| Informe | 2016-0189 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Expediente 2016-0189)
El informe de la Agencia Española de Protección de Datos (AEPD) analiza si es conforme a la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), que una empresa de contact center (encargada del tratamiento) entregue una fotocopia del DNI de sus trabajadores a un cliente (responsable del fichero) para verificar la identidad de los empleados que accederán a sus sistemas de información.
Cuestiones clave abordadas
Naturaleza de la comunicación de datos
La entrega de una fotocopia del DNI constituye una cesión de datos personales (art. 3.i LOPD), ya que implica la revelación de información a un tercero distinto del interesado.
En principio, esta cesión requiere el previo consentimiento del afectado (art. 11.1 LOPD), salvo que concurra alguna de las excepciones previstas en el art. 11.2 LOPD.
Excepción aplicable: Art. 11.2.c) LOPD
La AEPD considera que la cesión podría legitimarse bajo este apartado, que permite la comunicación sin consentimiento cuando:
Exista una relación jurídica entre el cedente (empresa de contact center) y el cesionario (cliente).
El acceso a los sistemas del cliente exija necesariamente la identificación de los trabajadores (medida de seguridad incluida en el documento de seguridad del cliente).
El Tribunal Supremo y la AEPD interpretan este precepto de forma restrictiva, exigiendo que la cesión sea inevitable para el cumplimiento de la relación contractual.
Medidas de seguridad y proporcionalidad
El Real Decreto 1720/2007, que desarrolla la LOPD, exige que los responsables de ficheros adopten medidas para garantizar la identificación y autenticación de usuarios (art. 82 y 93).
La entrega del DNI como medio de identificación se considera proporcional, ya que:
Idónea: Permite verificar fehacientemente la identidad (el DNI es un documento oficial de acreditación, según la Ley Orgánica 4/2015 de Seguridad Ciudadana).
Necesaria: No existe un sistema menos invasivo que garantice el mismo nivel de seguridad.
Proporcional en sentido estricto: Los beneficios (evitar accesos no autorizados) superan los perjuicios para los derechos de los trabajadores.
Consentimiento informado de los trabajadores
Aunque la cesión sin consentimiento podría ampararse en el art. 11.2.c), la empresa había obtenido consentimiento adicional mediante una adenda al contrato laboral, donde se informaba a los empleados sobre la posible comunicación de datos (incluido el DNI) para fines como el «control de accesos a sistemas».
Este consentimiento refuerza la legitimidad de la cesión, aunque no sea estrictamente necesario.
Principios de protección de datos aplicables
Finalidad: Los datos solo pueden usarse para verificar la identidad de los empleados que acceden a los sistemas del cliente (art. 4.2 LOPD).
Proporcionalidad: La cesión se limita a lo necesario (fotocopia del DNI, destrucción tras su uso) (art. 4.1 LOPD).
Conservación: Los datos deben cancelarse una vez cumplida la finalidad (art. 4.5 LOPD).
Conclusión
La AEPD considera legítima la cesión de fotocopias del DNI de los trabajadores en este caso, al encajar en la excepción del art. 11.2.c) LOPD (relación jurídica necesaria) y cumplir con los principios de proporcionalidad y seguridad. No obstante, se subraya la importancia de:
Limitar la cesión exclusivamente a la verificación de identidad.
Destruir los documentos una vez cumplido su fin.
Respetar el principio de finalidad, evitando usos posteriores incompatibles con la recogida inicial.
En definitiva, la AEPD avala la práctica siempre que se ajuste a estos requisitos legales, garantizando el equilibrio entre la operatividad empresarial y el derecho fundamental a la protección de datos.