La hostelería es uno de los sectores con mayor densidad de tratamientos de datos personales: el cliente facilita su nombre, su número de documento y su tarjeta de crédito antes incluso de cruzar la puerta. La adecuación al Reglamento (UE) 2016/679 —RGPD— en este entorno requiere identificar con precisión qué datos se recogen en cada punto del servicio, qué base de legitimación los ampara y qué información debe facilitarse al cliente. El artículo 6 del RGPD establece las bases de licitud del tratamiento: en el caso de una reserva, la base habitual es la ejecución de un contrato (art. 6.1.b); en el de una cámara de seguridad en el vestíbulo, el interés legítimo del establecimiento (art. 6.1.f) o el cumplimiento de una obligación legal pueden ser la base adecuada según las circunstancias; y en el de un programa de fidelización con comunicaciones comerciales, el consentimiento explícito del cliente (art. 6.1.a) es prácticamente siempre necesario.
El registro de viajeros es una de las obligaciones más características del sector del alojamiento. El Real Decreto 933/2021, de 26 de octubre, regula la obligación de los establecimientos de hospedaje de recoger los datos de sus huéspedes —nombre, apellidos, número de documento, fecha de nacimiento, sexo, nacionalidad y fecha de entrada— y comunicarlos a las Fuerzas y Cuerpos de Seguridad del Estado en un plazo máximo de veinticuatro horas. Desde la perspectiva del RGPD, este tratamiento descansa sobre el cumplimiento de una obligación legal (art. 6.1.c del RGPD), lo que exime al establecimiento de recabar consentimiento para esta finalidad concreta. No obstante, el hotel sigue obligado a informar al huésped de este tratamiento con carácter previo, a través del aviso de privacidad en el proceso de check-in, y a garantizar que los datos no se utilizan para finalidades distintas de las previstas en la norma.
La videovigilancia es otra fuente frecuente de incumplimientos en el sector hostelero. Las cámaras instaladas en el vestíbulo, el aparcamiento, la barra o las zonas comunes están sujetas al artículo 22 de la LOPDGDD, que exige colocar carteles informativos en lugar visible que adviertan de la existencia del sistema, con indicación del responsable y del modo en que los interesados pueden ejercer sus derechos. Las imágenes captadas solo pueden conservarse durante un plazo máximo de treinta días, salvo que sean necesarias para acreditar la comisión de un delito o infracción administrativa. Las cámaras orientadas hacia espacios privados de los trabajadores —vestuarios, comedores, zonas de descanso— o hacia la vía pública quedan fuera de lo que el RGPD y la LOPDGDD permiten en este contexto. Para las instalaciones orientadas al control de la actividad en cocina o sala, conviene distinguir si la finalidad es la seguridad del establecimiento o la supervisión del personal: esta última puede requerir la comunicación previa al empleado conforme al artículo 89 de la LOPDGDD.
El wifi gratuito para clientes es un tratamiento que con frecuencia se gestiona sin los mínimos documentales exigidos. Cuando el establecimiento despliega un portal cautivo que solicita nombre, correo electrónico, número de habitación u otros datos para conceder el acceso a la red, está iniciando un tratamiento de datos personales que requiere, como mínimo, el cumplimiento del deber de información del artículo 13 del RGPD antes de que el usuario facilite sus datos. Si además se utiliza esa información para enviar comunicaciones comerciales o promociones del establecimiento, la base legal pasa a ser el consentimiento informado y específico del usuario, que debe estar claramente diferenciado de la mera condición de acceso al servicio.
Los programas de fidelización y el marketing directo representan el tratamiento con mayor potencial comercial para el sector, pero también uno de los que más atención regulatoria recibe. La LOPDGDD (LO 3/2018) exige que el envío de ofertas, descuentos o newsletters cuente con el consentimiento libre, específico, informado e inequívoco del destinatario, salvo que sea un cliente previo y la comunicación se refiera a productos o servicios análogos a los ya contratados, en cuyo caso puede aplicarse la excepción de la relación contractual preexistente. En todo caso, el cliente debe poder ejercer en cualquier momento su derecho de oposición al marketing directo, y el establecimiento debe garantizar que las solicitudes se atienden sin dilación indebida. Summum Consultoría acompaña a los establecimientos hosteleros en el diseño de procesos de captación de consentimiento que sean prácticos para el negocio y conformes con las exigencias de la normativa.