El sector turístico y hotelero acumula, en un mismo entorno operativo, una densidad de riesgos jurídicos que pocas industrias igualan: datos personales de huéspedes y clientes, pagos con tarjeta, relaciones laborales complejas, proveedores externos, agentes y distribuidores, y una cadena de mando que a menudo se articula en franquicias o grupos con múltiples personalidades jurídicas. En este contexto, la ausencia de un programa de cumplimiento penal estructurado no es una cuestión de menor importancia burocrática. Es una exposición directa de los socios, administradores y del propio patrimonio corporativo.
La pregunta no es retórica. En nuestra experiencia asesorando a empresas del sector, la dirección suele percibir el compliance como una obligación propia de grandes corporaciones. Esta percepción es errónea y tiene consecuencias prácticas.
Un hotel de tamaño medio trata datos de decenas de miles de personas al año: pasaportes, tarjetas de crédito, preferencias de estancia, historial de consumo, solicitudes de servicios. Un operador turístico gestiona reservas de vuelos, alojamiento y actividades para grupos organizados. Ambos quedan plenamente sujetos al RGPD y a la Ley Orgánica de Protección de Datos (LOPDGDD), sin excepción de tamaño.
Al mismo tiempo, la Ley Orgánica que reforma el Código Penal estableció en España la responsabilidad penal de las personas jurídicas. Esto significa que una sociedad – una cadena hotelera, un resort, una agencia de viajes constituida como sociedad de capital – puede ser condenada penalmente si no acredita que contaba con un modelo de organización y gestión adecuado para prevenir el delito cometido por sus directivos o empleados. El reproche penal a la empresa no requiere la condena de la persona física: basta con que el delito se cometa en su beneficio o en su nombre y con que la organización no haya adoptado medidas suficientes.
¿Qué delitos son más frecuentes en la operativa hotelera y turística? En nuestra práctica, observamos con regularidad riesgos en torno a la corrupción en los negocios, el blanqueo de capitales – especialmente en establecimientos con alto volumen de pagos en efectivo o en destinos con flujo internacional intenso –, las infracciones relativas a la protección de datos, los delitos contra los derechos de los trabajadores y las prácticas fraudulentas en la gestión de reservas o en el tratamiento de reclamaciones.
Ninguno de estos riesgos desaparece solo con disponer de un asesor jurídico de guardia. Requieren un sistema preventivo documentado, activo y auditado.
Tres grandes bloques normativos convergen sobre el sector turístico y hotelero en España.
El primero es el Código Penal, que reconoce la responsabilidad penal de las personas jurídicas e introduce los llamados "modelos de organización y gestión" como vía de exención o atenuación. El texto penal identifica un conjunto de delitos que pueden comprometer a la empresa: corrupción pública y privada, blanqueo de capitales, fraude fiscal en determinadas condiciones, delitos contra los trabajadores, revelación de secretos, entre otros. Un programa de compliance penal eficaz debe cartografiar estos riesgos según la tipología concreta del negocio.
El segundo bloque es el del derecho de la protección de datos. El RGPD aplica de forma directa en toda la Unión Europea. La LOPDGDD lo complementa en el ámbito español. Juntos establecen obligaciones que el sector turístico y hotelero no puede eludir: base jurídica para cada tratamiento, información clara al huésped, plazos de conservación de datos, medidas de seguridad técnicas y organizativas, y un protocolo de notificación de brechas a la AEPD en el plazo de setenta y dos horas desde que la empresa tenga conocimiento del incidente.
El tercer bloque, más reciente, es el relativo a los canales de denuncia interna. La normativa española, en transposición de la Directiva europea conocida como "Whistleblowing", obliga a las empresas que superen un determinado umbral de trabajadores a disponer de un canal interno de informaciones. Las empresas del sector con un volumen de plantilla relevante deben haber implementado este canal, dotarlo de garantías de confidencialidad y gestionar correctamente las denuncias recibidas. El incumplimiento puede acarrear sanciones administrativas de entidad.
A estos tres bloques se añaden, según el destino y la actividad, obligaciones derivadas de la normativa de prevención del blanqueo de capitales, especialmente en establecimientos de juego, spa de lujo con pagos en efectivo o alojamientos de alta gama con clientela internacional.
