Wraz ze wzrostem popularności systemów przechowywania i przetwarzania danych w chmurze, informacje, które wcześniej były przechowywane lokalnie, obecnie znajdują się w centrach danych na całym świecie, co utrudnia przestrzeganie przepisów dotyczących przetwarzania danych. Suwerenność danych dla hoteli stała się krytyczną częścią strategii IT hotelu. Ale czym dokładnie jest suwerenność danych dla hoteli i co oznacza ona obecnie dla biznesu?
Branża hotelarska działa najlepiej, gdy dysponuje dużą ilością danych i preferencji gości. Branża taka jak hotelarstwo, która polega na personalizacji, nie może działać bez dobrych danych. Obecnie suwerenność danych jest wciąż nową koncepcją, która jest ważniejsza niż kiedykolwiek, zwłaszcza w obliczu rosnącej ilości danych osobowych przechowywanych w miejscach, których użytkownik nie kontroluje ani nawet w pełni nie rozumie.
Uwaga: Shiji i zespół Insights nie udzielają żadnych porad prawnych w tym artykule. Niniejszy artykuł ma charakter informacyjny i przeglądowy. Zachęcamy czytelników do współpracy z osobami odpowiedzialnymi za ochronę prywatności i/lub radcami prawnymi i doradcami w celu ustalenia, jakie środki ochrony danych powinni podjąć.
Co nowego w suwerenności danych dla hoteli w 2023 roku?
- Zwiększona kontrola nad ochroną danych
Miniony rok był świadkiem zwiększonego nacisku na ochronę danych i prywatności na całym świecie, z licznymi głośnymi naruszeniami danych i zwiększoną kontrolą regulacyjną, co wymagało bardziej rygorystycznych środków zgodności dla hoteli. - Wzmocnienie przepisów dotyczących prywatności
Przepisy dotyczące prywatności, takie jak kalifornijska ustawa o ochronie prywatności konsumentów (CCPA), brazylijska LGPD i południowoafrykańska POPI, zostały wdrożone lub zaktualizowane w różnych jurysdykcjach na całym świecie, wymagając od hoteli dostosowania swoich praktyk dotyczących danych w celu zapewnienia zgodności. - Rozszerzenie przepisów dotyczących lokalizacji danych
Kilka krajów wprowadziło lub zaostrzyło przepisy dotyczące lokalizacji danych, nakazując przechowywanie danych osobowych swoich obywateli w swoich granicach, co stanowi wyzwanie dla międzynarodowych sieci hotelowych i ich strategii przechowywania danych. - Rosnąca świadomość i oczekiwania gości
Goście stają się coraz bardziej świadomi kwestii prywatności danych i są coraz bardziej zaniepokojeni tym, w jaki sposób ich dane osobowe są gromadzone, przetwarzane i przechowywane, oczekując od hoteli wykazania się solidnymi środkami ochrony danych i przejrzystością. - Postęp technologiczny w zakresie bezpieczeństwa danych
Dostawcy technologii hotelowych wzbogacili swoje oferty o zaawansowane funkcje bezpieczeństwa danych, takie jak szyfrowanie, kontrola dostępu i dzienniki audytu, aby zapewnić ochronę danych osobowych gości. - Współpraca branżowa na rzecz ochrony danych
Stowarzyszenia i organizacje branży hotelarskiej uznały znaczenie ochrony danych i prywatności, co doprowadziło do wspólnych wysiłków na rzecz opracowania ogólnobranżowych wytycznych i najlepszych praktyk, aby pomóc hotelom w spełnieniu wymogów regulacyjnych. - Bieżące zmiany prawne i regulacyjne
Krajobraz prawny i regulacyjny otaczający suwerenność danych i prywatność wciąż ewoluuje, z ciągłymi dyskusjami, poprawkami i orzeczeniami sądowymi, które mogą wpływać na praktyki zarządzania danymi w hotelach, wymagając regularnych aktualizacji i monitorowania zgodności.
