El DNI oculto en la firma electrónica: qué información viaja realmente dentro de un PDF

Firma electrónica y DNI oculto: qué debe revisar la empresa

Una firma electrónica puede mostrar únicamente el nombre y el cargo del firmante y, aun así, permitir que el destinatario consulte su DNI desde las propiedades del certificado. Una reciente resolución de la AEPD recuerda a las empresas que la minimización de datos debe comprobarse técnicamente: ocultar información en la pantalla no impide que continúe comunicándose.

La firma visible no muestra todo el contenido del documento

Las empresas utilizan certificados electrónicos para firmar contratos, facturas, informes, comunicaciones laborales y documentación dirigida a clientes o administraciones. Normalmente, la revisión se limita al bloque gráfico que aparece en el PDF: nombre, fecha, cargo y una referencia a la validez de la firma.

Sin embargo, ese bloque solo representa visualmente la firma. El archivo puede incorporar otros datos en el certificado, sus propiedades, los metadatos o el sistema utilizado para validarlo.

La resolución PS-00106-2025 de la AEPD, divulgada recientemente, analiza el sistema de firma de la Junta de Comunidades de Castilla-La Mancha. Los empleados podían decidir si el DNI aparecía o no en la representación gráfica de su firma, pero el número permanecía almacenado en el certificado y podía consultarse mediante lectores habituales de PDF.

Por tanto, el dato no era visible a primera vista, pero sí accesible para quienes recibían el documento.

El principio de minimización también se aplica a los datos ocultos

El artículo 5.1.c) del RGPD exige que los datos personales sean adecuados, pertinentes y limitados a lo necesario para la finalidad del tratamiento.

En una firma profesional puede ser necesario acreditar quién ha firmado, que actúa en nombre de una empresa o que ocupa un determinado cargo. Esto no significa que siempre resulte necesario comunicar también su DNI completo.

La AEPD consideró que la accesibilidad conjunta del nombre, apellidos y DNI de los empleados públicos resultaba excesiva para la finalidad perseguida. Además de su capacidad identificativa, esta combinación puede incrementar riesgos como la suplantación de identidad.

La cuestión jurídica no depende de que el destinatario llegue efectivamente a abrir las propiedades del certificado. La comunicación se produce desde el momento en que el dato se pone a su disposición. Tampoco es necesario que el documento se publique en internet: el principio de minimización se aplica igualmente cuando se envía a un único cliente, proveedor o administrado.

No estamos necesariamente ante una brecha de seguridad. El destinatario puede haber recibido legítimamente el documento y, sin embargo, acceder a más datos del firmante de los necesarios. El problema analizado por la AEPD es de minimización y protección de datos desde el diseño.

Dejar una casilla al trabajador no resuelve el problema

La herramienta examinada permitía a cada empleado elegir qué información quería mostrar en la apariencia de la firma. Esta posibilidad parecía respetuosa con la privacidad, pero no evitaba que el DNI continuase dentro del certificado.

La AEPD concluye que la protección no debe depender de que cada trabajador conozca la estructura técnica del archivo y configure correctamente su firma. El Responsable del tratamiento debe establecer una configuración centralizada y protectora por defecto.

Esta exigencia se deriva del artículo 25 del RGPD. La protección de datos desde el diseño y por defecto obliga a incorporar las garantías al seleccionar, configurar y mantener el sistema. No basta con entregar instrucciones a los usuarios cuando la propia tecnología continúa exponiendo información innecesaria.

La AEPD declaró infringidos los artículos 5.1.c) y 25 del RGPD y ordenó eliminar el DNI de las propiedades accesibles al verificar los documentos, limitar el acceso a lo imprescindible y acreditar las alternativas tecnológicas adoptadas con el proveedor.

Al tratarse de una Administración pública sometida al artículo 77 de la LOPDGDD, la resolución declara las infracciones y establece medidas correctivas sin imponer una multa. Las obligaciones de minimización y protección desde el diseño, sin embargo, también son aplicables a las empresas privadas.

La resolución no prohíbe universalmente incluir el DNI

El caso debe interpretarse con precisión. La resolución se refiere a certificados de empleados públicos, con su normativa y finalidades específicas. No establece que la presencia del DNI en cualquier certificado electrónico sea automáticamente ilícita.

La Ley 6/2020 sobre servicios electrónicos de confianza regula la identificación de los titulares de certificados cualificados y contempla, según el tipo de certificado, el uso del DNI u otros identificadores, así como la posibilidad de emplear un seudónimo que conste inequívocamente como tal.

