Adaptación RGPD para restaurantes sin riesgos

Un restaurante maneja datos personales desde antes de que el cliente se siente a la mesa. Una reserva telefónica, un pedido a domicilio, una tarjeta de fidelización, una cámara de seguridad o el cuadrante de turnos del personal implican tratamientos de datos. Por eso, una adaptación RGPD restaurante no puede limitarse a descargar una política de privacidad: debe reflejar cómo funciona realmente el negocio.

El Reglamento General de Protección de Datos y la LOPDGDD exigen que el responsable del restaurante sepa qué datos recoge, para qué los utiliza, cuánto tiempo los conserva y quién puede acceder a ellos. No hacerlo expone al negocio a reclamaciones, requerimientos y sanciones que pueden evitarse con una implantación correcta y documentación ajustada a su operativa.

Adaptación RGPD para restaurantes: qué debe cubrir

El primer paso es identificar todos los puntos de contacto en los que se recaban datos. En hostelería, es habitual tratar información de clientes, empleados, candidatos, proveedores, contactos comerciales y, en determinados casos, repartidores o usuarios de plataformas de pedido.

No todos los datos tienen el mismo nivel de riesgo. El nombre y teléfono para confirmar una reserva requieren protección, pero también lo requiere una intolerancia alimentaria indicada por un cliente. Este último dato puede revelar información relativa a la salud y exige una gestión especialmente prudente. El restaurante debe solicitar solo la información necesaria para prestar el servicio, limitar el acceso interno y evitar conservar esos datos más tiempo del imprescindible.

La adaptación debe documentar, como mínimo, los tratamientos realizados, las bases jurídicas aplicables, los plazos de conservación, las medidas de seguridad, los encargados que intervienen y el procedimiento para atender los derechos de las personas. La documentación genérica que no menciona reservas, pedidos, cámaras o personal no protege al negocio si recibe una inspección.

Reservas, pedidos y bases legales

Cuando un cliente reserva mesa por teléfono, web, mensajería o aplicación, el restaurante puede tratar los datos necesarios para gestionar esa reserva. La base jurídica será, normalmente, la ejecución de medidas precontractuales o del propio servicio solicitado. No es necesario pedir consentimiento para enviar un mensaje de confirmación, avisar de un cambio horario o gestionar una cancelación.

La situación cambia si el negocio pretende utilizar esos datos para enviar promociones, novedades o campañas por correo electrónico, SMS o mensajería. En ese caso, debe analizarse cuidadosamente la base legal y cumplir también con la normativa sobre comunicaciones comerciales. El hecho de que una persona haya reservado una mesa no autoriza automáticamente a incorporarla a una lista publicitaria sin información adecuada y sin una vía sencilla para oponerse o darse de baja.

También conviene revisar las reservas recogidas mediante plataformas externas. Aunque la plataforma gestione parte del proceso, el restaurante no queda exento de responsabilidad sobre los datos que recibe y utiliza dentro de su propia organización. Debe saber qué información recibe, con qué finalidad la conserva y qué condiciones contractuales regulan ese acceso.

Videovigilancia: una fuente habitual de incidencias

Las cámaras son habituales en cajas, accesos, almacenes y zonas comunes. Pueden ser necesarias para proteger personas, instalaciones y bienes, pero su uso tiene límites muy claros. No se pueden instalar cámaras para grabar cualquier espacio ni conservar las imágenes indefinidamente.

La videovigilancia debe contar con carteles informativos visibles antes de entrar en la zona grabada y con una información ampliada disponible para quien la solicite. Además, hay que definir quién accede a las imágenes, con qué finalidad y durante cuánto tiempo se conservan. Como regla general, las grabaciones no deben mantenerse más de un mes, salvo que deban preservarse para acreditar un incidente concreto ante las autoridades competentes.

No deben instalarse cámaras en vestuarios, aseos, zonas de descanso u otros espacios que afecten de forma desproporcionada a la intimidad de trabajadores o clientes. Si las cámaras pueden utilizarse para controlar aspectos laborales, el personal debe haber sido informado de manera expresa, clara y previa.

Datos de empleados y selección de personal

El restaurante trata datos laborales desde el proceso de selección. Currículums, contratos, nóminas, bajas, registros horarios, formación en prevención y comunicaciones internas forman parte de tratamientos que deben estar ordenados y protegidos.

Un error frecuente es guardar currículums durante años “por si surge una vacante”. Si no existe una base que justifique esa conservación, deben eliminarse cuando finalice el proceso de selección o establecerse un plazo informado y razonable para mantenerlos en bolsa de empleo. También es necesario controlar quién puede acceder a la documentación laboral: no todo encargado o responsable de turno necesita consultar nóminas, bajas médicas o expedientes personales.

