Decydując się na wyjazd z biurem podróży, nie tylko możemy, ale w praktyce musimy podać mu nasze dane osobowe, takie jak imię, nazwisko, adres zamieszkania czy numer telefonu kontaktowego. Są one bowiem niezbędne do zrealizowania usługi. Firma turystyczna musi nimi dysponować np. w celu rezerwacji i zakupu biletów lotniczych lub miejsc w hotelu.

Tym samym będzie ona mogła legalnie przetwarzać nasze dane osobowe i nie potrzebuje na to dodatkowej zgody. Jednak istnieją granice, w których może się ona poruszać. Dlatego, gdy po powrocie z wakacyjnego wyjazdu zostaniemy zasypani reklamami i broszurami (także w formie elektronicznej) z propozycjami kolejnych wyjazdów, możemy skutecznie interweniować.

Przede wszystkim należy pamiętać o tym, że biuro podróży ma prawo wykorzystywać nasze dane osobowe wyłącznie do celów wskazanych przy zawieraniu umowy.

Obowiązki administratora

Podstawowe obowiązki administratora danych w tym zakresie wynikają z art. 26 ustawy o ochronie danych osobowych (DzU z 2002r. nr 101, poz. 926 ze zm.). Stanowi on, że administrator danych przetwarzający informacje o osobach powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były:

- przetwarzane zgodnie z prawem,

- zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami.

Przykładowo biuro podróży nie powinno ich zatem wykorzystywać do promowania usług i produktów innych biur podróży, chyba że wcześniej uzyskało na to naszą dodatkową zgodę. Jednak jednocześnie ma ono prawo bez zgody klienta wykorzystywać jego dane osobowe (zgromadzone na potrzeby wyjazdu) w celu promowania własnych produktów i usług. Ta ostatnia możliwość wynika z art. 23 wskazanej ustawy.

Jego ustęp 1 pkt 5 wskazuje bowiem, że przetwarzanie danych jest dopuszczalne, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych (tu biuro podróży) albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Natomiast ustęp 4 tego artykułu dodaje, że za prawnie usprawiedliwiony cel uważa się w szczególności marketing bezpośredni własnych produktów lub usług administratora danych.

Prawo sprzeciwu

Nie oznacza to jednak, że jesteśmy skazani na otrzymywanie kolejnych reklam i ulotek. Jeżeli nie będziemy dłużej zainteresowani otrzymywaniem takiej korespondencji, przysługuje nam prawo żądania zaprzestania takiej praktyki. Od tej chwili biuro podróży nie będzie miało prawa wykorzystywać zgromadzonych danych nawet w celach marketingowych własnych usług.

Uprawnienie takie wynika z art. 32 ust. 1 pkt 8, zgodnie z którym każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych.

Pozostanie w bazie

W razie wniesienia sprzeciwu, o którym tu mowa, dalsze przetwarzanie informacji o kliencie jest niedopuszczalne. Administrator danych może jedynie pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem.