1/17 Expediente N.º: EXP202413127 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 16 de septiembre de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 16 de septiembre de 2024 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra ORANGE ESPAGNE, S.A.U. (en adelante, la parte reclamada) por no haber sido debidamente atendido su derecho de acceso. La parte reclamante, con fecha 15 de agosto de 2024, remitió un correo electrónico a orangeproteccion.datos@es.orange.com solicitando: “A. Todos y cada uno de los mensajes SMS enviados al número de teléfono ***TELÉFONO.1 el ***FECHA.1, incluyendo todos y cada uno de los datos técnicos de todos y cada uno de estos SMS, como el emisor del SMS, el identificador International Mobile Equipment Identity (IMEI) del dispositivo receptor, hora, contenido del mensaje, etc., si tuvieran estos datos técnicos. B. Todos y cada uno de los mensajes SMS enviados al número de teléfono ***TELÉFONO.1 el ***FECHA.2, incluyendo todos y cada uno de los datos técnicos de todos y cada uno de estos SMS, como el emisor del SMS, el identificador International Mobile Equipment Identity (IMEI) del dispositivo receptor, hora, contenido del mensaje, etc., si tuvieran estos datos técnicos. C. Todos y cada uno de los dispositivos que estuvieron conectados el ***FECHA.1 al rúter de A.A.A., incluyendo todos y cada uno de los datos técnicos de todos y cada una de estas conexiones, como la hora de la conexión del dispositivo, la hora de la desconexión del dispositivo, el sistema operativo del dispositivo conectado, la versión del sistema operativo del dispositivo conectado, la dirección MAC (Medium Access Control) del dispositivo conectado, el identificador International Mobile Equipment Identity (IMEI) del equipo móvil conectado, etc., si tuvieran estos datos técnicos. D. Todos y cada uno de los dispositivos que estuvieron conectados el ***FECHA.2 al rúter de A.A.A., incluyendo todos y cada uno de los datos técnicos de todos y cada una de estas conexiones, como la hora de la conexión del dispositivo, la hora de la desconexión del dispositivo, el sistema operativo del dispositivo conectado, la versión del sistema operativo del dispositivo conectado, la dirección MAC (Medium Access Control) del dispositivo conectado, el identificador International Mobile Equipment Identity (IMEI) del equipo móvil conectado, etc., si tuvieran estos datos técnicos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/17 Con fecha 10 de septiembre de 2024 la parte reclamante recibió respuesta a su correo electrónico en el que le indicaban: “(…) i. Le informamos de que hemos obtenido sus datos tras la formalización del contrato con Jazztel activado con fecha ***FECHA.3 y ***FECHA.4 asociado a las líneas ***TELÉFONO.2 y ***TELÉFONO.1 respectivamente. ii. Que la información que en estos momentos consta en nuestras bases de datos, Jazztel es: a. Nombre y apellidos: A.A.A. b. Dirección: ***DIRECCIÓN.1 c. Documento Nacional de Identidad: ***NIF.1 d. Teléfono de contacto: ***TELÉFONO.1 e. Cuenta bancaria: (…) iii. Las categorías de datos que tratamos son: Datos identificativos Metadatos de comunicaciones electrónicas Datos económicos y financieros Datos de características personales Datos de información comercial Datos de transacciones de bienes y servicios. iv. Sus datos son tratados para las siguientes finalidades, y tal y como se informa en la política de privacidad, sus datos personales facilitados a través del Sitio Web serán tratados por Orange/Jazztel de acuerdo con la legislación vigente: Finalidades basadas en el cumplimiento de la relación comercial o institucional: Gestionar el registro del Usuario y permitir el acceso a las actividades y herramientas disponibles a través del Sitio Web. Llevar a cabo el alta de Usuario, así como el mantenimiento y la gestión de la relación con Orange. Gestionar, tramitar y dar respuesta a peticiones, solicitudes, incidencias o consultas del Usuario, cuando éste facilite sus datos a través de los formularios habilitados al efecto en el Sitio Web. Analizar los datos de tráfico del Usuario que permita mantener la seguridad de las redes, impidiendo intromisiones ilegítimas o la utilización fraudulenta de los servicios. Gestionar el envío de la Newsletter. Finalidades basadas en el Interés Legítimo: Realizar encuestas de satisfacción de cliente y estudios de mercado que tengan como finalidad evaluar la calidad de nuestros productos y servicios. Gestionar el envío de comunicaciones comerciales propias o de terceros que puedan resultar de su interés, teniendo en cuenta los productos y servicios que tiene contratados con Orange y dentro de las expectativas razonables que tiene como Usuario, lo que nos permitirá poderle ofrecer la mejor experiencia adaptada a sus necesidades. La elaboración de un “perfil comercial” utilizando datos de consumo y facturación de los productos y servicios contratados con ORANGE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/17 Realizar análisis de solvencia del Usuario, consultando