1/34
Expediente N.º: EXP202410464 (PS/00328/2024)
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: Con fecha 5 de enero de 2024, por la Directora de la Agencia Española de
Protección de Datos se dictó resolución en el procedimiento de ejercicio de derechos
del expediente número EXP202201673 (d), seguido contra EUSKALTEL, S.A. (en
adelante, EUSKALTEL), con NIF A48766695.
La parte reclamante manifestaba que había solicitado el acceso a sus datos
personales, en concreto a los datos de geolocalización respecto de su número de
teléfono ***TELÉFONO.1 (sea digital o basada en el posicionamiento de antenas de
telecomunicación) desde el 1 de enero de 2021 hasta el momento en el que se le
respondiera al ejercicio de derecho de acceso.
Así mismo, indicaba que días después de la solicitud de derecho de acceso, solicitó el
ejercicio del derecho de limitación del tratamiento de sus datos personales, en
concreto les requería para que no procedieran al borrado de estos hasta que se haya
dado acceso a ellos.
La resolución que ponía fin al procedimiento resolvía estimar la reclamación formulada
por A.A.A., instando a EUSKALTEL para que en el plazo de 10 días hábiles remitiese
a la parte reclamante certificación en la que se atienda el derecho solicitado o se
deniegue motivadamente indicando las causas por las que no procede atender la
petición, de conformidad con lo establecido en el cuerpo de la resolución, esto es,
garantizando que los datos personales que le conciernen se den al usuario de la línea
telefónica, que puede ser o no el titular de la línea, tal y como consta acreditado en el
expediente, debiendo comunicar a esta Agencia las actuaciones realizadas como
consecuencia de dicha resolución.
La resolución del procedimiento de ejercicio de derechos fue notificada
fehacientemente en fecha 11 de enero de 2024.
SEGUNDO: Con fecha 25 de enero de 2024, con número de registro
***REFERENCIA.1, EUSKATEL interpuso recurso de reposición contra la resolución a
que se refiere el antecedente primero, solicitando la suspensión de la ejecución del
acto recurrido. Este recurso fue desestimado y la solicitud de suspensión fue
rechazada por improcedente, al resolverse el recurso de reposición, por resolución de
la Directora de esta Agencia de fecha 23 de febrero de 2024, siendo notificada
fehacientemente con fecha 1 de marzo de 2024.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/34
TERCERO: Con fecha 21 de marzo de 2024 se recibió escrito de la parte reclamante,
con número de registro de entrada ***REFERENCIA.2, en el que aportaba los datos
proporcionados por EUSKALTEL para atender el derecho de acceso. Dichos datos
consistían en los identificadores de las celdas con las que se conectó el teléfono del
reclamante en las fechas en las que estuvo en España y no cubren la totalidad de los
datos solicitados en el ejercicio del derecho de acceso por la parte reclamante.
CUARTO: Con fecha 26 de marzo de 2024 se remitió desde esta Agencia un
requerimiento a EUSKALTEL para que diera cumplimiento a la resolución dictada, en
los términos en ella establecidos. Este requerimiento fue notificado con fecha 3 de abril
de 2024, como consta en el acuse de recibo que obra en el expediente.
Con fecha 10 de abril de 2024 tuvo entrada respuesta al requerimiento de
EUSKALTEL, número de registro ***REFERENCIA.3, en la que se alegaba que no
disponía de los datos de geolocalización de la parte reclamante, más allá de la
información de las celdas en las fechas ya proporcionadas, y, subsidiariamente, se
exponían otras causas que ya fueron analizadas en el procedimiento y valoradas en la
resolución.
QUINTO: Con fecha 10 de mayo de 2024 esta Agencia procedió a requerir
nuevamente a EUSKALTEL el cumplimiento de la resolución en sus propios términos,
y, en el caso de que todos o parte de los datos solicitados por la parte reclamante no
pudieran ser proporcionados por no disponer de ellos, debía denegarse el derecho de
acceso motivadamente indicando las causas. Se advertía, además, que las causas
alegadas, analizadas y rechazadas en la propia resolución no pueden ser aceptadas
para denegar el derecho. Y es que, tal y como se establece en la resolución,
EUSKALTEL debe remitir “a la parte reclamante certificación en la que se atienda el
derecho solicitado o se deniegue motivadamente indicando las causas por las que no
procede atender la petición, de conformidad con lo establecido en el cuerpo de la
presente resolución, esto es, garantizando que los datos personales que le conciernen
se den al usuario de la línea telefónica, que puede ser o no el titular de la línea.”
Este requerimiento fue notificado a EUSKALTEL con fecha 3 de abril de 2024, como
consta en el acuse de recibo que obra en el expediente.
SEXTO: Con fecha 30 de mayo de 2024, tuvo entrada con número de registro
***REFERENCIA.4, respuesta a este requerimiento en el que EUSKALTEL deniega el
acceso a los datos de geolocalización esgrimiendo que “no trata, ni nunca ha tratado,
dato alguno de geolocalización de líneas móviles: solo almacena los identificadores de
las celdas desde las que se conectan dichas líneas a la red de telecomunicaciones.
Únicamente los operadores con red propia cuentan con dicha información, y
***EMPRESA.1 no es uno de ellos: ignoramos la localización geográfica de cada
celda, pues dicha información pertenece al operador móvil de red”.
Este argumento ya fue contestado en el Fundamento de Derecho VI de la resolución
de fecha 5 de enero de 2024 por la que se ponía fin al procedimiento de ejercicio de
derechos contra EUSKALTEL, así como en el Fundamento de Derecho III de la
resolución del Recurso de Reposición contra dicha resolución. Así, entre otros
argumentos, se indicaba:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/34
“Señala la parte reclamada que “no tiene, ni nunca ha tenido, datos de
geolocalización”, afirmación que resulta contradictoria con la respuesta que dio a la
solicitud de derecho de acceso de la parte reclamante, toda vez que solamente se la
indicó “No podemos facilitarle los datos de geoposicionamiento puesto que existe una
ley más específica que el RGPD en España, la ley 25/2007 de Conservación de
Datos, que indica que solo podemos facilitarle esa información a la policía tras un
requerimiento de un juez”.
A mayor abundamiento, hay que indicar que el artículo 3.1 de la Ley 25/2007, de 18 de
octubre, señala que “Los datos que deben conservarse por los operadores
especificados en el artículo 2 de esta Ley, son los siguientes:
(…)
f) Datos necesarios para identificar la localización del equipo de comunicación móvil:
1.° La etiqueta de localización (identificador de celda) al inicio de la comunicación.
2.° Los datos que permiten fijar la localización geográfica de la celda, mediante
referencia a la etiqueta de localización, durante el período en el que se conservan los
datos de las comunicaciones.”
Además, en dicho requerimiento se le recordaba a EUSKALTEL lo siguiente: “En
síntesis, las resoluciones mencionadas establecen que, toda vez que la parte
recurrente tiene la obligación de conservar los mencionados datos, no puede
aceptarse la alegación de que no trata datos de geolocalización.
La resolución del procedimiento por la que se ordena que se atienda el derecho de
acceso es firme al haberse agotado los recursos ordinarios en vía administrativa, y por
tanto debe cumplirse en sus propios términos y de acuerdo con los fundamentos en
ella descritos.”
SÉPTIMO: Con fecha 1 de julio de 2024, esta Agencia procedió a requerir nuevamente
a EUSKALTEL en el mismo sentido que los requerimientos de 26 de marzo de 2024 y
de 10 de mayo de 2024. Este requerimiento fue notificado a EUSKALTEL con fecha 1
de julio de 2024, como consta en el acuse de recibo que obra en el expediente.
OCTAVO: Con fecha 15 de julio de 2024, con número de registro ***REFERENCIA.5,
tuvo entrada escrito de EUSKALTEL en el que viene a reproducir los argumentos de
sus escritos de fecha 10 de abril de 2024 y 30 de mayo de 2024, solicitando que se
tuviera por atendido la solicitud de ejercicio del derecho de acceso de la parte
reclamante y se declarase nulo el requerimiento formulado por esta Agencia con fecha
1 de julio de 2024.
NOVENO: Con fecha 25 de septiembre de 2024, la directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 58.2 del RGPD, tipificada en
el Artículo 83.6 del RGPD.
Este acuerdo de inicio se notificó a EUSKALTEL en fecha 2 de octubre de 2024,
conforme a las normas establecidas en la LPACAP, tal y como consta en el acuse de
recibo que obra en el expediente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/34
DÉCIMO: Con fecha 23 de octubre de 2024, EUSKALTEL presentó escrito de
alegaciones acompañado de varios documentos; todo ello se ha incorporado al
expediente. En el escrito, en síntesis, se formulan las siguientes alegaciones al
acuerdo de inicio:
1. Se ratifican en las argumentaciones jurídicas presentadas en escritos anteriores,
dado que la AEPD no las ha refutado en el Acuerdo de Inicio.
2. EUSKALTEL sostiene que no ha cometido la conducta típica que se le imputa.
3. Subsidiariamente, EUSKALTEL no incumplió la resolución, ya que se entregaron
todos los datos disponibles al reclamante (identificadores de celda).
4. El derecho de acceso no puede obligar a recopilar datos adicionales.
5. Proporcionar los datos de geolocalización podría suponer la vulneración de
derechos de terceros.
6. Vulneración del derecho a la presunción de inocencia, debido a que la AEPD no ha
aportado pruebas que demuestren que EUSKALTEL trata los datos cuya entrega se le
exige.
7. Subsidiariamente, falta de proporcionalidad de la sanción
DÉCIMO PRIMERO: De acuerdo con el informe recogido de la herramienta AXESOR,
la entidad EUSKALTEL es una gran empresa constituida en el año 1995, y con un
volumen de negocios de 463.434.000 euros en el año 2023.
DÉCIMO SEGUNDO: Con fecha 16 de julio de 2025, el órgano instructor del
procedimiento sancionador formuló propuesta de resolución, en la que propone que
por la Presidencia de la AEPD se sancione a EUSKALTEL, S.A., con NIF A48766695,
por una infracción del artículo 58.2 del RGPD, tipificada en el Artículo 83.6 del RGPD,
con una multa de 400.000,00 € (cuatrocientos mil euros).
