The tourism sector and travel agencies back the EU in the case against Spain for the registration of travelers

The Spanish Government has 60 days to defend its system before Europe. What implications will it have for your privacy and the future of tourism?

5 minutes

fotonoticia 20260528094312 1920

fotonoticia 20260528094312 1920

Add DEMÓCRATA to Google

Ask FREN

Published

Last updated

5 minutes

Most read

The European Commission has initiated formal infringement proceedings against Spain for the traveler registration system regulated in Royal Decree 933/2021, considering that the regulation could violate EU data protection legislation. The decision, communicated on June 4th through a letter of formal notice to the Spanish Government, represents significant support for the criticisms that various sectors of the tourism industry have been making for years.

Both the Spanish Confederation of Hotels and Tourist Accommodation (CEHAT) and the Business Federation of Territorial Associations of Spanish Travel Agencies (FETAVE), currently in the process of integrating with UNAV, have welcomed Brussels' action, understanding that it confirms the warnings they have been conveying about a regulation they consider disproportionate, difficult to apply, and contrary to fundamental principles of European Union Law.

The file, registered under case INFR(2026)4005, questions central aspects of the Spanish system for collecting and processing traveler information, which affects accommodation establishments, vehicle rental companies, travel agencies, and tourist intermediation platforms.

A controversy that has been ongoing since 2022

Since its approval, Royal Decree 933/2021 has faced strong opposition from the affected sectors. CEHAT maintains that the rule was designed without considering the actual operations of tourist accommodations and has generated an excessive administrative burden for companies, in addition to obliging them to store large volumes of sensitive customer information.

The hotel employers' association warns that the system requires storing data related to payment methods, financial transactions, and other personal information that significantly increases cybersecurity risks for companies.

For its part, FETAVE recalls that it was the only sectoral organization in Spanish tourism to file a formal complaint with the European Commission in January 2023, denouncing the incompatibility of the rule with EU legislation. Since then, the federation has maintained intense activity with European institutions to defend its position, including actions before the European Commission, the European Parliament, and the European Ombudsman.

Brussels questions the proportionality of the system

According to business organizations, the arguments now put forward by the European Commission substantially coincide with the objections that the sector has been raising in recent years.

Brussels considers that the Spanish model requires the collection of excessive categories of data, including payment information and certain location data, that the authorities' access to such information is not sufficiently limited to specific purposes and that the generalized retention of data for three years may be disproportionate.

The Commission also focuses on the European principle of data minimization, one of the pillars of EU data protection legislation, which requires that only information strictly necessary for the intended purpose be collected.

For CEHAT, these conclusions confirm that the Royal Decree presented serious structural deficiencies from its origin. For FETAVE, they validate the essential core of the complaint filed with Brussels more than three years ago.

The precedent of the Court of Justice of the European Union

The legal discussion on Royal Decree 933/2021 is also framed within a consolidated jurisprudential line of the Court of Justice of the European Union (CJEU), especially in relation to the transfer of passenger data in the field of air transport.

The rulings of the European court have established that the massive collection of personal information for security reasons must be limited to specific, justified, and proportionate cases, avoiding systems of generalized or indiscriminate surveillance of the population.

In the opinion of business organizations, the Spanish model departs from these criteria by requiring the systematic collection of information from millions of travelers regardless of whether or not there is a specific risk to public security.

What the letter of formal notice implies

The letter of formal notice constitutes the first formal phase of the infringement procedure provided for by the European Union when the Commission considers that a Member State may be failing to comply with Community law.

From this moment on, Spain has a period of two months to respond to the observations made by Brussels. If the Commission considers the explanations or measures adopted by the Government insufficient, it may move towards a second phase through a reasoned opinion and, subsequently, bring the case before the Court of Justice of the European Union.

Although the procedure is still in its initial phase, both CEHAT and FETAVE consider that the formal opening of the file already represents a milestone of great relevance, by placing Spanish regulations under unprecedented European legal scrutiny.

The sector calls for immediate changes

After learning of Brussels' decision, CEHAT has called for the repeal of Royal Decree 933/2021 and the opening of a dialogue table with all affected sectors to design a new system that allows effective collaboration with the State Security Forces and Corps while respecting citizens' privacy and community regulations.