Związek między suwerennością danych, rezydencją i prywatnością
Pojęcia “suwerenności“, “rezydencji” i “prywatności” są ze sobą ściśle powiązane, jeśli chodzi o dane, ale wymagają pewnych wyjaśnień.
Rezydencja danych odnosi się do firm decydujących o lokalizacji geograficznej, w której będą przechowywane ich dane. Mogą na przykład wybrać jeden konkretny kraj ze względu na korzystne przepisy dotyczące prywatności lub niskie podatki. Przykładowo, firma z siedzibą w kraju “C” może uznać za korzystne dla swojej działalności przechowywanie danych w kraju “B”, gdzie może zaoszczędzić na niektórych kosztach. Tak więc miejscem zamieszkania danych jest kraj “B”.
Suwerenność danych w przypadku hoteli odnosi się do przechowywania danych podlegających prawu określonego kraju. Oznacza to, że muszą one być zgodne z przepisami tego kraju, takimi jak przepisy dotyczące prywatności i inne (w tym, że dane muszą być dostępne dla rządu w razie potrzeby prawnej). Tak więc w powyższym przykładzie dane byłyby dostępne i podlegałyby zasadom kraju “B”, nawet jeśli ani firma, ani klienci nie są tam zlokalizowani.
Chociaż prywatność danych jest związana z suwerennością danych i rezydencją danych, różni się tym, że prywatność to sposób ochrony danych osobowych przed niewłaściwym wykorzystaniem. W powyższym przykładzie jest to dość oczywiste, jeśli dane obywatela kraju “A” są przechowywane w kraju “B”, a kraj “B” ma bardzo łagodne przepisy dotyczące ochrony danych, może to stanowić problem dla obywatela kraju “A”. Te trzy koncepcje są zatem ściśle powiązane, ale nie takie same.
Suwerenność danych kontroluje sposób i, co ważniejsze, miejsce przechowywania danych użytkowników. Chodzi o to, że dane powinny zawsze podlegać ustawodawstwu kraju, w którym są gromadzone. Na przykład, jeśli pewne informacje o użytkowniku są gromadzone w europejskim hotelu, pierwszeństwo powinno mieć rozporządzenie UE (RODO). W branży hotelarskiej jest to szczególnie skomplikowane, ponieważ dane użytkowników mogą być łatwo tworzone w Stanach Zjednoczonych (w celu dokonania rezerwacji) i przechowywane w hotelu w Europie, tworząc szare strefy w interpretacji przepisów.
Podczas gdy europejskie przepisy RODO (ogólne rozporządzenie o ochronie danych) są często cytowane w odniesieniu do suwerenności danych, ważne jest, aby odróżnić RODO od czystej suwerenności danych. Ogólnie rzecz biorąc, wiele inicjatyw dotyczących suwerenności danych (w tym przepisy dotyczące lokalizacji danych, np. w Rosji) zostało wprowadzonych w celu zapewnienia odpowiedniej ochrony danych osobowych niezależnie od ich lokalizacji. Pomysł ten był postrzegany jako ściśle powiązany z rządami/kontrolą (ponieważ niektóre kraje wymagają, aby dane były przechowywane w ich granicach), ale może kolidować ze swobodnym przepływem wolności lub po prostu swobodnym przepływem danych (koncepcja zakorzeniona w UE).
Jeśli dane o tym, jak żyją obywatele jednego kraju, są przechowywane w innym kraju, w którym ich swobody i ochrona są inne, stanowi to poważny potencjalny problem.
RODO nie zawiera wymogów dotyczących miejsca zamieszkania danych per se, ale zamiast tego reguluje ogólnie transfery transgraniczne. Przykładowo, RODO nie zabrania transgranicznego przekazywania danych. Mimo to wymagane jest posiadanie podstawy do transferu i wdrożenie odpowiednich zabezpieczeń mających na celu zapewnienie ochrony danych osobowych bez względu na to, gdzie są przechowywane.