Esta propuesta de resolución, que se notificó a la parte reclamada conforme a las
normas establecidas en la LPACAP, fue recogida en fecha 17 de julio de 2025, como
consta en el acuse de recibo que obra en el expediente.
DÉCIMO TERCERO: Con fecha 8 de agosto de 2025, se recibe en esta Agencia, en
tiempo y forma, escrito de la parte reclamada en el que aduce alegaciones a la
propuesta de resolución en el que, en síntesis, se viene a ratificar los argumentos de
las alegaciones al acuerdo de inicio y se formulan las siguientes alegaciones:
1. Inexistencia de una infracción del artículo 58 del RGPD. EUSKALTEL sostiene
haber cumplido con la resolución de la AEPD, señalando que ha proporcionado los
identificadores de celda.
2. La imposibilidad de facilitar el dato de geolocalización: EUSKALTEL no trata el dato
y no puede categorizarse como responsable del tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/34
3. La resolución de la AEPD resulta nula, al imponer una obligación de imposible
cumplimiento.
4. La puesta a disposición de los particulares de los datos de geoposicionamiento de
las antenas es un riesgo para los derechos y libertades de terceros e inclusive para la
seguridad de las infraestructuras y el sector de las telecomunicaciones.
5. Falta de proporcionalidad de la sanción propuesta.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO. Con fecha 5 de enero de 2024, la Directora de la Agencia Española de
Protección de Datos dictó resolución en el procedimiento de ejercicio de derechos
EXP202201673) seguido contra EUSKALTEL, S.A., estimando la reclamación
formulada por la parte reclamante en relación con el derecho de acceso a los datos
personales, específicamente los relativos a la geolocalización de su número de
teléfono. En dicha resolución se concedió a EUSKALTEL un plazo de 10 días hábiles
para atender el derecho de acceso o denegarlo motivadamente, en atención a lo
razonado en la propia resolución, esto es, garantizando que los datos personales que
le conciernen se den al usuario de la línea telefónica, que puede ser o no el titular de
la línea, debiendo comunicar a la Agencia las actuaciones realizadas. La resolución
fue notificada fehacientemente el 11 de enero de 2024.
En dicha resolución se concluía que el derecho de acceso a los datos de
geolocalización del número de teléfono del usuario no está exceptuado en la Ley
25/2007, que la solicitud de acceso formulada por la parte reclamante no es excesiva
ni infundada, por lo que EUSKALTEL no puede negarse a actuar, menos aún en base
al coste económico que pudiera conllevar la atención del derecho. Asimismo, se
advirtió a EUSKALTEL que la información proporcionada a la parte reclamante sobre la
itinerancia de su línea telefónica no se correspondía con la petición de acceso
formulada por la misma.
SEGUNDO. Con fecha 25 de enero de 2024, EUSKALTEL interpuso recurso de
reposición contra la citada resolución, que fue desestimado por resolución de la
Directora de la Agencia de fecha 23 de febrero de 2024, notificada fehacientemente el
1 de marzo de 2024.
De lo declarado en esta resolución cabe destacar lo siguiente:
. Se reiteran los argumentos valorados en la resolución impugnada para concluir
nuevamente que los datos de ubicación de la línea telefónica pueden ser objeto de
petición del derecho de acceso.
. EUSKALTEL trata datos personales de geolocalización. La Ley 25/2007 obliga a los
operadores que presten servicios de comunicaciones electrónicas disponibles al
público o exploten redes públicas de comunicaciones, como EUSKALTEL, a conservar
los datos necesarios para identificar la localización del equipo de comunicación móvil:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/34
“1.° La etiqueta de localización (identificador de celda) al inicio de la comunicación. 2.°
Los datos que permiten fijar la localización geográfica de la celda, mediante referencia
a la etiqueta de localización, durante el período en el que se conservan los datos de
las comunicaciones”.
La citada resolución desestimatoria del recurso devino firme en vía administrativa. No
consta interposición de recurso contencioso-administrativo por parte de EUSKALTEL.
TERCERO. Con fecha 21 de marzo de 2024, la parte reclamante presentó escrito ante
la Agencia en el que aportaba los datos recibidos de EUSKALTEL en respuesta a su
solicitud de acceso. Dichos datos consistían en los identificadores de celdas con las
que se conectó su línea móvil, sin incluir otros datos de geolocalización solicitados.
En vista de ello, la Agencia remitió a EUSKALTEL nuevos requerimientos de
cumplimiento con fechas 26 de marzo, 10 de mayo y 1 de julio de 2024, todos ellos
notificados fehacientemente, recordándole la obligación de atender el derecho de
acceso o denegarlo motivadamente conforme a los términos establecidos en la
resolución, sin reiterar argumentos previamente desestimados.
En estos requerimientos la AEPD informó a EUSKALTEL que la información facilitada
a la parte reclamante en ejecución de las resoluciones reseñadas no permitía
considerar atendido el derecho de acceso a los datos de geolocalización de la línea
telefónica móvil de la parte reclamante, además de que los datos proporcionados son
de un período inferior al solicitado. Y se advertía que el incumplimiento de lo acordado
en aquellas resoluciones puede ser constitutivo de una infracción tipificada en el
artículo 83.6 del RGPD.
Contra el requerimiento que le fue remitido en fecha 26 de marzo de 2024,
EUSKALTEL presentó recurso de reposición que fue inadmitido mediante resolución
de 24 de junio de 2024, en la que se consideró que aquel requerimiento d
cumplimiento de la resolución tiene naturaleza de acto de trámite, por cuanto no
decide sobre el fondo del asunto ni determina la imposibilidad de continuar el
procedimiento ni produce indefensión o perjuicio irreparable a derechos e intereses
legítimo. Asimismo, se reiteró a EUSKALTEL la obligación de cumplir una resolución
firme y ejecutiva, de acuerdo con los fundamentos que en ella se motivan, contra la
que ya se se permitió al recurrente discrepar dentro de los plazos de recurso
pertinentes, que se resolvieron motivadamente por medio de la resolución del recurso
de reposición reflejada en el hecho segundo.
CUARTO. EUSKALTEL respondió a los citados requerimientos mediante escritos
presentados los días 10 de abril, 30 de mayo y 15 de julio de 2024, en los que
reiteraba que no trata datos de geolocalización distintos a los identificadores de celdas
ya facilitados, y que no dispone de la localización geográfica de dichas celdas al no ser
operador con red propia. Dichos argumentos ya fueron señalados en la tramitación del
procedimiento de derechos. Asimismo, solicitó que se tuviera por atendido el derecho
de acceso y que se declarase nulo el último requerimiento.
Las respuestas no incluían una denegación motivada del derecho en los términos
exigidos por la resolución firme ni atendían el derecho de acceso ejercitado por la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/34
parte reclamante en el sentido acordado por la AEPD en las resoluciones que constan
reseñadas en los Hechos Probados Primero y Segundo.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la presidencia de la Agencia Española de Protección de
Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Contestación a las alegaciones formuladas a la propuesta de resolución
En relación con las alegaciones aducidas por EUSKALTEL al acuerdo de inicio, debe
señalarse que el presente procedimiento tiene por objeto analizar si por parte de
EUSKALTEL se ha dado cumplimiento a lo acordado por la AEPD mediante las
resoluciones reseñadas en los Hechos Probados Primero y Segundo. Según ha
quedado reseñado en los hechos probados, se resolvió la estimación del derecho de
acceso formulada por la parte reclamante para que le fueran facilitados los datos de
geolocalización de su línea de telefonía móvil como titular de los datos, habiendo
considerado (i) que EUSKALTEL, en su condición de operador que presta servicios de
comunicaciones electrónicas disponibles al público o explota redes públicas de
comunicaciones, trata esos datos bajo la condición de responsable del tratamiento y
está obligada a conservarlos y (ii) que el acceso a dicha información por parte del
usuario no viene exceptuado por la Ley 25/2007.
Siendo así, en un incidente de ejecución de resolución o en las actuaciones
sancionadores que se deriven de la no atención de lo acordado en resoluciones
dictadas por esta AEPD, como las presentes, no procede plantear cuestiones relativas
al fondo del asunto, que ya fueron decididas en resolución firme en vía administrativa
dictada en el marco de un procedimiento seguido con todas las garantías previstas.
No obstante, se procede a dar respuesta a las alegaciones formuladas por
EUSKALTEL a la propuesta de resolución según el orden en que se exponen en su
escrito:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/34
“PRIMERA. DEL CUMPLIMIENTO DE LA RESOLUCIÓN: INEXISTENCIA DE UNA
INFRACCIÓN DEL ARTÍCULO 58 DEL RGPD.”
Conviene precisar en primer término que el ejercicio del derecho de acceso, según
señalan las Directrices 01/2022, sobre los derechos de los interesados, derecho de
acceso, del CEPD, “se lleva a cabo en el marco de la legislación sobre protección de
datos, de conformidad con los objetivos de la legislación en materia de protección de
datos y, más concretamente, en el marco de «los derechos y las libertades
fundamentales de las personas físicas y, en particular, su derecho a la protección de
los datos personales», tal como se establece en el artículo 1, apartado 2, del RGPD”.
Así se configura como un “elemento importante de todo el sistema de protección de
datos”.
Este derecho garantiza a los interesados un acceso efectivo a sus datos personales
con el objetivo general de que puedan conocer y verificar la legalidad del tratamiento y
el objetivo práctico de permitir a las personas físicas tener el control sobre sus propios
datos personales, e implica, según lo establecido en el artículo 15 del RGPD, tanto la
confirmación por el responsable de si se están tratando datos personales que
conciernen al interesado, como la entrega de los datos personales solicitados y la
información sobre el tratamiento en sí, estando delimitado su alcance por el mismo
concepto de datos personales.
La información que se facilite debe ser completa en relación con el alcance de la
solicitud formulada por el interesado y actualizada lo más posible al estado del
tratamiento de los datos en el momento de recibir la solicitud, debiendo facilitarse en
todo caso de forma que tenga sentido para el interesado.