In parallel, FETAVE and UNAV have requested the Ministry of the Interior to urgently suspend the application of the rule to travel agencies while the European procedure is developed. Likewise, they demand the halting of any regulatory development that maintains direct obligations for agencies and the creation of a specific working group with the sector.

Among their proposals is to review the system in accordance with the principles of proportionality, data minimization, and legal certainty, as well as to exclude travel agencies from certain obligations when they act solely as intermediaries, understanding that the required information is already collected by hotels and vehicle rental companies.

A call for dialogue

Both the hotel sector and travel agencies have wanted to emphasize that their criticisms of the regulations do not question the need to collaborate with the State Security Forces and Corps.

The business organizations agree in defending that citizen security constitutes a priority, but they maintain that the mechanisms used to achieve it must be compatible with fundamental rights, data protection, and the operational reality of tourism companies.

In this context, representatives of the sector consider that the European Commission's action opens an opportunity to rethink the current model and build a system that combines police effectiveness, legal certainty, and respect for European legislation.

"If the European Commission questions the pillars of RD 933/2021, the Ministry of the Interior must suspend its application to travel agencies and immediately review the regulation," said the president of FETAVE and UNAV, César Gutiérrez. Along similar lines, the president of CEHAT, Jorge Marichal, believes that the European investigation should serve to promote a profound reform that allows for the recovery of trust between the Administration and one of the strategic sectors of the Spanish economy.

This version has a tone more suited to a specialized economic or tourism media outlet, integrating the positions of CEHAT and FETAVE-UNAV without appearing to be the sum of two corporate press releases.

More key points, information and questions with FREN

AI-GENERATED CONTENT

¿En qué estado se encuentra la tramitación parlamentaria de una posible reforma del Real Decreto 933/2021?

Estado actual de la tramitación parlamentaria sobre la reforma del Real Decreto 933/2021

Actualmente no existe en las Cortes Generales un proyecto ni una proposición de ley en tramitación específicamente destinada a reformar el Real Decreto 933/2021. Lo que sí hay es una intensa actividad de control y orientación política (proposiciones no de ley, mociones y preguntas escritas) en Congreso y Senado, muchas ya debatidas y algunas aprobadas. Estas iniciativas instan al Gobierno a revisar, prorrogar, mitigar o incluso derogar el Real Decreto 933/2021, pero no constituyen en sí mismas una reforma normativa del Real Decreto. A día de hoy, por tanto, la “reforma” del RD 933/2021 se está articulando sobre todo vía presión política y control al Ejecutivo, no mediante una tramitación legislativa formal de modificación del propio Real Decreto.

1. Congreso de los Diputados: iniciativas de orientación política y control

En el Congreso, las iniciativas detectadas sobre el Real Decreto 933/2021 son proposiciones no de ley (PNL) y preguntas escritas, que marcan posición política pero no modifican directamente la norma:

PNL relativa a la revisión y readecuación de la normativa derivada del Real Decreto 933/2021 (exp. 162/000329, 11/10/2024). Esta iniciativa, orientada a revisar y ajustar la normativa derivada del RD 933/2021 por su impacto en actividades de hospedaje y alquiler de vehículos, fue debatida y aprobada en la Comisión competente el 31/10/2024. Estado: aprobada, sin efectos jurídicos directos pero con valor de mandato político al Gobierno. Texto disponible en el BOCG: Ver publicación.

PNL relativa a la necesidad urgente de revertir la aplicación vigente del Real Decreto 933/2021 (exp. 162/000397, 22/01/2025). Plantea revertir la aplicación actual del RD 933/2021. Ha sido publicada en el Boletín, pero se encuentra aún pendiente de debate en comisión o pleno. Fase actual: en tramitación. Puede consultarse en: Ver publicación.

PNL sobre eliminar trámites administrativos innecesarios para el sector turístico, que incluye referencias expresas al RD 933/2021 (exp. 161/001573, 17/12/2024). Fue debatida y rechazada el 05/11/2025. Estado: rechazada, por lo que no genera mandato al Gobierno. Texto en: Ver publicación.

