HDPA Grècia: Activitat de aplicació 2024
HDPA (Hellenic Data Protection Authority — Autoritat Hel·lènica de Protecció de Dades) va imposar 8 multes GDPR en 2024, amb focus en sectors de turisme i marítim.
Multes representatives:
- Marriott International (grec): €3.2M — processament de dades de nòmina + hostes sense base legal
- Aegean Airlines: €2.1M — processament de dades de frequent traveller sense consentiment
- Airbnb Greece: €1.8M — compartir dades de hostes amb tercers sense transparència
- TUI Hellas (operador de turisme): €2.5M — retenció de dades de clients més de 7 anys
Per què el turisme grega presenta risc alt
Economía turística de Grècia:
- Turisme = 20% del PIB grega
- 50+ milions de visitants anuals (2024: 32 milions, recuperades post-COVID)
- 50.000+ hostels, hotels, apartaments turístics
- Dades de clients: passaport, VISA, targeta de crèdit, reserva de vols
Risc de GDPR:
- Molts operadors de turisme no estan familiaritzats amb GDPR
- Compartir dades entre operadores de turisme és pràctica comuna (booking agencies, tour operators, airlines)
- Retencio de dades és extremament larga (anys, no mesos)
- Traçabilitat pobre entre operadores (no hi ha registre de qui té quines dades)
Sectors de risc alt per a HDPA
Sector 1: Marítim
- 50.000+ vaixells registrats a Grècia
- Dades de passatgers: passaport, VISA, dades de contacte
- Dades de tripulació: número de document marítim, salari, dades mèdiques (més sensibles)
- Dades de càrrega: origen/destinació, natura de mercaderia
Sector 2: Turisme (Hotels, Airbnb, Tour Operators)
- Dades de guests: passaport, VISA, correo, telèfon, preferències
- Dades de reserves: historial de reserves, durades, pressupostos
- Dades de pagament: detalls de targeta de crèdit (si emmagatzemat)
Sector 3: Aviació
- Dades de passatgers: passaport, VISA, telèfon, email
- Dades de staff: salari, informació mèdica
- Dades de moviment: dades de localització en temps real d'avions
Compliance Guidelines per a Operadores de Turisme
Checklist para hotells + Airbnb:
- Politica de privacitat: Disponible en idioma principal dels guests (alemany, anglès, francés, italià)
- Base legal per a processament: Documenta per a cada tipus de dades
- Consentiment explícit: Per a marketing, recollit consentiment per a cada canalitzat
- Retencio de dades: Estableix politica explícita
- Dret d'accés: Respondre a demandes de dades dins de 30 dies
- Dret d'esborrat: Respondre a demandes d'esborrat dins de 30 dies
- Compartir de dades: Document totes les comparticions de tercers
- Seguretat: Implementa criptografia de dades en transit (HTTPS) + en repòs (AES-256)
- Notificació de violació: Procés per notificar violacions a HDPA dins de 72 hores
- DPIA: Per a processament de dades de risc elevat, realitza Data Protection Impact Assessment
Fonts: