RGPD y agencias de viajes: qué tenés que cumplir con los datos de tus pasajeros

Una agencia de viajes maneja, en el día a día, datos personales bastante más sensibles que los de un e-commerce cualquiera: pasaportes, DNI, fechas de nacimiento, contactos de emergencia, a veces datos de salud si hay un seguro de viaje de por medio. Y ese tipo de datos suele terminar guardado en el lugar más a mano, una carpeta de Drive, un Excel, la bandeja de entrada del email, más que en un sistema pensado para protegerlos.

El RGPD no es un trámite que se resuelve con un aviso de cookies en la web. Para una agencia, tiene implicaciones concretas.

Qué datos entran en juego

En un viaje típico, una agencia termina con: nombre completo y DNI/pasaporte de cada pasajero, fechas y datos de contacto, a veces menores de edad viajando con adultos que no son sus padres, información de seguros de viaje, y el itinerario completo, que de por sí revela dónde va a estar una persona en cada momento durante el viaje.

Eso ya alcanza para que aplique el RGPD con todo su peso, no la versión liviana.

Las obligaciones que importan en la práctica

• Base legal para tratar los datos. Normalmente es la ejecución del contrato de viaje, no hace falta pedir un consentimiento aparte para gestionar la reserva en sí, pero sí para usos adicionales (marketing, por ejemplo).
• Minimización. Pedir y guardar solo lo que hace falta para el viaje, no todo lo que el proveedor te mande "por las dudas".
• Seguridad del almacenamiento. Un pasaporte escaneado en una carpeta de Drive compartida, sin control de acceso ni cifrado, es exactamente el tipo de situación que el RGPD busca evitar.
• Derecho de acceso y portabilidad. Un cliente puede pedir una copia de sus datos, en un formato que pueda llevarse a otro lado.
• Derecho de supresión ("derecho al olvido"). Si alguien pide que se borren sus datos, hay que poder borrarlos de verdad, no solo desactivar una cuenta y dejar todo lo demás intacto.
• Plazos de conservación definidos. No guardar datos indefinidamente "por si acaso"; y sí conservar lo que la ley fiscal obliga (facturación, típicamente varios años), pero nada más que eso.

Dónde suele fallar esto en la práctica

El punto más común no es la mala intención, es la dispersión. Los datos de un mismo cliente terminan repartidos entre el email, un Excel de seguimiento, una carpeta compartida de documentos escaneados y, a veces, el chat de WhatsApp. Cuando alguien pide que se borren sus datos, no hay una sola acción que lo resuelva: hay que acordarse de todos los lugares donde quedaron copias.

Eso es, en el fondo, lo que un software de gestión debería resolver: que borrar una cuenta borre efectivamente los datos asociados, el viaje, los documentos subidos, los contactos, no solo el acceso al panel.

Qué mirar si estás evaluando un software para tu agencia

Antes de subir pasaportes y DNI de tus clientes a cualquier herramienta, tiene sentido preguntar directamente: ¿dónde se almacenan los datos? ¿Qué pasa exactamente cuando se borra una cuenta? ¿Se puede pedir una exportación de los propios datos? Si la respuesta no es clara o inmediata, es una señal.

No es un tema para resolver "en algún momento". Es parte de lo que tu cliente te está confiando cuando te da su pasaporte para reservar un viaje.