Hoteles que piden el DNI o pasaporte para hacer el check in, repartidores que quieren hacerle una foto al documento de identidad antes de entregar un paquete a su destinatario o empresas de telefonía que lo exigen para realizar un duplicado de la SIM solicitado por el cliente. ¿Es adecuado (y, sobre todo, proporcionado) exigir el DNI en estos y otros muchos supuestos?
La AEPD (Agencia Española de Protección de Datos) nos explica en uno de sus recientes informes por qué no siempre las empresas tienen derecho a hacerlo y en qué casos sí estaría legalmente justificado.
La postura de la AEPD sobre la solicitud del DNI a clientes y usuarios
No es la primera vez que la AEPD se pronuncia sobre este tema, pero hasta ahora lo había hecho siempre en relación con casos concretos en los que consideraba innecesaria la solicitud del DNI por parte de una empresa en particular. Ahora, en su Informe 0048/2023, acota y define de manera general cuándo y por qué las entidades están legitimadas para llevar a cabo esta práctica tan erróneamente extendida en la actualidad.
Debemos tener en cuenta que este uso abusivo de las fotocopias y capturas del DNI puede ser el origen de la comisión de varios delitos, como fraude o suplantación de identidad, con el consiguiente perjuicio económico que suponen para los damnificados.
Las empresas que incumplan se enfrentan a cuantiosas multas
Las compañías de todo tipo y sector deben andarse con ojo y comprobar si de verdad están legitimadas para pedir el DNI antes de hacerlo. No en vano, la AEPD ya ha impuesto varias sanciones en este sentido. Entre ellas, podemos destacar las siguientes:
- Multa de 2.000 euros a un apartahotel de Torrevieja (Alicante).
- Multa de 30.000 euros a un hotel de Palma de Mallorca.
- Multa de 30.000 euros a una clínica dental de Barcelona.
- Multa de 70.000 euros a una entidad bancaria.
- Multa de 100.000 euros a Vodafone.
Las pautas a seguir
Lo primero que las empresas deben tener presente es que, al pedir el DNI a sus clientes, se convierten en responsables de su tratamiento y de sus posibles usos indebidos. Es por ello que conviene estar muy seguro de la necesidad real de tomar esta medida. En el mismo sentido, son las organizaciones que exigen el DNI a sus clientes las que tienen la obligación de contar con adecuados sistemas de seguridad, algo que no siempre cumplen.
Entra también en juego en este punto el concepto de minimización de daños: los métodos que se utilicen para comprobar la identidad de los usuarios deben ser pertinentes, adecuados y proporcionados. Es decir, si existen otras formas menos gravosas que cumplan este mismo fin, se deberá optar preferiblemente por ellas.
No olvidemos que, aunque la información contenida en el DNI no está clasificada dentro de una categoría especial, si se trata de datos especialmente sensibles, como el domicilio o los nombres y apellidos de los progenitores.
¿Se aplica esto en todos los casos?
Como es costumbre en el ámbito de la protección de datos personales, hay que analizar cada caso concreto para saber cuáles son las exigencias en cada situación. En su informe, la AEPD no es específica ni facilita medidas concretas para el tratamiento de los DNI, pero sí se hace referencia al RGPD (Reglamento General de Protección de Datos) como norma de la que nutrirse para valorar la procedencia de solicitar este documento a los clientes, y la forma correcta de hacerlo.
Lo que sí podemos extraer del informe redactado por la agencia es que esta práctica no puede instaurarse por sistema, pues en muchos casos ni es necesario ni se cumple con el principio de proporcionalidad (bastaría con facilitar, simplemente, el número del DNI).
Ahora bien, esto no quiere decir que no haya supuestos en los que las empresas sí pueden (e incluso deben) pedir el DNI a sus clientes. Hablamos, por ejemplo, de las actividades orientadas a prevenir el blanqueo de capitales o de la necesidad de remitir los datos de los viajeros a la policía.
