Ar kelionių agentūros laikosi GDPR taisyklių?

Ar kelionių agentūros laikosi GDPR taisyklių? – išsamus atsakymas į šį klausimą

Kelionių agentūrų veikla tiesiogiai susijusi su dideliu asmens duomenų apdorojimu. Todėl svarbu žinoti, ar tokios įmonės laikosi Europos Sąjungos Bendrojo duomenų apsaugos reglamento (GDPR) nuostatų. Šiame straipsnyje pateikiama išsami informacija apie kelionių agentūrų duomenų tvarkymą, GDPR reikalavimus bei praktinius patarimus, kaip patikrinti, ar jūsų pasirinkta agentūra gerbia asmens privatumą ir laikosi aktualių teisinių normų.

Kas yra GDPR ir kodėl jis svarbus kelionių agentūroms?

GDPR – tai Europos Sąjungos reglamentas, skirtas užtikrinti fizinių asmenų asmens duomenų apsaugą bei jų teisę kontroliuoti savo duomenis. Šis teisės aktas galioja visoms įmonėms, kurios renkasi, tvarko ar naudoja ES piliečių asmens duomenis.

Kelionių agentūros rinkdamos klientų duomenis – tokius kaip vardas, pavardė, asmens kodas, kontaktinė informacija, mokėjimų duomenys, kelionės istorija – privalo laikytis GDPR reikalavimų. Tai užtikrina, kad Jūsų duomenys bus tvarkomi teisėtai, skaidriai ir saugiai.

Kaip kelionių agentūros dažniausiai tvarko asmens duomenis?

Kelionių agentūros tvarko įvairius asmens duomenis, reikalingus sutartims sudaryti ir paslaugoms suteikti. Dažniausiai tvarkomi duomenys apima:

• Identifikaciniai duomenys: vardas, pavardė, gimimo data, dokumentų numeriai (pasas, asmens tapatybės kortelė);
• Kontaktinė informacija: telefono numeris, el. paštas, adresas;
• Mokėjimų duomenys: banko sąskaitos, mokėjimo kortelių informacija, atsiskaitymo istorija;
• Kelionės duomenys: kelionių maršrutai, bilietų, viešbučių užsakymo informacija;
• Sveikatos duomenys: kai kuriais atvejais, pvz., specialių poreikių, medicininių apribojimų atskleidimas.

Visi šie duomenys yra jautrios informacijos dalis, todėl neteisėtas jų tvarkymas gali sukelti rimtų teisinių pasekmių.

GDPR reikalavimai kelionių agentūroms

Kad kelionių agentūra būtų GDPR atitinkanti, ji privalo vykdyti keletą pagrindinių reikalavimų:

• Teisėtas ir skaidrus duomenų tvarkymas: agentūra turi aiškiai nurodyti, kokiu tikslu renkama kiekviena duomenų kategorija. Pvz., duomenys renkami kelionės užsakymui, mokėjimų apdorojimui ar rinkodarai;
• Minimalumo principas: renkama tik tiek duomenų, kiek reikalinga paslaugai suteikti;
• Duomenų subjektų teisės: klientai turi teisę susipažinti su savo duomenimis, juos taisyti, reikalauti ištrynimo ar apribojimo;
• Sutikimas: jeigu duomenys tvarkomi sutikimo pagrindu (pvz., reklamai ar naujienlaiškiams), agentūra privalo aiškiai informuoti apie sutikimo davimą ir suteikti galimybę jį atšaukti;
• Duomenų apsauga: privalomi techniniai ir organizaciniai priemonių taikymas duomenų saugumui užtikrinti (šifravimas, prieigos kontrolė, audito žurnalas);
• Duomenų tvarkymo sutartys: jei agentūra perduoda duomenis trečiosioms šalims (pvz., aviakompanijoms, viešbučiams), būtina sudaryti GDPR reikalavimus atitinkančias sutartis;
• Pranešimas apie duomenų pažeidimus: įvykus saugumo incidentui, agentūra privalo informuoti priežiūros instituciją ir paveiktus asmenis per 72 valandas.

Ar kelionių agentūros praktikoje laikosi GDPR?

Dauguma profesionalių kelionių agentūrų, veikiančių ES rinkoje, aktyviai siekia atitikti GDPR reikalavimus. Jos įdiegia reikalingas duomenų apsaugos priemones, apmoko darbuotojus ir reguliariai tikrina atitiktį teisės aktams. Tačiau realybėje pasitaiko ir nusižengimų, kuriuos gali lemti tiek agentūros vidinės tvarkos stoka, tiek žinių trūkumas.

Dažniausios problemos, susijusios su GDPR laikymusi kelionių agentūrose:

• Neaiškus informavimas: klientai dažnai negauna pakankamai informacijos apie tai, kaip jų duomenys bus tvarkomi;
• Duomenų saugumo spragos: pasitaiko atsitiktinių duomenų nutekėjimų ar prieigos neprenumeruotiems asmenims;
• Identifikavimo ir sutikimų dokumentacijos trūkumai: netinkama ar trūkstama įrodymų bazė, patvirtinanti, kad klientai suteikė teisėtą sutikimą;
• Rinkodaros kanalų valdymas: kai kurios agentūros siunčia reklamą be aiškaus sutikimo ar galimybės atsisakyti;
• Trečiųjų šalių kontrolė: perduodama klientų duomenų partneriams (pvz., aviakompanijoms, viešbučiams) be tinkamos priežiūros ar duomenų tvarkymo sutarčių.

Dėl minėtų priežasčių klientams rekomenduojama atidžiai įvertinti kelionių agentūros privatumo politiką ir duomenų tvarkymo praktiką prieš užsakant paslaugas.

Kaip patikrinti, ar kelionių agentūra laikosi GDPR?

Yra keletas būdų, kaip klientas gali įsitikinti, ar jo pasirinkta kelionių agentūra laikosi GDOR:

• Patikrinkite privatumo politiką: ji turi būti aiški, lengvai prieinama internetiniame puslapyje ar sudedamojoje sutarties dalyje. Joje turi būti nurodyta, kokius duomenis agentūra renka, kokiais tikslais, kokios yra jūsų teisės ir kaip jas galite įgyvendinti;
• Kreipkitės į agentūrą: užduokite klausimus apie duomenų saugumą ir apdorojimą. Agentūra privalo pateikti informaciją apie jūsų duomenų tvarkymą;
• Vertinkite sutikimų valdymą: jei agentūra siunčia naujienlaiškius ar reklamas, patikrinkite, ar suteikiama galimybė lengvai atsisakyti tokių žinučių;
• Peržvelkite sutartis: prieš sudarant sutartį, atkreipkite dėmesį į skyrius, susijusius su asmens duomenų apsauga ir tvarkymu;
• Ieškokite sertifikatų ar atestacijų: kai kurios agentūros turi ISO 27001 sertifikatą ar kitus atitikties įrodymus, garantuojančius aukštą duomenų saugumo lygį;
• Pasitarkite su duomenų apsaugos inspekcija: Lietuvos Respublikos Valstybinės duomenų apsaugos inspekcijos svetainėje galite rasti informacijos apie dažniausiai pasitaikančius pažeidimus kelionių sektoriuje bei rekomendacijas.

Veiksmai, kurių imasi kelionių agentūros, norėdamos atitikti GDPR

Norint tinkamai laikytis GDPR, kelionių agentūros dažniausiai imasi šių priemonių:

• Privatumo politikos atnaujinimas: ji pritaikoma prie naujų teisės aktų reikalavimų ir pateikiama klientams aiškiai ir suprantamai;
• Darbuotojų mokymai: reguliarios apmokymo programos apie asmens duomenų apsaugos principus ir praktinius atvejus;
• Duomenų apsaugos pareigūno (DPO) paskyrimas: atsakingas asmuo, užtikrinantis, kad įmonė laikytųsi GDPR reikalavimų;
• Duomenų tvarkymo sutartys su partneriais: oficialūs susitarimai, apribojantys partnerių duomenų tvarkymo veiksmus;
• Techninės apsaugos priemonės: saugus serverių valdymas, duomenų šifravimas, reguliarūs saugumo audito patikrinimai;
• Duomenų tvarkymo poveikio vertinimas (DPIA): atliekamas, jei tvarkymas yra didelės rizikos, pavyzdžiui, apimantis sveikatos duomenis ar sistemingą stebėjimą;
• Incidentų valdymo sistemos kūrimas: skubių duomenų pažeidimų atveju mažina žalą ir atitinka pranešimo privalomumą.

