← España

PD-00197-2023

1/14 * Expediente N.º: EXP202201673 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 18 de diciembre de 2021 y con número de registro de entrada O00007128e2100051803, tuvo entrada en esta Agencia la reclamación formulada por A.A.A. (en lo sucesivo, la parte reclamante) referida a EUSKALTEL, S.A. (en lo sucesivo, la parte reclamada), por una presunta vulneración del artículo 15 y 18 del RGPD. En particular por las siguientes circunstancias: La parte reclamante manifestaba que había solicitado el acceso a sus datos personales, en concreto a los datos de geolocalización respecto de su número de teléfono ***TELÉFONO.1 (sea digital o basada en el posicionamiento de antenas de telecomunicación) desde el 1 de enero de 2021 hasta el momento en el que se le respondiera al ejercicio de derecho de acceso. Indicaba que presentó tal solicitud mediante correo electrónico dirigido a la dirección electrónica que figura en la política de privacidad y que le contestaron que no pueden ayudarle con esa cuestión, ya que ese correo es únicamente para la recepción de documentación, dirigiéndole a un número de teléfono. Aportaba copia del correo electrónico enviado y copia del detalle de la política de privacidad sobre la dirección electrónica a la que pueden dirigirse para solicitar el acceso de sus datos, figurando aquella a la que se ha dirigido la parte reclamante. Asimismo indicaba que días después de la solicitud de derecho de acceso, solicitó el ejercicio del derecho de limitación del tratamiento de sus datos personales, en concreto les requería para que no procedieran al borrado de los mismos hasta que se haya dado acceso a ellos. SEGUNDO: Con fecha 25 de abril de 2022, se dictó resolución por la Directora de la AEPD en el expediente EXP202201673, en la que se acordó archivar actuaciones por haber denegado motivadamente, la parte reclamada, el derecho de acceso solicitado por la parte reclamante. La parte reclamante interpuso recurso contencioso administrativo contra la Resolución de la directora de la AEPD de fecha 25 de abril de

  1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 TERCERO: La Sección Primera de Sala de lo Contencioso-Administrativo de la Audiencia Nacional, por sentencia de 19 de enero de 2023, núm. Recurso ***RECURSO.1, resolvió estimar, por allanamiento de la Administración demandada, el recurso contencioso-administrativo interpuesto por A.A.A. contra la resolución de la Directora de la AEPD, de 25 de abril de 2022, que se anula por ser contraria al ordenamiento jurídico. En su parte dispositiva dice: FALLAMOS “Estimar, por allanamiento de la Administración demandada, el presente recurso interpuesto por la representación procesal de A.A.A., contra la Resolución de la Directora de la Agencia Española de Protección de Datos de 25 de abril de 2022, que se anula por ser contraria al ordenamiento jurídico, sin imposición de costas a ninguna de las partes.” La Sección Primera de Sala de lo Contencioso-Administrativo de la Audiencia Nacional, en fecha 10 de abril de 2023 firmó auto de complemento de sentencia, núm. Recurso ***RECURSO.1, completando el fallo de la sentencia firme de estos autos de 19 de enero de 2023, para añadir expresamente en dicho fallo la retroacción de actuaciones y tramitación de la reclamación presentada por la parte reclamante. En su parte dispositiva dice: “Haber lugar al complemento de la sentencia de 19 de enero de 2023 en el sentido de que donde dice, al final del fallo, que (…) contra la Resolución de la Directora de la Agencia Española de Protección de Datos de 25 de abril de 2022, que se anula por ser contraria al ordenamiento jurídico, DEBE AÑADIRSE QUE: ordenando la AEPD la retroacción de actuaciones, y que proceda a tramitar la reclamación presentada por D. A.A.A. contra Euskaltel.” CUARTO: Con fecha 13 de julio de 2023, se dictó resolución por la Directora de la AEPD, en la que se acordó: “PRIMERO: Ejecutar la sentencia en el sentido del art. 104.1 de la LJCA –“Luego que sea firme una sentencia, el Secretario judicial lo comunicará en el plazo de diez días al órgano que hubiera realizado la actividad objeto del recurso, a fin de que, recibida la comunicación, la lleve a puro y debido efecto y practique lo que exija el cumplimiento de las declaraciones contenidas en el fallo, y en el mismo plazo indique el órgano responsable del cumplimiento de aquél”-, y SEGUNDO: Acordar la retroacción de actuaciones y que se proceda a tramitar la reclamación presentada por D. A.A.A. contra Euskaltel.” QUINTO: Con fecha 24 de octubre de 2023, la Directora dictó acuerdo de admisión a trámite, en el cual se concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes, formulando, en síntesis, las siguientes alegaciones: En primer lugar indica que el reclamante recibió oportuna respuesta a su solicitud de acceso hasta en tres ocasiones a través de tres interacciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 “
  2. Información telefónica facilitada el día 23/11/2021 y registrada a las 12:27 horas, según prueba aportada en la primera manifestación, y corroborada por el propio D. A.A.A. en sus conversaciones con Virgin Telco.