Implica construir un sistema. No es suficiente con redactar un código ético y guardarlo en un cajón. El modelo de organización y gestión exigido por la normativa penal requiere, como mínimo, los siguientes componentes.
Primero, un mapa de riesgos penales adaptado a la actividad concreta del negocio. En un hotel urbano, los riesgos no son idénticos a los de un complejo vacacional con casino o a los de una agencia mayorista que opera con grupos. El mapa debe identificar qué delitos pueden cometerse, en qué procesos, por quién y con qué probabilidad y severidad.
Segundo, controles internos diseñados para mitigar cada riesgo identificado. Estos controles son, en parte, procedimientos operativos: quién autoriza qué pago, cómo se verifica la identidad de los proveedores, cómo se gestiona la caja. Y en parte, controles documentales: registros, trazabilidad, aprobaciones. Hemos observado que en establecimientos hoteleros los controles más débiles suelen concentrarse en la relación con proveedores locales y en la gestión de pagos en efectivo.
Tercero, un órgano de compliance – que puede ser interno o externo – con autonomía suficiente para supervisar el programa, recibir las denuncias del canal interno y reportar a los órganos de gobierno de la empresa.
Cuarto, un programa de formación continua para la plantilla. Los administradores y directivos deben conocer los riesgos que gestionan. Los empleados en contacto con efectivo, con datos de clientes o con proveedores necesitan una formación específica y periódica.
Quinto, protocolos de respuesta ante incidentes. ¿Qué hace la empresa si detecta una posible infracción interna? ¿Cuándo y cómo se comunica a las autoridades una brecha de datos? ¿Qué investigación interna se abre? Estos protocolos deben existir antes de que ocurra el incidente, no después.
La notificación de una brecha de seguridad a la AEPD debe realizarse en un máximo de setenta y dos horas desde que la empresa tiene conocimiento del incidente. Este plazo es especialmente exigente en el sector hotelero, donde los sistemas de gestión de propiedades (PMS) pueden sufrir ataques o filtraciones fuera del horario de oficina. Sin un protocolo activado, ese plazo se incumple casi invariablemente.
El sector acumula un volumen extraordinario de datos personales sensibles. El pasaporte o el documento de identidad del huésped, los datos de la tarjeta de pago, la información sobre menores cuando viajan en familia, las preferencias dietéticas o de accesibilidad – que pueden revelar creencias religiosas o condiciones de salud –: todos estos datos exigen un tratamiento cuidadoso y bases jurídicas bien definidas.
Un error frecuente que hemos observado en establecimientos que no han completado su adaptación al RGPD es la creencia de que una cláusula de privacidad en la página web o en el formulario de check-in es suficiente. Esta creencia es incorrecta. La cláusula informa, pero no justifica el tratamiento. Cada operación de tratamiento de datos necesita una base jurídica propia: ejecución de contrato, cumplimiento de obligación legal, consentimiento libre e informado, o interés legítimo debidamente ponderado.
Los riesgos más frecuentes en el sector incluyen los siguientes:
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todas ellas el punto de partida ha sido el mismo: un registro de actividades de tratamiento riguroso es la columna vertebral de cualquier programa de cumplimiento en materia de datos. Sin ese registro, no es posible ni detectar los riesgos ni demostrar la diligencia ante las autoridades.
El compliance no tiene un único plazo de implantación, porque no es un trámite puntual. Es un sistema vivo que se construye, se audita y se actualiza.
No obstante, en términos prácticos, la implantación de un programa de compliance penal de base en una empresa del sector turístico u hotelero suele articularse en varias fases secuenciales. La primera es el diagnóstico: un análisis de la situación de partida, los tratamientos de datos existentes, los procesos sensibles y la cultura de cumplimiento de la organización. Esta fase requiere semanas, no días. Una empresa que ha operado sin programa previo necesita tiempo para inventariar lo que existe y lo que falta.
