Ante una reciente petición al responsable del tratamiento de datos personales de una comercializadora eléctrica, para ejercer mi derecho de supresión de datos, me respondió con que necesitaba mi DNI escaneado. Con contento con su respuesta comencé una conversación que quizás le interesa a más de uno.
Transcribo la conversación que tuvimos por email.
Yo:
Buenas noches,
deseo ejercer el derecho a la supresión de datos que tengan sobre mi, del que se habla en https://www.viesgo.com/condiciones-potenciales/ . Mis datos son:
Jorge Hoya Cicero con DNI XXXXXXXX-R
Así mismo, me gustaría recibir un email con la resolución de la presente solicitud.
Comercializadora:
En relación con su solicitud queremos indicarle que para poder garantizar el ejercicio de sus derechos necesitaríamos que nos aporte copia escaneada de su DNI. Solicitud que realizamos para asegurarnos de que su petición se realiza de manera correcta.
Yo:
entiendo que necesiten comprobar que yo realmente soy Jorge Hoya pero poder procesar mi petición. Pero la diferencia de rigurosidad entre el proceso de captación de los datos y su borrado me plantea dudas. ¿Por qué para recabar datos os vale que un operario de una estación de servicio los teclee en su terminal y yo le firme un ticket (que dudo todavía tengáis vosotros) y para realizar el proceso de «supresión de datos» es necesario una fotocopia de mi DNI? ¿Quién me garantiza el uso que podríais hacer de dicha fotocopia? ¿No os valdría un documento que electrónicamente firmado tenga la misma información que proporcioné en el proceso de alta?
Comercializadora:
Estimado Jorge,
De conformidad con la vigente normativa sobre protección de datos, los derechos cuyo ejercicio estás solicitando son de carácter personalísimo por lo que de cara a garantizar su ejercicio necesitamos que nos aportes una copia de tu documento nacional de identidad. De lo contrario, no podremos garantizar que el ejercicio de este derecho se realiza por la persona titular del mismo. La Autoridad de control ha mantenido el criterio dado en el artículo 25 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, de tal modo que, solamente se podrán ejercer por parte del titular de los datos o un representante especialmente designado para ello por el afectado. El grado de personalización llega hasta el punto de que el responsable del fichero al que se pretende acceder para su control puede denegarlo a cualquier persona que no esté debidamente acreditada. En caso contrario no se podría garantizar la confidencialidad de los datos de los interesados, o evitar el hecho de que una persona en suplantación de identidad de otra suprima los datos o acceda a información de alguien.
Las medidas que tomamos están amparadas en las directrices dadas desde la autoridad de control y la aplicación de la política de privacidad y medidas de seguridad de la compañía, no son decisiones de forma arbitraria.
Hecho diferente es captar un consentimiento expreso de un interesado con la finalidad de recibir una oferta comercial, hecho por el cual solicitar su DNI sería no atender al principio de minimización de datos que plantea el Reglamento Europeo de Protección de Datos. Por ese motivo no pedimos ese tipo de información en el momento de la captación del dato en las estaciones de servicio.
Estamos a su disposición para atender cualquier tipo de duda que pueda tener sobre este correo o bien para recibir un documento identificativo suyo para poder procesar su petición de supresión de sus datos.
Atentamente.
Yo:
Buenas tardes,
si bien es cierto que el citado artículo 25 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en su punto 1.a, dice lo que usted indica del DNI:
a) Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente.
también es cierto que permite la posibilidad de «la utilización de firma electrónica identificativa del afectado» que, tal y como dice el texto, ello «eximirá de la presentación de las fotocopias del DNI o documento equivalente».
Así que les vuelvo a preguntar: en lugar de enviarles mi DNI escaneado (del que con esa mera imagen no pueden dictaminar su autencitidad), ¿no les valdría con un documento PDF firmado con mi certificado electrónico, expedido por la FNMT?
Un saludo y gracias.
Comercializadora:
Estimado Jorge,
En respuesta a su escrito de fecha 2 de abril, queremos indicarle que puede aportarnos un documento PDF firmado con su certificado electrónico.
Estamos a su entera disposición para cualquier aclaración que precise al respecto.
Así que ya lo sabéis, ya NO hace falta un DNI escaneado para ejercer tus derechos sobre tus datos.
PD: debo decir que aunque tardó algo, me sorprendió gratamente que la comercializadora aceptase lo que dice la Ley.