¿Pueden pedirme fotocopia del DNI? Qué dice la normativa de protección de datos

En la actualidad realizamos una multitud de trámites y contrataciones online. En muchas ocasiones se nos requiere aportar una copia del DNI para acreditar la identidad del solicitante.

Debemos partir de la base de que el Documento Nacional de Identidad, el DNI, es personal e intransferible y que además contiene una multitud de datos personales como nuestro nombre y apellidos, fotografía, firma, domicilio, nombre de nuestros padres, o números como el de identificación o el Código CAN, entre otros, que lo hacen único para cada persona. Ahora bien, en muchas ocasiones solicitar una copia de nuestro DNI o en otros casos hacer una copia del DNI que exhibimos es innecesario y desproporcionado porque o bien hay medios menos intrusivos para acreditar la identidad o bien para que comprueben nuestra identidad sólo necesitamos exhibirlo pero no dejarlo en otras manos.

A tal efecto, la Agencia Española de Protección de Datos (AEPD) nos recuerda que solicitar una copia, escanear o hacer una fotografía del DNI aumenta el riesgo de los denominados “fraudes cibernéticos” por ello, quien recibe nuestro DNI debe cumplir con la normativa de protección de datos, se deben cumplir los principios del artículo 5 del RGPD y contar con una base de legitimación que lo ampare (art. 6.1 RGPD). Además, la solicitud debe ser adecuada, pertinente y necesaria para los fines que se pretenden (art. 5.1.c RGPD). 

¿Hasta qué punto estamos obligados a facilitarlo y en qué medida? 

Es aquí donde entra en juego si una entidad puede solicitar una copia del DNI. La respuesta rápida es que como regla general NO.  

Solo es lícito solicitar una copia del DNI cuando exista una base jurídica que ampare ese tratamiento (Cuando el tratamiento se fundamente en una obligación legal, en el interés público o en el ejercicio de poderes públicos) y la copia resulte necesaria y proporcionada para la finalidad perseguida. Existe obligación legal, entre otros, en los siguientes casos:

• Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo: entidades financieras, aseguradoras o inmobiliarias deben identificar formalmente a sus clientes con un documento fehaciente.
• Normativa laboral: formalización del contrato y alta en la Seguridad Social.
• Normativa de Seguridad privada: contratación de ciertos servicios o control de acceso a determinadas instalaciones.
• Trámites con las Administraciones Públicas: cuando una ley específica lo requiera para un procedimiento concreto.

Incluso cuando es lícita, el responsable de tratamiento debe informar al interesado de la finalidad, limitar el uso, conservar la copia solo durante el tiempo necesario o legalmente exigido y aplicar medidas de seguridad.

Por eso, salvo que exista una justificación suficiente para obtenerla y no haya alternativas menos intrusivas, pedir la copia resulta excesivo e innecesario. Tampoco es admisible condicionar un servicio al envío de la copia cuando no es necesario, ni retener el DNI como garantía. 

A efectos ilustrativos, el Real Decreto 522/2006, suprime, con las particularidades previstas en la propia norma, la obligación de aportar fotocopias del DNI en los procedimientos administrativos de la Administración General del Estado. Asimismo, la AEPD ha aclarado que el Real Decreto 933/2021  no autoriza a los establecimientos de hospedaje a solicitar una copia del DNI, según su  nota informativa de fecha 19 de junio de 2025. 

Alternativas a la copia de DNI. 

Uno de los principios más importantes del RGPD es la minimización de datos, que consiste en proporcionar o exigir sólo los datos adecuados, pertinentes y limitados a lo necesario. 

Por ello, la Agencia Española de Protección de Datos (AEPD) ha reiterado en numerosas ocasiones que solicitar una copia del DNI es una medida desproporcionada si la finalidad de identificación puede lograrse por medios menos intrusivos. Las opciones preferibles son:

• Exhibición del DNI: El interesado muestra el documento para que la entidad pueda verificar visualmente su identidad en el momento.
• Anotación de datos específicos: La entidad anota únicamente los datos estrictamente necesarios para la finalidad perseguida (generalmente, nombre, apellidos y número de DNI).
• Si se determina que no es posible identificar a la persona de otro modo, el responsable de tratamiento debe informar al interesado qué parte de los datos del DNI no son necesarios y de que puede ocultarlos e incluir marcas de agua que indiquen la fecha, la finalidad o el destinatario de la copia. Si no se efectúa por el interesado, es el responsable del tratamiento el que debe evitar el tratamiento de datos innecesarios.

Riesgos que conlleva la conservación de una copia de DNI completa 

• Acceso a datos no adecuados ni pertinentes para la finalidad (imagen, fecha de nacimiento, fecha de validez, nombre de los padres). Pueden ser datos prescindibles y, por tanto, excesivos, según la finalidad, lo que vulneraría el principio de minimización  (art. 5.1.c RGPD).
• Exponer a su titular a un riesgo de usurpación de identidad o fraude, ya que el documento podría utilizarse de forma indebida en caso de brecha de seguridad  

La Resolución PS/00166/2021 de la AEPD sancionó a una empresa por exponer el número completo de DNI de sus empleados en una nota informativa, destacando que «el DNI completo de sus empleados, unido al nombre y apellidos, es considerado como un dato personal» y que su acceso no autorizado supone un riesgo que aumenta la exigencia de protección. 

En la misma línea se pronuncian otras resoluciones, como la ps-00084- 2025, ps-00501- 2023 o ps-00373- 2024, en las que se sanciona a empresas que exigen una copia completa del DNI. La AEPD entiende que recabar de forma sistemática el documento íntegro implica tratar datos que no son necesarios para la finalidad perseguida, lo que excede de lo estrictamente requerido para verificar la identidad de quien lo solicita 

Buenas prácticas y consejos

• Para organizaciones y empresas: pedir solo lo necesario, usar alternativas, informar y no conservar copias innecesarias.
• Para ciudadanos: preguntar para qué se pide y quién será el responsable; tachar los datos no necesarios o añadir una marca de agua con la finalidad y la fecha; y si ya has proporcionado copia sin ser necesario, ejercer los derechos de acceso y supresión, o reclamar ante la AEPD si procede.

En definitiva, el DNI es un dato personal y no puede pedirse en copia íntegra de forma automática. La regla de oro se resume en tres ideas: minimización, finalidad y base legal. Al final, se trata de encontrar el equilibrio entre comodidad, seguridad y privacidad.

Recoger copias del DNI sin base legal es una de las prácticas que la AEPD sanciona con más frecuencia. En HispaColex, desde el Departamento Civil-Mercantil, auditamos tus procesos de identificación y te ayudamos a corregirlos antes de que lo haga un expediente sancionador. Solicita la revisión de tus procesos.

  Ana Isabel Caballero Ferrer - HispaColex

Si tiene dudas sobre como aplicar este artículo a su caso, puede realizarnos una consulta a través de nuestro formulario