PS-00328-2024

1/34  Expediente N.º: EXP202410464 (PS/00328/2024) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 5 de enero de 2024, por la Directora de la Agencia Española de Protección de Datos se dictó resolución en el procedimiento de ejercicio de derechos del expediente número EXP202201673 (d), seguido contra EUSKALTEL, S.A. (en adelante, EUSKALTEL), con NIF A48766695. La parte reclamante manifestaba que había solicitado el acceso a sus datos personales, en concreto a los datos de geolocalización respecto de su número de teléfono ***TELÉFONO.1 (sea digital o basada en el posicionamiento de antenas de telecomunicación) desde el 1 de enero de 2021 hasta el momento en el que se le respondiera al ejercicio de derecho de acceso. Así mismo, indicaba que días después de la solicitud de derecho de acceso, solicitó el ejercicio del derecho de limitación del tratamiento de sus datos personales, en concreto les requería para que no procedieran al borrado de estos hasta que se haya dado acceso a ellos. La resolución que ponía fin al procedimiento resolvía estimar la reclamación formulada por A.A.A., instando a EUSKALTEL para que en el plazo de 10 días hábiles remitiese a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la resolución, esto es, garantizando que los datos personales que le conciernen se den al usuario de la línea telefónica, que puede ser o no el titular de la línea, tal y como consta acreditado en el expediente, debiendo comunicar a esta Agencia las actuaciones realizadas como consecuencia de dicha resolución. La resolución del procedimiento de ejercicio fehacientemente en fecha 11 de enero de 2024. de derechos fue notificada SEGUNDO: Con fecha 25 de enero de 2024, con número de registro ***REFERENCIA.1, EUSKATEL interpuso recurso de reposición contra la resolución a que se refiere el antecedente primero, solicitando la suspensión de la ejecución del acto recurrido. Este recurso fue desestimado y la solicitud de suspensión fue rechazada por improcedente, al resolverse el recurso de reposición, por resolución de la Directora de esta Agencia de fecha 23 de febrero de 2024, siendo notificada fehacientemente con fecha 1 de marzo de 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/34 TERCERO: Con fecha 21 de marzo de 2024 se recibió escrito de la parte reclamante, con número de registro de entrada ***REFERENCIA.2, en el que aportaba los datos proporcionados por EUSKALTEL para atender el derecho de acceso. Dichos datos consistían en los identificadores de las celdas con las que se conectó el teléfono del reclamante en las fechas en las que estuvo en España y no cubren la totalidad de los datos solicitados en el ejercicio del derecho de acceso por la parte reclamante. CUARTO: Con fecha 26 de marzo de 2024 se remitió desde esta Agencia un requerimiento a EUSKALTEL para que diera cumplimiento a la resolución dictada, en los términos en ella establecidos. Este requerimiento fue notificado con fecha 3 de abril de 2024, como consta en el acuse de recibo que obra en el expediente. Con fecha 10 de abril de 2024 tuvo entrada respuesta al requerimiento de EUSKALTEL, número de registro ***REFERENCIA.3, en la que se alegaba que no disponía de los datos de geolocalización de la parte reclamante, más allá de la información de las celdas en las fechas ya proporcionadas, y, subsidiariamente, se exponían otras causas que ya fueron analizadas en el procedimiento y valoradas en la resolución. QUINTO: Con fecha 10 de mayo de 2024 esta Agencia procedió a requerir nuevamente a EUSKALTEL el cumplimiento de la resolución en sus propios términos, y, en el caso de que todos o parte de los datos solicitados por la parte reclamante no pudieran ser proporcionados por no disponer de ellos, debía denegarse el derecho de acceso motivadamente indicando las causas. Se advertía, además, que las causas alegadas, analizadas y rechazadas en la propia resolución no pueden ser aceptadas para denegar el derecho. Y es que, tal y como se establece en la resolución, EUSKALTEL debe remitir “a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución, esto es, garantizando que los datos personales que le conciernen se den al usuario de la línea telefónica, que puede ser o no el titular de la línea.” Este requerimiento fue notificado a EUSKALTEL con fecha 3 de abril de 2024, como consta en el acuse de recibo que obra en el expediente. SEXTO: Con fecha 30 de mayo de 2024, tuvo entrada con número de registro ***REFERENCIA.4, respuesta a este requerimiento en el que EUSKALTEL deniega el acceso a los datos de geolocalización esgrimiendo que “no trata, ni nunca ha tratado, dato alguno de geolocalización de líneas móviles: solo almacena los identificadores de las celdas desde las que se conectan dichas líneas a la red de telecomunicaciones. Únicamente los operadores con red propia cuentan con dicha información, y ***EMPRESA.1 no es uno de ellos: ignoramos la localización geográfica de cada celda, pues dicha información pertenece al operador móvil de red”. Este argumento ya fue contestado en el Fundamento de Derecho VI de la resolución de fecha 5 de enero de 2024 por la que se ponía fin al procedimiento de ejercicio de derechos contra EUSKALTEL, así como en el Fundamento de Derecho III de la resolución del Recurso de Reposición contra dicha resolución. Así, entre otros argumentos, se indicaba: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/34 “Señala la parte reclamada que “no tiene, ni nunca ha tenido, datos de geolocalización”, afirmación que resulta contradictoria con la respuesta que dio a la solicitud de derecho de acceso de la parte reclamante, toda vez que solamente se la indicó “No podemos facilitarle los datos de geoposicionamiento puesto que existe una ley más específica que el RGPD en España, la ley 25/2007 de Conservación de Datos, que indica que solo podemos facilitarle esa información a la policía tras un requerimiento de un juez”. A mayor abundamiento, hay que indicar que el artículo 3.1 de la Ley 25/2007, de 18 de octubre, señala que “Los datos que deben conservarse por los operadores especificados en el artículo 2 de esta Ley, son los siguientes: (…)

1. f)Datos necesarios para identificar la localización del equipo de comunicación móvil: 1.° La etiqueta de localización (identificador de celda) al inicio de la comunicación. 2.° Los datos que permiten fijar la localización geográfica de la celda, mediante referencia a la etiqueta de localización, durante el período en el que se conservan los datos de las comunicaciones.” Además, en dicho requerimiento se le recordaba a EUSKALTEL lo siguiente: “En síntesis, las resoluciones mencionadas establecen que, toda vez que la parte recurrente tiene la obligación de conservar los mencionados datos, no puede aceptarse la alegación de que no trata datos de geolocalización. La resolución del procedimiento por la que se ordena que se atienda el derecho de acceso es firme al haberse agotado los recursos ordinarios en vía administrativa, y por tanto debe cumplirse en sus propios términos y de acuerdo con los fundamentos en ella descritos.” SÉPTIMO: Con fecha 1 de julio de 2024, esta Agencia procedió a requerir nuevamente a EUSKALTEL en el mismo sentido que los requerimientos de 26 de marzo de 2024 y de 10 de mayo de 2024. Este requerimiento fue notificado a EUSKALTEL con fecha 1 de julio de 2024, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Con fecha 15 de julio de 2024, con número de registro ***REFERENCIA.5, tuvo entrada escrito de EUSKALTEL en el que viene a reproducir los argumentos de sus escritos de fecha 10 de abril de 2024 y 30 de mayo de 2024, solicitando que se tuviera por atendido la solicitud de ejercicio del derecho de acceso de la parte reclamante y se declarase nulo el requerimiento formulado por esta Agencia con fecha 1 de julio de 2024. NOVENO: Con fecha 25 de septiembre de 2024, la directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 58.2 del RGPD, tipificada en el Artículo 83.6 del RGPD. Este acuerdo de inicio se notificó a EUSKALTEL en fecha 2 de octubre de 2024, conforme a las normas establecidas en la LPACAP, tal y como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/34 DÉCIMO: Con fecha 23 de octubre de 2024, EUSKALTEL presentó escrito de alegaciones acompañado de varios documentos; todo ello se ha incorporado al expediente. En el escrito, en síntesis, se formulan las siguientes alegaciones al acuerdo de inicio: 1. Se ratifican en las argumentaciones jurídicas presentadas en escritos anteriores, dado que la AEPD no las ha refutado en el Acuerdo de Inicio. 2. EUSKALTEL sostiene que no ha cometido la conducta típica que se le imputa. 3. Subsidiariamente, EUSKALTEL no incumplió la resolución, ya que se entregaron todos los datos disponibles al reclamante (identificadores de celda). 4. El derecho de acceso no puede obligar a recopilar datos adicionales. 5. Proporcionar los datos de geolocalización podría suponer la vulneración de derechos de terceros. 6. Vulneración del derecho a la presunción de inocencia, debido a que la AEPD no ha aportado pruebas que demuestren que EUSKALTEL trata los datos cuya entrega se le exige. 