Qui est concerné
Le Real Decreto 933/2021, du 26 octobre (BOE-A-2021-17461) touche pratiquement quiconque héberge contre de l’argent :
- Hôtels, pensions, maisons d’hôtes et chambres chez l’habitant
- Appartements touristiques, bungalows et hébergements assimilés
- Établissements de tourisme rural
- Campings et aires pour caravanes
Et pas seulement celui qui rend le service : le décret vise aussi les intermédiaires touristiques et les plateformes numériques qui proposent de l’hébergement en Espagne, même si ce ne sont pas elles qui hébergent.
L’obligation de communiquer par voie électronique est reportée deux fois depuis sa publication et finit par devenir exigible le 2 décembre 2024. Avant cette date cohabitaient les anciens systèmes — Hospederías de la Guardia Civil et WebPol de la Policía Nacional — remplacés, sur le territoire de droit commun, par SES.HOSPEDAJES.
Quelles données communiquer
L’annexe du règlement distingue trois blocs. Mieux vaut les regarder séparément, parce que le premier s’envoie une seule fois et les deux autres à chaque séjour.
Données de l’entreprise et de l’établissement
Elles se communiquent une seule fois, dans les dix jours qui suivent l’immatriculation administrative et avant de commencer l’activité. Si vous ouvrez un nouvel établissement, c’est la première formalité.
Données de chaque voyageur
C’est là que se trouve le gros du travail quotidien :
| Champ | Note |
|---|---|
| Nom et prénoms | Tels qu’ils figurent sur le document |
| Sexe | |
| Type et numéro du document | DNI, NIE, passeport |
| Numéro de support | Le code du document ; c’est le champ le plus souvent oublié |
| Date de naissance | |
| Nationalité | |
| Domicile habituel | Adresse, ville et pays |
| Téléphone et adresse e-mail | |
| Lien de parenté | Uniquement pour les mineurs de moins de 14 ans, vis-à-vis de l’adulte qui les accompagne |
Données de la transaction
Dates d’entrée et de sortie, nombre de voyageurs, référence du contrat et données du paiement — type de moyen, titulaire et, le cas échéant, date d’expiration et derniers chiffres de la carte —, en plus des données du bien.
Le délai : 24 heures, et il commence plus tôt que vous ne le croyez
La norme exige la communication « de manière immédiate et, en tout état de cause, dans un délai n’excédant pas 24 heures ». Le compteur ne part pas au check-in : il part au premier des trois événements suivants — la réservation, la formalisation du contrat ou le début du service.
En pratique, cela signifie qu’une réservation faite deux jours à l’avance ouvre déjà la fenêtre. C’est toute la différence entre envoyer les déclarations quand le client arrive — ce qui est souvent trop tard — et les envoyer quand la réservation entre.
Un compteur de déclarations en attente avec son délai bien visible règle plus d’incidents que n’importe quel rappel. Dans Hostelum, ce compte est sur l’écran de réception, pas caché dans un rapport.
Combien de temps conserver les données
Trois ans à compter de la fin du service. Le registre doit être électronique et tenu à la disposition des forces de sécurité.
Ce délai a une conséquence pratique qu’on oublie souvent : vous ne pouvez pas effacer les données d’un client au bout de six mois « par hygiène RGPD », parce qu’il existe une obligation légale de les conserver. Et à l’inverse : passé trois ans, plus rien ne fonde leur conservation, donc mieux vaut prévoir une purge programmée qu’une archive qui grossit indéfiniment.
La Catalogne fait bande à part
Les Mossos d’Esquadra maintiennent leur propre registre des voyageurs des établissements d’hébergement, avec son propre format de fichier. Le délai et la durée de conservation sont les mêmes, mais la destination et la structure de l’envoi, non.
Un hébergement en Catalogne ne téléverse donc rien vers SES.HOSPEDAJES : il envoie son fichier au système des Mossos. C’est la raison pour laquelle un logiciel qui ne prévoit que SES.HOSPEDAJES est insuffisant à Barcelone, Gérone, Lérida et Tarragone.
Vérifiez votre communauté autonome avant de configurer quoi que ce soit. Ce point dépend de la pratique administrative de chaque territoire, et pas seulement du texte du décret royal ; mieux vaut le confirmer auprès de votre association hôtelière.
Les sanctions
Le règlement renvoie au régime de sanctions de la loi organique 4/2015 sur la protection de la sécurité citoyenne. En termes généraux, ne pas tenir le registre ou omettre des communications obligatoires pèse plus lourd qu’envoyer des données incomplètes ou hors délai.
Nous n’avons trouvé aucune statistique officielle publiée sur les procédures ouvertes à ce titre, donc tout chiffre précis que vous liriez ailleurs est à prendre avec des pincettes.
Un point de 2026 qu’il faut connaître
En juin 2026, la Commission européenne a ouvert contre l’Espagne une procédure d’infraction liée à ce registre, pour possible incompatibilité avec la directive européenne de protection des données dans le domaine policier. Les réserves portent sur le volume de données collectées, sur la délimitation de l’accès policier et sur la durée de conservation.
Cela ne suspend rien. Le RD 933/2021 reste pleinement en vigueur, avec le même délai de 24 heures et le même régime de sanctions. C’est une procédure entre la Commission et l’État, pas un moratoire pour les hébergements.
Comment cela se règle en pratique
Ce qui rend tout cela pénible, ce n’est pas la norme : c’est la saisie. Une déclaration, ce sont douze ou treize champs par personne, dictés au comptoir avec la queue derrière.
Les deux leviers qui font vraiment gagner du temps sont :
- Que les données soient saisies par le client, depuis son téléphone et avant d’arriver, via un lien envoyé avec la confirmation. La réception passe de la saisie à la validation.
- Que le document ne soit pas tapé, mais lu. Cadrer la pièce d’identité avec l’appareil photo et laisser les champs se remplir seuls élimine l’essentiel des erreurs de transcription — celles-là mêmes qui font rejeter un fichier.
Et un troisième, moins spectaculaire mais tout aussi important : que le système supprime l’image du document dès qu’il en a extrait les champs. La norme vous oblige à conserver les données, pas la photo de la pièce d’identité, et stocker des images de documents d’identité, c’est prendre un risque que personne ne vous demande.
Ce que Hostelum fait, et ce qu’il ne fait pas
Hostelum capture tous les champs du RD 933/2021 — y compris le numéro de support et le lien de parenté des mineurs —, permet le check-in depuis le téléphone du client avec lecture du document, efface les images après extraction des données et génère le fichier prêt à téléverser : le format des Mossos si vous êtes en Catalogne, le XML de SES.HOSPEDAJES ailleurs.
Le téléversement final, c’est vous qui le faites. Nous n’envoyons rien par API à une quelconque autorité et nous ne conservons pas vos identifiants officiels. Nous préférons vous le dire ici plutôt qu’au troisième rendez-vous.