En temporada alta de turismo, muchos hoteles y alojamientos turísticos intensifican los procesos de check-in para agilizar el registro de viajeros. Sin embargo, esta práctica no puede llevarse a cabo a cualquier precio. La Agencia Española de Protección de Datos (AEPD) ha emitido recientemente una nota informativa que aclara una duda frecuente en el sector: ¿es legal fotocopiar el DNI o el pasaporte de los huéspedes?
Ya comentábamos en este otro artículo la posición de la AEPD al respecto de solicitar los datos personales de los clientes por parte de cualquier negocio, pero a continuación nos centramos en el caso específico de los hoteles y alojamientos turísticos.
¿Qué dice la AEPD sobre el DNI y el registro de viajeros?
En su nota informativa, publicada el pasado día 17 de junio, la AEPD recuerda que los establecimientos de hospedaje no están autorizados a fotocopiar ni escanear documentos de identidad como el DNI o el pasaporte. Esta práctica no está contemplada en la normativa vigente que regula el registro documental de viajeros, y supone un tratamiento excesivo de datos personales.
La obligación legal de los alojamientos turísticos es registrar determinados datos personales de los huéspedes y comunicar esta información a las Fuerzas y Cuerpos de Seguridad del Estado. Pero esto no implica que se deban conservar copias físicas o digitales de los documentos de identidad.
La AEPD insiste en que cualquier tratamiento de datos personales debe cumplir con los principios del Reglamento General de Protección de Datos (RGPD), especialmente los de minimización y limitación de la finalidad. Es decir, solo deben recogerse los datos necesarios y pertinentes para cumplir con la finalidad concreta, sin ir más allá de lo estrictamente exigido.
¿Qué sanciones se están imponiendo por fotocopiar el DNI?
La nota informativa no solo aclara la normativa, sino que llega tras varias sanciones impuestas a hoteles y apartamentos turísticos por fotocopiar o escanear documentos de identidad sin justificación legal. De hecho, en junio de 2024 la AEPD resolvió varios expedientes sancionadores en los que multó a distintos establecimientos con cantidades que superaban los 10.000 euros.
Uno de los casos más relevantes fue el de un hotel que solicitaba el DNI de todos los huéspedes, lo escaneaba y almacenaba en su sistema informático, sin contar con base legal suficiente ni informar correctamente al usuario. La AEPD consideró que se vulneraban varios artículos del RGPD, incluyendo el principio de licitud del tratamiento y la falta de información transparente.
Otro caso afectó a una empresa de gestión de apartamentos turísticos que acumulaba fotocopias de pasaportes de clientes extranjeros. La AEPD volvió a incidir en que esta práctica no está prevista ni por la legislación de seguridad ciudadana ni por la normativa turística.
¿Qué deben hacer los alojamientos para cumplir la ley?
Desde APDTIC recordamos que los responsables del tratamiento deben:
- Recoger únicamente los datos exigidos por ley (nombre, apellidos, número de documento identificativo, fecha de entrada y salida, etc.).
- Evitar conservar fotocopias ni escaneos del DNI o pasaporte.
- Informar adecuadamente al usuario sobre el uso de sus datos.
- Establecer protocolos de actuación que respeten la normativa de protección de datos.
Aplicar estos criterios no solo evita sanciones, sino que refuerza la confianza del cliente y protege su derecho a la privacidad.
