Carta QR y RGPD: datos del cliente y obligaciones
La carta QR no es solo un menú: si pide nombre, email o teléfono, está tratando datos personales. Esta guía explica qué obligaciones RGPD aplican a un restaurante y cómo cumplirlas sin frenar el servicio.
Un cliente escanea el QR, ve la carta y, antes de pedir, le pides su email para enviarle el ticket o su teléfono para confirmar la reserva. En ese momento, tu restaurante se convierte en responsable de tratamiento de datos personales. Y no cumplir el RGPD puede costarte más que una mala reseña.
La Agencia Española de Protección de Datos (AEPD) ha sancionado a hosteleros con multas que van desde los 900 euros por faltas leves hasta los 20 millones o el 4% de la facturación anual en los casos más graves. La mayoría de sanciones a pymes, sin embargo, se sitúan entre 2.000 y 10.000 euros por no informar correctamente o por pedir datos sin base legal.
Este artículo te explica, con pasos concretos, qué datos puedes pedir con una carta QR, qué documentos necesitas y cómo evitar los errores que más se repiten en hostelería.
Qué datos personales trata realmente una carta QR
No todos los menús digitales tratan datos personales. Si tu carta QR solo muestra platos y precios, sin formularios, sin registro y sin cookies de seguimiento, no estás tratando datos de clientes. El RGPD no aplica a la simple visualización de un menú.
La situación cambia cuando el flujo incluye alguna de estas acciones:
- Pedir nombre y email para enviar el ticket o la factura.
- Solicitar teléfono para confirmar reservas o avisar cuando la mesa está lista.
- Registrar alergias o intolerancias del comensal, que son datos de salud con protección especial.
- Activar cookies analíticas o píxeles de publicidad en la página de la carta.
- Guardar el historial de pedidos asociado a un perfil de cliente.
- Integrar el pago en mesa con datos de tarjeta o wallet.
El criterio es simple: si puedes identificar a una persona, directa o indirectamente, estás tratando datos personales. Un email es un dato personal. Un teléfono también. Incluso una dirección IP puede serlo si se combina con otros registros.
Datos de salud: el caso de los alérgenos
Cuando un cliente marca en la carta digital que es alérgico al gluten o a los frutos secos, te está dando un dato de salud. El RGPD lo clasifica como categoría especial y exige un consentimiento explícito, no basta con una casilla marcada por defecto.
En la práctica, esto significa que la carta QR debe mostrar un aviso claro antes de recoger esa información y el cliente debe confirmar activamente que acepta que uses ese dato para adaptar su pedido. Si además guardas ese perfil para futuras visitas, necesitas una base legal más sólida y medidas de seguridad adicionales.
Si quieres profundizar en cómo gestionar alérgenos sin incumplir la normativa, te recomiendo revisar la guía sobre gestión de alérgenos en carta de restaurante, donde se explica el marco legal específico.
Base legal: cuándo puedes pedir cada dato
El RGPD no prohíbe pedir datos; prohíbe pedirlos sin una razón válida. Cada dato que solicites debe estar respaldado por una base legal. En hostelería, las más habituales son tres:
Consentimiento
El cliente acepta de forma libre, específica e informada. Sirve para newsletters, promociones o guardar alergias para futuras visitas. Debe poder retirarse con la misma facilidad con la que se dio.
Ejecución de un contrato
Si el cliente hace una reserva o pide a domicilio, necesitas sus datos para cumplir con el servicio. No hace falta pedir permiso para usar el teléfono y confirmar una reserva.
Obligación legal
Emitir factura con datos fiscales o conservar registros de pago responde a normativa contable y tributaria. No puedes negarte a tratarlos, pero sí debes informar.
El error más común en restaurantes es pedir el email para enviar la factura y, de paso, suscribir al cliente a una newsletter sin avisar. Eso es un uso incompatible con la finalidad original y una sanción segura si alguien lo denuncia.
Información al cliente: el aviso de privacidad que no frena la mesa
El RGPD exige informar al cliente antes de recoger sus datos: quién es el responsable, para qué los usas, cuánto tiempo los guardas y cómo puede ejercer sus derechos. En una carta QR, ese aviso debe estar accesible desde el propio flujo digital, no en un cartel escondido en la barra.
Un aviso de privacidad efectivo en hostelería tiene tres capas:
- Primera capa visible: una frase corta junto al formulario. Por ejemplo: "Usamos tu email solo para enviarte el ticket. No recibirás publicidad. Puedes ejercer tus derechos en [enlace]".
- Segunda capa ampliable: un enlace a la política de privacidad completa, alojada en la misma web de la carta QR.
