Brecha de datos en un hotel: quién responde, qué seguro paga

3.027 brechas notificadas en seis meses, más que en todo 2025

Si hackean el sistema de reservas que usa tu hotel, ante la AEPD y ante tus huéspedes respondes tú. Para el Reglamento General de Protección de Datos el hotel es el responsable de los datos de sus clientes, y la empresa que le vende el software de reservas es su encargada: trata esos datos por cuenta del hotel. El proveedor tiene que avisarte sin dilación en cuanto detecte la brecha de datos en un hotel que es cliente suyo, pero quien decide si se notifica a la AEPD en 72 horas, quien avisa a los huéspedes y quien carga con la posible sanción es el establecimiento. Después podrás reclamarle lo que te haya costado si el fallo fue suyo. Y el seguro que paga la respuesta al incidente, la defensa y las reclamaciones de los clientes es el ciberseguro del hotel, siempre que cubra los datos que guarda un tercero. El del proveedor sólo entra cuando le reclamas tú.

Lo contó la Agencia Española de Protección de Datos el 20 de octubre, apoyándose en sus informes mensuales. El de julio dice que las brechas de establecimientos hoteleros y sus encargados, “generalmente software de gestión de reservas”, han contribuido en gran medida al aumento.

El patrón se repite: alguien entra sin permiso en los datos de quienes han reservado, y con el nombre, las fechas y el localizador en la mano escribe al huésped por el portal de reservas, por correo o por mensajería diciendo que ha habido un problema con el pago. La AEPD añade que esos intentos de fraude “en muchas ocasiones tienen éxito”. El cliente paga a un estafador creyendo que paga al hotel.

Cuando el agujero está en el programa de otro, es tentador pensar que el problema es suyo. La AEPD no lo ve así, y la ley tampoco. Vamos a explicar qué le toca a cada parte, qué le costó a un hotel pequeño no hacerlo bien y qué seguro responde de cada daño.

¿Quién responde si el fallo es del proveedor de reservas?

El reparto lo hace el propio RGPD y no depende de dónde estuviera el servidor. El hotel decide para qué y cómo se usan los datos de sus huéspedes, así que es el responsable del tratamiento. El motor de reservas, el PMS o la plataforma que gestiona la disponibilidad trabajan con esos datos siguiendo sus instrucciones, y por eso son encargados.

El artículo 28 obliga al hotel a elegir sólo encargados que ofrezcan garantías suficientes de seguridad, y a firmar con ellos un contrato que lo recoja. Los informes de mayo y julio de la AEPD lo dicen sin rodeos: los hoteles “únicamente deben utilizar aquellos servicios de gestión de reservas que puedan garantizar un nivel de seguridad adecuado”. Elegir mal es ya un incumplimiento del hotel.

Ante el huésped, el artículo 82 deja que reclame a cualquiera de los dos por el daño entero cuando ambos han participado, y el que paga puede luego repetir contra el otro por su parte. En la práctica, el huésped conoce al hotel y no tiene ni idea de qué programa usa para las reservas, así que la reclamación llega a recepción. Repetir después contra el proveedor es posible, pero exige demostrar que el fallo fue suyo y chocar con lo que diga el contrato, que muchas veces limita lo que el proveedor paga.

Lo que pagó un hotel de 13 empleados

Hay un caso resuelto que sirve de aviso. Una huésped reservó en enero de 2023 un hotel de Bilbao a través de una plataforma y, unos días antes del viaje, ya en febrero, recibió un WhatsApp de alguien que decía ser la directora del hotel, la llamaba por su nombre y apellidos y le pedía confirmar la reserva en un enlace donde había que poner la tarjeta. No picó, llamó al hotel y allí ya conocían otros casos.

La AEPD investigó y situó el origen más probable en un acceso indebido a la cuenta del propio hotel en la plataforma de reservas o a su correo corporativo, con las contraseñas robadas por phishing; de hecho, cambiar la del correo cortó el problema. En agosto hubo una segunda brecha parecida. El establecimiento era una pyme de 13 empleados y menos de un millón de euros de facturación.

En total, 7.000 euros, que se quedaron en 4.200 porque el hotel reconoció su responsabilidad y pagó de forma voluntaria (procedimiento PS/00133/2024). La cifra no hunde a nadie. Lo que enseña está en el desglose: casi un tercio de la multa fue por no avisar a la AEPD, algo que no cuesta dinero, y la parte de seguridad la impuso con independencia de la brecha, porque para la Agencia las medidas “no eran apropiadas” antes de que pasara nada.

Y otra cosa que conviene no pasar por alto: el agujero estaba en una contraseña del hotel, dentro del sistema de la plataforma. Muchas veces “el fallo del proveedor” es una cuenta nuestra mal protegida.

