Fotocopiar el DNI en el check-in: por qué no puedes

Cada verano vuelve la misma escena: recepciones pidiendo una fotocopia del DNI, apartamentos que exigen la foto del documento por WhatsApp antes de dar las llaves, formularios de check-in que reclaman el pasaporte escaneado por las dos caras. Y cada verano hay más denuncias. FACUA volvió a recordarlo el 7 de julio, y de paso pidió a los viajeros que denuncien ante Protección de Datos al alojamiento que se lo exija¹.

La confusión tiene una explicación honesta: el Real Decreto 933/2021 te obliga a registrar y comunicar los datos de cada viajero, y la fotocopia parece la forma más rápida de no equivocarse al copiarlos. Quien se lleva el disgusto suele ser el alojamiento pequeño, que cumple de buena fe con lo que le pide Interior y descubre tarde que su carpeta de copias lo expone por el otro lado.

Lo que te obliga el RD 933/2021 (y lo que no)

El decreto te exige tres cosas:

1. Recoger los datos de cada viajero que fija su anexo I: nombre y apellidos, sexo, número y tipo de documento, número de soporte, nacionalidad, fecha de nacimiento, residencia habitual, teléfonos, correo electrónico, número de viajeros y parentesco si alguno es menor de edad; más los datos del contrato, de la entrada y la salida, del inmueble y del pago².
2. Llevar un registro informático con esos datos (artículo 5.1) y conservarlo tres años desde la finalización del servicio (artículo 5.3)³.
3. Comunicarlos a SES.HOSPEDAJES de manera inmediata y, como máximo, en 24 horas desde el inicio de los servicios contratados (artículo 6.3)⁴.

Sobre el documento en sí, el decreto dice una sola cosa, y no es que lo guardes:

“Los partes y hojas serán proporcionados por el establecimiento de hospedaje o de alquiler de vehículos, los cuales serán responsables de la exactitud de los datos que se hagan constar en ellos, de modo que coincidan con los documentos o sistemas que acrediten la identidad de las personas, que habrán de ser exhibidos o facilitados por los usuarios de estos servicios.”

Exhibidos: el viajero te lo enseña y tú respondes de que lo que has escrito coincide con lo que has visto. El Ministerio del Interior lo repite en esos mismos términos en sus preguntas frecuentes, donde la palabra copia no aparece ni una vez en las treinta respuestas⁶.

La diferencia decide si tu check-in cumple o te expone. Los datos los transcribes y los conservas tres años porque el decreto te lo manda. La imagen del documento no te la pide nadie, así que si decides guardarla, respondes tú de ella y de lo que pase con ella.

Lo que dice la AEPD, con cita textual

La AEPD publicó una nota específica sobre hospedajes el 17 de junio de 2025, precisamente para responder a la pregunta “¿puedo pedir copia del DNI para cumplir el RD 933/2021?”. Su respuesta:

“Solicitar una copia del Documento Nacional de Identidad o del Pasaporte vulnera el principio de minimización de datos, establecido en el artículo 5.1.c) del RGPD, y supone un tratamiento excesivo de datos.”

Ese artículo 5.1.c) exige que los datos que tratas sean adecuados, pertinentes y limitados a lo necesario para el fin por el que los recoges. La Agencia lo lee de forma exigente en sus resoluciones: el precepto no limita el exceso, limita la necesidad, de modo que si el objetivo puede alcanzarse sin ese tratamiento, así hay que alcanzarlo⁸. La nota da tres razones para que la copia no pase ese filtro:

• Lleva datos que la norma no te pide. El DNI completo incorpora la fotografía, la fecha de caducidad, el CAN y el nombre de los padres, y ninguno de ellos está en el anexo I.
• Crea un riesgo que antes no tenías. Una carpeta de copias de documentos es un riesgo de suplantación de identidad que, en palabras de la nota, “debe ser evitado o, por lo menos, mitigado de manera efectiva”.
• No autentica nada. Una imagen que llega por WhatsApp no acredita que quien la envía sea el titular del documento.

Y tampoco te ahorra el formulario. El documento no lleva los teléfonos ni el correo del viajero, ni cuántas personas se alojan, ni el parentesco cuando hay un menor, ni un solo dato de la transacción: referencia y fecha del contrato, hora de entrada y de salida, tipo y titular del medio de pago. Todo eso hay que preguntarlo igual.

