REPOSICION-PS-00416-2019

1/27  Procedimiento nº.: PS/00416/2019 Recurso de reposición Nº RR/00662/2020 Examinado el recurso de reposición interpuesto por MIRACLIA TELECOMUNICACIONES, S.L. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00416/2019, y en base a los siguientes HECHOS PRIMERO: Con fecha 23 de noviembre de 2020, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00416/2019, en la que se acordó lo siguiente: 1. Sancionar a la entidad MIRACLIA TELECOMUNICACIONES, S.L. (en lo sucesivo MIRACLIA), por una infracción de los artículos 13 y 14 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), tipificada en el artículo 83.5.

1. b)y calificada como muy grave a efectos de prescripción en el artículo 72.
2. h)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDPGDD), con una multa por importe de 20.000 euros (veinte mil euros). 2. Sancionar a la entidad MIRACLIA, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
3. a)y calificada como muy grave a efectos de prescripción en el artículo 72.1.
4. b)de la LOPDGDD, con una multa por importe de 20.000 euros (veinte mil euros). 3. Requerir a la entidad MIRACLIA para que, en el plazo de tres meses, adecúe a la normativa de protección de datos personales las operaciones de tratamiento que realiza, la información ofrecida a sus clientes y el procedimiento mediante el que los mismos deben prestar su consentimiento para la recogida y tratamiento de sus datos personales, con el alcance expresado en el Fundamento de Derecho XII de la resolución. Tal adecuación deberá implantarse igualmente en todos los países del Espacio Económico Europeo en los que MIRACLIA opere a través de la aplicación “***APLICACIÓN.1”. Dicha resolución, que fue notificada a la recurrente en fecha 24/11/2020, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDPGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00416/2019, quedó constancia de los siguientes: <<1. La entidad MIRACLIA es propietaria de la aplicación móvil y servicio web denominada “***APLICACIÓN.1”. Esta aplicación permite a los usuarios la realización de bromas telefónicas a terceros. El usuario selecciona una broma y una “víctima”, que es contactada telefónicamente por MIRACLIA desde su propio sistema a través de un número oculto (llamada de broma), realizándose una grabación de la conversación que se pone a disposición del usuario de la aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/27 El uso de la aplicación móvil y servicios web citados se regula en el documento denominado “Términos y Condiciones de Uso del Servicio”, que se declara reproducido en este acto a efectos probatorios. Del contenido de este documento cabe destacar lo siguiente: “Al utilizar el Servicio, usted quedará vinculado por los Términos de Uso y la Política de Privacidad, aceptando expresamente su cumplimiento y entrando en vigor un contrato legal vinculante con nosotros… si usted no está de acuerdo con estos Términos de Uso y/o Política de Privacidad le recomendamos que desinstale la aplicación de su terminal. 3. Definición del servicio ***APLICACIÓN.1 es una aplicación que permite al usuario enviar bromas consistentes en un archivo de audio pregrabado vía telefónica al destino seleccionado por el usuario. El usuario podrá seleccionar entre un listado de bromas e indicar tanto la línea de destino como el horario en el que desea que el destinatario reciba la broma. Una vez realizada la broma, la aplicación tiene la funcionalidad de compartir y grabar el archivo de audio (en adelante la “Grabación”), no obstante lo cual, será requisito indispensable que el usuario cuente con el consentimiento expreso de la persona que ha recibido la broma para poder obtenerla y posteriormente hacer uso de la misma. (…) NOTA: Dado que los datos personales del destinatario de la llamada quedan almacenados única y exclusivamente en el terminal del usuario de la aplicación (cliente), en caso de que éste elimine la aplicación en su terminal o borre los datos asociados a ella en su terminal, ésta podrá dejar de funcionar en el sentido de que esa información borrada desaparece del mismo. (…) 5. Servicios de pago El uso de la aplicación puede suponer un coste… Los importes comprados caducarán tras 6 meses sin usar la aplicación. En ese momento, los contenidos del usuario podrán ser eliminados. 6. Uso de los servicios ofrecidos A través de los presentes Términos y Condiciones de Uso del Servicio, el Usuario contrata con MIRACLIA un servicio de ocio y entretenimiento que permite al Usuario enviar bromas telefónicas a un destinatario y, posteriormente, reproducir, descargar o compartir la broma. Con la aceptación de los presentes Términos y Condiciones de Uso del Servicio, el Usuario de ***APLICACIÓN.1 asume las siguientes responsabilidades: (…)
5. b)Compartir y grabar bromas El Usuario, como propietario de la grabación, es plenamente responsable de obtener el consentimiento expreso e inequívoco de la persona que ha recibido la broma, para la grabación y difusión de la misma. Las leyes permiten la grabación de cualquier conversación telefónica siempre que se cuente con el consentimiento de, al menos, una de las dos las partes intervinientes en la misma. Un usuario no podrá descargar una Grabación sin obtener el consentimiento previo del destinatario de la misma. El funcionamiento del Servicio evita que se pueda generar una Grabación si el usuario de ***APLICACIÓN.1 no acepta expresamente tal condición previa. Con el fin de compartir bromas públicamente, el Servicio requiere que la persona que comparte la broma haya obtenido el permiso para ello de todos los participantes en la llamada. MIRACLIA no se responsabiliza de las consecuencias del incumplimiento de la obtención de los consentimientos necesarios para compartir la Grabación, recayendo sobre él la obligación de indemnizar a terceros o a MIRACLIA de cualquier reclamación derivada de sus acciones. (…) 8. Limitación de responsabilidades Responsabilidades de MIRACLIA: MIRACLIA actúa únicamente como intermediario entre el emisor y el receptor de la broma. MIRACLIA no decide en ningún momento sobre la finalidad, contenido y uso del tratamiento de la grabación y, por lo tanto, no puede considerársele responsable del mismo. (…) Si el receptor de la broma (como titular del dato y ejerciendo su derecho de oposición o cancelación) o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/27 el emisor de la broma (como propietario de la grabación) solicitan a MIRACLIA la cancelación de la grabación, automáticamente la grabación se elimina de los servidores que prestan servicio a MIRACLIA. No obstante, previamente al ejercicio del derecho de oposición o cancelación por parte del receptor, la broma ha podido ser descargada en el dispositivo del Usuario, quedando ya dicha grabación fuera del alcance del MIRACLIA y, por lo tanto, la entidad no se responsabiliza del uso, divulgación, modificación que de la misma haga el Usuario. (…) 9. Protección de datos Hemos establecido una Política de Privacidad para explicar cómo recopilamos y utilizamos la información sobre usted (el usuario)…”. 2. Los Servicios de Inspección de la Agencia, con fechas 6, 9 y 12 de septiembre de 2019, realizaron unas pruebas consistentes en descargar la aplicación en un terminal móvil y proceder a su uso disponiendo la realización de llamadas de broma. Como resultado de estas actuaciones se obtuvieron las constataciones siguientes: . Durante el proceso de instalación el usuario recibe, entre otros, los mensajes siguientes: “Lee en detalle estos Términos y Condiciones legales y pulsa aceptar si eres mayor de 18 años y aceptas la totalidad de lo estipulado. En caso contrario, abandona la aplicación y elimínala del terminal. Recuerda, en caso de grabar una broma y difundirla con tus amigos, es porque has solicitado permiso a la persona que ha recibido la broma y ésta te lo ha dado. Tu eres el responsable único de esta acción”. “Miraclia no recoge datos de los destinatarios de las bromas. La actividad de Miraclia es la de facilitar un medio de telecomunicaciones para que el titular del teléfono que se descarga la app, elija una broma y la grabe, quedando los datos relativos al destinatario de la llamada almacenados en el terminal del propio usuario sin que Miraclia conserve información del número de teléfono del destinatario. Miraclia presta un servicio de almacenamiento en la nube de los ficheros de audio del cliente y en ningún momento difunde ni comparte con nadie esa información, dado que es información privada del usuario de la aplicación” (este párrafo se incluye también en la política de