para ello sistemas de información crediticia y ficheros de solvencia patrimonial y de crédito. Finalidades que requieren consentimiento explícito: Orange solicitará el consentimiento expreso e inequívoco del Usuario con la finalidad de: Realizar campañas comerciales que requieran la elaboración de un perfil comercial a partir de fuentes de datos externas a Orange. Utilizar datos de navegación tráfico y geolocalización del Usuario, con el fin de analizar sus preferencias y poder poner a su disposición ofertas comerciales personalizadas de productos y servicios propios y de terceros. Comunicar los datos personales del Usuario a empresas participadas o del grupo Orange para que pueda beneficiarse de la comercialización de sus productos. Sus datos personales serán conservados por parte de ORANGE durante el plazo en el que el contrato esté vigente y, una vez finalizado, durante el plazo de prescripción de las eventuales responsabilidades derivadas del contrato. • Sus datos personales serán conservados por parte de Jazztel durante el plazo en el que el contrato esté vigente y, una vez finalizado, durante el plazo de prescripción de las eventuales responsabilidades derivadas del contrato. v. Sus datos han sido comunicados a: Le confirmamos que, hasta la actualidad, no se han realizado comunicaciones de los mismos, y adicionalmente, atendiendo a su petición, le informamos que no se han comunicado sus datos a ficheros de solvencia patrimonial. En cuanto a la recepción de sms en su línea y conexiones del router, solo se puede enviar por solicitud de cuerpos y fuerzas de seguridad del estado. En cualquier caso, le informamos de que puede contactar con el DPO mediante escrito dirigido al domicilio de Orange o a través del correo electrónico “orangeproteccion.datos@es.orange.com”. Asimismo, tiene derecho a solicitar ante ORANGE la rectificación o supresión de sus datos personales, así como la limitación o la oposición al tratamiento y la portabilidad de dichos datos conforme a la normativa vigente. Igualmente, podrá presentar una reclamación ante la Agencia Española de Protección de Datos o a través del sistema de mediación de la Asociación para la Autorregulación de la Comunicación Comercial (AUTOCONTROL) en el siguiente enlace www.autocontrol.es/servicios/mediacion Autocontrol. Entendemos que mediante la presente comunicación se da debido cumplimiento al ejercicio de su derecho de acceso. (…)” En su reclamación, la parte reclamante expone que la parte reclamada le ha respondido facilitándole exclusivamente sus datos de identificación, contacto y bancarios, pero denegándole el acceso a los datos de tráfico requeridos, alegando que "la recepción de sms en su línea y conexiones del router, solo se puede enviar por solicitud de cuerpos y fuerzas de seguridad del estado." Manifiesta su disconformidad con tales limitaciones a su derecho de acceso. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/17 La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 04/11/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 28/11/2024 se recibe en esta Agencia escrito de respuesta indicando: «En primer lugar, en relación con los SMS entrantes solicitados, estos se refieren a aquellos remitidos por terceras personas. Así pues, esta mercantil, a tenor de lo dispuesto en el artículo 22 del Real Decreto 899/2009, de 22 de mayo, por el que se aprueba la carta de derechos del usuario de los servicios de comunicaciones electrónicas y en cumplimiento de las obligaciones que en este sentido devienen de la regulación vigente, pone a disposición del consumidor los datos relacionados con los eventos facturados conforme a lo establecido en el artículo referido. En este mismo sentido, y en cumplimiento de las obligaciones recogidas en el Capítulo V de la Orden IET 1090/2014, de 16 de junio, por la que se regulan las condiciones relativas a la calidad de servicio en la prestación de los servicios de comunicaciones electrónicas, desarrollado en el Anexo III de la misma Orden de Calidad que establece los Requisitos aplicables al sistema global de aseguramiento de la calidad de la facturación, que adicionalmente es de aplicación al presente caso cabe señalar que esta mercantil es auditada anualmente por una entidad que debe cumplir los requisitos recogidos en la Orden de Calidad (el Sistema de Gestión de Calidad de la facturación emitida) y se remite el informe al Ministerio de Transformación Digital. En cualquier caso, si no tuviese acceso a las citadas facturas por alguna razón, [la parte reclamante] puede hacérnoslo saber para que podamos solventar esta situación. En segundo lugar, por lo que respecta a los dispositivos conectados al router del Reclamante, esta información, según lo recogido en el artículo 3 de Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, los MAC no son un dato que deban conservar los operadores especificados en el artículo segundo de la citada ley. No obstante, a continuación, incluimos las instrucciones publicadas en la página web de Orange donde se describe el proceso para poder acceder a dicha información por parte de los clientes, en concreto, para visualizar los dispositivos conectados a un router (...) de Orange y programa restricciones de acceso a Internet [...]