Protección de datos en tu camping, sin vivir con miedo a la AEPD

Un cliente te pide por correo "todos los datos que tenéis sobre mí". Otro se queja de que la cámara del bloque de duchas le enfoca al salir. Un tercero quiere que borres su correo porque no aguanta más la newsletter. Y tú tienes fichas de huéspedes en una carpeta de recepción, un disco duro con un mes de grabaciones y una hoja de cálculo con seiscientos correos que empezó en 2012. La protección de datos en el camping no va de tener un dosier bonito: va de saber qué tienes, por qué lo tienes y cuánto tiempo lo vas a tener. Aquí está lo que el RGPD y la LOPDGDD piden a un camping en España, en el orden en que conviene resolverlo.

Qué datos maneja un camping y con qué base legal

El RGPD, el Reglamento europeo 2016/679, y la Ley Orgánica 3/2018 de protección de datos exigen que cada tratamiento tenga una base jurídica. No es un formalismo: la base decide si puedes seguir tratando el dato cuando el cliente te pide que dejes de hacerlo. En un camping son casi siempre estas cuatro:

• Ejecución del contrato: la reserva, los datos de contacto, las fechas, la parcela, el pago. Sin esto no hay estancia, y el cliente no puede oponerse a que lo trates mientras dure la relación.
• Obligación legal: el registro de viajeros del RD 933/2021 y su comunicación a través de SES.Hospedajes, y la facturación, que la normativa fiscal te obliga a conservar. Aquí no hay consentimiento que valga: es la ley la que te obliga a recoger y la que te obliga a guardar.
• Interés legítimo: la videovigilancia por seguridad, bien planteada y documentada.
• Consentimiento: el envío de comunicaciones comerciales, las fotos de clientes en redes sociales y poco más. Es la base más débil, porque se retira cuando el cliente quiere.

La consecuencia práctica se ve en el ejemplo del cliente que pide que borres todo: los correos de la newsletter, fuera; el registro de viajeros y las facturas, no, porque los conservas por obligación legal. Contestar eso bien, por escrito, es la mitad del trabajo.

Cuánto tiempo guardas cada cosa

La pregunta que más se falla. Un plazo por tipo de dato, escrito en un papel que cuelga en recepción:

• Registro de viajeros: el plazo que fija el RD 933/2021, tres años desde la fecha de la estancia. No lo borres antes ni lo guardes indefinidamente.
• Facturas y justificantes: los plazos fiscales y mercantiles, que van más allá de la temporada. Consúltalo con tu gestoría y anótalo.
• Grabaciones de cámaras: un mes como máximo desde la captación, según el artículo 22 de la LOPDGDD, salvo que haya que conservar una imagen concreta para acreditar un hecho delictivo, en cuyo caso se separa y se pone a disposición de la autoridad.
• Datos de la reserva sin obligación legal asociada: mientras dure la relación y el plazo de posibles reclamaciones.
• Correos de marketing: hasta que el cliente se dé de baja, y con una limpieza periódica de los que llevan años sin abrir nada.

La hoja de cálculo de 2012 es el problema típico: nadie sabe de dónde salieron esos correos ni si alguien consintió. Si no puedes demostrar el consentimiento, no puedes usarlos.

Las cámaras: dónde sí, dónde nunca

La videovigilancia es donde más sanciones se ven, porque es lo único que un cliente enfadado puede fotografiar y adjuntar a una denuncia. Las reglas son claras:

• Nunca en aseos, duchas, vestuarios ni en ningún sitio donde la gente se cambie de ropa. No hay interés legítimo que lo justifique.
• Solo el espacio que necesitas vigilar. Si la cámara de la barrera coge media calle o la parcela del vecino, hay que reorientarla o enmascarar esa zona.
• Cartel informativo visible en las entradas de la zona videovigilada, con el icono, la identidad del responsable, la finalidad y dónde consultar la información completa y ejercer los derechos. La AEPD publica un modelo de cartel; úsalo, es gratis y evita discusiones.
• Acceso a las imágenes limitado a quien tenga que verlas, con contraseña propia, y un registro de quién ha mirado qué.
• Si grabas zonas de trabajo, tienes que informar previamente a la plantilla y a sus representantes. Vigilar a un empleado con una cámara oculta no es una opción.

