Una casa rural és un negoci petit i molt proper a l'hoste, però des del punt de vista jurídic tracta dades personals amb la mateixa seriositat que un hotel de cent habitacions: rep reserves per la web o per portals com Booking i Airbnb, anota dades d'identitat al check-in, comunica el comunicat de viatgers al Ministeri de l'Interior, factura, conserva contractes de lloguer vacacional i, en molts casos, instal·la càmeres de seguretat perimetrals. La protecció de dades en aquest context no és un paper extra; forma part de l'operativa quotidiana de l'allotjament.
Aquesta guia resumeix la documentació mínima que qualsevol propietari de casa rural hauria de tenir disponible —per obrir un allotjament nou, regularitzar-ne un d'existent o revisar l'estat després d'un canvi de gestoria o de programari de reserves— sota el marc del RGPD (Reglament UE 2016/679), la LOPDGDD (Llei Orgànica 3/2018) i la normativa sectorial específica d'hostatgeria.
Per què una casa rural també tracta dades personals
Encara que l'operativa sigui senzilla i, en molts casos, la gestioni directament el propietari, una casa rural gestiona diversos fluxos de dades personals habituals:
- Hostes: reserves (nom, contacte, dates, nombre de persones), dades del document d'identitat per al registre d'hostatgeria, dades de pagament, comunicacions prèvies i posteriors a l'estada i, si escau, valoracions del client.
- Propietaris i titulars: si l'allotjament opera sota una societat o si hi ha copropietaris, també es gestionen les seves dades personals (administratives, fiscals, bancàries).
- Proveïdors i tercers: persones de contacte de gestoria, empresa de neteja, manteniment, subministraments, plataformes de reserves, programari de gestió i, ocasionalment, empreses de càtering o activitats complementàries.
- Organismes i autoritats: comunicació obligatòria de les dades del registre de viatgers a les Forces i Cossos de Seguretat de l'Estat mitjançant el sistema SES.HOSPEDAJES (Real Decreto 933/2021).
El responsable del tractament és sempre el titular de la casa rural (persona física o societat), encara que la gestió diària la faci una sola persona. Aquesta figura decideix quines dades es recullen i per a què, i per tant assumeix les obligacions del RGPD.
El comunicat de viatgers i la comunicació a les Forces i Cossos de Seguretat
L'obligació de registre de viatgers i la seva comunicació a les autoritats competents arriba també als petits allotjaments turístics. La seva norma de referència és el Real Decreto 933/2021, de 26 d'octubre, que regula les obligacions de registre documental i informació de les persones físiques o jurídiques que exerceixen activitats d'hostatgeria i lloguer de vehicles a motor.
- Base jurídica: art. 6.1.c RGPD —compliment d'una obligació legal— a l'empara del mateix RD 933/2021.
- Dades que es recullen: les que enumera la pròpia norma sectorial (dades identificatives de l'hoste, document d'identitat, dades de l'estada, dades de pagament en els termes previstos). Només les necessàries per complir l'obligació legal.
- Vies telemàtiques: la comunicació es fa pels canals electrònics habilitats per la Secretaria d'Estat de Seguretat, principalment el sistema SES.HOSPEDAJES.
- Termini de conservació: la informació del registre de viatgers s'ha de conservar durant tres anys des de la data de finalització del servei o prestació contractada, d'acord amb el RD 933/2021.
- Com es gestiona el document d'identitat: el propietari anota les dades imprescindibles que exigeix la norma. Mai fotocopia, escaneja ni guarda imatge del DNI o passaport de l'hoste: el criteri sancionador AEPD i el principi de minimització (art. 5.1.c RGPD) ho descarten.
La normativa autonòmica turística (registre d'establiments, fulls d'inscripció, llibres de viatgers autonòmics) pot afegir requisits formals addicionals a cada Comunitat Autònoma; és obligatori comprovar la normativa autonòmica de turisme aplicable a la casa rural.
