La entrada en vigor del Real Decreto 933/2021 ha puesto en el punto de mira la protección de datos en el sector turístico. La obligación de recopilar y conservar durante tres años un gran volumen de información sensible sobre los viajeros ha generado preocupación entre los expertos, que advierten sobre riesgos de privacidad y posibles sanciones.
Entre los datos que deben registrarse figuran información personal, financiera y contractual, como el DNI, dirección, número de tarjeta bancaria y correos electrónicos. Este volumen de información, combinado con la obligación de almacenarlo durante tres años, incrementa las posibilidades de filtraciones y uso indebido. Además, algunos de estos datos, como la tarjeta bancaria, son altamente sensibles, lo que aumenta los riesgos de robo de identidad en caso de brechas de seguridad.
Sin garantías de protección robustas, el riesgo de pérdida de control sobre los datos personales es muy alto. Esta norma, además, podría vulnerar principios fundamentales del RGPD (Reglamento General de Protección de Datos), como el de minimización, que exige limitar la recopilación de datos al mínimo necesario para cumplir con el objetivo previsto.
La protección de datos no es solo una preocupación para los viajeros, sino también un desafío para las empresas. El decreto impone una gran carga administrativa, especialmente para pequeñas empresas y autónomos, que deben implementar sistemas tecnológicos para registrar, almacenar y proteger la información de forma adecuada.
Estas inversiones, además de costosas, son complejas de implementar en empresas con recursos limitados, lo que puede derivar en incumplimientos no intencionados y, en última instancia, en sanciones.
Las multas pueden ser significativas. El incumplimiento del RGPD por cuestiones como filtraciones, fallos de seguridad o uso indebido de la información puede derivar en sanciones de hasta 20 millones de euros o el 4% de la facturación anual de la empresa, según cuál sea mayor.
Además, el decreto contempla multas específicas para infracciones relacionadas con el registro de viajeros, que van desde 100 hasta 30.000 euros, dependiendo de la gravedad.
No menos importante es el impacto sobre la operatividad diaria. La gestión de estos datos puede ralentizar procesos en recepción, generar conflictos con clientes que se nieguen a proporcionar información adicional y desviar recursos de otras áreas críticas del negocio. Esto es especialmente relevante en un sector altamente competitivo como el turismo, donde cualquier retraso o problema puede repercutir negativamente en la experiencia del cliente y, en última instancia, en la reputación del establecimiento.
El precedente de la anulación de la Directiva 2006/24/EC por el Tribunal de Justicia de la Unión Europea, debido a su carácter indiscriminado, debería servir de alerta. En palabras de Ruth Benito, experta en protección de datos de Elzaburu: “El almacenamiento masivo de datos personales sin medidas proporcionales ni justificación clara genera riesgos que pueden ser irreversibles para la privacidad”.
Este escenario refuerza la necesidad de poner la protección de datos en el centro de cualquier medida que implique el tratamiento masivo de información personal. Solo un enfoque equilibrado, que combine garantías de seguridad robustas con una justificación clara y proporcional, permitirá garantizar tanto la seguridad pública como los derechos fundamentales de los ciudadanos. Al mismo tiempo, es crucial proteger la competitividad del sector turístico, uno de los motores económicos de España.
Con este marco, las empresas deben prepararse para afrontar este reto, invirtiendo en sistemas de cumplimiento y protección de datos que no solo respondan a las exigencias normativas, sino que también refuercen la confianza de los viajeros.
Ruth Benito, Of Counsel. Privacidad y Protección de Datos
El sector de las telecomunicaciones en España da un paso importante en la autorregulación con la implementación del nuevo Código de Conducta. AEPD y Autocontrol han impulsado un nuevo sistema de mediación, que entró en vigor el 17 de diciembre, para resolver controversias en materia de protección de datos del sector de manera extrajudicial.
Una de las principales novedades del Código de Conducta es la ampliación de su alcance. A las operadoras iniciales que formaban parte del Protocolo –Movistar, Orange, Vodafone y MásMóvil, entre otras– se suman ahora Euskaltel, Virgin Telco, R y Telecable. Esto asegura una mayor representatividad del sector, lo que beneficia directamente a los usuarios al proporcionar un marco común para resolver reclamaciones relacionadas con la protección de datos.
