1/14
* Expediente N.º: EXP202201673
RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS
Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes
HECHOS
PRIMERO: Con fecha 18 de diciembre de 2021 y con número de registro de entrada
O00007128e2100051803, tuvo entrada en esta Agencia la reclamación formulada por
A.A.A. (en lo sucesivo, la parte reclamante) referida a EUSKALTEL, S.A. (en lo
sucesivo, la parte reclamada), por una presunta vulneración del artículo 15 y 18 del
RGPD.
En particular por las siguientes circunstancias:
La parte reclamante manifestaba que había solicitado el acceso a sus datos
personales, en concreto a los datos de geolocalización respecto de su número de
teléfono ***TELÉFONO.1 (sea digital o basada en el posicionamiento de antenas de
telecomunicación) desde el 1 de enero de 2021 hasta el momento en el que se le
respondiera al ejercicio de derecho de acceso.
Indicaba que presentó tal solicitud mediante correo electrónico dirigido a la dirección
electrónica que figura en la política de privacidad y que le contestaron que no pueden
ayudarle con esa cuestión, ya que ese correo es únicamente para la recepción de
documentación, dirigiéndole a un número de teléfono.
Aportaba copia del correo electrónico enviado y copia del detalle de la política de
privacidad sobre la dirección electrónica a la que pueden dirigirse para solicitar el
acceso de sus datos, figurando aquella a la que se ha dirigido la parte reclamante.
Asimismo indicaba que días después de la solicitud de derecho de acceso, solicitó el
ejercicio del derecho de limitación del tratamiento de sus datos personales, en
concreto les requería para que no procedieran al borrado de los mismos hasta que se
haya dado acceso a ellos.
SEGUNDO: Con fecha 25 de abril de 2022, se dictó resolución por la Directora de la
AEPD en el expediente EXP202201673, en la que se acordó archivar actuaciones por
haber denegado motivadamente, la parte reclamada, el derecho de acceso solicitado
por la parte reclamante.
La parte reclamante interpuso recurso contencioso administrativo contra la Resolución
de la directora de la AEPD de fecha 25 de abril de 2022.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/14
TERCERO: La Sección Primera de Sala de lo Contencioso-Administrativo de la
Audiencia Nacional, por sentencia de 19 de enero de 2023, núm. Recurso
***RECURSO.1, resolvió estimar, por allanamiento de la Administración demandada, el
recurso contencioso-administrativo interpuesto por A.A.A. contra la resolución de la
Directora de la AEPD, de 25 de abril de 2022, que se anula por ser contraria al
ordenamiento jurídico.
En su parte dispositiva dice: FALLAMOS
“Estimar, por allanamiento de la Administración demandada, el presente recurso
interpuesto por la representación procesal de A.A.A., contra la Resolución de la
Directora de la Agencia Española de Protección de Datos de 25 de abril de 2022, que
se anula por ser contraria al ordenamiento jurídico, sin imposición de costas a ninguna
de las partes.”
La Sección Primera de Sala de lo Contencioso-Administrativo de la Audiencia
Nacional, en fecha 10 de abril de 2023 firmó auto de complemento de sentencia, núm.
Recurso ***RECURSO.1, completando el fallo de la sentencia firme de estos autos de
19 de enero de 2023, para añadir expresamente en dicho fallo la retroacción de
actuaciones y tramitación de la reclamación presentada por la parte reclamante.
En su parte dispositiva dice:
“Haber lugar al complemento de la sentencia de 19 de enero de 2023 en el sentido de
que donde dice, al final del fallo, que (…) contra la Resolución de la Directora de la
Agencia Española de Protección de Datos de 25 de abril de 2022, que se anula por
ser contraria al ordenamiento jurídico, DEBE AÑADIRSE QUE: ordenando la AEPD la
retroacción de actuaciones, y que proceda a tramitar la reclamación presentada por D.
A.A.A. contra Euskaltel.”
CUARTO: Con fecha 13 de julio de 2023, se dictó resolución por la Directora de la
AEPD, en la que se acordó:
“PRIMERO: Ejecutar la sentencia en el sentido del art. 104.1 de la LJCA –“Luego que
sea firme una sentencia, el Secretario judicial lo comunicará en el plazo de diez días al
órgano que hubiera realizado la actividad objeto del recurso, a fin de que, recibida la
comunicación, la lleve a puro y debido efecto y practique lo que exija el cumplimiento
de las declaraciones contenidas en el fallo, y en el mismo plazo indique el órgano
responsable del cumplimiento de aquél”-, y
SEGUNDO: Acordar la retroacción de actuaciones y que se proceda a tramitar la
reclamación presentada por D. A.A.A. contra Euskaltel.”
QUINTO: Con fecha 24 de octubre de 2023, la Directora dictó acuerdo de admisión a
trámite, en el cual se concedió a la parte reclamada trámite de audiencia, para que en
el plazo de diez días hábiles presentase las alegaciones que estimara convenientes,
formulando, en síntesis, las siguientes alegaciones:
En primer lugar indica que el reclamante recibió oportuna respuesta a su solicitud de
acceso hasta en tres ocasiones a través de tres interacciones:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/14
“1. Información telefónica facilitada el día 23/11/2021 y registrada a las 12:27 horas,
según prueba aportada en la primera manifestación, y corroborada por el propio D.
A.A.A. en sus conversaciones con Virgin Telco.
2. Correo de la DPD de Virgin Telco de fecha 20/12/2021 de respuesta a la
reclamación presentada por D. A.A.A. ante el mismo el día 29/11/2021.
3. Correo de la DPD de Virgin Telco, del mismo día, en el que se amplía la información
facilitada a D. A.A.A. ante la reiteración de su reclamación.”
Hechos que considera no controvertidos, “pues únicamente se reclama de adverso
que no se le facilitaron los datos a los que había solicitado acceso: en efecto, no se le
facilitaron porque su petición fue denegada (…)”
En segundo lugar indica que no se le facilitaron los datos solicitados en virtud de lo
establecido en la Ley 25/2007, de 18 de octubre, de Conservación de Datos relativos a
las comunicaciones electrónicas y a las redes públicas de comunicaciones, la cual
impone la obligación de conservar determinados datos generados como consecuencia
de la actividad de sus usuarios, con la única y exclusiva finalidad de que puedan ser
puestos a disposición de las autoridades a los efectos de su utilización para la
detección, investigación y enjuiciamiento de delitos graves, motivo por el que se indicó
al reclamante que se denegaba su solicitud porque “No podemos facilitarle los datos
de geoposicionamiento puesto que existe una ley más específica que el RGPD en
España, la ley 25/2007 de Conservación de Datos, que indica que solo podemos
facilitarle esa información a la policía tras un requerimiento de un juez”.
En tercer lugar señala que “no tiene, ni nunca ha tenido, datos de geolocalización” del
reclamante, pues la Ley 25/2007 no impone a los operadores la obligación de
conservar datos de geolocalización, en el sentido manifestado de adverso: únicamente
les obliga a conservar dos tipos de datos (artículo 3.1.f):
“1.° La etiqueta de localización (identificador de celda) al inicio de la comunicación.
2.° Los datos que permiten fijar la localización geográfica de la celda, mediante
referencia a la etiqueta de localización, durante el período en el que se conservan los
datos de las comunicaciones”.
Asimismo señala que “Virgin Telco es un móvil virtual (OMV), y no es titular de
concesiones del espectro público radioeléctrico como de las que sí disponen los
operadores móviles de red (OMR). (…)
Empresas como Virgin Telco no almacenan las coordenadas cartesianas o la
localización GPS de un teléfono móvil que realiza una llamada: únicamente cuenta
con el “identificador de celda” desde el que se inició cada comunicación.”
En cuarto lugar alega que la solicitud del reclamante, “en los términos requeridos,
supone un coste a nivel de recursos y una clara vulneración de derechos de terceros
que se verían afectados por las medidas necesarias para dar cumplimiento a la
petición del reclamante, que Virgin Telco no puede permitirse asumir.” Indicando que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/14
ha realizado un cálculo preliminar de lo que supondría responder a esta solicitud,
ascendiendo la cantidad a 1.668,80€.
