El mito de la fotocopia del DNI

Enviar imágenes de tu DNI no garantiza nada y pone en riesgo tu privacidad

En la era digital, es común que empresas, plataformas de comercio electrónico, servicios financieros e incluso comunidades de vecinos soliciten una fotografía o escaneo del DNI para "verificar la identidad" de un usuario.
Sin embargo, desde una perspectiva técnica, de ciberseguridad y de protección de datos, esta práctica no solo es ineficaz para validar quién está al otro lado de la pantalla, sino que representa un riesgo crítico de privacidad para los ciudadanos y un problema de cumplimiento para las organizaciones.

1. Falsa seguridad: Por qué una imagen del DNI no prueba la identidad

El objetivo de cualquier proceso de verificación de identidad remota es asegurar dos factores: autenticidad del documento y vinculación con el usuario en tiempo real.
La simple recepción de una imagen estática (JPEG, PNG, PDF) falla rotundamente en ambos aspectos.

A. Facilidad de manipulación y falsificación

Editar una imagen digital está al alcance de cualquiera. Con herramientas básicas de edición o mediante el uso de inteligencia artificial generativa y modelos de difusión, es trivial:

• Modificar nombres, fechas de nacimiento, números de soporte o validez.
• Alterar la fotografía del titular manteniendo los datos del documento original.
• Generar desde cero una imagen hiperrealista de un DNI inventado o modificado en cuestión de segundos.

B. El riesgo de la suplantación por robo de datos

Una imagen del DNI no demuestra la posesión física ni la presencia del titular.
Si un atacante obtiene la foto del DNI de otra persona (extraída de un filtrado de datos anterior, un ataque de phishing o un descuido), puede usar esa misma imagen para identificarse en múltiples servicios de forma fraudulenta.

2. El peligro del almacenamiento de imágenes de DNI por terceros

Guardar imágenes de documentos de identidad de forma masiva crea un escenario altamente vulnerable para la privacidad de los usuarios y expone a las organizaciones a graves sanciones legales.

A. Incumplimiento de los principios del RGPD

El Reglamento General de Protección de Datos (RGPD) establece principios fundamentales que suelen vulnerarse al solicitar y almacenar fotos del DNI:

• Minimización de datos (Art. 5.1.c): El DNI contiene información sensible no necesaria para la mayoría de los trámites (como el nombre de los padres, la dirección física completa, la firma holográfica o la clave alfanumérica del soporte).
• Limitación del plazo de conservación (Art. 5.1.e): Conservar copias digitales de documentos oficiales sine die sin un motivo legal estricto contraviene la normativa.
• Integridad y confidencialidad (Art. 5.1.f): Las empresas deben garantizar la seguridad técnica de dichos archivos. La realidad demuestra que muchas pymes y plataformas almacenan estas imágenes en servidores sin cifrar, carpetas compartidas o correos electrónicos, expuestos a filtraciones.

B. La Agencia Española de Protección de Datos (AEPD) y sus sanciones

La AEPD ha dejado claro en reiteradas resoluciones y expedientes sancionadores que solicitar la fotocopia o imagen del DNI por defecto es una práctica desproporcionada e ilegal si existen otros medios menos intrusivos.
Las multas por recopilar o conservar copias del DNI de forma injustificada pueden alcanzar sumas elevadas bajo el régimen sancionador del RGPD.

3. La alternativa válida en España: El Certificado Digital

Dado que un trámite remoto carece de la validación presencial (donde se comprueba físicamente el documento y el rostro del titular), la única forma de garantizar una seguridad real e inalterable es la identificación criptográfica.
En España, la solución técnica, legal y efectiva para la identificación y firma remota es el Certificado Digital de Persona Física (emitido por prestadores cualificados de servicios de confianza como la FNMT) o el DNIe (DNI electrónico).

¿Por qué el certificado digital sí ofrece seguridad real?

┌─────────────────────────────────────────────────────────┐
│              CERTIFICADO DIGITAL (PKI)                  │
├──────────────────────────┬──────────────────────────────┤
│ Autenticidad Cryptog.    │ Firma basada en claves       │
│                          │ pública y privada.           │
├──────────────────────────┼──────────────────────────────┤
│ Imposible de Falsificar  │ Garantizado por una Autoridad│
│                          │ de Certificación (CA).       │
├──────────────────────────┼──────────────────────────────┤
│ No Repudio               │ Vinculación legal directa    │
│                          │ e inequívoca con el titular. │
└──────────────────────────┴──────────────────────────────┘

1. Infraestructura de Clave Pública (PKI): El certificado digital utiliza algoritmos criptográficos asimétricos. La validación se realiza mediante una firma digital que garantiza de forma matemática que el titular posee la clave privada correspondiente.
2. Identificación previa contrastada: Para obtener un certificado digital cualificado, el ciudadano ya ha tenido que verificar su identidad de forma presencial ante una Oficina de Registro (o mediante sistemas de identificación de vídeo acreditados y regulados bajo la norma eIDAS).
3. Privacidad y minimización: Al autenticarse mediante un certificado digital, la plataforma únicamente recibe la confirmación técnica y los datos estrictamente necesarios para la transacción, evitando el tráfico y almacenamiento innecesario de fotos de documentos físicos.

El envío de imágenes del DNI es un formalismo caduco que proporciona una ilusión de seguridad mientras multiplica el riesgo de suplantación de identidad y brechas de privacidad. Para garantizar procesos de verificación digitales seguros, legales y eficientes en España, es imprescindible erradicar la recolección masiva de fotos del DNI e implementar mecanismos basados en certificados digitales y estándares de identidad electrónica.

Imagen de DNI robado en una fuga de información

Cuando se produce una brecha de seguridad y se filtra la imagen del DNI de un usuario, la persona afectada debe protegerse frente a suplantaciones de identidad e iniciar las acciones legales correspondientes para depurar responsabilidades y reclamar compensaciones.

1. Medidas legales y preventivas inmediatas que debe tomar la persona

Ante la certeza de que la imagen del DNI ha sido sustraída, es fundamental seguir un protocolo reactivo en España:

1. Interponer una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado:
   
   • Acudir a la Policía Nacional o la Guardia Civil e interponer una denuncia por la filtración de tu DNI detallando la empresa responsable de la custodia.
   • Propósito: Sirve como prueba documental para invalidar cualquier contrato, microcrédito, alta telefónica o trámite fraudulento que un tercero intente realizar a tu nombre en el futuro usando esa imagen.
     
2. Renovar el DNI físico (Obtención de un nuevo número de soporte):
   
   • Aunque el número de DNI (8 dígitos + letra) no cambia, al renovar el DNI físico por sustracción o riesgo de fraude se emite un documento con un nuevo Número de Soporte (el código alfanumérico que figura en el anverso) y una nueva fecha de expedición/validez. Esto bloquea muchos intentos de verificación automatizados.
     
3. Presentar una reclamación ante la AEPD (Agencia Española de Protección de Datos):
   
   • Puedes interponer una denuncia de forma telemática en la Sede Electrónica de la AEPD aportando la notificación del incidente que te dio la empresa o la copia de la denuncia policial.
   • La AEPD investigará si la empresa cumplía con las medidas de seguridad del RGPD (cifrado, minimización, conservación). Si no es así, impondrá sanciones administrativas/multas a la compañía.
     
4. Inscripción en ficheros de prevención del fraude:
   
   • Es recomendable consultar o solicitar la inclusión en servicios como la plataforma CIRBE (Central de Información de Riesgos del Banco de España) o consultar ficheros como ASNEF/BADEXCUG si sospechas que han intentado pedir préstamos a tu nombre.
     

2. Compensaciones económicas: ¿Qué indemnización se puede solicitar?

Existe un matiz legal clave en el sistema español: La AEPD no indemniza económicamente al ciudadano.
Las multas de la AEPD van a las arcas del Estado.
Para recibir una indemnización económica, el afectado debe acudir a la vía civil.

A. La base legal (Artículo 82 del RGPD)

El Artículo 82 del Reglamento General de Protección de Datos (RGPD) establece que toda persona que haya sufrido daños y perjuicios materiales o inmateriales (morales) como consecuencia de una infracción del reglamento tiene derecho a recibir una indemnización del responsable del tratamiento.

B. Tipos de daños reclamables ante el Juzgado de Primera Instancia (Vía Civil)

C. Cuantías de las indemnizaciones en España

Las indemnizaciones en España no son automáticas (hay que probar el daño y la relación de causalidad con la brecha de la empresa).
Sin embargo, la jurisprudencia del TJUE (Tribunal de Justicia de la UE) y del Tribunal Supremo ha aclarado que la mera pérdida de control del dato y la angustia generada pueden ser constitutivas de daño moral indemnizable.

