La seva companyia telefònica no pot negar sense més ni més l’accés a les seves trucades entrants
Saber quines trucades va rebre una línia de telèfon pot semblar una qüestió purament tècnica, però també entra de ple en la protecció de dades. L’Agència Espanyola de Protecció de Dades (AEPD) reconeix que l’usuari pot sol·licitar aquest historial, encara que l’accés s’haurà de conciliar amb la privacitat dels qui van fer les trucades.
Alguna vegada es deu haver preguntat si una persona pot demanar a la seva companyia telefònica que li faciliti informació sobre les trucades que ha rebut. Doncs bé, la resposta de l’Agència Espanyola de Protecció de Dades (AEPD) és, amb matisos, afirmativa.
En una recent resolució, l’AEPD ha estimat la reclamació presentada per un usuari al qual la seva operadora havia denegat l’accés al registre de trucades entrants de la seva línia mòbil.
El criteri resulta interessant perquè delimita fins a on arriba el dret d’accés reconegut pel Reglament General de Protecció de Dades (RGPD) i, al mateix temps, obliga a trobar un equilibri amb la privacitat dels qui van fer aquestes trucades.
La conclusió principal és bastant clara. Una companyia no pot rebutjar automàticament la sol·licitud simplement perquè aquestes dades estiguin sotmeses a la normativa específica de telecomunicacions.
- Atenció. Reconèixer el dret d’accés no significa que l’usuari pugui obtenir sense límits qualsevol informació sobre la persona que va fer la trucada.
Què havia sol·licitat l’usuari?
L’assumpte va començar quan el titular d’una línia mòbil va demanar a la seva operadora el registre de trucades entrants rebudes durant un dia concret. La petició no es referia al contingut de les converses. El que sol·licitava era informació tècnica sobre aquestes comunicacions, com la data i hora, la durada, si la trucada havia estat atesa i el número d’origen quan aquest no estigués ocult. La companyia va rebutjar facilitar aquestes dades.
Entre els arguments va assenyalar que determinada informació sobre comunicacions es conserva en virtut de la Llei 25/2007 i que la seva cessió està especialment regulada. També va sostenir que lliurar el registre podia afectar els drets de les persones que havien fet les trucades.
L’operadora va arribar a indicar a l’usuari que, si necessitava aquesta informació, podia sol·licitar-la a través dels tribunals.
- Atenció. El dret d’accés es refereix a dades personals, no al contingut de les converses telefòniques.
L’AEPD no accepta una negativa automàtica
L’Agència qüestiona precisament aquesta interpretació general. El fet que un operador conservi determinades dades per una obligació legal no significa que aquestes dades quedin automàticament fora del dret d’accés de l’interessat.
L’article 15 del RGPD reconeix a les persones el dret a saber si s’estan tractant dades personals que els concerneixen i, en aquest cas, a accedir-hi i obtenir una còpia en els termes previstos en la normativa.
L’AEPD considera que l’historial de trucades entrants pot contenir dades personals relacionades amb l’usuari de la línia i, per tant, pot ser objecte d’una sol·licitud d’accés.
La resolució recorda que aquest dret s’ha d’interpretar d’una manera prou àmplia i que pot afectar fins i tot historials de comunicacions en els quals intervinguin altres persones.
- Atenció. Que una dada es conservi per obligació legal no significa, per si sol, que l’interessat perdi el dret a sol·licitar-ne l’accés.
La Llei 25/2007 no prohibeix accedir a aquestes dades
Aquest és un dels punts centrals de la resolució. L’operadora havia utilitzat la Llei 25/2007 sobre conservació de dades de comunicacions electròniques per justificar que únicament determinades autoritats podien accedir a aquesta informació prèvia autorització judicial.
L’AEPD diferencia, no obstant això, dues situacions. Una cosa és la cessió de determinades dades a les forces i cossos de seguretat o altres autoritats en el marc d’una recerca. I una altra distinta és que una persona exerceixi davant l’empresa el seu propi dret d’accés a les dades personals que el concerneixen.
L’Agència analitza expressament l’article 9 d’aquesta llei i conclou que no conté una restricció general del dret d’accés. Sí que contempla determinades cauteles relacionades amb les cessions efectuades a les autoritats i amb altres drets, però no estableix que l’usuari tingui prohibit accedir al seu historial de trucades entrants.