POWIĄZANE:
Prawdopodobnie najbardziej kontrowersyjnym aspektem suwerenności danych jest to, że dyktuje ona również sposób, w jaki rządy mogą lub nie mogą uzyskać dostępu do informacji o użytkownikach. Typowym przykładem jest ustawa Patriot Act: rząd USA ma prawo dostępu do danych przechowywanych na terytorium Stanów Zjednoczonych. Jest to podobne do Chin, które mają prawa do danych przechowywanych na swojej ziemi, a we wszystkich przypadkach jest to prawo, które rządy egzekwują w imię bezpieczeństwa narodowego. Staje się to problemem, gdy dane obywateli jednego kraju są przechowywane w innym kraju, a bezpieczeństwo narodowe nie może być egzekwowane. Stąd potrzeba wprowadzenia przepisów dotyczących suwerenności danych.
Suwerenność danych dla hoteli – problem polityczny?
Chociaż temat suwerenności danych ma wiele wspólnego z polityką i public relations, jest to przede wszystkim kwestia ochrony danych osób i firm przed niewłaściwym wykorzystaniem. Poza polityką i prasą, powodem, dla którego suwerenność danych jest ważna, jest to, że obywatele i firmy żyją i działają w swoim kraju i przestrzegają prawa, korzystają ze swobód i ochrony, które wiążą się z życiem lub działaniem w ich kraju.
Te wolności i zabezpieczenia są znane obywatelom i firmom, które mogą działać z przewidywaniem, ponieważ mają dostęp do swoich praw. To, co robią i jak żyją, jest dostosowane do tych wolności i ochrony, które są znane obywatelom i firmom, które mogą następnie działać z przewidywaniem, ponieważ mają dostęp do swoich praw. To, co robią i jak żyją, jest dostosowane do lokalnych przepisów. Ale jeśli dane o tym, jak żyją, są przechowywane w innym kraju, w którym te wolności i ochrona są inne, stanowi to problem.
Tak więc, poza aspektem politycznym, kwestia ta ma zasadnicze znaczenie zarówno dla ludzi, jak i firm oraz sposobu, w jaki prowadzą swoje życie i działalność. To jest prawdziwy powód, dla którego jest to tak ważne.
Kwestia ta ma kluczowe znaczenie dla zrozumienia przyczyn suwerenności danych. Chodzi o utrzymanie wolności i ochrony ludzi i firm w miejscu, w którym mieszkają i prowadzą działalność, ponieważ są to prawa, zasady i przepisy, według których żyją.
Na szczęście do tej pory większość głównych dostawców usług w chmurze ma wbudowane systemy kontrolujące miejsce przetwarzania i przechowywania danych, nawet jeśli niekoniecznie ma to miejsce w przypadku technologii hotelowych.
Wiele z obecnych obaw związanych z suwerennością danych dotyczy egzekwowania przepisów dotyczących prywatności i upewnienia się, że dane przechowywane w obcym kraju nie są gromadzone przez rząd kraju goszczącego firmę bez jej zgody. Przepisy dotyczące danych stale się zmieniają, aby jak najlepiej uwzględnić ten szybko ewoluujący temat, co oznacza, że nie ma prostego zbioru zasad, których należy przestrzegać. Zawsze jednak będzie obowiązywać jedna zasada: Właściciel danych jest odpowiedzialny za dokładne poznanie miejsca przechowywania swoich danych oraz za podjęcie niezbędnych kroków w celu zapewnienia zgodności z przepisami regulującymi tę lokalizację.
Bezpieczeństwo danych i prywatność w technologii hotelowej
W naszej branży opartej na danych, bezpieczeństwo jest często synonimem ochrony danych osobowych gości. Główne naruszenia danych w ciągu ostatnich kilku lat dotyczyły informacji o gościach przechowywanych w systemach zarządzania nieruchomościami (PMS). Hotele muszą jednak przechowywać dane osobowe, aby prowadzić działalność, a tym samym utrzymywać wysoki poziom bezpieczeństwa w celu ochrony swoich gości.
