Un hotel trata datos personales desde mucho antes de que llegue el huésped: la reserva entra por la web, por una OTA o por teléfono, se confirma por email, se completa en el check-in, se cruza con el libro-registro de viajeros, alimenta el PMS, viaja a la facturación y, eventualmente, llega al programa de fidelización. La protección de datos no es un trámite añadido al final del proyecto; es parte de la operativa cotidiana del alojamiento.
Esta guía resume la documentación mínima que cualquier responsable hotelero debería tener disponible —para abrir un alojamiento nuevo, regularizar uno existente o revisar el estado de una cadena— bajo el marco del RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018) y la normativa sectorial específica de hospedaje.
Por qué un hotel trata datos personales
Un hotel medio gestiona cuatro grandes flujos de datos personales de forma cotidiana:
- Huéspedes: reservas (nombre, contacto, fechas, número de personas, preferencias), datos del documento de identidad para el registro de hospedaje, datos de tarjeta para la garantía, comunicaciones, valoraciones, ficha del cliente y, en su caso, programa de fidelización.
- Empleados: contratación y nómina, control horario (mediante PIN, tarjeta RFID o app), formación, comunicaciones internas y, eventualmente, partes de baja o accidentes laborales.
- Proveedores y terceros: personas de contacto de bodegas, lavandería, mantenimiento, gestoría, agencia de marketing, channel manager, motor de reservas, OTAs, plataformas de gestión de incidencias.
- Organismos y autoridades: comunicación obligatoria de los datos del registro de viajeros a las Fuerzas y Cuerpos de Seguridad del Estado, a través del sistema SES.HOSPEDAJES (Real Decreto 933/2021).
Por pequeño que sea el alojamiento, el responsable del tratamiento es siempre el titular del hotel (la persona física o jurídica). Esa figura decide qué datos se recogen y para qué, y por tanto asume las obligaciones del RGPD.
El libro-registro de viajeros y la comunicación a las Fuerzas y Cuerpos de Seguridad
La obligación de registro de viajeros y su comunicación a las autoridades competentes es una de las particularidades estructurales del sector. Su norma de referencia es el Real Decreto 933/2021, de 26 de octubre, que regula las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor.
- Base jurídica: art. 6.1.c RGPD —cumplimiento de una obligación legal— al amparo del propio RD 933/2021.
- Datos que se recogen: los que enumera la propia norma sectorial (datos identificativos del huésped, documento de identidad, datos de la estancia, datos de pago en los términos previstos). Solo los necesarios para cumplir la obligación legal.
- Vías telemáticas: la comunicación se realiza por los canales electrónicos habilitados por la Secretaría de Estado de Seguridad, principalmente el sistema SES.HOSPEDAJES.
- Plazo de conservación: la información del registro de viajeros debe conservarse durante tres años desde la fecha de finalización del servicio o prestación contratada, conforme al RD 933/2021.
- Cómo se gestiona el documento de identidad: el hotel anota en el sistema los datos imprescindibles que exige la norma. Nunca fotocopia, escanea ni guarda imagen del DNI o pasaporte del huésped: el criterio sancionador AEPD y el principio de minimización (art. 5.1.c RGPD) lo descartan.
La normativa autonómica turística (registro de establecimientos, hojas de inscripción, libros de viajeros autonómicos) puede añadir requisitos formales adicionales en cada Comunidad Autónoma; es obligatorio comprobar la normativa autonómica de turismo aplicable al alojamiento.
La documentación mínima del responsable del tratamiento
Estos son los documentos que, como mínimo, debería tener un hotel listos antes del primer check-in. Algunos son obligatorios; otros son buenas prácticas que ahorran problemas cuando llega una reclamación, una inspección o un cambio de proveedor.
