¿Puedes guardar una copia del DNI de tus clientes?
Es una situación muy habitual en empresas y autónomos: un cliente solicita un servicio y, para identificarlo, se le pide una copia de su DNI. Después, ese documento termina almacenado en el ordenador, en el correo electrónico, en una carpeta de Google Drive o incluso en un programa de gestión.
Pero aquí surge una pregunta importante: ¿puede una empresa guardar indefinidamente los DNI de sus clientes?
La respuesta no es simplemente sí o no. El Reglamento General de Protección de Datos (RGPD) establece que los datos personales deben tratarse de forma adecuada, pertinente y limitada a lo necesario para la finalidad para la que se recogen.
Por tanto, antes de pedir y conservar una copia del DNI, una empresa debería preguntarse: ¿realmente necesito conservar este documento completo para prestar el servicio o cumplir una obligación legal?
En muchos casos, la respuesta será que no.
¿Qué dice el RGPD sobre guardar el DNI?
El DNI contiene numerosos datos personales: nombre, apellidos, número de documento, fotografía, nacionalidad y otros elementos identificativos.
Por tanto, una copia del DNI constituye un tratamiento de datos personales y queda sometida al RGPD y, en España, a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
Uno de los principios fundamentales del artículo 5 del RGPD es el de minimización de datos. Esto significa que una empresa no debería recopilar más información de la necesaria para conseguir una determinada finalidad.
Es parecido a pedir las llaves de toda una casa cuando únicamente necesitas abrir una puerta: si puedes conseguir el objetivo utilizando menos información, no deberías solicitar información adicional sin una justificación.
¿Cuándo puede ser necesario solicitar el DNI?
Existen situaciones en las que una empresa puede necesitar determinados datos identificativos de sus clientes.
Por ejemplo:
- Cuando existe una obligación legal de identificar al cliente.
- Cuando una normativa específica exige conservar determinada información.
- Para formalizar determinados contratos.
- Para realizar determinadas operaciones en las que la identificación sea legalmente necesaria.
- Cuando sea necesario acreditar la identidad para una finalidad concreta y exista una base jurídica adecuada.
En estos casos, la empresa debe analizar qué información necesita realmente y durante cuánto tiempo debe conservarla.
Que puedas solicitar determinados datos no significa automáticamente que puedas guardar una copia completa del DNI.
Este matiz es especialmente importante.
¿Puedo pedir una fotocopia del DNI simplemente «por seguridad»?
Aquí es donde muchas empresas cometen un error.
Decir al cliente «necesito una copia del DNI por seguridad» no constituye por sí mismo una justificación suficiente para conservar indefinidamente ese documento.
La empresa debe determinar:
- Qué finalidad persigue.
- Qué base jurídica permite el tratamiento.
- Qué datos son necesarios.
- Durante cuánto tiempo deben conservarse.
- Quién tendrá acceso a ellos.
Si para identificar al cliente es suficiente con comprobar el DNI y registrar determinados datos identificativos, conservar una copia completa podría resultar excesivo.
¿Y si el cliente me da voluntariamente una copia?
Que el cliente entregue voluntariamente una copia del DNI tampoco significa que la empresa pueda conservarla sin límite.
El RGPD exige que exista una finalidad concreta y una base jurídica que legitime el tratamiento.
Además, el consentimiento no debe utilizarse como solución automática cuando existe otra base jurídica más adecuada.
Por ejemplo, si una empresa tiene una obligación legal de conservar determinada información, no tendría sentido intentar solucionar el tratamiento simplemente haciendo firmar al cliente un consentimiento.
La pregunta correcta no es «¿me ha dado permiso el cliente?», sino «¿estoy legitimado para tratar y conservar esta información para esta finalidad concreta?»
¿Durante cuánto tiempo puedo conservar una copia del DNI?
No existe un plazo único aplicable a todas las empresas.
El tiempo de conservación dependerá de la finalidad del tratamiento y de las obligaciones legales que puedan resultar aplicables.
El RGPD establece en su artículo 5.1.e) el principio de limitación del plazo de conservación, según el cual los datos personales no deben mantenerse durante más tiempo del necesario para los fines para los que fueron recogidos.
Por tanto, una empresa debería establecer criterios de conservación y eliminación de la documentación.
