E-02661-2017

1/5 Expediente Nº: E/02661/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ORANGE ESPAGNE, S.A.U. en virtud de denuncia presentada por el JUZGADO DE PRIMERA INSTANCIA E INSTRUCCION Nº 3 DE SIERO (ASTURIAS), y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 15/03/2017, tuvo entrada en esta Agencia escrito del Juzgado de Primera Instancia e Instrucción Nº 3 de Siero (Asturias), en el que pone de manifiesto que en el marco del procedimiento Diligencias Previas ***DIL.1 tramitado en el mismo, requirió al operador ORANGE ESPAGNE, S.A.U. (en lo sucesivo ORANGE) información sobre la titularidad de una dirección IP, respondiendo este operador que no dispone de la misma debido a un problema técnico del sistema de backup, habiéndose perdido la información referente a las conexiones móviles en los meses de abril, mayo y junio de

1. Dicho Juzgado anexa la siguiente documentación: . Auto solicitando averiguaciones de asignaciones de direcciones IP en el marco de las mencionadas Diligencias Previas. . Escrito del operador ORANGE dando respuesta al requerimiento del Juzgado. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: . En relación con los hechos puestos de manifiesto por el Juzgado, la entidad ORANGE informó lo siguiente: “El 29/03/2016 se migró el servicio radius desde una plataforma antigua a una nueva plataforma virtualizada. Sin embargo, por un error humano en el diseño del proyecto de migración no se identificaron los flujos de envío de datos al sistema del que obtiene los datos de titularidades de direcciones ip el sistema de almacenamiento de datos previsto en la Ley de Conservación de Datos. Cuando se tuvo conciencia del problema, se generaron en la máquina integrante de la plataforma radius, procesos que, cada diez minutos, enviaban los datos en formato y forma compatible. La migración finalizó en julio de 2016 y desde esa fecha se restituyó el flujo de información habitual. No obstante, los datos previos no pudieron recuperarse, ya que no se habían almacenado en ningún sistema de almacenamiento. No consta incidencia en el Registro de Incidencias ya que no se trató de un incidente de seguridad, que es lo que se almacena en el registro, sino de una incidencia técnica/operativa originada por un error humano”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en el artículo 10.3 de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, la competencia para resolver el presente Procedimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II La Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, en los artículos 1, 2 y 8 establece lo siguiente: “Artículo 1 Objeto de la Ley
2. Esta Ley tiene por objeto la regulación de la obligación de los operadores de conservar los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación, así como el deber de cesión de dichos datos a los agentes facultados siempre que les sean requeridos a través de la correspondiente autorización judicial con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales.
3. Esta Ley se aplicará a los datos de tráfico y de localización sobre personas físicas y jurídicas y a los datos relacionados necesarios para identificar al abonado o usuario registrado.
4. Se excluye del ámbito de aplicación de esta Ley el contenido de las comunicaciones electrónicas, incluida la información consultada utilizando una red de comunicaciones electrónicas”. “Artículo 2 Sujetos obligados Son destinatarios de las obligaciones relativas a la conservación de datos impuestas en esta Ley los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones, en los términos establecidos en la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones”. “Artículo 8 Protección y seguridad de los datos
5. Los sujetos obligados deberán identificar al personal especialmente autorizado para acceder a los datos objeto de esta Ley, adoptar las medidas técnicas y organizativas que impidan su manipulación o uso para fines distintos de los comprendidos en la misma, su destrucción accidental o ilícita y su pérdida accidental, así como su almacenamiento, tratamiento, divulgación o acceso no autorizados, con sujeción a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en su normativa de desarrollo.
6. Las obligaciones relativas a las medidas para garantizar la calidad de los datos y la confidencialidad y seguridad en el tratamiento de los mismos serán las establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y su normativa de desarrollo.
