¿Es legal pedir copia del DNI al huésped? Guía 2025 para anfitriones

1) La respuesta corta: no puedes pedir ni guardar copias del DNI o pasaporte

Desde el 17 de junio de 2025, la Agencia Española de Protección de Datos (AEPD) informó expresamente que no está permitido solicitar una copia (ni fotocopia, ni escaneo, ni foto con el móvil) del DNI o pasaporte en hospedajes para cumplir el registro de viajeros. Esto vulnera el principio de minimización (art. 5.1.c RGPD), porque un documento completo contiene datos que la norma no exige (fotografía, CAN, fecha de caducidad, nombres de los padres, etc.). La identidad se verifica sin necesidad de conservar copias: basta con recoger los datos que pide el Anexo I y comprobarlos visual u online con métodos menos intrusivos, tal y como detalla la nota oficial.

Además de la advertencia general, hay precedentes sancionadores por escanear el DNI durante el check-in (por ejemplo, un hotel multado con 9.000 € por guardar copias del documento). Mensaje claro para hoteles y viviendas turísticas: verificar sí; copiar, no.

2) Qué sí exige la ley: datos del Anexo I (RD 933/2021) y plazos de conservación

El Real Decreto 933/2021 regula qué debes recoger y conservar en el registro de viajeros y confirma que el registro será informático y contendrá solo los datos del Anexo I. El período de conservación para quienes actúan en ejercicio profesional es, con carácter general, de tres años desde el fin de la estancia. (Si eres no profesional, el decreto distingue obligaciones de registro y de comunicación; revisa tu encaje.)

Datos que SÍ suelen exigirse (según Anexo I, ejercicio profesional):

• Identificación del viajero: nombre y apellidos, tipo y número de documento (DNI, pasaporte, TIE), nacionalidad, fecha de nacimiento.
• Datos de contacto: teléfono y email (según el apartado aplicable del anexo).
• Datos de la estancia: fecha y hora de entrada y salida, número de viajeros, referencia del contrato y su ejecución.
• Datos del inmueble: dirección completa del alojamiento y otras características requeridas por el anexo.
• Datos del pago: tipo de pago, identificación del medio de pago (p. ej., tarjeta o IBAN), titular y fecha.

Datos que NO debes pedir ni conservar (no forman parte del Anexo I):

• Copia del documento (fotocopia, escaneo, foto).
• Información sensible del documento: fotografía, CAN, fecha de caducidad, nombres de los padres, etc.
• Fotos de tarjetas o justificantes con datos excesivos (más allá de la identificación del medio de pago).
• Cualquier otro dato “por si acaso” no contemplado explícitamente en el Anexo I.

Conservación y borrado (resumen práctico):

• Mantén el registro informático durante 3 años y nada de imágenes del DNI en WhatsApp, email o nube.
• Define un cronograma de borrado (qué se borra, cuándo y quién es responsable).

3) Cómo verificar la identidad sin fotocopiar el documento (presencial y online)

En presencial (lo que vemos hacer a la mayoría de anfitriones que cumplen):

1. Recoges únicamente los campos del Anexo I en tu formulario.
2. Realizas verificación visual del documento que enseña el huésped (sin sacar fotos).
3. Remites el parte de viajeros por vía telemática en el plazo correspondiente.

En online / auto-check-in (alternativas “menos intrusivas” que recomienda la AEPD):

• OTP (código de un solo uso) al móvil o email para confirmar identidad.
• Cruce con los datos del medio de pago.
• Certificado digital del huésped, cuando sea viable.
  Suele funcionar bien el flujo: el viajero rellena sus datos de Anexo I desde un enlace; el sistema verifica con OTP y cruza con el pago; a la llegada, haces un chequeo visual rápido. Todo sin imágenes del documento.

4) Errores que acaban en multas (y cómo evitarlos)

• Escanear/fotocopiar el DNI “por seguridad” → infracción del principio de minimización. Evítalo: limita el formulario al Anexo I y verifica visual u online.
• Guardar imágenes que manda el huésped por WhatsApp/email → no son necesarias para el registro; no las conserves. Indícalo en tu política.
• Pedir datos extra no previstos en el anexo → reduce campos “nice to have”.
• Conservación: olvidar los 3 años del registro informático → documenta tu calendario de borrado.

Ejemplo real: hotel sancionado con 9.000 € por escanear el DNI en el check-in. Lección: verificar sí; copiar, no.

5) Checklist de cumplimiento

1. Cláusula informativa RGPD visible (web/email y en el alojamiento).
2. Formulario presencial/online con solo los campos del Anexo I.
3. Verificación de identidad: visual en llegada; si es online, usa OTP, cruce con pago o certificado digital (sin fotos del documento).
4. Comunicación telemática de partes a Policía/Guardia Civil siguiendo el procedimiento oficial.
5. Conserva 3 años el registro informático y elimina lo que no proceda (especialmente imágenes de documentos).
6. Forma al equipo: “verificación sí; fotocopias no” y protocolo ante huéspedes que envían fotos por su cuenta.

6) Plantillas útiles (ajústalas a tu caso)

Aviso al huésped (pre-llegada)
“Para cumplir con el RD 933/2021 te pediremos solo los datos del Anexo I (nombre, tipo y número de documento, nacionalidad, contacto, etc.). No necesitamos ni guardamos copias de tu documento. Verificaremos tu identidad a la llegada de forma visual o mediante código OTP si realizas auto-check-in.”

Guion para recepción
“Voy a comprobar visual tu documento y confirmar que coincide con los datos que ya tenemos. No hacemos fotocopias ni escaneos; la ley exige registrar datos, no conservar imágenes del documento.”

7) FAQs rápidas (late check-in, grupos, menores)

¿Puedo pedir una foto del DNI si llegan de madrugada?
No. Recoge los datos mínimos y verifica con OTP o cruce con pago; al día siguiente puedes hacer verificación visual si procede.

¿Y si el huésped me manda una foto “para ayudar”?
Explícale que no es necesaria y no la guardarás. El documento completo incluye datos que no exige el Anexo I.

¿Qué pasa si soy anfitrión no profesional?
El RD distingue el ejercicio no profesional: se matizan registro y conservación, pero debes atender a la comunicación de datos prevista. Revisa tu encaje en el BOE y la operativa local.

¿Cuánto tiempo debo guardar los datos?
Tres años el registro informático desde el fin del servicio (en ejercicio profesional). Nunca imágenes del documento.

En 2025, la regla práctica es: “verificar sí, copiar no”. Como anfitrión, tu objetivo es captar solo lo exigido por el Anexo I del RD 933/2021, verificar la identidad de forma proporcionada y comunicar los datos en plazo. Con eso cumples la ley y evitas riesgos y sanciones.

NOTA DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS CON RELACIÓN A LA SOLICITUD DE COPIAS DE DOCUMENTOS DE IDENTIDAD EN HOSPEDAJES PARA DAR CUMPLIMIENTO AL REAL DECRETO 933/2021