Nota informativa – PS 78/2021 AEPD: Límites al uso de los datos de clientes por los establecimientos hoteleros
19/04/2022
El objetivo de la presente nota es el análisis legal de la resolución del procedimiento sancionador n.º 00078/2021 de la Agencia Española de Protección de Datos (en adelante, “AEPD”). Dicho procedimiento tiene su origen en una reclamación transfronteriza efectuada por un ciudadano holandés ante la autoridad de protección de datos de Países Bajos (Autoreit Persoonsgegevens, en adelante “AP”).
Dicha reclamación se dirige contra una empresa turística cuyo establecimiento principal está en España, motivo por el cuál la AEPD se erige como autoridad de control principal, a tenor del Artículo 56.1 del Reglamento (UE) 2016/679 del Parlamento y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, “RGPD”).
- Supuesto de hecho
La entidad reclamada, que cuenta con varios establecimientos hoteleros, solicitó y escaneó el pasaporte del reclamante, durante el proceso de registro, tras la llegada de éste al hotel. Este tipo de actividad en los establecimientos hoteleros responde no únicamente a tener un conocimiento del cliente que se aloja en este tipo de establecimientos, sino también con el fin de cumplir con la obligación que pesa sobre este tipo de establecimientos de la creación de los partes de entrada y libro-registro de viajeros[1].
La AEPD estimó inicialmente que no existían indicios de comisión de una infracción. No obstante, la AP formuló objeciones al archivo de la AEPD, lo que finalmente derivó en la apertura del procedimiento sancionador.
El proceso de escaneado indicado con anterioridad al que se somete la documentación identificativa de los clientes de la entidad reclamada, no toma imágenes del documento en su totalidad, sino que, a través de un programa informático de reconocimiento óptico de caracteres (en adelante “OCR”), captura los datos del cliente y los integra en el sistema de información del establecimiento. En concreto, el hotel recaba los datos personales de sus clientes relativos a número, tipo y fecha de expedición del documento de identidad aportado, nombre y apellidos, sexo, fecha y país de nacimiento, así como la fotografía. Dichos datos, que crean los partes de entrada y libro-registro de viajeros, son remitidos a las Fuerzas y Cuerpos de Seguridad del Estado en cumplimiento de la normativa de seguridad ciudadana y utilizados para “la gestión hotelera”.
En el presente caso, la utilización de los datos personales de los clientes por el personal de administración y servicio del establecimiento es adicional al efectuado por requerimiento legal, al disponer de un dispositivo que tiene incorporada la información relativa a los clientes (número de habitación y reserva, número de personas y fecha de salida; nombre y apellidos de la persona, régimen y número de visitas, además de la fotografía del cliente que se incluya en el documento identificativo aportado por éste), la cual se destina a verificar la identidad de los clientes cuando realizan consumos en el hotel.
- Fundamentos de derecho
Los datos señalados, a excepción de la fotografía del documento, resultan necesarios para la ejecución del contrato de alojamiento y para el cumplimiento de obligaciones legales aplicables al establecimiento: comunicar la información contenida en las hojas-registro a las dependencias policiales, a tenor de la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, y la Orden INT/1922/2003[2], de 3 de julio, sobre libros-registro y partes de entrada de viajeros en establecimientos de hostelería y otros análogos. Así, la AEPD considera que el tratamiento de estos datos está amparado por lo establecido por el Artículo 6.1 letras b) y c) del RGPD.
Sin embargo, con relación a la fotografía del documento, la AEPD indica que su tratamiento no se encuentra amparado por ninguna de las bases jurídicas previamente mencionadas, ni así tampoco por las restantes que reconoce la normativa:
- La entidad reclamada no informa sobre su recogida y uso, resultando desconocido para el interesado.
- La base jurídica alegada por la entidad, el interés legítimo del establecimiento y del propio cliente, no se justifica de forma suficiente en los términos del juicio de proporcionalidad de la doctrina del Tribunal Constitucional. No consta que la reclamada haya realizado una prueba de ponderación y haya informado debidamente al reclamante.
Se entiende así que la recogida y utilización de la fotografía de los clientes por el establecimiento hotelero supone un tratamiento de datos excesivo, conforme el Art. 6.1 f) del RGPD, en tanto existen formas menos intrusivas para verificar si el titular de la tarjeta se corresponde con el legítimo titular que ha realizado el registro inicial y evitar, de esta forma, la comisión de fraude.
- Tampoco se considera el tratamiento de la fotografía por el establecimiento amparado en el consentimiento válido de los clientes, pues no consta que el mismo se haya prestado. La AEPD incide en que: “Esta entidad ni siquiera informa sobre esta utilización de la fotografía, ni ha establecido ningún mecanismo para que los clientes puedan consentir esta utilización mediante un acto afirmativo separado para estas concretas operaciones de tratamiento, las cuales tampoco constan recogidas en el Registro de Actividades de Tratamiento”.
- El tratamiento del dato personal de la fotografía no se produce únicamente durante la estancia del cliente en el establecimiento, sino que dicho dato se ha conservado en los sistemas de la reclamada tras la finalización de la estancia.
La AEPD considera aplicable el análisis realizado en el procedimiento sancionador no sólo al supuesto de hecho, sino al tratamiento y gestión de datos personales que realiza la entidad con carácter general. Por ello, considera irrelevante si el reclamante en cuestión se opuso o no a la entrega de su pasaporte durante el proceso de registro del hotel, así como que la fotografía fuese visualizada únicamente por el personal de servicio. El elemento que la AEPD considera constitutivo de infracción es el tratamiento realizado en sí: el registro de la fotografía en los sistemas de información de la entidad sin contar este tratamiento de datos con los principios de la normativa de protección de datos.
Dado lo anterior, la autoridad nacional concluye que el tratamiento efectuado por el establecimiento hotelero de la fotografía del documento identificativo del cliente constituye una vulneración de lo dispuesto en el Artículo 6 del RGPD, por lo que impone a la reclamada una multa que asciende a treinta mil euros (30.000 euros).
SI bien la resolución analizada distingue de forma clara el tratamiento legítimo de aquél considerado excesivo por la AEPD, la misma se incorpora al compendio de resoluciones que dificultan la obligación de los responsables del tratamiento de verificar la identidad de los interesados con los que van a establecer una relación contractual, bien cuestionando los métodos de identificación empleados, bien el tipo de datos recabado, como en el presente caso.
Resulta necesaria una regulación que estipule, claramente, las medidas y garantías que deben implementar los responsables del tratamiento de cara a cumplir con las obligaciones de la normativa en materia de protección de datos.
Quedamos a su disposición para cualquier duda o cuestión que pudiera surgir.
Reciba un cordial un saludo,
Área de Privacidad de ECIJA
Telf: + 34 91.781.61.60
[1] Actividad regulada por la Orden INT/1922/2003, de 3 de julio, y a partir del mes de abril del 2022 por el Real Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor. No obstante, las previsiones relativas a las obligaciones de comunicación producirán efectos a partir del 2 de enero de 2023.
[2] Con las salvedades normativas indicadas anteriormente.