Un exchange de criptomonedas te pide el DNI y un selfi
Si la plataforma está autorizada, el trámite es real y hay que enviar el documento entero. Lo que merece tu desconfianza es otra cosa: si está autorizada.
Respuesta corta
- No censures nada de lo que envíes a un exchange autorizado. La normativa antiblanqueo exige el documento completo: un campo tapado es un trámite fallido, no una protección.
- Mira el registro antes de mirar los campos. Desde el 1 de julio de 2026 solo pueden operar en España los proveedores autorizados por la CNMV o por otra autoridad europea.
- Fuera de una entidad supervisada nadie tiene derecho a esto. El airdrop falso, el mensaje de «desbloquea tu retirada» y el comprador de un P2P quieren el mismo paquete de documentos sin ninguna obligación.
- La copia tiene fecha de caducidad. El artículo 25 de la Ley 10/2010 fija diez años, y el derecho de supresión del RGPD no anula un deber legal de conservación.
Casi todas las páginas de este sitio te dicen que tapes campos antes de enviar un documento. Esta hace lo contrario, y conviene decirlo sin rodeos: si el exchange está autorizado, envía el documento completo, sin censurar y sin marca de agua.
Por qué un exchange autorizado necesita el documento entero
Una plataforma de criptomonedas que opera en la UE ya no es un negocio sin supervisión. El Reglamento (UE) 2023/1114, conocido como MiCA, exige que un proveedor de servicios de criptoactivos esté autorizado por una autoridad competente, y esa autorización lo mete de lleno en el sistema antiblanqueo junto con los bancos.
En España la pieza clave es la Ley 10/2010, de prevención del blanqueo de capitales. Su artículo 2.1.z) incluye entre los sujetos obligados a los proveedores de servicios relacionados con moneda virtual, y su artículo 3 exige identificar al cliente mediante documentos fehacientes antes de iniciar la relación de negocio. Por encima queda el Reglamento (UE) 2024/1624, aplicable desde el 10 de julio de 2027, y detrás el SEPBLAC, unidad de inteligencia financiera y supervisor en materia de blanqueo.
La obligación recae sobre la entidad, no sobre ti, y es de capturar, no de echar un vistazo. El sistema lee nombre, fecha de nacimiento, número de documento, validez y casi siempre la zona de lectura mecánica, y después compara la fotografía con una imagen en directo de tu cara. Una barra negra encima de cualquiera de esos campos es un campo que falta.
Y fallar no sale gratis. Varios intentos de verificación rechazados no se leen como un cliente prudente, sino como uno sospechoso, y lo normal es una revisión con la cuenta restringida mientras dura — mal sitio para estar si tienes una retirada pendiente. Es la misma frontera que explica cuándo censurar el DNI no sirve de nada y, con más detalle, no puedes censurar el DNI para el banco.
La comprobación que sí merece tu desconfianza
La decisión no es qué campos tapo. Es si eso es una entidad supervisada, porque una operación sin licencia pide exactamente el mismo paquete de documentos, en el mismo orden, sin plazos de conservación, sin obligaciones de seguridad y sin nadie a quien reclamar.
Esa pregunta tiene respuesta en un minuto:
- El registro español. La CNMV publica el registro de proveedores de servicios de criptoactivos. Desde el 1 de julio de 2026, terminado el régimen transitorio del artículo 143.3 de MiCA, solo pueden prestar servicios en España los proveedores autorizados por la CNMV o por otra autoridad europea.
- El registro del Banco de España ya no vale como prueba. El registro de proveedores de cambio de moneda virtual por moneda fiduciaria y custodia de monederos electrónicos, creado por la disposición adicional segunda de la Ley 10/2010, se cerró el 1 de julio de 2026 y se mantiene solo como histórico. Si un exchange todavía se anuncia diciendo «inscrito en el Banco de España», está citando un registro cerrado.
