1/12 Procedimiento nº.: PS/00175/2015 ASUNTO: Recurso de Reposición Nº RR/00808/2015 Examinado el recurso de reposición interpuesto por la entidad SERVICIOS TELEFONICOS DE AUDIOTEX, S.L. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00175/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 15 de septiembre de 2015, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00175/2015, en virtud de la cual se imponía a la entidad SERVICIOS TELEFONICOS DE AUDIOTEX, S.L., fusionada por unión con la mercantil PANGEA, anteriormente denominada World Premium Rates, S.A. (WPR), una sanción de 50.000 euros (cincuenta mil euros), por la vulneración de lo dispuesto en el artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.h), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 17/09/2015, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00175/2015, quedó constancia de los siguientes: <<1. Corporación Financiera e Hipotecaria, S.L. ofrece sus servicios en la página web <www.infomorosos.com>, debiendo los clientes registrarse a través del formulario dispuesto en esta página de internet. Dichos servicios son básicamente de asesoramiento y gestión de solicitudes ante empresas que gestionan ficheros de información sobre solvencia patrimonial y crédito. Estos servicios se cobran a través de líneas de tarificación especial que la citada entidad utiliza para la comunicación con los clientes (líneas 807). En julio de 2013 y hasta el 24/12/2013 el número de teléfono de tarificación especial asignado a esta compañía era el 807*****1, contratado con el operador WPR. 2. Corporación Financiera e Hipotecaria, S.L. informó a los Servicios de Inspección de la AEPD, que, al menos hasta el 11/09/2014, se detectaron accesos no autorizados por terceros a los datos de los números de líneas de telefonía que llaman a la entidad, desde la mercantil WPR, y que dicha información fue utilizada para enviar SMS´s ofreciendo servicios similares a los que ofrece Coordinadora Financiera e Hipotecaria, S.L. Los números de móvil accedidos fueron los que constan en el operador WPR, por haber contactado con Coordinadora Financiera e C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Hipotecaria, S.L., no los facilitados por el cliente en el proceso de registro de sus datos mediante el formulario insertado en la web de la última entidad citada. Corporación Financiera e Hipotecaria, S.L. tiene constancia de intentos de acceso no autorizados los días 11 y 12/09/2014, según datos facilitados por WPR. Según Coordinadora Financiera e Hipotecaria, S.L., todos los mensajes SMS´s son emitidos por móviles diferentes y solicitan llamar a teléfonos de tarificación adicional: 807*****2, 807*****3, 807*****4, 807*****5, 807*****6 y 807*****7, ofreciendo servicios de créditos, consultas de Asnef y tarot. Coordinadora Financiera e Hipotecaria, S.L. aportó a los Servicios de Inspección el detalle de los contactos mantenidos por esa entidad con el Jefe de Sistemas de WPR, designado por ésta para resolver la incidencia detectada, mediante mensajes telefónicos y correo electrónico. Según las manifestaciones realizadas por el representante de WPR, consta acreditado que se produjeron accesos no autorizados por parte de terceros a los registros de llamadas (CDRs) de WPR y que estos accesos cesaron el 11/09/2015 después de que por parte de esta entidad se modificaran las claves de acceso, constando varios intentos los días 11 y 12/09/2014. Asimismo, consta en dicha documentación que WPR no disponía de un sistema de logs para identificar los accesos a los CDRs y que esta deficiencia fue subsanada durante el proceso de examen de la incidencia reseñada. 3. Con fecha 24/07/2013, la denunciante se registró en la página web <www.informorosos.com>, y realizó dos llamadas desde su número C.C.C., contratado con la operadora PEPEPHONE, al número de Atención al Ciudadano 807*****1, a las 16:58 y 17:02 horas. 