Czarna lista klientów a RODO: błąd hotelu Gołębiewski

Wpisanie klienta na czarną listę za opublikowanie niekorzystnej recenzji narusza RODO i prawa konsumenta, ponieważ brakuje temu działaniu konkretnego, uzasadnionego celu przechowywania danych osobowych.

Sprawę hotelu Gołębiewski w Pobierowie skomentował Damian Bielecki, zastępca inspektora ochrony danych w XTB S.A., znany w internecie jako “Typ od RODO”. Jego analiza pokazuje, jak jedna błędna decyzja w zarządzaniu kryzysem może prowadzić do znacznie poważniejszych problemów prawnych.

Co się stało w hotelu Gołębiewski?

Twórca Książulo opublikował materiał pokazujący problemy z klimatyzacją, wodą i obsługą w hotelu. Następnie skrócił pobyt i złożył reklamację. Hotel uznał ją za zasadną i zwrócił pieniądze — normalny scenariusz rozwiązania konfliktu. Jednak zamiast zamknąć temat, hotel wpisał Książula i jego współpracowników na wewnętrzną czarną listę osób nieobsługiwanych w pozostałych obiektach sieci. Pojawił się również problem przy próbie dokonania rezerwacji.

Czarna lista a RODO: naturalni wrogowie

Problem zaczyna się od samej logiki czarnej listy. Z definicji lista osób niepożądanych zakłada przechowywanie danych bez końca, a wieczne przechowywanie to jedno z pojęć, których RODO nie akceptuje. Przepisy wymagają, by dane przechowywane były tylko tak długo, jak długo istnieje konkretny cel ich przetwarzania — nie “na wszelki wypadek”.

To nie znaczy, że każda lista osób niepożądanych jest z góry nielegalna. Firma może mieć realny interes w ochronie pracowników, gości, mienia albo własnych roszczeń. Jednak sytuacja zmienia się diametralnie, gdy ktoś niszczy wyposażenie, kradnie, grozi obsłudze albo dopuszcza się czynu zabronionego. Wtedy przedsiębiorca ma szansę wykazać, że przetwarzanie danych jest potrzebne i uzasadnione.

Krytyczna recenzja to nie zniszczenie mienia

Problema polega na tym, że krytyczna recenzja nie jest tym samym co zniszczenie mienia albo napaść na pracownika. Nawet ostra, nieprzyjemna dla firmy publikacja w internecie nie daje automatycznie prawa do wpisywania autora i jego ekipy do wewnętrznego rejestru osób zakazanych.

W przypadku sporu hotelu z twórcą sytuacja jest znacznie bardziej skomplikowana. Hotel i twórca nie zgadzają się co do faktów: hotel twierdzi, że doszło do naruszenia regulaminu, twórca temu zaprzecza. Nagranie materiału pokazującego hotel w mieszanym świetle nie jest samo w sobie zdarzeniem uzasadniającym umieszczenie kogoś na liście osób niepożądanych.

Regulamin nie jest kartą do gry

Wiele firm lubi w regulaminach zdania w rodzaju: “zastrzegamy sobie prawo do odmowy świadczenia usługi”. Brzmi stanowczo, wygodnie i daje poczucie kontroli. Tyle że samo zdanie w regulaminie nie sprawia jeszcze, że przedsiębiorca może dowolnie wybierać klientów, których obsłuży.

Regulamin powinien jasno opisywać, w jakich sytuacjach firma może odmówić usługi. Inaczej wygląda odmowa wobec osoby agresywnej, nietrzeźwej, zagrażającej innym gościom albo łamiącej konkretne zasady bezpieczeństwa. Inaczej wygląda odmowa wobec kogoś, kto opublikował nieprzychylny materiał w internecie. Sama odmowa “bo tak” to ryzyko — grozi to zarzutami naruszenia praw konsumenta, a w skrajnych przypadkach dyskryminacji.

Współpracownicy nie są stronami sporu

Szczególnie problematyczne jest objęcie zakazem współpracowników twórcy. Jeśli hotel ma spór z twórcą, może bronić dobrego imienia, domagać się sprostowań, iść do sądu albo wykazywać naruszenia regulaminu. Trudniej jednak uzasadnić automatyczne objęcie zakazem osób, które same nie są stroną sporu. RODO nie lubi działań hurtowych — nie lubi też danych przetwarzanych na zapas, bez terminu, bez jasnego celu i bez okresowej weryfikacji.

Kiedy czarna lista ma solidne podstawy prawne?

Jedyna sytuacja, w której takie działanie miałoby mocne podstawy prawne, to realny spór sądowy. Firma, podobnie jak osoba fizyczna, ma prawo do ochrony dobrego imienia i reputacji, więc jeśli hotel rzeczywiście kieruje sprawę na drogę sądową, przetwarzanie danych tej jednej, konkretnej osoby w związku z toczącym się sporem ma solidne uzasadnienie. Kluczowe są tu słowa: “tej jednej, konkretnej osoby”.

Błąd w zarządzaniu kryzysem

Z punktu widzenia biznesu sprawa wygląda jeszcze gorzej. Hotel uznał reklamację, czyli przyznał, że część zastrzeżeń klienta była zasadna. W takiej sytuacji próba odsunięcia autora krytycznego materiału od usług sieci wygląda fatalnie, nawet jeśli firma ma własną wersję wydarzeń.

To klasyczny błąd w zarządzaniu kryzysem: zamiast zmniejszyć temperaturę sporu, firma przenosi go na nowy poziom. Zamiast rozmowy o klimatyzacji, wodzie i standardzie obsługi, mamy rozmowę o RODO, prawach konsumenta, odmowie usługi i możliwym “karaniu” klienta za niekorzystną opinię. Dla innych przedsiębiorców to ważna lekcja: krytyczny klient może być problemem, ale krytyczny klient wpisany na czarną listę to problem dużo większy — zwłaszcza gdy sprawę śledzą setki tysięcy internautów, a każdy kolejny ruch firmy jest natychmiast analizowany i archiwizowany.

Co to oznacza dla przedsiębiorców?

RODO nie zabrania przedsiębiorcom bronić się przed nadużyciami. Zabrania im jednak traktować dane osobowe jak prywatny zeszyt z nazwiskami osób, których firma nie lubi. Przedsiębiorca, który chce prowadzić listę osób niepożądanych, musi być przygotowany na pytania: jaki jest konkretny cel przechowywania tych danych? Jak długo będą przechowywane? W jakich sytuacjach będzie dokonywana weryfikacja, czy osoba powinna pozostać na liście? Czy każda osoba na liście ma realny, udokumentowany powód do umieszczenia tam?

Hotel Gołębiewski, próbując przykryć krytyczną recenzję wpisaniem autora na czarną listę, stworzył sobie znacznie poważniejszy kłopot — nie tylko wizerunkowy, ale i prawny. To lekcja dla całego sektora usług, że czasem najlepszą obroną przed kryzysem jest uczciwe jego rozwiązanie, a nie eskalacja konfliktu na nowy poziom.