¿Es legal pedir el DNI en hoteles y viviendas turísticas de particulares?

Los establecimientos turísticos deben registrar la identidad de sus huéspedes, pero ¿hasta dónde puede llegar esa obligación? ¿Puede un hotel fotocopiar el DNI o el pasaporte del cliente? La Agencia Española de Protección de Datos (AEPD) ha publicado esta semana una nota aclaratoria que resuelve una de las dudas más frecuentes del sector y pone el foco en el equilibrio entre la seguridad ciudadana y la protección de datos personales.

Esta aclaración se enmarca en la aplicación del Real Decreto 933/2021, que impone obligaciones documentales a quienes gestionan alojamientos o alquilan vehículos a motor, ya sean empresas o particulares.

¿Afecta esta normativa a los alquileres vacacionales o viviendas turísticas?

El decreto también se aplica a particulares o empresas que gestionen alquileres de corta duración, incluidas las viviendas turísticas y plataformas como Airbnb. Estos operadores deben cumplir las mismas obligaciones de registro e información, aunque no desarrollen la actividad de forma profesional.

¿Está permitido pedir una copia del DNI en un alojamiento turístico?

Solicitar una copia del documento de identidad no solo es innecesario, sino que también vulnera el principio de minimización de datos recogido en el artículo 5.1.c) del Reglamento General de Protección de Datos (RGPD). Los alojamientos deben recabar los datos imprescindibles para cumplir con la ley, y un escaneo del DNI excede con creces ese umbral.

Además del exceso de información (fotografía, fecha de caducidad, número CAN o incluso el nombre de los padres), conservar una copia del documento implica riesgos añadidos como posibles usos indebidos o suplantaciones de identidad.

¿Qué datos exige el Real Decreto 933/2021 al registrar a los huéspedes?

La norma no contempla copias de documentos, sino que establece la obligación de recoger ciertos datos identificativos antes de que el huésped acceda al alojamiento. Los campos concretos están recogidos en el Anexo I, apartados A.3 y B.3.

La finalidad no es otra que facilitar a las Fuerzas y Cuerpos de Seguridad del Estado una trazabilidad de los usuarios, en un contexto donde el alojamiento forma parte del modus operandi de algunas formas de criminalidad organizada.

¿Cómo deben recogerse los datos de los huéspedes?

En el caso de que el check-in se realice físicamente, la AEPD considera suficiente que el huésped muestre su documento de identidad para verificar visualmente que los datos facilitados en el formulario coinciden. No es necesario escanearlo ni conservarlo, lo que alivia también la carga administrativa del establecimiento.

Cuando la reserva o registro se realiza online, la verificación de la identidad puede hacerse mediante herramientas tecnológicas igualmente válidas, como certificados digitales, validación de los datos con el método de pago o envío de códigos de seguridad al teléfono o correo electrónico facilitado por el usuario. Estas alternativas permiten cumplir con la normativa de seguridad sin comprometer el derecho a la privacidad.

¿Existen otros métodos válidos para verificar la identidad del huésped?

La propia AEPD reconoce que podrían existir otros mecanismos igualmente lícitos, siempre que quien los aplique realice una evaluación previa del impacto sobre la protección de datos y se asegure de que se respetan los principios recogidos en el RGPD, trasladando la responsabilidad a los alojamientos, que deben ser diligentes al introducir nuevos procedimientos, en especial si automatizan procesos mediante inteligencia artificial o herramientas externas.

¿Por qué es aceptable mostrar el DNI y no entregar una copia?

Mostrar el DNI permite una verificación puntual y no intrusiva, mientras que entregar una copia genera un tratamiento completo del documento, por lo que solo la primera opción es compatible, en términos generales, con el RGPD y con la interpretación de la AEPD.

Obligaciones de los alojamientos

Esta interpretación de la AEPD exige un cambio de enfoque. No se trata solo de modificar formularios. Tanto los profesionales del sector turístico como los particulares que alquilan sus viviendas durante cortos periodos deben revisar sus protocolos de recogida de datos, actualizar sus políticas de privacidad y formar al personal en los nuevos criterios para el tratamiento de la información.

¿Cómo cumplir con la normativa?

La solución radica en la proporcionalidad y en el diseño de un proceso adaptado:

1. Conservar los datos solo durante el plazo legal de 3 años, como indica el artículo 5.3 del Real Decreto 933/2021.
2. Garantizar la seguridad en el almacenamiento y envío de la información.
3. Usar un formulario con solo los datos exigidos en el Anexo I.
4. Verificar esos datos visualizando el DNI, sin hacer copia.
5. Aplicar políticas internas de protección de datos.

La privacidad y la seguridad pueden (y deben) ir de la mano. El cumplimiento normativo no es una opción, sino una responsabilidad ineludible. Desde hoteles hasta particulares, todos los operadores están llamados a adaptarse a una legislación cada vez más exigente en materia de protección de datos.