Un alojamiento necesita distinguir qué datos recoge para prestar la estancia, cuáles debe comunicar por seguridad ciudadana y cuáles pretende utilizar para servicios adicionales. La obligación de identificar a los viajeros no permite guardar una copia completa de su documento ni convertir el registro policial en una lista comercial. Cada finalidad necesita una justificación, una información adecuada y una conservación propia.
Esta guía está centrada en hoteles y otras actividades de hospedaje en España. Un negocio turístico que solo organiza visitas o sirve comidas no queda sometido automáticamente a todas las obligaciones de un alojamiento. Para la restauración, conviene consultar también la guía de RGPD para hostelería. Las referencias normativas y administrativas siguientes se han revisado el 27 de septiembre de 2026.
Delimitar quién debe registrar y quién debe comunicar
El Real Decreto 933/2021 define las actividades de hospedaje comprendidas en su ámbito, incluidas determinadas actividades de intermediación, y se aplica con independencia de que se ejerzan profesionalmente. Hay que examinar la actividad concreta, no solo la denominación comercial. Un hotel, una vivienda turística y una plataforma pueden tener funciones diferentes dentro de una misma reserva.
La distinción entre registro y comunicación es esencial. El artículo 5 exige el registro informático y establece su conservación durante tres años desde la finalización del servicio contratado. Sin embargo, su apartado 4 exceptúa del registro documental y de esa conservación a quienes desarrollan el hospedaje de manera no profesional. Estas personas siguen sujetas a las comunicaciones del artículo 6. No debe trasladarse a todos los anfitriones una obligación de archivo que la norma diferencia expresamente.
Las preguntas frecuentes de Interior, actualizadas el 10 de agosto de 2026, explican esta separación. Son orientación administrativa y no una modificación del real decreto. Antes de configurar el sistema, documente quién explota el alojamiento, su condición profesional o no profesional y las obligaciones que le corresponden. Si interviene un gestor, concrete también qué actuaciones realiza por cuenta del titular.
Organizar las comunicaciones por acontecimientos
El plazo no comienza únicamente cuando el huésped llega a recepción. El artículo 6 exige comunicar de manera inmediata y, en todo caso, en un plazo máximo de 24 horas desde la formalización de la reserva o contrato, su anulación y el inicio de los servicios contratados, respectivamente. Configure estos acontecimientos por separado. Una cancelación también puede generar una comunicación, aunque nunca se produzca una estancia.
Imagine una reserva confirmada el lunes, modificada en el sistema comercial y finalmente cancelada el miércoles. El personal debe poder reconstruir qué información se recibió, qué acontecimiento exigía comunicación y qué mensaje se envió. No basta con que el programa muestre el estado final «cancelada». La responsabilidad operativa requiere una persona que revise rechazos, datos incompletos y mensajes pendientes.
Antes del inicio de la actividad existen además comunicaciones sobre el titular y el establecimiento. Compruebe el alta, las modificaciones y el canal electrónico habilitado por Interior, incluido SES.Hospedajes. Si un proveedor transmite los datos, acuerde quién verifica el resultado y conserva la evidencia necesaria. Una incidencia informática debe detectarse y gestionarse; no convierte por sí sola el plazo legal en un plazo aproximado.
Verificar la identidad sin archivar el DNI completo
El establecimiento debe velar por la exactitud de los datos y su correspondencia con los documentos o sistemas que acreditan la identidad. Esta comprobación no equivale a una obligación de fotocopiar el DNI o el pasaporte. La nota de la AEPD de 17 de junio de 2025 considera excesiva la solicitud de una copia para cumplir el registro de hospedajes: incluye información innecesaria y tampoco contiene todos los campos exigidos por el real decreto.
En una recepción presencial, puede recogerse la información necesaria mediante un formulario y contrastarla visualmente con el documento. El procedimiento debe explicar al empleado qué datos necesita comprobar y qué no debe conservar. Evite que una práctica informal, como fotografiar el documento con un móvil personal, cree un archivo paralelo fuera de los controles del alojamiento. El principio de minimización de datos se aplica también cuando la recogida responde a una obligación legal.
