Fotografiar el DNI de clientes: riesgos RGPD y minimización de datos

Fotografiar o copiar el DNI de clientes puede vulnerar el principio de minimización del RGPD si existen alternativas menos intrusivas para verificar la identidad. El caso de Orange mostró que pedir una imagen completa del documento para entregar un paquete puede ser desproporcionado.

Por qué el DNI exige especial cuidado

El DNI contiene más información de la necesaria para muchas operaciones: imagen, firma, número, fecha de nacimiento, nacionalidad y otros datos que pueden facilitar suplantación de identidad si se usan mal. Por eso, antes de solicitar una copia, la empresa debe justificar que es necesaria y proporcionada.

Principio de minimización

El artículo 5.1.c del RGPD exige tratar solo los datos adecuados, pertinentes y limitados a lo necesario. En muchos casos basta con mostrar el documento, anotar determinados datos o verificar identidad por un método menos invasivo.

Errores frecuentes

• Pedir copia completa del DNI por defecto.
• Fotografiar anverso y reverso sin justificar la necesidad.
• No informar de finalidad, base jurídica y plazo de conservación.
• Conservar copias del documento más tiempo del necesario.
• Permitir acceso interno amplio a documentos identificativos.

Checklist para empresas

• Define para qué necesitas verificar la identidad.
• Comprueba si basta con exhibición o contraste visual.
• Solicita solo los datos imprescindibles.
• Informa al cliente antes de recoger datos.
• Protege y limita el acceso si la copia es realmente necesaria.

Conclusión

Fotocopiar o fotografiar el DNI no debe ser una práctica automática. La empresa debe poder explicar por qué no bastaba una alternativa menos invasiva y cómo protege ese documento.