W branży turystycznej przekazywanie danych paszportowych poza Unię Europejską jest codziennością. Linie lotnicze, biura podróży, organizatorzy wyjazdów, pośrednicy oraz hotele często muszą przekazać dane podróżnych zagranicznym przewoźnikom, hotelom, operatorom transferów czy organom administracji państw docelowych. Problem zaczyna się wtedy, gdy zwykła operacja związana z organizacją wyjazdu staje się transferem danych osobowych do państwa trzeciego w rozumieniu RODO.
W 2026 r. przedsiębiorcy turystyczni muszą zwracać uwagę nie tylko na podstawę prawną przetwarzania danych, ale również na mechanizm legalizujący ich przekazanie poza Europejski Obszar Gospodarczy. Sam fakt, że zagraniczny partner potrzebuje numeru paszportu, nie oznacza jeszcze, że można przekazać mu całą kopię dokumentu.
W artykule wyjaśniamy:
- kiedy dane paszportowe są danymi osobowymi w rozumieniu RODO,
- czym różni się przetwarzanie danych od transferu do państwa trzeciego,
- kiedy konieczna jest decyzja stwierdzająca odpowiedni stopień ochrony,
- kiedy można zastosować standardowe klauzule umowne (SCC),
- dlaczego sama zgoda turysty nie zawsze rozwiązuje problem,
- jakie znaczenie mają obowiązki linii lotniczych dotyczące danych API i PNR,
- jak ograniczyć ryzyko naruszenia RODO przez biuro podróży lub organizatora turystyki.
Spis treści
- Dane paszportowe a RODO – gdzie zaczyna się problem?
- Przekazanie danych poza UE to nie zawsze zwykłe przetwarzanie
- Kiedy można legalnie przekazać dane do państwa trzeciego?
- SCC, czyli standardowe klauzule umowne – ważne narzędzie dla turystyki
- Czy zgoda turysty wystarczy do przekazania danych?
- Linie lotnicze i dane paszportowe – nowe regulacje API
- Jak biuro podróży powinno przygotować procedurę?
- Największe błędy przedsiębiorców turystycznych
- RODO w turystyce w 2026 r. – najważniejszy wniosek
Dane paszportowe a RODO – gdzie zaczyna się problem?
Numer paszportu, imię i nazwisko, obywatelstwo, data urodzenia czy termin ważności dokumentu to dane osobowe, jeżeli pozwalają zidentyfikować konkretną osobę. W praktyce turystycznej katalog ten może być znacznie szerszy, ponieważ rezerwacja wyjazdu często łączy dane dokumentu podróży z numerem rezerwacji, informacjami o locie, miejscem pobytu czy danymi kontaktowymi.
Dane z paszportu nie stają się automatycznie „danymi szczególnej kategorii” tylko dlatego, że znajdują się w dokumencie tożsamości. Nadal jednak wymagają odpowiedniej podstawy prawnej, ograniczenia zakresu oraz zabezpieczenia adekwatnego do ryzyka.
Szczególnie istotna jest zasada minimalizacji. Jeżeli hotel potrzebuje numeru dokumentu i obywatelstwa do realizacji obowiązku meldunkowego, nie oznacza to automatycznie, że organizator wyjazdu powinien przesłać skan całego paszportu.
W praktyce przedsiębiorca powinien odpowiedzieć na trzy pytania:
- jakich danych rzeczywiście potrzebuje zagraniczny odbiorca,
- na jakiej podstawie prawnej dane są przetwarzane,
- czy przekazanie następuje do państwa znajdującego się poza EOG.
Przekazanie danych poza UE to nie zawsze zwykłe przetwarzanie
RODO przewiduje specjalne zasady dla przekazywania danych osobowych poza Europejski Obszar Gospodarczy. Komisja Europejska wskazuje, że system międzynarodowych transferów opiera się m.in. na decyzjach stwierdzających odpowiedni stopień ochrony, standardowych klauzulach umownych, wiążących regułach korporacyjnych oraz określonych wyjątkach.
Dla branży turystycznej ma to ogromne znaczenie. Wyobraźmy sobie polskiego organizatora wyjazdu, który przesyła listę uczestników hotelowi w państwie poza EOG. Nie jest to już wyłącznie kwestia tego, czy organizator ma podstawę do zebrania danych. Trzeba dodatkowo ustalić, czy i na jakiej podstawie można dokonać transferu do odbiorcy w państwie trzecim.
Weryfikacji wymagają przede wszystkim:
- państwo, do którego trafiają dane,
- status zagranicznego odbiorcy,
- zakres przekazywanych informacji,
- cel transferu,
- podstawa prawna przetwarzania,
- zastosowany mechanizm transferowy,
- okres przechowywania danych,
- środki techniczne i organizacyjne chroniące informacje.
To właśnie rozdzielenie „podstawy przetwarzania” od „podstawy transferu” jest jednym z najważniejszych elementów prawidłowego podejścia do RODO w turystyce.