• Además existe una pregunta escrita sobre el borrador de la Orden Ministerial para prorrogar la entrada en vigor del Real Decreto 933/2021 (exp. 184/016862, 23/01/2025), ya contestada por el Gobierno, por lo que su tramitación está concluida. Puede consultarse la respuesta en: Ver publicación.

Ninguna de estas iniciativas en el Congreso es un proyecto de ley ni una proposición de ley que reforme el RD 933/2021; son instrumentos de orientación política y control que presionan al Ejecutivo para que actúe vía Real Decreto u Orden Ministerial.

2. Senado: mociones e intenso control al Gobierno sobre el RD 933/2021

En el Senado se han tramitado varias mociones y preguntas escritas dirigidas a condicionar o revisar la aplicación del Real Decreto 933/2021:

Moción para prolongar la suspensión de la aplicación del Real Decreto 933/2021 (exp. (15)662/000098, 26/11/2024). Fue debatida y aprobada en Pleno el 20/11/2024. Estado: concluida. El texto figura en: Ver publicación.

Moción para instar al Gobierno a derogar el Real Decreto 933/2021 (exp. (15)661/000944, 30/01/2025). También fue aprobada en Pleno el 20/02/2025 y su tramitación se considera concluida. No deroga el Real Decreto por sí misma, sino que insta al Ejecutivo a hacerlo. Texto en: Ver publicación.

Además, hay diversas preguntas escritas en curso, todas publicadas y pendientes de respuesta, que se centran en la adaptación, el desarrollo y el impacto del RD 933/2021:

• Pregunta: “¿Reconoce el Gobierno que la necesidad de adaptar ahora el Real Decreto 933/2021 evidencia una falta grave de planificación normativa?” (exp. (15)684/023804) – en tramitación. Ver publicación.

• Pregunta sobre los motivos por los que el Gobierno no publica una Orden Ministerial de desarrollo del RD 933/2021 consensuada con el sector (exp. (15)684/008724) – en tramitación. Ver publicación.

• Pregunta sobre si el Gobierno ha valorado excluir del Real Decreto 933/2021 al sector de las agencias de viajes (exp. (15)684/008723) – en tramitación. Ver publicación.

• Pregunta acerca de con qué organizaciones y entes ha contado el Gobierno para redactar la nueva normativa de registro de viajeros vinculada al RD 933/2021 (exp. (15)684/009236) – en tramitación. Ver publicación.

• Pregunta sobre si, ante la oposición de las patronales turísticas al RD 933/2021, el Gobierno prevé retrasar su entrada en vigor (exp. (15)684/009237) – en tramitación. Ver publicación.

• Pregunta sobre si el Gobierno está elaborando una Orden Ministerial que mitigue el impacto de la entrada en vigor del RD 933/2021 (exp. (15)684/008722) – en tramitación. Ver publicación.

De nuevo, ninguna de estas iniciativas es una norma modificativa; son instrumentos de presión y control sobre el Ejecutivo.

3. Conclusión: presión política, pero sin reforma normativa parlamentaria específica

De la información parlamentaria disponible se desprende que:

• Hay PNL aprobadas en el Congreso y mociones aprobadas en el Senado que instan a revisar, prorrogar o derogar el Real Decreto 933/2021, reflejando un claro cuestionamiento político de la norma y su impacto, especialmente en el sector turístico.

• Existen múltiples preguntas de control que obligan al Gobierno a explicar la elaboración de normas de desarrollo (Órdenes Ministeriales), posibles prórrogas, exclusiones sectoriales y el diálogo con los agentes afectados.

• Sin embargo, no hay registrada ni en Congreso ni en Senado una iniciativa legislativa en forma de proyecto o proposición de ley que reforme directamente el texto del Real Decreto 933/2021. La eventual reforma o derogación sigue residiendo en la potestad reglamentaria del Gobierno (modificación o sustitución por otro Real Decreto), condicionada políticamente por estas iniciativas.

