GDPR a povinnosti cestovních kanceláří v České republice

S ohledem na skutečnost, že 25. května 2018 vstoupilo v účinnost nařízení Evropského parlamentu a Rady (EU) č. 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES, je důležité si uvědomit dopad tohoto nařízení na cestovní kanceláře. GDPR neboli Obecné nařízení o ochraně osobních údajů je legislativním opatřením Evropské unie, které má chránit osobní údaje občanů. Pro firmy a podnikatele to při nakládání s těmito informacemi a jejich zpracovávání znamená celou řadu povinností.

Cestovní kanceláří je také ten, kdo má v okamžiku uzavření smlouvy o zájezdu nebo zprostředkování spojených cestovních služeb sídlo nebo místo podnikání v jiném členském státě Evropské unie nebo v jiném smluvním státě Dohody o Evropském hospodářském prostoru a jehož činnost jakýmkoli způsobem směřuje do České republiky, a to včetně online prodeje. Tato cestovní kancelář, nezřizuje-li v České republice pobočku, může na území České republiky podnikat na základě oprávnění státu usazení k provozování cestovní kanceláře, pokud splňuje podmínky ochrany státu usazení pro případ úpadku.

GDPR se tak dotýká prakticky mnoha oblastí a ani cestovní ruch není výjimkou. Cestovní kanceláře i agentury musejí osobní údaje svých klientů nevyhnutelně distribuovat svým partnerům, a to i v zahraničí. Bez toho by nebylo možno už z podstaty službu realizovat. Implementace GDPR do firemních procesů je tak absolutně nezbytná.

Zpracování osobních údajů zákazníka a spolucestujících

V první řadě by tak měla přijít analýza typu informací, se kterými se v dotyčné cestovní kanceláři pracuje. V rámci distribuce informací v mezinárodním měřítku je pak potřeba dodržet primárně dvě klíčové zásady. Jsou jimi přiměřenost a transparentnost. Zásadně tak platí, že šířit je potřeba jen ty informace, u kterých je to nezbytně nutné a potřebné pro realizaci záměru tzn. pro organizaci zájezdu. Dále je nutné zcela otevřeně klienta cestovní kanceláře či agentury informovat o tom, co se s jeho osobními údaji stane a kdo k nim bude mít přístup. Nejschůdnější cestou, jak tato pravidla obsáhnout, proto jednoznačně je vhodná úprava všeobecných obchodních podmínek.

V případě třetích zemí, tzn. států nepatřících do EU, na které se GDPR nevztahuje, platí v první řadě stále již zmiňovaná informační povinnost vůči klientovi. Navíc by ho měla odkázat na odpovídající opatření o ochraně osobních údajů, která obdobně v této zemi platí. Alespoň pokud tedy takováto právní úprava existuje.

Nakládání s osobními údaji se řídí platnými právními předpisy, zejména Nařízením Evropského parlamentu a Rady č.2016/679 ze dne 27. 4. 2016. Informace nám slouží především k tomu, abychom Vám dokázali nabídnout lepší služby co nejvíce odpovídající tomu, co hledáte. Abyste mohli při komunikaci vhodně oslovit, identifikujeme z Vámi vyplněných údajů i Vaše pohlaví. Tyto osobní údaje zpracováváme na základě Vašeho souhlasu se zpracováním osobních údajů a zasíláním obchodních sdělení a uchováváme po dobu 5 let.

Objednáte-li si u nás zájezd či jinou službu, potřebujeme od Vás údaje nutné pro vyřízení Vaší objednávky a splnění zákonných povinností. Všechny tyto osobní údaje zpracováváme pouze po zákonem stanovenou dobu, případně po dobu nezbytně nutnou k vyřízení Vaší objednávky. Vaše data bedlivě střežíme a chráníme je v maximální možné míře.

Práva zákazníků v souvislosti s GDPR

• Právo na přístup k informacím: Zákazník má právo vědět, jaké údaje o něm cestovní kancelář zpracovává, proč a po jak dlouhou dobu, jak jsou archivovány a komu jsou předávány.
• Právo na změnu: Pokud se zákazník domnívá, že osobní údaje, které o něm cestovní kancelář zpracovává, jsou chybné, neúplné nebo neaktuální, má právo požádat o jejich opravu.
• Právo na výmaz údajů: Na žádost zákazníka cestovní kancelář data z databáze kompletně smaže.
• Právo podat stížnost: Pokud se zákazník domnívá, že cestovní kancelář s jeho osobními údaji nezachází tak, jak by měla ze zákona, má právo podat stížnost u Úřadu pro ochranu osobních údajů.

