Firmar electrónicamente un documento puede revelar más información de la que se aprecia a simple vista. El bloque visible de la firma quizá muestre únicamente el nombre, el cargo o la fecha, pero el archivo puede conservar otros datos dentro del certificado utilizado para firmar.
Una reciente resolución de la Agencia Española de Protección de Datos (AEPD) analiza precisamente este problema en los certificados de empleado público utilizados por funcionarios de la Junta de Comunidades de Castilla-La Mancha. La decisión recuerda que ocultar un dato en la apariencia de un documento no equivale a impedir el acceso a ese dato.
UN DNI QUE NO SE VEÍA, PERO PODÍA CONSULTARSE
La Administración disponía de dos portafirmas corporativos para firmar documentos electrónicos. Al utilizar estas herramientas, cada empleado podía configurar la apariencia de la firma y decidir si mostraba directamente datos como el nombre, los apellidos, el DNI o el puesto.
La posibilidad de desmarcar el DNI parecía ofrecer cierto control sobre su exposición. Sin embargo, el número continuaba almacenado como una propiedad del certificado de empleado público. Por tanto, podía consultarse accediendo al detalle del certificado desde los lectores habituales de documentos electrónicos.
La firma visible es solo una representación gráfica; para conocer qué información recibe realmente el destinatario hay que revisar también los campos del certificado, sus propiedades y los mecanismos de validación asociados al documento.
Además, este sistema tenía un alcance bastante amplio; Castilla-La Mancha indicó que contaba con más de 150.000 certificados emitidos desde 2017. Esos certificados se empleaban para firmar informes, notificaciones, requerimientos, actas, certificaciones y otros documentos dirigidos a los administrados.
El problema no se limitaba, por tanto, a una firma aislada ni a un tipo de documento excepcional; la configuración se había incorporado a una infraestructura corporativa utilizada de forma habitual. Cada nuevo documento firmado podía trasladar el identificador personal del emisor a un destinatario diferente y aumentar la exposición acumulada del dato.
Este aspecto explica por qué las comprobaciones de cumplimiento no pueden quedarse en la apariencia de una herramienta. Una interfaz puede ofrecer la impresión de que el usuario controla qué información comparte y, al mismo tiempo, mantener datos accesibles en capas técnicas que pasan inadvertidas.
Desde la perspectiva del Reglamento General de Protección de Datos (RGPD), lo determinante no es que el dato se vea a primera vista, sino que exista una posibilidad real de acceder a él.
LA MINIMIZACIÓN ALCANZA A LOS DATOS TÉCNICAMENTE ACCESIBLES
El principio de minimización, recogido en el artículo 5.1.c) del RGPD, exige que los datos tratados sean adecuados, pertinentes y limitados a lo necesario para la finalidad perseguida. En este caso, la identificación del empleado público firmante no justificaba que el destinatario pudiera conocer también su número de DNI.
La AEPD considera que incorporarlo a la firma electrónica constituye un tratamiento excesivo, pues el DNI posee una elevada capacidad identificativa y su uso indebido puede favorecer perjuicios como la suplantación de identidad. Esto no lo convierte por sí solo en una categoría especial de datos de las previstas en el artículo 9 del RGPD, pero sí obliga a valorar con cuidado su necesidad y su accesibilidad.
Cabe destacar que este criterio no aparece por primera vez en la resolución en cuestión; el Informe 0088/2020 del Gabinete Jurídico de la AEPD ya señalaba que el DNI no debería figurar ni en los certificados electrónicos ni en la firma electrónica de los empleados públicos. El informe apuntaba posibles alternativas: otros números de identificación, la referencia al cargo o departamento y, cuando proceda, el uso de seudónimos.
En este sentido, el artículo 6.1.a) de la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza, contempla que la identidad del titular de los certificados cualificados de firma electrónica expedidos a personas físicas pueda consignarse mediante un seudónimo que conste como tal de forma inequívoca. Si bien, su aplicación práctica debe ajustarse al tipo de certificado, a la normativa administrativa correspondiente y a las circunstancias del colectivo afectado.
