Çevrim İçi Konaklama Kaydında Kimlik Belgesi Kopyası

1/26

 Expediente N.º: EXP202316537

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 20 de mayo de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a A.A.A. (en adelante la
parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones
presentadas, con fecha 30 de septiembre de 2024 se emitió la propuesta de resolución
que a continuación se transcribe:

Expediente N.º: EXP202316537
Procedimiento Sancionador Nº. PS/00036/2024

PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:

ANTECEDENTES

PRIMERO: B.B.B. (en adelante, la parte reclamante) con fecha de 22 de octubre de
2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra el establecimiento hotelero denominado “POSADA EL
AZUFRAL” cuyo titular es A.A.A. con NIF ***NIF.1 (en adelante, la reclamada).

Los motivos en que basa la reclamación son los siguientes:

- La parte reclamante manifiesta que en fecha 26-7-2023 realizó una reserva de
una habitación a través de la web booking.com en el establecimiento hostelero
POSADA EL AZUFRAL, S.C, para las fechas 25-08-23 al 26-08-23.
- Señala que en la misma fecha de 26-7-23 le fue remitido un correo electrónico
del establecimiento para realizar el registro de huésped anticipado (“pre-
registro” o “pre-check in online”), correo que adjuntaba un link que dirigía a la
web de una aplicación denominada “Partee”, que le solicitaba cumplimentar
ciertos datos, y adjuntar fotografía de las dos caras de su DNI. El reclamante
aportó sus datos para realizar el registro a través de dicha aplicación web, pero
no imagen de su DNI al considerar esa petición como excesiva, comunicando
esta circunstancia al establecimiento a través de la mensajería de
booking.com.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/26

- Señala que al acudir a alojarse en la posada donde realizó su previa reserva el
día previsto para la entrada 25-8-23, la parte reclamada le exigió, como
condición para facilitarle la habitación reservada, la entrega de su DNI para
realizar una fotografía al objeto de cumplimentar el check in online o una
fotocopia para hacer el check in manual. El reclamante se negó por considerar
que dicha exigencia es contraria a la normativa de protección de datos,
siéndole denegado el alojamiento.
- Que el reclamante solicitó hoja de reclamaciones ante el establecimiento, e
interpuso la pertinente reclamación ante la Consejería competente en materia
de turismo del Gobierno de Cantabria.

Junto a la reclamación se aporta la siguiente documentación, que es completada
mediante escrito de 13 de noviembre de 2023:

- Reserva del alojamiento realizada a través de booking.com el 26 de julio de
2023.
- Mensaje enviado el 26 de julio de 2023 al reclamante por la Posada El Azufral
a través de ebooking.com, donde se indica: “Por favor, para agilizar su registro
en POSADA EL AZUFRAL, 25-08-2023, haga clic en el siguiente ENLACE y
cumplimente el formulario con los datos de su DNI, Pasaporte o NIE”. Dicho
enlace dirige a la “app.partee check in online”.
- Nuevo mensaje recibido el 25 de agosto de 2023 de “Partee check-in online”
advirtiendo de que puede completar el registro online hasta el mismo día 25 de
agosto de 2023, siendo necesario cumplimentar la información del enlace para
dar cumplimiento a la normativa sobre partes de entrada y libro-registro de
hospedajes.
- Pantallazo del formulario de datos a cumplimentar en la app parte para el
check-in online.
- Hoja de Reclamaciones planteada ante la Posada el Azufral el 25 de agosto de
2023, al cancelarse la reserva, y presentación de tal reclamación ante la
Consejería de turismo del Gobierno de Cantabria.
- Real Decreto 933/2021, de 26 de octubre, por el que se establecen las
obligaciones de registro documental e información de las personas físicas o
jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor.
- Resolución del procedimiento sancionador nº 78/2021 publicada por esta
Agencia Española de Protección de Datos.
- Extracto del apartado de política de privacidad de la aplicación PARTEE
(www.app.partee.es), donde consta un enlace al acuerdo de encargo del
tratamiento.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a A.A.A., que aparece
como responsable del tratamiento de datos en el apartado de política de privacidad de
la web TARIFAS Y POLITICAS | EL AZUFRAL, para que procediese a su análisis e
informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para
adecuarse a los requisitos previstos en la normativa de protección de datos.

El traslado, que se practicó por vía postal conforme a las normas establecidas en la
Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/26

Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 11/12/2023
como consta en el acuse de recibo que obra en el expediente.

TERCERO: Con fecha 29/12/2023 se recibe en esta Agencia escrito de respuesta de
A.A.A., en el que reconoce ser la responsable del tratamiento, siendo la POSADA EL
AZUFRAL S.C, el nombre comercial del establecimiento hotelero.

En su escrito, la parte reclamada aporta un informe sobre el tratamiento de datos
personales del establecimiento, y un informe sobre el suceso acaecido.

Resumidamente, cabe señalar que la reclamada reconoce ser la responsable del
tratamiento de datos personales de la POSADA EL AZUFRAL, S.C, y admite que los
hechos acaecieron tal y como se relatan por el reclamante, si bien niega que exista
vulneración de la normativa de protección de datos personales, considerando que es
necesario exigir al cliente la fotografía o copia del documento de identidad del viajero
al objeto de comprobar la exactitud de los datos que se deben cumplimentar en los
partes de entrada y salida del viajero y las hojas registro que se establecen en la
normativa del Ministerio de Interior, para los establecimientos hoteleros.

CUARTO: Con fecha 9 de enero de 2024, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.

QUINTO: Con fecha 20 de mayo de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 5.1.c) del RGPD, tipificada
en el Artículo 83.5.a) del RGPD.

