Saber quines trucades va rebre una línia de telèfon pot semblar una qüestió purament tècnica, però també entra de ple a la protecció de dades. L’Agència de Protecció de Dades (AEPD) reconeix que l’usuari pot sol·licitar aquest historial, encara que l’accés s’haurà de conciliar amb la privadesa dels que van fer les trucades.
Alguna vegada s’haurà preguntat si una persona pot demanar a la seva companyia telefònica que li faciliti informació sobre les trucades que ha rebut. Doncs bé, la resposta de l‟Agència Espanyola de Protecció de Dades (AEPD) és, amb matisos, afirmativa.
En una resolució recent, l’AEPD ha estimat la reclamació presentada per un usuari a qui la seva operadora havia denegat l’accés al registre de trucades entrants de la seva línia mòbil.
El criteri resulta interessant perquè delimita fins on arriba el dret d’accés reconegut pel Reglament General de Protecció de Dades (RGPD) i, alhora, obliga a trobar un equilibri amb la privadesa dels qui van fer aquestes trucades.
La conclusió principal és força clara. Una companyia no pot rebutjar automàticament la sol·licitud simplement perquè aquestes dades estiguin sotmeses a la normativa específica de telecomunicacions.
Atenció. Reconèixer el dret d’accés no vol dir que l’usuari pugui obtenir sense límits qualsevol informació sobre la persona que va fer la trucada.
Què havia demanat l’usuari?
L’assumpte va començar quan el titular d?una línia mòbil va demanar a la seva operadora el registre de trucades entrants rebut durant un dia concret. La petició no es referia al contingut de les converses. El que sol·licitava era informació tècnica sobre aquestes comunicacions, com ara la data i l’hora, la durada, si la trucada havia estat atesa i el número d’origen quan aquest no estigués ocult. La companyia va rebutjar facilitar aquestes dades.
Entre els seus arguments va assenyalar que determinada informació sobre comunicacions es conserva en virtut de la Llei 25/2007 i que la cessió està especialment regulada. També va sostenir que lliurar el registre podia afectar els drets de les persones que havien realitzat les trucades.
L’operadora va arribar a indicar a l’usuari que, si necessitava aquesta informació, la podia sol·licitar a través dels tribunals.
Atenció. El dret d’accés fa referència a dades personals, no al contingut de les converses telefòniques.
L’AEPD no accepta una negativa automàtica
L’Agència qüestiona precisament aquesta interpretació general. El fet que un operador conservi determinades dades per una obligació legal no vol dir que aquestes dades quedin automàticament fora del dret d’accés de l’interessat.
L’article 15 del RGPD reconeix a les persones el dret a saber si s’estan tractant dades personals que els concerneixen i, en aquest cas, a accedir-hi i obtenir-ne una còpia en els termes previstos a la normativa.
L’AEPD considera que l’historial de trucades entrants pot contenir dades personals relacionades amb l’usuari de la línia i, per tant, pot ser objecte d’una sol·licitud d’accés.
La mateixa resolució recorda que aquest dret s’ha d’interpretar d’una manera prou àmplia i que fins i tot pot assolir historials de comunicacions en què intervinguin altres persones.
Atenció. Que una dada es conservi per obligació legal no significa, per si sola, que l’interessat perdi el dret a sol·licitar-hi accés.
La Llei 25/2007 no prohibeix accedir a aquestes dades
Aquest és un dels punts centrals de la resolució. L’operadora havia utilitzat la Llei 25/2007 sobre conservació de dades de comunicacions electròniques per justificar que únicament determinades autoritats podien accedir a aquesta informació amb autorització judicial prèvia.
L’AEPD diferencia, però, dues situacions. Una cosa és la cessió de determinades dades a les Forces i els Cossos de Seguretat o altres autoritats en el marc d’una investigació. I una altra és que una persona exerceixi davant l’empresa el seu propi dret d’accés a les dades personals que li concerneixen.
L‟Agència analitza expressament l‟article 9 d‟aquesta llei i conclou que no conté una restricció general del dret d‟accés. Sí que contempla determinades cauteles relacionades amb les cessions efectuades a les autoritats i amb altres drets, però no estableix que l’usuari tingui prohibit accedir al seu historial de trucades entrants.