Por ejemplo, si una copia del DNI únicamente era necesaria para realizar una comprobación puntual de identidad y no existe ninguna obligación legal que justifique conservarla, mantenerla almacenada indefinidamente podría entrar en conflicto con este principio.
¿Cómo debería guardar el DNI una empresa si realmente necesita conservarlo?
Cuando exista una justificación para conservar una copia, la empresa debe aplicar medidas de seguridad adecuadas al riesgo.
Algunas recomendaciones son:
- Limitar el acceso a las personas que realmente lo necesiten.
- Evitar almacenar documentos en ordenadores personales sin protección.
- Utilizar sistemas de almacenamiento seguros.
- Aplicar contraseñas y controles de acceso.
- Cifrar la información cuando resulte apropiado.
- Evitar enviar copias del DNI por canales inseguros.
- Establecer un plazo de conservación.
- Eliminar las copias cuando ya no exista una finalidad que justifique conservarlas.
Además, conviene tener en cuenta que una copia del DNI puede contener más información de la estrictamente necesaria para determinadas gestiones.
Caso práctico: una empresa pide el DNI para contratar un servicio
Imaginemos una empresa de servicios que solicita al cliente una copia del DNI antes de formalizar un contrato.
El cliente envía una fotografía del documento por WhatsApp y la empresa la guarda durante años en el teléfono del trabajador.
Aquí aparecen varias cuestiones que deberían analizarse:
- ¿Era necesario conservar una copia completa?
- ¿Existía una obligación legal que justificara hacerlo?
- ¿El canal utilizado era adecuado?
- ¿Quién puede acceder a la fotografía?
- ¿Durante cuánto tiempo debe conservarse?
- ¿Existe un procedimiento para eliminarla cuando deje de ser necesaria?
Si la empresa únicamente necesitaba comprobar determinados datos para formalizar el contrato, podría ser más adecuado recoger los datos necesarios y no conservar una copia completa del documento, siempre que no exista una obligación legal específica que exija conservarla.
¿Qué riesgos tiene conservar DNI sin necesidad?
Guardar documentos de identidad sin una finalidad clara aumenta la cantidad de información personal que la empresa debe proteger.
En caso de pérdida, acceso no autorizado o brecha de seguridad, el incidente podría afectar a información identificativa de los clientes.
Además, conservar datos durante más tiempo del necesario puede entrar en conflicto con los principios de minimización y limitación del plazo de conservación establecidos por el RGPD.
Por eso, una buena política de protección de datos no consiste en guardar «por si acaso», sino en conservar únicamente aquello que realmente sea necesario y durante el tiempo adecuado.
¿Quieres saber si tu empresa puede guardar los DNI de sus clientes?
La respuesta depende de la actividad, la finalidad para la que se solicita el documento y las obligaciones legales aplicables. No todas las empresas tienen las mismas necesidades ni pueden aplicar exactamente los mismos criterios.
Si quieres conocer las principales obligaciones que debe cumplir cualquier empresa en materia de protección de datos, puedes consultar nuestra guía completa sobre Protección de datos para empresas en 2026, donde explicamos de forma práctica cómo adaptar un negocio al RGPD y a la LOPDGDD:
Conclusión
Una empresa no debería guardar el DNI de sus clientes simplemente porque puede hacerlo o «por seguridad». Antes de solicitar y conservar una copia, debe existir una finalidad concreta, una base jurídica adecuada y una necesidad real de conservar esa información.
Si la copia completa del DNI no es necesaria para conseguir la finalidad perseguida, el principio de minimización del RGPD obliga a plantearse si existe una alternativa menos invasiva.
La protección de datos no consiste en recopilar toda la información posible, sino en utilizar únicamente los datos que realmente necesitas y protegerlos correctamente.
¿Tienes dudas sobre los DNI de tus clientes?
En DAPRO Cumplimiento Normativo ayudamos a empresas y autónomos a analizar sus tratamientos de datos y adaptar sus procedimientos a las exigencias del RGPD y la LOPDGDD.
Si no tienes claro si puedes solicitar una copia del DNI, cuánto tiempo puedes conservarla o cómo debes protegerla, podemos analizar tu caso y ayudarte a establecer un procedimiento adecuado.
