En una frase. Una agencia de viajes trata datos especialmente delicados —pasaportes, visados, salud del viajero, menores— y realiza transferencias internacionales casi inevitables a destinos sin nivel de protección adecuado, de modo que su cumplimiento del RGPD depende de elegir bien la base jurídica de cada finalidad, informar de las transferencias y aplicar garantías del capítulo V.
Puntos clave
- La venta y gestión de un viaje se ampara en el contrato (art. 6.1.b RGPD); el marketing posterior y las fotos exigen consentimiento.
- Enviar pasaporte y datos a un hotel, aerolínea o receptivo fuera del EEE es una transferencia internacional que necesita garantías del art. 46 o una excepción del art. 49.
- Los datos de salud (dietas, movilidad reducida, seguros médicos) son categorías especiales del art. 9 y requieren base reforzada.
- El registro de viajeros del RD 933/2021 afecta a quien presta hospedaje o alquiler de vehículos, no a la mera intermediación, pero las agencias con receptivo propio sí quedan sujetas.
- Los menores en viajes escolares o de fin de curso exigen consentimiento parental para imágenes y datos de contacto.
1. El mapa de finalidades de una agencia
El error de partida más común es tratar toda la relación con el cliente bajo una única base. En realidad, una agencia mezcla al menos cuatro finalidades con bases jurídicas distintas:
| Finalidad | Base jurídica | Datos implicados |
|---|---|---|
| Gestión de reserva y viaje | Contrato (art. 6.1.b) | Identidad, pasaporte, pago |
| Trámites de visado y frontera | Obligación legal / contrato | Pasaporte, antecedentes, biometría |
| Seguro de viaje y asistencia | Contrato + art. 9.2 para salud | Datos de salud, cobertura |
| Marketing y fidelización | Consentimiento (art. 6.1.a) | Contacto, historial de destinos |
Separar estas finalidades en el registro de actividades del tratamiento es el primer paso de cualquier adecuación seria. Sin ese inventario, la agencia no puede acreditar ante la AEPD qué base ampara cada uso.
2. Transferencias internacionales: el núcleo del problema
Una agencia que organiza un viaje a Marruecos, Estados Unidos o Tailandia transmite datos personales a hoteles, aerolíneas y agencias receptivas de esos países. Muchos de ellos no ofrecen un nivel de protección adecuado según la Comisión Europea. Esto activa el capítulo V del RGPD (arts. 44-49).
Las vías realistas son dos:
- Excepción del art. 49.1.b: la transferencia es necesaria para ejecutar el contrato con el interesado (su propio viaje). Esta es la base habitual para enviar los datos del viajero al hotel o a la aerolínea que él mismo ha contratado a través de la agencia.
- Garantías del art. 46 (cláusulas contractuales tipo) cuando la agencia externaliza tratamiento a un proveedor tecnológico o receptivo fuera del EEE de forma estable, no puntual.
La distinción importa: la excepción del art. 49 es para transferencias ocasionales y necesarias para el viaje concreto; no puede convertirse en el cauce ordinario de una externalización sistemática. Para esos casos hay que acudir a las transferencias internacionales de datos bajo el RGPD y firmar cláusulas tipo. En todo caso, la política de privacidad debe informar de las transferencias y de su base, algo que la AEPD verifica sistemáticamente.
3. Datos de salud y categorías especiales
Los cuestionarios de viaje piden con frecuencia datos del art. 9: alergias alimentarias, movilidad reducida, condiciones médicas para seguros o cruceros. La regla es que el consentimiento explícito o la necesidad para el contrato de asistencia (art. 9.2.h para seguros médicos) legitiman el tratamiento, pero solo para esa finalidad y con minimización estricta.
No es admisible conservar el historial médico del viajero para futuras campañas ni cederlo a terceros sin base propia. Cuando el tratamiento de salud es sistemático y a gran escala, conviene valorar una evaluación de impacto en protección de datos.
