El pasado 17 de junio de 2025, la Agencia Española de Protección de Datos (AEPD) publicó una nota informativa que afecta directamente al sector hotelero y de alojamientos turísticos. En ella aclara que los hospedajes no pueden solicitar copias del DNI o del pasaporte a sus clientes para cumplir con el Real Decreto 933/2021 sobre el registro documental de viajeros.

Esta decisión, que responde a las exigencias del Reglamento General de Protección de Datos (RGPD), busca reforzar el principio de minimización de datos: únicamente se pueden tratar los estrictamente necesarios.

Por qué no está permitido pedir copias del DNI

Solicitar una copia del documento de identidad no solo es innecesario, sino también ilegal en este contexto. Una fotocopia o escaneo contiene más información de la que exige la normativa, como fotografía, datos biométricos, filiación o fecha de caducidad. Además, no garantiza la identidad del huésped, ya que los archivos digitales son fácilmente falsificables.

A esto se suma un riesgo añadido: la posibilidad de suplantación de identidad en caso de pérdida, robo o almacenamiento inadecuado de esas copias. La AEPD ha sido tajante al advertir que conservar fotocopias o imágenes del DNI puede derivar en sanciones significativas por incumplir el RGPD.

Qué datos deben recogerse realmente

El Real Decreto 933/2021 establece con precisión qué información debe recogerse en los alojamientos. Estos datos están detallados en el Anexo I de la norma y se limitan a los estrictamente necesarios para identificar al viajero y garantizar la seguridad de personas y bienes.

La recogida puede realizarse mediante un formulario presencial o a través de un sistema online, pero en ningún caso debe incluir más datos de los previstos. Incorporar información adicional no contemplada en la norma supone un exceso y puede ser objeto de sanción.

Cómo verificar la identidad del huésped sin vulnerar la ley

La AEPD ofrece pautas para confirmar la autenticidad del documento sin necesidad de conservar copias. En los registros presenciales basta con una verificación visual en recepción. Si la reserva es online, pueden aplicarse medidas complementarias como certificados digitales, verificación de datos vinculados al pago o el envío de códigos al teléfono o correo electrónico del cliente.

No obstante, cualquier mecanismo adicional debe estar debidamente documentado y evaluado en un análisis de riesgos, de forma que se garantice el cumplimiento del RGPD.

Adaptaciones necesarias en los alojamientos

Los establecimientos hoteleros y de hospedaje deben revisar de inmediato sus procedimientos internos. Esto implica eliminar de los formularios cualquier referencia a la copia del DNI o pasaporte, formar al personal para que comprenda las nuevas exigencias y actualizar las políticas de privacidad explicando qué datos se recogen y con qué finalidad.

En el caso de los alojamientos que gestionan reservas online, será necesario incorporar métodos seguros de verificación de identidad que no impliquen almacenar copias de documentos. Además, conviene definir plazos de conservación adecuados y aplicar sistemas de borrado una vez cumplida la finalidad legal.

Riesgos de incumplir la normativa

El incumplimiento de estas directrices puede resultar muy costoso. La AEPD recuerda que la conservación de copias del DNI supone un tratamiento excesivo de datos personales y constituye una infracción del RGPD. Dependiendo de la gravedad, las sanciones económicas pueden alcanzar importes elevados y, además, dañar gravemente la reputación del establecimiento.

Más allá de las multas, almacenar información innecesaria aumenta el riesgo de ciberataques o fugas de datos, con el consiguiente impacto en la confianza de los clientes.

La nota informativa de la AEPD supone un cambio importante en la operativa de hoteles, hostales, apartamentos turísticos y demás alojamientos. A partir de ahora, solo se pueden recoger los datos estrictamente señalados en el RD 933/2021, sin recurrir a copias del DNI o pasaporte.

La clave está en adaptar los registros de viajeros a la normativa de protección de datos, garantizando un equilibrio entre seguridad pública y privacidad. Cumplir con estas obligaciones no solo evita sanciones, sino que refuerza la confianza de los clientes al demostrar un compromiso real con la protección de su información personal.

En Agustí & Asociados asesoramos a empresas del sector turístico en la correcta aplicación de la normativa de protección de datos. Si gestionas un alojamiento y quieres evitar sanciones, podemos ayudarte a revisar tus formularios, protocolos y sistemas de registro para garantizar el pleno cumplimiento legal.