Por tanto, la cuestión requiere distinguir entre la identificación necesaria para emitir y validar un certificado y la información accesible para quien recibe el acto administrativo; de modo que la firma debe conservar las garantías de autenticidad e integridad sin comunicar atributos personales innecesarios para esas finalidades.
La Junta explicó que sus certificados se habían configurado conforme a la normativa vigente cuando se implantó el servicio y que la propiedad relativa al DNI era entonces obligatoria. Sin embargo, la permanencia de una configuración histórica no elimina la obligación de revisarla. Los tratamientos deben adaptarse a los cambios normativos, técnicos y organizativos, especialmente cuando aparecen alternativas menos intrusivas o se detectan riesgos que no habían sido valorados inicialmente.
Para empleados cuyas funciones puedan generar riesgos para su seguridad, como determinados inspectores o agentes, la necesidad de evitar la exposición de identificadores personales merece una evaluación reforzada. En este sentido, la delegada de protección de datos había recomendado regular códigos de identificación profesional para algunos colectivos y la Administración trabajaba en certificados de seudónimo. La resolución, no obstante, muestra que esa protección no se había incorporado de forma general al diseño del sistema de firma examinado.
PRIVACIDAD DESDE EL DISEÑO: REVISAR ANTES DE IMPLANTAR
La segunda infracción apreciada por la AEPD afecta al artículo 25 del RGPD. La protección de datos desde el diseño y por defecto obliga a integrar medidas técnicas y organizativas adecuadas cuando se determinan los medios del tratamiento y a mantenerlas durante su funcionamiento.
No basta, por tanto, con ofrecer al usuario una casilla para que decida qué aparece en la representación visible de la firma. Si el dato permanece en el certificado y resulta accesible al destinatario, la configuración no aplica de forma efectiva el principio de minimización. Además, trasladar la decisión a cada empleado impide establecer una protección uniforme por defecto; para la AEPD, no procede dejar dicha elección al empleado.
La Agencia, asimismo, constató que la Administración no cuenta con un procedimiento que garantizara la aplicación de la normativa desde el diseño y que, una vez identificado el riesgo, todavía se encontraba estudiando alternativas con su proveedor. La resolución reproduce una idea especialmente útil de la Guía de Privacidad desde el Diseño de la propia Agencia: la privacidad nace en el diseño.
La participación del delegado de protección de datos debe producirse con tiempo suficiente para influir en la decisión. En el expediente constaban recomendaciones sobre códigos de identificación profesional y la seguridad de determinados colectivos. No toda recomendación conduce a una única solución técnica, pero debe existir un proceso para evaluarla, decidir las medidas y documentar por qué la alternativa seleccionada protege a los afectados.
Esto no significa que el coste, el estado de la técnica o la complejidad de una migración sean irrelevantes. El propio artículo 25 del RGPD exige tenerlos en cuenta. Pero son factores para seleccionar medidas apropiadas, no una dispensa para mantener indefinidamente una configuración que expone datos innecesarios. La obligación alcanza también a sistemas ya existentes, que deben revisarse y actualizarse cuando sea necesario.
LA DECISIÓN DE LA AEPD
La AEPD declaró que la Comunidad Autónoma de Castilla-La Mancha había infringido el principio de minimización del artículo 5.1.c) y la protección de datos desde el diseño y por defecto del artículo 25 del RGPD.
Al tratarse de una Administración pública incluida en el régimen del artículo 77 de la LOPDGDD, la resolución no impone una multa. Sin embargo, sí declara formalmente las infracciones y ordena adoptar medidas correctivas. En concreto, concede un plazo máximo de seis meses desde que la resolución sea firme y ejecutiva para eliminar el DNI de las propiedades que se muestran al verificar los documentos, limitar el acceso a los datos a lo imprescindible para la finalidad perseguida y acreditar las alternativas tecnológicas adoptadas con el proveedor de firma electrónica.
