Entra in vigore il registro dei viaggiatori: conservare i dati sensibili per tre anni mette a rischio la privacy | I miei diritti | Economia

L’incertezza è il tono che regna in questi giorni nel settore del turismo, dopo l’entrata in vigore del registro dei viaggiatori. Oltre a costringerli a raccogliere un enorme volume di dati personali, alcuni di natura sensibile, ci sono dubbi sull’efficacia di questo nuovo sistema nella lotta alla criminalità organizzata. Da ora in poi, sono necessarie più proprietà per raccogliere più dati sugli ospiticome il DNI, la carta bancaria, il sesso, il numero di telefono o l’e-mail e registrarli in un’applicazione accessibile alle Forze e agli organi di sicurezza dello Stato. Inoltre, dovranno conservare queste informazioni per tre anni, aumentando il rischio di fughe di informazioni e la privacy delle persone. E si aggiunge un’altra ulteriore difficoltà: sebbene il regio decreto 933/2021 sulla registrazione documentale delle società di alloggio e di noleggio di veicoli sia entrato in vigore lunedì 2 dicembre, Ancora in attesa di approvazione l’ordinanza ministeriale che dovrà chiarire alcuni aspetti chiave.

Il Ministero dell’Interno ritiene questo registro essenziale per contrastare gravi reati di terrorismo e criminalità organizzata e ha lanciato l’applicazione Ses.Hospedajes, disponibile dal 2022, attraverso la quale privati ​​e aziende devono inviare i dati dei viaggiatori. Chi è tenuto a conservare questo registro? Per società ricettive si intendono alberghi, ostelli, pensioni, affittacamere, strutture turistiche rurali o simili, campeggi e aree di sosta per camper, appartamenti, bungalow e altri alloggi simili purché di carattere turistico. All’interno delle società di noleggio di autoveicoli senza conducente, tour operator che forniscono servizi di intermediazione, comprese le piattaforme digitali.

“L’effetto immediato è il caos perché il mondo del turismo è molto ampio e atomizzato. Ci sono microimprese, semplici agenzie di viaggio di strada e grandi catene alberghiere. A tutti loro viene imposto lo stesso obbligo”, spiega. José Antonio Fernández de Alarcónsocio amministratore dello studio legale Monlex. L’avvocato insiste che finora sono stati raccolti solo cinque o sei dati essenziali, come altri paesi europei, sulla base di un decreto ministeriale del 2003. Ed è convinto che C’è una grave mancanza di conoscenza del settore. «Agli alberghi la gente non arriva alla spicciolata, di solito arrivano autobus pieni, con code enormi. Quando dici loro di compilare le sezioni, alcuni non completeranno le informazioni e altri non vorranno firmarle”, prevede.

Quali dati dovrebbero raccogliere?

I dati che le aziende turistiche devono registrare sui propri clienti sono il nome completo, il sesso, la carta d’identità o il passaporto, la nazionalità, la data di nascita, il luogo di residenza abituale e l’indirizzo completo, il numero di telefono fisso e mobile, l’indirizzo e-mail, il numero dei viaggiatori che accompagnano te e, se si tratta di un minore, il rapporto familiare. Anche informazioni sulla società di leasing o sullo stabilimento. Inoltre, è necessario includere i dati della transazione, i dati del contratto (numero di riferimento, data e firme), i dati di esecuzione del contratto (data e ora di entrata e di uscita) e anche i dati di pagamento: tipo di pagamento, identificazione del mezzo di pagamento e del suo proprietario , data di scadenza della carta e data del pagamento.

È volume di informazioni e il loro possibile uso improprio solleva preoccupazioni tra gli specialisti della protezione dei dati. “L’Agenzia spagnola per la protezione dei dati (AEPD) ha avvertito che l’interconnessione di questi database deve essere legittimata e limitata a indagini specifiche per evitare violazioni della privacy dei cittadini”, sottolinea l’avvocato. Efren Diazresponsabile dell’area tecnologia e delegato alla protezione dei dati presso lo Studio Legale Mas y Calvet.

“I dati vengono raccolti indiscriminatamente partendo dal presupposto che, in una percentuale che non conosciamo, le forze e gli organi di sicurezza dello Stato possono individuare atti criminali e tirare il filo”, critica l’avvocato. Ruth Benito, di consiglio di Elzaburu ed esperto in protezione dei dati. Da parte sua, José Antonio Fernández de Alarcón ritiene che si delega al settore una responsabilità che non spetta a lui assumersi. “La nostra industria del turismo non dovrebbe svolgere un lavoro di sicurezza, ma piuttosto di identificazione. Non possono sapere se il DNI è falso o no. Oltretutto, Se vengono richiesti più dati personali, i principi europei come la minimizzazione potrebbero essere violati.”avverte José Antonio Fernández de Alarcón.

Quale sarà l’impatto sul settore turistico?

Fin dall’inizio sono sorte domande sull’efficacia di questa misura nella lotta contro la criminalità, soprattutto se compensi la più che probabile perdita di competitività del settore del turismo, uno dei principali motori economici della Spagna. Per molte strutture, il peso burocratico sarà insostenibile: aumenterà i prezzi, rallenterà i processi e peggiorerà il servizio clienti. Potrebbero sorgere conflitti anche se, ad esempio, un cliente si rifiuta di fornire tutte le informazioni.

Le organizzazioni del settore sono disposte ad andare in tribunale. La Confederazione spagnola degli alberghi e delle strutture ricettive turistiche (CEHAT) assicura di aver chiesto al governo un maggiore dialogo per garantire la sicurezza giuridica e la vitalità del settore, ma senza una risposta soddisfacente. “Data questa mancanza di volontà politica, siamo costretti a proporre vie legali per proteggere sia gli uomini d’affari che i viaggiatori”, ha affermato il presidente, Jorge Marichal.