privacidad). Inmediatamente después de estos textos se incluye un botón con la indicación “Continuar”. . La aplicación “***APLICACIÓN.1” consta de 3 pestañas: “Listado” (bromas disponibles), “Ejemplos” y “Mis bromas”. En esta última pestaña se guardarán las bromas realizadas por el bromista, si no son eliminadas. . El número de teléfono de la llamada entrante de broma aparece como “Número privado” en todos los casos. . En la versión instalada para las pruebas, la última disponible en la tienda de aplicaciones para sistemas operativos Android “Play Store”, el bromista, no tiene opción de elegir si la broma queda grabada o no. La broma queda grabada siempre, a no ser que el receptor decida borrarla siguiendo alguno de los procedimientos establecidos para ello. Si esto no ocurre, la grabación permanece en los sistemas de MIRACLIA hasta que el bromista decide eliminarla o, como norma general, por un periodo de tiempo de 6 meses posterior al uso de la aplicación, establecido por la propia entidad. . En ningún momento a lo largo de la conversación telefónica se identifica a la aplicación ***APLICACIÓN.1 como gestor de la llamada ni a la compañía desarrolladora MIRACLIA como propietaria de la plataforma. Por lo tanto, el receptor de la broma desconoce dónde debe dirigirse para obtener más información sobre la llamada o ejercitar sus derechos. . En ningún momento se cita a la persona bromista. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/27 . Tampoco se informa en ningún momento, durante el desarrollo de la broma, que la conversación esté siendo o pueda ser grabada. . Se comprueba que al final de la broma se escucha la siguiente locución: "Un amigo suyo le ha gastado una broma. En caso de que no quiera que su amigo pueda escuchar, descargar o difundir la broma, o en caso de que no quiera recibir más bromas, pulse 5 con su teclado después de la señal. Beeep” Desde la finalización de la broma hasta que se produce la locución transcurre un espacio de tiempo en silencio de 10 segundos. . El “borrado” de la grabación de la broma y la inhabilitación para seguir recibiendo bromas pulsando la tecla 5 una vez oída la señal indicada en la locución final, ha resultado inestable en las pruebas realizadas. En una ocasión en la que se pulso la tecla 5 antes de la señal y otra después, el mecanismo falló; en otras dos ocasiones en las se pulsó una sola vez después de la señal, se eliminó satisfactoriamente. Se comprobó que no existe confirmación de borrado de la broma, simplemente, cuando transcurren 10 segundos aproximadamente desde la señal indicada para pulsar la tecla 5, se corta la comunicación. En los casos en que la eliminación funcionó correctamente, la broma desaparece del listado de bromas realizadas del bromista, no pudiendo por tanto ser compartida, descargada ni escuchada. También se ha constatado que el número de teléfono quedó bloqueado para la recepción de más bromas. . En el listado de bromas realizadas por el bromista, junto a cada una de las bromas no eliminadas por el receptor de la broma siguiendo el procedimiento indicado, aparecen tres iconos: uno para descargar el archivo de audio de la grabación de la conversación telefónica de la broma, otro para escucharla y un tercero para compartirla. En este último caso, se envía el enlace al archivo de audio de la grabación a través del medio que se haya elegido para compartirla. Este es el único momento en el que el bromista conoce el enlace al archivo de audio. . En el caso de que el bromista deje presionado el dedo en una determinada broma de la lista de las bromas realizadas, aparece una ventana emergente ofreciendo la posibilidad de eliminar el archivo de audio de los sistemas de MIRACLIA, pero esta acción no es tan intuitiva como las tres anteriores al carecer de icono específico. . En las bromas guardadas, figura el número de teléfono de destino, tipo de broma, fecha y hora de realización. . Desinstalada la aplicación y reinstalada de nuevo, se observa que los números de teléfono de destino de las bromas realizadas aparecen como “?????????”, lo que hace pensar que este dato está almacenado localmente, y no en los servidores de MIRACLIA. . Las llamadas de broma pueden ser instantáneas o programadas especificando fecha y hora de ejecución. En este caso, el teléfono del destinatario se almacena en los sistemas de la entidad MIRACLIA hasta el momento de realizar la llamada. A este respecto, MIRACLIA ha declarado en sus alegaciones que el número de teléfono destinatario de la broma queda encolado con la llamada a realizar, el cual desaparece de sus sistemas cuando la llamada se realiza. El inspector actuante programó una broma en su terminal para su ejecución diferida y a continuación se apagó dicho terminal. La llamada se realizó en el momento programado, de lo que resulta que el teléfono quedó almacenado en los sistemas de MIRACLIA hasta el momento de ejecutar la broma (minutos, horas, días o meses) . Para la supresión de la grabación sólo existen dos opciones: que el bromista siga el procedimiento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/27 borrado descrito desde la aplicación; o bien solicitarlo a MIRACLIA, cuestión difícil para el afectado considerando que no se pone de manifiesto en ningún momento quién gestiona la llamada, ni la empresa responsable de la misma. Además, para ello el afectado necesitará conocer el enlace al archivo de audio y tampoco dispone de esta información, a no ser que se la facilite el usuario (se puede eliminar la broma conociendo la url de la grabación y utilizando el mecanismo habilitado en la web junto a la solicitud de bloqueo del número de línea de telefonía). 3. MIRACLIA ofrece en su web “***URL.1” un sistema gratuito e inmediato para incluir un número de teléfono en la lista de teléfonos bloqueados. Por la inspección actuante se realizó una prueba dando de alta en dicho sistema el número de teléfono correspondiente a la segunda SIM del terminal del inspector actuante. Posteriormente, se intentó realizar una broma a ese número de teléfono y la aplicación no permitió su ejecución. 4. MIRACLIA no dispone de una plataforma en la que se publiquen las bromas realizadas para que pueda acceder cualquier tercero, pero las grabaciones de las bromas se encuentran alojadas en un sitio público, lo que posibilita el acceso a las mismas mediante el enlace al archivo de audio, que puede ser difundido indiscriminadamente por el usuario bromista. 5. Con fecha 02/12/19 se verifica que por medio del enlace ***URL.2, se puede cambiar el país en el que opera la aplicación. Entre estos países se encuentran tanto pertenecientes a la Unión Europea (Austria, Bélgica, Alemania, etc.) como fuera de ella (China, Estados Unidos, Argentina, Brasil, Corea del Sur, etc.). También se comprueba que los términos y condiciones de uso del servicio están redactados en español, italiano, francés inglés y alemán. 6. Con fecha 03/12/2019 se realiza una instalación de la aplicación, verificándose que el proceso no da opción a configurar otro país ni otro idioma, si bien los términos y condiciones de uso del servicio están redactados en español, italiano, francés inglés y alemán, los mismos idiomas que están disponibles al acceder por Internet a la web. 7. El reclamante 1 ha manifestado que, con fecha 01/09/2018, recibió en su línea de telefonía móvil ***TELÉFONO.1 una llamada de broma a través de la aplicación “***APLICACIÓN.1”, en la que una persona fingía ser un agente de policía. Denuncia que la llamada fue grabada y difundida a terceros sin su conocimiento ni consentimiento; y que la llamada se produce desde un número oculto. 8. La reclamante 2 ha manifestado que, con fecha 29/06/2019 fue objeto de una llamada telefónica de broma llevada a cabo utilizando la aplicación “***APLICACIÓN.1”, la cual fue grabada y difundida por redes sociales con la mención de su nombre sin su permiso (aporta el enlace al audio objeto de la denuncia “***URL.3”) Con fecha 26/08/2019, por los Servicios de Inspección se accede a la web “***URL.1”, a la URL correspondiente a la grabación de la broma realizada a la reclamante 2. Se comprueba que utilizando el botón derecho se muestran distintas opciones, entre ellas la de reproducir y descargar la grabación. 9. Los Servicios de Inspección de la Agencia han comprobado que las bromas denunciadas por los reclamantes 1 y 2 figuran en el catálogo de bromas de disponible en “***APLICACIÓN.1”>>. TERCERO: Con fecha 22/12/2020, dentro del plazo establecido, se ha interpuesto recurso de reposición por la entidad MIRACLIA (en lo sucesivo la reclamada o la recurrente), en el que solicita la anulación de la resolución de 23/11/2020, conforme a las consideraciones siguientes: 1. Hecho nuevo relevante a los efectos del procedimiento. Aplicación preferente y exclusiva de la Ley General de Telecomunicaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/27 MIRACLIA es un operador de telecomunicaciones que presta un servicio de comunicaciones electrónicas, que ha sido reconocido y registrado como operador de telecomunicaciones ante la Comisión Nacional de los Mercados y la Competencia (CNMC) con el número de expediente RO/DTSA/0740/20 para prestar el servicio telefónico sobre redes de datos en interoperabilidad con el servicio telefónico disponible al público, con fecha de inicio de operaciones reconocida del 25 de mayo del 2018. Según MIRACLIA, esta resolución trae causa de la documentación que la AEPD no ha tenido en cuenta, fundamental para probar la condición de prestador del servicio de comunicaciones electrónicas de la entidad. De hecho, los sistemas descritos por el perito en su informe coinciden exactamente con las pruebas realizadas por los propios técnicos de la AEPD en el proceso de instrucción del procedimiento que dio lugar a la resolución impugnada, por cuanto el sistema adoptado por MIRACLIA desde mayo de 2018 no ha variado sustancialmente en lo que a la gestión de los datos tratados se refiere. Es decir, tal y como se expuso en las alegaciones a la propuesta de sanción avaladas por el informe de un experto, MIRACLIA afirmaba reunir los requisitos para ser considerada como operador de telecomunicaciones bajo una denominación que, si bien se basa en la Directiva 2018/1972 todavía no traspuesta a nuestro ordenamiento jurídico, sí se ha sido tenida en cuenta por la CNMC para efectuar dicho registro. En todo caso y aunque no existe trasposición interna de la Directivas, debe tenerse en cuenta la eficacia interpretativa de la misma durante el periodo de trasposición. La realidad es que MIRACLIA ha obtenido el registro efectivo en las condiciones expuestas en el informe pericial aportado por esta parte en su escrito de alegaciones anterior. La inscripción en este registro, que se encuentra regulado en el Artículo 7 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (LGT), tiene carácter declarativo, de acuerdo con lo establecido en el artículo 7 del RD 424/2005, por el que se aprueba el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios. Es decir, el registro efectuado no es sino un reconocimiento de lo que MIRACLIA es con relación al único servicio que presta. Estas normas también establecen la obligación de los operadores de someterse a las condiciones que impone la LGT, a las que están sujetas “La explotación de las redes y la prestación de los servicios de comunicaciones electrónicas” (artículo 8 de la LGT y 16 del RD citado). Las actividades de MIRACLIA y su único servicio “***APLICACIÓN.1” caen íntegramente en la esfera de la LGT desde que modificó sustancialmente el sistema con motivo de la entrada en vigor del RGPD. 2. Infracción del artículo 95 del RGPD y de la disposición transitoria undécima de la LOPDGDD. Anulabilidad del acto administrativo por el que se sanciona a MIRACLIA. Atendiendo a lo anterior, es de aplicación preferente la ley especial sectorial, esto es la LGT, en todo su articulado, tal y como se invocó en el trámite de alegaciones a la propuesta de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/27 sanción. La AEPD, en su resolución, rechaza las alegaciones vertidas en este sentido por considerar que la Directiva 2018/1972 por la que se establece el Código Europeo de Comunicaciones Electrónicas se encontraba sin trasposición. No obstante, a efectos interpretativos y con la constatación de la inscripción efectiva en el Registro de Operadores de la Comisión Nacional de Mercados y de la Competencia, (a pesar de la nomenclatura) no queda lugar a la duda que debe ser de aplicación la norma especial del sector de las telecomunicaciones. No es la AEPD quien debe determinar si la actividad de MIRACLIA constituye o no un servicio merecedor de ser considerado “comunicación electrónica” y por ello objeto de registro en la CNMC, sino este organismo como entidad competente en la materia. Si el servicio prestado por MIRACLIA a través de su aplicación ***APLICACIÓN.1 tal y como se configuró a partir de mayo de 2018 es una “comunicación electrónica” deberá aplicarse la normativa de telecomunicaciones en relación con los datos de tráfico de dichas comunicaciones y no el RGPD. La AEPD en su resolución niega que estemos ante una “comunicación electrónica” careciendo de competencia para dicha valoración. Incluso rechaza los argumentos esgrimidos en el informe pericial aportado por un experto en telecomunicaciones y visado por el propio Colegio Oficial de Ingenieros en Telecomunicación, que justifica la definición del servicio como después ha sido confirmado por la propia CNMC. El usuario de “***APLICACIÓN.1” utiliza una aplicación para conectarse con recursos públicos de numeración, elegir libremente un destinatario en base a dicha numeración, editar unas frases que quiere dirigir a su destinatario mediante unas plantillas de edición que “***APLICACIÓN.1” pone a su disposición, grabar las frases que ha editado mediante una herramienta que “***APLICACIÓN.1” pone a su disposición, utilizar una herramienta de metadatación para establecer hora de inicio de la comunicación mediante otra herramienta de “***APLICACIÓN.1” e iniciar la conversación telefónica con el destinatario elegido en dichos términos prefijados (una especie de buzón de voz, salvando las distancias). Por poner un ejemplo, los antiguos servicios de Telefónica de despertador, noticias e información del tiempo tenían este formato, y eran servicios de telefonía básicos. Eran conversaciones pregrabadas. El usuario de los mismos podía hablar de forma interactiva, aunque con una máquina. También los servicios actuales de centralita con respuesta automática para direccionar una llamada encajan en este formato y no dejan de ser servicios de telefonía como el que la CNMC ha reconocido a “***APLICACIÓN.1”. La falta de interactividad en tiempo real entre dos usuarios durante la fase de edición de una llamada no condiciona ser o no servicio telefónico. La edición del mensaje puede ser previa al servicio interactivo efectivo en sí mismo, como lo es también un servicio de contestador prestado por una operadora tradicional de comunicaciones. Dichos requisitos no están recogidos en la definición legal de servicio de comunicaciones electrónicas no siendo competente, como ya se ha expresado, la Agencia Española de Protección de Datos para determinar qué es y qué no es una comunicación electrónica. De conformidad con lo dispuesto en el artículo 95 del RGPD y la “Disposición Transitoria Undécima” de la LOPDGDD, no pueden imponerse obligaciones adicionales a las que marca la normativa de telecomunicaciones a quienes prestan los servicios amparados por dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/27 La propia AEPD así lo establece en la Guía de Gestión de Brechas de seguridad a propósito de las obligaciones previstas en la LGT: “La obligación exigible a los operadores de servicios de telecomunicaciones electrónicas disponibles al público o que exploten redes públicas de comunicaciones electrónicas continúa rigiéndose por lo previsto en el artículo 41 y concordantes de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (LGT). En efecto, el artículo 95 del RGPD prevé que el mismo no imponga obligaciones adicionales en el marco de la prestación de servicios públicos de comunicaciones electrónicas de redes públicas de telecomunicación de la Unión en ámbitos en que estén sujetas a las obligaciones específicas con el mismo objetivo establecidas en la Directiva 2002/58/CE. Por tanto, deben interpretarse que las obligaciones previstas en la LGT, como norma de transposición de la citada Directiva, se mantienen vigentes”. Como lógica consecuencia de lo anterior, debe invocarse por lo tanto la LGT en lo que a la protección de datos se refiere, en concreto, lo dispuesto en los artículos 41, relativo a la Protección de los datos de carácter personal, artículo 42, “Conservación y cesión de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones”, y artículo 43, “Cifrado en las redes y servicios de comunicaciones electrónicas”. Las obligaciones que establece la LGT a los operadores de telecomunicaciones en su prestación de servicio de comunicaciones electrónicas están relacionadas, fundamentalmente con la seguridad de dichas comunicaciones. Por la propia naturaleza de la comunicación electrónica (establecimiento de una comunicación entre un emisor y un receptor), no opera ni la obligación de recabar el consentimiento del receptor ni la de informar sobre su eventual tratamiento de datos que, como se ha visto en el presente procedimiento, sólo se tratan a los solos efectos de garantizar el servicio prestado. Por su parte, RD 424/2005, por el que se aprueba el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios, con respecto a la protección de datos, en el artículo 65 establece: “Datos personales sobre el tráfico y la facturación. 