Recientemente, la Agencia Española de Protección de Datos (AEPD) ha dictado una resolución sancionadora contra la Junta de Comunidades de Castilla-La Mancha (exp. EXP202406805) que vuelve a poner el foco sobre una cuestión recurrente: ¿es correcto que el DNI de los empleados públicos aparezca en las firmas electrónicas y documentos firmados?
A continuación, explicamos las claves jurídicas y el impacto práctico de esta resolución, así como la situación actual de los certificados digitales como las T-CAT.
¿Qué ha resuelto la AEPD?
La resolución analiza si es conforme con el RGPD que, en documentos firmados electrónicamente por funcionarios, se muestren datos como el nombre, apellidos y DNI del firmante, accesibles a terceros.
Según la AEPD:
- El DNI es un dato de gran sensibilidad, ya que permite identificar de forma directa e inequívoca a una persona y comporta riesgos elevados como la suplantación de identidad.
- Su inclusión en firmas o marcas visibles puede suponer un tratamiento excesivo de datos.
Se vulneran potencialmente:
- el principio de minimización de datos (art. 5.1.c RGPD)
- y el principio de protección de datos desde el diseño y por defecto (art. 25 RGPD)
Por este motivo, la AEPD concluye que sería necesario evitar la inclusión del DNI en la información visible de los documentos firmados, apostando por mecanismos de identificación menos intrusivos.
No es un debate nuevo
La AEPD ya se había pronunciado en la misma línea en el Informe 0088/2020, donde afirmaba que:
- El DNI no es un dato que deba constar en los actos administrativos.
- No debería figurar ni en la firma electrónica ni en los certificados.
Habría que adaptar la normativa e impulsar alternativas como:
- identificadores profesionales
- información del cargo o unidad
- o incluso pseudónimos en algunos casos
Es decir, la propia AEPD apunta que la solución pasa por una modificación normativa del sistema de certificación digital.
¿Qué ha ocurrido en este caso concreto?
En el caso de Castilla-La Mancha, la AEPD declara infracción, pero no impone sanción (al tratarse de una administración pública).
En cambio, le requiere:
- eliminar el DNI de las propiedades visibles al verificar documentos
- adaptar los sistemas para cumplir el principio de minimización
- acreditar las medidas adoptadas en un plazo de 6 meses
¿Cuál es el problema de fondo?
Aquí se encuentra el punto clave: existe un conflicto entre normativa de protección de datos y normativa de certificación digital.
- La Ley 6/2020, de 11 de noviembre de 2020, reguladora de determinados aspectos de los servicios electrónicos de confianza obliga a los prestadores de servicios de confianza a incluir el DNI en los certificados digitales
- Además, los perfiles de certificados de la Administración General del Estado exigen que el DNI conste en varios campos del certificado (como el Nombre común)
- Estos datos forman parte estructural del certificado y son necesarios para su validación e interoperabilidad
Por eso, los prestamistas como la AOC no pueden modificar unilateralmente el contenido de los certificados sin incumplir la normativa vigente. La propia AEPD admite que la solución requiere una modificación legislativa, no una decisión técnica de los prestamistas.
¿Y los certificados con seudónimo?
Aunque la normativa prevé certificados con identificadores profesionales o seudónimos, éstos:
- sólo se pueden emitir en casos muy concretos (seguridad pública, información clasificada, etc.)
- no son aplicables de forma general a todos los empleados públicos
¿Qué soluciones prácticas tienen a su alcance las administraciones públicas?
Mientras no se modifique la normativa, las administraciones pueden aplicar medidas para reducir la visibilidad del DNI:
1. No mostrar el DNI en la imagen de firma
Los programas de firma permiten configurar qué datos se visualizan. Esto no elimina el DNI del certificado, pero evita que aparezca de forma visible en el documento. Consulta cómo evitar el dni de la imagen de la firma
2. Generar copias electrónicas auténticas
Permiten:
- ocultar el DNI tanto en la imagen como en las propiedades visibles
- sustituirlo por datos mínimos del firmante
Estas copias tendrán validez jurídica si se acompañan del sello de la organización. Consulta cómo generar una còpia auténtica y esconder el DNI de la imagen y propiedades visibles:
3. Utilizar otros mecanismos
Como por ejemplo sellos electrónicos y códigos seguros de verificación (CSV)
Conclusiones
- La AEPD considera que mostrar el DNI en documentos firmados puede vulnerar el RGPD.
- La normativa vigente de certificados obliga a incluirlo, generando un conflicto regulatorio.
- Los prestamistas de servicios de confianza como la AOC no pueden eliminar el DNI de los certificados.
- La solución definitiva pasa por una reforma normativa estatal y europea.
- Mientras tanto, las administraciones deben aplicar medidas de minimización en la visualización y acceso a los datos.
