GDPRコンプライアンスなどのCOVIDの問題をきっかけに、ウエストサイドが低下しました。それほど人気のあるトピックではありませんが、すべてのホテル経営者がEUプライバシー法に関する基本的な概念を理解することは依然として重要です。

あなたのホテルは、一般データ保護規則（より一般的にはGDPRとして知られています）に準拠していますか？おそらく、ホテルをコンプライアンスに準拠させるための主要な実装を行ったことがあるでしょう。あるいは、そのようなプロジェクトを犠牲にして、小さなブランドがコンプライアンス監査の対象にならないという「指を交差させた」アプローチを採用したかもしれません。

その範囲に到達する場合は常に、ホテルに対するGDPRに準拠しないリスクが比較的高くなります。 GDPRの最初の年に281,000件の訴訟が規制当局に提出され、企業は最大2,000万ユーロまたは年間収益の4％のいずれか大きい方の罰金を科せられます。そして2019年7月、ホテルのコンプライアンス違反のリスクは、1億2500万米ドルの記録的な罰金によって強調されました。規制に基づく重大なデータ侵害についてマリオットに請求されました。 PRダメージだけでも、罰金よりもコストがかかる可能性があります。

ウェブサイト、チャネルマネージャー、サードパーティの予約エンジン間でデータをクラスター化して共有する業界にとって、GDPRは大きな苦痛でした。また、フォーブスは世界のコンプライアンスコストを90億米ドル以上と見積もっており、非常に高額です。そして、それは大企業のためだけです！中小企業は、コンプライアンスに多大な時間とお金を費やしています。

この投資にもかかわらず、規制は単に設計どおりに機能していません。それはひどく実行された善意のイニシアチブです。この簡単な「ダミーのためのGDPR」入門書では、それがどのように強力に始まったのか、どこで失敗したのかを探り、ホテルの完全なGDPRチェックリストを提供して、銀行を壊すことなく準拠できるようにします。

データ保護法（GDPR）とは何ですか？

一般データ保護規則の略であるGDPRは、2018年5月25日にEUで発効しました。この法律の成立は、規制を通じて消費者のプライバシーを保護する上での政府の役割を信じる人々の間の激しい対立によって特徴づけられました。そして、自由市場が勝たなければならないと信じている人々。

GDPRは、「個人データの処理およびそのようなデータの自由な移動に関する自然人の保護」を提供します。企業がデータを処理、処理、保存する方法の大幅な見直しとして、GDPRは個人がデータをよりきめ細かく制御できるようにしました。

GDPRでは、データとは、名前やIPアドレスなど、個人を特定するために使用できるあらゆる個人データと、遺伝物質、政治的見解、性的指向などの機密性の高い個人データの両方を指します。

個人データの管理者または処理者として機能する組織は、GDPRの対象となります。データコントローラーは、プロセスを開始するためにデータをどのように使用するかを決定するエンティティですが、データプロセッサーは、コントローラーに代わってデータを処理するデータコントローラーの従業員ではないエンティティです。

ホテルの場合、ベンダーはデータの「処理者」（つまり、サードパーティのプラットフォームで行われた予約）と見なされますが、ホテルはデータの「管理者」（つまり直接予約）として機能する可能性があるため、この区別は重要です。契約に別段の定めがない限り、データ管理者はGDPRへの準拠に責任を負います。

最大2500万ユーロまたは収益の4％の罰金が科せられる可能性があるため、ホテルはすべてのデータ保護戦略の中心にゲストを配置する必要があります。これについては、ホテルのGDPRチェックリストで詳しく説明します。

ホテルGDPRチェックリスト

ホテルをコンプライアンスに準拠させ、そのコンプライアンスを長期にわたって維持するには、思慮深く全体的なアプローチが必要です。内部システム間でデータがどのように共有されるか、およびそのデータが直接制御されていないサードパーティのシステムとどのようにやり取りされるかを慎重に検討する必要があります。

GDPRはデータ管理者としてホテルに責任を負わせるため、各時点でデータがどのように流れるかを理解することが重要です。ホテルのGDRチェックリストは次のとおりです。