Kliento teisės kelionių agentūros atžvilgiu pagal GDPR

Jūs turite keletą svarbių teisių, kurių agentūra privalo laikytis:

• Teisė susipažinti su savo duomenimis: galite prašyti informacijos apie tvarkomus duomenis ir jų paskirtį;
• Teisė taisyti netikslius duomenis: žinomi duomenų netikslumai privalo būti ištaisyti per pagrįstą laiką;
• Teisė būti pamirštam: galite reikalauti ištrinti duomenis, jei jie nebenaudojami tikslingai ar tvarkomi neteisėtai;
• Teisė apriboti duomenų tvarkymą: ypatingais atvejais galite reikalauti laikinai sustabdyti duomenų naudojimą;
• Teisė į duomenų perkėlimą: turite teisę gauti savo duomenų kopiją standartizuotu formatu ir perduoti juos kitam tiekėjui;
• Teisė prieštarauti duomenų tvarkymui: jei duomenys tvarkomi rinkodarai ar kitais atvejais, galite reikšti nepritarimą;
• Teisė atšaukti sutikimą: bet kada galite atšaukti ankstesnį sutikimą, jei tvarkymas buvo vykdomas remiantis juo.

Svarbu, kad jūsų prašymai būtų įgyvendinami per nustatytas GDPR terminų ribas, dažniausiai per vieną mėnesį.

Ką daryti, jei manote, kad kelionių agentūra negerbia jūsų duomenų?

Jei pastebite, kad agentūra nesilaiko GDPR reikalavimų, rekomenduojama:

• Kreiptis į agentūrą raštu: išreikškite savo rūpestį, prašykite paaiškinimų ar savo teisių įgyvendinimo;
• Pasitarti su duomenų apsaugos specialistu: jei reikia, galite gauti profesionalią pagalbą dėl tolimesnių veiksmų;
• Pateikti skundą Valstybinei duomenų apsaugos inspekcijai (VDAI): ši institucija tiria praneštus pažeidimus ir gali skirtie nuobaudas;
• Pasvarstyti teisminę atsakomybę: ypač jei dėl duomenų tvarkymo netinkamumo patyrėte žalos.

Valstybinė duomenų apsaugos inspekcija aktyviai prižiūri GDPR laikymąsi ir publikuoja rekomendacijas kelionių verslui.

Dažniausiai kelionių agentūrose taikomi duomenų apsaugos metodai

Kelionių agentūros, siekdamos sumažinti rizikas, dažniausiai naudoja šiuos sprendimus:

• Duomenų šifravimas: svarbių duomenų bazėje ir komunikacijoje naudojamas šifravimas (pvz., SSL sertifikatai tinklalapyje);
• Vartotojų prieigos kontrolė: tik įgalioti darbuotojai gali matyti ir tvarkyti klientų duomenis;
• Autentifikavimo mechanizmai: daugelyje sistemų taikomi stiprūs slaptažodžiai, dviejų veiksnių autentifikacija (2FA);
• Reguliarūs duomenų saugumo auditai: techninių ir organizacinių priemonių patikrinimas užtikrina nuolatinį GDPR atitikimą;
• Duomenų atsarginių kopijų darymas: siekiama išvengti informacijos praradimo dėl techninių gedimų ar kibernetinių atakų;
• Duomenų minimalizavimas: saugomi tik būti būtini duomenys, kad sumažintų riziką;
• Darbuotojų privatumo mokymai: ugdo supratimą apie duomenų svarbą ir tvarkymo taisykles.