Per això, l’AEPD conclou que aquest historial pot ser objecte d’una sol·licitud d’accés.
- Atenció. No s’ha de confondre l’accés de l’interessat a les seves pròpies dades amb el lliurament d’informació a les autoritats per a investigar un delicte.
Però el dret d’accés tampoc és absolut
La decisió de l’AEPD no suposa que les companyies hagin de lliurar indiscriminadament tota la informació que figuri en els seus registres. Hi ha un límit important. L’article 15.4 del RGPD estableix que el dret a obtenir una còpia de les dades personals no pot afectar negativament els drets i llibertats d’altres persones. En una trucada entrant apareixen, com a mínim, dues parts.
Per tant, poden coexistir el dret de l’usuari que sol·licita informació sobre la seva línia i el dret a la privacitat de la persona que va efectuar la trucada. El rellevant és que aquest conflicte s’ha d’analitzar realment.
L’empresa no es pot limitar a respondre que «poden existir drets de tercers» i, amb aquesta frase, tancar completament l’accés.
L’AEPD exigeix que el responsable pugui demostrar quins drets es veurien afectats i en quina mesura.
- Atenció. La presència de dades de tercers pot limitar part de la informació que es lliura, però no justifica necessàriament denegar tota la sol·licitud.
Especial cura amb els números ocults
Aquí apareix un dels exemples més evidents. Quan una persona fa una trucada ocultant deliberadament el seu número, hi ha una expectativa legítima que aquesta numeració no es mostri al destinatari.
La normativa de telecomunicacions reconeix precisament la possibilitat d’impedir la identificació de la línia d’origen.
Per això, una sol·licitud d’accés del receptor no hauria de convertir-se automàticament en una via per a descobrir un número que qui trucava va decidir ocultar. L’AEPD considera que aquests drets s’han de ponderar.
Això pot obligar la companyia a lliurar part de l’historial sense revelar la numeració corresponent a una trucada oculta.
- Atenció. El dret d’accés no converteix una trucada amb número ocult en una trucada identificada.
La solució pot ser facilitar la informació parcialment
Aquesta és probablement una de les conseqüències pràctiques més rellevants del criteri. Quan determinades dades puguin perjudicar els drets d’altres persones, no sempre serà necessari rebutjar tota la petició. Pot existir una solució intermèdia.
Per exemple, l’empresa podria facilitar data, hora o durada de determinades trucades i ocultar aquells elements la revelació dels quals pugui afectar un tercer.
També pot eliminar, ratllar o fer il·legible una informació especialment sensible.
Les directrius citades per l’AEPD assenyalen que la protecció de tercers no hauria de conduir automàticament a una denegació completa, sinó a excloure aquelles parts concretes que puguin generar el perjudici.
- Atenció. Abans de denegar tot l’accés, la companyia hauria de valorar si pot facilitar una versió parcial o anonimitzada de la informació.
No n’hi ha prou amb dir que la informació és al telèfon
L’operadora també va argumentar que l’usuari podia consultar el registre de trucades en la seva terminal mòbil, tret que l’hagués eliminat. Aquest raonament tampoc substitueix necessàriament al dret reconegut pel RGPD.
El dret d’accés s’exerceix enfront del responsable que està tractant les dades.
Per tant, que una informació pugui aparèixer també en el telèfon del client no elimina per si sol l’obligació d’analitzar correctament una sol·licitud formulada davant la companyia.
Pot succeir, a més, que el registre hagi estat eliminat del dispositiu o que l’usuari necessiti conèixer exactament quines dades conserva l’operadora.
- Atenció. Disposar d’una còpia d’una certa informació en el telèfon no significa necessàriament que hagi desaparegut el dret d’accés enfront de l’empresa que també la tracta.
També cal comprovar qui utilitza realment la línia
Hi ha un altre matís important. El dret d’accés correspon a la persona a la qual concerneixen les dades.
Per això, no sempre n’hi haurà prou amb comprovar qui figura administrativament com a titular del contracte.
