¿Me deja una copia de su DNI? Cuando identificar no significa fotocopiar
La copia del DNI y la protección de datos están mucho mas relacionados de lo que pensamos. Nos hemos acostumbrado tanto a que nos pidan el DNI que, en muchas ocasiones, ni siquiera nos preguntamos por qué.
Una inscripción, un concurso, una contratación, un alojamiento, una asociación, una academia… y aparece la misma petición: «Adjunte copia de su DNI».
Pero ¿es realmente necesaria?
La respuesta es importante: necesitar identificar a una persona no significa necesariamente necesitar una copia de su DNI.
Copia del DNI y protección de datos que exige el RGPD
El DNI contiene más información de la que pensamos. Cuando entregamos o enviamos una copia completa de nuestro DNI no estamos facilitando únicamente nuestro nombre y un número identificativo.
Estamos proporcionando conjuntamente distintos datos contenidos en un documento oficial que, además, puede utilizarse para acreditar nuestra identidad.
Por eso, antes de solicitar y conservar una copia, una organización debería plantearse una pregunta muy sencilla:
¿Necesito realmente toda la información contenida en este documento para la finalidad que quiero conseguir?
El Reglamento General de Protección de Datos (RGPD) obliga precisamente a realizar este análisis.
El principio de minimización de datos en la copia del DNI y la protección de datos
El artículo 5.1.c) del RGPD establece uno de los principios fundamentales de la protección de datos: el principio de minimización.
Los datos personales deben ser:
«adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados».
Esto significa que no debemos recoger datos personales simplemente porque puedan resultar útiles o porque «siempre se haya hecho así».
Hay que poder justificar su necesidad.
La propia Agencia Española de Protección de Datos recuerda que la protección de datos por defecto exige configurar los tratamientos para utilizar la mínima cantidad de datos personales, durante el tiempo necesario y con la mínima accesibilidad posible.
Identificar, comprobar la identidad y conservar una copia no son lo mismo
Aquí se encuentra una de las cuestiones que con mayor frecuencia genera confusión.
Podemos distinguir, por ejemplo, entre:
1. Solicitar determinados datos identificativos.
Nombre, apellidos y, cuando resulte necesario, DNI/NIF.
2. Comprobar la identidad de una persona.
En determinadas circunstancias puede ser necesario comprobar que quien realiza una gestión es realmente quien dice ser.
3. Obtener y conservar una copia completa del DNI.
Este último tratamiento es mucho más intrusivo.
Que resulte necesario conocer la identidad de una persona no significa automáticamente que resulte necesario conservar una imagen o fotocopia de su documento de identidad.
Un ejemplo muy frecuente: los concursos de pintura, fotografía y artes plásticas
Lo vemos habitualmente al revisar las bases de concursos y certámenes artísticos.
Para presentar una obra a un concurso de pintura o fotografía se solicita al participante, desde el primer momento, documentación como el DNI y, en ocasiones, una copia completa del documento.
Pero deberíamos preguntarnos:
¿Para valorar una pintura necesitamos realmente una copia del DNI de su autor?
Pensemos en un concurso desarrollado en dos fases.
En una primera fase, un jurado recibe decenas o cientos de obras y realiza una selección atendiendo fundamentalmente a criterios artísticos.
En ese momento pueden ser necesarios determinados datos para gestionar la participación, pero habrá que analizar qué información resulta realmente imprescindible.
Posteriormente, cuando existen obras seleccionadas, finalistas o premiadas, puede aparecer una necesidad adicional de verificar la identidad de determinadas personas.
Son momentos y finalidades diferentes.
Por tanto, una buena gestión de la privacidad debería preguntarse no solamente qué datos necesito, sino también en qué momento los necesito.
Pedir todos los datos «por si acaso» no es una buena práctica
El RGPD introduce además el concepto de protección de datos desde el diseño y por defecto.
El artículo 25 establece que el responsable debe aplicar medidas para garantizar que, por defecto, únicamente sean tratados los datos personales necesarios para cada finalidad.
Esto permite aplicar una regla práctica muy sencilla:
Si un dato no es necesario en este momento, no debería solicitarse simplemente porque quizá pueda necesitarse posteriormente.
Si llega ese momento, podrá solicitarse entonces, siempre que exista una finalidad y una base jurídica que lo justifiquen.
La AEPD ya ha advertido sobre las copias innecesarias del DNI
El criterio de la Agencia Española de Protección de Datos resulta especialmente ilustrativo.
