La Agencia Española de Protección de Datos (AEPD) ha sancionado a la empresa EDA TV CONSULTING, S.L. con una multa de 3.000 euros por exigir a los usuarios la aportación de una copia del DNI para ejercer sus derechos de protección de datos a través de su web, edatv.news. Esta resolución, recogida en el expediente PS-00443-2024, es relevante porque aclara los límites legales sobre la identificación de los usuarios en el contexto digital y refuerza el principio de minimización de datos del RGPD[1].

¿Qué ocurrió?

• Un usuario presentó una reclamación ante la AEPD porque la política de privacidad de EDA TV obligaba a enviar una copia del DNI para ejercer derechos como acceso, rectificación o supresión de datos.
• EDA TV justificó esta práctica alegando que la copia del DNI era necesaria para verificar la identidad del solicitante, apoyándose en el Considerando 64 del RGPD, que permite al responsable del tratamiento adoptar «medidas razonables» para identificar a los interesados[1].

¿Por qué la AEPD considera que es una infracción?

La AEPD reconoce que es legítimo verificar la identidad de quien ejerce derechos sobre sus datos, pero recuerda que el RGPD exige que los datos personales tratados sean «adecuados, pertinentes y limitados a lo necesario» (principio de minimización, art. 5.1.c RGPD)[1]. La imagen o fotocopia del DNI contiene información excesiva (fotografía, nombres de los padres, número de soporte, etc.) que no es imprescindible para la simple identificación.

La Agencia señala que existen alternativas menos intrusivas para verificar la identidad, como solicitar datos concretos que ya obren en poder de la empresa o realizar comprobaciones por otros medios. Por tanto, exigir indiscriminadamente la fotocopia del DNI supone un tratamiento excesivo de datos personales y vulnera el RGPD[1].

Sanción y consecuencias

• La infracción fue calificada como grave y, tras la reducción por reconocimiento de responsabilidad y pago voluntario, la sanción quedó en 3.000 euros.
• Además, EDA TV debe acreditar ante la AEPD, en el plazo de un mes, que ha adoptado las medidas necesarias para ajustar su política y métodos de identificación al RGPD, eliminando la exigencia de la copia del DNI salvo en casos estrictamente justificados[1].

Puntos clave para empresas y usuarios

• No es lícito exigir siempre la fotocopia del DNI para el ejercicio de derechos de protección de datos.
• Las empresas deben buscar métodos menos intrusivos y limitar la recogida de datos a lo estrictamente necesario.
• El principio de minimización de datos es esencial: solo se pueden tratar los datos imprescindibles para la finalidad perseguida.

“La obligación de identificación puede cumplirse sin necesidad de solicitar la entrega o escaneo de dicha copia o imagen del DNI, pues existen otras alternativas igualmente válidas que permiten realizar esta comprobación de forma fiable.”

• Resolución PS-00443-2024, AEPD[1]

—[1] Resolución de la AEPD PS-00443-2024 (https://www.aepd.es/documento/ps-00443-2024.pdf)