• Saltar a la navegación principal
  • Saltar al contenido principal
APDTIC

APDTIC

Consultora especializada en el derecho tecnológico, dispuestos a ayudarte en los nuevos retos digitales.

  • Blog
  • Formación
  • Contacto

Todo sobre nuestra jornada ‘Seguridad y privacidad en el sector turístico’

apdtic.com · Jun 15, 2022 ·

En APDTIC tuvimos el honor de impartir, el pasado miércoles 8 de junio, una sesión titulada ‘Seguridad y privacidad en el sector turístico’ en la Diputación de A Coruña. A cargo de André Castelo, la actividad estuvo enmarcada en el nodo gallego de ciberseguridad CIBER.gal.

Durante las dos horas que duró la charla, tuvimos oportunidad de abordar diversas cuestiones de interés para las agencias, entidades y operadores del sector turístico, en relación con la privacidad, la ciberseguridad y el tratamiento de los datos personales de los viajeros y clientes.

Un momento de la presentación, a cargo de André Castelo (APDTIC).

En estas líneas, resumimos los puntos clave de la sesión, que fue grabada y se puede volver a ver aquí. ¿El objetivo? Reducir la incertidumbre e incrementar la seguridad en un contexto en el que se manejan grandes cantidades de datos de datos personales.

Algunas preguntas sobre ciberseguridad en el trabajo

La sesión comenzó con una serie de preguntas encaminadas a hacer reflexionar a los asistentes acerca de las medidas que actualmente estaban tomando en este sentido. Por ejemplo, se plantearon las siguientes cuestiones, entre otras:

  • ¿Son seguras tus contraseñas de acceso?
  • ¿Gestionas la información confidencial acorde a su clasificación?
  • ¿Sabes si es posible acceder a tu correo o averiguar qué haces en la red?
  • ¿Utilizas tu móvil u ordenador personal para trabajar, aunque sea solo usando el correo
  • ¿De qué forma aseguras tu sistema cuando trabajas?
  • ¿Sabrías actuar ante un problema de seguridad de la información?
  • ¿Conoces qué tipo de datos personales tratas y si los estás gestionando de manera segura y legal?

Como permiten intuir las preguntas, son muchos los aspectos a tener en cuenta al trabajar en este sector. Comenzamos por el que es, quizá, el más importante de todos: la normativa aplicable.

Las leyes, normas y estándares que afectan al sector turístico

En realidad, el sector turístico no es ninguna excepción en lo que a regulación se refiere. Por lo tanto, a las empresas y entidades que lo conforman les corresponde cumplir con las mismas normativas ya establecidas. Entre ellas, destacan:

  • En el ámbito de la protección de datos: el RGPD (Reglamento General de Protección de Datos y la LOPDGDD (Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales).
  • En el ámbito de la seguridad de la información: el ENS (Esquema Nacional de Seguridad) y el Real Decreto 43/2021, de seguridad de las redes y sistemas de información.

En cuanto a los estándares aplicables al sector turístico, debemos fijarnos en los siguientes:

  • ISO 27001.
  • ISO 27002.
  • ISO 27701.

Por último, es importante recordar que en nuestro país hay varias entidades de referencia en la materia, a las que se puede acudir en caso de duda. Son, en concreto, la AEPD (Agencia Española de Protección de Datos), el INCIBE (Instituto Nacional de Ciberseguridad) y el CCN-CERT (Centro Criptológico Nacional).

Medidas preventivas básicas de ciberseguridad

Si trabajas en el sector turístico, has de saber que el INCIBE ha hecho pública esta guía con recomendaciones de ciberseguridad para las empresas del sector turístico. Estos son algunos de los consejos que recoge el documento:

  • Utilizar conexiones VPC seguras.
  • Realizar copias de seguridad en la nube.
  • Identificar a todo aquel que se conecte a la red.
  • Usar antivirus y sistemas de doble autenticación.
  • Mantener actualizados los sistemas.
  • Crear contraseñas únicas y seguras.

Medidas de seguridad para los proveedores de servicios

La responsabilidad en caso de fallo de seguridad es igualmente reclamable a los prestadores de servicios, que en este caso se tienen que acoger a lo que dice el RGPD sobre la seguridad en el tratamiento. Estas son las medidas fundamentales a aplicar:

  • Seudonimización y cifrado de datos personales.
  • Garantía permanente de confidencialidad, integridad, disponibilidad y resiliencia de los sistemas y servicios prestados.
  • En caso de incidente, capacidad para restaurar rápidamente la disponibilidad y el acceso a los datos personales.
  • Procesos de verificación, evaluación y valoración regulares para analizar la eficacia de las medidas técnicas y organizativas y, así, garantizar la seguridad del tratamiento.

