Nuevo registro de viajeros: Posibles riesgos e impacto

Nuevo registro de viajeros: en el presente artículo analizaremos el impacto de la entrada en vigor del Real Decreto 933/2021 de 26 de octubre, por el que se establecen las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor, en especial, nos centraremos en examinar la problemática de este nuevo registro de viajeros en el plano de las actividades de hospedaje a fin de determinar si las exigencias implantadas por el Ministerio del Interior resultan acordes con lo previsto en la Ley Orgánica de Protección de Datos [1] (en adelante LOPD) y con la normativa europea.

Introducción

La normativa principal del nuevo registro de viajeros, que regula la documentación exigida a los establecimientos de hostelería, es el Decreto 1513/1959 [2]. Sin embargo, debido a la antigüedad de su promulgación, esta regulación ha quedado desactualizada, ya que no contempla nuevas modalidades de hospedaje que han surgido con el tiempo. Además, el incremento de delitos relacionados con el terrorismo y el crimen organizado, en cuyo modus operandi frecuentemente se utilizan diversos alojamientos y vehículos arrendados, pone de manifiesto la necesidad de llevar a cabo una reforma legislativa.

Esta reforma busca priorizar el interés general, y en este contexto, la entrada en vigor del Real Decreto 933/2021 se presenta como una medida destinada a regular y filtrar el uso logístico de alojamientos y vehículos en actividades ilícitas, todo ello en concordancia con el respeto a los artículos 15 [3] y 17.1 [4] de la Constitución Española relativos al derecho a la vida e integridad y a la libertad y seguridad personal.

En este sentido el propio artículo 25.1 [5] de la Ley Orgánica 4/2015 de protección de la seguridad ciudadana reconoce la necesidad de que tanto las personas jurídicas como físicas que se dediquen a actividades de hospedaje, transporte… queden obligadas a elaborar un registro documental de sus clientes.

Nuevo registro de viajeros. Sujetos obligados

El artículo 1 [6] del Real Decreto 933/2021 reconoce que son sujetos obligados a llevar a cabo este registro quienes desarrollen actividades de hospedaje como de actividades de alquiler de vehículos a motor, con independencia de que si la actividad es llevada a cabo por personas físicas o jurídicas.

Datos a facilitar por los consumidores

El ANEXO I del Real Decreto 1513/1959 establece un listado de los datos que deberán facilitar los viajeros, empresas, arrendadores y arrendatarios en caso de actividades de alquiler de vehículos, en concreto, nos centraremos en analizar los relativos a los datos de los viajeros que quieran hospedarse en hoteles, hostales, pensiones, casas de huéspedes, establecimientos de turismo rural, campings… así como los datos de los arrendatarios que deseen alquilar un vehículo a motor.

Nuevo registro de viajeros

Sin embargo, lo más sorprendente es lo relativo a los datos de pago, puesto que estos viajeros o arrendatarios de vehículos deberán de facilitar la siguiente información:

• Tipo (efectivo, tarjeta de crédito, plataforma de pago, transferencia…)
• Identificación del medio de pago: tipo de tarjeta y número, IBAN, cuenta bancaria, solución de pago por móvil, otros.
• Titular del medio de pago
• Fecha de caducidad de la tarjeta.
• Fecha del pago.

En un contexto social donde las tecnologías se encuentran en constante crecimiento, facilitar datos tan sensibles como son los relativos a nuestras tarjetas de crédito puede suponer un gran riesgo, pues cada vez son más los delitos que se producen en el ámbito digital. Por ello, es esencial analizar el impacto que puede suponer la entrada en vigor de este Real Decreto así como su alcance a fin de determinar si cumple con los límites y exigencias previstas tanto a nivel interno en la LOPD como a nivel europeo, puesto que a priori cabe pensar si la implantación de esta medida supondría una intromisión al derecho fundamental a la intimidad.

