží na pulte. Mená, telefóny a poznámky všetkých hostí večera vidí každý, kto sa pri pulte nakloní, od kuriéra po hosťa čakajúceho na účet. Z pohľadu bezpečnosti spracúvania (čl. 32 GDPR) sa to obhajuje ťažko.
• Nepozná prístupové práva. Čítať môže ktokoľvek z personálu vrátane brigádnika, ktorý nastúpil včera, a vy nemáte ako zistiť, kto si čo odpísal.
• Nevie mazať. Vyškrabať jedného hosťa z troch rokov strán je v praxi nemožné, žiadosť o výmaz teda papier fakticky nedokáže splniť.
• Stráca sa celá. Ukradnutá alebo stratená kniha znamená únik údajov všetkých hostí naraz, a to už môže byť incident, ktorý sa podľa čl. 33 hlási úradu do 72 hodín.

Neznamená to, že papierová kniha je zakázaná. Znamená to, že s ňou treba zaobchádzať opatrnejšie, než je zvykom: nenechávať ju otvorenú na očiach, staré ročníky skartovať, poznámky o zdraví nezapisovať vôbec. Elektronická kniha rieši tieto slabiny z podstaty: prístup na účet, história zmien, vymazanie hosťa na pár kliknutí. Ak zvažujete prechod, prečítajte si náš návod, kedy papierovú rezervačnú knihu odložiť.

Aké práva majú hostia a ako na ne reagovať

Hosť sa na vás môže obrátiť so žiadosťou podľa čl. 15 až 21 GDPR. V reštauračnej praxi sa najčastejšie stretnete s tromi:

1. Právo na prístup: „Aké údaje o mne máte?“ Odpovedzte prehľadom: meno, kontakt, história rezervácií, odkiaľ údaje pochádzajú.
2. Právo na výmaz: „Vymažte ma.“ Vyhovte, ak údaje už nepotrebujete na plnenie zmluvy alebo zákonnej povinnosti; budúcu rezerváciu samozrejme mazať nemusíte, kým neprebehne.
3. Právo namietať proti marketingu: fakticky ide o kliknutie na „odhlásiť sa“ v pätičke e-mailu. Námietke proti priamemu marketingu musíte vyhovieť vždy a bezplatne.

Na žiadosť treba reagovať do jedného mesiaca (čl. 12 ods. 3). Odpoveď nemusí byť právnický elaborát, stačí vecne a písomne. Ignorovať žiadosť je naopak najkratšia cesta k podnetu na úrad.

E-maily hostiam: čo hovorí § 116 zákona o elektronických komunikáciách

Tu sa GDPR stretáva s druhým predpisom, ktorý musí reštauratér poznať: § 116 zákona č. 452/2021 Z. z. o elektronických komunikáciách, ktorý upravuje nevyžiadanú komunikáciu. Funguje takto:

• Základné pravidlo je opt-in (ods. 3): marketingový e-mail či SMS smiete poslať len tomu, kto na to dal predchádzajúci preukázateľný súhlas. Záznam o súhlase musíte uchovávať najmenej štyri roky od jeho odvolania (ods. 5).
• Výnimka pre vlastných hostí (ods. 15): kontakt získaný v súvislosti s predajom smiete použiť na ponuku vlastných podobných tovarov a služieb aj bez osobitného súhlasu. Hosť, ktorý u vás rezervoval a najedol sa, je váš zákazník: pozvánku na husacie hody mu poslať smiete.
• Slovenská špecialita: časový limit jeden rok (ods. 16). Kontakty získané pri predaji možno na takýto marketing používať len jeden rok od ukončenia zmluvného vzťahu, čo väčšina krajín EÚ nemá. Databázu preto pravidelne čistite od hostí, ktorí u vás dlhšie než rok neboli.
• Odhlásenie v každej správe: hosť musí mať možnosť jednoducho a bezplatne odmietnuť ďalšie správy pri získaní kontaktu aj v každej doručenej správe. Anonymné odosielateľské adresy sú zakázané.

Pokuty podľa § 124 ods. 3 siahajú pri podnikateľoch od 200 € do 5 % obratu; na nevyžiadanú komunikáciu dozerá Regulačný úrad, na ochranu osobných údajov Úrad na ochranu osobných údajov SR. Priznajme si však mieru: žiadny zverejnený prípad pokuty pre reštauráciu za spracúvanie údajov hostí sme na Slovensku nenašli, sankcie tohto typu mieria najmä na masové rozposielanie. Princíp je ale rovnaký pre všetkých: vlastní hostia áno, kúpené databázy nikdy, odhlásenie v každej správe. A ešte jedna hranica, ktorú sa oplatí poznať: potvrdenie a pripomienka rezervácie nie sú marketing, ale plnenie samotnej rezervácie, podrobne to rozoberáme v článku o potvrdzovacích a pripomienkových e-mailoch.

Sprostredkovateľská zmluva s vaším rezervačným systémom

Len čo rezervácie prijíma softvér, vstupuje do hry druhá rola podľa GDPR: sprostredkovateľ. Rozdelenie je jednoduché:

• Vy ste prevádzkovateľ. Hostia rezervujú u vás, vy určujete, prečo a ako dlho sa ich údaje spracúvajú.
• Rezervačný systém je sprostredkovateľ. Spracúva údaje hostí vo vašom mene a pre vás, na nič vlastné ich používať nesmie.

