Protección de datos

La Agencia Española de Protección de Datos (AEPD) ha analizado un caso bastante común en el que una universidad pide al alumno que envíe una copia completa del DNI como condición para tramitar la expedición de un título universitario oficial. La discusión no es si hay que identificar al solicitante (eso se da por bueno), sino si es proporcional exigir todo el DNI para ese trámite.

Según la resolución, la normativa del procedimiento de expedición del título exige acreditar la identidad del interesado y que el título incluya ciertos datos personales (por ejemplo, nombre y apellidos, lugar y fecha de nacimiento y nacionalidad). Pero la AEPD subraya una idea clave y es que la norma pida identificación no significa que obligue a entregar una fotocopia íntegra del DNI ni que, por ese simple motivo, la universidad pueda recoger todos los datos que aparecen en él.

Aquí entra en juego el principio de minimización del RGPD donde solo se pueden tratar datos adecuados, pertinentes y limitados a lo necesario para la finalidad. Y el DNI completo suele incluir información que no hace falta para expedir el título (por ejemplo, la fotografía u otros datos que no son imprescindibles para comprobar lo que se necesita).

Además, la AEPD recuerda que la universidad normalmente ya tiene datos del alumno por la matrícula y la relación académica previa. Por eso, lo lógico es que primero se use la información que ya existe en sus sistemas para comprobar que quien pide el título es realmente quien estudió y aprobó. El DNI puede servir para verificar, sí, pero no como excusa para pedirlo entero.

En el caso analizado, se considera suficiente solicitar solo algunos datos concretos (como número de documento, fecha de nacimiento, nombre y apellidos y lugar de nacimiento). En cambio, pedir la copia íntegra se considera un tratamiento excesivo y contrario a la minimización, incluso aunque el alumno finalmente no llegue a enviar esa copia (porque pedirla ya forma parte del tratamiento).