Registro de viajeros y RGPD: responsable vs. encargado del tratamiento
Publicado el 20 de agosto de 2026
Por qué este registro tiene una capa de protección de datos aparte
El Real Decreto 933/2021 obliga a recoger nombre, documento, fecha de nacimiento, nacionalidad, dirección y contacto de cada huésped. Eso es tratar datos personales, así que además de cumplir la normativa de seguridad ciudadana, hay que cumplir el RGPD. Y el RGPD exige tener claro un reparto de papeles que casi nadie se plantea hasta que usa una herramienta externa para gestionarlo: quién decide, y quién solo ejecuta.
Responsable del tratamiento: quién decide para qué se usan los datos
El artículo 4.7 del RGPD define al responsable como quien determina los fines y medios del tratamiento. En el caso del parte de viajeros, el responsable eres tú: el titular o gestor del alojamiento. Eres tú quien decide recoger esos datos —porque la ley te obliga—, quien responde ante el huésped si algo va mal, y quien tiene que poder demostrar que los trata conforme a la normativa.
Encargado del tratamiento: quién trata los datos por cuenta de otro
El artículo 28 del RGPD regula al encargado: quien trata datos personales por cuenta del responsable, siguiendo sus instrucciones, sin decidir por su cuenta para qué se usan. Un encargado no es dueño de los datos que gestiona; los trata porque presta un servicio a quien sí lo es. Necesita un contrato de encargo, y solo puede usar los datos para lo que ese contrato dice.
Aplicado al parte de viajeros: tú eres el responsable, la herramienta es la encargada
Si usas un programa o una plataforma para recoger y enviar el parte de viajeros, esa herramienta trata los datos de tus huéspedes por tu cuenta: es tu encargada del tratamiento, no la responsable. Tú sigues siendo quien responde ante los huéspedes y ante la Agencia Española de Protección de Datos. La herramienta responde ante ti, por contrato, de que trata esos datos correctamente.
Esto es justo la distinción que hacemos en nuestra propia política de privacidad: de los datos de tu cuenta en GuestMalaga (tu nombre, tu correo, los datos de facturación) somos responsables nosotros. De los datos de tus viajeros, el responsable eres tú y nosotros los tratamos como encargado, únicamente para prestarte el servicio de registro y envío a SES.Hospedajes.
Qué tiene que garantizar tu encargado del tratamiento
Conforme al artículo 28 del RGPD, cualquier herramienta que trate estos datos por tu cuenta tiene que:
- Tratarlos solo siguiendo tus instrucciones documentadas, nunca para fines propios
- Garantizar confidencialidad de quien acceda a ellos
- Aplicar medidas de seguridad adecuadas al riesgo
- Ayudarte a responder a los derechos de tus huéspedes (acceso, rectificación, supresión…)
- Borrar o devolver los datos al terminar la prestación del servicio
- Ponerte a disposición la información necesaria para que puedas demostrar que cumples
Si contratas una herramienta que no ofrece un contrato de encargo claro, o que no puede explicarte dónde se alojan los datos ni cuánto tiempo los conserva, esa carencia es tuya también: el responsable eres tú, y responder por un encargado que no cumple no te exime.
Qué pasa con los datos de tu propia cuenta
No hay que confundir los datos de los viajeros con los tuyos como cliente de la herramienta (tu nombre, tu correo, los datos de facturación de tu suscripción). De esos, la propia herramienta sí es responsable del tratamiento, con su propia base legal —normalmente la ejecución del contrato que tienes con ella—, independiente del papel de encargado que ejerce sobre los datos de tus huéspedes.
Preguntas frecuentes
¿Necesito firmar algo específico con la herramienta que uso? Sí, un contrato de encargo del tratamiento conforme al artículo 28 del RGPD. Muchas herramientas lo integran en sus condiciones de uso o su política de privacidad, en vez de en un documento aparte —lo importante es que exista y cubra los puntos del artículo 28, no el formato.
¿Sigo siendo responsable si la herramienta comete un error? Sí, frente al huésped y frente a la AEPD sigues siendo tú el responsable. Eso no te deja indefenso: si el encargado incumple el contrato o trata los datos fuera de tus instrucciones, responde frente a ti por ese incumplimiento.
¿Cuánto tiempo puedo conservar los datos de los viajeros? El propio RD 933/2021 obliga a conservarlos tres años desde el fin de la estancia. Pasado ese plazo, deberías poder suprimirlos.
Cómo lo aplica GuestMalaga
Actuamos como encargados del tratamiento de los datos de tus viajeros, con servidores dentro de la Unión Europea, acceso restringido a lo imprescindible y borrado disponible cuando decides eliminarlos. Puedes leer el detalle completo en nuestra política de privacidad.