Protección datos personales: guía práctica

En 2025, la Agencia Española de Protección de Datos recibió 30.931 reclamaciones, el máximo histórico y un 64% más que el año anterior. En ese mismo periodo, los procedimientos sancionadores o de apercibimiento relacionados con brechas de datos personales subieron un 157%, de 30 a 77 casos (AEPD). Para un hotel, un parking, una flota o una empresa que instala cargadores de vehículos eléctricos, la protección de datos personales ya no es un documento legal archivado. Es una disciplina operativa que afecta a cámaras, matrículas, tarjetas, aplicaciones, pagos, accesos y registros de carga.

El panorama actual de la protección de datos en España

La gestión diaria de una cámara, una matrícula o una tarjeta de acceso puede generar una reclamación si la empresa no ha definido con precisión qué recoge, para qué lo utiliza y cuándo debe eliminarlo. En 2025, la Agencia Española de Protección de Datos recibió 30.931 reclamaciones, un 64 % más que el año anterior (AEPD). La cifra afecta a cualquier organización que opere con hoteles, parkings, flotas, puntos de recarga o sistemas de control de accesos.

El impacto se concentra en procesos muy concretos. Una cámara puede captar zonas que no necesita grabar, un sistema de parking puede conservar matrículas sin motivo documentado y un proveedor de software puede mantener acceso remoto después de terminar una intervención. En una estación de carga de vehículos eléctricos, el identificador del usuario, el historial de sesiones, los datos de pago y la matrícula pueden quedar conectados en una misma plataforma.

La AEPD registró 2.765 notificaciones de brechas de seguridad en 2025 (AEPD). Una brecha no exige siempre un ataque sofisticado. También puede producirse por una descarga de imágenes sin autorización, una cuenta compartida entre técnicos, un archivo exportado a un ordenador personal o un proveedor que consulta registros ajenos a su servicio.

Una obligación consolidada, no una moda

El marco español tiene una evolución definida. La Ley Orgánica 15/1999 quedó derogada con la entrada en vigor de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, vigente desde el 7 de diciembre de 2018. Para los tratamientos relacionados con fines penales, la Ley Orgánica 7/2021 estableció un régimen específico, vigente desde el 16 de junio de 2021 (BOE).

Para una empresa, este marco se traduce en controles verificables. Debe identificar los tratamientos, asignar responsables, justificar el acceso de cada proveedor, fijar plazos de conservación, proteger las cuentas y dejar constancia de las decisiones. El cumplimiento falla cuando recepción, mantenimiento, soporte o administración trabajan con criterios distintos.

Criterio operativo: si el personal no puede explicar qué datos registra un sistema, quién los consulta y cuándo se borran, la organización no tiene control suficiente sobre ese tratamiento.

La videovigilancia figura entre las áreas con más procedimientos sancionadores o de apercibimiento comunicados por la AEPD en 2025, junto con brechas de seguridad, comercio, transporte y hostelería (AEPD). El riesgo aumenta cuando la infraestructura física y las aplicaciones funcionan sin una revisión conjunta. Una cámara instalada junto a un cargador, por ejemplo, debe analizarse junto con los registros de acceso, los pagos y la identificación de la sesión.

Las empresas que combinan servicios energéticos, movilidad y atención al público pueden consultar esta guía sobre normativa nacional de protección de datos para revisar las obligaciones españolas aplicables a sus procesos. La recomendación práctica es clara: convertir cada equipo físico y cada plataforma asociada en un tratamiento documentado, con acceso limitado, conservación definida y un responsable identificable.

Conceptos esenciales del GDPR y la normativa española

El GDPR, conocido en español como Reglamento General de Protección de Datos, es la norma europea que establece cómo deben tratarse los datos personales. La LOPDGDD adapta ese marco al contexto español y desarrolla aspectos nacionales, como derechos digitales, reglas específicas y determinadas edades o relaciones jurídicas.

Un dato personal es cualquier información que identifica o puede identificar a una persona. El nombre y el correo electrónico son ejemplos evidentes. También pueden serlo una matrícula vinculada a un cliente, una tarjeta de acceso, una grabación de voz, una dirección IP o el historial de uso de un cargador cuando permite relacionar la sesión con una persona.

Tratamiento significa hacer algo con esos datos. Recopilarlos, almacenarlos, consultarlos, compartirlos, modificarlos y eliminarlos son tratamientos. Por eso, un parking trata datos cuando registra una matrícula, un hotel cuando gestiona una reserva y una empresa cuando asigna una tarjeta de carga a un empleado.

Quién responde y con qué base

El responsable del tratamiento decide para qué se usan los datos y cómo se organiza ese uso. Un hotel suele ser responsable de los datos de sus huéspedes. El encargado del tratamiento actúa por cuenta del responsable, por ejemplo, un proveedor que aloja el software, gestiona el CPMS o presta mantenimiento remoto.

