Oprogramowanie dla biura podróży: czy można w nim trzymać paszporty klientów? Pytania przed wyborem

Krótko mówiąc: może być, jeśli trzymasz tylko te dane z paszportu, których potrzebuje rezerwacja, usuwasz je w ustalonym przez siebie dniu, a oprogramowanie dla biura podróży pochodzi od dostawcy, który podpisuje umowę powierzenia przetwarzania danych, mówi, gdzie dane są przechowywane, i wyjaśnia, jak je usuwa. RODO czyni twoje biuro odpowiedzialnym za dane nawet wtedy, gdy przechowuje je oprogramowanie, a większość narzędzi do planów podróży publikuje część tych informacji, ale niewiele z nich publikuje wszystkie.

Paszport klienta to jeden z dokumentów, które trafiają do biura, więc ten przewodnik podaje najpierw zasady prostym językiem, potem to, co dziewięć narzędzi mówi na własnych stronach, a na końcu pytania, które warto zadać, zanim cokolwiek wgrasz. Najważniejsze wnioski powyżej dają streszczenie, a poniższe sekcje zasady i dowody. To lista kontrolna, nie porada prawna.

Czego RODO wymaga od biura, które przechowuje paszport klienta?

Wymaga trzech rzeczy: mieć uzasadniony powód, zbierać tylko to, co potrzebne, i trzymać to tylko tak długo, jak trzeba. Przewodnik Europejskiej Rady Ochrony Danych (EROD) dla małych firm mówi, że organizacja może przetwarzać tylko takie dane osobowe, które są „niezbędne i proporcjonalne” do celu, oraz że ich przechowywanie „musi być ograniczone w czasie” (EROD, podstawy ochrony danych).

To zasady z art. 5 RODO, gdzie minimalizacja danych to art. 5 ust. 1 lit. c, a ograniczenie przechowywania to art. 5 ust. 1 lit. e. Włoski organ ochrony danych wymienia te same zasady, razem z zasadą zgodności z prawem, rzetelności i przejrzystości, w swojej nocie wyjaśniającej o dokumentach tożsamości, którą cytuje razem z komunikatem prasowym z 29 kwietnia 2026 r. W praktyce zapisz dla każdego dokumentu, dlaczego go masz, który dostawca go potrzebuje i kiedy zostanie usunięty.

Kto odpowiada za dane: ty czy dostawca oprogramowania?

Ty. Biuro, które decyduje, po co i jak wykorzystuje dane klientów, jest administratorem danych, a przewodnik EROD mówi, że mała firma w takiej sytuacji jest administratorem (FAQ EROD). Komisja Europejska opisuje podmiot przetwarzający jako podmiot, który „przetwarza dane osobowe wyłącznie w imieniu administratora” (Komisja Europejska), a tak właśnie działa narzędzie do planów podróży, które przechowuje dane twoich klientów.

Administrator to osoba lub organizacja, która decyduje, po co i jak wykorzystuje się dane osobowe, a podmiot przetwarzający to ten, kto przetwarza je w imieniu administratora. Umowa powierzenia przetwarzania danych osobowych (DPA) to pisemna umowa między nimi. EROD mówi, że ta relacja „musi być uregulowana umową” dokumentującą przetwarzanie, a jej FAQ, podane wyżej, nazywa ważną umowę „obowiązkową”. Art. 28 RODO dodaje, że podmiot przetwarzający działa wyłącznie na twoje udokumentowane polecenie, że po zakończeniu usługi usuwa lub zwraca dane oraz że umowa ma formę pisemną, także elektroniczną.

Jak dużo z paszportu musisz przechowywać?

Często mniej niż kopię. Hiszpański organ ochrony danych (AEPD) stwierdził w czerwcu 2025 r., że żądanie kopii dowodu osobistego lub paszportu w obiekcie noclegowym narusza minimalizację danych z art. 5 ust. 1 lit. c (nota AEPD, PDF). Włoski Garante per la protezione dei dati personali stwierdził w kwietniu 2026 r., że hotele muszą usuwać kopie dokumentów gości po przekazaniu danych organom bezpieczeństwa publicznego, zachowując tylko potwierdzenie przekazania (komunikat Garante).

Obie wypowiedzi dotyczą obiektów noclegowych, nie biur podróży, i żadna nie wspomina o biurach. W wymienionych źródłach nie znaleźliśmy oficjalnych wytycznych pisanych dla biur. Zasada wynika jednak z tego samego artykułu RODO, więc pytaj, czego potrzebuje każda rezerwacja: imię i nazwisko zapisane tak jak w paszporcie, numer i data ważności to nie to samo co skan. Jeśli musisz tylko sprawdzić daty, kalkulator ważności paszportu prosi wyłącznie o datę ważności i daty podróży.

Jak długo możesz trzymać kopię paszportu po podróży?