4. Con fecha 02/10/2014, la denunciante formuló denuncia ante la AEPD por la recepción en su línea de telefonía móvil C.C.C. de los mensajes SMS que se detallan a continuación, en las fechas y con el contenido que se indican: . Recibido a las 12:38:04 horas del día 18/09/2014; remitente +34***TEL.1; Publi: YA LO TENEMOS PREPARADO PARA SACARTE DE LOS FICHEROS DE MOROSIDAD RAI/ASNEF POR FAVOR LLAMANOS AHORA PARA CONTINUAR TU GESTOR TE ESPERA 807*****7 may18. . Recibido a las 20:18:16 horas del día B.B.B.; remitente +34***TEL.2; Publi: EL GESTOR DE TU CASO REQUIERE D TU ATENCION PARA ELIMINARE DE LOS FICHEROS DE MOROSIDAD RAI/ASNEF YA ESTA TODO LISTO POR FAVOR LLAMANOS AHORA MISMO 807*****7. . Recibido a las 18:37:39 horas del día 22/09/2014; remitente +34***TEL.3; Publi: EL GESTOR DE TU EXPEDIENTE DE AYUDA FRENTE A MOROSIDAD DEL RAI/ASNEF NECESITA DARE UNA INFORMACION RELEVANTE POR FAVOR LLAMANOS AL 807*****7 mayor 18. . Recibido a las 10:54:56 horas del día 25/09/2014; remitente +34***TEL.4; Publi: ENHORABUENA Tienes PRECONCEDIDO un Microcrédito Garantizado hasta 6000e NO IMPORTA RAI ASNEF sin pago cuotas mensuales LLAMANOS AL 807*****7 mayor 18a . Recibido a las 14:21:06 horas del día A.A.A.; remitente +34***TEL.5; Publi: YA ESTA SOBRE TU CREDITO PRECONCEDIDO Y LA EXCLUSION DE FICHEROS RAI Y ASNEF YA LO TENEMOS PREPARADO PARA ENVIAR LLAMANOS AL 807*****7 y lo terminamos!!. . Recibido a las 14:27:23 horas del día A.A.A.; remitente +34***TEL.6; Publi: YA ESTA SOBRE TU CREDITO PRECONCEDIDO Y LA EXCLUSION DE FICHEROS RAI Y ASNEF YA LO TENEMOS PREPARADO PARA ENVIAR LLAMANOS AL 807*****7 y lo terminamos!!. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 De los seis mensajes SMS denunciados, la entidad PEPEPHONE ha confirmado la recepción de los tres siguientes: . El B.B.B., a las 20:18h, remitente +34***TEL.2. . El A.A.A., a las 14:20h, remitente +34***TEL.5. . El A.A.A., a las 14:26h, remitente +34***TEL.6. 5. El prestador de servicio de la línea 807*****7, desde el 06/08/2014 hasta el 28/01/2015, fue la sociedad PAINT TECHNOLOGY PROJECT, S.L…>>. TERCERO: Con fecha 15/10/2015, dentro del plazo establecido, se ha interpuesto recurso de reposición por la entidad SERVICIOS TELEFONICOS DE AUDIOTEX, S.L. (en lo sucesivo AUDIOTEX), en el que reproduce casi literalmente su escrito de alegaciones a la propuesta de resolución, cuyo contenido consta reseñado en el Antecedente Decimosegundo de la resolución impugnada en los términos siguientes: <<DECIMOSEGUNDO: AUDIOTEX, por su parte, presentó escrito de alegaciones en el que reitera sus alegaciones anteriores sobre la no aplicación al presente supuesto de la normativa de protección de datos personales y la errónea valoración de los hechos que motivan la propuesta de resolución elaborada. En primer término, niega el tratamiento por parte de AUDIOTEX de datos personales de los usuarios del servicio de Coordinadora Financiera de Hipotecaria SL, señalando que su actuación se limita a la provisión de una numeración telefónica para que ésta entidad prestara un servicio de tarificación adicional. Se trata pues de un mero servicio de telecomunicaciones que no trata otro dato que el número de teléfono -fijo o móvil- del llamante y la fecha y duración de la llamada, cuya identidad es completamente desconocida para mi representada. La propuesta de resolución invoca el artículo 81.4 del reglamento LOPD, que debe interpretarse en el sentido de que las medidas de seguridad a que se refiere solo son exigibles y deben aplicarse a los ficheros de tráfico y localización cuando éstos contengan datos de carácter personal, considerando que el ámbito de aplicación de la LOPD se limita a los ficheros que contengan tales datos y las medidas de seguridad solo se aplican los ficheros que los contienen. Del mismo modo, el artículo 81.4 del Reglamento se refiere también a los ficheros o tratamientos de datos de carácter personal. Por tanto, considera AUDIOTEX que, en aplicación del principio de jerarquía normativa, no es admisible que el reglamento extienda el ámbito de aplicación de la Ley a ficheros que no contengan datos personales. Por otra parte, manifiesta que el citado artículo 81.4 del Reglamento debe ponerse en relación con el artículo 65 del Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios, aprobado