Imagen generada con IA.
«¿Tengo que darles una copia de mi DNI?» Es una de las preguntas que más veces plantean los ciudadanos —y también muchas empresas dudan de cómo responder cuando se la formulan a ellas—. Dos resoluciones y respuestas recientes de la Agencia Española de Protección de Datos (AEPD), una sobre una diputación provincial y otra sobre una operadora de telefonía, dibujan un mismo mensaje de fondo: la fotocopia del DNI no es un trámite automático, sino una medida que solo se justifica cuando no existe otra forma razonable de verificar la identidad. Repasamos ambos casos y qué deben aprender de ellos administraciones y empresas.
Caso 1: la Diputación de Pontevedra y la copia de DNI para un escrito de alegaciones
El primer caso llegó a la AEPD a raíz de la reclamación de un ciudadano que acudió a una oficina de asistencia en materia de registro de la Diputación de Pontevedra para presentar un escrito de alegaciones contra una multa. Según su denuncia, el funcionario que le atendió le exigió escanear su DNI o entregar una fotocopia como condición para admitir el escrito.
La Diputación reconoció ante la Agencia que ese era, efectivamente, el protocolo habitual en sus oficinas: exhibir el DNI original o aportar una copia que se digitalizaba y se incorporaba al expediente para «verificar la identidad» del solicitante. La AEPD, sin embargo, consideró que esa práctica incumplía el principio de minimización de datos del artículo 5.1.c) del RGPD, porque existía una alternativa mucho menos invasiva: la simple comprobación visual del documento por parte del funcionario, sin necesidad de escanearlo ni conservar copia alguna.
Lo más revelador es que la propia Diputación terminó dándole la razón a la Agencia: tras la reclamación, modificó su protocolo interno, eliminó la exigencia de aportar copia del DNI y procedió a suprimir la que ya había recogido del reclamante. La AEPD valoró positivamente esas medidas correctoras, pero fue clara en un punto: adoptarlas después no borra la infracción ya cometida. El expediente se cerró con una reprensión formal a la administración.
Caso 2: contratar telefonía sin necesidad de aportar fotocopia
El segundo caso tiene un origen distinto: no una sanción, sino una consulta directa. Un especialista en protección de datos trasladó a la AEPD una pregunta muy común entre consumidores: al contratar un servicio con una operadora telefónica, ¿es obligatorio enviar una foto del DNI?
La respuesta de la Agencia fue clara en cuanto al principio general: «generalmente no es necesario proporcionar una copia del DNI para realizar una contratación«, señaló, recordando que existen otros mecanismos para verificar la identidad del contratante, como la firma electrónica. Ahora bien, la AEPD matizó de inmediato que la decisión final no es suya, sino de cada empresa: es el responsable del tratamiento quien, en función de su responsabilidad proactiva, debe determinar cuál es el medio más adecuado para identificar de forma fehaciente al cliente, salvo que una normativa sectorial —como la de prevención de blanqueo de capitales— exija expresamente esa copia.
La Agencia añadió una recomendación práctica que muchas empresas pasan por alto: cuando sí resulte necesario aportar el documento, se pueden ocultar o tapar los datos que no sean imprescindibles para esa contratación concreta (por ejemplo, dejando visibles solo nombre, apellidos y número de DNI, y ocultando el resto).
El principio de minimización aplicado a un documento tan común como el DNI
Ambos casos son, en el fondo, dos caras de la misma moneda: el principio de minimización de datos. El RGPD no prohíbe pedir un DNI, pero exige que cualquier dato que se recoja sea «adecuado, pertinente y limitado a lo necesario» para la finalidad perseguida. Y aquí está la clave que tanto la Diputación de Pontevedra como muchas empresas de telefonía —y de otros sectores— suelen pasar por alto: identificar a alguien no siempre requiere quedarse con una copia de su documento.
Existe una diferencia jurídica relevante entre exhibir un documento (mostrarlo para que alguien compruebe visualmente los datos, sin que quede constancia ni copia) y aportar una copia de ese documento (que se escanea, se fotocopia o se envía por email, y queda almacenada en un sistema). La primera opción, salvo excepciones normativas muy concretas, suele ser suficiente para cumplir la finalidad de verificación de identidad. La segunda implica un tratamiento de datos personales mucho más intenso —y, por tanto, sujeto a un escrutinio mucho más exigente sobre su necesidad real—.
¿Quién decide en tu empresa si se pide o no? El papel del DPD
Un matiz importante de la respuesta de la AEPD sobre telefonía es que, aunque la Agencia da una orientación general, la decisión concreta corresponde a cada responsable del tratamiento. Y ahí es donde entra en juego el delegado de protección de datos (DPD): es la figura llamada a evaluar, caso por caso, si existe una alternativa menos intrusiva que la copia del DNI para el trámite concreto que se está gestionando, y a documentar esa decisión.
En la práctica, esto significa que ni los empleados de atención al público ni los protocolos comerciales deberían fijar por defecto «pedir copia del DNI» como primer paso de cualquier trámite. Esa decisión debería estar respaldada por un análisis previo —normalmente del DPD o de quien haga sus veces— que determine si existe una base legal específica que lo exija (como la normativa antiblanqueo) o si, por el contrario, basta con una comprobación visual, una firma electrónica u otro mecanismo de verificación. En Dataibérica ayudamos a empresas y administraciones a revisar precisamente estos protocolos de identificación, evitando tanto el riesgo de sanción por exceso de datos como el de fraude por defecto de verificación. Si tu organización todavía pide fotocopia de DNI de forma sistemática, contacta con nuestro equipo para revisar si ese protocolo se ajusta al RGPD.
Guía rápida: exhibición visual vs. copia
- Exhibición visual del DNI (sin copia ni registro): suele bastar para trámites presenciales de identificación simple, como presentar un escrito o recoger una notificación.
- Copia del DNI con datos ocultos: opción intermedia cuando la normativa exige constancia documental pero no todos los datos del documento son necesarios.
- Copia íntegra del DNI: reservada a los supuestos en los que una norma sectorial específica la exige de forma expresa (prevención de blanqueo de capitales, determinados contratos financieros, etc.).
- Firma electrónica u otros medios digitales: alternativa válida y cada vez más habitual para verificar la identidad del contratante sin necesidad de manejar una imagen del documento.
La lección que dejan ambos casos es sencilla de enunciar, aunque no siempre fácil de aplicar en el día a día de una oficina o un departamento comercial: pedir la fotocopia del DNI no puede ser el reflejo automático ante cualquier trámite. Antes de solicitarla, conviene preguntarse si existe una alternativa menos invasiva —y, si la respuesta es sí, esa debería ser siempre la primera opción.
Fuentes principales: Economist & Jurist, «La Diputación de Pontevedra es reprendida por la Agencia de Protección de Datos por exigir y conservar una copia del DNI para reclamar una multa» y Confilegal, «La AEPD deja en el tejado de los delegados de protección de datos la entrega de fotocopia del DNI».