La segunda fase es el diseño del programa: mapa de riesgos, políticas, controles, canal de denuncias, registro de actividades. Esta es la fase más intensiva en términos de trabajo jurídico y de interlocución con la dirección. Las decisiones que se toman aquí – qué riesgos se priorizan, cómo se articula el órgano de compliance, quién tiene acceso al canal de denuncias – condicionan la eficacia del programa durante años.
La tercera fase es la implantación: formación a la plantilla, comunicación interna, integración de los controles en los procesos operativos. Esta fase requiere la implicación activa de la dirección general y de los mandos intermedios. Un programa que la dirección no respalda visiblemente carece de credibilidad ante la plantilla y, en caso de inspección o procedimiento, ante los tribunales.
La cuarta fase, continua, es el mantenimiento: revisión periódica, actualización ante cambios normativos o cambios en el negocio, auditoría interna del canal de denuncias, formación de nuevas incorporaciones.
En cuanto al coste, la normativa no fija aranceles ni tarifas. Lo que sí es conocido es que el coste de un programa preventivo es, en todos los casos que hemos analizado, significativamente inferior al de gestionar un procedimiento sancionador ante la AEPD, una investigación penal o una crisis reputacional derivada de una brecha de datos publicada en medios.
Un dato que la dirección debe tener presente: la prescripción tributaria general en España es de cuatro años, pero las infracciones penales siguen plazos de prescripción propios según la gravedad del delito, que pueden ser notablemente más largos. La exposición no se elimina con el paso de los meses si no se han adoptado medidas estructurales.
El canal de denuncias internas – también conocido como canal de informaciones – es uno de los elementos que la normativa española, en transposición de la Directiva europea de protección de denunciantes, exige a las organizaciones de cierto tamaño. En el sector hotelero, donde la plantilla puede ser numerosa y la rotación elevada, su correcta gestión es especialmente sensible.
El canal debe garantizar la confidencialidad del denunciante. Esto significa que la identidad de quien presenta la denuncia no puede ser revelada sin su consentimiento, salvo obligación legal. El sistema debe permitir, además, las denuncias anónimas, aunque el grado de seguimiento que puede darse a estas últimas sea inevitablemente más limitado.
La gestión de las denuncias recibidas requiere un procedimiento documentado: acuse de recibo al denunciante, plazo de acción, investigación interna, resolución y comunicación del resultado. La empresa debe mantener un registro de las denuncias recibidas y de las acciones adoptadas, y ese registro queda protegido por la normativa de protección de datos.
Un error frecuente en empresas del sector que han instalado un canal de forma apresurada es confiar su gestión a la dirección de recursos humanos sin independencia real. Si el potencial denunciado es un miembro de la dirección, el canal gestionado internamente por la propia dirección no ofrece garantías suficientes. La externalización a un órgano de compliance externo independiente es, en estos casos, la solución más robusta y la que mejor protege a la empresa en caso de inspección o litigio.
Puede obtener información adicional sobre la implantación de estos programas en nuestra guía sobre cómo implantar un programa de compliance, que desarrolla los pasos operativos del proceso.
Los errores más costosos en materia de compliance penal no suelen ser los más obvios. En nuestra práctica, hemos identificado un conjunto de patrones recurrentes en empresas del sector turístico y hotelero que merece la pena desarrollar.
Primer riesgo: el programa de cumplimiento de papel. Es aquel que existe en forma de documentos pero no está integrado en la operativa real del negocio. Los controles no se aplican. La formación no se imparte. El canal de denuncias es inaccesible o desconocido para la plantilla. Un programa así no solo no protege a la empresa: en un procedimiento penal, puede ser contraproducente, porque acredita que la empresa conocía los riesgos y no hizo nada efectivo para mitigarlos.
Segundo riesgo: la delegación informal. El administrador de una sociedad hotelera no puede exonerar su responsabilidad simplemente designando a un empleado como "responsable de compliance" sin dotarle de recursos, autoridad ni formación. La delegación eficaz requiere documento escrito, competencias definidas, recursos y reporte periódico al órgano de administración.