. En relación con lo expuesto, se puede observar que Orange dio contestación al derecho de acceso solicitado, si bien, se ha procedido a especificar cómo puede acceder a la información relacionada con los datos del router que no puede proporcionarse desde Orange. De todo lo anterior rogamos den traslado al Reclamante.» TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 3 de diciembre de 2024, a los efectos previstos en el artículo 64.1 de la LOPDGDD, se admitió a trámite la reclamación presentada. Ese mismo día se concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/17 Con fecha 18 de diciembre de 2024 tuvo entrada en esta Agencia la respuesta de la parte reclamada, indicando que, una vez que se recibió el requerimiento de información remitido por esta Agencia, procedió a realizar el estudio de la reclamación, observándose que “(…) el pasado 15 de agosto de 2024 solicitó el derecho de acceso en relación con determinados datos relativos al tráfico de sus numeraciones telefónicas en unas fechas concretas. Sin embargo, desde Orange, se le dio contestación el pasado 10 de septiembre de 2024 facilitándole sus datos de identificación, contacto y bancarios, pero denegándole el acceso a los datos de tráfico requeridos. (…) Por lo que respecta a los dispositivos conectados al router del Reclamante, según lo recogido en el artículo 3 de Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, los MAC no son un dato que deban conservar los operadores especificados en el artículo segundo de la citada ley. No obstante, a continuación, incluimos de nuevo las instrucciones publicadas en la página web de Orange donde se describe el proceso para poder acceder a dicha información por parte de los clientes, en concreto, para visualizar los dispositivos conectados a un router (...) de Orange y programa restricciones de acceso a Internet: (…) SEGUNDA.- ALEGACIONES AL ACUERDO DE ADMISIÓN A TRÁMITE DE LA RECLAMACIÓN. En relación con los SMS entrantes solicitados, estos se refieren a aquellos remitidos por terceras personas. Conforme a lo dispuesto en el artículo 22 del Real Decreto 899/2009, de 22 de mayo, por el que se aprueba la carta de derechos del usuario de los servicios de comunicaciones electrónicas y en el Capítulo V de la Orden IET 1090/2014, de 16 de junio, por la que se regulan las condiciones relativas a la calidad de servicio en la prestación de los servicios de comunicaciones electrónicas, desarrollado en el Anexo III de la misma Orden de Calidad que establece los Requisitos aplicables al sistema global de aseguramiento de la calidad de la facturación, que adicionalmente es de aplicación al presente caso, cabe señalar que esta mercantil es auditada anualmente por una entidad que debe cumplir los requisitos recogidos en la Orden de Calidad (el Sistema de Gestión de Calidad de la facturación emitida) y se remite el informe al Ministerio de Transformación Digital. Pese a ello, a discreción de esta Agencia, Orange procede a facilitar a través del Documento Anexo nº1 los SMS recibidos por parte del Reclamante los días ***FECHA.1 y ***FECHA.2, tal y como indicó en su reclamación. Si bien, cumpliendo con lo dispuesto en el artículo 15.4 del Reglamento General de Protección de Datos, se han ofuscado las últimas dos cifras de las numeraciones que podrían ser identificables, emisoras de algunos de los SMS aportados en la tabla, en aras de que no afecte negativamente a los derechos y libertades de terceros. A este respecto cabe señalar que, dichos SMS se conservan a efectos exclusivos de facturación y en cumplimiento de lo dispuesto en la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicación. Por tanto, quisiera incidir esta parte en que, es la Agencia la que debe decidir sobre la remisión de los mismos al Reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/17 En relación con lo expuesto, se puede observar que Orange ha dado contestación al derecho de acceso solicitado, remitiendo los SMS requeridos, no obstante, se ha procedido a especificar cómo puede acceder a la información relacionada con los datos del router que no puede proporcionarse desde Orange por no disponerse de la misma. De todo lo anterior rogamos den traslado al Reclamante.” CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas. La parte reclamante contestó a esta Agencia con fecha 03 de febrero de 2025 aportando copia del documento de “Actualización Datos Clientes Persona Física de Bankinter S.A.” que firmó con fecha ***FECHA.5, y en el que consta que el teléfono móvil es «***TELÉFONO.1». La parte reclamante manifiesta que, con fecha ***FECHA.6“(…) descubrió que su cuenta corriente nómina en Bankinter S.A. había sido vaciada (…)”, por lo que su hija, con fecha ***FECHA.6, denunció ese hecho en el Juzgado de Guardia de ***LOCALIDAD.
