L'entrada en vigor del Reial Decret 933 / 2021 ha posat al punt de mira la protecció de dades al sector turístic. L?obligació de recopilar i conservar durant tres anys un gran volum d?informació sensible sobre els viatgers ha generat preocupació entre els experts, que adverteixen sobre riscos de privadesa i possibles sancions.
Una mesura desproporcionada?
Entre les dades que cal registrar figuren informació personal, financera i contractual, com el DNI, adreça, número de targeta bancària i correus electrònics. Aquest volum d'informació, combinat amb l'obligació d'emmagatzemar-lo durant tres anys, incrementa les possibilitats de filtracions i ús indegut. A més, algunes d'aquestes dades, com la targeta bancària, són altament sensibles, cosa que augmenta les riscos de robatori d'identitat en cas de bretxes de seguretat.
Sense garanties de protecció robustes, el risc de pèrdua de control sobre les dades personals és molt alt. Aquesta norma, a més, podria vulnerar principis fonamentals del el RGPD (Reglament General de Protecció de Dades), com el de minimització, que exigeix limitar la recopilació de dades al mínim necessari per complir l'objectiu previst.
Càrregues administratives i riscos legals per a les empreses
La protecció de dades no és només una preocupació per als viatgers, Sinó també un desafiament per a les empreses. El decret imposa una gran càrrega administrativa, especialment per a petites empreses i autònoms, que han d'implementar sistemes tecnològics per registrar, emmagatzemar i protegir la informació de manera adequada.
Aquestes inversions, a més de costoses, són complexes d'implementar en empreses amb recursos limitats, cosa que pot derivar en incompliments no intencionats i, en darrer terme, en sancions.
Les multes poden ser significatives. L'incompliment del RGPD per qüestions com filtracions, fallades de seguretat o ús indegut de la informació pot derivar en sancions de fins a 20 milions d'euros o el 4% de la facturació anual de l'empresa, segons quina sigui gran.
A més, el decret contempla multes específiques per ainfraccions relacionades amb el registre de viatgers, que van des de 100 fins a 30.000 euros, depenent de la gravetat.
No menys important és el impacte sobre l'operativitat diària. La gestió d'aquestes dades pot alentir processos a recepció, generar conflictes amb clients que es neguin a proporcionar informació addicional i desviar recursos d'altres àrees crítiques del negoci. Això és especialment rellevant en un sector altament competitiu com el turisme, on qualsevol retard o problema pot repercutir negativament en l'experiència del client i, en darrer terme, en la reputació de l'establiment.
La importància de garantir la proporcionalitat de les dades
El precedent de l'anul·lació de la Directiva 2006/24/EC pel Tribunal de Justícia de la Unió Europea, pel seu caràcter indiscriminat, hauria de servir d'alerta. En paraules de Ruth Benito, experta en protecció de dades d'Elzaburu: “L'emmagatzematge massiu de dades personals sense mesures proporcionals ni justificació clara genera riscos que poden ser irreversibles per a la privadesa”.
Aquest escenari reforça la necessitat de posar la protecció de dades al centre de qualsevol mesura que impliqui el tractament massiu d'informació personal. Només un enfocament equilibrat, que combini garanties de seguretat robustes amb una justificació clara i proporcional, permetrà garantir tant la seguretat pública com els drets fonamentals dels ciutadans. Alhora, és crucial protegir la competitivitat del sector turístic, un dels motors econòmics d'Espanya.
Amb aquest marc, les empreses han de preparar-se per afrontar aquest repte, invertint en sistemes de compliment i protecció de dades que no només responguin a les exigències normatives, sinó que també reforcen la confiança dels viatgers.
Ruth Benito, Of Counsel. Privadesa i Protecció de Dades
