PD-00306-2025

1/22  Expediente N.º: EXP202514784 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 11 de julio de 2025 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 11 de julio de 2025 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra DIGI SPAIN TELECOM, S.L.U. (en adelante, la parte reclamada) por no haber sido debidamente atendido el derecho de acceso. La parte reclamante manifiesta que, en fecha ***FECHA.1 solicitó ante DIGI obtener el registro de llamadas entrantes en su línea de teléfono en (…), y que la parte reclamada le denegó el acceso. La parte reclamante aporta: - Correo electrónico remitido por la parte reclamante a protecciondedatos@digimobil.es con fecha ***FECHA.1 solicitando el historial de llamadas entrantes en su línea móvil ***TELÉFONO.1 del día ***FECHA.1. - Respuesta de DIGI Servicio de atención al cliente: “En respuesta a su solicitud para la puesta en disposición de las llamadas entrantes del número de teléfono ***TELÉFONO.1, y tras ponderar, con la participación del Delegado de Protección de Datos de DIGI, el contenido de su derecho de acceso, en contraposición con los derechos y libertades de terceros potencialmente afectados, le informamos que debemos denegarla, con las motivaciones que se relacionan a continuación: Primeramente, ponemos en su conocimiento que el tratamiento de la información relativa a las llamadas entrantes que solicita se encuentra regulada en la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas que limita la posibilidad de su acceso a los agentes facultados (miembros de las Fuerzas y Cuerpos de Seguridad, funcionarios de la Dirección Adjunta de Vigilancia Aduanera y personal del Centro Nacional de Inteligencia) siempre que DIGI sea requerido a través de la correspondiente autorización judicial con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales (Artículo 6.1). Así mismo, conforme a lo dispuesto en el Artículo 15 del Reglamento UE 2016/679 (Reglamento general de protección de datos) que regula el Derecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/22 de acceso del interesado, el ejercicio del derecho de acceso no puede afectar negativamente a los derechos y libertades de otros. En este sentido, le informamos que la puesta a disposición de la información contenida en dicho registro podría afectar a los derechos y libertades de terceros que legítimamente pudieran haber ejercitado su derecho a impedir la presentación de la identificación de su línea en las llamadas que hubieran realizado, de conformidad con el derecho reconocido por el artículo 65 de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones, relativo a los Derechos específicos de los usuarios finales y consumidores de redes y servicios de comunicaciones electrónicas disponibles al público. Esta circunstancia no consta registrada en el fichero, por lo que no es viable el filtrado de esta información. Adicionalmente, en el registro puede contenerse información relativa a llamadas realizadas desde servicios especiales de protección (por ejemplo, atención a víctimas de violencia de género o atención a la infancia).Este hecho, unido a que no es posible determinar si la información incluida entre los datos conservados puede corresponderse con usuarios distintos del titular de la línea, implica que su puesta a disposición podría afectar negativamente a los derechos y libertades de otros usuarios. No obstante, en caso de necesitar acceder a la información específica sobre las llamadas entrantes, le informamos de que, en el ejercicio de su derecho a la tutela judicial efectiva, tiene la posibilidad de solicitar tal información a través de los juzgados o tribunales competentes que, de considerarlo pertinente en función de las circunstancias, requerirán a DIGI l entrega de dicha información. (…)” - Correo electrónico de la parte reclamante a la parte reclamada con fecha 2 de julio de 2025 reiterando su solicitud, indicando que “(…) no estoy solicitando información de terceros ni el contenido de las llamadas, sino únicamente los datos técnicos mínimos de llamadas entrantes que afecten directamente a mi número:  Fecha y hora de la llamada  Duración  Si fue atendida o no  Número llamante, si no estaba oculto.” - Respuesta de DIGI Servicio de atención al cliente: “Lamentamos las molestias, en este caso, como ya te lo hemos explicado en el anterior correo no podemos facilitarte esa información. El procedimiento está establecido de esta manera y no hay otra opción que la ya explicada” SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/22 La notificación del traslado de la reclamación que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 22 de septiembre de 2025 como consta en el acuse de recibo que obra en el expediente. Con fecha 