Actualidad RGPD · Hoteles y plataformas de reservas
El informe de la Agencia Española de Protección de Datos sobre las brechas notificadas en julio de 2026 destaca el aumento de incidentes relacionados con establecimientos hoteleros y sus proveedores de software de reservas. Los accesos ilegítimos permiten utilizar datos reales de huéspedes para solicitar pagos fraudulentos.
Publicado el 14 de septiembre de 2026 · Autoría: Álvaro Ruipérez · Contenido informativo
Qué ha observado la AEPD
¿Quieres saber qué implica para tu empresa?
Álvaro Ruipérez puede revisar el impacto práctico de esta novedad en tus tratamientos, contratos y sistemas de IA.
El informe mensual de julio de 2026 recoge 919 notificaciones de brechas de datos personales. La AEPD señala expresamente que los incidentes vinculados a establecimientos hoteleros y encargados del tratamiento, generalmente proveedores de software de gestión de reservas, contribuyeron en gran medida al aumento de notificaciones de los últimos meses y especialmente de julio.
El patrón descrito es concreto. Un tercero no legitimado accede a información de clientes que han reservado. Después contacta mediante el portal de reservas, correo electrónico u otros servicios de mensajería, afirma que existe un problema con el pago y solicita una nueva operación. El fraude gana credibilidad porque el mensaje contiene información auténtica de la estancia.
La estadística no significa que los 919 casos procedan de hoteles. Es el total de notificaciones recibidas en julio. La relevancia sectorial deriva de que la propia AEPD identifica los incidentes de hoteles y sistemas de reservas como uno de los factores destacados del incremento.
Por qué el hotel mantiene responsabilidad
Externalizar la gestión de reservas no externaliza la responsabilidad sobre los datos. El hotel suele determinar para qué se recaban los datos de huéspedes y actúa como responsable. El proveedor puede actuar como encargado cuando trata la información siguiendo instrucciones documentadas.
El artículo 28 del RGPD exige seleccionar encargados que ofrezcan garantías suficientes. Esto obliga a ir más allá de un contrato estándar: deben revisarse autenticación, perfiles, registros de actividad, respuesta a incidentes, subencargados, copias de seguridad y capacidad de colaboración. La AEPD recuerda que los establecimientos solo deben utilizar servicios capaces de garantizar una seguridad adecuada.
Artículo 24
La responsabilidad proactiva exige aplicar medidas apropiadas y revisarlas cuando cambie el riesgo.
Artículo 32
La seguridad debe ser adecuada al riesgo. La AEPD menciona la autenticación de doble factor efectiva.
Artículo 33
Si existe riesgo, la notificación debe realizarse sin dilación y, cuando sea posible, en 72 horas.
Artículo 34
Si existe alto riesgo, debe informarse a los huéspedes con lenguaje claro y útil.
Qué debe hacer un hotel antes del incidente
- Exigir autenticación multifactor a empleados, administradores y proveedores.
- Eliminar cuentas compartidas y limitar permisos a funciones reales.
- Revisar contrato de encargo, subencargados y tiempos de comunicación.
- Activar registros y alertas ante inicios anómalos, exportaciones o cambios masivos.
- Formar a recepción, reservas, administración y dirección frente a phishing.
- Definir un canal de emergencia con el proveedor fuera del horario ordinario.
- Preparar avisos para huéspedes en varios idiomas.
- Probar el procedimiento y conservar evidencias de los simulacros.
Protocolo para las primeras 72 horas
La primera actuación es contener el acceso sin destruir evidencias. Deben preservarse registros, identificar cuentas comprometidas, bloquear sesiones y coordinarse con el proveedor. En paralelo, el equipo debe determinar qué datos estaban disponibles, qué personas pueden estar afectadas, desde cuándo existe el acceso y si los atacantes han contactado con huéspedes.
La evaluación jurídica debe documentar probabilidad y gravedad. El uso de datos reales para inducir pagos eleva el riesgo de fraude, suplantación y pérdida económica. No debe esperarse a cerrar toda la investigación forense: puede efectuarse una notificación inicial y ampliarla después. La denuncia policial de posibles delitos y la gestión de la brecha conforme al RGPD son actuaciones distintas y compatibles.
Checklist para hoteles y software de reservas
- Inventario de sistemas, portales, integraciones y cuentas.
- Responsable interno para coordinar privacidad, seguridad y operaciones.
- MFA obligatorio y técnicamente exigido.
- Contrato del artículo 28 y lista de subencargados.
- Plazo contractual breve para comunicar incidentes.
- Matriz para valorar notificación y comunicación.
- Plantillas de aviso claras para huéspedes.
- Registro de decisiones, medidas, tiempos y evidencias.
- Revisión de causas y plan de corrección con responsables.
Preguntas frecuentes
¿Todo ataque al sistema de reservas debe notificarse a la AEPD?
No. Depende de si existe una brecha de datos personales y del riesgo. Incluso cuando no se notifica, el incidente y la decisión deben documentarse.
¿Basta con que el proveedor active doble factor?
No. Debe estar implantado y utilizarse en todas las cuentas relevantes. También deben revisarse permisos, registros, sesiones, formación y respuesta.
¿Quién debe avisar a los huéspedes: el hotel o la plataforma?
Depende de los roles y del incidente. El responsable debe asegurar la comunicación exigida por el artículo 34 y el contrato debe definir la colaboración.
Fuentes oficiales
- AEPD · Informe de brechas de julio de 2026, publicado en agosto de 2026.
- AEPD · Notificaciones de brechas de datos personales, actualización de 17 de agosto de 2026.
- Reglamento (UE) 2016/679, artículos 24, 28, 32, 33 y 34.
Fuentes consultadas el 14 de septiembre de 2026. Contenido general e informativo; no sustituye el análisis de un incidente concreto.
Valora tu caso con Álvaro Ruipérez Candón
Cuéntanos qué tratamiento, proveedor o sistema digital necesitas revisar y te indicaremos el siguiente paso.
ScandoUp asesora a empresas en protección de datos, contratación tecnológica y respuesta a brechas. Consulta el área nacional de derecho digital y el perfil de Álvaro Ruipérez.