Abrir un restaurante implica, desde o primeiro día, tratar datos persoais: do cliente que reserva mesa, do provedor que entrega a materia prima, do empregado de sala que ficha pola mañá. A protección de datos non é un trámite engadido ao final do proxecto; é parte da operativa. E, ben formulada, non entorpece o servizo: ordénao.
Esta guía resume a documentación mínima que calquera responsable hostaleiro debería ter dispoñible desde o primeiro día —xa sexa para abrir un novo local, regularizar un existente ou revisar o estado dun grupo de restauración— baixo o marco do RGPD (Regulamento UE 2016/679) e a LOPDGDD (Lei Orgánica 3/2018).
Por que un restaurante trata datos persoais
Un restaurante medio xestiona tres grandes fluxos de datos persoais de forma cotiá:
- Clientes: reservas (nome, teléfono, correo, número de comensais, hora), datos de alerxias ou intolerancias, fidelización (aniversarios, preferencias), facturación, comunicacións por WhatsApp ou email, valoracións, fotografías en redes.
- Empregados: contratación e nómina, control horario (mediante PIN, tarxeta ou app), formación, comunicacións internas, bono de comida do persoal, e eventualmente datos de saúde asociados a partes de baixa ou accidentes laborais.
- Provedores e terceiros: persoas de contacto de adegas, distribuidores, xestoría, axencia de marketing, plataformas de reservas, empresa de limpeza e mantemento, técnico que revisa a cámara frigorífica.
Por mínimo que sexa o local, o responsable do tratamento é sempre o titular do restaurante (a persoa física ou xurídica). Esa figura é a que decide que datos se recollen e para que, e por tanto a que asume as obrigas do RGPD.
A documentación mínima do responsable do tratamento
Estes son os documentos que, como mínimo, debería ter un restaurante listos antes do primeiro servizo. Algúns son obrigatorios; outros son boas prácticas que aforran desgustos cando chega unha reclamación ou un cambio de provedor.
| Documento | Base normativa | Para que serve |
|---|---|---|
| Rexistro de Actividades de Tratamento (RAT) | Art. 30 RGPD | Inventario interno de que se trata, para que, durante canto tempo e con que medidas. |
| Cláusula informativa para clientes | Art. 13 RGPD | Información que se entrega ao cliente cando reserva, deixa un correo ou enche unha ficha de alerxias. |
| Cláusula informativa para empregados | Art. 13 RGPD | Información que se entrega co contrato e coas ferramentas dixitais do posto. |
| Política de privacidade (web/menú QR) | Arts. 13 e 14 RGPD | Versión pública e completa da información que o responsable proporciona ao usuario. |
| Aviso legal da web | Art. 10 LSSICE | Identificación do titular do sitio: denominación, NIF, domicilio, email, rexistro mercantil. |
| Política de cookies e banner | Art. 22.2 LSSICE | Capa informativa e mecanismo de consentimento para cookies non estritamente necesarias. |
| Contratos de encargado do tratamento | Art. 28 RGPD | Acordo asinado con cada provedor que trate datos por conta do restaurante (TPV, reservas, xestoría, marketing). |
| Política de seguridade | Art. 32 RGPD | Medidas técnicas e organizativas: contrasinais, accesos por rol, copias de seguridade, prazos. |
| Protocolo de brechas | Arts. 33–34 RGPD | Procedemento para detectar, valorar e, no seu caso, notificar á AEPD e ás persoas afectadas. |
| Procedemento de dereitos das persoas interesadas | Arts. 15–22 RGPD | Canle para atender acceso, rectificación, supresión, oposición, portabilidade e limitación. |
RAT (Rexistro de Actividades de Tratamento) en hostalaría
O art. 30 RGPD impón levar un rexistro interno de actividades de tratamento. Aínda que o apartado 5 prevé unha excepción para entidades de menos de 250 traballadores, esa excepción decae se os tratamentos non son ocasionais ou se poden afectar a dereitos e liberdades. En hostalaría a videovixilancia, a fidelización e a xestión de cadro de persoal raramente son "ocasionais", polo que a práctica recomendable é levar RAT en case todos os casos.
Un RAT realista para un restaurante medio inclúe, como mínimo, estas actividades:
- Reservas e xestión de clientes. Base art. 6.1.b (execución de contrato). As alerxias anotadas na comanda forman parte da prestación do servizo; se o restaurante quere conservalas nunha ficha do cliente para futuras visitas, requiren consentimento explícito específico do propio cliente.
- Facturación e obrigas fiscais. Base art. 6.1.c (obriga legal): Lei Xeral Tributaria, normativa contable.
- Xestión de persoal (contratación, nómina, formación). Base art. 6.1.b + art. 6.1.c.
- Control horario e, no seu caso, bono de comida. Base art. 6.1.c (art. 34.9 ET) + art. 6.1.b. Mediante sistemas como PIN, tarxeta, app móbil ou NFC.
- Videovixilancia da sala, accesos e cociña. Base art. 6.1.f (interese lexítimo) nos termos do art. 22 LOPDGDD.
- Marketing e fidelización (newsletter, club de comensais). Base art. 6.1.a (consentimento) ou art. 6.1.f (interese lexítimo na clientela existente con produtos análogos, art. 21.2 LSSICE).
- Xestión de provedores. Base art. 6.1.b ou art. 6.1.f.
- Atención a dereitos das persoas interesadas. Base art. 6.1.c.
- Atención a queixas e reclamacións. Base art. 6.1.c + art. 6.1.b.
Cada entrada do RAT debe identificar: finalidade, base xurídica, categorías de datos e de interesados, destinatarios e, no seu caso, transferencias internacionais, prazos de conservación e medidas de seguridade. A normativa autonómica en materia de consumo, turismo e seguridade alimentaria pode ampliar ou matizar algúns prazos de conservación.
