Legislatie aplicabila
    In 1995, Parlamentul European si Consiliul Europei au adoptat Directiva 95/46/CE „privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si libera circulatie a acestor date”.  
    Drept urmare, Parlamentul Romaniei a adoptat Legea 677/2001 care reglementeaza prelucrarea acestor date pe teritoriul Romaniei. Patru ani mai tarziu, prin Legea 102/2005, a fost infiintata Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP), autoritate de supraveghere care fusese reprezentata pana la acea data de catre Avocatul Poporului.
    Taxa de notificare a prelucrarilor de date personale a fost introdusa prin Legea 476/2003, conform careia hotelul ca persoana juridica de drept privat, ar fi trebuit sa plateasca 1000 RON, de 10 ori mai mult decat in cazul prelucrarilor efectuate de persoane fizice. Insa, din luna mai anul acesta, a fost emisa Ordonanta de Urgenta a Guvernului 36/2007, prin care a fost abrogata Legea 476/2003, astfel incat nici persoanele fizice, nici persoanele juridice, nu vor mai plati vreo taxa pentru a face o notificare catre ANSPDCP.
    Eliminarea taxei a reprezentat o  masura justificata, avand in vedere ca scopul acestor reglementari il constituie garantarea si protejarea drepturilor si libertatilor fundamentale ale persoanelor fizice, in special a dreptului la viata intima, familiala si privata, cu privire la prelucrarea datelor cu caracter personal.

    Hotelul – operator de date
    Legea 677/2001 defineste prelucrarea datelor cu caracter personal ca fiind „orice operatiune sau set de operatiuni care se efectueaza asupra datelor cu caracter personal, prin mijloace automate sau neautomate, cum ar fi colectarea, inregistrarea, organizarea, stocarea, adaptarea ori modificarea, extragerea, consultarea, utilizarea, dezvaluirea catre terti prin transmitere, diseminare sau in orice alt mod, alaturarea ori combinarea, blocarea, stergerea sau distrugerea”.
    Operator de date, in sensul acestei legi, reprezinta orice persoana fizica sau juridica, de drept privat ori de drept public, inclusiv autoritatile publice, institutiile si structurile teritoriale ale acestora, care stabileste scopul si mijloacele de prelucrare a datelor cu caracter personal.
Hotelurile, motelurile si pensiunile se incadreaza in categoria persoanelor juridice de drept privat care prelucreaza aceste date, atat prin mijloace automate (in cazul rezervarilor online), cat si prin mijloace neautomate (efectuate de catre personalul hotelului, la receptie).

    Notificarea
    Pentru protectia persoanelor cu privire la prelucrarea datelor cu caracter personal si libera circulatie a acestor date, operatorii de date trebuie sa notifice prelucrarile pe care le efectueaza la ANSPDCP. Aceasta notificare se transmite autoritatii de supraveghere, personal sau prin reprezentant, insa inainte de inceperea oricarei prelucrari. Procedura de inregistrare presupune completarea formularelor tipizate si trimiterea acestora autoritatii de supraveghere.
    E important de stiut ca notificarea trebuie depusa la Autoritatea de Supraveghere cu cel putin 30, respectiv 45 de zile inainte de inceperea prelucrarii. Omisiunea de a efectua notificarea, in situatiile in care aceasta este obligatorie, precum si notificarea incompleta sau care contine informatii false constituie contraventii, daca nu sunt savarsite in astfel de conditii incat sa constituie infractiuni si se sanctioneaza cu amenda.
Prin urmare, operatorul trebuie sa astepte confirmarea Autoritatii de Supraveghere asupra faptului ca notificarea este valida si a primit numar de inregistrare in Registrul de Evidenta a Prelucrarilor de Date cu Caracter Personal, si numai dupa aceea sa inceapa prelucrarea datelor, respectiv sa isi inceapa activitatea.

