Protección de datos en una agencia de viajes: por dónde empezar

Una agencia de viajes trata datos personales desde el primer minuto: el cliente pide presupuesto, comparte el nombre y los apellidos exactos del pasaporte, las fechas de los acompañantes, alguna preferencia alimentaria, una posible necesidad de movilidad reducida y, cuando hay menores, el nombre y la fecha de nacimiento del hijo o del nieto que viaja. Después llegan las reservas con aerolíneas, hoteles, aseguradoras y, si el destino lo exige, autoridades del país de llegada. La protección de datos no es un trámite añadido al final del expediente: forma parte del propio expediente del viaje combinado.

Esta guía resume la documentación mínima que cualquier agencia de viajes debería tener disponible —para abrir una agencia nueva, regularizar una existente o revisar el estado tras un cambio de gestoría o de GDS— bajo el marco del RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018) y la normativa sectorial específica del sector turístico.

Por qué una agencia de viajes trata datos personales con intensidad

El expediente típico de un viaje combinado reúne datos de varias categorías y de varios titulares simultáneamente. Conviene tenerlos identificados desde el principio:

• Clientes contratantes: nombre y apellidos, DNI o pasaporte, fecha de nacimiento, contacto, datos de facturación y datos de pago.
• Acompañantes adultos: los mismos datos identificativos básicos, en su condición de viajeros del expediente.
• Menores que viajan: nombre, fecha de nacimiento, datos del pasaporte si el viaje los requiere y, cuando proceda, autorización del titular de la patria potestad.
• Necesidades especiales declaradas: alergias alimentarias, intolerancias, movilidad reducida, asistencia médica, menús específicos. Son datos de salud (art. 9 RGPD) y exigen tratamiento reforzado.
• Proveedores y colaboradores: personas de contacto en aerolíneas, cadenas hoteleras, receptivos en destino, aseguradoras de viaje, gestoría y plataforma de pagos.
• Autoridades del país destino: en determinados viajes, se comunican datos del viajero a las autoridades migratorias o sanitarias del destino, según exija la normativa del país.

El responsable del tratamiento es la propia agencia de viajes (persona jurídica o autónomo titular), que decide qué datos se recogen, para qué y con qué medios. Ese rol es independiente del de cada aerolínea, hotel o aseguradora con los que se contrata: cada uno actúa como responsable independiente sobre la parte del tratamiento que ejecuta dentro del viaje.

La documentación mínima del responsable del tratamiento

Estos son los documentos que, como mínimo, una agencia de viajes debería tener listos antes del primer expediente. Algunos son obligatorios; otros son buenas prácticas que ahorran problemas cuando llega una reclamación, una inspección de consumo o un cambio de proveedor.

Expedientes de viajes combinados: contenido, conservación y huella documental

El expediente de un viaje combinado tiene una doble lectura. Desde el punto de vista mercantil y de consumo, la Ley General para la Defensa de los Consumidores y Usuarios (texto refundido aprobado por Real Decreto Legislativo 1/2007, modificado por el Real Decreto-Ley 23/2018 en lo relativo a viajes combinados y servicios de viaje vinculados) obliga a documentar el contrato, las condiciones del viaje, la información precontractual, las modificaciones y, en su caso, las incidencias y reclamaciones. Desde el punto de vista del RGPD, ese mismo expediente contiene datos personales que se conservan mientras dura la finalidad y los plazos legales asociados.

• Conservación por obligaciones contractuales y de consumo: como criterio prudente y general, se suele aplicar un horizonte aproximado de cinco años derivado de los plazos generales de las acciones personales del Código Civil (art. 1964 CC tras la reforma de 2015) y de las obligaciones de la normativa de consumo. Para las obligaciones de naturaleza mercantil, el Código de Comercio prevé plazos de hasta seis años para documentación mercantil (art. 30 CCom).
• Conservación por obligaciones fiscales: la documentación con efectos fiscales se conserva conforme a los plazos de la Ley General Tributaria y normativa de desarrollo (con carácter general, los plazos de prescripción tributaria).
• Minimización dentro del expediente: se conserva lo necesario para acreditar la prestación del servicio y atender reclamaciones; no es necesario conservar copias completas del pasaporte ni datos de salud detallados más allá del periodo en el que tuvieron utilidad.

