Obligaciones de RGPD al registrar viajeros: qué te toca a ti

Casi todo lo que se ha escrito sobre protección de datos y alojamientos turísticos trata de una sola cosa: la prohibición de quedarse una copia del DNI. Es un buen titular y es cierto, pero deja fuera el resto del expediente. Un inspector de la AEPD que llame a tu puerta no va a preguntar solo por las fotocopias.

La razón de fondo es que el Real Decreto 933/2021 te ordena recoger datos personales de todos tus huéspedes y guardarlos tres años, y esa orden no te exime de nada: te convierte, sin que nadie te lo diga, en responsable de un tratamiento de datos con obligaciones propias. La norma que te obliga a recoger no es la que te dice cómo hacerlo.

Este artículo es el otro lado del expediente: qué papel juegas exactamente, qué base legal te ampara, qué tienes que tener por escrito y qué tienes que firmar con quien te lleva el check-in.

Dos normas y dos tratamientos: RD 933/2021 y RGPD

El decreto reparte los papeles en dos artículos que casi nunca se leen juntos.

El artículo 4.1 te encarga la recogida: los titulares de las actividades de hospedaje “recogerán los datos de las personas usuarias de las mismas con el objeto de proceder a su registro y a la comunicación necesarias para el cumplimiento de las obligaciones legales”¹. El artículo 5 te encarga la custodia: un registro informático con los datos del anexo I, conservado tres años desde la finalización del servicio².

El artículo 7 habla de un tratamiento distinto, que no es el tuyo. Los datos que envías se conservan “en dos ficheros radicados en la Secretaría de Estado de Seguridad”, su tratamiento corresponde únicamente a las Fuerzas y Cuerpos de Seguridad, y se rige por la Ley Orgánica 7/2021, la de datos con fines policiales, no por el RGPD³.

Ahí está la clave de todo el reparto: el fichero policial no es tuyo y no te aplica su régimen. El tuyo sí lo es, y el suyo es el RGPD.

Tú eres el responsable del tratamiento de los datos del huésped

Un alojamiento pequeño rara vez se ve a sí mismo como responsable de un tratamiento. Lo es desde el primer huésped: decides qué datos pides, en qué formulario, dónde los guardas, quién los ve y cuándo se borran. Esa capacidad de decisión es exactamente la definición del papel.

Y no lo dejas de ser por contratar a un tercero. Si usas una aplicación de check-in, un PMS o una gestoría, ese tercero trata los datos por cuenta tuya y siguiendo tus instrucciones: es encargado del tratamiento, y tú sigues siendo el responsable frente al huésped y frente a la AEPD.

Tu base legal es la obligación legal, no el consentimiento

Este es el error más extendido y el que peor envejece: la casilla de “acepto el tratamiento de mis datos” en el formulario de check-in.

El tratamiento que exige el decreto se ampara en el artículo 6.1.c) del RGPD, el cumplimiento de una obligación legal aplicable al responsable⁴. No necesitas el consentimiento del viajero, y pedirlo empeora tu posición por dos vías. Primero, sugiere que el viajero puede negarse, y no puede: sin sus datos no puedes cumplir con el Ministerio. Segundo, un consentimiento que condiciona la entrega de las llaves difícilmente es libre, así que tampoco sería válido si lo necesitaras.

El aviso de privacidad en el check-in: qué tiene que decir

Que no necesites consentimiento no significa que no tengas que informar. Son cosas distintas y la segunda es obligatoria siempre.

El artículo 13 del RGPD te obliga a facilitar la información “en el momento en que estos se obtengan”, es decir, en el propio formulario de check-in, no en un enlace enterrado en el pie de tu web. La lista mínima incluye tu identidad y datos de contacto, los del delegado de protección de datos si lo tienes, los fines y la base jurídica, los destinatarios o categorías de destinatarios, y en su caso las transferencias internacionales⁵.

Para un alojamiento, tres puntos de esa lista son los que suelen fallar:

1. La finalidad y la base jurídica. Nombra el Real Decreto 933/2021 y di que la base es el cumplimiento de una obligación legal.
2. Los destinatarios. El Ministerio del Interior es un destinatario, y hay que decirlo. También lo son tu proveedor de check-in y cualquier otro encargado.
3. El plazo de conservación. Tres años desde la finalización del servicio, con su artículo.

No es un formalismo barato. En la resolución PS/00499/2022, la AEPD sancionó a un gestor de apartamentos con 75.000 euros en total, y 50.000 de ellos fueron por la infracción del artículo 13: la información que se daba al huésped estaba incompleta. Los otros 25.000 fueron por exigir la imagen del DNI⁶. La parte más cara del expediente no fue la copia del documento, fue el texto que nadie había revisado.

El registro de actividades de tratamiento también te obliga

Aquí es donde casi todos los alojamientos pequeños se dan por excluidos, y casi siempre se equivocan.

El artículo 30 del RGPD exige llevar un registro de las actividades de tratamiento, y su apartado 5 recoge una excepción que suena a salvavidas:

“Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.”

Lee la excepción a la excepción: basta con que el tratamiento no sea ocasional. Registrar a cada viajero que entra por tu puerta, todo el año, por mandato legal, es la definición de un tratamiento no ocasional. La excepción de las 250 personas no te salva.

El documento en sí no es complicado: qué tratamientos haces, con qué fin, sobre qué categorías de datos y de interesados, a quién se comunican, cuánto se conservan y qué medidas de seguridad aplicas. Va por escrito, puede ser en formato electrónico, y tienes que ponerlo a disposición de la AEPD si lo pide.

Conservar los datos tres años: el artículo 5.3 del RD 933/2021

El plazo de conservación no lo eliges tú. El artículo 5.3 del decreto lo fija en tres años a contar desde la finalización del servicio o prestación contratada, y ese punto de partida importa tanto como el número: no se cuenta desde el check-in ni desde la reserva².

Cumplido el plazo, los datos se borran. Conservarlos “por si acaso” deja de tener amparo legal en el momento exacto en que expira la obligación, y choca de frente con el principio de limitación del plazo de conservación. La forma sensata de gestionarlo es que el borrado sea automático, no una tarea que alguien recuerde hacer.

Hay un matiz que casi nadie cuenta. El artículo 5.4 exceptúa de las obligaciones de registro y conservación a quien desarrolla la actividad de hospedaje de manera no profesional, que sigue sujeto solo a la comunicación². Es una excepción estrecha y sin desarrollo práctico, así que no la des por tuya sin asesoramiento: si cobras por noche y anuncias en plataformas, no eres el caso.

El contrato de encargo con tu proveedor de check-in

Si un tercero trata los datos de tus huéspedes por cuenta tuya, el RGPD no te deja resolverlo con una factura y un apretón de manos.

El artículo 28.3 exige un contrato u otro acto jurídico que vincule al encargado con el responsable y que establezca “el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable”. Ese contrato debe estipular, entre otras cosas, que el encargado tratará los datos únicamente siguiendo instrucciones documentadas tuyas. La AEPD publica una guía con directrices sobre qué debe contener y cómo validarlo⁸.

Antes de firmar, cuatro preguntas que separan a un proveedor serio de uno que improvisa:

1. ¿Hay contrato de encargo, o solo condiciones de servicio?
2. ¿Quién más ve los datos (subencargados: alojamiento, copias de seguridad, soporte, asistentes de IA) y están declarados?
3. ¿Dónde se alojan los datos y qué transferencias internacionales hay?
4. ¿Qué pasa al terminar el contrato: devolución o supresión?

Ese contrato es tuyo aunque el sistema sea de otro. Si te reclama un huésped o te inspecciona la AEPD, quien responde en primer término eres tú.

Copiar el DNI no es una medida de cumplimiento

Conviene cerrar por donde suele empezar todo el mundo, porque el orden importa: guardar una copia del documento no refuerza tu cumplimiento del decreto, lo debilita en la otra norma.

La AEPD lo resolvió en su nota sobre hospedajes: pedir copia del DNI o del pasaporte vulnera el principio de minimización del artículo 5.1.c) del RGPD y supone un tratamiento excesivo⁹. El decreto te pide datos, no imágenes. El desarrollo completo, con las multas ya impuestas y las alternativas que la propia Agencia da por buenas, está en fotocopiar el DNI en el check-in.

La asimetría es la que define este terreno: por no enviar el parte te sanciona la Administración del Estado por la vía del régimen sancionador de la LO 4/2015, y por recoger o guardar de más te sanciona la AEPD. Cumplir es acertar en el punto medio: todos los datos del anexo, ni uno más, ni un día más de la cuenta.

Preguntas frecuentes

¿Quién es el responsable del tratamiento de los datos del parte de viajeros? El responsable del tratamiento de los datos del parte de viajeros es el propio alojamiento, respecto de los datos que recoge en el check-in y conserva en su registro. El Ministerio del Interior es responsable de los ficheros policiales a los que se comunican esos datos, que según el artículo 7 del Real Decreto 933/2021 radican en la Secretaría de Estado de Seguridad y se rigen por la Ley Orgánica 7/2021, no por el RGPD.

¿Necesito el consentimiento del huésped para enviar el parte? No necesitas el consentimiento del huésped para enviar el parte. La base legal es el cumplimiento de una obligación legal del artículo 6.1.c) del RGPD, porque el Real Decreto 933/2021 te impone tanto la recogida como la comunicación. Pedir consentimiento para esto es un error: sugiere que el viajero puede negarse, y un consentimiento condicionado a recibir las llaves tampoco sería libre. Sí necesitas base propia, normalmente el consentimiento, para cualquier dato que pidas por encima del anexo I.

