El registro de viajeros y el RGPD viven en tensión: el RD 933/2021 te obliga a recoger un montón de datos —algunos sensibles, como el documento, el domicilio o el método de pago— mientras que el RGPD te repite que no recojas ni guardes más de lo necesario. La buena noticia es que cumplir las dos cosas a la vez cabe en cuatro ideas: base legal correcta, informar al huésped, conservar tres años y no pasarse. Vamos con ellas.
La base legal: obligación legal, no consentimiento
Un error habitual es pedirle al huésped que «acepte» el tratamiento de sus datos, como si hiciera falta su consentimiento. No hace falta. La base jurídica del registro de viajeros es el cumplimiento de una obligación legal (art. 6.1.c del RGPD), derivada del RD 933/2021 y de la Ley Orgánica 4/2015 de seguridad ciudadana. La AEPD considera legítimo este tratamiento precisamente porque está regulado por una norma y persigue un fin de seguridad pública.
Consecuencia práctica: como no se basa en el consentimiento, el huésped no puede «negarse» a dar los datos exigidos y alojarse igualmente. Si rehúsa facilitar la información obligatoria, el establecimiento puede denegar el alojamiento, y no se considera una vulneración del derecho de admisión, sino cumplimiento normativo.
Minimización: pide solo lo que la ley exige (y ni una foto de más)
El principio de minimización (art. 5 del RGPD) dice que solo debes recoger los datos estrictamente necesarios para la finalidad. Aquí la finalidad la marca el RD 933/2021, así que tu lista de campos es exactamente la que exige la norma: ni uno más. Pedir datos adicionales «por si acaso» puede interpretarse como un incumplimiento.
Informar al huésped: el deber de información (art. 13)
Aunque no pidas consentimiento, sí tienes que informar. El art. 13 del RGPD obliga a decirle al huésped, de forma clara y accesible:
- Quién es el responsable del tratamiento (tú, el alojamiento) y cómo contactar.
- La finalidad: cumplir el registro de viajeros y comunicar los datos a las autoridades.
- La base legal: obligación legal (RD 933/2021 y LO 4/2015).
- Que facilitar los datos es obligatorio y qué ocurre si no lo hace.
- Los destinatarios: el Ministerio del Interior (SES Hospedajes) y, en Cataluña y País Vasco, Mossos d'Esquadra o Ertzaintza.
- El plazo de conservación: tres años.
- Sus derechos y que puede reclamar ante la AEPD.
En la práctica esto se resuelve con una breve cláusula informativa en el formulario de check-in y una política de privacidad accesible. Puedes usar la nuestra como modelo de qué incluir y cómo: Política de Privacidad de Alojacheck.
Conservar tres años y luego borrar
Los datos del registro deben conservarse durante tres años desde la finalización de la estancia; la AEPD considera este plazo adecuado. La otra cara de la moneda, que muchos olvidan: pasado ese tiempo, hay que suprimirlos de forma segura. Conservar los partes «para siempre» por comodidad es, en sí mismo, un incumplimiento del principio de limitación del plazo de conservación.
Guárdalos seguros (art. 32)
Manejas identidades completas de mucha gente, así que tu base de datos es un objetivo goloso. El art. 32 del RGPD te pide medidas técnicas y organizativas adecuadas: cifrado, acceso restringido a quien realmente lo necesite y un mínimo control de incidencias. La AEPD ha subrayado el carácter sensible del DNI y la importancia de protegerlo bien. Si automatizas el registro, comprueba cómo trata y protege los datos tu proveedor; en nuestro caso lo detallamos en la página de seguridad.
Quién es quién: responsable y encargado
Dos papeles que conviene no confundir:
- El titular del alojamiento es el responsable del tratamiento: decide y responde de los datos de sus huéspedes.
- Una herramienta que registra y envía los partes por ti actúa como encargado del tratamiento, y debe firmar contigo un contrato de encargo conforme al art. 28 del RGPD.
El Ministerio del Interior, en cambio, no es tu encargado: es el destinatario al que la ley te obliga a comunicar los datos.
Los derechos del huésped (y sus límites)
El huésped conserva sus derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad, con un matiz importante: como el tratamiento responde a una obligación legal, no puedes borrar los datos antes de los tres años aunque el huésped lo pida, porque estás obligado a conservarlos. Sí puedes —y debes— rectificar un dato erróneo o darle acceso a lo que consta. Si recibes una solicitud, atiéndela por escrito explicando qué procede y qué no, y por qué.
El RGPD del registro de viajeros, en una lista
- Base legal = obligación legal. No pidas consentimiento.
- Recoge solo los campos del RD 933/2021. Nada de fotos del documento.
- Informa al huésped (cláusula + política de privacidad accesible).
- Conserva 3 años y borra de forma segura después.
- Cifra los datos y restringe quién accede a ellos.
- Si usas una herramienta, firma el contrato de encargado (art. 28).
- Ten previsto cómo atender los derechos del huésped.
Cumple el RGPD sin pensar en ello
Alojacheck recoge solo los campos que exige la ley (sin fotos del documento), los guarda cifrados en la Unión Europea, los conserva tres años y los borra después, y firma contigo el contrato de encargado del tratamiento. 2,95 € al mes, sin permanencia.
Probar Alojacheck
Fuentes oficiales: Real Decreto 933/2021 (BOE) · Ley Orgánica 4/2015 (BOE) · Derecho de información (AEPD)
Este artículo tiene carácter divulgativo y no constituye asesoramiento jurídico. Última revisión: 21 de julio de 2026.