Al referirse al ámbito de aplicación del derecho de acceso y la información a la que se
refiere, delimitada, como se ha dicho, por la definición de datos personales, las
mencionadas Directrices 01/2022 señalan que incluye no solo los datos facilitados
directamente por el interesado. Así se expresa en estas Directrices:
“Así pues, sin perjuicio de los hechos concretos del caso, al evaluar una solicitud de
acceso específica, los responsables del tratamiento deben facilitar, entre otros, los
siguientes tipos de datos, sin perjuicio de lo dispuesto en el artículo 15, apartado 4, del
RGPD:
(…)
. datos observados o datos en bruto facilitados por el interesado como
consecuencia del uso del servicio o del dispositivo (por ejemplo, datos tratados
por objetos conectados, historial de transacciones, registros de actividad, como
los registros de acceso, historial de uso de sitios web, actividades de
búsqueda, datos de localización, actividad de clic, aspectos únicos del
comportamiento de una persona, como la caligrafía, las pulsaciones de teclas,
la forma particular de caminar o hablar)”.
. datos deducidos de otros datos, en lugar de ser facilitados directamente…
. datos inferidos de otros datos, en lugar de ser facilitados directamente por el
interesado…
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/34
En el presente caso, la solicitud de acceso formulada por el reclamante tiene por
objeto los datos de localización de su terminal móvil durante un período de tiempo
determinado.
La Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las
comunicaciones electrónicas y a las redes públicas de comunicaciones, se refiere a la
obligación de conservar estos datos en su artículo 3, que establece lo siguiente:
“Artículo 3. Datos objeto de conservación.
1. Los datos que deben conservarse por los operadores especificados en el artículo 2
de esta Ley, son los siguientes:
(…)
f) Datos necesarios para identificar la localización del equipo de comunicación móvil:
1.° La etiqueta de localización (identificador de celda) al inicio de la comunicación.
2.° Los datos que permiten fijar la localización geográfica de la celda, mediante
referencia a la etiqueta de localización, durante el período en el que se conservan los
datos de las comunicaciones”.
Estos datos pueden suministrarse según se presentan, siempre que resulten
comprensibles para el interesado, si bien no es necesario reelaborarlos o someterlos a
proceso alguno dirigido a elaborar coordenadas o facilitar datos de geolocalización.
EUSKALTEL sostiene haber cumplido con la resolución de la AEPD, señalando que ha
proporcionado los identificadores de celda y denegado el acceso a otros datos de
geolocalización que afirma no poseer.
No se cuestiona en este acto que EUSKALTEL haya respondido a la parte reclamante.
Sin embargo, no puede admitirse el argumento de EUSKALTEL, según el cual “ha
denegado de forma motivada y expresa la entrega de los datos de geolocalización
solicitados, dado que no trata, ni ha tratado nunca, dicha información”.
En respuesta a este argumento, debe señalarse que el derecho de acceso no se
satisface con cualquier tipo de respuesta a la solicitud efectuada en ejercicio de tal
derecho, sino con la entrega de los datos personales objeto de solicitud en los
términos señalados en la resolución de procedimiento de derechos. Según se ha
señalado, el artículo 15 del RGPD implica tanto la confirmación por el responsable de
si se están tratando datos personales que le conciernen al interesado, como de la
entrega de los datos personales solicitados.
En el presente caso, teniendo como origen las resoluciones a que se refieren los
Antecedentes Primero y Segundo de esta resolución, como ya se indicó a
EUSKALTEL en los tres requerimientos efectuados por esta Agencia relacionados en
los Antecedentes Cuarto, Quinto y Séptimo, la información facilitada a la parte
reclamante no cubría la totalidad de los datos personales objeto de solicitud, lo que
impide que el ejercicio del derecho de acceso efectuado por la parte reclamante pueda
entenderse debidamente atendido. Concretamente, EUSKALTEL ha proporcionado los
identificadores de celda relativos a las comunicaciones realizadas, pero no los datos
que permiten fijar la localización geográfica de la celda, mediante referencia a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/34
etiqueta de localización, durante el período en el que se conservan los datos de las
comunicaciones, tratados con ocasión de las comunicaciones efectuadas por la parte
reclamante.
Tal y como esta Agencia ha afirmado en varias ocasiones, la falta de entrega de estos
datos que permiten fijar la localización hace que la respuesta dada por EUSKALTEL a
la parte reclamante sea insuficiente para considerar debidamente atendido el ejercicio
del derecho de acceso de la parte reclamante conforme a los términos exactos
establecidos en la resolución inicial.
EUSKALTEL afirma que no dispone de datos distintos a los identificadores de celda y
que, por tanto, no puede entregarlos.
En contraposición a este argumento, cabe señalar que, al tratar el OMR los datos que
permiten fijar la localización (como la ubicación de un identificador de celda asociado a
una comunicación), cuando dichos datos conciernen al cliente que ejerce su derecho
de acceso ante EUSKALTEL como OMV, con quien dicho cliente tiene la relación
contractual, esta entidad viene obligada a obtener esa información del OMR y éste a
proporcionársela con el fin último de que EUSKALTEL pueda atender el derecho de
acceso ejercitado. Y ello por cuanto realiza un tratamiento de datos de clientes del
OMV- en este caso, de datos que permiten fijar la localización de las celdas de
telefonía a las que se conectan- que han de considerarse como datos que conciernen
al cliente titular de los datos y que, en consecuencia, forman parte del contenido del
derecho reconocido en el art. 15 del RGPD y han de proporcionarse cuando dicho
derecho se ejerce.
EUSKALTEL afirma que esta Agencia pretende imponer “algo distinto" a lo establecido
en la resolución original.
La resolución original contemplaba dos opciones: o facilitar los datos solicitados, o
denegar motivadamente el acceso “conforme a lo dispuesto en la resolución”.
Esto no significa que cualquier denegación motivada sea aceptable, sino que el
responsable del tratamiento debe responder con una motivación razonada y ajustada a
Derecho, lo que no se produjo en este caso, de lo cual EUSKALTEL fue
adecuadamente advertida por esta Agencia.
El hecho de que EUSKALTEL haya enviado varias comunicaciones a la parte
reclamante no excluye la posibilidad de una infracción, ya que el contenido de dichas
comunicaciones no satisface lo dispuesto en el RGPD, según el criterio expresado por
esta Agencia.
El artículo 58.2 RGPD faculta a la AEPD para ordenar al responsable que atienda
debidamente los derechos del interesado y, en caso de incumplimiento, sancionarlo.
Que la AEPD haya tenido que reiterar hasta tres veces el cumplimiento de su propia
resolución demuestra que la actuación de EUSKALTEL ha vulnerado lo ordenado en la
citada resolución, y, al no haber sido ejecutada en los términos requeridos, se produce
por parte de EUSKALTEL una conducta sancionable.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/34
Por todo lo expuesto, la presente alegación queda desestimada.
“SEGUNDA.- DE LA IMPOSIBILIDAD DE FACILITAR EL DATO DE
GEOLOCALIZACIÓN: EUSKALTEL NO TRATA EL DATO Y NO PUEDE
CATEGORIZARSE COMO RESPONSABLE DEL TRATAMIENTO”
Según EUSKALTEL, no hay base jurídica para que, en su condición de OMV, tenga
que obtener del OMR (***EMPRESA.2) los datos de geolocalización. Añade que el
RGPD no exige una relación contractual directa entre el interesado y el responsable
para que aquel pueda ejercer derechos, como el derecho de acceso (art. 15 RGPD),
basta con que el responsable trate datos personales del interesado.
En respuesta a este argumento, cabe señalar que entre EUSKALTEL, en su condición
de OMV, y ***EMPRESA.2, en su condición de OMR, existe una relación de
responsable y encargado del tratamiento que obliga a éste a asistir al responsable en
el cumplimiento de la obligación de responder a las solicitudes que tengan por objeto
el ejercicio de los derechos de los interesados establecidos en el capítulo III (artículo
28.3.e) del RGPD).
En este sentido, las Directrices 07/2020 del CEPD apuntan que el responsable debe
atender el ejercicio de derechos incluso cuando los datos se encuentren en manos de
encargados.
En el apartado 1.3.4 de las Directrices 07/2020, acerca del contenido de los contratos
entre responsable y encargado, se establece que el encargado debe poner a
disposición del responsable toda la información necesaria para demostrar el
cumplimiento de las obligaciones establecidas en el artículo 28.3 del RGPD. Este
precepto establece que el encargado “asistirá al responsable, teniendo en cuenta la
naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas,
siempre que sea posible, para que este pueda cumplir con su obligación de responder
a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados
establecidos en el capítulo III”.
Por otro lado, respecto al argumento de EUSKALTEL relativo a que “ante la solicitud
de la puesta a disposición de la información, ***EMPRESA.2 denegó la petición por
motivos debidamente justificados”, no se ha acreditado nada a este respecto.
Continúa EUSKALTEL afirmando que “los identificadores de celda (LAC/Cell ID) no
son datos de localización ni permiten conocer la posición del usuario".
Esta afirmación es técnica y jurídicamente inexacta. El LAC y el Cell ID constituyen
datos personales y datos que permiten la localización en el sentido expresado por la
Ley 25/2007.
Si el OMR (***EMPRESA.2) tiene la posibilidad de asociar una identificación de celda
a una ubicación geográfica de la celda, y esa información forma parte del tratamiento
que conlleva la prestación del servicio, este dato ya generado para la prestación del
servicio debe ser facilitado al interesado. No se trata de crear nueva información, sino
de proporcionar los datos tratados en el contexto normal de la actividad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/34
En consecuencia, no puede aceptarse el argumento de que facilitar al interesado los
identificadores de celda (LAC/Cell ID) y la base de antenas constituya un tratamiento
nuevo o no obligatorio, ya que dicha asociación forma parte del tratamiento habitual y
ordinario que el operador realiza en el marco de la prestación del servicio, sin que ello
implique que los datos estén disponibles en forma de listado histórico o que daban
transformarse en mapas, rutas o coordenadas, debiendo facilitarse únicamente tal y
como se conservan en los sistemas del operador. Por tanto, dicha información debe
facilitarse al interesado en ejercicio de su derecho de acceso, al no implicar la
generación de nueva información sino la entrega de los datos tratados de manera
ordinaria.
