¿Puedo recibir una multa de la AEPD por escanear el pasaporte de un cliente?

Un hotel español acaba de recibir una multa de 30.000€ por la Agencia Española de Protección de Datos (AEPD). Todo, por escanear el pasaporte de un turista holandés. La situación ha trascendido en el sector, que se pregunta por las implicaciones a corto y largo plazo de esta manera de actuar. Sobre todo, porque podría afectar a la gestión de los alojamientos turísticos, incluyendo a los campings.

Desde la Confederación Española de Hoteles y Alojamientos Turísticos (CEHAT) han reaccionado con conmoción y desconcierto ante la noticia. Sobre todo, porque aseguran que lo que ha ocurrido se trata de un procedimiento habitual usado por los establecimientos para cumplir precisamente con las exigencias que marca el deber de información.

Al fin y al cabo, hoteles y campings necesitan tener un registro de viajeros. En este caso, aseguran que se trataba de una manera de verificar la identidad del viajero si en algún momento perdía la tarjeta de acceso a su cuarto. Pero es que, además, también es un paso necesario para acceder al resto de servicios que ofrecen en sus instalaciones.

Por tanto, la polémica está servida. En CEHAT han solicitado urgentemente a las administraciones turísticas que se creen otras normas que impidan que esto vuelva a repetirse. Para entender mejor lo que ha ocurrido, vayamos por partes. Así también podremos saber las implicaciones que podría tener este suceso en el futuro inmediato del sector viajes.

¿Por qué se ha producido la multa?

De acuerdo a Protección de Datos, el motivo es que el hotel Marins Playa ha utilizado la foto del pasaporte del cliente para elaborar una ficha digital. En ella, se incluían datos personales del huésped sin que este hubiese dado su permiso. Sin embargo, CEHAT insiste en que es una manera de prevenir el uso fraudulento de la tarjeta de acceso y para comprobar que el titular de la tarjeta de los consumos internos era el mismo cliente.

Este hecho ha sido considerado una infracción muy grave del artículo 6 del Reglamento General de Protección de Datos (RGPD. Por tanto, ha sido sancionada con la cuantía 30.000 euros, que es la mínima para un hecho de este nivel. No hay que olvidar que las sanciones muy graves pueden ascender hasta los 20 millones de euros o a un 4% de la facturación total del establecimiento, dependiendo de cuál sea la mayor de estas dos cantidades.

Lógicamente, habrá establecimientos a estas alturas preguntando cómo se han desencadenado los acontecimientos. En este caso todo surge en el momento en el que el ciudadano holandés pone una reclamación ante la Autoridad de Protección de Datos (AP) de Países Bajos. Según ha contado, el local puso la imagen a disposición de las tablets de los empleados para que verificaran su identidad sin que él hubiese tenido conocimiento previo de ello.

Desde allí luego se ha trasladado la demanda a la AEPD, que es quién ha dictado la sentencia. De no haber sido por la intervención inicial del huésped, es posible que la multa no se hubiese producido. Sin embargo, esto sigue planteando un dilema a los alojamientos, que se arriesgan a que ocurran de nuevo situaciones que podrían derivar en grandes pérdidas económicas y de confianza para campings y hoteles.

¿Cuál ha sido la defensa del hotel?

En base a este hecho, CEHAT denuncia que la decisión de la AEPD se suma a las permanentes quejas sobre la inseguridad jurídica. También han insistido en la sensación de persecución que los empresarios turísticos sienten en materias de protección de datos. Sobre todo, porque las normativas exigen elaborar y facilitar a las empresas turísticas información necesaria para el Ministerio del Interior.

La patronal considera que el sector siempre se ha mostrado abierto a colaborar. De ahí que, a partir de la tecnología, el mecanismo habitual y eficiente para cumplir este requerimiento era el escaneo del documento para que los datos fueran fidedignos. El propio hotel afectado aseguró al cliente holandés que el procedimiento de escaneo era necesario porque seguían las instrucciones de la policía.