Aviso legal e política de privacidade na web e no menú QR
A web do restaurante —mesmo unha landing sinxela— necesita, como mínimo, tres documentos:
- Aviso legal: obriga do art. 10 LSSICE. Identifica ao titular, NIF, domicilio, datos de contacto e, se procede, rexistro mercantil e autorización administrativa.
- Política de privacidade: desenvolvemento completo da información do art. 13 RGPD (responsable, finalidades, base xurídica, destinatarios, prazos, dereitos, autoridade de control).
- Política e banner de cookies: esixida polo art. 22.2 LSSICE. O consentimento debe ser informado, granular e revogable; as cookies analíticas, publicitarias ou de redes sociais non se poden cargar antes de obtelo.
O menú QR merece atención específica. Se abre un PDF estático, non engade obrigas novas. Pero se a plataforma do menú permite pedir, pagar, rexistrar o correo do cliente ou instala cookies analíticas, está tratando datos persoais e debe ligar a política de privacidade e o aviso de cookies desde a propia pantalla, antes da primeira interacción.
Cláusula informativa para clientes e empregados (art. 13 RGPD)
O deber de información do art. 13 RGPD é obrigatorio aínda que a base xurídica non sexa o consentimento. É un erro frecuente pensar que, como as reservas se amparan na execución do contrato, non fai falta entregar nada. Si fai falta. A cláusula informativa debe estar dispoñible nos puntos de captura habituais:
- Xunto á ficha de reserva (en papel ou dixital).
- Na pantalla do menú QR se se piden datos.
- No formulario de fidelización ou newsletter.
- No anexo do contrato laboral e no manual de benvida do persoal.
- Na cartelería de videovixilancia (dispositivo informativo en zona visible, conforme ao art. 22.4 LOPDGDD).
O cliente debe saber, antes de entregar o dato, quen o trata, para que, con que base, a quen se comunica, canto se conserva e como exercer os seus dereitos. Esa mesma esixencia aplícase ao empregado no primeiro día.
Encargados do tratamento habituais en hostalaría (art. 28 RGPD)
O restaurante decide que facer cos datos; pero, na práctica, almacénaos e trátaos a través de provedores. Cada un deses provedores, se trata datos por conta do responsable, é un encargado do tratamento e esixe un contrato asinado nos termos do art. 28 RGPD.
| Provedor | Datos que trata | Documento clave |
|---|---|---|
| TPV | Tickets, formas de pagamento, fidelización | Contrato art. 28 RGPD + medidas de seguridade PCI-DSS |
| Software de reservas | Nome, teléfono, correo, hora, número de comensais, comentarios (alerxias) | Contrato art. 28 RGPD + ubicación de servidores |
| Xestoría / asesoría laboral | Datos de persoal, nóminas, contratos | Contrato art. 28 RGPD |
| Axencia de marketing / community manager | Bases de datos de newsletter, audiencias publicitarias | Contrato art. 28 RGPD + verificación de bases de captación |
| Plataforma de fidelización | Histórico de visitas, preferencias, aniversarios | Contrato art. 28 RGPD + canle de baixa accesible |
| Provedor de email transaccional | Direccións de correo, contidos de confirmacións | Contrato art. 28 RGPD + control de transferencias internacionais |
| Empresa de videovixilancia | Imaxes de sala, accesos, cociña | Contrato art. 28 RGPD + prazo 30 días (art. 22.3 LOPDGDD) |
Unha nota recorrente: ao terminar o contrato, o encargado debe devolver ou exportar os datos ao responsable, e só despois suprimilos (art. 28.3.g RGPD). Iso permite ao restaurante seguir cumprindo cos seus prazos legais de conservación —fiscais, laborais, contables— sen depender do provedor saínte.
Boas prácticas para arrincar o primeiro día
- Quen é quen: identificar ao responsable do tratamento (o titular do restaurante) e á persoa do equipo que coordina as solicitudes de dereitos e os incidentes.
- Inventario de provedores: listar TPV, reservas, xestoría, marketing, fidelización, email, videovixilancia. Comprobar que existe contrato do art. 28 RGPD con cada un.
- Unha soa fonte de verdade: evitar duplicar a base de datos de clientes en follas de cálculo persoais, móbiles do persoal ou axendas en papel sen control.
- Cláusulas listas e entregadas: versións curtas para clientes e empregados, accesibles en sala e dispoñibles na web/menú QR.
- Videovixilancia ben sinalizada e configurada para conservar imaxes 30 días como máximo (art. 22.3 LOPDGDD).
- Contas individuais no TPV (un código por persoa, nunca compartido).
- Plan de actuación ante unha incidencia: a quen avisar se se perde un USB, se rompe a web ou se chega unha solicitude de borrado.
O obxectivo non é xerar carpetas: é que o día que chegue unha reclamación, unha solicitude de acceso ou un cambio de provedor, o restaurante teña claro onde está cada dato e quen o xestiona.
"En un restaurante, la protección de datos se gana en sala: con cláusulas claras, contratos firmados con cada proveedor y un equipo que sabe dónde apuntar la alergia y dónde no apuntarla."
Mario P. Talamillo · Socio director, Certix®
Se tes un restaurante ou grupo de restauración e queres revisar a túa documentación de protección de datos, en Certix traballamos especificamente con hostalaría. Sen comerciais: desde o primeiro contacto, falarás cun especialista.
Guía de protección de datos para restaurantes
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A normativa autonómica sectorial pode ampliar ou modificar os prazos e requisitos da norma estatal. A aplicación da normativa a cada caso concreto require análise individualizado.