Gestiono un hotel. Es agosto, tengo la piscina llena, el restaurante sirve gazpacho a un ritmo que ya quisiera Wimbledon para sus fresas con nata, y aun así hay algo que me quita el sueño más que la reserva doble de la 204: la protección de datos.
Aunque parezca muy aburrido, llevo unos años aprendiendo esto a base de sustos, así que voy a contarte todo lo que hago para no acabar protagonizando los titulares de un periódico de economía.
1. El marco legal aplicable (las normas del juego)
Un hotel no se rige por una única norma de protección de datos, sino por varias que se solapan:
- El RGPD, la normativa de la Unión Europea
- La LOPDGDD, su desarrollo español
- El RIA por la inteligencia artificial del chatbot de mi página web
- El EAA para la accesibilidad de la página web
- El registro de viajeros (RD 933/2021): obligación de mandar los datos de mis huéspedes a la policía.
- Las normas de videovigilancia de la normativa de la seguridad privada
- La normativa laboral, para mis empleados.
- La LSSI para cuando les mando el email de "vuelve este verano con un 15% de descuento" y las newsletters.
2. Mis huéspedes: mucho más que el nombre y el DNI
La reserva
Desde que alguien reserva, aunque sea desde el sofá de su casa con el segundo café de la mañana, yo ya tengo sus datos: nombre, email, teléfono, tarjeta, y a veces hasta si es alérgico a los frutos secos porque lo puso en "comentarios" sin que nadie se lo pidiera (gracias, Marisa de Valladolid).
Lo que hago:
- Tener una política de privacidad clara, no un tocho ilegible escondido al final de la web.
- Definir la base legal de cada tratamiento. Saber por qué tengo cada dato: unos son porque firmamos un contrato de alojamiento, otros porque la ley me obliga (registro de viajeros), y otros porque el cliente ha dicho "sí, mándame ofertas" (consentimiento).
- Minimizar datos. No pedir de más. Si no necesito el DNI de los seis integrantes de la familia para la reserva de una habitación doble con cama supletoria, no lo pido.
El parte de policia
Cada huésped que se aloja pasa por el registro de viajeros: nombre, documento, nacionalidad, firma. Va directo a la plataforma SES.Hospedajes. No es cotilleo mío, es una obligación legal.
Lo que sí controlo:
- Que solo acceda a esos datos el personal que realmente lo necesita (no toda la plantilla tiene que saber el nombre del huésped de la habitación 142).
- Que se guarden solo el tiempo que marca la ley, ni un día más.
- Que la conexión con la plataforma policial sea segura, con usuarios individuales (nada de "usuario: recepción, contraseña: recepcion123").
Datos sobre la salud
Si alguien me dice que es celíaco o que necesita una habitación accesible, eso es un dato de salud, y por lo tanto, un dato sensible. Es por eso que no podemos ponerlo en una pizarra que vea todo el mundo, incluido el proveedor de bebidas que pasa a las 9 de la mañana.
El club de fidelización (o "vuelve cada verano")
Mandar la newsletter de "10% de descuento si reservas en agosto" solo se lo mando a quien ha dicho que sí, de forma clara, no premarcada ni escondida en las condiciones generales. Y si alguien quiere darse de baja, que lo pueda hacer con un click, sin más gestiones.
La foto del DNI: el clásico error que casi todos cometíamos
Durante años, en muchos hoteles era casi un acto reflejo: el huésped llega, le pedimos el DNI y... foto, escaneo o fotocopia "por si acaso". Pues bien, la AEPD publicó una nota informativa en 2025 que dejó claro que no está permitido pedir ni conservar copia del DNI o pasaporte en hospedajes, ni en papel, ni escaneada, ni con foto del móvil.
Esto es así porque el RD 933/2021 exige recoger ciertos datos concretos como el nombre, apellidos, documento, nacionalidad pero no exige una copia completa del documento. Y un DNI contiene información que no es necesaria: foto, fecha de caducidad o el nombre de los padres. Guardar todo eso es contrario al principio de minimización del RGPD, y la AEPD ya lo ha sancionado muchas veces.
Así que en mi hotel ahora funcionamos así:
- Comprobación visual: el huésped me enseña el documento, yo verifico que coincide con los datos que ya tengo, y no hago ni fotocopia ni foto.
- Formularios (presenciales u online) con solo los campos que exige el Anexo I del RD 933/2021.
- Para las reservas online o el auto-check-in, uso verificaciones "sin imagen": código de un solo uso al móvil o email, o cruce con los datos de la tarjeta de pago.
- Si algún huésped me manda una foto del DNI "para ayudar", se lo agradezco y no la guardo. No la necesito, y guardarla solo me traería problemas con la AEPD.
3. Empleados: la relación laboral también es protección de datos
Mis camareros, cocineros, recepcionistas, socorristas, personal de limpieza, todos mis trabajadores tienen datos que tengo que proteger:
- Selección de personal: los CVs de candidatos no contratados deben eliminarse pasado un plazo razonable si no hay consentimiento para conservarlos.
- Nóminas, Seguridad Social, cuentas bancarias
- Fichajes y control horario: Debe informarse expresamente y limitarse a la finalidad de control laboral.
- Cámaras: solo en áreas justificadas (cocina, almacenes con productos de valor, cajas), nunca en vestuarios, baños o zonas de descanso.