L’Associazione spagnola dei professionisti della privacy (APEP) sottolinea che l’impatto sarà significativo. “Le aziende devono implementare sistemi tecnologici adeguati per conformarsi allo standard, il che può generare costi aggiuntivi”, sottolineano.

Inoltre, nonostante la registrazione sia entrata in vigore, L’ordinanza ministeriale non è arrivata in tempo e dovrebbe essere pronta tra un paio di settimane. Cosa succede durante questo periodo di tempo fino allo sviluppo normativo? José Antonio Fernández de Alarcón ricorda che lo stesso Regio Decreto 933/2021, nella sua disposizione di abrogazione, prevede che l’ordinanza ministeriale del 2003 continui ad applicarsi, ma si applichi solo agli alberghi. “Le agenzie di viaggio sono in un limbo. In purezza giuridica, a loro si applicherebbe il decreto reale, ma visto che non c’è sviluppo, cosa si fa? Bene, farai quello che stavi facendo prima. La realtà è che ci sono persone che si adeguano e altre che non si adeguano. Ma Questo toglie tempo e competitività.”, conclude.

Il decreto reale potrebbe essere annullato?

Ruth Benito ricorda un precedente rilevante di una norma simile, la quale ha imposto a telecos di conservare i dati per indagare su possibili atti criminali e che la Corte di Giustizia dell’Unione Europea (CGUE) ha annullato. Si tratta della Direttiva 2006/24/CE del Parlamento Europeo e del Consiglio del 15 marzo 2006 sulla conservazione dei dati generati o trattati in relazione alla fornitura di servizi di comunicazione elettronica o di reti pubbliche accessibili al pubblico.

La direttiva annullata imponeva agli operatori di telecomunicazioni ad accesso pubblico o alle reti pubbliche di conservare i dati sul traffico, i dati sull’ubicazione e le informazioni per identificare l’utente al fine di prevenire, indagare o perseguire reati gravi. “La CGUE lo ha bocciato perché raccoglieva informazioni indiscriminate e non c’era alcuna giustificazione”, dice lo specialista, che non esclude che questo decreto reale possa finire alla Corte Costituzionale o al Lussemburgo.

Una misura di questa portata, che comporta il trattamento massiccio di dati personali, deve rispettare i principi di necessità, proporzionalità e sicurezza del Regolamento generale sulla protezione dei dati (GDPR), sottolinea l’APEP. “C’è il assenza di una valutazione d’impattoessenziale in questi casi, che ha reso impossibile determinare se il trattamento sia appropriato e proporzionato ai sensi della normativa, nonché identificare chiaramente i rischi ad esso associati e le misure organizzative e tecniche necessarie”, indica l’associazione. Un’analisi dettagliata avrebbe consentito di anticipare diverse problematiche legate a leak, sicurezza e privacy.

Il legislatore dovrebbe effettuare valutazioni d’impatto durante l’elaborazione di un regolamento relativo al trattamento dei dati personali. “Bisogna tenere presente che questi dati non saranno trattati esclusivamente dalle forze e dagli organi di sicurezza dello Stato per questo interesse pubblico che si sostiene esistente. Innumerevoli aziende e lavoratori autonomi li cureranno e dovranno trattenerli per tre anni”, avverte Ruth Benito.

Quali rischi ci sono per la privacy dei viaggiatori?

Per Efrén Díaz, le società obbligate dovranno attuare misure e protocolli di protezione dei dati più robusti. Tra i rischi che possono verificarsi ci sono quelli legati ai diritti e alle libertà, come ad es raccolta e conservazione di dati personali sensibili, che devono essere gestiti in modo appropriato. Inoltre, “l’accumulo di grandi volumi di dati personali aumenta il rischio di furto di identità in caso di violazioni della sicurezza”, avverte l’esperto, che indica anche che potrebbero verificarsi casi di perdita di controllo su come e dove vengono utilizzati i dati.

Per quanto riguarda i rischi operativi Le aziende devono garantire il rispetto di tutte le disposizioni del GDPRl’attuazione di adeguate misure di sicurezza tecniche e organizzative per proteggere i dati contro l’accesso non autorizzato e la possibile perdita o distruzione accidentale; e condurre valutazioni d’impatto per gestire i rischi durante l’intero ciclo di vita dell’elaborazione dei dati.

Cosa succede se si verifica un incidente che viola la privacy? Díaz spiega che “il “L’esposizione impropria dei dati personali può causare danni sociali e morali alle persone interessate” e ciò può portare a sanzioni e azioni legali per danni e incidere sulla reputazione delle aziende coinvolte.

Qual è l’importo delle multe?

Come sottolineano gli esperti, Esistono due regimi sanzionatori: registrazione e protezione dei dati. “L’hotel deve conservare i dati per tre anni. Se non si protegge adeguatamente questo record e le informazioni finiscono per trapelare, ciò potrebbe comportare una sanzione per la protezione dei dati, che è più elevata. O se utilizza tali informazioni per inviare pubblicità, senza aver ottenuto il consenso o se ciò non è legittimo”, ricorda Ruth Benito.

Le possibili violazioni previste dal regio decreto sono irregolarità nell’anagrafe, compresi errori o carenze nelle informazioni fornite, come dati incompleti o errati; comunicazione tardiva; la mancata registrazione o la mancata conservazione per tre anni: e l’omissione della comunicazione alla piattaforma Ses.Hospedajes, sottolinea Efrén Díaz.

Le sanzioni vanno da 100 a 600 euro in caso di infrazioni lievi e da 601 a 30.000 euro se si tratta di infrazione grave.