Las sanciones de la AEPD en hostelería y turismo deben leerse por conductas concretas. Recoger datos excesivos, informar de manera incompleta o difundir una reserva son problemas diferentes, aunque aparezcan en el mismo servicio. La obligación de identificar a los huéspedes no permite cualquier método de recogida, y un aviso de privacidad no corrige por sí solo un tratamiento innecesario.
Esta guía parte de una resolución publicada y conecta sus conclusiones con las decisiones habituales de un alojamiento. Distingue ese expediente de los ejemplos hipotéticos posteriores y de la normativa actualmente aplicable. No presenta un ranking de infracciones ni asegura que una práctica origine siempre una multa determinada. Para organizar el programa completo, la guía de protección de datos en hoteles y turismo desarrolla el contexto operativo.
Un caso comprobable: el check-in de Marketing Accommodation Solutions
En el expediente PS/00499/2022, una viajera reclamó por los datos exigidos para realizar el registro de entrada en línea en un apartamento reservado mediante Airbnb. La entidad reclamada era Marketing Accommodation Solutions FZ, L.L.C. El sistema pedía imágenes del documento identificativo por ambas caras y la información sobre el tratamiento resultaba insuficiente. La reclamación relataba hechos de 2021; el número del expediente no convierte esos hechos en una aplicación del sistema actual de registro de viajeros.
La resolución oficial de la AEPD impone 25.000 euros por vulnerar el artículo 5.1.c del RGPD y 50.000 euros por el artículo 13. Son dos infracciones y un total de 75.000 euros en esa resolución. No debe presentarse la totalidad como una multa exclusivamente por fotocopiar el DNI, ni omitir el componente de minimización al resumir solo el incumplimiento informativo.
La parte dispositiva consultada impone esas cantidades; no describe un pago reducido que permita publicar una cifra inferior como importe abonado. La resolución prevé recursos, por lo que su publicación tampoco demuestra firmeza judicial. No se ha verificado aquí una sentencia posterior que confirme o modifique ese resultado. El caso sirve para comprender las dos obligaciones examinadas, sin atribuirle una conclusión judicial que el documento no acredita.
Para otro alojamiento, la enseñanza consiste en revisar por separado el formulario y la explicación al viajero. Un formulario puede pedir demasiado aunque su política de privacidad sea completa. También puede recoger campos justificados y, sin embargo, omitir quién es responsable, para qué los utiliza o cuánto tiempo los conserva. Corregir uno de esos elementos no subsana automáticamente el otro.
El registro de viajeros no autoriza a pedir una copia del DNI
La nota de la AEPD sobre documentos de identidad en hospedajes aclara que solicitar una copia del DNI o pasaporte para cumplir el Real Decreto 933/2021 vulnera la minimización. El problema no se limita a conservar la imagen indefinidamente: la propia solicitud recoge información que excede esa finalidad y genera riesgos adicionales. El documento tampoco contiene todos los datos que puede exigir el anexo del real decreto.
Por tanto, no basta con prometer que la copia se borrará al acabar la estancia. El establecimiento debe diseñar una recogida de los campos aplicables y un método proporcionado de comprobación. En la recepción presencial puede contrastar los datos con la exhibición del documento sin conservar su imagen. En la contratación a distancia debe examinar alternativas de verificación adecuadas al proceso, sin convertir el envío de fotografías por mensajería en la opción automática.
Supongamos que un programa de recepción obliga a adjuntar una imagen antes de permitir continuar. La solución debe buscarse también en la configuración o contratación del servicio: una instrucción verbal al recepcionista no cambia ese flujo. Comprueba qué se transmite al proveedor, qué queda almacenado temporalmente y qué pueden consultar sus técnicos. Un sistema que extrae campos de una imagen sigue realizando un tratamiento que debe analizarse, aunque la interfaz lo llame lectura rápida.
El cliente puede preguntar por el método empleado y por la información que se conserva. El establecimiento debería poder explicar la obligación legal y ofrecer un procedimiento coherente con ella. Si se produjo una recogida excesiva, revisa las copias existentes y su eliminación justificada, preservando de manera proporcionada las evidencias necesarias para atender una reclamación. No conviertas una política de archivo general en permiso para acumular documentos identificativos completos.
Qué exige realmente el Real Decreto 933/2021
El texto vigente del Real Decreto 933/2021 delimita sujetos, actividades y datos. Abarca actividades de hospedaje profesionales y no profesionales en los términos de la norma; no basta con llamarse particular para quedar fuera. También distingue obligaciones de registro documental y de comunicación. Los establecimientos deben comprobar qué apartado del anexo les corresponde, en lugar de reutilizar un formulario antiguo sin revisar su contenido.
Para quienes están sujetos al registro informático, los datos se conservan tres años desde la finalización del servicio o prestación contratada. El artículo 5.4 exceptúa de las obligaciones de registro documental y conservación de ese artículo a quienes desarrollan hospedaje de manera no profesional, manteniendo las obligaciones de comunicación del artículo siguiente. Esa excepción específica no elimina sus restantes responsabilidades sobre los datos que efectivamente traten.
El artículo 6 contempla comunicaciones inmediatas y, en todo caso, dentro de las 24 horas desde los hitos que establece, como la reserva o formalización, su anulación y el inicio de los servicios. No debe reducirse todo el procedimiento a enviar un único parte después de la salida. La recepción necesita identificar qué hecho activa cada comunicación y guardar constancia de su envío, incidencias y rectificaciones.
Ese plazo sectorial no debe confundirse con las 72 horas del RGPD para ciertas notificaciones de brechas. Tampoco los tres años de registro justifican conservar durante ese tiempo cualquier información del huésped. Las facturas, reclamaciones, preferencias opcionales y videograbaciones tienen finalidades y reglas distintas. Relacionarlas en el registro de actividades de tratamiento permite definir accesos y conservación sin mezclar automáticamente todas las bases de datos.
Informar al huésped sin ocultar finalidades
La información debe estar disponible cuando se recogen los datos e identificar las finalidades y sus bases, además de los restantes elementos exigidos por el artículo 13. Un enlace poco visible al final de la estancia no resuelve la recogida realizada durante la reserva. El aviso debe reflejar las operaciones reales del establecimiento y diferenciar lo obligatorio de los usos opcionales.
Por ejemplo, un correo puede servir para confirmar una reserva, enviar una factura o remitir promociones. Que el mismo campo soporte varias operaciones no les da una habilitación común. Explica cada uso y evita exigir una aceptación publicitaria para completar una obligación legal. Si se necesitan datos adicionales para una atención concreta, indica su finalidad sin convertirlos en campos obligatorios para todos los huéspedes.
La presentación por capas puede facilitar la lectura, pero debe permitir acceder al contenido completo. Comprueba la versión móvil, los idiomas relevantes para la clientela y el formulario que utiliza un intermediario. La información no debe contradecir el comportamiento del programa. Si el aviso afirma que no habrá comunicación a terceros, contrástalo con los destinatarios legales y con los proveedores que intervienen efectivamente.
Marketing y fidelización: una finalidad separada
El registro legal de viajeros no proporciona por sí solo una autorización publicitaria. Para añadir marketing hay que analizar una base del RGPD y las reglas del canal utilizado. En correo electrónico y medios equivalentes, el artículo 21 de la Ley 34/2002 parte de la solicitud o autorización previa, pero contempla una excepción bajo condiciones para relaciones contractuales previas.
Esa excepción requiere datos de contacto obtenidos lícitamente y publicidad de productos o servicios de la propia empresa similares a los contratados. Debe ofrecerse oposición sencilla y gratuita tanto al recoger los datos como en cada comunicación. No habilita a cualquier empresa del grupo ni a un socio comercial a utilizar la lista. Tampoco permite ignorar la oposición de quien ya ha pedido dejar de recibir mensajes.
Cuando el establecimiento se apoye en consentimiento, debe poder acreditar una decisión libre, informada y específica. Los ejemplos de consentimiento conforme al RGPD ayudan a separar esa elección de las condiciones de alojamiento. Una casilla previamente marcada o una fórmula genérica no demuestra aceptación válida. La baja debe reflejarse también en las herramientas externas para evitar que la próxima importación vuelva a activar al destinatario.
Un programa de fidelización puede combinar gestión de ventajas, mensajes promocionales y elaboración de perfiles. Analiza cada operación: la necesidad de administrar puntos no justifica por sí sola inferir preferencias íntimas o compartir el historial completo. Explica qué sucede al abandonar el programa y qué datos deben mantenerse por otros motivos. La separación de finalidades debe existir en el sistema, además de en la política.
Videovigilancia: el cartel es solo una parte
La instalación de cámaras en accesos o espacios comunes requiere una finalidad y una captación proporcionadas. No es automáticamente lícita por colocar un cartel. Deben revisarse el encuadre, la necesidad, los accesos a imágenes y la información disponible. La guía de videovigilancia en España desarrolla esas condiciones; los expedientes sobre cámaras permiten comparar hechos sin trasladar importes mecánicamente.
El artículo 22 de la LOPDGDD establece la supresión en un máximo de un mes desde la captación, con la excepción prevista para acreditar actos contra la integridad de personas, bienes o instalaciones. En ese supuesto, las imágenes deben ponerse a disposición de la autoridad competente dentro de las 72 horas desde el conocimiento de la grabación. Esa excepción no permite guardar todas las imágenes por si algún día fueran útiles.
En el ámbito laboral, el artículo 89 prohíbe cámaras o grabación de sonidos en lugares destinados al descanso o esparcimiento de los trabajadores, como vestuarios, aseos o comedores. El control empresarial tiene además deberes informativos y límites propios. La grabación de sonido no queda autorizada automáticamente con el vídeo: exige las condiciones específicas del apartado tercero. Revisa el equipo real, porque un micrófono activado por defecto puede ampliar el tratamiento previsto.
Reservas, wifi y gestión de ausencias
Una lista interna de reservas no es ilícita por contener nombres. El personal autorizado puede necesitar datos para prestar el servicio y gestionar incidencias, con base, minimización y seguridad adecuadas. El problema cambia cuando la lista queda a la vista del público, se envía a destinatarios incorrectos o se comparte en redes. Publicar nombres para avergonzar a quienes no acudieron no se justifica por la necesidad interna de gestionar una cancelación.
Como ejemplo hipotético, un restaurante necesita comunicar al turno siguiente qué mesas tienen una reserva pendiente. Puede facilitar esa información a quienes deben atenderla sin exponer teléfonos o comentarios innecesarios en un tablón visible desde la entrada. Si reclama un cargo por incomparecencia, conserva la documentación pertinente por el cauce adecuado. No debe utilizar una publicación pública como sustituto de la gestión contractual o judicial de la deuda.
El wifi de cortesía también merece una decisión propia. Examina qué identificadores registra, durante cuánto tiempo y quién los recibe. No conviertas el acceso a Internet en una aceptación indiscriminada de publicidad o seguimiento. Si un proveedor gestiona el portal, identifica su papel y los usos que realiza. La guía de protección de datos en hostelería y restauración ayuda a integrar estos servicios en la actividad cotidiana.
Proveedores y respuesta a un incidente
Las plataformas de reserva, el programa de gestión y el servicio de comunicaciones no tienen necesariamente el mismo papel jurídico. Según sus decisiones, pueden actuar como encargados, responsables independientes o corresponsables. Examina el tratamiento concreto y no solo la etiqueta del contrato. Cuando exista encargo, el artículo 28 exige contrato u otro acto jurídico vinculante conforme al Derecho de la Unión o de un Estado miembro, por escrito, incluido el formato electrónico.
El contrato de encargado del tratamiento debe reflejar el servicio real y sus garantías. Comprueba cómo se atienden solicitudes, qué accesos mantiene el proveedor y cómo informa de incidentes. Que una reserva proceda de una plataforma no descarga al alojamiento de sus propias obligaciones. Una respuesta que remite siempre al intermediario puede dejar sin atender datos que el hotel conserva en sus sistemas.
Ante una brecha de datos personales, el responsable documenta lo sucedido y evalúa el riesgo. Notifica a la autoridad competente sin dilación indebida y, de ser posible, dentro de las 72 horas desde que tiene conocimiento, salvo que sea improbable que exista riesgo para las personas; si se retrasa, explica los motivos. La comunicación a afectados depende del alto riesgo y sus condiciones. La notificación de brechas a la AEPD tiene un cauce distinto de una reclamación de cliente.
Si llega un requerimiento, identifica sus preguntas y aporta pruebas con fechas reales. La guía de la AEPD explica el marco de supervisión. Para comparar resoluciones, el seguimiento de sanciones de 2026 puede orientar la búsqueda, pero consulta siempre la decisión original y distingue propuesta, imposición, pago y recurso. Informar mejor o corregir pronto puede resultar relevante; ninguna de esas actuaciones garantiza por sí sola un archivo.
Preguntas frecuentes
¿Puedo conservar una copia del DNI si el huésped acepta?
El consentimiento no convierte en necesarios todos los datos del documento para cumplir el registro de viajeros. La AEPD considera excesiva la solicitud de la copia con esa finalidad. Debe organizarse una recogida proporcionada de los datos exigibles y una comprobación adecuada de identidad. No presentes una aceptación genérica como solución a un método innecesario.
¿Todos los correos publicitarios necesitan consentimiento?
La regla del artículo 21 de la Ley 34/2002 tiene una excepción para relaciones contractuales previas bajo las condiciones explicadas, incluida la oposición sencilla y gratuita. Hay que cumplir también el RGPD. El registro obligatorio de viajeros, por sí solo, no demuestra que un envío promocional esté permitido ni que cualquier destinatario sea un cliente habilitante para esa excepción.
¿Los 75.000 euros son una multa fija por pedir el DNI?
No. La resolución analizada impuso 25.000 euros por minimización y 50.000 euros por información. Son importes vinculados a sus hechos y valoración. Otros casos pueden tener conductas, circunstancias y resultados distintos. El texto de la resolución consultada tampoco acredita un pago final reducido ni una confirmación judicial posterior.
Marco europeo: Reglamento General de Protección de Datos, texto oficial.