Protección de datos nunha casa rural: por onde empezar

Unha casa rural é un negocio pequeno e moi próximo ao hóspede, pero desde o punto de vista xurídico trata datos persoais coa mesma seriedade que un hotel de cen habitacións: recibe reservas pola web ou por portais como Booking e Airbnb, anota datos de identidade no check-in, comunica o parte de viaxeiros ao Ministerio do Interior, factura, conserva contratos de aluguer vacacional e, en moitos casos, instala cámaras de seguridade perimetrais. A protección de datos neste contexto non é un papel extra; forma parte da operativa cotiá do aloxamento.

Esta guía resume a documentación mínima que calquera propietario de casa rural debería ter dispoñible —para abrir un aloxamento novo, regularizar un existente ou revisar o estado tras un cambio de xestoría ou de software de reservas— baixo o marco do RGPD (Regulamento UE 2016/679), a LOPDGDD (Lei Orgánica 3/2018) e a normativa sectorial específica de hospedaxe.

Por que unha casa rural tamén trata datos persoais

Aínda que a operativa sexa sinxela e, en moitos casos, a xestione directamente o propietario, unha casa rural xestiona varios fluxos de datos persoais habituais:

• Hóspedes: reservas (nome, contacto, datas, número de persoas), datos do documento de identidade para o rexistro de hospedaxe, datos de pagamento, comunicacións previas e posteriores á estancia e, no seu caso, valoracións do cliente.
• Propietarios e titulares: se o aloxamento opera baixo unha sociedade ou se hai copropietarios, tamén se xestionan os seus datos persoais (administrativos, fiscais, bancarios).
• Provedores e terceiros: persoas de contacto de xestoría, empresa de limpeza, mantemento, subministracións, plataformas de reservas, software de xestión e, ocasionalmente, empresas de catering ou actividades complementarias.
• Organismos e autoridades: comunicación obrigatoria dos datos do rexistro de viaxeiros ás Forzas e Corpos de Seguridade do Estado mediante o sistema SES.HOSPEDAJES (Real Decreto 933/2021).

O responsable do tratamento é sempre o titular da casa rural (persoa física ou sociedade), aínda que a xestión diaria a realice unha soa persoa. Esa figura decide que datos se recollen e para que, e por tanto asume as obrigas do RGPD.

O parte de viaxeiros e a comunicación ás Forzas e Corpos de Seguridade

A obriga de rexistro de viaxeiros e a súa comunicación ás autoridades competentes alcanza tamén os pequenos aloxamentos turísticos. A súa norma de referencia é o Real Decreto 933/2021, do 26 de outubro, que regula as obrigas de rexistro documental e información das persoas físicas ou xurídicas que exercen actividades de hospedaxe e aluguer de vehículos a motor.

• Base xurídica: art. 6.1.c RGPD —cumprimento dunha obriga legal— ao amparo do propio RD 933/2021.
• Datos que se recollen: os que enumera a propia norma sectorial (datos identificativos do hóspede, documento de identidade, datos da estancia, datos de pagamento nos termos previstos). Só os necesarios para cumprir a obriga legal.
• Vías telemáticas: a comunicación realízase polas canles electrónicas habilitadas pola Secretaría de Estado de Seguridade, principalmente o sistema SES.HOSPEDAJES.
• Prazo de conservación: a información do rexistro de viaxeiros debe conservarse durante tres anos desde a data de finalización do servizo ou prestación contratada, conforme ao RD 933/2021.
• Como se xestiona o documento de identidade: o propietario anota os datos imprescindibles que esixe a norma. Nunca fotocopia, escanea nin garda imaxe do DNI ou pasaporte do hóspede: o criterio sancionador AEPD e o principio de minimización (art. 5.1.c RGPD) descártano.

A normativa autonómica turística (rexistro de establecementos, follas de inscrición, libros de viaxeiros autonómicos) pode engadir requisitos formais adicionais en cada Comunidade Autónoma; é obrigatorio comprobar a normativa autonómica de turismo aplicable á casa rural.

A documentación mínima do responsable do tratamento

Estes son os documentos que, como mínimo, debería ter unha casa rural lista antes do primeiro check-in. Algúns son obrigatorios; outros son boas prácticas que aforran problemas cando chega unha reclamación, unha inspección ou un cambio de provedor.

