La Agencia Española de Protección de Datos (AEPD) ha respondido a una consulta de CEOE, de la que forma parte la CREEX, sobre la aplicación del Real Decreto 933/2021. Esta norma obliga a los establecimientos de hospedaje y a las empresas de alquiler de vehículos a registrar los datos de sus clientes. El criterio de la AEPD no es vinculante, pero sirve de orientación a estos sectores.

El eje de la respuesta es la minimización de datos. Las empresas no deben pedir ni guardar una copia completa del DNI o del pasaporte, porque estos documentos contienen más información de la que exige la norma. Sí pueden pedir al cliente que muestre el documento para comprobar su identidad, siempre que no capturen ni utilicen después los datos sobrantes.

La AEPD considera viable el uso de sistemas de lectura automática (OCR), con una condición: deben extraer solo los datos necesarios y no almacenar la imagen del documento. Para la identificación a distancia, la agencia menciona los certificados digitales, los mecanismos vinculados al medio de pago y los códigos de un solo uso. Además, no existe una obligación general de conservar el documento como prueba de que se hizo la verificación.

El plazo de conservación de tres años se aplica únicamente al registro de viajeros. No se extiende a imágenes de documentos ni a logs. La empresa tampoco responde de la infraestructura del Ministerio del Interior. Su responsabilidad se limita a lo que controla: la recogida de datos, sus sistemas, los accesos y la elección de proveedores, a los que deberá exigir garantías efectivas. Si el tratamiento entraña un alto riesgo, tendrá que realizar una evaluación de impacto.

CIRCULAR INFORMATIVA COMPLETA