En una frase. El sector hostelero español trata datos de reservas, registro de viajeros obligatorio, CCTV, wifi y fidelización con riesgo de sanción AEPD habitual entre 3.000 EUR y 50.000 EUR principalmente por CCTV mal configurada, base de datos compradas y cesión de datos a plataformas.
Puntos clave
- Registro de viajeros obligatorio en hoteles: Real Decreto 933/2021.
- CCTV: cartel obligatorio, conservación máxima 30 días, no zonas íntimas.
- Plataformas como Booking, Airbnb: corresponsables o encargados según caso.
- Datos en TPV y wifi gratuito: base jurídica específica requerida.
- Fidelización y CRM: doble opt-in y separación de finalidades.
Esta guía cubre bares y restaurantes; para hoteles y alojamientos turísticos consulte además la guía de RGPD para hoteles y turismo en España.
1. Registro de viajeros: tratamiento obligatorio
El Real Decreto 933/2021 (vigente desde octubre 2024) exige a hoteles, apartamentos turísticos y alquileres vacacionales registrar hasta 42 campos de datos de viajeros (nombre, DNI, fecha nacimiento, datos de pago, parentesco de menores) y comunicarlos al Ministerio del Interior a través de la plataforma SES.HOSPEDAJES. La base jurídica es una obligación legal del art. 6.1.c RGPD, lo que significa que el cliente no puede oponerse al registro operativo, pero sí conserva sus derechos de acceso y rectificación.
El error más habitual es reutilizar esos datos para finalidades ajenas a la obligación legal (marketing, cesión a terceros): esa reutilización requiere una base jurídica independiente y, sin ella, constituye infracción del principio de limitación de la finalidad del art. 5.1.b RGPD.
Obligaciones complementarias:
- Informar al cliente sobre el tratamiento en el momento de check-in.
- Conservación tres años desde el alta.
- Medidas de seguridad reforzadas (datos de identificación + pago).
- Notificación de brecha si hay compromiso, siguiendo el procedimiento de brecha de seguridad.
2. Reservas online y plataformas
Booking, Expedia, Airbnb, TripAdvisor actúan como:
- Responsable cuando captan reserva y luego ceden datos al hotel.
- Encargado si solo procesan en nombre del hotel.
- Corresponsable en escenarios mixtos.
Cada hotel debe analizar el contrato concreto y formalizar, cuando la plataforma actúa como encargado, un contrato de encargado de tratamiento conforme al art. 28 RGPD. La AEPD ha sancionado a hoteles por enviar marketing sin verificar la base jurídica original de la plataforma: recibir un dato a través de Booking no autoriza automáticamente a incorporarlo a un CRM comercial.
3. Wifi gratuito a clientes
Tres escenarios:
| Escenario | Datos tratados | Base jurídica |
|---|---|---|
| Wifi abierto sin registro | IP, MAC | Interés legítimo |
| Wifi con login email | Consentimiento informado | |
| Wifi con datos personales | + DNI, teléfono | Consentimiento explícito + información |
La práctica de pedir DNI para wifi requiere consentimiento informado y debe ser proporcional. La AEPD ha sancionado a hoteles por exigir datos excesivos.
4. CCTV en establecimientos
Sanciones AEPD frecuentes por:
- Cámaras en zonas íntimas (baños, vestuarios, habitaciones).
- Cámaras en zona de empleados sin información laboral.
- Conservación más de 30 días.
- Falta de cartel informativo.
- Grabaciones compartidas en grupo de WhatsApp.
Sanciones típicas: 3.000-15.000 EUR. La videovigilancia es la primera causa de expedientes sancionadores de la AEPD año tras año, y las Directrices 3/2019 del CEPD sobre tratamiento de datos personales mediante dispositivos de vídeo fijan el estándar europeo de proporcionalidad que la Agencia aplica. La regla práctica: instale cámaras solo donde exista un riesgo concreto de seguridad, señalice con el cartel homologado, no enfoque nunca la vía pública ni propiedades vecinas y conserve las imágenes un máximo de 30 días.
5. Fidelización y CRM
Programas tipo “club” o “VIP” exigen:
- Información clara sobre tratamientos (operativo + marketing + perfilado).
- Casillas separadas para cada finalidad.
- Doble opt-in en alta online.
- Posibilidad de baja en cada comunicación.
La compra de bases de datos para marketing turístico es prácticamente siempre infracción.
6. Datos de pago y PCI-DSS
El sector hostelero maneja millones de tarjetas. Obligaciones:
- Cumplimiento PCI-DSS según volumen.
- TPV homologado.
- No conservar CVV bajo ninguna circunstancia.
