La vigencia de la Ley para la Protección de Datos Personales plantea nuevas obligaciones para el sector hotelero salvadoreño.

La industria hotelera se construye alrededor de una palabra: confianza. El huésped confía al hotel no solo su seguridad y bienestar durante una estadía, sino también una cantidad considerable de información personal. Desde el momento en que realiza una reserva hasta después de su salida, sus datos pasan por sistemas de reservas, recepción, facturación, mercadeo y videovigilancia. En las cadenas hoteleras, también intervienen frecuentemente proveedores tecnológicos ubicados en el exterior.

En El Salvador, la aprobación del Decreto Legislativo N.º 144, Ley para la Protección de Datos Personales, emitido el 12 de noviembre de 2024 y publicado en el Diario Oficial N.º 219, tomo 445, el 15 de noviembre de ese año, estableció un nuevo marco jurídico para estas actividades.

Para comprender el impacto de la normativa basta observar una reserva ordinaria. El hotel puede recibir nombre, nacionalidad, teléfono, correo electrónico, documento de identidad o pasaporte, fechas del viaje, acompañantes, datos de facturación y otra información necesaria para gestionar la estadía.

El flujo no termina en recepción. Un hotel moderno puede utilizar un Property Management System (PMS), motores de reservas, plataformas de terceros, sistemas de gestión de clientes (CRM), aplicaciones de fidelización, redes Wi-Fi, cámaras de seguridad y herramientas de mercadeo digital.

En otras palabras, la protección de datos no es exclusivamente un asunto del departamento de tecnología. Involucra a recepción, reservaciones, ventas, mercadeo, recursos humanos, seguridad, alimentos y bebidas, administración y proveedores externos.

Los derechos del huésped y el deber de informar

La ley establece un marco para la recolección, uso, procesamiento, almacenamiento y demás actividades relacionadas con datos personales, con el propósito de garantizar la intimidad y la autodeterminación informativa.

Uno de los cambios fundamentales es que ya no resulta suficiente considerar que la información puede utilizarse libremente porque el huésped la proporcionó al reservar. El tratamiento debe responder a una finalidad determinada y ajustarse a las condiciones establecidas por la normativa.

El huésped, además, tiene derecho a conocer quién resguarda su información y para qué será utilizada. La ley contempla derechos sobre los datos personales, entre ellos acceso, rectificación, cancelación o supresión, oposición, portabilidad, olvido y limitación, conocidos conjuntamente como derechos ARCO-POL.

Esto tiene consecuencias muy prácticas. Un antiguo huésped podría, por ejemplo, solicitar conocer qué información conserva el hotel sobre él o pedir la rectificación de datos inexactos. La normativa establece procedimientos para gestionar estas solicitudes y contempla un plazo de respuesta de 20 días hábiles. Este plazo puede prorrogarse por causas justificadas por un período que no exceda otros 20 días hábiles.

Por tanto, cada hotel necesita establecer responsabilidades internas y procedimientos que permitan localizar información en sus diferentes sistemas y atender adecuadamente los derechos de los titulares.

La atención de estos derechos también exige cuidar la forma en que se informa al huésped sobre el tratamiento de sus datos.

La ley establece que, antes de recabar datos personales, debe proporcionarse información expresa, precisa e inequívoca sobre aspectos como la finalidad de su recolección y tratamiento y sus posibles destinatarios. También contempla información relacionada con las bases de datos, repositorios, respaldos y sitios de contingencia, cuando corresponda.

Para un hotel, esto significa revisar cada punto de captura de información: página web, motor de reservas, formularios de check-in, conexión a Wi-Fi, programas de fidelización, promociones, eventos y formularios de contacto.

Intentar resolver todo mediante un aviso genérico puede ser un error. Es recomendable identificar primero qué datos se recopilan, con qué propósito, dónde se almacenan, durante cuánto tiempo se necesitan, quién puede acceder a ellos y con qué terceros se comparten.

