Bidaia-agentzia batek lehen minututik tratatzen ditu datu pertsonalak: bezeroak aurrekontua eskatzen du, pasaportearen izen-abizen zehatzak partekatzen ditu, lagunen datak, elikadura-lehentasunen bat, mugikortasun murriztuko aukerako behar bat eta, adingabeak daudenean, bidaiatzen duen seme-alabaren edo iloben izena eta jaiotza-data. Ondoren etortzen dira hegazkin-konpainiekin, hotelekin, aseguru-etxeekin eta, helmugak hala eskatzen badu, iristen den herrialdeko agintariekin egindako erreserbak. Datuen babesa ez da espedientearen amaieran gehitzen den izapide bat: bidaia konbinatuaren espediente beraren parte da.
Gida honek edozein bidaia-agentziak eskura izan beharko lukeen gutxieneko dokumentazioa laburbiltzen du —agentzia berri bat irekitzeko, dagoen bat erregularizatzeko edo aholkularitza edo GDS aldaketa baten ondoren egoera berrikusteko— DBEOren (EB 2016/679 Erregelamendua), DBLOren (3/2018 Lege Organikoa) eta turismo sektoreko araudi sektorial espezifikoaren markoan.
Zergatik tratatzen dituen bidaia-agentzia batek datu pertsonalak intentsitatez
Bidaia konbinatu baten espediente tipikoak hainbat kategoriatako eta hainbat titularretako datuak biltzen ditu aldi berean. Hasieratik identifikatuta izatea komeni da:
- Bezero kontratatzaileak: izen-abizenak, NAN edo pasaportea, jaiotza-data, kontaktua, fakturazio-datuak eta ordainketa-datuak.
- Laguntzaile helduak: oinarrizko datu identifikatzaile berberak, espedienteko bidaiari-baldintzan.
- Bidaiatzen duten adingabeak: izena, jaiotza-data, pasaportearen datuak bidaiak hala eskatzen baditu eta, hala badagokio, guraso-aginpidea duenaren baimena.
- Adierazitako behar bereziak: elikadura-alergiak, intolerantziak, mugikortasun murriztua, laguntza medikoa, menu espezifikoak. Osasun datuak dira (DBEOren 9. art.) eta tratamendu indartua eskatzen dute.
- Hornitzaileak eta kolaboratzaileak: hegazkin-konpainietako, hotel-kateetako, helmugako jasotzaileetako, bidaia-aseguru etxeetako, aholkularitzako eta ordainketa plataformako kontaktu pertsonak.
- Helmugako herrialdeko agintariak: zenbait bidaiatan, bidaiariaren datuak helmugako migrazio edo osasun agintariei komunikatzen zaizkie, herrialdeko araudiak eskatzen duenaren arabera.
Tratamenduaren arduraduna bidaia-agentzia bera da (pertsona juridikoa edo titular autonomoa), zer datu jasotzen diren, zertarako eta zer baliabiderekin erabakitzen duena. Rol hori bere kontratatutako hegazkin-konpainia, hotel edo aseguru-etxe bakoitzaren rolaren independentea da: bakoitzak arduradun independente gisa jokatzen du bidaiaren barruan exekutatzen duen tratamenduaren zatiaren gainean.
Tratamenduaren arduradunaren gutxieneko dokumentazioa
Hauek dira, gutxienez, bidaia-agentzia batek lehen espedientea baino lehen prest izan beharko lituzkeen dokumentuak. Batzuk derrigorrezkoak dira; beste batzuk arazoak aurrezten dituzten praktika onak dira erreklamazio bat, kontsumo ikuskaritza bat edo hornitzaile aldaketa bat iristen denean.
