Po dokončení přenosu musí být kopie smazány nebo skartovány. Jediný dokument, který je možné si ponechat, je potvrzení o přenosu generované samotným portálem Alloggiati Web. To se uchovává pět let jako doklad o splnění zákonné povinnosti.

Garante v oznámení popisuje praxi, která se dle úřadu rozšířila zejména u menších provozovatelů (B&B a penziony). Recepční fotí občanské průkazy hostů smartphonem, případně si je nechávají posílat přes WhatsApp. Tyto kopie pak končí v osobních zařízeních, ve sdílených složkách bez kontroly přístupu nebo v nezašifrovaných cloudových úložištích, kde představují snadný cíl pro útočníka.

Z hlediska GDPR (čl. 6) jde o zpracování bez právního titulu. Z hlediska čl. 32 jde o porušení povinnosti zajistit přiměřenou úroveň zabezpečení osobních údajů – fotografie občanského průkazu v telefonu zaměstnance, který ho ztratí v autobuse, je modelový příklad bezpečnostního incidentu, který by měl podle čl. 33 GDPR být do 72 hodin oznámen dozorovému úřadu.

Kopie občanského průkazu obsahuje kombinaci údajů, která útočníkům výrazně zjednodušuje identitní zneužití: jméno, datum narození, číslo dokladu, fotografii a adresu trvalého bydliště. Při napadení malých provozovatelů byly v posledních měsících v Itálii zaznamenány případy, kdy útočníci s těmito kopiemi otevírali účty u poskytovatelů online služeb na cizí jméno, žádali o úvěry nebo zneužívali podpisy v digitálních smluvních procesech. Garante z tohoto důvodu apeluje, aby se data tohoto typu zpracovávala v co nejomezenějším rozsahu a po nejkratší možnou dobu.

Garante v oznámení připomíná dvě související povinnosti. Provozovatelé musí proškolit zaměstnance, aby věděli, jaké úkony s osobními údaji smí provádět – zejména je nutné jasně sdělit, že fotografie přes osobní telefon nebo zasílání přes mainstreamové komunikační aplikace (WhatsApp, Messenger) není přípustný postup. V případě bezpečnostního incidentu (například ztráta zařízení obsahujícího kopie občanských průkazů) je třeba do 72 hodin podat oznámení Garante a v případech, kdy je vysoké riziko pro práva subjektů údajů, informovat i samotné dotčené hosty.

Tuzemský právní rámec není identický s italským (povinnost přihlašovat zahraniční hosty se v ČR řeší jinak), ale principiální dopad sdělení Garante platí univerzálně. Provozovatelé ubytovacích zařízení by si měli ověřit, zda neuchovávají kopie občanských průkazů hostů déle než je nezbytně nutné, zda jsou tyto kopie šifrované, zda k nim mají přístup pouze oprávnění zaměstnanci a zda je nastaven proces jejich likvidace. Zvláštní pozornost si zaslouží malé provozovny, kde tradičně chybí dokumentace zpracování i jasně definované role.

Italské sdělení tak může posloužit jako materiál pro interní revizi v rámci pravidelné kontroly souladu s GDPR, kterou by každá ubytovací organizace měla provést alespoň jednou ročně.

NicFab

GDPR.it