La responsabilidad ante los proveedores tecnológicos

La hotelería tiene una característica que hace particularmente importante esta regulación: su dependencia de un ecosistema internacional de proveedores.

Una reserva realizada desde otro país puede llegar a través de una agencia de viajes en línea, pasar por un sistema internacional de distribución, incorporarse al PMS del establecimiento y posteriormente integrarse con una plataforma de mercadeo o fidelización.

Por ello, el hotel debe conocer su cadena tecnológica. No basta con proteger la computadora de recepción si los datos también se encuentran alojados en servicios en la nube o son procesados por terceros.

La propia ley reconoce expresamente que el titular tiene derecho a conocer quién resguardará sus datos, incluidos los proveedores tercerizados de almacenamiento y servicios en la nube. La revisión de contratos con proveedores tecnológicos constituye, por tanto, una parte esencial de la estrategia de cumplimiento.

Seguridad de la información y medidas de cumplimiento

Privacidad y seguridad de la información son conceptos diferentes, pero estrechamente relacionados. Un hotel puede tener excelentes políticas de privacidad y aun así sufrir una exposición de información por contraseñas débiles, accesos excesivos, equipos sin actualizar o malas prácticas de sus colaboradores.

Esta relación entre privacidad y seguridad también se refleja en la legislación salvadoreña. La Ley para la Protección de Datos Personales estuvo acompañada por la Ley de Ciberseguridad y Seguridad de la Información, aprobada también en noviembre de 2024. Asimismo, se creó la Agencia de Ciberseguridad del Estado (ACE), con atribuciones en materia de protección de datos personales. Estas incluyen funciones de control, inspección y supervisión, así como potestad sancionadora en esta materia.

La protección efectiva requiere, por tanto, medidas organizativas y tecnológicas: controles de acceso, gestión adecuada de contraseñas, copias de seguridad, actualización de sistemas, capacitación del personal y procedimientos para responder ante incidentes.

Ante este nuevo entorno, los hoteles deberían comenzar por realizar un inventario de los datos personales que poseen y elaborar un mapa de su recorrido dentro de la organización. Después, conviene revisar los avisos de privacidad y los formularios de recopilación de información, y definir procedimientos para atender los derechos ARCO-POL. También es recomendable evaluar los contratos y las prácticas de los proveedores que procesan información, y establecer un programa periódico de capacitación y seguridad.

Estas acciones también deben abarcar la información obtenida antes de la aprobación de la ley. El artículo 61 dispone que los sujetos obligados deben adoptar las medidas de protección que establezca la ACE respecto de los datos obtenidos antes de su entrada en vigencia. La misma disposición concedió inicialmente seis meses desde la vigencia de la ley para establecer mecanismos que permitieran a los titulares ejercer sus derechos.

Esto hace especialmente importante revisar las bases históricas de huéspedes y, sobre todo, las grandes bases de datos utilizadas para mercadeo.

La privacidad como parte de la hospitalidad

El reto para los hoteles salvadoreños no debería verse únicamente desde la perspectiva de evitar una contingencia jurídica. La privacidad se está convirtiendo en un componente de la experiencia del cliente.

Un huésped internacional espera que el establecimiento cuide su pasaporte con el mismo rigor con que protege sus pertenencias; que su correo electrónico no sea utilizado indiscriminadamente; que sus preferencias permanezcan confidenciales y que los sistemas donde se almacena su información sean razonablemente seguros.

La nueva regulación ofrece una oportunidad para profesionalizar la gestión de la información en la industria hotelera. Proteger datos personales ya no consiste simplemente en guardar documentos bajo llave: significa administrar responsablemente todo el ciclo de vida digital del huésped.

Para el sector turístico salvadoreño, que compite por atraer visitantes y consolidar relaciones con operadores y viajeros internacionales, convertir la privacidad en parte de sus estándares de servicio puede ser mucho más que cumplimiento. Puede ser una nueva expresión de hospitalidad: recibir bien al huésped también significa proteger la información que decidió confiar al hotel.