4. Menores y viajes escolares
Los viajes de estudios, campamentos y excursiones implican datos de menores. Para las imágenes y su publicación en redes o catálogos se necesita el consentimiento de los titulares de la patria potestad; en España el menor puede consentir por sí mismo tratamientos ordinarios a partir de los 14 años (art. 7 LOPDGDD), pero la difusión de su imagen exige garantías reforzadas y, en la práctica, autorización parental. Los modelos de recogida deben ajustarse a los ejemplos de consentimiento conforme al RGPD.
5. Registro de viajeros y frontera con el hospedaje
El Real Decreto 933/2021 obliga a comunicar datos de viajeros a través de la plataforma SES.Hospedajes a quienes prestan alojamiento o alquiler de vehículos sin conductor. Una agencia que solo intermedia no queda sujeta a esa obligación documental, pero si opera receptivo, apartamentos turísticos propios o transporte, sí. Esta obligación se solapa con el RGPD: la base es la obligación legal (art. 6.1.c) y los datos no pueden reutilizarse para marketing. El detalle operativo lo cubrimos en la guía de RGPD para hoteles y turismo en España; para la restauración asociada, en la de RGPD para hostelería y restauración.
6. Qué mira la AEPD y cómo evitar sanción
Las agencias comparten focos de riesgo con todo el sector turístico: exceso de datos en formularios, escaneo íntegro del DNI o pasaporte sin necesidad, falta de información sobre transferencias y marketing sin consentimiento. Las resoluciones del sector turístico se recopilan en las sanciones AEPD en hostelería y turismo. El importe de las multas del RGPD se explica en la guía general de sanciones del RGPD.
Un kit mínimo de cumplimiento para una agencia incluye: registro de actividades, política de privacidad con transferencias declaradas, cláusulas informativas en formularios de reserva, contrato de encargado con el software de gestión y procedimiento de derechos. Herramientas como Legiscope ayudan a mantener ese registro y la documentación de transferencias actualizados sin depender de hojas de cálculo dispersas.
Véase también, para sectores con obligaciones de protección de datos similares: RGPD para peluquerías y centros de estética, RGPD para gimnasios y centros deportivos y RGPD para talleres mecánicos.
FAQ
¿Necesita una agencia de viajes el consentimiento del cliente para gestionar su reserva?
No para la gestión del viaje en sí: la base es el contrato (art. 6.1.b RGPD). El consentimiento solo se exige para finalidades voluntarias como el marketing, la fidelización o la publicación de fotos. Confundir ambas cosas y pedir consentimiento para todo debilita la posición de la agencia, porque un consentimiento retirado no puede impedir ejecutar el contrato ya firmado.
¿Es legal enviar el pasaporte del cliente a un hotel o aerolínea extranjera?
Sí, cuando es necesario para prestar el servicio que el propio cliente ha contratado, amparándose en la excepción del art. 49.1.b RGPD para transferencias necesarias para la ejecución del contrato. Debe informarse de esa transferencia en la política de privacidad y limitar los datos a los imprescindibles.
¿Qué pasa con los datos de salud que pide un seguro de viaje?
Son categorías especiales del art. 9 RGPD. Se tratan sobre la base de la necesidad para el contrato de seguro o el consentimiento explícito, con minimización estricta y sin reutilización para otras finalidades. La conservación debe limitarse al periodo necesario para la asistencia y las reclamaciones.
¿Puede una agencia publicar fotos de un viaje de fin de curso?
Solo con consentimiento. En imágenes de menores se requiere autorización de los titulares de la patria potestad, y cualquier persona identificable puede oponerse. Sin ese consentimiento la publicación en web o redes es un tratamiento sin base jurídica sancionable por la AEPD.
Para profundizar en obligaciones comunes a cualquier pyme del sector, consulta el cumplimiento básico del RGPD para pymes.
Referencias oficiales: AEPD, Reglamento General de Protección de Datos (EUR-Lex), LOPDGDD (BOE).
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial