'/%3E%3Cpath%20fill='%23b2b2b2'%20d='M241%20382q0%2016%2017%2026%2017%2011%2042%2011t42-11q16-11%2017-26V269H241'/%3E%3Cpath%20fill='%239f7e00'%20d='M241%20379q0%2014%208%2023%209%209%2021%209%2014%200%2021-9%209-9%209-23V269h-59'/%3E%3Cpath%20d='M241%20339v-70h59v110q0%2014-9%2023l-6%205v-68h-15v72q-8%200-14-4v-68zm59%2040c0%2022%2015%2032%2029%2032%2021%200%2030-18%2030-32v-40h-59'/%3E%3Cpath%20fill='%239f7e00'%20d='M266%20277v5h2v12h-3v-5h2v-5h-9v5h2v5h-4v9h3v18h-5v10h34v-10h-5v-18h3v-9h-4v-5h2v-5h-9v5h2v5h-3v-12h2v-5zm42%20101q0%2010%206%2017%206%206%2015%207%2010-1%2016-7%206-7%206-17v-29h-43'/%3E%3Ccircle%20fill='%230044ad'%20cx='329.5'%20cy='372'%20r='6'/%3E%3Cellipse%20fill='%230044ad'%20cx='300'%20cy='340'%20rx='16'%20ry='21'/%3E%3C/svg%3E){kind=small}
Publicado originalmente en 2017. Revisión editorial: 8 de octubre de 2026. Se han corregido las referencias normativas y se mantiene el enfoque original sobre hoteles, proveedores y email marketing.
Los hoteles manejan información de huéspedes a través de reservas, recepción, campañas y proveedores tecnológicos. Proteger esos datos exige revisar tanto las herramientas como la forma en que las utiliza el equipo. Este artículo nació durante la preparación del sector para la aplicación del RGPD.
Qué es el RGPD y desde cuándo se aplica
El Reglamento General de Protección de Datos —RGPD, o GDPR en inglés— es el Reglamento (UE) 2016/679, no una directiva. Es aplicable desde el 25 de mayo de 2018. En España se complementa con la LOPDGDD. Puede consultarse el texto oficial del RGPD.
Qué debe revisar un hotel en el tratamiento de datos
El punto de partida es identificar qué datos se recogen, para qué se utilizan, con qué base jurídica, durante cuánto tiempo se conservan y quién accede a ellos. Conviene diferenciar la gestión de una reserva de las campañas comerciales: no todos los tratamientos se apoyan en el consentimiento.
La web debe informar de forma comprensible y el hotel debe facilitar el ejercicio de los derechos que correspondan. Un área privada puede ser útil, pero no existe una obligación general de crear una para todos los huéspedes. Es posible habilitar otros procedimientos accesibles. La AEPD explica el derecho de acceso y ofrece modelos de solicitudes.
También deben evaluarse las garantías de los proveedores y formalizar el contrato de encargo cuando actúen por cuenta del hotel. Las medidas de seguridad se determinan según el riesgo; ninguna herramienta permite prometer una seguridad absoluta. La guía de la AEPD para responsables del tratamiento desarrolla estos criterios.
Cómo afecta al email marketing hotelero
En España, el envío comercial por correo electrónico debe analizarse también conforme a la LSSI. Como regla, requiere una solicitud o autorización previa. Existe una excepción para una relación contractual anterior, datos obtenidos lícitamente y productos o servicios propios similares a los contratados. Debe ofrecerse una oposición sencilla y gratuita al recoger los datos y en cada mensaje. Véase el artículo 21 de la LSSI.
Si la campaña se basa en el consentimiento, el hotel debe poder demostrarlo y permitir su retirada. Comprar una base de datos no acredita por sí solo que sus destinatarios hayan autorizado las comunicaciones de ese hotel. Antes de usarla hay que comprobar su procedencia, la información facilitada y la legitimación aplicable.
Qué comprobar al trabajar con proveedores fuera del EEE
Si los datos se transfieren fuera del Espacio Económico Europeo, hay que comprobar el mecanismo que permite la transferencia: por ejemplo, una decisión de adecuación o garantías apropiadas. El país del proveedor, sus subencargados y el lugar de acceso a los datos importan. La AEPD mantiene información sobre garantías para las transferencias internacionales.
Para el equipo de marketing, la prioridad práctica es documentar cómo llega cada contacto, qué comunicaciones puede recibir y cómo se atienden sus solicitudes. La aplicación concreta debe coordinarse con la persona responsable de privacidad del hotel.
