- Las pymes tienen que recopilar datos de sus clientes, pero Protección de datos puede sancionarles
- Una sanción de 70.000 euros que plantea dudas de proporcionalidad
- ¿Por qué se multiplican las sanciones en el sector turístico por la protección de datos?
- La nota informativa de junio de la AEPD: un aviso claro al sector
- Consecuencias prácticas para autónomos y pymes del hospedaje
Los autónomos y pequeños negocios siguen enfrentándose a un terreno complicado en materia de protección de datos. Aunque el Real Decreto 933/2021 les obliga a recoger y remitir a las autoridades determinados datos de sus huéspedes, la Agencia Española de Protección de Datos (AEPD) considera ilegal escanear o fotocopiar el DNI completo.
La abogada Rodanthi Tzortzaki, de Navas & Cusi Abogados, explicó a este medio que “la clave está en la ponderación entre el principio de minimización de datos y la obligación legal de verificación de identidad. La AEPD da prioridad al primero, pero sin aportar soluciones técnicas viables para los hospedajes digitales”. En otras palabras: está sancionando cada vez más a las empresas por escanear un DNI, a pesar de que la normativa les obliga a recopilar datos de sus clientes.
La última resolución conocida refleja esta tensión: una empresa del sector fue sancionada pro este motivo con 70.000 euros (reducidos a 42.000 al tratarse de pago voluntario) a pesar de que, según alegó, no almacenaba ninguna imagen y se limitaba a realizar una lectura automática equivalente a la revisión presencial que haría un recepcionista. Para la letrada, sanciones de esta cuantía plantean “dudas de proporcionalidad” y generan una inseguridad creciente entre autónomos y pequeñas empresas.
A este escenario se suma la nota informativa publicada por la AEPD en junio, en la que aclara que no está permitido solicitar copia del DNI o pasaporte en hospedajes. Aunque no introduce nuevas obligaciones, refuerza la línea interpretativa del organismo. Y según Tzortzaki, “anticipa que las sanciones seguirán en esta dirección”, lo que preocupa especialmente a quienes gestionan viviendas turísticas sin recepción física.
Las pymes tienen que recopilar datos de sus clientes, pero Protección de datos puede sancionarles
Los autónomos del hospedaje están atrapados entre dos exigencias que chocan de frente: por un lado, deben verificar la identidad del viajero y comunicar ciertos datos a las Fuerzas y Cuerpos de Seguridad (LO 4/2015 y RD 933/2021); por otro, la AEPD les prohíbe escanear el DNI, porque vulnera el principio de minimización de datos del RGPD (art. 5.1.c), que obliga a tratar solo la información estrictamente necesaria.
La priorización de la que habla la experta se traduce en una prohibición de escanear o fotocopiar el DNI/pasaporte para registrar al huésped, incluso cuando el establecimiento solo pretende capturar automáticamente los campos exigidos por el Real Decreto 933/2021.
La AEPD defiende que basta con la comprobación visual del documento en el registro presencial o con medios electrónicos que no conserven imágenes completas del documento.
El choque aparece, como subrayó Tzortzaki, en entornos sin recepción física o con un check-in remoto, en los que “no se ofrecen alternativas técnicas claras que permitan verificar la identidad con garantías sin incurrir en un exceso de tratamiento”.
La consecuencia, advirtió la letrada, es una inseguridad jurídica creciente para autónomos y pymes del hospedaje: si no verifican suficientemente, arriesgan incumplir su deber ante Interior; si digitalizan el documento para agilizar el proceso, se exponen a sanciones por exceso de datos.
“Se limita el uso de herramientas digitales diseñadas precisamente para verificar la identidad, sin una guía técnica concreta que equipare de forma efectiva esa verificación remota a la exhibición física del documento”, resumió.
Una sanción de 70.000 euros que plantea dudas de proporcionalidad
El choque de interpretaciones entre lo que exige la ley y lo que sanciona la AEPD ha tenido su reflejo más claro en la última resolución contra una empresa de hospedaje, multada con 70.000 euros por escanear el DNI de sus clientes. La cuantía, reducida a 42.000 en caso gracias al pago voluntario, es muy superior a las sanciones que se venían aplicando hasta ahora (entre 1.000 y 30.000 euros) y marca un endurecimiento de los criterios de la agencia estatal.
Lo llamativo del caso es que la empresa sancionada alegó que no almacenaba ninguna imagen del documento. La abogada Rodanthi Tzortzaki considera que este punto debería haberse tenido en cuenta: “La empresa explicó que no guardaba las imágenes y que sólo hacía lo mismo que un recepcionista podría hacer: mirar el DNI físicamente”.
La clave de la sanción está en que el RGPD califica la vulneración de los principios básicos, como el de minimización, como una infracción muy grave (art. 83.5). Pero, como advierte Tzortzaki, esto no resuelve la cuestión de fondo. “Para un autónomo o pequeña pyme del sector del hospedaje, una sanción de esta cuantía es difícilmente asumible y puede tener un efecto disuasorio excesivo, desproporcionado respecto al riesgo real”, denunció.