De hecho, la AEPD en un primer momento llegó a considerar lícito el tratamiento legal de los datos. Sin embargo, la AP holandesa aseguró que no se estaban valorando bien todas las pruebas. Su argumentación es que el alojamiento podía haber utilizado métodos menos intrusivos para verificar la identidad del titular de la tarjeta del hotel. Por ejemplo, consideran que el apellido, el número de habitación o incluso la firma hubiesen sido buenas alternativas.

Sin embargo, el medio Confidencial Digital asegura que el hotel ha insistido en todo momento que todos estos métodos permiten una suplantación de identidad: si alguien escuchase la información, podría haberla usado en su nombre. Como no hacían alusión a estos métodos en la sección «Política de Privacidad» de su página web, finalmente la AP desestimó sus argumentaciones. En su comunicado oficial aseguran que no habían informado debidamente al huésped y, también, que el tratamiento de datos personales es innecesario y desproporcionado.

¿Entran en conflicto las leyes?

A pesar de todo, la Confederación apunta que esto entraña unos importantes riesgos por la inseguridad jurídica. Consideran que hay una falta de coherencia de interpretación entre lo solicitado por las Fuerzas y Cuerpos de Seguridad del Estado y las normas de protección de datos personales. No solo eso, es que además han manifestado su preocupación por la entrada en vigor del Real Decreto 933/2021 el próximo 28 de abril.

La nueva ley recopila las obligaciones de recogida y comunicación de datos. Sin embargo, todavía no existe un documento de desarrollo específico para hoteles que se ajuste a la tecnología de los sistemas informáticos habituales utilizados. Por eso CEHAT ha manifestado tanto al Ministerio de Turismo como al de Interior la imposibilidad de recoger los datos solicitados en este Real Decreto.

Bien sea porque campings y hoteles no tienen acceso a los mismos o porque están prohibidos por normativa española y europea, lo consideran inviable. Además, esta nueva normativa también contempla importantes sanciones, que podrían entrañar un riesgo. Al mismo tiempo, exige a los hoteleros datos de la transacción económica que son tratados por los proveedores de servicios de pago y plataformas, sin que los establecimientos tengan acceso a ellos por razones de seguridad.

Por su parte, los proveedores de medios de pago, por razones de seguridad y siguiendo protocolos aprobados por el Banco de España, los encriptan de manera que el hotel no tiene acceso a ellos. Es decir, que en los próximos meses podemos encontrarnos con una situación compleja a nivel de legalidad y recogida de datos en los hoteles.

¿Qué riesgos existen para campings y hoteles?

En base a todo lo que hemos comentado, los establecimientos se encuentran ante una disyuntiva. Aunque permanece vigente la obligación de rellenar y firmar el parte de entrada, la tecnología ha dejado anticuado este método de check-in tradicional. De hecho, CEHAT señala que otras tipologías de establecimiento de alojamiento que no sean campings y hoteles no disponen de servicios de recepción donde se pueda cumplimentar esta obligación.

Teniendo esto en cuenta, la patronal ha solicitado a las administraciones turísticas que se creen otras normas que impidan el actual desconcierto, o se posponga la entrada en vigor del Real Decreto hasta que haya una norma de desarrollo con posibilidades de cumplimiento. De lo contrario, creen que se podrían producir negativas de información para la seguridad del Estado.

«No es aceptable obligar a un establecimiento a proporcionar datos a mano en el año 2022, ya que mucha de la información solicitada en estas normativas excede los datos que aparecen en el documento digital de identidad del viajero», señala Ramón Estalella, secretario general de CEHAT.

Al final, desde la Confederación exponen que los campings y hoteles pueden encontrarse ante la tesitura de tener que elegir entre ser sancionados por incumplir o bien las normas de Registro de Viajeros o bien las de Protección de Datos. Por tanto, consideran que son necesarias nuevas herramientas tecnológicas que ayuden a solventar el problema de los alojamientos.

multa AEPD escanear pasaporte