El Documento Nacional de Identidad (DNI) es uno de los elementos más habituales en la vida cotidiana de cualquier ciudadano. Lo presentamos para abrir una cuenta, firmar un contrato o incluso registrarnos en un hotel. Sin embargo, ¿es legal que una entidad solicite una copia de nuestro DNI en todos esos casos? La respuesta, según la Agencia Española de Protección de Datos (AEPD), es clara: no siempre.
Aunque el DNI no figura entre los “datos especialmente protegidos” definidos por el Reglamento General de Protección de Datos (RGPD), su contenido —nombre, fotografía, firma, número de identificación, fecha de nacimiento, nacionalidad, etc.— lo convierte en un documento con una elevada carga de información personal. Por ello, su uso y copia están sujetos a límites estrictos que muchas empresas y organizaciones aún desconocen.
El marco normativo aplicable
En España, la emisión y utilización del DNI se regula en el Real Decreto 255/2025, de 1 de abril, que lo define como un documento personal e intransferible, protegido como cualquier documento público oficial.
Ni el RGPD ni la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) establecen una regulación específica sobre las copias del DNI. Por ello, la AEPD ha asumido un papel protagonista fijando criterios interpretativos sobre cuándo puede solicitarse y conservarse una copia del documento y en qué circunstancias se considera un tratamiento desproporcionado.
Cuándo sí puede pedirse una copia del DNI
Existen casos en los que la normativa obliga expresamente a las empresas o instituciones a identificar a las personas mediante documentos fehacientes. En estos supuestos, la copia del DNI puede estar justificada:
- Prevención del blanqueo de capitales y financiación del terrorismo.
La legislación sectorial exige a bancos, notarios, abogados o aseguradoras verificar la identidad de sus clientes. No obstante, incluso en estos casos, la norma prioriza métodos alternativos (firma electrónica o autenticación digital) y reserva la copia del DNI solo cuando no exista otra vía viable. - Obligaciones de registro en establecimientos de hostelería.
La Ley Orgánica 4/2015, de protección de la seguridad ciudadana, obliga a los alojamientos turísticos a registrar determinados datos de sus huéspedes. Pero la AEPD ha recordado que no es necesario conservar una copia del DNI, sino únicamente anotar los datos exigidos (nombre, apellidos, número y tipo de documento, fecha de nacimiento, nacionalidad, etc.).
En todos los demás casos, si no hay una norma que lo exija de forma expresa, solicitar o conservar una copia del DNI constituye un tratamiento excesivo e ilícito según el artículo 5.1.c) del RGPD (principio de minimización de datos).
Cuándo no puede pedirse
Es habitual que se solicite una fotocopia del DNI por mera comodidad administrativa: para inscribirse en un gimnasio, realizar una reserva, contratar un servicio o incluso ejercer los derechos ARCO (acceso, rectificación, cancelación y oposición).
La AEPD ha sido tajante: no puede instaurarse como práctica generalizada la recogida de copias del DNI. Cada solicitud debe estar justificada caso por caso, con base legal clara, finalidad legítima y tratamiento proporcional al riesgo.
El responsable del tratamiento debe, además, realizar un análisis de riesgos y documentar las medidas de seguridad adoptadas conforme a los artículos 24 y 32 del RGPD.
Principios clave que deben respetarse
- Minimización: solo pueden tratarse los datos imprescindibles para la finalidad concreta.
- Proporcionalidad: no puede recopilarse más información de la necesaria.
- Seguridad: la copia del documento debe almacenarse con medidas adecuadas para evitar accesos no autorizados o filtraciones.
- Alternativas menos invasivas: se debe priorizar la verificación visual, el escaneo parcial (ocultando datos no necesarios) o la identificación electrónica.
La posición de la AEPD
En sus resoluciones más recientes, la AEPD ha subrayado que el número de DNI es un dato especialmente sensible, ya que su uso indebido puede facilitar fraudes, suplantaciones de identidad o accesos no autorizados a servicios digitales.
Por ello, la Agencia limita la legitimidad del tratamiento de copias del DNI a aquellos casos en los que exista una habilitación normativa expresa. En cualquier otro escenario, el tratamiento se considera desproporcionado e innecesario.
Además, basar la solicitud en el “interés legítimo” del responsable del tratamiento es, en la práctica, difícil de sostener. Superar el test de ponderación entre los intereses de la empresa y los derechos del titular resulta muy complejo cuando el dato tratado ofrece un riesgo elevado para la privacidad.
Con todo ello, en los últimos años, la AEPD ha impulsado un cambio profundo en la práctica cotidiana de empresas y administraciones. Aunque tradicionalmente se asumía que pedir una fotocopia del DNI era una gestión inocua, hoy se reconoce que supone un tratamiento de datos personales de alto riesgo que solo puede realizarse con base jurídica y bajo estrictos criterios de necesidad.
El mensaje es claro:
no todo vale para verificar la identidad.
Las entidades deben valorar cuidadosamente si realmente necesitan conservar una copia del DNI o si existen alternativas menos intrusivas.
El respeto al principio de minimización no solo evita sanciones, sino que refuerza la confianza y la reputación en la gestión responsable de la información personal.