22 de octubre de 2025 se recibe en esta Agencia escrito de respuesta indicando: «A nivel particular [...] se ha procedido al bloqueo de la información disponible relativa a la solicitud del reclamante. A nivel general, se procederá, en su caso, a adaptar los criterios de alcance y puesta disposición de la información concerniente a derechos de acceso a datos de tráfico entrante de telecomunicaciones de acuerdo con los que exprese la Sala de lo Contencioso - Administrativo de la Audiencia Nacional en el Recurso Contencioso Administrativo que, como es conocedora esta Agencia, fue presentado por DIGI el pasado ***FECHA.3 en el marco del expediente número ***REFERENCIA.1. No obstante, tras la revisión del caso, y salvo que la interpretación de la Sala de lo Contencioso - Administrativo de la Audiencia Nacional fuera contraria a la argumentación y las conclusiones expresadas en el siguiente punto [...], nos entendemos compelidos a no poder poner a disposición las llamadas entrantes. [...] El reclamante sostiene que dicho derecho debe incluir el acceso al detalle de las llamadas entrantes. Por el contrario, DIGI entiende, con base en la Constitución Española, en la normativa sectorial de telecomunicaciones y en la legislación de protección de datos, que no está legitimado para poner a disposición del reclamante dichos datos, por las siguientes razones: - Limitación legal en el tratamiento de llamadas entrantes. La Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas, establece que los operadores únicamente están obligados a conservar determinados datos de tráfico con fines exclusivos de colaboración con autoridades competentes y previa resolución judicial. Esta obligación de conservación no habilita a los operadores a poner esa información directamente a disposición de los clientes en el marco de un derecho de acceso. - Protección de los derechos de terceros. El acceso a los datos de tráfico relativos a llamadas entrantes podría suponer una intromisión en los derechos y libertades de los terceros que realizan dichas comunicaciones, al afectar tanto a su privacidad como al secreto de las comunicaciones, conforme al artículo 18.3 de la Constitución y al artículo 65 de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones. En particular, dicho precepto reconoce el derecho de los usuarios a ocultar la presentación de su número en las llamadas salientes. En este sentido, los sistemas internos de gestión de tráfico de DIGI no permiten identificar ni diferenciar si una llamada entrante fue recibida con número visible u C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/22 oculto por decisión del remitente, lo que imposibilita segmentar esta información sin incurrir en un tratamiento que podría vulnerar los derechos de dichos terceros. Además, cualquier modificación estructural orientada a habilitar esta distinción requeriría una reconfiguración integral de los sistemas de red y de los registros de tráfico, lo que supondría un esfuerzo manifiestamente desproporcionado en términos técnicos, personales y económicos, sin que ello garantizara una mayor protección efectiva de los derechos en juego. - Vías alternativas de acceso a la información. El detalle de las llamadas entrantes se encuentra disponible en el propio terminal del usuario, salvo que dichas llamadas hubieran sido eliminadas manualmente. Asimismo, en el caso de que el reclamante considerase necesario acceder a esa información para la defensa de sus derechos, dispone de la vía judicial correspondiente, que es la única que habilita legalmente a este operador a cederla.» TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. Con fecha 11 de octubre de 2025 se produjo la admisión a trámite de la reclamación presentada. Mediante acuerdo de la Presidencia de la Agencia Española de Protección de Datos (en adelante, AEPD) de fecha 24 de octubre de 2025 se concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. CUARTO: Con fecha 5 de noviembre de 2025 la parte reclamada presentó un escrito ante esta Agencia solicitando la ampliación del plazo para la presentación de alegaciones. Con fecha 6 de noviembre de 2025 desde esta Agencia se remitió un escrito a la parte reclamante concediendo la ampliación solicitada. QUINTO: Mediante escrito de fecha 11 de noviembre de 2025 la parte reclamada señaló lo siguiente: “• Que, el día ***FECHA.1, A.A.A., (en lo sucesivo, se le identifica como el “Reclamante”), contactó mediante email con DIGI, ejerciendo su derecho de acceso concretamente en relación con el registro de llamadas entrantes de una de las líneas de las que es titular, con n.º ***TELÉFONO.1 en dos ocasiones diferenciadas, la primera a las 19:16 horas y la segunda a las 22:22 horas. • Que, asimismo, días después, el 2 de julio, DIGI recibió una tercera solicitud de acceso. • Que, el 29 de agosto de 2025, DIGI recibió una cuarta solicitud de información adicional sobre llamadas recibidas, mediante la cual el Reclamante amplía su petición: (