L’operadora ha d’adoptar precaucions per a verificar que la persona que sol·licita la informació és també la usuària efectiva de la línia quan aquesta circumstància resulti rellevant.
Pensem, per exemple, en línies contractades per una empresa i utilitzades per un treballador, contractes familiars amb diverses línies o números el titular formal dels quals no coincideix amb la persona que usa diàriament el telèfon.
L’AEPD adverteix que únicament han de facilitar-se les dades personals que realment concerneixin el sol·licitant.
- Atenció. Ser titular del contracte i ser usuari efectiu d’una línia no sempre és exactament el mateix.
Les companyies hauran de motivar millor les seves negatives
Una de les conseqüències més clares d’aquesta resolució afecta directament les operadores. Una resposta genèrica pot no ser suficient.
Si l’empresa entén que no pot lliurar determinada informació perquè perjudicaria drets d’altres persones, haurà de justificar-ho atès el cas concret.
Haurà d’explicar quin risc existeix, quina informació està afectada i per què no és possible facilitar-la, totalment o parcial.
Això suposa abandonar respostes automàtiques del tipus «no podem facilitar trucades entrants per protecció de dades». La protecció de dades exigeix fer una anàlisi bastant més precisa.
- Atenció. Una negativa pot ser legítima, però ha d’estar prou fundada. El problema no és únicament dir que no, sinó explicar per què no pot atendre’s la petició concreta.
Què pot sol·licitar un usuari a la seva operadora
A partir d’aquest criteri, una persona pot plantejar l’exercici del dret d’accés respecte de l’historial de trucades entrants que constitueixi una dada personal que el concerneix.
Una sol·licitud ben formulada pot concretar, per exemple, el període de temps que es vol consultar i el tipus d’informació requerida.
Com més precisa sigui la petició, més senzill resultarà analitzar-la.
També convé conservar còpia de la sol·licitud i de la resposta de la companyia.
Si l’operadora denega l’accés, haurà d’expressar els motius i aquests podran ser valorats posteriorment per l’AEPD si es presenta una reclamació.
- Atenció. És preferible identificar dates o períodes concrets i especificar quines dades se sol·liciten en lloc de demanar de manera genèrica «totes les trucades».
Què va decidir finalment l’AEPD
En el cas analitzat, l’Agència va estimar la reclamació en considerar infringit l’article 15 del RGPD. La decisió, no obstant això, conté un matís que mereix atenció.
L’AEPD no ordena simplement a l’operadora lliurar sense més ni més tota la informació sol·licitada.
Li requereix perquè, en el termini de deu dies hàbils, atengui correctament el dret d’accés o, quan existeixi una raó vàlida per a limitar-lo, emeti una denegació fundada i motivada conforme a les circumstàncies concretes.
És a dir, el criteri essencial consisteix en el fet que la companyia no pot utilitzar una exclusió general per evitar l’anàlisi individualitzada del dret sol·licitat.
- Atenció. La resolució no estableix un dret il·limitat a conèixer tots els números que han trucat. Obliga a analitzar la sol·licitud i a justificar qualsevol limitació concreta.
Què significa aquest criteri per a empreses i professionals
Encara que el cas afecta una companyia de telecomunicacions, el seu raonament té interès més enllà del sector. La resolució recorda una cosa fonamental en matèria de protecció de dades.
Quan una persona exerceix un dret reconegut pel RGPD, l’existència de dades de tercers no permet utilitzar respostes automàtiques.
Els responsables del tractament han d’estudiar quina informació pertany a l’interessat, quins drets d’altres persones poden veure’s afectats i si existeix alguna fórmula que permeti conciliar tots dos interessos.
A vegades caldrà anonimitzar. En d’altres, ocultar determinades dades.
I hi haurà supòsits en els quals existeixi una raó suficient per a no lliurar una part concreta de la informació.
El que resulta més difícil de justificar és una negativa absoluta sense haver fet prèviament aquesta ponderació.
- Atenció. Les empreses haurien de revisar els seus models de resposta a drets d’accés si aquests preveuen denegacions generals per la mera existència de dades de tercers.
Es poden posar en contacte amb aquest despatx professional per qualsevol dubte o aclariment que puguin tenir sobre aquesta qüestió.
Una salutació cordial