La Directiva no fija ni una cifra ni una escala de infracciones. El artículo 15 bis, apartado 1, ordena a cada Estado determinar el régimen de sanciones aplicable al incumplimiento de las disposiciones nacionales que la incorporen, incluidas las penales cuando proceda, con el listón habitual de efectivas, proporcionadas y disuasorias, y añade un matiz poco frecuente: las sanciones pueden cubrir el período completo de la infracción aunque esta se haya corregido después. Los Estados tenían que notificar su régimen a la Comisión a más tardar el 25 de mayo de 2011. El artículo 15, apartado 2, remite además al capítulo III de la Directiva 95/46/CE sobre recursos judiciales, responsabilidad y sanciones, remisión que hoy se lee hecha al Reglamento General de Protección de Datos.

La Directiva no da ninguna cifra: dice «sin dilaciones indebidas» y ahí se acaba. Las veinticuatro horas que todo el mundo cita no son suyas, son del artículo 2, apartado 2, del Reglamento (UE) 611/2013, que además ata el reloj a un momento definido, la detección, y la define: hay detección cuando el proveedor tiene conocimiento suficiente de que se ha producido un incidente de seguridad que compromete datos personales para efectuar una notificación válida. Ese mismo artículo admite una notificación inicial en veinticuatro horas con la información de la sección 1 del anexo I cuando todavía no se sabe todo, seguida de una segunda notificación lo antes posible y como máximo dentro de los tres días siguientes a la inicial. El reglamento es directamente aplicable, así que ese plazo rige en España aunque la Ley 11/2022 no lo escriba. Conviene además no confundir este régimen con el del artículo 33 del Reglamento General de Protección de Datos, que da setenta y dos horas: son dos relojes distintos y al operador de telecomunicaciones le corre el corto.

Violación de los datos personales: notificar a la autoridad nacional competente

Plazo

«Sin dilaciones indebidas» en la Directiva; en la medida de lo posible, 24 horas desde la detección por el Reglamento (UE) 611/2013

Desde cuándo corre

Desde la detección, que el Reglamento (UE) 611/2013 define como el momento en que el proveedor tiene conocimiento suficiente del incidente para poder notificar válidamente

Art. 4.3, párr. 1 · Rgto. (UE) 611/2013, art. 2

Violación que pueda afectar negativamente a la intimidad o a los datos de un abonado o particular: notificarle también a él

Plazo

«Sin dilaciones indebidas»

Desde cuándo corre

Desde que se aprecia el posible efecto adverso sobre la intimidad o los datos personales del abonado o particular. Hay exención si el proveedor prueba ante la autoridad que aplicó a los datos afectados medidas de protección tecnológica que los vuelven incomprensibles

Art. 4.3, párr. 2 y 3

Requerimiento de la autoridad para que se avise al afectado cuando el proveedor no lo ha hecho

Plazo

Cuando lo exija la autoridad

Desde cuándo corre

Desde que la autoridad nacional competente evalúa los efectos adversos posibles de la violación y decide exigir el aviso

Art. 4.3, párr. 4

Riesgo particular de violación de la seguridad de la red: informar a los abonados

Plazo

No fija plazo la Directiva

Desde cuándo corre

Desde que existe un riesgo particular de violación de la seguridad de la red, antes de que haya incidente. Se informa del riesgo y, cuando quede fuera de las medidas que corresponde tomar al proveedor, de las posibles soluciones con una indicación de los costes

Art. 4.2

Autoridad nacional competente

Cuándo

Toda violación de los datos personales, sin umbral de gravedad

En España

La Agencia Española de Protección de Datos. Es la autoridad a la que el artículo 60.3 de la Ley 11/2022 dirige la notificación de violaciones de datos personales, y la misma que puede examinar las medidas de seguridad del operador y formular recomendaciones sobre mejores prácticas. No hay CSIRT de por medio en este régimen: la Directiva no nombra a ninguno, y el destinatario es la autoridad de protección de datos.