El Código también amplía los supuestos cubiertos dentro de su ámbito de aplicación. Esto significa que ahora más tipos de reclamaciones podrán tratarse bajo este mecanismo, aunque se excluyen expresamente las que busquen compensaciones económicas. Este enfoque refuerza el objetivo principal del Código: facilitar una solución rápida, gratuita y eficaz en cuestiones relacionadas con la privacidad y la protección de datos.
Para garantizar la imparcialidad, el Código designa al Jurado de Publicidad de AUTOCONTROL como organismo de supervisión. Este tercero independiente es responsable de gestionar las mediaciones entre los interesados y las operadoras adheridas.
La mediación tiene una duración estándar de 30 días, ampliable hasta tres meses si existen razones justificadas. Aunque las propuestas de solución de AUTOCONTROL no son vinculantes, el acuerdo al que lleguen ambas partes sí lo será. En caso de desacuerdo, el interesado podrá solicitar que la reclamación sea elevada al Jurado de AUTOCONTROL, siempre que el operador esté de acuerdo.
Un aspecto destacable del Código es su compromiso con la confidencialidad de los procedimientos, un requisito crucial dado que muchas reclamaciones pueden incluir información sensible. Sin embargo, las resoluciones del Jurado son públicas, lo que aporta transparencia al proceso y refuerza su credibilidad.
‘La mediación, gestionada por un tercero independiente como AUTOCONTROL, promueve acuerdos rápidos y flexibles, aunque su carácter no vinculante de las propuestas de solución puede limitar su efectividad en ciertos casos. Y es que, como es habitual en cualquier tipo de mediación, las propuestas de solución que ofrezca el mediador – en este caso la Unidad de Mediación de AUTOCRONTROL- no son vinculantes. Únicamente sería vinculante el acuerdo al que pudieran llegar las partes y la resolución del Jurado de AUTOCONTROL, en caso de que las partes decidan voluntariamente elevar la resolución ante el Jurado’ Agustín Alguacil.
El Código refuerza su eficacia mediante un sistema de sanciones para las operadoras incumplidoras. Las infracciones se clasifican como leves, graves o muy graves, y pueden conllevar desde amonestaciones hasta la suspensión temporal de derechos dentro del Código o incluso la expulsión.
Aunque las sanciones no incluyen penalizaciones económicas, su efecto disuasorio radica en el impacto reputacional y en el traslado de las resoluciones a la Agencia Española de Protección de Datos (AEPD). Este mecanismo complementa las potestades de la AEPD, asegurando que el sistema de autorregulación se alinee con las normativas nacionales y europeas.
En general, el Código de Conducta es un ejemplo de cómo el sector privado puede organizar mecanismos efectivos de autorregulación, procurando un equilibrio entre la autonomía sectorial y los derechos de los interesados.
Agustín Alguacil, Asociado Área Legal. Negocios y Contratos
El Comité Europeo de Protección de Datos se ha pronunciado por fin sobre la polémica del pay or OK o paga o traga que introdujo en Europa el año pasado Meta, la propietaria de Facebook o Instagram.
El Comité, que responde a las siglas en inglés de EDPB concluye que procedimiento utilizado por el gigante tecnológico por intentar cumplir con el Reglamento General de Protección de Datos (RGPD) no es válido.
En primer lugar, debe quedar claro que no estamos ante una decisión de un tribunal ni una nueva legislación, así como tampoco ante una resolución vinculante. Lo que ha emitido el EDPB es un dictamen en el que, a petición de varias autoridades de protección de datos europeas, aporta su interpretación respecto al encaje del “pay or ok” en la legislación de protección de datos.
Ahora bien, el impacto puede llegar a ser muy alto, sobre todo para las grandes plataformas que hasta hace poco permitían el acceso a sus contenidos de forma totalmente gratuita. Esto es así porque, en la práctica, el informe del EDPB establece como regla general que no puede ofrecerse como única alternativa a las cookies el abono de una cantidad (ya sea ésta única o mediante una suscripción).
De este modo, aquellas plataformas que mantengan el modelo “pay or ok” puro, sin opciones adicionales, estarán obligadas a poder demostrar que el sistema adoptado no fuerza a sus usuarios a aceptar las cookies, sino que las consienten de forma totalmente libre y esto, con las presunciones que de hecho contiene el dictamen del EDPB, es sumamente complicado, por no decir imposible.
