¿Es legal pedir fotocopia del DNI? Cuándo sí y cuándo no

Pedir una fotocopia del DNI solo es legal cuando la copia es necesaria para la finalidad o cuando una ley la exige. Como regla general, la Agencia Española de Protección de Datos (AEPD) considera que para contratar un servicio o ejercer tus derechos no hace falta copia, porque tu identidad se puede comprobar de otras formas; la excepción más clara son los bancos y demás entidades obligadas por la normativa contra el blanqueo de capitales.

La clave está en distinguir dos cosas: enseñar el DNI para que comprueben tus datos y dejar una copia que la empresa guarda. Lo primero es habitual y casi nunca plantea problemas. Lo segundo necesita una justificación.

Este artículo resume criterios publicados por la AEPD y normas vigentes. No es asesoramiento jurídico: si tienes un caso concreto, consulta al delegado de protección de datos de la empresa o a un profesional.

Enseñar el DNI no es lo mismo que guardar una copia

Cuando enseñas el DNI, la persona que te atiende comprueba que eres quien dices ser y anota, si hace falta, los datos necesarios. El documento vuelve a tu bolsillo.

Una copia, en papel o en foto, se queda en un archivo, un correo o un móvil. Incluye todo lo que aparece en el documento, también datos que el trámite no necesita. Y puede acabar en manos de quien no debe.

Por eso el Reglamento General de Protección de Datos exige que los datos sean "adecuados, pertinentes y limitados a lo necesario" (principio de minimización, artículo 5.1.c). Una copia completa del DNI casi siempre contiene más de lo necesario.

Qué dice la AEPD

La AEPD ha fijado su criterio en varias respuestas y resoluciones:

Contratación. En su respuesta sobre si es necesario dar copia del DNI para contratar, dice que generalmente no, porque la identidad puede verificarse de otras maneras, por ejemplo con firma electrónica. Añade que la legislación sectorial, como la de prevención del blanqueo de capitales, sí puede exigir la copia.
Ejercicio de derechos. Para pedir acceso, rectificación o supresión de tus datos, la AEPD indica que como regla general no es necesario facilitar la copia del DNI. La empresa solo puede pedir información adicional si tiene dudas razonables sobre tu identidad.
Si te la piden igualmente. Cuando no sea estrictamente necesaria una copia íntegra, puedes ocultar los datos que no hacen falta, como el número de soporte o el equipo de expedición. Si la envías por internet, la AEPD aconseja evitar el correo electrónico y recuerda que la empresa debe ofrecer un medio seguro.

Dos expedientes recientes muestran cómo aplica ese criterio. En el PS/00443/2024, la política de privacidad de una web exigía copia del DNI para ejercer los derechos de protección de datos. La AEPD lo consideró un tratamiento excesivo, porque la copia incluye datos como la imagen o los nombres de los progenitores que no hacen falta para identificar a nadie. El procedimiento terminó con el pago de 3.000 euros tras aplicar las reducciones por reconocimiento y pago voluntario. En el PS/00535/2024, una aplicación pedía copia del DNI por las dos caras para "verificar" usuarios, y la AEPD concluyó que esa finalidad podía lograrse por otros medios.

Cuándo la ley exige identificarte

Hay casos en los que una norma obliga a la empresa a identificarte, y alguno en el que además debe guardar copia.

Bancos y otros sujetos obligados. La Ley 10/2010 de prevención del blanqueo de capitales obliga a entidades de crédito, notarios, asesores fiscales, contables externos, agentes inmobiliarios en determinadas operaciones y otros sujetos a identificar a sus clientes (artículo 3). Su artículo 25 les obliga a conservar durante diez años, entre otros documentos, copia de los exigidos en la diligencia debida. Aquí la copia está justificada.

Hoteles y apartamentos turísticos. El Real Decreto 933/2021 obliga a los alojamientos a registrar datos de los viajeros, como el nombre, el número y el tipo de documento o la fecha de nacimiento, y a conservar el registro tres años. Esos datos deben coincidir con el documento, que el viajero exhibe o facilita. Pero la AEPD aclaró en una nota informativa de junio de 2025 que esta obligación no autoriza a pedir una copia del DNI o del pasaporte. En persona basta con comprobar el documento a la vista.

Fuera de estos casos, quien te pida una copia debe poder explicar por qué no le basta con verlo.

Tabla de decisión por situación

Úsala como orientación general. La respuesta final depende de la finalidad concreta y de la norma que se aplique.