<h2 id=”legalne-przekazanie”>Kiedy można legalnie przekazać dane do państwa trzeciego?</h2>
Pierwszym rozwiązaniem jest sprawdzenie, czy Komisja Europejska wydała wobec danego państwa decyzję stwierdzającą odpowiedni stopień ochrony. W takim przypadku transfer może odbywać się bez konieczności stosowania dodatkowego mechanizmu transferowego przewidzianego w art. 46 RODO. Komisja podkreśla, że skutkiem decyzji jest możliwość przepływu danych do danego państwa bez dodatkowych zabezpieczeń transferowych.
Lista państw objętych decyzjami jest jednak ograniczona i podlega zmianom. Aktualne zestawienie Komisji Europejskiej obejmuje m.in. Japonię, Koreę Południową, Nową Zelandię, Szwajcarię, Wielką Brytanię oraz – w określonym zakresie – organizacje komercyjne w USA uczestniczące w EU-US Data Privacy Framework.
Jeżeli państwo docelowe nie ma decyzji adekwatności, przedsiębiorca powinien przeanalizować inne mechanizmy przewidziane w rozdziale V RODO.
W turystyce szczególnie istotne mogą być:
- standardowe klauzule umowne Komisji Europejskiej,
- wiążące reguły korporacyjne w grupach międzynarodowych,
- zatwierdzone kodeksy postępowania,
- mechanizmy certyfikacji,
- szczególne wyjątki z art. 49 RODO, stosowane tylko w sytuacjach spełniających ich warunki.
SCC, czyli standardowe klauzule umowne – ważne narzędzie dla turystyki
Standardowe klauzule umowne (SCC) są jednym z najważniejszych instrumentów legalizujących transfer danych do państw trzecich. Komisja Europejska przyjęła obecne standardowe klauzule dotyczące transferów poza EOG 4 czerwca 2021 r.
Ich znaczenie dla turystyki jest szczególnie widoczne w relacjach między organizatorem wyjazdu a zagranicznym kontrahentem. Komisja Europejska wprost wskazuje w swoich pytaniach i odpowiedziach przykład, w którym biuro podróży może wykorzystać SCC do przekazywania danych europejskich turystów hotelowi.
Samo podpisanie SCC nie powinno być jednak traktowane jako formalność zamykająca temat. Po wyroku TSUE w sprawie Schrems II konieczna jest analiza prawa i praktyki państwa docelowego. Komisja wskazuje, że przed zastosowaniem klauzul należy ocenić m.in. charakter danych, rodzaj odbiorcy, sektor gospodarki oraz przepisy i praktyki obowiązujące w kraju docelowym.
Dla organizatora oznacza to konieczność spojrzenia na transfer szerzej niż tylko przez pryzmat umowy z hotelem. Istotne jest także to, czy lokalne prawo pozwala organom publicznym na dostęp do przekazywanych danych oraz czy zastosowane zabezpieczenia zapewniają poziom ochrony wymagany przez prawo UE.
Czy zgoda turysty wystarczy do przekazania danych?
To jeden z najczęstszych błędów w praktyce. Przedsiębiorca nie powinien zakładać, że wystarczy umieścić w formularzu rezerwacyjnym zdanie „wyrażam zgodę na przekazanie danych do państw trzecich”.
Zgoda może mieć znaczenie w określonych sytuacjach, ale wyjątki dotyczące transferów międzynarodowych z art. 49 RODO należy interpretować zawężająco. Nie są one rozwiązaniem, które powinno automatycznie zastępować stały i przewidywalny mechanizm transferu stosowany przez przedsiębiorstwo.
Jeżeli przekazywanie danych jest stałym elementem działalności, bezpieczniejszym podejściem jest ustalenie odpowiedniego mechanizmu transferowego, a następnie wdrożenie go w relacji z zagranicznym partnerem.
Warto również pamiętać, że:
- zgoda na przetwarzanie danych nie jest tym samym co podstawa transferu do państwa trzeciego,
- informacja dla klienta powinna jasno wskazywać odbiorców i charakter transferu,
- zakres danych powinien być ograniczony do tego, co rzeczywiście potrzebne,
- wyjątków z art. 49 RODO nie należy wykorzystywać jako stałego modelu dla masowych transferów.
Linie lotnicze i dane paszportowe – nowe regulacje API
Istotnym elementem zmian jest unijne rozporządzenie 2025/13 dotyczące gromadzenia i przekazywania danych API, czyli zaawansowanych informacji o pasażerach. Regulacja weszła w życie 28 stycznia 2025 r., choć wiele przepisów operacyjnych zacznie być stosowanych dopiero po uruchomieniu unijnego routera danych.
Rozporządzenie obejmuje m.in. nazwisko i imiona, datę urodzenia, płeć, obywatelstwo, rodzaj i numer dokumentu podróży, państwo wydania dokumentu oraz datę jego ważności.