Agencia Española de Protección de Datos ↗

Art. 4.3, párr. 1

Abonado o particular afectado

Cuándo

Cuando la violación pueda afectar negativamente a su intimidad o a sus datos personales

En España

Avisa el propio proveedor, sin autoridad de por medio. El contenido mínimo está tasado: la naturaleza de la violación, los puntos de contacto donde obtener más información y las medidas recomendadas para atenuar los efectos adversos. La exención por medidas de protección tecnológica no es automática, hay que probarla a satisfacción de la autoridad.

Art. 4.3, párr. 2, 3 y 5

Abonados, ante un riesgo todavía no materializado

Cuándo

Riesgo particular de violación de la seguridad de la red

En España

Es un aviso preventivo, anterior a cualquier incidente, y con un detalle que se olvida a menudo: cuando el riesgo queda fuera de las medidas que corresponde tomar al proveedor, hay que informar además de las posibles soluciones y de lo que le costarían al abonado. El artículo 60.2 de la Ley 11/2022 es su versión española.

Art. 4.2

Proveedores de servicios al público

Quien presta servicios de comunicaciones electrónicas disponibles al público en redes públicas de comunicaciones de la Unión, incluidas las redes que dan soporte a dispositivos de identificación y recopilación de datos (art. 3)

Proveedores de red pública

Quien suministra la red pública de comunicaciones. Colabora en la seguridad cuando el proveedor del servicio lo necesita, y es obligado directo en el tratamiento de datos de tráfico y de localización (art. 4.1, art. 6.1 y art. 9.1)

Terceros de servicios con valor añadido

Quien recibe datos de localización distintos de los de tráfico para prestar un servicio con valor añadido, con el mismo límite de personal y de finalidad que el proveedor (art. 9.1 y 9.3)

Quien haga venta directa electrónica

Persona física o jurídica que utilice sistemas de llamada automática, fax o correo electrónico con fines de venta directa, sin necesidad de ser operador (art. 13.1 y 13.2)

Estados miembros

Destinatarios formales de la Directiva: garantizan por ley la confidencialidad de las comunicaciones, fijan el régimen de sanciones y pueden limitar por ley el alcance de los artículos 5, 6, 8 y 9 (art. 5, art. 15.1, art. 15 bis y art. 21)

Autoridades nacionales competentes

Reciben las notificaciones de violación de datos, examinan las medidas de seguridad, dictan directrices sobre cómo notificar y sancionan el incumplimiento del deber de notificar (art. 4.1 bis, art. 4.3 y 4.4)

Comisión Europea

Adopta las medidas técnicas de ejecución del artículo 4 previa consulta a ENISA, al Grupo del artículo 29 y al Supervisor Europeo de Protección de Datos (art. 4.5)

Exclusiones

Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas)

Identificador

CELEX 32002L0058

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

Es una directiva de privacidad, y la ciberseguridad ocupa dentro de ella un artículo y medio: el artículo 4, que exige medidas adecuadas al riesgo con tres mínimos tasados y monta el régimen de notificación de violaciones de datos, y el artículo 5, que ordena a los Estados proteger la confidencialidad de las comunicaciones. El resto regula facturación, guías de abonados, identificación de la línea, datos de tráfico y de localización y comunicaciones comerciales, materias donde la seguridad no es el objeto. Ese artículo 4 pesa más de lo que su tamaño sugiere: es el primer régimen europeo de notificación obligatoria de violaciones de datos, catorce años anterior al Reglamento General de Protección de Datos, y es el origen directo de los artículos 58 y 60 de la Ley General de Telecomunicaciones española.

Valoración del curador · nivel 2 de 5

Medidas técnicas y de gestión adecuadas al riesgo Ciber

Asegurar el servicio con medidas técnicas y de gestión, y colaborar con el proveedor de la red cuando la seguridad que falta sea la de ella. El listón es doble y hay que sostener los dos lados: las técnicas más avanzadas y el coste de aplicarlas por un lado, un nivel de seguridad adecuado al riesgo existente por el otro.

Literal de la norma El proveedor de un servicio de comunicaciones electrónicas disponible para el público deberá adoptar las medidas técnicas y de gestión adecuadas para preservar la seguridad de sus servicios, de ser necesario en colaboración con el proveedor de la red pública de comunicaciones por lo que respecta a la seguridad de la red. Considerando las técnicas más avanzadas y el coste de su aplicación, dichas medidas garantizarán un nivel de seguridad adecuado al riesgo existente.

Art. 4.1

Los tres mínimos tasados Ciber

Aquí es donde la norma deja de decir qué conseguir y dice qué implantar. Tres controles, y son un suelo, no un techo: acceso a los datos personales solo del personal autorizado y solo para fines autorizados por la ley; protección de los datos almacenados o transmitidos frente a destrucción, pérdida, alteración, almacenamiento, tratamiento, acceso o revelación no autorizados; y una política de seguridad que no basta con tener aprobada, porque lo exigible es su aplicación efectiva.

Literal de la norma Sin perjuicio de lo dispuesto en la Directiva 95/46/CE, las medidas a que se refiere el apartado 1, como mínimo: — garantizarán que solo el personal autorizado tenga acceso a los datos personales para fines autorizados por la ley, — protegerán los datos personales almacenados o transmitidos de la destrucción accidental o ilícita, la pérdida o alteración accidentales o el almacenamiento, tratamiento, acceso o revelación no autorizados o ilícitos, y — garantizarán la aplicación efectiva de una política de seguridad con respecto al tratamiento de datos personales.

Art. 4.1 bis

Someterse al examen de la autoridad Ciber

Las medidas adoptadas no quedan en el cajón del proveedor: la autoridad nacional puede examinarlas y formular recomendaciones sobre mejores prácticas en cuanto al nivel de seguridad que debería conseguirse con ellas. Es una potestad de la autoridad, sin periodicidad ni procedimiento en la Directiva.

Literal de la norma Las autoridades nacionales competentes podrán examinar las medidas adoptadas por los proveedores de servicios de comunicaciones electrónicas disponibles al público y podrán formular recomendaciones sobre las mejores prácticas con respecto al nivel de seguridad que debería conseguirse con estas medidas.

Art. 4.1 bis, párr. 2

Informar al abonado del riesgo particular Ciber

Cuando exista un riesgo particular de violación de la seguridad de la red, avisar a los abonados antes de que pase nada. Y si el riesgo cae fuera de lo que el proveedor puede resolver, informar además de las posibles soluciones y de una indicación de lo que costarían. Ese detalle del coste no aparece en ninguna otra norma de notificación del observatorio.

Literal de la norma En caso de que exista un riesgo particular de violación de la seguridad de la red, el proveedor de un servicio de comunicaciones electrónicas disponible para el público deberá informar a los abonados sobre dicho riesgo y, cuando el riesgo quede fuera del ámbito de las medidas que deberá tomar el proveedor del servicio, sobre las posibles soluciones, con una indicación de los posibles costes.

Art. 4.2

Notificar la violación de datos a la autoridad Ciber

Notificar a la autoridad nacional competente toda violación de datos personales, sin dilaciones indebidas y sin umbral de gravedad. El contenido está tasado: naturaleza de la violación, puntos de contacto, medidas recomendadas para atenuar los efectos y, para la autoridad y no para el afectado, las consecuencias de la violación y las medidas propuestas o adoptadas. El plazo concreto de veinticuatro horas desde la detección lo pone el Reglamento (UE) 611/2013, no esta Directiva.

Literal de la norma En caso de violación de los datos personales, el proveedor de los servicios de comunicaciones electrónicas disponibles al público notificará, sin dilaciones indebidas, dicha violación a la autoridad nacional competente.

Art. 4.3, párr. 1 y 5

Avisar al abonado o particular afectado Ciber

Cuando la violación pueda afectar negativamente a la intimidad o a los datos personales de un abonado o particular, avisarle también a él sin dilaciones indebidas. Hay una salida, y es cifrado eficaz dicho sin nombrarlo: no hay que avisar si el proveedor prueba ante la autoridad que aplicó a los datos afectados medidas de protección tecnológica que los convierten en incomprensibles para quien no está autorizado. Si no se avisa y la autoridad discrepa, puede exigir que se haga.

Literal de la norma Cuando la violación de los datos personales pueda afectar negativamente a la intimidad o a los datos personales de un abonado o particular, el proveedor notificará también la violación al abonado o al particular sin dilaciones indebidas.