Per això, l’AEPD conclou que aquest historial pot ésser objecte d’una sol·licitud d’accés.
Atenció. No heu de confondre l’accés de l’interessat a les vostres pròpies dades amb el lliurament d’informació a les autoritats per investigar un delicte.
Però el dret d’accés tampoc no és absolut
La decisió de l’AEPD no suposa que les companyies hagin de lliurar indiscriminadament tota la informació que figuri als seus registres. Hi ha un límit important. L’article 15.4 del RGPD estableix que el dret a obtenir una còpia de les dades personals no pot afectar negativament i als drets i les llibertats d’altres persones. En una trucada entrant apareixen, com a mínim, dues parts.
Per tant, poden coexistir el dret de l’usuari que sol·licita informació sobre la seva línia i el dret a la privadesa de la persona que va efectuar la trucada. El més rellevant és que aquest conflicte s’ha d’analitzar realment.
L’empresa no es pot limitar a respondre que «hi poden haver drets de tercers» i, amb aquesta frase, tancar completament l’accés.
L’AEPD exigeix que el responsable pugui demostrar quins drets es veurien afectats i en quina mesura.
Atenció. La presència de dades de tercers pot limitar part de la informació que es lliura, però no justifica necessàriament denegar tota la sol·licitud.
Especial compte amb els números ocults
Aquí apareix un dels exemples més evidents. Quan una persona fa una trucada ocultant deliberadament el seu número, hi ha una expectativa legítima que aquesta numeració no es mostri al destinatari.
La normativa de telecomunicacions reconeix precisament la possibilitat d impedir la identificació de la línia d origen.
Per això, una sol·licitud d’accés del receptor no s’hauria de convertir automàticament en una via per descobrir un número que el trucant va decidir amagar. L’AEPD considera que aquests drets s’han de ponderar.
Això pot obligar la companyia a lliurar part de l’historial sense revelar la numeració corresponent a una trucada oculta.
Atenció. El dret d’accés no converteix una trucada amb un número ocult en una trucada identificada.
La solució pot ser facilitar la informació parcialment
Aquesta és probablement una de les conseqüències pràctiques més rellevants del criteri. Quan determinades dades puguin perjudicar els drets d’altres persones, no sempre caldrà rebutjar tota la petició. Hi pot haver una solució intermèdia.
Per exemple, l’empresa podria facilitar data, hora o durada de determinades trucades i ocultar aquells elements la revelació dels quals pugui afectar un tercer.
També podeu eliminar, ratllar o fer il·legible una informació especialment sensible.
Les directrius esmentades per la mateixa AEPD assenyalen que la protecció de tercers no hauria de conduir automàticament a una denegació completa, sinó a excloure les parts concretes que puguin generar el perjudici.
Atenció. Abans de denegar l’accés, la companyia hauria de valorar si pot facilitar una versió parcial o anonimitzada de la informació.
No n’hi ha prou de dir que la informació és al telèfon
L’operadora també va argumentar que el mateix usuari podia consultar el registre de trucades al seu terminal mòbil, llevat que l’hagués eliminat. Aquest raonament tampoc substitueix necessàriament el dret reconegut pel RGPD.
El dret d’accés s’exerceix davant del responsable que tracti les dades.
Per tant, que una informació pugui aparèixer també al telèfon del client no elimina per si sol l’obligació d’analitzar correctament una sol·licitud formulada davant de la companyia.
A més, pot passar que el registre hagi estat eliminat del dispositiu o que l’usuari necessiti conèixer exactament quines dades conserva l’operadora.
Atenció. Disposar d’una còpia de certa informació al telèfon no vol dir necessàriament que hagi desaparegut el dret d’accés davant de l’empresa que també la tracta.
També cal comprovar qui utilitza realment la línia
Hi ha un altre matís important. El dret d’accés correspon a la persona a qui concerneixen les dades.
Per això, no sempre serà suficient comprovar qui figura administrativament com a titular del contracte.
L’operadora ha d’adoptar precaucions per verificar que la persona que sol·licita la informació és també la usuària efectiva de la línia quan aquesta circumstància sigui rellevant.
Pensem, per exemple, en línies contractades per una empresa i utilitzades per un treballador, contractes familiars amb diverses línies o números el titular formal dels quals no coincideix amb la persona que utilitza diàriament el telèfon.
La mateixa AEPD adverteix que únicament s’han de facilitar les dades personals que realment concerneixin el sol·licitant.
Atenció. Ser titular del contracte i ser usuari efectiu duna línia no sempre és exactament el mateix.
Les companyies hauran de motivar millor les negatives
Una de les conseqüències més clares daquesta resolució afecta directament les operadores. Una resposta genèrica pot no ser suficient.
Si lempresa entén que no pot lliurar determinada informació perquè perjudicaria drets daltres persones, haurà de justificar-ho atenent el cas concret.
Haurà d’explicar quin risc hi ha, quina informació està afectada i per què no és possible facilitar-la, totalment o parcialment.
Això suposa abandonar respostes automàtiques del tipus “no podem facilitar trucades entrants per protecció de dades”. La pròpia protecció de dades exigeix realitzar una anàlisi força més precisa.
Atenció. Una negativa pot ser legítima, però ha d’estar prou fonamentada. El problema no és només dir que no, sinó explicar per què no es pot atendre la petició concreta.
Què pot sol·licitar un usuari a la seva operadora
A partir d‟aquest criteri, una persona pot plantejar l‟exercici del dret d‟accés respecte de l‟historial de trucades entrants que constitueixi una dada personal que li concerneix.
Una sol·licitud ben formulada pot concretar, per exemple, el període de temps que voleu consultar i el tipus d’informació requerida.
Com més precisa sigui la petició, més senzill resultarà analitzar-la.
També convé conservar còpia de la sol·licitud i de la resposta de la companyia.
Si l’operadora denega l’accés, n’haurà d’expressar els motius i aquests podran ser valorats posteriorment per l’AEPD si es presenta una reclamació.
Atenció. És preferible identificar dates o períodes concrets i especificar quines dades se sol·liciten en lloc de demanar de forma genèrica «totes les trucades».
Què va decidir finalment l’AEPD
En el cas analitzat, l’Agència va estimar la reclamació perquè considera infringit l’article 15 del RGPD. La decisió, no obstant, conté un matís que mereix atenció.
L’AEPD no ordena simplement a l’operadora lliurar sense més ni més tota la informació sol·licitada.
Li requereix perquè, en el termini de deu dies hàbils, atengui correctament el dret d’accés o, quan hi hagi una raó vàlida per limitar-lo, emeti una denegació fundada i motivada d’acord amb les circumstàncies concretes.
És a dir, el criteri essencial és que la companyia no pot utilitzar una exclusió general per evitar l’anàlisi individualitzada del dret sol·licitat.
Atenció. La resolució no estableix un dret il·limitat a conèixer tots els números que han trucat. Obliga a analitzar la sol·licitud i justificar qualsevol limitació concreta.
Què significa aquest criteri per a empreses i professionals
Tot i que el cas afecta una companyia de telecomunicacions, el seu raonament té interès més enllà del sector. La resolució recorda una cosa fonamental en matèria de protecció de dades.
Quan una persona exerceix un dret reconegut pel RGPD, lexistència de dades de tercers no permet utilitzar respostes automàtiques.
Els responsables del tractament han d’estudiar quina informació pertany a l’interessat, quins drets d’altres persones es poden veure afectats i si hi ha alguna fórmula que permeti conciliar els dos interessos.
De vegades caldrà anonimitzar. En altres, amagar determinades dades.
I hi haurà supòsits en què hi hagi una raó suficient per no lliurar una part concreta de la informació.
El que és més difícil de justificar és una negativa absoluta sense haver realitzat prèviament aquesta ponderació.
Atenció. Les empreses haurien de revisar els models de resposta a drets d’accés si preveuen denegacions generals per la mera existència de dades de tercers.
Podeu posar-vos en contacte amb aquest despatx professional per a qualsevol dubte o aclariment que puguin tenir al respecte.