1. Los operadores deberán eliminar o hacer anónimos los datos de carácter personal sobre el tráfico referidos a una comunicación y relacionados con los usuarios y los abonados que hayan sido tratados y almacenados para establecer una comunicación, en cuanto ya no sean necesarios a los efectos de su transmisión, sin perjuicio de lo dispuesto en los apartados siguientes. 2. Los datos de tráfico que fueran necesarios para realizar la facturación y los pagos de las interconexiones podrán ser tratados únicamente durante el plazo en que pueda impugnarse la factura o exigirse el pago, de conformidad con la legislación aplicable. Transcurrido dicho plazo, los operadores deberán eliminar o hacer anónimos los datos de carácter personal, en los términos del apartado 1. … (no se reproducen los puntos 3 y 4 relativos a los datos de abonados y usuarios con fines comerciales, lo cual no es aplicable aquí) 5. El tratamiento de los datos de tráfico, de conformidad con los apartados anteriores, sólo podrá realizarse por las personas que actúen bajo la autoridad del operador prestador del servicio o explotador de la red que se ocupen de la facturación o de la gestión del tráfico, de las solicitudes de información de los clientes, de la detección de fraudes, de la promoción comercial de los servicios de comunicaciones electrónicas, de la prestación de un servicio con valor añadido o de suministrar la información requerida por los jueces y tribunales, por el Ministerio Fiscal o por los órganos o entidades que pudieran reclamarla en virtud de las competencias atribuidas por la Ley 32/2003, de 3 de noviembre. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/27 En todo caso, dicho tratamiento deberá limitarse a lo necesario para realizar tales actividades”. Nos referimos a “datos de tráfico” según la propia definición del artículo 64
6. a)“Datos de tráfico: cualquier dato tratado a efectos de la conducción de una comunicación a través de una red de comunicaciones electrónicas o a efectos de su facturación.” Sobre la definición de tratamiento de datos, el mismo artículo 64 se refiere a “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias” Nada contiene la Ley General de Telecomunicaciones ni ninguna norma asociada que impida a los usuarios grabar las conversaciones editadas por ellos mismos ni les obligue a informar a su interlocutor al respecto. A este respecto el Considerando 23 de la Directiva 2002/58/CE relativa al tratamiento de datos personales y a la protección de la intimidad en el ámbito de las comunicaciones electrónicas ya hacía referencia a la grabación en el caso de transacciones comerciales, lo cual no aplica en el presente caso puesto que, como ya se ha puesto de manifiesto, es el usuario el que toma la decisión. Es decir, si la norma hubiera querido regular algo al respecto, lo habría hecho. En el ámbito de una comunicación electrónica es el usuario el que decide si quiere comunicarse, a quién llama, cuándo le llama, lo que va a decirle – contenido que él mismo ha elegido del catálogo ofrecido - y en su caso, si graba la conversación sin que el operador intervenga en este proceso más que para facilitar el medio a través del cual se está produciendo la citada comunicación. MIRACLIA actúa en un entorno en el que el usuario tiene la potestad de llamar o no llamar, a qué número, de grabar o no grabar o de generar la broma o no generarla. El servicio posibilita esta comunicación, pero no es responsable de lo que el usuario haga. El usuario de “***APLICACIÓN.1” tampoco tiene que pedir permiso para acceder a los recursos públicos de numeración y enviar un mensaje editado, grabado y metadatado a cualquier usuario que figure en los mismos. Por contra, la LGT sí recoge el derecho del destinatario a rechazar tal llamada (artículo 48) También existen otros derechos como el de identificación de la llamada origen (artículo 47), etc. El proveedor del servicio de comunicaciones electrónicas debe facilitar estas funcionalidades (en este caso, el operador del receptor de la llamada). Más allá de esto, conforme al artículo 95 del RGPD nada es exigible a dicho proveedor. En los diferentes escritos de alegaciones y en las propias acciones de investigación instruidas por la Agencia, se ha tenido ocasión de constatar que la seguridad de la información ha sido siempre una prioridad para MIRACLIA que siempre ha optado por un modelo de mínimos en cuanto a la conservación de la información se refiere (mínima información tratada para proporcionar el servicio) y siempre utilizando sistemas avanzados de cifrado. Además, siempre se han atendido los derechos de los interesados destinatarios de las llamadas telefónicas realizadas por los usuarios de las aplicaciones operadas por MIRACLIA cuando se han solicitado y siempre se ha colaborado con las autoridades y cuando lo han solicitado, con los cuerpos y fuerzas de seguridad del estado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/27 Que MIRACLIA haya constatado estos hechos y haya apostado por la presente línea de defensa en estos momentos del procedimiento administrativo obedece a dos motivos fundamentales: - A las Sentencias del Tribunal Supremo recaídas este mismo año sobre el tratamiento de datos anterior a la entrada en vigor del RGPD. - Al cambio sustancial de modelo de negocio operado tras la entrada en vigor del RGPD adoptando una actividad propia de un operador de comunicaciones electrónicas. Es de resaltar que la fecha de inicio de operaciones reseñada en el Registro de Operadores es el 25 de mayo de 2018, fecha anterior a las denuncias cursadas por los denunciantes, así como de las pruebas de servicio realizadas por los técnicos de la AEPD. Para mayor claridad de lo expuesto y por las similitudes que tiene con la actividad de MIRACLIA, citamos la Sentencia del Tribunal de Justicia de la Unión Europea de 5 de junio de 2019 en el asunto C-142/18 entre Skype Communications Sàrl vs Institut belge des services postaux et des télécommunications (IBPT). En dicho procedimiento se planteó una cuestión prejudicial que afectaba a la actividad de Skype concluyendo el TJUE que: el artículo 2, letra
7. c)de la Directiva 2002/21/CE del Parlamento europeo y del Consejo relativa a un marco regulador común de las redes y los servicios de comunicaciones electrónicas debe interpretarse en el sentido de que el suministro, por parte del creador de un programa informático, de una funcionalidad que ofrece un servicio “Voice over Internet Protocol” (VoIP)voz por protocolo de Internet- que permite al usuario llamar a un número fijo o móvil de un plan nacional de numeración a través de la red telefónica conmutada (RTPC) de un Estado miembro a partir de un terminar constituye un “servicio de comunicaciones electrónicas” en el sentido de dicha disposición, en la medida en que la prestación de dicho servicio, por un lado, da lugar a una remuneración del creador y por otro, conlleva que este celebre acuerdos con los proveedores de servicios de telecomunicaciones debidamente autorizados a transmitir y terminar llamadas a la RTPC. Skype, objeto de la citada Sentencia, también permite al usuario grabar las conversaciones a petición de los usuarios y para su propio entorno privado. Todo ello forma parte del servicio de “comunicaciones electrónicas”. Es fundamental reseñar a estos efectos las diferencias que existen entre un servicio de comunicaciones electrónicas convencional que permite el acceso a los recursos de numeración pública mediante su marcación directa en un terminal de usuario y estos nuevos servicios de comunicaciones electrónicas (como el caso de Skype citado), a los que se accede mediante una aplicación que de forma indirecta facilita conexión con los recursos públicos de numeración. Lo que se pone de manifiesto es que la aplicación no da acceso a servicios de la sociedad de la información, que era lo convencional, sino a servicios de comunicaciones electrónicas basados en numeración. La prueba pericial aportada en el escrito de alegaciones a la propuesta de resolución así lo indicaba y es