La AEPD aclara cómo cumplir el Real Decreto 933/2021 sin vulnerar el RGPD
La entrada en vigor del Real Decreto 933/2021, que impone obligaciones de registro documental a actividades de hospedaje y alquiler de vehículos, ha generado múltiples dudas en el sector turístico. En particular, muchos responsables de establecimientos se preguntan si pueden —o deben— solicitar una copia del documento de identidad de los huéspedes para cumplir con la normativa.
Ante esta situación, la Agencia Española de Protección de Datos (AEPD) ha emitido una nota interpretativa el 17 de junio de 2025, con el objetivo de aclarar el modo en que pueden recogerse los datos requeridos por el Real Decreto sin vulnerar la legislación de protección de datos. El mensaje es claro: no debe pedirse una copia del DNI o pasaporte.
❌ Por qué pedir copia del DNI no es legalmente válido
Según la AEPD, solicitar una copia del DNI vulnera el principio de minimización de datos del artículo 5.1.c) del RGPD. El DNI contiene datos sensibles que no son requeridos por el Real Decreto, como la fotografía, el CAN o los nombres de los padres. Por tanto, se estaría realizando un tratamiento excesivo e innecesario, además de generar riesgos adicionales de suplantación de identidad.
Más aún, el DNI no incluye toda la información exigida por el Anexo I del Real Decreto 933/2021, por lo que tampoco puede considerarse un medio válido y suficiente para cumplir con la norma.
📝 ¿Cómo debe hacerse entonces la recogida de datos?
La AEPD propone una solución viable: utilizar formularios que recojan únicamente los datos obligatorios según los apartados A.3, A.4, B.3 y B.4 del Anexo I del RD 933/2021. Estos formularios pueden cumplimentarse presencialmente en el alojamiento o en línea antes de la llegada del huésped.
🔒 ¿Y cómo se verifica la identidad?
Para la autenticación de la información facilitada, la AEPD distingue dos supuestos:
- En caso de recogida presencial: se puede hacer una verificación visual del documento mostrado, sin necesidad de obtener copia.
- En línea: se podrán usar métodos como:
- Certificados digitales.
- Validación de los datos con el método de pago.
- Envío de códigos de verificación por SMS o email.
Estas medidas son suficientes para cumplir con la finalidad del Real Decreto, que según su Exposición de Motivos, busca proteger la seguridad ciudadana ante posibles usos ilícitos del hospedaje por parte de organizaciones criminales.
📌 Conclusión
La nota de la AEPD aporta claridad, seguridad jurídica y criterios concretos para que los titulares de alojamientos puedan cumplir con sus obligaciones sin incurrir en prácticas contrarias al RGPD.
El uso de formularios bien diseñados y métodos de verificación proporcionados permite alcanzar el equilibrio entre la seguridad ciudadana y la protección de los derechos de las personas.