• Sin usurpación consumada (solo filtración y riesgo de daño moral): Las compensaciones suelen situarse habitualmente entre los 500 € y 3.000 € por afectado en demandas civiles, dependiendo de la negligencia de la empresa y del grado de exposición del DNI.
• Con usurpación de identidad consumada (compras, microcréditos, inclusión en morosos): Si además el DNI robado se usa activamente para cometer fraudes a tu nombre, las indemnizaciones por daño moral y perjuicio reputacional han llegado a alcanzar entre 3.000 € y 12.000 € (más la devolución o anulación integra de las deudas generadas fraudulentamente).

Para fundamentar jurídicamente la reclamación y exigir la indemnización por la filtración de la imagen del DNI, se deben invocar los siguientes artículos y la jurisprudencia clave tanto del Tribunal de Justicia de la Unión Europea (TJUE) como del Tribunal Supremo español:

1. El marco legal aplicable (Artículos clave)

A. La base europea (RGPD)

• Considerando 146 del RGPD: Especifica que el concepto de «daño» debe interpretarse en sentido amplio a la luz de la jurisprudencia del TJUE, garantizando el resarcimiento pleno y efectivo.

Artículo 82.1 del Reglamento General de Protección de Datos (RGPD):

«Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o del encargado del tratamiento una indemnización por los daños y perjuicios sufridos.»

B. El marco nacional en España

• Artículo 1 de la Ley Orgánica 3/2018 (LOPDGDD): Garantiza los derechos digitales en concordancia con el RGPD.
  
• Artículo 9.3 de la Ley Orgánica 1/1982, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen:Establece la presunción legal de existencia de daño moral siempre que se acredite una intromisión ilegítima o una vulneración del derecho fundamental a la protección de datos (Art. 18.4 de la Constitución Española).
  
• Artículo 1902 del Código Civil: Para fundamentar la responsabilidad extracontractual por negligencia en la custodia de los archivos.
  

2. Sentencias clave del TJUE (Jurisprudencia de la Unión Europea)

La jurisprudencia del TJUE ha fijado las reglas de juego sobre el daño moral y la pérdida de control de datos:

1. La Sentencia "Österreichische Post" (Asunto C-300/21, de 4 de mayo de 2023)

• Doctrina: Fija que el daño inmaterial (moral) da derecho a indemnización sin exigir un umbral mínimo de gravedad. No hace falta demostrar una catástrofe económica; la zozobra o la incomodidad valen si se demuestran.
  
• Requisito: Aclara que no basta con la mera infracción del RGPD; es necesario probar la existencia del daño y la relación de causalidad con la falta de seguridad de la empresa.
  

2. Sentencias sobre ciberataques y filtraciones (Asunto C-340/21 y Asunto C-741/21)

• Doctrina (Pérdida de control): El TJUE determina que la pérdida de control sobre los datos personales o el temor/angustia justificada a un uso fraudulento futuro constituye por sí solo un daño moral indemnizable, sin necesidad de esperar a que un delincuente use efectivamente el DNI.
  

3. Sentencias de junio de 2024 (Asunto C-590/22 y Asunto C-687/21)

• Doctrina: Confirman que incluso la pérdida de control por un periodo breve puede originar derecho a indemnización si el usuario demuestra el perjuicio inmaterial sufrido.
  

3. Jurisprudencia del Tribunal Supremo de España

El Tribunal Supremo (Sala de lo Civil) ha consolidado desde hace años la doctrina aplicable al daño moral por vulneración de la protección de datos:

• Inversión de la carga de la prueba / Negligencia: El Tribunal Supremo (entre otras, en la STS 582/2014 o la STS 102/2020) ha señalado que el derecho a la indemnización por daño moral surge de la propia perturbación del derecho a disponer y controlar los propios datos.
  
• No exigencia de daño patrimonial directo: El TS reitera que el daño moral comprende el estado de angustia, la incertidumbre, las molestias de realizar gestiones defensivas (denuncias policiales, renovación de documentos) y el descrédito imputable a la empresa por no custodiar adecuadamente el documento.
  

"Para reclamar la indemnización por la brecha del DNI, se debe invocar el Art. 82.1 del RGPD en combinación con el Art. 9.3 de la LO 1/1982. La jurisprudencia del TJUE (Asunto C-300/21 'Österreichische Post' y Asunto C-340/21) avala que el mero temor fundado al uso indebido o la pérdida de control de la imagen del DNI constituye un daño moral indemnizable, sin requerir un mínimo de gravedad previa, debiendo ser compensado por la vía civil previa prueba de las molestias y riesgos ocasionados."