La norma no tiene régimen sancionador. No podría tenerlo en el sentido habitual, porque a quien obliga es a los Estados: su incumplimiento se depura por las vías del Derecho de la Unión, no con multas. Lo único parecido a una sanción que contiene es un mandato dirigido a los Estados para que su Derecho nacional castigue adecuadamente la falsificación y alteración de documentos de identidad y el uso de documentos falsos o alterados (considerando 7), que apunta al Código Penal de cada Estado y no a un régimen administrativo propio. El tratamiento de datos personales que la norma ordena sí queda bajo el régimen sancionador del Reglamento general de protección de datos.

La norma no establece ningún régimen de notificación de incidentes. No define qué sería notificable, no fija plazos y no designa destinatario. Una violación de seguridad sobre los datos biométricos tratados para expedir un documento se notifica por la vía del Reglamento general de protección de datos, que la propia norma declara aplicable y bajo el cual la autoridad expedidora es responsable del tratamiento.

Autoridad expedidora

La autoridad responsable de expedir documentos de identidad y documentos de residencia, considerada responsable del tratamiento a efectos del Reglamento general de protección de datos (art. 11.2)

Organismo de impresión

El organismo designado por cada Estado para imprimir los documentos, comunicado a la Comisión y al resto de Estados, y destinatario de las especificaciones técnicas cuando son secretas (art. 14.2 y 14.3)

Punto de contacto nacional

Al menos una autoridad central por Estado para la aplicación de la norma, conectada con los servicios de la pasarela digital única (art. 9)

Personal cualificado y autorizado

Único personal que puede recoger los identificadores biométricos; las impresiones dactilares, además, solo puede recogerlas personal de la propia autoridad expedidora (art. 10.1)

Personal autorizado de verificación

Personal de las autoridades nacionales competentes y de las agencias de la Unión que accede a la biometría del documento para comprobar su autenticidad o la identidad del titular (art. 11.6 y 11.7)

Entidades privadas

Pueden acceder a la imagen facial para verificar el documento o la identidad, con consentimiento del titular salvo previsión legal en contrario, sin conservarla más allá de la verificación y sin transferirla fuera de la Unión salvo que la normativa de protección de datos lo permita (art. 11.6)

Proveedores de servicios externos

Su intervención no exime al Estado de la responsabilidad derivada del Derecho de la Unión o nacional por incumplimiento de las obligaciones en materia de datos personales (art. 11.4)

Autoridad de protección de datos

El Estado debe garantizarle el ejercicio pleno de sus funciones sobre este tratamiento, con acceso a los datos, a la información y a los locales y equipos de tratamiento (art. 11.3)

Exclusiones

Reglamento (UE) 2025/1208 del Consejo, de 12 de junio de 2025, sobre el refuerzo de la seguridad de los documentos de identidad de los ciudadanos de la Unión y de los documentos de residencia expedidos a ciudadanos de la Unión y a los miembros de sus familias que ejerzan su derecho a la libre circulación

Identificador

CELEX 32025R1208

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

La seguridad es el objeto entero de la norma, pero es la seguridad de una credencial, no la de un sistema de información. Lo que exige de verdad se concentra en tres sitios: un medio de almacenamiento que garantice la integridad, la autenticidad y la confidencialidad de los datos y que solo sea accesible sin contacto de forma segura (art. 3.6); un control de acceso por finalidad y por persona sobre la biometría, distinto para la imagen facial y para las impresiones dactilares (art. 11.6 y 11.7); y una custodia de la biometría de personalización con borrado obligatorio a los noventa días (art. 10.3). No hay gestión de riesgos, ni notificación de incidentes, ni auditoría, ni régimen sancionador. Y quien queda obligado es la autoridad expedidora de cada Estado, no un operador de mercado, lo que sitúa el trabajo real dentro de una administración concreta y no en el tejido empresarial.

Valoración del curador · nivel 3 de 5

Formato ID-1, lectura mecánica y normas mínimas de seguridad Ciber parcial

Expedir los documentos de identidad en formato ID-1 con zona de lectura mecánica, basados en las especificaciones y normas mínimas de seguridad del documento 9303 de la OACI y cumpliendo cuatro de los requisitos del anexo del Reglamento (CE) n.º 1030/2002. El documento lleva el título «documento de identidad» en la lengua oficial del Estado y en al menos otra lengua oficial de la Unión, y en el anverso el código de dos letras del Estado en negativo sobre rectángulo azul rodeado de doce estrellas.