Y una regla que se olvida: el grabador, con su disco, es el sitio donde viven esas imágenes. Si está en un despacho abierto o conectado a internet con la contraseña de fábrica, el problema no es legal, es de seguridad, y acaba siendo legal.

Formularios, web y wifi

Cada punto en el que pides un dato necesita una cláusula informativa. No hace falta un texto de abogado de tres páginas: hace falta que el cliente sepa quién trata sus datos, para qué, con qué base, cuánto los guardas, a quién se los cedes y cómo ejercer sus derechos. En la práctica, en un camping:

1. Formulario de reserva y ficha de entrada: información básica visible en el propio formulario y enlace a la política de privacidad completa.
2. Casilla de marketing separada, sin marcar por defecto. El consentimiento para la newsletter no puede ir dentro del "acepto las condiciones de reserva".
3. Web: política de privacidad, aviso de cookies con opción real de rechazar, y formulario de contacto con su cláusula.
4. Wifi del camping: si pides datos para dar acceso, también es un tratamiento, con su información y su plazo.
5. Fotos de clientes para redes sociales: consentimiento expreso, y especial cuidado con los menores.

Añade a esto tu registro de actividades de tratamiento, que es simplemente la lista de qué tratas y por qué, y los contratos de encargado de tratamiento con quien toca tus datos por ti: la gestoría, el proveedor de la web, el software de reservas, la empresa de videovigilancia.

Derechos, brechas y qué hacer cuando llega la carta

Si un cliente ejerce sus derechos de acceso, rectificación, supresión, oposición, limitación o portabilidad, tienes un mes para responder, y hay que responder incluso para decir que no puedes borrar algo y por qué. Ten preparada una respuesta tipo y un responsable con nombre.

Si hay una brecha de seguridad, un portátil robado, un correo con la lista de huéspedes enviado a quien no era, un ataque que cifra el servidor, la regla es 72 horas para notificarlo a la AEPD cuando haya riesgo para los afectados, y avisar también a los afectados si el riesgo es alto. Escribe hoy el teléfono de quien te lleva la informática, porque dentro de una brecha nadie busca bien.

Menos sitios donde vivan los datos, menos problemas

La mayoría de los sustos de un camping no vienen de la ley, vienen de la dispersión: fichas en papel en un cajón, una hoja de cálculo en el portátil de recepción, correos en dos buzones distintos y fotos de DNI en el móvil de alguien. Cuantos menos sitios, más fácil es todo: responder a un acceso, borrar lo que toca, demostrar lo que hiciste.

CampSuite ayuda justo en eso: cada reserva guarda a sus huéspedes con sus datos, el anticipo y los mensajes en un solo sitio, desde el móvil, así que los datos que pide el registro de viajeros están donde tienen que estar y no en una libreta. Las reservas online y las que apuntas a mano van al mismo cuadrante, las confirmaciones y los mensajes salen de la misma ficha, y las facturas también. CampSuite no presenta nada por ti en SES.Hospedajes: guarda los datos que pide el formulario y el envío lo haces tú. Si llevas un camping pequeño y no tienes un departamento para esto, mira las soluciones para campings pequeños.

Lista de comprobación para esta semana

• Registro de actividades de tratamiento escrito, aunque sea en dos folios.
• Una base legal asignada a cada tratamiento, y un plazo de conservación por tipo de dato.
• Cláusula informativa en la reserva, en la ficha de entrada, en la web y en el wifi.
• Casilla de marketing separada y sin marcar, con prueba de quién consintió.
• Cámaras fuera de aseos, duchas y vestuarios, y enfocando solo lo tuyo.
• Cartel de zona videovigilada en cada entrada, con los datos del responsable.
• Grabaciones borradas al mes, grabador protegido y con acceso limitado.
• Contratos de encargado de tratamiento con gestoría, web, software y seguridad.
• Respuesta tipo para derechos, con un mes de plazo y un responsable con nombre.
• Protocolo de brecha con las 72 horas y el teléfono de informática apuntado.

Con esto, el correo del cliente que pide sus datos se contesta en diez minutos y con argumentos, y la cámara de las duchas deja de ser una multa esperando a que alguien la mire. Si quieres tener cada reserva y cada huésped en un solo sitio en vez de en cuatro, mira los precios o escríbenos y te enseñamos cómo lo hace CampSuite con las parcelas de tu camping.