Čl. 28 GDPR vyžaduje, aby tento vzťah pokrývala zmluva o spracúvaní osobných údajov (pri SaaS nástrojoch typicky súčasť obchodných podmienok, často pod skratkou DPA). Skôr než sa k akémukoľvek systému upíšete, overte si tri veci: že zmluvu o spracúvaní skutočne ponúka, kde sú dáta uložené (uloženie v EÚ znamená, že neriešite prenos do tretích krajín) a že údaje vašich hostí nepoužíva na vlastný marketing.

Takto to má vyzerať aj u nás: ViteUneTable vystupuje voči údajom hostí ako technický poskytovateľ, reštaurácia zostáva prevádzkovateľom, údaje z rezervácií slúžia výhradne na správu rezervácií (potvrdenie, pripomienka, zrušenie) a nikdy sa nepredávajú tretím stranám. Za rezervácie sa navyše neplatí žiadna provízia, systém teda nemá dôvod s dátami hostí obchodovať: bezplatná verzia je neobmedzená a platené balíky (Balík Standard od 29 € bez DPH/mesiac) pridávajú funkcie, nie prístup k vašim dátam.

GDPR checklist pre reštauráciu

Zhrnutie do siedmich bodov, ktoré za jedno popoludnie zvládne každý podnik:

1. Spíšte si, aké údaje hostí zbierate, kde sú uložené a kto k nim má prístup.
2. Zverejnite stručné zásady ochrany osobných údajov (na webe a v rezervačnom formulári).
3. Zrušte zbytočné súhlasové políčka pri rezerváciách, rezervácia je plnenie zmluvy.
4. Stanovte si lehoty uchovávania a raz za čas databázu aj starú papierovú knihu prečistite.
5. Nenechávajte rezervačnú knihu ani obrazovku s rezerváciami na očiach hostí.
6. Marketingové e-maily posielajte len vlastným hosťom, s odhlásením v každej správe a najviac rok od poslednej návštevy.
7. Overte si, že máte s rezervačným systémom zmluvu o spracúvaní a dáta v EÚ.

Časté otázky

Musí mať reštaurácia súhlas hosťa so spracúvaním údajov pri rezervácii?

Nie. Spracúvanie mena, kontaktu, počtu osôb a termínu je nevyhnutné na plnenie zmluvy o rezervácii (čl. 6 ods. 1 písm. b GDPR), súhlas sa nevyžaduje. Povinná je však informačná povinnosť: hosť má vedieť, kto jeho údaje spracúva, prečo a ako dlho, typicky cez odkaz na zásady ochrany osobných údajov.

Ako dlho smie reštaurácia uchovávať údaje z rezervácií?

GDPR ani Úrad na ochranu osobných údajov SR konkrétnu lehotu pre reštaurácie nestanovujú, platí zásada nevyhnutnosti: len dovtedy, kým údaje slúžia účelu. Lehotu si musí reštaurácia stanoviť sama a dodržiavať ju; v praxi ide skôr o mesiace než o roky. Kontakty hostí, ktorí sa odhlásili z marketingu, treba z rozposielania vyradiť ihneď.

Je papierová rezervačná kniha v súlade s GDPR?

Sama osebe zakázaná nie je, GDPR sa však na ňu vzťahuje rovnako ako na softvér. Problémom je bezpečnosť: kniha ležiaca na pulte sprístupňuje údaje všetkých hostí komukoľvek, nedá sa pri nej riadiť prístup a prakticky neumožňuje výmaz jednotlivého hosťa. Minimum je nenechávať ju na očiach, skartovať staré ročníky a nezapisovať do nej údaje o zdraví.

Smie reštaurácia posielať hostiam marketingové e-maily bez súhlasu?

Vlastným hosťom áno, vďaka výnimke v § 116 ods. 15 zákona č. 452/2021 Z. z.: kontakt získaný v súvislosti s predajom možno použiť na ponuku vlastných podobných služieb. Podmienkou je možnosť odhlásenia v každej správe a slovenská špecialita: kontakt smiete takto používať len jeden rok od ukončenia zmluvného vzťahu (ods. 16). Kúpené databázy a kontakty ľudí, ktorí u vás nikdy neboli, vyžadujú predchádzajúci súhlas.

Potrebuje reštaurácia zodpovednú osobu pre ochranu osobných údajov?

Bežná reštaurácia nie. Zodpovednú osobu (DPO) vyžaduje čl. 37 GDPR pri orgánoch verejnej moci a pri organizáciách, ktorých hlavnou činnosťou je rozsiahle systematické monitorovanie osôb alebo rozsiahle spracúvanie citlivých údajov. Evidencia rezervácií ani databáza stálych hostí takým spracúvaním nie sú.

Kto na Slovensku dozerá na ochranu údajov a aké hrozia pokuty?

Dozorným orgánom pre GDPR je Úrad na ochranu osobných údajov SR (dataprotection.gov.sk), na nevyžiadanú marketingovú komunikáciu podľa § 116 zákona č. 452/2021 Z. z. dozerá Regulačný úrad, s pokutami od 200 € do 5 % obratu (§ 124 ods. 3). Teoretické stropy GDPR siahajú až k 20 miliónom €, voči malým podnikom sa však postupuje primerane; žiadny zverejnený prípad sa zatiaľ netýkal reštaurácie.