Protección de datos para
agencias de viajes

Sí. Cuando la agencia transmite datos del viajero a aerolíneas, hoteles u operadores turísticos fuera del Espacio Económico Europeo (EEE), se produce una transferencia internacional de datos. Esta transferencia debe comunicarse al cliente en la política de privacidad o cláusula informativa, indicando el mecanismo habilitante: para proveedores estadounidenses adheridos al Data Privacy Framework (DPF), ese es el mecanismo actualmente aplicable; para otros destinos se requieren Cláusulas Contractuales Tipo u otros mecanismos del art. 46 RGPD, cuya validez conviene verificar periódicamente.

El número de pasaporte es un dato de identidad que permite la identificación inequívoca del viajero. No es una categoría especial del art. 9 RGPD, pero su sensibilidad es alta: su uso indebido puede facilitar fraudes de identidad o robo. La agencia debe aplicar medidas de seguridad adecuadas, limitar el acceso interno y no conservarlo más tiempo del necesario.

La gestión de datos de menores en reservas familiares tiene implicaciones específicas en materia de consentimiento y representación. La agencia debe informar adecuadamente sobre el tratamiento de los datos de los menores en la cláusula informativa del contrato y asegurarse de contar con la representación legal correspondiente.

Sí. La información sobre dietas por motivos médicos (diabetes, alergias alimentarias graves, celiaquía) o la solicitud de asistencia especial en el aeropuerto (silla de ruedas, asistencia médica) son datos de salud (categoría especial art. 9 RGPD). Su tratamiento requiere el consentimiento explícito del viajero para esa finalidad específica.

La documentación del viaje debe conservarse durante el plazo de posibles reclamaciones del consumidor (3 años para la responsabilidad contractual según el Código Civil) y durante el plazo fiscal (4 años). Los datos de pasaportes y documentación de identidad deben eliminarse una vez que ya no sean necesarios para los trámites del viaje.

Los GDS y los sistemas de reserva de aerolíneas y hoteles gestionan los datos de los viajeros bajo sus propias condiciones. En función del modelo contractual, pueden actuar como encargados del tratamiento de la agencia o como responsables independientes. La agencia debe revisar sus condiciones contractuales y reflejar adecuadamente estas relaciones en su RAT.