| Informe | 2016-0135 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Expediente 2016-0135)
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) analiza la legalidad de que una empresa de contact center, en su condición de encargada del tratamiento, entregue una fotocopia del DNI de sus trabajadores a un cliente (responsable del tratamiento) para que este verifique su identidad al acceder a sus sistemas de información.
Naturaleza de la cesión de datos
La comunicación del DNI constituye una cesión de datos personales según el artículo 3.i) de la LOPD (Ley Orgánica 15/1999), definida como la revelación de datos a un tercero distinto del interesado. Este tipo de cesión requiere, como regla general, el consentimiento previo y explícito del afectado (artículo 11.1 LOPD). No obstante, el artículo 11.2.c) LOPD establece una excepción: la cesión no requiere consentimiento cuando sea inevitable para el desarrollo de una relación jurídica entre el cedente y el cesionario, y siempre que la comunicación se limite a la finalidad que la justifica.
Aplicación de la excepción al caso concreto
La AEPD considera que la entrega de la fotocopia del DNI sí estaría amparada por el artículo 11.2.c) LOPD, pues:
La prestación de servicios del contact center implica que sus empleados (en calidad de personal del encargado del tratamiento) accedan a los sistemas del cliente.
Entre las medidas de seguridad que debe adoptar el responsable del fichero (cliente) para garantizar el acceso remoto, se incluye la verificación de identidad de los usuarios, como exige el artículo 93 del RD 1720/2007 (Reglamento de la LOPD).
Se trata de una medida necesaria, proporcionada y vinculada directamente al cumplimiento de la relación contractual, ya que el cliente debe asegurarse de que solo personal autorizado acceda a sus sistemas.
Principios de protección de datos aplicables
La cesión debe respetar los principios fundamentales de la LOPD:
Proporcionalidad:
La medida es adecuada (cumple el objetivo de identificación).
Es necesaria (no existe otro medio menos invasivo).
Es equilibrada (la ventaja de proteger el sistema compensa la intromisión en la privacidad).
El DNI es un documento público diseñado precisamente para acreditar la identidad (artículo 8.1 Ley Orgánica 4/2015 de Seguridad Ciudadana).
Finalidad:
Los datos obtenidos solo podrán usarse para la verificación de identidad, no para otros fines («finalidades incompatibles»).
Conservación:
Tras la identificación, la fotocopia del DNI debe destruirse, conservándose únicamente los datos estrictamente necesarios (nombre, DNI) para mantener un registro de accesos autorizados.
Conclusión
La AEPD concluye que sí es legítima la cesión del DNI en estas circunstancias, siempre que:
Se limite a verificar la identidad de los empleados del contact center que acceden al sistema.
Se respeten los principios de minimización de datos y conservación limitada (destrucción tras la identificación).
El cliente (responsable del tratamiento) no utilice los datos para otros fines distintos a la seguridad del acceso.
Este criterio refuerza la legitimidad de las medidas de autenticación en entornos laborales con acceso externo, siempre que se ajusten a la normativa de protección de datos.