Las multas de la AEPD por copiar el DNI: 30.000 y 25.000 €

No es teoría. Dos resoluciones de la AEPD ponen números a esto. La primera impuso 30.000 euros a un hotel de Baleares por lo que hacía con el pasaporte que pasaba por el escáner en el check-in (resolución PS/00078/2021)⁹. La reclamación la puso un cliente holandés al que escanearon el documento pese a su oposición expresa.

Lo que se sancionó es más fino que la fotocopia. La Agencia no dio por probado que el hotel conservara la imagen completa del pasaporte: el escaneo pasaba los caracteres a texto por OCR. Lo que no tenía amparo era la fotografía extraída de ahí, que viajaba a los dispositivos del bar y del comedor para reconocer al cliente cuando cargaba consumos a la habitación. Los demás datos sí estaban cubiertos por la obligación legal de registro. La fotografía no, y por eso la infracción fue del artículo 6 del RGPD.

Para que te sancionen, entonces, no hace falta guardar la imagen del documento. Basta con reutilizar un dato sacado de ella para algo que el registro de viajeros no te pide.

La segunda, la resolución PS/00499/2022, sancionó con 25.000 euros al gestor de un apartamento de Barcelona anunciado en Airbnb, que exigía a los siete huéspedes la imagen del DNI por las dos caras antes de entregar las llaves⁸. Su defensa fue que la pedía para cumplir el registro de viajeros de los Mossos d’Esquadra. No le sirvió:

“[La parte reclamada] ha vulnerado el artículo 5.1.c) del RGPD, al haber exigido la imagen del D.N.I. por los dos lados, a efectos de poder obtener éstas las llaves del alojamiento que han reservado, pues tales datos no son necesarios para el tratamiento que realiza la parte reclamada.”

Es el precedente que conviene tener a mano cuando alguien invoca la obligación policial: que la policía te reclame un registro no te habilita para reclamar una imagen del documento.

Esa multa además pudo ser el doble. El acuerdo de inicio proponía 50.000 euros porque la reclamante denunció también que se exigía un selfie a cada huésped; al no quedar acreditado ese extremo, la resolución bajó a 25.000⁸.

El expediente, en cambio, no se quedó en 25.000. El total fueron 75.000, porque la AEPD sumó una segunda infracción de 50.000 euros por el artículo 13 del RGPD: la información que el gestor daba a los huéspedes sobre el tratamiento estaba incompleta⁸. A su política de privacidad le faltaba, entre otras cosas:

• la identidad y los datos de contacto del responsable;
• la base jurídica del tratamiento;
• los destinatarios de los datos;
• el plazo de conservación, o el criterio para fijarlo;
• el derecho a reclamar ante la autoridad de control;
• si facilitar los datos es un requisito legal o contractual, y qué pasa si no se facilitan.

Copiar el documento te expone. Una política de privacidad mal hecha puede costarte el doble.

Y el riesgo llega por los dos lados. Por no enviar el parte te sanciona el Ministerio del Interior: comunicar tarde o con errores es infracción leve, entre 100 y 600 euros, y no comunicar los datos de los huéspedes es grave, entre 601 y 30.000⁶. Por recoger datos de más te sanciona la AEPD. El cumplimiento está en el punto medio exacto: todos los datos del anexo, ni un dato más.

Cómo hacer el check-in sin copiar el DNI

La propia nota de la AEPD describe las vías válidas, y la primera es la más sencilla:

“La AEPD considera que podría ser suficiente con que las personas faciliten o completen un formulario que recoja exclusivamente los datos exigidos en los apartados A.3 y B.3 del Anexo I del Real Decreto […]. Este formulario puede ser cumplimentado en línea o presencialmente en el hospedaje.”

En persona. El huésped rellena (o confirmas con él) ese formulario con los datos del anexo I, y tú compruebas visualmente que coinciden con el documento que te enseña. Miras, comparas, devuelves. La AEPD lo dice así: “podría bastar con comprobar visualmente la correspondencia entre los datos facilitados y el documento de identidad exhibido”.

A distancia (check-in online). Sin nadie delante, la nota admite tres mecanismos para autenticar lo que el viajero ha declarado:

• un certificado digital del propio viajero;
• la comprobación contra los datos del medio de pago, que tienen que concordar con lo declarado;
• un código de seguridad enviado al teléfono o al correo del huésped, datos que el anexo I ya te obliga a recoger de todas formas.

