Protección de Datos para Hostelería

La normativa de protección de datos afecta al sector de la hostelería estableciendo unas obligaciones que se deben cumplir para garantizar la seguridad en el tratamiento de datos personales y la aplicación del derecho fundamental a la protección de datos. Todo establecimiento de hostelería, incluyendo bares y restaurantes entre otras muchas obligaciones deben tener en cuenta los siguientes aspectos:

Registro de Actividades de Tratamiento

Toda empresa que tenga un personal de más de 250 empleados o realice tratamientos de datos de salud (los clientes en bares y restaurantes aportan información sobre alergias y medicamentos) debe realizar un Registro de Actividades de Tratamiento (RAT).

El registro debe contener información sobre el responsable del tratamiento, incluyendo sus datos de contacto, así como del corresponsable y del delegado de protección de datos en caso de que estuviera designado. Además, incluirá información sobre la finalidad del tratamiento, los datos personales recogidos, la base de legitimación, las cesiones de datos, las transferencias internacionales y el plazo de conservación.

Análisis de Riesgos

Deben realizarse análisis de riesgos para determinar las medidas de seguridad necesarias para cada tratamiento que se pretenda realizar. Ciertos datos personales como los datos de salud requieren de una especial protección pues su divulgación o supresión puede acarrear un alto riesgo para el interesado.

Evaluación de Impacto

Si tras realizar el análisis de riesgos detectamos que alguno de los tratamientos puede entrañar un alto riesgo para los derechos y libertades de los interesados es obligatorio realizar una Evaluación de Impacto de las operaciones de tratamiento en la protección de datos personales.

Brechas de seguridad

Las medidas de seguridad encaminadas a proteger los datos personales no son infalibles y puede que en ocasiones se produzca violaciones de seguridad que afecten a la confidencialidad, integridad y disponibilidad de la información. Estas brechas de seguridad deben notificarse en un plazo máximo de 72 horas a la Agencia Española de Protección de Datos mediante un informe que valorará si entraña un alto riesgo para los derechos y libertades de los interesados, en cuyo caso deberá notificarse a los afectados.

Formación

La formación del personal en materia de protección de datos no es obligatoria, pero es altamente recomendable para cumplir efectivamente con la normativa de protección de datos, especialmente si tramos con datos de salud que como hemos señalado anteriormente requieren de medidas particulares, siendo la información sobre las alergias de los clientes un dato bastante común a tratar en bares y restaurantes.

Auditorías

El principio de responsabilidad proactiva del RGPD requiere que el responsable de tratamiento tome las medidas adecuadas para garantizar que se cumple con seguridad el derecho a la protección de datos y que pueda demostrar a su vez que el tratamiento se realiza como dispone la normativa. Por ello es aconsejable que las empresas del sector de la hostelería realicen auditorías de protección de datos a través de un auditor externo que en su informe destacará los aspectos a mejorar para el correcto cumplimiento de la normativa.

Las obligaciones expuestas anteriormente son generales para todo el sector de la hostelería, pero aquellos que traten con datos personales en bares y restaurantes deberán tener en cuenta diariamente ciertos aspectos para cumplir correctamente con la normativa:

• Deber de información: Cuando recabamos datos personales debemos informar o al menos tener a disposición del interesado ciertos datos que cumplan con el deber de información del responsable del tratamiento. Entre ellos debemos informar de los datos identificativos y de contacto del responsable, la finalidad del tratamiento, los derechos del interesado incluyendo la forma de ejercerlos y ante quién reclamar, las posibles cesiones de la información obtenida y los plazos de conservación.
• Contratos de encargado de tratamiento: Deben firmarse contratos de encargado de tratamiento con todos los proveedores que traten datos personales por cuenta del responsable de tratamiento. Un caso muy común en el sector de la hostelería es el reparto a domicilio cuando se realiza mediante una empresa de reparto externa, puesto que tratan datos personales como nombres, apellidos, direcciones y en ocasiones números de tarjeta de los clientes del establecimiento.
• Cámaras de vigilancia: Cuando se realice un tratamiento de datos personales se debe cumplir con las disposiciones del RGPD, entre ellas el deber de información del artículo 12. En el caso del uso de cámaras de vigilancia la LOPD establece que este deber de información se hará efectivo mediante la colocación de un dispositivo informativo como carteles situados en superficies visibles.
• El cartel debe ser suficientemente visible con un tamaño adecuado al espacio donde opera el sistema de videovigilancia. No es necesario colocarlos debajo de las cámaras de vigilancia, pero sí debe estar ubicado en zonas donde el sujeto pueda percibirlos con facilidad y a la entrada de cada zona de acceso.

Las sanciones por incumplimiento de la normativa de protección de datos varían en función de la gravedad de la infracción, siendo:

• Leves: Multa de hasta 40.000€
• Graves: Multa de 40.001€ hasta 300.000€
• Muy graves: Multa 300.001€ hasta 20.000.000€ o el 4% de la facturación anual.