Finalmente indica que ha proporcionado una alternativa razonable para el reclamante,
el cual indicó a la Delegada de Protección de Datos de la parte reclamada, mediante
correo electrónico de 23 de mayo de 2023, que necesitaba los datos de
geolocalización del año 2021 para demostrar el cambio de su residencia fiscal a
***PAÍS.1 durante el año 2021, ante la Agencia Tributaria de este país.
Motivo por el que aportó a la parte reclamante “la información del país del roaming o
itinerancia de su línea telefónica.” Pues “este dato sí se trata en los procesos de
facturación, y se almacena durante los tiempos de prescripción de las obligaciones
legales aplicables, que asciende a seis años.”
Pues entiende que tal información es más que suficiente para sostener ante la
Agencia Tributaria o cualquier otra autoridad fiscal que se produjo un cambio de
residencia: en ella se indica que el teléfono móvil del Sr. A.A.A. realizaba y recibía
llamadas desde ***PAÍS.1, fundamentalmente, y no desde España, luego no precisa
de los datos de geolocalización para esta finalidad. De ahí que califiquemos su
pretensión como un capricho (y un abuso de derecho), y que consideremos que esta
circunstancia debe ser tenida en cuenta al resolver sobre la reclamación interpuesta
de adverso.”
SEXTO: Examinado el escrito presentado por la parte reclamada, se traslada a la
parte reclamante el 13 de noviembre de 2023, para que en el plazo de diez días
hábiles formule las alegaciones que considere oportunas.
SÉPTIMO: Con fecha de entrada en registro de 21 de noviembre de 2023, la parte
reclamante solicitó copia del expediente.
El 22 de noviembre de 2023, se remitió a la parte reclamante el expediente.
OCTAVO: Con fecha de entrada en registro de 4 de diciembre de 2023, la parte
reclamante presentó escrito de alegaciones en el que indica, en síntesis lo siguiente:
Comienza señalando “que el hecho de que Euskatel trate datos de geolocalización del
interesado nunca ha sido discutido por ninguna de las partes en este procedimiento,
no ante la AEPD no ante la Audiencia Nacional (…)”
Asimismo indica que “los datos de geolocalización (relativas a una persona física) son
datos personales. Como constató el Grupo de Trabajo del Artículo 29 ya en 2011, en el
Dictamen 13/2011, los datos derivados de las estaciones base deben considerarse
datos personales. Esto incluye los números de identificación de las celdas que ofrecen
información aproximada sobre la ubicación de las personas.”
Considera contradictorio que Euskatel indique que no trata datos de geolocalización
cuando en su escrito de 14 de marzo de 2022 señaló que los trata para dos
finalidades: (i) “Para la realización de perfiles con fines de mercadotecnia directa en
base al consentimiento”, y (ii) “Para el cumplimiento de la Ley 25/2007 de
conservación de datos por obligación legal”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/14
Por ello considera que “el mero almacenamiento de datos personales constituye un
tratamiento de acuerdo al artículo 4(2) RGPD. Así, Euskatel tiene que cumplir con sus
obligaciones que se derivan del RGPD, y no sólo las de la Ley 25/2007.”
También indica que “Euskatel, como responsable del tratamiento, debería en virtud del
artículo 28(3)(e) RGPD asegurarse contractualmente (o, en su caso, según lo previsto
en un “acto jurídico”) de la asistencia del encargado del tratamiento para dar respuesta
a las solicitudes de interesados. Es decir, Euskatel debería, por obligación legal,
contar con la asistencia de los OMR con los que trabaja para dar respuesta a la
solicitud de esta parte.
19. Hasta en el caso de considerarse corresponsables Euskaltel y los OMR, Euskatel
debería haber llegado a un acuerdo en virtud del artículo 26(2) RGPD para asignarse
las tareas en relación con solicitudes de interesados. (…)”
Señala, respecto a la Ley 25/2007, que “el RGPD sigue teniendo primacía sobre la
legislación nacional en virtud d ellos principios de supremacía del Derecho de la UE
(véase la sentencia del TJUE en el asunto C-6/64, Costa v Enel).”
Indicando a continuación que “del tenor literal del artículo 9(1) de la Ley 25/2007 se
desprende claramente que la Ley 25/2007 no exime a Euskatel de su obligación de
dar acceso a los datos de geolocalización de esta parte en virtud del artículo 15
RGPD. Efectivamente como también ha expuesto esta parte en el recurso
contencioso-administrativo, el artículo 9 de la Ley 25/2007 es la única disposición que
se refiere al derecho de acceso por parte de los interesados, concretamente se refiere
a las excepciones al derecho de acceso, lo que significa que el derecho de acceso
previsto en el artículo 15 RGPD es de aplicación general, salvo que sea aplicable la
excepción prevista. En el caso que nos ocupa solamente se podría excluir dar
información sobre “una cesión de datos” en virtud de la Ley 25/2007) (es decir,
información sobre determinados “destinatarios”, para emplear el lenguaje del RGPD),
de haberse producido.”
Considera que el esfuerzo y coste que supone a Euskatel dar cumplimiento a su
solicitud vienen a demostrar la insuficiencia de su sistema pues “que Euskatel
organice sus sistemas de esta forma es responsabilidad suya. Según las Directrices
01/2022 del CEPD sobre el derecho de acceso deben determinarse en primer lugar
las funciones técnicas disponibles para recuperar los datos.”
Entiende que es un argumento “insostenible” la alegación de Euskatel de que “la
búsqueda manual de los registros del interesado iba a violar la “privacidad” de otros
usuarios, afectando así a los derechos de terceros.”, pues (i) “no está claro a quién se
revelarían los datos de otros usuarios” (ii) “Un sistema informático no requiere analizar
y consultar los datos de millones de usuarios para extraer los datos de un individuo.
Por el contrario, simplemente requiere una búsqueda con parámetros para extraer del
archivo los datos del individuo en cuestión. En otras palabras, si se siguiera (…) el
razonamiento de Euskaltel, nunca sería posible ninguna solicitud de acceso, lo que
supondría una derogación implícita generalizada del RGPD debido a una curiosa
imposibilidad técnica (…)”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/14
Respecto a la alternativa ofrecida por Euskatel para dar respuesta a los fines para los
que se presentó la solicitud de acceso, señala que tales motivos son irrelevantes así
como no obligatorios para dar respuesta a tal solicitud, por lo que se debería haber
atendido a la solicitud de acceso. Asimismo indica que, como ya señalara en su escrito
de demanda del recurso contencioso-administrativo, los datos proporcionados “no son
lo suficientemente precisos para ser calificados como de datos de geolocalización”.
Finalmente indica que “Después de que la persona interesada presentara una solicitud
de acceso a Euskaltel, también solicitó la limitación del tratamiento para evitar que se
suprimieran los datos solicitados. Sin embargo, Euskaltel nunca ha atendido dicha
solicitud (…).Este comportamiento constituye una violación del artículo 18(1)(c)
RGPD.”
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la
LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la
Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de
Protección de Datos es competente para desempeñar las funciones que se le asignan
en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la
sensibilización de los responsables y los encargados del tratamiento acerca de las
obligaciones que les incumben, así como tratar las reclamaciones presentadas por un
interesado e investigar, en la medida oportuna, el motivo de las mismas.
Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables
y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en
el desempeño de sus funciones. Para el caso de que éstos hayan designado un
delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de
cooperar con dicha autoridad.
De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de
la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de
ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/14
presente procedimiento, se dio traslado de la misma a la parte reclamada para que
procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y
acreditara haber facilitado al reclamante la respuesta debida.
Si bien el 25 de abril de 2022, se dictó resolución por la Directora de la AEPD en el
expediente EXP202201673, en la que se acordó archivar actuaciones por haber
denegado motivadamente, la parte reclamada, el derecho de acceso solicitado por la
parte reclamante, tras la interposición de recurso contencioso-administrativo por la
parte reclamante, la Sección Primera de Sala de lo Contencioso-Administrativo de la
Audiencia Nacional, por sentencia de 19 de enero de 2023, núm. Recurso
***RECURSO.1, resolvió estimar, por allanamiento de la Administración demandada, el
mencionado recurso contencioso-administrativo, que anula la resolución de 25 de abril
de la Directora de la AEPD por ser contraria al ordenamiento jurídico.
Con fecha 13 de julio de 2023, se dictó resolución por la Directora de la AEPD, de
ejecución de la mencionada sentencia así como de retroacción de las actuaciones.
Resolución que determina la apertura del presente procedimiento de falta de atención
de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del
RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual:
“Cuando el procedimiento se refiera exclusivamente a la falta de atención de una
solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de
2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo
establecido en el artículo 65 de esta ley orgánica.
En este caso el plazo para resolver el procedimiento será de seis meses a contar
desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a
trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su
reclamación”.
El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una
serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD,
de entre los que se incluye “ordenar al responsable o encargado del tratamiento que
atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del
presente Reglamento.”
III
Derechos de las personas en materia de protección de datos personales
Los derechos de las personas en materia de protección de datos personales están
regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se
contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la
limitación del tratamiento y derecho a la portabilidad.
Los aspectos formales relativos al ejercicio de esos derechos se establecen en los
artículos 12 del RGPD y 12 de la LOPDGDD.
Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del
RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/14
De conformidad con lo dispuesto en estas normas, el responsable del tratamiento
debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus
derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3
del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un
mes, salvo que pueda demostrar que no está en condiciones de identificar al
interesado, y a expresar sus motivos en caso de que no fuera a atender dicha
solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de
responder a la solicitud de ejercicio de sus derechos formulada por el afectado.
La comunicación que se dirija al interesado con ocasión de su solicitud deberá
expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un
lenguaje claro y sencillo.
IV
Derecho de acceso
Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD,
"el interesado tiene derecho a obtener del responsable del tratamiento confirmación de
si se están tratando o no datos personales que le conciernen y, en tal caso, derecho
de acceso a los datos personales".
Tratándose del derecho de acceso a los datos personales, de acuerdo con lo
establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se
refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que
especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El
derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos,
teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información
referida a los extremos previstos en el artículo 15 del RGPD).
El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una
ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello.
Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio
distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser
asumido por el afectado.
Al igual que el resto de los derechos del interesado, el derecho de acceso es un
derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento
que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos
personales que le conciernan y que estén siendo objeto de tratamiento, así como
información, en particular, sobre los fines del tratamiento, las categorías de datos
personales de que se trate, los destinatarios o categorías de destinatarios a los que
podrán comunicarse los datos, el plazo previsto o criterios de conservación, la
posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la
autoridad de control, la información disponible sobre el origen de los datos (si estos no
se han obtenido directamente de titular), la existencia de decisiones automatizadas,
incluida la elaboración de perfiles, e información sobre transferencias de datos
personales a un tercer país o a una organización internacional. La posibilidad de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/14
obtener copia de los datos personales objeto de tratamiento no afectará
negativamente a los derechos y libertades de otros.
En el supuesto aquí analizado, la parte reclamante ejerció su derecho de acceso, lo
cual fue denegado por Euskaltel el 20 de diciembre de 2021 indicándole que “No
podemos facilitarle los datos de geoposicionamiento puesto que existe una ley más
específica que el RGPD en España, la ley 25/2007 de Conservación de Datos, que
indica que solo podemos facilitarle esa información a la policía tras un requerimiento
de un juez”.
Ahora debemos analizar si lo solicitado por el reclamante y denegado por el reclamado
forma parte del derecho de acceso y por tanto ha de atenderse.
V
El derecho de acceso en relación con datos de carácter personal que deben ser
objeto de conservación conforme a la Ley 25/2007, de 18 de octubre
Según la parte reclamada no se facilitaron a la parte reclamante los datos solicitados
en virtud de lo establecido en la Ley 25/2007, de 18 de octubre, de Conservación de
Datos relativos a las comunicaciones electrónicas y a las redes públicas de
comunicaciones, la cual impone la obligación de conservar determinados datos
generados como consecuencia de la actividad de sus usuarios, con la única y
exclusiva finalidad de que puedan ser puestos a disposición de las autoridades a los
efectos de su utilización para la detección, investigación y enjuiciamiento de delitos
graves, motivo por el que se indicó a la parte reclamante que se denegaba su solicitud
porque “No podemos facilitarle los datos de geoposicionamiento puesto que existe una
ley más específica que el RGPD en España, la ley 25/2007 de Conservación de
Datos, que indica que solo podemos facilitarle esa información a la policía tras un
requerimiento de un juez”.
A este respecto debe señalarse lo siguiente: en primer lugar, el artículo 15.1 del RGPD
establece que “El interesado tendrá derecho a obtener del responsable del tratamiento
confirmación de si se están tratando o no datos personales que le conciernen y, en tal
caso, derecho de acceso a los datos personales y a la siguiente información”
Adicionalmente los apartados 3 y 4 del artículo 15 establecen lo siguiente:
“3. El responsable del tratamiento facilitará una copia de los datos personales
objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada
por el interesado un canon razonable basado en los costes administrativos. Cuando el
interesado presente la solicitud por medios electrónicos, y a menos que este solicite
que se facilite de otro modo, la información se facilitará en un formato electrónico de
uso común.
4. El derecho a obtener copia mencionado en el apartado 3 no afectará
negativamente a los derechos y libertades de otros.”
Por su parte, el considerando 63 del RGPD establece lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/14
“Los interesados deben tener derecho a acceder a los datos personales recogidos que
le conciernan y a ejercer dicho derecho con facilidad y a intervalos razonables, con el
fin de conocer y verificar la licitud del tratamiento. Ello incluye el derecho de los
interesados a acceder a datos relativos a la salud, por ejemplo los datos de sus
historias clínicas que contengan información como diagnósticos, resultados de
exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones
practicadas. Todo interesado debe, por tanto, tener el derecho a conocer y a que se le
comuniquen, en particular, los fines para los que se tratan los datos personales, su
plazo de tratamiento, sus destinatarios, la lógica implícita en todo tratamiento
automático de datos personales y, por lo menos cuando se base en la elaboración de
perfiles, las consecuencias de dicho tratamiento. Si es posible, el responsable del
tratamiento debe estar facultado para facilitar acceso remoto a un sistema seguro que
ofrezca al interesado un acceso directo a sus datos personales. Este derecho no debe
afectar negativamente a los derechos y libertades de terceros, incluidos los secretos
comerciales o la propiedad intelectual y, en particular, los derechos de propiedad
intelectual que protegen programas informáticos. No obstante, estas consideraciones
no deben tener como resultado la negativa a prestar toda la información al interesado.
Si trata una gran cantidad de información relativa al interesado, el responsable del
tratamiento debe estar facultado para solicitar que, antes de facilitarse la información,
el interesado especifique la información o actividades de tratamiento a que se refiere
la solicitud.”
La parte reclamada no discute la naturaleza de datos personales de la información
solicitada por la reclamante. Con ello, les serían plenamente aplicables las
disposiciones del derecho de acceso. Únicamente se limita a afirmar que no estaría
obligada a otorgar dicho derecho debido a que, a su juicio, su conservación se
establecería legalmente con el único objetivo de ser puestos a disposición de las
Fuerzas y cuerpos de seguridad, previa autorización judicial, conforme a lo establecido
en la Ley 25/2007, de 18 de octubre.
Sin embargo, una vez determinado el carácter de “dato personal” de la información
solicitada, las únicas excepciones que pudieran establecerse respecto al ejercicio de
cualquier derecho de los establecidos en los artículos 15 a 22 del Reglamento serán
las legalmente establecidas.
A este respecto, el artículo 9 de la mencionada Ley 25/2007 establece lo siguiente:
“Artículo 9. Excepciones a los derechos de acceso y cancelación.
1. El responsable del tratamiento de los datos no comunicará la cesión de datos
efectuada de conformidad con esta Ley.
2. El responsable del tratamiento de los datos denegará el ejercicio del derecho de
cancelación en los términos y condiciones previstos en la Ley Orgánica 15/1999, de
13 de diciembre.”
Puede fácilmente advertirse que no se establece restricción alguna en relación con la
posibilidad de ejercer el derecho de acceso. Únicamente se contienen las obvias
precauciones de que al titular de los datos no tendrá que comunicársele la cesión de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/14
los mismos (cuestión obvia por tratarse de investigaciones penales), y que no podrá
ejercerse el derecho de supresión.
La conclusión es que los datos de ubicación de la línea telefónica pueden ser objeto
de petición de derecho de acceso.
VI
Ejercicio del derecho y condiciones de atención del mismo por la parte reclamada
Señala la parte reclamada que “no tiene, ni nunca ha tenido, datos de geolocalización”,
afirmación que resulta contradictoria con la respuesta que dio a la solicitud de derecho
de acceso de la parte reclamante, toda vez que solamente se la indicó “No podemos
facilitarle los datos de geoposicionamiento puesto que existe una ley más específica
que el RGPD en España, la ley 25/2007 de Conservación de Datos, que indica que
solo podemos facilitarle esa información a la policía tras un requerimiento de un juez”.
También alega la parte reclamada que “en los términos requeridos, supone un coste a
nivel de recursos y una clara vulneración de derechos de terceros que se verían
afectados por las medidas necesarias para dar cumplimiento a la petición del
reclamante, que Virgin Telco no puede permitirse asumir.”
Conviene aclarar lo ya reproducido en relación con el ejercicio del derecho de acceso:
se ejercitará en relación con los datos personales “que le conciernen” (artículo 15.1
RGPD). A este respecto, la parte reclamada deberá adoptar las precauciones
necesarias para garantizar que únicamente se facilitan a la parte reclamante los datos
personales que conciernan a dicha parte reclamante, por ser esta última la usuaria (no
solo la titular) de la línea telefónica móvil. Y todo ello en atención a los riesgos en los
derechos y libertades de los interesados.
Asimismo, en relación con el coste que supone dar cumplimiento a tal solicitud, hay
que traer a colación las Directrices número 1/2022, adoptadas el 28 de marzo de 2023,
por la que se aprueba la Guía de aplicación del artículo 15 del RGPD, sobre el
Derecho de Acceso del Interesado, en cuyo apartado 188 indica que “El hecho de que
el responsable del tratamiento tome una gran cantidad de tiempo y esfuerzo para
proporcionar la información o la copia al interesado no puede por sí solo hacer que
una solicitud sea excesiva.”
Finalmente indica la parte reclamada que ha proporcionado una alternativa razonable
para la parte reclamante, la cual indicó a la Delegada de Protección de Datos de
Euskaltel, mediante correo electrónico de 23 de mayo de 2023, que necesitaba los
datos de geolocalización del año 2021 para demostrar el cambio de su residencia
fiscal a ***PAÍS.1 durante el año 2021, ante la Agencia Tributaria de este país. Por ello,
le remitió “la información del país del roaming o itinerancia de su línea telefónica.”
Pues “este dato sí se trata en los procesos de facturación, y se almacena durante los
tiempos de prescripción de las obligaciones legales aplicables, que asciende a seis
años.” Además entiende que tal información es más que suficiente para sostener ante
la Agencia Tributaria o cualquier otra autoridad fiscal que se produjo un cambio de
residencia: en ella se indica que el teléfono móvil del Sr. A.A.A. realizaba y recibía
llamadas desde ***PAÍS.1, fundamentalmente, y no desde España, luego no precisa
de los datos de geolocalización para esta finalidad. De ahí que califiquemos su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/14
pretensión como un capricho (y un abuso de derecho), y que consideremos que esta
circunstancia debe ser tenida en cuenta al resolver sobre la reclamación interpuesta
de adverso.”
No obstante, la solicitud de derecho de acceso de la parte reclamante versa sobre los
datos de geolocalización de su línea telefónica móvil, siendo indiferente el motivo por
el que lo solicita. Asimismo, no se trata de una solicitud ni excesiva ni infundada, por lo
que el responsable del tratamiento no puede negarse a actuar al respecto.
Por lo expuesto, procede estimar la reclamación que originó el presente procedimiento
en lo relativo al derecho de acceso.
VII
Derecho a la limitación del tratamiento
El artículo 18 del RGPD, que regula el derecho a la limitación del tratamiento de los
datos personales, establece lo siguiente:
"1. El interesado tendrá derecho a obtener del responsable del tratamiento la limitación
del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:
a) el interesado impugne la exactitud de los datos personales, durante un plazo que
permita al responsable verificar la exactitud de los mismos;
b) el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos
personales y solicite en su lugar la limitación de su uso;
c) el responsable ya no necesite los datos personales para los fines del tratamiento,
pero el interesado los necesite para la formulación, el ejercicio o la defensa de
reclamaciones;
d) el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1,
mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del
interesado.
2. Cuando el tratamiento de datos personales se haya limitado en virtud del apartado
1, dichos datos solo podrán ser objeto de tratamiento, con excepción de su
conservación, con el consentimiento del interesado o para la formulación, el ejercicio o
la defensa de reclamaciones, o con miras a la protección de los derechos de otra
persona física o jurídica o por razones de interés público importante de la Unión o de
un determinado Estado miembro.
3. Todo interesado que haya obtenido la limitación del tratamiento con arreglo al
apartado 1 será informado por el responsable antes del levantamiento de dicha
limitación".
Hay que señalar que, el derecho a la limitación del tratamiento habilita a la parte
reclamante a que se limite el tratamiento de los datos cuando se impugne la exactitud
de los datos personales, durante un plazo que permita al responsable verificar la
exactitud de los mismos; cuando el tratamiento sea ilícito y se oponga a la supresión
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/14
de los datos personales; cuando el responsable ya no necesite los datos personales
para los fines del tratamiento, pero sean necesarios para la formulación del ejercicio o
la defensa de reclamaciones o cuando se haya opuesto al tratamiento, mientras se
verifica si los motivos legítimos del responsable prevalecen sobre los de la parte
reclamante.
Se comprueba que en este caso, la parte reclamante ejerció su derecho de limitación,
toda vez que solicitó a la parte reclamada que no procedieran al borrado de los datos
personales solicitados en el derecho de acceso hasta que éstos le fueran facilitado.
Frente a este ejercicio, no consta que la parte reclamada haya contestado
expresamente atendiéndolo o denegándolo motivadamente, y que le haya remitido la
preceptiva respuesta a su solicitud, tal como establece el artículo 12.4 de la
LOPDGDD.
Dado que no se acompaña copia de la necesaria comunicación que debe dirigir a la
parte reclamante informándole sobre la decisión que haya adoptado a propósito de la
solicitud de ejercicio de derechos, procede estimar la reclamación que originó el
presente procedimiento en lo relativo al derecho de limitación.
Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia
Española de Protección de Datos RESUELVE:
PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha
infringido lo dispuesto en el artículo 15 del RGPD e instar a EUSKALTEL, S.A. con NIF
A48766695, para que, en el plazo de los diez días hábiles siguientes a la notificación
de la presente resolución, remita a la parte reclamante certificación en la que se
atienda el derecho solicitado o se deniegue motivadamente indicando las causas por
las que no procede atender la petición, de conformidad con lo establecido en el cuerpo
de la presente resolución, esto es, garantizando que los datos personales que le
conciernen se den al usuario de la línea telefónica, que puede ser o no el titular de la
línea. Las actuaciones realizadas como consecuencia de la presente Resolución
deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta
resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD,
calificada como muy grave a los efectos de prescripción en el artículo 72.1.m) de la
LOPDGDD, que se sancionará de acuerdo con el artículo 58.2 del RGPD.
SEGUNDO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha
infringido lo dispuesto en el artículo 18 del RGPD e instar a EUSKALTEL, S.A. con NIF
A48766695, para que, en el plazo de los diez días hábiles siguientes a la notificación
de la presente resolución, remita a la parte reclamante certificación en la que se
atienda el derecho solicitado o se deniegue motivadamente indicando las causas por
las que no procede atender la petición, de conformidad con lo establecido en el cuerpo
de la presente resolución. Las actuaciones realizadas como consecuencia de la
presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El
incumplimiento de esta resolución podría comportar la comisión de la infracción
considerada en el artículo 72.1.m) de la LOPDGDD, que se sancionará, de acuerdo
con el art. 58.2 del RGPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/14
TERCERO: NOTIFICAR la presente resolución a A.A.A. y a EUSKALTEL, S.A..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
1381-090823
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es