1. 監査。内部プロセス、ベンダーとの契約、既存のデータベース、およびシステム間でのデータの流れを確認するための分析を実施します。自分が所有している情報と、それにアクセスできる人を理解する必要があります。この明確さは、この時点からあなたがするすべてのことを知らせるはずです。

2. 伝える。データコンプライアンスポリシーについては、既存のベンダーに問い合わせてください。ホテルのデータがシステムとどのように相互作用するかを明確に把握し、脆弱性や情報不足のベンダーを特定する必要があります。既存のベンダーと話し合った後、他のオプションを評価する時期かもしれません。 GDPRに準拠したベンダーと連携する場合、TravelClickのGMS（CRM）、 iHotelier Booking Engine 、またはホテルのWebサイトビルダーを使用すると、指を離さずにコンプライアンスのストレスを解消できます。コンプライアンスは製品に組み込まれているため、安心してご利用いただけます。

3. プラン。監査と更新された技術スタックを取得したら、次のステップはガバナンスの青写真を作成することです。ホテルがゲストデータを処理する方法の潜在的なギャップを排除するためのポリシーやプロセスなど、データを管理するためのフレームワークが必要です。消費者からのインバウンドデータ要求を処理する責任を割り当てるなど、スタッフに明確に定義された役割と責任が必要になります。また、データ関連のインシデント、ハッキング、または侵害が発生した場合に制定するための段階的なデータ侵害アクションプランを作成することもできます。

4. 実行する。さあ、計画を立てましょう！必ず含めたいもの：

   1. 明示的な同意：Cookieを自動的にインストールしてオプトアウトするのではなく、Webサイトの訪問者にCookieをオプトインするように依頼します。また、各人がいつどこで同意したか（またはその同意を取り消したか）を追跡する必要があります。

   2. プライバシーポリシー：プライバシーポリシーを更新して、データの使用方法やユーザーがオプトアウトする方法など、関連するGDPRコンプライアンス情報を含めます。

   3. フロントデスク：オフラインで収集するものはすべてGDPRにも準拠する必要があるため、フロントデスクでのデータ収集ポリシーが準拠していることを確認してください。

   4. 既存のデータ。 GDPRは、いつキャプチャされたかに関係なく、すべての個人データに適用されます。データにも新しい規則や規制が適用されるため、データも確実に準拠する必要があります。

5. 訓練。コンプライアンスはあなたの最も弱いリンクと同じくらい良いだけです。これらのポリシーを順守するようにスタッフをトレーニングすることで、GDPR関連の問題に対する脆弱性が低くなります。情報漏えいにつながる可能性のあるものと、それを防ぐためにどのように役立つかについてスタッフを教育します。これには、危険信号の監視も含まれます。スタッフが間違いやその他の苦情に関連する問題を経営陣に報告するための明確なプロセスを実行します。罰よりも透明性を優先する恐れのない環境があるべきです。

6. 維持。メンテナンスはコンプライアンスよりもはるかに負担が少ないです。データ保護プログラムの各側面を定期的に見直して、予期しない変更や新しいコンプライアンスの問題がないか確認してください。

データ保護法は善意のイニシアチブです...

データ保護法の背後にある意図は良かった：それはすべて、今日のデータ主導のデジタル時代の消費者のためにより多くのコントロールを作成することでした。ほとんどの国と地域では、インターネットが引き継ぐ前に既存のプライバシー法が制定されました。この規制は、商取引に至るまでの規制に対応することを目的としていました。

今日のデジタル時代におけるより優れた管理というこの目的を達成するために、規制は、 コアデータ保護の原則に基づいて7つの個人の権利を祀っています。

1. 通知を受ける権利。企業は、収集されるデータ、収集される理由、データの使用目的、および保存期間を指定する必要があります。企業はまた、その期間データを保存する明確な理由を持っている必要があります。