Nuevo registro de viajeros. Intromisión al derecho a la intimidad

En la sentencia del Tribunal Constitucional de 4 de junio [7] se reconoce, en su fundamento jurídico 4, que “el derecho a la intimidad, tiene por objeto garantizar al individuo un ámbito reservado de su vida, vinculado con el respeto de su dignidad como persona, frente a la acción y el conocimiento de los demás, sean estos poderes públicos o simples particulares. De suerte que el derecho a la intimidad atribuye a su titular el poder de resguardar ese ámbito reservado, no solo personal sino también familiar, frente a la divulgación del mismo por terceros y una publicidad no querida.”

Sin embargo, el derecho a la intimidad no es absoluto y puede estar sujeto a determinados límites en circunstancias concretas como aquellas de interés público o seguridad tal y como ha manifestado el Tribunal Constitucional [8] “el derecho a la intimidad no es absoluto, como no lo es ninguno de los derechos fundamentales, pudiendo ceder ante intereses constitucionalmente relevantes, siempre que el recorte que aquel haya de experimentar se revele como necesario para lograr el fin legítimo previsto, proporcionado para alcanzarlo y, en todo caso, sea respetuoso con el contenido esencial del derecho”

Nuevo registro de viajeros y su impacto en la privacidad

De esta manera, lo esencial no es determinar si hay una intromisión ilegítima al derecho a la intimidad, ya que la reitera jurisprudencia establece que los derechos fundamentales no poseen un carácter absoluto y pueden ser objeto de limitaciones siempre que las restricciones sean ajustadas a derecho y respeten los criterios de razonabilidad y proporcionalidad. Lo que se requiere es que se cumpla con los parámetros legales y se restrinja de una manera que sea conforme con la normativa.

Por ello, el análisis debe focalizarse en determinar si este Real Decreto de 2021 cumple con las exigencias en  materia de protección de datos personales y prevé mecanismos y herramientas adecuados para prevenir la comisión de futuros delitos relacionados con el uso indebido de dichos datos.

Análisis del real decreto 933/2021 en el marco de los límites previstos en la ley orgánica de protección datos y el reglamento (ue) 2016/679

Gran parte del contenido previsto en la LOPD se remite al Reglamento 2016/679 [9], cuya finalidad no es otra que proporcionar protección a las personas físicas en relación con el tratamiento de datos personales, lo cual se concibe como un derecho fundamental reconocido incluso en el artículo 8 [10] de la Carta de los Derechos Fundamentales de la Unión Europea.

En este sentido, el artículo 5.1 recoge los principios relativos al tratamiento de datos personales de manera que el apartado b) [11] prevé que estos datos serán “recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines (…)” a más abundamiento el apartado c) también reconoce que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”, es decir, el principio de minimización de datos trata que se recojan, procesen y conserven únicamente la cantidad mínima de datos personales necesarios para el cumplimiento de un propósito específico.

Plazo de conservación de datos en el Real Decreto 933/2021

Adicionalmente el apartado e) [12] reconoce el principio de limitación del plazo de conservación, pues los datos deberán de conservarse en el sistema de denuncias únicamente durante el tiempo imprescindible, transcurridos tres meses se procederá a la supresión. Sin embargo, con la entrada en vigor del Real Decreto 933/2021 establece en su artículo 5.3 que “los datos del registro informático deberán conservarse durante un plazo de tres años a contar desde la finalización del servicio o prestación contratada.” Así pues, el Real Decreto de 2021 introduce un régimen de conservación de datos más extenso que el previsto inicialmente por el Reglamento (UE) 2016/679, con lo cual cabe discutir si el plazo previsto por el Real Decreto es excesivamente amplio.

En definitiva, es necesario armonizar el Real Decreto 933/2021 con el marco europeo para garantizar la protección efectiva de los derechos de los ciudadanos. Tal y como hemos venido analizando existen determinadas contracciones o razonamientos que no parecen encajar de manera absoluta con los principios de protección de datos que indican una posible falta de proporcionalidad de las exigencias adoptadas.

