La Agencia Española de Protección de Datos (AEPD) ha resuelto un procedimiento sancionador contra SUNERIS, S.A., empresa dedicada a la hostelería, por vulnerar el principio de minimización de datos establecido en el Reglamento General de Protección de Datos (RGPD).
Los hechos
El caso se originó tras una reclamación presentada en junio de 2024 por un huésped que denunció que el hotel le solicitó su DNI para escanearlo durante el proceso de registro. Cuando el cliente se negó a entregar el documento, el personal del establecimiento procedió a copiar sus datos utilizando el ordenador del hotel.
La empresa justificó su actuación citando el Real Decreto 933/2021, que establece las obligaciones de registro documental para empresas de hospedaje, argumentando que las autoridades de seguridad les exigen enviar telemáticamente una copia del documento acreditativo de las personas que se hospedan.
La resolución de la AEPD
La Agencia determinó que el escaneo completo del DNI constituye un tratamiento excesivo de datos personales que vulnera el artículo 5.1.c) del RGPD sobre minimización de datos. Según la resolución, el DNI completo contiene información adicional no requerida por la normativa, como la fotografía, fecha de caducidad, número CAN o nombres de los padres.
La AEPD estableció que existen alternativas válidas para cumplir con las obligaciones legales sin necesidad de escanear el documento completo, como la verificación visual de los datos o el uso de formularios que recojan únicamente la información específicamente requerida por el Real Decreto 933/2021.
Sanción y medidas correctivas
SUNERIS reconoció su responsabilidad y procedió al pago voluntario de la sanción, aplicándose las reducciones correspondientes que redujeron la multa de 9.000 euros iniciales a 5.400 euros.
Además de la sanción económica, la empresa debe adoptar en un plazo de tres meses las siguientes medidas:
- Modificar su sistema de registro para no solicitar copias ni proceder al escaneo de documentos de identidad
- Eliminar los documentos de identidad escaneados que mantenga almacenados en su sistema
El expediente, identificado como EXP202410022, fue resuelto mediante el procedimiento de reconocimiento de responsabilidad y pago voluntario, quedando el caso cerrado tras el cumplimiento de las obligaciones establecidas.
