Durante años ha sido una práctica habitual. Llegar a un hotel, entregar el DNI y que automáticamente hagan una fotocopia o escaneen el documento completo. También ocurre en apartamentos turísticos, compraventas entre particulares o incluso en determinados comercios y plataformas digitales.
La Agencia Española de Protección de Datos está endureciendo claramente su criterio sobre esta práctica, recordando que solicitar o conservar una copia completa del DNI puede vulnerar el Reglamento General de Protección de Datos cuando no exista una base legal suficiente.
La cuestión ha vuelto a generar debate tras varias resoluciones sancionadoras publicadas recientemente por la Agencia.
Fotocopiar el DNI simplemente no es necesario y puede resultar desproporcionado.
El problema no es pedir el DNI: es copiarlo entero
En muchos sectores sí existe obligación legal de identificar al cliente o verificar determinados datos: hoteles, alojamientos turísticos, operaciones financieras, telecomunicaciones, alquiler de vehículos, o determinados servicios sujetos a obligaciones de seguridad.
El problema aparece cuando, en lugar de limitarse a comprobar los datos necesarios, se realiza una fotocopia o escaneo completo del documento.
Y aquí entra en juego uno de los principios más importantes del RGPD: el principio de minimización de datos.
La normativa exige que únicamente se traten los datos adecuados, pertinentes y limitados a lo estrictamente necesario para la finalidad perseguida.
¿Por qué es tan sensible una copia del DNI?
Muchas personas no son conscientes de la enorme cantidad de información que contiene un documento nacional de identidad.
Una copia íntegra del DNI puede convertirse en una herramienta muy valiosa para cometer fraudes, suplantaciones de identidad o contrataciones ilícitas.
Por eso, desde el punto de vista de privacidad y ciberseguridad, cuanto menos circule una copia del documento, menor será el riesgo.
Hoteles y apartamentos turísticos: lo que sí pueden hacer
Muchos hoteles o apartamentos solicitan el DNI al hacer el check-in. Y eso, en principio, es correcto, porque existe normativa específica que obliga a registrar determinados datos de los viajeros.
Pero una cosa es comprobar la identidad y otra muy distinta almacenar una copia completa del documento.
La propia Agencia ha recordado en varias ocasiones que la obligación legal normalmente consiste en recoger ciertos datos identificativos, no en conservar un escaneo íntegro del DNI salvo que exista una justificación concreta.
Otro escenario cada vez más habitual aparece en plataformas como Wallapop o Airbnb.
Muchos usuarios reciben peticiones para enviar una fotografía del DNI por WhatsApp, correo electrónico o mensajería privada.
Y aquí debemos ser especialmente prudentes.
En numerosos casos, detrás de esas solicitudes pueden esconderse intentos de fraude o robo de identidad.
Una imagen completa del DNI puede utilizarse para: abrir cuentas, contratar servicios, realizar estafas, o falsificar verificaciones digitales.
Por eso nunca debería enviarse el documento completo sin valorar previamente: quién lo solicita, para qué finalidad, qué legitimación tiene, y qué medidas de seguridad existen.
Cómo reducir riesgos al compartir el DNI
Cuando resulte realmente necesario compartir una copia del documento, existen algunas medidas que ayudan a minimizar riesgos.
Añadir una marca de agua.
Una de las opciones más recomendables es incorporar una marca de agua visible indicando: la finalidad, la fecha y el destinatario.
Por ejemplo: “Copia facilitada únicamente para verificación de reserva en Airbnb”.
Esto dificulta enormemente reutilizaciones fraudulentas.
Ocultar datos innecesarios
También puede ser recomendable pixelar o tapar información no necesaria.
Aplicando nuevamente el principio de minimización, solo deberían mostrarse los datos estrictamente necesarios.
Utilizar copias en blanco y negro
Algunos expertos recomiendan además utilizar copias en blanco y negro, ya que dificultan ciertos usos fraudulentos relacionados con verificaciones bancarias o procesos automatizados.
No elimina completamente el riesgo, pero puede reducirlo.
El verdadero problema: la normalización del exceso de datos
Más allá del caso concreto del DNI, esta situación refleja un problema mucho más amplio: durante años hemos normalizado entregar más información personal de la necesaria.
Muchas organizaciones siguen aplicando prácticas heredadas: fotocopias automáticas, escaneos completos, almacenamiento masivo de documentos, o solicitudes excesivas de información.
Y precisamente el RGPD intenta romper con esa lógica.
La privacidad moderna no consiste únicamente en proteger datos una vez recopilados, sino en preguntarse previamente:
“¿Realmente necesito recoger toda esta información?”
La posición de la Agencia Española de Protección de Datos es cada vez más clara: identificar no significa necesariamente fotocopiar.
Las empresas deben revisar sus protocolos y limitar la recogida de documentación al mínimo imprescindible.
Y los ciudadanos también deben adoptar una actitud más prudente antes de compartir imágenes completas de sus documentos de identidad.
Porque en un contexto donde aumentan las estafas digitales y la suplantación de identidad, proteger nuestros datos personales empieza muchas veces por algo tan sencillo como evitar una fotocopia innecesaria del DNI.