Una casa rural es un negocio pequeño y muy próximo al huésped, pero desde el punto de vista jurídico trata datos personales con la misma seriedad que un hotel de cien habitaciones: recibe reservas por la web o por portales como Booking y Airbnb, anota datos de identidad en el check-in, comunica el parte de viajeros al Ministerio del Interior, factura, conserva contratos de alquiler vacacional y, en muchos casos, instala cámaras de seguridad perimetrales. La protección de datos en este contexto no es un papel extra; forma parte de la operativa cotidiana del alojamiento.
Esta guía resume la documentación mínima que cualquier propietario de casa rural debería tener disponible —para abrir un alojamiento nuevo, regularizar uno existente o revisar el estado tras un cambio de gestoría o de software de reservas— bajo el marco del RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018) y la normativa sectorial específica de hospedaje.
Por qué una casa rural también trata datos personales
Aunque la operativa sea sencilla y, en muchos casos, la gestione directamente el propietario, una casa rural gestiona varios flujos de datos personales habituales:
- Huéspedes: reservas (nombre, contacto, fechas, número de personas), datos del documento de identidad para el registro de hospedaje, datos de pago, comunicaciones previas y posteriores a la estancia y, en su caso, valoraciones del cliente.
- Propietarios y titulares: si el alojamiento opera bajo una sociedad o si hay copropietarios, también se gestionan sus datos personales (administrativos, fiscales, bancarios).
- Proveedores y terceros: personas de contacto de gestoría, empresa de limpieza, mantenimiento, suministros, plataformas de reservas, software de gestión y, ocasionalmente, empresas de catering o actividades complementarias.
- Organismos y autoridades: comunicación obligatoria de los datos del registro de viajeros a las Fuerzas y Cuerpos de Seguridad del Estado mediante el sistema SES.HOSPEDAJES (Real Decreto 933/2021).
El responsable del tratamiento es siempre el titular de la casa rural (persona física o sociedad), aunque la gestión diaria la realice una sola persona. Esa figura decide qué datos se recogen y para qué, y por tanto asume las obligaciones del RGPD.
El parte de viajeros y la comunicación a las Fuerzas y Cuerpos de Seguridad
La obligación de registro de viajeros y su comunicación a las autoridades competentes alcanza también a los pequeños alojamientos turísticos. Su norma de referencia es el Real Decreto 933/2021, de 26 de octubre, que regula las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor.
- Base jurídica: art. 6.1.c RGPD —cumplimiento de una obligación legal— al amparo del propio RD 933/2021.
- Datos que se recogen: los que enumera la propia norma sectorial (datos identificativos del huésped, documento de identidad, datos de la estancia, datos de pago en los términos previstos). Solo los necesarios para cumplir la obligación legal.
- Vías telemáticas: la comunicación se realiza por los canales electrónicos habilitados por la Secretaría de Estado de Seguridad, principalmente el sistema SES.HOSPEDAJES.
- Plazo de conservación: la información del registro de viajeros debe conservarse durante tres años desde la fecha de finalización del servicio o prestación contratada, conforme al RD 933/2021.
- Cómo se gestiona el documento de identidad: el propietario anota los datos imprescindibles que exige la norma. Nunca fotocopia, escanea ni guarda imagen del DNI o pasaporte del huésped: el criterio sancionador AEPD y el principio de minimización (art. 5.1.c RGPD) lo descartan.
La normativa autonómica turística (registro de establecimientos, hojas de inscripción, libros de viajeros autonómicos) puede añadir requisitos formales adicionales en cada Comunidad Autónoma; es obligatorio comprobar la normativa autonómica de turismo aplicable a la casa rural.
La documentación mínima del responsable del tratamiento
Estos son los documentos que, como mínimo, debería tener una casa rural lista antes del primer check-in. Algunos son obligatorios; otros son buenas prácticas que ahorran problemas cuando llega una reclamación, una inspección o un cambio de proveedor.
| Documento | Base normativa | Para qué sirve |
|---|---|---|
| Registro de Actividades de Tratamiento (RAT) | Art. 30 RGPD | Inventario interno de qué se trata, para qué, durante cuánto tiempo y con qué medidas. |
| Cláusula informativa para huéspedes | Art. 13 RGPD | Información que se entrega en la confirmación de reserva y en el check-in. |
| Política de privacidad de la web | Arts. 13 y 14 RGPD | Versión pública y completa de la información que el responsable proporciona al usuario. |
| Aviso legal de la web | Art. 10 LSSICE | Identificación del titular del sitio: denominación, NIF, domicilio, email. |
| Política de cookies y banner | Art. 22.2 LSSICE | Capa informativa y mecanismo de consentimiento para cookies no estrictamente necesarias. |
| Contratos de encargado del tratamiento | Art. 28 RGPD | Acuerdo firmado con cada proveedor que trate datos por cuenta del alojamiento (software de reservas, gestoría, limpieza con acceso a datos). |
| Política de seguridad | Art. 32 RGPD | Medidas técnicas y organizativas: contraseñas, copias de seguridad, custodia de papel. |
| Protocolo de brechas | Arts. 33–34 RGPD | Procedimiento para detectar, valorar y, en su caso, notificar a la AEPD y a los afectados. |
| Procedimiento de derechos de los interesados | Arts. 15–22 RGPD | Cauce para atender acceso, rectificación, supresión, oposición, portabilidad y limitación. |
| Cartel informativo de videovigilancia | Art. 22.4 LOPDGDD | Dispositivo informativo visible en zona perimetral si hay cámaras de seguridad. |
Cláusula informativa al huésped (art. 13 RGPD)
El deber de información del art. 13 RGPD es obligatorio aunque la base jurídica no sea el consentimiento. Es un error frecuente pensar que, como la reserva se ampara en la ejecución del contrato y la comunicación a las Fuerzas y Cuerpos de Seguridad en una obligación legal, no hace falta entregar nada. Sí hace falta. La cláusula informativa de la casa rural debe responder, en términos sencillos pero completos:
- Quién trata los datos: identificación del titular del alojamiento, dirección y vía de contacto en materia de protección de datos.
