De Europese Commissie start een onderzoek tegen Spanje wegens het politiegebruik van reizigersgegevens. Brussel vindt de verzamelde data en de bewaartermijn van drie jaar buitensporig.

De Europese Commissie kondigde donderdag 4 juni aan dat ze een inbreukprocedure tegen Spanje opent. De reden: het land schendt volgens Brussel de Europese regels over de bescherming van persoonsgegevens van reizigers en de manier waarop de politie die gegevens verwerkt. Dat meldt het Spaanse nieuwsmedium Demócrata.

De kern van de zaak draait om het Spaanse systeem dat hotels, vakantieverhuurders, online platforms en autoverhuurbedrijven verplicht om persoonsgegevens van hun klanten te verzamelen, te bewaren en door te sturen naar een centrale overheidsdatabank. Die databank is toegankelijk voor de politie. Brussel oordeelt dat dit systeem niet binnen de Europese wetgeving past, en geeft Madrid twee maanden om bij te sturen.

Waarom grijpt Brussel nu in?

De Europese Commissie wijst op de richtlijn over gegevensbescherming bij strafzaken. Die schrijft voor hoe politiediensten persoonsgegevens mogen behandelen tijdens hun werk, met het oog op het grondrecht op privacy. Volgens de Commissie houdt Spanje zich op meerdere punten niet aan die regels.

Ten eerste noemt Brussel de categorieën verzamelde gegevens “buitensporig”. Het gaat om brede informatiepakketten die ook betaalgegevens en GPS-data bevatten. Ten tweede is de toegang van de politie niet beperkt tot specifieke, duidelijk omschreven doelen, terwijl de richtlijn dat wel eist. En tot slot bewaren de autoriteiten de gegevens drie jaar lang, een termijn die de Commissie “onevenredig” vindt.

Het Spaanse registratiesysteem is geen nieuws voor wie het laatste jaar regelmatig in het land verbleef. De grote uitbreiding ging in op 2 december 2024, toen het nieuwe registratiesysteem voor reizigers verplicht werd voor de hele toeristische sector. De aanloop daarnaartoe verliep moeizaam, want de reizigersregistratie ging pas na fel protest definitief in vanuit reisbureaus en hotelverenigingen.

Welke gegevens worden er precies bewaard?

Bij het inchecken in een hotel of het ophalen van een huurauto vraagt de aanbieder tegenwoordig flink wat meer dan vroeger. Naast naam en geboortedatum gaat het om thuisadres, telefoonnummer, e-mailadres, nationaliteit en betaalmethode. Officieel mogen recepties echter een paspoort niet zomaar kopiëren voor de registratie, zoals we in ons artikel al schreven.

De bedrijven voeren die informatie in via het overheidsplatform SES Hospedajes (registratiesysteem voor accommodaties). Vroeger gaven verhuurders enkel naam, geboortedatum en aankomstdatum door aan de lokale Guardia Civil (Spaanse politie te land), nu belandt een veel uitgebreider pakket bij de landelijke autoriteiten. In Catalonië loopt er bovenop dit systeem een aparte registratie via de Mossos d’Esquadra (Catalaanse regionale politie).

Wat betekent dit voor Nederlanders en Belgen?

Voor de gemiddelde vakantieganger verandert er op korte termijn weinig aan de balie. Wel raakt het onderzoek direct aan je privacy, want jouw betaalgegevens en verblijfsinformatie liggen drie jaar lang opgeslagen in een Spaanse politiedatabank. Veel reizigers stelden zich daar vragen bij, zeker over de vraag of een hotel of verhuurder je ID-kaart of paspoort mag kopiëren.

Het ingrijpen uit Brussel staat niet op zichzelf. Het Spaanse hooggerechtshof haalde eerder al een streep door een vergelijkbaar systeem, toen het het nationaal register voor vakantieverhuur annuleerde. Ook de bredere regels voor toeristische verhuur in Spanje liggen al langer onder een vergrootglas.

Hoe gaat de procedure verder?

De procedure begint met een aanmaningsbrief waarin de Commissie de geconstateerde onregelmatigheden opsomt. Verbetert Spanje binnen twee maanden niets, dan kan Brussel een met redenen omkleed advies sturen. Dat advies geeft nog wat ruimte voor overleg, maar vormt de laatste stap voor de eindfase. Daarin sleept de Commissie de lidstaat voor het Tribunal de Justicia de la UE (Hof van Justitie van de Europese Unie).