Czy firma może wpisać klienta na listę osób niepożądanych po tym, jak ten opublikował krytyczną recenzję jej usług? To pytanie, które w ostatnich tygodniach zadaje sobie wielu przedsiębiorców i konsumentów za sprawą głośnej sprawy jednego z polskich hoteli. Odpowiedź wymaga spojrzenia na kilka niezależnych od siebie reżimów prawnych naraz – i uwzględnienia, że żadna ze stron takiego sporu nie ma automatycznie racji.
Czym jest czarna lista klientów w praktyce, a czym jest w świetle prawa?
W praktyce to często nic sformalizowanego, jak notatka w systemie rezerwacyjnym lub tylko ustna instrukcja przekazana zmianie na recepcji, i to wystarcza, żeby klient przestał być mile widziany. Powody bywają wyraźne, jak kradzież czy agresja wobec personelu, ale równie często bywają subiektywne, jak spór o rachunek, konflikt z obsługą, a czasem…po prostu niewygodna opinia w internecie.
Problem dotyczy nie tylko usług hotelowych. Występuje także w Internecie, chociażby na przykładzie sklepów, które szukają sposobów na klientów, którzy w ich ocenie nadużywają mechanizmów odstąpienia od umowy, zwracają zniszczony towar i oczekują zwrotu pieniędzy.
Z punktu widzenia prawa to jednak nie jest zwykła notatka służbowa, tylko zbiór danych osobowych. A to oznacza, że jego istnienie, cel i czas przechowywania podlegają dokładnie tym samym rygorom, co każde inne przetwarzanie danych w firmie. To, co dla menedżera wygląda jak proste zabezpieczenie się na przyszłość, dla przepisów o ochronie danych jest operacją wymagającą osobnej podstawy prawnej i wyraźnego limitu czasowego.
Trzy reżimy prawne, o których trzeba pamiętać jednocześnie
RODO nie zna pojęcia przechowywania danych na wszelki wypadek. Zgodnie z zasadą ograniczenia celu i ograniczenia przechowywania (art. 5 ust. 1 lit. b i e RODO) dane można przetwarzać tylko tak długo, jak długo istnieje dla tego konkretny, aktualny cel, a podstawą wpisu jest zwykle prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). Ten interes musi jednak realnie przeważać nad prawami osoby, której dane dotyczą – sam fakt konfliktu z klientem to za mało. Osobno działa prawo konsumenckie. Swoboda umów (art. 353¹ k.c.) nie oznacza dowolności w odmowie obsługi, więc odmowa bez konkretnego, wcześniej opisanego w regulaminie uzasadnienia niesie ze sobą ryzyko zarzutu naruszenia praw konsumenta, a w skrajnym przypadku nawet dyskryminacji.
Kolejna warstwa to dobra osobiste, czyli relacja między prawem konsumenta do krytyki a prawem przedsiębiorcy do ochrony dobrego imienia, chronionym na gruncie art. 23 i 24 k.c. w związku z art. 43 k.c., stosowanym odpowiednio do osób prawnych. Firma może bronić swojej reputacji, ale rzeczowa krytyka mieszcząca się w granicach dozwolonej oceny usługi nie stanowi bezprawnego naruszenia dóbr osobistych, nawet jeśli jest dla niej niewygodna.
Do tego wszystkiego dochodzi wątek, który dopiero raczkuje, czyli automatyzacja. Coraz więcej firm wspiera prowadzenie rejestrów klientów problemowych systemami scoringowymi, które oznaczają konta jako ryzykowne na podstawie liczby reklamacji czy wzorców zachowań. Jeśli taka decyzja zapada w pełni automatycznie i wywołuje dla klienta realny skutek prawny, w grę wchodzi art. 22 RODO, ograniczający dopuszczalność takich decyzji i wymagający zapewnienia interwencji człowieka. Sam AI Act nie klasyfikuje prowadzenia listy klientów jako systemu wysokiego ryzyka, ale jeśli do jej tworzenia używa się narzędzi systemowo oceniających zachowanie osób fizycznych, warto już na etapie wdrożenia sprawdzić, czy nie zbliża się ono do kategorii podlegającej dodatkowym obowiązkom transparentności.