Los sistemas biométricos de fichaje, como la huella dactilar o el reconocimiento facial, requieren una valoración especialmente rigurosa. No son una solución automática para cumplir con el registro horario. Al tratar datos biométricos, el nivel de riesgo aumenta y debe justificarse su necesidad, proporcionalidad y garantías antes de implantarlos.

Proveedores, gestorías y herramientas digitales

Un restaurante suele trabajar con proveedores tecnológicos para TPV, reservas, pedidos online, correo electrónico, almacenamiento en la nube, cámaras, asesoría laboral o mantenimiento informático. Cuando estas empresas tratan datos por cuenta del restaurante, deben existir contratos de encargado del tratamiento con el contenido exigido por el RGPD.

No basta con aceptar unas condiciones comerciales sin revisarlas. El responsable del restaurante debe comprobar qué datos se comparten, dónde se alojan, quién puede acceder a ellos y qué ocurre cuando finaliza el servicio. Si el proveedor realiza transferencias internacionales de datos, también deberá analizarse que existan garantías legales adecuadas.

En relación con los pagos, la prudencia es sencilla: el restaurante no debe almacenar datos completos de tarjetas bancarias salvo que cuente con una infraestructura y justificación muy específica. La gestión del cobro debe apoyarse en proveedores especializados y configuraciones seguras.

Política de privacidad, cookies y cartelería informativa

La información al cliente debe estar donde se recogen los datos. Si hay formulario de reserva en la web, debe incluir una cláusula de privacidad clara. Si se recogen tarjetas de visita, datos para sorteos o inscripciones en eventos, también debe informarse de quién tratará los datos, para qué, durante cuánto tiempo y cómo ejercer los derechos.

La web del restaurante merece una revisión propia. El aviso legal, la política de privacidad y la política de cookies deben corresponderse con las herramientas instaladas. Las cookies no necesarias, incluidas muchas analíticas o publicitarias, no pueden activarse antes de que el usuario preste una elección válida. Un simple mensaje genérico de “seguir navegando” no resuelve esta obligación.

La cartelería física tampoco debe improvisarse. Los avisos de videovigilancia, los formularios en papel, los sorteos y las campañas de fidelización deben ofrecer información comprensible y suficiente. El objetivo no es llenar el local de textos legales, sino informar bien en el momento oportuno.

Derechos, brechas de seguridad y responsabilidades internas

Los clientes y trabajadores pueden solicitar acceso, rectificación, supresión, oposición, limitación o portabilidad de sus datos, según el caso. El restaurante debe contar con un procedimiento para identificar la solicitud, verificar la identidad de quien la presenta y responder, normalmente, en un plazo máximo de un mes.

También debe saber reaccionar ante una incidencia. La pérdida de un listado de reservas, el acceso no autorizado al correo corporativo, un dispositivo robado o el envío de información a un destinatario equivocado pueden constituir una brecha de seguridad. No todas las incidencias deben notificarse a la autoridad de control, pero todas deben analizarse, documentarse y corregirse. Cuando exista riesgo para los derechos de las personas, la notificación puede ser obligatoria en un máximo de 72 horas.

La responsabilidad no desaparece por delegar tareas. El titular o sociedad que explota el restaurante es quien debe asegurarse de que su equipo conoce las instrucciones básicas: no compartir listados de clientes por canales personales, no dejar pantallas abiertas, no entregar datos a terceros sin verificar su identidad y comunicar cualquier incidencia de inmediato.

¿Es obligatorio nombrar delegado de protección de datos?

Un restaurante ordinario no tiene por qué designar un delegado de protección de datos solo por su actividad. La obligación depende del volumen, naturaleza y riesgo de los tratamientos realizados, así como de los supuestos previstos legalmente. Sin embargo, no tener delegado no elimina el deber de cumplir el RGPD, mantener la documentación actualizada y responder ante una inspección o una reclamación.

En negocios con varios establecimientos, sistemas de fidelización amplios, campañas intensivas de marketing, videovigilancia compleja o tratamiento frecuente de datos sensibles, conviene revisar la situación de forma individual. Aplicar la misma solución a todos los restaurantes puede generar costes innecesarios o dejar riesgos sin cubrir.

Una adaptación bien hecha permite que el restaurante siga centrado en atender clientes, controlar costes y hacer funcionar el servicio. El cumplimiento no debe convertirse en una carpeta olvidada: debe ser una forma práctica de evitar errores que, con una revisión profesional a tiempo, suelen ser perfectamente prevenibles.