Si pides copia de DNI, pueden sancionarte!

Solicitar una copia o foto de un DNI o documento equivalente, incluso escanearlo, puede parecer una práctica  razonable y admitida comúnmente; pero en materia de protección de datos, la realidad es otra.

En principio, solicitar una copia del DNI se considera por parte de la AEPD como un tratamiento excesivo, no pertinente e innecesario, en muchas ocasiones, lo que vulnera el principio de minimización de datos, regulado en el artículo 5.1.c) del RGPD.

De esta manera, la información del  DNI que sea innecesaria para confirmar la identidad del interesado, como por ejemplo, el número del documento, la fotografía, o los datos que se pueden leer por máquina, se deberá considerar como un tratamiento excesivo, y sólo podrá aceptarse como válido dicho tratamiento cuando se analicen los casos de manera individualizada, atendiendo el contexto y características propias, siendo necesario en todo momento que los datos sean adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados y cuando la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios (Informe 2023-0048 AEPD).

Antes de pedir o hacer copia de un DNI

1. Solicita solo los datos imprescindibles para la finalidad que persigues.
2. Debes poder demostrar que la solicitud de datos está justificada (ej. cumplir una ley).
3. Evalúa si solicitar el dato personal es lo menos lesivo posible para la persona titular, habiendo buscado otras opciones.
4. Si es necesario, de acuerdo con la naturaleza del dato, deberás realizar una Evaluación de Impacto en donde se supere el juicio de idoneidad.

Ejemplo de sanciones

Sanción a una empresa de eventos

PS/00570/2023: Sanción de 20.000 euros por solicitar que se acompañe a un formulario de autorización de menores a un concierto la copia del DNI de los padres o tutores legales. La AEPD considera que la normativa aplicable solo habilita a solicitar la exhibición del DNI por lo que, la copia del DNI solo puede solicitarse si existe una necesidad legal que lo avale. En esta resolución se entendió que la recogida de la fotocopia del DNI del cliente con toda la información contenida en ese documento es un tratamiento de datos personales contrario al principio de “minimización de datos”, regulado en el artículo 5.1.c) del RGPD.

Sanción a un Apartamento turístico

PS/00499/2022: Sanción de 25.000€ a una empresa por solicitar copia por ambos lados de los DNI de los ocupantes del inmueble, para realizar el check-in. La AEPD en la resolución destacaba que eran datos no eran necesarios para prestar el servicio de alquiler de la estancia vacacional, ni para registrar a las personas que se alojan en este.

Sanción por entrega de una mercancía

PS/00413/2021: Sanción de 100.000 euros por solicitar fotografía del DNI para entregar un paquete.

Sanción al BBVA

PS/00170/2022: Sanción de 70.000 euros por solicitar copia del DNI para poder tramitar una consulta en la entidad bancaria, para poder obtener datos de contacto de una oficina del banco.

Sanción a una Clínica dental

PS/00253/2023: Sanción de 30.000 euros a una clínica dental por solicitar una copia del DNI a un cliente para realizar una devolución de dinero por un tratamiento no recibido. En la resolución se manifestó lo siguiente:

Conclusiones

En todas las sanciones mostradas, la AEPD entiende que solicitar una copia del DNI se considera un tratamiento excesivo, no pertinente y no necesario, lo que vulnera el principio de minimización de datos, regulado en el artículo 5.1.c) del RGPD.

Obviamente, podría existir casos en los una Ley exigiera solicitar copia del DNI y en ese caso la solicitud estaría justificada y lícita lo que impediría la sanción de este hecho.

Business Adapter® a tu servicio 

Si tienes una empresa o realizas servicios de atención al cliente o cara al público, y tienes dudas de qué datos personales puedes solicitar de acuerdo con tu actividad, contáctanos en el email: info@businessadapter.es,  también puedes llamar al 96 131 88 04, o deja tu mensaje en nuestro formulario