¿Puedo revelar datos del cliente al responder una reseña? (RGPD)

Este contenido tiene carácter informativo y no constituye asesoramiento jurídico. Para tu caso concreto, consulta con un abogado especializado en protección de datos.

Qué dice el RGPD cuando respondes una reseña

Cuando escribes una respuesta pública a una reseña de Google, estás haciendo un tratamiento de datos personales si esa respuesta contiene información que identifica o hace identificable al cliente. Dos artículos del Reglamento General de Protección de Datos (RGPD) son clave aquí:

• Artículo 6 RGPD — exige que exista una base legal para tratar datos personales (consentimiento, interés legítimo, etc.). Publicar en una respuesta pública información sobre un cliente sin su consentimiento normalmente no encuentra amparo en ninguna de estas bases.
• Artículo 9 RGPD — protege las llamadas "categorías especiales de datos": salud, orientación sexual, ideología, religión, origen étnico, afiliación sindical, entre otras. Estos datos tienen un nivel de protección reforzado: su tratamiento está prohibido salvo excepciones muy tasadas, que casi nunca aplican al contexto de una reseña de restaurante.

La clave práctica es esta: una respuesta pública en Google es un tratamiento de datos igual que cualquier otro, con la diferencia de que queda indexado, es accesible para cualquiera y permanece publicado indefinidamente. No es un mensaje privado que se pierde en una bandeja de entrada.

Qué datos no debes revelar nunca en una respuesta

Antes de escribir cualquier respuesta a una reseña negativa, repasa esta lista mental:

1. Nombre completo del cliente, si no lo ha usado él mismo (y aun así, evita añadir más datos sobre él).
2. Fecha y hora exacta de la visita, especialmente si permite cruzar con otra información (reserva, cámara, turno de personal).
3. Qué consumió, pidió o le sirvieron, sobre todo si tiene relación con alergias, intolerancias o dietas.
4. Datos de salud: alergias, intoxicaciones, medicación, discapacidad.
5. Orientación sexual, ideología, religión o afiliación política, aunque el propio cliente lo haya mencionado en su reseña.
6. Información sobre acompañantes: con quién estaba, si era una cita, una reunión de trabajo, una celebración concreta.
7. Datos de empleados relacionados con la queja (nombre del camarero, su turno, incidentes internos).

Si tu respuesta necesita alguno de estos datos para "defenderte" o "aclarar los hechos", es una señal de que esa conversación debería producirse en privado, no en la ficha de Google.

Casos reales: la AEPD ya está sancionando esto en hostelería

Estos no son supuestos teóricos. La AEPD ha resuelto expedientes concretos contra negocios españoles por responder reseñas revelando datos del cliente.

Pinkgreen Barcelona S.L. — 4.000 € por datos académicos y orientación sexual

En el expediente EXP202408724, la AEPD sancionó con 4.000 € a la empresa Pinkgreen Barcelona S.L. por revelar, en la respuesta pública a una reseña, información relativa a datos académicos y a la orientación sexual del reclamante. Al tratarse de una categoría especial de datos (art. 9 RGPD), la infracción se considera especialmente grave.

Instituto oftalmológico — 7.000 € por datos médicos

En el expediente EXP202206316, un instituto oftalmológico fue sancionado con 7.000 € por incluir datos de salud del paciente en la respuesta a una reseña negativa. La intención de "defender" la atención prestada llevó a revelar información médica protegida por el art. 9 RGPD, lo que agravó la sanción frente a una infracción "solo" de datos identificativos.

Cafetería de A Coruña — 1.500 € por datos de una empleada

Un caso más cercano al día a día de un restaurante pequeño: una cafetería de A Coruña fue sancionada con 1.500 € por revelar, al responder una reseña, datos relativos a una empleada mencionada en la queja del cliente. La sanción, aunque menor en cuantía que los dos casos anteriores, demuestra que no hace falta ser una gran empresa ni tratar datos de salud para que la AEPD actúe: basta con identificar a una persona (cliente o trabajador) sin base legal para hacerlo.

Qué tienen en común los tres casos

Caso	Dato revelado	Tipo de dato	Sanción
Pinkgreen Barcelona (EXP202408724)	Datos académicos + orientación sexual	Categoría especial (art. 9)	4.000 €
Instituto oftalmológico (EXP202206316)	Datos médicos	Categoría especial (art. 9)	7.000 €
Cafetería A Coruña	Datos de una empleada	Identificativo (art. 6)	1.500 €

El patrón es claro: cuanto más sensible el dato, mayor la sanción. Y en los tres casos, el negocio no tenía intención de causar daño: quería defenderse, aclarar los hechos o justificar su servicio. La buena intención no exime de la infracción.