Respecto a la idea de que la información sobre la ubicación de antenas está protegida
por el secreto empresarial, en el artículo 23 del RGPD se regula la posibilidad de
establecer limitaciones al ejercicio de los derechos reconocidos en los artículos 12 a
22 del RGPD mediante “medidas legislativas”. EUSKALTEL no cita precepto alguno
que limite el acceso a datos personales por motivos de secreto empresarial. Si esos
datos permiten identificar o situar el equipo de comunicación móvil del interesado, su
carácter de dato personal permite el acceso por parte de dicho interesado, y la
limitación de acceso sólo puede establecerse por una norma con rango de ley en los
supuestos contemplados en el artículo 23 del RGPD.
Además, la geolocalización de antenas no revela secreto empresarial alguno, dado
que estas se encuentran en espacios públicos y cualquier persona puede obtener su
geolocalización, que también puede consultarse en la siguiente web:
https://geoportal.minetur.gob.es/VCTEL/vcne.do, en la cual constan los datos de
geolocalización de las antenas y el operador al que pertenecen.
Por otra parte, la Ley 25/2007 regula el supuesto de cesión a autoridades públicas de
datos personales relativos a comunicaciones electrónicas y a las redes públicas de
comunicaciones, no el ejercicio de derechos por parte del titular de los datos, que se
regula por el RGPD, por lo que la Ley 25/2007 no prohíbe el acceso a estos datos por
parte de un interesado cuando se derivan de una comunicación realizada por un
responsable de tratamiento dentro del ámbito del RGPD.
Negar el acceso bajo el pretexto de que los datos se encuentran registrados en otra
base interna o en un sistema de información del encargado del tratamiento supondría
una restricción indebida del derecho reconocido en el artículo 15 del RGPD, pues la
obligación del responsable es facilitar los datos personales tratados en el marco del
servicio, con independencia de que la atención del derecho requiera la búsqueda de
los datos personales del solicitante en varios sistemas de información y/o sistemas de
archivo en los que se encuentren registrados, lo cual no implica que los datos deban
ser combinados o sometidos a un nuevo tratamiento específico motivado por la
atención del derecho, pues bastará con que se faciliten los mismos según consten
registrados.
Lo contrario supondría condicionar el derecho de acceso a la forma en que se
estructura la información por parte del responsable y encargado del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/34
Respecto a la relación entre el OMV y el OMR, esta Agencia expresó claramente en su
propuesta de resolución (pág. 10) que la relación entre el OMV y el OMR es una
relación de responsable y encargado de tratamiento regulada por el RGPD: “…Por
ello, el OMV, como responsable del tratamiento, tiene la obligación de garantizar que
el cliente pueda acceder a sus datos personales, incluso cuando estos sean
generados o gestionados por un encargado de tratamiento (en este caso, el OMR).”
Aunque EUSKALTEL es un OMV y no posee infraestructura propia de red, sí trata
datos de conexión, como el identificador de celda, el cual tiene carácter de dato
personal porque está vinculado a una línea telefónica concreta de la que es titular una
persona física en un momento determinado, lo que lo convierte en información que
formaría parte de los datos que conciernen a un interesado, en los términos del
artículo 15 del RGPD.
Sólo el OMR tienen la capacidad técnica para “fijar la localización geográfica de la
celda, mediante referencia a la etiqueta de localización”, ya que son ellos quienes
generan, gestionan y conservan estos datos como parte de la operación de su red. Y,
dado que el OMV dispone del identificador de celda, sólo el OMR tiene acceso a su
sistema de geolocalización.
En este contexto, según se ha señalado anteriormente, al tratar el OMR los datos de
localización (como los datos que permiten fijar la localización geográfica de la celda,
mediante referencia a la etiqueta de localización, durante el período en el que se
conservan los datos de las comunicaciones), cuando dichos datos conciernen al
cliente que ejerce su derecho de acceso ante el OMV, con el que tiene la relación
contractual, estaría obligado a obtener esa información del OMR y éste a
proporcionársela.
Así, como consecuencia de la prestación de servicios del OMR al OMV, el OMR ha de
facilitar al OMV los datos personales que sean objeto de solicitud de ejercicio de
derecho de acceso por parte de cualquier cliente del OMV.
Aunque EUSKALTEL (OMV) afirme que no trata directamente los datos de
geolocalización, los datos que permiten fijar la localización geográfica de la celda son
tratados por el sistema de comunicación que los genera con motivo de la prestación
del servicio por parte del OMR a EUSKALTEL, en su condición de OMV.
Por otra parte, el cliente de un OMV no tiene acceso directo a sus datos en el OMR
porque no existe ningún vínculo jurídico entre ambos. Desde una perspectiva legal, la
relación contractual se produce entre el ciudadano y la OMV de la que es cliente. Por
tanto, el cliente de la OMV no tiene una relación directa con el OMR y, en
consecuencia, no puede ejercer derechos directamente sobre los datos tratados por el
OMR.
Según el RGPD, el derecho de acceso obliga al responsable del tratamiento (en este
caso, la OMV) a proporcionar al interesado los datos personales que está tratando y le
conciernen. Si los datos necesarios están almacenados o gestionados por el OMR
como parte de la prestación de servicios a la OMV, esta última debe solicitar al OMR
los datos personales del interesado para atender su solicitud de ejercicio de derecho
de acceso.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/34
En este sentido, recordemos que las Directrices 1/2022 del Comité Europeo de
Protección de Datos disponen lo siguiente:
“125. Los interesados deben tener acceso a toda la información que el responsable
del tratamiento trate sobre ellos. Esto significa, por ejemplo, que el responsable del
tratamiento está obligado a buscar datos personales a través de sus sistemas
informáticos y de sus ficheros no informáticos (…) Si un responsable utiliza un
encargado para sus actividades de tratamiento de datos, la búsqueda debe ampliarse
naturalmente para incluir también los datos personales tratados por el encargado”.
Si se exigiera al cliente de la OMV que ejerciese el derecho de acceso directamente
contra el OMR, éste podría argumentar que no tiene una relación directa con el cliente
y que la responsabilidad recae sobre la OMV. Por ello, el OMV, como responsable del
tratamiento, tiene la obligación de garantizar que el cliente pueda acceder a sus datos
personales, incluso cuando estos sean generados o gestionados por un encargado de
tratamiento (en este caso, el OMR). De hecho, la obligación de atender el derecho de
acceso recae, literalmente, en el responsable del tratamiento a quien únicamente cita
el artículo 15 del RGPD.
En consecuencia, el cliente de una OMV tiene derecho a acceder a los datos
personales que le conciernen, incluidos los datos que permiten fijar la localización
geográfica de la celda, que permitan la localización de su equipo de comunicación
móvil, y el OMV tiene la obligación de garantizar el acceso al titular de los datos, en su
caso, solicitando al OMR los datos que éste trate y que conciernan al interesado; en el
caso que nos ocupa, los datos de localización que permitan convertir el identificador
de celda en coordenadas geográficas (latitud y longitud) , es decir, que permiten fijar la
localización geográfica de la celda mediante referencia a la etiqueta de localización, en
los términos de la Ley 25/2007. Sabiendo que ello no debe entenderse como una
obligación de realizar un nuevo tratamiento de datos personales para convertir y
facilitar estas coordenadas geográficas, sino solo la entrega al interesado de los datos
según se procesan por el encargado del tratamiento, si bien de forma que los mismos
resulten transparentes e inteligibles.
Al citarse en la propuesta de resolución la sentencia del TJUE: asunto C-210/16
-Wirtschaftsakademie, que se refiere a un caso de corresponsabilidad, en ningún caso
se trató de aplicarse tal circunstancia al presente caso, como refiere EUSKALTEL en
sus alegaciones, sino que el TJUE, en la citada sentencia ha ampliado el concepto de
responsabilidad incluso a quienes no tienen acceso directo a los datos, pero influyen
en su tratamiento o determinan sus fines o medios. Tal y como se expresa claramente
en el siguiente apartado de la sentencia:
“61. Así pues, el hecho de que un prestador de servicios redacte el contrato y sus
condiciones generales y que el operador que recurre a los servicios que ofrece dicho
prestador no tenga acceso a los datos no excluye que éste pueda ser considerado un
responsable del tratamiento, dado que ha aceptado libremente las cláusulas
contractuales y, por lo tanto, la plena responsabilidad sobre éstas. Como señala el
Grupo de Trabajo «Artículo 29», también se debe reconocer que el posible
desequilibrio de fuerzas entre el proveedor y quien recibe el servicio no obsta a que
éste pueda ser calificado de «responsable del tratamiento».”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/34
Esta es la interpretación más acorde al RGPD, ya que no puede eludirse la
responsabilidad en la atención de los derechos de los ciudadanos fragmentando el
tratamiento entre dos entidades. Si EUSKALTEL (OMV) ofrece el servicio al cliente
final, es responsable del tratamiento, aunque técnicamente subcontrate funciones al
OMV (***EMPRESA.2). El hecho de que EUSKALTEL no tenga acceso directo a los
datos no le exime de garantizar el derecho de acceso, y por tanto debe coordinarse
con el OMV (***EMPRESA.2) para atender las solicitudes de ejercicio de derechos.
En este punto EUSKALTEL vuelve a traer a colación la Ley 25/2007, alegando que
esta norma regula la cesión de datos conservados a efectos de investigación penal, no
el ejercicio de derechos de acceso bajo el RGPD, por lo que, según dicha entidad, no
procede la interpretación sobre los preceptos del RGPD en base a lo previsto por Ley
25/2007.
Recordemos que el RGPD viene a desarrollar un derecho fundamental recogido en el
artículo 18.4 de la Constitución Española, y que el artículo 23 del RGPD exige una
norma con rango de ley que justifique limitaciones específicas al ejercicio de derechos,
bajo criterios de necesidad y proporcionalidad. Por último, señalar que la Ley 25/2007
no contiene ninguna previsión que limite expresamente el derecho de acceso de los
interesados a sus propios datos, más allá de la excepción establecida en su artículo 9:
“Artículo 9. Excepciones a los derechos de acceso y cancelación.
1. El responsable del tratamiento de los datos no comunicará la cesión de datos
efectuada de conformidad con esta Ley”.
Por otra parte, EUSKALTEL considera que el propio funcionamiento del servicio es
incompatible con la condición de EUSKALTEL como responsable del tratamiento de
los datos de localización de las antenas en el marco de la prestación de sus servicios,
que no trata, y que los datos generados, tratados e intercambiados por los Operadores
de Telecomunicación con motivo de la prestación de los servicios de telefonía móvil,
incluyendo los servicios de un OMR a un OMV, han de cumplir con los estándares
internacionales.
