PD-00132-2024

1/23  Expediente N.º: EXP202404509 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 15 de febrero de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 15 de febrero de 2024 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra DIGI SPAIN TELECOM, S.L. (en adelante, la parte reclamada) por no haber sido debidamente atendido su derecho de acceso. La parte reclamante manifiesta que, tras solicitar el acceso ante la parte reclamada del registro de llamadas entrantes y salientes mediante correo electrónico de fecha 24 de octubre de 2023, la entidad le contestó facilitándole el detalle de su consumo. Disconforme con la respuesta, la parte reclamante contactó nuevamente por el mismo medio con la parte reclamada indicando que ha recibido el detalle de consumo de las llamadas realizadas desde su teléfono móvil “(…) NO el detalle de llamadas recibidas "perdidas", tal y como indiqué en la solicitud que adjunté según sus indicaciones, entre el ***FECHA.1 y ***FECHA.2, y que es lo que realmente solicitaba, conforme al Art. 4.2 y 5 de la Ley 25/2007 de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. Les ruego por favor, me envíen a la mayor brevedad, el Detalle de Registro de Llamadas RECIBIDAS NO ATENDIDAS incluidas las de "número oculto como tal" (lo que conocemos comúnmente como "llamadas perdidas") a mi móvil ***TELÉFONO.1, entre las fechas indicadas del ***FECHA.1 al ***FECHA.2.” Con fecha 25 de octubre de 2023 la parte reclamada le contestó que ”(…) Te informamos que no disponemos de las llamadas entrantes o perdidas tal y como nos solicitas.” Junto a su reclamación aporta solicitud de acceso y correos electrónicos intercambiados, así como resolución de la Secretaría de Estado de Telecomunicaciones de fecha 15 de febrero de 2024 en la que se inhiben en esta Agencia. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Desde la parte reclamada se puso de manifiesto que, efectivamente recibió el ejercicio del derecho de acceso de la parte reclamante y que fue debidamente atendido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 proporcionándole todos aquellos datos que están en disposición legal de facilitar. Entre ellos las llamadas salientes ya que su legitimación en el tratamiento de estos datos se encontraría en las necesidades de tarificación y cobro por los servicios prestados a sus clientes. La parte reclamada señala que “El día 25 de octubre – tal y como comparte el reclamante-, DIGI recibe un email confirmando la puesta a disposición de las llamadas realizadas y concretando su deseo de recibir todas las llamadas recibidas no atendidas incluidas las que se hubieran realizado desde un número oculto. A esta petición, el servicio de Atención al Cliente le confirmó la no disposición de la información (pág. 11 del Requerimiento) de acuerdo con las políticas de privacidad por defecto establecidas por esta Compañía.” Afirma sin embargo que, en relación con las llamadas entrantes, no tienen la misma legitimación. Motiva su imposibilidad de facilitar los datos de llamadas entrantes en la Ley 25/2007 de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, indicando que la legitimación para el tratamiento de estos datos se encuentra en el artículo 3 de esta ley que establece que los datos que deben ser conservados por los operadores. En el artículo 5 se establece un plazo general de conservación de doce meses, con excepciones y en los artículos 6 y 7 se regulan las normas generales de cesión de estos datos que sólo podrán cederse por autorización judicial o a los agentes facultados que son los que se establecen en el artículo 6 y donde no se incluye a los operadores telefónicos. Además, manifiesta que hay que tener en cuenta la afectación a derechos de terceros involucrados en las llamadas que se solicitan. La parte reclamada indica que se pone a disposición de esta Agencia para modificar su posición si la Agencia estima de forma razonada que su posición no es correcta. Asimismo, la parte reclamada, en el escrito presentado ante esta Agencia con fecha 13 de mayo de 2024, indica que por parte de esta Agencia se está tramitando el EXP202305727 de análoga problemática. “Así pues, entendemos trasladable cuanta argumentación se vertió en las distintas contestaciones. No obstante, para facilitar la resolución del