España es un país con estrictas, aunque desconocidas, regulaciones en materia de tratamiento de datos de contactos comerciales por parte de los negocios.
Y sí, no es lo mismo «tratamiento de datos comerciales» que «protección de datos personales».
En este artículo repasamos cómo afecta la legislación a los negocios dedicados al alojamiento turístico en España.
Marco legal y normativo
Para empezar, veamos cuáles son las principales leyes, normas y regulaciones que afectan a cualquier negocio de alojamiento turístico que opere en España.
Reglamento (UE) 2016/679 – RGPD (normativa principal de protección de datos): de aplicación en toda la UE, regula cómo deben tratarse los datos personales (recogida, almacenamiento, uso, cesión, etc.).
Ley Orgánica 3/2018 (LOPDGDD): es la adaptación española del RGPD.
Ambas son de obligado cumplimiento en el momento en que tratas datos personales.
Real Decreto 933/2021: normativa específica del sector turístico (registro de viajeros). Regula los datos que deben recogerse obligatoriamente, cómo y cuándo comunicarlos a las autoridades y la obligación de conservarlos.
Ley Orgánica 4/2015 de protección de la seguridad ciudadana, que legitima el registro de datos de los viajeros más allá de lo establecido en el RGPD.
Ley de Servicios de la Sociedad de la Información (LSSI-CE), que afecta a los negocios que tienen web, utilizan reservas online o algún tipo de herramienta de marketing digital.
Más todas aquellas normas de carácter local (autonómico y municipal) que puedan afectar a tu negocio en razón de su ubicación.
Aunque algunas de estas regulaciones entran en conflicto, la Ley Orgánica 4/2015 legitima la recogida de datos más allá de lo requerido por la actividad en sí, por lo que al final, como responsable de un negocio dedicado al alojamiento turístico, te ves en la obligación de recoger, registrar, tramitar, conservar y eliminar —llegado el momento— una considerable cantidad de datos sensibles.
Y no solo eso: cometer errores, no atender peticiones adecuadamente presentadas o tener fugas de datos por fallos de seguridad acarrea severas sanciones económicas.
Obligaciones derivadas del marco legal
Registro de Actividades de Tratamiento (RAT)
Es un documento interno obligatorio donde el alojamiento debe reflejar todos los tratamientos de datos que lleva a cabo, incluyendo información sobre el responsable, la finalidad, las categorías de datos, la base jurídica, los destinatarios, los plazos de conservación y las medidas de seguridad implementadas.
Por ejemplo, son tratamientos con finalidades diferentes y, por tanto, derivan de bases jurídicas y con plazos de conservación diferenciados los datos de un mismo cliente para su reserva, registro de viajeros, facturación o enviarle una promoción.
Contratos con encargados de tratamiento
Siempre que un tercero trate o simplemente tenga acceso a datos por cuenta del alojamiento, debe firmarse un contrato regulando dicho tratamiento.
En general, esto afecta a asesorías, proveedores de servicios de marketing online (web, motor de reservas, community manager...) y empresas de servicios que puedan tener acceso a los datos (seguridad, limpieza, etc.).
Análisis de riesgos de seguridad
Determinando qué riesgos existen para los datos procesados y estableciendo las medidas de seguridad necesarias para preservarlos, tales como control de acceso, medidas de seguridad activa implementadas, copia de seguridad, cifrado, formación en seguridad de datos del personal y autorizados, etc.
¿Cuánto tiempo hay que conservar estos datos?
Primero, no puedes conservar los datos recogidos indefinidamente; llegado un momento, tienes obligación de eliminarlos.
Los negocios de hospedaje deben conservar los datos recogidos durante un período mínimo de un año en el caso de datos genéricos personales de clientes para responder ante posibles reclamaciones, tres años para el registro de huéspedes y de cuatro años (varía según la forma jurídica) los datos fiscales y financieros. Los datos autorizados para marketing, hasta que el usuario retire la autorización, y los facilitados por candidatos a puestos de trabajo, no más allá de dos años.
¿Cómo conservar estos datos?
Aquí la ley es clara: se exige un registro informático, aunque para particulares no profesionales hay matices sobre la digitalización; la obligación de custodia persiste.
¿Cómo eliminar los datos?
Eliminar datos personales en un alojamiento turístico no es simplemente «borrarlos», sino hacerlo de forma segura, documentada y conforme a la ley.
Antes de borrar, hay que verificar si ya no son necesarios o si existe obligación legal de conservarlos.
Se deben eliminar cuando dejan de cumplir la finalidad (p. ej., cliente antiguo sin actividad), se ejercen los derechos de supresión o se retira el consentimiento comercial.
Nunca deben eliminarse si hay obligación legal (facturación o registro de viajeros) o hay un proceso judicial o reclamación comercial abierta.
Una buena práctica es el bloqueo de datos, que consiste en no borrarlos, pero no utilizarlos ni acceder a ellos; por ejemplo, con datos fiscales de clientes sin actividad durante el período que marca la ley que hay que conservarlos.
Para eliminar los datos de un sistema informático, no basta con «borrarlos»: hay que garantizar que se eliminan de las aplicaciones (por ejemplo, la libreta de direcciones de la cuenta de correo), de las bases de datos, de los sistemas de oficina y de los servidores online, incluyendo copias de seguridad.
En caso de utilizar plataformas de terceros —por ejemplo, Booking o gestores de reservas de terceros—, debes garantizar el cumplimiento de la legalidad mediante el contrato de encargado de tratamiento de datos, solicitando, en el caso de la eliminación de datos, la verificación de los mismos.
Cuanto más grande sea la plataforma, más complicado será cumplir la normativa.
Si guardas registros en papel, por supuesto no puedes tirarlos a la basura; como mínimo, deberías emplear una trituradora de documentos para eliminarlos.
Guardar registro de qué datos se eliminan, cuándo y por qué es un proceso que te garantiza pleno cumplimiento de las normativas vigentes.
Como norma general, para los datos no sujetos a requisitos legales, deberías especificar en tus políticas de privacidad un período de conservación para garantizar pleno cumplimiento de la legalidad.
En W3H conocemos de primera mano la complejidad que supone para un alojamiento turístico cumplir con todas estas obligaciones sin que ello interfiera en el día a día del negocio.
Por eso acompañamos a nuestros clientes en todo el proceso: desde la auditoría inicial de gobernanza y gestión de datos —identificando riesgos, carencias y prioridades— hasta la implementación práctica de cada uno de los procedimientos exigidos por la normativa: el Registro de Actividades de Tratamiento, los contratos con encargados, los protocolos de conservación y eliminación de datos, y las medidas de seguridad necesarias.
Si quieres dejar de improvisar y tener la certeza de que tu negocio cumple con la ley, podemos ayudarte.