GDPR za iznajmljivače 2026: što smiješ, a što ne smiješ s podacima gostiju
Španjolska agencija za zaštitu osobnih podataka kaznila je 2022. jednu kompaniju koja se bavi smještajem sa 75.000 eura. Razlog: tražili su goste da pri online check-inu pošalju fotografije osobnih iskaznica za sebe i sve goste u rezervaciji.
U kolovozu 2025. ista agencija kaznila je World 2 Meet, dio Iberostar grupe, sa 70.000 eura za istu praksu preko njihove online check-in platforme. Nije slučajnost, nije iznimka.
Kad gost rezervira tvoj apartman, prikupiš njegove podatke. Kad mu pošalješ upute za dolazak, koristiš njegovu email adresu. Pri check-inu unosiš podatke iz osobne. Tijekom boravka možda ga snimaš kamerom. Njegove podatke šalješ u eVisitor. Svaki od ovih koraka regulira GDPR i hrvatski Zakon o provedbi Opće uredbe o zaštiti podataka.
Ovaj tekst nije pravni savjet. To je praktičan vodič kroz svih šest faza boravka gosta, s konkretnim pravilima i tehnološkim rješenjima. Za detaljnu pravnu konzultaciju obrati se Agenciji za zaštitu osobnih podataka (AZOP) ili odvjetniku.
Faza 1: Rezervacija smještaja
Sve počinje rezervacijom. Gost rezervira preko tvoje web stranice, preko Booking.com-a, Airbnba ili neke druge platforme. Već u tom trenutku obrađuješ njegove osobne podatke. Pravna osnova za sve podatke koji su nužni za rezervaciju je ugovor (članak 6. stavak 1. točka b. GDPR-a), ne privola. Bez tih podataka rezervacija ne bi bila moguća, pa privola gosta nije potrebna ni primjenjiva.
Ovo smiješ tražiti od gosta u trenutku rezervacije:
- Osnovni kontakt i podaci o boravku: ime, prezime, email, broj telefona, datumi boravka, broj gostiju.
- Predautorizacija kartice: dozvoljena, ali isključivo preko sigurnog sustava za naplatu (Worldline, Monri, Stripe, WSPay, M2Pay ili sličan).
- Adresa za fakturu: ako gost traži račun na pravnu osobu, smiješ tražiti potrebne podatke za tu svrhu.
Ovo ne smiješ raditi u trenutku rezervacije:
- Tražiti fotografiju kartice mailom: nesiguran kanal i prekomjerno prikupljanje, posebno ako uključuje CVV broj na poleđini.
- Tražiti kopiju ili sliku osobne iskaznice unaprijed: za rezervaciju to nije nužno, dovoljno je da gost na dolasku pokaže dokument.
- Pozivati se na legitimni interes za marketing kolačiće: za analitiku, oglašavanje i remarketing trebaš izričitu privolu gosta, ne legitimni interes.
Kad gost rezervira preko Booking.com-a ili Airbnba, oni također obrađuju njegove podatke. U pravnom smislu, ti i platforma ste zajedno odgovorni za podatke gosta. Booking.com ima svoju politiku privatnosti, ti imaš svoju, gostu se prikazuju obje. Kad rezervacija stigne k tebi preko Channel Managera, već si u nekoj formi obrade podataka.
Najveći rizik u rezervaciji nije sigurnost servera, već običan email u kojem netko traži fotografiju kartice ili osobne.
Faza 2: Komunikacija prije dolaska gosta
Između rezervacije i dolaska gostu šalješ informacije. Adresu, lokacije, upute za parking, kućni red, način otključavanja. Ako radiš self check-in, traženje podataka za eVisitor počinje već ovdje.
Obični email nije siguran kanal. Poruke se šalju preko nepoznatih servera ili pak, mogu završiti u krivom inboxu zbog tipfelera u adresi. Za uobičajenu komunikaciju (kućni red, upute za dolazak) email je u redu jer ne sadrži osjetljive podatke. Problem nastaje kad email koristiš za razmjenu osobnih podataka, konkretno fotografija osobne, broj kreditne kartice, ili za listu podataka za više gostiju u jednom dokumentu.