Art. 4.3, párr. 2 a 5

Llevar inventario de todas las violaciones Ciber

Mantener un inventario de las violaciones de datos personales con los hechos, los efectos y las medidas adoptadas. Es continuo y no depende de que haya habido que notificar: existe para que la autoridad pueda verificar que se cumplió el deber de notificar. Y tiene un límite propio, que se lee poco: solo puede incluir la información necesaria para ese fin.

Literal de la norma Los proveedores llevarán un inventario de las violaciones de los datos personales, incluidos los hechos relacionados con tales infracciones, sus efectos y las medidas adoptadas al respecto, que resulte suficiente para permitir a las autoridades nacionales verificar el cumplimiento de las disposiciones del apartado 3. El inventario solo incluirá la información necesaria a tal efecto.

Art. 4.4, párr. 2

Directrices e instrucciones de la autoridad sobre cómo notificar Ciber

La autoridad nacional puede adoptar directrices y dar instrucciones sobre en qué circunstancias hay que notificar, con qué formato y de qué manera, y puede controlar si los proveedores han cumplido e imponer sanciones apropiadas si no. Es la pieza que convierte el «sin dilaciones indebidas» en algo operable a escala nacional.

Literal de la norma Sin perjuicio de las medidas técnicas de ejecución adoptadas con arreglo al apartado 5, las autoridades nacionales competentes podrán adoptar directrices y, en caso necesario, dar instrucciones sobre las circunstancias en que se requiere que el proveedor notifique la violación de los datos personales, sobre el formato que debe adoptar dicha notificación y sobre la manera de llevarla a cabo. […]

Art. 4.4, párr. 1

Medidas técnicas de ejecución de la Comisión Ciber

La Comisión adopta las medidas técnicas de ejecución sobre circunstancias, forma de presentación y procedimientos de la información y la notificación del artículo 4, previa consulta a ENISA, al Grupo del artículo 29 y al Supervisor Europeo de Protección de Datos. De aquí salió el Reglamento (UE) 611/2013, y es la única aparición de ENISA en toda la Directiva.

Art. 4.5

Confidencialidad de las comunicaciones Ciber

Los Estados garantizan por ley la confidencialidad de las comunicaciones y de los datos de tráfico asociados, y prohíben escucharlas, grabarlas, almacenarlas, intervenirlas o vigilarlas sin el consentimiento de los usuarios, salvo autorización legal por la vía del artículo 15, apartado 1. Dos salvedades expresas: el almacenamiento técnico necesario para conducir la comunicación, y las grabaciones legalmente autorizadas en el marco de una práctica comercial lícita para probar una transacción.

Literal de la norma Los Estados miembros garantizarán, a través de la legislación nacional, la confidencialidad de las comunicaciones, y de los datos de tráfico asociados a ellas, realizadas a través de las redes públicas de comunicaciones y de los servicios de comunicaciones electrónicas disponibles al público. En particular, prohibirán la escucha, la grabación, el almacenamiento u otros tipos de intervención o vigilancia de las comunicaciones y los datos de tráfico asociados a ellas por personas distintas de los usuarios, sin el consentimiento de los usuarios interesados, salvo cuando dichas personas estén autorizadas legalmente a hacerlo de conformidad con el apartado 1 del artículo 15. […]

Art. 5.1 y 5.2

Almacenar o leer información en el equipo terminal

Solo se permite almacenar información, u obtener acceso a la ya almacenada, en el equipo terminal de un abonado o usuario si este ha dado su consentimiento tras recibir información clara y completa, en particular sobre los fines del tratamiento. Quedan fuera dos casos: el almacenamiento o acceso técnico para efectuar la transmisión, y lo estrictamente necesario para prestar un servicio de la sociedad de la información que el usuario haya solicitado expresamente. Es el artículo de las cookies, y no obliga solo a operadores: alcanza a cualquiera que escriba o lea en el dispositivo de otro.