Para el huésped que no lleva smartphone ni tiene correo electrónico, el código sigue sirviendo: llega por SMS a cualquier teléfono, y el propio Ministerio zanja ese campo de contacto del anexo I en una línea, porque si el viajero no dispone de correo electrónico basta con proporcionar el número de teléfono móvil⁶. Sin móvil y sin correo, lo que queda son las otras dos vías, el certificado digital o el cotejo contra los datos del medio de pago, y si ninguna encaja, la comprobación visual en el momento de entregar las llaves.

La Agencia no descarta otros procedimientos, pero deja la carga donde estaba: quien tiene que evaluar si son compatibles con el RGPD es el responsable del tratamiento, o sea tú. Qué implica ese papel, frente al Ministerio y frente a tu proveedor de check-in, está en las obligaciones de RGPD al registrar viajeros. Lo que no está en la lista es “mándame una foto del DNI por WhatsApp”.

Con menores. La copia ni se plantea, porque el menor de catorce años no firma el parte ni aporta sus datos: “sus datos serán proporcionados por la persona mayor de edad de la que vayan acompañados”, dice el artículo 4.2 del decreto⁵. Si ese adulto no es el padre o la madre, hay que consignar el título que le legitima, tutor, profesor o monitor deportivo, entre otros⁶. Las edades, las firmas y los casos límite están en nuestra guía de menores en el parte de viajeros.

¿Y si el huésped consiente? Un consentimiento condicionado a recibir las llaves difícilmente es libre: el artículo 7.4 del RGPD manda mirar precisamente si la prestación del servicio se supedita a aceptar tratamientos que no son necesarios para ejecutar el contrato¹⁰. Y aunque lo fuera, no arreglaría la objeción de fondo, que es de necesidad y no de permiso: con su sí seguirías recogiendo datos que no te hacen falta.

Tabla rápida: qué prácticas de check-in cumplen y cuáles no

La nota de la AEPD y las dos resoluciones dejan las prácticas de mostrador más habituales a un lado o al otro de la línea⁷.

El check-in digital de RegistroViajero está construido sobre esta lógica: cada huésped rellena sus propios datos en su idioma (hay 9 disponibles), el sistema valida que los campos del anexo I están completos y correctos, y el parte sale hacia SES.HOSPEDAJES en plazo. Sin fotos de documentos por medio, sin archivo de fotocopias que custodiar, y sin copiar datos a mano en el portal. Puedes ver cómo funciona si quieres montarlo así este verano.

Preguntas frecuentes

¿Puedo pedir al huésped que me enseñe el DNI? Pedirle al huésped que te enseñe el DNI sí puedes, y además debes: el artículo 4.3 del RD 933/2021 te hace responsable de que los datos del parte coincidan con el documento, que el viajero está obligado a exhibir. Lo que no puedes es quedarte una copia, foto o escaneo.

¿Y si el huésped me manda la foto del DNI por su cuenta? Si el huésped te manda la foto del DNI por su cuenta, no la conserves. El problema legal no es quién inicia el envío sino el tratamiento: almacenar copias de documentos es un tratamiento excesivo según la AEPD.

¿Cómo cumplo entonces el registro de tres años? El registro de tres años se cumple conservando los datos, no los documentos. El artículo 5 del RD 933/2021 exige un registro informático con los datos de los anexos, durante tres años desde el fin de la estancia.

¿Qué me puede pasar si sigo fotocopiando? Si sigues fotocopiando, lo que te puede pasar es una denuncia ante la AEPD y una sanción por RGPD. El precedente más directo son los 25.000 euros a un gestor de apartamentos que exigía la imagen del DNI por las dos caras para entregar las llaves (PS/00499/2022), un expediente cuyo total llegó a 75.000 porque se sumó una infracción distinta, la información al huésped del artículo 13 del RGPD. En otro caso, un hotel pagó 30.000 euros por reutilizar la fotografía sacada del pasaporte escaneado (PS/00078/2021).

¿Esto cambia algo en los datos que envío a SES.HOSPEDAJES? Esto no cambia nada en los datos que envías a SES.HOSPEDAJES: los campos del anexo I siguen siendo los mismos y el plazo de 24 horas también. Cambia el cómo los recoges, no el qué envías.

Este artículo es informativo y no sustituye al asesoramiento jurídico profesional.