- Checkbox de consentimiento: solo si usas el dato para algo más que el servicio solicitado. Debe estar desmarcado por defecto.
La AEPD ha sancionado a negocios que usaban casillas premarcadas o que escondían la finalidad publicitaria en un texto de 20 páginas. La claridad no es opcional: es un requisito legal.
Cookies y analítica en la carta digital
Si tu carta QR carga Google Analytics, Meta Pixel o cualquier script de seguimiento, estás tratando datos personales desde el primer segundo. La dirección IP, el identificador del dispositivo y el comportamiento de navegación son datos personales según el RGPD.
La normativa de cookies exige:
- Un banner de consentimiento previo a la instalación de cookies no esenciales.
- La opción de rechazar con un clic, no solo de aceptar.
- Información sobre quién recibe los datos y con qué finalidad.
Muchas cartas QR usan herramientas de analítica para saber qué platos se ven más. Eso es legítimo, pero requiere configurar el consentimiento correctamente. Si no quieres complicarte, usa analítica sin cookies o en modo anónimo, que no requiere banner.
Proveedores de carta QR y encargados de tratamiento
Cuando contratas una plataforma de carta digital, esa empresa trata datos en tu nombre. El RGPD te obliga a firmar un contrato de encargado de tratamiento que especifique qué datos se tratan, con qué finalidad y qué medidas de seguridad aplica el proveedor.
Antes de elegir proveedor, comprueba tres cosas:
- Dónde se almacenan los datos: si están en servidores fuera del Espacio Económico Europeo, necesitas garantías adicionales, como cláusulas contractuales tipo.
- Qué datos recoge la plataforma por su cuenta: algunos proveedores insertan su propia analítica o publicidad. Eso los convierte en responsables independientes y cambia tus obligaciones.
- Cómo puedes exportar o eliminar datos: el RGPD te obliga a responder a solicitudes de acceso, rectificación o supresión. Si tu proveedor no te da herramientas para hacerlo, el problema es tuyo.
Si estás evaluando opciones de carta digital, la guía sobre carta digital con QR para restaurantes te ayuda a comparar proveedores con criterios operativos y legales.
Registro de actividades y medidas de seguridad
Todo restaurante que trate datos personales debe llevar un registro de actividades de tratamiento, aunque sea en una hoja de cálculo. Debe incluir: qué datos recoges, para qué, dónde los guardas, quién tiene acceso y cuánto tiempo los conservas.
En hostelería, los plazos de conservación más habituales son:
- Facturas y tickets: 6 años por obligación fiscal.
- Datos de reservas: el tiempo necesario para gestionar la reserva, más un margen razonable para reclamaciones.
- Datos de marketing: hasta que el cliente retire el consentimiento o deje de interactuar durante un periodo que definas y comuniques.
Las medidas de seguridad mínimas incluyen acceso restringido a los datos, contraseñas robustas, cifrado en tránsito y copias de seguridad. No hace falta un sistema de nivel bancario, pero sí demostrar que has tomado medidas proporcionadas al riesgo.
Derechos de los clientes: cómo responder sin colapsar el servicio
Un cliente puede pedirte en cualquier momento que le muestres qué datos tienes de él, que los corrijas o que los borres. Tienes un mes para responder. En un restaurante, estas solicitudes suelen llegar por email o en persona.
El flujo práctico es:
- Habilita un email visible en tu política de privacidad para recibir solicitudes.
- Verifica la identidad del solicitante antes de entregar información.
- Responde en un plazo máximo de 30 días naturales.
- Si borras datos, conserva solo los que exige la ley fiscal.
La mayoría de solicitudes en hostelería son de clientes que quieren dejar de recibir publicidad. Si tu sistema de newsletter permite darse de baja con un clic, resolverás el 90% de los casos sin intervención manual.
Errores que más sanciones generan en hostelería
La AEPD publica sus resoluciones y en hostelería se repiten patrones concretos:
- Pedir el DNI para acceder al wifi sin informar ni justificar la finalidad.
- Usar el teléfono de una reserva para enviar promociones sin consentimiento previo.
- Instalar cámaras de videovigilancia que captan más de lo necesario o sin cartel informativo.
- Guardar datos de alergias en hojas visibles para todo el personal, sin control de acceso.
- No atender una solicitud de supresión en el plazo legal.
Dato clave: la AEPD no exige que demuestres un daño económico para sancionar. Basta con que el tratamiento incumpla el RGPD. La ignorancia de la norma no exime de responsabilidad.
