Sí es legal que te lo pidan, de hecho, es como hay que hacerlo.
Eso sí, yo en su momento cancelé uno de esos servicios Premium SMS, hace la tira de años, con decirles claramente que, dado que no tenían ningún dato mío, más allá del número de teléfono, consideraba que no era necesario enviarles el DNI.
Pero así, tal cual. Me quedé más ancho... Oye, y funcionó.
Pero, mira, ya que sacas el tema, y como ya no soy aquel chavalote, me has hecho re-mirarme las leyes, que nunca está de más

Y ahora veo por qué funcionó.
Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal.La ley te dice en su Artículo 25 que no te queda otras narices para ejercer tus derechos, salvo lo que se dice en el apartado 4 del Artículo 24.
Lo único que te "libraría" (muy entrecomillas), es que, si tienes DNI electrónico o certificado digital de la FNMT, puedes firmar digitalmente el correo electrónico, o el texto en el que solicites la cancelación (el borrado), en cualquier tipo de archivo, asociando la firma electrónica.
Eso sí, la firma electrónica incluye tu nombre y el número de DNI, pero no tienes que enviarlo por correo.
Si quieres hacerlo así, lo puedes hacer aquí, con el plugin de JAVA, o descargarte la aplicación, que sigues necesitando JAVA:
https://valide.redsara.es/valide/firmar/ejecutar.html(Esa web es de la Secretaría de estado de las Administraciones públicas. O sea, del Ministerio. Es segura.)
Reglamento de desarrollo de la Ley Orgánica de Protección de datos escribió:Artículo 25. Procedimiento.
1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
a) Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente.
[...]
Pero, volviendo al punto 4 del artículo 24, dado que supongo que te estarás comunicando con ellos por correo electrónico o a través de mensajes privados, y dado que es un medio aceptado para atención al usuario y que pueden verificar tu identidad, bien sea porque estás identificado en el foro (salvo que alguien hubiese hackeado tu cuenta, claro), bien sea por tu correo electrónico, al poder contrastarlo con el usuario en la base de datos, no deberían pedirte absolutamente nada más.
Pueden pedírtelo si se ponen cabezones, pero no es absolutamente necesario.
Pueden verificar perfectamente que tú eres tú.
Reglamento de desarrollo de la Ley Orgánica de Protección de datos escribió:Artículo 24
[...]
4. Cuando el responsable del fichero o tratamiento disponga de servicios de cualquier índole para la atención a su público o el ejercicio de reclamaciones relacionadas con el servicio prestado o los productos ofertados al mismo, podrá concederse la posibilidad al afectado de ejercer sus derechos de acceso, rectificación, cancelación y oposición a través de dichos servicios. En tal caso, la identidad del interesado se considerará acreditada por los medios establecidos para la identificación de los clientes del responsable en la prestación de sus servicios o contratación de sus productos.
Si no, siempre puedes pedir la tutela de la Agencia de Protección de Datos. Tal vez te den la razón, o te la quiten.
Si te la dan probablemente sientes precedente y dejen todas las webs de tocar las narices con requisitos absurdos...
De hecho, aquí en EOL (en el pie de página) lo ponen en los Términos y condiciones, pero me parece un despropósito pedir un datos que no sirven para verificar tu identidad en esta web. Es decir, el DNI no sirve para contrastar si tú eres sykans o no.
Lo que deberían disponder las webs es de un "botón" para desactivar y borrar las cuentas, pero..., casi nadie lo hace. Mismamente aquí, en el propio EOL, por cuestiones técnicas, no lo hacen.
OFF TOPIC
Por cierto, que mirarme la ley me ha servido para darme cuenta de que algo que daba por seguro lo cambiaron en 2012 por sentencia de Tribunal Supremo: ya no se puede hacer tratamiento de datos personales ajenos sin consentimiento cuando sean accesibles al público, es decir, si alguien se los encuentra por la red.
Gracias, Tribunal Supremo. Ya era hora.