presente expediente, traemos aquí algunas de las consideraciones incluidas en el mismo punto informativo de aquel Expediente: “Con carácter previo, cabe señalar que la legitimación para el tratamiento de datos personales relativos a las llamadas salientes por parte de DIGI se encontraría, entre otros, en las necesidades de justificación de la tarificación y cobro por nuestros servicios a nuestros clientes. Sin embargo, esas vías de legitimación no existen para las llamadas entrantes. La única base de legitimación para el tratamiento de los datos personales concernientes a las llamadas entrantes por parte de DIGI se encuentra en el artículo 3 de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 Artículo 3. Datos objeto de conservación (…) Artículo 5. Período de conservación de los datos. 1. La obligación de conservación de datos impuesta cesa a los doce meses computados desde la fecha en que se haya producido la comunicación. Reglamentariamente, previa consulta a los operadores, se podrá ampliar o reducir el plazo de conservación para determinados datos o una categoría de datos hasta un máximo de dos años o un mínimo de seis meses, tomando en consideración el coste del almacenamiento y conservación de los datos, así como el interés de los mismos para los fines de investigación, detección y enjuiciamiento de un delito grave, previa consulta a los operadores. 2. Lo dispuesto en el apartado anterior se entiende sin perjuicio de lo previsto en el artículo 16.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, sobre la obligación de conservar datos bloqueados en los supuestos legales de cancelación. En los artículos 6 y 7 se refieren a las normas y procedimiento de cesión de los datos. Artículo 6. Normas generales sobre cesión de datos. 1. Los datos conservados de conformidad con lo dispuesto en esta Ley sólo podrán ser cedidos de acuerdo con lo dispuesto en ella para los fines que se determinan y previa autorización judicial. 2. La cesión de la información se efectuará mediante formato electrónico únicamente a los agentes facultados, y deberá limitarse a la información que resulte imprescindible para la consecución de los fines señalados en el artículo 1. (…) Artículo 7. Procedimiento de cesión de datos. 1. Los operadores estarán obligados a ceder al agente facultado los datos conservados a los que se refiere el artículo 3 de esta Ley concernientes a comunicaciones que identifiquen a personas, sin perjuicio de la resolución judicial prevista en el apartado siguiente. 2. La resolución judicial determinará, conforme a lo previsto en la Ley de Enjuiciamiento Criminal y de acuerdo con los principios de necesidad y proporcionalidad, los datos conservados que han de ser cedidos a los agentes facultados. 3. El plazo de ejecución de la orden de cesión será el fijado por la resolución judicial, atendiendo a la urgencia de la cesión y a los efectos de la investigación de que se trate, así como a la naturaleza y complejidad técnica de la operación. Si no se establece otro plazo distinto, la cesión deberá efectuarse dentro del plazo de 7 días naturales contados a partir de las 8:00 horas del día natural siguiente a aquél en que el sujeto obligado reciba la orden. (subrayado nuestro)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 Sin perjuicio de las posibilidades de conservación de los registros de llamadas disponibles en los terminales actuales de los propios usuarios (por ejemplo, en sus propios dispositivos), entendemos que la Ley no asigna ninguna obligación de servicio fedatario a los operadores de telecomunicaciones. Bien al contrario, la obligación de conservación y por tanto, base de legitimación del tratamiento datos, tendrían claramente una función teleológica restringida a la colaboración con los agentes facultados habilitados por la correspondiente y correcta resolución judicial. Todo esto debe ser valorado junto con los derechos de terceros interesados involucrados en las llamadas, en la medida que una atención al derecho en la forma solicitada por el reclamante –no habilitado por Ley- podría suponer un quebrantamiento de las expectativas razonables sobre el tratamiento de los datos personales de dichos terceros, por parte de los sujetos obligados al anteriormente descrito requerimiento de conservación.” La parte reclamada continúa señalando que en el EXP202305727 “(…) DIGI trasladó las siguientes consideraciones que, mutatis mutandi, son plenamente aplicables al presente caso: ¨PRIMERO.