Servicios de protección de datos en Alcázar de San Juan (Ciudad Real)

La oferta de servicios de Arcodatos alcanza a toda la comarca del campo de San Juan y nos ocupamos de asesorar sobre los tratamientos de datos que se dan en los sectores públicos y privados y en distintas actividades, hostelería, academias, gimnasios, clínicas, residencias de mayores, fábricas, empresas despachos de abogados, despachos de arquitectura, inmobiliaria, empresas relacionadas con la energía, construcción, empresas que se dedican a la exportación.

¿CÓMO TRATAR LOS DATOS EN UN HOTEL U OTROS ESTABLECIMIENTOS DE HOSPEDAJE?

En los establecimientos dedicados a Hospedaje se tratan datos de los clientes y huéspedes con distintas finalidades:

Antes debemos matizar dos conceptos relevantes:

HUÉSPED. Persona que se aloja en el establecimiento.

CLIENTE. Persona que contrata los servicios de alojamiento.

TRATAMIENTOS DE DATOS:

1.- PARTES DE ENTRADA DE VIAJEROS. La base que legitima este tratamiento es la existencia de una OBLIGACIÓN LEGAL (art. 6.1.c RGPD).

El Real Decreto 933/2021 de 26 de octubre, por el que se establecen las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor señala:

1. Los partes de entrada de viajeros se ajustarán al modelo señalado en el anexo que se incluye en la Orden INT/321/2021, de 31 de marzo, por la que se modifica la Orden INT/1922/2003, de

3 de julio, sobre libros-registro y partes de entrada de viajeros en establecimientos de hostelería. Estos partes serán generados por los propios establecimientos.

2. Los establecimientos podrán cumplimentar los partes de entrada por procedimientos manuales o por procedimientos informáticos, pero el viajero deberá firmar dicho parte de manera inexcusable, pudiendo recogerse la firma en papel o en un soporte digital.

El art. 4 del Real Decreto 933/2021 de 26 de octubre establece que los propios establecimientos serán responsables de la exactitud de los datos que se hagan constar en ellos, de modo que coincidan con los documentos o sistemas que acrediten la identidad de las personas, que habrán de ser exhibidos o facilitados por los usuarios de estos servicios.

3. Una vez cumplimentado y firmado el impreso, quedará en el establecimiento a efectos de confección de un libro-registro en formato impreso o digital. Los libros-registro en formato impreso se ordenarán de forma correlativa, constituyendo libros o cuadernos que integrarán un mínimo de 100 hojas y un máximo de 500. Los libros-registro en formato digital deberán ser compatibles con los medios electrónicos de las Fuerzas y Cuerpos de Seguridad, permitiendo un tratamiento seguro a fin de garantizar la fiabilidad de los datos.

4. El libro-registro del establecimiento de que se trate constituido conforme a lo previsto en el párrafo anterior, estará en todo momento a disposición de los miembros de las Fuerzas y Cuerpos de Seguridad con competencia en la materia, quedando los establecimientos obligados a exhibirlo cuando a ello sean requeridos.

5. Los establecimientos deberán conservar los libros-registro durante el plazo de tres años, a contar desde la fecha de la última de las hojas registro que los integran, o, en su caso, desde la fecha de grabación de la información cuando se conserve por medios digitales.

2. RESERVAS DE ALOJAMIENTO. La base que legitima este tratamiento es la existencia de una RELACIÓN PRECONTRACTUAL (art. 6.1.b RGPD).

El establecimiento podrá disponer de varios medios para facilitar la reserva del alojamiento a las personas interesadas, no obstante, en todo caso se deberá informar al interesado de la manera que el establecimiento va a tratar los datos según lo establecido en el art. 13 RGPD. Si la reserva se realiza a través de un formulario web, lo adecuado será informar al interesado mediante la política de privacidad de ésta incluyendo un check de verificación confirmando que el interesado ha leído dicha política. De igual forma conviene que el interesado acepte las condiciones generales de reserva, las cuáles deben expresar claramente las condiciones a las que está sujeta la reserva, por ejemplo, indicando la hora de entrada y salida, los gastos de cancelación en el supuesto de que se anule una reserva antes de distintos plazos estipulados y formas de cobro de los mismos, condiciones de utilización de la red wifi, servicios incluidos en cada modalidad de pensión, …

Si la reserva se realiza de manera telefónica, el establecimiento debe enviar al interesado un resumen de la reserva, fechas, precio, pagos realizados, pagos pendientes… una copia de las condiciones generales de la reserva y la información sobre protección de datos.

