Notas sobre el DNI, minimización y formularios en hospedajes
La protección de datos personales constituye un pilar esencial en el equilibrio entre las necesidades de seguridad pública y el respeto a los derechos fundamentales. En este contexto, el Real Decreto 933/2021, de 26 de octubre, establece obligaciones específicas para las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos, con el propósito de garantizar la protección de personas y bienes frente a actividades delictivas. Este marco normativo, sin embargo, plantea desafíos significativos en relación con el principio de minimización de datos, consagrado en el artículo 5.1.c del Reglamento General de Protección de Datos de la Unión Europea. La Agencia Española de Protección de Datos, en una nota publicada el 17 de junio de 2025, ha clarificado los procedimientos adecuados para cumplir con dichas obligaciones sin comprometer los derechos de los usuarios.
El Real Decreto 933/2021 impone a los titulares de actividades de hospedaje la obligación de recoger determinados datos de las personas que utilizan sus servicios, conforme a los apartados A.3, A.4, B.3 y B.4 del Anexo I. Estos datos, destinados a garantizar la seguridad ciudadana frente a actividades delictivas, deben recopilarse con carácter previo al inicio de la actividad de hospedaje. Sin embargo, la práctica extendida de solicitar copias completas del Documento Nacional de Identidad o del pasaporte plantea serios problemas jurídicos. Según la Agencia Española de Protección de Datos, esta práctica vulnera el principio de minimización de datos, ya que dichos documentos contienen información excedente, como la fotografía, la fecha de caducidad, el código alfanumérico o el nombre de los padres, que no es requerida por el Real Decreto. La recopilación de datos innecesarios no solo contraviene el Reglamento General de Protección de Datos, sino que también incrementa los riesgos de suplantación de identidad, un peligro que debe mitigarse para proteger la privacidad de los usuarios.
La finalidad del Real Decreto 933/2021, según su exposición de motivos, radica en reforzar la seguridad pública ante la relevancia de la logística del alojamiento en el modus operandi de actividades delictivas. No obstante, la solicitud de una copia del Documento Nacional de Identidad no garantiza una verificación efectiva de la identidad de la persona, lo que cuestiona su idoneidad para cumplir con los objetivos de la norma. Además, este documento no incluye toda la información requerida por el Anexo I, como ciertos datos de contacto o detalles específicos de la estancia, lo que lo convierte en un recurso insuficiente por sí solo. La Agencia Española de Protección de Datos subraya que el tratamiento excesivo de datos no solo es innecesario, sino que también resulta desproporcionado, contraviniendo los principios de necesidad y proporcionalidad que rigen el tratamiento de datos personales en el marco europeo.
Para cumplir con las obligaciones del Real Decreto 933/2021, la Agencia Española de Protección de Datos propone el uso de formularios diseñados específicamente para recoger únicamente los datos exigidos en los apartados mencionados del Anexo I. Estos formularios, que pueden cumplimentarse de manera presencial o en línea, representan una solución práctica y conforme al principio de minimización. Al limitar la recopilación a la información estrictamente necesaria, se evita el tratamiento excesivo de datos y se reduce el riesgo de vulneraciones de privacidad. La simplicidad de este enfoque permite a los titulares de actividades de hospedaje cumplir con la normativa sin imponer cargas innecesarias a los usuarios, al tiempo que se garantiza que la información recopilada sea adecuada para los fines de seguridad establecidos en el Real Decreto.
La autenticación de los datos recogidos constituye otro aspecto crucial para garantizar el cumplimiento normativo. En el caso de la recogida presencial, la Agencia Española de Protección de Datos considera suficiente la verificación visual de la correspondencia entre los datos proporcionados en el formulario y el Documento Nacional de Identidad o pasaporte exhibido por el usuario. Este procedimiento, que no implica la retención de copias del documento, respeta los principios de minimización y proporcionalidad, al tiempo que permite confirmar la veracidad de la información sin generar riesgos adicionales. La inspección visual, realizada de manera directa y sin almacenamiento de datos excedentes, ofrece una solución práctica que equilibra las necesidades de seguridad con la protección de la privacidad.
En los casos de recogida de datos en línea, donde no existe interacción presencial, la autenticación requiere mecanismos alternativos. La Agencia Española de Protección de Datos sugiere el uso de certificados digitales, que proporcionan un alto nivel de seguridad para verificar la identidad del usuario. Asimismo, propone la posibilidad de cotejar los datos facilitados con la información asociada al medio de pago utilizado, como tarjetas de crédito o plataformas de pago electrónico. Otra alternativa viable consiste en el envío de códigos de seguridad a los números de teléfono o direcciones de correo electrónico proporcionados por los usuarios, que forman parte de los datos requeridos por el Real Decreto. Estos métodos, al basarse en información ya contemplada en el Anexo I, refuerzan la conformidad con la normativa sin necesidad de recurrir a prácticas invasivas.
La Agencia Española de Protección de Datos reconoce que pueden existir otros procedimientos válidos para cumplir con las obligaciones del Real Decreto 933/2021, siempre que sean compatibles con el Reglamento General de Protección de Datos. Esta flexibilidad refleja la necesidad de adaptar las soluciones a los contextos específicos de cada establecimiento, permitiendo a los responsables del tratamiento evaluar las medidas más apropiadas. Sin embargo, cualquier procedimiento adoptado debe garantizar que no se recopilen datos innecesarios y que se implementen salvaguardas adecuadas para proteger la privacidad de los usuarios. Esta exigencia subraya la importancia de un enfoque proactivo por parte de los titulares de actividades de hospedaje, quienes deben asumir la responsabilidad de diseñar procesos que cumplan con los principios de minimización, necesidad y proporcionalidad.
La nota de la Agencia Española de Protección de Datos representa un esfuerzo por clarificar las obligaciones derivadas del Real Decreto 933/2021, ofreciendo una guía práctica para los titulares de actividades de hospedaje. Al desaconsejar la solicitud de copias del Documento Nacional de Identidad y promover el uso de formularios y mecanismos de autenticación específicos, la Agencia busca garantizar que el cumplimiento normativo no comprometa los derechos fundamentales de los usuarios. Esta orientación es particularmente relevante en un contexto donde la digitalización de los servicios de hospedaje, como las reservas en línea, plantea nuevos desafíos para la protección de datos. La implementación de formularios personalizados y métodos de verificación no invasivos permite a los establecimientos cumplir con sus obligaciones legales sin incurrir en prácticas que vulneren la privacidad.
La protección de datos personales no solo responde a una obligación jurídica, sino que también constituye un elemento clave para generar confianza en los usuarios. En un sector como el del hospedaje, donde la interacción con datos personales es constante, el respeto a los principios del Reglamento General de Protección de Datos resulta esencial para mantener la legitimidad de las prácticas empresariales. La nota de la Agencia Española de Protección de Datos publicada el 17 de junio de 2025 ofrece una hoja de ruta clara para lograr este equilibrio, recordando a los responsables del tratamiento su deber de priorizar la privacidad sin menoscabo de los objetivos de seguridad pública. Este enfoque refuerza la idea de que la protección de datos y la seguridad ciudadana no son objetivos incompatibles, sino que pueden converger mediante prácticas responsables y bien diseñadas.