1. アクセス権。個人は、要求に応じて、読みやすい形式で個人データにアクセスできます。

2. 是正する権利。個人は、企業が保持しているデータを確認、変更、および修正できます。

3. 忘れられる権利。個人は自分に関する情報の削除を要求でき、企業は削除要求を許可するときに個人の利益と公共財のバランスをとる必要があります。

4. 処理を制限する権利。個人には、制限を希望する特別な理由がある場合、個人データの処理を制限する権利があります。

5. データの移植性に対する権利。個人は、要求に応じて個人データを転送する権利があります。

6. 異議を唱える権利。企業は、個人から明示的に同意を取得し、一元化された場所でその同意を追跡しながら、その同意を取り消すオプションを提供する必要があります。個人には、自動化されたアルゴリズムによって行われた決定に抗議する権利もあります。

データとその使用方法を個人で管理することでこのような強力なメリットが得られたとしても、このイニシアチブは意図しない結果をもたらしました。

...多くの意図しない結果を伴う

GDRにはいくつかの重大な意図しない結果がありました。つまり、コンプライアンスの現実がヨーロッパでビジネスを行う経済学にどのように浸透し、ビッグテックの力をさらに定着させたか。

1. ビッグテックは最大の受益者です。

   1. 最も広く使用されているデータトラッカーを備えたブランドは、GDPRにより市場シェアを獲得しました。中小企業が新法に適応するにつれて、彼らは最も多くのリソースを持っている企業に負けました。 Ghosteryの調査によると、GoogleやFacebookがなかった上位50社のアドテクベンダーのWebサイトリーチが20％減少しました。 GDPRは、すでに支配的な立場にある人々の手に、より多くの力を与えているようです。

2. 複雑さは混乱を生みます-そして弁護士にとっては急降下です。

   1. 法律自体は、個人と企業の両方にとって非常に複雑です。多くの企業がコンプライアンス予算の少なくとも40％を法律上のアドバイスに費やしているため、全面的に勝利を収めているのは弁護士だけです。

3. ヨーロッパの競争力の低下-そして仕事の減少。

   1. 複雑さの法則は、この地域の新興企業に多大な影響を及ぼしました。ある調査によると、「EUベンチャーが州ごとに、粗産業カテゴリごとに1週間に調達する総額は338万ドル減少し、1週間のベンチャー取引数は17.6％減少しました。 、およびGDPRの展開後の平均的な取引で調達された金額が39.6％減少しました。」その投資の損失は、ヨーロッパで3,604から29,819の仕事のどこかで生じました。

4. 新しい合併のリスク。

   1. スターウッドの慣行に関連するマリオットの罰金の記録からも明らかなように、他のホテルを買収するホテルは、GDR関連のリスクを負います。そのため、Merrill Corpの調査の55％で、取引は崩壊しています。ターゲット企業のデータ保護ポリシーとGDPRへの準拠に関する懸念のために崩壊した取引に取り組んだと述べています。

5. ホテルのコンプライアンスのコスト。

   1. 最も遠く離れた場所にあるホテルでもコンプライアンスを考慮する必要があるため、ホスピタリティ業界は特にGDPRの影響を受けます。アドバイスを保持し、システムを実装するコストは高額です。 GDPRに準拠するには、IT、サイバーセキュリティ、デジタルフォレンジック、システム設計におけるベンダーと従業員間のコラボレーションが必要です。やるべきことがたくさんあるので、最大のブランドは、規模の経済を利用して全体的な実装コストを削減できるため、大きな利点があります。

これらの意図しない結果にもかかわらず、GDPRは依然としてホテルにとって大きな問題です。コンプライアンス要件と戦略的アプローチのバランスをとることにより、あらゆる規模のホテルが手頃な価格で効果的なフレームワークを構築できます。

GDPRに目を向けるときは、ベンダーがデータを収集して操作する方法についてホテルが責任を負うことに注意してください。すべてのタッチポイントは準拠している必要があります。準拠していないと、罰金が科せられます。したがって、ベンダーがホテルのGDPRについて情報を入手し、積極的に対応していることを確認する必要があります。そうしないと、自分の側でどれだけ準備をしても、ホテルは脆弱性にさらされたままになります。コンプライアンスに違反したり、データ侵害のようなものが発生したりすると、経済的およびPR的な影響が発生します。