3. PLAN DE FIDELIZACIÓN. La base que legitima este tratamiento es la existencia es el CONSENTIMIENTO del interesado. (art. 6.1.a RGPD). Por tanto, se debe solicitar autorización al interesado para realizar este tratamiento de datos.

Si el establecimiento lo desea podrá crear un PLAN DE FIDELIZACIÓN de clientes, para ello, deberá invitar los huéspedes, mediante un formulario donde los huéspedes son informados de las ventajas de pertenecer al plan de fidelización. Este tratamiento de datos para que sea lícito implica que el huésped lo consienta de manera clara, expresa e inequívoca.

Si se realiza a través de un formulario web, se podría indicar lo siguiente:

O Marque esta casilla si usted desea suscribirse al plan de FIDELIZACIÓN DE HOTEL AAA

Se debe implementar la medida de seguridad denominada doble opte-in, es decir, una vez que el interesado ha marcado la casilla de aceptación, deberá recibir un mensaje, por ejemplo, por correo electrónico, que incluya un enlace que permita confirmar su suscripción al plan de fidelización. Y solo cuando éste lo ha confirmado pulsando en el enlace, se considerará suscrito a dicho plan.

Si se realiza a través de un formulario en papel, se podría indicar lo siguiente:

Usted puede ser miembro de nuestro plan de FIDELIZACIÓN si usted lo desea. Por favor maque con una x su opción

☐ Acepto ser miembro del PLAN DE FIDELIZACIÓN DEL HOTEL AAA
☐ No Acepto ser miembro del PLAN DE FIDELIZACIÓN DEL HOTEL AAA

4. COMUNICACIONES COMERCIALES Y/O PROMOCIONALES. La base que legitima este tratamiento es la existencia es el CONSENTIMIENTO del interesado. (art. 6.1.a RGPD). Por tanto, se debe solicitar autorización al interesado para realizar este tratamiento de datos.

Si el establecimiento lo desea podrá crear una LISTA SOBRE COMUNICACIONES COMERCIALES O PROMOCIONALES. para ello, deberá invitar los huéspedes, mediante un formulario donde los huéspedes son informados del tipo de promociones que recibirá y por qué medio (sms, email, llamada telefónica…). Este tratamiento de datos para que sea lícito implica que el huésped lo consienta de manera clara, expresa e inequívoca.

Si se realiza a través de un formulario web, se podría indicar lo siguiente:

O Marque esta casilla si usted desea recibir comunicaciones comerciales DE HOTEL AAA

Se debe implantar el doble opt-in, es decir, una vez que el interesado ha marcado la casilla de aceptación, deberá recibir un mensaje, por ejemplo, por correo electrónico, que incluya un enlace que permita confirmar su suscripción al plan de fidelización. Y solo cuando éste lo ha confirmado pulsando en el enlace, se considerará suscrito a dicho plan.

Si se realiza a través de un formulario en papel, se podría indicar lo siguiente:

Usted puede recibir nuestras comunicaciones comerciales o promocionales, si usted lo desea. Por favor maque con una x su opción

☐ Acepto recibir comunicaciones comerciales DEL HOTEL AAA
☐ No Acepto ser miembro del HOTEL AAA

5. TRATAMIENTO DE IMÁGENES. La base que legitima este tratamiento es la existencia es el CONSENTIMIENTO del interesado. (art. 6.1.a RGPD).

Por tanto, si las personas autorizadas del establecimiento toman fotografías de los huéspedes para fines divulgativos, como publicarlos en la web y páginas de redes sociales del establecimiento, se deberá obtener la autorización expresa e inequívoca de cada una de las personas que vayan a ser fotografiadas.

6. DATOS TRATADOS EN EL CHECK-IN/CHECK-OUT
En el momento del checking se tomará los datos de los viajeros y de los clientes (aquellos que suscriben el contrato con el hotel):

Parte de viajeros. OBLIGATORIO por imperativo legal. Deben firmarlos todos los viajeros, serán conservados durante 3 años.

Datos para el contrato de la estancia. Datos necesarios para la relación contractual entre las partes (no necesita consentimiento). Generalmente en recepción se validarán los datos que aporte el cliente conforme a los datos obrantes en la reserva.

