Un hotel recopila más información personal de lo que parece: nombres, identificaciones, datos de pago, correos, teléfonos, preferencias y, en algunos casos, información de salud o alimentación. La protección de datos personales en hoteles dejó de ser un trámite de departamento legal: el 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que además eliminó al INAI como autoridad. Estas son tres obligaciones que cualquier hotel debe tener resueltas y que con frecuencia se descuidan en la operación diaria.
Este artículo es informativo y no sustituye la asesoría de un especialista en protección de datos para el caso específico de tu empresa.
Obligación 1: aviso de privacidad desde el primer contacto
La ley exige informar al titular de los datos, mediante un aviso de privacidad, qué información se recaba, para qué se usa y cómo puede ejercer sus derechos. De acuerdo con análisis de despachos especializados sobre la nueva ley, el aviso debe ponerse a disposición desde el momento en que se recopilan los datos, y cuando se obtienen por medios electrónicos se contempla también un aviso simplificado.
Dónde suele fallar un hotel
El aviso existe en el sitio web, pero no en los puntos donde realmente se recaban datos: el formulario de WhatsApp, la tarjeta de registro en recepción, la encuesta de salida o el registro para el wifi. Cada punto de captura debe remitir al aviso.
Obligación 2: derechos ARCO y revocación del consentimiento
Los huéspedes tienen derecho a acceder a sus datos, rectificarlos, cancelarlos u oponerse a su tratamiento. Son los llamados derechos ARCO. El aviso de privacidad debe explicar los mecanismos y procedimientos para ejercerlos, así como la forma de revocar el consentimiento otorgado.
Dónde suele fallar un hotel
Nadie en el equipo sabe qué hacer cuando un huésped escribe pidiendo que borren sus datos o que dejen de enviarle promociones. La solicitud se pierde entre áreas. La solución es sencilla: un correo o formulario específico, un responsable asignado y un procedimiento escrito con plazos.
Obligación 3: seguridad y confidencialidad de todo el personal
La ley obliga a proteger los datos con medidas de seguridad administrativas, técnicas y físicas. La nueva normativa añade además la obligación de establecer controles para que todas las personas que intervienen en el tratamiento de los datos guarden confidencialidad.
Dónde suele fallar un hotel
Copias de identificaciones guardadas en carpetas compartidas sin contraseña, listas de huéspedes enviadas por chats personales, computadoras de recepción sin bloqueo o personal temporal de temporada alta que nunca firmó un compromiso de confidencialidad. En hotelería, la rotación de personal hace que este punto sea especialmente sensible.
Un plan de acción en cuatro pasos
Primero, haz un inventario de todos los puntos donde tu hotel recaba datos. Segundo, revisa que tu aviso de privacidad esté actualizado a la nueva ley y visible en cada uno de esos puntos. Tercero, define quién atiende las solicitudes ARCO y cómo. Cuarto, capacita al personal, incluidos los temporales, y formaliza sus compromisos de confidencialidad.
Por qué importa más allá de la multa
Un incidente con datos de huéspedes afecta la reputación del hotel en reseñas y redes sociales, algo difícil de revertir en un destino tan competitivo como el Caribe mexicano. La confianza también es parte de la experiencia del huésped.
Conclusión
Proteger los datos de tus huéspedes exige tres cosas básicas: un aviso de privacidad presente en cada punto de captura, un procedimiento claro para los derechos ARCO y medidas reales de seguridad y confidencialidad en todo el equipo. Con la nueva ley vigente desde 2025, es buen momento para revisar los tres.
La gestión responsable de la información es parte de la transformación digital de cualquier negocio. Conoce los diplomados en línea de Impulsa UQROO y escríbenos para recibir el temario del que más se acerque a tu área.
