Nos encontramos en plena época de vacaciones. Seguro que sois muchos los que estos días estáis pensando salir de viaje y posiblemente realizar una reserva en algún hotel, apartamento turístico…
¿Nunca os habéis preguntado qué ocurre con todos los datos personales que cedemos a la hora de realizar dicha reserva? De ello vamos a hablar a lo largo de este post.
Como estábamos adelantando los hoteles manejan una cantidad muy importante de datos de cada cliente que se hospeda en él, como el nombre, apellidos, teléfono, correo electrónico, tarjeta de crédito…
Estos datos son facilitados por el propio cliente a través de agencias de viajes, páginas webs o por vía telefónica.
El hotel, además de reclutar todos estos datos a través de la reserva previa también lo hace nada más llegar el cliente a las instalaciones del hotel y realizar el check in donde se completa los datos ya recabados en la reserva como puede ser el DNI o pasaporte.
Para cumplir con la nueva Ley de Protección de Datos los hoteles deben cumplir lo dispuesto en tres normativas principales:
- El Reglamento General de Protección de Datos (RGPD), que se aplica a nivel europeo.
- La Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), que sustituye a la antigua LOPD y adapta la normativa europea al marco español.
- La Ley de Servicios de la Sociedad de la Información y del Comercio Electrónico (LSSI-CE).
El cambio más sustancial que se ha producido con la entrada en vigor del reglamento europeo, es la desaparición de la obligación de inscripción de los ficheros en la AEPD. Ha sido sustituido por un registro de actividades de tratamiento, donde se crearán unos ficheros a nivel interno de aquellos colectivos que vayan a tratar sus datos.
Los ficheros más habituales en el caso de los hoteles son:
- clientes,
- proveedores,
- contabilidad,
- recursos humanos y
- videovigilancia, en su caso.
Una vez que se tengan estos ficheros se debe realizar un análisis de riesgo para determinar qué medidas de seguridad serán las necesarias para garantizar la seguridad de los mismos.
Si el cliente hace la reserva a través de portales como Booking, Expedia o Trivago, deberá otorgar consentimiento expreso a estas webs para que traten sus datos y puedan formalizar la reserva.
En este caso, el hotel no tiene relación con el cliente hasta que éste llegue a recepción y confirme su reserva, por lo que hasta ese momento es obligación de estos portales cumplir con la normativa de protección de datos.
Una de las exigencias más importantes respecto a la protección de datos en hoteles, es llevar un registro de las actividades de tratamiento. Para ello es necesario realizar un registro de actividades de tratamiento que debe mantenerse actualizado.
Este documento te lo pueden pedir en caso de tener alguna inspección por la AEPD. Normalmente, deberá constar por escrito aunque también es válido en formato electrónico.
El sector hotelero se relaciona constantemente con terceros, como las agencias de viaje online, que también disponen de algunos de los datos de los usuarios.
Por ello, aparte del registro de actividades de tratamiento, debes tener presente una lista de esas empresas externas con las que tienes contacto y asegurar que también cumplan la normativa de Protección de Datos.
Si tienes una página web debes incluir en ella los textos exigidos por la ley de Protección de Datos y la LSSI:
- Aviso legal
- Política de privacidad
- Política de cookies
El aviso legal es el documento donde se identifica al propietario de la página web. En él debe incluirse:
- Nombre del propietario
- CIF / NIF
- Dirección
- Nº de inscripción en el Registro Mercantil
Debe ponerse un enlace visible a este texto desde cualquier página de la web.
Además de actualizar la política de privacidad del hotel debes tener el consentimiento expreso de todos sus clientes para poder tratar sus datos.
Este consentimiento puedes solicitarlo de dos formas:
- Si el cliente introduce sus datos personales en la página web, debes incluir una casilla desmarcada por defecto que le permita aceptar esa política de privacidad.
- En caso de que el cliente facilite sus datos personalmente en la recepción, debe firmar un documento en el que le informes sobre:
- Responsable del tratamiento.
- Propósito para el que vas a usar los datos.
- Si los cederás a terceros.
- La manera en la que puede ejercer sus derechos ARCO La localización de la información también es importante con el nuevo Reglamento Europeo de Protección de datos. Hasta el momento, lo más normal era encontrar datos de los visitantes en el entorno físico: en una libreta detrás de recepción, en carpetas o archivadores. Ahora el personal tiene que saber dónde se encuentran los datos de los clientes.
Si se toman datos en soportes físicos, debe decidirse y avisar sobre cómo se efectuará la eliminación de los datos.
Por el contrario, si se obtiene información por medio de un sitio online, entonces debe elegirse una solución o servicio informático que cifre los datos y los almacene de forma segura.
Si los clientes realizan la reserva a través de Booking no te preocupes, es responsabilidad de la empresa Booking cumplir con la normativa de Protección de Datos en su página web. Tú únicamente debes solicitar el consentimiento al cliente cuando facilite sus datos en recepción.
El personal del hotel con acceso a datos está sujeto a la obligación de guardar secreto y confidencialidad sobre los datos obtenidos.
Hay algo que mucha gente no sabe. Y es que, en virtud de la ley 4/2015, de Protección de la Seguridad Ciudadana, las personas físicas o jurídicas que ejerzan actividades de hospedaje, transporte de personas, acceso comercial a servicios telefónicos o telemáticos, etc, deberán informar sobre la identidad de sus clientes a los Cuerpos y Fuerzas de Seguridad del Estado en un plazo de 24 horas.