La Comisión Europea (CE) ha abierto un expediente de infracción a España por el registro de viajeros, con el que obliga a los negocios del alojamiento turístico y del alquiler de automóviles a recopilar un listado de datos en profundidad sobre los clientes que se hospedan.
Estos datos se consignan en tiempo real (se deben actualizar al momento con cada nuevo cliente) para ser enviados al Ministerio del Interior e incluyen información como los datos de pago, la residencia habitual del huésped, el número de viajeros en la reserva y las hora de entrada y salida.
Ahora, el organismo supranacional ha aclarado que la normativa española, que entró en vigor en diciembre de 2024, vulnera la protección de datos en el marco europeo. Con ello, la comisión da la razón a las organizaciones representativas del sector, que venían avisando de esta problemática desde que la norma entró en vigor el pasado diciembre de 2024.
- La Comisión Europea señala que los datos almacenados son excesivos
- Las organizaciones representativas del sector piden que se modifique el sistema para recopilar los datos
- Las sanciones por incumplir con la protección de datos son mayores que por incumplir el registro
La Comisión Europea señala que los datos almacenados son excesivos
Entre los argumentos mencionados por la CE para abrir el procedimiento, la entidad aclara que las categorías de datos personales recogidos y almacenados “son excesivas, debido a la variedad de conjuntos de datos, incluidos los datos de pago y del GPS”.
La normativa de protección de datos exige que estos se recopilen de manera proporcionada y con una finalidad determinada, explícita y legítima. Sin embargo, la comisión también señala que el acceso por parte de las autoridades policiales a estos datos no cumple tampoco con este principio.
Además, el Gobierno conservará los datos almacenados por un período de tres años, otro aspecto con el que las autoridades europeas tampoco están de acuerdo, al considerar que se trata de “un plazo de tiempo desproporcionado”.
Todo ello incumple la directiva sobre protección de datos europea (Directiva (UE) 2016/680), motivando al envío de una carta de emplazamiento a España, que indica la apertura del expediente de infracción. Mediante su envío, da a España un plazo de dos meses para responder y subsanar los aspectos que necesitan cambio.
El incumplimiento de este requerimiento de la UE podría llevar a que la comisión emitiera un dictamen motivado. Este iniciaría una segunda fase en el procedimiento de infracción para España cumpliera con lo que exige la directiva, antes de llevar el caso ante el Tribunal Superior de Justicia de la UE (TJUE).
Las organizaciones representativas del sector piden que se modifique el sistema para recopilar los datos
Tras el anuncio de Bruselas, la Confederación Española de Hoteles y Alojamientos Turísticos (CEHAT) pide la inmediata derogación del Real Decreto 933/2021 que regula el registro y la apertura de una mesa de diálogo con el Ejecutivo para abordar la situación.
Según explicó a este medio Ramón Estatella, secretario general de CEHAT, el sector lleva tiempo intentando reunirse con el ministerio para tratar el asunto sin éxito, después de que la normativa se aprobara “a espaldas del sector”.
La nueva obligación no solo aumenta la carga de trabajo para los negocios del sector, sino que, efectivamente, vulnera la normativa de protección de datos, como venían denunciando desde hace tiempo.
Además, el TJUE también falló que la cesión de información privada debe restringirse estrictamente a lo necesario y limitarse a supuestos «específicos, concretos y justificados» bajo sospechas reales de criminalidad grave. “Enviar datos de forma indiscriminada a las autoridades es ilegal en la UE. No hay ningún país de la unión donde, por pernoctar en un hotel, se informe a las autoridades de que esa persona está ahí. Eso es ilegal en la UE, salvo en caso de alerta terrorista grave”, destacó Estatella.
Para evitar incurrir en infracciones en protección de datos, la patronal del sector viene pidiendo, al menos, un cambio en el procedimiento para cumplir con la transmisión de información al ministerio.
En concreto, en CEHAT exigen la instalación de aparatos para leer los DNI o los pasaportes, que estuvieran directamente conectados al Ministerio del Interior para no tener que almacenar los datos. De esta forma, podrían evitar cualquier riesgo de ciberseguridad.
Asimismo, la patronal de alojamientos viene denunciando otros “fallos estructurales graves” en el real decreto. Entre ellos, aducen un incremento de la carga administrativa para los negocios del sector “desproporcionada”, que penaliza la competitividad de los más pequeños, y un gran desconocimiento de la operativa por parte del ministerio. “Se elaboró ignorando los sistemas de gestión diarios de los establecimientos hoteleros y de hospedaje”.
Las sanciones por incumplir con la protección de datos son mayores que por incumplir el registro
Paradójicamente, las sanciones por vulnerar la normativa de protección de datos son superiores a las fijadas por el ministerio por incumplir con el registro de viajeros, que alcanzan los 30.000 euros en su grado máximo.
Sin embargo, las multas del Reglamento general de protección de datos (RGPD) alcanzan los 40.000 euros, en su grado leve; los 300.000 euros, en su grado grave, y los 20 millones de euros (o el 4% del volumen anual de negocio), si son muy graves.
