01 Datos personales típicos en un restaurante #
- Reservas: nombre, teléfono, email, número de comensales, alergias.
- Fidelización: identificadores, historial de visitas, preferencias.
- Wifi gratis con login: email, móvil o redes sociales.
- Encuestas y reseñas con datos identificativos.
- Newsletters y mensajes promocionales.
- Videovigilancia: imágenes de empleados y clientes.
- Pago con tarjeta (a través del TPV de tu banco; tú no almacenas el PAN, pero sí gestionas operaciones).
- Datos de delivery (Glovo, UberEats, JustEat) que llegan a tu cocina.
02 Registro de Actividades de Tratamiento (RAT) #
El RAT es el documento que la AEPD pide siempre que inspecciona. Es obligatorio para cualquier empresa con datos personales (con muy escasas exenciones para microempresas con tratamientos no recurrentes). Debe contener al menos:
- Identificación del responsable (datos del restaurante).
- Finalidades de cada tratamiento (reservas, fidelización, wifi…).
- Categorías de interesados y de datos.
- Destinatarios (encargados de tratamiento, transferencias).
- Plazo de conservación de cada categoría de dato.
- Medidas técnicas y organizativas de seguridad.
La AEPD ofrece la herramienta gratuita Facilita que genera un RAT básico para PYMES en pocos minutos.
03 Política de privacidad y consentimientos #
Toda recogida de datos debe ir acompañada de información clara al interesado:
- Política de privacidad accesible en web, formularios y en el propio local.
- Consentimiento expreso e informado mediante casilla NO premarcada.
- Información en capas: resumen al recoger el dato + política completa enlazada.
- Identificación del responsable, fines, base jurídica, destinatarios, plazos y derechos.
El consentimiento debe ser granular: no puedes pedir uno único para reservas + marketing + cesión a terceros. Cada finalidad lleva su casilla independiente.
04 Encargados de tratamiento (proveedores) #
Si delegas el tratamiento de datos en un proveedor externo (software de reservas, fidelización, email marketing, plataforma de delivery), ese proveedor es encargado de tratamiento:
- Debes tener firmado un contrato de encargo de tratamiento que cumpla con el art. 28 RGPD.
- El contrato regula qué datos se ceden, para qué fines, durante cuánto tiempo y con qué medidas de seguridad.
- Si el proveedor está fuera de la UE (EEUU, India), debes verificar las garantías de transferencia internacional (cláusulas contractuales tipo).
EterSystem firma contrato de encargo con todos sus clientes desde el alta para que esta obligación quede cubierta sin gestión adicional.
05 Derechos del cliente (ARSULIPO) #
El RGPD reconoce un conjunto ampliado de derechos al interesado, conocidos por el acrónimo ARSULIPO:
- Acceso: saber qué datos tienes de él.
- Rectificación.
- Supresión (derecho al olvido).
- Limitación del tratamiento.
- Oposición.
- Portabilidad.
- No estar sujeto a decisiones automatizadas con efectos significativos.
Debes responder a cualquier solicitud en un plazo máximo de 1 mes (prorrogable a 2 meses por complejidad). El silencio se interpreta como denegación y abre la puerta a la denuncia ante la AEPD.
07 Videovigilancia #
Si tienes cámaras de seguridad en el local:
- Cartel informativo visible en el acceso con icono de cámara, responsable y datos de contacto.
- Inscribir el tratamiento en el RAT.
- Conservación máxima 30 días (RGPD), salvo que sea necesario por incidente.
- No grabar la vía pública, salvo lo imprescindible (acceso al local).
- Si grabas a empleados, informar previamente y respetar la negociación colectiva.
08 Sanciones #
- Infracciones leves: hasta 40.000 €.
- Infracciones graves: hasta 300.000 € o el 2 % de la facturación global anual.
- Infracciones muy graves: hasta 20 millones € o el 4 % de la facturación global anual, lo que sea mayor.
- La AEPD publica resoluciones nominalmente: el daño reputacional puede ser superior a la multa.