El 5 de febrero de 2025, la AEPD impuso una sanción de 2.000€ a un alojamiento turístico por solicitar el envío del DNI por WhatsApp.
Hechos
La Agencia Española de Protección de Datos (AEPD) ha resuelto un procedimiento sancionador contra RESIDENTIAL QUALITY ENJOY, S.L. por exigir a sus clientes el envío de imágenes completas del DNI (incluyendo menores) a través de WhatsApp, sin informar sobre el tratamiento. La empresa alegó cumplir con el Real Decreto 933/2021 sobre registro de huéspedes. Sin embargo, la AEPD determinó que su práctica excedía los requisitos legales.
En primer lugar, la exigencia de aportar la imagen completa del DNI era desproporcionada, pues se recogía información innecesaria como el rostro, el número de expedición o los nombres de progenitores. Esto va en contra del principio que exige limitar los datos a lo «adecuado, pertinente y estrictamente necesario» (art. 5.1.c) RGPD).
Además, cabe recordar que el RD 933/2021 solamente requiere datos textuales básicos (nombre, apellidos, número de documento), no copias del documento.
Asimismo, la AEPD subrayó que, a pesar de que el alquiler turístico está sujeto a obligaciones de registro, (art. 4.3 RD 933/2021), «debe cumplirse sin necesidad de solicitar la entrega de copia o imagen del documento de identidad o escaneo del mismo, pues existen otras alternativas igualmente válidas que permiten realizar esta comprobación de forma fiable.» Es decir, verificar la identidad no equivale a almacenar copias del DNI, pues con métodos menos invasivos, como la transcripción manual de datos, se podría haber cumplido la obligación de registro perfectamente.
Por otro lado, el método de envío de la imagen del DNI solicitado era WhatsApp, por lo que surge un riesgo añadido, pues esta red social carece de cifrado y no se considera una vía segura a través de la cual enviar datos tan sensibles como los contenidos en el DNI.
Por todo lo expuesto, la AEPD decidió imponer una sanción de 2.000€ que, con el reconocimiento de responsabilidad y el pago voluntario por parte de RESIDENTIAL QUALITY ENJOY, S.L., quedó reducida a 1.200€.
Conclusión
Esta resolución recuerda a las empresas que no pueden utilizar la «seguridad» como excusa para recopilar datos excesivos, pues la imagen completa del DNI contiene información sensible irrelevante para el registro de huéspedes.
Como siempre, cuidad los datos y ¡cuidaos!
Para leer la resolución, haga clic aquí.