Interneto svetainės ir GDPR kelionių agentūrose

Internetinis kelionių paslaugų užsakymas yra itin populiarus, tad agentūros turi užtikrinti, kad jų svetainės būtų GDPR atitinkančios. Tai reiškia:

• Sutikimo valdymo įrankiai (Cookie Consent): vartotojas turi teisę pasirinkti, kokius slapukus leidžia rinkti;
• Aiški privatumo politika: tinklalapyje lengvai pasiekiama ir suprantama informacija apie duomenų rinkimą;
• Saugaus („https“) ryšio užtikrinimas;
• Formų apsauga: užsakymų ir registracijos formos turi būti apsaugotos nuo duomenų praradimo ar neteisėtos prieigos;
• Galimybė valdyti sutikimą su rinkodaros žinutėmis;
• Žmonių teisės įgyvendinimas online režimu: galimybė pateikti užklausas dėl duomenų atnaujinimo ar ištrynimo.

Reguliaciniai įrankiai ir kontrolė Lietuvoje

Lietuvoje GDPR laikymąsi prižiūri Valstybinė duomenų apsaugos inspekcija (VDAI). Ji:

• Vykdo patikrinimus kelionių agentūrose ir kitose įmonėse;
• Pateikia rekomendacijas dėl duomenų apsaugos;
• Gali skirti administracines nuobaudas už pažeidimus;
• Teikia informaciją vartotojams apie jų teises.

Šiuo metu galima rasti atvejų, kai VDAI taikė sankcijas kelionių sektoriaus įmonėms už netinkamą duomenų tvarkymą, ypač dėl neaiškių sutikimų ar duomenų nutekėjimų. Tai rodo, kad reguliavimas veikia ir iš tiesų verčia agentūras griežtinti vidines duomenų apsaugos priemones.

Praktiniai patarimai klientams, renkantis kelionių agentūrą

• Perskaitykite privatumo politiką prieš užsakydami paslaugas;
• Paklauskite agentūros, kaip jie saugo jūsų duomenis;
• Naudokite agentūras, kurios siūlo aiškias duomenų apsaugos procedūras ir leidžia jums valdyti sutikimus;
• Sužinokite, kaip galite pasinaudoti savo teisėmis duomenų apsaugos srityje;
• Stebėkite agentūros elgesį – pavyzdžiui, ar jus informuoja apie svarbius pakeitimus privatumo politikoje;
• Jei kyla abejonių dėl duomenų saugumo, geriau pasirinkti kitą, patikimesnę paslaugų teikėją.

Apie GDPR laikymąsi kelionių agentūrose tarptautinėje rinkoje

Kadangi kelionių agentūros dažnai veikia tarptautiniu mastu, jos turi tinkamai laikytis ne tik ES, bet ir kitų regionų duomenų apsaugos reikalavimų, jei geležinkeliai, viešbučiai ar kiti partneriai yra už ES ribų. Tokiu atveju būtina laikytis papildomų atsargumo principų perduodant duomenis ir dažnai taikyti papildomas apsaugos priemones, atsižvelgiant į šalies reglamentus.

Naudingos nuorodos ir papildomi šaltiniai:

• Bendrasis duomenų apsaugos reglamento tekstas (GDPR) – oficiali svetainė
• Valstybinė duomenų apsaugos inspekcija (Lietuva)
• Jungtinės Karalystės duomenų apsaugos institucijos rekomendacijos dėl GDPR
• Prancūzijos duomenų apsaugos institucija CNIL – gairės ir praktinė informacija

Šie šaltiniai padės suprasti ne tik teisinius reikalavimus, bet ir realias rekomendacijas kelionių sektoriui.

Apibendrinant, kelionių agentūros, turinčios veiklą Europos Sąjungoje, privalo griežtai laikytis GDPR reikalavimų, užtikrindamos savo klientų asmens duomenų saugumą, tvarkymą teisėtai ir skaidriai. Nors dauguma įmonių vykdo šiuos reikalavimus, rinkinyje vis dar pasitaiko trūkumų. Todėl klientams rekomenduojama aktyviai domėtis privatumo politika, įgyvendinti savo teises, o esant įtarimams – kreiptis į atitinkamas institucijas.

Tinkamas jūsų asmens duomenų apsaugos užtikrinimas suteikia saugumo kelionėms ir leidžia patikimai pasitikėti kelionių agentūra, su kuria bendradarbiaujate.

Related