Se tomarán los datos del cliente para formalizar el contrato de alojamiento, que se aconseja que incluya las condiciones generales de contratación. En dicho contrato se incluirá la cláusula informativa correspondiente de protección de datos sobre los tratamientos de datos que se vayan a realizar, incluyendo las autorizaciones pertinentes si fuera el caso (para el plan de fidelización y/o el envío de comunicaciones comerciales), si éstas se incluyen dentro del contrato.

Cuando acabe la estancia, y se realice la correspondiente factura, los datos de los clientes y huéspedes deberán ser suprimidos salvo:

• Aquellos que sean necesarios para el plan de fidelización y del envío de comunicaciones comerciales (en el caso de que el cliente lo hubiera consentido). Serán suprimidos si el cliente ejerce su derecho de supresión u oposición, o si ya no se continua con el plan de fidelización, y no se pretenden enviar comunicaciones comerciales.
• Aquellos que sean necesarios para defenderse de posibles reclamaciones (para ello, deberá tenerse en cuenta la normativa de consumo que afecte al establecimiento).
• Si se hubieran tomado y publicado imágenes, éstas se deberán suprimir en el caso de que los interesados ejerzan su derecho de supresión.
• Los partes de entrada de viajeros serán destruidos al cabo de 3 años.
• Las facturas deberán mantenerse al menos durante 4 años. En determinados casos, la legislación tributaria obliga a que se conserven un plazo mayor (por ejemplo, en caso de ejercicios negativos, la inspección tributaria podrá exigir facturas con 10 años de antelación al último ejercicio que hubiera sido objeto de inspección).

Fuera de estos supuestos, no se deberían mantener los datos de los clientes y/o huéspedes

ASPECTOS IMPORTANTES A TENER EN CUENTA:

DEBER DE CONFIDENCIALIDAD
Todas las personas que traten datos personales de los clientes-huéspedes deberán guardar estricta confidencialidad de los datos a los que tengan acceso o conocimiento.

Es muy importante que el personal del establecimiento no revele datos a terceros, distintos de los interesados. Pues puede ocurrir que una persona quiera conocer sin autorización del huésped si ha estado en una determinada fecha en el establecimiento, o si lo ha contratado.
Un ejemplo de cómo proceder si un antiguo huésped llama por teléfono solicitando revisar una habitación porque cree que se ha dejado un objeto. El recepcionista que atiende la llamada deberá preguntar los datos identificativos del interesado, nombre, apellidos, DNI, fecha de la estancia, dirección de correo electrónico, número de teléfono y también, indicar al interesado que haga la petición mediante el envío de un mensaje por correo electrónico utilizando la cuenta de correo electrónico con la que hizo la reserva o la que facilitó en el checking. El recepcionista solo procederá a facilitar la información si toda la información recibida es correcta.

CONSENTIMIENTO Y AUTORIZACIONES
Cualquier consentimiento (sobre tratamiento de imagen, plan de fidelización, comunicaciones comerciales), debe estar redactado correctamente, incorporando la información que obliga el art. 13 RGPD y facilitando el ejercicio de los derechos de los interesados, en especial el derecho a retirar el consentimiento.

No redacte los consentimientos usted, solicítelos a la consultora de protección de datos.

A continuación, se relacionan un conjunto de procedimientos de seguridad que contienen medidas que se pueden desarrollar, ampliar o reducir según las necesidades de la empresa. Se pueden tomar como referencia para proteger los ficheros y así poder cumplir con lo señalado en el art. 32 de Reglamento General de Protección de datos (RGPD), que versa sobre la seguridad del tratamiento de datos. Pulse en cada una de ellas para obtener más información.

Procedimientos de Seguridad. Introducción

1. Procedimientos de gestión de usuarios y control de acceso.
2. Procedimientos de gestión de contraseñas.
3. Procedimientos de gestión de soportes.
4. Procedimientos de seguridad en locales, departamentos y dispositivos físicos.
5. Procedimientos de ficheros temporales y copias de trabajo de documentos.
6. Procedimientos de gestión de telecomunicaciones.
7. Procedimientos de trabajo fuera de los locales.
8. Procedimientos de protección en equipos, redes y aplicaciones informáticas.
9. Procedimientos de gestión de copias de seguridad.
10. Procedimientos de gestión de incidencias.

Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPD-GDD).