Solicitud, acceso y copia del DNI

¿Cuándo hay obligación de mostrar el DNI?

Solicitar a una persona física que muestre su DNI para identificarse, supone un tratamiento de datos personales, que como tal, solo puede llevarse a cabo cuando se cumplan todos los principios del art. 5 RGPD, y esencialmente cuando exista una base legal que lo ampare (arts. 5.1.a RGPD en relación con el art. 6.1 RGPD) y la solicitud sea proporcionada, adecuada y necesaria para los fines que se pretenden (art. 5.1.c RGPD).

Los casos más habituales en los que sí se puede solicitar a una persona que muestre su DNI para identificarse son:

1. Siempre y cuando se justifiquen los motivos, cuando nos lo requiera la Autoridad o sus Agentes (arts. 9. 2 y 16 Ley Orgánica 4/2015, de protección de la seguridad ciudadana):

• Agentes de los Cuerpos y Fuerzas de Seguridad del Estado.
• Autoridades gubernamentales, ya sean funcionarios de instituciones estatales, autonómicas o municipales.

2. En procesos administrativos o judiciales que requieran acreditar la identidad (art. 9.1 Ley 39/2015 del Procedimiento Administrativo Común de las Administraciones Públicas)

3. En todos los casos contemplados en la Ley Orgánica 5/1985 del Régimen Electoral General, entre otros, cuando lo solicite cualquier persona que haya sido elegida para formar parte de una mesa electoral a todo aquel que acuda a votar.

4. Cuando nos lo requiera un/a vigilante de seguridad a la hora de regular la entrada a unas instalaciones, incluso pueden pedir ayuda a los agentes policiales si alguien se niega a mostrar su DNI (art. 77 RD 2364/1994 por el que se aprueba el Reglamento de Seguridad Privada).

5. Cuando lo requieran entidades financieras, notarios, registradores y profesionales como sujetos obligados de la Ley 10/2010, de prevención de blanqueo de capitales y financiación del terrorismo.

6. Cuando lo requieran en establecimientos o servicios que tengan que ver con actividades relevantes para la seguridad ciudadana, como el hospedaje, el acceso comercial a servicios telefónicos o telemáticos de uso público mediante establecimientos abiertos al público, la compraventa de joyas y metales, objetos u obras de arte, la cerrajería de seguridad o el comercio al por mayor de chatarra o productos de desecho, o de venta de productos químicos peligrosos a particulares ( art. 25.1 Ley 4/2015 de protección de la seguridad ciudadana).

7. Cuando lo requieran en locales de juegos, para evitar el acceso a estos establecimientos de los “autoprohibidos” (personas inscritas en el Registro de Acceso Prohibido, que voluntariamente hayan solicitado la prohibición de acceso), menores de edad y personas incapacitadas judicialmente (normativa autonómica).

8. Para el acceso a servicios o contratos que requieran identificación, solo si es imprescindible para prestar el servicio (por ejemplo, contratar una línea telefónica, contratar suministro eléctrico, etc. ).

9. Otros casos específicos previstos en leyes sectoriales:

• Identificar pacientes en centros sanitarios.
• Menores y sus progenitores o tutores en centros educativos en determinada situaciones.
• Control de acceso de instalaciones críticas.

¿Puede una entidad hacer y conservar copias del DNI de interesados?

La respuesta, como regla general, es NO, ya que crea un riesgo para la seguridad de los datos personales que contiene el mismo y puede dar lugar a un tratamiento no autorizado o ilícito, por lo que no debe solicitarse, salvo que alguna ley lo exigiese expresamente, por ejemplo, en determinadas normativas sectoriales como la normativa de prevención de blanqueo de capitales, sí se exige en determinadas circunstancias la obtención de una copia del DNI.

Tener acceso al DNI de cualquier persona y conservar una copia del mismo, supone:

• Acceder a datos personales no adecuados ni pertinentes a los fines para los que se recaban, es decir datos personales prescindibles, innecesarios y por tanto excesivos (imagen, fecha de nacimiento, fecha de validez, nombre y primer apellido de los padres), por lo que se estaría vulnerando uno de los principios esenciales del RGPD, esto es el de minimización (art. 5.1.c RGPD).
• Un riesgo para el titular del DNI, porque podría utilizarse de forma fraudulenta.

Es decir salvo que una norma lo prevea expresamente y no existan otros elementos que sirvan para la identificación de la persona en cuestión, el uso del DNI puede resultar excesivo e innecesario para cumplir la finalidad de identificación .

La identidad de la persona puede verificarse de otras maneras que no requieren la copia del DNI. De cualquier forma será el responsable del tratamiento el que, en cumplimiento de la normativa de protección de datos y atendiendo a su responsabilidad proactiva, determine cuál es el medio más adecuado para identificar de manera fehaciente a la persona en cuestión, en el marco de las medidas implementadas en su organización.

Alternativas para identificar a una persona sin necesidad de solicitar copia:

• Firma electrónica.
• La exhibición del DNI en los casos presenciales
• Enlaces de confirmación.
• Preguntas de seguridad, solicitando datos de identificación y cotejarlos con los que obren en los archivos, bases de datos u otros fondos documentales de la entidad.
• Códigos de confirmación.
• Etc.

En el caso de que se determine la imposibilidad de identificar de otro modo, al solicitar la copia del DNI se debe informar al interesado que información de la que incluye el DNI no es necesaria y la posibilidad de ocultar esas partes y si el interesado no lo ocultara, deberá hacerlo el Responsable.

Administraciones públicas

En lo referente a solicitar una copia del DNI, en el caso de las Administraciones Públicas, el Real Decreto 522/2006 por el que se suprime la aportación de fotocopias de documentos de identidad en los procedimientos administrativos de la Administración General del Estado y de sus organismos públicos vinculados o dependientes, establece en el apartado 1 de su art. único que en los procedimientos cuya tramitación y resolución corresponda a la Administración General del Estado o sus organismos públicos vinculados o dependientes, no se exigirá a efectos de comprobación de los datos de identificación personal, a quien tenga la condición de interesado, la aportación de fotocopias del DNI.

Qué criterios sigue la AEPD

La AEPD también se ha pronunciado en distintas resoluciones de procedimientos sancionadores en el sentido que se deben emplear fórmulas menos intrusivas para verificar la identidad de una persona, que la de solicitar una copia del DNI, que vulneraria como indicábamos anteriormente el principio de minimización del art. 5.1.c) RGPD. Por ejemplo, en el ejercicio de derechos que el RGPD confiere al interesado entre otras:

• Si la dirección de correo electrónico de la persona solicitante consta ya en los sistemas del responsable y la solicitud se lleva a cabo desde la misma, sería suficiente para verificar su identidad.
• Si es el caso enviar la solicitud a través de una cuenta de usuario junto con un factor de autenticación adicional remitido por otro canal diferente.

Sanciones

• PS/00413/2021, sanción por solicitar fotografía del DNI para entregar un paquete: 100.000€
• PS/00499/2022, sanción por solicitar fotografía del DNI, para un check-in: 25.000€
• PS00170/2022, sanción por solicitar copia del DNI para poder tramitar una consulta: 70.000€
• PS00003/2021, sanción por solicitar copia del DNI para una solicitud de ejercicio de derechos: 300.000€
• PS/00570/2023, sanción por solicitar copia del DNI de madres, padres o tutores de los menores que acudan a conciertos organizados por el responsable: 3.000€
• Etc.