En fechas recientes, un hotel de Girona (Hotel & Spa Beverly Park) fue sancionado por la Agencia Española de Protección de Datos (AEPD) tras la denuncia presentada por un cliente. Este caso ha generado gran repercusión al poner el foco en los límites legales sobre la recopilación y tratamiento de datos personales en el sector hotelero, especialmente en lo que respecta al escaneo de documentos de identidad como el DNI.
¿Qué ocurrió en el hotel?
Durante el proceso de check-in, el establecimiento solicitó al huésped escanear su DNI. El cliente se negó, alegando que dicha práctica vulneraba su privacidad, y pidió que se anotaran manualmente solo los datos obligatorios. Finalmente, el personal accedió a registrar los datos sin realizar el escaneo, pero el incidente desembocó en una queja formal ante la AEPD.
El marco legal: ¿qué establece la normativa?
La legislación española y europea en materia de protección de datos —LOPDGDD y el Reglamento General de Protección de Datos (RGPD)— dispone que únicamente se pueden recabar y tratar los datos estrictamente necesarios para la finalidad declarada. En el sector hotelero, una Orden Ministerial obliga a registrar ciertos datos de los huéspedes (nombre, apellidos, número de documento, fecha de nacimiento, etc.) para remitirlos a las fuerzas de seguridad, pero no autoriza el escaneo o almacenamiento completo del documento de identidad.
La AEPD ya había reiterado en múltiples resoluciones que copiar, escanear o fotografiar íntegramente el DNI constituye un tratamiento excesivo: se recogen datos innecesarios (foto, firma, número de soporte, entre otros), lo cual incrementa los riesgos de suplantación de identidad y de filtración en caso de brechas de seguridad.
¿Por qué prosperó la denuncia?
La AEPD concluyó que el hotel había superado los límites legales en la recogida de datos, basándose en los siguientes argumentos:
- La comprobación visual del documento es suficiente para anotar los datos obligatorios.
- El escaneo o copia constituye un tratamiento no justificado y contrario al principio de minimización.
- El riesgo de robo o uso indebido de un documento digitalizado es mayor que el de la simple verificación presencial.
- No existía un consentimiento expreso, libre e informado para un tratamiento tan intrusivo.
Por ello, la AEPD impuso inicialmente una multa de 9.000 euros, posteriormente reducida a 5.400 euros por pronto pago. El expediente recalca que ningún hotel puede justificar esta práctica alegando conveniencia operativa o prevención de fraude.
Repercusiones para el sector hotelero
Este caso sienta un precedente relevante y constituye una advertencia clara a todo el sector turístico y hotelero: es ilegal escanear, fotocopiar o almacenar el DNI completo de los clientes. La normativa únicamente permite:
- El apunte manual de los datos obligatorios.
- La comprobación visual del documento en presencia del cliente.
La protección de datos personales debe prevalecer sobre la comodidad administrativa o las prácticas de control interno. De lo contrario, las sanciones pueden ser elevadas y afectar gravemente la reputación empresarial.
Conclusión
Este precedente fortalece los derechos de los consumidores frente a tratamientos abusivos de datos personales. Los clientes tienen derecho a negarse a prácticas desproporcionadas y a reclamar ante la AEPD en caso de incumplimiento.
📅 Solicita una consulta con Finanbase y asegura la legalidad de tus procedimientos