Checklist RGPD para tu carta QR en 10 puntos
Si ya tienes carta QR o estás a punto de implantarla, revisa estos 10 puntos antes de seguir recogiendo datos:
- Identifica qué datos personales recoges en cada punto del flujo.
- Define la base legal de cada dato: consentimiento, contrato u obligación legal.
- Redacta un aviso de privacidad de primera capa visible junto a cada formulario.
- Publica una política de privacidad completa enlazada desde la carta.
- Configura el banner de cookies si usas analítica o píxeles publicitarios.
- Firma contrato de encargado de tratamiento con tu proveedor de carta QR.
- Limita el acceso a los datos solo al personal que lo necesita.
- Define plazos de conservación y borrado para cada tipo de dato.
- Habilita un canal para recibir y responder solicitudes de derechos.
- Documenta todo en un registro de actividades, aunque sea simple.
Este checklist no sustituye a un asesor legal, pero te da una base sólida para detectar huecos evidentes antes de que lo haga una inspección o una denuncia.
Preguntas frecuentes sobre carta QR y RGPD
¿Es obligatorio pedir consentimiento para mostrar una carta QR?
No. Mostrar un menú digital sin recoger datos personales no requiere consentimiento. Solo lo necesitas si pides email, teléfono, alergias o instalas cookies de seguimiento.
¿Puedo usar el teléfono de una reserva para enviar ofertas?
No sin consentimiento previo e informado. El teléfono se recogió para gestionar la reserva, no para marketing. Usarlo para promociones sin permiso es una infracción sancionable.
¿Qué multa me puede poner la AEPD por no cumplir el RGPD?
Las sanciones a pymes hosteleras suelen oscilar entre 2.000 y 10.000 euros por faltas como no informar, pedir datos sin base legal o no atender derechos. El máximo legal es 20 millones o el 4% de la facturación.
¿Necesito un contrato con el proveedor de mi carta QR?
Sí. Si el proveedor trata datos en tu nombre, el RGPD exige un contrato de encargado de tratamiento que especifique finalidades, medidas de seguridad y ubicación de los datos.
¿Puedo guardar las alergias de un cliente para su próxima visita?
Solo con consentimiento explícito del cliente, ya que son datos de salud. Debes informarle de que los guardarás, con qué finalidad y permitirle retirar ese consentimiento en cualquier momento.
Conclusión: cumplir sin complicar el servicio
El RGPD no está diseñado para frenar tu operativa, sino para obligarte a pensar antes de pedir datos. La regla práctica es: pide solo lo que necesitas, informa con claridad y guarda evidencia de que el cliente aceptó.
Si tu carta QR actual pide email o teléfono sin aviso de privacidad, empieza por corregir eso hoy. Es la infracción más visible y la más fácil de resolver. Después revisa el contrato con tu proveedor y configura el banner de cookies si usas analítica.
Si estás eligiendo plataforma de carta digital, compara también cómo gestiona los datos personales. La guía sobre cómo elegir la mejor carta QR para restaurantes te da criterios para decidir sin errores, incluidos los aspectos de privacidad que aquí hemos detallado.
¿Tu carta QR actual cumple el RGPD? Revisa los 10 puntos del checklist antes de que lo haga una inspección. Si necesitas una plataforma que te ayude a gestionar datos con control y sin fricción en sala, prueba Webnu gratis.
¿Es obligatorio pedir consentimiento para mostrar una carta QR?
No. Mostrar un menú digital sin recoger datos personales no requiere consentimiento. Solo lo necesitas si pides email, teléfono, alergias o instalas cookies de seguimiento.
¿Puedo usar el teléfono de una reserva para enviar ofertas?
No sin consentimiento previo e informado. El teléfono se recogió para gestionar la reserva, no para marketing. Usarlo para promociones sin permiso es una infracción sancionable.
¿Qué multa me puede poner la AEPD por no cumplir el RGPD?
Las sanciones a pymes hosteleras suelen oscilar entre 2.000 y 10.000 euros por faltas como no informar, pedir datos sin base legal o no atender derechos. El máximo legal es 20 millones o el 4% de la facturación.
¿Necesito un contrato con el proveedor de mi carta QR?
Sí. Si el proveedor trata datos en tu nombre, el RGPD exige un contrato de encargado de tratamiento que especifique finalidades, medidas de seguridad y ubicación de los datos.
¿Puedo guardar las alergias de un cliente para su próxima visita?
Solo con consentimiento explícito del cliente, ya que son datos de salud. Debes informarle de que los guardarás, con qué finalidad y permitirle retirar ese consentimiento en cualquier momento.