Literal de la norma Los documentos de identidad expedidos por los Estados miembros se elaborarán en formato ID-1 e incluirán una zona de lectura mecánica. Se basarán en las especificaciones y en las normas mínimas de seguridad establecidas en el documento 9303 de la OACI y cumplirán los requisitos definidos en las letras c), d), f) y g) del anexo del Reglamento (CE) n.º 1030/2002, en su versión modificada por el Reglamento (UE) 2017/1954.

Art. 3.1 a 3.4

Medio de almacenamiento de alta seguridad con biometría Ciber

Incorporar al documento un medio de almacenamiento de alta seguridad que contenga la imagen facial del titular y dos impresiones dactilares en formatos digitales interoperables. Ese medio debe tener capacidad suficiente y garantizar la integridad, la autenticidad y la confidencialidad de los datos, que solo son accesibles en formato sin contacto y seguro. La captura sigue las especificaciones técnicas de una decisión de ejecución de la Comisión, y los Estados intercambian la información necesaria para autenticar el medio de almacenamiento y comprobar la biometría. Quedan exentos de dar impresiones dactilares los menores de seis años, opcionalmente los menores de doce, y quienes no puedan darlas físicamente.

Literal de la norma El medio de almacenamiento tendrá capacidad suficiente y garantizará la integridad, la autenticidad y la confidencialidad de los datos. Los datos almacenados serán accesibles en formato sin contacto y seguro, de conformidad con lo dispuesto en la Decisión C(2018) 7767, en su versión modificada por la Decisión de Ejecución C(2021) 3726. Los Estados miembros intercambiarán la información necesaria para autenticar el medio de almacenamiento y comprobar los datos biométricos a que se refiere el apartado 5.

Art. 3.5 y 3.6

Separación de los datos nacionales respecto de la biometría Ciber

Si el Estado añade una interfaz dual o un medio de almacenamiento separado, ese soporte adicional cumple las normas ISO correspondientes y no interfiere con el medio que guarda la biometría. Y si guarda en el documento datos para servicios electrónicos, como administración electrónica o comercio electrónico, esos datos nacionales quedan separados física o lógicamente de los datos biométricos.

Literal de la norma Cuando los Estados miembros almacenen en los documentos de identidad datos para servicios electrónicos tales como la Administración electrónica y el comercio electrónico, esos datos nacionales estarán separados física o lógicamente de los datos biométricos a que se refiere el apartado 5.

Art. 3.9 y 3.10

Añadidos nacionales que no mermen la seguridad común Ciber parcial

Los pormenores y observaciones para uso nacional solo se incluyen cuando sean necesarios y proporcionados, y ni ellos ni las medidas de seguridad adicionales que el Estado decida añadir pueden mermar la eficacia de las normas mínimas de seguridad ni la compatibilidad transfronteriza del documento.

Literal de la norma Cuando los Estados miembros añadan a los documentos de identidad medidas de seguridad adicionales, la compatibilidad transfronteriza de los documentos de identidad y la eficacia de las normas mínimas de seguridad no se verán mermadas como consecuencia de ello.

Art. 3.8 y 3.11

Período de validez del documento

Expedir los documentos de identidad con una validez de entre cinco y diez años, con tres excepciones: menos de cinco años para menores, menos de cinco en casos excepcionales tasados, y más de diez para personas de setenta años o más. Cuando sea temporalmente imposible tomar las impresiones dactilares de cualquier dedo, se expide un documento temporal con validez máxima de doce meses.

Art. 4

Retirada de los documentos que no cumplen Ciber parcial

Los documentos de identidad que no cumplan el artículo 3 dejan de ser válidos al expirar o, a más tardar, el 3 de agosto de 2031; los que no alcancen las normas mínimas de la parte 2 del documento 9303 de la OACI o carezcan de zona de lectura mecánica funcional dejaron de serlo el 3 de agosto de 2026. Los documentos de quienes tenían setenta años o más el 2 de agosto de 2021, si cumplen esas normas mínimas y son legibles mecánicamente, valen hasta su expiración. Para las tarjetas de residencia de familiares rigen los mismos dos plazos, en orden inverso según el defecto.

Art. 5 y art. 8

Información mínima del documento de residencia

Los documentos de residencia que se expiden a ciudadanos de la Unión llevan como mínimo el título en la lengua del Estado y en otra lengua oficial de la Unión, una referencia clara a que se expide a un ciudadano de la Unión conforme a la Directiva 2004/38/CE, el número del documento, el nombre y la fecha de nacimiento del titular, la información propia de los certificados de registro y de residencia permanente, la autoridad de emisión y el código de dos letras del Estado en el anverso.