Por qué esto es más frecuente de lo que crees en restaurantes

En hostelería, la tentación de "contar la verdad completa" en la respuesta es alta: el dueño se siente atacado injustamente y quiere dar contexto. El problema es que ese contexto casi siempre implica un dato del cliente (qué pidió, cuándo vino, con quién estaba, si tenía una alergia mal comunicada).

Con 83.714 restaurantes en España en 2024 (INE) y un 96 % de microempresas de menos de 10 empleados sin equipo legal ni de marketing (Hostelería de España, Anuario 2024), la mayoría de estas respuestas las escribe el propio dueño, sin tiempo ni conocimiento para valorar el riesgo. Esto explica por qué la AEPD ya tiene varios expedientes abiertos en el sector: no es mala fe, es desconocimiento del alcance del RGPD aplicado a un canal que parece "informal" pero es completamente público.

Cómo responder sin arriesgarte

1. Nunca confirmes ni niegues detalles concretos de la visita (fecha, plato, acompañantes) en la respuesta pública.
2. Agradece o discúlpate en términos generales: "Lamentamos que tu experiencia no fuera la esperada" funciona sin necesitar ningún dato.
3. Ofrece un canal privado para resolver el problema: email, teléfono o WhatsApp del restaurante.
4. Nunca menciones a un empleado por nombre en relación con una queja, ni para defenderlo ni para señalarlo.
5. Revisa la respuesta antes de publicar pensando: "¿esto identifica a alguien o revela algo sobre su salud, orientación, ideología o vida privada?". Si la respuesta es sí, reescríbela.

Estas prácticas conectan directamente con la forma correcta de responder reseñas en general: puedes profundizar en la guía cómo responder a las reseñas de Google de tu restaurante, que cubre estructura, tono y ejemplos completos.

Errores comunes que llevan a una sanción

• Defenderse dando detalles de la visita ("usted vino el jueves con su pareja y pidió...") para desmontar la reseña.
• Revelar que el cliente tiene una alergia o condición médica al justificar por qué el plato tardó o se preparó de una forma concreta.
• Nombrar al camarero o camarera implicado en la queja, expuesto públicamente ante cualquier persona que lea la ficha.
• Copiar y pegar fragmentos de conversaciones privadas (WhatsApp, email) dentro de la respuesta pública.
• Asumir que si el cliente lo contó primero, tú puedes repetirlo o ampliarlo sin las mismas restricciones.

Muchos de estos errores están relacionados con fallos más generales al responder reseñas negativas; si quieres verlos todos juntos, la guía 7 errores al responder reseñas que hunden tu reputación los repasa con ejemplos.

FAQ

¿Puedo confirmar públicamente que un cliente estuvo en mi restaurante en una fecha concreta? Es arriesgado. Confirmar fecha, hora, mesa o qué consumió ya es tratar un dato personal del cliente sin su consentimiento, y si de ahí se puede inferir algo sensible (con quién estaba, por qué motivo), el riesgo aumenta. Es mejor responder en términos generales sin confirmar ni negar detalles concretos de la visita.

Si el cliente ya puso su nombre real en la reseña, ¿puedo usarlo yo en la respuesta? Que el cliente haya revelado su propio nombre no te autoriza a añadir tú información adicional sobre él (qué pidió, con quién fue, qué le dijiste en privado). El riesgo del RGPD está en los datos que TÚ, como negocio, decides publicar, no en los que ya publicó el cliente.

¿La multa de la AEPD la paga el restaurante o el empleado que escribió la respuesta? La sanción recae sobre el responsable del tratamiento, es decir, la empresa titular del Google Business Profile (el restaurante), no sobre el empleado individual que redactó la respuesta. Esto no exime de que internamente convenga formar a quien gestiona las reseñas.

¿Puedo pedirle al cliente que me escriba por privado para dar más detalles? Sí, y es la práctica recomendada: en la respuesta pública solo agradeces o te disculpas en términos generales, y ofreces un canal privado (email, teléfono, WhatsApp) para resolver la queja con detalle. Así evitas exponer datos en un canal público e indexado por Google.

¿Basta con no decir el nombre del cliente para estar a salvo del RGPD? No necesariamente. Omitir el nombre no es suficiente si en la respuesta das detalles que permiten identificar a la persona igualmente (fecha exacta, plato pedido, alergia mencionada, quién le atendió). El RGPD protege a personas identificables, no solo nombres literales.