Ako moraš slati takvo nešto mailom (npr. partneru koji vodi račun u tvoje ime), zaštiti dokument lozinkom i pošalji lozinku drugim kanalom, najbolje SMS-om ili WhatsApp porukom. Lozinka i dokument koji ona štiti ne smiju biti u istoj poruci.
Self check-in koji je legalan funkcionira ovako:
- Gost dobije link na sigurnu formu prije dolaska: koristi platformu koja koristi enkripciju u prijenosu podataka, ne običan Google obrazac kreiran iz osobnog Gmail računa.
- Gost sam upisuje podatke iz svog dokumenta: ime, prezime, datum rođenja, vrsta i broj dokumenta. Bez fotografije, bez kopije.
- Pri dolasku ti samo provjeriš originalni dokument: vidiš sliku, vidiš ime, potvrdiš da podaci u formi odgovaraju. Dokument ostaje u rukama gosta.
Ova razlika između upisivanja i fotografiranja koštala je 70.000 i 75.000 eura u dvije španjolske kazne. Tražiti fotografiju osobne je prekomjerno prikupljanje. Tražiti da gost upiše podatke je dovoljno za sve zakonske obveze, uključujući eVisitor.
Neki gosti ne žele upisivati podatke u online formu. To je njihovo pravo. U tom slučaju, dogovori se da podatke uneseš ti pri dolasku gosta. Mali gubitak na brzini, ali bez problema. Ako gost odbije pokazati dokument i na dolasku, imaš pravo (i obvezu po Zakonu o pružanju usluga u turizmu) odbiti uslugu, jer bez tih podataka ne možeš napraviti eVisitor prijavu.
Self check-in legalno znači jednu stvar: gost upisuje podatke, ne šalje fotografije.
Faza 3: Check-in gosta
Ovo je faza s najvećim rizikom za novčanu kaznu. Sve kazne koje su spomenute u uvodu dogodile su se baš ovdje. Sve počinje krivom pretpostavkom: moram imati kopiju osobne za sigurnost. Ne moraš. Štoviše, ne smiješ.
Ovo smiješ raditi pri check-inu:
- Tražiti uvid u osobnu iskaznicu ili putovnicu: imaš pravo provjeriti identitet osobe koja se prijavljuje, kroz uvid u dokument.
- Prepisati podatke potrebne za eVisitor: ime, prezime, datum rođenja, državljanstvo, vrsta i broj dokumenta, prebivalište.
- Koristiti čitač dokumenata (skener): pod uvjetom da uređaj ne pohranjuje sliku dokumenta, već samo izvuče tekst potreban za prijavu.
- Odbiti uslugu ako gost ne želi pokazati dokument: bez tih podataka ne možeš napraviti zakonsku prijavu u eVisitor, što je tvoja obveza.
Ovo ne smiješ raditi pri check-inu:
- Fotografirati osobnu mobitelom: niti za internu evidenciju, niti da bi gost brže prošao. Prekomjerno prikupljanje u smislu članka 5. GDPR-a.
- Čuvati kopiju dokumenta: niti u digitalnom obliku na laptopu, niti fotokopiju u fasciklu, niti scan u email mailbox-u.
- Pohranjivati kopiju s obrazloženjem privole: privola ne mijenja činjenicu da je obrada prekomjerna. Privola u GDPR-u mora biti slobodna i izričita, a gost u poziciji "samo da brže prođem" ne može slobodno odbiti.
Za prijavu u eVisitor ne treba ti privola gosta. Prijava je zakonska obveza po Zakonu o pružanju usluga u turizmu i Pravilniku o sustavu eVisitor, a pravna osnova za obradu je članak 6. stavak 1. točka c. GDPR-a (zakonska obveza). Privola ovdje nije ni potrebna ni primjenjiva.
Provjera identiteta znači sljedeće: vidiš sliku na dokumentu, vidiš ime, vidiš datum rođenja, uspoređuješ s osobom pred sobom. Ako se sve podudara, identitet je provjeren. Nije ti potrebna kopija da bi ovo napravio.
