El sector turístico y hotelero español trabaja con un volumen de datos personales y una densidad de relaciones laborales que pocos sectores pueden igualar. Ficha de empleados, registros horarios, videovigilancia en instalaciones, acceso a habitaciones, datos de salud de trabajadores con patologías o discapacidades, comunicaciones internas y sistemas de turnos: cada uno de estos elementos activa obligaciones legales concretas. En el marco regulatorio vigente, ignorarlas ya no es una opción económicamente razonable.
La industria turística española es uno de los pilares del tejido económico nacional. Según datos del Instituto Nacional de Estadística (INE), el turismo genera de forma directa e indirecta una parte estructural del producto interior bruto y da empleo a millones de personas. Esta dimensión no es solo una fortaleza: también convierte al sector en un objetivo preferente de la inspección laboral y de la supervisión en materia de protección de datos.
El marco normativo que articula el compliance en este sector descansa sobre cuatro pilares.
El primero es la normativa de protección de datos: el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD). Estas normas rigen desde la recogida de datos del candidato en el proceso de selección hasta el archivo de documentos tras la extinción del contrato. La empresa hotelera que procesa datos de sus trabajadores – nóminas, control de acceso, evaluaciones de desempeño – actúa como responsable de tratamiento y asume todas las obligaciones que ello implica.
El segundo pilar es el Estatuto de los Trabajadores, que regula el registro de jornada obligatorio, los derechos de información de los empleados y los límites al control empresarial. El Tribunal Supremo ha consolidado el criterio de que la vigilancia del trabajador tiene límites constitucionales vinculados a la dignidad y la intimidad, incluso cuando el empleador dispone de base legal para monitorizar.
El tercero es el compliance penal corporativo. La reforma del Código Penal que introdujo la responsabilidad penal de la persona jurídica – y su posterior desarrollo jurisprudencial – obliga a las empresas a disponer de modelos de prevención y control que demuestren que la organización ha adoptado medidas eficaces para evitar delitos cometidos por sus representantes o empleados. En nuestra experiencia asesorando a empresas del sector turístico, este pilar es frecuentemente el menos desarrollado.
El cuarto pilar es la normativa sobre canales de denuncia interna. La transposición de la Directiva europea de protección de denunciantes obliga a las empresas que superan un determinado umbral de empleados a disponer de un canal interno. El incumplimiento genera responsabilidades propias, más allá de las derivadas del RGPD.
Una empresa de turismo o hostelería de tamaño mediano puede tratar simultáneamente más de veinte categorías de tratamientos de datos personales relativos a sus trabajadores. Enumeramos los más relevantes desde el punto de vista del riesgo compliance.
Videovigilancia en zonas comunes, recepción y almacenes. Su instalación requiere una evaluación de impacto previa si cubre zonas donde los empleados trabajan de forma habitual. La AEPD ha sancionado a empresas del sector por cámaras instaladas sin informar a los trabajadores de forma adecuada y sin carteles homologados.
El registro de jornada obligatorio genera, además, un fichero de datos laborales con valor probatorio en litigios por horas extraordinarias. Su gestión incorrecta puede comprometer tanto la defensa de la empresa en un procedimiento de inspección como su posición ante un juzgado de lo social.
Los datos de salud de los trabajadores – partes de baja, certificados médicos, adaptaciones de puesto por discapacidad – son una categoría especialmente protegida por el RGPD. Su tratamiento exige una base jurídica reforzada y medidas técnicas y organizativas adicionales. En el sector hotelero, donde la gestión de bajas en temporada alta tiene impacto operativo directo, existe la tentación de acceder a esta información de forma más amplia de lo legalmente permitido.
La gestión de turnos, el acceso a sistemas internos y la comunicación vía aplicaciones corporativas generan trazas digitales que, si no se gestionan con criterios de privacidad desde el diseño, pueden convertirse en un pasivo jurídico ante cualquier conflicto laboral.
Por último, el sector turístico opera con alta rotación y empleo estacional. Esta particularidad multiplica el número de procesos de alta, baja y contratación, y con ello el volumen de datos personales en circulación. Una brecha de seguridad en este contexto puede afectar simultáneamente a cientos de empleados.
La adaptación RGPD en el sector hotelero no se limita a colocar un aviso legal en la web corporativa. Esta es, precisamente, la creencia errónea más extendida entre los directores de operaciones y responsables de RRHH que asesoramos: que con una cláusula de privacidad en la página de empleo ya se cumple con la normativa. No es así.
Las obligaciones que el RGPD impone a la empresa como empleadora comprenden, como mínimo, los siguientes elementos:
En nuestra práctica hemos observado que la mayoría de las empresas hoteleras tienen cubierto el aviso legal y el acuerdo de encargado con su proveedor de nóminas. Sin embargo, el registro de tratamientos, la EIPD para videovigilancia y el protocolo de brechas suelen estar ausentes o desactualizados.