Sin embargo, los datos de inventario de antenas sí forman parte del tratamiento
necesario para la prestación del servicio. La conexión de un terminal móvil a la red
requiere que el sistema asigne a cada comunicación un identificador de celda (Cell ID,
LAC, etc.), el cual solo tiene sentido en la medida en que se asocia a una antena
concreta del inventario de la operadora.
Esto implica que, en el curso de cada comunicación, la operadora trata
simultáneamente datos del cliente y datos del inventario de antenas, porque sin esa
correspondencia no sería técnicamente posible cursar la llamada, establecer la sesión
de datos o gestionar el traspaso entre celdas, técnicamente denominado “handover”.
De este modo, el inventario de antenas es parte integrante del sistema de información
que procesa datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/34
El art. 4.2 RGPD define tratamiento de manera amplia (“cualquier operación…
realizada sobre datos personales, ya sea por procedimientos automatizados o no”), lo
que incluye las operaciones técnicas necesarias para hacer que el dato sea utilizable.
En este sentido, la base de datos de antenas no es un mero dato técnico aislado, sino
que forma parte de la infraestructura de tratamiento que permite que los datos
personales (localización, tráfico, calidad de servicio) tengan sentido operativo.
El Considerando 63 del RGPD aclara que el derecho de acceso tiene como finalidad
que el interesado pueda “conocer y verificar la licitud del tratamiento”. Para ello no
basta con darle identificadores opacos a los que se refiere EUSKALTEL (por ejemplo,
el identificador de celda o Cell ID), sino que debe proporcionarse la información
necesaria para que entienda qué tipo de datos se le facilitan, aunque sean técnicos, y
sin que la entrega de esta información requiera de la realización de un nuevo
tratamiento de datos personales.
Por tanto, la referencia del identificador de celda al inventario de antenas sí es objeto
de tratamiento, en la medida en que ambas informaciones se tratan sistemáticamente
para que el servicio funcione y es el que permite dotar de contenido personal al dato.
Como ya se señaló anteriormente, el TJUE estableció en el asunto Breyer (C-582/14)
que, incluso datos técnicos que no identifican directamente a un usuario, como la
dirección IP, pueden ser personales si, mediante información adicional a la que el
responsable tiene acceso, permiten identificar a la persona.
Por todo lo expuesto, la presente alegación queda desestimada.
“TERCERA.- SUBSIDIARIAMENTE A LO ANTERIOR, LA RESOLUCIÓN DE LA
AGENCIA RESULTA NULA, AL IMPONER A EUSKALTEL UNA OBLIGACIÓN DE
IMPOSIBLE CUMPLIMIENTO.”
EUSKALTEL sostiene que la resolución que le impone el deber de facilitar datos de
geolocalización sería nula de pleno derecho por imponerle una obligación de imposible
cumplimiento,
A continuación, se enumeran los motivos por los que no puede aceptarse este
argumento.
1. No concurre imposibilidad material ni jurídica de cumplimiento
La alegación principal se basa en una afirmación no acreditada en modo alguno,
relativa a que EUSKALTEL no tiene acceso, ni trata, ni puede tratar en ningún caso los
datos de geolocalización relacionados con el terminal de la parte reclamante.
Sin embargo, esta afirmación no está demostrada, siendo una simple declaración de
parte, siendo, además, contradictoria con el propio modelo de negocio de los
operadores móviles virtuales (OMV), como es el caso de EUSKALTEL.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/34
Los OMV actúan como responsables del tratamiento respecto a los datos generados
por la prestación del servicio, incluyendo los necesarios para su facturación, soporte
técnico, prevención de fraude y atención de derechos de los interesados (art. 4.7
RGPD). A tal fin, entre el OMV y el OMR debe existir una interconexión técnica, a
través de plataformas o acuerdos operativos, mediante los cuales acceden a los datos
necesarios para prestar su servicio.
Este acceso no se califica jurídicamente como una cesión ni exige autorización judicial
alguna: es un tratamiento legítimo derivado de la prestación del servicio, conforme al
art. 6.1.b) del RGPD. Esta Agencia no exige que EUSKATEL acceda a datos fuera de
su ámbito de actividad, sino que ejercite las facultades de tratamiento que le
corresponden como responsable, lo que incluye solicitar los datos al OMR para
atender el derecho de acceso del interesado.
En consecuencia, lo que EUSKALTEL plantea como “imposible”, en realidad, se
reduce a una falta de voluntad de exigir al encargado de tratamiento (***EMPRESA.2),
de cumplir con lo dispuesto en el artículo 28.3.e) del RGPD, según el cual el
encargado de tratamiento asistirá al responsable para que este pueda cumplir con su
obligación de responder a las solicitudes que tengan por objeto el ejercicio de los
derechos de los interesados establecidos en el capítulo III.
2. La Ley 25/2007 no impide el ejercicio del derecho de acceso
EUSKALTEL vuelve a traer a colación el régimen de cesión de datos de
comunicaciones electrónicas a autoridades públicas previsto en la Ley 25/2007.
Como ya se argumentó anteriormente, la Ley 25/2007 regula exclusivamente el
acceso de autoridades públicas, no el ejercicio de derechos por los interesados ante
los responsables del tratamiento. Además, esta Ley no restringe en modo alguno que
el operador acceda a los datos personales de los que es responsable del tratamiento
para fines distintos al penal o de seguridad, como es la atención de solicitudes de
ejercicio de derechos en el marco del RGPD.
Que ciertos datos se conserven para el cumplimiento de lo dispuesto en la Ley
25/2007 no excluye que puedan ser tratados para otros fines lícitos, como el
cumplimiento del art. 15 RGPD. Entre otros tratamientos, los datos objeto de la
solicitud de acceso del reclamante son también tratados con motivo de la prestación
del servicio, al permitir la conexión, gestión de red, roaming, calidad de servicio, y
facturación por zonas geográficas. En consecuencia, la invocación de la Ley 25/2007
resulta improcedente para justificar la negativa a facilitar los datos solicitados, puesto
que la finalidad de conservación establecida en dicha norma no limita ni excluye la
obligación del operador de atender las solicitudes de acceso de los interesados en
virtud del artículo 15 del RGPD. Los datos de localización, incluidos los derivados de
identificadores de celda, forman parte del tratamiento ordinario vinculado a la
prestación del servicio de comunicaciones electrónicas y, por tanto, deben ponerse a
disposición del interesado en ejercicio de su derecho de acceso.
3. La sentencia del TJUE de 2014 (Digital Rights Ireland) no sostiene la alegación de
EUSKALTEL
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/34
EUSKALTEL invoca erróneamente la STJUE de 8 de abril de 2014 (Digital Rights
Ireland), que anuló la Directiva 2006/24/CE por ser excesivamente invasiva y no limitar
suficientemente el acceso de autoridades públicas a los datos conservados.
Pero esta sentencia no se refiere al derecho de acceso de los particulares reconocido
en el artículo 15 del RGPD, ni prohíbe el tratamiento de los datos por parte del propio
responsable para fines distintos a los previstos en la Ley 25/2007, que se limita al
ámbito penal.
Además, tampoco se cuestiona que los datos de geolocalización de los equipos de los
usuarios del servicio formen parte de aquellos que son objeto de tratamiento necesario
para la prestación del servicio.
Por tanto, no puede invocarse para restringir un derecho fundamental del usuario (el
de acceso a sus propios datos), cuando el acceso no tiene fines de vigilancia ni es
generalizado, sino individualizado y justificado por el propio RGPD. La referencia a la
sentencia Digital Rights Ireland carece de fundamento en este contexto, ya que su
objeto fue valorar la proporcionalidad de la conservación y acceso a los datos por
parte de las autoridades públicas, no el ejercicio de derechos individuales frente a los
responsables del tratamiento. Pretender extrapolar dicha doctrina para limitar el
derecho de acceso del artículo 15 RGPD supone una interpretación no conforme a los
principios que rige todo tratamiento de datos personales.
4. No se vulnera el RGPD por obtener datos del OMR
EUSKALTEL alega que, al no ser responsable del tratamiento de los datos tratados por
el OMR, el traslado a este para que responda a quien ejercitó el derecho de acceso
supondría jurídicamente una comunicación de datos para la que se carecería de
legitimación, y tampoco estaría legitimada la comunicación en respuesta de la solicitud
remitida por el OMR.
El OMR actúa como encargado del tratamiento por lo que no hay comunicación ilícita,
sino una operación necesaria para atender un derecho previsto en el RGPD. No hay
violación del RGPD, sino, por el contrario, un deber de cumplimiento del art. 15 del
RGPD.
En definitiva, EUSKALTEL está legitimada para requerir al OMR los datos de la parte
reclamante necesarios para atender la solicitud de ejercicio del derecho de acceso. El
argumento de EUSKALTEL sobre la inexistencia de legitimación para trasladar la
solicitud al OMR carece de sustento jurídico. La intervención del OMR como
encargado del tratamiento se enmarca dentro de la relación funcional con el
responsable y responde a una obligación derivada directamente del artículo 28 del
RGPD, en virtud del cual el encargado debe asistir al responsable en el cumplimiento
de los derechos de los interesados. Por tanto, lejos de constituir una comunicación
ilícita de datos, el traslado de la solicitud constituye un mecanismo necesario y legítimo
para garantizar el derecho fundamental de acceso reconocido en el artículo 15 del
RGPD.
Como conclusión de la respuesta a esta alegación, no concurre la causa de nulidad
del artículo 47.1.c) de la LPACAP en la resolución del procedimiento de ejercicio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/34
de derechos dictada por esta Agencia, ya que lo razonado por EUSKALTEL se
basa en una errónea interpretación de la Ley 25/2007 y del RGPD, al confundir
el régimen de acceso de autoridades a los datos relativos a comunicaciones
electrónicas y redes públicas de comunicaciones con el derecho de los
interesados en materia de protección de datos previstos en los artículos 12 a 22
del RGPD, sin que haya acreditado en ningún modo la imposibilidad material o
jurídica del cumplimiento de la Resolución.
Por todo lo expuesto, la presente alegación queda desestimada.