| Documento | Base normativa | Para qué sirve |
|---|---|---|
| Registro de Actividades de Tratamiento (RAT) | Art. 30 RGPD | Inventario interno de qué se trata, para qué, durante cuánto tiempo y con qué medidas. |
| Cláusula informativa para huéspedes | Art. 13 RGPD | Información que se entrega en reserva, web, motor de reservas y check-in. |
| Cláusula informativa para empleados | Art. 13 RGPD | Información que se entrega con el contrato y con las herramientas digitales del puesto. |
| Política de privacidad de la web | Arts. 13 y 14 RGPD | Versión pública y completa de la información que el responsable proporciona al usuario. |
| Aviso legal de la web | Art. 10 LSSICE | Identificación del titular del sitio: denominación, NIF, domicilio, email, registro mercantil. |
| Política de cookies y banner | Art. 22.2 LSSICE | Capa informativa y mecanismo de consentimiento para cookies no estrictamente necesarias. |
| Contratos de encargado del tratamiento | Art. 28 RGPD | Acuerdo firmado con cada proveedor que trate datos por cuenta del hotel (PMS, motor de reservas, channel manager, gestoría, marketing, lavandería con datos de huéspedes). |
| Política de seguridad | Art. 32 RGPD | Medidas técnicas y organizativas: contraseñas, accesos por rol, copias de seguridad, plazos. |
| Protocolo de brechas | Arts. 33–34 RGPD | Procedimiento para detectar, valorar y, en su caso, notificar a la AEPD y a los afectados. |
| Procedimiento de derechos de los interesados | Arts. 15–22 RGPD | Cauce para atender acceso, rectificación, supresión, oposición, portabilidad y limitación. |
RAT (Registro de Actividades de Tratamiento) en un hotel
El art. 30 RGPD impone llevar un registro interno de actividades de tratamiento. La excepción del apartado 5 para entidades de menos de 250 trabajadores decae si los tratamientos no son ocasionales o si pueden afectar a derechos y libertades. En un hotel —videovigilancia, fidelización, registro obligatorio de viajeros, gestión de plantilla con turnos— prácticamente ningún tratamiento es "ocasional", así que la práctica recomendable es llevar RAT en todos los casos.
Un RAT realista para un hotel medio incluye, como mínimo, estas actividades:
- Reservas y atención al huésped. Base art. 6.1.b RGPD (ejecución de contrato): contacto, confirmaciones, prerregistro online, check-in, check-out, facturación al huésped.
- Registro de viajeros y comunicación a las Fuerzas y Cuerpos de Seguridad. Base art. 6.1.c RGPD —obligación legal— al amparo del Real Decreto 933/2021. Plazo de conservación de tres años.
- Facturación y obligaciones fiscales. Base art. 6.1.c RGPD: Ley General Tributaria, normativa contable.
- Gestión de personal (contratación, nómina, formación). Base art. 6.1.b + art. 6.1.c.
- Control horario. Base art. 6.1.c (art. 34.9 ET) + art. 6.1.b. Por sistemas como PIN, tarjeta RFID, app móvil o NFC.
- Videovigilancia de accesos, pasillos generales, aparcamiento y zonas comunes. Base art. 6.1.f (interés legítimo) en términos del art. 22 LOPDGDD. Zonas excluidas por imperativo legal: habitaciones, baños, vestuarios y zonas de descanso del personal (art. 89.1 LOPDGDD).
- Marketing y fidelización (newsletter, programa de huéspedes). Base art. 6.1.a (consentimiento) o art. 6.1.f (interés legítimo en clientela existente con productos análogos, art. 21.2 LSSICE).
- Gestión de proveedores. Base art. 6.1.b o art. 6.1.f.
- Atención a derechos de los interesados. Base art. 6.1.c.
Cada entrada del RAT debe identificar: finalidad, base jurídica, categorías de datos y de interesados, destinatarios y, en su caso, transferencias internacionales, plazos de conservación y medidas de seguridad. La normativa autonómica en materia de turismo, consumo y seguridad puede ampliar o matizar requisitos formales.
Cláusula informativa: check-in, web, formulario de reserva y motor
El deber de información del art. 13 RGPD es obligatorio aunque la base jurídica no sea el consentimiento. Es un error frecuente pensar que, como la reserva se ampara en la ejecución del contrato y la comunicación a las Fuerzas y Cuerpos de Seguridad en una obligación legal, no hace falta entregar nada. Sí hace falta. La cláusula informativa debe estar disponible en todos los puntos de captura habituales:
- En el motor de reservas de la web y en el formulario de contacto (enlace visible y accesible antes del envío).
- En la confirmación de reserva por email.
- En la ficha de check-in (papel o digital), idealmente con versión resumida en primera capa y versión completa accesible.
- En el anexo del contrato laboral y en el manual de bienvenida del personal.
- En la cartelería de videovigilancia (dispositivo informativo en zona visible, conforme al art. 22.4 LOPDGDD).
- En el formulario de fidelización o newsletter.
El huésped debe saber, antes de entregar el dato, quién lo trata, para qué, con qué base, a quién se comunica (incluida la comunicación obligatoria a las Fuerzas y Cuerpos de Seguridad), cuánto se conserva y cómo ejercer sus derechos. Esa misma exigencia se aplica al empleado en el primer día.