7. Subsidiariamente, falta de proporcionalidad de la sanción DÉCIMO PRIMERO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad EUSKALTEL es una gran empresa constituida en el año 1995, y con un volumen de negocios de 463.434.000 euros en el año 2023. DÉCIMO SEGUNDO: Con fecha 16 de julio de 2025, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propone que por la Presidencia de la AEPD se sancione a EUSKALTEL, S.A., con NIF A48766695, por una infracción del artículo 58.2 del RGPD, tipificada en el Artículo 83.6 del RGPD, con una multa de 400.000,00 € (cuatrocientos mil euros). Esta propuesta de resolución, que se notificó a la parte reclamada conforme a las normas establecidas en la LPACAP, fue recogida en fecha 17 de julio de 2025, como consta en el acuse de recibo que obra en el expediente. DÉCIMO TERCERO: Con fecha 8 de agosto de 2025, se recibe en esta Agencia, en tiempo y forma, escrito de la parte reclamada en el que aduce alegaciones a la propuesta de resolución en el que, en síntesis, se viene a ratificar los argumentos de las alegaciones al acuerdo de inicio y se formulan las siguientes alegaciones: 1. Inexistencia de una infracción del artículo 58 del RGPD. EUSKALTEL sostiene haber cumplido con la resolución de la AEPD, señalando que ha proporcionado los identificadores de celda. 2. La imposibilidad de facilitar el dato de geolocalización: EUSKALTEL no trata el dato y no puede categorizarse como responsable del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/34 3. La resolución de la AEPD resulta nula, al imponer una obligación de imposible cumplimiento. 4. La puesta a disposición de los particulares de los datos de geoposicionamiento de las antenas es un riesgo para los derechos y libertades de terceros e inclusive para la seguridad de las infraestructuras y el sector de las telecomunicaciones. 5. Falta de proporcionalidad de la sanción propuesta. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. Con fecha 5 de enero de 2024, la Directora de la Agencia Española de Protección de Datos dictó resolución en el procedimiento de ejercicio de derechos EXP202201673) seguido contra EUSKALTEL, S.A., estimando la reclamación formulada por la parte reclamante en relación con el derecho de acceso a los datos personales, específicamente los relativos a la geolocalización de su número de teléfono. En dicha resolución se concedió a EUSKALTEL un plazo de 10 días hábiles para atender el derecho de acceso o denegarlo motivadamente, en atención a lo razonado en la propia resolución, esto es, garantizando que los datos personales que le conciernen se den al usuario de la línea telefónica, que puede ser o no el titular de la línea, debiendo comunicar a la Agencia las actuaciones realizadas. La resolución fue notificada fehacientemente el 11 de enero de 2024. En dicha resolución se concluía que el derecho de acceso a los datos de geolocalización del número de teléfono del usuario no está exceptuado en la Ley 25/2007, que la solicitud de acceso formulada por la parte reclamante no es excesiva ni infundada, por lo que EUSKALTEL no puede negarse a actuar, menos aún en base al coste económico que pudiera conllevar la atención del derecho. Asimismo, se advirtió a EUSKALTEL que la información proporcionada a la parte reclamante sobre la itinerancia de su línea telefónica no se correspondía con la petición de acceso formulada por la misma. SEGUNDO. Con fecha 25 de enero de 2024, EUSKALTEL interpuso recurso de reposición contra la citada resolución, que fue desestimado por resolución de la Directora de la Agencia de fecha 23 de febrero de 2024, notificada fehacientemente el 1 de marzo de 2024. De lo declarado en esta resolución cabe destacar lo siguiente: . Se reiteran los argumentos valorados en la resolución impugnada para concluir nuevamente que los datos de ubicación de la línea telefónica pueden ser objeto de petición del derecho de acceso. . EUSKALTEL trata datos personales de geolocalización. La Ley 25/2007 obliga a los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones, como EUSKALTEL, a conservar los datos necesarios para identificar la localización del equipo de comunicación móvil: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/34 “1.° La etiqueta de localización (identificador de celda) al inicio de la comunicación. 2.° Los datos que permiten fijar la localización geográfica de la celda, mediante referencia a la etiqueta de localización, durante el período en el que se conservan los datos de las comunicaciones”. La citada resolución desestimatoria del recurso devino firme en vía administrativa. No consta interposición de recurso contencioso-administrativo por parte de EUSKALTEL. TERCERO. Con fecha 21 de marzo de 2024, la parte reclamante presentó escrito ante la Agencia en el que aportaba los datos recibidos de EUSKALTEL en respuesta a su solicitud de acceso. Dichos datos consistían en los identificadores de celdas con las que se conectó su línea móvil, sin incluir otros datos de geolocalización solicitados. En vista de ello, la Agencia remitió a EUSKALTEL nuevos requerimientos de cumplimiento con fechas 26 de marzo, 10 de mayo y 1 de julio de 2024, todos ellos notificados fehacientemente, recordándole la obligación de atender el derecho de acceso o denegarlo motivadamente conforme a los términos establecidos en la resolución, sin reiterar argumentos previamente desestimados. En estos requerimientos la AEPD informó a EUSKALTEL que la información facilitada a la parte reclamante en ejecución de las resoluciones reseñadas no permitía considerar atendido el derecho de acceso a los datos de geolocalización de la línea telefónica móvil de la parte reclamante, además de que los datos proporcionados son de un período inferior al solicitado. Y se advertía que el incumplimiento de lo acordado en aquellas resoluciones puede ser constitutivo de una infracción tipificada en el artículo 83.6 del RGPD. Contra el requerimiento que le fue remitido en fecha 26 de marzo de 2024, EUSKALTEL presentó recurso de reposición que fue inadmitido mediante resolución de 24 de junio de 2024, en la que se consideró que aquel requerimiento d cumplimiento de la resolución tiene naturaleza de acto de trámite, por cuanto no decide sobre el fondo del asunto ni determina la imposibilidad de continuar el procedimiento ni produce indefensión o perjuicio irreparable a derechos e intereses legítimo. Asimismo, se reiteró a EUSKALTEL la obligación de cumplir una resolución firme y ejecutiva, de acuerdo con los fundamentos que en ella se motivan, contra la que ya se se permitió al recurrente discrepar dentro de los plazos de recurso pertinentes, que se resolvieron motivadamente por medio de la resolución del recurso de reposición reflejada en el hecho segundo. CUARTO. EUSKALTEL respondió a los citados requerimientos mediante escritos presentados los días 10 de abril, 30 de mayo y 15 de julio de 2024, en los que reiteraba que no trata datos de geolocalización distintos a los identificadores de celdas ya facilitados, y que no dispone de la localización geográfica de dichas celdas al no ser operador con red propia. Dichos argumentos ya fueron señalados en la tramitación del procedimiento de derechos. Asimismo, solicitó que se tuviera por atendido el derecho de acceso y que se declarase nulo el último requerimiento. Las respuestas no incluían una denegación motivada del derecho en los términos exigidos por la resolución firme ni atendían el derecho de acceso ejercitado por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/34 parte reclamante en el sentido acordado por la AEPD en las resoluciones que constan reseñadas en los Hechos Probados Primero y Segundo. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones formuladas a la propuesta de resolución En relación con las alegaciones aducidas por EUSKALTEL al acuerdo de inicio, debe señalarse que el presente procedimiento tiene por objeto analizar si por parte de EUSKALTEL se ha dado cumplimiento a lo acordado por la AEPD mediante las resoluciones reseñadas en los Hechos Probados Primero y Segundo. Según ha quedado reseñado en los hechos probados, se resolvió la estimación del derecho de acceso formulada por la parte reclamante para que le fueran facilitados los datos de geolocalización de su línea de telefonía móvil como titular de los datos, habiendo considerado (
2. i)que EUSKALTEL, en su condición de operador que presta servicios de comunicaciones electrónicas disponibles al público o explota redes públicas de comunicaciones, trata esos datos bajo la condición de responsable del tratamiento y está obligada a conservarlos y (