En resumen, el “estado de tramitación” hoy es el de una reforma reclamada e impulsada políticamente, pero todavía no materializada en una tramitación legislativa de modificación del Real Decreto, sino en mociones y proposiciones no de ley ya aprobadas y en preguntas parlamentarias en curso.

¿Cuáles son las competencias del presidente de CEHAT y desde cuándo ocupa el cargo Jorge Marichal?

Respuesta breve

El presidente de CEHAT (Confederación Española de Hoteles y Alojamientos Turísticos) es, en términos generales, el máximo representante institucional y político del sector hotelero agrupado en la Confederación: dirige la línea estratégica de la organización, la representa ante las administraciones públicas (Gobierno central, comunidades autónomas y ayuntamientos) y ante los agentes sociales, y coordina la defensa de los intereses de las asociaciones hoteleras integradas. En cuanto a Jorge Marichal, ocupa la presidencia de CEHAT desde finales de 2019, cuando fue elegido para suceder a la anterior dirección; desde entonces ha sido el principal interlocutor del sector hotelero español ante las autoridades, especialmente durante la pandemia y en los debates sobre política turística y regulatoria. No se dispone de más información detallada sobre su elección o renovaciones de mandato en las fuentes consultadas.

Competencias del presidente de CEHAT

CEHAT es una organización empresarial que agrupa a asociaciones y federaciones hoteleras de toda España. Su presidencia tiene un papel claramente político-institucional (aunque no partidista) en el ámbito de la política turística y regulatoria. De forma sintética, las competencias del presidente pueden resumirse en cuatro grandes bloques:

1. Representación institucional y política

El presidente de CEHAT actúa como máximo representante del sector hotelero organizado ante:

– El Gobierno de España (Ministerio de Industria y Turismo, Ministerio de Trabajo, Hacienda, Transición Ecológica, etc.), en todo lo relativo a normativa turística, laboral, fiscal, energética o medioambiental que afecte a hoteles y alojamientos turísticos.
– Las comunidades autónomas, que tienen competencias centrales en turismo, ordenación de alojamientos y regulación de viviendas turísticas.
– Los ayuntamientos, en debates sobre tasas turísticas, ordenanzas de uso del espacio público, vivienda de uso turístico o planes urbanísticos que afecten a la planta hotelera.
– Organizaciones empresariales de ámbito estatal o europeo y foros internacionales del sector turístico.

En la práctica, esto convierte a la presidencia de CEHAT en un actor clave de lobby y diálogo en las mesas de negociación con el Ejecutivo y en los procesos parlamentarios donde se discuten normas que inciden en el turismo y la hotelería.

2. Dirección estratégica y posicionamiento público

El presidente marca, junto con los órganos de gobierno de la Confederación, la línea estratégica y el posicionamiento de CEHAT en cuestiones como:

– Regulación de la vivienda turística y su impacto en el parque hotelero.
– Política laboral en el sector (contratación, temporalidad, negociación colectiva, SMI, cotizaciones).
– Política fiscal (IVA turístico, impuestos especiales, tasas turísticas autonómicas o municipales).
– Estrategias de sostenibilidad, transición energética y adaptación a normativas climáticas que afectan a hoteles y alojamientos.
– Digitalización, distribución online, relaciones con grandes plataformas y protección del tejido hotelero.

Esta competencia se traduce en elaborar propuestas y alegaciones en consultas públicas, comparecer en parlamentos, mantener reuniones con ministerios y gobiernos autonómicos y fijar la posición pública del sector ante cambios legislativos.

3. Coordinación interna del sector hotelero organizado

El presidente de CEHAT tiene también una función de cohesión interna:

– Coordina posiciones entre las diferentes asociaciones provinciales, autonómicas y temáticas integradas en CEHAT.
– Preside las reuniones de los órganos de gobierno de la Confederación (asamblea, junta directiva, comité ejecutivo, según los estatutos), impulsando acuerdos comunes.
– Actúa como portavoz ante conflictos o divergencias internas en temas sensibles (por ejemplo, distintos modelos de regulación de la vivienda turística según comunidad autónoma).

Esa labor es importante para que CEHAT pueda presentarse ante el Gobierno y los parlamentos con una posición unificada en los principales debates políticos que afectan al sector.

