Saber qué llamadas recibió una línea de teléfono puede parecer una cuestión puramente técnica, pero también entra de lleno en la protección de datos. La Agencia de Protección de Datos (AEPD) reconoce que el usuario puede solicitar ese historial, aunque el acceso deberá conciliarse con la privacidad de quienes realizaron las llamadas.
Alguna vez se habrá preguntado si puede una persona pedir a su compañía telefónica que le facilite información sobre las llamadas que ha recibido. Pues bien, la respuesta de la Agencia Española de Protección de Datos (AEPD) es, con matices, afirmativa.
En una reciente resolución, la AEPD ha estimado la reclamación presentada por un usuario al que su operadora había denegado el acceso al registro de llamadas entrantes de su línea móvil.
El criterio resulta interesante porque delimita hasta dónde llega el derecho de acceso reconocido por el Reglamento General de Protección de Datos (RGPD) y, al mismo tiempo, obliga a encontrar un equilibrio con la privacidad de quienes realizaron esas llamadas.
La conclusión principal es bastante clara. Una compañía no puede rechazar automáticamente la solicitud simplemente porque esos datos estén sometidos a la normativa específica de telecomunicaciones.
- Atención. Reconocer el derecho de acceso no significa que el usuario pueda obtener sin límites cualquier información sobre la persona que realizó la llamada.
¿Qué había solicitado el usuario?
El asunto comenzó cuando el titular de una línea móvil pidió a su operadora el registro de llamadas entrantes recibido durante un día concreto. La petición no se refería al contenido de las conversaciones. Lo que solicitaba era información técnica sobre esas comunicaciones, como la fecha y hora, la duración, si la llamada había sido atendida y el número de origen cuando este no estuviera oculto. La compañía rechazó facilitar esos datos.
Entre sus argumentos señaló que determinada información sobre comunicaciones se conserva en virtud de la Ley 25/2007 y que su cesión está especialmente regulada. También sostuvo que entregar el registro podía afectar a los derechos de las personas que habían realizado las llamadas.
La operadora llegó a indicar al usuario que, si necesitaba esa información, podía solicitarla a través de los tribunales.
- Atención. El derecho de acceso se refiere a datos personales, no al contenido de las conversaciones telefónicas.
La AEPD no acepta una negativa automática
La Agencia cuestiona precisamente esa interpretación general. El hecho de que un operador conserve determinados datos por una obligación legal no significa que esos datos queden automáticamente fuera del derecho de acceso del interesado.
El artículo 15 del RGPD reconoce a las personas el derecho a saber si se están tratando datos personales que les conciernen y, en ese caso, a acceder a ellos y obtener una copia en los términos previstos en la normativa.
La AEPD considera que el historial de llamadas entrantes puede contener datos personales relacionados con el usuario de la línea y, por tanto, puede ser objeto de una solicitud de acceso.
La propia resolución recuerda que este derecho debe interpretarse de una manera suficientemente amplia y que puede alcanzar incluso a historiales de comunicaciones en los que intervengan otras personas.
- Atención. Que un dato se conserve por obligación legal no significa, por sí solo, que el interesado pierda el derecho a solicitar acceso a él.
La Ley 25/2007 no prohíbe acceder a estos datos
Este es uno de los puntos centrales de la resolución. La operadora había utilizado la Ley 25/2007 sobre conservación de datos de comunicaciones electrónicas para justificar que únicamente determinadas autoridades podían acceder a esa información previa autorización judicial.
La AEPD diferencia, sin embargo, dos situaciones. Una cosa es la cesión de determinados datos a las Fuerzas y Cuerpos de Seguridad u otras autoridades en el marco de una investigación. Y otra distinta es que una persona ejerza ante la empresa su propio derecho de acceso a los datos personales que le conciernen.
La Agencia analiza expresamente el artículo 9 de esa ley y concluye que no contiene una restricción general del derecho de acceso. Sí contempla determinadas cautelas relacionadas con las cesiones efectuadas a las autoridades y con otros derechos, pero no establece que el usuario tenga prohibido acceder a su historial de llamadas entrantes.
Por eso, la AEPD concluye que este historial puede ser objeto de una solicitud de acceso.
- Atención. No debe confundirse el acceso del interesado a sus propios datos con la entrega de información a las autoridades para investigar un delito.
Pero el derecho de acceso tampoco es absoluto
La decisión de la AEPD no supone que las compañías tengan que entregar indiscriminadamente toda la información que figure en sus registros. Existe un límite importante. El artículo 15.4 del RGPD establece que el derecho a obtener una copia de los datos personales no puede afectar negativamente a los derechos y libertades de otras personas. En una llamada entrante aparecen, como mínimo, dos partes.
Por tanto, pueden coexistir el derecho del usuario que solicita información sobre su línea y el derecho a la privacidad de la persona que efectuó la llamada. Lo relevante es que este conflicto debe analizarse realmente.
La empresa no puede limitarse a responder que « pueden existir derechos de terceros » y, con esa frase, cerrar completamente el acceso.
La AEPD exige que el responsable pueda demostrar qué derechos se verían afectados y en qué medida.
- Atención. La presencia de datos de terceros puede limitar parte de la información que se entrega, pero no justifica necesariamente denegar toda la solicitud.
Especial cuidado con los números ocultos
Aquí aparece uno de los ejemplos más evidentes. Cuando una persona realiza una llamada ocultando deliberadamente su número, existe una expectativa legítima de que esa numeración no se muestre al destinatario.
La normativa de telecomunicaciones reconoce precisamente la posibilidad de impedir la identificación de la línea de origen.
Por eso, una solicitud de acceso del receptor no debería convertirse automáticamente en una vía para descubrir un número que el llamante decidió ocultar. La AEPD considera que estos derechos deben ponderarse.
Eso puede obligar a la compañía a entregar parte del historial sin revelar la numeración correspondiente a una llamada oculta.
- Atención. El derecho de acceso no convierte una llamada con número oculto en una llamada identificada.
La solución puede ser facilitar la información parcialmente
Esta es probablemente una de las consecuencias prácticas más relevantes del criterio. Cuando determinados datos puedan perjudicar los derechos de otras personas, no siempre será necesario rechazar toda la petición. Puede existir una solución intermedia.
Por ejemplo, la empresa podría facilitar fecha, hora o duración de determinadas llamadas y ocultar aquellos elementos cuya revelación pueda afectar a un tercero.
También puede eliminar, tachar o hacer ilegible una información especialmente sensible.
Las directrices citadas por la propia AEPD señalan que la protección de terceros no debería conducir automáticamente a una denegación completa, sino a excluir aquellas partes concretas que puedan generar el perjuicio.
- Atención. Antes de denegar todo el acceso, la compañía debería valorar si puede facilitar una versión parcial o anonimizada de la información.
No basta con decir que la información está en el teléfono
La operadora también argumentó que el propio usuario podía consultar el registro de llamadas en su terminal móvil, salvo que lo hubiera eliminado. Ese razonamiento tampoco sustituye necesariamente al derecho reconocido por el RGPD.
El derecho de acceso se ejerce frente al responsable que está tratando los datos.
Por tanto, que una información pueda aparecer también en el teléfono del cliente no elimina por sí solo la obligación de analizar correctamente una solicitud formulada ante la compañía.
Puede ocurrir, además, que el registro haya sido eliminado del dispositivo o que el usuario necesite conocer exactamente qué datos conserva la operadora.
- Atención. Disponer de una copia de cierta información en el teléfono no significa necesariamente que haya desaparecido el derecho de acceso frente a la empresa que también la trata.
También hay que comprobar quién utiliza realmente la línea
Existe otro matiz importante. El derecho de acceso corresponde a la persona a la que conciernen los datos.
Por eso, no siempre será suficiente con comprobar quién figura administrativamente como titular del contrato.
La operadora debe adoptar precauciones para verificar que la persona que solicita la información es también la usuaria efectiva de la línea cuando esta circunstancia resulte relevante.