  3. Correo de la DPD de Virgin Telco de fecha 20/12/2021 de respuesta a la reclamación presentada por D. A.A.A. ante el mismo el día 29/11/
  5. Correo de la DPD de Virgin Telco, del mismo día, en el que se amplía la información facilitada a D. A.A.A. ante la reiteración de su reclamación.” Hechos que considera no controvertidos, “pues únicamente se reclama de adverso que no se le facilitaron los datos a los que había solicitado acceso: en efecto, no se le facilitaron porque su petición fue denegada (…)” En segundo lugar indica que no se le facilitaron los datos solicitados en virtud de lo establecido en la Ley 25/2007, de 18 de octubre, de Conservación de Datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, la cual impone la obligación de conservar determinados datos generados como consecuencia de la actividad de sus usuarios, con la única y exclusiva finalidad de que puedan ser puestos a disposición de las autoridades a los efectos de su utilización para la detección, investigación y enjuiciamiento de delitos graves, motivo por el que se indicó al reclamante que se denegaba su solicitud porque “No podemos facilitarle los datos de geoposicionamiento puesto que existe una ley más específica que el RGPD en España, la ley 25/2007 de Conservación de Datos, que indica que solo podemos facilitarle esa información a la policía tras un requerimiento de un juez”. En tercer lugar señala que “no tiene, ni nunca ha tenido, datos de geolocalización” del reclamante, pues la Ley 25/2007 no impone a los operadores la obligación de conservar datos de geolocalización, en el sentido manifestado de adverso: únicamente les obliga a conservar dos tipos de datos (artículo 3.1.f): “1.° La etiqueta de localización (identificador de celda) al inicio de la comunicación. 2.° Los datos que permiten fijar la localización geográfica de la celda, mediante referencia a la etiqueta de localización, durante el período en el que se conservan los datos de las comunicaciones”. Asimismo señala que “Virgin Telco es un móvil virtual (OMV), y no es titular de concesiones del espectro público radioeléctrico como de las que sí disponen los operadores móviles de red (OMR). (…) Empresas como Virgin Telco no almacenan las coordenadas cartesianas o la localización GPS de un teléfono móvil que realiza una llamada: únicamente cuenta con el “identificador de celda” desde el que se inició cada comunicación.” En cuarto lugar alega que la solicitud del reclamante, “en los términos requeridos, supone un coste a nivel de recursos y una clara vulneración de derechos de terceros que se verían afectados por las medidas necesarias para dar cumplimiento a la petición del reclamante, que Virgin Telco no puede permitirse asumir.” Indicando que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 ha realizado un cálculo preliminar de lo que supondría responder a esta solicitud, ascendiendo la cantidad a 1.668,80€. Finalmente indica que ha proporcionado una alternativa razonable para el reclamante, el cual indicó a la Delegada de Protección de Datos de la parte reclamada, mediante correo electrónico de 23 de mayo de 2023, que necesitaba los datos de geolocalización del año 2021 para demostrar el cambio de su residencia fiscal a ***PAÍS.1 durante el año 2021, ante la Agencia Tributaria de este país. Motivo por el que aportó a la parte reclamante “la información del país del roaming o itinerancia de su línea telefónica.” Pues “este dato sí se trata en los procesos de facturación, y se almacena durante los tiempos de prescripción de las obligaciones legales aplicables, que asciende a seis años.” Pues entiende que tal información es más que suficiente para sostener ante la Agencia Tributaria o cualquier otra autoridad fiscal que se produjo un cambio de residencia: en ella se indica que el teléfono móvil del Sr. A.A.A. realizaba y recibía llamadas desde ***PAÍS.1, fundamentalmente, y no desde España, luego no precisa de los datos de geolocalización para esta finalidad. De ahí que califiquemos su pretensión como un capricho (y un abuso de derecho), y que consideremos que esta circunstancia debe ser tenida en cuenta al resolver sobre la reclamación interpuesta de adverso.” SEXTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante el 13 de noviembre de 2023, para que en el plazo de diez días hábiles formule las alegaciones que considere oportunas. SÉPTIMO: Con fecha de entrada en registro de 21 de noviembre de 2023, la parte reclamante solicitó copia del expediente. El 22 de noviembre de 2023, se remitió a la parte reclamante el expediente. OCTAVO: Con fecha de entrada en registro de 4 de diciembre de 2023, la parte reclamante presentó escrito de alegaciones en el que indica, en síntesis lo siguiente: Comienza