Abrir un restaurante implica, desde el primer día, tratar datos personales: del cliente que reserva mesa, del proveedor que entrega la materia prima, del empleado de sala que ficha por la mañana. La protección de datos no es un trámite añadido al final del proyecto; es parte de la operativa. Y, bien planteada, no entorpece el servicio: lo ordena.
Esta guía resume la documentación mínima que cualquier responsable hostelero debería tener disponible desde el primer día —ya sea para abrir un nuevo local, regularizar uno existente o revisar el estado de un grupo de restauración— bajo el marco del RGPD (Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018).
Por qué un restaurante trata datos personales
Un restaurante medio gestiona tres grandes flujos de datos personales de forma cotidiana:
- Clientes: reservas (nombre, teléfono, correo, número de comensales, hora), datos de alergias o intolerancias, fidelización (cumpleaños, preferencias), facturación, comunicaciones por WhatsApp o email, valoraciones, fotografías en redes.
- Empleados: contratación y nómina, control horario (mediante PIN, tarjeta o app), formación, comunicaciones internas, bono de comida del personal, y eventualmente datos de salud asociados a partes de baja o accidentes laborales.
- Proveedores y terceros: personas de contacto de bodegas, distribuidores, gestoría, agencia de marketing, plataformas de reservas, empresa de limpieza y mantenimiento, técnico que revisa la cámara frigorífica.
Por mínimo que sea el local, el responsable del tratamiento es siempre el titular del restaurante (la persona física o jurídica). Esa figura es la que decide qué datos se recogen y para qué, y por tanto la que asume las obligaciones del RGPD.
La documentación mínima del responsable del tratamiento
Estos son los documentos que, como mínimo, debería tener un restaurante listos antes del primer servicio. Algunos son obligatorios; otros son buenas prácticas que ahorran disgustos cuando llega una reclamación o un cambio de proveedor.
| Documento | Base normativa | Para qué sirve |
|---|---|---|
| Registro de Actividades de Tratamiento (RAT) | Art. 30 RGPD | Inventario interno de qué se trata, para qué, durante cuánto tiempo y con qué medidas. |
| Cláusula informativa para clientes | Art. 13 RGPD | Información que se entrega al cliente cuando reserva, deja un correo o rellena una ficha de alergias. |
| Cláusula informativa para empleados | Art. 13 RGPD | Información que se entrega con el contrato y con las herramientas digitales del puesto. |
| Política de privacidad (web/menú QR) | Arts. 13 y 14 RGPD | Versión pública y completa de la información que el responsable proporciona al usuario. |
| Aviso legal de la web | Art. 10 LSSICE | Identificación del titular del sitio: denominación, NIF, domicilio, email, registro mercantil. |
| Política de cookies y banner | Art. 22.2 LSSICE | Capa informativa y mecanismo de consentimiento para cookies no estrictamente necesarias. |
| Contratos de encargado del tratamiento | Art. 28 RGPD | Acuerdo firmado con cada proveedor que trate datos por cuenta del restaurante (TPV, reservas, gestoría, marketing). |
| Política de seguridad | Art. 32 RGPD | Medidas técnicas y organizativas: contraseñas, accesos por rol, copias de seguridad, plazos. |
| Protocolo de brechas | Arts. 33–34 RGPD | Procedimiento para detectar, valorar y, en su caso, notificar a la AEPD y a los afectados. |
| Procedimiento de derechos de los interesados | Arts. 15–22 RGPD | Cauce para atender acceso, rectificación, supresión, oposición, portabilidad y limitación. |
RAT (Registro de Actividades de Tratamiento) en hostelería
El art. 30 RGPD impone llevar un registro interno de actividades de tratamiento. Aunque el apartado 5 prevé una excepción para entidades de menos de 250 trabajadores, esa excepción decae si los tratamientos no son ocasionales o si pueden afectar a derechos y libertades. En hostelería la videovigilancia, la fidelización y la gestión de plantilla rara vez son "ocasionales", así que la práctica recomendable es llevar RAT en casi todos los casos.
Un RAT realista para un restaurante medio incluye, como mínimo, estas actividades:
- Reservas y gestión de clientes. Base art. 6.1.b (ejecución de contrato). Las alergias anotadas en la comanda forman parte de la prestación del servicio; si el restaurante quiere conservarlas en una ficha del cliente para futuras visitas, requieren consentimiento explícito específico del propio cliente.
- Facturación y obligaciones fiscales. Base art. 6.1.c (obligación legal): Ley General Tributaria, normativa contable.
- Gestión de personal (contratación, nómina, formación). Base art. 6.1.b + art. 6.1.c.
- Control horario y, en su caso, bono de comida. Base art. 6.1.c (art. 34.9 ET) + art. 6.1.b. Por sistemas como PIN, tarjeta, app móvil o NFC.
- Videovigilancia de la sala, accesos y cocina. Base art. 6.1.f (interés legítimo) en términos del art. 22 LOPDGDD.
- Marketing y fidelización (newsletter, club de comensales). Base art. 6.1.a (consentimiento) o art. 6.1.f (interés legítimo en clientela existente con productos análogos, art. 21.2 LSSICE).
- Gestión de proveedores. Base art. 6.1.b o art. 6.1.f.
- Atención a derechos de los interesados. Base art. 6.1.c.
- Atención a quejas y reclamaciones. Base art. 6.1.c + art. 6.1.b.
Cada entrada del RAT debe identificar: finalidad, base jurídica, categorías de datos y de interesados, destinatarios y, en su caso, transferencias internacionales, plazos de conservación y medidas de seguridad. La normativa autonómica en materia de consumo, turismo y seguridad alimentaria puede ampliar o matizar algunos plazos de conservación.