Żadne sprawdzone źródło nie podaje stałego okresu. EROD radzi małym firmom „usuwać dane osobowe osób, gdy nie są już potrzebne”, i zaznacza, że prawo krajowe może zobowiązywać do zachowania niektórych danych, na przykład „ze względów podatkowych” (ten sam przewodnik EROD). Okres przechowywania ustalasz ty i to ty musisz go umieć uzasadnić.

Rozsądna reguła: usuwaj kopie paszportów w krótkim, stałym terminie po zakończeniu podróży i zachowuj tylko daty i numery, których nadal wymaga dostawca lub obowiązek prawny. Nie trzymaj kopii „na wypadek, gdyby klient znów podróżował”, bo ponowna prośba do klienta to jedna wiadomość. Sprawdź też, czy oprogramowanie potrafi wyegzekwować tę regułę za ciebie: narzędzie, które pozwala usunąć dokument tylko ręcznie, polega na tym, że ktoś o tym pamięta, a narzędzie, które usuwa automatycznie po podróży, nie.

Co musi robić oprogramowanie, by zabezpieczyć dane paszportowe, i co w razie naruszenia?

Musi stosować zabezpieczenia „odpowiednie do ryzyka”, i ty też. Art. 32 RODO nakłada ten obowiązek zarówno na administratora, jak i na podmiot przetwarzający (EROD, zabezpieczanie danych osobowych). Art. 33 daje ci jako administratorowi 72 godziny od stwierdzenia naruszenia na zgłoszenie go organowi nadzorczemu, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla osób, a każde naruszenie musisz dokumentować (EROD, naruszenia ochrony danych).

Według art. 33 ust. 2 podmiot przetwarzający musi poinformować administratora „bez zbędnej zwłoki”, ale twoje 72 godziny i tak biegną od chwili, gdy się o naruszeniu dowiesz. Szybkość dostawcy ma więc znaczenie: szukaj określonego terminu w jego DPA lub na stronie o bezpieczeństwie.

Co dziewięć narzędzi do planów podróży publikuje o danych klientów?

Na własnych publicznych stronach jedno z dziewięciu narzędzi opublikowało wszystkie pięć policzonych przez nas punktów: TravelJoy. Osiem podało, gdzie dane są przechowywane, ale tylko trzy wskazały lokalizację w Europie. Cztery oferowały klientom DPA, cztery wymieniały z nazwy podmioty podprzetwarzające, siedem mówiło, jak dokumenty są usuwane lub przechowywane, a siedem opisywało co najmniej jedno zabezpieczenie.

Jak czytać tabelę: kreska oznacza, że na otwartych stronach nie znaleziono takiego stwierdzenia, a nie że dostawca tego nie robi.

Jak liczyliśmy i jakie są ograniczenia?

Liczyliśmy 11 października 2026 r. według reguł spisanych, zanim otworzyliśmy strony; dwa graniczne przypadki wyjaśniamy niżej. Narzędzie zdobywa punkt tylko wtedy, gdy mówi o tym strona w jego własnej domenie:

1. Lokalizacja: podaje kraj lub region, w którym przechowywane są dane klientów.
2. DPA: mówi, że umowa powierzenia przetwarzania danych jest dostępna dla klientów, lub ją publikuje.
3. Podmioty podprzetwarzające: wymienia z nazwy dostawców, którzy przetwarzają dane w jego imieniu.
4. Usuwanie: mówi, jak długo przechowywane są dokumenty klientów lub jak je usunąć.
5. Bezpieczeństwo: opisuje co najmniej jedno konkretne zabezpieczenie, takie jak szyfrowanie lub uwierzytelnianie dwuskładnikowe.

Punkt Vamoos za podmioty podprzetwarzające jest najsłabszy: to jedna linijka polityki prywatności wymieniająca trzy usługi zewnętrzne. Warunki Wetu (wersja 1, sekcja 14) zawierają klauzulę podmiotu przetwarzającego z art. 28, więc policzyliśmy je jako DPA. Jedyne konkretne stwierdzenie o bezpieczeństwie znajduje się w DPA osobnego produktu, Wetu Analytics, więc tego punktu nie policzyliśmy. Strona mTrip o podmiotach podprzetwarzających mówi, że jej DPA z OpenAI jest dostępne na żądanie. To umowa z podmiotem podprzetwarzającym, więc nie policzyliśmy jej jako DPA oferowanego klientom. Policzenie jej podniosłoby sumę DPA z 4 do 5.

Ograniczenia zestawienia: czyta publiczne strony z jednego dnia, nie umowy ani praktyki bezpieczeństwa. Dostawca może na żądanie oferować DPA, którego nie reklamuje. Tworzymy Viaondo, którego nie ma wśród dziewięciu, i sprawdziliśmy je na naszych własnych stronach prawnych: spełnia wszystkie pięć punktów (zobacz niżej).

Jakie pytania zadać dostawcy, zanim wgrasz paszport?

Zadaj osiem i oczekuj pisemnej odpowiedzi na każde. Żadna z dziewięciu przeczytanych przez nas stron dostawców nie mówi małym biurom, jak oceniać dostawcę, więc ta lista jest nasza i opiera się na powyższych punktach RODO.

1. Gdzie przechowywane są dane klientów? Zapytaj o kraj i o to, czy wsparcie lub funkcje AI przetwarzają je gdzie indziej.
2. Czy mogę podpisać DPA? Powinno mówić, że dostawca działa tylko na twoje polecenie i po zakończeniu usługi usuwa lub zwraca dane.
3. Kim są podmioty podprzetwarzające? Lista z nazwami, ich lokalizacjami i sposobem ogłaszania zmian.
4. Jak usuwane są dokumenty? Automatycznie po podróży czy ręcznie? Czy możesz usunąć dokumenty jednego klienta?
5. Jakie zabezpieczenia obowiązują? Szyfrowanie w trakcie przesyłania, dostęp ograniczony do biura, linki, które można unieważnić.
6. Jak szybko poinformujecie mnie o naruszeniu? Liczba godzin, na piśmie.
7. Co się stanie, gdy zrezygnuję? Eksport i usunięcie, z terminem.
8. Czy AI czyta moje dokumenty? Którego dostawcy, gdzie działa i czy zachowuje dokumenty.

Ta sama rada dotyczy sposobu, w jaki klienci przysyłają ci dokumenty, bo skan paszportu wysłany zwykłym e-mailem lub wiadomością w komunikatorze trafia do kilku skrzynek, których nie kontrolujesz. Według art. 32 twoje zabezpieczenia muszą odpowiadać ryzyku, a dokument tożsamości to cenny cel, więc korzystaj z formularza przesyłania lub bezpiecznego linku w swoim oprogramowaniu, jeśli takie istnieją.

Co publikuje Viaondo i gdzie ma ograniczenia?

Tworzymy Viaondo, więc nasze twierdzenia sprawdź na podlinkowanych stronach. DPA Viaondo to umowa powierzenia przetwarzania danych na podstawie art. 28 RODO, wliczona w plan na stronie z cennikiem. Jego lista podmiotów podprzetwarzających wymienia Cloudflare (hosting aplikacji w jego globalnej sieci oraz baza danych i prywatny magazyn plików w jurysdykcji Unii Europejskiej), NaN (funkcje AI, Unia Europejska) i Stripe (wyłącznie rozliczenia).

Jeśli chodzi o paszporty, polityka prywatności mówi, że kopie paszportów i inne dokumenty podróży są usuwane 30 dni po zakończeniu podróży. DPA zobowiązuje Viaondo do powiadomienia cię o naruszeniu bez zbędnej zwłoki i, jeśli to wykonalne, w ciągu 72 godzin. Wymienia środki bezpieczeństwa, wśród nich prywatny magazyn plików bez publicznych adresów, linki do podróży z 256 losowymi bitami, z których przechowywany jest tylko skrót, oraz linki, które możesz unieważnić.

Ograniczenia liczą się tak samo. Stripe może przekazywać dane rozliczeniowe do Stanów Zjednoczonych, a trzy usługi Cloudflare (sama aplikacja, wysyłka e-maili i weryfikacja botów przy logowaniu) działają w jego globalnej sieci. Aplikacja nie może usunąć kopii, którą podróżny już zapisał offline, dopóki telefon nie połączy się z siecią, a DPA mówi, że usługa nie jest przeznaczona do szczególnych kategorii danych, takich jak dane dotyczące zdrowia. Reguła „30 dni po podróży” to też reguła Viaondo i może nie być twoją, więc porównaj ją z okresem przechowywania, który ustalisz. Zobacz, jak działają dokumenty w aplikacji podróżnego, a jeśli pracujesz sam, przeczytaj stronę dla niezależnych doradców podróży.

Jak sprawdzono ten przewodnik

Każda zasada pochodzi z EUR-Lex, EROD, Komisji Europejskiej, AEPD lub Garante, a każdy fakt o dostawcy z jego własnych stron, wszystkie otwarte 11 października 2026 r. Każdą zasadę i każdy fakt o dostawcy sprawdzono z tymi źródłami 11 października 2026 r. w redakcyjnej weryfikacji faktów (fact-check) twierdzenie po twierdzeniu. To informacje ogólne, nie porada prawna. Jeśli znajdziesz nieaktualne stwierdzenie, napisz do nas, a więcej o nas przeczytasz na stronie o nas. Szerszy wybór narzędzia znajdziesz w porównaniu dziesięciu narzędzi do planów podróży.