Registro de viajeros en España: prórroga y el dilema del RGPD

El sector turístico español se enfrenta a una nueva encrucijada con la inminente entrada en vigor del Registro de Viajeros, regulado por el Real Decreto 933/2021. Esta medida, que afecta a establecimientos hoteleros, agencias de viajes y empresas de alquiler de vehículos, ha sido aplazada hasta el próximo 2 de diciembre, concediendo una última prórroga para que los operadores del sector se adapten a la normativa. Sin embargo, el aplazamiento no ha disipado las preocupaciones sobre el impacto en la protección de datos personales y la viabilidad operativa, generando un intenso debate sobre la necesidad de garantizar el cumplimiento del Reglamento General de Protección de Datos (RGPD).

Prórroga y seguridad Jurídica: Un respiro insuficiente

El aplazamiento del registro, inicialmente previsto para fechas anteriores, ha dado un respiro temporal a las empresas del sector, pero no ha resuelto los problemas de fondo. La nueva fecha de entrada en vigor marca el 2 de diciembre como el punto de no retorno para la obligatoriedad de transmitir datos a la plataforma ses.hospedaje, según lo establece el Real Decreto 933/2021. Desde el Ministerio del Interior se ha planteado la posibilidad de desarrollar una orden ministerial que aclare ciertos aspectos de la norma, pero se ha confirmado que dicha orden no estará lista antes de la fecha de aplicación, lo que deja al sector en una situación de incertidumbre y riesgo jurídico.

Las organizaciones del sector, como la Confederación Española de Hoteles y Alojamientos Turísticos (CEHAT), han mostrado su disposición a colaborar para facilitar la adaptación. Sin embargo, las asociaciones de agencias de viajes, representadas por CEAV y otras, han sido más críticas, señalando que la prórroga no aborda la preocupación principal: la compatibilidad de la nueva normativa con el RGPD y el riesgo de incurrir en vulneraciones al derecho a la protección de datos.

Impacto en la protección de datos: Un riesgo no evaluado

Uno de los aspectos más controvertidos del Registro de Viajeros es la falta de una evaluación de impacto en protección de datos, exigida por la normativa europea y nacional cuando se lleva a cabo un tratamiento masivo de datos personales. La normativa exige que cualquier medida que implique la recopilación de datos a gran escala debe ser evaluada para determinar su proporcionalidad y adecuación. Sin embargo, el Ministerio del Interior ha admitido que esta evaluación no se realizó antes de la aprobación del Real Decreto 933/2021, argumentando que en ese momento no era obligatoria.

La normativa obliga a las empresas a recopilar y conservar hasta 43 datos personales de los viajeros, incluyendo información sensible como la residencia habitual, el número de teléfono, los datos de pago e incluso el parentesco en el caso de que haya menores. La ausencia de una evaluación que determine la necesidad y el equilibrio de estos requisitos conlleva riesgos importantes para la privacidad de los usuarios, especialmente cuando se exige que la información sea conservada durante tres años. El RGPD establece el principio de minimización de datos, que dicta que solo deben recogerse los datos estrictamente necesarios para la finalidad específica. En este caso, la finalidad declarada es la seguridad ciudadana, pero persisten las dudas sobre si se justifica la recopilación de todos estos datos y si esta medida supera el test de proporcionalidad.

Un aplazamiento que no alivia las preocupaciones

La prórroga ha sido vista por algunos actores del sector como una oportunidad para seguir dialogando con el Gobierno y buscar soluciones que respeten la protección de datos. Sin embargo, desde el sector de las agencias de viajes, las críticas han sido más fuertes. Las asociaciones han insistido en la necesidad de que se excluya a las agencias del ámbito de aplicación del registro, o al menos, que se limite considerablemente el volumen de datos exigidos. Argumentan que no existe una fundamentación legal suficiente para incluir a las agencias de viajes, ya que no están contempladas en la Ley Orgánica de Seguridad Ciudadana, de la que deriva el Real Decreto 933/2021.

Además, estas asociaciones advierten que las nuevas obligaciones supondrán una carga administrativa desproporcionada y pueden exponer al sector a sanciones por incumplimiento del RGPD, dada la falta de claridad en los requisitos y la ausencia de una orden ministerial que proporcione seguridad jurídica antes de la fecha límite. Incluso han señalado el riesgo de que la recopilación y conservación de datos masivos convierta a las bases de datos del sector en un objetivo atractivo para ciberataques, un peligro que debería haberse evaluado adecuadamente.

¿Un conflicto inevitable entre seguridad y privacidad?

El caso del Registro de Viajeros ejemplifica la tensión entre la necesidad de garantizar la seguridad pública y la obligación de proteger los derechos fundamentales de los ciudadanos, especialmente el derecho a la privacidad. La falta de una evaluación de impacto en protección de datos y la prórroga concedida hasta diciembre no han resuelto la preocupación principal: la posible vulneración del RGPD. La normativa europea no solo exige que los tratamientos de datos sean legales y justificados, sino que también establece que las autoridades deben demostrar que la recopilación masiva de datos es adecuada, necesaria y proporcionada para el objetivo que se pretende.

El desafío al que se enfrenta el sector turístico es doble: por un lado, adaptarse a la normativa en un corto plazo de tiempo, y por otro, asegurarse de que el cumplimiento del Real Decreto 933/2021 no los ponga en riesgo de infracción del RGPD. A medida que se acerca la fecha límite, la necesidad de soluciones claras y adaptadas se hace más urgente. La posibilidad de que la Comisión Europea intervenga para revisar la compatibilidad de la normativa española con la legislación comunitaria podría proporcionar un respiro adicional, pero no es una garantía a corto plazo.

En conclusión, la prórroga concedida hasta el 2 de diciembre es solo un parche temporal en una normativa que sigue planteando grandes desafíos en términos de protección de datos. La implementación del Registro de Viajeros debería ir acompañada de garantías suficientes para evitar vulneraciones del RGPD, priorizando siempre un enfoque equilibrado donde la seguridad no sea un pretexto para comprometer la privacidad. El sector turístico necesita claridad normativa y medidas proporcionadas que aseguren que los datos personales de los viajeros estén protegidos sin caer en excesos administrativos o legales.

Guillermo Caro

Abogado de MONLEX

gcaro@monlexabogados.es