Nelle reception di tutta Europa si fotocopiano i passaporti. Per questo molti host pensano che la foto del documento sia la norma e che senza non siano «coperti». È il contrario. La legge vuole i dati del documento, non il documento stesso. Copiare una carta d’identità ceca senza un consenso dimostrabilmente libero è un’infrazione con una multa fino a 10.000 CZK e, allo stesso tempo, una violazione del principio di minimizzazione del GDPR, di cui si occupa l’Úřad pro ochranu osobních údajů (ÚOOÚ, il Garante ceco per la protezione dei dati personali).

E un consenso del tipo «altrimenti non La faccio alloggiare» non è libero.

Regola 1: sai perché raccogli ciascun dato

I dati degli ospiti non li tratti perché l’ospite te l’ha permesso, ma perché te lo impone la legge. L’evidenční kniha (registro dei soggiorni) per il comune e la domovní kniha (registro degli alloggiati) per la polizia sono obblighi di legge. La base giuridica è l’adempimento di un obbligo legale, non il consenso. La casella «acconsento al trattamento dei dati personali» nel check-in quindi non aggiunge nulla — dà solo l’impressione che l’ospite possa dire di no. Non può.

Il consenso ti servirebbe solo per qualcosa in più: ad esempio per usare la foto di un ospite a scopo promozionale. Una newsletter agli ex ospiti sui propri servizi analoghi si può inviare anche senza consenso, purché ogni messaggio offra una disiscrizione gratuita.

Regola 2: non raccogli nulla di più

Cosa puoi annotare: ciò che richiedono il registro dei soggiorni e il modulo di notifica. Nome, cognome, data di nascita, cittadinanza, indirizzo, numero e tipo di documento, numero del visto, scopo e durata del soggiorno. Cosa no: la copia o la foto del documento, il codice di identificazione personale ceco (rodné číslo), qualsiasi cosa «per sicurezza».

La conseguenza pratica per il portale del team delle pulizie, i fogli condivisi e le chat di gruppo: chi pulisce vede la data e il nome, non i numeri dei documenti. Il link al calendario iCal di Airbnb contiene le ultime quattro cifre del telefono dell’ospite, quindi non va in una chat di gruppo.

Regola 3: lo dici agli ospiti in anticipo

L’informazione su chi tratta i dati, perché, per quanto tempo e quali diritti hanno, l’ospite la riceve già al momento della raccolta dei dati. Quindi nel modulo di check-in, prima dell’invio. Non alla porta e non solo su richiesta. La richiesta di un ospite di accedere ai propri dati va evasa entro 1 mese.

Regola 4: scaduto il termine, distruggi i dati

Entrambi i registri si conservano per 6 anni dal giorno dell’ultima registrazione. Poi viene meno la base giuridica e conservare ancora i dati è di per sé una violazione. Attenzione a due trappole: il termine non decorre dalla partenza dell’ospite, ma dall’ultima registrazione nel registro; e i documenti contabili hanno termini propri, quindi una fattura con il nome dell’ospite va valutata a parte.

E se i dati trapelano

Una violazione dei dati che comporta un rischio per gli ospiti va notificata all’ÚOOÚ entro 72 ore dal momento in cui ne sei venuto a conoscenza. Non dopo aver indagato. La violazione reale più frequente per i piccoli gestori non è un hacker, ma un telefono smarrito con le foto dei passaporti nella galleria. Chi non fotografa i documenti non ha questo problema.

Il piccolo gestore e la documentazione

La valutazione d’impatto e il responsabile della protezione dei dati non ti servono. Il registro delle attività di trattamento sì — l’esenzione per le imprese fino a 250 dipendenti vale solo per i trattamenti occasionali, e la registrazione degli ospiti occasionale non è. È una pagina: quali dati, perché, a chi vengono trasmessi, per quanto tempo.

Come l’ho risolto io

L’ospite compila i dati da solo dal telefono, alla porta li confronto soltanto con il documento e non fotografo nulla. L’informativa sul trattamento fa parte del modulo. Il team delle pulizie ha un proprio portale senza i dati personali degli ospiti. I dati scaduti vengono anonimizzati automaticamente. La richiesta di un ospite di ricevere l’estratto dei propri dati è poi questione di un minuto.