El dueño de este Airbnb te explica el caos técnico detrás del 'Gran Hermano' de Marlaska

El sector turístico navega en aguas turbulentas con la llegada del nuevo registro de viajeros obligatorio. La medida, que exige recopilar una larga lista de datos personales, incluidos algunos bastante sensibles, ha encendido alarmas en empresas y profesionales de la industria. Muchas agencias de viajes y hoteles independientes aún no tienen claro cómo implementar el sistema en sus operaciones diarias. La pregunta que se hacen es si se trata de un proceso realmente necesario o solo un quebradero de cabeza más. Y lo que es más importante, si es posible llevarlo a cabo técnicamente en un sector donde el 90% de las empresas son pymes y tienen poca o ninguna capacidad tecnológica.

Antonio Salas (nombre ficticio) lleva años poniendo en alquiler habitaciones en Airbnb. Se enteró de la nueva normativa por un vídeo en TikTok. “Llevo años usando la aplicación y no nos habían dado ningún aviso. Por lo visto, debo hacer el registro manualmente”, comenta. Entre sus nuevas obligaciones, está la de introducir en la plataforma del Ministerio del Interior, Ses.Hospedajes, una retahíla de datos personales (13 obligatorios y 42 en total, para ser exactos) de sus clientes y su residencia entre los que se encuentra el nombre, apellidos, DNI, información de contacto, detalles financieros, e incluso el parentesco con otros viajeros menores. Si no lo hace, se podría enfrentar a multas de hasta 30.000 euros. “¿Cómo voy a guardar toda esa información de cientos de personas durante tres años?”, se pregunta.

Nadie le ha dicho cómo tiene que proceder. Tampoco si tiene que custodiar los datos él mismo o si se encarga la plataforma. Fuentes internas de Airbnb explican a este diario que han mandado “diversas comunicaciones a todos los anfitriones en España” donde se les ha recordado la necesidad de familiarizarse con las nuevas obligaciones y cumplir con todos los nuevos requisitos que apliquen en cada caso. También que han elaborado una sección en el apartado de preguntas frecuentes “enfocado a resolver dudas” sobre la información que deben facilitar y cómo deben comunicar los datos a la Policía.

Como Salas, miles de usuarios habituales de Airbnb o de otras plataformas de hospedaje se despertaron hace dos días con la noticia de la entrada en vigor del Real Decreto 933/2021. El Ministerio del Interior defiende que este registro es crucial para la lucha contra el terrorismo. Y para ello tienen que cumplir todos los implicados del sector turístico: establecimientos de alojamiento como hoteles, hostales, pensiones, casas de huéspedes, turismo rural, campings, zonas de autocaravanas, apartamentos, bungalows, etc. También se incluyen las empresas de alquiler de vehículos y los operadores turísticos que hacen de intermediarios (como Booking).

Sin embargo, el caos inicial no ha hecho más que aumentar por la falta de una orden ministerial que desarrolle los detalles del decreto. Según fuentes del Ministerio, el texto complementario estará listo "en un par de semanas". Mientras tanto, ha dejado al sector en el limbo y a muchos particulares sin saber cómo organizarse. Todo esto ha desatado una guerra entre el sector turístico y el Gobierno. Desde la Mesa del Turismo se denuncia que los hoteles y agencias de viajes se convierten así en “policías que preguntan hasta por la relación de los huéspedes (esto solo aplica si hay menores)". También critican la elevada carga burocrática (inasumible para los pequeños operadores) y la posible vulneración de privacidad. En cambio, los de Marlaska afirman que se está exagerando con el tema, que “eran datos que ya se pedían” y que “se avisó con tiempo” al sector.

TE PUEDE INTERESAR

De falsa alarma a 'agujero' en Interior: las teorías del supuesto 'hackeo' a la Agencia Tributaria

Manuel Ángel Méndez

“No es de recibo esta forma de legislar, dándole la espalda y sin contar con quienes tienen que aplicar la normativa. Lo primero, se pone en marcha un servicio que falla más que una 'escopeta de feria', cuando han tenido desde el año 2021 para perfeccionarlo. Yo ya he hecho una ronda de llamadas a varios empresarios y me han dicho que está siendo un desastre, que siguen teniendo muchas dificultades para poder transmitir la información y que no saben cómo implantar los procesos en sus organizaciones”, explica a El Confidencial Agustín Almodóbar Barceló, senador en las Cortes Generales de España y portavoz de turismo del Partido Popular en el Congreso.

Tampoco está claro el perjuicio que esta obligación va a suponer para un sector compuesto en su mayoría por empresas familiares que no puedan asumir el coste operativo y administrativo que conlleva. Con este decreto, se les obliga a conservar esta información durante tres años. Y la pregunta que surge es: ¿bajo qué condiciones de seguridad? Según Almodóbar, algunas grandes empresas pueden disponer de más opciones para hacer frente a este cambio: “Los Meliá tendrán un gran sistema informático, pero un pequeño hotel o un particular que maneja un sistema doméstico lo va a tener más complicado. La mayoría no tiene los medios adecuados ni capacidad de adaptación tecnológica".