por Real Decreto 424/2005, de 15 de abril, que establece la obligación de los operadores de eliminar o hacer anónimos los datos de carácter personal sobre el tráfico referidos a una comunicación y relacionados con los usuarios y los abonados que hayan sido tratados y almacenados para establecer una comunicación, en cuanto ya no sean necesarios a los efectos de su transmisión, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 sin perjuicio de lo dispuesto en los apartados siguientes, al igual que los datos necesarios para realizar la facturación y los pagos de las interconexiones. Por tanto, del mismo modo que puede existir un fichero de datos de tráfico con datos personales de los usuarios, puede existir ese fichero sin los datos personales, tras un proceso en el que hacen anónimos los datos de tráfico. En el primer caso se encuentran generalmente los operadores con red de acceso, es decir todos los operadores de telecomunicaciones que mantienen contratos con usuarios particulares, además de empresas. AUDIOTEX no es un operador de acceso, sino un operador de terminación, es decir, dispone de una red de terminación donde el operador de acceso termina la llamada, en este caso del 807. Como tal operador de terminación, los datos de tráfico que recibe le son entregados directamente por el operador de acceso, y estos datos no contienen información personal de los abonados que realizan las llamadas, tan solo la identificación del número llamante, la fecha y hora de la llamada y su duración. Una vez recibida la llamada, AUDIOTEX la encamina a sus clientes finales, que son siempre personas jurídicas, como Coordinadora Financiera e Hipotecaria S.L. En definitiva, se incumple el principio de tipicidad por cuanto el artículo 44.3
- h)de la LOPD se refiere exclusivamente a “los ficheros, locales, programas o equipos que contengan datos de carácter personal”. Finalmente, advierte AUDIOTEX que el acceso no autorizado solo aparece mencionado en el informe “interno” de Coordinadora Financiera e Hipotecaria y que la actividad inspectora se ha limitado a dar por cierto el citado informe sin verificar ninguno de los aspectos que en el mismo se contienen, ni la veracidad de las afirmaciones del mismo. Por otra parte, las conversaciones o mensajes intercambiados entre Coordinadora y el Jefe de Sistemas de mi representada -cuyo contenido expresamente se impugna- no pueden constituir prueba alguna de la comisión de hechos constitutivos de una hipotética infracción, cuando no se ha verificado su autenticidad. La propuesta no niega la existencia e implantación del control de accesos, pero considera cometida la infracción por el mero hecho de la “constatación de accesos no autorizados” validando, una vez más, el “informe” de la mercantil Coordinadora Financiera e Hipotecaria, sin considerar siquiera la posibilidad de que el acceso no autorizado tuviera origen en una infracción del deber de custodia que incumbe a la misma respecto de las claves de acceso. En cuanto a la imputación de que no se mantienen registros de acceso, señala que se trata de una acusación infundada, pues tales registros o “logs” si existen, recogiendo en ellos la dirección IP desde la que se accede, así como el nombre de usuario y la contraseña...>>. Así, el escrito de recurso presentado se limita a señalar que la resolución impugnada carece de motivación material y que omite los argumentos puestos de manifiesto por AUDIOTEX durante el procedimiento, en concreto, las relativas a la ausencia de tratamientos de datos personales (el número de teléfono, desprovisto de cualquier otro elemento, no es un dato personal) y la inaplicabilidad del artículo 81.4 del Reglamento de desarrollo de la LOPD a los ficheros de tráfico. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En los Fundamentos de Derecho VI a VIII de la Resolución recurrida, R/02359/2015, de 15/09/2015, en la que se considera que la entidad AUDIOTEX incumplió lo dispuesto en el artículo 9 de la LOPD, se indica lo siguiente: <<VI Se imputa a la entidad AUDIOTEX, fusionada por unión con la mercantil PANGEA, anteriormente denominada World Premium Rates, S.A. (WPR), el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. (…) La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. (…) Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal contenidos en los registros de llamadas de los que es responsable la entidad AUDIOTEX, procediendo adoptar las correspondientes al nivel de seguridad alto en relación con el registro de accesos, en atención al tipo de información que contiene, tal como se especifica en los artículos 80 y 81 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 El citado artículo 81 del Reglamento de desarrollo de la LOPD, en su apartado 4, establece lo siguiente: “4. A los ficheros de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización, se aplicarán, además de las medidas de seguridad de nivel básico y medio, la medida de seguridad de nivel alto contenida en el artículo 103 de este reglamento”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91, 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, y el artículo 103 del mismo Reglamento, aplicable a los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico, establecen: “Artículo 91. Control de acceso…”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación…”. El artículo 5.2.
- b)del citado Reglamento define la “autenticación” como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la “identificación” como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. “Artículo 103. Registro de accesos. 1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. 2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido. 3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos. 4. El período mínimo de conservación de los datos registrados será de dos años. 5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 detectados. 6. No será necesario el registro de accesos definido en este artículo en caso de que concurran las siguientes circunstancias:
- a)Que el responsable del fichero o del tratamiento sea una persona física.
- b)Que el responsable del fichero o del tratamiento garantice que únicamente él tiene acceso y trata los datos personales. La aplicación de la normativa de protección de datos de carácter personal a los datos de tráfico se establece expresamente en la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. En los artículos 1, 2 y 8 de esta Ley se establece lo siguiente: “Artículo 1 Objeto de la Ley 1. Esta Ley tiene por objeto la regulación de la obligación de los operadores de conservar los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación, así como el deber de cesión de dichos datos a los agentes facultados siempre que les sean requeridos a través de la correspondiente autorización judicial con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales. 2. Esta Ley se aplicará a los datos de tráfico y de localización sobre personas físicas y jurídicas y a los datos relacionados necesarios para identificar al abonado o usuario registrado. 3. Se excluye del ámbito de aplicación de esta Ley el contenido de las comunicaciones electrónicas, incluida la información consultada utilizando una red de comunicaciones electrónicas”. “Artículo 2 Sujetos obligados Son destinatarios de las obligaciones relativas a la conservación de datos impuestas en esta Ley los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones, en los términos establecidos en la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones”. “Artículo 8 Protección y seguridad de los datos 1. Los sujetos obligados deberán identificar al personal especialmente autorizado para acceder a los datos objeto de esta Ley, adoptar las medidas técnicas y organizativas que impidan su manipulación o uso para fines distintos de los comprendidos en la misma, su destrucción accidental o ilícita y su pérdida accidental, así como su almacenamiento, tratamiento, divulgación o acceso no autorizados, con sujeción a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en su normativa de desarrollo. 