Brecha de datos en un hotel: las primeras 72 horas

El plazo de 72 horas empieza a contar cuando el hotel tiene constancia de la brecha, que puede ser el aviso del proveedor, la llamada de un huésped que ha recibido un mensaje raro o la sospecha del propio personal. No hace falta tener toda la información para notificar: el RGPD permite hacerlo por fases. Este es el orden que recomiendan la AEPD e INCIBE:

1. Cortar el acceso: cambiar las contraseñas de las plataformas de reservas y del correo, cerrar las sesiones abiertas, activar el doble factor de autenticación y revisar los usuarios, las plantillas de mensajes y la cuenta bancaria de cobro, por si la han cambiado.
2. Pedir al proveedor por escrito qué ha pasado, desde cuándo, qué datos y qué reservas se han visto afectados.
3. Evaluar el riesgo y documentar la brecha, aunque al final no haya que notificarla. La AEPD tiene dos herramientas gratuitas para ayudar, Asesora Brecha y Comunica-Brecha RGPD.
4. Notificar a la AEPD si hay riesgo para los huéspedes. Cuando los datos se están usando para pedir pagos falsos, la Agencia considera que el riesgo es alto.
5. Avisar a los clientes afectados, también a los de estancias pasadas cuyos datos estuvieran en el sistema, de que el hotel nunca les pedirá la tarjeta por mensaje.
6. Denunciar ante la Policía Nacional o la Guardia Civil, y comunicar el incidente a INCIBE-CERT.

Si el hotel tiene ciberseguro, hay un paso cero: llamar al teléfono de incidentes de la póliza antes que a nadie. Muchas pólizas exigen avisar enseguida y usar a sus propios peritos informáticos y abogados, y pagar por tu cuenta a otros puede dejar esos gastos fuera.

¿Qué seguro paga cada daño?

Una brecha en el sistema de reservas genera cuatro tipos de coste, y cada uno tiene su póliza. El primero es la respuesta: peritos informáticos para averiguar qué ha pasado, abogados para decidir qué notificar y cómo, el envío de avisos a cientos o miles de clientes y, a veces, un servicio de atención telefónica para atenderles. El segundo es la defensa ante la AEPD. El tercero, las reclamaciones de huéspedes que han perdido dinero o reclaman daños por la filtración. Y el cuarto, la facturación que se pierde si el motor de reservas o el PMS se quedan parados en plena temporada.

Los cuatro los puede cubrir un seguro de ciberriesgos, con una condición que conviene comprobar antes de firmar: que la póliza cubra los datos aunque estén en sistemas de un proveedor, y no sólo en los equipos del hotel. Pasa lo mismo con la paralización: si el que se cae es el proveedor y no tu red, muchas pólizas sólo cubren una parte, con un límite menor, o directamente nada.

La responsabilidad civil general del hotel, la que cubre la caída de un cliente en el vestíbulo o la intoxicación en el restaurante, suele dejar fuera los daños causados por datos y ataques informáticos. Por eso existe el ciberseguro como póliza separada, y por eso conviene no dar por hecho que “el seguro del hotel” lo cubre todo. En nuestra página de seguros para hostelería y hoteles explicamos cómo encaja con el resto del programa de un establecimiento.

El seguro del proveedor juega en otro momento. Si el fallo fue suyo y el hotel le reclama lo que le ha costado la brecha, quien paga es su RC profesional tecnológica, la póliza que cubre los errores de las empresas de software frente a sus clientes, más su propio ciberseguro si lo tiene. Por eso tiene sentido pedir el certificado al contratar un software de reservas, igual que se le pide a una empresa de reformas antes de que entre en la obra.

Si tu empresa es la que desarrolla o vende ese software, lo que necesitas lo tratamos en seguros para empresas tecnológicas y SaaS.

Queda el huésped estafado. Si pagó a un delincuente creyendo que pagaba al hotel, su banco no suele devolver un pago que él mismo autorizó, y lo normal es que reclame al hotel por la filtración. Esa reclamación es la que cubre la garantía de responsabilidad por datos del ciberseguro, si la póliza la incluye.

Qué revisar antes de que pase

La AEPD lo escribió en su informe de julio con una franqueza poco habitual: el contexto ha cambiado y “es evidente que las medidas hasta ahora adoptadas no son adecuadas”. Pone como ejemplo el doble factor de autenticación, implantado por los proveedores y usado de verdad por los hoteles. Con eso en mente, hay dos documentos que merece la pena sacar del cajón. En el contrato con el proveedor de reservas:

• Que exista el contrato de encargo del tratamiento del artículo 28 y diga qué medidas de seguridad aplica el proveedor.
• En qué plazo se compromete a avisarte de una brecha. “Sin dilación indebida” está bien; un número de horas está mejor.
• Si te permite exigir el doble factor a todos los usuarios del hotel, y si lo tienes activado.
• Si limita lo que te pagará en caso de fallo suyo, y a cuánto.
• Si tiene seguro de RC profesional y ciberseguro, con qué límite, y si te da el certificado.

Y en tu ciberseguro, si cubre los datos custodiados por terceros, la paralización por caída de un proveedor, los costes de notificación a clientes de estancias pasadas, las reclamaciones de huéspedes y, si te importa, la sanción. El hotel tiene que conservar los datos del registro de viajeros durante tres años por el Real Decreto 933/2021, así que una brecha nunca afecta sólo a los clientes de esta temporada.

Si nos pides comparar ciberseguros para tu hotel, ésas son las líneas que pondremos una al lado de otra en el informe, porque son las que cambian de una compañía a otra. Si quieres el detalle de qué suele cubrir y qué no, lo tienes en nuestra guía sobre el seguro de ciberriesgos para empresas.

Preguntas frecuentes

Paula Modroño Rodríguez
Responsable de la actividad de Distribución de Seguros — Correduría Sure Service · Las Rozas y Palencia

Si tienes un hotel o un alojamiento turístico y no sabes si tu ciberseguro cubre lo que guarda tu proveedor de reservas, escríbeme a info@sureservice.es o a través de contacto y lo revisamos contigo. Actualizado: noviembre de 2026.