señalando “que el hecho de que Euskatel trate datos de geolocalización del interesado nunca ha sido discutido por ninguna de las partes en este procedimiento, no ante la AEPD no ante la Audiencia Nacional (…)” Asimismo indica que “los datos de geolocalización (relativas a una persona física) son datos personales. Como constató el Grupo de Trabajo del Artículo 29 ya en 2011, en el Dictamen 13/2011, los datos derivados de las estaciones base deben considerarse datos personales. Esto incluye los números de identificación de las celdas que ofrecen información aproximada sobre la ubicación de las personas.” Considera contradictorio que Euskatel indique que no trata datos de geolocalización cuando en su escrito de 14 de marzo de 2022 señaló que los trata para dos finalidades: (i) “Para la realización de perfiles con fines de mercadotecnia directa en base al consentimiento”, y (ii) “Para el cumplimiento de la Ley 25/2007 de conservación de datos por obligación legal”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Por ello considera que “el mero almacenamiento de datos personales constituye un tratamiento de acuerdo al artículo 4

(2)RGPD. Así, Euskatel tiene que cumplir con sus obligaciones que se derivan del RGPD, y no sólo las de la Ley 25/2007.” También indica que “Euskatel, como responsable del tratamiento, debería en virtud del artículo 28
(3)(e) RGPD asegurarse contractualmente (o, en su caso, según lo previsto en un “acto jurídico”) de la asistencia del encargado del tratamiento para dar respuesta a las solicitudes de interesados. Es decir, Euskatel debería, por obligación legal, contar con la asistencia de los OMR con los que trabaja para dar respuesta a la solicitud de esta parte. 19. Hasta en el caso de considerarse corresponsables Euskaltel y los OMR, Euskatel debería haber llegado a un acuerdo en virtud del artículo 26
(2)RGPD para asignarse las tareas en relación con solicitudes de interesados. (…)” Señala, respecto a la Ley 25/2007, que “el RGPD sigue teniendo primacía sobre la legislación nacional en virtud d ellos principios de supremacía del Derecho de la UE (véase la sentencia del TJUE en el asunto C-6/64, Costa v Enel).” Indicando a continuación que “del tenor literal del artículo 9
(1)de la Ley 25/2007 se desprende claramente que la Ley 25/2007 no exime a Euskatel de su obligación de dar acceso a los datos de geolocalización de esta parte en virtud del artículo 15 RGPD. Efectivamente como también ha expuesto esta parte en el recurso contencioso-administrativo, el artículo 9 de la Ley 25/2007 es la única disposición que se refiere al derecho de acceso por parte de los interesados, concretamente se refiere a las excepciones al derecho de acceso, lo que significa que el derecho de acceso previsto en el artículo 15 RGPD es de aplicación general, salvo que sea aplicable la excepción prevista. En el caso que nos ocupa solamente se podría excluir dar información sobre “una cesión de datos” en virtud de la Ley 25/2007) (es decir, información sobre determinados “destinatarios”, para emplear el lenguaje del RGPD), de haberse producido.” Considera que el esfuerzo y coste que supone a Euskatel dar cumplimiento a su solicitud vienen a demostrar la insuficiencia de su sistema pues “que Euskatel organice sus sistemas de esta forma es responsabilidad suya. Según las Directrices 01/2022 del CEPD sobre el derecho de acceso deben determinarse en primer lugar las funciones técnicas disponibles para recuperar los datos.” Entiende que es un argumento “insostenible” la alegación de Euskatel de que “la búsqueda manual de los registros del interesado iba a violar la “privacidad” de otros usuarios, afectando así a los derechos de terceros.”, pues (
  1. i)“no está claro a quién se revelarían los datos de otros usuarios” (
  2. ii)“Un sistema informático no requiere analizar y consultar los datos de millones de usuarios para extraer los datos de un individuo. Por el contrario, simplemente requiere una búsqueda con parámetros para extraer del archivo los datos del individuo en cuestión. En otras palabras, si se siguiera (…) el razonamiento de Euskaltel, nunca sería posible ninguna solicitud de acceso, lo que supondría una derogación implícita generalizada del RGPD debido a una curiosa imposibilidad técnica (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 Respecto a la alternativa ofrecida por Euskatel para dar respuesta a los fines para los que se presentó la solicitud de acceso, señala que tales motivos son irrelevantes así como no obligatorios para dar respuesta a tal solicitud, por lo que se debería haber atendido a la solicitud de acceso. Asimismo indica que, como ya señalara en su escrito de demanda del recurso contencioso-administrativo, los datos proporcionados “no son lo suficientemente precisos para ser calificados como de datos de geolocalización”. Finalmente indica que “Después de que la persona interesada presentara una solicitud de acceso a Euskaltel, también solicitó la limitación del tratamiento para evitar que se suprimieran los datos solicitados. Sin embargo, Euskaltel nunca ha atendido dicha solicitud (…).Este comportamiento constituye una violación del artículo 18