2. Las obligaciones relativas a las medidas para garantizar la calidad de los datos y la confidencialidad y seguridad en el tratamiento de los mismos serán las establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y su normativa de desarrollo. 3. El nivel de protección de los datos almacenados se determinará de conformidad con lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, y en su normativa de desarrollo. 4. La Agencia Española de Protección de Datos es la autoridad pública responsable de velar por el cumplimiento de las previsiones de la Ley Orgánica 15/1999, de 13 de diciembre, y de la normativa de desarrollo aplicables a los datos contemplados en la presente Ley”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 En definitiva, la entidad AUDIOTEX, que interviene en los hechos en su condición de operador de servicios de comunicaciones, está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, al haberse constatado que terceros no autorizados consiguieron acceder a los registros de llamadas de los que es responsable AUDIOTEX, obteniendo información, concretamente, los números de líneas de teléfono, fijo o móvil, de personas que habían contactado con la entidad Corporación Financiera e Hipotecaria, S.L. a través del número de tarificación adicional contratado por la misma con la prestador de servicios AUDIOTEX. Corporación Financiera e Hipotecaria, S.L. ofrece sus servicios en la página web <www.infomorosos.com>, debiendo los clientes registrarse a través del formulario dispuesto en esta página de internet. Dichos servicios son básicamente de asesoramiento y gestión de solicitudes de los clientes ante las empresas que gestionan los ficheros de información sobre solvencia patrimonial, y se cobran a través de líneas de tarificación especial que la citada entidad utiliza para la comunicación con los clientes (líneas 807). En julio de 2013 y hasta el 24/12/2013 el número de teléfono de tarificación especial asignado a esta compañía era el 807*****1, contratado con el operador WPR, actualmente AUDIOTEX. Los números de móvil accedidos fueron los que constan en el operador WPR, por haber contactado con Coordinadora Financiera e Hipotecaria, S.L., no los facilitados por en el proceso de registro de sus datos mediante el formulario insertado en la web de la última entidad citada. Consta acreditado que se produjeron accesos no autorizados por parte de terceros a los registros de llamadas (CDRs) de WPR y que estos accesos cesaron el 11/09/2015 después de que por parte de esta entidad se modificaran las claves de acceso. Con posterioridad al cambio de las contraseñas, se tiene constancia de varios intentos de acceso no autorizados los días 11 y 12/09/2014, según datos facilitados por AUDIOTEX. Asimismo, consta que AUDIOTEX no disponía de un sistema de logs para identificar los accesos a los CDRs y que esta deficiencia fue subsanada durante el proceso de examen de la incidencia reseñada. (…) Por otro lado, el hecho, también acreditado, de que AUDIOTEX no dispusiera de un control de accesos a los registros de llamadas supone igualmente un incumplimiento de lo establecido en el artículo 9 de la LOPD, en relación con el artículo 103 del Reglamento de desarrollo de dicha Ley Orgánica, que el artículo 81 del mismo Reglamento declara expresamente aplicable a los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico. Conforme a lo dispuesto en el citado artículo 103, AUDIOTEX está obligada a guardar, de cada intento de acceso, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado; así como el registro accedido, en el caso de accesos autorizados. Asimismo, se establece la obligación de revisar, al menos mensualmente, la información de control registrada y de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 elaborará un informe de las revisiones realizadas y los problemas detectados. Todas estas normas fueron incumplidas por AUDIOTEX, y ello pudo impedir que fueran detectados a tiempo los accesos y evitados, en lo posible, los efectos consiguientes. Dado que ha existido una vulneración del “principio de seguridad de los datos”, se considera que AUDIOTEX ha incurrido en la infracción grave descrita. (…) VII El artículo 44.3.
