Carta QR y RGPD: qué datos puedes pedir al comensal sin arriesgar una sanción

Un comensal escanea tu carta QR y, antes de ver los platos, aparece un formulario pidiendo nombre, email y fecha de nacimiento. Ese cliente probablemente cierre la pestaña y pida la carta física. No solo pierdes la venta: si almacenaste esos datos sin base legal, estás expuesto a una sanción del RGPD que puede alcanzar los 20 millones de euros o el 4 % de la facturación anual.

La normativa no prohíbe usar cartas QR. Lo que exige es que cada dato que pidas tenga una finalidad clara, una base jurídica válida y un consentimiento específico cuando sea necesario. En hostelería, la línea entre lo operativo y lo comercial se cruza a diario sin que el equipo de sala lo perciba.

Qué datos puedes pedir con tu carta QR sin pedir consentimiento

El RGPD permite tratar datos personales sin consentimiento cuando son necesarios para ejecutar un contrato o cumplir una obligación legal. En un restaurante, esto se traduce en una lista corta y muy concreta.

• Datos del pedido y la mesa: número de mesa, platos solicitados, alergias declaradas, modificaciones del plato. Son imprescindibles para servir correctamente.
• Datos de facturación: nombre o razón social, NIF/CIF y email si el cliente pide factura. La normativa fiscal obliga a emitirla y conservarla durante años.
• Datos de pago: importe, hora de la transacción y referencia del TPV. No almacenes el número de tarjeta: eso corresponde al proveedor de pago certificado PCI DSS.
• Alérgenos e intolerancias: solo si el cliente los declara voluntariamente para que cocina adapte el plato. No los uses después para enviar ofertas de productos sin gluten.

Estos datos no requieren checkbox de consentimiento. Requieren que informes al cliente de para qué los usas, durante cuánto tiempo y cómo puede ejercer sus derechos. Un aviso de privacidad accesible desde la propia carta QR cumple esa función sin frenar el pedido.

Qué datos exigen consentimiento explícito y cómo pedirlo bien

El consentimiento es la base jurídica más mal utilizada en hostelería. No basta con una casilla premarcada ni con un texto genérico tipo "acepto la política de privacidad". El RGPD exige que sea una acción afirmativa, libre, específica e informada.

Estos son los datos que solo puedes tratar con consentimiento explícito:

• Email o teléfono para marketing: newsletter, ofertas, encuestas de satisfacción, programa de fidelización.
• Fecha de nacimiento: solo si la usas para un beneficio concreto, como un descuento de cumpleaños. Pedirla "por si acaso" no tiene base legal.
• Datos de menores: si tu carta QR ofrece menú infantil y pides edad del niño, necesitas consentimiento del tutor y una justificación clara.
• Datos de geolocalización o perfiles de consumo: si cruzas pedidos para crear un perfil de gustos del cliente, eso es elaboración de perfiles y requiere consentimiento específico.

El formulario de tu carta QR debe separar visualmente lo obligatorio de lo opcional. Un ejemplo que funciona en sala: "¿Quieres que te enviemos el ticket por email?" con casilla desmarcada. Y debajo, otra casilla independiente: "Quiero recibir ofertas y novedades". Dos finalidades, dos consentimientos, cero ambigüedad.

Cómo diseñar el flujo de datos en tu carta QR para que sea legal y no espante al comensal

El diseño del formulario define si cumples el RGPD y si el cliente llega al plato que querías venderle. Un flujo mal planteado añade fricción justo en el momento de mayor intención de compra.

1. Acceso directo a la carta sin registro. El escaneo del QR debe llevar al menú, no a un muro de datos. Si necesitas identificar la mesa, usa un identificador numérico generado automáticamente, no el nombre del cliente.
2. Formulario solo al final del pedido o al solicitar factura. Pide el email cuando el cliente ya ha decidido qué va a consumir. La conversión es más alta y la base jurídica está clara.
3. Casillas separadas para cada finalidad. Una para el ticket, otra para marketing, otra para encuestas. Nunca un consentimiento único para todo.
4. Enlace visible a la política de privacidad. Debe estar a un clic desde el formulario, no escondida en el footer. Incluye responsable, finalidad, base jurídica, plazo de conservación y derechos.
5. Registro de consentimiento. Guarda qué aceptó el cliente, cuándo y desde qué versión del formulario. Si un día te reclaman, necesitas demostrarlo.

Este flujo reduce la fricción y blinda la operativa. Si además gestionas varios turnos o locales, te interesa revisar cómo un comandero integrado con carta QR puede centralizar pedidos y consentimientos sin duplicar registros.

Plazos de conservación: cuánto tiempo puedes guardar cada dato

El RGPD prohíbe conservar datos de forma indefinida. Cada finalidad tiene un plazo máximo razonable, y en hostelería esos plazos son más cortos de lo que muchos dueños creen.

