RODO w apartamencie na wynajem: skanujesz dowody gości i trzymasz je w mailu? To prosta droga do kłopotów

Prowadzisz apartament na wynajem krótkoterminowy i prawdopodobnie nawet nie zauważyłeś, że stałeś się administratorem danych osobowych. Nie trzeba do tego spółki ani działu prawnego — wystarczy, że zbierasz dane gości, żeby ich przyjąć, rozliczyć i zabezpieczyć się na wypadek szkody. A zbierasz ich zaskakująco dużo: imię i nazwisko, e-mail, telefon, adres, dane z dowodu przy meldunku, numer karty lub potwierdzenie przelewu, tablice rejestracyjne auta na parkingu, czasem nagrania z kamery przy wejściu.

Problem w tym, że większość właścicieli trzyma to wszystko w sposób, który w razie kontroli albo skargi gościa trudno obronić: skany dowodów w skrzynce Gmail, zdjęcia paszportów na WhatsAppie, arkusz z danymi 300 gości na pulpicie laptopa bez hasła. Ten artykuł to konkretna, praktyczna ściąga — co wolno, czego nie wolno i jak w jedno popołudnie ustawić apartament zgodnie z RODO, bez prawnika i bez paniki.

Najczęstszy błąd: skanowanie i przechowywanie dowodów osobistych

To najgroźniejsza pułapka w całej branży. Mnóstwo właścicieli — zwłaszcza przy self check-inie — prosi gościa o przesłanie zdjęcia dowodu „dla bezpieczeństwa" i zostawia je sobie na zawsze w telefonie czy mailu. To praktyka, której należy unikać.

Polskie prawo (ustawa o dokumentach publicznych) zakazuje kopiowania i przechowywania kopii dokumentów publicznych — a dowód osobisty i paszport nimi są — poza przypadkami wyraźnie dozwolonymi w przepisach. Wynajem krótkoterminowy do takich przypadków nie należy. Samo zrobienie i trzymanie fotokopii dowodu „na wszelki wypadek" może zostać uznane za wykroczenie, a przy okazji jest nadmiarowym przetwarzaniem danych w rozumieniu RODO.

Co z obowiązkiem meldunkowym? To częste nieporozumienie. Jeżeli masz obowiązek rejestrować gości, potrzebujesz konkretnych danych, a nie skanu dokumentu: imienia i nazwiska, numeru PESEL lub serii i numeru dokumentu, obywatelstwa i dat pobytu — przepisujesz je do ewidencji, a dokument oddajesz. Nie musisz i nie powinieneś robić fotokopii. Więcej o samym obowiązku meldunkowym pisaliśmy osobno — tu kluczowy jest wniosek: spisz dane, nie kolekcjonuj zdjęć dowodów.

Jeśli masz dziś w telefonie albo w mailu dziesiątki zdjęć dowodów gości sprzed miesięcy — to nie jest zabezpieczenie, to zobowiązanie. W razie wycieku albo skargi odpowiadasz za każdy z tych plików. Najprostsza zgodna z prawem reakcja: usuń je.

Na jakiej podstawie w ogóle wolno Ci przetwarzać dane gościa

RODO nie zabrania przetwarzania danych — wymaga tylko, żebyś miał ku temu podstawę prawną i nie zbierał więcej, niż potrzebujesz. W apartamencie wystarczą zwykle trzy podstawy i warto wiedzieć, która do czego służy:

• Wykonanie umowy — imię, nazwisko, e-mail, telefon i dane pobytu są potrzebne, żeby w ogóle zrealizować rezerwację. Tu nie potrzebujesz zgody gościa, bo bez tych danych nie ma usługi.
• Obowiązek prawny — dane do faktury, dane do ewidencji meldunkowej, dane do rozliczenia opłaty miejscowej. Masz je przetwarzać, bo nakazuje to osobny przepis.
• Prawnie uzasadniony interes — np. zatrzymanie danych na potrzeby rozliczenia kaucji i ewentualnej szkody, albo monitoring wejścia dla bezpieczeństwa mienia.

Czego nie potrzebujesz? Osobnej „zgody na przetwarzanie danych" podpisywanej przez każdego gościa. To mit. Zgoda jest potrzebna właściwie tylko do jednej rzeczy: wysyłania marketingu (newslettera, ofert powrotnych). Jeśli chcesz budować bazę powracających gości i słać im promocje, musisz mieć ich wyraźną zgodę — i możliwość jej wycofania jednym kliknięciem.

Jak długo trzymać dane — i kiedy je kasować

„Zawsze" to zła odpowiedź. RODO wymaga, żeby dane trzymać tylko tak długo, jak jest to potrzebne do celu. W praktyce dla apartamentu oznacza to kilka różnych zegarów:

• Dokumenty księgowe i podatkowe (faktury, rozliczenia) — zgodnie z przepisami podatkowymi przez 5 lat, licząc od końca roku, w którym minął termin płatności podatku.
• Dane z rezerwacji potrzebne do ewentualnych roszczeń (reklamacja, szkoda, spór) — do upływu terminu przedawnienia roszczeń, co zwykle też oznacza kilka lat, ale nie dłużej.
• Korespondencja z gościem, czaty, zbędne notatki — po zakończeniu pobytu i rozliczeniu nie masz powodu, żeby je trzymać latami. Rób porządki.
• Nagrania z monitoringu — zasadniczo krótko, standardowo przyjmuje się maksymalnie kilka tygodni (o ile wcześniej nie są potrzebne jako dowód w konkretnej sprawie).