Situación	¿Pueden pedir verlo?	¿Pueden guardar copia?	Qué tapar si envías copia
Banco, notario, asesor fiscal (Ley 10/2010)	Sí	Sí, la ley les obliga a conservarla	Nada sin preguntar. Pueden rechazar una copia incompleta.
Hotel o apartamento turístico	Sí, para comprobar tus datos	No, según la AEPD	No envíes copia. Ofrece enseñar el documento o rellenar sus datos en un formulario.
Contratar un servicio (luz, gimnasio, suscripción)	Pueden comprobar tu identidad	Por regla general no hace falta, salvo que una ley sectorial lo exija	Número de soporte, equipo de expedición y firma.
Ejercer tus derechos de protección de datos	Solo si hay dudas razonables sobre tu identidad	Por regla general no	Si aun así te la piden, todo lo que no sirva para identificarte.
Aplicación o web que "verifica" usuarios	Puede usar otros métodos de verificación	La AEPD consideró excesiva la copia en el PS/00535/2024	Pregunta por alternativas antes de enviar nada.
Alquiler de vivienda (propietario o inmobiliaria)	Sí, para saber con quién firma	Solo si justifican por qué no basta con verlo	Número de soporte y firma. Añade una marca de agua.
Empresa que te contrata	Sí	Pregunta para qué la necesita y cuánto tiempo la guardará	Lo que no te pidan expresamente.

Si al final envías una copia, añádele una marca de agua con el destinatario, la finalidad y la fecha. Te explicamos qué poner en la marca de agua del DNI y cómo hacerlo gratis.

Qué debería hacer la empresa en lugar de pedir fotocopias

Si eres tú quien pide el DNI, el criterio de la AEPD se traduce en pasos concretos:

Pregúntate si te basta con verlo. Comprobar el documento en persona y anotar los datos necesarios evita guardar la copia.
Si necesitas copia, pide solo lo necesario. Indica qué cara y qué datos deben verse, y di qué se puede tapar.
Ofrece un canal seguro. Un enlace de subida es mejor que pedir el DNI por correo o por WhatsApp, donde la copia se queda en buzones y móviles.
Limita quién la ve. Que acceda solo quien tiene que comprobarla.
Fija una fecha de borrado desde el principio. Si la copia sirve para un trámite de una semana, no hay motivo para guardarla un año. La excepción son las copias que la ley obliga a conservar, como en la Ley 10/2010.

Sunset Docs está pensado para ese flujo. La empresa comparte un enlace de subida, también como código QR para el mostrador, o una dirección de correo propia, y quien envía no necesita cuenta. El equipo ve vistas previas con marca de agua en el navegador, no el archivo original, y cada documento se borra en la fecha elegida: 1, 8 o 24 horas, o 7, 30 o 90 días. Lo explicamos en la página sobre copias de DNI. Sunset Docs no verifica identidades, no impide que alguien fotografíe la pantalla y no convierte por sí solo un tratamiento en conforme al RGPD. Tampoco sustituye al archivo donde un sujeto obligado debe conservar copias durante años.

Preguntas frecuentes

¿Puedo negarme a dar una fotocopia del DNI?

Puedes preguntar para qué la quieren y ofrecer enseñar el original. Si no hay una norma que exija la copia, la empresa debería aceptar otra forma de identificarte. Si la exige una ley, como en un banco, negarte puede impedir el trámite.

¿Pueden pedirme el DNI por correo electrónico o por WhatsApp?

La AEPD aconseja evitar el correo electrónico para enviar la copia y dice que la empresa debe proporcionar un medio seguro. Pregunta si tienen un enlace de subida. Si no hay alternativa, envía la copia con marca de agua y pide que la borren cuando terminen.

¿Cuánto tiempo pueden guardar mi copia?

Solo el necesario para la finalidad, salvo que una ley fije un plazo. Por ejemplo, la Ley 10/2010 obliga a conservar las copias de diligencia debida durante diez años. Puedes preguntar el plazo a la empresa o consultarlo en su política de privacidad.

¿Y si la empresa ya tiene una copia que no necesitaba?

Puedes pedir que la supriman ejerciendo tu derecho de supresión. Para hacerlo, como regla general, tampoco necesitan una copia de tu DNI.

¿Dónde reclamo si no me hacen caso?

Primero dirígete a la empresa o a su delegado de protección de datos. Si no responde o no te satisface la respuesta, puedes presentar una reclamación ante la AEPD.