¿Tengo que llevar un registro de actividades de tratamiento si soy un alojamiento pequeño? Sí, tienes que llevar un registro de actividades de tratamiento aunque seas un alojamiento pequeño. La excepción del artículo 30.5 del RGPD para organizaciones de menos de 250 personas decae, entre otros supuestos, cuando el tratamiento no es ocasional, y registrar a cada viajero durante todo el año por mandato legal no es ocasional. El registro debe constar por escrito, puede ser electrónico, y hay que ponerlo a disposición de la autoridad de control cuando lo solicite.

¿Qué tengo que informar al huésped en el check-in? Al huésped tienes que informarle, en el momento en que recoges sus datos, de lo que enumera el artículo 13 del RGPD: tu identidad y datos de contacto, los del delegado de protección de datos si lo hay, los fines y la base jurídica del tratamiento, los destinatarios o categorías de destinatarios, las transferencias internacionales si las hay y el plazo de conservación. Para un alojamiento eso significa nombrar el Real Decreto 933/2021, decir que el Ministerio del Interior es destinatario y explicar los tres años de conservación.

¿Cuánto tiempo debo conservar los datos de los huéspedes? Debes conservar los datos de los huéspedes tres años contados desde la finalización del servicio o prestación contratada, según el artículo 5.3 del Real Decreto 933/2021. El punto de partida no es el check-in ni la reserva, sino el final de la estancia. Cumplido el plazo, los datos se borran: el plazo lo fija la norma y no es un ajuste que puedas subir o bajar.

¿Necesito firmar algo con mi proveedor de check-in online? Sí, necesitas un contrato de encargo del tratamiento con tu proveedor de check-in online. El artículo 28.3 del RGPD exige un contrato u otro acto jurídico que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de interesados, y que obligue al proveedor a tratar los datos solo siguiendo tus instrucciones documentadas. Sin él, tratas datos a través de un tercero sin cobertura, y quien responde ante el huésped y ante la AEPD sigues siendo tú.

Cómo se reparten los papeles con RegistroViajero

RegistroViajero es encargado del tratamiento y tú eres el responsable. No es una interpretación nuestra de un contrato ambiguo: lo dicen con esas palabras la cláusula 7 de las condiciones del servicio y la política de privacidad, y ambas están publicadas para que las leas antes de contratar nada.

Las cuatro preguntas de la sección anterior tienen ahí su respuesta, que es exactamente lo que deberías poder hacer con cualquier proveedor:

1. Contrato o condiciones. El reparto de papeles está en la cláusula 7 de las condiciones que aceptas al darte de alta, no en una promesa comercial. Si tu asesoría quiere además un anexo firmado de encargo, pídelo antes de contratar, a nosotros y a quien estés comparando.
2. Quién más ve los datos. La política enumera los destinatarios por su nombre: el Ministerio del Interior, el proveedor de alojamiento (en Alemania, dentro del EEE), la pasarela de pagos y el proveedor del asistente de IA, con sede en la Unión Europea y sujeto al RGPD, que procesa las conversaciones y recibe los datos identificativos del huésped cuando la consulta se refiere a uno concreto. La firma no se le envía en ningún caso.
3. Dónde se alojan y qué transferencias hay. Los datos de tus huéspedes no salen del Espacio Económico Europeo: el alojamiento está en Alemania y el asistente se procesa en la Unión Europea. La pasarela de pagos no ve datos de huéspedes, solo los de facturación de tu agencia.
4. Qué pasa al final. Los datos de huéspedes y sus firmas se borran solos a los tres años, las conversaciones del asistente a los noventa días sin actividad, y la cláusula 9 de las condiciones reconoce el derecho a pedir la eliminación completa de la cuenta y sus datos en cualquier momento.

Una respuesta más, porque es la que trae aquí a casi todo el mundo: la lista de datos de huéspedes de la política son los campos del anexo I y la firma manuscrita que el artículo 4.2 del decreto exige a los mayores de catorce años. No hay ninguna imagen del documento en esa lista, y no la hay porque el check-in no la pide: el huésped teclea los datos, no fotografía el DNI.

En la práctica eso significa que el huésped rellena los campos del anexo I en su propio idioma, el sistema valida el formato antes de dejar avanzar, el parte sale hacia SES.HOSPEDAJES en plazo y cada comunicación queda en un registro auditable. Los datos del registro se eliminan automáticamente a los tres años que fija el decreto, sin que nadie tenga que acordarse.

Lo que no podemos hacer por ti es el resto de tu expediente: el aviso de privacidad que muestras en tu check-in, tu registro de actividades y el criterio sobre qué datos adicionales pides son decisiones del responsable, y el responsable eres tú. Si estás comparando herramientas, en apps de check-in online para apartamentos tienes el panorama, y las cuatro preguntas de la sección del contrato de encargo son un buen filtro para cualquiera de ellas.

Este artículo tiene fines informativos y no sustituye al asesoramiento jurídico profesional en materia de protección de datos. La adecuación de un tratamiento concreto depende de sus circunstancias; ante una reclamación o una inspección, consulta con un especialista.