Agencija je utvrdila da je hotel „u prekomerenom opsegu obrađivao lične podatke gostiju“, tako što ih je prilikom rezervacije smeštaja putem online obrasca tražio kopiju ličnog dokumenta, ali i CVC broja s kreditne kartice. Radi se o broju s poleđine kartice koji se koristi za potvrdu transakcije kod internet plaćanja.
„Za obradu CVC broja bankovne kartice i kopije ličnog dokumenta nije dokazano postojanje pravne osnove, čime je povređen član 6. stav 1. Opšte uredbe o zaštiti podataka. Hotel nije imao obvezu da prikuplja CVC broj s bankovne kartice osoba koje su izvršile rezervaciju smeštaja, s obzirom na to da je rezervacija smeštaja bila moguća i bez dostavljanja tog podatka”, navodi se u objavi Agencije.
Osim toga, utvrdili su da hotel nije na transparentan način informisao goste o obradi njihovih ličnih podataka.
Hotel koji se našao na udaru Agencije za zaštitu podataka, a koji je prijavio građanin, imao je više mogućnosti rezervacije smeštaja. Moglo se rezervisati putem interneta ili elektronske pošte, uz napomenu da se tim putem vrši samo rezervacija, ali ne i naplata.