SEXTO: Notificado el citado acuerdo de inicio con fecha de acuse de recibo
electrónico de 29 de mayo de 2024, conforme a las normas establecidas en la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones con fecha de 10 de junio de 2024 en el que, tras señalar que se ha
recibido el citado acuerdo en el punto primero y confirmar que la reclamada es la
responsable del tratamiento de los datos personales de los clientes de la POSADA EL
AZUFRAL en el punto segundo, manifiesta literalmente lo siguiente (puntos 3 a 8 del
escrito de alegaciones):

“TERCERO.- El procedimiento para la realización del check-in o “pre-registro”,
está totalmente automatizado, teniendo que pasar el huésped por un proceso a
través de una de las 4 opciones que se ponen a su disposición: A) Check-in
online sin aportar el Documento de Identidad o pasaporte. B) Check-in online
aportando el Documento de Identidad o pasaporte. C) Check-in presencial sin
aportar el Documento de Identidad o pasaporte. D) Check-in presencial
aportando el Documento de Identidad o pasaporte. En todos los casos, tanto en
el formato online (el cliente cumplimenta directamente el formulario), como en el
formato presencial (los datos los introduce in-situ el personal de recepción del
alojamiento), se emplea la aplicación informática denominada Partee,
suministrada a través del contrato de servicios correspondiente del proveedor (y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/26

encargado del tratamiento) YNEEDS, YOUR INTELLIGENT IMAGING
COMPANY S.L.U.
CUARTO.- El principio de minimización de los datos personales persigue limitar
el tratamiento de los mismos. Sin embargo, no prohíbe el volcado automatizado
de los datos personales si se utiliza un proceso inteligente de traslado de
información desde una fotografía u otro soporte, siempre con la misma intención
de cubrir la información necesaria para las obligaciones legales
correspondientes (ficha policía).
QUINTO.- Debemos aclarar que entre el responsable del tratamiento y el
encargado de tratamiento, hay suscrito un contrato de tratamiento de datos y
contrato de prestación de servicio, atendiendo a lo establecido en el artículo 28
del RGPD. T
SEXTO.- A través de la aplicación Partee, el responsable del tratamiento obtiene
los datos de carácter personal exigidos y necesarios para la realización de los
partes de entrada y viajeros.
SÉPTIMO.- En el momento en que los huéspedes, realizan una reserva, reciben
una comunicación online (email) días antes de su llegada, para la realización del
check-in online. Dicho check-in se realiza desde el dispositivo del Cliente. La
aplicación permite el escaneo voluntario e inteligente del DNI, obteniendo de
forma directa los datos necesarios, pudiendo prescindir de este proceso si el
huésped cumplimenta los datos de manera manual. En el caso de que el Cliente
opte por el método de facilitar su DNI para el escaneo inteligente de la
información, la copia del documento nacional de identidad no se almacena en
los servidores de la aplicación, sino que solo se utiliza de manera puntual para la
extracción de información necesaria. Este hecho fue informado al B.B.B., tal y
como se manifiesta en el INFORME SOBRE EL SUCESO DE 25 DE AGOSTO
presentado por Dña. A.A.A., a instancias de la AEPD. Es decir, el Huésped fue
conocedor en todo momento de que no se guardaba copia de su DNI.

OCTAVO.- En el caso de que el huésped realice de forma manual la aportación
de datos, será necesario la posterior comprobación de la veracidad de los
mismos, dado que la persona del establecimiento que recepciona al Huésped
tiene la responsabilidad de verificar la exactitud de los datos facilitados y para
ello solicita la identificación al Cliente. En todo momento, y durante la realización
de la reserva, se informa al huésped sobre quién es el responsable del
tratamiento, la finalidad de los datos recabados, los destinatarios de la
información, plazos de conservación y la legitimación del tratamiento, con lo cual
éste, puede decidir si hacerla o no. Así mismo, los datos facilitados por el Cliente
serán conservados a efectos de prestación del servicio y tras la marcha del
Huésped, conservados a efectos fiscales y de facturación por el plazo legal
establecido, tras lo cual dichos datos serán suprimidos.”

En defensa de estas alegaciones, la reclamada aporta como Anexo I, una captura de
pantalla en la que se muestra la parte del formulario (punto 3) de Check-in de la
aplicación PARTEE, utilizada para la gestión del proceso de reserva y registro de
huéspedes, donde se solicita la foto del DNI del Cliente, si bien en la nota informativa
que refiere “i) Su alojamiento requiere estas capturas para verificar los datos del
Check-in online.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/26

SÉPTIMO: Con fecha de 30 de septiembre de 2024 se expide por la instructora
Diligencia para hacer unir al procedimiento el contenido de la política de privacidad de
la aplicación PARTEE, contratada por la parte reclamada.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO: En fecha 26-7-2023 la parte reclamante realizó una reserva de una
habitación a través de la web booking.com en el establecimiento hostelero POSADA
EL AZUFRAL, S.C, para las fechas 25-08-23 al 26-08-23, según consta en reserva
aportada junto con la reclamación. Así se deduce de la reserva aportada por el
reclamante, cuyos términos y contenido se reconocen por la reclamada.

SEGUNDO: En la misma fecha de 26-7-23 se remite automáticamente al reclamante
un correo electrónico para realizar voluntariamente el registro de huésped anticipado
(“pre-registro” o “pre-check in online”), correo que adjuntaba un link que dirigía a la
web de una aplicación denominada “Partee”, lo que se acredita mediante la aportación
del citado correo electrónico en la reclamación, cuya remisión se reconoce por la parte
reclamada.

TERCERO: Que, el procedimiento para realizar el check in en el establecimiento se
puede realizar online o presencialmente en el establecimiento a través de la aplicación
PARTEE, que ha sido contratada al efecto por el establecimiento. Tal y como señala la
reclamada en el punto 3 de su escrito de alegaciones al acuerdo de inicio de 10 de
junio de 2024, y puede comprobarse en el enlace a la aplicación que se contiene en el
correo remitido al reclamante para que proceda al pre-check in: “En todos los casos,
tanto en el formato online (el cliente cumplimenta directamente el formulario), como en
el formato presencial (los datos los introduce in-situ el personal de recepción del
alojamiento), se emplea la aplicación informática denominada Partee, suministrada a
través del contrato de servicios correspondiente del proveedor (y encargado del
tratamiento) YNEEDS, YOUR INTELLIGENT IMAGING COMPANY S.L.U”

CUARTO: De acuerdo con lo que consta diligenciado con fecha de 26 de julio de 2023,
según la política de privacidad de la aplicación contratada por la reclamada, PARTEE,
los datos personales a recabar en los procesos de check in online/ presencial son los
indicados en los apartados e) y f), que dan la posibilidad de que el viajero pueda
finalizar el proceso de registro sin necesidad de entregar la copia o escanear la
fotografía de su documento de identidad, siempre y cuando se anoten los datos de
dicho documento en la aplicación PARTEE por el personal del establecimiento de
forma manual, previa exhibición del documento.

“POLÍTICA PRIVACIDAD APLICACIÓN PARTEE.

