Base de datos de clientes de restaurante: guía práctica y legal 2026

Cada reserva que entra en su restaurante deja un rastro valioso: un nombre, un teléfono, a veces un correo electrónico y una preferencia de mesa. Multiplicado por cientos de servicios, ese rastro se convierte en el activo comercial más infravalorado del sector: una base de datos de clientes propia, llena de personas que ya han comido en su casa y que pueden volver.

La mayoría de los restaurantes desaprovecha ese activo por dos miedos: no saber cómo construirlo sin trabajo extra, y no saber si la ley lo permite. Este artículo responde a las dos preguntas. Primero la parte práctica: qué datos guardar, cómo alimentar la base sin esfuerzo y cómo usarla para llenar mesas. Después la parte legal, país por país, porque las reglas de España no son las de México, y las de Argentina no son las de Chile.

En resumen:

• una base de datos de clientes no se compra ni se rellena a mano: se construye sola si sus reservas pasan por un sistema digital;
• guarde solo lo necesario: nombre, contacto, historial de visitas y preferencias; las alergias merecen un trato aparte;
• tomar la reserva no suele exigir consentimiento adicional (es la prestación del servicio), pero enviar marketing sí tiene reglas propias en cada país;
• España aplica el RGPD europeo con la AEPD como autoridad; México, Argentina, Colombia y Chile tienen cada uno su propia ley y su propia autoridad;
• la pregunta que casi nadie se hace: si sus reservas viven en una plataforma tipo marketplace, ¿la base de datos es suya o de la plataforma?

Por qué su base de datos de clientes vale más que cualquier campaña

Un cliente que ya ha comido en su restaurante cuesta mucho menos de recuperar que un desconocido de captar. Con una base de datos propia puede invitar a sus habituales a probar la nueva carta, avisar de un menú especial a quienes celebraron algo el año pasado, o reactivar a los que llevan meses sin venir. Sin base de datos, cada servicio empieza de cero y su relación con el cliente termina cuando paga la cuenta.

Hay además un beneficio silencioso: la personalización en sala. Saber que la mesa 4 es de un habitual que siempre pide la terraza, o que la pareja de las 21:00 vino por su aniversario el año pasado, transforma un servicio correcto en una experiencia memorable. Ese nivel de detalle no exige memoria prodigiosa, exige un historial consultable.

La buena noticia es que no necesita comprar nada ni teclear fichas: si sus reservas pasan por un sistema de reservas para restaurantes en lugar de un cuaderno de papel, la base de datos se construye sola. Cada reserva crea o enriquece la ficha del cliente: fecha, número de comensales, peticiones especiales, historial completo. Con ViteUneTable esto funciona desde la versión gratuita, sin comisión por comensal, y los datos pertenecen al restaurante, un matiz que veremos al final porque no todos los sistemas funcionan así.

Qué datos guardar (y cuáles no)

El principio universal, presente en todas las leyes que veremos después, se llama minimización: recopile lo necesario para la finalidad, nada más. Para gestionar reservas y fidelizar, la lista útil es corta:

• nombre y apellido: para recibir al cliente y encontrar su reserva;
• teléfono: para avisar o ser avisado ante un imprevisto;
• correo electrónico: para la confirmación de reserva y, con las reglas de cada país, para el marketing;
• historial de visitas: fechas, número de comensales, servicios (comida o cena);
• preferencias declaradas: terraza, mesa tranquila, silla para bebé, celebraciones.

En cambio, pedir la fecha de nacimiento completa, la dirección postal o la profesión para reservar una mesa no se justifica: el dato no es necesario para la prestación y cualquier autoridad de protección de datos lo consideraría recopilación excesiva. Regla simple: si no sabe explicar en una frase para qué sirve un dato, no lo pida.

Alergias y salud: el dato que exige prudencia

Una alergia alimentaria comunicada al reservar revela información sobre la salud de una persona, y los datos de salud son categoría especialmente protegida en prácticamente todas las legislaciones (datos "sensibles" en España, México, Argentina, Colombia y Chile). No hace falta dramatizar, hace falta método:

1. Que lo declare el cliente, nunca preguntarlo por defecto. Un campo libre de "peticiones especiales" donde el cliente escribe lo que quiere es muy distinto de un formulario que exige listar patologías.
2. El dato sirve para la comida, no para el marketing. Úselo en cocina el día del servicio y no construya segmentos publicitarios del tipo "clientes celíacos": para eso las leyes exigen consentimiento explícito y no le aporta nada.
3. No lo conserve indefinidamente. Una nota de alergia ligada a una reserva pasada no necesita vivir años en su sistema.