- h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que AUDIOTEX ha incurrido en la infracción grave descrita>>. III El presente supuesto analiza las obligaciones de protección y seguridad que han de aplicarse a los registros de llamadas de los que es responsable la entidad AUDIOTEX. Corresponde adoptar las medidas previstas en la LOPD y su Reglamento de desarrollo respecto a los datos tratados en cumplimiento de lo dispuesto en la Ley 25/2007, de 18 de octubre, de Conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. Esta norma circunscribe su objeto a la determinación de la obligación de conservar los datos generados o tratados en el marco de una comunicación de telefonía fija o móvil, o realizada a través de una comunicación electrónica de acceso público o mediante una red pública de comunicaciones, con fines de detección, investigación y enjuiciamiento de un delito contemplado en el Código Penal o las leyes penales especiales, con los requisitos y cautelas que la propia Ley establece. Según consta en su Preámbulo, en esta norma también se precisan las limitaciones sobre el tipo de datos a retener, que son los necesarios para identificar el origen y destino de la comunicación, incluidos los datos personales identificativos de los usuarios o abonados de ambos (nombre y dirección), tanto relativos a personas físicas como personas jurídicas, pero nunca datos que revelen el contenido de la comunicación. Igualmente, la Ley impone la obligación de conservación de datos que permitan determinar el momento y duración de una determinada comunicación, su tipo, así como datos necesarios para identificar el equipo de comunicación empleado y, en el caso de utilización de un equipo móvil, los datos necesarios para su localización. En relación con los sujetos que quedan obligados a conservar los datos, éstos serán los operadores que presten servicios de comunicaciones electrónicas disponibles al público, o que exploten una red pública de comunicaciones electrónicas en España. AUDIOTEX, que interviene en los hechos como operador del servicio de red de tarificación adicional, se encuentra efectivamente sujeta al marco establecido en la mencionada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 Ley 25/2007, debiendo, en consecuencia, proceder a la conservación de los datos de tráfico a los que se refiere la citada Ley con la finalidad expresada en su artículo 1 y a aplicar sus previsiones. En relación con la protección y seguridad de los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o redes públicas de comunicación, el artículo 8 de la Ley 25/2007, antes transcrito, obliga a los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones a “adoptar las medidas técnicas y organizativas que impidan su manipulación o uso para fines distintos de los comprendidos en la misma, su destrucción accidental o ilícita y su pérdida accidental, así como su almacenamiento, tratamiento, divulgación o acceso no autorizados, con sujeción a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en su normativa de desarrollo”. De acuerdo con este artículo, AUDIOTEX está obligada a adoptar las medidas de seguridad establecidas en la LOPD correspondientes al nivel de protección exigible a los datos de tráfico, conforme al detalle expuesto en el Fundamento de Derecho anterior. El incumplimiento de estas medidas de seguridad también aparece regulado en la Ley 25/2007, que en su artículo 10 tipifica como infracción grave “el incumplimiento deliberado de las obligaciones de protección y seguridad de los datos establecidas en el artículo 8” o como infracción leve en otros casos, correspondiendo igualmente la competencia sancionadora a esta Agencia Española de Protección de datos, que aplicará el régimen sancionador establecido en la Ley General de Telecomunicaciones (artículo 10.3 de la Ley 25/2007). IV Nos encontramos ante un conflicto o concurso de normas, que se plantea cuando un concreto supuesto de hecho es subsumible en varios preceptos, con soluciones distintas en cada uno de ellos, y que debe resolverse con la aplicación de solo uno de ellos que excluye al otro. En el presente caso, el incumplimiento de las obligaciones de protección y seguridad que deben implantarse en exigibles de los ficheros de datos de tráfico, en concreto, las medidas de seguridad de nivel básico y medio establecidas en los artículos 89 a 100 del Reglamento de desarrollo de la LOPD, y la medida de seguridad de nivel alto regulada en el artículo 103 del mismo reglamento, referida al registro de accesos, se tipifica como infracción administrativa en los citados artículos 44.3.
