Protección de datos (RGPD) para empresas turísticas y traveltech

Es obligatorio, entre otros casos, cuando la actividad principal exige una observación habitual y sistemática de personas a gran escala o el tratamiento a gran escala de categorías especiales de datos. Aunque no sea obligatorio, muchas empresas turísticas lo designan por el volumen de datos de viajeros que manejan.

Es un análisis previo obligatorio cuando un tratamiento puede suponer un alto riesgo para los derechos de las personas, por ejemplo por usar nuevas tecnologías, elaborar perfiles a gran escala o tratar datos sensibles. Identifica los riesgos y las medidas para reducirlos.

Sí, con garantías: una decisión de adecuación de la Comisión Europea, cláusulas contractuales tipo u otro mecanismo previsto en el RGPD, además de informar a los viajeros. Hay que revisarlo proveedor a proveedor.

Debe notificarla a la autoridad de control, en España la AEPD, en un máximo de 72 horas desde que tenga constancia, salvo que sea improbable que suponga un riesgo para las personas (artículo 33 del RGPD). Si el riesgo es alto, también debe comunicarla sin dilación a los afectados (artículo 34). Todas las brechas deben documentarse internamente.

Sí, con una base jurídica, informando a los clientes, con un contrato de encargo de tratamiento con el proveedor y, si el tratamiento es de alto riesgo, con una evaluación de impacto. Revisa también si el proveedor usa los datos para entrenar sus modelos y dónde los trata.