Cómo se construye la base sin trabajo extra

El error clásico es pensar la base de datos como un proyecto: exportar contactos, montar una hoja de cálculo, ponerse al día "cuando haya tiempo". Ese proyecto muere siempre en semana alta. El enfoque que funciona es el inverso: elegir un circuito de reserva que alimente la base automáticamente.

• Reservas online: el cliente escribe su propio nombre, teléfono y correo al reservar. Cero errores de transcripción, cero tiempo de sala.
• Reservas por teléfono: el equipo las registra en el mismo sistema en 20 segundos, y la ficha del cliente se crea o se actualiza igual.
• Confirmaciones y recordatorios: cada confirmación y recordatorio de reserva automático valida de paso que el correo y el teléfono son correctos.

Un libro de reservas digital hace exactamente esto: convierte la operación diaria en una base de datos limpia, deduplicada y consultable, sin que nadie "trabaje en la base de datos". El cuaderno de papel, además de perderse o mancharse, tiene un problema legal: los derechos de acceso y supresión que veremos ahora se aplican también a los ficheros en papel organizados, y encontrar todas las menciones de un cliente en tres cuadernos de años distintos es arqueología.

La parte legal, país por país

Aviso honesto antes de empezar: esto es divulgación, no asesoría jurídica, y cada país tiene matices que no caben en un artículo. Lo que sigue le da el mapa correcto: qué ley aplica en su país, qué autoridad la supervisa y las obligaciones básicas de un restaurante. En todos los casos, el punto de partida es el mismo: tener una base de datos de clientes es perfectamente legal; lo que la ley regula es qué recopila, para qué la usa y qué derechos tienen sus clientes.

En España: RGPD y LOPDGDD, con la AEPD como autoridad

En España aplica el RGPD europeo, completado por la Ley Orgánica 3/2018 (LOPDGDD). La autoridad de control es la Agencia Española de Protección de Datos (AEPD), que publica orientaciones específicas para pymes y herramientas gratuitas para generar la documentación básica.

Lo esencial para un restaurante:

• Tomar la reserva no requiere consentimiento: la base jurídica es la ejecución del contrato (el cliente pide un servicio, usted necesita sus datos para prestarlo). Nada de casillas para reservar una mesa.
• Registro de actividades de tratamiento: documento interno que describe qué datos trata, para qué y cuánto tiempo. Para un restaurante son unas pocas fichas (reservas, personal, videovigilancia si la hay) y la AEPD ofrece modelos simplificados.
• Deber de información: su formulario de reserva y su web deben indicar quién trata los datos, con qué finalidad y cómo ejercer los derechos de acceso, rectificación y supresión.
• Conservación limitada: los datos se guardan mientras dura la relación comercial y, después, solo durante los plazos legales de prescripción; programe una purga periódica de contactos inactivos.
• Marketing por correo a clientes: la LSSI, artículo 21, prohíbe el correo comercial no solicitado, pero permite escribir a quien ya es cliente sobre productos o servicios similares a los contratados, siempre con una vía sencilla y gratuita para darse de baja en cada mensaje. Un comensal que cenó en su casa puede recibir su nueva carta; un desconocido, no.

En México: la nueva LFPDPPP de 2025 y el aviso de privacidad

En México la referencia es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, renovada por completo: la nueva ley se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025 y entró en vigor al día siguiente, sustituyendo a la de 2010. Cambio institucional importante: el INAI desapareció con la reforma de 2024-2025 y la autoridad en materia de datos personales de particulares es ahora la Secretaría Anticorrupción y Buen Gobierno.