Gdzie leży ryzyko, a gdzie realna korzyść
Sam rejestr osób niepożądanych nie jest zakazany i bywa jak najbardziej uzasadniony, bo ochrona personelu, mienia i innych klientów to legalny interes przedsiębiorcy. Kłopoty zaczynają się dopiero wtedy, gdy jest prowadzony bez jasnych zasad. Najczęściej firmy nie określają celu i terminu przechowywania danych, traktują krytykę lub reklamację jako automatyczną podstawę wpisu bez ustalenia, czy w ogóle doszło do naruszenia zasad, rozciągają zakaz na osoby trzecie niebędące stroną sporu, albo poprzestają na ogólnikowych zapisach regulaminowych zamiast zamkniętego katalogu przesłanek odmowy. Dobrze zaprojektowany rejestr ma jasny cel, konkretny katalog zdarzeń i określony czas przechowywania danych, i wtedy staje się skutecznym narzędziem ochrony biznesu, a nie źródłem dodatkowego ryzyka.
Kiedy teoria spotyka praktykę: sprawa Hotelu Gołębiewski
Dobrym, świeżym przykładem jest głośna ostatnio sprawa Hotelu Gołębiewski i Szymona Nyczke, youtubera znanego jako Książulo. Wszystko zaczęło się od zwykłego sporu konsumenckiego. Niesprawna klimatyzacja w nowo otwartym apartamencie za blisko 5 tys. zł za dobę, temperatura w sypialni dochodząca do ponad 32 stopni, żółta woda z osadem. Gołębiewski Holding przyznał, że taka sytuacja nie powinna była mieć miejsca, i uznał reklamację, zwracając koszty pobytu, a UOKiK odniósł się do sprawy wprost w komunikacie na Instagramie, wskazując postawę Książula jako przykład egzekwowania praw konsumenckich.
Kilka dni później sprawa przybrała już zupełnie inny obrót. Do dyrektorów obiektów sieci trafiło pismo, z którego wynikało, że Książulo oraz towarzyszące mu osoby zostali wpisani na listę gości niepożądanych, obejmującą noclegi, restauracje i aquaparki. Przy próbie rezerwacji recepcja odmówiła, powołując się na naruszenie zasad obiektu, nie wskazując jednak, na czym miałoby ono polegać. Zakaz cofnięto tego samego dnia, po interwencji dyrekcji i właściciela sieci, Jarosława Gołębiewskiego, a sieć do dziś nie przedstawiła publicznie szczegółowego stanowiska w sprawie samej listy.
Trudno o lepszy przykład błędów opisanych wyżej. Brak jasnego celu i terminu wpisu, potraktowanie krytycznego materiału jako zdarzenia uzasadniającego zakaz bez ustalenia, czy w ogóle doszło do naruszenia regulaminu, i rozciągnięcie zakazu na osoby towarzyszące, które nie były stroną żadnego sporu. Sprawa nie jest jednak jednoznaczna wyłącznie na niekorzyść hotelu. Jarosław Gołębiewski ocenił materiał Książula jako krzywdzący, a sam twórca podkreślał, że nie chciał prowadzić kampanii przeciwko hotelowi – co dobrze pokazuje, że uzasadniona krytyka konsumencka i ochrona dobrego imienia przedsiębiorcy to dwa niezależne wątki, wymagające osobnej oceny prawnej. Nie da się ich rozstrzygnąć jednym pochopnym wpisem na listę.
Wnioski praktyczne
Prowadzenie rejestru osób niepożądanych nie jest samo w sobie niedopuszczalne, ale wymaga spełnienia kilku warunków naraz. Musi istnieć konkretne zdarzenie stanowiące podstawę wpisu, jasno określony cel i czas przechowywania danych, ograniczenie wpisu wyłącznie do osoby faktycznie zaangażowanej w to zdarzenie oraz precyzyjny katalog przesłanek odmowy obsługi w regulaminie, a nie ogólnikowe zastrzeżenia. Sprawa Hotelu Gołębiewski dobrze pokazuje, jak szybko brak takich zasad potrafi zamienić prosty spór konsumencki w problem prawny obejmujący jednocześnie RODO, prawa konsumenta i dobra osobiste. Warto to sprawdzić zawczasu, a nie dopiero wtedy, gdy temat trafi do mediów – zwłaszcza tam, gdzie w grę wchodzi automatyczne oznaczanie klientów przez systemy scoringowe, co dodatkowo wymaga oceny pod kątem art. 22 RODO i AI Act.
Jeśli prowadzisz firmę usługową i zastanawiasz się, czy Wasz regulamin oraz procedury wewnętrzne są zgodne z RODO i prawem konsumenckim, skontaktuj się z nami. Pomożemy to zweryfikować.
