Buenas prácticas diarias del propietario de una casa rural para proteger los datos

En una casa rural casi todo lo decide y lo gestiona la misma persona: el propietario abre la puerta, recibe al huésped, anota los datos del DNI, envía la confirmación, hace la factura y custodia los contratos. Esa cercanía es una de las virtudes del sector, pero también es donde se juega la protección de datos: en la mesa de la entrada, en el teléfono móvil del propietario, en el armario donde se guardan los partes y en el cubo de basura donde —demasiadas veces— terminan los contratos al final de la temporada.

Esta guía recoge rutinas concretas para el día a día de un alojamiento turístico pequeño. No es un curso jurídico: son hábitos que ordenan la operativa y, de paso, cumplen con el RGPD, la LOPDGDD y el Real Decreto 933/2021.

La regla de oro: registrar datos, no documentos

El primer principio operativo del check-in en una casa rural es directo: se registran los datos exigidos por la normativa de hospedaje, no la imagen del documento. Esto significa, en términos prácticos:

• El huésped presenta su DNI, NIE o pasaporte.
• El propietario lee y anota los datos imprescindibles para cumplir con el Real Decreto 933/2021 (datos identificativos, número del documento, datos de la estancia) y para la facturación.
• El documento se devuelve inmediatamente al huésped.
• No se fotocopia, no se escanea, no se fotografía con el móvil, no se guarda copia ni en papel ni en archivo digital.

La razón es doble: el art. 5.1.c RGPD impone el principio de minimización (solo los datos estrictamente necesarios para la finalidad) y el criterio sancionador consolidado de la AEPD considera desproporcionado conservar la imagen íntegra del documento de identidad para esta finalidad. La anotación de los datos cubre la obligación legal; la fotocopia, no la añade y sí añade riesgo.

No usar el móvil personal para guardar copias de documentos del huésped

Esta es probablemente la mala práctica más extendida en el sector y, también, la más fácil de corregir. En la lógica del propietario es muy tentador: "le hago una foto al DNI con el móvil para apuntarlo luego con calma". El problema es que esa foto:

• Se sube de forma automática a la nube personal del móvil (Google Fotos, iCloud) y se mezcla con fotos familiares.
• Puede acabar en copias de seguridad domésticas sin cifrado profesional.
• Es visible para quien tiene acceso al móvil: familiares, técnicos en una reparación, dispositivos compartidos.
• No puede borrarse con garantías cuando el huésped se va, ni cumple los plazos del RD 933/2021.
• Mezcla el ámbito personal del propietario con el profesional, lo que dificulta cualquier auditoría posterior y la atención a derechos de los interesados.

La regla es nítida: el móvil personal del propietario no es un sistema de tratamiento profesional. Los datos de los huéspedes —incluidos los del documento de identidad— solo deben entrar en el software de gestión del alojamiento o, en su caso, en el parte físico que se conserve bajo llave. Si el propietario necesita un canal de mensajería operativo con los huéspedes, mejor un número específico del negocio o una herramienta corporativa, separado del ámbito familiar.

Comunicación a las Fuerzas y Cuerpos de Seguridad (SES.HOSPEDAJES)

El Real Decreto 933/2021 obliga al alojamiento a comunicar a las autoridades competentes los datos del registro de viajeros a través de las vías electrónicas habilitadas, principalmente el sistema SES.HOSPEDAJES, gestionado por la Secretaría de Estado de Seguridad. En términos prácticos:

• Base jurídica: art. 6.1.c RGPD (cumplimiento de una obligación legal).
• Qué se transmite: los datos identificativos del huésped, del documento, de la estancia y de pago en los términos que detalla la propia norma. Solo lo previsto.
• Plazo de comunicación: el que fija el propio RD 933/2021 desde el momento del check-in.
• Plazo de conservación interna: tres años desde la fecha de finalización del servicio o prestación contratada.

La normativa autonómica de turismo puede añadir requisitos formales adicionales (registro de establecimientos, libros propios, hojas de inscripción). Conviene comprobar la norma autonómica aplicable.

Custodia segura de partes físicos y contratos de alquiler vacacional

Aunque cada vez más alojamientos digitalizan el check-in, todavía es habitual conservar partes físicos y contratos de alquiler vacacional en papel. La regla práctica es sencilla pero estricta:

• Armario o cajón con llave, no en una mesa abierta de la entrada ni en una balda visible.
• Ubicación reservada al titular de la casa rural: no en zonas accesibles a huéspedes ni a personal de limpieza externo.
• Orden cronológico que permita identificar el plazo de cada parte (tres años desde finalización del servicio para el registro de viajeros; los plazos fiscales aplicables para la factura asociada).
• Inventario mínimo de lo que hay guardado, para poder localizar rápidamente un dato si llega una solicitud del huésped o una inspección.

Destrucción segura al cumplir los plazos

Cumplir el plazo del RD 933/2021 implica también destruir de forma segura lo que ya no debe conservarse. Tirar los partes o los contratos a la basura común no es supresión: es exposición. Las opciones razonables son:

• Destructora de papel de corte cruzado, suficiente para un alojamiento pequeño.
• Servicio especializado de destrucción confidencial con certificado, si el volumen lo justifica.
• Borrado lógico del software de gestión con confirmación al titular, en el caso de los partes digitales.

Y un recordatorio importante: si la casa rural usa un software externo de reservas, ese proveedor es un encargado del tratamiento (art. 28 RGPD). Al finalizar el contrato con él, lo correcto es primero exportar la base de datos íntegra al propietario en un formato útil (CSV, Excel) para conservar los históricos que el alojamiento sigue necesitando por sus plazos legales —fiscales, registro de viajeros— y solo después solicitar la supresión en los sistemas del proveedor saliente (art. 28.3.g RGPD).

WhatsApp con huéspedes: usarlo bien, sin abusar

WhatsApp es una herramienta legítima para comunicación operativa con el huésped (confirmación de horarios, instrucciones de llegada, ubicación). Las reglas prácticas son:

• Dato mínimo imprescindible: nada de copias de documentos de identidad, ni datos de pago, ni información sensible.
• Sin listas de difusión que expongan números de unos huéspedes a otros. Conversaciones individuales.
• El canal de registro de la reserva sigue siendo el sistema profesional o el email, no el chat del móvil.
• Borrado periódico de conversaciones antiguas cuando la finalidad ya se ha agotado.
• Separación con el ámbito personal: idealmente, número específico del alojamiento, no el WhatsApp privado del propietario.

Videovigilancia perimetral: cartel, perímetro y plazo

Las casas rurales suelen tener cámaras de seguridad en accesos, jardines y aparcamiento, sobre todo en entornos aislados. Las reglas operativas son claras:

• Cartel informativo visible en zona de entrada (art. 22.4 LOPDGDD), con responsable del tratamiento y forma de ejercer derechos.
• Plazo máximo de conservación de 30 días (art. 22.3 LOPDGDD), salvo conservación para denuncia o procedimiento.
• Cobertura limitada al propio inmueble: sin invadir la vía pública más allá de lo imprescindible para el acceso, ni terrenos de vecinos.
• Nunca dentro del alojamiento: el interior de la casa rural es el espacio íntimo del huésped durante su estancia. La videovigilancia se queda fuera. Trasladando el espíritu del art. 89.1 LOPDGDD (que prohíbe cámaras en zonas de descanso, vestuarios y aseos), el interior del alojamiento del huésped queda fuera de cualquier sistema de captación.
• Sin micrófonos asociados a las cámaras: la grabación de sonido es una intromisión adicional muy difícil de justificar.

Si gestionas una casa rural o pequeño alojamiento turístico y quieres revisar tu documentación de protección de datos, en Certix trabajamos específicamente con casas rurales. Sin comerciales: desde el primer contacto, hablarás con un especialista.

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La normativa autonómica sectorial puede ampliar o modificar los plazos y requisitos de la norma estatal. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.