Punct de vedere oficial: În ce condiții pot hotelurile să prelucreze CNP-ul turiștilor

În esență, ANSPDCP a menționat, în Raportul de activitate pe 2019, că o asemenea prelucrare trebuie să țină cont atât de prevederile Regulamentul general privind protecția datelor (GDPR), cât și de Legea nr. 190/2018 (ce conține măsuri de punere în aplicare a GDPR). 

Un temei de prelucrare a CNP-ului este consimțământul persoanei vizate, care trebuie să fie liber și trebuie să poată fi retras în orice moment.

De asemenea, persoana care oferă serviciile de cazare și prelucrează CNP-ul clienților ar putea să se bazeze pe temeiul interesului legitim de a colecta CNP-ul, în asemenea situații trebuind să fie respectate și următoarele garanții:

• existența unor măsuri tehnice și organizatorice, care să permită asigurarea confidențialității și securității datelor, cât și să permită reducerea la minimum a datelor colectate;
• numirea unui responsabil pentru protecția datelor;
• stabilirea unor termene de stocare, înăuntrul cărora să aibă loc fie ștergerea, fie revizuirea scopului prelucrării, în vederea unei eventuale ștergeri;
• instruirea persoanelor care prelucrează datele (în acest caz, a persoanei care lucrează ca recepționer).

Mai există posibilitatea prelucrării CNP-ului, pentru executarea unui contract încheiat între cel care oferă cazarea și persoana cazată. De asemenea, prelucrarea s-ar putea să fie obligatorie, în temeiul legii (interne sau a Uniunii Europene).

Chiar există o obligație specifică, în acest sens, în baza Hotărârii de Guvern nr. 237/2001, cu privire la obligația turiștilor de a completa anumite fișe, la momentul cazării, și care sunt completate inclusiv pe baza actelor de identitate. De asemenea, recepționerii oricum au obligația să prelucreze CNP-ul, pentru a vedea dacă există concordanță cu informațiile completate în fișe. 

Este important pentru operatori să nu abuzeze de existența unui număr ridicat de temeiuri posibile, în abstract. De fapt, în funcție de situația specifică, s-ar putea ca nu orice temei de prelucrare să fie valabil și, oricum, odată ales un temei, operatorul nu este liber să îl schimbe, fără nicio constrângere, încercând să recurgă la o justificare subsidiară, dacă nu a prelucrat corect datele conform primului temei invocat.

Nu în ultimul rând, operatorul ce oferă cazarea trebuie să asigure, indiferent de temeiul de prelucrare, informarea turistului cu privire la prelucrare și cu privire la drepturile acestuia. De asemenea, operatorul trebuie să se asigure că prelucrează doar datele necesare atingerii scopului și că are implementate măsuri suficiente de securitate și organizaționale pentru a asigura confidențialitatea datelor.