3. ii)que el acceso a dicha información por parte del usuario no viene exceptuado por la Ley 25/2007. Siendo así, en un incidente de ejecución de resolución o en las actuaciones sancionadores que se deriven de la no atención de lo acordado en resoluciones dictadas por esta AEPD, como las presentes, no procede plantear cuestiones relativas al fondo del asunto, que ya fueron decididas en resolución firme en vía administrativa dictada en el marco de un procedimiento seguido con todas las garantías previstas. No obstante, se procede a dar respuesta a las alegaciones formuladas por EUSKALTEL a la propuesta de resolución según el orden en que se exponen en su escrito: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/34 “PRIMERA. DEL CUMPLIMIENTO DE LA RESOLUCIÓN: INEXISTENCIA DE UNA INFRACCIÓN DEL ARTÍCULO 58 DEL RGPD.” Conviene precisar en primer término que el ejercicio del derecho de acceso, según señalan las Directrices 01/2022, sobre los derechos de los interesados, derecho de acceso, del CEPD, “se lleva a cabo en el marco de la legislación sobre protección de datos, de conformidad con los objetivos de la legislación en materia de protección de datos y, más concretamente, en el marco de «los derechos y las libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales», tal como se establece en el artículo 1, apartado 2, del RGPD”. Así se configura como un “elemento importante de todo el sistema de protección de datos”. Este derecho garantiza a los interesados un acceso efectivo a sus datos personales con el objetivo general de que puedan conocer y verificar la legalidad del tratamiento y el objetivo práctico de permitir a las personas físicas tener el control sobre sus propios datos personales, e implica, según lo establecido en el artículo 15 del RGPD, tanto la confirmación por el responsable de si se están tratando datos personales que conciernen al interesado, como la entrega de los datos personales solicitados y la información sobre el tratamiento en sí, estando delimitado su alcance por el mismo concepto de datos personales. La información que se facilite debe ser completa en relación con el alcance de la solicitud formulada por el interesado y actualizada lo más posible al estado del tratamiento de los datos en el momento de recibir la solicitud, debiendo facilitarse en todo caso de forma que tenga sentido para el interesado. Al referirse al ámbito de aplicación del derecho de acceso y la información a la que se refiere, delimitada, como se ha dicho, por la definición de datos personales, las mencionadas Directrices 01/2022 señalan que incluye no solo los datos facilitados directamente por el interesado. Así se expresa en estas Directrices: “Así pues, sin perjuicio de los hechos concretos del caso, al evaluar una solicitud de acceso específica, los responsables del tratamiento deben facilitar, entre otros, los siguientes tipos de datos, sin perjuicio de lo dispuesto en el artículo 15, apartado 4, del RGPD: (…) . datos observados o datos en bruto facilitados por el interesado como consecuencia del uso del servicio o del dispositivo (por ejemplo, datos tratados por objetos conectados, historial de transacciones, registros de actividad, como los registros de acceso, historial de uso de sitios web, actividades de búsqueda, datos de localización, actividad de clic, aspectos únicos del comportamiento de una persona, como la caligrafía, las pulsaciones de teclas, la forma particular de caminar o hablar)”. . datos deducidos de otros datos, en lugar de ser facilitados directamente… . datos inferidos de otros datos, en lugar de ser facilitados directamente por el interesado… C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/34 En el presente caso, la solicitud de acceso formulada por el reclamante tiene por objeto los datos de localización de su terminal móvil durante un período de tiempo determinado. La Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, se refiere a la obligación de conservar estos datos en su artículo 3, que establece lo siguiente: “Artículo 3. Datos objeto de conservación. 1. Los datos que deben conservarse por los operadores especificados en el artículo 2 de esta Ley, son los siguientes: (…)
4. f)Datos necesarios para identificar la localización del equipo de comunicación móvil: 1.° La etiqueta de localización (identificador de celda) al inicio de la comunicación. 2.° Los datos que permiten fijar la localización geográfica de la celda, mediante referencia a la etiqueta de localización, durante el período en el que se conservan los datos de las comunicaciones”. Estos datos pueden suministrarse según se presentan, siempre que resulten comprensibles para el interesado, si bien no es necesario reelaborarlos o someterlos a proceso alguno dirigido a elaborar coordenadas o facilitar datos de geolocalización. EUSKALTEL sostiene haber cumplido con la resolución de la AEPD, señalando que ha proporcionado los identificadores de celda y denegado el acceso a otros datos de geolocalización que afirma no poseer. No se cuestiona en este acto que EUSKALTEL haya respondido a la parte reclamante. Sin embargo, no puede admitirse el argumento de EUSKALTEL, según el cual “ha denegado de forma motivada y expresa la entrega de los datos de geolocalización solicitados, dado que no trata, ni ha tratado nunca, dicha información”. En respuesta a este argumento, debe señalarse que el derecho de acceso no se satisface con cualquier tipo de respuesta a la solicitud efectuada en ejercicio de tal derecho, sino con la entrega de los datos personales objeto de solicitud en los términos señalados en la resolución de procedimiento de derechos. Según se ha señalado, el artículo 15 del RGPD implica tanto la confirmación por el responsable de si se están tratando datos personales que le conciernen al interesado, como de la entrega de los datos personales solicitados. En el presente caso, teniendo como origen las resoluciones a que se refieren los Antecedentes Primero y Segundo de esta resolución, como ya se indicó a EUSKALTEL en los tres requerimientos efectuados por esta Agencia relacionados en los Antecedentes Cuarto, Quinto y Séptimo, la información facilitada a la parte reclamante no cubría la totalidad de los datos personales objeto de solicitud, lo que impide que el ejercicio del derecho de acceso efectuado por la parte reclamante pueda entenderse debidamente atendido. Concretamente, EUSKALTEL ha proporcionado los identificadores de celda relativos a las comunicaciones realizadas, pero no los datos que permiten fijar la localización geográfica de la celda, mediante referencia a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/34 etiqueta de localización, durante el período en el que se conservan los datos de las comunicaciones, tratados con ocasión de las comunicaciones efectuadas por la parte reclamante. Tal y como esta Agencia ha afirmado en varias ocasiones, la falta de entrega de estos datos que permiten fijar la localización hace que la respuesta dada por EUSKALTEL a la parte reclamante sea insuficiente para considerar debidamente atendido el ejercicio del derecho de acceso de la parte reclamante conforme a los términos exactos establecidos en la resolución inicial. EUSKALTEL afirma que no dispone de datos distintos a los identificadores de celda y que, por tanto, no puede entregarlos. En contraposición a este argumento, cabe señalar que, al tratar el OMR los datos que permiten fijar la localización (como la ubicación de un identificador de celda asociado a una comunicación), cuando dichos datos conciernen al cliente que ejerce su derecho de acceso ante EUSKALTEL como OMV, con quien dicho cliente tiene la relación contractual, esta entidad viene obligada a obtener esa información del OMR y éste a proporcionársela con el fin último de que EUSKALTEL pueda atender el derecho de acceso ejercitado. Y ello por cuanto realiza un tratamiento de datos de clientes del OMV- en este caso, de datos que permiten fijar la localización de las celdas de telefonía a las que se conectan- que han de considerarse como datos que conciernen al cliente titular de los datos y que, en consecuencia, forman parte del contenido del derecho reconocido en el art. 15 del RGPD y han de proporcionarse cuando dicho derecho se ejerce. EUSKALTEL afirma que esta Agencia pretende imponer “algo distinto" a lo establecido en la resolución original. La resolución original contemplaba dos opciones: o facilitar los datos solicitados, o denegar motivadamente el acceso “conforme a lo dispuesto en la resolución”. Esto no significa que cualquier denegación motivada sea aceptable, sino que el responsable del tratamiento debe responder con una motivación razonada y ajustada a Derecho, lo que no se produjo en este caso, de lo cual EUSKALTEL fue adecuadamente advertida por esta Agencia. El hecho de que EUSKALTEL haya enviado varias comunicaciones a la parte reclamante no excluye la posibilidad de una infracción, ya que el contenido de dichas comunicaciones no satisface lo dispuesto en el RGPD, según el criterio expresado por esta Agencia. El artículo 58.2 RGPD faculta a la AEPD para ordenar al responsable que atienda debidamente los derechos del interesado y, en caso de incumplimiento, sancionarlo. Que la AEPD haya tenido que reiterar hasta tres veces el cumplimiento de su propia resolución demuestra que la actuación de EUSKALTEL ha vulnerado lo ordenado en la citada resolución, y, al no haber sido ejecutada en los términos requeridos, se produce por parte de EUSKALTEL una conducta sancionable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/34 Por todo lo expuesto, la presente alegación queda desestimada. “SEGUNDA.- DE LA IMPOSIBILIDAD DE FACILITAR EL DATO DE GEOLOCALIZACIÓN: EUSKALTEL NO TRATA EL DATO Y NO PUEDE CATEGORIZARSE COMO RESPONSABLE DEL TRATAMIENTO” Según EUSKALTEL, no hay base jurídica para que, en su condición de OMV, tenga que obtener del OMR (***EMPRESA.2) los datos de geolocalización. Añade que el RGPD no exige una relación contractual directa entre el interesado y el responsable para que aquel pueda ejercer derechos, como el derecho de acceso (art. 15 RGPD), basta con que el responsable trate datos personales del interesado. En respuesta a este argumento, cabe señalar que entre EUSKALTEL, en su condición de OMV, y ***EMPRESA.2, en su condición de OMR, existe una relación de responsable y encargado del tratamiento que obliga a éste a asistir al responsable en el cumplimiento de la obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III (artículo 28.3.
