RGPD para restaurantes: lo esencial explicado de forma sencilla

Los datos personales son toda información referida a una persona identificable: un nombre, un número de teléfono, una dirección de correo o incluso una dirección IP. En la hostelería, estos datos se acumulan en muchos puntos, a menudo sin que se perciba conscientemente. Incluso una reserva telefónica con el nombre anotado constituye un tratamiento en el sentido del RGPD.

• Reservas con nombre, número de teléfono, número de comensales y, a veces, peticiones especiales o avisos de alergias.
• Pedidos en línea con dirección de entrega o recogida, datos de contacto e información de pago.
• Altas al boletín con la dirección de correo y, en su caso, el nombre para un trato personal.
• Acceso wifi para clientes, en el que, según la solución, se registran datos del dispositivo o de acceso.
• Formularios de contacto en la web, así como consultas por mensajería o redes sociales.
• Videovigilancia (CCTV) en la sala o en la entrada, además de las candidaturas de empleo del personal.

Cuantos más canales digitales utilices, más fuentes de datos surgen. Por eso un primer paso sensato es obtener una visión de conjunto: ¿qué datos recogemos, dónde se almacenan y quién tiene acceso a ellos? Este inventario constituye la base de todo lo demás.

El RGPD se asienta sobre unos pocos principios claros. No necesitas memorizarlos, pero su lógica ayuda a actuar correctamente en el día a día. En esencia, se trata de recoger solo los datos que realmente necesitas y de tratarlos con transparencia. Quien interioriza esta lógica suele tomar la decisión acertada en caso de duda.

Los principios más importantes

• Base jurídica: todo tratamiento necesita un motivo permitido, como el consentimiento, un contrato (p. ej. un pedido) o un interés legítimo.
• Limitación de la finalidad: los datos solo pueden usarse para el fin para el que se recogieron; los de reserva no para publicidad sin preguntar.
• Minimización de datos: recoge solo lo realmente necesario y evita campos obligatorios que no cumplan ninguna finalidad.
• Transparencia: los clientes deben saber de forma comprensible qué datos tratas y cómo; para eso sirve la política de privacidad.
• Limitación del plazo de conservación: los datos no pueden guardarse más tiempo del que exija la finalidad o los plazos legales.
• Seguridad: los datos personales deben protegerse frente a pérdidas y accesos no autorizados con medidas técnicas y organizativas adecuadas.

Estos principios rigen en toda la UE porque el RGPD es un reglamento europeo. En cada país se complementa en algunos puntos con la normativa nacional de protección de datos. Qué base jurídica encaja en cada caso no puede responderse de forma general: en caso de duda, aclárala con la autoridad de control competente o con asesoramiento jurídico cualificado.

En cuanto tratas datos personales, necesitas una política de privacidad, normalmente en tu web, fácil de encontrar y en lenguaje comprensible. Entre otras cosas, explica qué datos recoges y con qué fin, cuánto tiempo los conservas y qué derechos tienen los clientes. Si utilizas proveedores externos que tratan datos por encargo tuyo para tareas concretas, se suma un contrato de encargo de tratamiento (en alemán, Auftragsverarbeitungsvertrag, AVV).

1. 1Obtén una visión de todas las herramientas y proveedores que tratan datos de clientes por encargo tuyo, como los de reservas, pedidos, boletines u alojamiento.
2. 2Comprueba para cada uno de esos servicios si existe un contrato de encargo de tratamiento (AVV); los proveedores serios lo ofrecen y lo firman contigo.
3. 3Crea o actualiza una política de privacidad que refleje con veracidad todos los servicios y tipos de datos que utilizas.
4. 4Documenta qué tratamientos se realizan en tu negocio; esto forma parte del registro de actividades de tratamiento.
5. 5Revisa los datos con regularidad y ajústalos en cuanto incorpores nuevas herramientas o cambies procesos.

Un AVV regula las obligaciones del proveedor y garantiza que los datos se traten únicamente según tus instrucciones. La responsabilidad de cumplir el RGPD sigue recayendo en ti como negocio, incluso cuando los datos residen técnicamente en un tercero. Por eso una política de privacidad jurídicamente sólida debería adaptarse de forma individual a tu negocio, con apoyo cualificado en caso de duda.

El RGPD otorga a los clientes una serie de derechos para los que conviene estar preparado. Si alguien presenta una solicitud, por ejemplo de acceso o supresión, por lo general debes responder en el plazo de un mes. Ayuda tener un proceso interno claro para que esas solicitudes no se pierdan en el ajetreo diario.

• Derecho de acceso: los clientes pueden saber si tratas datos suyos y cuáles.
• Derecho de rectificación: los datos incorrectos o desactualizados deben corregirse cuando se solicite.
• Derecho de supresión: si los datos ya no son necesarios o falta la base, deben borrarse, salvo que lo impida una obligación de conservación.
• Derecho de limitación y de portabilidad de los datos, así como el derecho de oposición a determinados tratamientos.
• Retirada del consentimiento: un consentimiento dado, por ejemplo para el boletín, debe poder retirarse de forma sencilla en cualquier momento.

Como primeros pasos prácticos se recomiendan: un inventario de todas las fuentes de datos, una política de privacidad actualizada, AVV con todos los proveedores, una recogida de datos comedida y una gestión ordenada de las solicitudes. Forma además brevemente a tu equipo sobre cómo tratar los datos de los clientes. Así surge paso a paso un nivel sólido de protección de datos, sin que todo tenga que ser perfecto de golpe.

Una parte práctica de la protección de datos es el orden: cuanto más clara esté organizada la información de tus clientes, más fácil resulta tratarla de forma responsable. gastronomx reúne reservas y pedidos en línea en un solo lugar, de modo que ya no tienes que ir y venir entre listas dispersas, notas y buzones. Esta visión central facilita mantener el control y responder a las solicitudes de forma ordenada.

El orden crea la base

Dentro del producto, los datos de reservas y pedidos se tratan de forma estructurada en lugar de estar repartidos sin control por muchos sitios. Eso no te exime de la responsabilidad legal: las obligaciones del RGPD siguen siendo tuyas como negocio, pero una base de datos ordenada es un buen punto de partida para una protección de datos limpia. Temas específicos sobre la política de privacidad y la seguridad de los datos profundizan en cada aspecto.

Lo importante sigue siendo: gastronomx es una herramienta, no un sustituto de una revisión individual en materia de protección de datos. Qué bases jurídicas, plazos y redacciones se aplican a tu negocio deberías aclararlo, en caso de duda, con la autoridad de control competente o con asesoramiento jurídico cualificado. Este artículo ofrece orientación general y no constituye asesoramiento jurídico.