- Tokenización si se necesita re-cobro.
- Notificación AEPD + cliente en caso de brecha.
7. Empleados: datos laborales en hostelería
Alta rotación implica gran volumen de altas y bajas. Riesgos:
- Conservación excesiva de currículums tras procesos.
- Falta de información en momento de contratación.
- Datos de salud para uniformes/comidas: justificación específica.
- Datos de menores trabajadores en formación profesional.
8. Reservas telefónicas y grabación
Si el establecimiento graba llamadas para confirmación de reserva o calidad:
- Información clara al inicio: “esta llamada puede ser grabada”.
- Base jurídica: ejecución de contrato (reserva) o interés legítimo (calidad).
- Conservación limitada al plazo necesario.
- Acceso restringido a las grabaciones.
9. Información a clientes en cartas y menús
QR codes para acceder a cartas digitales tratan datos:
- Si solo muestran la carta: no tratamiento personal.
- Si requieren login o tracking: información y base jurídica.
- Si conectan con pedidos: contrato.
La integración con sistemas tipo TheFork, ElTenedor, OpenTable obliga a revisar contratos art. 28 RGPD.
10. Sanciones AEPD relevantes en hostelería
El importe de una sanción no depende solo de la infracción, sino de los criterios de graduación del art. 83.2 RGPD: intencionalidad, número de afectados, categorías de datos y grado de colaboración. Para entender cómo se calcula el importe final, consulte la guía de sanciones RGPD y horquillas AEPD. Estos son ejemplos representativos del sector hostelero:
| Establecimiento | Importe (EUR) | Motivo |
|---|---|---|
| Cadena hotelera (4*) | 30.000 | CCTV habitaciones personal |
| Restaurante Madrid | 15.000 | Email marketing sin consentimiento |
| Hotel boutique | 25.000 | Brecha sin notificar 72h |
| Restaurante celebración | 10.000 | Fotos clientes en RRSS |
| Hotel rural | 8.000 | Wifi pidiendo DNI sin info |
| Cadena bares franquicia | 35.000 | Lista negra clientes morosos |
11. Brechas en hostelería
El sector hotelero es objetivo prioritario de ataques (PMS, sistemas de reservas). Procedimiento ante brecha:
- Identificación y contención inmediata.
- Análisis del alcance (qué datos, cuántos clientes).
- Notificación AEPD en 72 horas si riesgo.
- Comunicación a afectados si alto riesgo.
- Análisis forense y medidas correctivas.
- Documentación completa para registro art. 33.5.
12. Derechos de los clientes: acceso, supresión y oposición
Un cliente puede solicitar en cualquier momento acceder a sus datos de reservas, rectificar un error en la ficha de fidelización o suprimir su perfil de marketing. El establecimiento dispone de un mes para responder (art. 12.3 RGPD), prorrogable a dos meses en casos complejos. La atención al cliente y la recepción son el primer punto de contacto de estas solicitudes, por lo que deben saber identificarlas y canalizarlas. Revise el detalle en la guía de derechos ARCO y su ejercicio bajo el RGPD. El error más caro es ignorar una solicitud de baja de marketing: la reiteración de comunicaciones tras una oposición expresa agrava la sanción.
13. Cómo cumplir RGPD en hostelería
Véase también: sanciones AEPD en hostelería y turismo.
FAQ
¿Es obligatorio enviar mis datos al Ministerio del Interior si me alojo en un hotel?
Sí. El Real Decreto 933/2021 obliga al establecimiento. El cliente debe ser informado pero no puede oponerse al tratamiento operativo de la obligación legal.
¿Puedo pedir que un restaurante deje de enviarme emails?
Sí. Ejerza el derecho de oposición (art. 21 RGPD) o use el link de baja en el email. Tienen 48-72 horas para cesar.
¿Pueden poner cámaras en la cocina o vestuarios?
En cocina sí con información laboral y proporcionalidad. En vestuarios NO bajo ninguna circunstancia conforme al art. 89 LOPDGDD.
¿Booking comparte mis datos con el hotel?
Sí, conforme a su política de privacidad y al contrato hotel-Booking. El hotel asume responsabilidades sobre los datos una vez recibidos, pero solo puede usarlos para gestionar la estancia, no para marketing sin base jurídica propia.
¿Cuánto tiempo puede conservar un hotel mis datos de reserva?
Los datos operativos de la reserva se conservan durante la relación y los plazos de prescripción fiscal y contable aplicables (habitualmente hasta seis años para facturación). Los datos del registro de viajeros se conservan tres años por el RD 933/2021. Los datos de marketing solo mientras mantenga el consentimiento.