Art. 6

Modelo uniforme de la tarjeta de residencia de familiares Ciber

Las tarjetas de residencia de familiares que no tienen la nacionalidad de un Estado miembro se expiden con el formato del Reglamento (CE) n.º 1030/2002 aplicado por la Decisión C(2018) 7767, en su versión modificada por la Decisión de Ejecución C(2021) 3726. Ese formato incorpora el medio de almacenamiento de alta seguridad al que remite el artículo 10 para estas tarjetas. Se denominan «tarjeta de residencia» o «tarjeta de residencia permanente» y llevan un código normalizado en el campo de datos [10].

Literal de la norma Al expedir tarjetas de residencia a miembros de la familia de un ciudadano de la Unión que no tengan la nacionalidad de un Estado miembro, los Estados miembros utilizarán el mismo formato que el establecido por el Reglamento (CE) n.º 1030/2002, en su versión modificada por el Reglamento (UE) 2017/1954, y aplicado mediante Decisión C(2018) 7767, en su versión modificada por la Decisión de Ejecución C(2021) 3726.

Art. 7

Designación del punto de contacto

Designar al menos una autoridad central como punto de contacto para aplicar la norma, comunicar su nombre a la Comisión y a los demás Estados, e informar de cualquier cambio. Si se designa más de una autoridad central, hay que indicar cuál hace de punto de contacto. Los puntos de contacto deben conocer los servicios de información y asistencia de la pasarela digital única y poder cooperar con ellos.

Art. 9

Recogida de la biometría solo por personal cualificado y autorizado Ciber

La recogida de los identificadores biométricos queda reservada en exclusiva a personal cualificado y debidamente autorizado, designado por la autoridad expedidora. Las impresiones dactilares solo puede recogerlas personal de esa misma autoridad, salvo en solicitudes presentadas ante autoridades diplomáticas y consulares. El solicitante debe comparecer en persona al menos una vez por solicitud, y los procedimientos de recogida tienen que respetar la Carta, el Convenio Europeo de Derechos Humanos y la Convención sobre los Derechos del Niño, con procedimientos que preserven la dignidad cuando haya dificultades.

Literal de la norma Con objeto de garantizar la coherencia de los identificadores biométricos con la identidad del solicitante, este deberá comparecer en persona por lo menos una vez durante el proceso de expedición para cada solicitud.

Art. 10.1 y 10.2

Custodia y borrado de la biometría de personalización Ciber

Los identificadores biométricos que se guardan para personalizar el documento se conservan de manera extremamente segura y no más de noventa días desde la fecha de expedición. Pasado ese plazo se suprimen o destruyen de inmediato. La única excepción es que otra norma de la Unión o nacional exija conservarlos, y entonces la conservación se rige por la normativa de protección de datos. Es un plazo de retención con borrado obligatorio, no un máximo orientativo.

Literal de la norma Los identificadores biométricos almacenados a fines de personalización de los documentos de identidad o de los documentos de residencia se conservarán de manera extremamente segura y no más de noventa días tras la fecha de expedición del documento. Superado dicho período, dichos identificadores biométricos serán suprimidos o destruidos inmediatamente.

Art. 10.3

Seguridad, integridad, autenticidad y confidencialidad de los datos Ciber

Garantizar la seguridad, la integridad, la autenticidad y la confidencialidad de los datos recogidos, accedidos y almacenados para aplicar la norma, sin perjuicio de lo que ya exige el Reglamento general de protección de datos. La autoridad expedidora es responsable del tratamiento a efectos de ese Reglamento, lo que arrastra sus obligaciones de seguridad y de notificación de brechas. Es la obligación de seguridad más amplia del texto y la única que no se limita al soporte: cubre el dato desde que se recoge.

Literal de la norma Sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/679, los Estados miembros garantizarán la seguridad, integridad, autenticidad y confidencialidad de los datos que se han recogido, a los que se ha accedido y que han sido almacenados a efectos del presente Reglamento.

Art. 11.1 y 11.2

Ejercicio pleno de las funciones de la autoridad de control Ciber parcial

Asegurar que las autoridades de control de protección de datos puedan ejercer plenamente sus funciones sobre este tratamiento, incluido el acceso a todos los datos personales y a toda la información necesaria, así como a cualquier local o equipo de tratamiento de datos de las autoridades competentes.

Art. 11.3

La externalización no traslada la responsabilidad Ciber parcial

Cooperar con un proveedor de servicios externo no excluye al Estado de la responsabilidad que pueda derivarse del Derecho de la Unión o nacional por incumplir las obligaciones en materia de datos personales. El considerando 43 pide además cautela especial en esa cooperación, sin concretar ningún requisito.

Art. 11.4

Límite a los datos en formato de lectura mecánica Ciber parcial

Los datos en formato para lectura mecánica solo se incluyen en un documento de identidad o de residencia cuando lo prevea esta norma y el Derecho nacional del Estado que lo expide.

Literal de la norma Los datos en formato para lectura mecánica solamente se incluirán en un documento de identidad o en un documento de residencia de conformidad con el presente Reglamento y con el Derecho nacional del Estado miembro de expedición.

Art. 11.5

Acceso restringido a la imagen facial Ciber

A la imagen facial guardada en el documento solo acceden el personal autorizado de las autoridades nacionales competentes, las agencias de la Unión y las entidades privadas, y solo para comprobar la autenticidad del documento o la identidad del titular cuando la ley obligue a presentarlo. Las entidades privadas necesitan además el consentimiento del titular, salvo que el acceso sin él sea estrictamente necesario para esas finalidades y esté previsto en el Derecho de la Unión o nacional. La imagen no se conserva salvo que un tratamiento posterior sea necesario para esos mismos fines y esté previsto en una norma; se suprime en cuanto termina la verificación y no se transfiere a terceros países ni a organizaciones internacionales salvo que la normativa de protección de datos lo permita.

Literal de la norma La imagen facial a la que se acceda con arreglo al párrafo primero no se conservará a menos que su tratamiento posterior sea necesario para los fines establecidos en el párrafo primero y esté establecido en el Derecho de la Unión o nacional, de conformidad con el Derecho de la Unión en materia de protección de datos.

Art. 11.6

Acceso a las impresiones dactilares y prohibición de conservarlas Ciber

A las dos impresiones dactilares solo se accede para comprobar la autenticidad del documento o la identidad del titular, conforme a la normativa de protección de datos, por personal debidamente autorizado de las autoridades nacionales competentes y de las agencias de la Unión, y solo cuando el Derecho de la Unión o nacional exija presentar el documento. Las entidades privadas quedan fuera. Las impresiones a las que se accede no se conservan, sin excepción prevista.

Literal de la norma No se conservarán las dos impresiones dactilares a las que se acceda con arreglo al presente apartado.

Art. 11.7

Aportar los datos del programa de seguimiento

Facilitar a la Comisión los datos y demás pruebas necesarios para el programa de seguimiento que ella establece, y la información que necesite para preparar el informe de evaluación. El considerando 45 concreta que, a efectos de seguimiento, los Estados recopilan estadísticas del número de documentos de identidad y de residencia expedidos.

Art. 12.3 y art. 13.2

Designación del organismo de impresión Ciber parcial

Designar un organismo responsable de imprimir los documentos de identidad y otro para las tarjetas de residencia de familiares, comunicar sus nombres a la Comisión y a los demás Estados e informar de los cambios. Puede designarse un único organismo para ambos documentos, y dos o más Estados pueden designar uno común. Cuando las especificaciones técnicas se declaran secretas, solo acceden a ellas esos organismos designados y las personas debidamente autorizadas por un Estado o por la Comisión.

Art. 14.2 y 14.3

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Art. 3.6 y art. 11.1 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 10.1, art. 11.6 y art. 11.7 · categorización del curador, no de la norma

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Art. 3.6, art. 5 y art. 8 · categorización del curador, no de la norma

Seguridad ligada al personal Compartida

La seguridad dentro del ciclo de vida del empleado: comprobaciones al contratar donde proceda, deberes claros durante la relación y salida ordenada.

Art. 10.1 y 10.2 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Art. 11.4 · categorización del curador, no de la norma

Autoridad expedidora

La autoridad de cada Estado responsable de expedir los documentos de identidad y los documentos de residencia. Es el sujeto principal de la norma y quien soporta casi todas sus obligaciones: el formato y las medidas de seguridad del documento, el medio de almacenamiento, la recogida de la biometría y su borrado, y la seguridad de los datos. A efectos de protección de datos la norma la designa expresamente responsable del tratamiento. En España es la Dirección General de la Policía, por el artículo 3.2 del Real Decreto 1553/2005.