La documentació mínima del responsable del tractament
Aquests són els documents que, com a mínim, hauria de tenir una casa rural llestos abans del primer check-in. Alguns són obligatoris; altres són bones pràctiques que estalvien problemes quan arriba una reclamació, una inspecció o un canvi de proveïdor.
| Document | Base normativa | Per a què serveix |
|---|---|---|
| Registre d'Activitats de Tractament (RAT) | Art. 30 RGPD | Inventari intern de què es tracta, per a què, durant quant de temps i amb quines mesures. |
| Clàusula informativa per a hostes | Art. 13 RGPD | Informació que es lliura en la confirmació de reserva i al check-in. |
| Política de privacitat de la web | Arts. 13 i 14 RGPD | Versió pública i completa de la informació que el responsable proporciona a l'usuari. |
| Avís legal de la web | Art. 10 LSSICE | Identificació del titular del lloc: denominació, NIF, domicili, email. |
| Política de galetes i bàner | Art. 22.2 LSSICE | Capa informativa i mecanisme de consentiment per a galetes no estrictament necessàries. |
| Contractes d'encarregat del tractament | Art. 28 RGPD | Acord signat amb cada proveïdor que tracti dades per compte de l'allotjament (programari de reserves, gestoria, neteja amb accés a dades). |
| Política de seguretat | Art. 32 RGPD | Mesures tècniques i organitzatives: contrasenyes, còpies de seguretat, custòdia del paper. |
| Protocol de bretxes | Arts. 33–34 RGPD | Procediment per detectar, valorar i, si escau, notificar a l'AEPD i als afectats. |
| Procediment de drets dels interessats | Arts. 15–22 RGPD | Via per atendre accés, rectificació, supressió, oposició, portabilitat i limitació. |
| Cartell informatiu de videovigilància | Art. 22.4 LOPDGDD | Dispositiu informatiu visible a la zona perimetral si hi ha càmeres de seguretat. |
Clàusula informativa a l'hoste (art. 13 RGPD)
El deure d'informació de l'art. 13 RGPD és obligatori encara que la base jurídica no sigui el consentiment. És un error freqüent pensar que, com que la reserva s'empara en l'execució del contracte i la comunicació a les Forces i Cossos de Seguretat en una obligació legal, no cal lliurar res. Sí que cal. La clàusula informativa de la casa rural ha de respondre, en termes senzills però complets:
- Qui tracta les dades: identificació del titular de l'allotjament, adreça i via de contacte en matèria de protecció de dades.
- Quines dades es tracten: les de la reserva, les del document d'identitat per al comunicat de viatgers i les de facturació.
- Per a què es tracten: gestió de la reserva, prestació del servei d'allotjament, compliment del RD 933/2021, facturació, atenció a reclamacions i, si escau, comunicacions comercials si l'hoste les accepta.
- Amb quina base jurídica: execució del contracte (art. 6.1.b), obligació legal per a la comunicació al Ministeri de l'Interior (art. 6.1.c), interès legítim o consentiment, segons el tractament concret.
- A qui es comuniquen: Forces i Cossos de Seguretat de l'Estat (comunicació obligatòria), Administració Tributària, gestoria i, si escau, plataforma de reserves o proveïdor del programari.
- Quant es conserven: tres anys per al registre de viatgers (RD 933/2021), els terminis fiscals i comptables aplicables per a la facturació, i els terminis generals del RGPD per a la resta.
- Com exercir els drets: accés, rectificació, supressió, oposició, limitació, portabilitat i reclamació davant l'AEPD.
La clàusula ha d'estar disponible als punts de captura habituals: formulari de la web, confirmació de reserva per email, fitxa de check-in (en paper o digital) i, si la casa rural envia newsletter, al formulari de subscripció.
