Protecció de dades per a
hotels i allotjaments

Sí. El registre de dades d'identitat dels hostes és una obligació legal imposada pel Reial Decret 933/2021. Aquesta obligació legal constitueix la base jurídica del tractament (art. 6.1.c RGPD) i preval sobre el dret de supressió durant el termini de conservació (3 anys). No obstant això, el compliment del RD 933/2021 exigeix registrar les dades del document, no conservar-ne una fotocòpia o escaneig.

No. L'AEPD ha establert amb criteri sancionador reiterat que està prohibit fotocopiar, escanejar o retenir còpies del DNI o passaport dels hostes. El RD 933/2021 obliga a registrar les dades d'identitat, no a conservar una reproducció del document. Aquesta pràctica vulnera el principi de minimització de l'art. 5.1.c RGPD i ha donat lloc a múltiples expedients sancionadors de l'AEPD. El procés de check-in s'ha d'adaptar per recollir les dades sense copiar el suport físic.

No necessàriament. Les grans OTAs (Booking.com, Expedia) generalment actuen com a responsables independents del tractament: gestionen les dades del client sota les seves pròpies polítiques. L'hotel rep les dades que l'OTA li transmet per gestionar la reserva. La relació contractual amb cada OTA determina els rols i l'agència ha de revisar els contractes vigents.

Les dades del Part de Viatgers s'han de conservar 3 anys segons el RD 933/2021. Les dades de facturació, 4 anys per obligació fiscal. Les dades del sistema de gestió hotelera (PMS) s'han de limitar al temps necessari per a la relació amb l'hoste. Si l'hotel té un programa de fidelització, pot conservar dades durant la vigència del programa amb consentiment.

L'admissibilitat de la videovigilància en un hotel depèn de la zona concreta, la finalitat perseguida i l'anàlisi de proporcionalitat. Amb caràcter general, està prohibida en espais on les persones tinguin una expectativa raonable d'intimitat. Cada instal·lació s'ha de documentar en el RAT, comptar amb cartell informatiu i complir els terminis de conservació aplicables. Recomanem analitzar cada cas de forma individualitzada abans d'instal·lar qualsevol sistema de càmeres.

Només amb consentiment informat de l'hoste. Si l'accés al wifi requereix registre amb nom o correu, l'hotel està recollint dades personals i ha d'informar de la finalitat del tractament. No pot utilitzar aquestes dades per a màrqueting sense un consentiment addicional i específic per a aquesta finalitat.

Amb caràcter general sí. El proveïdor del programari PMS que emmagatzema dades d'hostes, reserves i facturació de l'hotel pot actuar com a encarregat del tractament. La relació jurídica exacta depèn de les condicions de cada proveïdor; convé revisar-les i, si actua com a tal, formalitzar el contracte d'encàrrec (DPA) i verificar on s'allotgen les dades, especialment si el PMS és al núvol.