Detalje o samoj prijavi u eVisitor, rokovima i automatizaciji pronađi u kompletnom vodiču za eVisitor prijavu gostiju. Za skener koji čita podatke iz dokumenta bez pohrane same slike postoji Rentlio DocScan. Za potpunu automatizaciju online check-in procesa s legalnom prijavom koristi Rentlio One.
Privola gosta ne briše obvezu razmjernosti. Ako fotografiraš osobnu, prekomjerno je s privolom i bez nje.
Faza 4: Boravak gosta
Gost je u apartmanu. Možda ga snimaš kamerom u zajedničkim dijelovima. Možda mu daješ pristup WiFi-ju. Možda mu šalješ upit kako mu je. Sve ovo regulira GDPR. Najveći dio pažnje ovdje ide na videonadzor, jer je to područje gdje iznajmljivači najčešće prelaze granicu bez da znaju.
Gdje smiješ postaviti kameru:
- Ulazi u zgradu i parking u tvom vlasništvu: pravna osnova je legitimni interes (zaštita ljudi i imovine).
- Zajednički hodnici između jedinica: da, uz obaveznu obavijest prije perimetra snimanja.
- Vanjski prostori u tvom vlasništvu: dvorište, ulaz.
Gdje ne smiješ postaviti kameru:
- Unutar pojedinih jedinica: sobe, dnevni boravak, kupaonica, kuhinja. Nikad.
- Toaleti, bazeni, wellness sadržaji: prostori s razumnim očekivanjem privatnosti.
- Liftovi: teško je opravdati, izbjegavaj osim ako ne postoji ozbiljan sigurnosni razlog.
- Javne površine i nekretnine susjeda: ulice, parkirališta koja nisu tvoja, susjedna dvorišta.
Obavijest o videonadzoru je obvezna i mora biti postavljena prije perimetra snimanja, znači prije nego što osoba uđe u prostor pod nadzorom kamere. Obavijest mora sadržavati naziv i kontakt voditelja obrade (tvoje ime i tvrtku), svrhu obrade, pravnu osnovu (legitimni interes), prava ispitanika i poveznicu na detaljnu politiku privatnosti. U praksi je to nalepnica ili tabla na ulazu u perimetar.
Snimke se mogu čuvati onoliko dugo koliko je opravdano svrhom. U praksi to je 1 do 3 mjeseca, duže od 3 mjeseca je teško opravdati. Nakon toga snimke se moraju automatski brisati. Ako kamera snima na petlju (overwriting), to već rješava problem.
Gost te može tražiti kopiju snimke na kojoj se nalazi. Imaš zakonsku obvezu odgovoriti u roku od mjesec dana. Kopiju moraš dostaviti, ali si dužan zaštititi identitet drugih osoba na istoj snimci, najčešće zamućivanjem lica. Pravo se gotovo nikad ne traži, ali kad se zatraži, mora se ispuniti.
Pristup podacima gostiju imaju samo osobe koje su ovlaštene, što uključuje tebe i eventualno tvoje zaposlenike. Ako koristiš jedno ime za prijavu ili Excel koji svi vide, to nije dobro postavljen sustav. Kvalitetan PMS sustav daje različite razine pristupa po korisniku i evidentira tko je kad pristupio kojem podatku, što je velika prednost u odnosu na vođenje evidencije u Excelu.
Videonadzor nije pitanje gdje stane kamera. To je pitanje gdje stane obavijest prije perimetra.
Faza 5: plaćanje i dodatne usluge
Kad gost plaća, kad rezervira izlet preko tebe, kad organiziraš transfer ili nešto slično, opet baratamo osobnim podacima. Pravila su slična kao u rezervaciji, ali postoje specifičnosti.
Ako primaš plaćanje karticom, koristi licenciranog procesora plaćanja (Rentlio Pay, Worldline,
Monri, Stripe, WSPay, M2Pay). Oni su voditelji obrade za podatke kartice. Ti vidiš zadnje četiri znamenke i datum transakcije, što je dovoljno za fakturu i kontrolu. Cijeli broj kartice i CVV nisu u tvom sustavu i to je dobro.
Ovo ne smiješ raditi s podacima kartice:
- Čuvati cijeli broj kartice i CVV bilo gdje u svom sustavu: niti u Excelu, niti u CRM-u, niti u email mailbox-u.
