En el ámbito de la Prevención del Blanqueo de Capitales (PBC), uno de los pilares fundamentales es la correcta identificación formal del cliente y la titularidad real. Los sujetos obligados del sector inmobiliario, así como los abogados y otros profesionales independientes que intervienen en operaciones de compraventa, están obligados a cumplir con esta exigencia según la Ley 10/2010.
Sin embargo, una reciente resolución de la Agencia Española de Protección de Datos (AEPD) ha introducido un nuevo elemento de debate en el sector: surge la duda sobre si la exigencia de aportar una fotocopia del DNI para cumplir con las obligaciones de identificación del cliente puede realizarse sin incurrir en vulneraciones de la normativa de protección de datos personales.
Índice
- Obligación de identificación en la Ley 10/2010
- Resolución AEPD EXP202405899: un giro interpretativo
- El conflicto jurídico: dos leyes del mismo rango
- Vías alternativas de verificación válidas (AEPD)
- Nuestra propuesta de acreditación de la identidad y su justificación ante el SEPBLAC
- Cumplimiento prudente y enfoque proactivo
Obligación de identificación en la Ley 10/2010
El artículo 3 de la Ley 10/2010 establece que los sujetos obligados deben identificar formalmente a sus clientes antes de establecer relaciones de negocio o realizar operaciones y, por su parte, el artículo 4 la de identificar al titular real. Esta identificación implica recabar un documento oficial, como el DNI, que permita verificar la identidad y determinar quién detenta la titularidad real de la operación inmobiliaria.
Solicitar copia del DNI como medio de prueba documental
La práctica habitual en muchos procedimientos administrativos o de atención al cliente ha sido la de solicitar una copia del Documento Nacional de Identidad (DNI) como medio de prueba documental para verificar la identidad de la persona solicitante.
Entre los casos más comunes en los que se solicita una copia del DNI se encuentran:
- Trámites de alta o baja en servicios públicos o privados.
- Verificación de identidad en gestiones bancarias o financieras.
- Procedimientos de contratación, tanto laborales como mercantiles.
- Ejercicio de derechos en materia de protección de datos personales (acceso, rectificación, supresión, etc.).
Sin embargo, esta práctica comienza a cuestionarse seriamente, especialmente cuando el cliente o usuario se niega a facilitar dicha copia. En estos casos, surge un conflicto entre la necesidad de identificar al interesado y el derecho a la protección de sus datos personales.
Recientemente, la Agencia Española de Protección de Datos (AEPD) ha adoptado un criterio más restrictivo al respecto, lo que podría obligar a las entidades a replantear sus procedimientos internos.
Resolución AEPD EXP202405899: un giro interpretativo
La resolución de la AEPD (EXP202405899) sanciona a una entidad con 3.000 euros por solicitar copia del
DNI a un usuario que ejercía un derecho de protección de datos. Según la AEPD, esta solicitud vulnera el
principio de minimización del RGPD (art. 5.1.c), ya que el DNI contiene datos excesivos para la finalidad
perseguida, como fotografía, firma, nombres de progenitores o número de soporte.
Esta resolución marca un cambio significativo en la interpretación de los mecanismos de identificación para el ejercicio de derechos ARCO (Acceso, Rectificación, Cancelación y Oposición). Tradicionalmente, la práctica habitual consistía en solicitar una copia completa del DNI como método estándar de verificación de identidad, considerándose una medida proporcionada y necesaria para garantizar que la persona que ejercía el derecho era efectivamente el titular de los datos.
Sin embargo, la AEPD ahora establece que esta práctica debe ser reexaminada bajo la lupa del principio de minimización de datos, exigiendo a las organizaciones que evalúen qué información específica necesitan realmente para cumplir con su obligación de verificación, evitando así el tratamiento de datos innecesarios que exceden la finalidad legítima de identificación del solicitante.
Se considera desproporcionado exigir copia del DNI en muchos contextos
Este giro interpretativo marca un antes y un después en la forma de abordar la identificación de los usuarios. A partir de esta resolución, se refuerza la idea de que exigir copia del DNI puede resultar desproporcionado en numerosos contextos, especialmente cuando existen métodos alternativos menos intrusivos pero igualmente eficaces.
Entre los métodos eficaces que pueden emplearse se encuentran:
- La verificación mediante código de referencia.
- El uso de sistemas electrónicos seguros.
