GDPR в туристическата агенция: симулация или истинска защита

Накратко: GDPR важи за всяка туристическа агенция, независимо от размера ѝ. Агенцията събира имена, паспортни данни, телефони, понякога здравна информация и данни за деца, и ги изпраща на хотели, авиокомпании и туроператори, често извън ЕС. Политиката на сайта не е достатъчна. Нужни са ясни правила кои данни събирате, защо, колко време ги пазите, с кого ги споделяте и какво правите при пробив.

Отворете сайта на която и да е туристическа агенция в България. Почти сигурно долу има линк „Политика за поверителност“. Вероятно е копирана от друг сайт, понякога с чуждото име на фирмата вътре. Има и банер за бисквитки, който се затваря с „Приемам“.

После отворете Viber-а на същата агенция. Там стоят снимки на паспорти от последните пет години. На личния телефон на служителка, която може би вече не работи там.

Това е разликата между GDPR на хартия и GDPR в действителност. Първото е симулация. Второто е начинът, по който реално работите с данните на хората, които ви се доверяват.

Не пиша това, за да плаша. Глобите в България рядко удрят малкия бизнес, и ще стигнем до числата. Пиша го, защото в туризма данните са по-чувствителни, отколкото в повечето бизнеси, а начинът, по който се работи с тях, често е като преди 20 години.

Политиката на сайта не е защита

GDPR (Регламент (ЕС) 2016/679) не изисква да имате красив документ. Изисква да можете да докажете, че обработвате данните законно, само колкото е нужно и сигурно. Политиката за поверителност е само една малка част: задължението да информирате хората.

Въпросите, на които трябва да можете да отговорите, са по-прости, отколкото звучат:

• Какви данни събирам?
• Защо ми трябват, и на какво основание?
• Къде стоят и кой има достъп?
• На кого ги изпращам?
• Колко време ги пазя и кой ги изтрива?
• Какво правя, ако изтекат?

Ако на някой от тези въпроси отговорът е „не знам“ или „зависи кой колега“, там е работата.

Какви данни събира агенцията и защо

Туристическата агенция е по-интересна от обикновен онлайн магазин, защото събира повече и по-чувствителни данни:

Две неща от таблицата често изненадват.

Първо, за основната работа не ви трябва съгласие. Не е нужно клиентът да подписва „Съгласявам се с обработката на личните ми данни“, за да му направите резервация. Основанието е договорът. Съгласие ви трябва за неща, които не са нужни за договора: бюлетин, снимки за социалните мрежи, здравни данни.

Второ, диетата не винаги е здравна информация. „Вегетарианско меню“ е предпочитание. „Безглутеново, защото имам цьолиакия“ вече е здравна информация. Записвайте нуждата („безглутеново меню“), не диагнозата.

Копието на паспорта - най-честата грешка

Ето едно правило, което малко хора в бранша знаят. Чл. 25г от българския Закон за защита на личните данни казва:

„Администратор или обработващ лични данни може да копира документ за самоличност, свидетелство за управление на моторно превозно средство или документ за пребиваване само ако това е предвидено със закон.“

КЗЛД уточнява в годишния си отчет за 2024 г., че забранено е снемането и пазенето на копие, а не обработването на данните от документа. Тоест можете да запишете номера на паспорта, срока на валидност и името, както са в документа. Да пазите снимката или сканирането на целия паспорт е друго нещо. За обикновен туристически договор не знам закон, който да го изисква. Ако смятате, че вашият случай е изключение, проверете го с юрист.

На практика:

• Помолете клиента да попълни данните във форма или да ги продиктува, вместо да праща снимка.
• Ако все пак получите снимка, препишете данните в системата си и изтрийте снимката: от имейла, от Viber, от галерията на телефона.
• Не изпращайте снимки на паспорти на хотели и туроператори, когато им трябват само имена и дати.

Нарушението на чл. 25г се наказва в по-високия диапазон глоби по GDPR. Отделно, снимките на паспорти в личен телефон са точно данните, които искате да изтекат най-малко.

Данните пътуват - хотел в Анталия, авиокомпания, туроператор

Агенцията не държи данните за себе си. Изпраща ги нататък, и тук има два въпроса.

