‘AVG hoeft persoonlijke service niet in de weg te staan’

Persoonlijke service is lastig sinds de privacywetgeving AVG geldt. Want noteren dat een vaste gast bij zijn volgende bezoek graag een fles bruisend water op zijn hotelkamer heeft staan en dat diens vrouw allergisch is voor pinda’s, mag niet zomaar meer. Hoe gaan hotels hier binnen de kaders van de wet mee om?

In heel Europa geldt sinds mei 2018 de Algemene Verordening Gegevensbescherming (AVG), de wetgeving die burgers beter moet beschermen. Hoteliers kijken terug op een intensieve voorbereiding. ‘We hebben er veel geld, tijd en energie in gestoken om zo goed mogelijk voorbereid te zijn’, zegt Erik-Jan Ginjaar, directeur Postillion Hotels Nederland.

AVG Hotels

De hotelketen riep een zogenoemde roadshow – een twee uur durende training op iedere vestiging – in het leven om alle medewerkers op de hoogte te brengen van de verandering die de wetgeving met zich meebracht. ‘In een register hebben we vastgelegd hoe onze organisatie persoonsgegevens verwerkt en beschermt. Ook hebben we een verwerkingsovereenkomst moeten sluiten.’ Voor een aantal persoonsgegevens is het noodzakelijk om deze te delen met derden. ‘In ons geval de aandeelhouder.’ Om er zeker van te zijn dat die zich ook aan de AVG houdt, moest er een verwerkingsovereenkomst worden gesloten.

Ludo de Jong, hoteldirector NH Collection Eindhoven Centre spreekt op zijn beurt van een immense operatie om te voldoen aan de privacywetgeving en alle medewerkers te trainen op de veranderingen die daarmee samen gingen. Bij de hotelketen werd een speciaal AVG-team in het leven geroepen. ‘We zijn een Spaanse hotelketen, maar we hebben de AVG-regeling doorgevoerd voor de gehele hotelketen, ook voor de hotels buiten Europa. Wanneer wij vragen hebben over de AVG-regeling, dan kunnen wij contact opnemen met ons team van deskundigen in Madrid. Maar bij heel veel dingen is het gewoon logisch nadenken.’
Kan het ook met minder gegevens? Die vraag kan de hotelier zichzelf het beste stellen sinds de invoering van de AVG-wet. Vaak volstaan een naam, telefoonnummer en adres en is het niet nodig om ook andere informatie te verwerken, zoals een geboortedatum of BSN.

Kopie identiteitsbewijs

Woordvoerder Inger Sanders van Autoriteit Persoonsgegevens – de Nederlandse gegevensbeschermingsautoriteit en het zelfstandig bestuursorgaan dat in Nederland bij wet als toezichthouder is aangesteld – vertelt dat ze veel telefoontjes krijgen van mensen die in een hotel worden gevraagd om hun ID-bewijs voor een kopie. Een hotel mag geen kopie maken van een identiteitsbewijs, alleen gegevens ervan noteren. Eigenaren van hotels, campings en bed & breakfast-gelegenheden zijn wettelijk verplicht om een nachtregister bij te houden. Op grond van het Wetboek van Strafrecht moet de eigenaar de identiteit van de gast vaststellen en zijn naam, woonplaats, type identiteitsbewijs, dag van aankomst en dag van vertrek registreren. Daarnaast mag de eigenaar gegevens registreren die noodzakelijk zijn om de overeenkomst met de gast te kunnen uitvoeren. Bijvoorbeeld betalingsgegevens of speciale wensen die hij voor zijn verblijf heeft doorgegeven. De eigenaar mag het burgerservicenummer (bsn) niet registreren.
De gemeente kan een hotel vragen om de gegevens uit het nachtregister aan te leveren. Bijvoorbeeld bij de aangifte van de toeristenbelasting. In verband met eventuele controles op de toeristenbelasting van de belastingdienst, adviseert branchevereniging Koninklijke Horeca Nederland (KHN) om de gastenadministratie zeven jaar te bewaren. Wettelijk gezien is iedere ondernemer dit verplicht. Het is echter wel mogelijk om – vanuit het idee van administratieve lastenverlichting – bij de Gemeentelijke Belastingdienst afspraken te maken over kortere bewaartermijnen op individueel niveau.