Literal de la norma Los Estados miembros velarán por que únicamente se permita el almacenamiento de información, o la obtención de acceso a la información ya almacenada, en el equipo terminal de un abonado o usuario, a condición de que dicho abonado o usuario haya dado su consentimiento después de que se le haya facilitado información clara y completa, en particular sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Directiva 95/46/CE. […]

Art. 5.3

Procedimiento interno para las solicitudes de acceso Ciber parcial

Instaurar procedimientos internos para responder a las solicitudes de acceso a los datos personales de los usuarios amparadas en la legislación nacional del artículo 15, apartado 1. Y, si la autoridad lo pide, facilitarle información sobre esos procedimientos, el número de solicitudes recibidas, la motivación jurídica aducida y la respuesta ofrecida.

Literal de la norma Los proveedores instaurarán procedimientos internos para responder a las solicitudes de acceso a los datos personales de los usuarios con arreglo a las disposiciones nacionales promulgadas de conformidad con el apartado 1. Previa solicitud, facilitarán a las autoridades nacionales competentes información sobre esos procedimientos, el número de solicitudes recibidas, la motivación jurídica aducida y la respuesta ofrecida.

Art. 15.1 ter

Borrar o anonimizar los datos de tráfico Ciber parcial

Los datos de tráfico se eliminan o se hacen anónimos cuando dejan de ser necesarios para transmitir la comunicación. La excepción es la facturación, y tiene su propio reloj: se pueden tratar hasta que expire el plazo durante el cual pueda impugnarse legalmente la factura o exigirse el pago.

Literal de la norma Sin perjuicio de lo dispuesto en los apartados 2, 3 y 5 del presente artículo y en el apartado 1 del artículo 15, los datos de tráfico relacionados con abonados y usuarios que sean tratados y almacenados por el proveedor de una red pública de comunicaciones o de un servicio de comunicaciones electrónicas disponible al público deberán eliminarse o hacerse anónimos cuando ya no sea necesario a los efectos de la transmisión de una comunicación.

Art. 6.1 y 6.2

Restringir quién trata los datos de tráfico Ciber parcial

Solo pueden tratar datos de tráfico las personas que actúen bajo la autoridad del proveedor y que se ocupen de una lista cerrada de funciones, y solo en lo necesario para ellas. La autorización va por propósito, no por cargo.

Literal de la norma Sólo podrán encargarse del tratamiento de datos de tráfico, de conformidad con los apartados 1, 2, 3 y 4, las personas que actúen bajo la autoridad del proveedor de las redes públicas de comunicaciones o de servicios de comunicaciones electrónicas disponibles al público que se ocupen de la facturación o de la gestión del tráfico, de las solicitudes de información de los clientes, de la detección de fraudes, de la promoción comercial de los servicios de comunicaciones electrónicas o de la prestación de un servicio con valor añadido, y dicho tratamiento deberá limitarse a lo necesario para realizar tales actividades.

Art. 6.5

Consentimiento e información para usar datos de tráfico

Usar datos de tráfico para promoción comercial o para un servicio con valor añadido exige consentimiento previo del abonado o usuario, revocable en cualquier momento, y solo durante el tiempo necesario. Antes de pedirlo hay que informar de qué tipos de datos se tratan y cuánto durará el tratamiento. Nada de esto impide que los organismos competentes reciban datos de tráfico para resolver litigios de interconexión o facturación.

Art. 6.3, 6.4 y 6.6

Datos de localización distintos de los de tráfico

Estos datos solo se tratan anonimizados o con consentimiento previo, y solo en la medida y por el tiempo necesarios para prestar un servicio con valor añadido. La información previa incluye un punto que se olvida: si los datos se transmitirán a un tercero. Y el consentimiento no es de una vez para siempre, porque el usuario conserva la posibilidad de rechazar el tratamiento de forma temporal, para cada conexión o para cada transmisión, por un procedimiento sencillo y gratuito.

Art. 9.1 y 9.2

Restringir quién trata los datos de localización Ciber parcial

Solo pueden tratar datos de localización distintos de los de tráfico las personas que actúen bajo la autoridad del proveedor o del tercero que presta el servicio con valor añadido, y solo en lo necesario para prestarlo.

