Protección de datos para
hoteles y alojamientos

Sí. El registro de datos de identidad de los huéspedes es una obligación legal impuesta por el Real Decreto 933/2021. Esta obligación legal constituye la base jurídica del tratamiento (art. 6.1.c RGPD) y prevalece sobre el derecho de supresión durante el plazo de conservación (3 años). No obstante, el cumplimiento del RD 933/2021 exige registrar los datos del documento, no conservar una fotocopia o escaneado del mismo.

No. La AEPD ha establecido con criterio sancionador reiterado que está prohibido fotocopiar, escanear o retener copias del DNI o pasaporte de los huéspedes. El RD 933/2021 obliga a registrar los datos de identidad, no a conservar una reproducción del documento. Esta práctica vulnera el principio de minimización del art. 5.1.c RGPD y ha dado lugar a múltiples expedientes sancionadores de la AEPD. El proceso de check-in debe adaptarse para recoger los datos sin copiar el soporte físico.

No necesariamente. Las grandes OTAs (Booking.com, Expedia) generalmente actúan como responsables independientes del tratamiento: gestionan los datos del cliente bajo sus propias políticas. El hotel recibe los datos que la OTA le transmite para gestionar la reserva. La relación contractual con cada OTA determina los roles y la agencia debe revisar los contratos vigentes.

Los datos del Parte de Viajeros deben conservarse 3 años según el RD 933/2021. Los datos de facturación, 4 años por obligación fiscal. Los datos del sistema de gestión hotelera (PMS) deben limitarse al tiempo necesario para la relación con el huésped. Si el hotel tiene un programa de fidelización, puede conservar datos durante la vigencia del programa con consentimiento.

La admisibilidad de la videovigilancia en un hotel depende de la zona concreta, la finalidad perseguida y el análisis de proporcionalidad. Con carácter general, está prohibida en espacios donde las personas tengan una expectativa razonable de intimidad. Cada instalación debe documentarse en el RAT, contar con cartel informativo y cumplir los plazos de conservación aplicables. Recomendamos analizar cada caso de forma individualizada antes de instalar cualquier sistema de cámaras.

Solo con consentimiento informado del huésped. Si el acceso al wifi requiere registro con nombre o email, el hotel está recogiendo datos personales y debe informar de la finalidad del tratamiento. No puede usar esos datos para marketing sin un consentimiento adicional y específico para esa finalidad.

Con carácter general sí. El proveedor del software PMS que almacena datos de huéspedes, reservas y facturación del hotel puede actuar como encargado del tratamiento. La relación jurídica exacta depende de las condiciones de cada proveedor; conviene revisarlas y, si actúa como tal, formalizar el contrato de encargo (DPA) y verificar dónde se alojan los datos, especialmente si el PMS está en la nube.