la base del registro efectuado como operador. De hecho, hasta ahora dicha modalidad no estaba contemplada en la norma. Con la nueva Directiva 2018/1972 pendiente de trasposición, este tipo de servicio ya está contemplado. Dicho lo anterior, no tiene cabida una infracción de los artículos 6, 13 y 14 del RGPD cuando no son aplicables a un operador de comunicaciones electrónicas y por ende a la actividad que realiza MIRACLIA (como operador de telecomunicaciones registrado ante la CNMC y con fecha de inicio de actividades el 25 de mayo de 2018, fecha anterior a las denuncias), sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/27 perjuicio del cumplimiento de todas las garantías de seguridad tal y como le exige la normativa de telecomunicaciones. Por lo expuesto, la resolución recurrida incurre por ello en una causa de anulabilidad prevista en el artículo 48 de la LPA por haberse infringido los preceptos citados. Con su recurso, MIRACLIA aporta copia de la documentación siguiente: 1. Resolución de la CNMC, de fecha 16/11/2020, por la que se acuerda inscribir a dicha entidad en el Registro de Operadores, como autorizada para prestar “servicio telefónico sobre redes de datos en interoperabilidad con el servicio telefónico disponible al público”; si bien en el apartado cuarto de su parte dispositiva se advierte que “La inscripción en el Registro de Operadores no habilita por sí sola para la adquisición de los derechos de uso del dominio público radioeléctrico, de ocupación del dominio público o la propiedad privada y de los recursos de numeración, direccionamiento y denominación necesarios para la explotación de redes y la prestación de servicios de comunicaciones electrónicas. La adquisición de estos derechos deberá realizarse conforme a lo dispuesto en la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones y en lo no contemplado en la misma por su normativa específica”. En Anexo I de esta resolución se detallan los datos objeto de esta primera inscripción, con la indicación de los relativos al operador y a la actividad que se inscriben. En este último apartado, además de la descripción de la actividad, antes indicada y su cobertura nacional, se incluye la información siguiente: . Fecha de la notificación: 19/05/2020 . Fecha de la resolución de inscripción: 16/11/2020 . Inicio de las actividades: 25/05/018 Según consta en los “Antecedentes de Hecho” de la resolución citada, MIRACLIA notificó su intención de prestar un servicio de comunicaciones electrónicas interpersonales basado en numeración, al amparo de la autorización general establecida en el artículo 6.1 de la LGT, mediante escrito dirigido a la CNMC el día 19/10/2020. Entre las normas que fundamentan el acuerdo, se citan los artículos 6.2 y 7 de la LGT, en las que se establece, respectivamente, la obligación de los interesados en la explotación de una determinada red o en la prestación de un determinado servicio de comunicaciones electrónicas, con anterioridad al inicio de la actividad, de comunicarlo previamente al Registro de Operadores; así como la inscripción en dicho Registro de los datos relativos a las personas físicas o jurídicas “que hayan notificado su intención de explotar redes y prestar servicios de comunicaciones electrónicas, las condiciones para desarrollar la actividad y sus modificaciones”. En el Fundamento de Derecho Séptimo se indica: “SÉPTIMO. En el presente procedimiento, al escrito de notificación se acompaña la documentación exigida y en particular los datos que, en virtud de lo establecido en los artículos 6.2 de la LGTel y 5 del Reglamento de Servicios de comunicaciones electrónicas, deben ser objeto de inscripción en el Registro de Operadores al que se refiere el artículo 7 de la citada Ley. Analizada la descripción funcional aportada por el interesado, la actividad notificada se corresponde C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/27 actualmente con la prestación del servicio de comunicaciones electrónicas denominado servicio telefónico sobre redes de datos en interoperabilidad con el servicio telefónico disponible al público, bajo cuya denominación será objeto de inscripción en el Registro de Operadores. Así, el interesado ha utilizado una denominación de servicio contenida en la Directiva (UE) 2018/1972, del Parlamento Europeo y del Consejo, de 11 de diciembre de 2018, por la que se establece el Código Europeo de las Comunicaciones Electrónicas, y una vez se transponga a derecho nacional la citada Directiva se adaptarán las denominaciones que correspondan”. MIRACLIA indica en su recurso que acompaña la documentación que fue aportada a la CNMC, pero no detalla la concreta documentación entregada a dicha entidad ni se adjunta al recurso ninguna documentación distinta a la reseñada en los dos apartados que siguen: 2. Aporta copia de un informe elaborado por un ingeniero de telecomunicaciones sobre el resultado de la auditoría técnica realizada a petición de la entidad MIRACLIA para evaluar la “privacidad por diseño para el cumplimiento del RGPD/LOPDGDD” del servicio denominado “***APLICACIÓN.1” comercializado por la misma. Este informe está fechado el 01/10/2020 e incluye en su vértice superior derecho un estampillado del Colegio Oficial de Ingenieros de Telecomunicaciones con el texto “Visado. Núm…; Fecha 05/10/2020; Colegiado…”. Este informe corresponde a “una segunda fase consistente en una auditoría extraordinaria”, posterior al proceso de subsanación de las “no conformidades” reflejadas en el informe de auditoría aportado por MIRACLIA con su escrito de alegaciones a la propuesta de resolución, elaborado por el mismo ingeniero de telecomunicaciones en fecha 29/07/2020. El citado informe de 01/10/2020, el aportado con el recurso, se estructura en los cinco apartados siguientes: . Objetivos y metodología del trabajo. . Descripción del servicio “***APLICACIÓN.1”. . Resultados de la auditoría. Fase 1ª . Resultados de la auditoría. Fase 2ª . Dictamen final. El contenido de todos los apartados indicado, salvo el específico de la “Fase 2ª” (“Resultados de la auditoría. Fase 2ª”) coincide literalmente con lo expresado en el Informe de 29/07/2020. Según se indica, las auditorías realizadas se basaron en entrevistas personales, pruebas prácticas de ejecución de “***APLICACIÓN.1” en dos dispositivos móviles y las pruebas de las herramientas de edición, grabación y metadatación del contenido de los mensajes, aunque no se facilitan detalles sobre el desarrollo de estas pruebas, limitándose a enumerar una serie de constataciones. En el apartado “Resultado de la Auditoría. Fase 1ª” se indica lo siguiente: “En lo que se refiere al análisis concreto del servicio “***APLICACIÓN.1” se han podido constatar los siguientes hechos:
8. a)Sólo puede iniciar la conversación un usuario dado de alta en el servicio “***APLICACIÓN.1”.
9. b)El usuario del servicio “***APLICACIÓN.1” es el único interviniente en el proceso que puede determinar libremente al destinatario de la conversación
10. c)Para determinar el destinatario de la conversación se hace uso de recursos de numeración pública. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/27
11. d)No se requiere, ni se verifica o comprueba tal circunstancia por ningún medio, que el destinatario de la conversación sea un usuario del servicio “***APLICACIÓN.1”.
12. e)Una vez establecida la conexión entre el usuario de “***APLICACIÓN.1” y el destinatario de la conversación se permite el intercambio directo de información interpersonal a través de redes de comunicaciones electrónicas entre ambas personas.
13. f)“***APLICACIÓN.1” ofrece al usuario que contrata dicho servicio un conjunto de plantillas preconfiguradas para la edición de un mensaje vocal.
14. g)El usuario que contrata el servicio “***APLICACIÓN.1” es quién libremente elige entre las mismas para determinar el contenido del mensaje a transmitir.
15. h)La grabación se realiza en un dominio personal y privado asignado en exclusividad al usuario del servicio “***APLICACIÓN.1” (persona que inicia la transmisión), como servicio que presta “***APLICACIÓN.1” al usuario en la nube en sus propias premisas.
16. i)El dominio de grabación ofrecido por “***APLICACIÓN.1” al usuario de dicho servicio es un dominio privado y seguro.
17. j)La decisión final sobre si decide o no realizar la grabación del mensaje en su dominio privado recae en exclusividad en el usuario del servicio “***APLICACIÓN.1”.
18. k)“***APLICACIÓN.1” ofrece al usuario que contrata dicho servicio un conjunto de herramientas de metadatación interactivas para realizar sobre posibles acciones sobre el mensaje editado.
