La AEPD alerta del riesgo de pedir copias del documento nacional de identidad (DNI) sin una justificación suficiente. El uso excesivo de estos datos puede vulnerar la protección de datos y acabar en sanción.
El Documento Nacional de Identidad sigue siendo una de las vías principales para acreditar la identidad en España. Su obtención es obligatoria para los mayores de 14 años residentes en el país y también para quienes, con esa edad y residiendo en el extranjero, se trasladen a España por al menos seis meses. Además, debe exhibirse cuando lo requieran la autoridad, sus agentes o funcionarios públicos en el desempeño de sus funciones.
La duda surge cuando una empresa, comercio, mensajero o entidad privada pide hacer una fotocopia o una fotografía del DNI. La Agencia Española de Protección de Datos advierte de que el uso indebido de este documento, sin garantías suficientes, puede tener efectos perjudiciales para el titular, incluido el riesgo de suplantación de identidad.
Cuándo pueden pedir el DNI y por qué no siempre pueden copiarlo
Enseñar el DNI no es lo mismo que permitir que se haga una copia. La AEPD mantiene que el DNI solo debe someterse a tratamiento cuando una norma lo establezca o cuando exista una justificación proporcionada. Si el único fin es identificar a una persona, pedir más datos de los necesarios puede considerarse excesivo.
La propia Agencia aclara que, para ejercer derechos como acceso, rectificación, supresión u oposición, como regla general no hace falta facilitar una copia del DNI. Solo si el responsable del tratamiento tiene dudas razonables sobre la identidad del solicitante podrá pedir información adicional necesaria para confirmarla.
La multa por fotografiar el DNI y el caso de Orange
Uno de los casos más conocidos fue el de Orange. La AEPD impuso una sanción de 100.000 euros por una infracción del artículo 5.1.c del RGPD, vinculada al principio de minimización de datos, después de que se exigiera fotografiar el anverso y reverso del DNI para entregar paquetes.
Ese principio obliga a que los datos personales sean adecuados, pertinentes y limitados a lo necesario para la finalidad perseguida. En este tipo de situaciones, la cuestión no es solo si se puede comprobar la identidad, sino si resulta necesario conservar una imagen completa del documento.
La sanción no tiene por qué ser automática ni idéntica en todos los casos. En ese expediente, la Audiencia Nacional estimó parcialmente el recurso de Orange y fijó finalmente la sanción en 40.000 euros, aunque mantuvo el criterio de que fotografiar el DNI podía ser una medida excesiva para verificar la entrega.
Qué hacer si una empresa pide una fotocopia del DNI sin justificarla
Cuando una empresa solicita copiar o fotografiar el DNI, debe explicar para qué lo necesita, durante cuánto tiempo conservará esos datos y qué base legal ampara ese tratamiento. No basta con pedirlo por costumbre o como condición genérica si existen medios menos invasivos para acreditar la identidad.
En muchos trámites puede ser suficiente mostrar el documento, contrastar algunos datos o utilizar otros sistemas de identificación. La AEPD señala que, si existen medidas menos gravosas que cumplen la misma finalidad, debe evitarse el uso del DNI completo.