Un hotel de sesenta habitaciones puede llegar a registrar en un solo fin de semana de agosto más de doscientas identidades completas, con documento, domicilio, teléfono y medio de pago. Por eso, la protección de datos en alojamientos turísticos se ha convertido en uno de los puntos calientes del cumplimiento normativo en España. No es solo un formulario de check-in: es un tratamiento masivo de datos identificativos y financieros que, además, hay que ceder cada día al Ministerio del Interior.
Hoteles, hostales, campings, apartamentos turísticos y viviendas de uso vacacional comparten el mismo problema: dos normas que tiran en direcciones opuestas. Por un lado, el Real Decreto 933/2021 obliga a recoger y comunicar un volumen de información considerable. Por otro, el RGPD y la Ley Orgánica 3/2018 (LOPDGDD) exigen recoger lo mínimo imprescindible. En esta guía explicamos dónde está exactamente la línea y cómo cumplir las dos sin exponerse a una sanción.
Por qué la protección de datos en alojamientos turísticos tiene dos capas normativas
La primera capa es la de seguridad ciudadana. El Real Decreto 933/2021 impone a quienes ejercen actividades de hospedaje un registro documental de las personas viajeras y su comunicación telemática a las Fuerzas y Cuerpos de Seguridad del Estado. Esa obligación es exigible desde el 2 de diciembre de 2024, después de varios aplazamientos técnicos, y alcanza también a las plataformas de intermediación.
La segunda capa es la de privacidad. Todo lo que el alojamiento hace con esos mismos datos más allá de la comunicación obligatoria —guardarlos en su PMS, usarlos para enviar ofertas, compartirlos con una central de reservas o conservarlos indefinidamente— se rige por el RGPD. Es decir, cumplir con Interior no vacuna frente a la Agencia Española de Protección de Datos. Son dos regímenes distintos, con dos autoridades distintas y dos regímenes sancionadores distintos.
Conviene tenerlo presente porque el establecimiento suele mirar solo a la primera. Sin embargo, en la práctica, la mayoría de los expedientes que acaban en multa nacen de la segunda: exceso de datos recabados, conservación eterna, cámaras mal ubicadas o correos comerciales sin base jurídica.
El registro de viajeros del Real Decreto 933/2021: qué comunicar y cuándo
El anexo I del Real Decreto detalla los campos que debe contener el registro. En bloque, cubren cuatro grupos de información:
- Identificación de la persona viajera: nombre y apellidos, sexo, nacionalidad, tipo y número de documento y fecha de nacimiento.
- Contacto y residencia: domicilio completo, localidad, país, teléfono y correo electrónico.
- Datos de la transacción: fechas y horas de entrada y salida, número de habitaciones o inmueble, y existencia de conexión a internet.
- Datos de pago: tipo de pago, identificación del medio utilizado y titular del pago.
El plazo de comunicación es corto: como máximo 24 horas desde que se formaliza la reserva o desde el inicio efectivo del servicio. Además, el registro debe conservarse durante tres años a contar desde la finalización de la prestación contratada.
El incumplimiento no se sanciona por la vía del RGPD, sino por la Ley Orgánica 4/2015 de protección de la seguridad ciudadana. Carecer del registro es infracción grave, con multa de 601 a 30.000 euros. Las simples irregularidades en su cumplimentación son infracción leve, con multa de 100 a 600 euros. Por tanto, el riesgo económico real está en no llevar el registro, no en llevarlo con algún campo mal escrito.
La AEPD lo dejó claro: no puedes guardar copia del DNI ni del pasaporte
Aquí está el cambio de criterio que más ha descolocado al sector. En junio de 2025, la Agencia Española de Protección de Datos publicó una nota informativa en la que advierte de que no está permitido solicitar una copia del DNI o del pasaporte en los hospedajes. Ni fotocopia en papel, ni foto con el móvil, ni escaneo guardado en el sistema.
El razonamiento de la Agencia es el principio de minimización. El documento de identidad contiene bastante más información de la que exige el Real Decreto: fotografía, firma, fecha de caducidad, número de soporte, nombre de los progenitores o el código CAN. Nada de eso figura en el anexo I. Guardar la imagen completa supone, por tanto, tratar datos excesivos.
Ahora bien, el argumento va más allá de la minimización. La AEPD subraya que acumular copias de documentos genera un riesgo innecesario de suplantación de identidad: si ese archivo se filtra, el atacante tiene todo lo necesario para abrir cuentas o contratar servicios a nombre del huésped. Y añade un matiz demoledor: la copia tampoco sirve para verificar la identidad con certeza, porque nadie comprueba si el documento es auténtico. Es decir, es un tratamiento que asume todo el riesgo sin aportar la seguridad que pretende justificarlo.