En la atención remota, Interior admite sistemas que permitan verificar la exactitud y sean compatibles con la normativa de protección de datos. La AEPD menciona posibles mecanismos de autenticación, pero no impone una tecnología universal ni aprueba cualquier escáner u OCR. Evalúe el proceso completo: qué recibe el proveedor, qué conserva, durante cuánto tiempo y quién accede. Cambiar una fotografía enviada por mensajería por una fotografía subida a una aplicación no resuelve automáticamente el exceso de recogida.
Aprender de una resolución sin inventar una multa
En el expediente EXP202502936, resolución PA-00046-2025, la AEPD examinó la petición de imágenes de documentos de identidad por WhatsApp para una reserva de alojamiento turístico. La resolución contiene un apercibimiento y una orden correctiva para acreditar la supresión de la copia y la minimización de futuras recogidas. No es un ejemplo de multa económica.
La lección operativa consiste en revisar el canal y los datos, no solo en cambiar el texto informativo. Si ya existen copias recogidas sin justificación, hay que evaluar su supresión y los lugares donde permanecen: chats, descargas, carpetas compartidas o dispositivos. Documente la actuación y atienda las solicitudes de las personas. La resolución prevé vías de recurso; no se afirma aquí un resultado judicial posterior que no se ha verificado.
Separar la reserva, la estancia y el registro obligatorio
La ejecución del contrato puede justificar datos necesarios para una reserva cuando el interesado sea parte del contrato, o medidas precontractuales solicitadas por él. No ampara cualquier preferencia o perfil comercial. En reservas de empresa, grupos o estancias contratadas por otra persona, examine la posición de cada viajero y la base aplicable. No todos los huéspedes son necesariamente la parte que contrató directamente con el hotel.
La obligación de comunicación de viajeros tiene su propia base legal y finalidad. El huésped debe recibir información comprensible sobre ella, aunque no tenga que consentir el cumplimiento de esa obligación. Evite una casilla que presente como voluntaria la comunicación obligatoria. Tampoco debe mezclarse con la aceptación de publicidad, porque el cliente podría creer que rechazar ofertas impide alojarse.
El registro de actividades de tratamiento debería reflejar estas diferencias. Puede relacionar los sistemas utilizados sin convertirlos en una única finalidad. Recepción necesita gestionar la estancia; facturación necesita determinados datos económicos; el personal comercial no necesita acceso general al registro de viajeros. La separación de permisos ayuda a hacer efectiva la separación jurídica.
Elegir los campos del formulario y explicar su uso
Utilice el apartado del anexo I que corresponda a la actividad y al sujeto obligado. No añada campos «por si acaso» ni invente valores para superar una validación. Si falta información, debe existir una vía para solicitarla o corregirla. En particular, la recogida de datos de menores debe ajustarse al régimen del real decreto y no convertirse en una petición indiscriminada de documentos familiares adicionales.
Revise los formularios en todos los canales. El formulario de la web, el enviado por correo y el utilizado en recepción pueden haber evolucionado de manera distinta. Compare sus campos con las finalidades documentadas y compruebe qué ocurre con las respuestas libres. Una observación sobre una alergia, una discapacidad o una petición religiosa puede revelar información especialmente protegida, que requiere valorar también el artículo 9 del RGPD.
La información debe estar disponible cuando se recogen los datos y adaptarse al canal. Una explicación breve puede remitir a detalles accesibles, pero no ocultar el responsable, los usos, los destinatarios o los derechos. Forme al personal para responder por qué se solicita cada campo. Si nadie puede explicarlo, conviene revisar si ese dato es necesario o si el formulario está mal diseñado.