5. e)del RGPD). En este sentido, las Directrices 07/2020 del CEPD apuntan que el responsable debe atender el ejercicio de derechos incluso cuando los datos se encuentren en manos de encargados. En el apartado 1.3.4 de las Directrices 07/2020, acerca del contenido de los contratos entre responsable y encargado, se establece que el encargado debe poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28.3 del RGPD. Este precepto establece que el encargado “asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III”. Por otro lado, respecto al argumento de EUSKALTEL relativo a que “ante la solicitud de la puesta a disposición de la información, ***EMPRESA.2 denegó la petición por motivos debidamente justificados”, no se ha acreditado nada a este respecto. Continúa EUSKALTEL afirmando que “los identificadores de celda (LAC/Cell ID) no son datos de localización ni permiten conocer la posición del usuario". Esta afirmación es técnica y jurídicamente inexacta. El LAC y el Cell ID constituyen datos personales y datos que permiten la localización en el sentido expresado por la Ley 25/2007. Si el OMR (***EMPRESA.2) tiene la posibilidad de asociar una identificación de celda a una ubicación geográfica de la celda, y esa información forma parte del tratamiento que conlleva la prestación del servicio, este dato ya generado para la prestación del servicio debe ser facilitado al interesado. No se trata de crear nueva información, sino de proporcionar los datos tratados en el contexto normal de la actividad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/34 En consecuencia, no puede aceptarse el argumento de que facilitar al interesado los identificadores de celda (LAC/Cell ID) y la base de antenas constituya un tratamiento nuevo o no obligatorio, ya que dicha asociación forma parte del tratamiento habitual y ordinario que el operador realiza en el marco de la prestación del servicio, sin que ello implique que los datos estén disponibles en forma de listado histórico o que daban transformarse en mapas, rutas o coordenadas, debiendo facilitarse únicamente tal y como se conservan en los sistemas del operador. Por tanto, dicha información debe facilitarse al interesado en ejercicio de su derecho de acceso, al no implicar la generación de nueva información sino la entrega de los datos tratados de manera ordinaria. Respecto a la idea de que la información sobre la ubicación de antenas está protegida por el secreto empresarial, en el artículo 23 del RGPD se regula la posibilidad de establecer limitaciones al ejercicio de los derechos reconocidos en los artículos 12 a 22 del RGPD mediante “medidas legislativas”. EUSKALTEL no cita precepto alguno que limite el acceso a datos personales por motivos de secreto empresarial. Si esos datos permiten identificar o situar el equipo de comunicación móvil del interesado, su carácter de dato personal permite el acceso por parte de dicho interesado, y la limitación de acceso sólo puede establecerse por una norma con rango de ley en los supuestos contemplados en el artículo 23 del RGPD. Además, la geolocalización de antenas no revela secreto empresarial alguno, dado que estas se encuentran en espacios públicos y cualquier persona puede obtener su geolocalización, que también puede consultarse en la siguiente web: https://geoportal.minetur.gob.es/VCTEL/vcne.do, en la cual constan los datos de geolocalización de las antenas y el operador al que pertenecen. Por otra parte, la Ley 25/2007 regula el supuesto de cesión a autoridades públicas de datos personales relativos a comunicaciones electrónicas y a las redes públicas de comunicaciones, no el ejercicio de derechos por parte del titular de los datos, que se regula por el RGPD, por lo que la Ley 25/2007 no prohíbe el acceso a estos datos por parte de un interesado cuando se derivan de una comunicación realizada por un responsable de tratamiento dentro del ámbito del RGPD. Negar el acceso bajo el pretexto de que los datos se encuentran registrados en otra base interna o en un sistema de información del encargado del tratamiento supondría una restricción indebida del derecho reconocido en el artículo 15 del RGPD, pues la obligación del responsable es facilitar los datos personales tratados en el marco del servicio, con independencia de que la atención del derecho requiera la búsqueda de los datos personales del solicitante en varios sistemas de información y/o sistemas de archivo en los que se encuentren registrados, lo cual no implica que los datos deban ser combinados o sometidos a un nuevo tratamiento específico motivado por la atención del derecho, pues bastará con que se faciliten los mismos según consten registrados. Lo contrario supondría condicionar el derecho de acceso a la forma en que se estructura la información por parte del responsable y encargado del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/34 Respecto a la relación entre el OMV y el OMR, esta Agencia expresó claramente en su propuesta de resolución (pág. 10) que la relación entre el OMV y el OMR es una relación de responsable y encargado de tratamiento regulada por el RGPD: “…Por ello, el OMV, como responsable del tratamiento, tiene la obligación de garantizar que el cliente pueda acceder a sus datos personales, incluso cuando estos sean generados o gestionados por un encargado de tratamiento (en este caso, el OMR).” Aunque EUSKALTEL es un OMV y no posee infraestructura propia de red, sí trata datos de conexión, como el identificador de celda, el cual tiene carácter de dato personal porque está vinculado a una línea telefónica concreta de la que es titular una persona física en un momento determinado, lo que lo convierte en información que formaría parte de los datos que conciernen a un interesado, en los términos del artículo 15 del RGPD. Sólo el OMR tienen la capacidad técnica para “fijar la localización geográfica de la celda, mediante referencia a la etiqueta de localización”, ya que son ellos quienes generan, gestionan y conservan estos datos como parte de la operación de su red. Y, dado que el OMV dispone del identificador de celda, sólo el OMR tiene acceso a su sistema de geolocalización. En este contexto, según se ha señalado anteriormente, al tratar el OMR los datos de localización (como los datos que permiten fijar la localización geográfica de la celda, mediante referencia a la etiqueta de localización, durante el período en el que se conservan los datos de las comunicaciones), cuando dichos datos conciernen al cliente que ejerce su derecho de acceso ante el OMV, con el que tiene la relación contractual, estaría obligado a obtener esa información del OMR y éste a proporcionársela. Así, como consecuencia de la prestación de servicios del OMR al OMV, el OMR ha de facilitar al OMV los datos personales que sean objeto de solicitud de ejercicio de derecho de acceso por parte de cualquier cliente del OMV. Aunque EUSKALTEL (OMV) afirme que no trata directamente los datos de geolocalización, los datos que permiten fijar la localización geográfica de la celda son tratados por el sistema de comunicación que los genera con motivo de la prestación del servicio por parte del OMR a EUSKALTEL, en su condición de OMV. Por otra parte, el cliente de un OMV no tiene acceso directo a sus datos en el OMR porque no existe ningún vínculo jurídico entre ambos. Desde una perspectiva legal, la relación contractual se produce entre el ciudadano y la OMV de la que es cliente. Por tanto, el cliente de la OMV no tiene una relación directa con el OMR y, en consecuencia, no puede ejercer derechos directamente sobre los datos tratados por el OMR. Según el RGPD, el derecho de acceso obliga al responsable del tratamiento (en este caso, la OMV) a proporcionar al interesado los datos personales que está tratando y le conciernen. Si los datos necesarios están almacenados o gestionados por el OMR como parte de la prestación de servicios a la OMV, esta última debe solicitar al OMR los datos personales del interesado para atender su solicitud de ejercicio de derecho de acceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/34 En este sentido, recordemos que las Directrices 1/2022 del Comité Europeo de Protección de Datos disponen lo siguiente: “125. Los interesados deben tener acceso a toda la información que el responsable del tratamiento trate sobre ellos. Esto significa, por ejemplo, que el responsable del tratamiento está obligado a buscar datos personales a través de sus sistemas informáticos y de sus ficheros no informáticos (…) Si un responsable utiliza un encargado para sus actividades de tratamiento de datos, la búsqueda debe ampliarse naturalmente para incluir también los datos personales tratados por el encargado”. Si se exigiera al cliente de la OMV que ejerciese el derecho de acceso directamente contra el OMR, éste podría argumentar que no tiene una relación directa con el cliente y que la responsabilidad recae sobre la OMV. Por ello, el OMV, como responsable del tratamiento, tiene la obligación de garantizar que el cliente pueda acceder a sus datos personales, incluso cuando estos sean generados o gestionados por un encargado de tratamiento (en este caso, el OMR). De hecho, la obligación de atender el derecho de acceso recae, literalmente, en el responsable del tratamiento a quien únicamente cita el artículo 15 del RGPD. En consecuencia, el cliente de una OMV tiene derecho a acceder a los datos personales que le conciernen, incluidos los datos que permiten fijar la localización geográfica de la celda, que permitan la localización de su equipo de comunicación móvil, y el OMV tiene la obligación de garantizar el acceso al titular de los datos, en su caso, solicitando al OMR los datos que éste trate y que conciernan al interesado; en el caso que nos ocupa, los datos de localización que permitan convertir el identificador de celda en coordenadas geográficas (latitud y longitud) , es decir, que permiten fijar la localización geográfica de la celda mediante referencia a la etiqueta de localización, en los términos de la Ley 25/2007. Sabiendo que ello no debe entenderse como una obligación de realizar un nuevo tratamiento de datos personales para convertir y facilitar estas coordenadas geográficas, sino solo la entrega al interesado de los datos según se procesan por el encargado del tratamiento, si bien de forma que los mismos resulten transparentes e inteligibles. Al citarse en la propuesta de resolución la sentencia del TJUE: asunto C-210/16 -Wirtschaftsakademie, que se refiere a un caso de corresponsabilidad, en ningún caso se trató de aplicarse tal circunstancia al presente caso, como refiere EUSKALTEL en sus alegaciones, sino que el TJUE, en la citada sentencia ha ampliado el concepto de responsabilidad incluso a quienes no tienen acceso directo a los datos, pero influyen en su tratamiento o determinan sus fines o medios. Tal y como se expresa claramente en el siguiente apartado de la sentencia: “61. Así pues, el hecho de que un prestador de servicios redacte el contrato y sus condiciones generales y que el operador que recurre a los servicios que ofrece dicho prestador no tenga acceso a los datos no excluye que éste pueda ser considerado un responsable del tratamiento, dado que ha aceptado libremente las cláusulas contractuales y, por lo tanto, la plena responsabilidad sobre éstas. Como señala el Grupo de Trabajo «Artículo 29», también se debe reconocer que el posible desequilibrio de fuerzas entre el proveedor y quien recibe el servicio no obsta a que éste pueda ser calificado de «responsable del tratamiento».” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/34 Esta es la interpretación más acorde al RGPD, ya que no puede eludirse la responsabilidad en la atención de los derechos de los ciudadanos fragmentando el tratamiento entre dos entidades. Si EUSKALTEL (OMV) ofrece el servicio al cliente final, es responsable del tratamiento, aunque técnicamente subcontrate funciones al OMV (***EMPRESA.2). El hecho de que EUSKALTEL no tenga acceso directo a los datos no le exime de garantizar el derecho de acceso, y por tanto debe coordinarse con el OMV (***EMPRESA.2) para atender las solicitudes de ejercicio de derechos. En este punto EUSKALTEL vuelve a traer a colación la Ley 25/2007, alegando que esta norma regula la cesión de datos conservados a efectos de investigación penal, no el ejercicio de derechos de acceso bajo el RGPD, por lo que, según dicha entidad, no procede la interpretación sobre los preceptos del RGPD en base a lo previsto por Ley 25/2007. Recordemos que el RGPD viene a desarrollar un derecho fundamental recogido en el artículo 18.4 de la Constitución Española, y que el artículo 23 del RGPD exige una norma con rango de ley que justifique limitaciones específicas al ejercicio de derechos, bajo criterios de necesidad y proporcionalidad. Por último, señalar que la Ley 25/2007 no contiene ninguna previsión que limite expresamente el derecho de acceso de los interesados a sus propios datos, más allá de la excepción establecida en su artículo 9: “Artículo 9. Excepciones a los derechos de acceso y cancelación. 1. El responsable del tratamiento de los datos no comunicará la cesión de datos efectuada de conformidad con esta Ley”. Por otra parte, EUSKALTEL considera que el propio funcionamiento del servicio es incompatible con la condición de EUSKALTEL como responsable del tratamiento de los datos de localización de las antenas en el marco de la prestación de sus servicios, que no trata, y que los datos generados, tratados e intercambiados por los Operadores de Telecomunicación con motivo de la prestación de los servicios de telefonía móvil, incluyendo los servicios de un OMR a un OMV, han de cumplir con los estándares internacionales. Sin embargo, los datos de inventario de antenas sí forman parte del tratamiento necesario para la prestación del servicio. La conexión de un terminal móvil a la red requiere que el sistema asigne a cada comunicación un identificador de celda (Cell ID, LAC, etc.), el cual solo tiene sentido en la medida en que se asocia a una antena concreta del inventario de la operadora. Esto implica que, en el curso de cada comunicación, la operadora trata simultáneamente datos del cliente y datos del inventario de antenas, porque sin esa correspondencia no sería técnicamente posible cursar la llamada, establecer la sesión de datos o gestionar el traspaso entre celdas, técnicamente denominado “handover”. De este modo, el inventario de antenas es parte integrante del sistema de información que procesa datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/34 El art. 4.2 RGPD define tratamiento de manera amplia (“cualquier operación… realizada sobre datos personales, ya sea por procedimientos automatizados o no”), lo que incluye las operaciones técnicas necesarias para hacer que el dato sea utilizable. En este sentido, la base de datos de antenas no es un mero dato técnico aislado, sino que forma parte de la infraestructura de tratamiento que permite que los datos personales (localización, tráfico, calidad de servicio) tengan sentido operativo. El Considerando 63 del RGPD aclara que el derecho de acceso tiene como finalidad que el interesado pueda “conocer y verificar la licitud del tratamiento”. Para ello no basta con darle identificadores opacos a los que se refiere EUSKALTEL (por ejemplo, el identificador de celda o Cell ID), sino que debe proporcionarse la información necesaria para que entienda qué tipo de datos se le facilitan, aunque sean técnicos, y sin que la entrega de esta información requiera de la realización de un nuevo tratamiento de datos personales. Por tanto, la referencia del identificador de celda al inventario de antenas sí es objeto de tratamiento, en la medida en que ambas informaciones se tratan sistemáticamente para que el servicio funcione y es el que permite dotar de contenido personal al dato. Como ya se señaló anteriormente, el TJUE estableció en el asunto Breyer (C-582/14) que, incluso datos técnicos que no identifican directamente a un usuario, como la dirección IP, pueden ser personales si, mediante información adicional a la que el responsable tiene acceso, permiten identificar a la persona. Por todo lo expuesto, la presente alegación queda desestimada. “TERCERA.- SUBSIDIARIAMENTE A LO ANTERIOR, LA RESOLUCIÓN DE LA AGENCIA RESULTA NULA, AL IMPONER A EUSKALTEL UNA OBLIGACIÓN DE IMPOSIBLE CUMPLIMIENTO.” EUSKALTEL sostiene que la resolución que le impone el deber de facilitar datos de geolocalización sería nula de pleno derecho por imponerle una obligación de imposible cumplimiento, A continuación, se enumeran los motivos por los que no puede aceptarse este argumento. 1. No concurre imposibilidad material ni jurídica de cumplimiento La alegación principal se basa en una afirmación no acreditada en modo alguno, relativa a que EUSKALTEL no tiene acceso, ni trata, ni puede tratar en ningún caso los datos de geolocalización relacionados con el terminal de la parte reclamante. Sin embargo, esta afirmación no está demostrada, siendo una simple declaración de parte, siendo, además, contradictoria con el propio modelo de negocio de los operadores móviles virtuales (OMV), como es el caso de EUSKALTEL. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/34 Los OMV actúan como responsables del tratamiento respecto a los datos generados por la prestación del servicio, incluyendo los necesarios para su facturación, soporte técnico, prevención de fraude y atención de derechos de los interesados (art. 4.7 RGPD). A tal fin, entre el OMV y el OMR debe existir una interconexión técnica, a través de plataformas o acuerdos operativos, mediante los cuales acceden a los datos necesarios para prestar su servicio. Este acceso no se califica jurídicamente como una cesión ni exige autorización judicial alguna: es un tratamiento legítimo derivado de la prestación del servicio, conforme al art. 6.1.
6. b)del RGPD. Esta Agencia no exige que EUSKATEL acceda a datos fuera de su ámbito de actividad, sino que ejercite las facultades de tratamiento que le corresponden como responsable, lo que incluye solicitar los datos al OMR para atender el derecho de acceso del interesado. En consecuencia, lo que EUSKALTEL plantea como “imposible”, en realidad, se reduce a una falta de voluntad de exigir al encargado de tratamiento (***EMPRESA.2), de cumplir con lo dispuesto en el artículo 28.3.
7. e)del RGPD, según el cual el encargado de tratamiento asistirá al responsable para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III. 2. La Ley 25/2007 no impide el ejercicio del derecho de acceso EUSKALTEL vuelve a traer a colación el régimen de cesión de datos de comunicaciones electrónicas a autoridades públicas previsto en la Ley 25/2007. Como ya se argumentó anteriormente, la Ley 25/2007 regula exclusivamente el acceso de autoridades públicas, no el ejercicio de derechos por los interesados ante los responsables del tratamiento. Además, esta Ley no restringe en modo alguno que el operador acceda a los datos personales de los que es responsable del tratamiento para fines distintos al penal o de seguridad, como es la atención de solicitudes de ejercicio de derechos en el marco del RGPD. Que ciertos datos se conserven para el cumplimiento de lo dispuesto en la Ley 25/2007 no excluye que puedan ser tratados para otros fines lícitos, como el cumplimiento del art. 15 RGPD. Entre otros tratamientos, los datos objeto de la solicitud de acceso del reclamante son también tratados con motivo de la prestación del servicio, al permitir la conexión, gestión de red, roaming, calidad de servicio, y facturación por zonas geográficas. En consecuencia, la invocación de la Ley 25/2007 resulta improcedente para justificar la negativa a facilitar los datos solicitados, puesto que la finalidad de conservación establecida en dicha norma no limita ni excluye la obligación del operador de atender las solicitudes de acceso de los interesados en virtud del artículo 15 del RGPD. Los datos de localización, incluidos los derivados de identificadores de celda, forman parte del tratamiento ordinario vinculado a la prestación del servicio de comunicaciones electrónicas y, por tanto, deben ponerse a disposición del interesado en ejercicio de su derecho de acceso. 3. La sentencia del TJUE de 2014 (Digital Rights Ireland) no sostiene la alegación de EUSKALTEL C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/34 EUSKALTEL invoca erróneamente la STJUE de 8 de abril de 2014 (Digital Rights Ireland), que anuló la Directiva 2006/24/CE por ser excesivamente invasiva y no limitar suficientemente el acceso de autoridades públicas a los datos conservados. Pero esta sentencia no se refiere al derecho de acceso de los particulares reconocido en el artículo 15 del RGPD, ni prohíbe el tratamiento de los datos por parte del propio responsable para fines distintos a los previstos en la Ley 25/2007, que se limita al ámbito penal. Además, tampoco se cuestiona que los datos de geolocalización de los equipos de los usuarios del servicio formen parte de aquellos que son objeto de tratamiento necesario para la prestación del servicio. Por tanto, no puede invocarse para restringir un derecho fundamental del usuario (el de acceso a sus propios datos), cuando el acceso no tiene fines de vigilancia ni es generalizado, sino individualizado y justificado por el propio RGPD. La referencia a la sentencia Digital Rights Ireland carece de fundamento en este contexto, ya que su objeto fue valorar la proporcionalidad de la conservación y acceso a los datos por parte de las autoridades públicas, no el ejercicio de derechos individuales frente a los responsables del tratamiento. Pretender extrapolar dicha doctrina para limitar el derecho de acceso del artículo 15 RGPD supone una interpretación no conforme a los principios que rige todo tratamiento de datos personales. 4. No se vulnera el RGPD por obtener datos del OMR EUSKALTEL alega que, al no ser responsable del tratamiento de los datos tratados por el OMR, el traslado a este para que responda a quien ejercitó el derecho de acceso supondría jurídicamente una comunicación de datos para la que se carecería de legitimación, y tampoco estaría legitimada la comunicación en respuesta de la solicitud remitida por el OMR. El OMR actúa como encargado del tratamiento por lo que no hay comunicación ilícita, sino una operación necesaria para atender un derecho previsto en el RGPD. No hay violación del RGPD, sino, por el contrario, un deber de cumplimiento del art. 15 del RGPD. En definitiva, EUSKALTEL está legitimada para requerir al OMR los datos de la parte reclamante necesarios para atender la solicitud de ejercicio del derecho de acceso. El argumento de EUSKALTEL sobre la inexistencia de legitimación para trasladar la solicitud al OMR carece de sustento jurídico. La intervención del OMR como encargado del tratamiento se enmarca dentro de la relación funcional con el responsable y responde a una obligación derivada directamente del artículo 28 del RGPD, en virtud del cual el encargado debe asistir al responsable en el cumplimiento de los derechos de los interesados. Por tanto, lejos de constituir una comunicación ilícita de datos, el traslado de la solicitud constituye un mecanismo necesario y legítimo para garantizar el derecho fundamental de acceso reconocido en el artículo 15 del RGPD. Como conclusión de la respuesta a esta alegación, no concurre la causa de nulidad del artículo 47.1.