Povinnosti cestovní kanceláře

V rámci koncese cestovní kancelář může rovněž nabízet a prodávat jednotlivé služby cestovního ruchu, organizovat kombinace služeb cestovního ruchu a nabízet je a prodávat jiné cestovní kanceláři za účelem jejího dalšího podnikání. Cestovní kancelář může také zprostředkovávat prodej jednotlivých služeb cestovního ruchu pro jinou cestovní kancelář nebo cestovní agenturu, případně pro jiné osoby (dopravce, pořadatele kulturních, společenských a sportovních akcí apod.) Při zprostředkování prodeje zájezdu pro jinou cestovní kancelář je smlouva o zájezdu uzavírána jménem cestovní kanceláře, pro kterou je zájezd zprostředkováván.

Bezprostředně po uzavření smlouvy o zájezdu cestovní kancelář musí zákazníkovi vydat potvrzení o zájezdu podle § 2525 odst. 1 nebo 2 občanského zákoníku. Nejpozději sedm dnů před zahájením zájezdu pořadatel zákazníkovi vhodným způsobem doručí další podrobné a pro zákazníka důležité údaje o všech skutečnostech, které zná, nejsou-li již obsaženy ve smlouvě nebo v potvrzení o zájezdu, anebo v katalogu, který zákazníkovi předal. Takovýmito důležitými údaji jsou zejména informace o plánovaných časech odjezdu, popřípadě o lhůtách pro odbavení, plánovaných časech zastávek, dopravním spojení a příjezdu.

V průběhu trvání pojištění cestovní kancelář bez zbytečného odkladu zajistiteli oznámí změnu pojistného rizika, zejména zvýšení tržeb z prodeje zájezdů nebo zvýšení tržeb za spojené cestovní služby nad výši, kterou cestovní kancelář sdělila před uzavřením smlouvy.

U zájezdů, jejichž součástí je i letecká přeprava, je cestovní kancelář povinna zveřejnit bezpečnostní pravidla a omezení, která se vztahují na přepravu osob se zdravotním postižením a osob s omezenou schopností pohybu a orientace, jakož i jakákoli omezení jejich přepravy nebo přepravy jejich vybavení pro mobilitu z důvodu velikosti letadla. Pokud cestovní kancelář oprávněně odmítne uzavřít smlouvu o zájezdu, jehož součástí je i letecká přeprava, s osobu se zdravotním postižením nebo s osobou s omezenou schopností pohybu a orientace, musí zároveň vynaložit přiměřené úsilí k tomu, aby dotyčné osobě navrhla přijatelnou alternativu. O oprávněných důvodech, které cestovní kancelář vedly k odmítnutí uzavření smlouvy o zájezdu s osobou s omezenou schopností pohybu a orientace je cestovní kancelář povinna tuto osobu okamžitě informovat.

Ke splnění povinností uvedených v přechozím odstavci cestovní kancelář musí na všech svých prodejních místech přijmout veškerá opatření, která jsou nezbytná k přijetí oznámení od osob se zdravotním postižením nebo osob s omezenou schopností pohybu a orientace o potřebě pomoci. Obdrží-li cestovní kancelář takové oznámení do 48 hodin před zveřejněným časem odletu, předá informaci o potřebě pomoci alespoň 36 hodin před zveřejněným časem odletu řídícímu orgánu letiště odletu, příletu a tranzitu a provozujícímu leteckému dopravci. Pokud rezervace nebyla uskutečněna prostřednictvím tohoto dopravce, a pokud provozující letecký dopravce není v okamžiku oznámení znám, předá se mu informace, jakmile to bude možné.

Cestovní kancelář je povinna své zákazníky informovat o totožnosti provozujícího leteckého dopravce již při uzavírání smlouvy o zájezdu nebo, v případě, že prodává pouze jednu službu cestovního ruchu (letenku), při rezervaci letu. Pokud není totožnost provozujícího leteckého dopravce v době rezervace dosud známa, cestovní kancelář zajistí, že cestující je informován o jménu či jménech leteckého dopravce či dopravců, kteří budou příslušný let nebo lety pravděpodobně provozovat. Pokud dojde ke změně provozujícího leteckého dopravce či dopravců po provedení rezervace, přijme cestovní kancelář bez ohledu na důvod změny okamžitě veškerá nezbytná opatření, aby byl cestující o změně informován co nejdříve.