Cada tratamiento necesita una base jurídica. Las opciones habituales incluyen la ejecución de un contrato, una obligación legal, el interés legítimo o el consentimiento. No conviene utilizar el consentimiento por defecto. Si el acceso al parking depende del contrato de estacionamiento, quizá el tratamiento necesario para prestar el servicio no deba presentarse como una autorización opcional de marketing.

La transparencia no consiste en esconder una política extensa detrás de un enlace. El usuario debe entender qué se recopila, para qué, con quién se comparte y cuánto tiempo se conserva. Como referencia útil para explicar este enfoque puede consultarse esta guía sobre transparencia con tus datos personales. En proyectos con cargadores, conviene documentar también los flujos de información entre el punto de carga, el CPMS, la pasarela de pago y las plataformas externas. La seguridad de los datos en infraestructuras de movilidad debe formar parte del diseño, no añadirse después de la instalación.

Aplicación práctica en entornos con infraestructura física

Un parking de hotel puede tener cámaras en las rampas, lectores de matrícula, barreras, cargadores, pagos digitales y una aplicación de reservas. Para el usuario, todo parece un único servicio. Para el responsable de cumplimiento, son varios tratamientos conectados, con finalidades, proveedores y permisos diferentes.

La primera decisión correcta es separar las finalidades. La cámara sirve para seguridad, el lector de matrícula puede gestionar la entrada, el cargador necesita controlar una sesión y la aplicación puede procesar una reserva. Mezclar todos esos datos en una base general porque “pueden ser útiles” es una mala práctica.

Minimizar antes de comprar más tecnología

La AEPD resume el principio de minimización con una regla sencilla, “solo lo preciso”. La organización debe tratar únicamente los datos necesarios para cada finalidad y reducir también el tiempo de conservación. Cuando dejan de ser necesarios, deben borrarse, bloquearse o anonimizarse (AEPD).

En un parking, eso significa revisar si hace falta guardar la matrícula completa durante todo el ciclo comercial o si basta con conservar la información imprescindible para resolver una incidencia, facturar o atender una obligación. En una flota, quizá el sistema necesite identificar el vehículo y el conductor autorizado, pero no registrar datos personales adicionales que no influyen en la carga.

Cámaras, accesos y cargadores

El cartel de videovigilancia debe estar visible antes de que la persona entre en la zona vigilada. Debe indicar que existe tratamiento, identificar al responsable y orientar sobre dónde obtener información adicional. El cartel no sustituye al análisis de finalidad ni autoriza a grabar cualquier espacio.

En un hotel, el control de accesos debe permitir comprobar quién puede entrar sin convertir cada movimiento en un expediente permanente. En un sistema de carga, el CPMS puede necesitar un identificador de usuario, datos de sesión y elementos de facturación. El proveedor no debería recibir acceso abierto a reservas, imágenes o información de empleados si solo necesita revisar el estado de un cargador.

Los consentimientos también deben mantenerse separados. Aceptar las condiciones de una reserva no equivale automáticamente a aceptar comunicaciones comerciales, análisis de comportamiento o reutilización de datos para otra finalidad. En instalaciones compartidas, el hotel, el operador del parking, la empresa de movilidad y el proveedor tecnológico deben definir quién informa, quién responde y quién puede acceder.

Regla práctica: una cámara, una barrera y un cargador pueden compartir espacio físico, pero no tienen por qué compartir la misma base de datos.

Medidas técnicas y organizativas que realmente funcionan

La protección eficaz empieza con un inventario sencillo. Para cada sistema, la empresa debe registrar qué datos entran, quién los consulta, dónde se alojan, qué proveedor interviene, cuál es la finalidad y qué ocurre cuando el tratamiento termina.

Configuración técnica con criterio

Cifrado: protege los datos durante la transmisión y el almacenamiento. Las conexiones entre cargadores, CPMS, aplicaciones y servicios de pago deben estar protegidas, y las copias exportadas no deben circular sin control.

Control de accesos: asigna permisos según funciones. El recepcionista necesita gestionar una reserva, el técnico necesita diagnosticar un cargador y el responsable financiero necesita revisar facturación. Ninguno necesita ver todo el sistema.

Seudonimización: sustituye identificadores directos por códigos cuando el equipo técnico no necesita conocer la identidad del usuario. Esto resulta útil para analizar sesiones de carga o disponibilidad sin exponer nombres.

Copias de seguridad: deben estar protegidas, probadas y separadas de los sistemas operativos. Una copia que nunca se ha restaurado no demuestra capacidad de recuperación.

Monitorización: registra accesos, cambios de permisos, exportaciones y acciones administrativas. Los registros ayudan a detectar usos indebidos y a reconstruir lo ocurrido durante un incidente.

El CPMS merece una revisión específica. Hay que comprobar si permite perfiles diferenciados, trazabilidad de acciones, exportaciones limitadas, eliminación de usuarios y gestión de proveedores. Los protocolos OCPP y OCPI también deben entenderse en términos sencillos. OCPP permite que el cargador se comunique con el sistema de gestión, mientras OCPI facilita el intercambio de información con otras plataformas de movilidad. Esa interoperabilidad no elimina la obligación de controlar qué datos viajan y con qué finalidad.