Кой за какво отговаря? Европейският комитет по защита на данните (EDPB) дава в насоките си точно този пример: туристическата агенция, авиокомпанията и хотелът са три отделни администратора. Всеки отговаря за своята обработка. Хотелът в Гърция не е ваш „обработващ“ и не ви трябва договор с него по чл. 28. Различно е, ако направите обща платформа или общ маркетинг - тогава ставате съвместни администратори за тази дейност.

Вашите софтуерни доставчици обаче (CRM, система за резервации, имейл маркетинг, хостинг) обикновено са обработващи. С тях ви трябва договор за обработване на данни (DPA). Повечето сериозни доставчици имат готов. Проверете дали го имате и къде стоят сървърите им.

А когато хотелът е извън ЕС? Турция, Египет, ОАЕ, Тунис и Тайланд нямат решение за адекватност от Европейската комисия. Тоест по принцип данни към тях не се пращат „просто така“. Но GDPR има изключение (чл. 49, пар. 1, б. „б“) за трансфери, необходими за изпълнението на договора с клиента. И EDPB изрично посочва туристическите агенти, които изпращат данни на хотели и партньори в чужбина, като пример за такава необходимост.

Условията са три:

1. Пращате само необходимото: имена, дати, тип стая. Не цялото досие на клиента.
2. Трансферът е по конкретна резервация, а не масово споделяне на базата ви.
3. Клиентът знае, че данните му отиват в държава извън ЕС - кажете го в договора или в информацията към него.

Маркетингът: бюлетин и бисквитки

Тук повечето агенции грешат не от злонамереност, а по навик.

Имейли. Законът за електронните съобщения (чл. 261) изисква предварително съгласие за маркетингови имейли и SMS. Има едно важно изключение за туризма: ако човекът вече е ваш клиент, можете да му пращате оферти за сходни собствени услуги, без отделно съгласие. Условието е да му дадете лесна и безплатна възможност да откаже още при покупката и във всеки имейл. Отказът е окончателен.

Тоест: клиентът, който миналото лято е бил с вас в Гърция, може да получи есенната ви оферта за Истанбул. Имейлът, който сте намерили в чужд списък, не може.

Бисквитки. Google Analytics и Meta Pixel да се зареждат след като човек натисне „Приемам“, а не преди това. Банер, който само информира, докато проследяването вече тече, е симулация.

Когато нещо се обърка: 72 часа

Хакнат имейл, откраднат лаптоп, таблица с клиенти, изпратена до грешен адрес. Ако има риск за хората, трябва да уведомите КЗЛД до 72 часа от момента, в който сте разбрали.

КЗЛД има образец на уведомление на сайта си. Онлайн форма няма. Подава се на хартия в деловодството, по пощата, по имейл с квалифициран електронен подпис или през системата за сигурно електронно връчване. Помислете сега кой в агенцията има КЕП - не когато часовникът тече.

Защо е важно? Защото глобата често не е за самия пробив, а за закъснението. Booking.com получи 475 000 € глоба в Нидерландия, защото уведоми 22 дни след срока. Измамници бяха взели паролите на служители в 40 хотела в ОАЕ и бяха засегнали данни на над 4000 души. Санкцията беше за това, че не са казали навреме.

През 2024 г. КЗЛД е получила 73 уведомления за пробиви. 84% са от хакерски атаки.

Колко струва нарушението

Нека бъда честен: не открих решение на КЗЛД срещу българска туристическа агенция. Малкият бизнес в туризма не е на прицел, и ако някой ви продава GDPR услуга със заплахата „20 милиона евро глоба“, бъдете скептични.

Числата от годишния отчет на КЗЛД за 2024 г.:

• над 1080 жалби (900 през 2023 г.);
• най-много за видеонаблюдение - 345;
• 54 наложени санкции за общо около 192 000 €, всяка от около 256 до 35 790 €.

Големите глоби в туризма са в чужбина: British Airways - 20 млн. паунда, Marriott - 18,4 млн. паунда, и двете за изтичане на данни на клиенти.