La normativa autonómica del sector turístico (registros de agencias, hojas de reclamaciones, requisitos formales sobre la documentación entregada al cliente) puede añadir requisitos adicionales en cada Comunidad Autónoma. Es obligatorio comprobar la normativa autonómica aplicable al establecimiento.

Cláusula informativa al cliente (art. 13 RGPD)

El deber de información del art. 13 RGPD es obligatorio aunque la base jurídica del tratamiento sea la ejecución del contrato. Es uno de los errores más frecuentes del sector: pensar que, como el viaje se contrata, no hace falta entregar nada. Sí hace falta. La cláusula informativa de la agencia debe responder, en términos sencillos pero completos:

• Quién trata los datos: identificación de la agencia, número de registro como agencia de viajes, dirección y vía de contacto en materia de protección de datos.
• Qué datos se tratan: identificativos del cliente y de los acompañantes, datos del pasaporte o DNI, fecha de nacimiento (especialmente relevante para menores), datos de pago, necesidades especiales declaradas (alergias, movilidad reducida, asistencia médica).
• Para qué se tratan: gestión del expediente del viaje, contratación con proveedores (aerolínea, hotel, receptivo, aseguradora), facturación, atención al cliente y reclamaciones, cumplimiento de obligaciones legales del país destino cuando proceda.
• Con qué base jurídica: ejecución del contrato (art. 6.1.b) como base general; obligación legal (art. 6.1.c) para los tratamientos exigidos por ley; consentimiento (art. 6.1.a) para marketing propio si lo hay; y, para necesidades médicas y alergias declaradas, doble base: art. 6.1.b + art. 9.2.a (consentimiento explícito).
• A quién se comunican: aerolínea, cadena hotelera, receptivo en destino, aseguradora de viaje, plataforma de pagos, Administración Tributaria, gestoría y, cuando lo exija el destino, autoridades del país de llegada.
• Transferencias internacionales: cuando el viaje implica destinos fuera de la UE, mención expresa de la comunicación de datos a la aerolínea, al hotel o a la autoridad del país destino, identificando la base habilitante (art. 49.1.b RGPD para la comunicación necesaria para la ejecución del contrato con el interesado).
• Cuánto se conservan: el tiempo de duración del viaje y los plazos de conservación posteriores (consumo, mercantil, fiscal) aplicables al expediente.
• Cómo ejercer los derechos: acceso, rectificación, supresión, oposición, limitación, portabilidad y reclamación ante la AEPD.

La cláusula debe estar disponible en los puntos de captura habituales: formulario de la web, hoja de presupuesto, contrato del viaje combinado, ficha de necesidades especiales y, si la agencia envía newsletter, en el formulario de suscripción.

Datos especiales en el expediente: alergias, movilidad reducida, asistencia médica

Cuando un cliente declara una alergia alimentaria, una intolerancia, una movilidad reducida o una necesidad de asistencia médica, esa información es un dato de salud (art. 9 RGPD). La agencia los necesita para garantizar el servicio (menú especial en vuelo, asistencia en aeropuerto, habitación adaptada, transporte accesible en destino), pero su tratamiento exige una doble base jurídica:

• Art. 6.1.b RGPD: ejecución del contrato. Sin esa información, la agencia no puede prestar el servicio en condiciones de seguridad.
• Art. 9.2.a RGPD: consentimiento explícito del cliente para que esa información concreta sea comunicada a la aerolínea, al hotel, al receptivo y a la aseguradora.

En términos operativos, la cláusula informativa debe explicar que estos datos se transmiten exclusivamente a los proveedores que deben adaptarse al servicio, durante el tiempo imprescindible para la prestación del viaje, y que no se incorporan a bases de datos comerciales ni de marketing de la agencia. Si el cliente no quiere comunicar esa información, la agencia debe valorar si puede prestar el servicio sin esa adaptación; pero no puede exigirla para finalidades distintas.