19. l)“***APLICACIÓN.1” ofrece a cualquier persona o entidad que forme parte de un plan de uso de recursos de numeración pública la posibilidad de integrarse en “listas negras”, para no recibir más llamadas de usuarios de “***APLICACIÓN.1”.
20. m)De hecho, determinados números del plan de numeración pública se incluyen por defecto en dicha “lista negra” (091, 061, 112, 092, etc.).
21. n)“***APLICACIÓN.1” facilita los medios físicos, propios o de terceros, para la transmisión de la señal entre quién inicia la transmisión y el destinatario de la misma que ha elegido.
22. o)“***APLICACIÓN.1” no retiene datos del destinatario final excepto aquellos que, con carácter de mínimos, le permite cumplir con lo dispuesto en la normativa sobre retención de datos”. En el apartado anterior al indicado, el rotulado como “Descripción del servicio ***APLICACIÓN.1”, se reseña la información facilitada por MIRACLIA al ingeniero auditor, que coincide literalmente con los “hechos” que se detallan como resultado de la auditoría. En el apartado “Dictamen final” se expresan las conclusiones siguientes: “Podemos concluir que tras esta segunda fase, los resultados de la auditoría son satisfactorios, no habiéndose encontrado disconformidades relevantes. Además, en lo que se refiere al servicio “***APLICACIÓN.1” se ha podido constatar lo siguiente: 1. El servicio “***APLICACIÓN.1” reúne los atributos y características definidos en la Directiva (UE) 2018 / 1972 por la que se establece el Código Europeo de Comunicaciones Electrónicas (CECE), que permiten clasificarlo como un servicio de comunicaciones electrónicas interpersonales basado en numeración, como se define en el artículo 2 (apartados 5 y 6) de la misma. 2. El marco reglamentario aplicable a los servicios de comunicaciones electrónicas hace una clara distinción entre la producción de contenidos, que implica responsabilidad editorial, y la transmisión de contenidos, lo que no implica ninguna responsabilidad editorial (artículo 2 apartado 4 del CECE y sentencias del Tribunal de Justicia (Sala Cuarta) de 5 de junio de 2019 Y de 13 de junio de 2019) del Tribunal de Justicia de la UE (TJUE). 3. El usuario del servicio “***APLICACIÓN.1” (persona que inicia la transmisión) determina de forma unilateral el destinatario de la misma, sobre el que no existe condicionante alguno que exija que sea un usuario del servicio de “***APLICACIÓN.1” sino que es un destinatario libremente elegido por el primero en base a los recursos de numeración pública y sobre cuyos datos, de acceso público y conocidos por el usuario, no realiza tratamiento alguno “***APLICACIÓN.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/27 4. A partir del momento del inicio del servicio, “***APLICACIÓN.1” se limita a facilitar los medios físicos, propios o de terceros, para la transmisión de la señal entre quién inicia la transmisión y el destinatario de la misma elegido por éste, cumpliendo los requisitos de calidad, privacidad, seguridad y transparencia recogidos en la citada directiva. 5. “***APLICACIÓN.1” no realiza la grabación de la conversación. Las grabaciones son realizadas por el usuario que ha contratado el servicio de “***APLICACIÓN.1” (persona que inicia la transmisión) en un dominio privado asignado en exclusividad a dicho usuario (en la nube mediante la asignación de una URL privada) quién, como parte de su derecho por su participación en la edición de las mismas y al aceptar las condiciones de uso de “***APLICACIÓN.1”, decide unilateralmente grabarlas para su uso personal. 6. “***APLICACIÓN.1” tampoco retiene datos del destinatario final excepto aquellos que, con carácter de mínimos, le permite cumplir con lo dispuesto en la normativa sobre retención de datos y prestar el servicio al usuario del mismo. Esto es, la Directiva 2006/24/CE sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas, traspuesta en España por la Ley 25/2007. 7. “***APLICACIÓN.1” ofrece la posibilidad de que las personas o entidades, que por hacer uso de redes acogidas a recursos públicos de numeración puedan ser elegidos como destinatarios de transmisiones por usuarios de “***APLICACIÓN.1”, puedan solicitar su inclusión en una “lista negra” para inhibir la recepción de comunicaciones electrónicas a través del servicio “***APLICACIÓN.1”. 8. De conformidad con lo establecido en el Considerando 173 y el Artículo 95 del RGPD, que establece que dicho Reglamento no impondrá obligaciones adicionales a las personas físicas o jurídicas en materia de tratamiento en el marco de la prestación de servicios públicos de comunicaciones electrónicas en redes públicas de comunicación en ámbitos en los que estén sujetas a obligaciones específicas con el mismo objetivo establecidas en la Directiva 2002/58/CE” (Directiva sobre la privacidad y las comunicaciones electrónicas). En este sentido, conviene tener presente lo establecido en el Considerando 34 de la Directiva 2002/58/CE: “Es necesario, por lo que respecta a la identificación de la línea de origen, proteger el derecho del interlocutor que efectúa la llamada a reservarse la identificación de la línea desde la que realiza dicha llamada y el derecho del interlocutor llamado a rechazar llamadas procedentes de líneas no identificadas.” Por lo tanto, se debe respetar el derecho del usuario que inicia la transmisión (bromista) de no presentar su número telefónico para comunicarlo al destinatario, ya que, primero, usuario y destinatario hacen uso de recursos públicos de numeración y la transmisión se realiza mediante redes públicas de comunicaciones electrónicas y, segundo, es necesario, por lo que respecta a la identificación de la línea de origen, proteger el derecho del interlocutor que efectúa la llamada a reservarse la identificación de la línea desde la que realiza dicha llamada y el derecho del interlocutor llamado a rechazar llamadas procedentes de líneas no identificadas (Considerando 34 de la Directiva 2002/58/CE)”. El informe de 01/10/2020 acompaña los mismos anexos que incluía el informe de 29/07/2020. El Anexo II, relativo a las “Premisas de partida y normativa de referencia” hace referencia a la definición de servicio de comunicación electrónica interpersonal introducido por el Código Europeo de Comunicaciones Electrónicas (CECE), que son aquellos que periten el intercambio de información interpersonal e interactiva a través de redes de comunicaciones electrónicas entre un número finito de personas, en el que las personas que inician o participan en la comunicación determinan sus destinatarios, y añade lo siguiente: “En las condiciones de uso de la aplicación ***APLICACIÓN.1 en el artículo 6 se indica que “como con cualquier servicio de telecomunicaciones, es ilegal el uso de los servicios de ***APLICACIÓN.1 con el propósito de acosar o dañar a nadie”. Existe por tanto una declaración contractual de que ***APLICACIÓN.1 es un servicio sujeto a la regulación de telecomunicaciones y, por ello, un reconocimiento implícito de que se trata de un servicio de comunicaciones electrónicas en tal caso”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/27 3. Declaración jurada del administrador de la empresa, fechada el 22/12/2020, en la que se indica lo siguiente: “Que los sistemas de MIRACLIA TELECOMUNICACIONES, S.L. así como el modelo de comunicación de la aplicación ***APLICACIÓN.1 puesto en marcha en mayo de 2018 es esencialmente idéntico al sistema auditado en el mes de julio de 2020 por el perito D… colegiado núm… del Colegio de Ingenieros de Telecomunicaciones”. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II En relación con las manifestaciones efectuadas por la recurrente, que reproducen, básicamente, las alegaciones ya presentadas a lo largo del procedimiento sancionador, especialmente las formuladas frente a la propuesta de resolución elaborada por el instructor del procedimiento, debe señalarse que ya fueron analizadas y desestimadas en la Resolución recurrida, de 23/11/2020, en la que se considera que el mismo incumplió lo dispuesto en los artículos 13, 14 y 6 del RGPD y se detalla suficientemente la valoración de las pruebas que han permitido determinar dichos incumplimientos y el alcance otorgado a los mismos. El procedimiento que dio lugar a la resolución impugnada tuvo por objeto el análisis global, desde el punto de vista de la normativa de protección de datos personales, de la aplicación móvil y servicio web denominada “***APLICACIÓN.1”, propiedad de la entidad MIRACLIA, que permite a los usuarios la realización de bromas telefónicas a terceros. Se inició por virtud de las reclamaciones presentadas ante esta Agencia, en la que los afectados (personas que reciben la llamada de broma) denuncian la utilización de sus datos personales para hacerle una broma sirviéndose para ello de la citada aplicación, mediante llamada telefónica a sus líneas de telefonía móvil, así como la grabación realizada de la llamada sin el conocimiento de los afectados y la difusión de dicha grabación a terceros, también sin su consentimiento. Por otra parte, a través del “Sistema de Información del Mercado Interior” (IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se recibió en esta Agencia Española de Protección de Datos (AEPD) una reclamación de fecha 17/07/2019, formulada por un interesado ante la autoridad de protección de datos de Eslovenia (Information Commissioner). El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del RGPD, teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal. Esta reclamación se formula también contra la entidad MIRACLIA, con sede social y establecimiento único en España, en relación con la aplicación móvil para Android denominada “***APLICACIÓN.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/27 Por razón de estas reclamaciones, se realizaron actuaciones de investigación. Con fechas 6, 9 y 12 de septiembre de 2019, se practicaron pruebas con la aplicación, que fue descargada en el terminal móvil del inspector actuante en su última versión disponible en la tienda de aplicaciones para sistemas operativos Android “Play Store”. Se verificó, asimismo, que la aplicación “***APLICACIÓN.1” se encuentra disponible en diversos países pertenecientes a la Unión Europea (Austria, Bélgica, Alemania, etc.). Como resultado de las actuaciones de investigación realizadas por los servicios de inspección de la AEPD, se constató que el usuario de “***APLICACIÓN.1” es la persona que, sirviéndose de la aplicación, selecciona una de las bromas dispuestas por MIRACLIA (listado de bromas disponibles), una “víctima” y el horario en el que desea que el destinatario reciba la broma, que es contactado telefónicamente por MIRACLIA desde su propio sistema a través de un número oculto (llamada de broma), realizándose en todo los casos una grabación de la conversación que se pone a disposición de aquél, es decir, del usuario de la aplicación, sin que el receptor tenga la opción de decidir si la llamada queda grabada o no. Esta aplicación tiene, además, una funcionalidad que permite reproducir, descargar y compartir el archivo de audio o grabación generada (en los “Términos y Condiciones de Uso del Servicio” se advertía al usuario que no podrá descargar una grabación y compartirla sin obtener el consentimiento previo del destinatario de la llamada de broma). Asimismo, se comprobó que no se identifica a la aplicación “***APLICACIÓN.1” como gestor de la llamada ni a la compañía desarrolladora MIRACLIA como propietaria de la plataforma, no se cita a la persona bromista, ni se informa en ningún momento, durante el desarrollo de la broma, que la conversación esté siendo o pueda ser grabada. Sólo al final de la broma, una locución se advierte al destinatario de la llamada sobre la broma en sí, decidida por un “amigo”, y la posibilidad de escuchar, descargar y difundir la grabación, ofreciéndose también la opción de excluir este tipo de llamadas. MIRACLIA conserva en sus sistemas el número de teléfono del destinatario de bromas programadas, hasta la ejecución de la misma en la fecha y hora indicada, así como las grabaciones, que quedan alojadas en un sitio público, posibilitando el acceso a las mismas mediante el enlace al archivo de audio, que puede ser difundido indiscriminadamente por el usuario bromista. Por otra parte, con fecha 02/12/19, se verificó que por medio del enlace “***URL.2”, se puede cambiar el país en el que opera la aplicación. Entre estos países se encuentran tanto pertenecientes a la Unión Europea (Austria, Bélgica, Alemania, etc.) como fuera de ella (China, Estados Unidos, Argentina, Brasil, Corea del Sur, etc.). También se comprueba que los términos y condiciones de uso del servicio están redactados en español, italiano, francés inglés y alemán. Teniendo en cuenta los hechos constatados, referidos sucintamente en los apartados anteriores, se acordó iniciar procedimiento sancionador a la entidad MIRACLIA, por la infracción de los artículos 13, 14 y 6 del RGPD, determinando la imposición de multa y la obligación de adoptar las medidas necesarias para adecuar a la normativa de protección de datos personales las operaciones de tratamiento que realiza, la información ofrecida a sus clientes y el procedimiento mediante el que los mismos prestan su consentimiento para la recogida y tratamiento de sus datos personales, sin perjuicio de lo que resultase de la instrucción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/27 En respuesta a esta apertura de procedimiento sancionador, MIRACLIA formuló alegaciones en las que, como ya hiciera en los precedentes tramitados, cuestiona la existencia de datos personales y plantea la existencia de base jurídica para el tratamiento al amparo del interés legítimo del responsable. Como novedad respecto de esas actuaciones precedentes, platea MIRACLIA en estas alegaciones que a raíz de la entrada en vigor del RGPD llevó a cabo una serie de modificaciones en sus sistemas para evitar que los datos estuviesen almacenados en los servidores de MIRACLIA, alejando la idea de “tratamiento de datos personales”, y se declara un mero intermediario en una relación entre particulares, siendo el usuario de la aplicación que gasta la broma el responsable de la información. Incluso llegó a aportar copia de un recurso de casación interpuesto ante el Tribunal Supremo en el año 2019, que fundamenta en los mismos motivos: 1. Gastar una broma a través de una aplicación o de un medio en el que el usuario es soberano de la información que se facilita es un acto desarrollado en el ámbito doméstico o personal y por lo tanto queda excluido del ámbito de protección de la normativa de protección de datos. 2. La voz no es un dato personal si no permite identificar a su titular o si es necesario realizar esfuerzos desproporcionados para identificarlo. 3. La base jurídica del tratamiento de datos (si se estima que estamos ante datos personales) por parte de un a aplicación que facilita un medio de ocio en el ámbito personal o doméstico de las personas se basa es el interés legítimo. Estas alegaciones fueron ampliamente rebatidas en la propuesta de resolución de acuerdo con los Fundamentos de Derecho que también se recogen en la resolución ahora recurrida, los cuales se declaran reproducidos en este acto: . Fundamentos de Derecho IV, sobre la posición que ocupa MIRACLIA en la relación personal entre el usuario de la aplicación que dispone la realización de la broma y la persona que recibe la llamada de broma; y la no pertenencia del tratamiento de datos realizado al ámbito doméstico. . Fundamentos de Derecho V, que analiza la existencia de datos personales. . Fundamentos de Derecho VII, en el que se concluye la existencia de infracción de lo establecido en los artículos 13 y 14 del RGPD, por incumplimiento de las exigencias de información que se disponen en estos preceptos. Sobre esta concreta cuestión, MIRACLIA alegó que, con motivo del procedimiento sancionador iniciado, procedió de inmediato a subsanar los defectos apreciados por la AEPD, completando la información ofrecida al final de la conversación de la broma, si bien no aportó ninguna prueba sobre ello; ni siquiera el texto o grabación de la locución insertada al final de la conversación, de modo que hubiera podido valorarse correctamente la supuesta información ofrecida. . Fundamentos de Derecho VIII, en el que se examina la infracción de lo establecido en el artículo 6 del RGPD, por la realización de tratamientos de datos personales sin base jurídica para ello. El escrito de recurso omite las cuestiones puestas de manifiesto anteriormente, y omite también cualquier referencia a la actividad desarrollada en otros países del Espacio Económico Europeo sirviéndose de la aplicación “***APLICACIÓN.1”. MIRACLIA se limita a alegar que es un operador de telecomunicaciones. No fue hasta las alegaciones a la propuesta de resolución cuando MIRACLIA plantea ante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/27 esta Agencia las razones que ahora reitera en su recurso, según las cuales en las fechas de las denuncias dicha entidad ya se trataba de una compañía de telecomunicaciones que opera un servicio llamado “***APLICACIÓN.1”, el cual está sujeto a la regulación de “servicio de comunicaciones electrónicas interpersonales basado en numeración”, no siendo posible imponer obligaciones adicionales en materia de tratamiento por virtud de lo establecido en el artículo 95 del RGPD. En cuanto a la retención de datos personales del destinatario de la llamada, advierte que está sometida a la Directiva 2006/24/CE sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas, traspuesta en España por la Ley 25/2007. Estas alegaciones fueron suficientemente analizadas y rebatidas en el Fundamento de Derecho IX de la resolución impugnada. Sobre la cuestión expuesta, en este Fundamento de Derecho se expresa lo siguiente: <<IX En sus alegaciones a la propuesta de resolución, MIRACLIA señala que los argumentos contenidos en los fundamentos de derecho anteriores no son válidos para “***APLICACIÓN.1”, que se encuentra en un escenario técnico y de tratamiento de datos distinto al que presentaba en actuaciones anteriores de la Agencia y la Justicia ordinaria. Para el presente caso, según MIRACLIA, “***APLICACIÓN.1” se ajusta a la definición de servicios de comunicaciones electrónicas interpersonales basado en numeración, definido en el artículo 2, apartados 5 y 6, de la Directiva (UE) 2018/1972, por la que se establece el Código Europeo de Comunicaciones Electrónicas (versión refundida). Partiendo de esta consideración, MIRACLIA entiende que sólo intervine facilitando los medios necesarios para prestar el servicio que ha contratado el usuario, único responsable del tratamiento de los datos de la persona que recibe la llamada de broma; que la conversación que tiene lugar por la prestación del servicio es personal o doméstica, en la medida en que el objeto del servicio es establecer una comunicación iniciada por el bromista, limitándose MIRACLIA a facilitar los medios para la transmisión; y que no realiza tratamiento de los datos del destinatario de la llamada de broma más allá del cumplimiento de las obligaciones de conservación que impone la Ley 25/2007, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. Por el mismo motivo, entiende MIRACLIA que no está obligada a facilitar la información a la que se refiere el RGPD, al resultar aplicable lo previsto en el Considerando 173 y el artículo 95 de dicho Reglamento, en relación con la Directiva 2002/58/CE, sobre la privacidad y las comunicaciones electrónicas. Según dicho artículo, el RGPD no impondrá obligaciones adicionales a las personas físicas o jurídicas en materia de tratamiento en el marco de la prestación de servicios públicos de comunicaciones electrónicas en redes públicas de comunicación de la Unión en ámbitos en los que estén sujetas a obligaciones específicas con el mismo objetivo establecidas en la Directiva 2002/58/CE, y, de acuerdo con esta Directiva, no puede exigirse a los servicios de comunicaciones electrónicas interpersonales basados en recursos públicos de numeración que identifique al gestor de la llamada ni a la propietaria de la plataforma o que indique dónde obtener información sobre la llamada o sobre el ejercicio de derechos. Asimismo, debe respetarse el derecho del usuario del servicio a no identificarse y a grabar de forma personal la llamada. Estas alegaciones deben rechazarse, al no existir todavía en el ordenamiento interno ninguna disposición que transponga la Directiva (UE) 2018/1972, cuyo plazo de transposición aún no ha transcurrido. Siendo así, no puede decirse que la actividad que desarrolla mediante la aplicación “***APLICACIÓN.1” se ajuste a una categoría de servicios de comunicaciones electrónicas que, en este momento, no existe en nuestro ordenamiento jurídico. Por otro lado, tampoco es aplicable al presente caso el artículo 95 del RGPD, que prohíbe la imposición de “obligaciones adicionales a las personas físicas o jurídicas en materia de tratamiento en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/27 el marco de la prestación de servicios públicos de comunicaciones electrónicas en redes públicas de comunicación de la Unión en ámbitos en los que estén sujetas a obligaciones específicas con el mismo objetivo establecidas en la Directiva 2002/58/CE”, la cual no figura entre las Directivas que quedarán derogadas por la Directiva (UE) 2018/1972 con efectos a partir del 21/12/2020. El presente acto no está referido a la Directiva 2002/58/CE ni supone la imposición de obligaciones específicas con el mismo objetivo pretendido por esta Directiva En todo caso, cabe añadir que MIRACLIA basa estas alegaciones en el resultado de la auditoría realizada sobre la aplicación “***APLICACIÓN.1” por un ingeniero de telecomunicaciones en julio de 2020, muy posterior al período analizado por los Servicios de Inspección de esta Agencia. Aunque la entidad responsable afirma que la versión de la aplicación auditada corresponde a la versión vigente en el momento en que se formularon las denuncias, no existe ninguna prueba que así lo acredite. Además, esta alegación ni si quiera se planteó en sus alegaciones a la apertura del procedimiento y supone un enfoque diferente a la posición que MIRACLIA ha mantenido durante las fases anteriores, en la que mostraba su disposición a subsanar algunas de las deficiencias puestas de manifiesto y defendía el interés legítimo de la entidad para el tratamiento de datos que realiza. Además, parte de premisas y tiene por constatados hechos que no pueden ser aceptados, principalmente los relacionados con la existencia de una conversación entre un usuario de “***APLICACIÓN.1”, que la inicia, y un tercero. Se afirma que “la persona que inicia la conversación debe ser el usuario que contrata el servicio ***APLICACIÓN.1” y que “una vez establecida la conexión entre el usuario de ***APLICACIÓN.1 y el destinatario de la conversación se permite el intercambio directo de información interpersonal a través de redes de comunicaciones electrónicas entre ambos”. Sin embargo, según ha quedado acreditado, el usuario de la aplicación simplemente programa una llamada, en la que no participa, la cual se realiza desde los sistemas de MIRACLIA con el propósito de reproducir al destinatario una locución (la correspondiente a la broma seleccionada por el usuario), de modo que tampoco esa llamada pone en comunicación a dos personas ni se produce ningún “intercambio directo de información interpersonal”. De producirse una llamada entre el usuario y el destinatario de la broma, esa conversación en ningún caso tendría lugar con la intermediación de “***APLICACIÓN.1”. De la misma forma, no puede admitirse que el usuario de “***APLICACIÓN.1” sea el que decide realizar la grabación del contenido del mensaje que él mismo edita. La llamada de broma queda en todo caso en los sistemas de MIRACLIA, sin que sea necesaria para ello la participación del usuario de “***APLICACIÓN.1”, que se limita a utilizar los medios que facilita la propia entidad para acceder al fichero de audio que genera el sistema, sin que dicho usuario realice ninguna acción para editar su contenido. Respecto de esta cuestión, tampoco puede aceptarse el planteamiento recogido en el informe de auditoría aportado por MIRACLIA, según el cual la calificación de servicio de comunicaciones electrónicas que se incluye en las Condiciones de Uso de la aplicación supone un reconocimiento implícito de la naturaleza del servicio (en el Anexo II al informe de auditoría se llega a afirmar literalmente lo siguiente: “En las condiciones de uso de la aplicación ***APLICACIÓN.1 en el artículo 6 se indica que “como con cualquier servicio de telecomunicaciones, es ilegal el uso de los servicios de ***APLICACIÓN.1 con el propósito de acosar o dañar a nadie”. Existe por tanto una declaración contractual de que ***APLICACIÓN.1 es un servicio sujeto a la regulación de telecomunicaciones y, por ello, un reconocimiento implícito de que se trata de un servicio de comunicaciones electrónicas en tal caso”). Es obvio que la posición que ocupa MIRACLIA en todo lo relativo al funcionamiento de la aplicación “***APLICACIÓN.1” no puede venir determinada por un pacto entre particulares o una declaración contractual, sino por las determinaciones legales que resulten aplicables. Puede decirse, incluso, que las referidas alegaciones deben ser desestimadas aunque considerásemos lo dispuesto en el Código Europeo de Comunicaciones Electrónicas, que define los servicios de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/27 comunicaciones interpersonal incluyendo en este concepto el transporte de señales y otros tipos de servicios que permiten la comunicación. Distingue “tres tipos de servicios que pueden solaparse parcialmente, a saber: servicios de acceso a internet definidos en el artículo 2, punto 2, del Reglamento (UE) 2015/2120 del Parlamento Europeo y del Consejo