- Añade que el 6 de agosto de 2024 el Servicio de Atención al Cliente de Bankinter le proporcionó una Tabla de los Mensajes OTP (contraseñas generadas aleatoriamente que son usadas sólo una vez), que incluye los «mensajes OTP» que Bankinter envió al número de la línea móvil ***TELÉFONO.1, entre otras fechas, el ***FECHA.1 y el ***FECHA.
- Con fecha 15 de agosto de 2024 la parte reclamante remitió un correo electrónico a orangeproteccion.datos@es.orange.com solicitando derecho de acceso en los términos reseñados en el antecedente primero. Reitera que recibió respuesta el 10 de septiembre de 2024, indicándole que «en cuanto a la recepción de sms en su línea y conexiones del router, solo se puede enviar por solicitud de cuerpos y fuerzas de seguridad del estado.» La parte reclamante manifestó que “El 31 de octubre de 2024 el magistrado juez del Juzgado de Instrucción N.º XX de ***LOCALIDAD.1 dictó un auto en el Procedimiento de Diligencias Previas XXXX/YYYY (Documento Adjunto N.º 4). En este Auto aparece la información de que: a. Este Auto forma parte de un procedimiento de diligencias previas «Sobre: estafa (todos los supuestos)» (énfasis añadido), donde el demandante era A.A.A. (Documento Adjunto N.º 4, p. 9). b. El magistrado juez también dispuso practicar «como primera diligencia la declaración como denunciante de A.A.A.» (Documento Adjunto N.º 4, págs. 9).” La parte reclamante relata que, tras recibir las alegaciones de la parte reclamada que esta Agencia le hizo llegar, procedió a cambiar la contraseña de la red wifi tal como la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/17 parte reclamada indicaba. Al hacerlo, tuvo problemas para volver a conectarse, por lo que tuvo que contactar telefónicamente con el Servicio de Atención de Jazztel. Tras diversas gestiones con el operador que le atendió, la parte reclamante pudo ver a. los dispositivos que aparecían conectado en ese momento a una de las dos redes wifi, b. los dispositivos que habían estado conectados a esta red wifi, c. la contraseña de esta red wifi, y d. las direcciones MAC de los dispositivos que habían estado conectados a esta red wifi. La parte reclamante indica que sospecha que fue víctima de una presunta estafa mediante el procedimiento del duplicado de la tarjeta SIM (SIM swapping), En relación a las alegaciones presentadas por la parte reclamada, la parte reclamante señala “(…) El 18 de noviembre de 2024 la Oficina del Delegado de Protección de Datos de Orange Espagne proporcionó a la Agencia Española de Protección de Datos la siguiente información relacionada con las Solicitudes A-D de A.A.A. de 15 de agosto de 2024: a. El «Documento Anexo nº1 [sic] [con] los SMS recibidos por parte del Reclamante los días ***FECHA.1 y ***FECHA.2», datos personales de A.A.A. que Orange Espagne presentó a las 17:52:44 horas del 18 de noviembre de 2024 (Documento Anexo N.º 6, pp. 93-96). b. La «información por parte de los clientes, en concreto, para visualizar los dispositivos conectados a un router (...) de Orange y programa restricciones de acceso a Internet», (…) QUINTO: Otorgada audiencia a la parte reclamada, ésta, mediante escrito de fecha 25 de febrero de 2025 señaló que: “En el “trámite de audiencia al interesado”, la AEPD ha dado traslado de las respuestas emitidas por esta mercantil en el entorno de los requerimientos de información remitidos a solicitud de la misma que tienen su origen en la reclamación interpuesta por el Sr. A.A.A.. Dicha reclamación versaba sobre un supuesto derecho de acceso que supuestamente no se habría atendido. No obstante, desde esta mercantil se evidenció que este sí se había atendido. Así pues, el Reclamante ha venido a realizar una serie de alegaciones en el entorno del trámite de audiencia a las cuales, a continuación, se procederá a dar respuesta. Cabe indicar con carácter previo que, D. A.A.A. en su reclamación solicitaba el derecho de acceso en relación con determinados datos relativos al tráfico de sus numeraciones telefónicas en unas fechas concretas. (…) Por lo que respecta a los dispositivos conectados al router del Reclamante, se le incluyeron, en los escritos previos, las instrucciones publicadas en la página web de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/17 Orange donde se describe el proceso para poder acceder a dicha información por parte de los clientes, en concreto, para visualizar los dispositivos conectados a un router (...) de Orange y programa restricciones de acceso a Internet. En relación con los SMS entrantes solicitados, estos se refieren a aquellos remitidos por terceras personas. Conforme a lo dispuesto en el artículo 22 del Real Decreto 899/2009, de 22 de mayo, por el que se aprueba la carta de derechos del usuario de los servicios de comunicaciones electrónicas y en el Capítulo V de la Orden IET 1090/2014, de 16 de junio, por la que se regulan las condiciones relativas a la calidad de servicio en la prestación de los servicios de comunicaciones electrónicas, desarrollado en