Organización, proveedores y personas

El contrato con cada proveedor debe definir instrucciones, confidencialidad, seguridad, subcontratación, devolución o eliminación de datos y asistencia ante derechos o incidentes. No basta con contratar una plataforma conocida si nadie ha revisado sus accesos, ubicación de datos o condiciones de reutilización.

La formación debe ser concreta. Un empleado tiene que saber que no puede enviar una captura de cámara por un grupo informal, compartir credenciales, descargar listados completos o responder a una solicitud de acceso sin verificar la identidad. Evenergia puede integrarse en esta arquitectura como operador de infraestructura, con gestión de cargadores, monitorización, pagos, informes y mantenimiento, pero cada proyecto debe asignar claramente las responsabilidades entre cliente, operador y proveedores.

Gestión de derechos de los interesados en la práctica

Una solicitud de acceso no debe quedarse en el correo de recepción. El cliente puede preguntar si la empresa trata sus datos, para qué los utiliza, qué categorías recoge, a quién los comunica, cuánto tiempo prevé conservarlos y cuál es el origen cuando los datos proceden de terceros (AEPD).

El procedimiento práctico debe funcionar incluso cuando los datos están repartidos entre el PMS del hotel, el CPMS, la pasarela de pago, la aplicación móvil y una plataforma de movilidad. El empleado que recibe la solicitud no tiene que resolverla solo, pero sí debe registrarla y activar el circuito correcto.

Un flujo que evita respuestas improvisadas

1. Registrar la solicitud: anota la fecha, el canal, la persona que la recibe y el derecho solicitado. Un mensaje como “quiero saber qué datos tenéis sobre mí” debe tratarse como una posible solicitud de acceso.

2. Verificar la identidad: pide únicamente la información necesaria para evitar entregar datos a otra persona. La verificación debe ser proporcional y no convertirse en una barrera injustificada.

3. Localizar los sistemas: consulta las fuentes relevantes. La respuesta puede exigir coordinar al hotel, al operador del parking, al proveedor de pagos y al gestor de movilidad.

4. Evaluar excepciones y alcance: separa los datos del solicitante de la información de terceros, secretos empresariales o elementos que no puedan comunicarse. Documenta la decisión.

5. Responder y conservar evidencia: entrega una respuesta clara, segura y comprensible. Guarda la solicitud, las comprobaciones, los sistemas consultados y la respuesta final.

El personal debe distinguir entre acceso, rectificación, supresión, oposición, portabilidad y limitación. También debe entender que borrar un registro puede entrar en conflicto con una obligación de conservación, mientras que limitar el tratamiento puede permitir mantenerlo bloqueado sin utilizarlo para nuevas finalidades.

Respuesta profesional: no prometas borrar todo antes de revisar la finalidad, la obligación aplicable y la presencia de datos de otras personas.

Checklist de cumplimiento para organizaciones

Usa esta lista para realizar una revisión operativa, no una comprobación documental superficial. Marca cada punto solo cuando exista evidencia verificable.

• Mapa de tratamientos: documenta reservas, accesos, videovigilancia, pagos, cargas, aplicaciones y atención al cliente.
• Base jurídica: relaciona cada finalidad con una base jurídica y elimina consentimientos genéricos que mezclen servicios.
• Carteles y transparencia: revisa la señalización de cámaras, formularios, aplicaciones y terminales de carga.
• Proveedores: comprueba contratos, subcontratistas, permisos, ubicación de datos y asistencia ante incidentes o derechos.
• Minimización: elimina campos innecesarios y configura plazos de conservación coherentes con cada finalidad.
• Permisos: crea perfiles separados para recepción, operaciones, mantenimiento, finanzas y administración técnica.
• Trazabilidad: conserva registros de accesos, exportaciones, cambios de configuración y acciones privilegiadas.
• Derechos: establece un formulario interno y un circuito para verificar identidad, localizar datos y responder de forma segura.
• Formación: entrena a recepción, seguridad, mantenimiento y soporte con ejemplos de su propio entorno.
• Incidentes: define quién detecta, escala, investiga y documenta una brecha, incluyendo fallos de proveedores.
• Auditoría: programa una auditoría de seguridad para la infraestructura y convierte sus hallazgos en tareas con responsable.

Para comparar cómo se presenta esta información en otros sectores sensibles, puede servir como referencia esta página sobre protección de datos personales de una clínica oftalmológica. El principio es el mismo: informar con claridad, limitar el acceso y demostrar que la organización controla el tratamiento.

La protección de datos personales se gana en la configuración diaria. En 2026, un hotel o un parking que conecte cámaras, accesos, pagos y carga de vehículos eléctricos necesita una arquitectura documentada, permisos limitados y un procedimiento de respuesta que el personal pueda ejecutar sin improvisar.