Encargados del tratamiento habituales en un hotel (art. 28 RGPD)
El hotel decide qué hacer con los datos; pero, en la práctica, los almacena y trata a través de proveedores. Cada uno de esos proveedores, si trata datos por cuenta del responsable, es un encargado del tratamiento y exige un contrato firmado en los términos del art. 28 RGPD.
| Proveedor | Datos que trata | Documento clave |
|---|---|---|
| PMS (Property Management System) | Fichas de huéspedes, reservas, facturación, fidelización | Contrato art. 28 RGPD + perfiles de acceso por rol |
| Motor de reservas | Datos de contacto del huésped, datos de pago, preferencias | Contrato art. 28 RGPD + ubicación de servidores |
| Channel manager | Reservas procedentes de OTAs y disponibilidad sincronizada | Contrato art. 28 RGPD + lista de subencargados |
| OTAs (cuando actúan como encargadas) | Datos del huésped tramitados a través de la plataforma | Análisis caso a caso: pueden actuar como responsables independientes en la fase de captación y como encargadas en la transmisión al hotel |
| Gestoría / asesoría laboral | Datos de personal, nóminas, contratos | Contrato art. 28 RGPD |
| Agencia de marketing | Bases de newsletter, audiencias publicitarias | Contrato art. 28 RGPD + verificación de bases de captación |
| Empresa de limpieza / lavandería | Acceso a habitaciones, listados de ocupación | Contrato art. 28 RGPD + cláusula de confidencialidad reforzada |
| Empresa de videovigilancia | Imágenes de accesos, pasillos generales, aparcamiento | Contrato art. 28 RGPD + plazo 30 días (art. 22.3 LOPDGDD) |
Una nota recurrente: al terminar el contrato, el encargado debe devolver o exportar los datos al responsable, y solo después suprimirlos (art. 28.3.g RGPD). Eso permite al hotel seguir cumpliendo con sus plazos legales de conservación —fiscales, laborales, registro de viajeros— sin depender del proveedor saliente.
Marketing de fidelización y comunicaciones comerciales
El programa de huéspedes y el envío de newsletters son piezas habituales del hotel. Conviene tener claras las bases jurídicas:
- Consentimiento (art. 6.1.a RGPD): regla general para captar suscriptores nuevos a la newsletter o al club de huéspedes. Casilla específica, granular, desmarcada por defecto e independiente de la aceptación de la política general.
- Interés legítimo o clientela existente con productos análogos (art. 6.1.f RGPD + art. 21.2 LSSICE): permite comunicaciones comerciales a clientes ya alojados sobre productos o servicios análogos a los que ya disfrutaron, siempre que se les diera la opción de oponerse en la recogida inicial y en cada comunicación.
- Baja accesible en cada comunicación comercial (enlace visible, sin obstáculos artificiales).
Si el hotel perfila preferencias del huésped (tipo de habitación, intolerancias, fechas habituales, gasto medio) para personalizar ofertas, debe documentarlo en el RAT y reflejarlo en la cláusula informativa. Si en esa ficha entran datos de salud (alergias, movilidad reducida) conservados de forma permanente, hay que aplicar consentimiento explícito específico del art. 9.2.a RGPD, con casilla independiente y desmarcada por defecto.
Buenas prácticas para arrancar el primer día
- Quién es quién: identificar al responsable del tratamiento (el titular del hotel) y a la persona del equipo que coordina solicitudes de derechos e incidentes.
- Inventario de proveedores: listar PMS, motor de reservas, channel manager, OTAs, gestoría, marketing, limpieza, lavandería, videovigilancia. Comprobar que existe contrato del art. 28 RGPD con cada uno.
- Una sola fuente de verdad: evitar duplicar la base de huéspedes en hojas de cálculo personales, móviles del personal o agendas en papel sin control.
- Cláusulas listas y entregadas: versiones cortas para huéspedes y empleados, accesibles en recepción y en la web/motor de reservas.
- Videovigilancia bien señalizada y configurada para conservar imágenes 30 días como máximo (art. 22.3 LOPDGDD). Cero cámaras en habitaciones, baños, vestuarios y zonas de descanso del personal (art. 89.1 LOPDGDD).
- Cuentas individuales en el PMS (un usuario por persona, nunca compartido).
- Plan de actuación ante una incidencia: a quién avisar si se pierde un USB, si se cae el PMS o si llega una solicitud de borrado.
El objetivo no es generar carpetas: es que el día que llegue una reclamación, una solicitud de acceso o un cambio de proveedor, el hotel tenga claro dónde está cada dato y quién lo gestiona.
"En un hotel, la protección de datos empieza en recepción: con un check-in que registra lo justo, devuelve el documento al huésped y guarda con orden lo que la ley pide guardar. No hace falta más, y tampoco menos."
Mario P. Talamillo · Socio director, Certix®
Si gestionas un hotel, hostal o cadena de alojamientos y quieres revisar tu documentación de protección de datos, en Certix trabajamos específicamente con hoteles y alojamientos. Sin comerciales: desde el primer contacto, hablarás con un especialista.
Guía de protección de datos para hoteles
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La normativa autonómica sectorial puede ampliar o modificar los plazos y requisitos de la norma estatal. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.