el Anexo III de la misma Orden de Calidad que establece los Requisitos aplicables al sistema global de aseguramiento de la calidad de la facturación, que adicionalmente es de aplicación al presente caso, cabe señalar que esta mercantil es auditada anualmente por una entidad que debe cumplir los requisitos recogidos en la Orden de Calidad (el Sistema de Gestión de Calidad de la facturación emitida) y se remite el informe al Ministerio de Transformación Digital. Pese a ello, desde Orange se indicó que, a discreción de esta Agencia, se procedía a facilitar los SMS recibidos por parte del Reclamante los días ***FECHA.1 y ***FECHA.2, tal y como indicó en su reclamación. Si bien, cumpliendo con lo dispuesto en el artículo 15.4 del Reglamento General de Protección de Datos, se ofuscaron las últimas dos cifras de las numeraciones que podrían ser identificables, emisoras de algunos de los SMS aportados en la tabla, en aras de que no afecte negativamente a los derechos y libertades de terceros. A este respecto cabe señalar que, dichos SMS se conservan a efectos exclusivos de facturación y en cumplimiento de lo dispuesto en la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicación. Por tanto, se incidió en la respuesta a la admisión a trámite de la reclamación que, es la Agencia la que debe decidir sobre la remisión de los mismos al Reclamante. Una vez aclarados los puntos previos, Orange quisiera matizar, con respecto a las solicitudes a las que hace alusión el Reclamante en el trámite de audiencia lo siguiente:
- Con respecto a la remisión de los SMS y la solicitud de las Fuerzas y Cuerpos de Seguridad del Estado, indicar que, cuando un organismo, como la Agencia Española de Protección de Datos, con poder de investigación y de instar a terceros a proporcionar información, requiere de la misma, se entiende que ésta se trata con la debida diligencia y que atiende a un deber que ha de cumplirse como responsable del tratamiento. No obstante, conforme se ha resaltado en este escrito y, ya se instó en el escrito previo remitido al respecto por esta mercantil, se dejaba a discreción de esta Agencia si los SMS se ponían a disposición del Reclamante o no. Ya que la misma es la que dispone de poder de decisión al respecto.
- Por lo que afecta a la información sobre las direcciones MAC de los dispositivos que habían estado conectados y que estaban conectados a su router, se le ofreció ya la forma de acceder a la misma en los distintos escritos previos. Pudiendo acceder el mismo Reclamante a la información requerida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/17 En relación con lo expuesto, se puede observar que Orange ha dado contestación al derecho de acceso solicitado, remitiendo los SMS requeridos a demanda de esta Agencia, no obstante, se ha procedió a especificar cómo puede acceder a la información relacionada con los datos del router.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 3 de diciembre de 2024, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/17 procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento.” III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/17 IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión El procedimiento de derechos se instruye como consecuencia de la falta de atención de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en el presente caso sólo se analizarán y valorarán los hechos relativos al ejercicio de estos derechos, quedando fuera el resto de cuestiones planteadas por las partes. En cuanto a las manifestaciones de la parte reclamante sobre su sospecha que fue víctima de una presunta estafa mediante el procedimiento del duplicado de la tarjeta SIM (SIM swapping), esta cuestión no forma parte de la reclamación presentada ante esta Agencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/17 En el presente caso, y teniendo en cuenta lo dispuesto en los primeros párrafos de este Fundamentos de Derechos V, ha quedado acreditado que la parte reclamante solicitó a la parte reclamada el derecho de acceso en relación con determinados datos relativos al tráfico de sus numeraciones telefónicas en unas fechas concretas. Durante la tramitación del procedimiento la parte reclamada ha señalado que se debía tener en cuenta la ponderación de derechos y obligaciones no solo de esa parte y la parte reclamante sino también con respecto a terceros, así como las restricciones descritas en la Ley 25/2007 de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. Esto es, la limitación del tratamiento exclusivamente para la puesta a disposición de los Agentes Facultados y Órganos Judiciales, según lo dispuesto en dicha Ley. En respuesta a tales manifestaciones, se ha de señalar, en primer lugar, en lo referente a las supuestas restricciones que la Ley 25/2007 impondría al derecho de acceso, que las Directrices 1/2022, sobre los derechos de los interesados — Derecho de acceso Versión 2.1 de 28 de marzo de 2023, del Comité Europeo de Protección de Datos, señalan que “6.