- Que esta Parte reitera la exposición de hechos y argumentos vertidos en cada uno de nuestros escritos referentes al presente expediente que donde desarrollaban las siguientes cuestiones: 1º) Que se debía tener en cuenta la ponderación de derechos y obligaciones no solo de DIGI y el reclamante sino también con respecto a terceros, así como las restricciones descritas en la Ley 25/2007 de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. Esto es, la limitación del tratamiento exclusivamente para la puesta a disposición de los Agentes Facultados y Órganos Judiciales, según lo dispuesto en dicha Ley. 2º) Que la concreción en el traslado del recurso del periodo (01/11/2022 a 21/12/2022) solicitado, no cambia su naturaleza como llamadas entrantes cuyo único objeto de conservación es la puesta a disposición de los órganos del Estado señalados en la citada Ley. 3º) Que, coherentemente, este tipo de información se encuentra a disposición de los Órganos Judiciales que, en caso de que estos entendieran pertinente y proporcionada la solicitud que realizara el reclamante a través de dichos Órganos Judiciales, podrían y de hecho pueden requerirla a este operador como parte de las facultades de dichos Órganos, todo ello siguiendo las garantías procesales y constitucionales aplicables. 4º) Que DIGI entiende -de buena fe, sin tener ningún incentivo distinto al respeto a la Ley y en el mejor ejercicio de diligencia- que la Ley 25/2007 supone una excepción al derecho fundamental a la protección de datos, e igualmente al derecho a la garantía del secreto de las comunicaciones (que también podría verse afectado en caso de ceder información sobre determinadas comunicaciones a terceros distintos de los Agentes Facultados, según se definen en dicha Ley). Por tanto, como tal restricción, debe ser interpretada de forma restrictiva en toda su aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 Consecuentemente, ante la función teleológica que limita la norma, la potencial afectación a derechos de terceros (al menos, del emisor de la llamada, cuando no también de terceros potenciales usuarios de la línea) y la habilitación para su solicitud vía Tribunales de Justicia, consideramos que no procedería la puesta a disposición, por parte de DIGI directamente al reclamante, del detalle de la información que solicita. SEGUNDO.- Que la resolución de estimación del recurso de reposición del reclamante se basa en una ejemplificación de la Guía 1/2022 del Comité Europeo de Protección de Datos que se refiere a servicios mensajería. Ha de hacerse notar que la idiosincrasia de los servicios de mensajería supone importantes diferencias materiales respecto al canal de comunicación basado en las llamadas. En efecto, existe una gran variedad de servicios de mensajería. En su mayoría presuponen normalmente la necesidad del receptor final de disponer de distinto tipo de claves para poder acceder al sistema de mensajería. Sin embargo, las llamadas pueden ser atendidas por personas distintas del usuario habitual de la línea. A mayor abundamiento, es muy común en el sector de las telecomunicaciones que una línea esté a nombre de un titular y su usuario sea distinto: un hijo, una pareja, etc. En este sentido, la Agencia convendrá que los derechos de un titular de una línea (acceso a los datos de consumo que justifican la facturación) no pueden suponer una invasión absoluta del campo de protección configurado por el derecho al secreto de las telecomunicaciones de terceros (emisor y receptor –distinto del titular-). Esta singularidad hace que la aplicación del ejemplo –que no deja de ser una interpretación del Supervisor sin rango legal- de los mensajes a un servicio de llamadas no puede realizarse de manera directa, debiendo, por tanto, tener en cuenta lo indicado en el punto PRIMERO. TERCERO.- Que DIGI no puede sino resaltar que el usuario tendría dos vías para poder de acceder a la información de las llamadas entrantes que solicita:

1. i)El propio terminal debería guardar dichas llamadas salvo, por ejemplo, que hayan sido borradas por quien tuviera acceso a la aplicación de las llamadas de dicho terminal.