- La lista europea. ESMA publica el registro MiCA de proveedores autorizados y, en el mismo sitio, la lista de entidades señaladas como no conformes. La autorización tiene pasaporte europeo, así que es legítimo encontrar a tu exchange en el registro irlandés o maltés — pero tiene que estar en alguno.
- Busca la razón social, no la marca. Los exchanges se anuncian con un nombre comercial y se autorizan con otro. Si el registro y las condiciones del servicio no nombran a la misma sociedad, no has comprobado nada.
Un matiz honesto: estar en el registro no significa que el supervisor avale la solvencia ni la seguridad de la plataforma. Significa que está supervisada y que tiene obligaciones, también sobre tu documento.
Quién te lo pide, si es legítimo y qué enviar
| Quién lo pide | ¿Es legítimo? | Qué enviar |
|---|---|---|
| Un exchange que has encontrado en el registro, en su app, en un alta que abriste tú | Sí — obligación legal real | El documento completo, sin censurar, y el selfi en directo |
| Un exchange que no aparece en ningún registro | No | Nada. No abras la cuenta |
| Un correo o un DM de «soporte» diciendo que tu retirada está bloqueada | No | Nada. Entra tú a la cuenta y mira si hay algo pendiente |
| Una web con un airdrop o bonus que hay que «desbloquear» verificándote | No | Nada |
| Un servicio de recuperación de fondos que ya perdiste | No | Nada — se dirige a quien ya ha sido estafado una vez |
| Tu contraparte en una operación P2P | No | Nada. Verifica la plataforma, nunca el otro usuario |
| Un exchange autorizado que te pide el documento por correo electrónico | No — entidad correcta, canal equivocado | Nada. Hazlo dentro de la app |
Las dos últimas filas son las importantes. Una contraparte de P2P que te pide el DNI no hace una versión ligera del KYC: es un desconocido pidiendo un documento, y va en el mismo cajón que un comprador de Wallapop que te pide el DNI, donde sí cabe una copia censurada si decides seguir. Y un exchange legítimo que te escribe por correo pidiendo un adjunto casi seguro que no es tu exchange: imitar el paso de verificación es de las formas más productivas de conseguir copias completas.
Qué pasa con la copia cuando el trámite ya ha salido bien
Ni se queda ahí para siempre ni se borra a petición.
El plazo lo fija la ley. El artículo 25 de la Ley 10/2010 obliga a conservar la documentación diez años desde el fin de la relación de negocios, con la particularidad de que a partir del quinto año solo pueden acceder a ella los órganos de control interno del sujeto obligado y, en su caso, quien lleve su defensa legal. El Reglamento europeo de 2024 fija cinco años como norma armonizada a partir de 2027.
El derecho de supresión tiene un hueco, y es el correcto. El artículo 17.3.b) del RGPD excluye el derecho de supresión cuando el tratamiento es necesario para cumplir una obligación legal. Un exchange que se niega a borrar tu DNI durante ese plazo no te está dando largas: está haciendo lo que le manda la ley. Cuando el plazo termina, la obligación se invierte y los datos deben desaparecer.
Pregunta dónde está la segunda copia. Casi ninguna plataforma construye su propia verificación: la compra. Tu documento y tu cara pasaron por un proveedor externo, con contrato, quizá en otro país, y un derecho de acceso te dice cuál. Es la pregunta más útil, porque «quién tiene mi DNI» casi nunca tiene una sola respuesta. La mecánica está en ¿puede una empresa guardar una copia de tu DNI?, y la AEPD es la vía si no te contestan.
Usa siempre el flujo de la app. Ni correo, ni chat, ni un formulario que te pide subir el documento a un servicio genérico de ficheros. Lo que entra por el proceso de verificación queda sujeto al régimen de conservación de arriba; lo que se envía como adjunto se queda en un buzón sin plazo ninguno.
El selfi y la prueba de vida
El selfi no es una intromisión añadida al margen: es la parte que hace que la comprobación del documento signifique algo. Una copia demuestra que el documento existe; solo una captura en directo lo ata a la persona que está delante.
Por eso el formato de la petición dice tanto. Una verificación real enciende la cámara ella misma, te pide girar la cabeza o seguir un punto y elige sus propios fotogramas, porque da por hecho que lo que le entregues puede ser la foto de una foto. Pedirte que te hagas tú una foto sujetando el documento — más aún con la fecha escrita a mano — es lo contrario: produce un fichero portátil que se puede reenviar a la revisión manual de otra plataforma. Los indicios están en ¿es seguro enviar un selfi con tu DNI en la mano?.
Dentro de la captura en directo de un exchange autorizado, deja que funcione y no cambies nada. Fuera de ahí, la foto es el producto.
Nada de este sitio sirve para pasar un KYC, y Anonymize my ID tampoco: está pensado para las peticiones que no tienen ningún regulador detrás — la contraparte de una operación, el grupo de WhatsApp, el soporte de una plataforma. Para un exchange supervisado, la herramienta es el registro, no la censura.
Preguntas frecuentes
¿Estoy obligado a enviar el DNI a un exchange de criptomonedas?
Si está autorizado, sí. Desde que se aplica el Reglamento MiCA, ofrecer servicios de criptoactivos en la UE requiere autorización, y eso somete a la plataforma a los mismos deberes de identificación que a un banco. No existe una versión del trámite que funcione con un documento parcial. Si no quieres identificarte ante una entidad supervisada, la solución no es censurar: es no abrir la cuenta.
¿Puedo enviar el DNI censurado o con marca de agua al exchange?
No. El sistema de alta lee los campos del documento y casi siempre compara la fotografía con una captura en directo de tu cara, así que una barra negra es un campo que falta y una marca de agua sobre la página de datos puede interpretarse como manipulación. En la práctica te lo vuelven a pedir, a veces con la cuenta restringida mientras tanto, y acabas enviando el documento completo igual.
¿Cómo compruebo si un exchange está autorizado en España?
En un registro oficial, no en la web del propio exchange. La CNMV publica el registro de proveedores de servicios de criptoactivos autorizados, y ESMA publica la lista europea junto con la de entidades señaladas como no conformes. El registro del Banco de España quedó cerrado el 1 de julio de 2026 y solo sirve ya como histórico. Busca la razón social exacta, no la marca comercial.
Una web dice que tengo que hacer el KYC para liberar un airdrop o desbloquear una retirada. ¿Es real?
Casi nunca. Una verificación real ocurre al abrir la cuenta o al superar un umbral, dentro de la app y en una sesión que abres tú. Una exigencia que llega por mensaje, que bloquea un dinero que crees tener y que te lleva a un formulario en un dominio desconocido es el patrón habitual para recopilar documentos completos. La comisión de desbloqueo que aparece después lo confirma.
El otro usuario de una operación P2P me pide una foto del DNI. ¿Es normal?
No. Cuando una plataforma P2P tiene obligaciones de identificación, las cumple ella misma: nunca las delega en tu contraparte. Alguien que te pide el documento directamente no tiene obligación de custodiarlo, ni plazo de conservación, ni supervisor. Es la misma petición que la de un comprador de Wallapop que quiere «verificarte» antes de pagar, y la respuesta es la misma.
¿Cuánto tiempo guarda el exchange mi DNI y puedo pedir que lo borre?
El plazo lo fija la ley, no la plataforma: el artículo 25 de la Ley 10/2010 obliga a conservar la documentación diez años, con acceso restringido a partir del quinto. El artículo 17.3.b) del RGPD excluye el derecho de supresión cuando el tratamiento es necesario para cumplir una obligación legal, así que esperar el borrado durante ese plazo no es realista. Lo que sí puedes pedir es acceso y saber qué proveedor externo hizo la verificación.