Cláusula informativa ao hóspede (art. 13 RGPD)

O deber de información do art. 13 RGPD é obrigatorio aínda que a base xurídica non sexa o consentimento. É un erro frecuente pensar que, como a reserva se ampara na execución do contrato e a comunicación ás Forzas e Corpos de Seguridade nunha obriga legal, non fai falta entregar nada. Si fai falta. A cláusula informativa da casa rural debe responder, en termos sinxelos pero completos:

• Quen trata os datos: identificación do titular do aloxamento, enderezo e vía de contacto en materia de protección de datos.
• Que datos se tratan: os da reserva, os do documento de identidade para o parte de viaxeiros e os de facturación.
• Para que se tratan: xestión da reserva, prestación do servizo de aloxamento, cumprimento do RD 933/2021, facturación, atención a reclamacións e, no seu caso, comunicacións comerciais se o hóspede as acepta.
• Con que base xurídica: execución do contrato (art. 6.1.b), obriga legal para a comunicación ao Ministerio do Interior (art. 6.1.c), interese lexítimo ou consentimento, segundo o tratamento concreto.
• A quen se comunican: Forzas e Corpos de Seguridade do Estado (comunicación obrigatoria), Administración Tributaria, xestoría e, no seu caso, plataforma de reservas ou provedor do software.
• Canto se conservan: tres anos para o rexistro de viaxeiros (RD 933/2021), os prazos fiscais e contables aplicables para a facturación, e os prazos xerais do RGPD para o resto.
• Como exercer os dereitos: acceso, rectificación, supresión, oposición, limitación, portabilidade e reclamación ante a AEPD.

A cláusula debe estar dispoñible nos puntos de captura habituais: formulario da web, confirmación de reserva por email, ficha de check-in (en papel ou dixital) e, se a casa rural envía newsletter, no formulario de subscrición.

Encargados do tratamento habituais nunha casa rural (art. 28 RGPD)

Aínda que a operativa sexa pequena, case calquera casa rural apóiase en provedores que tratan datos persoais por conta do propietario. Cada un deses provedores é un encargado do tratamento e esixe un contrato asinado nos termos do art. 28 RGPD.

Unha nota recorrente: ao rematar o contrato, o encargado debe devolver ou exportar os datos ao responsable, e só despois suprimilos (art. 28.3.g RGPD). Iso permite á casa rural seguir cumprindo cos seus prazos legais de conservación —fiscais, rexistro de viaxeiros— sen depender do provedor saínte. O rol específico das plataformas tipo Booking ou Airbnb trátase en detalle no terceiro artigo desta guía.

Videovixilancia perimetral: cámaras de seguridade fóra do aloxamento

Moitas casas rurais atópanse illadas ou teñen contornos amplos (xardíns, accesos, aparcadoiros), e é habitual instalar cámaras de seguridade perimetrais. A videovixilancia está permitida con finalidade de seguridade sobre a propiedade, sempre que se respecten estas regras:

• Base xurídica: art. 6.1.f RGPD (interese lexítimo) nos termos do art. 22 LOPDGDD.
• Prazo de conservación: as imaxes deben suprimirse nun prazo máximo de 30 días desde a súa captación, salvo conservación para denuncia de infraccións ou procedemento (art. 22.3 LOPDGDD).
• Cartel informativo visible na zona de acceso, conforme ao art. 22.4 LOPDGDD, indicando responsable e forma de exercer dereitos.
• Cobertura limitada ao propio inmoble: a cámara non debe captar a vía pública máis aló do imprescindible para vixiar o acceso, nin inmobles veciños.
• Espazos prohibidos: o art. 89.1 LOPDGDD prohibe taxativamente a instalación de sistemas de videovixilancia ou gravación de sons en espazos destinados ao descanso, vestiarios, aseos e zonas análogas. Trasladado ao aloxamento turístico, isto reforza a regra evidente: nunca cámaras no interior do aloxamento nin nos baños ou dormitorios destinados ao hóspede. A videovixilancia limítase estritamente ao perímetro exterior.

Se hai cámaras, debe figurar a actividade no RAT, contar coa cartelaría do art. 22.4 LOPDGDD e, cando o sistema o opere unha empresa externa, asinarse contrato do art. 28 RGPD con esa empresa.

Se xestionas unha casa rural ou pequeno aloxamento turístico e queres revisar a túa documentación de protección de datos, en Certix traballamos especificamente con casas rurais. Sen comerciais: desde o primeiro contacto, falarás cun especialista.

Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A normativa autonómica sectorial pode ampliar ou modificar os prazos e requisitos da norma estatal. A aplicación da normativa a cada caso concreto require análise individualizado.