Qué datos personales obtenemos de los huéspedes de nuestros clientes (…)

e. Fotografías de DNIs o Pasaportes durante el check-in presencial. El check-
in presencial de Partee es el procedimiento de captura de datos y firma de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/26

huéspedes en su presencia. Con el cuádruple objetivo de a) asegurar la exactitud
de los partes de viajeros (obligación expuesta en el apartado 3 del artículo 4 del
RD 933/2021, y que supone la base de legitimación para este tratamiento), b) de
mejorar la productividad en el cumplimiento de la normativa, c) de avanzar en
transformación digital y d) de ahorrar tiempo al huésped y proporcionarle un mejor
servicio, nuestros clientes tienen la opción de usar la cámara de su dispositivo
móvil, o un escáner de sobremesa o equipo multifunción, para obtener una
imagen del documento de identificación del huésped y autocumplimentar el parte
de manera automática, como contraposición a una introducción manual y lenta de
datos. Partee no almacenará ni distribuirá las imágenes de estos documentos,
simplemente las usará para extraer los datos personales de los huéspedes y
cumplir con las obligaciones de registro establecidas en la normativa. Una vez
cumplido este cometido, que dura apenas unos segundos, Partee eliminará estas
imágenes automáticamente. Para que el cliente de Partee pueda usar esta
funcionalidad de captura de datos automática desde imagen del DNI o Pasaporte,
el huésped deberá aceptar la presente política de privacidad en la aplicación
Partee seleccionando la casilla correspondiente. En caso de que el huésped se
niegue a que se le obtenga una imagen de su documento de identificación, el
cliente de Partee deberá rellenar el formulario de datos con el teclado, a partir del
documento de identificación exhibido por el huésped.

f. Fotografías de DNIs o Pasaportes durante el check-in online. El check-in
online de Partee es una modalidad de pre-registro o pre-checkin, que pretende
ofrecer un mejor servicio a los huéspedes y agilizar el proceso de registro,
mediante la captura de modo anticipado de los datos personales de los
huéspedes requerido por la normativa sobre registro de huéspedes. En el check-
in online, los huéspedes acceden a un formulario web de Partee en el que podrán
introducir sus datos personales y firmar cómodamente y en pocos segundos. En
el formulario web Partee les muestra un enlace directo a la presente política de
privacidad, así como una casilla de marcación para que el huésped la acepte. Si
no la aceptan, Partee no almacenará ni comunicará ninguno de los datos
introducidos por el huésped, serán simplemente descartados. Con el objeto de
cumplir con la obligación expuesta en el apartado 3 del artículo 4 del RD
933/2021, la cual supone la base de legitimación para este tratamiento, y que
establece que el establecimiento será «responsable de la exactitud de los datos
que se hagan constar en ellos (se refiere a los partes de viajeros), de modo que
coincidan con los documentos o sistemas que acrediten la identidad de las
personas, que habrán de ser exhibidos o facilitados por los usuarios de estos
servicios», los clientes de Partee pueden configurar los enlaces de check-in online
de Partee para que Partee solicite al huésped que adjunte fotografías de su
documento de identificación durante el check-in online. En estos casos, si los
huéspedes no desean aportar fotografías de sus documentos de identificación,
deberán solicitar al establecimiento, o bien un enlace de check-in online que no
requiera adjuntar dichas fotografías, o indicar al establecimiento que prefieren que
se le realice el check-in presencial a la llegada al establecimiento. En el caso en el
que el huésped aporte dichas imágenes de sus documentos, Partee enviará las
fotografías al correo electrónico del cliente de Partee que gestiona el alojamiento,
para que pueda verificar la identidad de los huéspedes y la exactitud de los datos
aportados, y, por si el cliente de Partee no recibe o elimina por error dichas
imágenes recibidas por correo electrónico, Partee las almacena en sus servidores
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/26

durante 5 días naturales como máximo, para que puedan ser consultadas por el
establecimiento, y las eliminará SIEMPRE, transcurrido este plazo máximo. Si
antes de los 5 días el cliente borra esos datos, o si el huésped manifiesta su
deseo de eliminarlos, Partee los eliminará sin esperar al plazo de 5 días
naturales”.

QUINTO: Respecto al almacenamiento de las fotografías o fotocopias del documento
de identidad, además de indicarse en la política de privacidad señalada en el párrafo
anterior que la aplicación PARTEE archiva las mismas durante 5 días naturales, la
entidad reclamada reconoce que las fotografías obtenidas por la aplicación PARTEE
en el proceso de check in online se remiten por correo electrónico al establecimiento
para comprobación de los datos, y que se conservan a los efectos previstos por la
legislación fiscal durante un plazo de 3 años. Así se señala en el Informe sobre el
“proceso del tratamiento de datos” aportado el 29 de diciembre de 2023 a esta
Agencia, lo siguiente:

El plazo de supresión de los datos necesarios para la administración y contabilidad
son los previstos en la legislación fiscal respecto a la prescripción de
responsabilidades. el caso de los datos utilizados para la realización de los partes
de viajeros la legislación establece un plazo de 3 años de mantenimiento de los
mismos.”

SEXTO: Por lo que respecta al supuesto concreto planteado con la reclamación,
respecto a la exigencia de aportación de fotografía/copia del documento de identidad
al reclamante para formalizar su reserva, consta acreditado en el expediente lo
siguiente:

- En el momento de pre-check in online, el reclamante informó a la reclamada de
que no deseaba escanear la fotografía de su DNI, y que se acogería a la
posibilidad que constaba en el correo electrónico recibido de exhibir su DNI en
el proceso de check presencial, lo que coincide con lo que señala la política de
privacidad de la aplicación PARTEE en su apartado e). Este hecho no se niega
por la reclamada y consta acreditado mediante la aportación del mensaje de
e.booking.com que fue remitido por el mismo, y se ha aportado junto con la
reclamación.

- El día de inicio de la reserva, 25 de agosto de 2023, el reclamante se personó
en el establecimiento para hacer el check in presencial, y se ofreció a exhibir su
DNI para que la empleada anotase en la aplicación PARTEE los datos que
fueran exigibles para cumplimentar los partes de entrada y salida de viajeros
exigidos en la Orden reguladora del Ministerio del Interior que establece dicha
obligación. Pero el establecimiento le requirió la entrega de su DNI al objeto de
escanearla y cumplimentar los datos en la aplicación PARTEE, indicándole que
era un requisito necesario para formalizar el registro. Ante la negativa del
reclamante a entregar dicha copia o fotografía, solicitando cumplimentar un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/26

parte en papel, el establecimiento le indica que no dispone de la posibilidad de
cumplimentación en papel. Como alternativa el reclamante propone la
anotación de sus datos y la comprobación de su veracidad mediante la
exhibición de su DNI al personal, para que éste completase el chec in, lo que le
fue también denegado por el alojamiento, que finalmente procedió a cancelar la
reserva.