Para un restaurante, la obligación estrella es el aviso de privacidad: un documento, físico o electrónico, puesto a disposición del cliente desde que se recaban sus datos, que explica quién es el responsable, qué datos recopila, para qué finalidades y cómo ejercer los derechos ARCO (acceso, rectificación, cancelación y oposición). En la práctica: un aviso corto en su formulario de reserva online y el aviso integral disponible en su web. La regla general mexicana admite el consentimiento tácito para datos ordinarios (si el cliente recibe el aviso y no se opone, puede tratar sus datos para las finalidades informadas), pero los datos sensibles, como una alergia, exigen consentimiento expreso.

En Argentina: Ley 25.326 y la AAIP

Argentina protege los datos personales con la Ley 25.326, de rango constitucional vía habeas data, supervisada por la Agencia de Acceso a la Información Pública (AAIP). Tres puntos prácticos:

• el tratamiento se apoya por regla general en el consentimiento libre, expreso e informado del titular, aunque la propia ley exceptúa los datos que derivan de una relación contractual y son necesarios para su cumplimiento: tomar la reserva entra ahí;
• las bases de datos deben inscribirse en el Registro Nacional de Bases de Datos de la AAIP, un trámite que muchos comercios desconocen;
• en publicidad directa, el titular puede exigir en cualquier momento el retiro o bloqueo de su nombre de la base: su newsletter necesita una baja visible y efectiva.

En Colombia: Ley 1581 de 2012 y la SIC

En Colombia rige la Ley Estatutaria 1581 de 2012 de habeas data, con la Superintendencia de Industria y Comercio (SIC) como autoridad. La diferencia clave con España o México: Colombia exige autorización previa, expresa e informada del titular para tratar sus datos, y buena parte de las sanciones de la SIC caen precisamente por recopilar datos sin esa autorización demostrable.

Traducción para su restaurante: su formulario de reserva debe incluir la autorización de tratamiento con una política de datos accesible, y debe poder probar cuándo y cómo la obtuvo (el registro electrónico de la reserva es su mejor prueba). Además, adopte una política de tratamiento de la información y verifique si le aplica el Registro Nacional de Bases de Datos (RNBD): la obligación de inscripción depende del tamaño de la empresa, consulte los umbrales vigentes con la SIC.

En Chile: de la Ley 19.628 a la Ley 21.719

Chile vive una transición. La ley histórica, la 19.628 de 1999, era una de las más permisivas de la región y no tenía autoridad de control dedicada. Eso cambia con la Ley 21.719, publicada el 13 de diciembre de 2024, que entra en vigencia el 1 de diciembre de 2026: crea la Agencia de Protección de Datos Personales, consagra los derechos de acceso, rectificación, supresión y oposición, impone la notificación de brechas de seguridad y prevé multas que en los casos más graves pueden alcanzar las 20.000 UTM.

Si tiene un restaurante en Chile, 2026 es el momento de ordenar la casa: inventarie dónde viven sus datos de clientes, defina finalidades y plazos de conservación, y elija herramientas que le permitan responder a una solicitud de supresión sin excavar en cuadernos. Llegar preparado a la vigencia plena cuesta mucho menos que improvisar después.

Consentimiento para marketing: cómo pedirlo bien

Sea cual sea su país, la mecánica correcta para poder escribir a sus clientes es la misma y cabe en tres gestos:

1. Informe en el momento de la reserva: una línea clara del tipo "usaremos su correo para gestionar su reserva y, si lo acepta, para enviarle nuestras novedades", con la casilla de marketing sin marcar por defecto donde la ley exige consentimiento expreso (Colombia, y siempre para datos sensibles).
2. Separe finalidades: la confirmación de reserva es servicio y no necesita permiso; la newsletter es marketing y sigue las reglas de cada país. Nunca condicione la reserva a aceptar publicidad.
3. Baja en un clic en cada mensaje: obligatoria en todos los países vistos, y además es higiene comercial: quien no quiere leerle solo puede marcarle como spam si no encuentra la baja.

Bien montado, este circuito convierte su base de datos en ingresos recurrentes: reactivación de clientes dormidos, anuncios de menús especiales, campañas para llenar los servicios flojos. Las mecánicas concretas que funcionan las detallamos en nuestra guía para fidelizar a los clientes de su restaurante.

¿De quién es la base de datos cuando vive en una plataforma?

Termine con esta pregunta, porque condiciona todo lo anterior. Sus obligaciones legales presuponen que usted controla su base de datos: consultarla, exportarla, depurarla, borrar a quien lo pida. Y eso depende de dónde viva.