2. ii)Si se tratase de defender legítimamente sus intereses legales siempre queda habilitada la vía judicial para solicitarlas. CUARTO.- Que, en opinión de DIGI, debe entenderse que priman los derechos fundamentales de terceros y la aplicación de los límites de la Ley 25/2007 en el presente caso, no debiéndose facilitar la información solicitada”. En cuanto al presente procedimiento, la parte reclamada alega que “(…) el actual reclamante concreta su deseo no en las llamadas entrantes, sino ya muy particularmente en las llamadas perdidas e, incluso, las que se hubieran emitido desde números de teléfono ocultos. En este último sentido hay que señalar que, por sí sola, la ocultación supone un refuerzo, si cabe, de las alegaciones arriba vertidas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 A mayor abundamiento, existe un marco legal concreto que establece los derechos de los usuarios respecto de la ocultación y sus efectos. Así, el artículo 65.1 de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones sobre los Derechos específicos de los usuarios finales y consumidores de redes y servicios de comunicaciones electrónicas disponibles al público establece: “(…)
3. o)el derecho a impedir, mediante un procedimiento sencillo y gratuito, la presentación de la identificación de su línea en las llamadas que genere o la presentación de la identificación de su línea al usuario que le realice una llamada. Los usuarios finales no podrán ejercer este derecho cuando se trate de comunicaciones de emergencia a través del número de emergencia 112 o comunicaciones efectuadas a entidades que presten servicios de emergencia que se determinen mediante real decreto. Por un período de tiempo limitado, los usuarios finales no podrán ejercer este derecho cuando el abonado a la línea de destino haya solicitado la identificación de las llamadas maliciosas o molestas realizadas a su línea;
4. p)el derecho a impedir, mediante un procedimiento sencillo y gratuito, la presentación de la identificación de la línea de origen en las llamadas entrantes y a rechazar las llamadas entrantes en que dicha línea no aparezca identificada. En este supuesto y en el anterior, los operadores que presten servicios de comunicaciones interpersonales disponibles al público basados en la numeración, así como los que exploten redes públicas de comunicaciones electrónicas, deberán cumplir las condiciones que mediante real decreto se determinen sobre la visualización, restricción y supresión de la identificación de la línea de origen y conectada;”. En este sentido, no nos consta ninguna solicitud previa del reclamante demandando la excepción del último apartado del
5. o)(esto es, “cuando el abonado a la línea de destino haya solicitado la identificación de las llamadas maliciosas o molestas realizadas a su línea”). Por tanto, no ha concurrido la excepción que habilitaría el conocimiento de esos datos por parte del receptor de las llamadas. Lo contrario, supondría un atentado a los derechos reconocidos por el art. 65 de la Ley General de Telecomunicaciones respecto a los emisores que deciden realizar sus llamadas bajo el modo “oculto”. Y sin perjuicio del otro derecho que dicha Ley contempla en el apartado
6. p)y que asiste a los titulares de la línea de destino, esto es, “el derecho a rechazar las llamadas entrantes en que dicha línea – la de origen- no aparezca identificada”. Consecuentemente, DIGI entiende que su actuación se ha ajustado a la necesidad de realizar una ponderación de derechos e intereses entre los afectados por la solicitud de acceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 TERCERO: De acuerdo con los artículos 64.1 y 65.5 de la LOPDGDD, la decisión sobre la admisión o inadmisión a trámite de la reclamación, deberá notificarse a la parte reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, cuando la reclamación verse sobre la falta de atención de una solicitud de ejercicio de derechos, el procedimiento se considerará iniciado a partir de la fecha en que se cumplan tres meses desde que la reclamación tuvo entrada en la Agencia. Según lo expuesto, y teniendo en cuenta que la reclamación se presentó en esta Agencia en fecha 15 de febrero de 2024, el procedimiento de atención de solicitud de ejercicio de derechos se considera iniciado en fecha 15 de mayo de 2024. El acuerdo de admisión se notificó a ambas partes y se concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamante ha presentado un escrito ante esta Agencia en el que indica que “(…) anotar y recalcar, que lo reclamado a la compañía Digi Spain Telecom, S.L. es, sólo y exclusivamente con los datos de numeración, fecha y hora, el listado de las llamadas recibidas no atendidas / “perdidas” (incluidas, en su caso, las de