Desde diciembre de 2024, cualquier establecimiento de hospedaje en España está obligado a recoger y comunicar un conjunto de datos de cada viajero que va mucho más allá del nombre y el número de documento. Esa obligación ha convertido a todos los hoteles, apartamentos turísticos y campings del país en custodios de una base de datos extraordinariamente sensible. Y casi nadie se ha hecho la pregunta siguiente: ¿dónde vive exactamente ese dato, y qué hay entre él y la red a la que se conecta cualquiera que pague una habitación?
1. Qué te obliga a guardar la norma
El Real Decreto 933/2021 y su desarrollo en la plataforma SES.HOSPEDAJES exigen registrar, por cada viajero y cada estancia, un conjunto de datos que incluye:
- Nombre y apellidos, fecha de nacimiento y nacionalidad.
- Tipo y número de documento de identidad, y número de soporte cuando corresponda.
- Teléfono y correo electrónico.
- Domicilio completo, con municipio y país de residencia.
- Para menores, la relación de parentesco con el titular de la reserva.
- Fechas y horas de entrada y salida, número de personas, identificador de la reserva y habitación asignada.
- Datos del medio de pago: tipo y número de tarjeta, IBAN, pago por móvil u otros.
La comunicación a SES.HOSPEDAJES debe hacerse de manera inmediata y, en todo caso, en un plazo no superior a 24 horas desde el inicio del servicio. Y el registro informático debe conservarse tres años desde la finalización del servicio contratado.
Sumando las tres cosas —qué datos, con qué inmediatez y durante cuánto tiempo— el resultado es el siguiente: todo establecimiento mantiene de forma permanente un fichero con identidad documentada y medio de pago de todas las personas que han pasado por allí en los últimos tres años.
2. Dónde acaba viviendo ese dato
No en un cajón. En el PMS, el sistema de gestión del establecimiento, y normalmente también en:
- El motor de reservas y el channel manager que lo conecta con las agencias.
- La herramienta del proveedor que automatiza el envío a SES.HOSPEDAJES.
- Las copias de seguridad del PMS, que suelen ser el eslabón menos vigilado.
- Exportaciones a hoja de cálculo que alguien hizo para un informe y se quedaron en un equipo de recepción.
- Y, en establecimientos pequeños, el correo electrónico, porque la documentación del huésped llegó escaneada por ahí.
Ese último punto merece una línea aparte. Una copia del DNI o del pasaporte reenviada por correo y conservada en la bandeja de entrada de recepción es, a efectos prácticos, el mismo dato con una fracción de la protección.
3. Lo que dice el RGPD sobre todo esto
Que una norma te obligue a tratar un dato no te exime de protegerlo: te obliga más. El tratamiento tiene base legal —cumplimiento de una obligación legal, artículo 6.1.c del RGPD— pero sigue sujeto al resto del reglamento, y en particular al artículo 32, que exige medidas técnicas y organizativas apropiadas al riesgo.
El riesgo aquí es alto por tres motivos objetivos: el volumen de afectados, la naturaleza de los datos (documento de identidad y medio de pago permiten suplantación y fraude directo) y el hecho de que el titular no tiene ninguna capacidad de decidir sobre ellos, porque entregarlos es condición para alojarse.
La LOPDGDD añade en sus artículos 87 a 90 el marco sobre dispositivos y sistemas en el entorno laboral, relevante cuando hablamos de los equipos de recepción y administración desde los que se accede a ese fichero.
Y si hay brecha, el artículo 33 marca el plazo: notificación a la autoridad de control sin dilación indebida y, de ser posible, en un máximo de 72 horas. El artículo 34 obliga además a comunicarlo a los afectados cuando el riesgo para sus derechos sea alto. Con documento de identidad y medio de pago comprometidos, ese umbral se cruza sin discusión.
4. La ruta de acceso que casi nadie mira
Cuando un hotel piensa en proteger el registro de viajeros, piensa en contraseñas del PMS y en permisos de usuario. Eso está bien y es insuficiente, porque deja fuera la vía por la que de verdad llegaría alguien: la red.
El camino completo, tal como lo reproducimos en una auditoría, es este:
- Conexión al WiFi de habitaciones con la clave que te dan en recepción, o desde el aparcamiento si la clave no ha cambiado desde la última estancia.
- Descubrimiento de lo que hay en esa red, que con el aislamiento entre clientes desactivado incluye a los demás huéspedes y, con la segmentación mal hecha, también dispositivos internos.
- Acceso a un equipo intermedio con credenciales de fábrica: una impresora, un sistema de IPTV, un controlador de domótica.
- Desde ahí, alcance a la red donde está el PMS.
Ninguno de esos cuatro pasos requiere una vulnerabilidad desconocida ni herramientas sofisticadas. Requiere que la separación entre la red de invitados y la interna sea una etiqueta y no una regla de filtrado, que es exactamente lo que encontramos la mayoría de las veces.
5. Ocho medidas concretas
Ordenadas por relación entre lo que cuestan y lo que evitan:
- Separar de verdad la red de invitados, con denegación por defecto hacia cualquier otra VLAN y una lista escrita de excepciones. Es la medida que más riesgo quita.
- Activar el aislamiento entre clientes en el SSID de habitaciones.
- Cambiar la clave del WiFi de huéspedes con una periodicidad definida, y no reutilizarla entre temporadas.
- Cifrar las copias de seguridad del PMS y comprobar que la restauración funciona. Una copia sin cifrar en un disco accesible es la brecha más silenciosa del sector.
- Revisar quién tiene acceso al PMS y retirar las cuentas de personal que ya no está, de proveedores antiguos y de la empresa que hizo la instalación.
- Activar segundo factor en el acceso al PMS y al correo de recepción y reservas.
- Dejar de guardar escaneos de documentos en el correo. Si hay que conservarlos, que sea en el sistema previsto para ello, con control de acceso y con un borrado programado.
- Documentar el plazo de los tres años y borrar al cumplirlo. Conservar más tiempo del necesario no es prudencia, es una infracción del principio de limitación del plazo de conservación, y amplía el daño de cualquier brecha.
6. Qué pasa el día que hay un incidente
Lo primero que se pregunta la autoridad de control no es si te atacaron, porque eso puede pasarle a cualquiera. Es qué medidas tenías y si eran proporcionadas al riesgo. Y la segunda pregunta es si puedes demostrar lo que ocurrió: qué datos se vieron afectados, de cuántas personas y durante cuánto tiempo.
Responder eso exige dos cosas que hay que tener antes: registros que permitan reconstruir los hechos, y la capacidad de hacer un análisis forense digital con cadena de custodia sobre los sistemas afectados. Un hotel que no conserva registros del PMS ni de la red no puede acotar la brecha, y una brecha que no se puede acotar se notifica entera.
Por eso la auditoría de la red y la preparación de la respuesta van juntas. La primera reduce la probabilidad; la segunda reduce el coste del día malo.
¿Sabes qué hay entre tu WiFi y tu PMS?
En Jaymon Security auditamos la red inalámbrica de establecimientos hoteleros y comprobamos, con evidencia, si desde la red de un huésped se alcanza el sistema donde vive el registro de viajeros.
Consulta el servicio de auditoría de redes WiFi o el de cumplimiento normativo, o llámanos al +34 686 250 244.
Formación relacionada
Si quieres formar a tu equipo en seguridad ofensiva y defensiva, echa un vistazo a nuestros cursos de ciberseguridad.