Tercer riesgo: ignorar a los intermediarios. Las agencias de viajes, los operadores de excursiones, los distribuidores, los agentes comerciales y los representantes actúan en nombre de la empresa o en su interés. Si uno de ellos comete un acto de corrupción para obtener clientes, la empresa puede verse comprometida. La diligencia debida (due diligence) sobre terceros intermediarios es un elemento del compliance penal que el sector turístico a menudo infravalora.
Cuarto riesgo: no actualizar el programa. La normativa cambia. El negocio cambia. Una empresa que ha abierto un nuevo establecimiento, que ha cambiado de software de gestión hotelera, que ha comenzado a operar con un nuevo mercado emisor o que ha incorporado tecnologías de inteligencia artificial en sus sistemas de reservas tiene nuevos riesgos que el programa original no contemplaba. La revisión periódica no es opcional.
Quinto riesgo: gestionar la brecha de datos sin protocolo. La notificación a la AEPD debe realizarse en setenta y dos horas. Sin un protocolo predefinido, activado y conocido por las personas adecuadas, este plazo es prácticamente imposible de cumplir. Y su incumplimiento agrava la valoración del expediente sancionador.
La respuesta corta es: antes de que exista un problema.
La respuesta más matizada es la siguiente. El asesoramiento preventivo tiene un valor multiplicador que el asesoramiento reactivo no puede alcanzar. Cuando la empresa ya está sujeta a un procedimiento penal o a una investigación de la AEPD, el margen de actuación es muy limitado. Los hechos han ocurrido. Los documentos existen o no existen. Los controles estaban implantados o no lo estaban.
Existen, no obstante, momentos concretos en los que el asesoramiento en compliance penal es especialmente urgente:
Si quiere entender cómo le afecta la normativa de compliance penal a su empresa del sector turístico u hotelero, escríbanos a info@velardevidal.com.
Son dos marcos normativos distintos pero profundamente interconectados en la práctica del sector.
El compliance penal enfoca la responsabilidad de la persona jurídica ante el Derecho penal: qué delitos puede cometer la empresa a través de sus directivos o empleados y cómo prevenirlos. La protección de datos enfoca el derecho fundamental de las personas físicas a controlar su información personal y las obligaciones de quienes la tratan.
La conexión práctica es doble. Por un lado, algunas infracciones graves de la normativa de protección de datos – acceso ilícito a sistemas, revelación de secretos, tratamientos con finalidad fraudulenta – constituyen también tipos penales. Un sistema de compliance penal bien diseñado incorpora los riesgos de protección de datos como una categoría de riesgos penales propia.
Por otro lado, la metodología de cumplimiento es convergente. El registro de actividades de tratamiento del RGPD es la base para identificar los flujos de datos en la empresa. Esos mismos flujos permiten detectar accesos no autorizados, cesiones indebidas a terceros o retenciones de datos sin base jurídica que pueden derivar en responsabilidad penal.
Nuestra recomendación, que deriva directamente de la experiencia práctica con empresas del sector, es integrar ambos marcos en un único programa de cumplimiento. Los programas paralelos e inconexos generan lagunas, duplican esfuerzos y resultan ineficientes ante una inspección que, cada vez con más frecuencia, abarca simultáneamente ambas dimensiones.
Puede consultar los derechos que la normativa de protección de datos reconoce a los titulares de los datos en nuestra guía sobre cómo atender los derechos de los interesados.
Esta lista recoge los elementos mínimos que un establecimiento turístico u hotelero debe tener documentados y activos para acreditar un nivel razonable de cumplimiento normativo. No es exhaustiva ni sustituye el análisis jurídico específico para cada empresa, pero sirve como punto de partida para identificar las lagunas más críticas.
El compliance penal en el sector turístico y hotelero conecta de forma natural con otras áreas de la práctica jurídica de empresa. Las operaciones de adquisición de establecimientos o cadenas exigen una diligencia debida exhaustiva en materia de cumplimiento y protección de datos, que coordinamos con nuestra práctica de protección de datos y compliance. Cuando el grupo opera en varias jurisdicciones o recibe inversión extranjera, el análisis de cumplimiento debe abarcar también las obligaciones en materia de inversión internacional y de movilidad de equipos directivos, dimensiones que gestionamos de forma integrada desde las oficinas de Madrid y Barcelona.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.