• Datos de pedido y mesa: elimínalos al cerrar la cuenta o al final del turno, salvo que haya una incidencia o reclamación.
• Datos de facturación: la ley fiscal española obliga a conservar facturas y justificantes durante 6 años. No los borres antes.
• Datos de marketing: consérvalos mientras el cliente no retire el consentimiento. Revisa cada 2 años si sigue interactuando; si no abre tus emails en 24 meses, bórralo o pide reactivación.
• Grabaciones de videovigilancia: máximo 30 días, salvo que una incidencia concreta exija conservarlas para una denuncia.

Un plan de retención por escrito evita el clásico "guardamos todo por si acaso". Ese "por si acaso" es exactamente lo que sanciona la AEPD cuando inspecciona un local.

RGPD y proveedores de carta QR: qué responsabilidad tiene cada uno

Cuando contratas una plataforma de carta digital, tu restaurante actúa como responsable del tratamiento y el proveedor como encargado. Eso significa que la responsabilidad final ante el cliente y ante la AEPD es tuya, no del software.

Exige a tu proveedor un contrato de encargado de tratamiento que incluya:

• Dónde se almacenan los datos (servidores en la UE o con garantías adecuadas).
• Qué medidas de seguridad aplica (cifrado en tránsito, control de accesos, copias de seguridad).
• Cómo puedes exportar o eliminar datos de clientes cuando lo solicites.
• Qué hace el proveedor si sufre una brecha de seguridad y en qué plazo te avisa.

Si el proveedor no te da este contrato o no sabe qué es, cambia de proveedor. Un fallo de seguridad en su plataforma puede acabar en una sanción para tu restaurante, no para ellos.

Para elegir una herramienta que cumpla con estos requisitos sin sacrificar velocidad de carga ni experiencia de cliente, conviene revisar criterios objetivos antes de decidir. La guía sobre cómo elegir la mejor carta QR para restaurantes detalla qué preguntar a cada proveedor antes de firmar.

Qué hacer si un cliente ejerce sus derechos ARCO+ (acceso, rectificación, supresión y más)

Un cliente puede pedirte en cualquier momento que le muestres qué datos tienes, que los corrijas, que los borres o que dejes de usarlos para marketing. Tienes 1 mes para responder desde que recibes la solicitud.

El procedimiento mínimo que deberías tener listo:

• Canal claro: un email visible en tu web y en la carta QR, tipo privacidad@turestaurante.com.
• Verificación de identidad: pide una prueba de que quien solicita es el titular de los datos, sin pedir más datos de los necesarios.
• Respuesta en plazo: confirma la acción realizada o explica por qué no procede, siempre por escrito y en menos de 30 días.
• Borrado efectivo: elimina también las copias de seguridad y los registros de tu proveedor de carta QR. No basta con desactivar al cliente de tu newsletter.

En la práctica, la solicitud más frecuente en hostelería es la supresión del email de marketing. Si tu formulario separó bien las finalidades, puedes borrar el consentimiento comercial y conservar los datos de facturación que exige Hacienda. Si mezclaste todo en una base única, el borrado se complica y puedes incumplir una de las dos obligaciones.

El RGPD no castiga pedir pocos datos. Castiga pedir de más, guardarlos sin motivo y no poder demostrar por qué los tienes.

Preguntas frecuentes sobre carta QR y RGPD

¿Puedo pedir el email para ver la carta QR de mi restaurante?

No. Condicionar el acceso al menú a la entrega del email vulnera el principio de minimización y la libre prestación del consentimiento. La carta debe ser accesible sin registro previo.

¿Necesito consentimiento para guardar los alérgenos de un cliente?

No, si los usas exclusivamente para adaptar el plato y garantizar la seguridad alimentaria. Esa finalidad se basa en la ejecución del servicio y en obligaciones legales de seguridad alimentaria, no en consentimiento.

¿Cuánto tiempo puedo guardar el email de un cliente que pidió factura?

6 años, por obligación fiscal. Pasado ese plazo, debes eliminarlo o anonimizarlo. Si además te dio consentimiento para marketing, puedes conservarlo para esa finalidad mientras no lo retire.

¿Qué sanción me puede caer por pedir datos de más en la carta QR?

Las sanciones del RGPD pueden llegar a 20 millones de euros o el 4 % de la facturación anual global, según la gravedad. La AEPD también puede imponer multas menores por infracciones leves, pero el riesgo reputacional suele ser mayor.

¿Mi proveedor de carta QR es responsable si hay una fuga de datos?

No ante el cliente ni ante la AEPD. Tu restaurante es el responsable del tratamiento y responde por los daños. El proveedor responde ante ti si incumplió el contrato de encargado de tratamiento.

Conclusión: menos datos, mejor servicio y cero sustos legales

La carta QR bien configurada pide solo lo imprescindible para servir y cobrar. El email de marketing se solicita al final, con casilla desmarcada y finalidad separada. Los plazos de conservación están escritos y el proveedor tiene contrato de encargado de tratamiento.

El siguiente paso es auditar tu formulario actual: escanea tu propio QR como si fueras un cliente nuevo y comprueba qué datos pides antes de mostrar los platos. Si ves un muro de registro, elimínalo hoy. Si necesitas una referencia para comparar plataformas que cumplen RGPD sin frenar la operativa, revisa esta guía para elegir carta QR sin errores.

Artículo relacionado: carta QR restaurante RGPD datos clientes