Persoonlijke service

Bijkomstigheid van de AVG-wet is dat een hotel niet zomaar persoonlijke data van een gast mag bijgehouden wanneer dit enkel als doel heeft om de persoonlijke service te verbeteren. ‘Maar de AVG hoeft de gastvrijheid en het servicelevel voor gasten niet in de weg te staan’, aldus woordvoerder Inger Sanders van Autoriteit Persoonsgegevens, de Nederlandse gegevensbeschermingsautoriteit en het zelfstandig bestuursorgaan dat in Nederland bij wet als toezichthouder is aangesteld. ‘Er zijn voldoende voorbeelden te bedenken waarom niet iedereen wil dat zijn of haar gebruik van de minibar of andere faciliteiten wordt opgeslagen en wordt gebruikt bij een volgend bezoek. Uiteraard kunnen hoteliers dat gewoon doen voor gasten die dat wel prettig vinden. Maar wel nadat hen om toestemming is gevraagd. Ook mogen deze persoonsgegevens niet langer worden bewaard dan noodzakelijk en ze mogen ook niet voor een ander doel worden
gebruikt.’ Sanders legt uit: ‘Deze toestemming moet aan een aantal voorwaarden voldoen. De gast moet duidelijk aangeven dat de verstrekking van gegevens geheel vrijwillig is. Heeft een gast gegevens doorgegeven, maar bedenkt die zich later? Dan mag deze persoon zijn toestemming om zijn gegevens te gebruiken altijd intrekken.’

Creatief

‘We kunnen het niet meer opslaan zoals we dat deden’, aldus De Jong van NH Collection Eindhoven Centre. ‘Bij vaste gasten vragen we nu persoonlijk toestemming om de informatie op te slaan, met daarbij de vermelding dat we dit voor de duur van een jaar bewaren zonder commerciële doelstelling.’ Naast het persoonlijk toestemming vragen aan gasten, adviseert De Jong om extra alert te zijn wanneer een gast komt inchecken. ‘Want bij een check-in leer je al ontzettend veel. Wanneer iemand ons vertelt dat hij het weekend wil gaan golfen, dan spelen we daarop in door een mooi golfblad neer te leggen in de kamer van deze gast. Daarin zijn we heel creatief.’

Toezicht naleving AVG

De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacywetgeving. Als AP een klacht of signaal krijgt dat een horecagelegenheid zich niet aan de AVG houdt, dan bestaat er een palet aan handhavingsmogelijkheden. Woordvoerder Inger Sanders: ‘Zo bellen we vaak met organisaties, sturen we brieven met uitleg over de wet naar organisaties of branches, maar kunnen we ook een waarschuwing geven, een last onder dwangsom opleggen of uiteindelijk een boete. Een boete is nooit een doel op zich. Belangrijker is dat de bescherming van de persoonsgegevens van gasten of burgers wordt gewaarborgd.’ Wanneer een boete wel aan de orde komt, dan zijn die bedragen niet mis. Overtreedt een organisatie de AVG? Dan kan de AP een boete opleggen van maximaal 20 miljoen euro.

VIP-member

‘Persoonlijke service is lastiger geworden’, beaamt ook Eric Toren, eigenaar van driesterrenhotel Sebastian’s en het vijfsterrenhotel TwentySeven op de Dam in Amsterdam. ‘Gasten willen bij binnenkomst graag persoonlijk worden benaderd, herkend worden.’ Maar de praktijk is dat een hotel niet alle persoonlijke informatie van iedere gast kán onthouden. Dat vraagt om een nieuwe manier van werken. Eric Toren lost dat op door gasten te vragen of ze VIP-member willen worden van hotel TwentySeven. Deze VIP-gasten geven het hotel toestemming om hun persoonlijke voorkeuren te bewaren. Zo kunnen we een volgend verblijf van die gast toch prettiger maken. Gasten kunnen zelf hun wensen invullen: van de voorkeur voor een dik kussen tot een bepaald soort fruit op de kamer. Van belang is dat we deze gegevens veilig bewaren en niet delen met andere mensen.’ Ook is inzichtelijk gemaakt welke persoonsgegevens worden gebruikt, met welk doel, waar ze worden opgeslagen en wie er toegang tot de gegevens hebben.
Bart Mouter van Branchevergeniging KHN: ‘De sleutel in alles ligt natuurlijk bij de mogelijkheid dat een horecaondernemer vooraf de toestemming vraagt aan zijn gast. Het gaat dan om het moment, de vorm en de belofte die daarbij hoort. Als voorbeeld: een pannenkoekenrestaurant vraagt ouders en kind in het restaurant tijdens het wachten om mee te doen aan een tekenwedstrijd met de vermelding van geboortedatum en adres. De actie was zo geformuleerd: Als je meedoet, dan stuur ik je als restaurant een verjaardagskaart om in de week dat je jarig bent een gratis pannenkoek te komen eten. Doe je mee? Op deze manier mogen wel gegevens worden verzameld, omdat de gast weet waar zijn persoonlijke informatie voor wordt gebruikt.’ Kortom: een horecaondernemer moet kunnen aantonen dat hij toestemming heeft voor het gebruik van de persoonsgegevens en dat de gegevens op basis van die toestemming worden verwerkt.

