Durante años, contratar algo por Internet ha sido algo realmente sencillo. Bastaba con dar tu nombre, DNI, dirección y fecha de nacimiento y, en algunos casos, adjuntar una fotografía del DNI por ambas caras. El problema es que buena parte de esos datos ya no pueden tratarse como secretos, ya que, como usuarios, nos hemos visto envueltos en decenas de brechas de seguridad. En 2026 hemos tenido muchos ejemplos.
Por ejemplo, el ataque sufrido por Endesa que permitió acceder a nombres, datos de contacto, números de DNI, información contractual e IBAN de clientes afectados. También TuLotero confirmó un incidente todavía más delicado que terminó con acceso a imágenes del DNI por ambas caras y al selfie utilizado para verificar la identidad. Hoy mismo hemos conocido un acceso indebido a los datos personales y bancarios de los clientes de Naturgy. Un hacker ha puesto los datos a la venta en la Dark Web con un total de 74 gigas de información.
Esto nos lleva a preguntarnos: si un tercero dispone de los mismos datos que utilizamos nosotros para demostrar quiénes somos, ¿cómo distingue una empresa al titular legítimo de alguien que intenta suplantarlo? El problema no es que hayan robado tu DNI: es seguir tratando sus datos como secretos El DNI sigue teniendo plena eficacia jurídica para acreditar la identidad. Esto es algo que podemos leer en el Real Decreto 255/2025 que establece que es el documento con valor suficiente por sí solo para acreditar la identidad de su titular. El problema no es ese, es que utilizar por Internet una simple copia del documento como prueba suficiente de la identidad de una persona puede que ya no sea suficiente en la era de las brechas de seguridad.
La Agencia Española de Protección de Datos ya deja claro que no es necesario entregar una copia del DNI para realizar una contratación, al menos de forma general. Cada empresa deberá determinar un mecanismo adecuado que permita identificar de forma correcta al contratante. Pero insisto, el problema es que ese proceso muchas veces depende de información como nombre, DNI, dirección, fecha de nacimiento, teléfono, IBAN o fotografía del documento. Ninguno de ellos garantiza por sí mismo que quien los está introduciendo sea su legítimo titular.
La contratación fraudulenta no es un problema teórico Además, no estamos divagando con esta cuestión. La AEPD dispone de un apartado específico para quienes descubren contratos de telecomunicaciones realizados utilizando sus datos sin autorización. Entre las medidas para luchar contra esto nos recomiendan denunciar el posible fraude ante Policía Nacional o Guardia Civil, comunicarlo a la operadora y reclamar la eliminación de los datos o de posibles deudas. Y es que los problemas de verificación de identidad son frecuentes.
En septiembre se conoció la multa de 120.000 euros a Digi relacionada con un duplicado no autorizado de una tarjeta SIM. La operadora se defendió afirmando que había sido víctima de un fraude mediante documentación falsificada, pero eso no fue suficiente para la AEPD. La alternativa europea cambia la pregunta: no me digas tus datos, demuéstramelos Precisamente ahí entra la European Digital Identity Wallet. La Comisión Europea prepara una cartera virtual que los países deberán ofrecer a sus ciudadanos a finales de 2026.
La cartera permitirá presentar credenciales digitales emitidas dentro de un ecosistema de confianza y compartir solamente los datos necesarios. Por ejemplo, servirá para demostrar que somos mayores de edad, entregando únicamente la fecha de nacimiento. Explican que “la infraestructura está diseñada para poder facilitar simplemente la información necesaria para esa operación, manteniendo el control sobre qué datos se comparten”. Los proyectos piloto que se han probado pasan por cosas como abrir una cuenta bancaria y el registro y activación de tarjetas SIM, tanto de prepago como de contrato.
Reconocen que, utilizando esta cartera, se reduce enormemente el riesgo de fraude. Eso sí, la cartera no es infalible. Un teléfono infectado con malware no garantiza que los datos no puedan ser accedidos por un tercero, pese a los diferentes mecanismos de protección que existen. El gran problema es: no deberíamos necesitar entregar nuestro DNI Y es que la realidad es esa.
Le damos una copia de DNI a cualquiera. Para contratar algo, para registrarnos en un hotel, para poder recoger a los niños del colegio… De hecho, la propia AEPD recomienda que, cuando no resulte estrictamente necesario proporcionar una copia completa del DNI, puedan ocultarse elementos que no hagan falta para la identificación. También desaconseja enviar copias por correo electrónico o WhatsApp. Y es que, con las diferentes filtraciones de seguridad que se están produciendo, es complicado saber ahora mismo quién tiene una copia de nuestro DNI o quién sabe nuestro nombre, DNI, dirección, nacimiento, teléfono o IBAN.
Con una combinación de estos elementos pueden contratar en nuestro nombre y ni siquiera nos daríamos cuenta. En resumen, aunque el DNI sigue acreditando legalmente quién eres, la realidad es que ahora mismo no es suficiente y no garantiza que seas tú el que está realizando una operación por Internet. Por ello, el futuro de la identificación online debe ir por otro lugar, uno en el que controlemos nosotros los datos y entreguemos únicamente lo necesario de forma segura.