Informace o zpracování osobních údajů

Cestovní kancelář zpracovává a uchovává OÚ za podmínek stanovených platnou právní úpravou, zejména v souladu s ustanovením čl. 6 odst. 1 Nařízení, k těmto zákonným účelům: pro uzavření a plnění smlouvy o zájezdu/potvrzení o zájezdu, smlouvy o poskytnutí služeb cestovního ruchu, resp. pro provedení opatření přijatých před uzavřením smlouvy na žádost SÚ. Pokud by SÚ tyto osobní údaje neposkytl, pak by nebylo možné smlouvu uzavřít. OÚ budou zpracovávány pro zajištění služeb cestovního ruchu pro SÚ. Zákazník jako SÚ je srozuměn, že jeho OÚ budou v nezbytném rozsahu poskytnuty ke zpracování dalším subdodavatelům služeb, kteří jsou součástí realizace zájezdu (např. OÚ budou zpracovávány po dobu nezbytně nutnou pro plnění závazku a zajištění vzájemných práv a povinností cestovní kanceláře, pro účely oprávněného zájmu cestovní kanceláře a pro plnění právních povinností po dobu stanovenou příslušnými předpisy, např. zákona o účetnictví, o archivnictví.

OÚ SÚ jsou zpracovávány automatizovaně v elektronické formě v zabezpečeném úložišti a manuálně pracovníky cestovní kanceláře, přičemž OÚ jsou uchovávány v zabezpečené místnosti. Správce i zpracovatel jsou zavázáni přijmout taková technická, organizační a personální opatření, aby byly splněny základní zásady ochrany OÚ, zejména zaheslování počítačů, ve kterých se OÚ zpracovávají, uzamykání OÚ v tištěné podobě do uzamykatelných skříní, zpracování OÚ pouze odpovědnými osobami, proškolenými jak s OÚ nakládat, a zavázanými zachovávat mlčenlivost o všech skutečnostech, o nichž se dozvědí v souvislosti s poskytováním služeb. OÚ budou dále zpracovávány dalšími zpracovateli: právní poradci, účetní služby - zpracování účetnictví, daňoví poradci, dodavatelé služeb cestovního ruchu, např. Pro případ předání OÚ zpracovateli do třetích zemí - mimo EU - jsou určeny standardní smluvní doložky, které jsou přílohou Rozhodnutí Komise ze dne 05. února 2010 o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích, které má Správce uzavřeny. Při zpracování OÚ nebude docházet k automatizovanému rozhodování či profilování.

Zákazník má právo:

• požadovat od cestovní kanceláře přístup k osobním údajům týkajících se jeho osoby, jejich opravu nebo výmaz, popř. může požadovat omezení zpracování svých osobních údajů, vznášet námitky proti zpracování osobních údajů, jakož i práva na přenositelnost údajů.
• požadovat, aby cestovní kancelář omezila zpracování jeho osobních údajů, pokud (i) zákazník popírá přesnost svých osobních údajů, a to na dobu potřebnou k tomu, aby správce ověřil přesnost jeho osobních údajů; zpracování jeho osobních údajů bylo protiprávní, ale nepožádá o výmaz osobních údajů, ale o omezení jejich použití; cestovní kancelář již nepotřebuje jeho osobní údaje pro účely zpracování, ale zákazník je požaduje pro určení, výkon nebo obhajobu svých nároků; nebo zákazník vznesl námitku proti zpracování svých osobních údajů, a to do doby než bude ověřeno, zda oprávněné důvody cestovní kanceláře převažují nad oprávněnými důvody zákazníka. Pokud bylo omezeno zpracování osobních údajů zákazníka, mohou být jeho údaje zpracovány, s výjimkou uložení, pouze s jeho souhlasem.
• právo podat stížnost u dozorového orgánu, kterým je Úřad pro ochranu osobních údajů.
• získat od cestovní kanceláře kdykoliv potvrzení, že jeho osobní údaje jsou zpracovávány, a pokud tomu tak je, je cestovní kancelář povinna mu na žádost poskytnout následující informace a vydat mu kopii zpracovávaných osobních údajů, účel zpracování kategorie osobních údajů, které zpracovává, příjemci nebo kategorie příjemců, kterým jeho osobní údaje byly nebo budou zpřístupněny, plánovaná doba, po kterou budou jeho osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá ke stanovení této doby; existence práva požadovat od správce opravu nebo výmaz osobních údajů týkajících se zákazníka nebo omezení jejich zpracování a vznést námitku proti tomuto zpracování, právo podat stížnost u dozorového úřadu, skutečnost, že dochází k automatizovanému rozhodování, včetně profilování.
• získat své osobní údaje, které cestovní kancelář zpracovává, ve strukturovaném, běžně používaném a strojově čitelném formátu, a tyto předat jinému správci osobních údajů, pokud je zpracování osobních údajů zákazníka založeno na souhlasu se zpracováním osobních údajů, nebo zpracování se provádí automatizovaně.