Verantwoordelijkheid

Een hotel is verantwoordelijk voor hoe er binnen het bedrijf met persoonlijke gegevens wordt omgegaan. Een bookingssite is verantwoordelijk voor die gegevens tot het moment dat ze aan het hotel worden overgedragen. Hiervoor is ook weer een verwerkingovereenkomst nodig. Medische gegevens, etnische afkomst en seksuele voorkeur zijn bijzondere persoonsgegevens die extra gevoelig zijn voor het verwerken. ‘Maar als een gast streng gelovig is, dan is dat voor ons als hotel wel fijn om te weten’, zegt Eric Toren. ‘Want ook met die informatie kunnen we het verblijf voor de gast verbeteren. Kunst die kan worden getypeerd als pikant, wordt dan weggehaald. En als het gaat om islamitische gasten, dan halen we de alcohol uit de minibar en leggen een bidkleedje en een Koran op de kamer. Wanneer een gast kampt met allergieën, dan is dat informatie die van belang is voor ons restaurant, de bar én de kamer waarin die gast verblijft. Want als een gast een notenallergie heeft, dan schotel je hem geen pinda’s voor in de bar, verwerken we geen pinda’s in gerechten in het restaurant en doen we ze niet in de minibar. Gasten zijn bereid deze gegevens door te geven, omdat ze weten met welk doel ze worden gebruikt. Maar we gaan deze gegevens echt niet als data verkopen voor geldelijk gewin en ik deel de informatie ook echt niet met anderen. De informatie is puur om het verblijf nog aangenamer te maken.’ Anne van Eck, data privacy consultant bij Deloitte, tipt daarover in haar blog: ‘Als je transparant bent over wat er gebeurt met persoonsgegevens, dan win je het vertrouwen van je gasten en staan zij meer open voor een gesprek over ervaringen en personalisatie.’

ZWARTE LIJST
Een zwarte lijst is in de hotellerie geen onbekend fenomeen. In deze lijst komen namen en beelden te staan van hotelgasten die bijvoorbeeld vernielingen hebben aangericht of iets hebben gestolen uit een hotel. Het doel van een zwarte lijst is om collega’s te waarschuwen voor bepaalde personen. Een zwarte lijst opstellen en gebruiken is niet zomaar toegestaan. Wanneer een hotel een zwarte lijst wil aanleggen, moet in ieder geval aan drie voorwaarden worden voldaan
1. Gerechtvaardigd belang
Het hotel moet een gerechtvaardigd belang hebben bij het gebruik van een zwarte lijst. Bijvoorbeeld wangedrag of fraude bestrijden.
2. Noodzaak verwerking persoonsgegevens
De zwarte lijst moet noodzakelijk zijn. Dit houdt in dat een hotel het doel niet op een andere manier kan bereiken, die minder ingrijpend is voor de privacy van de betrokkenen. Dat zijn de mensen over wie het gaat op de zwarte lijst.
3. Zwaarwegend belang
De organisatie moet duidelijk kunnen maken waarom het bedrijfsbelang zwaarder weegt dan het privacybelang van de mensen over wie het gaat. Een hotel moet hierbij kijken naar de ernst van de vergrijpen en de gevolgen voor de personen die op een zwarte lijst staan.
4. Een hotel die een zwarte lijst wil delen met collega-ondernemers moet daarvoor onder de Uitvoeringswet AVG (UAVG) een vergunning aanvragen bij de Autoriteit Persoonsgegevens (AP). De AP houdt een register bij van verleende vergunningen. Mensen die op een zwarte lijst staan, hebben op grond van de UAVG een aantal rechten. Bijvoorbeeld het recht om inzage te vragen in hun eigen persoonsgegevens en om te vragen deze gegevens te corrigeren of verwijderen.

Bron: www.missethoreca.nl