- h)de la LOPD y artículo 10 de la Ley 25/2007, con el alcance indicado anteriormente en cada caso. Este conflicto de leyes debe resolverse mediante la aplicación del principio genérico de especialidad normativa, según el cual, el precepto especial ha de aplicarse con preferencia al general, que se ajusta menos al supuesto analizado. El artículo 8 del Código Penal (“Concurso aparente de normas penales”) establece en su apartado 1 que “los hechos susceptibles de ser calificados con arreglo a dos o más preceptos de este código, y no comprendidos en los artículos 73 a 77, se castigarán observando las siguientes reglas: 1º) el precepto especial se aplicará con preferencia al general”. Así se pronuncia el Tribunal Supremo en Sentencia de 22/09/2011, referida a un supuesto de concurso aparente de normas sancionadoras administrativas: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 <<Este conflicto de leyes debe resolverse mediante la aplicación del principio genérico de especialidad, que se desglosa en una serie de reglas que, como es sabido, en la actualidad se contienen en el art. 8 del Código Penal, y que responden a una misma idea, a saber: la de que en caso de conflicto, la norma que se ajusta más exactamente al supuesto de hecho expresa de modo más complejo la valoración que del mismo efectúa el ordenamiento jurídico y prevalece sobre la que lo contempla de manera más vaga y abstracta. Las citadas reglas o criterios para determinar la única norma aplicable son los siguientes:
- a)el criterio de especialidad (lex specialis derogat lex generalis), en virtud del cual «el precepto especial se aplicará con preferencia al general»… Conviene aclarar que la circunstancia de que tales reglas se contengan en un precepto del CP y que la LGT no efectúe una expresa remisión al mismo no implica, sin embargo, que no deban emplearse en el ámbito del procedimiento administrativo sancionador, dado que el referido art. 8 del CP no viene más que a recoger criterios de interpretación para determinar la Ley o precepto legal aplicable que ya venían siendo asumidos por la doctrina penalista y aplicados por la jurisprudencia del Tribunal Supremo En efecto, el principio de especialidad «se aplica cuando los supuestos del tipo general entran en el tipo especial, el cual contiene además cualquier otro elemento adicional (requisito o elemento especializante que constituye la razón de ser del tratamiento diferenciado), resolviéndose a favor de la aplicación de la norma especial, conforme al principio "lex specialis derogat legi generale" y ello con independencia de que la Ley especial imponga pena mayor o menor » [Sentencia de 22 de mayo de 2009 , cit., mismo FD]>>. En este caso, la norma especial será la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, según puede apreciarse claramente considerando su objeto, finalidades y sujetos obligados. Los ficheros en los que se registren los datos de tráfico están sometidos a la LOPD, respetando siempre las previsiones específicas establecidas en la citada Ley 25/2007, como las relativas al período de conservación de los datos o al régimen regulador de los derechos de acceso, rectificación, y cancelación de datos contenido en la referida Ley Orgánica. De este modo, la Ley 25/2007 ha de prevalecer sobre la LOPD, la cual únicamente se aplica a los aspectos no contemplados en aquella Ley. En consecuencia, teniendo en cuenta que la resolución impugnada declaró el incumplimiento de las medidas de seguridad establecidas en la LOPD y calificó erróneamente el supuesto como una vulneración del artículo 9 de la citada Ley Orgánica, tipificada como infracción grave en su artículo 44.3.h), e impuso las sanción establecida para estos supuestos en su propio régimen sancionador, cuando lo procedente es calificar los hechos conforme a los tipos infractores establecidos en el artículo 10 de la Ley 25/2007, imponiendo, en su caso, las sanciones previstas en la Ley General de Telecomunicaciones. Procede, por tanto, estimar el recurso de reposición interpuesto y anular la sanción impuesta en la Resolución de 15/09/2015. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR el recurso de reposición interpuesto por la entidad SERVICIOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 TELEFONICOS DE AUDIOTEX, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 15 de septiembre de 2015, en el procedimiento sancionador PS/00175/2015, indicando al sancionado que queda sin efecto la obligación de abonar la multa impuesta en la Resolución recurrida. SEGUNDO: NOTIFICAR la presente resolución a la entidad SERVICIOS TELEFONICOS DE AUDIOTEX, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es