Nowe przepisy pokazują kierunek, w którym rozwija się europejski system przetwarzania danych pasażerów: coraz większe znaczenie mają zautomatyzowane systemy, szyfrowanie oraz centralny mechanizm przekazywania danych do właściwych organów.
Dla branży turystycznej oznacza to konieczność rozróżnienia co najmniej trzech sytuacji:
- przekazania danych przewoźnikowi w celu realizacji podróży,
- przekazania danych organom publicznym na podstawie obowiązku prawnego,
- przekazania danych komercyjnemu partnerowi, np. hotelowi lub operatorowi lokalnemu.
Każda z tych sytuacji może wymagać odrębnej analizy prawnej.
Jak biuro podróży powinno przygotować procedurę?
Najlepszym rozwiązaniem jest stworzenie wewnętrznej mapy transferów danych. Powinna ona obejmować wszystkie podmioty zagraniczne, którym przedsiębiorca przekazuje dane klientów.
W pierwszym kroku należy stworzyć rejestr odbiorców. Następnie trzeba ustalić, jakie dane są przekazywane i w jakim celu. Dopiero później należy zweryfikować państwo docelowe oraz właściwy mechanizm transferowy.
Praktyczna procedura może obejmować:
- identyfikację wszystkich państw trzecich, do których trafiają dane,
- sprawdzenie aktualnego statusu decyzji adekwatności,
- analizę umów z zagranicznymi partnerami,
- zastosowanie SCC, jeżeli są właściwym mechanizmem,
- przeprowadzenie oceny wpływu transferu, gdy jest wymagana,
- ograniczenie zakresu danych,
- zastosowanie szyfrowania i kontroli dostępu,
- ustalenie terminów usuwania danych,
- okresowy przegląd legalności transferów.
Warto przy tym pamiętać, że lista odbiorców nie powinna ograniczać się do bezpośrednich kontrahentów. Dane mogą być dalej przekazywane podwykonawcom, systemom rezerwacyjnym, dostawcom usług IT czy lokalnym operatorom.
Największe błędy przedsiębiorców turystycznych
Największe ryzyko powstaje wtedy, gdy transfer danych jest traktowany jako czysto techniczny element organizacji wyjazdu. Pracownik otrzymuje listę uczestników i wysyła ją zagranicznemu partnerowi, ponieważ „zawsze tak robiono”. Z punktu widzenia RODO taka praktyka może być niewystarczająca.
Problemem może być również przesyłanie pełnych skanów paszportów wtedy, gdy zagraniczny kontrahent potrzebuje tylko kilku informacji. Narusza to logikę minimalizacji danych i zwiększa potencjalne skutki wycieku.
Niebezpieczne są także:
- korzystanie z niezweryfikowanych komunikatorów do przesyłania skanów dokumentów,
- brak wiedzy o dalszych podwykonawcach zagranicznego partnera,
- stosowanie starych wzorów umów bez weryfikacji SCC,
- automatyczne powoływanie się na zgodę klienta,
- brak dokumentacji dotyczącej decyzji o wyborze mechanizmu transferowego,
- przechowywanie kopii paszportów dłużej, niż jest to potrzebne.
RODO w turystyce w 2026 r. – najważniejszy wniosek
Przekazywanie danych paszportowych do krajów trzecich nie jest zakazane przez RODO. Nie jest też jednak operacją, którą można uzasadnić wyłącznie tym, że zagraniczny hotel, przewoźnik czy operator „tego wymaga”.
Kluczowe jest ustalenie celu, zakresu danych, podstawy ich przetwarzania oraz – oddzielnie – podstawy legalizującej transfer poza EOG. W zależności od państwa i charakteru odbiorcy może to być decyzja adekwatności, SCC lub inny właściwy instrument przewidziany przez RODO.
W 2026 r. przedsiębiorcy turystyczni powinni dodatkowo śledzić rozwój unijnego systemu API i PNR. Nowe regulacje coraz mocniej porządkują sposób pozyskiwania, szyfrowania i przekazywania danych pasażerów.
Najważniejsza zasada pozostaje jednak prosta: nie przekazuj więcej danych, niż jest to konieczne, i nie zakładaj, że obowiązek zagranicznego kontrahenta automatycznie zwalnia przedsiębiorcę z obowiązków wynikających z RODO.
Dla biura podróży lub organizatora turystyki prawidłowo zaprojektowany proces transferu danych powinien być elementem zarządzania ryzykiem, a nie jedynie formalnością dotyczącą ochrony prywatności. W przypadku regularnych transferów do państw trzecich szczególnie istotne jest udokumentowanie przyjętego rozwiązania i jego okresowa weryfikacja, ponieważ zarówno przepisy, jak i decyzje dotyczące adekwatności ochrony danych mogą się zmieniać.
Materiał ma charakter informacyjny i nie stanowi indywidualnej opinii prawnej. Przy projektowaniu konkretnego modelu transferu danych należy uwzględnić charakter działalności, państwo docelowe, rolę odbiorcy oraz aktualny stan prawny.
Dodaj komentarz