    Completarea Formularelor
    Din iunie 2006 au fost aprobate noile formulare tipizate ce vor fi completate de catre operatori prin marcarea casutelor corespunzatoare cu semnul „X” sau prin completarea spatiilor libere, conform cerintelor de la punctele respective. Aceste operatiuni pot fi efectuate, atat in format electronic, cat si pe suport de hartie, utilizandu-se majuscule. Dupa completare, formularele se transmit autoritatii de supraveghere, prin posta ori se depun la registratura acesteia.
    In cadrul sistemului de transmitere on-line a formularelor de notificare, prima pagina a acestora se completeaza pe suport de hartie si se transmite autoritatii de supraveghere. Este vorba de pagina unde este data declaratia  pe propria raspundere conform careia toate informatiile furnizate in formular sunt complete, exacte si corecte. 
    Aceasta declaratie va fi data de reprezentantul legal, delegatul, imputernicitul sau mandatarul operatorului; vor fi precizate numele si prenumele, functia sau profesia (dupa caz), data completarii si semnatura. Este necesara precizarea coordonatelor de contact ale persoanei respective, cum ar fi adresa, telefonul, faxul, adresa de posta electronica etc.. In cazul operatorului persoana juridica, cum este cazul hotelului, notificarea trebuie sa poarte si stampila acestuia. Formularele a caror „declaratie” nu este completata si semnata potrivit cerintelor, nu vor fi analizate, urmand a se proceda la clasarea lor.
    La sectiunea privind scopul prelucrarii, operatorul va bifa casuta aferenta serviciilor de cazare. In cazul in care operatorul prelucreaza date personale pentru doua sau mai multe scopuri care nu au legatura intre ele, atunci este obligat sa completeze cate un formular tipizat pentru fiecare scop in parte. La categoriile de persoane vizate, turistii vor fi asimilati clientilor sau potentialilor clienti.
    In ceea ce priveste datele si categoriile de date prelucrate in cadrul serviciilor de cazare, acestea se pot referi in special la: nume si prenume, telefon/fax, adresa, e-mail, date bancare. Pot fi preluate si imagini prin intermediul mijloacelor de supraveghere video.
    Exista si o categorie  de date cu caracter special care poate cuprinde CNP-ul, seria si numarul actului de identitate. Sectiunea respectiva va fi completata daca sunt prelucrate asemenea tipuri de date cu caracter personal. Datele cu caracter special pot fi si cele legate de originea rasiala sau etnica, de convingerile politice, religioase, filozofice sau de natura similara, de apartenenta sindicala, precum si datele cu caracter personal privind starea de sanatate, datele referitoare la fapte penale sau contraventii, sanctiuni disciplinare, precum si datele privind cazierul judiciar, insa este mica probabilitate ca aceste informatii sa fie cerute pentru un serviciu de cazare.

    Nota de informare
    Persoanele ale caror date vor fi colectate (in cazul hotelurilor, pentru turisti) trebuie sa fie informate asupra drepturilor lor. In acest sens, hotelurile vor afisa atat pe site-ul propriu, cat si la receptie, o nota de informare a clientilor.
    Pe site-ul ANSPDCP sunt prezentate cateva modele ce pot fi utilizate pentru informarea corecta a persoanelor vizate, in momentul colectarii datelor lor, astfel incat acestea sa fie in situatia de a consimti in mod expres si neechivoc pentru prelucrarea datelor. In acest scop, operatorii in domeniul hotelier vor avea in vedere atat un model de nota de informare in scris, cat si un model de nota de informare privind protectia datelor personale pentru afisare pe pagina web sau in cazul colectarii datelor prin formulare on-line.
In cazul in care un hotel nu respecta obligatia de a fi inscris ca operator, risca o amenda de pana la 10.000 RON, in timp ce prelucrarea nelegala a datelor cu caracter personal se sanctioneaza cu amenda de pana la 25.000 RON, astfel incat, pentru a nu risca o amenda, este bine ca fiecare hotel sau pensiune sa faca toate demersurile pentru a se inscrie la ANSPDCP.