El nuevo RGPD en el sector turístico: ¿cómo prevenir fallos de privacidad?

Horas después de la entrada en vigor definitiva del nuevo Reglamento General de Protección de Datos (RGPD), el pasado 25 de mayo, llegaron las primeras demandas por incumplimiento de la nueva normativa. Una ONG en defensa de la privacidad formuló una queja contra Facebook y Google por “forzar el consentimiento” de sus clientes. De modo que estamos en un escenario completamente nuevo, con importantes sanciones a la vista y un régimen mucho menos flexible que el conocido hasta ahora.

También el sector turístico, cuyos establecimientos recaban importantes cantidades de datos sensibles, está expuesto a incumplir las exigencias que la nueva normativa a nivel europeo ha impuesto a las compañías que manejan datos de terceros. Sobre esta base, lo que se pretende a continuación es analizar algunos aspectos prácticos del nuevo Reglamento de Protección de Datos para prevenir posibles fallos de seguridad y de privacidad en las empresas turísticas.

¿De dónde pueden surgir riesgos de privacidad?

Un hotel o un complejo de apartamentos son establecimientos de constante tránsito de personas y de datos. Hay muchas vías por donde se puede poner en riesgo la privacidad o la correcta protección de datos tanto del personal interno a la empresa como de los clientes.

¿Cuáles son las actividades más habituales en un alojamiento turístico que pueden poner en peligro la seguridad de los datos? Es frecuente, por ejemplo, colocar cámaras de videovigilancia dentro del establecimiento o en zonas comunes, que en todo caso deben adaptarse a los requisitos de idoneidad, necesidad y proporcionalidad exigidos por el Tribunal Constitucional.

También puede venir por los currículums que personas interesadas en trabajar en el hotel pueden dejar en recepción, que si no se gestiona de forma eficiente (y no se obtiene el consentimiento de tratamiento de datos personales) puede acarrear graves consecuencias para la empresa. Asimismo, otros puntos como las redes o sistemas informáticos, como el Wifi, son una fuente de datos personales que se deben tratar de forma correcta. Incluso se pueden llegar a obtener, por diferentes vías, información tan sensible como preferencias alimentarias o incluso religiosas…

Pasos para prevenir problemas de privacidad

Se trata de seguir una serie de pautas, un proceso, que permita abordar todas las variables de prevención de posibles fallos de privacidad en nuestra empresa:

• Inventariar los datos: Es decir, debemos analizar qué datos trato, cómo los trato, para qué reúno esos datos y quiénes tienen acceso a los mismos. En un establecimiento hotelero, por ejemplo, normalmente se suelen tener tres bases de datos: las de los clientes, las de los empleados y las de los proveedores. En esa fase debemos realizar un registro de actividades que puedan afectar el tratamiento de datos.
• Determinar la situación de cumplimiento actual: Una vez identificadas las actividades con afectación de datos personales, debemos realizar una pequeña auditoría sobre el estado actual de cumplimiento con la normativa de datos. Con ella podremos valorar si el tratamiento de datos se ajusta a la legalidad, los riesgos que podemos tener en este ámbito, realizar un mapeo de esos riesgos…
• Planificar e implementar correcciones: Conociendo los riesgos que puede tener la empresa sobre el tratamiento de los datos, podemos planificar y además llevar a cabo las correcciones necesarias. Por ejemplo, se puede comunicar al cliente, a través de nuestra base de datos, que tiene nuevos derechos y, además, aprovechar para colocar una plantilla de información sobre qué se está haciendo con sus datos.
• Monitorizar: Debemos tener un pequeño cuadro de mando, que nos permita monitorizar en todo momento y gestionar los nuevos consentimientos, los nuevos contratos con proveedores, las comunicaciones con la Agencia de Protección de Datos. Asimismo, nos permitirá identificar los problemas ante posibles incidencias con clientes y poder dar una solución adecuada a cada uno de ellos.

En definitiva, con las nuevas exigencias en materia de protección de datos, lo que es evidente es que se deben reforzar las medidas de prevención para evitar fallos de seguridad. De esta forma tendremos controlados las posibles contingencias que pudieran surgir con la privacidad de los datos y actuar en consecuencia, con agilidad y eficacia.

Juan José Cortés
Responsable del área de Compliance, TIC y Protección de Datos en Devesa & Calvo Abogados