Dodatek ustanovení týkající se ochrany osobních údajů k všeobecným obchodním podmínkám cestovní kanceláře IveRia TRAVEL s.r.o.

1. Zpracování osobních údajů zákazníka a spolucestujících

• Všechny osobní údaje budou uloženy pouze po dobu stanovenou zákonem, případně po dobu nezbytně nutnou.
• Pro účely plnění smlouvy o zájezdu budou informace uvedené v čl. 1.1. v nezbytném rozsahu poskytnuty též dodavatelům cestovní kanceláře (zejména kempům, přepravním společnostem, delegátům). Identifikační údaje o těchto dodavatelích jsou uvedeny zejména ve smlouvě o zájezdu, pokynech k zájezdu, případně je obdrží zákazník nejpozději během zájezdu.
• Zákazník bere na vědomí, že cestovní kancelář je v rozsahu a za podmínek stanovených platnými právními předpisy povinna předat osobní údaje zákazníka pro účely stanovené zákonem.
• Obchodní sdělení je cestovní kancelář oprávněna zasílat formou SMS, MMS, elektronické pošty, poštou či sdělovat telefonicky. V tomto případě nebude cestovní kancelář zákazníkovi dále zasílat obchodní sdělení, ani jinak zpracovávat jeho osobní údaje zákazníka pro účely přímého marketingu.
• Zákazník může souhlasit, zejména s tím, že cestovní kancelář bude pořizovat fotografie a videozáznamy jeho osoby během zájezdu a k použití těchto fotografií v rámci propagačních materiálů cestovní kanceláře, a to jak v hmotné podobě, tak na webových stránkách.
• Výše uvedená ustanovení čl. 1 platí přiměřeně i ve vztahu k osobám, v jejichž prospěch zákazník smlouvu o zájezdu uzavřel (spolucestující). Uzavřením smlouvy o zájezdu zákazník prohlašuje, že je oprávněn souhlasy za spolucestující osoby udělit, a to ať už na základě smluvního či jiného zastoupení.

Pasové a vízové požadavky

Byť by bylo možné o této diskriminační povaze právní úpravy (při zohlednění textace a smyslu citované směrnice) hlouběji diskutovat, není toto s ohledem na znění ustanovení občanského zákoníku jako soukromoprávního a později účinného právního předpisu potřebné. A to proto, že ustanovení § 2524 občanského zákoníku zakotvuje povinnost pořadatele zájezdu sdělit před uzavřením smlouvy vhodným způsobem údaje o pasových a vízových požadavcích (obecně) zákazníkovi. Dotčené ustanovení § 2524 občanského zákoníku se tak aplikačně neomezuje pouze na české občany, nýbrž stanoví tuto informační povinnost absolutně pro všechny zákazníky. Pokud je tedy pro aplikaci daného ustanovení otázka státního občanství konkrétního zákazníka irelevantní, platí přesný opak pro provozovatele cestovní kanceláře, který se - chce-li s dotyčným zákazníkem uzavřít smlouvu o zájezdu - jakožto podnikatel stává plně odpovědným za to, že svoji informační povinnost úplně a řádně splnil.

Aby mohla být informační povinnost cestovní kanceláře plněna, je nasnadě otázka (např. v situaci, kdy zákazník perfektně hovoří česky), zda může být provozovatel cestovní kanceláře odpovědný za to, že se aktivně zájemce o koupi zájezdu - s ohledem na své zacílení na českou klientelu - na jeho státní občanství nedotazuje. V praxi je totiž informační povinnost stran vízových a pasových povinností plněna odkazem na podkladové materiály zájezdu, které obsahují informace o pasových a vízových povinnostech výhradně pro české občany.

Vzhledem k tomu, že občanský zákoník zakotvuje povinnost pořadatele zájezdu plnit stanovenou informační povinnost je patrno, že zákonodárce předpokládá neznalost zákazníka o pasových a vízových požadavcích transferové či cílové destinace jakož i neznalost jeho povinnosti opatřit si příslušné zdravotní doklady. Pořadatel zájezdu, jakožto osoba zavazující se zajistit bezvadnou realizaci zájezdu, je proto vždy povinen tyto skutečnosti aktivně od zákazníka zjišťovat, a to bez ohledu na to, že jiným než „českým zákazníkům“ nemíní poskytované služby nabízet. Pouze tímto postupem je možné vyhnout se případné odpovědnosti za vady zájezdu spočívající ve zmaření popřípadě pouze zkrácení dovolené, kdy může být pořadatel zájezdu povinen k náhradě újmy za narušení dovolené ve smyslu ustanovení § 2543 občanského zákoníku.