(1)(
  1. c)RGPD.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. Si bien el 25 de abril de 2022, se dictó resolución por la Directora de la AEPD en el expediente EXP202201673, en la que se acordó archivar actuaciones por haber denegado motivadamente, la parte reclamada, el derecho de acceso solicitado por la parte reclamante, tras la interposición de recurso contencioso-administrativo por la parte reclamante, la Sección Primera de Sala de lo Contencioso-Administrativo de la Audiencia Nacional, por sentencia de 19 de enero de 2023, núm. Recurso ***RECURSO.1, resolvió estimar, por allanamiento de la Administración demandada, el mencionado recurso contencioso-administrativo, que anula la resolución de 25 de abril de la Directora de la AEPD por ser contraria al ordenamiento jurídico. Con fecha 13 de julio de 2023, se dictó resolución por la Directora de la AEPD, de ejecución de la mencionada sentencia así como de retroacción de las actuaciones. Resolución que determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento.” III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. En el supuesto aquí analizado, la parte reclamante ejerció su derecho de acceso, lo cual fue denegado por Euskaltel el 20 de diciembre de 2021 indicándole que “No podemos facilitarle los datos de geoposicionamiento puesto que existe una ley más específica que el RGPD en España, la ley 25/2007 de Conservación de Datos, que indica que solo podemos facilitarle esa información a la policía tras un requerimiento de un juez”. Ahora debemos analizar si lo solicitado por el reclamante y denegado por el reclamado forma parte del derecho de acceso y por tanto ha de atenderse. V El derecho de acceso en relación con datos de carácter personal que deben ser objeto de conservación conforme a la Ley 25/2007, de 18 de octubre Según la parte reclamada no se facilitaron a la parte reclamante los datos solicitados en virtud de lo establecido en la Ley 25/2007, de 18 de octubre, de Conservación de Datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, la cual impone la obligación de conservar determinados datos generados como consecuencia de la actividad de sus usuarios, con la única y exclusiva finalidad de que puedan ser puestos a disposición de las autoridades a los efectos de su utilización para la detección, investigación y enjuiciamiento de delitos graves, motivo por el que se indicó a la parte reclamante que se denegaba su solicitud porque “No podemos facilitarle los datos de geoposicionamiento puesto que existe una ley más específica que el RGPD en España, la ley 25/2007 de Conservación de Datos, que indica que solo podemos facilitarle esa información a la policía tras un requerimiento de un juez”. A este respecto debe señalarse lo siguiente: en primer lugar, el artículo 15.1 del RGPD establece que “El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información” Adicionalmente los apartados 3 y 4 del artículo 15 establecen lo siguiente: “3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” Por su parte, el considerando 63 del RGPD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 “Los interesados deben tener derecho a acceder a los datos personales recogidos que le conciernan y a ejercer dicho derecho con facilidad y a intervalos razonables, con el fin de conocer y verificar la licitud del tratamiento. Ello incluye el derecho de los interesados a acceder a datos relativos a la salud, por ejemplo los datos de sus historias clínicas que contengan información como diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas. Todo interesado debe, por tanto, tener el derecho a conocer y a que se le comuniquen, en particular, los fines para los que se tratan los datos personales, su plazo de tratamiento, sus destinatarios, la lógica implícita en todo tratamiento automático de datos personales y, por lo menos cuando se base en la elaboración de perfiles, las consecuencias de dicho tratamiento. Si es posible, el responsable del tratamiento debe estar facultado para facilitar acceso remoto a un sistema seguro que ofrezca al interesado un acceso directo a sus datos personales. Este derecho no debe afectar negativamente a los derechos y libertades de terceros, incluidos los secretos comerciales o la propiedad intelectual y, en particular, los derechos de propiedad