Por tanto, la orden no predetermina una única herramienta o arquitectura; corresponde al responsable seleccionar la solución concreta, pero deberá poder acreditar que la configuración adoptada minimiza los datos y restringe su acceso a lo imprescindible. Esto obliga a coordinar aspectos jurídicos, técnicos, presupuestarios y de gestión del cambio, sin perder de vista que el resultado debe ser verificable.
Esta precisión resulta especialmente importante, ya que la decisión de la AEPD no se limita a recomendar una mejora futura, sino que exige corregir el sistema y demostrar las medidas implantadas.
LECCIONES APRENDIDAS: QUÉ DEBERÍAN REVISAR LAS ORGANIZACIONES
Aunque el caso se refiere a certificados de empleados públicos y parte de su normativa específica, las lecciones aprendidas pueden trasladarse con prudencia a cualquier organización que utilice firmas electrónicas profesionales; no debe darse por supuesto que el contenido visible coincide con toda la información comunicada al destinatario.
Una revisión útil debería abarcar, al menos, los siguientes aspectos:
- comprobar desde la posición de un destinatario externo qué datos pueden consultarse en el documento firmado, el certificado y el proceso de validación;
- definir qué información resulta realmente necesaria para identificar al firmante y justificar cada campo incluido;
- establecer configuraciones protectoras de forma centralizada y por defecto, sin descargar la decisión en cada usuario;
- incorporar requisitos de minimización y privacidad desde el diseño en la contratación y supervisión de proveedores de firma;
- valorar identificadores profesionales, referencias al cargo o departamento, sistemas de verificación y certificados de seudónimo cuando sean jurídica y técnicamente adecuados;
- documentar las decisiones, las pruebas realizadas, los riesgos detectados y el plan de sustitución o renovación de certificados.
Esta comprobación no debería limitarse a una captura de pantalla de la firma; también conviene revisar metadatos, propiedades, registros de auditoría, códigos seguros de verificación y cualquier información que pueda acompañar al documento durante su descarga, envío o validación.
Asimismo, es aconsejable repetir las pruebas después de cada actualización relevante del portafirmas, del perfil de certificado o del servicio del proveedor. Una migración, nuevos campos o un cambio en la validación pueden introducir desviaciones que conviene detectar antes de que afecten a un volumen elevado de documentos.
CONCLUSIÓN: LA PRIVACIDAD DE LA FIRMA DIGITAL EMPIEZA EN SU DISEÑO
El caso analizado no cuestiona la utilidad de la firma electrónica ni las garantías de autenticidad e integridad que aporta. Pone el foco en un aspecto menos visible: la configuración técnica de la firma también determina qué datos personales se comunican a quien recibe el documento. Una firma puede ser plenamente válida desde el punto de vista técnico y, al mismo tiempo, resultar excesiva si permite acceder a información que no es necesaria para identificar al firmante o comprobar la autenticidad del documento.
La enseñanza trasciende el ámbito de la Administración Pública. Las organizaciones deben comprobar qué información incorporan sus sistemas de firma, no solo en su representación visible, sino también en los certificados, propiedades y procesos de validación. Esta revisión debe realizarse antes de implantar la herramienta y mantenerse durante toda su vida útil, especialmente cuando se renuevan certificados, se actualizan los portafirmas o cambian las condiciones del proveedor.
Una configuración heredada, una decisión técnica adoptada años atrás o la complejidad de sustituir miles de certificados no eliminan la obligación de minimizar los datos. De ahí la importancia de incorporar la privacidad desde el diseño: detectar el riesgo antes de que una configuración aparentemente menor termine reproduciéndose en miles de documentos.
En protección de datos, ocultar un dato no equivale a minimizarlo. Mientras siga siendo accesible para quien no necesita conocerlo, el tratamiento seguirá siendo excesivo; la privacidad no termina donde acaba lo visible.
Si quieres profundizar en los principios de minimización de datos y privacidad desde el diseño, puedes consultar otras entradas relacionadas en nuestro blog.