Pensemos, por ejemplo, en líneas contratadas por una empresa y utilizadas por un trabajador, contratos familiares con varias líneas o números cuyo titular formal no coincide con la persona que utiliza diariamente el teléfono.
La propia AEPD advierte de que únicamente deben facilitarse los datos personales que realmente conciernan al solicitante.
- Atención. Ser titular del contrato y ser usuario efectivo de una línea no siempre es exactamente lo mismo.
Las compañías tendrán que motivar mejor sus negativas
Una de las consecuencias más claras de esta resolución afecta directamente a las operadoras. Una respuesta genérica puede no ser suficiente.
Si la empresa entiende que no puede entregar determinada información porque perjudicaría derechos de otras personas, tendrá que justificarlo atendiendo al caso concreto.
Deberá explicar qué riesgo existe, qué información está afectada y por qué no resulta posible facilitarla, total o parcialmente.
Esto supone abandonar respuestas automáticas del tipo « no podemos facilitar llamadas entrantes por protección de datos ». La propia protección de datos exige realizar un análisis bastante más preciso.
- Atención. Una negativa puede ser legítima, pero debe estar suficientemente fundada. El problema no es únicamente decir que no, sino explicar por qué no puede atenderse la petición concreta.
Qué puede solicitar un usuario a su operadora
A partir de este criterio, una persona puede plantear el ejercicio del derecho de acceso respecto del historial de llamadas entrantes que constituya un dato personal que le concierne.
Una solicitud bien formulada puede concretar, por ejemplo, el periodo de tiempo que se quiere consultar y el tipo de información requerida.
Cuanto más precisa sea la petición, más sencillo resultará analizarla.
También conviene conservar copia de la solicitud y de la respuesta de la compañía.
Si la operadora deniega el acceso, deberá expresar los motivos y estos podrán ser valorados posteriormente por la AEPD si se presenta una reclamación.
- Atención. Es preferible identificar fechas o periodos concretos y especificar qué datos se solicitan en lugar de pedir de forma genérica « todas las llamadas ».
Qué decidió finalmente la AEPD
En el caso analizado, la Agencia estimó la reclamación al considerar infringido el artículo 15 del RGPD. La decisión, sin embargo, contiene un matiz que merece atención.
La AEPD no ordena simplemente a la operadora entregar sin más toda la información solicitada.
Le requiere para que, en el plazo de diez días hábiles, atienda correctamente el derecho de acceso o, cuando exista una razón válida para limitarlo, emita una denegación fundada y motivada conforme a las circunstancias concretas.
Es decir, el criterio esencial consiste en que la compañía no puede utilizar una exclusión general para evitar el análisis individualizado del derecho solicitado.
- Atención. La resolución no establece un derecho ilimitado a conocer todos los números que han llamado. Obliga a analizar la solicitud y a justificar cualquier limitación concreta.
Qué significa este criterio para empresas y profesionales
Aunque el caso afecta a una compañía de telecomunicaciones, su razonamiento tiene interés más allá del sector. La resolución recuerda algo fundamental en materia de protección de datos.
Cuando una persona ejerce un derecho reconocido por el RGPD, la existencia de datos de terceros no permite utilizar respuestas automáticas.
Los responsables del tratamiento deben estudiar qué información pertenece al interesado, qué derechos de otras personas pueden verse afectados y si existe alguna fórmula que permita conciliar ambos intereses.
En ocasiones habrá que anonimizar. En otras, ocultar determinados datos.
Y habrá supuestos en los que exista una razón suficiente para no entregar una parte concreta de la información.
Lo que resulta más difícil de justificar es una negativa absoluta sin haber realizado previamente esa ponderación.
- Atención. Las empresas deberían revisar sus modelos de respuesta a derechos de acceso si estos prevén denegaciones generales por la mera existencia de datos de terceros.
Pueden ponerse en contacto con este despacho profesional para cualquier duda o aclaración que puedan tener al respecto.
Un cordial saludo,