No es una nueva legislación pero el dictamen ha de ser tomado en consideración
Es importante señalar que el EDPB no se está pronunciando sobre Meta de forma específica e individualizada, aunque ese sea el caso que subyace en la causa de su dictamen, pero este ha de ser tenido en consideración no solo por Meta, sino por todas las grandes plataformas web.
La legislación sobre cookies exige que las que no sean estrictamente necesarias para el funcionamiento del sitio web deben ser expresamente consentidas por los usuarios para poder ser activadas. Entre estas cookies, se encuentran las de publicidad comportamental, con las que se perfila a los usuarios para después impactarles con publicidad. Y el consentimiento que los usuarios presten debe ser dado con total libertad.
Gran parte del negocio de las grandes plataformas se sustenta en vender a las marcas la posibilidad de impactar con su publicidad a aquellos usuarios que, por su perfil, van a ser más proclives a adquirir sus productos o servicios. Pero un perfilado tan invasivo como el que realizan muchas plataformas, ya sea a través de cookies o por cualquier otro sistema, requiere el consentimiento de los usuarios y el EDPB entiende, en esencia, que si la única alternativa a tal consentimiento es pagar una cantidad, se debe presumir que entonces el consentimiento no se otorga libremente, sobre todo si además la cantidad a pagar es desproporcionada y si durante mucho tiempo antes la plataforma ofrecía sus contenidos o servicios de forma gratuita.
Además, cabe decir que el “pay or ok” infringe también una de las condiciones para que el consentimiento sea válido, y es que debe ser específico para el concreto tratamiento de datos que se produzca. Si se requiere el consentimiento de los usuarios para rastrearles y perfilarles y también para que posteriormente puedan ser impactados con publicidad, deberían pedirse ambos consentimientos de forma separada y no globalmente, como sucede con el sistema “pay or ok” de Meta y otros.
El Comité ofrece entre las posibles soluciones usar la publicidad “random”
Si Meta quisiera ajustarse a la interpretación del EDPB, parece claro que debería huir de ofrecer únicamente el pago como alternativa al perfilado y publicidad comportamental. El propio EDPB aporta como solución, además de la de fijar cuantías no abusivas para la modalidad de pago, ofrecer también la alternativa de publicidad “random” o menos invasiva para la privacidad de los usuarios.
Por ejemplo, dejando que sea el propio usuario quien marque, entre una lista de opciones cerrada, cuáles son sus intereses o las materias sobre las que le gustaría que se le mostraran promociones y publicidad.
Una posible solución sería que los usuarios pudieran optar entre varias opciones, por ejemplo: a) modalidad de pago sin publicidad, b) modalidad gratuita con publicidad acorde a las preferencias que marque c) modalidad gratuita con publicidad “random” sin ningún tipo de perfilado, y d) modalidad gratuita con cookies de publicidad comportamental.
Cada una de estas opciones podría conllevar alguna diferencia en cuanto a la prestación del servicio o el uso de la plataforma, pero en esencia deberían ser equivalentes de forma tal que el usuario no se sienta compelido a elegir una sola de ellas porque de lo contrario se le ocasione un perjuicio injustificado o desproporcionado. Además, para el resto de posibles cookies que también requieran el consentimiento de los usuarios, este debería recabarse de forma separada.
No obstante, las plataformas, conocedoras de su negocio y de sus usuarios, seguramente encuentren otras soluciones o modelos distintos que sean acordes a la opinión del EDPB. Quizá en algunos casos baste con rebajar el precio a pagar y en otros con adoptar alternativas acompañadas de algún tipo de compensación o contraprestación adicional para el usuario. Si bien esto último debe ser valorado con mucho cuidado teniendo en cuenta que el EDPB también indica que los datos personales no pueden ser utilizados como moneda de cambio.
El Comité proporciona elementos para evaluar los criterios de consentimiento informado, específico e inequívoco que las grandes plataformas en línea deben tener en cuenta al aplicar modelos de «consentimiento o pago»
Además de este dictamen el EDPB también anuncia que elaborará directrices sobre modelos de «consentimiento o remuneración» con un alcance más amplio y colaborará con las partes interesadas en estas próximas directrices.
Ruth Benito, Of Counsel Protección de Datos y Privacidad de ELZABURU
Para más información:
Javier Herreros jherreros@goodwill.es Tel. : 626 20 73 22