| Dokumentua | Oinarri arauemailea | Zertarako balio duen |
|---|---|---|
| Tratamendu Jardueren Erregistroa (TJE) | DBEO 30. art. | Zer tratatzen den, zertarako, zenbat denboraz eta zer neurrirekin barneko inbentarioa. |
| Bezeroentzako klausula informatiboa | DBEO 13. art. | Bidaia kontratatzean eta laguntzaileen eta adingabeen datuak biltzean ematen den informazioa. |
| Webaren pribatutasun politika | DBEO 13. eta 14. art. | Agentziak web erabiltzaileari ematen dion informazioaren bertsio publiko eta osoa. |
| Webaren ohar legala | LSSICE 10. art. | Webgunearen titularraren identifikazioa, izendapena, IFK/NAN, helbidea, bidaia-agentzia erregistro-zenbakia. |
| Cookie politika eta banner-a | LSSICE 22.2 art. | Hertsiki beharrezkoak ez diren cookientzako informazio geruza eta baimen-mekanismoa. |
| Tratamendu-eragilearen kontratuak | DBEO 28. art. | Agentziaren kontura datuak tratatzen dituen hornitzaile bakoitzarekin sinatutako akordioa (GDS, CRM turistikoa, aholkularitza, ordainketa plataforma). |
| Segurtasun politika | DBEO 32. art. | Neurri tekniko eta antolakuntzazkoak: GDSrako sarbide indibidualak, pasahitzak, segurtasun kopiak, paper-zaintza. |
| Urraketen protokoloa | DBEO 33.–34. art. | Detektatzeko, baloratzeko eta, hala badagokio, AEPDri eta eragindakoei jakinarazteko prozedura. |
| Interesdunen eskubideen prozedura | DBEO 15.–22. art. | Sarbidea, zuzenketa, ezabaketa, aurkakotasuna, eramangarritasuna eta mugaketa artatzeko bidea. |
Bidaia konbinatuen espedienteak: edukia, kontserbazioa eta dokumentu-aztarna
Bidaia konbinatu baten espedienteak irakurketa bikoitza du. Ikuspuntu merkantil eta kontsumotik, Kontsumitzaile eta Erabiltzaileen Defentsarako Lege Orokorra (RD Legislativo 1/2007 onartutako testu bategina, RD-Ley 23/2018ren bidez aldatua bidaia konbinatuei eta bidaia zerbitzu lotuei dagokienez) kontratua, bidaia-baldintzak, kontratu aurreko informazioa, aldaketak eta, hala badagokio, gertakariak eta erreklamazioak dokumentatzera behartzen du. DBEOren ikuspuntutik, espediente berberak datu pertsonalak dauzka, helburuak eta lotutako legezko epeak irauten duten bitartean kontserbatzen direnak.
- Kontratu eta kontsumo betebeharrengatiko kontserbazioa: irizpide zuhur eta orokor gisa, gutxi gorabeherako bost urteko horizontea aplikatzen da Kode Zibileko akzio pertsonalen epe orokorretatik eratorria (KZren 1964. art. 2015eko erreformaren ondoren) eta kontsumo araudiaren betebeharrak. Izaera merkantileko betebeharrentzat, Merkataritza Kodeak sei urterako epeak aurreikusten ditu dokumentazio merkantilarentzat (MK 30. art.).
- Zerga betebeharrengatiko kontserbazioa: ondorio fiskaleko dokumentazioa Zerga Lege Orokorraren eta garapen araudiaren epeen arabera gordetzen da (orokorrean, preskripzio fiskaleko epeak).
- Espedientearen barneko minimizazioa: zerbitzuaren prestazioa egiaztatzeko eta erreklamazioak artatzeko beharrezkoa dena gordetzen da; ez da beharrezkoa pasaportearen kopia osoak ezta osasun datu xehatuak gordetzea baliagarriak izan ziren denboratik haratago.
Turismo sektoreko autonomia-erkidegoko araudiak (agentzien erregistroak, erreklamazio orriak, bezeroari emandako dokumentazioari buruzko betekizun formalak) eskakizun gehigarriak gehitu ditzake autonomia-erkidego bakoitzean. Establezimenduari aplikatu beharreko autonomia-erkidegoko araudia egiaztatzea derrigorrezkoa da.
Bezeroari klausula informatiboa (DBEO 13. art.)
DBEOren 13. art.aren informatzeko betebeharra derrigorrezkoa da, nahiz eta tratamenduaren oinarri juridikoa kontratua betetzea izan. Sektorearen akats ohikoenetako bat da: bidaia kontratatzen denez ezer ez dela eman behar pentsatzea. Bai eman behar da. Agentziaren klausula informatiboak, modu errazean baina osoan, hauei erantzun behar die:
- Nork tratatzen dituen datuak: agentziaren identifikazioa, bidaia-agentzia gisa erregistro-zenbakia, helbidea eta datuen babes gaian kontaktu-bidea.
- Zer datu tratatzen diren: bezeroaren eta laguntzaileen identifikatzaileak, pasaportearen edo NANaren datuak, jaiotza-data (bereziki garrantzitsua adingabeentzat), ordainketa datuak, adierazitako behar bereziak (alergiak, mugikortasun murriztua, laguntza medikoa).
- Zertarako tratatzen diren: bidaiaren espedientearen kudeaketa, hornitzaileekiko kontratazioa (hegazkin-konpainia, hotela, jasotzailea, aseguru-etxea), fakturazioa, bezeroarentzako arreta eta erreklamazioak, hala badagokio helmugako herrialdeko legezko betebeharrak betetzea.
- Zer oinarri juridikorekin: kontratua betetzea (6.1.b art.) oinarri orokor gisa; legezko betebeharra (6.1.c art.) legeak eskatutako tratamenduentzat; baimena (6.1.a art.) marketin propiorako halakorik balego; eta, adierazitako osasun-behar eta alergientzat, oinarri bikoitza: 6.1.b art. + 9.2.a art. (baimen esplizitua).