- Datos médicos de empleados (bajas, certificados de aptitud): tratados por el servicio de prevención, con acceso restringido incluso frente a Recursos Humanos.
4. Restauración: el restaurante del hotel tiene sus propias reglas
Aunque forme parte del mismo negocio, la actividad de restauración genera tratamientos específicos:
- Reservas de mesa, propias o por apps tipo TheFork.
- La información de alérgenos es obligatoria por ley, pero la gestiono con cuidado: no la expongo en una pantalla que vea cualquiera, solo la ve quien cocina o sirve.
- Si alguien pide factura a nombre de su empresa, ahí aparecen datos de una persona de contacto, no solo del NIF de la sociedad.
- Hemos creado el “Club gourmet” con descuentos para el restaurante. Funciona como un club de fidelización y necesitamos un consentimiento claro y específico.
5. Cesión de datos a terceros: el punto más delicado
No todo lo gestiono yo y es habitual ceder o encargar el tratamiento de datos a terceros como:
- Las plataformas de reservas (Booking, eDreams, Trivago, Kayak…): pueden actuar como responsables o como encargados, por eso, hay que revisar bien los contratos para saber qué papel tiene cada parte.
- El programa de gestión del hotel (PMS): son encargados de tratamiento y deben firmar un contrato que fije finalidad, duración, medidas de seguridad y qué pasa con los datos al terminar el contrato.
- La lavandería externa, el catering, el servicio técnico: si acceden a datos personales (por ejemplo, listados de habitaciones ocupadas), también deben tener contrato de encargado.
- La pasarela de pago: tratamiento de tarjetas, con su normativa extra de seguridad (PCI-DSS), para poder evitar cualquier filtración de los datos de las tarjetas de los clientes.
- La empresa de seguridad que gestiona las cámaras: son encargados de tratamiento con el cual firmamos un contrato y mantendran una confidencialidad reforzada.
6. Cámaras de seguridad: uno de los focos habituales de sanción
La videovigilancia en hoteles es de las áreas más inspeccionadas por la AEPD. Por eso tengo que tener en cuenta:
- Cartel visible en cada zona grabada, indicando quién es el responsable y donde se pueden ejercer los derechos.
- Proporcionalidad. Debes situarse en zonas justificadas como la recepción, los pasillos, el parking y las zonas comunes. Ninguna cámara en habitaciones, vestuarios o baños.
- No grabar sonido.
- Las imágenes se guardan máximo un mes, salvo que haya un incidente real (un robo, una pelea, etc.) que justifique conservarlas más tiempo.
- Solo el personal autorizado puede visualizarlas, y queda registro de quién accede y cuándo.
7. Menores de edad
Me encanta cuando vienen familias enteras en verano, y con ellas, los niños. Pero con los menores se debe ir con mucho cuidado y solo pido lo mínimo indispensable sobre los menores (edad, alguna restricción alimentaria).
8. Medidas de seguridad técnicas y organizativas
- Control de accesos a los sistemas de reservas y PMS: usuarios individuales, con permisos dependiendo del puesto.
- Cifrado de datos de tarjetas de pago y de documentos de identidad almacenados.
- Copias de seguridad periódicas y probadas.
- Política de mesa limpia en recepción: no dejar pasaportes, tarjetas o partes de policía a la vista.
- Formación periódica del personal
9. Delegado de Protección de Datos (DPO)
No todos los hoteles están obligados a nombrar un DPO, pero conviene valorarlo cuando tratas datos a gran escala porque formas parte de una cadena hotelera o tienes un gran hotel.
10. Derechos de los interesados
Tanto los clientes como los empleados tienen derecho a acceder, rectificar, suprimir, limitar el tratamiento, oponerse y solicitar la portabilidad de sus datos. Por eso contamos con:
- Un canal claro para ejercer estos derechos, en nuestro caso es un formulario muy sencillo.
- Procedimientos internos para responder en el plazo legal de un mes.
- Especial cuidado con el derecho de supresión frente a la obligación legal de conservar el registro de viajeros: no siempre se puede borrar antes de tiempo, y hay que saber explicarlo.
11. Checklist del cumplimiento del hotel
Cada verano saco de mi bolsillo la lista de cosas para estar al día en el cumplimiento de los datos personales:
- Mapear todos los flujos de datos: huéspedes, empleados, restaurante, proveedores, cámaras.
- Definir la base legal de cada tratamiento.
- Firmar contratos de encargo con cada proveedor que trate datos por cuenta del hotel.
- Revisar la señalización y proporcionalidad de las cámaras.
- Formar al personal, especialmente en recepción.
- Tener un protocolo claro de respuesta ante brechas de seguridad.
Yo confío en Lawwwing, ¿y tú a qué estás esperando?
Ahora bien, desde que he empezado a confiar en Lawwwing respiro tranquilamente sabiendo que mi página web cumple con toda la normativa porque:
- Genera y mantiene actualizados los textos legales de la web: política de privacidad, cookies, aviso legal, condiciones de compra
- El banner de cookies cumple con el Google Consent Mode v2.
- Si cambia la normativa, los textos se actualizan
- Integra el derecho de desistimiento obligatorio desde el mes de junio
- Mantiene accesible la página web a todas las necesidades de mis clientes cumpliendo así con la EAA.
- Incorpora un widget para informar sobre el uso de la IA y cumplir con las obligaciones del RIA pero sin afectar a mis ventas.
Así que no esperes más y cumple con Lawwwing.