numeración oculta, reflejándose tal cual pero con fecha y hora) entre el ***FECHA.1 y ***FECHA.2.” La parte reclamada señaló, en síntesis, que recibió un correo electrónico el día 17 de octubre de 2023 de la parte reclamante solicitando acceso al tráfico de llamadas de la línea de su titularidad ***TELÉFONO.1, entre las fechas ***FECHA.1 y ***FECHA.2, y que, con fecha 24 de octubre del mismo año, le contestó con el registro del tráfico de llamadas realizadas desde la línea identificada, así como el consumo realizado al respecto hasta tal fecha. “Adicionalmente, en la misma comunicación, el Reclamante manifiesta su deseo de recibir todas las llamadas recibidas en su línea, también las no atendidas, incluidas las que se hubieran realizado desde un número oculto. Es decir, solicita las llamadas realizadas a su línea por terceros. DIGI dio respuesta también a esta nueva petición dentro del plazo conferido al efecto. En la misma, se puso en conocimiento del solicitante que su derecho de acceso no alcanzaba a la información solicitada respecto a las llamadas realizadas desde otras líneas, tal como establece la propia normativa de protección de datos, que expresamente establece limitaciones al ejercicio del derecho de acceso (Artículo 23 del Reglamento General de Protección de Datos, en lo sucesivo, “RGPD”). Por ello, y de acuerdo con los protocolos de privacidad de DIGI, se la trasladó al Reclamante la imposibilidad de facilitarle la información adicional solicitada. En este punto, se aclara que, en cualquier caso, el Reclamante tiene la posibilidad de acceder a la información solicitada en su propio terminal, que guarda el registro de dichas llamadas salvo que el propio usuario haya decidido borrar esta información.” La parte reclamada señala que la legitimación para el tratamiento de datos personales relativos a las llamadas salientes o realizadas desde la línea de la parte reclamante se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 encuentra, entre otras, en la necesidad de justificar la tarificación y el cobro por los servicios prestados a sus clientes. “No obstante de anterior, dicha legitimación no es extensible a las llamadas entrantes o recibidas, es decir, a aquellas realizadas desde otras líneas, titularidad de terceros, que no son tratadas por parte de DIGI en el marco de la ejecución del contrato de prestación de servicios a sus clientes. La posibilidad de tratar información relativa a llamadas entrantes cuenta con una regulación específica, contenida en los artículos 3 y 4 de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, y que no se refiere a una relación entre las operadoras y los titulares de las líneas, sino que dichos datos han de ser conservados para el cumplimiento de obligaciones específicas y sólo es posible su puesta a disposición de terceros en supuestos taxativamente tasados en la norma. Así, según la citada norma, el tratamiento de estos datos queda restringido exclusivamente a la colaboración con los agentes facultados, siempre habilitados por la correspondiente y correcta resolución judicial, tal y como se especifica de forma literal (Artículo 6.1): “6.1. Los datos conservados de conformidad con lo dispuesto en esta Ley sólo podrán ser cedidos de acuerdo con lo dispuesto en ella para los fines que se determinan y previa autorización judicial”. Derivado de lo anterior, no existe legitimación o fundamento jurídico que ampare la puesta a disposición del Reclamante de la información adicional solicitada, toda vez que no quedaría comprendida dentro la información a poner a disposición en el marco de un ejercicio de derechos en los términos definidos en el RGPD, ni la norma que regula su conservación contempla esta posibilidad. Es más, como se evidencia del previo extracto, la norma limita el tratamiento de tales datos a la puesta a disposición de las fuerzas y cuerpos de seguridad, así como a la Administración de Justicia. Ello constituye, efectivamente, la limitación al derecho de acceso que prevé el Artículo 23 del RGPD previamente mencionado, y que exige una provisión legal concreta, en aras de preservar la seguridad, la seguridad pública y la prevención, investigación, detección o enjuiciamiento de infracciones penales. En consecuencia, la falta de base legal para el tratamiento de las llamadas entrantes y la ausencia de habilitación legal tanto en la norma especial como en la general, impiden a esta Parte dar acceso al Reclamante a la información solicitada. (…) Adicionalmente a lo anterior, en el contexto del presente Expediente, es crucial considerar los derechos de terceros interesados, involucrados en las llamadas recibidas en la línea sobre la que el Reclamante solicita información. En este sentido se pronuncia el Considerando