La propia AEPD ha diferenciado entre dos operaciones:

La identificación del solicitante que debe efectuar el prestador de servicios de confianza para emitir el certificado.
Los datos que posteriormente resultan accesibles para las personas que reciben los documentos firmados.

Que el proveedor deba comprobar la identidad del titular no implica necesariamente que toda la información utilizada en esa comprobación tenga que comunicarse a cada destinatario.

Por ello, cada organización debe analizar el tipo de certificado, la normativa aplicable, la finalidad de la firma y las alternativas disponibles. La solución puede consistir, según el caso, en utilizar certificados profesionales, identificadores corporativos, certificados con seudónimo o sellos electrónicos para determinados procesos automatizados. No existe una respuesta técnica única válida para todas las empresas.

Una firma válida también puede tratar datos excesivos

La resolución deja otra enseñanza importante: la validez jurídica y técnica de una firma no garantiza por sí sola el cumplimiento del RGPD.

Un documento puede conservar su autenticidad, integridad y capacidad probatoria y, al mismo tiempo, comunicar información innecesaria del firmante. Son controles diferentes y ambos deben verificarse.

La revisión tampoco debería limitarse al DNI. Los archivos corporativos pueden contener:

Nombre personal en lugar de una identificación profesional.
Dirección de correo individual.
Número de empleado o código interno.
Nombre del equipo o ruta de almacenamiento.
Autor, empresa y usuario que creó el documento.
Comentarios, versiones anteriores o cambios controlados.
Datos introducidos en campos ocultos o anexos incrustados.
Información del representante y de la entidad representada.

No todos estos datos deben eliminarse siempre. Algunos pueden resultar necesarios para demostrar la autoría, validar la firma o atender obligaciones legales. La empresa debe justificar su necesidad y evitar que las configuraciones históricas o predeterminadas del proveedor decidan automáticamente qué se comunica.

Revisar los sistemas que ya están funcionando

La protección de datos desde el diseño no afecta únicamente a las herramientas nuevas. Las Directrices 4/2019 del Comité Europeo de Protección de Datos recuerdan que también debe aplicarse a los sistemas existentes y mantenerse durante todo el tratamiento.

Una configuración pudo ser adecuada cuando se implantó y dejar de serlo posteriormente por cambios normativos, nuevas funcionalidades o alternativas tecnológicas menos intrusivas. La renovación de certificados, una actualización del portafirmas o un cambio de proveedor son momentos especialmente indicados para repetir las pruebas.

Esta revisión continuada forma parte de la obligación legal de responsabilidad proactiva. Realizar una auditoría anual o probar varios lectores de PDF son buenas prácticas: el RGPD no establece una frecuencia ni una metodología técnica única, pero la empresa debe poder demostrar que las medidas adoptadas siguen siendo eficaces.

Qué debe hacer la empresa

Abrir un documento firmado como lo haría un destinatario.

Revisar la representación visible, las propiedades de la firma, los campos del certificado, los metadatos y el proceso de validación.

Definir qué datos necesita realmente cada firma.

Diferenciar la información necesaria para identificar al firmante de la que únicamente conserva el sistema por configuración histórica.

Establecer una configuración corporativa por defecto.

La protección no debe depender de que cada trabajador desmarque manualmente el DNI u otros campos en cada documento.

Solicitar alternativas al proveedor.

Valorar certificados profesionales, seudónimos, identificadores corporativos o sellos electrónicos cuando resulten jurídica y técnicamente adecuados.

Documentar la decisión.

Conservar las pruebas realizadas, la justificación de cada dato, las instrucciones transmitidas al proveedor y las medidas implantadas. Cuando exista DPD, debe participar con antelación suficiente.

Repetir las comprobaciones tras cambios relevantes.

Revisar el resultado al renovar certificados, actualizar el software, modificar plantillas o incorporar un nuevo servicio de firma.

Business Adapter a tu servicio

En Business Adapter® ayudamos a empresas y profesionales a cumplir con la Normativa de Protección de Datos (RGPD, LOPDGDD y LSSI), implantando medidas reales adaptadas a su actividad.

Trabajamos en:

Si tienes dudas contacta a tu consultor de Business Adapter® para solicitarle asesoramiento personalizado.

Si no eres cliente y necesitas ayuda para cumplir con lo publicado, contáctanos en el email: info@businessadapter.es, también puedes llamar al 96 131 88 04, o deja tu mensaje en nuestro formulario:

Consúltanos, estaremos encantados de ayudarte