Ello ha sido reconocido por la reclamada en el “Informe sobre el suceso”
aportado el 29 de diciembre de 2012, que dispone lo siguiente:

“El día 25 de agosto el cliente se presenta en la posada, a su entrada tras
su bienvenida se le indica que debe realizar el check in. Que el proceso se
realiza por medio de la aplicación, tal y como se le había notificado por la
mensajería. El cliente dice que no va a utilizar la aplicación y que se los
realicemos nosotros. Le indicamos que procederemos a realizar un
escaneado del DNI, delante de él y a la vista para la captura de datos,
hecho a lo cual se niega. Tras volver a explicarle el procedimiento y que en
ningún momento guardaremos copia alguna de su DNI, advierte que no es
necesario y que él sabe de lo que habla, enseñando una placa de forma
que no sea posible la comprobación alguna.
Se le pregunta si es policía y si se está identificando. El cliente no se
identifica como policía, no muestra su placa de forma fehaciente ni se
identifica con su número de agente.
Ante este comportamiento sospechoso, determinamos no ceder y le
indicamos que será necesario su identificación y la comprobación de los
datos aportados. El cliente dice que tómenos nota en un papel que el nos
enseña el DNI y que firmara el papel. Le volvemos a indicar que la
comunicación se realiza por medios electrónicos y que no disponemos de
parte de viajeros en papel. Ante la negativa insistente del cliente, le
indicamos que de no realizar la comprobación de datos procederemos a
anular su reserva y le comunicamos que como muestra de buena fe, le
devolvemos el importe de su reserva, sin tener obligación alguna por
nuestra parte”.

FUNDAMENTOS DE DERECHO

I
Competencia y procedimiento

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/26

en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Contestación a las alegaciones al acuerdo de inicio

Habiéndose iniciado el presente procedimiento por la presunta comisión de una
infracción del artículo 5.1.c) del RGPD, que regula el Principio de minimización de
datos personales, presuntamente cometida por la reclamada al imponer a reclamante
el requisito de aportar una imagen o fotografía completa de su documento de identidad
para poder realizar el registro o check in en su establecimiento hostelero (Posada el
Azufral), que dispone de una recepción presencial y de la posibilidad de realizar check
in online de los viajeros, la reclamada ha presentado alegaciones frente al acuerdo de
inicio que han sido reproducidas íntegramente en el acuerdo de inicio.

Una vez analizadas las alegaciones presentadas, cabe desestimar las mismas, por los
motivos siguientes:

1. El tratamiento de los datos personales para el registro de la entrada y salida de
viajeros está automatizado, se realiza a través de la aplicación PARTEE contratado
con la entidad YNEEDS, YOUR INTELLIGENT IMAGING COMPANY S.L.U,
teniendo que pasar el huésped por un proceso a través de una de las 4 opciones
que se ponen a su disposición:
A) Check-in online sin aportar el Documento de Identidad o pasaporte.
B) Check-in online aportando el Documento de Identidad o pasaporte.
C) Check-in presencial sin aportar el Documento de Identidad o pasaporte.
D) Check-in presencial aportando el Documento de Identidad o pasaporte.

Pues bien, acudiendo a la política de privacidad de PARTEE, que consta en el enlace
que se adjunta en el correo remitido al reclamante para realizar el check in online,
cuyo contenido ha sido diligenciado por esta instructora el 26 de julio de 2024, y se
halla unido al presente expediente, se comprueba que es cierto que la aplicación
PARTEE permite formalizar el proceso de registro del viajero sin necesidad de
entregar/escanear la fotografía del documento de documento de identidad del viajero
(huésped a cuyo nombre se realiza el check in), ofreciendo estas 4 opciones a cada
cliente (el contratante del servicio, que suele ser el establecimiento o su titular, que en
este caso es A.A.A.). Pero también consta en la política de privacidad que el cliente
puede solicitar que se configure la aplicación para que requiera obligatoriamente dicha
fotografía o copia, que es lo que sucedido en el supuesto presente.

Así pues, dicha política de privacidad señala en su apartado: “Qué datos personales
obtenemos de los huéspedes de nuestros clientes (…)

e. Fotografías de DNIs o Pasaportes durante el check-in presencial. (…)En
caso de que el huésped se niegue a que se le obtenga una imagen de su
documento de identificación, el cliente de Partee deberá rellenar el formulario de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/26

datos con el teclado, a partir del documento de identificación exhibido por el
huésped.

f. Fotografías de DNIs o Pasaportes durante el check-in online. (…) Con el
objeto de cumplir con la obligación expuesta en el apartado 3 del artículo 4 del RD
933/2021, la cual supone la base de legitimación para este tratamiento, y que
establece que el establecimiento será «responsable de la exactitud de los datos
que se hagan constar en ellos (se refiere a los partes de viajeros), de modo que
coincidan con los documentos o sistemas que acrediten la identidad de las
personas, que habrán de ser exhibidos o facilitados por los usuarios de estos
servicios», los clientes de Partee pueden configurar los enlaces de check-in online
de Partee para que Partee solicite al huésped que adjunte fotografías de su
documento de identificación durante el check-in online. En estos casos, si los
huéspedes no desean aportar fotografías de sus documentos de identificación,
deberán solicitar al establecimiento, o bien un enlace de check-in online que no
requiera adjuntar dichas fotografías, o indicar al establecimiento que prefieren que
se le realice el check-in presencial a la llegada al establecimiento(…)”

De lo expuesto en la política de privacidad se deduce que:

(i) El proceso de check in online de PARTEE no exige aportar la fotografía por
defecto, pero permite que cada cliente (establecimiento hostelero)
configure los enlaces de check in online para que PARTEE solicite al
huésped que adjunte estas fotografías, tal y como sucedió en el supuesto
presente, en el que la reclamada aporta como Anexo I una captura de
pantalla en la que se muestra la parte del formulario (punto 3) de Check-in
de la aplicación PARTEE, utilizada para la gestión del proceso de reserva y
registro de huéspedes, donde se solicita la foto del DNI del Cliente, si bien
en la nota informativa que refiere “i) Su alojamiento requiere estas
capturas para verificar los datos del Check-in online.” Este hecho se
reconoce además en los informes presentados durante la fase de traslado
del expediente.

(i) En el proceso de check in presencial, donde es el personal del
establecimiento quien cumplimenta los datos, la aplicación PARTEE
permite que se exhiba el documento y que no sea necesario escanear la
fotografía en la aplicación, pero es el establecimiento de la reclamada la
que decide pedirla, de forma general a todos sus viajeros, según
manifiesta en sus alegaciones, porque entiende que la aportación es
necesaria para cumplir con sus obligaciones legales. Interpretación que es
errónea por los motivos que ya se indicaron en el acuerdo de inicio, a los
que nos referiremos posteriormente.

