TD-00967-2017

1/8 Procedimiento Nº: TD/00967/2017 RESOLUCIÓN Nº.: R/02288/2017 Vista la reclamación formulada por D. A.A.A. contra VODAFONE ONO, S.A.U., con fecha de entrada en esta Agencia el 6 de abril de 2017, por no haber sido atendido debidamente su derecho de acceso. HECHOS PRIMERO: Con fecha 04 de marzo de 2017 D. A.A.A. (en lo sucesivo, el reclamante) remitió un correo electrónico a VODAFONE ONO, S.A.U. solicitando “(…) el acceso a todos mis datos de carácter personal en el fichero “Requerimientos de Agentes Facultados" desde 1 de septiembre de 2016 hasta 10 de enero de 2017, ambos inclusive. Acepto que se acoten los resultados a mis comunicaciones realizadas como empleado público, si es viable.” SEGUNDO: Con fecha 06 de abril de 2017 tuvo entrada en esta Agencia reclamación contra Vodafone Ono por no haber sido debidamente atendido su derecho de acceso. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 15 de la LOPD dispone que “1. El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos. 2. La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. 3. El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrán ejercitarlo antes.” CUARTO: El artículo 27 del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD), regula el derecho de acceso en los siguientes términos: "1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se está realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. 2. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento. No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una realización una relación de todos ellos. 3. El derecho de acceso es independiente del que otorgan a los afectados las leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común." QUINTO: El artículo 25 del RLOPD determina: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
2. a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
3. b)Petición en que se concreta la solicitud.
4. c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
5. d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SEXTO: El artículo 29 del RLOPD dispone lo siguiente: “1. El responsable del fichero resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición de acceso, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 2. Si la solicitud fuera estimada y el responsable no acompañase a su comunicación la información a la que se refiere el artículo 27.1, el acceso se hará efectivo durante los diez días siguientes a dicha comunicación. 3. La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. Dicha información comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como la información disponible sobre el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos.” SÉPTIMO: El objetivo principal de la Ley 25/2007, de 18 octubre, de conservación de datos de comunicaciones electrónicas y de redes públicas de comunicación, es establecer la obligación de los operadores de telecomunicaciones de retener determinados datos generados o tratados por los mismos, con el fin de posibilitar que dispongan de ellos los agentes facultados. Se entienden por agentes facultados, entre otros, los miembros de los Cuerpos Policiales autorizados para ello en el marco de una investigación criminal por la comisión de un delito. En este sentido, la Ley es respetuosa con los pronunciamientos que, en relación con el derecho al secreto de las comunicaciones, ha venido emitiendo el Tribunal Constitucional, respeto que, especialmente, se articula a través de dos garantías: en primer lugar, que los datos sobre los que se establece la obligación de conservación son C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 datos exclusivamente vinculados a la comunicación, ya sea telefónica o efectuada a través de Internet, pero en ningún caso reveladores del contenido de ésta; y, en segundo lugar, que la cesión de tales datos que afecten a una comunicación o comunicaciones concretas, exigirá, siempre, la autorización judicial previa. El artículo 1.1 de la citada Ley 25/2007 dispone que “1. Esta Ley tiene por objeto la regulación de la obligación de los operadores de conservar los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación, así como el deber de cesión de dichos datos a los agentes facultados siempre que les sean requeridos a través de la correspondiente autorización judicial con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales.” Y el artículo 3, Datos objeto de conservación: “1. Los datos que deben conservarse por los operadores especificados en el artículo 2 de esta Ley, son los siguientes:
6. a)Datos necesarios para rastrear e identificar el origen de una comunicación: 1º Con respecto a la telefonía de red fija y a la telefonía móvil:
7. i)Número de teléfono de llamada.
8. ii)Nombre y dirección del abonado o usuario registrado. (…)
9. b)Datos necesarios para identificar el destino de una comunicación: 1º Con respecto a la telefonía de red fija y a la telefonía móvil:
10. i)El número o números marcados (el número o números de teléfono de destino) y, en aquellos casos en que intervengan otros servicios, como el desvío o la transferencia de llamadas, el número o números hacia los que se transfieren las llamadas.
11. ii)Los nombres y las direcciones de los abonados o usuarios registrados. (…)
12. c)Datos necesarios para determinar la fecha, hora y duración de una comunicación: 1º Con respecto a la telefonía de red fija y a la telefonía móvil: la fecha y hora del comienzo y fin de la llamada o, en su caso, del servicio de mensajería o del servicio multimedia. (…)
13. d)Datos necesarios para identificar el tipo de comunicación. 1º C/ Jorge Juan, 6 28001 – Madrid Con respecto a la telefonía de red fija y a la telefonía móvil: el servicio www.agpd.es sedeagpd.gob.es 5/8 telefónico utilizado: tipo de llamada (transmisión de voz, buzón vocal, conferencia, datos), servicios suplementarios (incluido el reenvío o transferencia de llamadas) o servicios de mensajería o multimedia empleados (incluidos los servicios de mensajes cortos, servicios multimedia avanzados y servicios multimedia). (…)
14. e)Datos necesarios para identificar el equipo de comunicación de los usuarios o lo que se considera ser el equipo de comunicación: 1º Con respecto a la telefonía de red fija: los números de teléfono de origen y de destino. 2º Con respecto a la telefonía móvil:
15. i)Los números de teléfono de origen y destino.
16. ii)La identidad internacional del abonado móvil (IMSI) de la parte que efectúa la llamada. iii) La identidad internacional del equipo móvil (IMEI) de la parte que efectúa la llamada.
17. iv)La IMSI de la parte que recibe la llamada.
18. v)La IMEI de la parte que recibe la llamada.
19. vi)En el caso de los servicios anónimos de pago por adelantado, tales como los servicios con tarjetas prepago, fecha y hora de la primera activación del servicio y la etiqueta de localización (el identificador de celda) desde la que se haya activado el servicio. (…)
20. f)Datos necesarios para identificar la localización del equipo de comunicación móvil: 1º La etiqueta de localización (identificador de celda) al inicio de la comunicación. 2º Los datos que permiten fijar la localización geográfica de la celda, mediante referencia a la etiqueta de localización, durante el período en el que se conservan los datos de las comunicaciones. 2. Ningún dato que revele el contenido de la comunicación podrá conservarse en virtud de esta Ley.” El artículo 6, Normas generales sobre cesión de datos, de la mencionada ley establece que: “1. Los datos conservados de conformidad con lo dispuesto en esta Ley sólo podrán ser cedidos de acuerdo con lo dispuesto en ella para los fines que se determinan y previa autorización judicial.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 OCTAVO: El artículo 9 de la citada Ley 25/2007, Excepciones a los derechos de acceso y cancelación, dispone que: “1. El responsable del tratamiento de los datos no comunicará la cesión de datos efectuada de conformidad con esta Ley. 2. El responsable del tratamiento de los datos denegará el ejercicio del derecho de cancelación en los términos y condiciones previstos en la Ley Orgánica 15/1999, de 13 de diciembre.” NOVENO: Antes de entrar a analizar la reclamación que ha dado lugar al presente procedimiento, hay que señalar que esta Agencia ha tramitado otros dos procedimientos de Tutela de Derechos, y sus correspondientes Recursos de Reposición, instados por el reclamante contra la misma entidad y por los mismos motivos. En el procedimiento TD/00773/2013 el reclamante solicitaba el acceso e información disponible sobre las comunicaciones por internet de una determinada dirección de IP. Se resolvió inadmitiendo la pretensión del reclamante ya que el derecho de acceso regulado en la normativa de protección de datos “(…) no comprende el acceso a datos de terceros ni el acceso a las comunicaciones realizadas por medios informáticos de una determinada dirección IP, ya que las comunicaciones tienen una entidad propia y deben ser protegidas al tener un carácter íntimo con independencia de su contenido y no pueden darse intromisiones por particulares, y si así fuera, se estaría vulnerando el secreto de las comunicaciones (…)”. Contra dicha resolución el interesado presentó recurso de reposición, siendo la resolución del mismo desestimatoria al no haber aportado documentación alguna que permitiese considerar que el reclamante hubiese solicitado el acceso a sus datos personales conforme estipula la normativa de protección de datos. El reclamante interpuso recurso contencioso-administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, que dictó sentencia con fecha 30 de septiembre de 2014 desestimando el recurso, indicando que “En este sentido, debe recordarse que el artículo 15 de la LOPD reconoce el derecho del titular de los datos personales a acceso a información sobre los mismos, siempre y cuando estén siendo sometidos a tratamiento, y el artículo 27 del Real Decreto 1720/2007, de 21 de diciembre, que aprueba el Reglamento de desarrollo de la LOPD, define este derecho de acceso como el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad de su tratamiento que, en su caso, se esté realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. Añade el artículo 27 citado que el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero o a la totalidad de los datos sometidos a tratamiento. Ahora bien, la delimitación del concreto alcance del derecho de acceso reclamado, se ve comprometida en el caso que nos ocupa por dos circunstancias relevantes que conducen a la procedencia de su denegación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 En efecto, la solicitud de acceso a información formulada por la aquí demandante ante Cableuropa, S.A.U. es ajena al contenido del derecho de acceso a datos personales que reconoce al titular de tales datos el artículo 15 de la LOPD, pues va dirigida a obtener información sobre comunicaciones por internet entre el domicilio identificado como del solicitante y el servidor con dirección IP (…). Por consiguiente, no tiene por objeto la obtención de información de los datos de carácter personal del solicitante sometidos a tratamiento, del origen de tales datos y de las comunicaciones realizadas o que se prevén hacer de los mismos por el responsable de fichero, sino acerca del contenido de las comunicaciones que hubieran tenido lugar mediante internet entre el que dice ser su domicilio y una determinada dirección IP, información que en modo alguno queda comprendida en el derecho de acceso reconocido al titular de datos personales y configurado legalmente en los términos antes expresados. Por otro lado, la citada información presumiblemente afectaría a terceros, por lo que de haberse facilitado al reclamante habría conllevado una vulneración del derecho al secreto de las comunicaciones que consagra el artículo 18.1 de nuestra Constitución.” En el procedimiento TD/00745/2016, instruido por esta Agencia como consecuencia de la reclamación interpuesta por el interesado contra la misma entidad, se resolvió desestimando su pretensión dada la similitud de la misma con la resuelta en el procedimiento TD/00773/2013. DÉCIMO: En el presente caso, el reclamante solicitó a Vodafone Ono “(…) el acceso a todos mis datos de carácter personal en el fichero “Requerimientos de Agentes Facultados" desde 1 de septiembre de 2016 hasta 10 de enero de 2017, ambos inclusive. Acepto que se acoten los resultados a mis comunicaciones realizadas como empleado público, si es viable”, es decir, las mismas pretensiones que las ya analizadas y resueltas en los procedimientos TD/00773/2013 y TD/00745/2016. En consecuencia, procede inadmitir la presente reclamación de Tutela de Derechos. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: INADMITIR la reclamación formulada por D. A.A.A. contra VODAFONE ONO, S.A.U.. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a VODAFONE ONO, S.A.U.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la Disposición Adicional Cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es