Principales riesgos del nuevo registro de viajeros

Como ya veníamos anunciando, es imprescindible prever los riesgos asociados al uso inadecuado de los datos personales, parece que ha habido una omisión a la hora de determinar medios que otorguen protección reforzada en la custodia de dicha información, este aspecto no ha sido debidamente previsto por el legislador. Esta deficiencia incrementa el riesgo de ser víctimas de suplantación de identidad, robo de datos financieros, estafas, extorsión, physing [13]…

El sector hostelero, por su propia naturaleza, se encuentra entre lo más vulnerables ante estas amenazadas. Por ello, es urgente y prioritario proceder a la implantación de medidas que refuercen la protección efectiva de los datos personales y que respeten los principios en materia de protección de datos, pues resulta ilógico exigir la cesión de estos datos sin haber realizado un estudio previo de las posibles complicaciones y riesgos para la ciudadanía.

Conclusiones

En conclusión, es razonable pensar que en el nuevo registro de viajeros, el Real Decreto de 2021 se extralimita al requerir un listado de datos personales tan sumamente amplio, incluyendo información de carácter altamente sensible. La medida puede resultar desproporcionada, especialmente al no haberse delimitado con los principios europeos de protección de datos. La exigencia de facilitar esta cantidad de información personal es  desequilibrada teniendo en cuenta la limitada protección ofrecida a los ciudadanos, máxime cuando quienes gestionan estos servicios, en muchos casos, carecen de los recursos para garantizar la seguridad en los datos. Es por ello, por lo que puede resultar inadecuado un volumen tan elevado de datos personales sin establecer mecanismos efectivos para protegerlos.

Anexo:

[1] Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

[2] Decreto 1513/1959, de 18 de agosto, en relación con los documentos que deben llevar los establecimientos de hostelería referentes a la entrada de viajeros.

[3] “Todos tienen derecho a la vida y a la integridad física y moral, sin que, en ningún caso, puedan ser sometidos a tortura ni a penas o tratos inhumanos o degradantes. Queda abolida la pena de muerte, salvo lo que puedan disponer las leyes penales militares para tiempos de guerra.”

[4] “Toda persona tiene derecho a la libertad y a la seguridad. Nadie puede ser privado de su libertad, sino con la observancia de lo establecido en este artículo y en los casos y en la forma previstos en la ley.”

[5] “Las personas físicas o jurídicas que ejerzan actividades relevantes para la seguridad ciudadana, como las de hospedaje, transporte de personas, acceso comercial a servicios telefónicos o telemáticos de uso público mediante establecimientos abiertos al público, comercio o reparación de objetos usados, alquiler o desguace de vehículos de motor, compraventa de joyas y metales, ya sean preciosos o no, objetos u obras de arte, cerrajería de seguridad, centros gestores de residuos metálicos, establecimientos de comercio al por mayor de chatarra o productos de desecho, o de venta de productos químicos peligrosos a particulares, quedarán sujetas a las obligaciones de registro documental e información en los términos que establezcan las disposiciones aplicables.”

[6] “El objeto de este real decreto es regular las obligaciones de registro documental e información previstas en la normativa de protección de la seguridad ciudadana para las personas físicas o jurídicas que ejerzan, profesionalmente o no, actividades de hospedaje o alquiler de vehículos a motor sin conductor.”

[7] Tribunal Constitucional, sentencia 58/2018 de 4 de junio (BOE núm. 164, de 07 de julio de 2018). ECLI:ES:TC:2018:58.

[8] Tribunal Constitucional, sentencia 186/2000 de 10 de julio (BOE núm. 192, de 11 de agosto de 2000). ECLI:ES:TC:2000:186.

[9] Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos.

[10] “1. Toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan.

2. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que le conciernan y a obtener su rectificación.
3. El respeto de estas normas estará sujeto al control de una autoridad independiente.”

[11] “b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»)”

[12] “mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado.”

[13] tipo de ciberataque que utiliza correos electrónicos, mensajes de texto, llamadas telefónicas o sitios web fraudulentos para engañar a las personas y hacer que compartan datos confidenciales, descarguen malware o se expongan de otro modo a la ciberdelincuencia.

Nuevo registro de viajeros: Posibles riesgos e impacto

Visita otros artículos de Derecho Civil