Entre los riesgos derivados está la recopilación y almacenamiento de datos personales sensibles. La acumulación de grandes volúmenes de datos personales aumenta también el riesgo de robo y ciberdelincuencia. Estamos hablando de miles de pequeños negocios registrando datos de usuarios en equipos sin seguridad, con sistemas operativos desfasados y sin actualizar. “El Registro de Viajeros da miedo. Tantas preguntas y demasiadas dudas… Gran cantidad de información con poca o ninguna protección. Todo en nombre de la seguridad contra el terrorismo. Ojo, que vienen leaks…”, asegura el experto en ciberseguridad y CEO de Vulnex, Simon Roses.

Roses lleva años trabajando con algunas cadenas hoteleras importantes y señala que los ciberataques han estado creciendo recientemente en el sector. Ahora, con todos esos datos encima de la mesa, podrían duplicarse: "No solo nos vamos a enfrentar al ransomware tradicional, donde los ciberdelincuentes 'secuestran' los datos y piden un rescate, sino que también vamos a ver muchos casos en los que venden los datos directamente a terceros, como ha pasado con Hacienda", comenta. "Y luego hay un coste de infraestructura. A los pequeños hoteles que usan libretas en papel a modo de registro les hablas de que ahora tienen que tener servidores en la nube y se quedan boquiabiertos", añade.

“Esos datos son un 'caramelito' para cualquier hacker. Y cuando se roben, ¿quién se va a hacer cargo? ”, señala a este diario Borja Adsuara, abogado y experto en protección de datos. “El sector hotelero lleva años trabajando en sistemas para encapsular y blindar los datos financieros de sus clientes y ahora llega el Gobierno y les obliga a sacarlos de ahí para ponerlos en una plataforma de la Policía o para mantenerlos en sus ordenadores corporativos durante años. No tiene sentido”, añade. Según Adsuara, hay muchas dudas y muchos problemas prácticos de aplicación: "Pero a mí lo que me preocuparía es que al final se haga un debate sobre cómo hacerlo y no sobre por qué hay que hacerlo, cuando no está justificado y es desproporcionado".

TE PUEDE INTERESAR

Pedirte la huella para entrar a un estadio o al 'gym' es una pésima idea. Ahora te puedes negar

Albert Sanchis

Según apuntan varios juristas, se trata de recopilar datos personales que no aparecen ni en el DNI ni en el pasaporte, y cuya recogida en masa puede contravenir distintas disposiciones europeas. La Justicia europea ya se pronunció sobre un caso similar hace dos años. El 21 de junio de 2022, el TJUE dictó una sentencia en la que establecía que sólo podría considerarse un sistema de recogida y tratamiento de datos a nivel nacional si esta recogida respeta el Derecho de la UE, donde la protección de datos de carácter personal como el respeto a la intimidad personal y familiar son derechos fundamentales.

"Cuando se limitan derechos fundamentales, los límites y las garantías deben estar en la propia ley orgánica, no en un reglamento de desarrollo. El decreto no tiene rango suficiente para limitar un derecho fundamental que es el derecho a la intimidad y además sin establecer las garantías oportunas de nuestros derechos fundamentales. Es decir, que desde el punto de vista jurídico también tiene sus carencias", explica Adsuara.

TE PUEDE INTERESAR

"No voy más a España": los británicos se rebelan contra las nuevas reglas de hospedaje

Celia Maza. Londres

Y hace hincapié en que uno de los principios básicos de protección de datos es precisamente el principio de minimización de datos, que quiere decir que tú sólo puedes pedir los datos imprescindibles para la presentación y la facturación del servicio: "No puedes preguntarle a alguien qué ha hecho esta mañana. O si le gusta la tortilla de patatas con o sin cebolla, porque eso no lo necesita un hotelero para un servicio de alojamiento".

"En la mayoría de países de la UE lo único que le piden a la persona que contrata el servicio es que se identifique con el DNI y la tarjeta de crédito para pagar. No los 42 datos que tienen que recabar ahora, que tiene más que ver con los tiempos de Franco, cuando se pedía el libro de familia para que un hombre no se fuera con la 'churri' a un hotel y no con su santa esposa. Además, ¿por qué tiene que saber la Policía con quién me acuesto yo en un hotel? A lo mejor es el momento de replantearse por qué hay que dar estos datos a las autoridades. ¿Por qué no se lo piden también a las operadoras de telecomunicaciones o a los restaurantes, que también los usan los delincuentes? No hay argumentos suficientes”, concluye Adsuara.