En cualquier caso, cabe desestimar esta argumento porque pese a que la aplicación
PARTEE hubiera permitido cumplimentar los partes de registro de viajeros sin solicitar
las fotografías y cumplir con el Principio de minimización de datos personales, es la
reclamada, como cliente, la que pide que se configure la aplicación para exigir la
fotografía, y la que voluntariamente decide exigir la copia del documento, y no aceptar
la posibilidad ofrecida por PARTEE y el viajero de que éste exhiba su documento en el

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/26

momento del check in presencial para que el personal compruebe y anote
directamente los datos necesarios en esta aplicación.

Es importante reseñar que en este supuesto, pese a que se ofrece la posibilidad de
realizar un pre-check in online que es voluntario para el viajero, existe una recepción
presencial del viajero en el establecimiento el día previsto para la reserva, en la
que el personal de la posada recibe al viajero y le solicita la copia/fotografía del
documento de identidad como requisito para poder alojarse en el establecimiento. Por
tanto, aunque el viajero decida no realizar el check in online o no aportar la fotografía
de su documento de identidad durante el mismo, ello no implica que disponga de
libertad para no aportarlo, pues finalmente el establecimiento le va a requerir la misma
en la recepción presencial como condición de alojamiento, no aceptando que el viajero
le exhiba el documento al objeto de que el personal cumplimente y compruebe la
exactitud de los datos, como consta en el presente expediente.

1. La reclamada insiste en que es necesario requerir la entrega de una copia del
documento de identidad para formalizar la reserva del viajero, puesto que la
precisa para cumplir con su obligación de comprobar la autenticidad de los datos
personales que constan en el mismo, de acuerdo con lo previsto en el Real
Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de
registro documental e información de las personas físicas o jurídicas que ejercen
actividades de hospedaje y alquiler de vehículos a motor (en adelante, RD
933/2021).

Al respecto de esta cuestión, cabe reproducir los argumentos contenidos en el acuerdo
de inicio, que se comparten íntegramente, en los que se explica con detalle porqué la
normativa que regula los libros-registros y partes de entrada de viajeros en
establecimientos de hostelería, así como la obligación de comunicar la información
contenida en las hojas-registro a las Fuerzas y Cuerpos de Seguridad del Estado, no
exige en ningún momento que se aporte una copia/fotografía del documento de
identidad, ni que se informe de todos los datos que contiene dicho documento.

Esta normativa está constituida, básicamente, por la Ley Orgánica 4/2015, de 30 de
marzo, de protección de la seguridad ciudadana (en adelante, LO 4/2015), y el Real
Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de
registro documental e información de las personas físicas o jurídicas que ejercen
actividades de hospedaje y alquiler de vehículos a motor (en adelante, RD 933/2021).

El artículo 24 de la LO 4/2015 dispone en su apartado primero lo siguiente:

“Las personas físicas o jurídicas que ejerzan actividades relevantes para la
seguridad ciudadana, como las de hospedaje (…) quedarán sujetas a las
obligaciones de registro documental e información en los términos que
establezcan las disposiciones aplicables”.

Estas quedan fijadas actualmente por el mencionado RD 933/2021, al que hace
referencia la reclamada, siendo el Anexo I. a), en su apartado 3 el que fija los datos de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/26

los viajeros cuya recogida es obligatorio incorporar a la llamada “Hoja-registro” que la
entidad responsable del hotel debe trasladar a las Fuerzas y Cuerpos de Seguridad
del Estado, cuando se trata de establecimientos hosteleros profesionales. En concreto,
son legalmente necesarios los siguientes datos del viajero:

“a) Nombre.

b) Primer apellido.

c) Segundo apellido.

d) Sexo.

e) Numero de documento de identidad.

f) Número de soporte del documento.

g) Tipo de documento (DNI, pasaporte, TIE).

h) Nacionalidad.

i) Fecha de nacimiento.

j) Lugar de residencia habitual.– Dirección completa.– Localidad.– País.

k) Teléfono fijo.

l) Teléfono móvil.

m) Correo electrónico.

n) Número de viajeros.

o) Relación de parentesco entre los viajeros (en el caso de que alguno sea menor de
edad).”

En consecuencia, de acuerdo con lo previsto en esta normativa, se deduce que no es
obligatorio recoger, registrar ni comunicar a las autoridades competentes la imagen,
fotocopia o fotografía completa del documento de identidad de cada viajero, sino
únicamente de algunos datos contenidos en el mismo como: nombre y apellidos, el
número de identificación, el número de soporte, el tipo de documento (DNI;
pasaporte…etc.), la nacionalidad, y la fecha de nacimiento.

Y es que hay que tener en cuenta que la fotografía o fotocopia del DNI del viajero
(en sus dos caras), del pasaporte u otros documentos acreditativos de la identidad
contiene datos personales que exceden de los exigidos en esta normativa, tales
como: la imagen o cara del viajero, el número de equipo, o los nombres de los
progenitores del viajero, sobre los que no concurre una obligación legal de recogida,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/26

registro, y comunicación, de acuerdo con la mencionada normativa. Todos ellos serían
datos personales cuyo tratamiento no puede ampararse en la base de licitud del
artículo 6.1.c) del RGPD, suponiendo un tratamiento excesivo que es contrario al
principio de minimización de datos previsto en el artículo 5.1.c) del RGPD.

2. Se argumenta que la aplicación PARTEE no archiva la fotografía del documento,
sino que realiza un volcado automático de datos que parten del escaneo del
documento, y que se informa al viajero de que sus datos personales no son
guardados ni serán utilizados para otros fines.

Señala al respecto la reclamada: “En el momento en que los huéspedes, realizan una
reserva, reciben una comunicación online (email) días antes de su llegada, para la
realización del check-in online. Dicho check-in se realiza desde el dispositivo del
Cliente. La aplicación permite el escaneo voluntario e inteligente del DNI, obteniendo
de forma directa los datos necesarios, pudiendo prescindir de este proceso si el
huésped cumplimenta los datos de manera manual.
En el caso de que el Cliente opte por el método de facilitar su DNI para el escaneo
inteligente de la información, la copia del documento nacional de identidad no se
almacena en los servidores de la aplicación, sino que solo se utiliza de manera
puntual para la extracción de información necesaria”.