Literal de la norma A efectos del presente Reglamento, las autoridades responsables de expedir documentos de identidad y documentos de residencia se considerarán como el responsable a tenor del artículo 4, punto 7, del Reglamento (UE) 2016/679 y serán responsables del tratamiento de los datos personales.

Art. 11.2

Personal cualificado y autorizado

Las personas designadas por la autoridad expedidora que pueden recoger los identificadores biométricos. La norma reserva esa recogida en exclusiva a este personal, y en el caso de las impresiones dactilares la estrecha todavía más: solo personal de la propia autoridad expedidora, con la única excepción de las solicitudes presentadas ante autoridades diplomáticas y consulares.

Literal de la norma Los identificadores biométricos serán recogidos exclusivamente por personal cualificado y debidamente autorizado designado por las autoridades responsables de la expedición de los documentos de identidad o las tarjetas de residencia […]

Art. 10.1

Personal autorizado de verificación

El personal de las autoridades nacionales competentes y de las agencias de la Unión que puede acceder a los datos biométricos guardados en el documento, y solo para comprobar que el documento es auténtico y que quien lo presenta es su titular. Es el único perfil que puede leer las impresiones dactilares, y únicamente cuando la ley obliga a presentar el documento.

Literal de la norma Solo se podrá acceder a las dos impresiones dactilares del titular almacenadas en el medio de almacenamiento de los documentos de identidad y de los documentos de residencia […] por parte del personal debidamente autorizado de las autoridades nacionales competentes y las agencias de la Unión, y […] cuando el Derecho de la Unión o nacional exija la presentación del documento.

Art. 11.7

Entidad privada lectora

La organización privada que lee la imagen facial del documento para comprobar su autenticidad o la identidad de quien lo presenta. Es el único papel de la norma que no está en la administración. Necesita el consentimiento del titular, salvo que el acceso sin él sea estrictamente necesario para esas dos finalidades y esté previsto en una ley; y no puede conservar la imagen más allá de la verificación ni transferirla fuera de la Unión salvo que la normativa de protección de datos lo permita. A las impresiones dactilares no tiene acceso en ningún caso.

Literal de la norma El acceso a la imagen facial por parte de entidades privadas también requerirá el consentimiento del titular, a menos que el acceso con independencia del consentimiento sea estrictamente necesario para los fines establecidos en el párrafo primero y esté establecido en el Derecho de la Unión o nacional de conformidad con el Derecho de la Unión en materia de protección de datos.

Art. 11.6, párrafo segundo

Organismo de impresión

El organismo que cada Estado designa como responsable de imprimir los documentos de identidad y las tarjetas de residencia, y cuyo nombre comunica a la Comisión y al resto de Estados. Un Estado puede designar uno solo para ambos documentos, y varios Estados pueden compartir organismo. Es también el destinatario de las especificaciones técnicas cuando la Comisión decide que sean secretas: fuera de estos organismos designados solo acceden a ellas las personas debidamente autorizadas por un Estado o por la Comisión.

Art. 14.2 y 14.3

Proveedor de servicios externo

El tercero con el que la autoridad expedidora coopera en el proceso. La norma no lo regula ni le impone requisitos: lo que hace es cerrar la puerta a que su intervención desplace la responsabilidad del Estado por incumplimientos en materia de datos personales. El considerando 43 añade que los Estados deben ser especialmente cautelosos al cooperar con ellos.

Literal de la norma La cooperación con proveedores de servicios externos no excluirá a ningún Estado miembro de cualquier responsabilidad que pueda derivarse del Derecho de la Unión o nacional por el incumplimiento de las obligaciones en materia de datos personales.

Art. 11.4

Autoridad de protección de datos

La autoridad de control del Reglamento general de protección de datos, a la que el Estado debe garantizar el ejercicio pleno de sus funciones sobre este tratamiento, incluido el acceso a todos los datos personales, a toda la información necesaria y a los locales y equipos de tratamiento de las autoridades competentes. En España es la Agencia Española de Protección de Datos.

Art. 11.3

Punto de contacto nacional

Al menos una autoridad central por Estado, designada para la aplicación de la norma y comunicada a la Comisión y a los demás Estados. Si un Estado designa varias, tiene que indicar cuál hace de punto de contacto. Debe conocer los servicios de información y asistencia de la pasarela digital única y poder cooperar con ellos.

Art. 9