“CUARTA. SUBSIDIARIAMENTE, DE LA AFECTACIÓN DE LOS DERECHOS DE
TERCEROS Y LOS RIESGOS ASOCIADOS.”
El artículo 15.4 del RGPD establece una limitación específica del derecho de acceso,
que obliga a los responsables, al conceder dicho derecho, a tener en cuenta los
posibles efectos negativos sobre los derechos y libertades de otros, incluidos los
responsable o encargados del tratamiento. Establece este artículo lo siguiente:
“4. El derecho a obtener copia mencionado en el apartado 3 no afectará
negativamente a los derechos y libertades de otros”.
En este sentido, el derecho a la protección de datos personales de otros interesados
es un derecho que puede considerarse afectado por el artículo 15.4 del RGPD y que
obliga a delimitar esta limitación.
En definitiva, esta limitación obliga al responsable a comprobar cuidadosamente a qué
partes de la información se refiere esta limitación y facilitar toda la información que no
esté afectada por ella, sin olvidar la previa y correcta identificación del titular de los
datos de modo que permita asegurar plenamente que los datos personales objeto del
derecho de acceso se facilitan a su verdadero titular. A este respecto, las Directrices
01/2022, sobre los derechos de los interesados - Derecho de acceso, adoptada el 28
de marzo de 2023, señalan:
“58. Con el fin de garantizar la seguridad del tratamiento y minimizar el riesgo de
divulgación no autorizada de datos personales, el responsable del tratamiento debe
poder averiguar qué datos se refieren al interesado (identificación) y confirmar la
identidad de dicha persona (autenticación).
59. Cabe recordar que, en situaciones en las que los fines para los que se tratan los
datos personales no requieren o ya no requieren la identificación de un interesado, el
responsable del tratamiento no necesita mantener la identificación con el único fin de
respetar los derechos de los interesados, también a la luz del principio de
minimización de los datos. Estas situaciones se abordan en el artículo 11, apartado 1,
del RGPD.
60. El artículo 12, apartado 2, del RGPD establece que el responsable del tratamiento
no se negará a actuar a petición del interesado con el fin de ejercer sus derechos, a
menos que trate datos personales para un fin que no requiera la identificación del
interesado y demuestre que no está en condiciones de identificarlo. En tales
circunstancias, el interesado puede, no obstante, decidir facilitar información adicional
que permita esta identificación (artículo 11, apartado 2, del RGPD)29.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/34
61. El responsable del tratamiento no está obligado a obtener dicha información
adicional para identificar al interesado con el único fin de satisfacer la solicitud del
interesado, también a la luz del principio de minimización de los datos. Sin embargo,
no debe negarse a recibir esa información adicional facilitada por el interesado a fin de
respaldarle en el ejercicio de sus derechos (Considerando 57 del RGPD)”.
Asimismo, según el CEPD, debe tenerse en cuenta que el derecho de acceso no debe
considerarse de forma aislada, ya que está estrechamente relacionado con otras
disposiciones del RGPD, en particular con los principios de la protección de datos,
incluidos el de responsabilidad proactiva regulado en el artículo 5.2 del RGPD, que
obliga al responsable a estar en condiciones de poder demostrar que ha respetado las
normas aplicables, y la minimización de datos a la hora de identificar al interesado,
que no puede conllevar un tratamiento de datos desproporcionado.
Por otra parte, el CEPD ha interpretado que el respeto a os derechos y libertades de
otros debe responder a riesgos reales y concretos. Sobre esta concreta cuestión, en
las mencionadas Directrices 01/2022 se declara lo siguiente:
“172. La preocupación general de que los derechos y libertades de terceros puedan
verse afectados por el cumplimiento de la solicitud de acceso no basta para invocar el
artículo 15, apartado 4, del RGPD. El responsable del tratamiento debe poder
demostrar que, en la situación concreta, los derechos o libertades de terceros se
verían afectados de hecho”.
“174. Si los responsables del tratamiento se niegan a responder a una solicitud de
derecho de acceso total o parcial con arreglo al artículo 15, apartado 4, del RGPD,
deben informar al interesado de los motivos sin dilación y, a más tardar, en el plazo de
un mes (artículo 12, apartado 4, del RGPD). La exposición de motivos debe hacer
referencia a las circunstancias concretas para que los interesados puedan evaluar si
desean tomar medidas contra la denegación. Debe incluir información sobre la
posibilidad de presentar una reclamación ante una autoridad de control (artículo 77 del
RGPD) y de obtener tutela judicial efectiva (artículo 79 del RGPD)”.
EUSKALTEL considera que existe un sustancial y considerable riesgo para los
derechos y libertades de terceros.
Sin embargo, EUSKALTEL no ha demostrado en ningún momento que los derechos o
libertades de otros queden afectados por proporcionar a la parte reclamante los datos
de localización solicitados. La parte reclamante sostiene que es el usuario de la línea
telefónica y ha ejercido el derecho sobre su propia información, no habiendo
constancia de que la parte reclamante no sea efectivamente el usuario exclusivo de la
línea, ni se ha demostrado algún riesgo concreto para otros.
Si EUKALTEL hubiese tenido dudas razonables sobre la identidad del solicitante como
usuario efectivo, pudo solicitar aclaraciones o pruebas, conforme a lo previsto en el
artículo 12.6 RGPD: “Sin perjuicio de lo dispuesto en el artículo 11, cuando el
responsable del tratamiento tenga dudas razonables en relación con la identidad de la
persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá
solicitar que se facilite la información adicional necesaria para confirmar la identidad
del interesado”, pero no puede negar el derecho con carácter general.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/34
A este respecto, en razón al principio de minimización del artículo 5.1.c) del RGPD, si
EUSKALTEL considerara que, para asegurar la condición de interesado y usuario
efectivo por el solicitante de acceso, se debe realizar una investigación o tratamiento
de datos que juzgue desproporcionado, así habría de justificarlo al denegar el acceso
solicitado, siempre de manera motivada y a partir de la información de la que dispone
en el caso concreto.
Tampoco las respuestas efectuadas por dicha entidad para atender lo acordado por
esta AEPD en la resolución del procedimiento de derechos que ordenó la atención del
derecho de acceso del reclamante, o para atender los diversos requerimientos
cursados instando la ejecución de aquel acuerdo, han planteado ninguna cuestión
respecto de la posibilidad o imposibilidad de identificar al titular de los datos
personales objeto del derecho de acceso.
En consecuencia, esta alegación no justifica una denegación o limitación general del
derecho de acceso.
Por otra parte, EUSKALTEL ha alegado que la puesta a disposición de los particulares
o del público de los datos de geoposicionamiento de las antenas implica un riesgo
para la seguridad de las infraestructuras y el sector de las telecomunicaciones.
A continuación, se enumeran los motivos por los que no puede aceptarse este
argumento.
1. El dato solicitado no es la localización de la antena como infraestructura crítica, sino
del identificador de celda vinculado al dispositivo de la parte reclamante.
Esos datos son tratados como metadatos de red y constituyen datos personales
conforme a la jurisprudencia del TJUE (C-582/14 – Breyer, entre otros).
En todo caso, no se exige revelar la geolocalización de ninguna infraestructura crítica,
ni se pone en riesgo la seguridad nacional.
2. Inaplicabilidad de lo dispuesto por la Ley 8/2011: protección de infraestructura no
equivale a la restricción absoluta del derecho de acceso.
La Ley 8/2011, que protege las infraestructuras críticas, no restringe los derechos
fundamentales derivados del RGPD. Dicha norma está destinada a prevenir ataques
deliberados y amenazas contra servicios esenciales, no a impedir a los ciudadanos el
ejercicio de sus derechos sobre sus propios datos personales. De conformidad con el
art. 23.1 RGPD, para restringir el derecho de acceso debe realizarse mediante una ley
específica, con garantías adecuadas y proporcionadas, y no de forma genérica o
preventiva. En España no existe actualmente una norma que restrinja expresamente el
derecho de acceso a datos personales basándose en la protección de infraestructuras
críticas en el sentido que plantea EUSKALTEL.
Además, la localización de antenas no es secreta; algunos portales públicos muestran
esta información (por ejemplo, https://geoportal.minetur.gob.es/VCTEL/vcne.do).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/34
3. Inaplicabilidad del caso de la dirección IP como precedente vinculante
La referencia al ***EXPEDIENTE.1 y la dirección IP no es equiparable al caso actual.
Una IP puede ser dinámica o compartida, y el operador no siempre tiene certeza de
quién la usó. En cambio, el identificador de celda está vinculado a una comunicación
concreta efectuada desde una línea identificada, por lo que existe trazabilidad clara
hacia la parte reclamante.
4. El RGPD ya prevé mecanismos para proteger los derechos de terceros
El artículo 15.4 del RGPD establece que el derecho de obtener copia de los datos
personales objeto de tratamiento no puede afectar negativamente a los derechos y
libertades de otros, pero esto no significa que se deniegue el derecho sin más, sino
que debe articularse una respuesta proporcional. Con carácter general, un
responsable de tratamiento, como medidas para proteger los derechos y libertades de
tercero podría omitir datos concretos que afecten a terceros o proceder a su
anonimización, y, el caso del usuario de una línea de telefonía, requerir pruebas
adicionales de que el solicitante es quien realizó el uso efectivo de la línea telefónica.
Lo que no cabe es una denegación sistemática, general y preventiva, bajo la excusa
de un riesgo abstracto para otros.
5. No se exige acceso sin control judicial a datos amparados por la Ley 25/2007
Como ya se ha razonado anteriormente, el ejercicio del derecho de acceso en el
RGPD no debe confundirse con el acceso por parte de autoridades a datos
conservados en virtud de la Ley 25/2007, la cual se refiere a cesión de datos a
agentes facultados con autorización judicial para investigación penal.
El derecho de acceso en protección de datos es un derecho subjetivo del interesado
para acceder a los datos que el responsable tiene o trata respecto a él. No es una
cesión entre sujetos ajenos.
Si el identificador de celda fue tratado o está disponible por parte del operador o su red
técnica (OMR), y es relevante para el reclamante, debe ser entregado conforme al art.
