La AEPD recuerda a los hospedajes que no pueden pedir copias del DNI
El organismo explica que es suficiente recoger los datos requeridos mediante un formulario y verificar la identidad sin conservar una copia del documento personal
La publicación de esta nota responde a las dudas surgidas tras la entrada en vigor del Real Decreto 933/2021, que obliga a los titulares de actividades de hospedaje a recoger determinados datos identificativos de sus clientes. Esta normativa tiene como objetivo reforzar la seguridad pública, al establecer un sistema de control sobre quienes hacen uso de estos servicios.
La AEPD aclara que esta obligación no implica en ningún caso la necesidad de solicitar, almacenar o remitir una copia del Documento Nacional de Identidad (DNI) o del pasaporte. Hacerlo constituiría una infracción del principio de minimización de datos contemplado en el Reglamento General de Protección de Datos (RGPD).
Riesgos de suplantación de identidad
El motivo principal por el que no debe solicitarse una copia del documento de identidad es el exceso de información personal que este contiene.
Datos como la fotografía, el número CAN, la fecha de caducidad o incluso los nombres de los padres no son necesarios para cumplir con el Real Decreto y su tratamiento aumenta el riesgo de suplantación de identidad.
Además, el DNI no incluye la totalidad de los datos requeridos por la normativa, por lo que no es un documento válido, por sí solo, para cumplir con las obligaciones legales. Tampoco garantiza la autenticidad de la persona que lo presenta, especialmente en entornos digitales.
¿Cómo deben recogerse los datos?
La AEPD propone que la recogida de los datos exigidos se realice mediante un formulario, que puede cumplimentarse de forma presencial o en línea.
En este formulario deben incluirse únicamente los datos establecidos en el Anexo I del Real Decreto 933/2021, en sus apartados A.3, A.4, B.3 y B.4.
Esto permite que los alojamientos cumplan con la legislación sin vulnerar la privacidad de los clientes. Además, evita la gestión innecesaria de documentación que podría suponer un riesgo si no se maneja de forma adecuada.
Autenticación en entornos físicos y digitales
En cuanto a la verificación de la identidad, la Agencia considera suficiente, en entornos presenciales, una comprobación visual del documento de identidad. No es necesario conservarlo ni hacer copias.
Para los casos en que la reserva o identificación se realice en línea, se pueden utilizar mecanismos como certificados digitales, la verificación con los datos del método de pago o sistemas de autenticación mediante códigos enviados al teléfono o al correo electrónico del cliente.
Evaluación de otras soluciones posibles
La AEPD deja abierta la posibilidad de utilizar otros procedimientos siempre que se garantice su adecuación al RGPD. En cualquier caso, corresponde al responsable del tratamiento de los datos personales evaluar la legalidad y proporcionalidad de los métodos empleados.