Este argumento no puede tampoco admitirse por varios motivos:

- De la política de privacidad de PARTEE puede deducirse que, efectivamente, la
aplicación incorpora un escaneo inteligente de volcado de datos, habitualmente
realizado utilizando un programa informático de reconocimiento óptico de
caracteres (OCR) que identifica automáticamente los caracteres de un
determinado alfabeto y los almacena en forma de datos, es decir, convierte la
imagen en texto, y posibilita la cumplimentación de la “ficha del cliente” o “parte
de entrada de viajeros”, que no requiere necesariamente que se guarde la
imagen digital. Pero la utilización de estos escaneos inteligentes no es
incompatible con el hecho de que además de tomar los datos y
cumplimentarlos automáticamente en el formulario, se guardasen las imágenes
escaneadas en la aplicación durante un tiempo determinado, pues es posible
realizar diversos tipos de configuración que permiten este archivo.
- En el supuesto presente, no cabe duda alguna de que cuando el viajero aporta
la fotografía durante el proceso de check in online, PARTEE sí guarda las
imágenes por 5 días, y que, además, éstas se remiten por correo electrónico a
la reclamada, puesto que así lo ha configurado expresamente la reclamada,
que dice no suprimir ”los datos utilizados para la realización del parte de
viajeros por un plazo de 3 años” entre los que se encuentra esta fotografía,
para cumplir con los plazos fijados por la legislación fiscal. Ello se deduce de
las siguientes evidencias que han sido constatadas en el hecho probado quinto
de esta propuesta:

En primer lugar, la propia reclamada reconoce que las fotografías obtenidas por
la aplicación PARTEE -en el caso en el que el viajero opte por aportar la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/26

fotografía durante el proceso de check in online- se remiten automáticamente
por la aplicación PARTEE al establecimiento para comprobación de los datos.
Así se señala en el Informe sobre el “proceso del tratamiento de datos”
aportado el 29 de diciembre de 2023 a esta Agencia, lo siguiente:

“En el caso de realizar las fotografías del documento, están son remitidas
por partee en el momento en que el huésped realiza su check in on line.
Una vez se realiza la comprobación de datos, las fotografías son borradas
no guardándose registro alguno de dichas fotografías parte de A.A.A..
Este hecho fue informado al B.B.B., tal y como se manifiesta en el
INFORME SOBRE EL SUCESO DE 25 DE AGOSTO presentado por
A.A.A., a instancias de la AEPD. Es decir, el Huésped fue conocedor en
todo momento de que no se guardaba copia de su DNI.

Ello coincide con lo que señala la política de privacidad de PARTEE que ha
sido diligenciada, de la que se deduce claramente que la fotografía se guarda
en la aplicación por 5 días, remitiéndose al cliente por correo electrónico en el
caso del check in online. Así, se hace constar lo siguiente:

“f. Fotografías de DNIs o Pasaportes durante el check-in online.. (…)
En el caso en el que el huésped aporte dichas imágenes de sus
documentos, Partee enviará las fotografías al correo electrónico del cliente
de Partee que gestiona el alojamiento, para que pueda verificar la
identidad de los huéspedes y la exactitud de los datos aportados, y, por si
el cliente de Partee no recibe o elimina por error dichas imágenes recibidas
por correo electrónico, Partee las almacena en sus servidores durante 5
días naturales como máximo, para que puedan ser consultadas por el
establecimiento, y las eliminará SIEMPRE, transcurrido este plazo máximo.
Si antes de los 5 días el cliente borra esos datos, o si el huésped
manifiesta su deseo de eliminarlos, Partee los eliminará sin esperar al
plazo de 5 días naturales”.

- Por lo que respecta al archivo de las fotografías cuando el check in es
presencial,
la política de privacidad de la aplicación PARTEE señala que la fotografía
escaneada no se almacena, según el apartado “e. Fotografías de DNIs o
Pasaportes durante el check-in presencial lo siguiente: nuestros clientes
tienen la opción de usar la cámara de su dispositivo móvil, o un escáner de
sobremesa o equipo multifunción, para obtener una imagen del documento de
identificación del huésped y autocumplimentar el parte de manera automática,
como contraposición a una introducción manual y lenta de datos. Partee no
almacenará ni distribuirá las imágenes de estos documentos, simplemente las
usará para extraer los datos personales de los huéspedes y cumplir con las
obligaciones de registro establecidas en la normativa. Una vez cumplido este
cometido, que dura apenas unos segundos, Partee eliminará estas imágenes
automáticamente(…)”

Ahora bien, ello no implica que no se guarden las imágenes, pues según
PARTEE es el establecimiento el que puede usar la cámara de su dispositivo
móvil o un escáner de sobremesa para obtener la imagen del documento que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/26

le entrega el viajero, por lo que aunque pudiera ser cierto que la propia
aplicación PARTEE no almacene la imagen, no puede descartarse que lo
hagan los dispositivos que constan en el servidor de la reclamada. Lo que,
además, sería lo más lógico a la vista de la línea argumentativa mantenida por
la reclamada en el “informe sobre el proceso de datos” aportado al
procedimiento, toda vez que insiste en que debe pedir esta copia/escanear la
fotografía porque es un dato obligatorio para el registro de los partes de
viajeros y que está obligado a conservarlos durante un plazo 3 años para
cumplir con sus obligaciones de carácter fiscal.

A mayor abundamiento, si ello fuera así, hay que decir que carecería de
sentido almacenar las fotografías obtenidas durante el proceso de check in
online y no hacerlo cuando el check in es presencial.

Por su condición de responsable del tratamiento la reclamada debería ser consciente
de que cuando el viajero realiza el proceso de check in online que requiere la
aportación de fotografía, la aplicación PARTEE está archivando la fotografía y
enviándosela al establecimiento por correo electrónico, lo que implica que las mismas
pasen de estar en el dispositivo del cliente a estar en el servidor de la reclamada, que
pasa a realizar operaciones de tratamiento sobre la fotografía del documento (archivo
y conservación durante un plazo de 3 años según la misma expone en sus
alegaciones). Y por otra parte, cuando el personal del establecimiento escanea la foto
en la aplicación utilizando sus dispositivos, está a su vez utilizando dicha imagen o
fotografía, por lo que está realizando operaciones de tratamiento de datos excesivos al
escanearla, y al conservarla. Y es que lo que el Real Decreto 933/2021 le habilita a
guardar y conservar durante 3 años no es la propia fotografía o imagen del documento
completo, sino los datos concretos que se especifican en su Anexo I. a), en su
apartado 3.