15 RGPD, no como un dato protegido por secreto oficial o reservado a policías.
6. Conclusión: no se justifica la denegación del derecho de acceso
Como conclusión EUSKALTEL no justifica por qué no puede facilitar al usuario datos
que se generan en el curso del servicio, ni aporta prueba de que existan riesgos reales
y específicos.
En consecuencia:
No existe ninguna limitación legal establecida conforme al artículo 23.1 del
RGPD para la normativa a que se refiere EUSKALTEL.
No se está solicitando información clasificada o de infraestructuras críticas.
No se acredita afectación real y concreta a terceros, más allá de supuestos
hipotéticos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/34
Por todo lo expuesto, la presente alegación queda desestimada.
“QUINTA. DE LA FALTA DE PROPORCIONALIDAD DE LA SANCIÓN PROPUESTA.”
En este punto, EUSKALTEL presenta las siguientes alegaciones:
1. Su supuesta actuación diligente en la atención del derecho de acceso;
2. La impugnación de la calificación de gravedad, intencionalidad/negligencia y
agravantes considerados;
3. Y la alegada desproporcionalidad de la sanción impuesta.
1. Sobre la supuesta diligencia debida de EUSKALTEL
EUSKALTEL alega que actuó con “la diligencia debida” al no facilitar datos de los que,
afirma, no dispone ni trata.
Sin embargo, no se ha acreditado de manera técnica ni documental que EUSKALTEL
carezca de acceso a los datos solicitados.
Conforme a su modelo de negocio como OMV (operador móvil virtual), EUSKALTEL
dispone de medios técnicos y contractuales para acceder a los identificadores de celda
y sus correspondencias geográficas, datos que son tratados por cuenta propia o
mediante un tercero (OMR).
En consecuencia, no ha quedado probado que exista una “imposibilidad jurídica o
material” para atender el derecho de acceso, lo cual excluye la exoneración de
responsabilidad.
La reiteración de respuestas insuficientes, pese a los requerimientos de esta Agencia,
excluye la idea de que se tratara de un mero error puntual o de imposible
cumplimiento.
2. Impugnación de la calificación de gravedad, intencionalidad/negligencia y
agravantes considerados.
2.1. Sobre la alegación de que la infracción no sería grave (art. 83.2.a RGPD)
EUSKALTEL sostiene que la infracción carece de gravedad por haber afectado a un
solo interesado, si bien esta cuestión ya ha sido considerada al determinar la cuantía
de la multa que se impone.
Se rechaza, en cambio, la ausencia de perjuicio alguno sufrido por el reclamante.
La vulneración del artículo 15 del RGPD, aunque afecte a un solo individuo, puede
tener carácter grave, especialmente si la negativa es injustificada o reiterada, como en
el presente caso. Además, el RGPD no condiciona la gravedad de la infracción de
forma exclusiva al daño causado, lo relevante es la infracción objetiva de un derecho
reconocido, lo cual ocurrió en este caso.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/34
Se considera la falta de acciones concretas por parte de EUSKALTEL para obtener los
datos solicitados y el hecho de que EUSKALTEL actúa como responsable del
tratamiento en un sector altamente sensible al tratamiento masivo de datos
personales.
Asimismo, la reiterada negativa a facilitar la información completa solicitada prolongó
la vulneración durante meses. Esta prolongación en el tiempo constituye en sí misma
un perjuicio relevante, pues vacía de contenido efectivo el derecho reconocido en el
artículo 15 del RGPD y determina la gravedad de la infracción.
2.2. Sobre la intencionalidad o negligencia (art. 83.2.b RGPD)
Se estima la alegación sobre la falta de intencionalidad en la conducta de
EUSKALTEL, considerando que, si bien mostró discrepancias respecto del alcance del
derecho de acceso reconocido por esta AEPD en la resolución que decidió el
procedimiento de derechos promovido por la parte reclamante, la citada entidad
respondió todos los requerimientos que le fueron formulados en ejecución de aquella
resolución.
2.3 Sobre la vinculación de la actividad con el tratamiento de datos (art. 76.2.b
LOPDGDD)
Al aplicar este agravante no se trata de penalizar el sector, sino de valorar la especial
responsabilidad de EUSKALTEL.
Concretamente, este agravante no se aplica por el mero hecho de pertenecer a un
sector, sino por la especial profesionalidad exigible a quien desarrolla una
actividad donde los datos personales son objeto de tratamiento de forma
constante y cuando, como en este caso, la infracción está relacionada
directamente con la actividad principal de la reclamada.
En el caso de EUSKALTEL, su modelo de negocio exige un tratamiento sistemático,
constante y central de datos personales, por lo que la especial responsabilidad es
innegable. Las Directrices 04/2022 no excluyen esta consideración, el Comité Europeo
de Protección de Datos (EDPB) no descarta el uso de este agravante; al contrario,
señala que debe evaluarse la escala y la naturaleza de la actividad del responsable del
tratamiento.
3. Sobre la supuesta desproporcionalidad de la sanción y aplicación de atenuantes.
La proporcionalidad exige que la multa sea adecuada, necesaria y proporcionada a la
gravedad. Las circunstancias tenidas en cuenta para la fijación del importe de la
sanción han sido convenientemente motivadas.
Los Tribunales de Justicia en numerosas sentencias han señalado que el principio de
proporcionalidad no puede sustraerse al control jurisdiccional, pues el margen de
apreciación que se otorga a la Administración en la imposición de sanciones dentro de
los límites legalmente previstos, debe ser ponderando en todo caso con las
circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/34
entre los hechos imputados y la responsabilidad exigida, dado que toda sanción, debe
determinarse en congruencia con la entidad de la infracción cometida y según un
criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que
la proporcionalidad constituye un principio normativo que se impone a la
Administración y que reduce el ámbito de sus potestades sancionadoras.
Pues bien, de conformidad con las circunstancias que concurren en el presente caso,
las cuales han sido evaluadas convenientemente, la presente resolución no vulnera el
principio de proporcionalidad en la determinación de las sanciones impuestas,
resultando ponderada y proporcionada a la gravedad de la infracción cometida, la
importancia de los hechos. Se tiene en cuenta que la cuantía a la que pueden
ascender dichas sanciones de conformidad con el art. 83.6 del RGDP, que prevé para
la infracción del artículo 58.2 del RGDP, “multas administrativas de 20 000 000 EUR
como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía.”
En el presente caso, la entidad investigada es una gran empresa dentro de su sector
de actividad; de conformidad con el hecho probado vigésimo primero, su volumen de
negocio durante el ejercicio de 2023 ascendió a 463.434.000 euros, resultando que la
multa impuesta por la infracción del artículo 58.2 del RGPD asciende a la cantidad de
100.000 euros que estaría en el tramo inferior de la posible multa administrativa que
pudiera imponerse al responsable del tratamiento y muy lejos del 4% como máximo
del volumen de negocio total anual global del ejercicio financiero anterior teniendo en
consideración el volumen de negocio.
La sanción que se impone a EUSKALTEL, de 100.000 euros, representa únicamente
un 0,086% del volumen de negocio, muy por debajo del límite máximo del 4% que
permite el artículo 83.6 del RGPD.
Esta diferencia evidencia que la cuantía fijada no penaliza de manera desmedida a la
entidad, sino que se sitúa en un rango moderado, atendiendo a la gravedad de la
infracción, la prolongación de la vulneración y la especial responsabilidad derivada del
sector en el que opera, pero manteniendo la proporcionalidad respecto a su capacidad
económica.
No se ha acreditado ninguna causa eximente ni atenuante aplicable, sin que la mera
adhesión a códigos de conducta exima de responsabilidad. Tampoco lo hace la
inexistencia de beneficio directo, ya que la finalidad de las sanciones es disuasoria, no
compensatoria.
Sobre las circunstancias atenuantes invocadas por EUSKALTEL:
Inexistencia de categorías especiales de datos: Los datos personales
implicados en la infracción son de naturaleza sensible y merecen una especial
protección, tal y como expresa el Comité Europeo de Protección de Datos en las
Directrices 04/2022 sobre el cálculo de las sanciones administrativas bajo el
RGPD:
“Categorías de datos personales afectados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/34
58. En cuanto al requisito de tener en cuenta las categorías de los datos
personales afectados [artículo 83, apartado 2, letra g), del RGPD], el RGPD
destaca claramente los tipos de datos que merecen una protección especial y, por
tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere,
como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD
y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión
provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de
localización, datos sobre comunicaciones privadas, números de identificación
nacionales o datos financieros, como resúmenes de operaciones o números de
tarjetas de crédito).”.
Colaboración con la Agencia: El cumplimiento obligatorio de una resolución
administrativa no puede considerarse colaboración, que ha de ser en todo caso
voluntaria. Tampoco la respuesta de la reclamada a los requerimientos de esta
AEPD no es encuadrable en esta circunstancia atenuante.
Adhesión a códigos de conducta: No exonera, ni reduce automáticamente
por sí mismo la responsabilidad. En todo caso, el ámbito de aplicación de los
códigos de conducta invocados por EUSKALTEL (Código de Conducta para la
Resolución de Controversias en materia de Protección de Datos en el Sector de
las Comunicaciones Electrónicas de AUTOCONTROL y Código de Conducta para
el Tratamiento de Datos en la Actividad Publicitaria de AUTOCONTROL) es ajeno
a los hechos que motivan las presentes actuaciones.
Ausencia de beneficio: Tanto el RGPD como la LOPDGDD mencionan
como factor que puede tenerse en cuenta en la graduación de la sanción los
“beneficios” obtenidos, pero no la “ausencia” de éstos.
En conclusión, no concurre ninguna causa eximente ni atenuante aplicable al presente
caso para reducir o eliminar la sanción impuesta, habiéndose motivado
suficientemente las circunstancias que se han tenido en cuenta para determinar
el importe de la sanción. Por todo ello, la sanción impuesta cumple con el
principio de proporcionalidad.
Por todo lo expuesto, la presente alegación queda desestimada.
III
Sobre el incumplimiento de la resolución del PD/00197/2023
En este caso nos encontramos con que el interesado ejerce su derecho de acceso
frente al operador de telefonía con denominación comercial “VIRGIN”, titularidad de la
empresa EUSKALTEL S.A.