4. Interlocución con medios y opinión pública

En el plano social, el presidente es el rostro público del sector hotelero:

– Interviene en medios de comunicación para explicar el impacto de las decisiones políticas (por ejemplo, cambios fiscales, laborales o restricciones de movilidad).
– Traslada las demandas del sector a la ciudadanía y a los formadores de opinión, especialmente en momentos de crisis (COVID, inflación de costes, conflictos territoriales que afecten al turismo).
– Contribuye a perfilar el relato del sector hotelero en debates de vivienda, turismo sostenible o saturación turística.

Desde cuándo es presidente Jorge Marichal

Las fuentes disponibles indican que Jorge Marichal ocupa la presidencia de CEHAT desde finales de 2019, cuando fue elegido como máximo responsable de la Confederación para suceder a la anterior dirección. Desde entonces se ha mantenido en el cargo, ejerciendo como principal interlocutor del sector hotelero español ante:

– El Gobierno central, durante la gestión de la pandemia de COVID‑19 y los sucesivos planes de apoyo al turismo.
– Las comunidades autónomas, en la discusión de normas turísticas y de vivienda vacacional.
– Las instituciones europeas de forma indirecta, a través de la interlocución del sector empresarial turístico español en Bruselas.

No se dispone de más información en las fuentes consultadas sobre la fecha exacta de su elección (día y mes) ni sobre procesos posteriores de reelección o renovación de su mandato.

¿Qué requisitos legales debe cumplir una norma española para ser considerada compatible con el principio europeo de minimización de datos?

Respuesta breve

Para que una norma española sea compatible con el principio europeo de minimización de datos (art. 5.1.c RGPD), debe limitarse a permitir sólo el tratamiento de datos personales que sean adecuados, pertinentes y no excesivos respecto a la finalidad concreta que persigue. Esto implica que la ley debe definir con precisión la finalidad, justificar la necesidad y proporcionalidad de cada categoría de dato, prever plazos de conservación limitados y, cuando sea posible, optar por datos menos intrusivos (seudonimización, agregación, etc.). Además, debe respetar el marco de la LOPDGDD, la Carta de Derechos Fundamentales de la UE y la jurisprudencia del TJUE y del TC sobre protección de datos. En la práctica, una norma que habilita tratamientos amplios, imprecisos o indefinidos en el tiempo, sin análisis de necesidad ni salvaguardas suficientes, corre un alto riesgo de ser considerada incompatible con este principio.

1. Marco jurídico aplicable al principio de minimización

En el contexto español, los requisitos para respetar el principio de minimización derivan de varias capas normativas:

a) Derecho de la Unión Europea El principio de minimización está consagrado en:

Reglamento (UE) 2016/679 (RGPD), art. 5.1.c: los datos deben ser “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. – Carta de Derechos Fundamentales de la UE, arts. 7 y 8, que garantizan el respeto a la vida privada y familiar y la protección de datos personales, y obligan a que cualquier injerencia esté prevista por la ley, sea necesaria y proporcionada.

b) Derecho interno español Al transponer y complementar el RGPD, España ha reforzado este principio a través de:

– La Constitución Española, arts. 18.1 y 18.4, que amparan el derecho a la intimidad y exigen que el uso de la informática se limite para garantizar el honor e intimidad personal y familiar. – La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que concreta y desarrolla el RGPD en múltiples ámbitos sectoriales. – Jurisprudencia del Tribunal Constitucional y del Tribunal Supremo, que aplica criterios de idoneidad, necesidad y proporcionalidad en sentido estricto cuando se revisan normas que habilitan tratamientos de datos masivos o intrusivos.

2. Requisitos materiales: contenido de la norma

Para considerarse compatible con el principio europeo de minimización, una norma española debe incorporar, explícita o implícitamente, los siguientes elementos materiales:

2.1. Definición clara y concreta de la finalidad

– La norma debe identificar con precisión la o las finalidades del tratamiento (ej.: control tributario, seguridad pública muy delimitada, gestión sanitaria específica, políticas sociales concretas). – Debe evitar fórmulas genéricas como “por razones de seguridad”, “interés público” sin mayor concreción, porque estas abren la puerta a tratamientos no minimizados. – Cuanto más intensa sea la injerencia (tratamiento masivo, perfiles, datos sensibles), más estricta y detallada debe ser la descripción legal de la finalidad.

2.2. Limitación de las categorías de datos a lo estrictamente necesario

– La norma debe especificar qué tipos de datos se pueden tratar (identificativos, económicos, de salud, localización, etc.). – Debe existir una relación directa y justificada entre cada categoría de dato y la finalidad definida: si la finalidad puede alcanzarse con datos menos intrusivos, los datos más sensibles deben excluirse. – En el caso de categorías especiales de datos (salud, origen étnico, opiniones políticas, datos biométricos, etc., art. 9 RGPD), la exigencia de justificación de necesidad y proporcionalidad es especialmente estricta y, en general, sólo se admiten cuando la finalidad no puede lograrse de otra forma menos lesiva.

2.3. Limitación temporal: plazos de conservación

– La norma debe establecer plazos de conservación concretos o criterios objetivo claros para su determinación (por ejemplo, mientras dure un procedimiento, o un número de años fijado). – La conservación “por tiempo indefinido” o “mientras sea útil” es, en principio, incompatible con el principio de minimización y con el de limitación del plazo de conservación (art. 5.1.e RGPD). – Deben preverse mecanismos de supresión, anonimización o seudonimización una vez cumplida la finalidad.

2.4. Preferencia por datos menos identificables

– Siempre que la finalidad pueda lograrse sin identificar directamente a la persona, la norma debe prever o al menos permitir el uso de: • datos agregados o estadísticos, • datos seudonimizados, • o procesos de anonimización. – Esta preferencia deriva de la exigencia de que el tratamiento sea “limitado a lo necesario”, por lo que el legislador debe valorar alternativas menos intrusivas y, cuando sean viables, recogerlas en el texto normativo.

2.5. Proporcionalidad reforzada en tratamientos masivos o intrusivos

En ámbitos como videovigilancia masiva, rastreo de comunicaciones, tratamiento de grandes bases de datos administrativos cruzadas, o uso de algoritmos de perfilado, la norma debe:

– Justificar expresamente por qué ese nivel de tratamiento es idóneo, necesario y proporcionado. – Delimitar con precisión ámbito material, personal y territorial del tratamiento (quién puede tratar, de quién se tratan datos, en qué contextos). – Incluir salvaguardas reforzadas: controles ex ante o ex post por autoridades independientes, auditorías, derechos específicos de información y oposición, etc.

3. Requisitos formales y de técnica legislativa

3.1. Base jurídica y rango normativo adecuado

– El RGPD exige que determinados tratamientos en el sector público cuenten con una base jurídica en el Derecho de la Unión o de los Estados miembros (art. 6.1.c y e, 6.2 y 6.3 RGPD). – En España, cuando se trata de limitar derechos fundamentales (como sucede con muchos tratamientos intensivos de datos), se requiere, por regla general, ley formal, y en ciertos casos incluso ley orgánica, conforme al art. 81 CE. – La norma debe ser previsible y accesible: el ciudadano debe poder conocer, a partir del propio texto, qué datos se tratan, con qué finalidades y bajo qué garantías.

3.2. Integración con la LOPDGDD y normativa sectorial

– Cualquier nueva norma española que regule tratamientos de datos debe ser compatible y coherente con la LOPDGDD, que actúa como norma de cierre en materia de protección de datos. – Si la norma es sectorial (sanidad, educación, empleo público, seguridad, fiscalidad, etc.), debe evitar contradicciones con las reglas específicas de protección de datos ya existentes en ese sector, o reformarlas explícitamente justificando el cambio. – Cuando la norma permita tratamientos adicionales respecto al régimen general, debe explicitar justificación, límites y garantías para que no se convierta en una habilitación general incompatible con el principio de minimización.