- La presentación del documento para su simple visualización, sin necesidad de retención ni copia.
Las entidades deberán revisar sus protocolos de verificación para garantizar que respetan los principios del RGPD y evitan la recogida excesiva de datos personales.
El conflicto jurídico: dos leyes del mismo rango
Nos encontramos ante una aparente contradicción entre dos normas de igual jerarquía: la Ley Orgánica 3/2018 (LOPDGDD) y la Ley 10/2010 (norma troncal en materia de PBC). Ambas tienen como objetivo proteger bienes jurídicos fundamentales: la privacidad y la integridad del sistema financiero.
Medidas reforzadas de diligencia debida
El principio de legalidad exige que el tratamiento de datos personales se limite a lo necesario, pero la
normativa de PBC también impone medidas reforzadas de diligencia debida en materia de identificación ¿Qué hacer entonces cuando el cumplimiento de una obligación puede suponer la infracción de otra?
Vías alternativas de verificación válidas (AEPD)
La AEPD, en su resolución, sugiere métodos menos intrusivos que permiten verificar la identidad sin
necesidad de conservar una copia del DNI:
- Mostrar el DNI presencialmente o por videollamada, sin retener copia.
- Solicitar datos parciales estrictamente necesarios (nombre, fecha de nacimiento, número de documento).
- Utilizar firma con certificado digital o medios electrónicos verificados.
- Formularios con preguntas de seguridad basadas en datos previamente recabados.
- Contrastar la identidad con información obrante en sistemas internos (número de cliente, fecha de alta, etc.).
Estas alternativas, si se implementan correctamente, podrían cumplir con los requisitos de la Ley 10/2010 sin entrar en conflicto con la LOPDGDD.
Nuestra propuesta de acreditación de la identidad y su justificación ante el SEPBLAC
Sin vulnerar lo dictado por la AEPD, nuestra propuesta práctica sería, cualquiera de las tres siguientes:
a) Registro detallado de la verificación:
- Fecha, hora y persona que realizó la verificación
- Número de DNI completo
- Datos verificados (nombre, apellidos, fecha nacimiento)
- Firma del Agente o empleado que verificó Todo ello recogido en un soporte documental archivable.
b) Declaración responsable firmada:
- Del cliente sobre su identidad, con reflejo de todos los datos “estrictamente necesarios”
- Con advertencia de responsabilidades penales por falsedad
Siendo esta declaración responsable una más de las solicitadas al cliente.
c) Fotografía del documento de verificación (sin capturar el DNI completo):
- Cliente sosteniendo el documento
- Sin que se lean todos los datos (el anverso, por ejemplo)
Esta foto se conservaría como soporte documental de identificación, a los efectos de prueba.
Cumplimiento prudente y enfoque proactivo
Los sujetos obligados del sector inmobiliario deben adoptar un enfoque de cumplimiento prudente, basado en el principio de proporcionalidad.
Aunque la Ley 10/2010 exige verificar la identidad, esto no implica necesariamente conservar copias físicas del DNI, u otro de los documentos acreditativos (NIE o pasaporte) especialmente cuando existen medios igualmente eficaces y más respetuosos con la privacidad.
Revisar protocolos de identificación y valorar métodos alternativos
Desde Tempus Quality, animamos a los profesionales del sector inmobiliario y demás profesionales que puedan actuar en relación a operaciones inmobiliarias, a revisar sus protocolos de identificación y a valorar métodos alternativos que concilien sus obligaciones en materia de PBC con el respeto a los derechos de protección de datos.
La clave está en encontrar el equilibrio normativo, actuar con diligencia y, sobre todo, mantenerse actualizados frente a los cambios interpretativos como el que plantea la AEPD.
¿Te interesa saber cómo adaptar tus procedimientos internos a esta nueva realidad? Nuestro equipo de formación especializada en PBC para el sector inmobiliario puede ayudarte.
Artículo redactado por Emilio Ballester, Economista y Auditor de Cuentas registrado en el ROAC (Registro Oficial de Auditores de Cuentas, n/e). Además, cuenta con una amplia experiencia como Experto en Prevención del Blanqueo de Capitales y Financiación del Terrorismo (PBC/FT), acreditado por el SEPBLAC (Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias).
Este artículo no constituye asesoría legal. Para una evaluación personalizada, se recomienda consultar con un profesional especializado.