Casos prácticos ilustrativos

Los casos que a continuación se comparten ilustran muy bien hasta qué punto es importante cumplir con la normativa vigente en materia de protección de datos en el sector turístico. Para ello, nos centramos en dos casos prácticos en particular:

  • Obligación de comunicar datos de viajeros.
  • Sanción de 30 000 euros por escanear pasaportes.

Obligación de comunicar datos de viajeros

Nos encontramos en este punto con una ley aparte, el Real Decreto 933/2021, que establece cuáles son las obligaciones de información y registro documental para quienes prestan servicios de hospedaje y alquiler de vehículos a motor (Ver Anexo del RD).

Concretamente, se solicitarán los siguientes datos, ni más ni menos:

  • Medio de pago utilizado en la reserva,
  • El número de tarjeta de crédito,
  • La fecha de caducidad de la tarjeta,
  • El número de la cuenta bancaria del titular,
  • Número de teléfono fijo y móvil del viajero,
  • Correo electrónico del viajero,
  • GPS en el supuesto de alquiler de vehículos.

Además, todos estos datos deberán conservarse durante un plazo de tres años. Veremos si toda la polémica que está causando llega finalmente a la Agencia Española de Protección de Datos (AEPD), teniendo en cuenta que la obligación de estas comunicaciones comenzará, si nada cambia, el próximo 2 de enero de 2023.

Sanción de 30 000 euros por escanear pasaportes

Dentro de la obligación de solicitar los datos de los viajeros se incluye la de disponer de su número de DNI o pasaporte. Pues bien, la AEPD ha sancionado recientemente a un hotel por escanear los pasaportes de sus clientes, pues considera que no todos los datos que en él se incluyen son necesarios para la prestación del servicio. En su resolución, se refieren al uso de la fotografía que figura en el documento de los viajeros como un dato innecesario y una medida desproporcionada.

Por su parte, el hotel se defiende alegando que la recogida se realiza para evitar fraudes, pero la AEPD insiste en que hay otros métodos alternativos menos invasivos, como requerir el documento de identidad cada vez que se realice una transacción. Por eso, la resolución de la AEPD obliga a dicho hotel a pagar una multa de 30 000 euros.

Este último ejemplo sea quizás el que mejor representa la importancia de ceñirse a la normativa en el sector turístico. No cabe duda de la buena fe del hotel, pero ello no es impedimento para que la autoridad competente aplique la ley.

Compartir en Twitter Compartir en Facebook Compartir en LinkedIn

APDTIC

¿Quieres estar al día en las cuestiones legales digitales ?



Síguenos en

linkedin Facebook Twitter
APDTIC PROFESIONALES, S.L.

Rúa Hórreo, 22, 1º Oficina B,15701, Santiago de CompostelaTlf: 881 80 50 20

Logo-Esquema-AEPD-DPD_AndreCasteloLogo APEP

Copyright © 2023 APDTIC

Aviso legal Política de Privacidad y Cookies
Canal de denuncias

Gestionar el Consentimiento de las Cookies
Utilizamos tres tipos de cookies para optimizar nuestro sitio web. Te recomendamos aceptar también las cookies de analítica y personalización para una mejor experiencia de navegación.
Funcional Siempre activo
El almacenamiento o acceso técnico es estrictamente necesario para el propósito legítimo de permitir el uso de un servicio específico explícitamente solicitado por el abonado o usuario, o con el único propósito de llevar a cabo la transmisión de una comunicación a través de una red de comunicaciones electrónicas.
Preferencias
El almacenamiento o acceso técnico es necesario para la finalidad legítima de almacenar preferencias no solicitadas por el abonado o usuario.
Analítica
El almacenamiento o acceso técnico que es utilizado exclusivamente con fines estadísticos. El almacenamiento o acceso técnico que se utiliza exclusivamente con fines estadísticos anónimos. Sin un requerimiento, el cumplimiento voluntario por parte de tu Proveedor de servicios de Internet, o los registros adicionales de un tercero, la información almacenada o recuperada sólo para este propósito no se puede utilizar para identificarte.
Personalización
El almacenamiento o acceso técnico es necesario para crear perfiles de usuario para enviar publicidad, o para rastrear al usuario en un sitio web o en varios sitios web con fines de marketing similares.
Administrar opciones Gestionar los servicios Gestionar proveedores Leer más sobre estos propósitos
Ver cookies
{title} {title} {title}