- Slati ili tražiti CVV mailom: CVV je informacija koju ne smije čuvati ni procesor plaćanja, a kamoli ti.
- Pohranjivati pdf račune iz banke s podacima kartice u nezaštićenom folderu: na laptopu, u Google Drive-u bez kontrole pristupa, na USB sticku u ladici.
Ako uz smještaj nudiš izlete, transfer, najam bicikla, organizaciju eventa, najčešće radiš s eksternim partnerima. Ako je usluga uključena u paket (npr. doručak u susjednoj pekari po sporazumu), pravna osnova za dijeljenje podataka s partnerom je ugovor. Ne treba dodatna privola gosta, ali partner mora imati ugovor s tobom kao izvršiteljem obrade. Ako je usluga opcionalna (npr. izlet koji se zasebno plaća), pravna osnova je privola gosta. Gost mora znati da njegove podatke dijeliš s drugim subjektom, i mora pristati.
U oba slučaja, podaci se ne razmjenjuju običnim mailom u nezaštićenom dokumentu. Ako šalješ partneru listu od pet gostiju s imenima, telefonima i datumima boravka, zaštiti dokument lozinkom i pošalji lozinku drugim kanalom.
Računovodstvo je tvoj izvršitelj obrade. Trebaš s vanjskim računovodstvenim servisom sklopiti ugovor po članku 28. GDPR-a (ugovor o obradi osobnih podataka). To je kratki ugovor koji utvrđuje što partner smije raditi s podacima, koliko ih dugo čuva, i kako ih čuva. Bez tog ugovora, dijeljenje podataka gostiju s računovodstvom nije usklađeno.
Za sigurnu naplatu kartica unutar iste platforme iz koje vodiš rezervacije, Rentlio Pay rješava problem bez ručnog prepisivanja podataka. Za nove obveze fiskalizacije od 2026. detalji su u tekstu o računima za iznajmljivače.
Kartica nikad u tvom sustavu, lozinka nikad u istom mailu kao dokument koji štiti.
Faza 6: nakon odlaska
Gost je otišao. Pitanje je što s podacima. Pravilo je jednostavno: podatke ne smiješ čuvati zauvijek, svaka vrsta ima rok koji proizlazi iz zakonske svrhe. Nakon isteka roka, podatke moraš ili anonimizirati ili sigurno obrisati.
Rokovi čuvanja po vrstama podataka:
- eVisitor podaci: 10 godina kod tebe (Pravilnik o sustavu eVisitor).
- Računovodstveni dokumenti: 11 godina (Zakon o računovodstvu).
- Ugovori i podaci iz rezervacija: do isteka zastare potraživanja, što je obično 6 godina.
- Marketing baza (newsletter): dok se gost ne odjavi.
- Snimke videonadzora: 1 do 3 mjeseca, automatsko brisanje.
Brisanje znači stvarno brisanje, ne izbrisao sam iz vidljive liste ali datoteka još postoji u backupu. Backup koji čuva osobne podatke duže od propisanog roka je također problem za GDPR usklađenost.
Smiješ slati newsletter postojećim gostima na temelju legitimnog interesa. Da bi se legitimni interes mogao primijeniti, trebaš napraviti test razmjernosti i dokumentirati ga (jednostavan dokument koji obrazlaže zašto smatraš da je tvoj interes opravdan i kako ne narušava prava gosta). Gost u svakom newsletteru mora imati lako vidljiv link za odjavu. Ne smiješ slati promo poruke novim kontaktima čije si email adrese skupio s vizitki bez privole, za nove kontakte treba privola u trenutku prikupljanja.
Ako gost ostavi pisanu recenziju, smiješ je objaviti pod imenom koje je gost odabrao (ime, inicijali, pseudonim). Ako objavljuješ fotografije gostiju (npr. na Instagramu), trebaš njihovu privolu. Kad objavljuješ na Meta platformama (Facebook, Instagram), Meta je u pravnom smislu sa-odgovorna za podatke, što gost mora biti svjestan u trenutku privole.
Gost te može tražiti brisanje podataka. Pravo na brisanje (članak 17. GDPR-a) nije apsolutno, možeš ga odbiti ako imaš zakonsku obvezu čuvanja podataka (eVisitor 10 godina, računovodstvo 11 godina). Moraš odgovoriti u roku od mjesec dana, obrazložiti svoj odgovor, i obrisati one podatke koje stvarno smiješ obrisati.
Manji iznajmljivači u Hrvatskoj nisu obvezni imati službenika za zaštitu podataka (DPO). Obveza nastaje kad je obrada osobnih podataka glavna djelatnost u velikom opsegu, što za smještaj s manje od 10 jedinica obično nije slučaj. Preporuka je drugačija od obveze: čak i ako nisi obvezan, imenuj kontakt osobu za zaštitu osobnih podataka (može to biti i tvoja vlastita osoba), stavi kontakt na web stranicu i u politiku privatnosti. Time gostu daješ kanal za ostvarivanje prava i pokazuješ da si organiziran.
Centralizirano upravljanje podacima gostiju kroz PMS sustav rješava i problem rokova čuvanja, jer automatske politike za brisanje i anonimizaciju idu uz sustav, a ti ne moraš ručno paziti kada koji podatak istječe.
Brisanje znači stvarno brisanje, ne izbrisao sam iz vidljive liste ali datoteka još postoji u backupu.
Često postavljana pitanja (FAQ)
Smijem li fotografirati osobnu iskaznicu gosta?
Ne. Fotografiranje osobnih dokumenata je prekomjerno prikupljanje osobnih podataka. Za prijavu u eVisitor potreban je samo uvid u dokument i prepisivanje podataka, ne i kopija. Španjolska agencija za zaštitu osobnih podataka kažnjava ovu praksu (75.000 eura u 2022., 70.000 eura u 2025.).
Kako napraviti self check-in legalno bez fotografiranja osobne?
Pošalji gostu link na sigurnu formu prije dolaska iz Rentlija One. Gost sam upisuje podatke iz svog dokumenta (ime, prezime, datum rođenja, broj dokumenta). Pri dolasku provjeriš originalni dokument s podacima u formi. Ne treba fotografija, ne treba kopija.
Trebam li privolu gosta za prijavu u eVisitor?
Ne. Prijava u eVisitor je zakonska obveza po Zakonu o pružanju usluga u turizmu. Pravna osnova za obradu je zakonska obveza (članak 6. stavak 1. točka c. GDPR-a). Privola nije ni potrebna ni primjenjiva.
Koliko dugo smijem čuvati podatke gostiju?
Ovisi o vrsti podataka. eVisitor podaci 10 godina, računovodstvo 11 godina, ugovori i rezervacije do 6 godina (zastara potraživanja), newsletter baza dok se gost ne odjavi, snimke videonadzora 1 do 3 mjeseca. Nakon isteka roka podatke trebaš anonimizirati ili sigurno obrisati.
Smijem li koristiti legitimni interes za marketing kolačiće?
Ne. Za sve kolačiće koji nisu strogo tehnički potrebni (analitika, oglašavanje, remarketing), trebaš izričitu privolu gosta. Legitimni interes nije valjana pravna osnova za marketing kolačiće.
Smije li me gost tražiti kopiju videosnimke?
Da. Gost ima pravo na pristup snimci na kojoj se nalazi. Trebaš odgovoriti u roku od mjesec dana i dostaviti kopiju, uz zaštitu identiteta drugih osoba na snimci (najčešće zamućivanjem lica).
Trebam li službenika za zaštitu podataka kao iznajmljivač apartmana?
Vjerojatno ne. Obveza imenovanja službenika za zaštitu podataka (DPO) postoji kad ti je obrada osobnih podataka glavna djelatnost u velikom opsegu, što za manji apartmanski smještaj nije slučaj. Preporuka je imenovati kontakt osobu za zaštitu podataka, makar to bio ti sam.
Daniel Herman je entuzijast za growth marketing s 10 godina marketinškog iskustva koji voli razmišljati strateški i gledati širu sliku. Piše o svemu što ima veze s razvojem marketinških aktivnosti i KPI-eva, brendiranjem i dugoročnim pristupom uspjehu, uvijek s ciljem da podijeli korisne ideje i potakne na akciju.