Bezpieczeństwo danych osobowych jest szczególnie istotnym tematem z punktu widzenia wymogów prywatności. Nieprzestrzeganie wszystkich przepisów dotyczących prywatności (takich jak europejskie RODO, kalifornijskie CCPA, brazylijskie LGPD lub południowoafrykańskie POPI) może stanowić zagrożenie, które należy zidentyfikować jak najwcześniej w procesie wyboru rozwiązań technologicznych. Zapewnienie, że zgodność systemu jest weryfikowana przez zewnętrznego audytora i certyfikowana – na przykład certyfikatem ISO/IEC 27018, kodeksem postępowania w zakresie ochrony danych osobowych (PII).
Biorąc to pod uwagę, nie można zaprzeczyć, że nowoczesne systemy mają przewagę, jeśli chodzi o ochronę danych, ponieważ zostały stworzone w czasie, gdy opracowano RODO i podobne przepisy. Starsze oprogramowanie może mieć ograniczoną architekturę, która znacznie utrudnia zachowanie zgodności z przepisami dotyczącymi prywatności. Jest to szczególnie trudne w przypadku dużych, lokalnych systemów, ponieważ w skrajnych przypadkach nie można nawet zastosować środków bezpieczeństwa, takich jak niektóre starsze technologie, które nie obsługują szyfrowania.
Rezydencja danych i systemy chmurowe
Aby system był zgodny z głównymi wymogami bezpieczeństwa i prywatności, obalmy kilka mitów na temat suwerenności danych. Jak już wspomnieliśmy, główną ideą suwerenności danych jest to, że dane klienta powinny podlegać prawu kraju, w którym są gromadzone i przetwarzane. Przechowywanie danych umożliwiających identyfikację osób jest większym wyzwaniem dla rozwiązań opartych na chmurze w porównaniu z niepołączonymi systemami lokalnymi. Na szczęście do tej pory większość głównych dostawców usług w chmurze ma wbudowane systemy kontrolujące miejsce przetwarzania i przechowywania danych, nawet jeśli niekoniecznie ma to miejsce w przypadku technologii hotelowych.
Przykładowo, strona internetowa Microsoft 365 wyraźnie stwierdza, że “zaczynamy od założenia, że nasi klienci korporacyjni chcieliby, aby ich dane biznesowe były przechowywane i przetwarzane blisko domu. Tam, gdzie to możliwe, właśnie to robimy”. Tak więc lokalizacją dla najemców utworzonych na przykład z adresem rozliczeniowym we Francji lub Niemczech nigdy nie będą Stany Zjednoczone, ale UE.
Ochrona danych jest obecnie standardem dla wszystkich głównych platform przetwarzania w chmurze. Konsekwencje zwiększenia doświadczenia użytkownika poprzez dystrybucję danych niosą ze sobą dodatkowe komplikacje związane z prywatnością danych, suwerennością danych i ich ochroną. Firmy hotelarskie, które chcą zaktualizować swoje systemy, powinny dokładnie przeanalizować opcje ochrony danych swoich dostawców i upewnić się, że ich dostawcy w pełni wykorzystują te funkcje.
Amazon Web Services oferuje możliwość korzystania z różnych regionów AWS, dzięki czemu aplikacja może być wdrażana w wielu lokalizacjach, takich jak UE, USA, Chiny itp. Klienci mają możliwość decydowania, w której części świata mają być przechowywane ich dane (lub dane ich klientów). W praktyce dostawca technologii hotelowych może zbudować system przechowywania danych dla globalnych sieci, w którym dane z europejskich hoteli są przechowywane w UE, dane z amerykańskich hoteli są przechowywane w USA, a dane z chińskich hoteli są przechowywane w Chinach.
Przykłady prywatności danych w hotelarstwie
W naszej branży, jeśli hotel współpracuje z dostawcą, który przestrzega zarówno wytycznych dotyczących bezpieczeństwa, jak i prywatności, będzie mógł przechowywać swoje dane w określonym regionie, zgodnie z lokalizacją obiektu. Jednak sieci i grupy hotelowe mogą potrzebować danych swoich gości, aby podróżować między różnymi regionami. Dobrym przykładem są programy lojalnościowe: lojalni goście powinni być rozpoznawani w każdym hotelu sieci lub grupy i powinni mieć możliwość sprawdzenia swoich punktów lojalnościowych bez względu na to, gdzie się znajdują.
Przeniesienie danych do innego regionu jest możliwe, jeśli gość wyraźnie zgodził się na udostępnianie swoich danych poza region. Następnie, w oparciu o lokalne przepisy, dane mogą być udostępniane globalnie lub w innym regionie. W niektórych krajach oznacza to, że kopia musi być przechowywana lokalnie, a w innych krajach, nawet w Unii Europejskiej, przepisy różnią się i powinny być weryfikowane przez profesjonalistów.
W Europie sam charakter usługi pobytu w hotelu pozwala obiektom na gromadzenie i przetwarzanie danych osobowych swoich gości: hotele są upoważnione do przetwarzania danych osobowych, ponieważ dane te są potrzebne do świadczenia usługi; dlatego zgoda nie jest jedyną podstawą prawną przetwarzania danych. Ponadto, w przeciwieństwie do wielu azjatyckich jurysdykcji, RODO nie wymaga zgody na transgraniczne przekazywanie danych w ramach organizacji międzynarodowej, ale nie oznacza to, że dane osobowe mogą być przenoszone bez żadnych zabezpieczeń i podstawy prawnej. Przeciwnie, głównym celem jest zapewnienie ochrony danych osobowych w każdym miejscu. RODO wymaga przejrzystości i informowania osób fizycznych o tym, co dzieje się z ich danymi osobowymi, w tym o tym, gdzie są one przekazywane i dlaczego.
Co więcej, hotele mogą otwarcie poprosić swoich gości o udostępnienie swoich danych, jeśli wyjaśnią w swojej polityce prywatności dane osobowe, które zostaną skopiowane za granicę do systemów globalnych, takich jak wspomniany wcześniej program lojalnościowy. Oczywiście w tym przypadku goście powinni wyraźnie wyrazić zgodę i autoryzować przystąpienie do programu, a tym samym przesłanie swoich danych do innych lokalizacji. Zagregowane, zanonimizowane dane (takie jak wskaźnik obłożenia, średnia dzienna stawka (ADR) itp.) nie podlegają przepisom, więc europejski hotel może udostępniać te informacje centrali w USA i odwrotnie.
Wnioski: Suwerenność danych to ruchomy cel
Suwerenność danych, szczególnie w przypadku hoteli, jest stosunkowo nową koncepcją wprowadzoną wraz z rozwojem chmury obliczeniowej. Możemy posunąć się nawet do stwierdzenia, że cała idea suwerenności to “dekolonizacja chmury”. Dlatego zarówno hotele, jak i dostawcy technologii powinni podchodzić do suwerenności danych jako do ruchomego celu. Większość krajów pracuje nad nowymi, bardziej rygorystycznymi przepisami dotyczącymi prywatności, a suwerenność danych jest integralną częścią tych przepisów. Na tej stronie internetowej(Data Protection Laws of the World) można porównać przepisy dotyczące ochrony danych na całym świecie i upewnić się, że są one zawsze zgodne z przepisami. Wybór dostawców w oparciu o ich zgodność z przepisami dotyczącymi suwerenności danych ma kluczowe znaczenie dla uniknięcia sytuacji, w której informacje o cennych klientach dostaną się w niepowołane ręce.
Ten artykuł pierwotnie ukazał się w TechTalk.Travel.