- Observaciones generales
- El derecho de acceso está sujeto a los límites que resultan del artículo 15, apartado 4, del RGPD (derechos y libertades de los demás) y del artículo 12, apartado 5, del RGPD (solicitudes manifiestamente infundadas o excesivas). Además, la legislación de la Unión o de los Estados miembros puede restringir el derecho de acceso de conformidad con el artículo 23 del RGPD. Las excepciones relativas al tratamiento de datos personales con fines científicos, históricos o estadísticos o fines de archivo en interés público pueden basarse en el artículo 89, apartado 2, y en el artículo 89, apartado 3, del RGPD, y las excepciones para el tratamiento realizado con fines periodísticos o con fines de expresión académica, artística o literaria pueden basarse en el artículo 85, apartado 2, del RGPD.
- Es importante señalar que, aparte de los límites, excepciones y posibles restricciones antes mencionados, el RGPD no permite otras exenciones o excepciones al derecho de acceso. Esto significa, entre otras cosas, que el derecho de acceso no tiene ninguna reserva general a la proporcionalidad con respecto a los esfuerzos que el responsable del tratamiento debe realizar para cumplir con la solicitud de los interesados con arreglo al artículo 15 del RGPD. Además, no está permitido limitar o restringir el derecho de acceso en un contrato entre el responsable del tratamiento y el interesado.” De igual forma, las mismas instrucciones interpretan el alcance del citado derecho de acceso, negando una interpretación excesivamente restrictiva y permitiendo la posibilidad que en su ejercicio se incluyan datos que puedan afectar a otras personas: “El alcance del derecho de acceso está determinado por el alcance del concepto de datos personales tal como se define en el artículo 4, apartado 1, del RGPD. Aparte de los datos personales básicos, como el nombre, la dirección, el número de teléfono, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/17 etc., una amplia variedad de datos pueden estar incluidos en esta definición, como hallazgos médicos, historial de compras, indicadores de solvencia, registros de actividad, actividades de búsqueda, etc. Los datos personales que han sido sometidos a seudonimización siguen siendo datos personales en lugar de datos anónimos. El derecho de acceso se refiere a los datos personales de la persona que realiza la solicitud. Esto no debe interpretarse excesivamente restrictivamente y puede incluir datos que también puedan afectar a otras personas, por ejemplo, el historial de comunicación que involucra mensajes entrantes y salientes.” Finalmente, sobre el acceso a los datos de tráfico y localización que se conservan en cumplimiento de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, hay que señalar que el objetivo principal de dicha Ley 25/2007 es establecer la obligación de los operadores de telecomunicaciones de retener determinados datos generados o tratados por los mismos, con el fin de posibilitar que dispongan de ellos los agentes facultados. Se entienden por agentes facultados, entre otros, los miembros de los Cuerpos Policiales autorizados para ello en el marco de una investigación criminal por la comisión de un delito. En este sentido, la Ley es respetuosa con los pronunciamientos que, en relación con el derecho al secreto de las comunicaciones, ha venido emitiendo el Tribunal Constitucional, respeto que, especialmente, se articula a través de dos garantías: en primer lugar, que los datos sobre los que se establece la obligación de conservación son datos exclusivamente vinculados a la comunicación, ya sea telefónica o efectuada a través de Internet, pero en ningún caso reveladores del contenido de ésta; y, en segundo lugar, que la cesión de tales datos que afecten a una comunicación o comunicaciones concretas, exigirá, siempre, la autorización judicial previa. El artículo 1.1 de la citada Ley 25/2007 dispone que: “
- Esta Ley tiene por objeto la regulación de la obligación de los operadores de conservar los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación, así como el deber de cesión de dichos datos a los agentes facultados siempre que les sean requeridos a través de la correspondiente autorización judicial con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales.” Y el artículo 3, Datos objeto de conservación: “
