Informe 0048/2023 de la AEPD: Uso de los datos y realización de copias del DNI
27/09/2023
Con motivo de una consulta presentada ante la Agencia Española de Protección de Datos (AEPD), la autoridad de control ha tenido oportunidad de analizar varias cuestiones sobre la adecuación al RGPD y LOPDGDD de determinados tratamientos de datos personales en la contratación y entrega de productos de operadores de telecomunicaciones y de entidades financieras a través de entidades de mensajería y/o paquetería y la consideración que han de tener estas entidades en relación con el tratamiento de datos que se deriva de la prestación de dichos servicios, que ha plasmado en su Informe 0048/2023.
En concreto, en la consulta remitida a la AEPD se planteaba en qué situaciones es pertinente o necesario realizar una copia del DNI, a fin de evidenciar el cumplimiento del deber de diligencia en la identificación de la persona que realiza una solicitud o a la que se hace entrega de un producto.
El Informe se centra en cuestiones de carácter general extraídas de la consulta planteada y no a la adecuación de medidas concretas para tratamientos específicos, ya que, a juicio de la AEPD, sólo pueden ser determinadas por el responsable del tratamiento, en cumplimiento del principio de responsabilidad proactiva. Ya que, de otro modo, según expone: “lejos de contribuir a la seguridad jurídica, tendría el efecto contrario, pues se podría interpretar como regla general cuestiones que parten y se basan en supuestos de hecho concretos con un marcado componente casuístico y con evidente interés de parte”.
Como consecuencia de lo anterior, tras referenciar diversos informes y resoluciones en los que se analiza la proporcionalidad del tratamiento de los datos contenidos en el DNI, el Informe concluye que no se puede establecer una regla general y, por tanto: “la información del DNI que no sea necesaria para confirmar la identidad del interesado, en el contexto concreto, tal y como por ejemplo, el número del documento, la fotografía, o los datos que se pueden leer por máquina, nos lleva a concluir que la solicitud del DNI con la toma de una copia del mismo sería, en principio, un tratamiento excesivo, y que no puede instaurarse por sistema, sino que habrá que analizar, caso por caso, multitud de aspectos, que van desde la base jurídica que legitima dicho tratamiento, sobre todo si está previsto en la ley, hasta el riesgo de dicho tratamiento teniendo presente el principio de minimización y la proporcionalidad”.
En aquellos casos en que existe normativa específica, como la Ley de prevención del blanqueo de capitales y de la financiación del terrorismo, sí sería lícita la solicitud del DNI, ya que así lo dispone la norma (aunque no aclara si se puede hacer copia del mismo). Adicionalmente y, en cuanto a las operaciones no presenciales, la AEPD indica que deberá tenerse en cuenta el análisis de riesgos asociados a este tipo de operaciones, tanto desde el punto de vista financiero como desde el punto de vista del riesgo para los derechos y libertades del interesado, a la hora de establecer los métodos apropiados de identificación.
Adicionalmente, el informe analiza el posible rol de las empresas de transporte y mensajería, como responsables o encargados del tratamiento. Aunque, de nuevo, considera que no es factible dar una respuesta generalizada y ha de analizarse en cada caso, atendiendo a las circunstancias del caso concreto, como la relación jurídica establecida entre las partes, así como las obligaciones legales que puedan resultar de aplicación.
Como puede comprobarse, del contenido del Informe no pueden extraerse conclusiones concretas sobre cómo realizar los tratamientos de los datos contenidos en el DNI, más allá de dar cumplimiento a los principios de minimización y proporcionalidad.
Por este motivo, y en cumplimiento del principio de responsabilidad proactiva, las decisiones en esta materia deben ir asociadas a análisis específicos sobre la necesidad y proporcionalidad del tratamiento de los datos contenidos en el DNI y a valorar si hay medios alternativos a la realización de la copia del DNI para poder verificar y justificar que se han realizado las pertinentes comprobaciones de la identidad de los interesados en los procesos correspondientes.
Quedamos a su disposición para cualquier duda o cuestión que pudiera surgir.
Reciba un cordial un saludo,
Área de Privacidad de ECIJA
Telf: + 34 91.781.61.60