El Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) en el Informe núm. 0048/2023, analiza las circunstancias que justifican pedir el DNI por parte de las empresas, concretamente sobre la costumbre habitual, en determinadas actuaciones, de pedir una copia del DNI de la persona.
Documento que, como es obvio, contiene datos personales especialmente sensibles como es la fotografía, el lugar de nacimiento y el nombre de los padres de la persona, datos que podrían ser utilizados por la delincuencia para determinadas actividades ilícitas e incluso para suplantar la identidad de la persona.
De hecho, la Policía ha observado como mediante ese método han crecido los delitos de fraude mediante la suplantación de identidad que los delincuentes utilizan para abrir cuentas corrientes a nombre de la persona afectada para blanquear dinero, pedir créditos bancarios, compras de productos de elevado precio, entre otras figuras delictivas.
Criterios para pedir el DNI
El Informe comentado no establece los supuestos en los que estaría justificado el tratamiento del DNI sino que establece una serie de criterios para que cada entidad, en virtud del principio de responsabilidad proactiva que establece el RGPD, sea la que debe valorar si es procedente exigir el número del DNI o una copia del propio DNI, y establecer, en su caso, las medidas de protección que garanticen la seguridad de tales datos.
No es correcto pedir el número del DNI o una copia de este por defecto. La propia AEPD establece que “salvo que la norma lo prevea expresamente y no exista otra alternativa menos invasiva para identificar a una persona, el uso del DNI puede resultar excesivo e innecesario para cumplir la finalidad de identificación”.
Por otra parte, el Informe recuerda que hay situaciones en las que por disposición expresa de la Ley es necesario aportar una copia del DNI, como es el caso de las actividades relacionadas con la prevención del blanqueo de capitales y de prevención del terrorismo, en las que necesario requerir copia del DNI.
El informe también hace referencia a la publicación de resoluciones o actos administrativos por parte de las Administraciones Públicas en los que se debe identificar a los afectados (oposiciones, edictos, etc.).
En estos casos, el número del DNI no puede aparecer completo, sino que se reflejarán aleatoriamente cuatro cifras numéricas, tal como exige la Ley Orgánica 3/2018, de Protección de Datos (Disposición Adicional Séptima).
Sector hotelero
En relación con la costumbre arraigada en el sector hotelero de pedir una copia del DNI en base al hecho de que la normativa les exige facilitar a la Policía algunos de los datos que figuran en el DNI, lo cierto es que la normativa no exige facilitar todos los datos del DNI, ni menos, en los casos de apartamentos de alquiler exigir todos los datos de todas las personas que se alojan en el mismo.
De hecho, la AEPD sancionó a una empresa que exigió una copia del DNI de todas las personas que estarían alejadas en el inmueble.
En efecto, el Real Decreto 933/2021, regula la obligación que tienen los hoteles y los establecimientos de alquiler de vehículos de comunicar los datos de los viajeros y de los conductores que alquilen vehículos. Pero entre esos datos no se incluye la fotografía, ni el lugar de nacimiento ni el nombre de los padres.
Tampoco está justificado, aunque lo permitiera la normativa anterior de protección de datos, solicitar a la persona una copia del DNI, como método de identificación de los interesados cuando éstos ejerzan los derechos garantizados por la normativa de protección de datos (acceso, rectificación, supresión, etc.).
Sólo deberá ser requerido cuando no exista otro método identificativo menos intrusivo.
Repartidores a domicilio
Un ejemplo más del uso excesivo del DNI y que motivó importantes sanciones de la AERPD es la costumbre de los repartidores a domicilio de solicitar copias del DNI o fotografías del DNI para entregar los bienes adquiridos.
No está justificado y la AEPD así lo ha establecido y, por tanto, solamente está justificado pedir los datos necesarios para la operación.
Conclusiones
Las empresas, por tanto, deben recurrir a procedimientos menos invasivos para los derechos de las personas cuando sea necesario identificarlas y recurrir a pedir el DNI o una copia del mismo cuando sea estrictamente necesario y no haya otra forma menos lesiva de realizar la identificación.
Se pueden utilizar otros métodos menos perjudiciales para la persona como: solicitar identificadores únicos de los que disponga la empresa y que no sean información tan sensible, como un número de teléfono, una dirección postal o incluso el envío de un código numérico o alfanumérico que debe entregar el usuario a la empresa, repartidor o funcionario que precise identificar a la persona, entre otros.
En definitiva, la para AEPD: “la utilización de una copia de un documento de identidad como parte del proceso de autenticación crea un riesgo para la seguridad de los datos personales y puede dar lugar a un tratamiento no autorizado o ilícito, por lo que debe considerarse inadecuada, salvo que sea estrictamente necesario, adecuado y conforme con el Derecho nacional.
