RGPD para hoteles y B&B: gestionar los datos de los huéspedes conforme a la ley

Un hotel o B&B trata datos personales cada día: desde el documento presentado al llegar hasta el correo de confirmación. La legalidad depende, entre otros factores, de la finalidad, la base jurídica, la información al huésped, la seguridad y la conservación. Esta guía ofrece una primera orientación y no sustituye la revisión de tu caso concreto.

Qué datos tratas (a menudo sin darte cuenta)

Un establecimiento de alojamiento recopila más datos de los que imaginas. Algunos son obligatorios por ley, otros sirven para prestar el servicio y otros los pides simplemente para trabajar mejor.

• Documentos de identidad y datos personales (nombre, fecha de nacimiento, nacionalidad) para el registro de huéspedes
• Contactos: correo electrónico y número de teléfono para confirmar la reserva y asistir al huésped
• Datos de pago y facturación, gestionados en gran parte por el circuito bancario
• Preferencias y notas de la estancia (piso alto, alergias, hora de llegada)
• Matrículas para ZTL o aparcamiento, si procede

Las bases jurídicas: por qué puedes tratarlos

Cada dato debe tener una razón jurídica. No es burocracia abstracta: es lo que te protege si alguien te pide cuentas. En la práctica, para un establecimiento de alojamiento las bases son tres.

• Obligación legal: la comunicación de los alojados a las autoridades de seguridad pública viene impuesta por la normativa; aquí no hace falta el consentimiento, es más, no puedes renunciar a ella
• Ejecución del contrato: para gestionar la reserva, la estancia y el pago te bastan los datos necesarios, sin pedir autorizaciones
• Consentimiento: solo se necesita para lo que va más allá del servicio, típicamente el marketing — boletines, ofertas, solicitudes de reseña. Debe ser libre, específico y revocable

La distinción es muy práctica: no puedes dar de alta de oficio en el boletín a quien simplemente ha reservado una habitación.

Durante cuánto tiempo conservarlos

Conservarlo todo para siempre es un error tanto como borrar demasiado pronto. La regla es conservar cada dato solo mientras sirva a su finalidad.

• Datos de los alojados: la transmisión a las autoridades de seguridad pública sigue los plazos de ley, no es un archivo de marketing para reutilizar
• Documentos fiscales y facturas: la conservación civil y fiscal en Italia es habitualmente decenal
• Contactos para marketing: mientras el huésped no revoque el consentimiento; después deben eliminarse
• Preferencias y notas de la estancia: útiles para el regreso del huésped, pero deben revisarse y depurarse periódicamente

Un buen principio: si un dato ya no sirve a ninguna de sus finalidades, se borra.

Los derechos de los huéspedes

El huésped sigue siendo titular de sus propios datos y puede ejercer ciertos derechos. Debes poder responder en plazos razonables, aunque solo sea con un procedimiento claro sobre quién se encarga.

• Acceso: saber qué datos tratas y obtener una copia
• Rectificación: corregir información errónea o incompleta
• Supresión: ser olvidado, cuando no prevalezca una obligación de conservación
• Oposición al marketing y revocación del consentimiento en cualquier momento

Medidas prácticas para aplicar de inmediato

La seguridad de los datos no requiere un departamento de TI: requiere hábitos. En los establecimientos pequeños, la mayoría de los problemas nace de papeles dejados por ahí y de mensajes informales, no de ataques sofisticados.

• Accesos limitados: cada colaborador ve solo lo que necesita, con cuentas personales y no compartidas
• Nada de datos sensibles en hojas de papel, cuadernos de la recepción o grupos de WhatsApp
• Datos y documentos en sistemas cifrados, con contraseñas robustas y, donde sea posible, autenticación de dos factores
• Copias de los documentos eliminadas en cuanto ya no sirven
• Un responsable interno capaz de responder a una solicitud del huésped

En resumen

Los tipos de datos, las bases jurídicas y los plazos de conservación son puntos de partida importantes, pero no una lista completa de cumplimiento. En el programa piloto de HotelOnlineAI podemos revisar las necesidades de organización de datos y la configuración pertinente para tu alojamiento. Los roles, los accesos, la conservación y la documentación del tratamiento deben acordarse para tu caso con el apoyo de un asesor de privacidad.