La Agencia Española de Protección de Datos (AEPD) ha multado con 100.000 euros a Orange por ordenar a los repartidores a fotografiar íntegramente el DNI como método de seguridad desde 2018.

Esta práctica se llevaba a cabo por el uso del sistema IdentService a la hora de hacer efectiva la entrega de paquetería. Sin embargo, la legalidad de esta práctica no está avalada, así la AEPD intervino tras una denuncia de un cliente de Orange que acudió con un repartidor de General Logistics Systems Spain (GLS) a una comisaría de la Guardia Civil en Murcia para denunciar que le exigían hacerle una fotografía al documento de identidad como condición para entregarle un dispositivo móvil que había adquirido.

GLS explicó que Orange pedía esa fotografía para verificar que se efectuaba la entrega del pedido, según la resolución sancionadora, y confirmó que se hacía por ese método al menos en los últimos tres años como requisito exigido por parte de la empresa telefónica con la que tenía esa cláusula establecida por contrato.

A efectos de reclamaciones extrajudiciales estas fotografías de los documentos de identidad de sus clientes se conservaban durante un año, y durante otros cuatro años a efectos de prueba de entrega por considerarse un documento mercantil. Se guardaban en un servidor pero no en el terminal del repartidor.

De su lado, Orange manifestó que antes de enviarle el producto, le enviaron al cliente un correo informándole que, por motivos de seguridad, podría digitalizarse en el momento de la entrega el DNI con el que contrató el producto. A lo que añadieron que estas condiciones se encontraban detalladas en la página web.

La AEPD consideró que había indicios evidentes de que Orange había vulnerado el artículo 5 del Reglamento General de Protección de Datos, que hace referencia al tratamiento, al imponer como condición para la entrega la fotografía a su documento de identidad. Una cuestión que resolvieron como práctica abusiva.

La Agencia insiste en que existen procedimientos para la identificación al entregar los productos menos agresivos. La resolución añade que, conforme al Reglamento General de Protección de Datos (RGPD), "el tratamiento de los datos personales debe ser ajustado y proporcional a la finalidad a la que se dirige, determinando claramente los fines para los que se recogen y tratan los datos, debiendo restringirse el tratamiento de aquellos que sean excesivos o bien procederse a la supresión de los mismos".

Ante esta práctica abusiva, la autoridad impone una sanción de 100.000 euros que no es firme y puede ser recurrida ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.