- Los datos que deben conservarse por los operadores especificados en el artículo 2 de esta Ley, son los siguientes: a) Datos necesarios para rastrear e identificar el origen de una comunicación: 1º Con respecto a la telefonía de red fija y a la telefonía móvil: i) Número de teléfono de llamada. ii) Nombre y dirección del abonado o usuario registrado. (…) b) Datos necesarios para identificar el destino de una comunicación: 1º Con respecto a la telefonía de red fija y a la telefonía móvil: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/17 i) ii) El número o números marcados (el número o números de teléfono de destino) y, en aquellos casos en que intervengan otros servicios, como el desvío o la transferencia de llamadas, el número o números hacia los que se transfieren las llamadas. Los nombres y las direcciones de los abonados o usuarios registrados. (…) c) Datos necesarios para determinar la fecha, hora y duración de una comunicación: 1º Con respecto a la telefonía de red fija y a la telefonía móvil: la fecha y hora del comienzo y fin de la llamada o, en su caso, del servicio de mensajería o del servicio multimedia. (…) d) Datos necesarios para identificar el tipo de comunicación. 1º Con respecto a la telefonía de red fija y a la telefonía móvil: el servicio telefónico utilizado: tipo de llamada (transmisión de voz, buzón vocal, conferencia, datos), servicios suplementarios (incluido el reenvío o transferencia de llamadas) o servicios de mensajería o multimedia empleados (incluidos los servicios de mensajes cortos, servicios multimedia avanzados y servicios multimedia). (…) e) Datos necesarios para identificar el equipo de comunicación de los usuarios o lo que se considera ser el equipo de comunicación: 1º Con respecto a la telefonía de red fija: los números de teléfono de origen y de destino. 2º Con respecto a la telefonía móvil: i) Los números de teléfono de origen y destino. ii) La identidad internacional del abonado móvil (IMSI) de la parte que efectúa la llamada. iii) La identidad internacional del equipo móvil (IMEI) de la parte que efectúa la llamada. iv) La IMSI de la parte que recibe la llamada. v) La IMEI de la parte que recibe la llamada. vi) En el caso de los servicios anónimos de pago por adelantado, tales como los servicios con tarjetas prepago, fecha y hora de la primera activación del servicio y la etiqueta de localización (el identificador de celda) desde la que se haya activado el servicio. (…) f) Datos necesarios para identificar la localización del equipo de comunicación móvil: 1º La etiqueta de localización (identificador de celda) al inicio de la comunicación. 2º Los datos que permiten fijar la localización geográfica de la celda, mediante referencia a la etiqueta de localización, durante el período en el que se conservan los datos de las comunicaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/17
- Ningún dato que revele el contenido de la comunicación podrá conservarse en virtud de esta Ley.” El artículo 6, Normas generales sobre cesión de datos, de la mencionada ley establece que: “
- Los datos conservados de conformidad con lo dispuesto en esta Ley sólo podrán ser cedidos de acuerdo con lo dispuesto en ella para los fines que se determinan y previa autorización judicial.” El artículo 9 de la citada Ley 25/2007, Excepciones a los derechos de acceso y cancelación, dispone que: “
- El responsable del tratamiento de los datos no comunicará la cesión de datos efectuada de conformidad con esta Ley.
- El responsable del tratamiento de los datos denegará el ejercicio del derecho de cancelación en los términos y condiciones previstos en la Ley Orgánica 15/1999, de 13 de diciembre.” Las excepciones respecto al ejercicio de los derechos de los artículos 15 a 22 del RGPD deberán establecerse por ley. Asimismo, de la transcripción del artículo 9 puede fácilmente advertirse que no se establece restricción alguna en relación con la posibilidad de ejercer el derecho de acceso. Únicamente se contienen las obvias precauciones de que al titular de los datos no tendrá que comunicársele la cesión de los mismos (cuestión obvia por tratarse de investigaciones penales), y que no podrá ejercerse el derecho de supresión. En el presente supuesto, del examen de la documentación aportada por las partes, ha quedado acreditado que la parte reclamante solicitó a la parte reclamada el derecho de acceso en relación con determinados datos relativos al tráfico de sus numeraciones telefónicas en unas fechas concretas. Sin embargo, de acuerdo con lo expuesto, la denegación del acceso no puede basarse en una supuesta limitación del derecho de acceso impuesta por la Ley 25/2007, por cuanto, como ya se ha señalado, esta ley no establece ninguna limitación para el ejercicio del derecho de acceso. Ahora bien, se ha de precisar, en segundo lugar, que el derecho de acceso tiene que cohonestarse con la propia previsión del art. 15.4 del RGPD, esto es, no debe afectar negativamente a los derechos y libertades de terceros. De esta forma, el responsable del tratamiento tiene la carga de demostrar que los derechos y libertades de otros se verían afectados a los efectos de limitar el acceso del interesado a los datos personales que le conciernen. En este sentido las Directrices 1/2022 indican que “El responsable del tratamiento debe poder demostrar que los derechos o libertades de otros se verían afectados negativamente en la situación concreta. La aplicación del artículo 15, apartado 4, no debe dar lugar a la denegación total de la solicitud del interesado; solo daría lugar