La idea que ordena todo: cada dato tiene una base
El error de concepto más común es creer que todo requiere consentimiento. No: la mayor parte de los datos que trata un hotel se apoyan en bases mejores que el consentimiento, y conviene tener claro cuál sustenta cada cosa:
| Tratamiento | Base legal |
|---|---|
| Datos de la reserva y la estancia | Ejecución del contrato |
| Registro de viajeros y comunicación a la autoridad | Obligación legal |
| Factura con datos fiscales | Obligación legal |
| Enviarle ofertas después de la estancia | Consentimiento (o interés legítimo, con matices) |
La consecuencia práctica: para alojar a alguien no necesitas que firme ningún consentimiento — necesitas informarle de qué haces con sus datos. Para enviarle publicidad, sí necesitas su permiso, y la casilla tiene que estar sin marcar. El check-in online es el sitio natural para ambas cosas: el texto informativo y la casilla de marketing, separados.
El DNI: mirar sí, acumular no
El registro de viajeros te obliga a recoger los datos del documento; no te obliga a quedarte con fotocopias o fotos del documento para siempre. La práctica defendible es capturar los datos (y la imagen, si tu proceso la usa para verificar), conservarlos el plazo del registro, y que el sistema los purgue después. Un cajón —físico o digital— con años de DNIs escaneados sin fecha de caducidad es de los hallazgos que más caros salen en una inspección.
Los plazos, de hecho, ya te los da la norma: la documentación del registro de viajeros se conserva tres años; las facturas, los plazos fiscales y mercantiles. Lo que no tiene plazo definido es lo que no deberías estar guardando.
Las tarjetas no se apuntan
Sigue viéndose: la tarjeta del huésped apuntada en un papel, en un correo o en el campo «observaciones» del PMS para «garantizar» la reserva. Además del RGPD, eso incumple las normas de seguridad de pagos. Los datos de tarjeta viven en la pasarela de pago —tokenizados, con enlaces de pago o cargos gestionados por la plataforma—, nunca en texto en tus sistemas. Si hoy hay tarjetas apuntadas en tu PMS, el primer proyecto de protección de datos de tu hotel es borrarlas y cambiar el proceso.
La documentación básica que necesita un hotel
Para un hotel pequeño, el expediente RGPD razonable cabe en poco:
- Registro de actividades de tratamiento: el inventario de qué datos tratas, para qué, con qué base y cuánto los guardas. Es el documento que ordena todos los demás.
- Información al huésped: en la web, en el motor de reservas y en el check-in. Clara y en los idiomas en los que vendes.
- Contratos de encargado con tus proveedores que tocan datos: el PMS, el channel manager, la pasarela, la asesoría. Un proveedor serio te lo da hecho; que no lo tenga es una señal.
- Un procedimiento para derechos y brechas: quién responde si un huésped pide sus datos o su supresión (hay un mes de plazo), y qué se hace si se pierde un portátil o entra un ransomware — la brecha con riesgo se notifica a la AEPD en 72 horas.
La videovigilancia, si la hay, con su cartel y sin enfocar donde no debe; el wifi de huéspedes, con un proveedor que no haga negocio aparte con la navegación de tus clientes.
Dónde vive la mitad del cumplimiento
Buena parte de lo anterior no se resuelve con documentos sino con el software elegido: control de accesos por usuario en recepción, datos cifrados, purgas automáticas al vencer los plazos, servidores en la UE, y un proveedor que firme su contrato de encargado sin que se lo persigas. Es el tipo de cosas que se comprueban antes de contratar —está en nuestra página de seguridad lo que nosotros mismos aplicamos— y que convierten el RGPD en infraestructura en lugar de en burocracia anual.
El objetivo final es sencillo y muy valioso: que si un huésped, un empleado despechado o una inspección preguntan «¿qué hacéis con mis datos?», la respuesta esté escrita, sea corta y sea verdad.