Najprościej raz w kwartale usiąść na pół godziny i wyczyścić: skrzynkę mailową ze starych skanów, galerię telefonu ze zdjęć dokumentów, foldery z plikami rezerwacji, których od dawna nie potrzebujesz. Mniej danych = mniejsze ryzyko i mniej pracy w razie kontroli.

Kamery i monitoring — tu łatwo przekroczyć granicę

Kamera to osobny, bardzo czuły temat, bo nagranie wizerunku również jest daną osobową. Zasady są dość jasne:

• Wolno monitorować przestrzeń wokół wejścia, podwórko, parking, korytarz techniczny — czyli obszary wspólne i zewnętrzne, pod warunkiem umieszczenia widocznej informacji, że obiekt jest monitorowany, kto jest administratorem i w jakim celu.
• Nie wolno montować kamer w samym wnętrzu wynajmowanego apartamentu — w pokoju, salonie, kuchni. Łazienka i sypialnia to już absolutne tabu, także prawnokarne.
• Ukryta kamera w środku to katastrofa: narażasz się na odpowiedzialność karną, poważne naruszenie RODO oraz natychmiastowy, trwały ban na Booking.com i Airbnb. Obie platformy traktują to jako jedno z najcięższych przewinień gospodarza.

Jeśli masz czujnik hałasu (coraz popularniejszy sposób na wyłapywanie imprez), również poinformuj o nim gościa — nawet jeśli nie nagrywa dźwięku, a jedynie mierzy poziom decybeli.

Booking, Airbnb i firma sprzątająca — kto za co odpowiada

Gdy gość rezerwuje przez portal, platforma też przetwarza jego dane — ale to nie zdejmuje z Ciebie odpowiedzialności za dane, które pobierasz do siebie (eksport rezerwacji, dane do faktury, telefon do kontaktu). W swoim „obiegu" to Ty jesteś administratorem.

Druga sprawa to osoby, którym dane udostępniasz, żeby obsłużyć pobyt: firma sprzątająca, ekipa od kluczy, zarządca, księgowa, biuro rachunkowe. Jeśli przekazujesz im dane gości (np. listę przyjazdów z nazwiskami i godzinami), powinieneś mieć z nimi ustalone, że przetwarzają je tylko w Twoim imieniu i tylko w tym celu. W przypadku biura rachunkowego czy zewnętrznego zarządcy standardem jest umowa powierzenia przetwarzania danych. To jedna kartka, a bardzo porządkuje odpowiedzialność.

Klauzula informacyjna — obowiązek, o którym prawie nikt nie pamięta

RODO wymaga, żebyś poinformował gościa, kto przetwarza jego dane, w jakim celu, na jakiej podstawie, jak długo i jakie gość ma prawa (dostęp do danych, sprostowanie, usunięcie, sprzeciw). To tzw. klauzula informacyjna — i nie trzeba jej czytać gościowi na głos. Wystarczy:

• zakładka „Polityka prywatności" na Twojej stronie rezerwacyjnej lub wizytówce,
• link do niej w potwierdzeniu rezerwacji lub w cyfrowym przewodniku po apartamencie,
• krótkie zdanie w regulaminie pobytu z odesłaniem do pełnej treści.

Jeśli masz własną stronę z rezerwacjami (a jeśli nie masz — to osobny, ważny temat, o którym dużo pisaliśmy), dopisanie polityki prywatności to pięć minut, a załatwia obowiązek wobec każdego gościa naraz.

Checklista: zgodny z RODO apartament w jedno popołudnie

1. Usuń skany i zdjęcia dowodów gości z maila, telefonu i dysku. Do meldunku spisuj dane, nie rób fotokopii.
2. Zrób porządek w danych: wywal starą korespondencję i pliki rezerwacji, których nie musisz trzymać. Dokumenty księgowe zostaw na wymagane 5 lat.
3. Zabezpiecz to, co zostaje: hasło na laptopie i telefonie, dwuskładnikowe logowanie do skrzynki, dane nie na losowym pulpicie tylko w jednym, uporządkowanym miejscu.
4. Sprawdź kamery: żadnej w środku apartamentu, tabliczka informacyjna przy monitoringu zewnętrznym, krótki okres przechowywania nagrań.
5. Dodaj politykę prywatności na stronę i link do niej w potwierdzeniu rezerwacji oraz regulaminie.
6. Uporządkuj współpracowników: ustal z biurem rachunkowym i zarządcą umowę powierzenia, przekazuj sprzątającym minimum danych.
7. Marketing tylko za zgodą: newsletter i oferty powrotne wysyłaj wyłącznie do gości, którzy wyraźnie się na to zgodzili, z opcją wypisania.

Czy naprawdę grożą za to kary?

Realnie najczęstszym źródłem problemów nie jest kontrola z urzędu, tylko skarga zirytowanego gościa — który znalazł kamerę w środku, dostał spam po pobycie albo poprosił o usunięcie danych i został zignorowany. To uruchamia postępowanie, a przy okazji ląduje w recenzji, którą przeczytają kolejni goście. Kary administracyjne za poważne naruszenia RODO potrafią być dotkliwe, ale dla małego gospodarza dużo groźniejsze na co dzień jest to, że jedna taka historia potrafi skutecznie popsuć reputację obiektu.

Dobra wiadomość jest taka, że zgodność z RODO w apartamencie to w 90% zdrowy rozsądek: zbieraj tylko to, co potrzebne, trzymaj to krótko i bezpiecznie, nie montuj kamer w środku i powiedz gościowi, co robisz z jego danymi. Pół popołudnia porządków dziś oszczędza bardzo nieprzyjemnej rozmowy jutro.