8. c)de la LPACAP en la resolución del procedimiento de ejercicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/34 de derechos dictada por esta Agencia, ya que lo razonado por EUSKALTEL se basa en una errónea interpretación de la Ley 25/2007 y del RGPD, al confundir el régimen de acceso de autoridades a los datos relativos a comunicaciones electrónicas y redes públicas de comunicaciones con el derecho de los interesados en materia de protección de datos previstos en los artículos 12 a 22 del RGPD, sin que haya acreditado en ningún modo la imposibilidad material o jurídica del cumplimiento de la Resolución. Por todo lo expuesto, la presente alegación queda desestimada. “CUARTA. SUBSIDIARIAMENTE, DE LA AFECTACIÓN DE LOS DERECHOS DE TERCEROS Y LOS RIESGOS ASOCIADOS.” El artículo 15.4 del RGPD establece una limitación específica del derecho de acceso, que obliga a los responsables, al conceder dicho derecho, a tener en cuenta los posibles efectos negativos sobre los derechos y libertades de otros, incluidos los responsable o encargados del tratamiento. Establece este artículo lo siguiente: “4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros”. En este sentido, el derecho a la protección de datos personales de otros interesados es un derecho que puede considerarse afectado por el artículo 15.4 del RGPD y que obliga a delimitar esta limitación. En definitiva, esta limitación obliga al responsable a comprobar cuidadosamente a qué partes de la información se refiere esta limitación y facilitar toda la información que no esté afectada por ella, sin olvidar la previa y correcta identificación del titular de los datos de modo que permita asegurar plenamente que los datos personales objeto del derecho de acceso se facilitan a su verdadero titular. A este respecto, las Directrices 01/2022, sobre los derechos de los interesados - Derecho de acceso, adoptada el 28 de marzo de 2023, señalan: “58. Con el fin de garantizar la seguridad del tratamiento y minimizar el riesgo de divulgación no autorizada de datos personales, el responsable del tratamiento debe poder averiguar qué datos se refieren al interesado (identificación) y confirmar la identidad de dicha persona (autenticación). 59. Cabe recordar que, en situaciones en las que los fines para los que se tratan los datos personales no requieren o ya no requieren la identificación de un interesado, el responsable del tratamiento no necesita mantener la identificación con el único fin de respetar los derechos de los interesados, también a la luz del principio de minimización de los datos. Estas situaciones se abordan en el artículo 11, apartado 1, del RGPD. 60. El artículo 12, apartado 2, del RGPD establece que el responsable del tratamiento no se negará a actuar a petición del interesado con el fin de ejercer sus derechos, a menos que trate datos personales para un fin que no requiera la identificación del interesado y demuestre que no está en condiciones de identificarlo. En tales circunstancias, el interesado puede, no obstante, decidir facilitar información adicional que permita esta identificación (artículo 11, apartado 2, del RGPD)29. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/34 61. El responsable del tratamiento no está obligado a obtener dicha información adicional para identificar al interesado con el único fin de satisfacer la solicitud del interesado, también a la luz del principio de minimización de los datos. Sin embargo, no debe negarse a recibir esa información adicional facilitada por el interesado a fin de respaldarle en el ejercicio de sus derechos (Considerando 57 del RGPD)”. Asimismo, según el CEPD, debe tenerse en cuenta que el derecho de acceso no debe considerarse de forma aislada, ya que está estrechamente relacionado con otras disposiciones del RGPD, en particular con los principios de la protección de datos, incluidos el de responsabilidad proactiva regulado en el artículo 5.2 del RGPD, que obliga al responsable a estar en condiciones de poder demostrar que ha respetado las normas aplicables, y la minimización de datos a la hora de identificar al interesado, que no puede conllevar un tratamiento de datos desproporcionado. Por otra parte, el CEPD ha interpretado que el respeto a os derechos y libertades de otros debe responder a riesgos reales y concretos. Sobre esta concreta cuestión, en las mencionadas Directrices 01/2022 se declara lo siguiente: “172. La preocupación general de que los derechos y libertades de terceros puedan verse afectados por el cumplimiento de la solicitud de acceso no basta para invocar el artículo 15, apartado 4, del RGPD. El responsable del tratamiento debe poder demostrar que, en la situación concreta, los derechos o libertades de terceros se verían afectados de hecho”. “174. Si los responsables del tratamiento se niegan a responder a una solicitud de derecho de acceso total o parcial con arreglo al artículo 15, apartado 4, del RGPD, deben informar al interesado de los motivos sin dilación y, a más tardar, en el plazo de un mes (artículo 12, apartado 4, del RGPD). La exposición de motivos debe hacer referencia a las circunstancias concretas para que los interesados puedan evaluar si desean tomar medidas contra la denegación. Debe incluir información sobre la posibilidad de presentar una reclamación ante una autoridad de control (artículo 77 del RGPD) y de obtener tutela judicial efectiva (artículo 79 del RGPD)”. EUSKALTEL considera que existe un sustancial y considerable riesgo para los derechos y libertades de terceros. Sin embargo, EUSKALTEL no ha demostrado en ningún momento que los derechos o libertades de otros queden afectados por proporcionar a la parte reclamante los datos de localización solicitados. La parte reclamante sostiene que es el usuario de la línea telefónica y ha ejercido el derecho sobre su propia información, no habiendo constancia de que la parte reclamante no sea efectivamente el usuario exclusivo de la línea, ni se ha demostrado algún riesgo concreto para otros. Si EUKALTEL hubiese tenido dudas razonables sobre la identidad del solicitante como usuario efectivo, pudo solicitar aclaraciones o pruebas, conforme a lo previsto en el artículo 12.6 RGPD: “Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado”, pero no puede negar el derecho con carácter general. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/34 A este respecto, en razón al principio de minimización del artículo 5.1.
9. c)del RGPD, si EUSKALTEL considerara que, para asegurar la condición de interesado y usuario efectivo por el solicitante de acceso, se debe realizar una investigación o tratamiento de datos que juzgue desproporcionado, así habría de justificarlo al denegar el acceso solicitado, siempre de manera motivada y a partir de la información de la que dispone en el caso concreto. Tampoco las respuestas efectuadas por dicha entidad para atender lo acordado por esta AEPD en la resolución del procedimiento de derechos que ordenó la atención del derecho de acceso del reclamante, o para atender los diversos requerimientos cursados instando la ejecución de aquel acuerdo, han planteado ninguna cuestión respecto de la posibilidad o imposibilidad de identificar al titular de los datos personales objeto del derecho de acceso. En consecuencia, esta alegación no justifica una denegación o limitación general del derecho de acceso. Por otra parte, EUSKALTEL ha alegado que la puesta a disposición de los particulares o del público de los datos de geoposicionamiento de las antenas implica un riesgo para la seguridad de las infraestructuras y el sector de las telecomunicaciones. A continuación, se enumeran los motivos por los que no puede aceptarse este argumento. 1. El dato solicitado no es la localización de la antena como infraestructura crítica, sino del identificador de celda vinculado al dispositivo de la parte reclamante. Esos datos son tratados como metadatos de red y constituyen datos personales conforme a la jurisprudencia del TJUE (C-582/14 – Breyer, entre otros). En todo caso, no se exige revelar la geolocalización de ninguna infraestructura crítica, ni se pone en riesgo la seguridad nacional. 2. Inaplicabilidad de lo dispuesto por la Ley 8/2011: protección de infraestructura no equivale a la restricción absoluta del derecho de acceso. La Ley 8/2011, que protege las infraestructuras críticas, no restringe los derechos fundamentales derivados del RGPD. Dicha norma está destinada a prevenir ataques deliberados y amenazas contra servicios esenciales, no a impedir a los ciudadanos el ejercicio de sus derechos sobre sus propios datos personales. De conformidad con el art. 23.1 RGPD, para restringir el derecho de acceso debe realizarse mediante una ley específica, con garantías adecuadas y proporcionadas, y no de forma genérica o preventiva. En España no existe actualmente una norma que restrinja expresamente el derecho de acceso a datos personales basándose en la protección de infraestructuras críticas en el sentido que plantea EUSKALTEL. Además, la localización de antenas no es secreta; algunos portales públicos muestran esta información (por ejemplo, https://geoportal.minetur.gob.es/VCTEL/vcne.do). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/34 3. Inaplicabilidad del caso de la dirección IP como precedente vinculante La referencia al ***EXPEDIENTE.1 y la dirección IP no es equiparable al caso actual. Una IP puede ser dinámica o compartida, y el operador no siempre tiene certeza de quién la usó. En cambio, el identificador de celda está vinculado a una comunicación concreta efectuada desde una línea identificada, por lo que existe trazabilidad clara hacia la parte reclamante. 4. El RGPD ya prevé mecanismos para proteger los derechos de terceros El artículo 15.4 del RGPD establece que el derecho de obtener copia de los datos personales objeto de tratamiento no puede afectar negativamente a los derechos y libertades de otros, pero esto no significa que se deniegue el derecho sin más, sino que debe articularse una respuesta proporcional. Con carácter general, un responsable de tratamiento, como medidas para proteger los derechos y libertades de tercero podría omitir datos concretos que afecten a terceros o proceder a su anonimización, y, el caso del usuario de una línea de telefonía, requerir pruebas adicionales de que el solicitante es quien realizó el uso efectivo de la línea telefónica. Lo que no cabe es una denegación sistemática, general y preventiva, bajo la excusa de un riesgo abstracto para otros. 5. No se exige acceso sin control judicial a datos amparados por la Ley 25/2007 Como ya se ha razonado anteriormente, el ejercicio del derecho de acceso en el RGPD no debe confundirse con el acceso por parte de autoridades a datos conservados en virtud de la Ley 25/2007, la cual se refiere a cesión de datos a agentes facultados con autorización judicial para investigación penal. El derecho de acceso en protección de datos es un derecho subjetivo del interesado para acceder a los datos que el responsable tiene o trata respecto a él. No es una cesión entre sujetos ajenos. Si el identificador de celda fue tratado o está disponible por parte del operador o su red técnica (OMR), y es relevante para el reclamante, debe ser entregado conforme al art. 15 RGPD, no como un dato protegido por secreto oficial o reservado a policías. 