Encarregats del tractament habituals en una casa rural (art. 28 RGPD)
Encara que l'operativa sigui petita, gairebé qualsevol casa rural es recolza en proveïdors que tracten dades personals per compte del propietari. Cadascun d'aquests proveïdors és un encarregat del tractament i exigeix un contracte signat en els termes de l'art. 28 RGPD.
| Proveïdor | Dades que tracta | Document clau |
|---|---|---|
| Programari de reserves petit | Fitxes d'hostes, calendaris, facturació | Contracte art. 28 RGPD + ubicació dels servidors |
| Gestoria / assessoria fiscal | Facturació, dades comptables i, si escau, dades de personal | Contracte art. 28 RGPD |
| Plataformes de reserva (Booking, Airbnb) | Dades de l'hoste tramitades a través del portal | Anàlisi cas a cas: habitualment actuen com a responsables independents (veure article 9.3) |
| Empresa de neteja externa | Llistats d'ocupació, accés a l'allotjament | Contracte art. 28 RGPD + clàusula de confidencialitat |
| Empresa de videovigilància (si n'hi ha) | Imatges d'accessos perimetrals | Contracte art. 28 RGPD + termini 30 dies (art. 22.3 LOPDGDD) |
Una nota recurrent: en acabar el contracte, l'encarregat ha de tornar o exportar les dades al responsable, i només després suprimir-les (art. 28.3.g RGPD). Això permet a la casa rural seguir complint amb els seus terminis legals de conservació —fiscals, registre de viatgers— sense dependre del proveïdor sortint. El rol específic de les plataformes tipus Booking o Airbnb es tracta en detall en el tercer article d'aquesta guia.
Videovigilància perimetral: càmeres de seguretat fora de l'allotjament
Moltes cases rurals es troben aïllades o tenen entorns amplis (jardins, accessos, aparcaments), i és habitual instal·lar càmeres de seguretat perimetrals. La videovigilància està permesa amb finalitat de seguretat sobre la propietat, sempre que es respectin aquestes regles:
- Base jurídica: art. 6.1.f RGPD (interès legítim) en els termes de l'art. 22 LOPDGDD.
- Termini de conservació: les imatges s'han de suprimir en un termini màxim de 30 dies des de la seva captació, llevat de conservació per a denúncia d'infraccions o procediment (art. 22.3 LOPDGDD).
- Cartell informatiu visible a la zona d'accés, d'acord amb l'art. 22.4 LOPDGDD, indicant responsable i forma d'exercir drets.
- Cobertura limitada al propi immoble: la càmera no ha de captar la via pública més enllà del que és imprescindible per vigilar l'accés, ni immobles veïns.
- Espais prohibits: l'art. 89.1 LOPDGDD prohibeix taxativament la instal·lació de sistemes de videovigilància o gravació de sons en espais destinats al descans, vestidors, lavabos i zones anàlogues. Traslladat a l'allotjament turístic, això reforça la regla evident: mai càmeres a l'interior de l'allotjament ni als banys o dormitoris destinats a l'hoste. La videovigilància es limita estrictament al perímetre exterior.
Si hi ha càmeres, ha de figurar l'activitat al RAT, comptar amb la cartelleria de l'art. 22.4 LOPDGDD i, quan el sistema l'operi una empresa externa, signar-se contracte de l'art. 28 RGPD amb aquesta empresa.
"En una casa rural, la protección de datos cabe en una carpeta de diez documentos bien hechos. No hace falta más, y tampoco menos. Lo que marca la diferencia es la coherencia entre lo que dice el papel y lo que se hace cada vez que llega un huésped a la puerta."
Mario P. Talamillo · Soci director, Certix®
Si gestiones una casa rural o petit allotjament turístic i vols revisar la teva documentació de protecció de dades, a Certix treballem específicament amb cases rurals. Sense comercials: des del primer contacte, parlaràs amb un especialista.
Guia de protecció de dades per a cases rurals
Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. La normativa autonòmica sectorial pot ampliar o modificar els terminis i requisits de la norma estatal. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada.