¿Quieres contactar con nosotros?
En el ámbito de la protección de datos personales, la solicitud de copias del Documento Nacional de Identidad (DNI) por parte de las entidades, en su calidad de responsables del tratamiento, constituye una práctica habitual, cada vez más controvertida y polémica. La Agencia Española de Protección de Datos (AEPD), como garante de la normativa en materia de privacidad, ha venido pronunciándose sobre esta cuestión, enfatizando la necesidad de ponderar la medida de la recogida de datos con el principio de proporcionalidad. Este principio se erige como piedra angular en la regulación de la protección de datos, exigiendo que cualquier tratamiento de datos personales sea adecuado, pertinente y limitado a lo necesario en relación con los fines para los que son tratados.
El Principio de Proporcionalidad en el Tratamiento de Datos Personales
El principio de proporcionalidad implica que, antes de proceder a la recopilación de una copia del DNI, la entidad responsable debe realizar una valoración meticulosa sobre si dicha medida es imprescindible para la finalidad perseguida. Es decir, debe existir un equilibrio entre la necesidad de la entidad de verificar la identidad del individuo y los derechos de este último a la protección de sus datos personales. La proporcionalidad se convierte así en un criterio de limitación del poder de las entidades en su función de recabar y tratar datos personales.
En este sentido, la AEPD ha establecido que la solicitud de una copia del DNI debe considerarse una medida excepcional, reservada para situaciones en las que no existan otros medios menos intrusivos para verificar la identidad de una persona. En sus resoluciones, la Agencia ha señalado que el tratamiento de imágenes, de los nombres del padre y la madre, de la dirección donde viven, etc. contenidos en el DNI pueden entrañar riesgos significativos para los derechos y libertades de los interesados, por lo que su recogida y tratamiento deben estar estrictamente justificados, siendo en mucho casos innecesario recabar tanta información, incumpliendo de este modo con el principio de minimización de los datos personales, el de proporcionalidad o el de limitación en el tratamiento.
A este respecto, en los últimos años hay varios pronunciamientos de la AEPD por medio de los cuales se sanciona al responsable del tratamiento al entender que (i) solicitar el DNI al interesado en el ejercicio de su derecho de acceso es desproporcionado (Expediente Nº: PS/00003/2021), (ii) solicitar copia del DNI a un cliente para tramitar una consulta relativa a movimientos de cuenta era un tratamiento excesivo de sus datos personales (Expediente Nº: EXP202104493), (iii) solicitar la fotografía del DNI del destinatario en la entrega de un paquete no es necesario para cumplir la finalidad perseguida por parte de la entidad existiendo medios menos invasivos (Expediente N.º: PS/00413/2021), una clínica dental por solicitar el DNI del interesado en un reembolso (Expediente N.º: EXP202302620).
Alternativas al Tratamiento de Copias del DNI
En este contexto, se insta a las entidades a explorar alternativas menos invasivas que permitan alcanzar el mismo objetivo de verificación de identidad. Por ejemplo, la verificación podría realizarse mediante la presentación del DNI en formato físico sin necesidad de obtener una copia, o utilizando sistemas de identificación electrónica que proporcionen un nivel de seguridad adecuado.
La propia AEPD emitió el Informe 7/2023, relativo a la solicitud de información que realiza la Dirección General de Ordenación del Juego a la Real Federación Española de Fútbol al amparo de la Ley 13/2011, de 27 de mayo, de regulación del juego, en el que indica que “el número del DNI es una información especialmente sensible pues su uso indebido o sin las garantías suficientes puede tener múltiples efectos desfavorables para el titular de los datos, como la usurpación de identidad” y que por lo tanto, si existen otras medidas menos gravosas que cumplen ese fin de identificación, lo recomendable es abstenerse de usarlo.
Conclusiones y Recomendaciones para las Entidades
Las entidades deben ser conscientes de que la solicitud de copias del DNI no puede ser una medida de aplicación general y sistemática, atendiendo a que la proporcionalidad en la solicitud de copias del DNI es una manifestación concreta de la responsabilidad que recae sobre las entidades como custodias de información sensible en su calidad de responsables del tratamiento conforme a la legislación aplicable en materia de protección de datos personales.
Es imperativo que se establezcan protocolos claros y rigurosos que definan los supuestos específicos en los que se considera proporcional y necesaria la obtención de dichas copias, siempre en consonancia con la normativa vigente y las directrices de la AEPD, para aquellos casos en los que se determine que es el único medio por el cual se puede lograr la finalidad perseguida.
¿Solicitas la copia del DNI para alguna actividad de tu Compañía? ¿Quieres saber si para tu actividad en concreto se podría superar el juicio de proporcionalidad? ¿Buscas alternativas a la solicitud del DNI que cumplan con la normativa en materia de protección de datos?
Artículo elaborado por Fernando Herrero Maortua, senior manager de Regulación Digital de PwC Tax & Legal, y Fina Sastre Coll, associate de Regulación Digital de PwC Tax & Legal.
Contacta con nosotros