6. Conclusión: no se justifica la denegación del derecho de acceso Como conclusión EUSKALTEL no justifica por qué no puede facilitar al usuario datos que se generan en el curso del servicio, ni aporta prueba de que existan riesgos reales y específicos. En consecuencia:    No existe ninguna limitación legal establecida conforme al artículo 23.1 del RGPD para la normativa a que se refiere EUSKALTEL. No se está solicitando información clasificada o de infraestructuras críticas. No se acredita afectación real y concreta a terceros, más allá de supuestos hipotéticos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/34 Por todo lo expuesto, la presente alegación queda desestimada. “QUINTA. DE LA FALTA DE PROPORCIONALIDAD DE LA SANCIÓN PROPUESTA.” En este punto, EUSKALTEL presenta las siguientes alegaciones: 1. Su supuesta actuación diligente en la atención del derecho de acceso; 2. La impugnación de la calificación de gravedad, intencionalidad/negligencia y agravantes considerados; 3. Y la alegada desproporcionalidad de la sanción impuesta. 1. Sobre la supuesta diligencia debida de EUSKALTEL EUSKALTEL alega que actuó con “la diligencia debida” al no facilitar datos de los que, afirma, no dispone ni trata. Sin embargo, no se ha acreditado de manera técnica ni documental que EUSKALTEL carezca de acceso a los datos solicitados. Conforme a su modelo de negocio como OMV (operador móvil virtual), EUSKALTEL dispone de medios técnicos y contractuales para acceder a los identificadores de celda y sus correspondencias geográficas, datos que son tratados por cuenta propia o mediante un tercero (OMR). En consecuencia, no ha quedado probado que exista una “imposibilidad jurídica o material” para atender el derecho de acceso, lo cual excluye la exoneración de responsabilidad. La reiteración de respuestas insuficientes, pese a los requerimientos de esta Agencia, excluye la idea de que se tratara de un mero error puntual o de imposible cumplimiento. 2. Impugnación de la calificación de gravedad, intencionalidad/negligencia y agravantes considerados. 2.1. Sobre la alegación de que la infracción no sería grave (art. 83.2.a RGPD) EUSKALTEL sostiene que la infracción carece de gravedad por haber afectado a un solo interesado, si bien esta cuestión ya ha sido considerada al determinar la cuantía de la multa que se impone. Se rechaza, en cambio, la ausencia de perjuicio alguno sufrido por el reclamante. La vulneración del artículo 15 del RGPD, aunque afecte a un solo individuo, puede tener carácter grave, especialmente si la negativa es injustificada o reiterada, como en el presente caso. Además, el RGPD no condiciona la gravedad de la infracción de forma exclusiva al daño causado, lo relevante es la infracción objetiva de un derecho reconocido, lo cual ocurrió en este caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/34 Se considera la falta de acciones concretas por parte de EUSKALTEL para obtener los datos solicitados y el hecho de que EUSKALTEL actúa como responsable del tratamiento en un sector altamente sensible al tratamiento masivo de datos personales. Asimismo, la reiterada negativa a facilitar la información completa solicitada prolongó la vulneración durante meses. Esta prolongación en el tiempo constituye en sí misma un perjuicio relevante, pues vacía de contenido efectivo el derecho reconocido en el artículo 15 del RGPD y determina la gravedad de la infracción. 2.2. Sobre la intencionalidad o negligencia (art. 83.2.b RGPD) Se estima la alegación sobre la falta de intencionalidad en la conducta de EUSKALTEL, considerando que, si bien mostró discrepancias respecto del alcance del derecho de acceso reconocido por esta AEPD en la resolución que decidió el procedimiento de derechos promovido por la parte reclamante, la citada entidad respondió todos los requerimientos que le fueron formulados en ejecución de aquella resolución. 2.3 Sobre la vinculación de la actividad con el tratamiento de datos (art. 76.2.b LOPDGDD) Al aplicar este agravante no se trata de penalizar el sector, sino de valorar la especial responsabilidad de EUSKALTEL. Concretamente, este agravante no se aplica por el mero hecho de pertenecer a un sector, sino por la especial profesionalidad exigible a quien desarrolla una actividad donde los datos personales son objeto de tratamiento de forma constante y cuando, como en este caso, la infracción está relacionada directamente con la actividad principal de la reclamada. En el caso de EUSKALTEL, su modelo de negocio exige un tratamiento sistemático, constante y central de datos personales, por lo que la especial responsabilidad es innegable. Las Directrices 04/2022 no excluyen esta consideración, el Comité Europeo de Protección de Datos (EDPB) no descarta el uso de este agravante; al contrario, señala que debe evaluarse la escala y la naturaleza de la actividad del responsable del tratamiento. 3. Sobre la supuesta desproporcionalidad de la sanción y aplicación de atenuantes. La proporcionalidad exige que la multa sea adecuada, necesaria y proporcionada a la gravedad. Las circunstancias tenidas en cuenta para la fijación del importe de la sanción han sido convenientemente motivadas. Los Tribunales de Justicia en numerosas sentencias han señalado que el principio de proporcionalidad no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente previstos, debe ser ponderando en todo caso con las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/34 entre los hechos imputados y la responsabilidad exigida, dado que toda sanción, debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras. Pues bien, de conformidad con las circunstancias que concurren en el presente caso, las cuales han sido evaluadas convenientemente, la presente resolución no vulnera el principio de proporcionalidad en la determinación de las sanciones impuestas, resultando ponderada y proporcionada a la gravedad de la infracción cometida, la importancia de los hechos. Se tiene en cuenta que la cuantía a la que pueden ascender dichas sanciones de conformidad con el art. 83.6 del RGDP, que prevé para la infracción del artículo 58.2 del RGDP, “multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” En el presente caso, la entidad investigada es una gran empresa dentro de su sector de actividad; de conformidad con el hecho probado vigésimo primero, su volumen de negocio durante el ejercicio de 2023 ascendió a 463.434.000 euros, resultando que la multa impuesta por la infracción del artículo 58.2 del RGPD asciende a la cantidad de 100.000 euros que estaría en el tramo inferior de la posible multa administrativa que pudiera imponerse al responsable del tratamiento y muy lejos del 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior teniendo en consideración el volumen de negocio. La sanción que se impone a EUSKALTEL, de 100.000 euros, representa únicamente un 0,086% del volumen de negocio, muy por debajo del límite máximo del 4% que permite el artículo 83.6 del RGPD. Esta diferencia evidencia que la cuantía fijada no penaliza de manera desmedida a la entidad, sino que se sitúa en un rango moderado, atendiendo a la gravedad de la infracción, la prolongación de la vulneración y la especial responsabilidad derivada del sector en el que opera, pero manteniendo la proporcionalidad respecto a su capacidad económica. No se ha acreditado ninguna causa eximente ni atenuante aplicable, sin que la mera adhesión a códigos de conducta exima de responsabilidad. Tampoco lo hace la inexistencia de beneficio directo, ya que la finalidad de las sanciones es disuasoria, no compensatoria. Sobre las circunstancias atenuantes invocadas por EUSKALTEL: Inexistencia de categorías especiales de datos: Los datos personales implicados en la infracción son de naturaleza sensible y merecen una especial protección, tal y como expresa el Comité Europeo de Protección de Datos en las Directrices 04/2022 sobre el cálculo de las sanciones administrativas bajo el RGPD:  “Categorías de datos personales afectados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/34 58. En cuanto al requisito de tener en cuenta las categorías de los datos personales afectados [artículo 83, apartado 2, letra g), del RGPD], el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicaciones privadas, números de identificación nacionales o datos financieros, como resúmenes de operaciones o números de tarjetas de crédito).”. Colaboración con la Agencia: El cumplimiento obligatorio de una resolución administrativa no puede considerarse colaboración, que ha de ser en todo caso voluntaria. Tampoco la respuesta de la reclamada a los requerimientos de esta AEPD no es encuadrable en esta circunstancia atenuante.  Adhesión a códigos de conducta: No exonera, ni reduce automáticamente por sí mismo la responsabilidad. En todo caso, el ámbito de aplicación de los códigos de conducta invocados por EUSKALTEL (Código de Conducta para la Resolución de Controversias en materia de Protección de Datos en el Sector de las Comunicaciones Electrónicas de AUTOCONTROL y Código de Conducta para el Tratamiento de Datos en la Actividad Publicitaria de AUTOCONTROL) es ajeno a los hechos que motivan las presentes actuaciones.  Ausencia de beneficio: Tanto el RGPD como la LOPDGDD mencionan como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos.  En conclusión, no concurre ninguna causa eximente ni atenuante aplicable al presente caso para reducir o eliminar la sanción impuesta, habiéndose motivado suficientemente las circunstancias que se han tenido en cuenta para determinar el importe de la sanción. Por todo ello, la sanción impuesta cumple con el principio de proporcionalidad. Por todo lo expuesto, la presente alegación queda desestimada. III Sobre el incumplimiento de la resolución del PD/00197/2023 En este caso nos encontramos con que el interesado ejerce su derecho de acceso frente al operador de telefonía con denominación comercial “VIRGIN”, titularidad de la empresa EUSKALTEL S.A. Como la parte reclamada informa, VIRGIN es un operador de telefonía, que en la prestación del servicio telefónico móvil se caracteriza por ser un “operador móvil virtual”. Este tipo de operadores no posee una concesión de espectro de frecuencia (dominio público radioeléctrico), y por tanto carece de una red propia de radio. Para dar servicio, recurren a la cobertura de red de otra empresa con red propia con la que celebran un contrato. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/34 Por lo tanto, inicialmente es cierto que este tipo de operadores podrían no disponer de datos de la geolocalización de los terminales móviles desde los que se efectúan las llamadas o las conexiones, ya que no disponen de una red telefónica móvil propia. No obstante, como se hizo constar en la resolución del recurso de reposición reflejado en los antecedentes, la Ley 25/2007 de 18 de octubre indica que este tipo de datos deben ser conservados por todos los operadores de servicios de comunicaciones electrónicas, Por lo tanto, EUSKALTEL, como sujeto obligado a conservar los datos de acuerdo con el art 2 de la Ley 25/2007, tiene el deber de conservar los datos de localización, según lo establecido en el artículo 3.1.