intelectual que protegen programas informáticos. No obstante, estas consideraciones no deben tener como resultado la negativa a prestar toda la información al interesado. Si trata una gran cantidad de información relativa al interesado, el responsable del tratamiento debe estar facultado para solicitar que, antes de facilitarse la información, el interesado especifique la información o actividades de tratamiento a que se refiere la solicitud.” La parte reclamada no discute la naturaleza de datos personales de la información solicitada por la reclamante. Con ello, les serían plenamente aplicables las disposiciones del derecho de acceso. Únicamente se limita a afirmar que no estaría obligada a otorgar dicho derecho debido a que, a su juicio, su conservación se establecería legalmente con el único objetivo de ser puestos a disposición de las Fuerzas y cuerpos de seguridad, previa autorización judicial, conforme a lo establecido en la Ley 25/2007, de 18 de octubre. Sin embargo, una vez determinado el carácter de “dato personal” de la información solicitada, las únicas excepciones que pudieran establecerse respecto al ejercicio de cualquier derecho de los establecidos en los artículos 15 a 22 del Reglamento serán las legalmente establecidas. A este respecto, el artículo 9 de la mencionada Ley 25/2007 establece lo siguiente: “Artículo 9. Excepciones a los derechos de acceso y cancelación. 1. El responsable del tratamiento de los datos no comunicará la cesión de datos efectuada de conformidad con esta Ley. 2. El responsable del tratamiento de los datos denegará el ejercicio del derecho de cancelación en los términos y condiciones previstos en la Ley Orgánica 15/1999, de 13 de diciembre.” Puede fácilmente advertirse que no se establece restricción alguna en relación con la posibilidad de ejercer el derecho de acceso. Únicamente se contienen las obvias precauciones de que al titular de los datos no tendrá que comunicársele la cesión de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 los mismos (cuestión obvia por tratarse de investigaciones penales), y que no podrá ejercerse el derecho de supresión. La conclusión es que los datos de ubicación de la línea telefónica pueden ser objeto de petición de derecho de acceso. VI Ejercicio del derecho y condiciones de atención del mismo por la parte reclamada Señala la parte reclamada que “no tiene, ni nunca ha tenido, datos de geolocalización”, afirmación que resulta contradictoria con la respuesta que dio a la solicitud de derecho de acceso de la parte reclamante, toda vez que solamente se la indicó “No podemos facilitarle los datos de geoposicionamiento puesto que existe una ley más específica que el RGPD en España, la ley 25/2007 de Conservación de Datos, que indica que solo podemos facilitarle esa información a la policía tras un requerimiento de un juez”. También alega la parte reclamada que “en los términos requeridos, supone un coste a nivel de recursos y una clara vulneración de derechos de terceros que se verían afectados por las medidas necesarias para dar cumplimiento a la petición del reclamante, que Virgin Telco no puede permitirse asumir.” Conviene aclarar lo ya reproducido en relación con el ejercicio del derecho de acceso: se ejercitará en relación con los datos personales “que le conciernen” (artículo 15.1 RGPD). A este respecto, la parte reclamada deberá adoptar las precauciones necesarias para garantizar que únicamente se facilitan a la parte reclamante los datos personales que conciernan a dicha parte reclamante, por ser esta última la usuaria (no solo la titular) de la línea telefónica móvil. Y todo ello en atención a los riesgos en los derechos y libertades de los interesados. Asimismo, en relación con el coste que supone dar cumplimiento a tal solicitud, hay que traer a colación las Directrices número 1/2022, adoptadas el 28 de marzo de 2023, por la que se aprueba la Guía de aplicación del artículo 15 del RGPD, sobre el Derecho de Acceso del Interesado, en cuyo apartado 188 indica que “El hecho de que el responsable del tratamiento tome una gran cantidad de tiempo y esfuerzo para proporcionar la información o la copia al interesado no puede por sí solo hacer que una solicitud sea excesiva.” Finalmente indica la parte reclamada que ha proporcionado una alternativa razonable para la parte reclamante, la cual indicó a la Delegada de Protección de Datos de Euskaltel, mediante correo electrónico de 23 de mayo de 2023, que necesitaba los datos de geolocalización del año 2021 para demostrar el cambio de su residencia fiscal a ***PAÍS.1 durante el año 2021, ante la Agencia Tributaria de este país. Por ello, le remitió “la información del país del roaming o itinerancia de su línea telefónica.” Pues “este dato sí se trata en los procesos de facturación, y se almacena durante los tiempos de prescripción de las obligaciones legales aplicables, que asciende a seis años.” Además entiende que tal información es más que suficiente para sostener ante la Agencia Tributaria o cualquier otra autoridad fiscal que se produjo un cambio de residencia: en ella se indica que el teléfono móvil del Sr. A.A.A. realizaba y recibía llamadas desde ***PAÍS.1, fundamentalmente, y no desde España, luego no precisa de los datos de geolocalización para esta finalidad. De ahí que califiquemos su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 pretensión como un capricho (y un abuso de derecho), y que consideremos que esta circunstancia debe ser tenida en cuenta al resolver sobre la reclamación interpuesta de adverso.” No obstante, la solicitud de derecho de acceso de la parte reclamante versa sobre los datos de geolocalización de su línea telefónica móvil, siendo indiferente el motivo por el que lo solicita. Asimismo, no se trata de una solicitud ni excesiva ni infundada, por lo que el responsable del tratamiento no puede negarse a actuar al respecto. Por lo expuesto, procede estimar la reclamación que originó el presente procedimiento en lo relativo al derecho de acceso. VII Derecho a la limitación del tratamiento El artículo 18 del RGPD, que regula el derecho a la limitación del tratamiento de los datos personales, establece lo siguiente: "1. El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:
  2. a)el interesado impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos;
  3. b)el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;
  4. c)el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones;
  5. d)el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado. 2. Cuando el tratamiento de datos personales se haya limitado en virtud del apartado 1, dichos datos solo podrán ser objeto de tratamiento, con excepción de su conservación, con el consentimiento del interesado o para la formulación, el ejercicio o la defensa de reclamaciones, o con miras a la protección de los derechos de otra persona física o jurídica o por razones de interés público importante de la Unión o de un determinado Estado miembro. 3. Todo interesado que haya obtenido la limitación del tratamiento con arreglo al apartado 1 será informado por el responsable antes del levantamiento de dicha limitación". Hay que señalar que, el derecho a la limitación del tratamiento habilita a la parte reclamante a que se limite el tratamiento de los datos cuando se impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos; cuando el tratamiento sea ilícito y se oponga a la supresión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 de los datos personales; cuando el responsable ya no necesite los datos personales para los fines del tratamiento, pero sean necesarios para la formulación del ejercicio o la defensa de reclamaciones o cuando se haya opuesto al tratamiento, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los de la parte reclamante. Se comprueba que en este caso, la parte reclamante ejerció su derecho de limitación, toda vez que solicitó a la parte reclamada que no procedieran al borrado de los datos personales solicitados en el derecho de acceso hasta que éstos le fueran facilitado. Frente a este ejercicio, no consta que la parte reclamada haya contestado expresamente atendiéndolo o denegándolo motivadamente, y que le haya remitido la preceptiva respuesta a su solicitud, tal como establece el artículo 12.4 de la LOPDGDD. Dado que no se acompaña copia de la necesaria comunicación que debe dirigir a la parte reclamante informándole sobre la decisión que haya adoptado a propósito de la solicitud de ejercicio de derechos, procede estimar la reclamación que originó el presente procedimiento en lo relativo al derecho de limitación. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el artículo 15 del RGPD e instar a EUSKALTEL, S.A. con NIF A48766695, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución, esto es, garantizando que los datos personales que le conciernen se den al usuario de la línea telefónica, que puede ser o no el titular de la línea. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
  6. m)de la LOPDGDD, que se sancionará de acuerdo con el artículo 58.2 del RGPD. SEGUNDO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el artículo 18 del RGPD e instar a EUSKALTEL, S.A. con NIF A48766695, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de la infracción considerada en el artículo 72.1.
  7. m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 TERCERO: NOTIFICAR la presente resolución a A.A.A. y a EUSKALTEL, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.