- Nori komunikatzen zaizkion: hegazkin-konpainia, hotel-katea, helmugako jasotzailea, bidaia-aseguru etxea, ordainketa plataforma, Zerga Administrazioa, aholkularitza eta, helmugak hala eskatzen duenean, iristen den herrialdeko agintariak.
- Nazioarteko transferentziak: bidaiak EBtik kanpoko helmugak inplikatzen dituenean, helmugako herrialdeko hegazkin-konpainia, hotel edo agintariari datuak komunikatzearen berariazko aipamena, oinarri gaitzailea identifikatuz (DBEO 49.1.b art. interesdunarekin kontratua betetzeko beharrezko komunikaziorako).
- Zenbat denbora gordetzen diren: bidaiaren iraupena eta espedienteari aplikatu beharreko ondorengo kontserbazio-epeak (kontsumoa, merkantila, fiskala).
- Eskubideak nola erabili: sarbidea, zuzenketa, ezabaketa, aurkakotasuna, mugaketa, eramangarritasuna eta AEPDren aurrean erreklamazioa.
Klausulak harreta-leku ohikoetan eskuragarri egon behar du: webaren formularioa, aurrekontu-orria, bidaia konbinatuaren kontratua, behar berezien fitxa eta, agentziak buletina bidaltzen badu, harpidetza formularioan.
Espedienteko datu bereziak: alergiak, mugikortasun murriztua, laguntza medikoa
Bezero batek elikadura-alergia bat, intolerantzia bat, mugikortasun murriztua edo laguntza medikoaren beharra adierazten duenean, informazio hori osasun datua da (DBEO 9. art.). Agentziak behar ditu zerbitzua bermatzeko (hegaldiko menu berezia, aireportuko laguntza, gela egokitua, helmugan garraio irisgarria), baina tratamenduak oinarri juridiko bikoitza eskatzen du:
- DBEO 6.1.b art.: kontratua betetzea. Informazio horren gabe, agentziak ezin du zerbitzua segurtasunez prestatu.
- DBEO 9.2.a art.: bezeroaren baimen esplizitua informazio zehatz hori hegazkin-konpainiari, hotelari, jasotzaileari eta aseguru-etxeari komunikatzeko.
Operatibaren terminoetan, klausula informatiboak azaldu behar du datu horiek zerbitzura egokitu behar diren hornitzaileei soilik bidaltzen direla, bidaia prestatzeko ezinbestekoa den denboran, eta ez direla agentziaren datu-base komertzial edo marketinekoetan sartzen. Bezeroak informazio hori ez komunikatu nahi badu, agentziak baloratu behar du zerbitzua egokitzapen horren gabe prestatu dezakeen; baina ezin du beste helburu batzuetarako eskatu.
Adingabeen datuak familia-erreserbetan
Familia-erreserbetan ohikoa da adingabe bat edo gehiago sartzea. Hemen DBEOren eta DBLOren bi arau funtsezko sartzen dira:
- DBLOren 7. art.ak Espainian adingabearen baimen-atalasea 14 urtetan finkatzen du. Adin horren azpitik, baimena guraso-aginpidea edo tutoretza duenari dagokio.
- Familia-bidaien erreserbetan, egiazki ez gaude baimen eszenatoki batean, baizik eta gurasoek edo tutoreek sinatzen duten kontratua betetzeko eszenatokian (6.1.b art.). Agentziak adingabearen datuak tratatzen ditu, gurasoen erreserbaren babespean bidaiatu ahal izateko.
- Arau operatibo gisa: adingabearen ezinbesteko datuak soilik jasotzen dira (izena, jaiotza-data, pasaporte-zenbakia helmugak hala eskatzen badu). Ez dira datu osagarri ez beharrezkorik eskatzen. Adingabeak elikadura-alergiarik balitu, aurreko atalaren oinarri bikoitza aplikatzen da eta informazioa hegazkin-konpainiari eta hotelari transmititzen zaie elikadura-segurtasuna bermatzeko.
- Helmuga batzuek eskatzen dituzten adingabeen bidaia-baimenak (adingabea gurasoetako bakar batekin edo hirugarren batekin bidaiatzen duenean) helburua guraso-aginpidea duenaren adostasuna egiaztatzea duten dokumentuak dira. Bidaiaren espedientean gordetzen dira, ez datu-base komertzialetan.
Ohiko tratamendu-eragileak (DBEO 28. art.)