10. f)de dicha norma, “Datos objetos de conservación”, el cual establece que: “los datos necesarios para identificar la localización del equipo de comunicación móvil: 1.° La etiqueta de localización (identificador de celda) al inicio de la comunicación. 2.° Los datos que permiten fijar la localización geográfica de la celda, mediante referencia a la etiqueta de localización, durante el período en el que se conservan los datos de las comunicaciones.” Conforme al artículo 7 de la mencionada ley “1. Los operadores estarán obligados a ceder al agente facultado los datos conservados a los que se refiere el artículo 3 de esta Ley concernientes a comunicaciones que identifiquen a personas, sin perjuicio de la resolución judicial prevista en el apartado siguiente.”. Y es que cuando los agentes facultados necesitan disponer de un dato de localización para la realización de sus investigaciones, se dirigen previa autorización judicial al operador obligado con el que ha contratado el cliente (es un dato de fácil acceso para ellos). Y si para contestar al requerimiento, un operador móvil virtual precisa acudir al operador de red con el que ha contratado para acceder a los datos, así lo hará para poder ceder los datos a los agentes facultados. Es decir, la investigación no puede verse retrasada o entorpecida en caso de que el operador original remitiera a su vez a un segundo operador para que la investigación policial pudiera continuar. De este modo, en ejecución de lo previsto en la Ley 25/2007, los operadores móviles virtuales disponen de un mecanismo de comunicación con sus operadores de red que les permiten tener acceso, cuando sea necesario, a los datos de geolocalización de sus abonados, sin que este mecanismo suponga lo que el artículo 6 de la Ley 25/2007 una “cesión de datos”, ya que son datos respecto a los que EUSKALTEL tiene la consideración de responsable del tratamiento. Este tipo de mecanismo, a su vez, les permite contestar a las solicitudes relativas al ejercicio del derecho de acceso a sus datos que al efecto le hagan sus clientes, concretamente, cuando la petición se formule por el usuario del número de teléfono en cuestión. En la resolución del PD/00197/2023 se requería a la entidad reclamada para que, en el plazo de los diez días hábiles siguientes a la notificación de esta resolución, se atendiese la solicitud de la parte reclamante en el ejercicio del derecho de acceso o se denegase motivadamente indicando las causas por las que no procedía atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución, esto es, garantizando que los datos personales que le conciernen se den al usuario de la línea telefónica, que puede ser o no el titular de la línea. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/34 También se le requería para que las actuaciones realizadas como consecuencia del expediente PD/00197/2023 fueran comunicadas a esta Agencia en idéntico plazo y se señalaba que el incumplimiento de esta resolución podría comportar la comisión de la infracción tipificada en el art. 83.6 y prevista, a los solos efectos de su prescripción, en el artículo 72.1.
11. m)de la LOPDGDD. La entidad reclamada no ha acreditado, respecto a la resolución indicada, que haya dado respuesta a la solicitud de ejercicio de derechos que le fue presentada por la parte reclamante. Tampoco consta en esta Agencia que haya notificado actuación alguna en el sentido indicado IV Obligación incumplida De conformidad con las evidencias de las que se dispone en la presente resolución, se considera que la parte reclamada ha incumplido la resolución de la Agencia Española de Protección de Datos. Por tanto, los hechos descritos en el apartado “HECHOS PROBADOS” se estiman constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 58.2.
12. d)del RGPD, que dispone lo siguiente: "2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
13. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; Por tanto, de conformidad con las evidencias de las que se dispone en esta resolución, se considera que los hechos conocidos son constitutivos de una infracción, imputable a EUSKALTEL, por vulneración del artículo transcrito anteriormente. V Tipificación de la infracción y calificación a efectos de prescripción El artículo 83.6 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: “el incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2.” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/34 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
14. m)El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679." VI Sanción a imponer A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
15. a)a
16. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
17. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
18. b)la intencionalidad o negligencia en la infracción;
19. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
20. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
21. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
22. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
23. g)las categorías de los datos de carácter personal afectados por la infracción;
24. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/34
25. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
26. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
27. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
28. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
29. a)El carácter continuado de la infracción.
30. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
31. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
32. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
33. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
34. f)La afectación a los derechos de los menores.
35. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
36. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En este caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en la parte reclamante, procedería la imposición de multa, además de la adopción de medidas. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, la condición de gran empresa y el volumen de negocio de EUSKALTEL de 463.434.000 euros en el año 2023. En primer término, se tiene en cuenta la categoría de la infracción cometida, comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con la mayor gravedad en su apartado 6, castigando la conducta con una multa máxima de 20 millones de euros o, tratándose de una empresa, con una multa por una cuantía equivalente al 4% como máximo de su volumen de negocio anual. Según el citado precepto, al establecer el importe máximo aplicable debe optarse por el límite de mayor cuantía, de los dos fijados por la norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/34 En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el año 2023 a 463.434.000 euros, el importe de la multa que procede imponer estará necesariamente situado entre 0,00 euros y 18.537.360 euros. De acuerdo con los preceptos transcritos, a efectos de fijar el importe final de la sanción a imponer en el presente caso por la infracción de la que se responsabiliza a EUSKALTEL, tipificada en el artículo 83.6 del RGPD, se estiman concurrentes los siguientes factores: 1. Como elementos determinantes del nivel de gravedad de la infracción, se toman en consideración las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): se tiene en cuenta que el incumplimiento de lo acordado por la AEPD, en tanto que autoridad de control en materia de protección de datos, pone en cuestión todo el sistema previsto en el RGPD para procurar el cumplimiento normativo. Por otra parte, interesa valorar, por un lado, la duración de la infracción, considerando que con fecha 23 de febrero de 2023 se dictó la resolución que desestimó el recurso interpuesto por EUSKALTEL contra la resolución que ordenó la atención del derecho de acceso, sin que hasta la fecha se haya dado cumplimiento a dicho acuerdo, y, por otro lado, que la infracción únicamente tiene efecto respecto de la parte reclamante. Asimismo, se considera el siguiente factor de graduación en calidad de agravante:  La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): EUSKALTEL, como uno de los principales operadores de telecomunicaciones, realiza tratamientos de datos personales de sus clientes de forma sistemática en el desarrollo de su actividad empresarial. En la actividad que desarrolla la parte reclamada es imprescindible el tratamiento de datos de carácter personal consecuencia de su objeto, por lo que la transcendencia de la conducta objeto de la presente reclamación es innegable. Además, el tratamiento de datos por el que se sanciona se lleva a cabo en el desarrollo de la actividad principal de la parte reclamada. Esta circunstancia, con carácter general, tiene transcendencia como agravante. Así lo ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024 cuando declara: “En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra de negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las circunstancias concurrentes, tomando en consideración su volumen de negocio y su vinculación con el tratamiento de datos personales atendiendo el número de personas que prestan servicio como empleados en… y su actividad”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/34 El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 58.2 del RGPD, permite imponer una sanción de multa administrativa de 100.000,00 euros (cien mil euros). VII Medidas correctivas Confirmada la infracción, de acuerdo con lo establecido en el citado artículo 58.2.
37. c)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento…” en la resolución que se adopte, se podrá requerir a EUSKATEL la adopción de las medidas para que adecúe su actuación a la normativa de protección de datos personales. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con los hechos probados de la presente resolución de procedimiento sancionador, se requiere a EUSKALTEL para que, en el plazo de TRES MESES, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Adopte las medidas adecuadas y establezca los protocolos precisos para poder atender los derechos de acceso a los datos de geolocalización de las líneas de telefonía móvil que puedan formular los titulares de dichos datos personales. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/34 PRIMERO: IMPONER a EUSKALTEL, S.A., con NIF A48766695, por una infracción del Artículo 58.2 del RGPD, tipificada en el Artículo 83.6 del RGPD, una multa de 100.000,00 euros (cien mil euros). SEGUNDO: ORDENAR a EUSKALTEL, S.A., con NIF A48766695, que en virtud del artículo 58.2 del RGPD, en el plazo máximo de 3 meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas impuestas con el alcance indicado en el Fundamento de Derecho VII. TERCERO: NOTIFICAR la presente resolución a EUSKALTEL, S.A. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
38. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/34 Finalmente, se señala que conforme a lo previsto en el art. 90.3
39. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es