Cómo verificar la identidad sin romper la protección de datos en alojamientos turísticos
La pregunta inmediata de cualquier recepción es evidente: si no puedo quedarme el documento, ¿cómo acredito que el huésped es quien dice ser? La propia AEPD ofrece la respuesta y distingue dos escenarios.
En el check-in presencial, basta con la verificación visual. El recepcionista pide el documento, comprueba que los datos coinciden con los del formulario de registro y lo devuelve. No hace falta copiarlo ni retenerlo.
En el check-in en línea, que es donde el sector se ha volcado, la Agencia admite mecanismos de autenticación alternativos:
- Certificados digitales o sistemas de identidad electrónica reconocidos.
- Verificación contra los datos del medio de pago con el que se hizo la reserva.
- Códigos de un solo uso enviados al teléfono o al correo electrónico facilitado por el huésped.
Si el alojamiento usa una herramienta de check-in con reconocimiento óptico de caracteres, el planteamiento es el mismo: puede extraer los campos que exige el anexo I, pero no debe almacenar la imagen del documento una vez extraídos. En definitiva, el dato se transcribe; la imagen no se guarda.
Tres años para el registro, no para todo lo demás
Uno de los errores más extendidos consiste en aplicar el plazo de tres años del Real Decreto a toda la base de datos del establecimiento. No funciona así. Ese plazo ampara únicamente el registro documental exigido por la norma de seguridad ciudadana.
El resto de finalidades tiene su propio reloj. La facturación se rige por los plazos fiscales y mercantiles. Las preferencias de habitación o las notas internas sobre el cliente solo pueden conservarse mientras exista relación o consentimiento. Y una lista de correo comercial debe depurarse cuando la persona se da de baja. Merece la pena documentarlo en una política clara, siguiendo los criterios que resumimos en nuestra guía sobre plazos de conservación de datos.
PMS, channel manager y OTAs: quién es responsable y quién encargado
Un alojamiento medio trabaja hoy con media docena de proveedores que tocan datos de huéspedes: el PMS, el motor de reservas, el channel manager, la herramienta de check-in en línea, el sistema de encuestas de satisfacción y la pasarela de pago. Cada uno de ellos es, por regla general, un encargado del tratamiento y necesita su contrato del artículo 28 del RGPD.
Las plataformas de intermediación son un caso aparte, porque suelen actuar como responsables independientes respecto de sus propios usuarios. Antes de firmar, conviene tener claro el reparto de papeles; lo explicamos en detalle al analizar las diferencias entre encargado y responsable del tratamiento.
Además, muchos de estos servicios alojan la información fuera del Espacio Económico Europeo. En ese caso hay que verificar las garantías aplicables, tal y como detallamos en la guía sobre transferencias internacionales de datos. Un proveedor con servidores en Estados Unidos no es ilegal por definición, pero sí obliga a documentar la cobertura jurídica del flujo.
Videovigilancia, llaves digitales y biometría en el check-in
Las cámaras de recepción, pasillos y accesos son un tratamiento autónomo, con sus propias reglas: cartel informativo visible, justificación de proporcionalidad y un plazo de conservación que, con carácter general, no debe superar un mes. Nunca pueden instalarse en habitaciones, aseos, vestuarios ni en las zonas de descanso del personal. Repasamos los límites concretos en el artículo sobre zonas videovigiladas.
Capítulo aparte merece la biometría. Algunos establecimientos han empezado a usar reconocimiento facial para el acceso a la habitación o al gimnasio. Se trata de una categoría especial de datos del artículo 9 del RGPD y el listón es muy alto: hace falta una base jurídica reforzada, una alternativa real no biométrica y, casi siempre, una evaluación de impacto previa. La comodidad del huésped no es, por sí sola, una justificación suficiente.
Marketing y fidelización: la otra cara de la protección de datos en alojamientos turísticos
El correo de «vuelve a visitarnos» que se envía tres semanas después de la salida es, probablemente, el tratamiento peor documentado del sector. La base jurídica no puede ser el registro de viajeros: esos datos se recogieron para una finalidad de seguridad pública, no comercial.
