La Agencia Española de Protección de Datos (AEPD) sanciona con 100.000 € a Orange por fotografiar ambas caras del DNI al entregar paquetes a sus clientes, al concluir que en el documento aparecen más datos personales de los necesarios para verificar la identidad.
Las operadoras de telecomunicaciones han sido sancionadas por las autoridades de protección de datos en repetidas ocasiones por no haber comprobado correctamente la identidad de la persona a la que entregan una tarjeta SIM, lo que ha facilitado el fraude conocido como SIM swapping. También son habituales las estafas en las que el defraudador consigue terminales de alta gama de una operadora con los datos de otra persona1.
Para evitar las suplantaciones de identidad Orange introdujo en 2019 cambios en su sistema de entregas mediante mensajería. Desde entonces el repartidor toma con su móvil imágenes de la documentación del cliente en el momento de la entrega. Como recoge la web de Orange2, para recoger un pedido por mensajería es necesario presentar al repartidor el DNI o equivalente, destacando que la "documentación solicitada será escaneada en el momento de la recogida".
Sanción de la AEPD por fotografiar el DNI
Un cliente al que el repartidor de la compañía GLS pidió fotografiar con su móvil el anverso y reverso del DNI en el momento de la entrega y que consideró está exigencia excesiva, se presentó en el cuartel de la Guardia Civil junto con el empleado de la empresa de mensajería para presentar una reclamación. La AEPD inició una investigación3 pidiendo más información a la agencia de transportes y a la operadora.
En su respuesta a la AEPD, GLS explica que con el servicio IdentService4 una app en el terminal del repartidor toma las imágenes que bajan cifradas a un servidor donde se mantienen hasta 4 años para que pueda consultarlas la empresa que contrata el reparto, sin que el empleado pueda verlas. Para la AEPD la toma de fotografías del DNI es excesiva ya que capta más datos de los necesarios para verificar la identidad.
Hay que señalar que el DNI contiene no solo el nombre y apellidos, su número y la fotografía del destinatario sino que incorpora otros muchos datos: firma, domicilio, lugar y fecha de nacimiento, clave de acceso a la información contenida en el mismo, fecha de expedición, fecha de validez, código alfanumérico, equipo expedidor y oficina, etc., datos completamente adicionales que no son ni adecuados ni pertinentes ni limitados para la finalidad de la entrega de la mercancía y que para acreditar que la persona que recoge el producto es el titular que facilitó los datos en el momento de la contratación se habrán de utilizar otros medios que resulten menos lesivos y agresivos para la privacidad de las personas.
A pesar de que Orange alega que tomó esta medida para evitar más sanciones como las que se había tenido que enfrentar previamente por "no conservar prueba de la verificación de identidad del interesado", la resolución de la AEPD fija una multa de 100.000 € como responsable de una infracción calificada como muy grave al no recoger solo los datos "adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (minimización de datos)".