Como puede apreciarse de lo expuesto anteriormente, las conclusiones obtenidas
sobre los hechos analizados van más allá de la concreta actuación de la reclamada
respecto del reclamante, y tienen que ver con el diseño del proceso de gestión de
datos personales implantado por esta entidad con carácter general, diseño que
supone una operación de tratamiento de datos personales según el concepto amplio
de operaciones de tratamiento mantenido por el Tribunal de Justicia de la Unión
Europea, y que, por tanto, debe realizarse teniendo en cuenta que es necesario una
base de licitud para tratar todos los datos personales que solicita a sus viajeros a
través de la aplicación PARTEE, que la reclamada pudo configurar sin necesidad de
exigir la entrega de la fotografía del documento de identidad en el check in on line,
pidiendo la exhibición del documento para cumplimentar los datos directamente en el
momento del check in presencial, pero optó por pedirle a su proveedor expresamente
que se exigiera dicha copia.

Por tanto, la reclamada ha decidido voluntariamente configurar la aplicación para que
requiera información excesiva, cuando tenía la posibilidad “técnica” de no hacerlo, y
que ha decidido solicitar la fotografía del documento en la recepción presencial,
cuando la normativa aplicable no le exigía obtener la imagen de dicho documento, que
contiene datos sobre los que no existe deber de información, según el RD 933/2021.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/26

Ello implica que en su práctica habitual está actuando de forma contraria al Principio
de Minimización de datos personales cada vez que los viajeros acceden a aportar la
fotografía.

1. Por último, respecto a la falta de información de la necesidad de aportar copia del
documento de identidad previamente a realizar la reserva en la plataforma.

La reclamada manifiesta que ha comprobado que configuró booking.com para que se
muestre a los viajeros que es necesaria esta copia/fotografía para poder realizar la
reserva antes de realizarla, acompañando los pantallazos y señalando que como
medidas adicionales ha solicitado a booking.com que se informe de ello.

No obstante, se ha de señalar que el objeto de este procedimiento es dilucidar si se ha
producido un tratamiento excesivo de datos personales contrario al artículo 5.1.c) del
RGPD al requerir y guardar la copia de dichos documentos, por lo que la información
previa facilitada al viajero en el momento de realizar la reserva es irrelevante en este
procedimiento, no habiéndose imputado la infracción del artículo 13 del RGPD referida
a la información del tratamiento de datos personales, y no siendo competencia de esta
autoridad el vigilar que se cumplen las condiciones de información relacionadas con la
contratación de servicios de alojamiento.

III
Obligación incumplida. Tratamiento de datos excesivos

El tratamiento de los datos personales de las personas que reservan alojamiento en
los establecimientos hoteleros (denominados “viajeros”) debe estar presidido por los
principios que relaciona el artículo 5 del RGPD.

Cabe destacar, por su relación con el supuesto presente, los denominados “Principio
de licitud y transparencia” y “Principio de minimización de datos” previstos en el
apartado primero del mismo, letras a) y c), respectivamente, que disponen:

“Artículo 5 Principios relativos al tratamiento
1.Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado
(«licitud, lealtad y transparencia» .
(…)
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para
los que son tratados («minimización de datos»)”.

Además, el artículo 5.2 del RGPD indica que: “El responsable del tratamiento será
responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de
demostrarlo”.

El artículo 6 del RGPD, relativo a la “Licitud del tratamiento”, determina en su apartado
1 los supuestos en los que la normativa permite realizar el tratamiento de datos
personales de un tercero, que se denominan como “bases de licitud”. Si no concurre

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/26

alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o
considerado lícito por el RGPD:

“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de
otra persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable del
tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales, en
particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”

En el supuesto presente, una vez examinadas las alegaciones y documentación
aportada por la reclamada en las fases de traslado de la reclamación y de alegaciones
frente al acuerdo de inicio en el Fundamento de Derecho anterior cabe concluir que la
parte reclamada no dispone de base de licitud para solicitar la entrega de una copia o
fotografía del documento de identidad de los viajeros como condición de registro de los
mismos (check in), lo que supone un tratamiento de datos personales excesivo, e
innecesario contrario al Principio de Minimización de datos del artículo 5.1.c) del
RGPD.

Vistas las circunstancias concurrentes, en las que el establecimiento dispone de un
previo proceso de check in online de carácter voluntario, pero dispone de recepción
presencial en la que se exige al viajero entregar una fotografía o imagen de su
documento de identidad como condición para poder alojarse en el mismo, se entiende
que requerir al viajero la imagen o fotografía de estos documentos supone un
tratamiento excesivo de datos personales, puesto que contienen datos personales
que son inadecuados, no pertinentes y no necesarios para el fin específico del
tratamiento de que se trata (cumplimiento de las obligaciones legales vigentes en
materia de registro de entrada y salida de viajeros).

Toda vez que, como se ha dicho anteriormente, la fotografía o fotocopia del DNI del
viajero (en sus dos caras), del pasaporte u otros documentos acreditativos de la
identidad contiene datos personales que exceden de los exigidos en esta
normativa, tales como: la imagen o cara del viajero, el número de equipo, o los
nombres de los progenitores del viajero, sobre los que no concurre una obligación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/26

legal de recogida, registro, y comunicación, de acuerdo con la mencionada normativa.
Todos ellos serían datos personales cuyo tratamiento no puede ampararse en la base
de licitud del artículo 6.1.c) del RGPD, suponiendo un tratamiento excesivo que es
contrario al principio de minimización de datos previsto en el artículo 5.1.c) del RGPD.

En consecuencia, de conformidad con las evidencias disponibles en el momento en
que tiene lugar la apertura del procedimiento, y sin perjuicio de lo que resulte de la
instrucción, los citados hechos podrían suponer una vulneración por la parte
reclamada de lo dispuesto en el artículo 5.1.c) del RGPD, referido al Principio de
Minimización de datos personales.

IV
Tipificación y calificación de la infracción

Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte
reclamada, del artículo 5.1.c) del RGPD, con el alcance expresado en los
Fundamentos de Derecho anteriores, lo que, de confirmarse, podría suponer la
comisión de la infracción tipificada en el artículo 83.5, apartado a) del RGPD, que bajo
la rúbrica “Condiciones generales para la imposición de multas administrativas”
dispone que:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con
el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose
por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9”.

A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica:

“Artículo 72. Infracciones consideradas muy graves.

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679
se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/26

V
Propuesta de sanción

La infracción del artículo 5.1.c) del RGPD, prevista en el artículo 83. 5º del RGPD,
puede ser sancionada con multa de hasta 20 millones de euros, como máximo, al ser
la responsable una persona física.

Multa que deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria,
conforme a lo establecido en el artículo 83.1 del RGPD.