Hay dos vías limpias. La primera es el consentimiento explícito, recogido con una casilla separada y sin premarcar. La segunda es el interés legítimo del artículo 21.2 de la LSSI para productos o servicios similares a los ya contratados, siempre con opción de oposición en cada envío. En cualquier caso, la segmentación por comportamiento o el remarketing exigen un análisis adicional que abordamos en el artículo sobre gestión de datos en marketing digital.
Lo mismo aplica a la web de reservas. El banner de cookies debe permitir rechazar con la misma facilidad con la que se acepta, y los píxeles de las plataformas publicitarias no pueden dispararse antes de esa decisión. Sobre las fórmulas alternativas que están apareciendo, analizamos su encaje en el artículo sobre el modelo «pay or consent» y su legalidad según la AEPD.
Brechas de seguridad: 72 horas para reaccionar
Un acceso no autorizado al PMS, un portátil de dirección extraviado o un listado de llegadas enviado por error a un proveedor son brechas de seguridad. Y el sector turístico es un objetivo especialmente atractivo, porque concentra identidades completas y datos de pago en sistemas que muchas veces gestionan equipos pequeños.
Cuando existe riesgo para los afectados, el establecimiento dispone de 72 horas para notificar a la AEPD y, en los casos de alto riesgo, también a los propios huéspedes. Por eso conviene tener el procedimiento escrito antes de necesitarlo: puedes seguir el protocolo paso a paso para notificar en 72 horas que publicamos en el blog.
Checklist de protección de datos en alojamientos turísticos
- Eliminar del archivo, físico y digital, todas las copias de DNI y pasaportes acumuladas hasta ahora.
- Rediseñar el formulario de check-in para recoger solo los campos del anexo I del Real Decreto 933/2021.
- Configurar la herramienta de check-in en línea para que no almacene imágenes de documentos.
- Actualizar el registro de actividades de tratamiento con el registro de viajeros como tratamiento diferenciado.
- Revisar la cláusula informativa de recepción y la del motor de reservas.
- Firmar o revisar el contrato de encargo con PMS, channel manager, pasarela de pago y herramienta de encuestas.
- Comprobar dónde se alojan los datos y documentar las transferencias internacionales.
- Fijar plazos de conservación distintos para registro de viajeros, facturación, marketing y CRM.
- Auditar la videovigilancia: ubicación de cámaras, carteles y borrado automático.
- Separar la base de datos comercial de la de cumplimiento, con consentimientos propios.
- Formar al personal de recepción, que es quien aplica la norma cada día.
- Aprobar un protocolo de brechas y designar quién decide la notificación.
Preguntas frecuentes sobre protección de datos en alojamientos turísticos
¿Puedo seguir pidiendo el DNI en recepción? Sí. Puedes pedir que te lo muestren para comprobar visualmente que los datos coinciden con el formulario. Lo que no puedes es fotocopiarlo, escanearlo ni fotografiarlo para guardarlo.
¿Qué hago con las copias de documentos que ya tengo archivadas? Suprimirlas de forma segura, tanto en papel como en el sistema informático, y dejar constancia documental de esa supresión por si la AEPD pregunta.
¿Un apartamento turístico gestionado por un particular tiene las mismas obligaciones? En cuanto al registro de viajeros, sí: el Real Decreto alcanza también al hospedaje no profesional. En materia de RGPD, las obligaciones se modulan según el volumen y el riesgo, pero no desaparecen.
¿Necesita un hotel un Delegado de Protección de Datos? No es obligatorio con carácter general, aunque sí conviene analizarlo cuando hay observación sistemática a gran escala o cadenas con varios establecimientos. Comparamos las opciones en nuestro artículo sobre el DPD interno frente al externo.
¿Puedo usar los datos del registro de viajeros para enviar promociones? No. Esos datos se recogen para una finalidad de seguridad pública. Para marketing necesitas una base jurídica propia y un consentimiento o interés legítimo debidamente documentado.
Conclusión
En definitiva, la protección de datos en alojamientos turísticos se resuelve con una idea sencilla: recoge exactamente lo que la norma exige, comunícalo en plazo y no guardes nada más. El criterio de la AEPD sobre las copias del documento de identidad no complica la operativa; al contrario, la aligera y reduce el riesgo de una brecha con consecuencias graves para el huésped y para el establecimiento.
En Enfoke acompañamos a hoteles, apartamentos turísticos y empresas de gestión vacacional en la adaptación completa al RGPD y a la LOPDGDD, desde la revisión del proceso de check-in hasta los contratos con proveedores tecnológicos y la externalización del Delegado de Protección de Datos. Si quieres afrontar la próxima temporada con todo en regla, contacta con nuestro equipo.