Fidelización y publicidad: evitar bases jurídicas automáticas
La gestión de un programa de fidelización no exige necesariamente consentimiento para cada operación. Determinados tratamientos necesarios para un programa solicitado por el cliente pueden apoyarse en su relación contractual; otros, como ciertos usos promocionales o perfiles, necesitan una evaluación propia. Lo decisivo es la operación concreta, su necesidad y la base aplicable. No incluya todos los usos bajo una aceptación genérica del programa.
Para correos y mensajes comerciales deben considerarse conjuntamente el RGPD y el artículo 21 de la LSSI. La regla de autorización previa tiene una excepción para una relación contractual previa, datos de contacto obtenidos lícitamente y productos o servicios de la propia empresa similares a los contratados. Debe ofrecerse oposición sencilla y gratuita al recoger los datos y en cada comunicación. Esa excepción no autoriza cualquier campaña del grupo empresarial.
Cuando se utilice consentimiento, este debe ser libre, específico, informado y demostrable, con una retirada sencilla. La guía de consentimiento con ejemplos ayuda a diseñar ese recorrido, mientras que la explicación de la LSSI-CE permite distinguir los requisitos del canal. Los datos recogidos exclusivamente para el registro de viajeros no pasan automáticamente al marketing. La guía sobre sanciones de marketing sirve como contexto, sin sustituir el análisis de cada campaña.
Aclarar las funciones de plataformas y proveedores
Una agencia de viajes online puede tratar datos para sus propios servicios y cumplir funciones diferentes en la gestión de una reserva. La calificación como responsable independiente, corresponsable o encargado depende de quién determina los fines y los medios esenciales de cada tratamiento. No debe deducirse únicamente del nombre de la plataforma o de que esta facture una comisión.
Documente el flujo desde la plataforma hasta el sistema del alojamiento: qué datos se reciben, quién informa al viajero, quién corrige errores y qué ocurre si alguien ejerce un derecho. La distinción entre responsable y encargado ayuda a formular estas preguntas. Si existe un encargo, aplique las obligaciones del artículo 28; una aceptación comercial de condiciones no sustituye la comprobación de su contenido.
Revise también el acceso de soporte, los subencargados y las transferencias internacionales. Un servidor europeo no demuestra por sí solo que nadie acceda desde otro país, y una empresa extranjera no describe por sí sola un flujo concreto. La guía de transferencias internacionales permite ordenar esa revisión. Pida información sobre la configuración contratada y conserve las decisiones relevantes.
Limitar lo que recogen el wifi y las cámaras
El wifi puede generar identificadores y registros técnicos, pero los datos concretos dependen de la configuración. Determine qué se necesita para prestar y proteger el servicio antes de exigir un registro nominal. No presuponga que un hotel está sujeto a todas las obligaciones de conservación propias de un operador de telecomunicaciones. Cualquier obligación específica debe identificarse; la simple expresión «por seguridad» no justifica guardar toda la navegación.
Separe el acceso al wifi de una suscripción promocional. Revise si el proveedor inserta rastreadores o utiliza los datos para fines propios. Informe de los tratamientos reales y limite la duración de los registros conforme a su necesidad. Las conexiones deben estar protegidas y separadas de los sistemas internos del establecimiento, con acceso administrativo restringido y una persona responsable de revisar la configuración.
En videovigilancia, el artículo 22 de la LOPDGDD establece la supresión en un máximo de un mes desde la captación, con la excepción prevista para acreditar determinados actos contra personas, bienes o instalaciones. En ese caso, las imágenes deben ponerse a disposición de la autoridad competente en un máximo de 72 horas desde que se conozca la existencia de la grabación. No sustituya un mes por una regla universal de 30 días. La guía de videovigilancia desarrolla información, ubicación y acceso a las imágenes.
Evaluar la biometría y las llaves digitales antes del despliegue
Una llave móvil puede necesitar un identificador y un periodo de validez, sin requerir una historia detallada de todos los movimientos del huésped. Examine quién accede a los registros, si la aplicación incorpora usos adicionales y cómo se revoca la llave al terminar la estancia. Una función cómoda para recepción no justifica automáticamente todos los datos que el proveedor permite almacenar.