1. i)añadiendo una nueva fecha sobre la que desea realizar la consulta y (
2. ii)solicitando confirmación por escrito de si desde el número ***TELÉFONO.1, correspondiente a ***EMPRESA.1, o desde cualquier otro número perteneciente ***EMPRESA.1, se han efectuado llamadas a su línea en las fechas indicadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/22 • Que, en atención a dichos ejercicios de derechos, esta Parte procedió a dar respuesta a tal ejercicio de derechos, en las siguientes fechas: o Respecto de las solicitudes del Reclamante de fecha ***FECHA.1, DIGI respondió a ambas el 2 de julio del mismo año, denegando de forma motivada el derecho de acceso ejercitado, tras valorar, junto con el Delegado de Protección de Datos de DIGI (en adelante, el “DPD”), el contenido del derecho del Reclamante frente a los derechos y libertades de terceros potencialmente afectados. o Respecto de la solicitud de derechos del Reclamante con fecha 2 de julio de 2025, de similar contenido, esta Parte procedió a dar contestación al Reclamante el día 9 de julio del mismo año y, con base en la misma argumentación sobre la posible vulneración de los derechos y libertades, se denegó razonadamente el ejercicio de derechos solicitado. o Por último, respecto de la solicitud de derechos ampliada enviada por el Reclamante con fecha el 29 de agosto de 2025, se dio una cuarta contestación argumentada, denegando motivadamente su derecho de acceso. • Que, en fecha de 22 de septiembre de 2025, se notificó a DIGI resolución de la AEPD, por la cual se le daba traslado de la reclamación interpuesta por el Reclamante contra esta Parte ante la Agencia (en adelante, “la Reclamación”) en relación con el referido ejercicio de derechos y se le solicitaba información al respecto. En fecha 7 de octubre del mismo año, DIGI dio respuesta conforme al trámite conferido por la AEPD, explicando que se había atendido debidamente el derecho ejercitado y detallando las tres respuestas remitidas al Reclamante. • Que, el pasado 27 de octubre de 2025, se notificó a esta Parte resolución de la Agencia con Ref.: Nº EXP 202514784 (en adelante, la "Resolución"), por la que se admite a trámite la Reclamación presentada por el Reclamante, por transcurso del tiempo máximo para su valoración, y se requiere nuevamente a DIGI para que, en el plazo de 10 días hábiles, presente las alegaciones que estime pertinentes, sin que conste que se haya atendido a las previamente presentadas. (…)” La parte reclamada reitera, en síntesis, lo ya manifestado en sus anteriores alegaciones, aportando copia de las diferentes peticiones y respuestas emitidas. Y añade que en la comunicación remitida con fecha 2 de julio de 2025 “(…) se le informa de forma motivada al Reclamante que, en cumplimiento de la Ley 25/2007, de 18 de octubre, de conservación de los datos relativos a las comunicaciones electrónicas que limita la posibilidad de su acceso a los agentes facultados, DIGI no puede dar cumplimiento a su solicitud de acceso sin mediar, de forma previa, la correspondiente autorización judicial y, en todo caso, para fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales, tal y como especifica el artículo 6.1 de dicho cuerpo legal.” Y en la respuesta de fecha 9 de julio de 2025, “(…) que su derecho de acceso no alcanzaba a la información solicitada respecto a las llamadas realizadas desde otras líneas, tal como establece la propia normativa de protección de datos, que expresamente establece limitaciones al ejercicio del derecho de acceso (Artículo 23 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/22 del Reglamento General de Protección de Datos, en lo sucesivo, “RGPD”). Por ello, y de acuerdo con los protocolos de privacidad de DIGI, se la trasladó al Reclamante la imposibilidad de facilitarle la información adicional solicitada. En este punto resulta relevante aclarar que, en cualquier caso, el Reclamante tiene la posibilidad de acceder a la información solicitada en su propio terminal, que guarda el registro de dichas llamadas salvo que el propio usuario haya decidido borrar esta información, cuestión que le fue informada al Reclamante en todas y cada una de las contestaciones remitidas por esta Parte. (…) Por último, con fecha 29 de agosto de 2025, esta Parte recibió una cuarta y última solicitud de ejercicio del derecho de acceso, referida a las llamadas recibidas en la línea telefónica ***TELÉFONO.1 en dos fechas concretas: el ***FECHA.1 y el ***FECHA.2. Se aporta la última solicitud como Documento n.