7. El nivel de protección de los datos almacenados se determinará de conformidad con lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, y en su normativa de desarrollo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5
8. La Agencia Española de Protección de Datos es la autoridad pública responsable de velar por el cumplimiento de las previsiones de la Ley Orgánica 15/1999, de 13 de diciembre, y de la normativa de desarrollo aplicables a los datos contemplados en la presente Ley”. III El presente supuesto analiza las obligaciones de protección y seguridad que han de aplicarse a los registros de comunicaciones de los que es responsable la entidad ORANGE. Esta norma circunscribe su objeto a la determinación de la obligación de conservar los datos generados o tratados en el marco de una comunicación de telefonía fija o móvil, o realizada a través de una comunicación electrónica de acceso público o mediante una red pública de comunicaciones, con fines de detección, investigación y enjuiciamiento de un delito contemplado en el Código Penal o las leyes penales especiales, con los requisitos y cautelas que la propia Ley establece. Según consta en su Preámbulo, en esta norma también se precisan las limitaciones sobre el tipo de datos a retener, que son los necesarios para identificar el origen y destino de la comunicación, incluidos los datos personales identificativos de los usuarios o abonados de ambos (nombre y dirección), tanto relativos a personas físicas como personas jurídicas, pero nunca datos que revelen el contenido de la comunicación. Igualmente, la Ley impone la obligación de conservación de datos que permitan determinar el momento y duración de una determinada comunicación, su tipo, así como datos necesarios para identificar el equipo de comunicación empleado y, en el caso de utilización de un equipo móvil, los datos necesarios para su localización. En relación con los sujetos que quedan obligados a conservar los datos, éstos serán los operadores que presten servicios de comunicaciones electrónicas disponibles al público, o que exploten una red pública de comunicaciones electrónicas en España. La entidad ORANGE, que interviene en los hechos como operador que presta servicios de comunicaciones electrónicas disponibles al público y explota redes públicas de comunicaciones, se encuentra efectivamente sujeta al marco establecido en la mencionada Ley 25/2007, debiendo, en consecuencia, proceder a la conservación de los datos de tráfico a los que se refiere la citada Ley con la finalidad expresada en su artículo 1 y a aplicar sus previsiones. En relación con la protección y seguridad de los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o redes públicas de comunicación, el artículo 8 de la Ley 25/2007, antes transcrito, obliga a los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones a “adoptar las medidas técnicas y organizativas que impidan su manipulación o uso para fines distintos de los comprendidos en la misma, su destrucción accidental o ilícita y su pérdida accidental, así como su almacenamiento, tratamiento, divulgación o acceso no autorizados, con sujeción a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en su normativa de desarrollo”. De acuerdo con este artículo, ORANGE está obligada a adoptar las medidas de seguridad correspondientes al nivel de protección exigible a los datos de tráfico establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 sucesivo LOPD) y su Reglamento de desarrollo. A este respecto, el artículo 9 de la LOPD establece igualmente la obligación del responsable del fichero de adoptar las medidas que garanticen la seguridad de los datos y eviten su alteración o pérdida. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, al haberse constatado que durante un proceso de migración de datos de una plataforma antigua a una virtualizada, iniciado el 29/03/2016, por un error en el diseño del proyecto de migración, los datos de titularidades de direcciones IP no pudieron recuperarse. El incumplimiento de las medidas de seguridad aparece regulado en la Ley 25/2007, que en su artículo 10 tipifica como infracción grave “el incumplimiento deliberado de las obligaciones de protección y seguridad de los datos establecidas en el artículo 8” o como infracción leve en otros casos, correspondiendo igualmente la competencia sancionadora a esta Agencia Española de Protección de datos, que aplicará el régimen sancionador establecido en la Ley General de Telecomunicaciones (artículo 10.3 de la Ley 25/2007). Dado que ha existido una vulneración del “principio de seguridad de los datos”, se considera que ORANGE ha incurrido en la infracción descrita, que deberá calificarse como leve al no haberse acreditado intencionalidad en la pérdida de los datos a los que se ha hecho referencia. La Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (LGT), regula la prescripción de las infracciones en el artículo 83.1, que establece: “
9. Las infracciones reguladas en esta Ley prescribirán, las muy graves, a los tres años; las graves, a los dos años, y las leves, al año. El plazo de prescripción de las infracciones comenzará a computarse desde el día en que se hubieran cometido. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador. El plazo de prescripción volverá a correr si el expediente sancionador estuviera paralizado durante más de un mes por causa no imputable al presunto responsable. En el supuesto de infracción continuada, la fecha inicial del cómputo será aquella en que deje de realizarse la actividad infractora o la del último acto con que la infracción se consume. No obstante, se entenderá que persiste la infracción en tanto los equipos, aparatos o instalaciones objeto del expediente no se encuentren a disposición de la Administración o quede constancia fehaciente de su imposibilidad de uso”. En este caso, los hechos denunciados, que fueron puestos de manifiesto a esta Agencia mediante escrito recibido en fecha 15/03/2017 del Juzgado de Primera Instancia e Instrucción Nº 3 de Siero (Asturias), tienen relación con una migración de datos iniciada por ORANGE en fecha 29/03/2016 y concluida en julio de 2016, la cual dio lugar a la pérdida de datos relativos a titularidades de direcciones IP determinante de la infracción leve a la que se ha hecho referencia. Teniendo en cuenta el momento en el que se consuma la infracción, y habiendo transcurrido el plazo de prescripción de un año establecido para las infracciones leves en el citado artículo 83 de la LGT sin que esta Agencia haya tenido oportunidad de iniciar el correspondiente procedimiento sancionador, ha de concluirse que la citada infracción ha prescrito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a ORANGE ESPAGNE, S.A.U. y al JUZGADO DE PRIMERA INSTANCIA E INSTRUCCION Nº 3 DE SIERO (ASTURIAS). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es