Presentar información como nombre y apellidos, DNI, correo y demás es algo común cuando vamos a hospedarnos durante un tiempo en cualquier estancia. Lo mismo ocurre al utilizar la app de AirBnb, donde los propietarios deben exigir los datos personales de los usuarios para cumplir con las normas estipuladas. Sin embargo, el tratamiento de nuestros datos es algo que no debemos tomarnos a la ligera, y cabe la posibilidad de que algunas empresas pidan más de los necesarios, vulnerando nuestra privacidad.
Un ejemplo de esto último es lo que le ha ocurrido a la empresa Marketing Accommodation Solutions FZ, propietaria de pisos publicados en AirBnb. Y es que la compañía ha sido multada por la Agencia Española de Protección de Datos (AEPD) con 75.000 euros por considerar como "excesivos" los datos que pedía y por no ofrecer la información exigida por la agencia en el plazo estipulado, incumpliendo así dos artículos del Reglamento General de Protección de Datos (RGPD).
Pedir un selfie no es documentación que se deba exigir para registrarse en una estancia
Un grupo de 7 personas decidió pasar unos días en Barcelona alojándose en uno de los pisos de esta empresa. Con el fin de proceder con el registro, la compañía les indicó que tenían que acceder a una web para formalizar el check-in online, un trámite obligatorio para obtener las llaves de la estancia. En la web tenían que rellenar todos los datos, y además enviar fotos de su DNI por ambas caras, y un selfie de cada uno de ellos.
Visto que la cantidad de datos eran excesivos, los huéspedes decidieron contactar con la empresa para advertirles de que los datos que se solicitaban en el formulario eran excesivos, y que además no se daba la opción para poder denegar el consentimiento para que la empresa utilizara los datos para enviar ofertas y promociones a los usuarios.
Esta situación hizo que los viajeros decidieran realizar una reclamación a la AEDP, explicando en ella qué datos suyos tenían, cuáles de estos habían obtenido siguiendo la autorización, y cuáles habían cedido a la empresa. La respuesta emitida por la compañía fue "muy genérica" según los reclamantes, ya que les explicaron que únicamente tenían DNI, nombre, apellidos, correo y teléfono y que el propósito de realizar el check-in era cumplir con la normativa autonómica.
Según la empresa, esta normativa autonómica obliga a las compañías a comunicar esta información al Registro de Viajeros de los Mossos d' Esquadra. Además, también advertían que los datos no habían sido cedidos nunca y que podían quedarse tranquilos, ya que no iban a ser utilizados para fines de marketing.
Si bien cumplir con el Registro de Viajeros es una obligación, la AEPD resalta que entre los datos a proporcionar a los Mossos no se encuentran los selfies ni imágenes del DNI. Y es que según la Orden IRP/418/2010, de 5 de agosto, sobre la obligación de registro y comunicación a la Dirección General de la Policía de todas las personas que se hospedan en una estancia ubicada en Cataluña, tan solo se pide el número de DNI, tipo de documento, fecha de expedición del mismo (si consta), apellidos, nombre, sexo, nacionalidad, fecha de entrada, domicilio, número de teléfono y días previstos de estancia.
Al no presentar pruebas que negasen los hechos en el plazo indicado por la AEPD, se consideró que los datos que pedía la empresa eran excesivos, y por tanto recibió una multa de 75.000 euros. De esta cifra, 50.000 euros hacen referencia al incumplimiento del artículo 13 del RGPD por no enviarles la información exigida por parte de la agencia, como los datos de contacto de la persona responsable y del delegado de protección de datos, o el plazo en el que se conservarían los datos recibidos.
Por otro lado, a esos 50.000 euros también se le suman otros 25.000 por incumplir el artículo 5.1 c), al considerarse que no todos los datos que exigía la empresa eran necesarios. De esta forma, el caso concluye como un ejemplo más de que el usuario debe estar alerta ante los datos que proporciona a las empresas. Y es que si vas a quedarte en una estancia durante unos días, nadie tiene que exigirte un selfie o una foto del DNI como datos de registro, y menos si se trata de un procedimiento online.
Imagen | ConverKit
Vía | Confilegal
Ver 5 comentarios