3.3. Evaluación previa de impacto (EIPD) y documentación

Aunque el RGPD impone las evaluaciones de impacto en protección de datos (EIPD) a los responsables del tratamiento, en la práctica legislativa europea y española se exige, cada vez más, que:

– En la fase de elaboración del anteproyecto, el Gobierno documenten el análisis de impacto sobre derechos fundamentales, incluyendo el derecho a la protección de datos y cómo se asegura la minimización. – En algunos casos, se consulte o se tenga en cuenta el criterio de la Agencia Española de Protección de Datos (AEPD) o, en su caso, de la autoridad europea (EDPB), especialmente cuando la norma genera tratamientos de alto riesgo. – Esta documentación y debate técnico sirven para demostrar que el legislador ha valorado alternativas menos intrusivas y que la solución adoptada es efectivamente la más “minimizada” posible.

4. Control judicial: qué revisan TJUE, TC y tribunales

Los tribunales europeos y españoles examinan la compatibilidad de una norma con el principio de minimización a través de varios filtros:

Idoneidad: ¿el tratamiento de datos que habilita la norma es adecuado para lograr la finalidad? – Necesidad: ¿no existe otra medida, menos intrusiva en términos de datos, igual de eficaz para ese fin? – Proporcionalidad en sentido estricto: ¿el beneficio público que se persigue compensa la injerencia en la privacidad y en la protección de datos? – Precisón normativa: ¿la redacción legal limita suficientemente el ámbito de los datos y el uso que puede hacerse de ellos, o abre la puerta a tratamientos generales y difusos? – Salvaguardas y garantías: derechos de acceso, rectificación, oposición, revisión humana de decisiones automatizadas, supervisión por autoridad independiente, etc.

Cuando estos criterios no se superan, una norma puede ser declarada contraria al Derecho de la UE (por el TJUE) o inconstitucional (por el TC), precisamente por vulnerar el principio de minimización junto con otros principios del RGPD y de la Carta.

5. Señales prácticas de compatibilidad con la minimización

En términos prácticos, una norma española tiene muchas más probabilidades de ser considerada compatible con el principio europeo de minimización cuando:

– Define de forma clara y concreta: • qué finalidad persigue, • qué categorías de datos se tratan, • quién trata los datos, • durante cuánto tiempo y con qué destinatarios.

– Explica en su exposición de motivos (y, en su caso, memoria de impacto): • por qué esos datos, y no otros menos sensibles, son imprescindibles; • por qué no es suficiente trabajar con datos agregados, anónimos o seudonimizados; • qué alternativas menos intrusivas se han descartado y por qué.

– Incorpora mecanismos claros para: • limitar el acceso sólo a los sujetos estrictamente necesarios; • borrar, anonimizar o seudonimizar datos cuando expira la finalidad; • garantizar el ejercicio efectivo de los derechos de las personas afectadas; • permitir la supervisión por la AEPD u otra autoridad independiente.

6. Conclusión

En síntesis, para que una norma española sea compatible con el principio europeo de minimización de datos no basta con “mencionar” el RGPD: debe concretar y limitar de manera efectiva qué datos se tratarán, con qué fines, durante cuánto tiempo y bajo qué garantías, demostrando que no hay otra opción menos intrusiva igual de eficaz. La combinación del RGPD, la LOPDGDD, la Constitución y la jurisprudencia europea y española hace que el estándar de justificación, especialmente en tratamientos masivos o de datos sensibles, sea alto. Cualquier texto legal que habilite tratamientos amplios, genéricos o indefinidos, sin un análisis riguroso de necesidad y proporcionalidad, se expone a ser cuestionado por vulnerar este principio.

Play

Test your knowledge with FREN!

How much do you know about this topic? Answer the following 3 questions.

¿Cuál es la principal razón por la que la Comisión Europea ha iniciado un procedimiento de infracción contra España respecto al registro de viajeros?

Question 1 of 3

¿Qué organizaciones del sector turístico han mostrado su respaldo a la actuación de la Comisión Europea contra el Real Decreto 933/2021?

Question 2 of 3

¿Qué plazo tiene España para responder a las observaciones formuladas por la Comisión Europea tras la carta de emplazamiento?

Question 3 of 3

Hola, soy Fren. ¿Cómo te ayudo?