La AEPD indica que, como regla general, tampoco es necesario aportar una copia del DNI para ejercer los derechos de protección de datos. Solo cuando existan dudas razonables sobre la identidad podrá solicitarse información adicional necesaria para confirmarla.
Asimismo, la Agencia ha considerado excesiva la obtención de imágenes completas del DNI en distintos contextos cuando existen alternativas menos intrusivas para alcanzar la misma finalidad.
Un ejemplo especialmente claro se encuentra en el ámbito de los alojamientos. La AEPD ha señalado que las obligaciones de registro de viajeros pueden exigir determinados datos del documento, pero ello no legitima por sí mismo la obtención de una copia completa del DNI.
La razón vuelve a ser la misma: minimización de datos.
¿Y si realmente necesito una copia?
No debemos caer tampoco en el extremo contrario.
La copia de un DNI no está prohibida con carácter general.
Puede haber situaciones en las que una norma sectorial exija expresamente obtenerla o en las que, atendiendo a las circunstancias concretas, exista una necesidad debidamente justificada.
La propia AEPD pone como ejemplo determinadas obligaciones derivadas de la normativa de prevención del blanqueo de capitales.
Por tanto, la pregunta correcta no es:
«¿Está prohibido pedir el DNI?»
La pregunta debería ser:
«¿Puedo justificar por qué necesito estos datos concretos y por qué necesito, además, conservar una copia completa del documento?»
En cualquier caso, determinar qué datos pueden solicitarse, con qué base jurídica y durante cuánto tiempo deben conservarse forma parte del cumplimiento del RGPD. En determinadas organizaciones, el Delegado de Protección de Datos (DPD) desempeña además un papel fundamental de asesoramiento y supervisión del cumplimiento de estas obligaciones.
Menos datos también significa menos riesgo
La minimización no es solamente una obligación jurídica.
También es una medida de seguridad.
Una organización que no conserva cientos de copias de documentos de identidad no tendrá que protegerlas frente a accesos indebidos, filtraciones o ciberataques.
Y si se produce una brecha de seguridad, las consecuencias potenciales serán menores.
La propia AEPD ha advertido del riesgo innecesario de suplantación de identidad asociado a la obtención y conservación de copias de documentación personal.
Por eso, proteger los datos comienza muchas veces antes de instalar sofisticadas medidas de ciberseguridad.
Comienza sencillamente no recogiendo aquello que no necesitamos.
Por tanto, al analizar la copia del DNI y la protección de datos, debemos aplicar siempre el principio de minimización de datos.
Antes de pedir un DNI, hagámonos cinco preguntas
Antes de incluir en un formulario la habitual casilla «Adjuntar copia del DNI», una organización debería preguntarse:
- ¿Cuál es la finalidad concreta para la que necesito identificar a esta persona?
- ¿Qué datos son estrictamente necesarios para conseguirla?
- ¿Necesito conocer determinados datos del DNI o realmente necesito una copia completa?
- ¿Existe una alternativa menos intrusiva para verificar la identidad?
- ¿Necesito esos datos ahora o puedo solicitarlos posteriormente si llegan a ser necesarios?
En muchas ocasiones, responder correctamente a estas cinco preguntas permitirá eliminar tratamientos de datos innecesarios.
Una pequeña pregunta que puede evitar un gran problema
Durante años hemos convertido la fotocopia del DNI en un trámite casi automático.
El RGPD nos obliga a cambiar esa forma de pensar.
No se trata de recopilar toda la información posible y decidir después qué hacemos con ella. Se trata de determinar primero qué necesitamos y recoger solamente esos datos.
La próxima vez que una organización vaya a solicitar una copia del DNI debería detenerse unos segundos y hacerse una pregunta:
¿Realmente necesito una copia de su DNI?
Si la respuesta no puede justificarse claramente, probablemente haya llegado el momento de revisar el procedimiento.
¿Está preparada tu empresa?
La pregunta no es solo «¿utilizamos inteligencia artificial?», sino:
¿Sabemos dónde la utilizamos, para qué, con qué datos y con qué nivel de riesgo?
AMPYF – Consultoría en Protección de Datos y servicio de Delegado de Protección de Datos puede ayudar a elaborar el inventario de IA, clasificar usos, evaluar proveedores, definir políticas internas y establecer una gobernanza adaptada a cada empresa.
No dudes en contactar con AMPYF para estudiar tu caso.
AMPYF, S.L.
Consultoría en Protección de Datos y Delegado de Protección de Datos (DPD)
Comentarios recientes