Datos de menores en reservas familiares

En las reservas familiares es habitual incluir a uno o varios menores. Aquí entran dos reglas claves del RGPD y la LOPDGDD:

• El art. 7 de la LOPDGDD fija en 14 años el umbral del consentimiento del menor en España. Por debajo de esa edad, el consentimiento corresponde al titular de la patria potestad o tutela.
• En las reservas de viajes familiares no estamos, en realidad, en un escenario de consentimiento sino de ejecución del contrato que firman los progenitores o tutores (art. 6.1.b). La agencia trata los datos del menor para que pueda viajar amparado por la reserva de sus padres.
• Como regla operativa: se recogen solo los datos imprescindibles del menor (nombre, fecha de nacimiento, número de pasaporte si el destino lo exige). No se piden datos adicionales no necesarios. Si hay alergias alimentarias del menor, aplica la doble base del apartado anterior y la información se transmite a aerolínea y hotel para garantizar la seguridad alimentaria.
• Las autorizaciones de viaje de menores que algunos destinos exigen (cuando el menor viaja con uno solo de los progenitores o con un tercero) son documentos cuya finalidad es acreditar la conformidad del titular de la patria potestad. Se conservan en el expediente del viaje, no en bases de datos comerciales.

Encargados del tratamiento habituales (art. 28 RGPD)

El expediente de una agencia depende de varios proveedores que tratan datos personales por cuenta de la agencia. Cada uno es un encargado del tratamiento y exige un contrato firmado en los términos del art. 28 RGPD.

Una nota recurrente: al terminar el contrato, el encargado debe devolver o exportar los datos al responsable, y solo después suprimirlos (art. 28.3.g RGPD). Eso permite a la agencia conservar el histórico de expedientes durante los plazos legales —consumo, mercantil, fiscal— sin depender del proveedor saliente. El detalle del régimen aplicable al GDS y al CRM se desarrolla en el tercer artículo de esta guía.

Transferencias internacionales en el sector de los viajes

Una agencia de viajes hace, casi por definición, comunicaciones de datos fuera del Espacio Económico Europeo. Es importante distinguir dos escenarios distintos que se mezclan a menudo:

• Comunicación necesaria para la ejecución del contrato con el interesado (art. 49.1.b RGPD): cuando se envían los datos del cliente a la aerolínea del país destino, al hotel donde se aloja, a la aseguradora que cubre el viaje o a la autoridad migratoria del país de llegada, esa transferencia se ampara en la propia naturaleza del contrato de viaje. No exige decisión de adecuación ni cláusulas contractuales tipo: forma parte de la prestación del servicio que el cliente ha contratado.
• Transferencia internacional regulada con CCT, DPF o decisión de adecuación: cuando la agencia contrata a un proveedor fuera de la UE para que trate datos por su cuenta (un GDS con servidores en EE.UU., un CRM alojado en una región no UE, un servicio de hosting o de soporte técnico fuera de la UE), estamos ante una transferencia internacional ordinaria que sí exige garantías. En EE.UU., la garantía habitual es la adhesión del proveedor al Data Privacy Framework (DPF); en otros destinos, las Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión o, cuando existe, la decisión de adecuación.

La cláusula informativa al cliente debe mencionar de forma comprensible ambos escenarios: que en su viaje se comunicarán datos a proveedores y autoridades del país destino (art. 49.1.b) y que los proveedores tecnológicos de la agencia pueden tratar datos en servidores fuera de la UE con las garantías aplicables.

Si gestionas una agencia de viajes y quieres revisar tu documentación de protección de datos, en Certix trabajamos específicamente con agencias de viajes. Sin comerciales: desde el primer contacto, hablarás con un especialista.

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La normativa autonómica sectorial puede ampliar o modificar los plazos y requisitos de la norma estatal. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.