La questione della privacy: prenotare lettini senza osservare gli ospiti

Ci sono tre modi per sapere se una sdraio è occupata. Puoi guardarla con una telecamera. Puoi mettere un tappeto sensibile alla pressione sotto di essa. Oppure puoi non misurarla affatto, e invece tracciare solo se un ospite l'ha prenotata. Tutti e tre funzionano come operazioni in piscina. Solo il terzo evita di guardare gli ospiti.

Le telecamere risolvono il problema dell'occupazione in modo accurato ed economico, e introducono anche una superficie di sorveglianza permanente di cui un hotel sarà ora responsabile, in ogni giurisdizione in cui opera. Il GDPR è solo il più evidente dei vincoli; la realtà culturale è che una telecamera puntata su un deck della piscina è una telecamera puntata su ospiti in costume da bagno. Anche la migliore implementazione alla fine ha una brutta giornata.

I tappeti sensibili alla pressione e i sensori PIR evitano le immagini ma tracciano comunque le persone: ogni volta che un ospite specifico si siede, si alza o passa, un evento viene registrato contro una sdraio. Quel registro è un dato comportamentale e, a differenza di una telecamera, è invisibile all'ospite. Per certi versi è peggio: nulla da cui dissociarsi perché nulla sembra stia osservando.

Il terzo approccio, tracciare la prenotazione e non l'occupazione, è quello che fa SunDibs. Sappiamo se una sdraio è stata 'pinned'. Sappiamo se l'ospite ha confermato l'arrivo. Non sappiamo se ci si trova attualmente. Questo è il vincolo architettonico che rende reale la storia della privacy: non possiamo dirti che una sdraio è occupata perché non abbiamo modo di osservarlo, e nessun futuro cambiamento di politica può aggiungerne uno senza nuovo hardware.

Il compromesso è che non possiamo rilevare un ospite che si siede senza 'pinning', e non possiamo rilevare un ospite che se ne va per un pranzo di due ore e torna. Trattiamo entrambi i casi allo stesso modo: la finestra di arrivo è ciò che conta. Se l'ospite ha prenotato e confermato, la sdraio è sua per il giorno. Se non l'ha fatto, qualcun altro la rivendicherà. L'occupazione nel momento non è qualcosa che il sistema deve sapere.

Questa è la forma di privacy che vale la pena avere: non una politica che può essere rivista in una schermata di impostazioni, ma un design che rende l'opzione di sorveglianza non disponibile. È la differenza tra una serratura e una promessa.