Agentzia baten espedientea agentziaren kontura datu pertsonalak tratatzen dituzten hornitzaile batzuen mende dago. Bakoitza tratamendu-eragile bat da eta DBEOren 28. art.aren terminoetan sinatutako kontratua eskatzen du.
| Hornitzailea | Tratatzen dituen datuak | Funtsezko dokumentua |
|---|---|---|
| GDS (Amadeus, Sabre, Travelport) | Bidaiariaren datuak hegaldi, hotel eta zerbitzu lotuen erreserbetarako | DBEO 28. art. kontratua + nazioarteko transferentzien azterketa |
| CRM turistikoa / back-office | Bezeroaren fitxak, bidaien historikoa, dokumentu-kudeaketa | DBEO 28. art. kontratua + zerbitzarien kokapena |
| Aholkularitza / aholkularitza fiskala | Fakturazioa, kontabilitate datuak, langileak | DBEO 28. art. kontratua |
| Ordainketa plataforma (TPV birtuala) | Bezeroaren ordainketa datuak | DBEO 28. art. kontratua + PCI-DSS betetzea |
| Hegazkin-konpainiak, hotelak, aseguru-etxeak, jasotzaileak | Bidaiariaren datuak kontratatutako zerbitzua prestatzeko | Ohikoan arduradun independenteak; kasuz kasuko azterketa |
Ohar errepikari bat: kontratua amaitzean, eragileak datuak arduradunari itzuli edo esportatu behar dizkio, eta gero soilik ezabatu (DBEO 28.3.g art.). Horrek aukera ematen dio agentziari espedienteen historikoa legezko epeetan zehar —kontsumoa, merkantila, fiskala— gordetzeko, irteten ari den hornitzailearen mende egon gabe. GDSri eta CRMri aplikatu beharreko erregimenaren xehetasunak gida honetako hirugarren artikuluan garatzen dira.
Nazioarteko transferentziak bidaien sektorean
Bidaia-agentzia batek, ia definizioz, Europako Esparru Ekonomikotik kanpoko datuen komunikazioak egiten ditu. Garrantzitsua da maiz nahasten diren bi eszenatoki ezberdin bereiztea:
- Interesdunarekin kontratua betetzeko beharrezko komunikazioa (DBEO 49.1.b art.): bezeroaren datuak helmugako herrialdeko hegazkin-konpainiari, ostatatzen den hotelari, bidaia estaltzen duen aseguru-etxeari edo iristen den herrialdeko migrazio agintariari bidaltzen zaizkienean, transferentzia hori bidaia-kontratuaren izaera berean oinarritzen da. Ez du egokitasun erabakirik ezta kontratu klausula tiporik eskatzen: bezeroak kontratatu duen zerbitzu-prestazioaren parte da.
- CCT, DPF edo egokitasun erabakiarekin erregulatutako nazioarteko transferentzia: agentziak EBtik kanpoko hornitzaile bat kontratatzen duenean bere kontura datuak trata ditzan (AEBetan zerbitzariak dituen GDS bat, EB ez den eskualdean ostatatzen den CRM bat, EBtik kanpoko hosting edo laguntza tekniko zerbitzua), bermeak eskatzen dituen ohiko nazioarteko transferentzia baten aurrean gaude. AEBetan, ohiko bermea hornitzailearen Data Privacy Framework (DPF)rekiko atxikipena da; beste helmuga batzuetan, Batzordeak onartutako Kontratu Klausula Tipoak (CCT) edo, badagoenean, egokitasun erabakia.
Bezeroari klausula informatiboak modu ulergarrian aipatu behar ditu bi eszenatokiak: bere bidaian helmugako herrialdeko hornitzaile eta agintariei datuak komunikatuko zaizkiela (49.1.b art.) eta agentziaren hornitzaile teknologikoek EBtik kanpoko zerbitzarietan datuak tratatu ditzaketela aplikatu beharreko bermeekin.
"En una agencia de viajes la protección de datos se juega en el expediente. Si está claro qué datos se piden, para qué, durante cuánto tiempo, con quién se comparten y bajo qué base jurídica, todo lo demás —contratos con proveedores, deber de información, transferencias internacionales— encaja casi solo."
Mario P. Talamillo · Bazkide-zuzendaria, Certix®
Bidaia-agentzia bat kudeatzen baduzu eta zure datuen babeseko dokumentazioa berrikusi nahi baduzu, Certixen bidaia-agentziekin bereziki lan egiten dugu. Komertzialik gabe: lehen kontaktutik, espezialista batekin hitz egingo duzu.
Bidaia-agentzientzako datuen babes gida
Eduki hau soilik orientagarria eta dibulgaziozkoa da; ez du inolaz ere aholkularitza juridiko espezializatua osatzen. Autonomia-erkidegoetako araudi sektorialak estatuko arauaren epeak eta betekizunak zabaldu edo aldatu ditzake. Araudia kasu zehatz bakoitzari aplikatzeak banakako azterketa eskatzen du.