- Qué datos se tratan: los de la reserva, los del documento de identidad para el parte de viajeros y los de facturación.
- Para qué se tratan: gestión de la reserva, prestación del servicio de alojamiento, cumplimiento del RD 933/2021, facturación, atención a reclamaciones y, en su caso, comunicaciones comerciales si el huésped las acepta.
- Con qué base jurídica: ejecución del contrato (art. 6.1.b), obligación legal para la comunicación al Ministerio del Interior (art. 6.1.c), interés legítimo o consentimiento, según el tratamiento concreto.
- A quién se comunican: Fuerzas y Cuerpos de Seguridad del Estado (comunicación obligatoria), Administración Tributaria, gestoría y, en su caso, plataforma de reservas o proveedor del software.
- Cuánto se conservan: tres años para el registro de viajeros (RD 933/2021), los plazos fiscales y contables aplicables para la facturación, y los plazos generales del RGPD para el resto.
- Cómo ejercer los derechos: acceso, rectificación, supresión, oposición, limitación, portabilidad y reclamación ante la AEPD.
La cláusula debe estar disponible en los puntos de captura habituales: formulario de la web, confirmación de reserva por email, ficha de check-in (en papel o digital) y, si la casa rural envía newsletter, en el formulario de suscripción.
Encargados del tratamiento habituales en una casa rural (art. 28 RGPD)
Aunque la operativa sea pequeña, casi cualquier casa rural se apoya en proveedores que tratan datos personales por cuenta del propietario. Cada uno de esos proveedores es un encargado del tratamiento y exige un contrato firmado en los términos del art. 28 RGPD.
| Proveedor | Datos que trata | Documento clave |
|---|---|---|
| Software de reservas pequeño | Fichas de huéspedes, calendarios, facturación | Contrato art. 28 RGPD + ubicación de servidores |
| Gestoría / asesoría fiscal | Facturación, datos contables, en su caso datos de personal | Contrato art. 28 RGPD |
| Plataformas de reserva (Booking, Airbnb) | Datos del huésped tramitados a través del portal | Análisis caso a caso: habitualmente actúan como responsables independientes (ver artículo 9.3) |
| Empresa de limpieza externa | Listados de ocupación, acceso al alojamiento | Contrato art. 28 RGPD + cláusula de confidencialidad |
| Empresa de videovigilancia (si la hay) | Imágenes de accesos perimetrales | Contrato art. 28 RGPD + plazo 30 días (art. 22.3 LOPDGDD) |
Una nota recurrente: al terminar el contrato, el encargado debe devolver o exportar los datos al responsable, y solo después suprimirlos (art. 28.3.g RGPD). Eso permite a la casa rural seguir cumpliendo con sus plazos legales de conservación —fiscales, registro de viajeros— sin depender del proveedor saliente. El rol específico de las plataformas tipo Booking o Airbnb se trata en detalle en el tercer artículo de esta guía.
Videovigilancia perimetral: cámaras de seguridad fuera del alojamiento
Muchas casas rurales se encuentran aisladas o tienen entornos amplios (jardines, accesos, aparcamientos), y es habitual instalar cámaras de seguridad perimetrales. La videovigilancia está permitida con finalidad de seguridad sobre la propiedad, siempre que se respeten estas reglas:
- Base jurídica: art. 6.1.f RGPD (interés legítimo) en los términos del art. 22 LOPDGDD.
- Plazo de conservación: las imágenes deben suprimirse en un plazo máximo de 30 días desde su captación, salvo conservación para denuncia de infracciones o procedimiento (art. 22.3 LOPDGDD).
- Cartel informativo visible en la zona de acceso, conforme al art. 22.4 LOPDGDD, indicando responsable y forma de ejercer derechos.
- Cobertura limitada al propio inmueble: la cámara no debe captar la vía pública más allá de lo imprescindible para vigilar el acceso, ni inmuebles vecinos.
- Espacios prohibidos: el art. 89.1 LOPDGDD prohíbe taxativamente la instalación de sistemas de videovigilancia o grabación de sonidos en espacios destinados al descanso, vestuarios, aseos y zonas análogas. Trasladado al alojamiento turístico, esto refuerza la regla evidente: nunca cámaras en el interior del alojamiento ni en los baños o dormitorios destinados al huésped. La videovigilancia se limita estrictamente al perímetro exterior.
Si hay cámaras, debe figurar la actividad en el RAT, contar con la cartelería del art. 22.4 LOPDGDD y, cuando el sistema lo opere una empresa externa, firmarse contrato del art. 28 RGPD con esa empresa.
"En una casa rural, la protección de datos cabe en una carpeta de diez documentos bien hechos. No hace falta más, y tampoco menos. Lo que marca la diferencia es la coherencia entre lo que dice el papel y lo que se hace cada vez que llega un huésped a la puerta."
Mario P. Talamillo · Socio director, Certix®
Si gestionas una casa rural o pequeño alojamiento turístico y quieres revisar tu documentación de protección de datos, en Certix trabajamos específicamente con casas rurales. Sin comerciales: desde el primer contacto, hablarás con un especialista.
Guía de protección de datos para casas rurales
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La normativa autonómica sectorial puede ampliar o modificar los plazos y requisitos de la norma estatal. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.