Aviso legal y política de privacidad en la web y en el menú QR
La web del restaurante —incluso una landing sencilla— necesita, como mínimo, tres documentos:
- Aviso legal: obligación del art. 10 LSSICE. Identifica al titular, NIF, domicilio, datos de contacto y, si procede, registro mercantil y autorización administrativa.
- Política de privacidad: desarrollo completo de la información del art. 13 RGPD (responsable, finalidades, base jurídica, destinatarios, plazos, derechos, autoridad de control).
- Política y banner de cookies: exigida por el art. 22.2 LSSICE. El consentimiento debe ser informado, granular y revocable; las cookies analíticas, publicitarias o de redes sociales no se pueden cargar antes de obtenerlo.
El menú QR merece atención específica. Si abre un PDF estático, no añade obligaciones nuevas. Pero si la plataforma del menú permite pedir, pagar, registrar el correo del cliente o instala cookies analíticas, está tratando datos personales y debe enlazar la política de privacidad y el aviso de cookies desde la propia pantalla, antes de la primera interacción.
Cláusula informativa para clientes y empleados (art. 13 RGPD)
El deber de información del art. 13 RGPD es obligatorio aunque la base jurídica no sea el consentimiento. Es un error frecuente pensar que, como las reservas se amparan en la ejecución del contrato, no hace falta entregar nada. Sí hace falta. La cláusula informativa debe estar disponible en los puntos de captura habituales:
- Junto a la ficha de reserva (en papel o digital).
- En la pantalla del menú QR si se piden datos.
- En el formulario de fidelización o newsletter.
- En el anexo del contrato laboral y en el manual de bienvenida del personal.
- En la cartelería de videovigilancia (dispositivo informativo en zona visible, conforme al art. 22.4 LOPDGDD).
El cliente debe saber, antes de entregar el dato, quién lo trata, para qué, con qué base, a quién se comunica, cuánto se conserva y cómo ejercer sus derechos. Esa misma exigencia se aplica al empleado en el primer día.
Encargados del tratamiento habituales en hostelería (art. 28 RGPD)
El restaurante decide qué hacer con los datos; pero, en la práctica, los almacena y trata a través de proveedores. Cada uno de esos proveedores, si trata datos por cuenta del responsable, es un encargado del tratamiento y exige un contrato firmado en los términos del art. 28 RGPD.
| Proveedor | Datos que trata | Documento clave |
|---|---|---|
| TPV | Tickets, formas de pago, fidelización | Contrato art. 28 RGPD + medidas de seguridad PCI-DSS |
| Software de reservas | Nombre, teléfono, correo, hora, número de comensales, comentarios (alergias) | Contrato art. 28 RGPD + ubicación de servidores |
| Gestoría / asesoría laboral | Datos de personal, nóminas, contratos | Contrato art. 28 RGPD |
| Agencia de marketing / community manager | Bases de datos de newsletter, audiencias publicitarias | Contrato art. 28 RGPD + verificación de bases de captación |
| Plataforma de fidelización | Histórico de visitas, preferencias, cumpleaños | Contrato art. 28 RGPD + canal de baja accesible |
| Proveedor de email transaccional | Direcciones de correo, contenidos de confirmaciones | Contrato art. 28 RGPD + control de transferencias internacionales |
| Empresa de videovigilancia | Imágenes de sala, accesos, cocina | Contrato art. 28 RGPD + plazo 30 días (art. 22.3 LOPDGDD) |
Una nota recurrente: al terminar el contrato, el encargado debe devolver o exportar los datos al responsable, y solo después suprimirlos (art. 28.3.g RGPD). Eso permite al restaurante seguir cumpliendo con sus plazos legales de conservación —fiscales, laborales, contables— sin depender del proveedor saliente.
Buenas prácticas para arrancar el primer día
- Quién es quién: identificar al responsable del tratamiento (el titular del restaurante) y a la persona del equipo que coordina las solicitudes de derechos y los incidentes.
- Inventario de proveedores: listar TPV, reservas, gestoría, marketing, fidelización, email, videovigilancia. Comprobar que existe contrato del art. 28 RGPD con cada uno.
- Una sola fuente de verdad: evitar duplicar la base de datos de clientes en hojas de cálculo personales, móviles del personal o agendas en papel sin control.
- Cláusulas listas y entregadas: versiones cortas para clientes y empleados, accesibles en sala y disponibles en la web/menú QR.
- Videovigilancia bien señalizada y configurada para conservar imágenes 30 días como máximo (art. 22.3 LOPDGDD).
- Cuentas individuales en el TPV (un código por persona, nunca compartido).
- Plan de actuación ante una incidencia: a quién avisar si se pierde un USB, si se rompe la web o si llega una solicitud de borrado.
El objetivo no es generar carpetas: es que el día que llegue una reclamación, una solicitud de acceso o un cambio de proveedor, el restaurante tenga claro dónde está cada dato y quién lo gestiona.
"En un restaurante, la protección de datos se gana en sala: con cláusulas claras, contratos firmados con cada proveedor y un equipo que sabe dónde apuntar la alergia y dónde no apuntarla."
Mario P. Talamillo · Socio director, Certix®
Si tienes un restaurante o grupo de restauración y quieres revisar tu documentación de protección de datos, en Certix trabajamos específicamente con hostelería. Sin comerciales: desde el primer contacto, hablarás con un especialista.
Guía de protección de datos para restaurantes
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La normativa autonómica sectorial puede ampliar o modificar los plazos y requisitos de la norma estatal. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.