En una agencia de viajes, la protección de datos se juega más en los pequeños gestos diarios que en la documentación formal. El expediente puede estar perfectamente redactado, pero si el agente fotografía el pasaporte con su móvil personal, comparte el usuario del GDS con el becario, envía los billetes sin verificar el destinatario o deja la pantalla de reservas mirando al cliente que entra detrás, todo lo demás deja de servir.
Esta guía recoge rutinas operativas para el día a día de una agencia de viajes —vacacional, corporativa o mixta—. No es un curso jurídico: son hábitos que ordenan el trabajo del equipo y, de paso, cumplen con el RGPD, la LOPDGDD y la normativa sectorial.
La regla de oro: registrar datos, no documentos
El primer principio operativo en el mostrador y en el back-office es directo: se registran en el sistema los datos exigidos por cada reserva, no la imagen del documento de identidad. En la práctica:
- El cliente facilita su DNI o pasaporte presencialmente o por correo electrónico.
- El agente anota en el GDS y en el CRM los datos imprescindibles para la reserva (nombre, apellidos exactos del documento, número, fecha de caducidad, nacionalidad).
- No se escanea por defecto el documento para archivarlo "por si acaso".
- Si en algún momento la aerolínea, la embajada o la autoridad del país destino exige una copia del documento, esa copia se envía en el momento concreto, por canal cifrado, y se elimina del entorno de envío del agente una vez completado el trámite.
La razón es doble: el art. 5.1.c RGPD impone el principio de minimización (solo los datos estrictamente necesarios para la finalidad) y el criterio sancionador consolidado de la AEPD considera desproporcionado conservar la imagen íntegra del documento de identidad cuando basta con anotarlo. La anotación cubre la operativa; la copia sistemática del pasaporte no añade valor y sí añade riesgo.
Envío seguro de billetes, vouchers y confirmaciones por email
El envío de documentos del viaje por correo electrónico es una de las brechas más frecuentes del sector y, a la vez, la más fácil de corregir con tres rutinas:
- Verificación del destinatario antes de enviar: repasar la dirección de email completa, sobre todo cuando se completan automáticamente desde la libreta de contactos del cliente de correo. Un error de un carácter envía billetes con datos de pasaporte a un destinatario equivocado.
- Cifrado del PDF cuando lleve datos sensibles: si el billete, el voucher o el seguro de viaje contiene número de pasaporte, número parcial de tarjeta o información médica del cliente, el adjunto se cifra con contraseña y la contraseña se comunica por otro canal (mensaje al móvil del cliente, llamada telefónica). No por el mismo email.
- Sin envíos masivos en abierto: nunca enviar comunicaciones operativas con varios clientes en el campo "Para" o "CC". Si hay envío múltiple legítimo, se usa "CCO" o, mejor, herramientas de email transaccional que envíen un correo individual a cada destinatario.
Accesos individuales al GDS y al CRM turístico
Los sistemas de reservas (Amadeus, Sabre, Travelport) y los CRM turísticos son el corazón del expediente. Su seguridad operativa se apoya en una regla nítida: una cuenta por agente, nunca compartida.
- Usuario individual por agente con contraseña personal y, cuando el proveedor lo permita, segundo factor de autenticación.
- Perfiles diferenciados: no todos los agentes necesitan ver todos los expedientes ni modificar todas las reservas. Los roles deben ajustarse a la función real de cada uno.
- Cierre de sesión al terminar la jornada y bloqueo automático de pantalla por inactividad.
- Revocación inmediata cuando alguien deja la agencia: el día de su salida, se desactiva su usuario en GDS, CRM, email corporativo y cualquier herramienta auxiliar. No se reutiliza la cuenta para el sustituto, se crea una nueva.
- Revisión periódica de la lista de usuarios activos: una vez al trimestre, comprobar que no hay cuentas zombi de gente que ya no está.
La trazabilidad de los accesos —saber quién entró, cuándo y a qué expediente— es una medida del art. 32 RGPD y forma parte de la política de seguridad de la agencia. Compartir credenciales destruye esa trazabilidad.
Custodia de expedientes físicos
Aunque cada vez más agencias digitalizan el expediente, todavía es habitual conservar copias impresas de billetes, hojas de pasaporte que se han traído al mostrador, contratos firmados de viajes combinados o listados de grupos. La regla práctica es sencilla pero estricta:
- Armario o cajón con llave, no en una mesa abierta del mostrador ni en una balda visible.
- Mesa de trabajo limpia: política de "clean desk" al final de la jornada. Lo que no esté en uso, vuelve al armario.
- Ubicación reservada al equipo: no en zonas accesibles a clientes ni al personal de limpieza externo sin contrato de confidencialidad.
