Plataformes de reserva (Booking, Airbnb) en una casa rural: què tenir en compte segons el RGPD

Una bona part de les reserves de qualsevol casa rural arriba avui per Booking, Airbnb o per portals més especialitzats en allotjament rural. Per al propietari, aquests canals són una eina comercial imprescindible. Per a la protecció de dades, són una capa intermèdia entre l'hoste i l'allotjament que mereix una anàlisi específica: qui és responsable de què? Quin document escau signar amb ells? Què passa amb les dades de l'hoste que entren per allà? I quan es trenca la relació amb la plataforma?

Aquesta guia repassa el règim del RGPD aplicat a la relació entre una casa rural i els portals de reserves: la distinció clau entre responsable independent i encarregat del tractament, el flux real de les dades de l'hoste, el deure d'informació de l'art. 13 RGPD i la gestió de bretxes, retencions i baixes del canal.

Com funcionen les plataformes de reserva des del punt de vista del RGPD

El RGPD diferencia dos rols principals per a qualsevol organització que tracti dades personals:

• Responsable del tractament (art. 4.7 RGPD): qui decideix les finalitats i mitjans del tractament.
• Encarregat del tractament (art. 4.8 RGPD): qui tracta dades personals per compte del responsable, seguint les seves instruccions, sense decidir les finalitats.

A aquests dos rols s'afegeix el de responsables paral·lels o conjunts (art. 26 RGPD), que apareix quan dues organitzacions determinen conjuntament les finalitats i mitjans. La qualificació d'un portal de reserves com a responsable independent, encarregat o corresponsable depèn del flux real de dades i de qui pren cada decisió.

Distinció clau: responsable independent o encarregat del tractament?

La resposta no és uniforme: depèn del portal concret i del moment del flux. Com a criteri general, en el cas dels grans portals al consumidor final (Booking, Airbnb, Expedia o equivalents), la lectura més estesa i conservadora és que habitualment actuen com a responsables independents sobre les dades de l'hoste, no com a encarregats de l'allotjament. Les raons operatives són consistents amb aquesta lectura:

• El portal capta les dades de l'hoste pel seu propi compte (registre de l'usuari al portal, perfil del client, cerques i reserves), abans que l'allotjament intervingui.
• Manté una base de dades pròpia de l'hoste, aliena a la de l'allotjament, i la fa servir per a finalitats pròpies del portal (recomanacions, fidelització, comunicacions comercials, perfilat).
• Quan transmet la reserva a l'allotjament, no ho fa seguint instruccions de l'allotjament, sinó aplicant els seus propis termes i condicions.
• L'hoste rep la política de privacitat pròpia del portal i exerceix els seus drets davant el portal directament.

En el cas de canals B2B més especialitzats (channel managers, portals de nínxol que només distribueixen disponibilitat i comuniquen reserves seguint instruccions de l'allotjament) la lectura pot ser diferent: aquí és més probable que el portal actuï com a encarregat del tractament de l'allotjament, cosa que activa el contracte de l'art. 28 RGPD.

Una afirmació tallant i universal sobre el rol de Booking, Airbnb o qualsevol altra plataforma seria imprudent: el rol concret depèn del model de negoci del portal i del flux real de dades. La regla pràctica és: analitzar cas per cas, llegir les clàusules del portal sobre tractament de dades i, davant del dubte, plantejar la consulta a un especialista.

Quan la plataforma actua com a responsable independent

En aquest escenari —el més habitual amb Booking i Airbnb— ambdues parts són responsables paral·lels sobre les dades de l'hoste, cadascun per la seva part del tractament:

• El portal és responsable de la captació, del perfil de l'usuari, del màrqueting del portal, de la seva pròpia base de dades històrica i de l'atenció a drets de l'hoste davant aquesta part.
• La casa rural és responsable, per la seva banda, de les dades que rep per gestionar l'estada: confirmació de la reserva, prestació del servei d'allotjament, compliment del Real Decreto 933/2021, facturació, atenció a reclamacions i, si escau i amb base pròpia, comunicacions comercials o programa de fidelització propi.

Cada part respon davant l'hoste per la seva pròpia quota de tractament. L'allotjament no s'allibera del RGPD pel fet que la reserva hagi entrat per una plataforma: segueix sent responsable del tractament que realitza amb les dades rebudes.

Quan la plataforma actua com a encarregat del tractament

És menys comú amb els grans portals al consumidor, però sí que passa amb channel managers, motors de reserves integrats i certs canals B2B especialitzats: el portal tracta les dades de l'hoste per compte de l'allotjament, seguint les seves instruccions, sense finalitats pròpies significatives. En aquest cas:

• Escau signar un contracte d'encarregat del tractament de l'art. 28 RGPD, amb el contingut mínim de l'art. 28.3 (objecte, durada, naturalesa i finalitat del tractament, tipus de dades, obligacions i drets del responsable, etc.).
• L'encarregat ha de treballar sota instruccions documentades de l'allotjament, comprometre's a la confidencialitat del personal, aplicar mesures tècniques i organitzatives apropiades i notificar les bretxes al responsable.
• En finalitzar el contracte, opera l'art. 28.3.g RGPD: l'encarregat ha de tornar o suprimir les dades a elecció del responsable. A la pràctica, primer exportar la base a l'allotjament en un format útil i només després procedir a la supressió en els sistemes de l'encarregat.