Si se introduce reconocimiento facial para identificar de manera unívoca, entran en juego datos biométricos especialmente protegidos. Hay que justificar tanto una base del artículo 6 como una excepción aplicable del artículo 9, además de necesidad, proporcionalidad y garantías. El consentimiento explícito no es una solución automática a un sistema innecesario o a una elección que no sea realmente libre. No toda fotografía, por sí sola, equivale a identificación biométrica.
Valore la necesidad de una evaluación de impacto antes de iniciar tratamientos que puedan entrañar un alto riesgo. Compare alternativas menos intrusivas y examine qué sucede si una persona no puede utilizar la tecnología. El análisis debe influir en el diseño y en la decisión de desplegar, no limitarse a documentar un producto ya instalado.
Aplicar la conservación y responder a los derechos
La reserva, la factura, la imagen de cámara y el registro de viajeros no deben recibir un mismo plazo por comodidad informática. Para las obligaciones fiscales, contables o de defensa de reclamaciones, identifique la categoría documental, el fundamento y el inicio del cómputo. Distinga uso activo, archivo restringido y, cuando proceda, bloqueo. No conserve toda la ficha del huésped durante el plazo más largo de cualquiera de sus documentos.
La limitación de la conservación debe traducirse en reglas ejecutables y comprobaciones. Una baja comercial puede requerir conservar información mínima para respetar la oposición, sin mantener el perfil promocional completo. Compruebe también exportaciones y copias de trabajo. Un dato borrado del sistema principal puede seguir circulando en una hoja descargada por recepción.
Organice una entrada clara para ejercer los derechos RGPD. La existencia de una obligación de conservación puede limitar la supresión de determinados datos, pero no elimina el derecho a recibir respuesta ni justifica ignorar la solicitud. Si se detecta una exposición indebida, active la gestión de brechas de seguridad, documente la evaluación y valore las comunicaciones exigibles según sus condiciones.
Comprobar el recorrido completo del huésped
Realice una revisión con una reserva ficticia: confirmación, comunicación, llegada, verificación, salida y supresión. Compruebe qué empleados ven los datos y qué ocurre si el huésped cancela o rechaza publicidad. Incluya un rechazo de la plataforma de comunicaciones y una solicitud de rectificación. Estos casos revelan fallos que una mera lectura de cláusulas puede pasar por alto.
Una auditoría RGPD y una lista de comprobación para España pueden ordenar la revisión. Si se estudia software de cumplimiento, pida demostrar estas tareas con datos ficticios y aclarar qué depende del proveedor y qué sigue siendo responsabilidad del establecimiento. La herramienta debe apoyar un procedimiento definido y verificable.
Preguntas frecuentes
¿Un anfitrión no profesional debe guardar el registro durante tres años?
El artículo 5.4 lo exceptúa de las obligaciones de registro documental y conservación de ese artículo, pero mantiene las comunicaciones del artículo 6. Esto no elimina otras obligaciones que puedan corresponder a su actividad. Debe identificar su situación y conservar únicamente lo justificado por cada finalidad.
¿Se puede pedir una fotografía del pasaporte para el registro de viajeros?
La AEPD considera excesivo solicitar una copia para cumplir esa finalidad. La identidad y la exactitud deben comprobarse mediante un procedimiento compatible con la minimización. Un método remoto no queda aprobado por ser digital: hay que evaluar sus datos, accesos y conservación.
¿Toda fidelización exige consentimiento?
No necesariamente para todas sus operaciones. La gestión contractual del programa, el envío promocional y la elaboración de perfiles pueden requerir análisis distintos. Cuando corresponda consentimiento, debe obtenerse válidamente; además, las comunicaciones electrónicas deben cumplir la LSSI y permitir la oposición en los términos aplicables.