Тогава защо да се занимавате? Защото рискът не е само глобата:

• Жалба от клиент. Достатъчно е един недоволен клиент да подаде жалба. Проверката отнема време и нерви, дори да завърши без санкция.
• Камерата в офиса. Видеонаблюдението е най-честата причина за жалби. Ако имате камера, сложете табела и не я насочвайте към улицата или към бюрата на колегите.
• Доверието. Клиентът, чийто паспорт е изтекъл от вашия телефон, не се връща. Нито приятелите му.

Чеклист: минимумът за туристическа агенция

1. Списък на данните. Какво събирате, защо и на какво основание. Една страница е достатъчна за начало.
2. Регистър на дейностите по обработване. Освобождаването за фирми под 250 души не важи, ако обработването не е спорадично - а при агенцията не е.
3. Без копия на паспорти. Данните се преписват, снимките се изтриват.
4. Данните живеят в една система, не в Viber, лични имейли и Excel на десктопа.
5. Достъп по роли и отделни акаунти. Всеки служител със собствено потребителско име. При напускане достъпът се спира в същия ден.
6. Двуфакторна защита на имейла и на системата за резервации.
7. Срокове за съхранение. Договорите за пакети - поне 2 години след пътуването (чл. 79а от Закона за туризма); счетоводните документи - по чл. 12 от Закона за счетоводството, който дава срокове от 3 до 10 години според вида на документа (50 години за ведомостите за заплати), броени от 1 януари на следващата година; кой срок важи за фактурите и договорите ви, уточнете със счетоводителя си; паспортните данни - само докато трябват.
8. Договори с доставчиците на софтуер (DPA) и знаете къде са сървърите им.
9. Изпращайте на партньорите само необходимото и кажете на клиента, ако данните му отиват извън ЕС.
10. Политика за поверителност, която описва реалността - вашите доставчици, вашите срокове, вашите партньори.
11. Бисквитките и пикселите се зареждат след съгласие.
12. Бюлетин с лесен отказ във всеки имейл.
13. План за пробив: кой решава, кой пише на КЗЛД, кой има КЕП.
14. Табела за видеонаблюдение и камера, която не гледа към улицата.

Често задавани въпроси

Трябва ли ми длъжностно лице по защита на данните (DPO)? Обикновено не. DPO е задължителен при мащабно обработване на чувствителни данни или систематично наблюдение. Малка агенция рядко попада тук. Някой в екипа все пак трябва да отговаря за темата.

Трябва ли клиентът да подпише съгласие за обработка на данните? Не за резервацията. Основанието е договорът. Съгласие ви трябва за бюлетин, снимки в социалните мрежи и здравни данни.

Мога ли да пратя данните на клиента на хотел в Турция или Египет? Да, ако са нужни за неговата резервация, пращате само необходимото и клиентът знае. Това е изключението по чл. 49, пар. 1, б. „б“ от GDPR.

Колко време да пазя паспортните данни? Докато са нужни за пътуването и за евентуални претенции след него. Няма причина да ги пазите години. Договорите за туристически пакети се пазят поне 2 години след изпълнението.

Мога ли да пиша на стари клиенти без съгласие? Да, за сходни собствени услуги, ако сте им дали възможност да откажат при покупката и я давате във всеки имейл (чл. 261, ал. 2 ЗЕС).

До кога трябва да уведомя КЗЛД при изтичане на данни? До 72 часа от момента, в който сте разбрали, ако има риск за засегнатите хора.

Първата стъпка

Не започвайте с поръчка на нова политика за поверителност. Започнете с телефона си. Отворете Viber, имейла и галерията и потърсете снимки на паспорти. Броят ще ви каже повече за GDPR в агенцията ви, отколкото който и да е документ.

После направете списъка от първата точка на чеклиста. Един следобед е достатъчен.

GDPR не е проект с край. Той е навик: данните на клиента стоят на едно място, всеки вижда само каквото му трябва и нищо не се пази „за всеки случай“. Когато системата ви е подредена така, съответствието идва почти само. Ако искате да видите как изглежда това в tibs ERP - със сървъри в ЕС и всички данни на клиента на едно място - пишете ми.