Con un software de reservas clásico, el proveedor actúa como encargado del tratamiento: aloja los datos por cuenta del restaurante y bajo sus instrucciones, y la base es suya. Con un marketplace de reservas, el comensal crea una cuenta en la plataforma y pasa a ser también cliente de la plataforma, que explota esa audiencia para su propio marketing, incluida la recomendación de otros restaurantes. No es un secreto, es su modelo de negocio, y seamos honestos: a cambio ofrecen visibilidad real ante millones de usuarios. Pero significa que el habitual que usted conquistó puede recibir sugerencias de mesas de la competencia.

Tres preguntas para su proveedor actual, sea cual sea:

1. ¿Puedo exportar toda mi base de clientes (nombres, contactos, historial) en un formato reutilizable, cuando quiera y sin coste?
2. ¿Quién puede usar estos datos para marketing: solo yo, o también la plataforma por cuenta propia?
3. ¿Qué pasa con los datos si me doy de baja?

En ViteUneTable la respuesta es simple: la base de datos de clientes pertenece al restaurante, la versión gratuita es ilimitada y sin comisión por comensal, no hay permanencia, y sus datos jamás sirven para promocionar otros establecimientos. El Pack Estándar, a 29 € al mes IVA no incluido, añade entre otras cosas los recordatorios por correo electrónico. Y una honestidad más: ningún software le hace "cumplir la ley" por usted; la responsabilidad sigue siendo suya como responsable del tratamiento, solo que una herramienta bien diseñada la vuelve mucho más fácil de asumir.

Preguntas frecuentes

¿Es legal tener una base de datos de clientes en un restaurante?

Sí, en todos los países analizados. Las leyes de protección de datos no prohíben las bases de clientes: regulan qué datos recopila, con qué base jurídica, cuánto tiempo los conserva y qué derechos tienen los titulares. Tomar una reserva es la prestación del servicio y, según el país, se apoya en la ejecución del contrato o en la excepción contractual al consentimiento.

¿Necesito el consentimiento del cliente para guardar su reserva?

Para gestionar la reserva en sí, por regla general no: en España la base es la ejecución del contrato, en Argentina la ley exceptúa los datos derivados de una relación contractual, y en México basta con poner a disposición el aviso de privacidad. Colombia es la excepción notable: exige autorización previa, expresa e informada, que se recoge en el propio formulario de reserva. Para enviar marketing, cada país tiene reglas adicionales.

¿Puedo enviar correos promocionales a los clientes que ya comieron en mi restaurante?

En España sí, gracias al artículo 21.2 de la LSSI: a un cliente existente puede escribirle sobre servicios similares a los que consumió, siempre con una baja sencilla en cada mensaje. En México puede hacerlo si la finalidad figura en su aviso de privacidad. En Argentina y Colombia apóyese en el consentimiento recogido al reservar y respete siempre el derecho de baja inmediata.

¿Una alergia alimentaria es un dato sensible?

Sí. Una alergia comunicada al reservar revela información de salud, categoría especialmente protegida en España, México, Argentina, Colombia y Chile. Trátela con tres reglas: que la declare el cliente espontáneamente, usarla solo para el servicio de la comida y no conservarla más allá de lo necesario. Nunca la use como criterio de segmentación publicitaria.

¿Qué cambia en Chile con la Ley 21.719?

Prácticamente todo. La Ley 21.719, publicada en diciembre de 2024 y vigente desde el 1 de diciembre de 2026, sustituye el régimen permisivo de la Ley 19.628: crea la Agencia de Protección de Datos Personales, refuerza los derechos de los titulares, obliga a notificar brechas de seguridad y prevé multas de hasta 20.000 UTM en los casos graves. Los restaurantes chilenos deberían ordenar sus datos de clientes antes de esa fecha.

¿Un cuaderno de reservas en papel también está sujeto a estas leyes?

Sí, cuando constituye un fichero organizado que permite localizar los datos de una persona. El problema del papel es práctico: responder a una solicitud de acceso o supresión implica revisar cuadernos de años distintos sin garantía de encontrarlo todo. Un sistema digital centralizado responde a esas solicitudes en minutos y aplica los plazos de conservación automáticamente.