a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/17 exclusión o la ilegibilidad de aquellas partes que puedan tener efectos negativos para los derechos y libertades de otros”. De cualquier modo, como ya se ha indicado, si bien el derecho a la protección de datos no es un derecho absoluto, el artículo 15.4 RGPD no debe interpretarse en el sentido de que su aplicación suponga denegar la información al interesado. Las citadas Directrices 1/2022, disponen que a la hora de interpretar el artículo 15, apartado 4, del RGPD, hay que tomar precauciones especiales para no ampliar injustificadamente las restricciones establecidas en el artículo 23 del RGPD, que solo están permitidas en condiciones estrictas. Y será el responsable del tratamiento el que concilie los derechos en conflicto en cada caso. Así recogen lo siguiente: “
- Por lo que se refiere al considerando 4 del RGPD y a la justificación del artículo 52, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea, el derecho a la protección de los datos personales no es un derecho absoluto. Por lo tanto, el ejercicio del derecho de acceso también debe ponderarse con respecto a otros derechos fundamentales de conformidad con el principio de proporcionalidad. Cuando la evaluación del artículo 15, apartado 4, del RGPD demuestre que el cumplimiento de la solicitud tiene efectos negativos en los derechos y libertades de otros participantes (fase 1), deben sopesarse los intereses de todos los participantes teniendo en cuenta las circunstancias específicas del caso y, en particular, la probabilidad y gravedad de los riesgos presentes en la comunicación de los datos. El responsable del tratamiento debe intentar conciliar los derechos en conflicto (fase 2), por ejemplo, mediante la aplicación de medidas adecuadas que mitiguen el riesgo para los derechos y libertades de otros. Como se subraya en el considerando 63, la protección de los derechos y libertades de otros en virtud del artículo 15, apartado 4, del RGPD, no debe tener como resultado la negativa a facilitar toda la información al interesado. Esto significa, por ejemplo, cuando se aplica la limitación, que la información relativa a otras personas debe hacerse ilegible en la medida de lo posible en lugar de negarse a facilitar una copia de los datos personales. Sin embargo, si es imposible encontrar una solución de conciliación de los derechos pertinentes, el responsable del tratamiento debe decidir en un siguiente paso cuál de los derechos y libertades en conflicto prevalece (fase 3).” Por tanto, se ha de partir de que la parte reclamante tiene derecho a acceder a la información solicitada, pero Orange como responsable de tratamiento tendrá que evaluar si hay derechos y libertades de otros que se vean afectados negativamente, cuáles son estos derechos y libertades, en su caso, así como ponderar los derechos en conflicto y buscar soluciones que concilie el derecho de acceso del interesado (pues no puede simplemente denegar el acceso) evitando que afecte negativamente a los derechos y libertades de otros. Además, conviene aclarar que el derecho de acceso se ejercitará por el interesado en relación con los datos personales “que le conciernen” (art. 15.1 RGPD). Por ello, la parte reclamada deberá adoptar las precauciones necesarias para garantizar que únicamente se facilitan a la parte reclamante los datos personales que conciernan a dicha parte reclamante, por ser esta última la usuaria (no solo la titular) de la línea C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/17 telefónica móvil. Y todo ello en atención a los riesgos en los derechos y libertades de los interesados. En el presente supuesto, del examen de la documentación aportada por las partes, ha quedado acreditado que se ha facilitado a la parte reclamante una parte de la información solicitada, y, respecto del resto, la parte reclamada ha dado las instrucciones correspondientes para que la parte reclamante pueda acceder a la misma mediante medios electrónicos. La parte reclamante ha confirmado que ha podido acceder a esta última información. Por consiguiente, considerando que el presente procedimiento tiene como objeto que las garantías y los derechos de los afectados queden debidamente restaurados, conjugando la información obrante en el expediente con la normativa referida en los apartados precedentes, procede estimar por motivos formales la presente reclamación al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable del fichero en orden a emitir una nueva certificación sobre la atención del derecho. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR por motivos formales, la reclamación formulada por A.A.A. contra ORANGE ESPAGNE, S.A.U.. No obstante, no procede la emisión de nueva certificación por parte de la parte reclamada, al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a ORANGE ESPAGNE, S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-100425 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es