- Destrucción segura al cumplir el plazo: destructora de papel de corte cruzado para volúmenes pequeños; servicio especializado con certificado para volúmenes mayores. Tirar billetes y hojas de reserva a la basura común no es supresión.
Atención en mostrador: discreción y pantallas no visibles
El mostrador de una agencia presencial es un espacio expuesto donde varias personas pueden coincidir. Las rutinas operativas son evidentes pero conviene formalizarlas:
- Pantalla del agente orientada de forma que no sea visible al cliente que espera detrás o al de la mesa contigua. Filtros de privacidad si la disposición del local no lo permite.
- No verbalizar datos de un cliente delante de otro: nombres completos, números de tarjeta, destinos. Las conversaciones que impliquen datos sensibles se trasladan a una zona reservada o a un canal escrito.
- Bloqueo de pantalla al levantarse, aunque sea un momento.
- Hojas de presupuesto y comprobantes que se imprimen para un cliente se entregan o se destruyen al final del día; no se quedan en bandejas accesibles a otros clientes.
WhatsApp con clientes: para qué sí, para qué no
WhatsApp es una herramienta cotidiana en la relación con el cliente del viaje. Las reglas prácticas son:
- Mensajes operativos sí: confirmación de horario, recordatorio de salida, instrucciones de embarque, punto de encuentro, ubicación. Dato mínimo imprescindible.
- Documentos del viaje, no: billetes, vouchers, copias del seguro, contratos. Esos documentos viajan por email (cifrado si llevan datos sensibles) o por el área privada del cliente.
- Sin listas de difusión que expongan números de unos clientes a otros. Conversaciones individuales.
- Separación del ámbito personal: idealmente, número específico de la agencia, no el WhatsApp privado del agente. Y, en cualquier caso, no usar el móvil del agente como archivo histórico del expediente.
Datos de menores en listados de grupos
Cuando la agencia gestiona viajes de grupo (escolares, familiares, organizaciones), suele manejar listados con datos de menores. La rutina es:
- Solo los datos imprescindibles del menor (nombre, fecha de nacimiento, número de pasaporte si el destino lo exige). Sin datos sobreabundantes.
- Listados de embarque y de check-in: cuando se imprime un listado para uso operativo (entrega al guía, al receptivo, al jefe de grupo) se entrega solo a la persona que lo necesita, se recupera al final del viaje y se destruye.
- Distribución por canales seguros: nunca un PDF con datos de menores enviado a un grupo abierto de WhatsApp ni a una dirección genérica.
- Custodia diferenciada: los expedientes de viajes de menores se conservan con las mismas reglas de minimización y plazo que el resto, pero con sensibilidad reforzada.
Brechas en aerolíneas, hoteles o GDS: qué hacer
Las brechas de seguridad en grandes proveedores del sector (aerolíneas, cadenas hoteleras, GDS, plataformas de pago) son un escenario realista. Cuando uno de esos proveedores comunica que ha sufrido una brecha que puede afectar a clientes de la agencia, las rutinas son:
- Activar el protocolo interno de brechas de la agencia y registrar la incidencia en el registro de brechas (art. 33.5 RGPD), con descripción, datos afectados, momento de la detección y medidas tomadas.
- Valorar el rol de cada parte: si los datos están bajo control del proveedor en su rol de responsable independiente (típicamente la aerolínea o el hotel), la obligación principal de notificación a la AEPD recae en ese proveedor. Si los datos afectados están bajo control de la agencia (su CRM, su expediente), la obligación recae en la agencia.
- Comunicación al cliente afectado en los términos del art. 34 RGPD cuando proceda: cuando la brecha entrañe un alto riesgo para los derechos y libertades del interesado.
- No reenviar el correo del proveedor con los datos personales de los afectados a destinatarios no autorizados. La gestión de la brecha es interna y, en su caso, frente a la AEPD.
El control horario del personal de la agencia, por último, puede articularse mediante códigos PIN individuales, tarjetas de proximidad o app móvil corporativa.
"En una agencia de viajes, casi todo el riesgo de protección de datos cabe en tres frases: no fotografíes pasaportes con el móvil, no compartas el usuario del GDS y verifica el destinatario antes de enviar el billete. Lo demás suele ordenarse solo."
Mario P. Talamillo · Socio director, Certix®
Si gestionas una agencia de viajes y quieres revisar tu documentación de protección de datos, en Certix trabajamos específicamente con agencias de viajes. Sin comerciales: desde el primer contacto, hablarás con un especialista.
Guía de protección de datos para agencias de viajes
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La normativa autonómica sectorial puede ampliar o modificar los plazos y requisitos de la norma estatal. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.