¿Puede una empresa guardar una copia de tu DNI?

«Necesitamos una copia de tu DNI para nuestros archivos.» Es una frase tan rutinaria que casi nadie hace la pregunta evidente: ¿para qué archivos, y durante cuánto tiempo? En la Unión Europea, esas dos preguntas tienen peso legal detrás.

La pregunta no es «¿pueden pedirlo?», sino «¿por qué y hasta cuándo?»

Una empresa está legitimada, por lo general, para asegurarse de que eres quien dices ser. Lo que no está automáticamente legitimada a hacer es conservar una imagen permanente y sin editar del documento que lo demuestra. Son dos cosas distintas, y en esa distancia ocurre casi toda la recogida excesiva: es sencillamente más cómodo fotografiar la página entera que anotar el único dato que hacía falta.

Qué exige realmente el RGPD

Tres principios hacen casi todo el trabajo, los tres del artículo 5 del RGPD:

Licitud. Tiene que haber una base válida para tratar tus datos: un contrato, una obligación legal o un interés legítimo que no prevalezca sobre tus derechos.
Minimización de datos (artículo 5.1.c). Los datos deben ser adecuados, pertinentes y limitados a lo necesario. Si con confirmar tu nombre y tu foto se cumple la finalidad, una copia que además lleva tu número de documento, la zona de lectura mecánica y tu fecha de nacimiento es más de lo necesario.
Limitación del plazo de conservación (artículo 5.1.e). Los datos no deben conservarse más de lo que exige la finalidad. «Nuestros archivos» no es un plazo.

En la práctica, muchas veces encaja mejor con la ley que una persona vea tu documento y deje constancia de que la comprobación se hizo, que guardar un escaneo en una carpeta compartida.

Dónde sí hace falta la copia completa

Algunas peticiones tienen una base legal más firme, y conviene reconocerlas en lugar de rechazarlas por reflejo:

Bancos y servicios financieros, por la normativa de prevención del blanqueo, deben verificar y conservar registros de identidad durante un plazo determinado. Lo ves en qué copia de tu DNI necesita realmente tu banco.
Las empresas, en muchos países, deben conservar prueba de las comprobaciones laborales: ver ¿es seguro enviarle tu DNI a un nuevo empleo?.
Los alojamientos, en países con obligación de registro de viajeros, deben anotar y comunicar datos concretos.

Fíjate en lo que tienen en común: una obligación con nombre y un plazo definido. Eso es muy distinto de una inmobiliaria que conserva un escaneo del pasaporte en una carpeta porque nadie lo borró nunca.

Tres preguntas que merece la pena hacer

Cuando alguien te pide una copia, estas preguntas son razonables y suelen encoger la petición:

¿Qué necesitáis verificar? La respuesta suele ser más estrecha que la petición.
¿Necesitáis quedaros una copia o solo comprobar el documento? Muchos procesos se conforman con lo segundo.
¿Cuánto tiempo la vais a conservar y cómo se guarda? Quien no sabe responder, normalmente no lo ha pensado.

Cómo pedir que la borren

Cuando la finalidad ha terminado — el contrato firmado, la estancia acabada, el proceso de selección cerrado — puedes pedir que se suprima la copia. Escribe a la empresa o a su delegado de protección de datos, indica qué quieres que borren y por qué ha terminado la finalidad, y pide confirmación por escrito. Si se niegan sin señalar una base legal para conservarla, puedes reclamar ante la AEPD.

La vía más sencilla: enviar una copia que sea segura de conservar

Todo lo anterior es tu derecho, pero da trabajo y llega después. La versión que lleva un minuto y no necesita la colaboración de nadie es enviar menos desde el principio: tapa el número de documento, la zona de lectura mecánica, la fecha de nacimiento y la firma, deja visibles tu nombre y tu foto, y pon una marca de agua para esa petición concreta. Así da casi igual cuánto tiempo se quede en la carpeta de alguien.

Anonymize my ID lo hace en tu móvil y sin conexión: en cómo censurar un pasaporte o DNI tienes exactamente qué campos tapar.

Preguntas frecuentes

¿Es legal que una empresa pida una copia de mi DNI?

Normalmente sí, si tiene un motivo real: verificar quién eres antes de un alquiler, un contrato o una cuenta. Lo que el RGPD limita no es la petición en sí, sino la necesidad: deben poder decir para qué la quieren y no recoger más de lo que esa finalidad exige.

¿Puede una empresa quedarse mi pasaporte indefinidamente?

Por defecto, no. El principio de limitación del plazo de conservación implica que los datos no deben guardarse más tiempo del necesario para la finalidad con la que se recogieron. Terminada la comprobación, una copia indefinida es difícil de justificar, salvo que una ley concreta obligue a conservarla.

¿Qué empresas sí están obligadas a guardar una copia?

Sobre todo las reguladas. Los bancos y otras entidades financieras tienen obligaciones de conservación por la normativa de prevención del blanqueo, y las empresas deben conservar en muchos casos prueba de las comprobaciones laborales. Esas obligaciones fijan sus propios plazos, que prevalecen sobre la regla general.

¿Cómo pido que borren la copia que tienen?

Por escrito, a la empresa o a su delegado de protección de datos: di qué quieres que borren, por qué ha terminado la finalidad y pide confirmación. Si se niegan sin explicar una base legal para conservarla, puedes reclamar ante la AEPD.

¿Esto vale fuera de la Unión Europea?

El RGPD cubre la UE y el EEE, y el Reino Unido tiene un régimen equivalente. Muchos otros países aplican reglas parecidas de necesidad y conservación en sus propias leyes de privacidad, aunque los detalles cambian. Los consejos prácticos de abajo — pregunta para qué, pregunta cuánto tiempo, envía menos — funcionan estés donde estés.