Pedir copia del DNI por motivos de prevención de blanqueo de capitales es una práctica habitual en muchos sectores, pero también una de las cuestiones que más dudas genera desde el punto de vista de la protección de datos. Aunque la normativa de blanqueo de capitales permite, e incluso obliga en determinados casos, a identificar formalmente a los clientes, eso no significa que cualquier empresa pueda pedir y conservar una copia del DNI sin límites ni justificación.
De hecho, la Agencia Española de Protección de Datos (AEPD) han insistido en varias ocasiones en que hacer copias de documentación identificativa debe analizarse siempre desde el principio de proporcionalidad y minimización de datos.
La prevención del blanqueo de capitales no elimina las obligaciones de protección de datos
La Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo, obliga a determinados sujetos a identificar formalmente a sus clientes. Esto afecta, entre otros, a entidades financieras, inmobiliarias, asesorías, despachos profesionales, aseguradoras o empresas que intervienen en determinadas operaciones económicas.
En este contexto, pedir copia de un DNI puede estar legitimado por el cumplimiento de una obligación legal, conforme al artículo 6.1.c) del RGPD. Sin embargo, la existencia de una obligación legal no implica carta blanca para recopilar documentación de manera indiscriminada. La empresa sigue obligada a cumplir con todos los principios de protección de datos:
- Minimización de datos.
- Limitación de la finalidad.
- Proporcionalidad.
- Seguridad de la información.
- Limitación del plazo de conservación.
¿Qué dice la AEPD sobre hacer copia del DNI?
La Agencia Española de Protección de Datos ha reiterado en distintas resoluciones, informes y guías que el DNI contiene un volumen importante de información personal y que no siempre es necesario conservar una copia completa del documento para cumplir con una finalidad concreta.
La AEPD recuerda que identificar a una persona no equivale automáticamente a almacenar una fotocopia de su documentación. De hecho, uno de los criterios más repetidos por la Agencia es que debe diferenciarse entre:
- Verificar la identidad de una persona.
- Conservar una copia íntegra del documento identificativo.
En muchos casos, puede bastar con comprobar visualmente el documento o anotar determinados datos imprescindibles (como el número del DNI), sin necesidad de almacenar una copia del DNI. La clave está en valorar si la conservación de esa copia es realmente necesaria y proporcional.
Entonces, ¿cuándo sí puede pedirse copia de un DNI?
Cuando la normativa de prevención del blanqueo de capitales exige una identificación formal documentada, sí puede existir base legal suficiente para solicitar y conservar una copia del DNI.
En estos supuestos, la empresa debe poder acreditar que:
- Está sujeta a obligaciones en materia de blanqueo de capitales.
- La copia del DNI es necesaria para cumplir con dichas obligaciones.
- Existe una finalidad concreta y legítima.
- Se aplican medidas de seguridad adecuadas.
Por ejemplo, una asesoría que participe en determinadas operaciones societarias o fiscales, una inmobiliaria en una compraventa o una entidad financiera en la apertura de cuentas sí pueden encontrarse obligadas a conservar documentación identificativa.
Ahora bien, incluso en estos casos, la protección de datos sigue siendo plenamente aplicable.
El principio de minimización: el gran límite
El artículo 5 del RGPD establece que los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para la finalidad perseguida. Esto tiene especial importancia cuando hablamos de documentación identificativa.
El DNI incorpora datos como:
- Fotografía
- Firma
- Fecha de nacimiento
- Número de soporte
- Nacionalidad
- Imagen del titular
- Información de lectura mecánica
Muchos de esos datos no serán necesarios para la finalidad concreta del tratamiento.
Por ello, la AEPD ha cuestionado prácticas como:
- Solicitar copias de DNI de manera sistemática
- Guardar documentación “por si acaso”
- Pedir fotografías del DNI para trámites simples
- Exigir copias completas cuando bastaría una comprobación visual
- Requerir o conservas datos no estrictamente necesarios
En definitiva, la empresa debe poder justificar por qué necesita exactamente una copia del DNI y no una medida menos invasiva.
¿Puede enviarse el DNI por WhatsApp o correo electrónico?
Desde la perspectiva de protección de datos, aunque esta práctica es muy habitual en muchos negocios y empresas, implica riesgos importantes. El DNI es un documento altamente sensible desde un punto de vista operativo, ya que puede facilitar fraudes, suplantaciones de identidad o accesos indebidos si cae en manos incorrectas.
La AEPD ha advertido en distintas ocasiones sobre los riesgos de utilizar canales inseguros para intercambiar documentación personal. Por ello, si una empresa necesita pedir copia de un DNI por obligaciones de blanqueo de capitales, debería utilizar mecanismos seguros:
- Plataformas cifradas
- Portales de cliente
- Sistemas de subida documental segura
- Correos protegidos o cifrados cuando sea posible
- Directamente, en persona
Además, debe limitar el acceso únicamente a personal autorizado y evitar almacenamientos innecesarios o indefinidos.
¿Qué riesgos existen si se pide copia del DNI sin justificación?
Solicitar o conservar copia de un DNI sin base jurídica suficiente puede constituir una infracción del RGPD. Las consecuencias pueden incluir:
- Reclamaciones ante la AEPD
- Sanciones económicas
- Obligación de eliminar documentación
- Riesgos reputacionales
- Brechas de seguridad derivadas de un exceso de información almacenada
En los últimos años, la AEPD ha sancionado prácticas relacionadas con solicitudes excesivas de documentación identificativa, especialmente cuando no existía una necesidad real o cuando la finalidad podía alcanzarse con medios menos intrusivos.
Conclusión
Pedir copia de un DNI por motivos de prevención del blanqueo de capitales puede ser perfectamente legal, e incluso obligatorio, pero únicamente cuando exista una obligación normativa concreta y la medida resulte necesaria y proporcional.
La protección de datos sigue siendo plenamente aplicable en estos tratamientos. La existencia de obligaciones en materia de blanqueo de capitales no justifica recopilar documentación de manera indiscriminada ni conservar copias del DNI sin una finalidad clara.
La posición de la AEPD es clara: no debe confundirse identificar a una persona con almacenar sistemáticamente una copia completa de su documentación. Por ello, antes de solicitar un DNI, cualquier empresa debería preguntarse si realmente necesita conservar esa copia y si existe una alternativa menos invasiva desde el punto de vista de la privacidad.
¿Tu empresa solicita documentación identificativa a clientes o usuarios? Revisar cómo se recoge y conserva una copia del DNI puede evitar incumplimientos en materia de protección de datos y prevención del blanqueo de capitales. Si crees que necesitas asesoramiento especializado para garantizar tu cumplimiento, en Dataseg podemos ayudarte.