Esta sanción ejemplifica un cambio de rumbo: la AEPD parece dispuesta a aplicar con severidad el principio de minimización, incluso en casos en los que no hay almacenamiento de datos. Lo que explica que, en los últimos meses, se hayan multiplicado las resoluciones contra negocios turísticos.
Un aumento de sanciones que, según la abogada, no se entiende sin analizar el impacto de la digitalización y los nuevos riesgos asociados.
¿Por qué se multiplican las sanciones en el sector turístico por la protección de datos?
Las multas de la AEPD no son casos aislados ni puntuales: en los últimos meses se han multiplicado las resoluciones contra alojamientos turísticos. ¿El motivo? Una creciente tensión entre la digitalización de los procesos de registro y los principios de protección de datos que exige la normativa.
Según la abogada Rodanthi Tzortzaki, el problema de fondo es que los hospedajes, para cumplir con su obligación legal de verificar la identidad de los viajeros, recurren a sistemas digitales como la lectura MRZ del DNI o pasaporte, diseñados para automatizar la verificación. “Cuantas más soluciones tecnológicas se dan, más conflictos se van a crear en materia de protección de datos porque muchas veces las administraciones públicas no llegan a entenderlas”, señaló.
A esta tensión se suma otro factor que preocupa a las autoridades: la suplantación de identidad en entornos digitales. Como apuntó la letrada, “con un único incidente de ciberseguridad, cientos o miles de DNI pueden acabar en manos de estafadores”. Esta es una de las razones por las que la AEPD aplica un criterio tan restrictivo con los sistemas de verificación automática.
El resultado es que los autónomos y pequeños negocios del sector ven cómo cada avance tecnológico que les facilita el registro de clientes puede convertirse en un riesgo sancionador. Y, según Tzortzaki, esta tendencia sólo irá en aumento: “Seguramente veremos más conflictos a medida que se extienda el uso de soluciones digitales e inteligencia artificial en los registros de viajeros”.
Una línea sancionadora que ha quedado reforzada con la publicación, el pasado junio, de una nota informativa de la propia AEPD en la que aclara expresamente qué prácticas están prohibidas en el registro de huéspedes.
La nota informativa de junio de la AEPD: un aviso claro al sector
El pasado junio, la AEPD quiso zanjar las dudas con una nota informativa que ha tenido un fuerte impacto en el sector del hospedaje. En ella, el organismo recordó de forma tajante que no está permitido solicitar copia del DNI o pasaporte a los huéspedes, ni siquiera con el argumento de agilizar el registro.
La Agencia aclaró que los alojamientos sólo deben anotar los datos expresamente exigidos por el Real Decreto 933/2021 (nombre, número de documento, nacionalidad, fecha de nacimiento, entre otros) y que basta con una comprobación visual del documento o el uso de medios electrónicos que no conserven imágenes completas.
Para la abogada Rodanthi Tzortzaki, esta nota no introduce ninguna obligación nueva, pero sí confirma la línea sancionadora de la Agencia, ya que “refuerza la interpretación de la AEPD y anticipa que las sanciones seguirán en esta dirección”. En su opinión, se trata de un aviso oficial a autónomos y pymes del sector para que adapten sus sistemas a procedimientos que recojan únicamente los datos obligatorios.
El problema es que este criterio, aun siendo claro en la teoría, no aporta soluciones prácticas a los negocios que funcionan de manera digital o sin recepción física. “El empresario tiene la obligación legal de comprobar la identidad, pero se le limita el uso de herramientas diseñadas precisamente para ese fin”, señaló la letrada.
Consecuencias prácticas para autónomos y pymes del hospedaje
Para los autónomos y pequeños negocios turísticos, la situación actual se traduce en una inseguridad jurídica constante. Deben cumplir con la obligación legal de verificar la identidad de sus huéspedes y remitir datos a las autoridades, pero al mismo tiempo se les prohíbe usar herramientas digitales que facilitan este proceso.
La abogada Rodanthi Tzortzaki advirtió de que “esto afecta sobre todo a viviendas turísticas sin recepción física, donde es imposible la comprobación presencial. En un entorno donde cada vez más procesos se hacen en remoto, sorprende que la AEPD no reconozca que un sistema que sólo lee el DNI sin almacenarlo cumple el mismo fin que la exhibición física”.
Este vacío de soluciones técnicas genera un riesgo evidente: cualquier autónomo que intente cumplir la ley mediante procedimientos digitales se expone a sanciones elevadas, mientras que quienes no verifican con suficiente rigor pueden incumplir sus obligaciones con Interior. “El empresario tiene una obligación legal de comprobar la identidad, pero se le limita el uso de herramientas digitales diseñadas precisamente para ese fin, sin ofrecer alternativas viables”, resumió Tzortzaki.
El resultado es un panorama en el que las multas no sólo tienen un efecto económico devastador para pequeños negocios, sino que además generan un efecto disuasorio que frena la digitalización del sector.