Quines dades de l'hoste rep l'allotjament des de la plataforma i com tractar-les

Quan arriba una reserva a través d'un portal, l'allotjament rep normalment un conjunt acotat de dades: nom de l'hoste principal, contacte, dates, nombre de persones, import i, en alguns casos, dades parcials de pagament. La regla pràctica és:

• Tractar aquestes dades només per a les finalitats de la reserva: prestació del servei, compliment del RD 933/2021, facturació i, si escau, comunicacions operatives amb l'hoste.
• Completar l'imprescindible al check-in (dades del document d'identitat per al comunicat de viatgers), aplicant la regla d'or de la guia: anotar dades, no fotocopiar el document.
• No fer servir les dades per a màrqueting propi sense una base legítima pròpia (consentiment de l'hoste a la casa rural, o interès legítim en clientela existent amb productes anàlegs en els termes de l'art. 21.2 LSSICE).
• Documentar al RAT el flux: origen de la dada (plataforma), finalitats, base jurídica i terminis.

Coordinació del deure d'informació (art. 13 RGPD) amb la plataforma

El deure d'informació de l'art. 13 RGPD s'activa sempre que l'allotjament recull dades personals, amb independència del canal. La política de privacitat de la plataforma cobreix només la part del tractament del portal. A la pràctica:

• L'hoste rep la política de privacitat pròpia del portal en registrar-se i reservar a la plataforma.
• Quan entra en contacte directe amb la casa rural —email de confirmació de l'allotjament, missatge previ al check-in, fitxa de registre a l'arribada— ha de rebre també la clàusula informativa pròpia de l'allotjament.
• La clàusula de l'allotjament ha d'esmentar la plataforma com a origen de la dada (quan escaigui) i les Forces i Cossos de Seguretat com a destinatari de la comunicació obligatòria (RD 933/2021).

Aquesta doble informació no és redundant: cada part informa de la seva pròpia quota de tractament.

Bretxes de seguretat a la plataforma

Una bretxa als sistemes d'un portal gran és un escenari realista. L'assignació de responsabilitats depèn del rol de cada part sobre les dades afectades:

• Si la bretxa afecta dades sota control del portal en el seu rol de responsable independent, l'obligació de notificació a l'AEPD i, si escau, als afectats, recau principalment en la plataforma (arts. 33 i 34 RGPD).
• Si la bretxa afecta dades que l'allotjament ja té sota el seu control —fitxes al seu programari, comunicats físics, contractes— l'obligació de notificació recau en l'allotjament com a responsable.
• Si la plataforma actua com a encarregat i pateix una bretxa, l'ha de notificar a l'allotjament (responsable) sense dilació indeguda (art. 33.2 RGPD), i l'allotjament valora la notificació a l'autoritat i als afectats.

Per això és important tenir un protocol intern de bretxes que activi la valoració quan es rebi qualsevol comunicació d'un portal en aquest sentit.

Quan finalitza la relació amb la plataforma

La sortida del canal és un moment en què convé tenir clares les regles:

• Si la plataforma actuava com a encarregat del tractament, opera l'art. 28.3.g RGPD: dret a rebre la devolució íntegra de les dades en un format útil (CSV, Excel) abans de la supressió en els sistemes de l'encarregat. L'operativa correcta és exportar primer, verificar després i sol·licitar la supressió per escrit al final.
• Si la plataforma actuava com a responsable independent, no aplica l'art. 28.3.g —no era encarregada—. Cada part gestiona la retenció de la seva pròpia base d'acord amb els seus terminis i obligacions legals. L'allotjament conserva íntegres les dades que ell mateix va recollir (comunicat de viatgers, facturació, fitxes pròpies) pel temps que correspongui.

D'aquí una recomanació pràctica essencial: no dependre exclusivament del portal per conservar la informació de l'hoste. Les dades imprescindibles per al compliment del RD 933/2021, la facturació i l'atenció a reclamacions han d'estar al sistema propi de l'allotjament (o en format físic custodiat sota clau), no només a la interfície del portal.

Si gestiones una casa rural o petit allotjament turístic i vols revisar la teva documentació de protecció de dades, a Certix treballem específicament amb cases rurals. Sense comercials: des del primer contacte, parlaràs amb un especialista.

Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. La normativa autonòmica sectorial pot ampliar o modificar els terminis i requisits de la norma estatal. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada.