El lunes entró en vigor el Real Decreto 993/2021 que impone nuevas obligaciones de recopilación y entrega de datos a hoteles, agencias de viajes, plataformas digitales de alojamiento, empresas de alquiler de vehículos y gestores de casas rurales. Estas entidades deberán proporcionar información detallada al Ministerio del Interior sobre sus clientes.
Hasta ahora sólo se solicitaban 14 datos básicos, como nombre, apellidos, DNI y nacionalidad. Con la nueva ley, esta cifra se ha triplicado. Por ejemplo, los hoteles deberán entregar hasta 43 datos diferentes sobre cada huésped, mientras que los alojamientos particulares proporcionarán 41, y las empresas de alquiler de vehículos alcanzarán los 64 datos, ampliables si hay más de un conductor. Además de información personal, se incluyen datos sensibles como relaciones de parentesco y detalles del método de pago, como el tipo de tarjeta, su titular y la fecha de vencimiento.
La Confederación Española de Hoteles y Alojamientos Turísticos (Cehat) ha calificado la normativa como un ataque frontal a la privacidad y una vulneración de las directivas europeas de protección de datos. Según la Cehat, esta medida incumple regulaciones como la Directiva (UE) 2015/2366, que protege la información bancaria mediante cifrado, y el artículo 8 de la Carta de Derechos Fundamentales de la Unión Europea, que salvaguarda los datos personales. También denuncian que solicitar información sobre vínculos familiares atenta contra el derecho al respeto de la vida privada, estipulado en el artículo 7 de esta misma carta.
La patronal hotelera advierte de que el incumplimiento de las normativas europeas podría conllevar sanciones superiores a las establecidas por el Real Decreto, que fija multas de hasta 30.000 euros. Sin embargo, las penalizaciones impuestas por la Unión Europea en estos casos suelen superar esta cifra, pudiendo alcanzar niveles mucho más elevados. Por ello, Cehat ha anunciado su intención de emprender acciones legales contra la normativa, exigiendo al Gobierno que rectifique y aclare su implementación.
La Asociación de Agencias de Viajes Europeas (Ectaa) y la Asociación Corporativa de Agencias de Viajes Especializadas (Acave) han manifestado su preocupación por los riesgos de ciberataques que conlleva el manejo de tanta información sensible. En un comunicado conjunto, alertaron de que la acumulación de estos datos convierte a los viajeros en blanco fácil de posibles usos indebidos, destacando que esta normativa no tiene precedentes en ningún otro país europeo.
La polémica normativa choca con principios establecidos por el Tribunal de Justicia de la Unión Europea, como el de minimización de datos. Sentencias clave, como las C-293/12 y C-594/12 de 2014, prohíben el tratamiento masivo e indiscriminado de datos personales, al considerarlo contrario a los artículos 7 y 8 de la Carta de Derechos Fundamentales.
Tanto la Cehat como las agencias de viajes han denunciado la ausencia de un diálogo efectivo con el Ministerio del Interior. Según ellos, el Ejecutivo no ha ofrecido aclaraciones ni emitido la prometida Orden Ministerial para concretar cómo se aplicará la normativa. Además, señalan que la duplicación o triplicación de información podría incluso dificultar la mejora de la seguridad que la medida pretende alcanzar.
La normativa, que busca «fortalecer la seguridad ciudadana», enfrenta una creciente oposición por parte del sector turístico y expertos en privacidad, quienes exigen una revisión urgente de su alcance y consecuencias.
