Un grupo de personas reservó una estancia gestionada por una compañía de alquiler de pisos vacacionales a través de Airbnb. Para llevar a cabo el check in, se les solicitó a través de la propia plataforma de la tercera compañía, fotos de los DNI de todos los huéspedes, selfies, así como sus direcciones de correo electrónico y teléfonos, entre otros.
Estos hechos fueron denunciados ante la AEPD que inició actuaciones previas de investigación. En respuesta al requerimiento de información enviado por la AEPD, la compañía incidió en que la Orden IRP/418/2010, de 5 de agosto, sobre la obligación de registro y comunicación a la Dirección General de la Policía de las personas que se alojan en los establecimientos de hospedaje sitos en Cataluña les exigía solicitar toda la información que recabaron, incluidos los selfies. Sin embargo, la AEPD resaltó que dicha Orden no hace referencia en ningún momento a este tipo de datos. Únicamente deben recibir: “Núm. documento de identidad”, “Tipo de documento”, “Fecha de expedición (si consta)”, nombre y apellidos, sexo, fecha de nacimiento, nacionalidad, fecha de entrada, domicilio, teléfono, días previstos de estancia y firma, todos ellos relativos a las personas alojadas. Asimismo, los huéspedes señalaron que no se les permitía desmarcar el checkbox para remitirles comunicaciones comerciales.
La AEPD procedió a sancionar, en primer lugar, con 50.000 euros por incumplir lo dispuesto en el artículo 13 del RGPD al no aportar la información necesaria relativa al tratamiento de los datos de los huéspedes, como el contacto del responsable o del DPO.
En segundo lugar, consideró que los datos solicitados eran excesivos e innecesarios para proporcionar el servicio de hospedaje en apartamentos de vacaciones, entre ellos la exigencia de un selfie como requisito sine qua non para poder acceder a la vivienda vacacional, por lo que se le impuso una multa de 25.000 euros.