Como la parte reclamada informa, VIRGIN es un operador de telefonía, que en la
prestación del servicio telefónico móvil se caracteriza por ser un “operador móvil
virtual”. Este tipo de operadores no posee una concesión de espectro de frecuencia
(dominio público radioeléctrico), y por tanto carece de una red propia de radio. Para
dar servicio, recurren a la cobertura de red de otra empresa con red propia con la que
celebran un contrato.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/34
Por lo tanto, inicialmente es cierto que este tipo de operadores podrían no disponer de
datos de la geolocalización de los terminales móviles desde los que se efectúan las
llamadas o las conexiones, ya que no disponen de una red telefónica móvil propia. No
obstante, como se hizo constar en la resolución del recurso de reposición reflejado en
los antecedentes, la Ley 25/2007 de 18 de octubre indica que este tipo de datos deben
ser conservados por todos los operadores de servicios de comunicaciones
electrónicas, Por lo tanto, EUSKALTEL, como sujeto obligado a conservar los datos de
acuerdo con el art 2 de la Ley 25/2007, tiene el deber de conservar los datos de
localización, según lo establecido en el artículo 3.1.f) de dicha norma, “Datos objetos
de conservación”, el cual establece que:
“los datos necesarios para identificar la localización del equipo de comunicación móvil:
1.° La etiqueta de localización (identificador de celda) al inicio de la comunicación. 2.°
Los datos que permiten fijar la localización geográfica de la celda, mediante referencia
a la etiqueta de localización, durante el período en el que se conservan los datos de
las comunicaciones.”
Conforme al artículo 7 de la mencionada ley “1. Los operadores estarán obligados a
ceder al agente facultado los datos conservados a los que se refiere el artículo 3 de
esta Ley concernientes a comunicaciones que identifiquen a personas, sin perjuicio de
la resolución judicial prevista en el apartado siguiente.”.
Y es que cuando los agentes facultados necesitan disponer de un dato de localización
para la realización de sus investigaciones, se dirigen previa autorización judicial al
operador obligado con el que ha contratado el cliente (es un dato de fácil acceso para
ellos). Y si para contestar al requerimiento, un operador móvil virtual precisa acudir al
operador de red con el que ha contratado para acceder a los datos, así lo hará para
poder ceder los datos a los agentes facultados. Es decir, la investigación no puede
verse retrasada o entorpecida en caso de que el operador original remitiera a su vez a
un segundo operador para que la investigación policial pudiera continuar.
De este modo, en ejecución de lo previsto en la Ley 25/2007, los operadores móviles
virtuales disponen de un mecanismo de comunicación con sus operadores de red que
les permiten tener acceso, cuando sea necesario, a los datos de geolocalización de
sus abonados, sin que este mecanismo suponga lo que el artículo 6 de la Ley 25/2007
una “cesión de datos”, ya que son datos respecto a los que EUSKALTEL tiene la
consideración de responsable del tratamiento. Este tipo de mecanismo, a su vez, les
permite contestar a las solicitudes relativas al ejercicio del derecho de acceso a sus
datos que al efecto le hagan sus clientes, concretamente, cuando la petición se
formule por el usuario del número de teléfono en cuestión.
En la resolución del PD/00197/2023 se requería a la entidad reclamada para que, en el
plazo de los diez días hábiles siguientes a la notificación de esta resolución, se
atendiese la solicitud de la parte reclamante en el ejercicio del derecho de acceso o se
denegase motivadamente indicando las causas por las que no procedía atender la
petición, de conformidad con lo establecido en el cuerpo de la presente resolución,
esto es, garantizando que los datos personales que le conciernen se den al usuario de
la línea telefónica, que puede ser o no el titular de la línea.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/34
También se le requería para que las actuaciones realizadas como consecuencia del
expediente PD/00197/2023 fueran comunicadas a esta Agencia en idéntico plazo y se
señalaba que el incumplimiento de esta resolución podría comportar la comisión de la
infracción tipificada en el art. 83.6 y prevista, a los solos efectos de su prescripción, en
el artículo 72.1.m) de la LOPDGDD.
La entidad reclamada no ha acreditado, respecto a la resolución indicada, que haya
dado respuesta a la solicitud de ejercicio de derechos que le fue presentada por la
parte reclamante. Tampoco consta en esta Agencia que haya notificado actuación
alguna en el sentido indicado
IV
Obligación incumplida
De conformidad con las evidencias de las que se dispone en la presente resolución, se
considera que la parte reclamada ha incumplido la resolución de la Agencia Española
de Protección de Datos.
Por tanto, los hechos descritos en el apartado “HECHOS PROBADOS” se estiman
constitutivos de una infracción, imputable a la parte reclamada, por vulneración del
artículo 58.2.d) del RGPD, que dispone lo siguiente:
"2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
(…)
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;
Por tanto, de conformidad con las evidencias de las que se dispone en esta resolución,
se considera que los hechos conocidos son constitutivos de una infracción, imputable
a EUSKALTEL, por vulneración del artículo transcrito anteriormente.
V
Tipificación de la infracción y calificación a efectos de prescripción
El artículo 83.6 del RGPD tipifica como infracción administrativa la vulneración del
artículo siguiente, que se sancionará de acuerdo con el apartado 2 del presente
artículo con multas administrativas de 20 000 000 EUR como máximo o, tratándose de
una empresa, de una cuantía equivalente al 4 % como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía:
“el incumplimiento de las resoluciones de la autoridad de control a tenor del artículo
58, apartado 2.”
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/34
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:
"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
m) El incumplimiento de las resoluciones dictadas por la autoridad de protección de
datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del
Reglamento (UE) 2016/679."
VI
Sanción a imponer
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/34
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
En este caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en la parte reclamante,
procedería la imposición de multa, además de la adopción de medidas.
La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, la condición de gran empresa y el
volumen de negocio de EUSKALTEL de 463.434.000 euros en el año 2023.
En primer término, se tiene en cuenta la categoría de la infracción cometida,
comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con
la mayor gravedad en su apartado 6, castigando la conducta con una multa máxima de
20 millones de euros o, tratándose de una empresa, con una multa por una cuantía
equivalente al 4% como máximo de su volumen de negocio anual. Según el citado
precepto, al establecer el importe máximo aplicable debe optarse por el límite de
mayor cuantía, de los dos fijados por la norma.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/34
En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el
año 2023 a 463.434.000 euros, el importe de la multa que procede imponer estará
necesariamente situado entre 0,00 euros y 18.537.360 euros.
De acuerdo con los preceptos transcritos, a efectos de fijar el importe final de la
sanción a imponer en el presente caso por la infracción de la que se responsabiliza a
EUSKALTEL, tipificada en el artículo 83.6 del RGPD, se estiman concurrentes los
siguientes factores:
1. Como elementos determinantes del nivel de gravedad de la infracción, se toman en
consideración las circunstancias siguientes:
• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido (artículo 83.2, letra a), del RGPD): se tiene en cuenta que el
incumplimiento de lo acordado por la AEPD, en tanto que autoridad de control en
materia de protección de datos, pone en cuestión todo el sistema previsto en el
RGPD para procurar el cumplimiento normativo. Por otra parte, interesa valorar,
por un lado, la duración de la infracción, considerando que con fecha 23 de
febrero de 2023 se dictó la resolución que desestimó el recurso interpuesto por
EUSKALTEL contra la resolución que ordenó la atención del derecho de acceso,
sin que hasta la fecha se haya dado cumplimiento a dicho acuerdo, y, por otro
lado, que la infracción únicamente tiene efecto respecto de la parte reclamante.
Asimismo, se considera el siguiente factor de graduación en calidad de agravante:
La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD):
EUSKALTEL, como uno de los principales operadores de telecomunicaciones,
realiza tratamientos de datos personales de sus clientes de forma sistemática en
el desarrollo de su actividad empresarial. En la actividad que desarrolla la parte
reclamada es imprescindible el tratamiento de datos de carácter personal
consecuencia de su objeto, por lo que la transcendencia de la conducta objeto
de la presente reclamación es innegable. Además, el tratamiento de datos por el
que se sanciona se lleva a cabo en el desarrollo de la actividad principal de la
parte reclamada.
Esta circunstancia, con carácter general, tiene transcendencia como agravante.
Así lo ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024
cuando declara: “En el caso que nos ocupa la recurrente en el ejercicio 2018
alcanzó una cifra de negocio superior a 46 millones de euros y cuenta con más
de 600 empleados, no pudiendo considerarse desproporcionada la sanción
impuesta atendiendo a las circunstancias concurrentes, tomando en
consideración su volumen de negocio y su vinculación con el tratamiento de
datos personales atendiendo el número de personas que prestan servicio como
empleados en… y su actividad”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
32/34
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 58.2 del RGPD, permite imponer una sanción de multa administrativa de
100.000,00 euros (cien mil euros).
VII
Medidas correctivas
Confirmada la infracción, de acuerdo con lo establecido en el citado artículo 58.2.c) del
RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o
encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del
interesado en virtud del presente Reglamento…” en la resolución que se adopte, se
podrá requerir a EUSKATEL la adopción de las medidas para que adecúe su actuación
a la normativa de protección de datos personales.
En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.
No obstante, en este caso, con independencia de lo anterior, de conformidad con los
hechos probados de la presente resolución de procedimiento sancionador, se requiere
a EUSKALTEL para que, en el plazo de TRES MESES, a contar desde la fecha de
ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas
siguientes:
- Adopte las medidas adecuadas y establezca los protocolos precisos para poder
atender los derechos de acceso a los datos de geolocalización de las líneas de
telefonía móvil que puedan formular los titulares de dichos datos personales.
La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.
Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución del presente procedimiento sancionador podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
33/34
PRIMERO: IMPONER a EUSKALTEL, S.A., con NIF A48766695, por una infracción
del Artículo 58.2 del RGPD, tipificada en el Artículo 83.6 del RGPD, una multa de
100.000,00 euros (cien mil euros).
SEGUNDO: ORDENAR a EUSKALTEL, S.A., con NIF A48766695, que en virtud del
artículo 58.2 del RGPD, en el plazo máximo de 3 meses desde que la presente
resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las
medidas impuestas con el alcance indicado en el Fundamento de Derecho VII.
TERCERO: NOTIFICAR la presente resolución a EUSKALTEL, S.A.
CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez la resolución sea firme
en vía administrativa.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
34/34
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-180725
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es