º 6. En dicha solicitud, el Reclamante hacía especial mención —sin carácter limitativo— a las posibles llamadas procedentes del número ***TELÉFONO.1. Ante esta cuarta solicitud, DIGI procedió, en atención al cumplimiento normativo, a dar respuesta motivada al Reclamante, con base en la misma argumentación ya esgrimida en los casos similares anteriores, de acuerdo con la valoración del DPD de la compañía, denegando su solicitud de forma motivada, evitando de esta forma una posible vulneración del derecho de terceros, tal y como se desarrollará en la alegación Tercera. Se aporta la última contestación como Documento n.º 7. Por tanto, como se ha expuesto, DIGI ha actuado en todo momento en escrupuloso cumplimiento de la normativa de protección de datos, atendiendo en tiempo y forma las distintas solicitudes de acceso realizadas por el Reclamante. (…) TERCERA.- De los límites normativos aplicables a la solicitud del Reclamante. En relación con las solicitudes de acceso a datos personales presentadas por el Reclamante, esta Parte desea poner de manifiesto las siguientes consideraciones de conformidad con la normativa aplicable. En primer lugar, cabe señalar que la legitimación para el tratamiento de datos personales relativos a las llamadas salientes o realizadas desde la línea del Reclamante por parte de DIGI se encuentra, entre otras, en la necesidad de justificar la tarificación y el cobro por los servicios prestados a nuestros clientes. No obstante lo anterior, dicha legitimación no es extensible a las llamadas entrantes o recibidas, es decir, a aquellas realizadas desde otras líneas, titularidad de terceros, que no son tratadas por parte de DIGI en el marco de la ejecución del contrato de prestación de servicios a sus clientes. La posibilidad de tratar información relativa a llamadas entrantes cuenta con una regulación específica, contenida en los artículos 3 y 4 de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, y que no se refiere a una relación entre las operadoras y los titulares de las líneas, sino que dichos datos han de ser conservados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/22 para el cumplimiento de obligaciones específicas y sólo es posible su puesta a disposición de terceros en supuestos taxativamente tasados en la norma. Así, según la citada norma, el tratamiento de estos datos queda restringido exclusivamente a la colaboración con los agentes facultados, siempre habilitados por la correspondiente y correcta resolución judicial, tal y como se especifica de forma literal (Artículo 6.1): “6.1. Los datos conservados de conformidad con lo dispuesto en esta Ley sólo podrán ser cedidos de acuerdo con lo dispuesto en ella para los fines que se determinan y previa autorización judicial”. Derivado de lo anterior, no existe legitimación o fundamento jurídico que ampare la puesta a disposición del Reclamante de la información solicitada, toda vez que no quedaría comprendida dentro la información a poner a disposición en el marco de un ejercicio de derechos en los términos definidos en el RGPD, ni la norma que regula su conservación contempla esta posibilidad. Es más, como se evidencia del previo extracto, la norma limita el tratamiento de tales datos a la puesta a disposición de las fuerzas y cuerpos de seguridad, así como a la Administración de Justicia. Ello constituye, efectivamente, la limitación al derecho de acceso que prevé el Artículo 23 del RGPD previamente mencionado, y que exige una provisión legal concreta, en aras de preservar la seguridad, la seguridad pública y la prevención, investigación, detección o enjuiciamiento de infracciones penales. En consecuencia, la falta de base legal para el tratamiento de las llamadas entrantes y la ausencia de habilitación legal tanto en la norma especial como en la general, impiden a esta Parte dar acceso al Reclamante a la información solicitada en sus diferentes comunicaciones. A todo ello ha de unirse, como ya se puso de manifiesto en la solicitud de información previa a estas alegaciones, que la AEPD aplicó este criterio en el expediente informativo ***REFERENCIA.1 AEPD, de análogos hechos. En este expediente, en el que también fue parte DIGI, esta misma Agencia atendió a los mismos fundamentos planteados en el presente escrito de alegaciones, procediendo al archivo del expediente una vez analizada la información aportada por DIGI, sin que conste actualmente que haya variado dicho criterio. CUARTA. – De la afectación de los derechos de terceros. Adicionalmente a lo anterior, en el contexto del presente Expediente, es crucial considerar los derechos de terceros interesados, involucrados en las llamadas recibidas en la línea sobre la que el Reclamante solicita información. En este sentido se pronuncia el Considerando