El sector hotelero tiene una particularidad que lo distingue de otros entornos de trabajo: la mezcla constante de espacios donde conviven clientes, empleados y zonas de acceso restringido. Esta convivencia genera la tentación de instalar sistemas de control más extensos de lo legalmente admisible.
¿Hasta dónde puede llegar la empresa en el control de sus empleados? La respuesta no es sencilla, pero sí tiene contornos claros en la legislación laboral y en la jurisprudencia española.
El Estatuto de los Trabajadores reconoce al empresario la facultad de adoptar medidas de vigilancia y control para verificar el cumplimiento de las obligaciones laborales. Sin embargo, la Audiencia Provincial viene admitiendo – y el Tribunal Supremo ha ratificado – que esta facultad no es ilimitada. Debe respetar la dignidad del trabajador, aplicarse con criterios de proporcionalidad y, en muchos casos, comunicarse previamente a los representantes de los trabajadores.
El control mediante sistemas de geolocalización en vehículos de empresa o dispositivos corporativos es perfectamente lícito, pero exige información previa al empleado y una base jurídica adecuada. El control encubierto – sin información previa – solo es admisible en supuestos muy acotados de sospecha razonada, y la jurisprudencia lo ha matizado considerablemente en los últimos años.
El acceso al correo corporativo del empleado también está condicionado a que la empresa haya comunicado previamente la política de uso aceptable y los criterios de control. En ausencia de esa comunicación, las pruebas obtenidas pueden ser declaradas ilícitas en un procedimiento judicial.
En el entorno hotelero, el control de consignas y casilleros personales o el registro de bolsos a la salida del turno son prácticas que, sin protocolo escrito y sin información previa, exponen a la empresa a reclamaciones y sanciones. Hemos asesorado con frecuencia a empresas del sector que afrontaron litigios por este tipo de controles aplicados de forma improvisada.
La normativa sobre canales de denuncia interna ha transformado uno de los elementos más complejos del compliance empresarial: la gestión de alertas internas. Para el sector turístico, esto es especialmente relevante.
Las empresas a partir de un determinado umbral de empleados están obligadas a disponer de un sistema interno de información que permita a empleados, proveedores y colaboradores reportar de forma confidencial conductas que puedan constituir infracciones legales o éticas. El canal debe garantizar el anonimato del denunciante si este lo solicita, y su gestión debe cumplir con el RGPD en lo que respecta al tratamiento de datos de denunciante y denunciado.
¿Por qué es particularmente relevante en hostelería? Porque el sector combina empleados en contacto directo con dinero en efectivo, con bienes de valor en las habitaciones y con información sensible de los clientes. Las irregularidades en caja, los pequeños hurtos y el acoso laboral en plantillas con alta rotación son riesgos documentados. Un canal de denuncias bien diseñado no solo cumple con la normativa: es también un instrumento de gobierno corporativo.
El compliance penal exige que el canal sea genuinamente operativo, no cosmético. La práctica de los juzgados de lo mercantil y de lo penal indica que los modelos de compliance que incluyen canales de denuncia formalmente existentes pero funcionalmente inoperativos no atenúan la responsabilidad penal de la empresa.
Diseñar el canal implica definir quién lo gestiona (puede ser interno o un tercero externo), cuáles son los procedimientos de tramitación, qué plazos se aplicarán para acusar recibo y para resolver, y cómo se documentan las investigaciones internas. Todo ello debe quedar integrado en el modelo de compliance penal de la empresa.
El director general o el director de operaciones de una empresa hotelera no necesita conocer los detalles técnicos del RGPD. Sí necesita saber qué decisiones son suyas y cuáles son los plazos que no puede dejar vencer.
El primero es el plazo de notificación de brechas: 72 horas desde que la empresa tiene conocimiento de una brecha que pueda generar riesgo para los derechos de los afectados. Ese plazo corre desde que cualquier miembro de la organización toma conocimiento, no solo desde que lo sabe el responsable de privacidad. Sin un protocolo interno que establezca el canal de escalado, la empresa llega invariablemente tarde.
El segundo es la respuesta a derechos de los interesados. Si un exempleado solicita acceso a sus datos o la supresión de sus registros, la empresa tiene un mes para responder. El incumplimiento puede generar una reclamación ante la AEPD con consecuencias sancionadoras.
El tercero es la implantación del canal de denuncias. Su ausencia en empresas obligadas es, por sí misma, un incumplimiento normativo, con independencia de que se haya producido o no una denuncia.
El cuarto elemento de gestión crítica es la formación. El RGPD y el compliance penal requieren que los empleados sean formados en sus obligaciones. En un sector con alta rotación, esta formación debe integrarse en el proceso de incorporación – el onboarding – y no puede delegarse en un correo con un documento adjunto que nadie lee.
