¿Pedir o no pedir el DNI para identificar a una persona? Ese es el Quid de la cuestión.
Con motivo de la consulta planteada por diferentes empresas, el Gabinete Jurídico de la Agencia Española de Protección de Datos (“AEPD”) emitió el Informe 0048/2023 (“el Informe”), por el que analiza la conformidad normativa de la captura de la imagen del DNI por parte de entidades de mensajería en distintos supuestos.
A estos efectos, no hay ningún género de duda de que cualquier persona física, consumidora e interesada, en su día a día, le hayan formulado la siguiente pregunta al recibir un paquete “¿me dejas tu DNI para hacerle una foto?” Es decir, que, hasta la fecha, la solicitud de una foto del DNI se ha empleado como el método más habitual, adecuado y eficaz para autenticar la identidad de una persona; o, lo que es lo mismo, confirmar que una persona es quien dice ser.
Habida cuenta de dicha práctica tan común, a lo largo de 2022 y 2023, distintas empresas de los sectores financiero, telecomunicaciones, así como de paquetería, han sufrido la imposición de cuantiosas sanciones económicas que, indirectamente, se han citado como supuestos de hecho y de análisis en el Informe de la AEPD.
Así, la AEPD ha comenzado indicando que no puede ofrecer un posicionamiento sobre las medidas concretas que pueden aplicarse a la consulta en cuestión, pues según su propio criterio, estas solo pueden ser determinadas por el responsable del tratamiento de conformidad con el principio de responsabilidad proactiva.
No obstante lo anterior, a pesar de que debe llevarse a cabo un análisis del caso concreto, se muestra férrea al señalar que “en cualquier caso, debe entenderse que la solicitud del DNI con la toma de una copia del mismo sería, en principio, un tratamiento excesivo, y que no puede instaurarse por sistema, debiendo analizarse diferentes aspectos al objeto de autenticar a una persona”.
De este modo, apoyándose en el criterio del Comité Europeo de Protección de Datos, en caso de que una entidad tenga dudas razonables sobre la identidad de una persona física, podrá solicitar información adicional o confirmar la identidad del interesado, teniendo en cuenta las siguientes variables: la base de legitimación (sobre todo, si está previsto en la ley) y el riesgo de dicho tratamiento desde el punto de vista del principio de minimización y la proporcionalidad.
Al objeto de responder a la segunda de las cuestiones planteadas, y a modo de ejemplo del análisis que debe realizarse, se cita la obligación de identificar a los interesados recogida en la ley de prevención de blanqueo de capitales y financiación del terrorismo (“LPBCFT”), disponiendo que la solicitud del DNI se constituye como una medida adecuada para cumplir con las obligaciones contempladas en dicha ley.
Ahora bien, en las operaciones no presenciales afectadas por la LPBCFT se indica que deberá realizarse un análisis de riesgos de protección de datos, desde el punto de vista del interesado; lo que implica un análisis del contexto específico del tratamiento derivado de identificar a una persona física mediante la solicitud de copia/foto del DNI en las operaciones no presenciales. Ello, por supuesto, incluye la verificación de la proporcionalidad y la necesidad de esa medida.
Finalmente, como cuestión de cierre, el Informe no responde a la última pregunta de la consulta, relativa al rol jurídico que adquieren las empresas de transporte y mensajería en relación con los datos personales. De este modo, se limita a recordar los criterios emitidos en previos Informes, recalcando que el rol de responsable/ encargado que adquirirán dichas empresas dependerá de las circunstancias del caso concreto.
Como conclusión de este Informe, aunque la AEPD no ha sido completamente clara sobre la operativa que debe seguirse con relación a los datos contenidos en el DNI, resulta evidente que todas las medidas adoptadas, deberán realizarse bajo el prisma de la responsabilidad proactiva, así como dar cumplimiento a los principios de minimización de datos y proporcionalidad.
Diana Rodríguez Gómez
Consultor de Helas Consultores