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones del artículo 83.2 del RGPD, que indica:

“2. Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas
en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una
multa administrativa y su cuantía en cada caso individual se tendrá debidamente
en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate,
así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en
virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en
qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate en
relación con el mismo asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42,

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/26

Por su parte, en relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en
su artículo 76, “Sanciones y medidas correctivas”, dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de
graduación establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido incluir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de
la infracción, que no puede imputarse a la entidad absorbente
f) La afectación a los derechos de los menores
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado”.

Teniendo en cuenta los criterios de graduación citados, y a la luz de los hechos
enjuiciados, se considera que la cuantía de la multa que podría corresponder, sin
perjuicio de lo que resulte de la instrucción del procedimiento , sería de 1.500 € (MIL
QUINIENTOS EUROS).

VI
Medidas correctivas

De confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.

En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/26

implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.

No obstante, en este caso, con independencia de lo anterior, de conformidad con las
evidencias de que se dispone en el presente momento de acuerdo de inicio de
procedimiento sancionador, en la resolución que se adopte se podrá requerir a A.A.A.
para que, en el plazo de 2 meses, a contar desde la fecha de ejecutividad de la
resolución finalizadora de este procedimiento, acredite haber adoptado las medidas
siguientes:

La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

A la vista de lo expuesto se procede a emitir la siguiente

PROPUESTA DE RESOLUCIÓN

PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se
sancione a A.A.A., con NIF ***NIF.1, por una infracción del Artículo 5.1.c) del RGPD,
tipificada en el Artículo 83.5.a) del RGPD, con una multa de 1.500 € (MIL
QUINIENTOS EUROS).

SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se
ordene a A.A.A., con NIF ***NIF.1, que en virtud del artículo 58.2.d) del RGPD, en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/26

plazo de 2 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora
de este procedimiento, acredite haber adoptado las medidas siguientes:

- Acredite que ha establecido las medidas técnicas y organizativas necesarias
introduciendo los cambios en su proceso de gestión de reservas, que sean
necesarias para evitar que sea necesaria la aportación de una fotografía o
copia del documento de identidad del viajero en la aplicación PARTEE o
cualquier otro sistema que se utilice para formalizar el proceso de check in on
line y presencial.
- Acredite que ha impartido las instrucciones necesarias a su personal para que
no exijan la aportación/escaneo de copias o fotografías de los documentos de
identidad.
- Acredite que ha procedido al borrado y eliminación de las fotografías de
documentos de identidad que dice conservar durante 3 años para su
aportación a las autoridades.
TERCERO: Asimismo, de conformidad con lo establecido en el artículo 85.2 de la
LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del
presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo
que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de
esta reducción, la sanción quedaría establecida en 1.200 euros y su pago implicará la
terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes. La efectividad de esta reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.

En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-0000-
0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa, por pago voluntario, de reducción del
importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la
Subdirección General de Inspección para proceder a cerrar el expediente.

CUARTO: En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el
procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere
en su defensa y presentar los documentos e informaciones que considere pertinentes,
de acuerdo con el artículo 89.2 de la LPACAP.

926-070623
(...)
INSTRUCTORA

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/26

ANEXO
Índice del expediente EXP202316537

22/10/2023 Reclamación de B.B.B.
13/11/2023 Ampliación de reclamación de B.B.B.
22/11/2023 Traslado reclamación a la POSADA EL AZUFRAL
29/12/2023 Respuesta solicitud de información de A.A.A. como responsable del
tratamiento de datos de la POSADA EL AZUFRAL.
09/01/2024 Comunicación de admisión a trámite a B.B.B.
21/05/2024 Acuerdo de inicio de procedimiento sancionador frente a A.A.A. y su
notificación.
31/05/2024 Comunicación de inicio de procedimiento a B.B.B.
10/06/2024 Alegaciones al Acuerdo de Inicio presentadas por A.A.A.

SEGUNDO: En fecha 29 de octubre de 2024, la parte reclamada ha procedido al pago
de la sanción en la cuantía de 1.200,00 euros haciendo uso de la reducción prevista
en la propuesta de resolución transcrita anteriormente.

TERCERO: La parte reclamada ha renunciado expresamente a cualquier acción o
recurso en vía administrativa contra la sanción.

CUARTO: En la propuesta de resolución transcrita anteriormente se constataron los
hechos constitutivos de infracción, y se propuso que, por la Directora, se impusiera al
responsable la adopción de medidas adecuadas para ajustar su actuación a la
normativa, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según
el cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/26

tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

III
Pago voluntario

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la
propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la
sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la
aplicación de esta reducción, la sanción quedaría establecida en 1.200,00 euros y su
pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las
medidas correspondientes.

Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte
de esta autoridad, la parte reclamada, en fecha 29 de octubre de 2024, procedió a
realizar el pago voluntario, acogiéndose a la reducción del 20% y renunciando a
cualquier acción o recurso en vía administrativa.

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del alto tribunal en esta materia, el ejercicio del pago voluntario por
el presunto responsable no exime a la administración de la obligación de resolver y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/26

notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual
forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al
procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas
otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de
la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva de la propuesta de resolución transcrita en la
presente resolución.

La suma de las citadas cuantías arroja una cantidad total de 1.500,00 euros.

Tras haber procedido la parte reclamada al pronto pago, aunque sin reconocimiento de
responsabilidad, se procede, en virtud del artículo 85 de la LPCAP, a la reducción de
un 20% del total mencionado, lo cual supone la cantidad definitiva de 1.200,00 euros.

SEGUNDO: DECLARAR la terminación del procedimiento EXP202316537, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

TERCERO: ORDENAR a A.A.A. para que en el plazo de 2 meses desde que la
presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las
medidas que se describen en los fundamentos de derecho de la propuesta de
resolución transcrita en la presente resolución.

CUARTO: NOTIFICAR la presente resolución a A.A.A..

QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso
en vía administrativa, por parte de la presente autoridad se acepta la renuncia
expresamente manifestada por la parte reclamada, no cabiendo en consecuencia la
interposición de recurso potestativo de reposición frente a la presente resolución, todo
ello sin perjuicio de la posibilidad de acudir a la vía jurisdiccional contencioso-
administrativa.

En consecuencia, teniendo en cuenta lo dispuesto en el artículo 90 de la LPACAP,
dado que no cabe ningún recurso en vía administrativa al haber renunciado
expresamente, la presente resolución será plenamente ejecutiva a partir de la
notificación de la misma.

No obstante, conforme a lo previsto en el artículo 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/26

que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

1331-15012025

Olga Pérez Sanjuán
La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2
LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

Çevrim İçi Konaklama Kaydında Kimlik Belgesi Kopyası

Türkçe özet

Hukuki mesele

Sonuç

Karar metni