Finalmente, la empresa debe revisar sus contratos con proveedores tecnológicos. Las plataformas de gestión hotelera, los sistemas de reservas, los softwares de RRHH y las aplicaciones de turnos procesan datos de empleados. Cada uno de esos proveedores debe estar vinculado mediante un acuerdo de encargado de tratamiento actualizado y auditado periódicamente.
Una brecha de seguridad no es necesariamente un ciberataque masivo. En el sector hotelero, las brechas más frecuentes son de naturaleza aparentemente menor: el portátil del director de RRHH sin contraseña robado en un traslado, el fichero de nóminas enviado por error a una lista de distribución incorrecta, el acceso a la base de datos de empleados por un trabajador que ya no presta servicios porque no se dio de baja su cuenta.
Cuando se produce una brecha, el reloj empieza a correr. La empresa tiene 72 horas para notificar a la AEPD si la brecha puede generar un riesgo para los derechos y libertades de los afectados. Además, si ese riesgo es alto, debe notificarse también a los propios empleados afectados sin dilación indebida.
La notificación tardía o incompleta es, por sí misma, una infracción del RGPD. La AEPD ha sancionado a empresas no por la brecha en sí – que puede ser inevitable – sino por la ausencia de protocolo y por la gestión inadecuada de la respuesta. El protocolo de brechas es, por tanto, tanto un instrumento de cumplimiento como un factor de mitigación de la sanción.
En nuestra experiencia implantando programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, la diferencia entre una empresa que gestiona bien una brecha y una que la gestiona mal no es técnica: es organizativa. Es la diferencia entre tener un procedimiento escrito, un responsable designado y un plan de comunicación, o no tenerlos.
Existe una creencia arraigada en el sector turístico: que el compliance es una carga burocrática para empresas grandes, no para medianas cadenas o establecimientos independientes. Esta percepción es el mito más costoso del sector.
El registro de tratamientos, el protocolo de brechas y el modelo de compliance reducen la sanción y la responsabilidad de forma demostrable. La AEPD aplica criterios de atenuación cuando la empresa puede acreditar que disponía de un programa de cumplimiento antes de que se produjera la infracción. Los juzgados de lo penal aplican la misma lógica: el modelo de compliance previo atenúa o exime la responsabilidad corporativa.
El coste de implantar un programa de cumplimiento en materia de datos y compliance laboral es invariablemente inferior al coste de una sanción, de un litigio laboral mal gestionado o de una crisis reputacional derivada de una brecha noticiable. Esta es la tesis que sostenemos sistemáticamente ante las direcciones generales y los consejos de administración que nos consultan.
El asesoramiento temprano permite, además, integrar el compliance en los procesos de negocio de forma no intrusiva. Adaptar el proceso de onboarding, incluir las cláusulas adecuadas en los contratos con proveedores, actualizar el protocolo de control de acceso: estas son intervenciones de bajo coste cuando se realizan en fase de diseño. Su coste se multiplica cuando se afrontan en respuesta a una sanción o a un litigio en curso.
¿Cuándo conviene iniciar el proceso? Nuestra posición es clara: antes de que la empresa reciba la primera notificación de la AEPD, antes del primer conflicto laboral vinculado al control de jornada y antes de la primera rotación de personal con acceso a sistemas sensibles.
Para las empresas que operan en destinos con alta concentración de inspecciones laborales – como los polos turísticos de las Islas Canarias, Baleares, la Costa del Sol o el litoral levantino – el riesgo de inspección es estadísticamente más elevado que en otros sectores. La inspección de Trabajo ha intensificado en los últimos años el control del registro de jornada y de las condiciones de trabajo en hostelería. Disponer de un sistema de control laboral correctamente documentado es la mejor defensa.
A modo de síntesis operativa, recogemos los elementos mínimos que debería verificar cualquier empresa del sector antes de considerar que su programa de cumplimiento es adecuado.
Ninguno de estos elementos es opcional para una empresa que opera con más de un establecimiento o que gestiona datos sensibles de forma regular. Juntos, conforman el programa de cumplimiento mínimo exigible.
Las empresas del sector turístico que afrontan un proceso de adaptación RGPD o de implantación de compliance frecuentemente necesitan también apoyo en el ámbito del compliance y protección de datos para otras áreas de su operación, incluida la gestión de proveedores tecnológicos y las relaciones con autoridades supervisoras. Asimismo, el análisis comparado de modelos de cumplimiento, desarrollado en profundidad en nuestra pieza sobre cultura de cumplimiento frente a cumplimiento formal, es especialmente relevante para direcciones generales que evalúan el alcance de su responsabilidad corporativa. Para un análisis específico del compliance en la gestión de personas, puede también consultar nuestro análisis sobre compliance en recursos humanos y control con enfoque transversal.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.