El artículo 5 del Reglamento General de Protección de Datos regula los principios relativos al tratamiento y establece que el tratamiento será el mínimo necesario y será proporcional al fin perseguido. El considerando 39 del Reglamento se refiere a datos “adecuados, necesarios y limitados”. “Las categorías de datos seleccionados para su tratamiento deben ser los estrictamente necesarios para lograr el objetivo declarado y el responsable del tratamiento debe limitar estrictamente la recogida de datos a aquella información que esté directamente relacionada con el fin específico que se intenta alcanzar”. Por su parte, la Ley 4/2015 obliga a registrar documentalmente determinados datos.
La Orden INT/1922/2003 sobre libros-registro y partes de entrada de viajeros en establecimientos de hostelería recoge que se pedirán y registrarán el número de documento de identidad, la fecha de expedición, nombre y apellidos, sexo, fecha de nacimiento y fecha de entrada.
Así, se puede concluir que la copia del DNI “no es un tratamiento necesario para realizar el registro y dar cumplimiento a la Ley Orgánica 4/2015, constituyendo dicha actuación una vulneración del artículo 5.1 c) del Reglamento General de Protección de Datos, (…) considerando que se ha tratado datos excesivos que no son necesarios para la finalidad para la que se deben destinar”, concluye la Agencia.
La infracción, considerada muy grave, comporta la sanción de 2.000 euros y la orden de establecer las medidas oportunas para adecuar la gestión del registro de clientes en el establecimiento a lo establecido en el artículo 5 del RGPD.