Literal de la norma Sólo podrán encargarse del tratamiento de datos de localización distintos de los datos de tráfico de conformidad con los apartados 1 y 2 personas que actúen bajo la autoridad del proveedor de las redes públicas de comunicaciones o de servicios de comunicaciones electrónicas disponibles al público o del tercero que preste el servicio con valor añadido, y dicho tratamiento deberá limitarse a lo necesario a efectos de la prestación del servicio con valor añadido.

Art. 9.3

Facturación no desglosada

Los abonados tienen derecho a recibir facturas no desglosadas, y los Estados tienen que conciliar el derecho de quien pide el desglose con la intimidad de quien llama y de quien recibe la llamada, por ejemplo garantizando modalidades alternativas de comunicación o de pago que potencien la intimidad.

Art. 7

Presentación y restricción de la identificación de la línea

Cuando se ofrezca la posibilidad de ver la identificación de la línea, hay que ofrecer cuatro controles por un procedimiento sencillo y gratuito: que quien llama pueda ocultar su línea llamada a llamada y el abonado por línea, que quien recibe pueda impedir esa presentación en las entrantes, que pueda rechazar las llamadas de quien la ha ocultado, y que pueda impedir la presentación de la línea conectada a quien llama. Además hay que informar al público de que estas posibilidades existen.

Art. 8

Excepciones por llamadas malevolentes y urgencias

Los Estados tienen que prever procedimientos transparentes para anular esas protecciones en dos casos: a instancia de un abonado que denuncia llamadas malevolentes o molestas, por tiempo limitado y almacenando la identificación de quien origina la llamada; y de forma selectiva por línea, para las entidades reconocidas que atienden llamadas de urgencia, donde se anula tanto la ocultación de la línea como la ausencia de consentimiento para tratar los datos de localización.

Art. 10

Detener el desvío automático de llamadas

Todo abonado tiene que poder detener, por un procedimiento sencillo y gratuito, el desvío automático de llamadas que un tercero haya establecido hacia su terminal.

Art. 11

Guías de abonados

Antes de incluir a alguien en una guía hay que informarle gratis de para qué sirve y de las búsquedas que permite la versión electrónica. El abonado decide si figura y con qué datos, y puede comprobarlos, corregirlos o suprimirlos sin coste. Los Estados pueden exigir consentimiento específico para cualquier finalidad distinta de buscar los datos de contacto de una persona a partir de su nombre.

Art. 12

Consentimiento previo para la venta directa

Llamada automática, fax y correo electrónico con fines de venta directa solo con consentimiento previo. La excepción es estrecha y hay que leerla entera: quien obtuvo la dirección de un cliente en el contexto de una venta puede usarla para productos o servicios propios de características similares, siempre que ofrezca oponerse con absoluta claridad, sin cargo y de manera sencilla, tanto al recogerla como en cada mensaje posterior.

Art. 13.1, 13.2 y 13.3

Prohibición de ocultar al remitente

Se prohíbe en cualquier caso enviar mensajes de venta directa que disimulen u oculten la identidad de quien está detrás de la comunicación, que no incluyan una dirección válida para pedir el cese, o que dirijan al destinatario a páginas que incumplan la información exigida por el comercio electrónico.

Literal de la norma Se prohibirá, en cualquier caso, la práctica de enviar mensajes electrónicos con fines de venta directa en los que se disimule o se oculte la identidad del remitente por cuenta de quien se efectúa la comunicación, o que contravengan lo dispuesto en el artículo 6 de la Directiva 2000/31/CE, o que no contengan una dirección válida a la que el destinatario pueda enviar una petición de que se ponga fin a tales comunicaciones […]

Art. 13.4

Facultad de los Estados de limitar estos derechos

Los Estados pueden limitar por ley el alcance de los artículos 5, 6, 8 apartados 1 a 4, y 9 cuando sea necesario, proporcionado y apropiado en una sociedad democrática para la seguridad nacional, la defensa, la seguridad pública o la persecución de delitos. Entre esas medidas se nombran expresamente las que obligan a conservar datos durante un plazo limitado: es la puerta legal de las leyes nacionales de conservación de datos, y por ella entró la española.

Art. 15.1

Límite a los requisitos técnicos sobre equipos

Al aplicar la Directiva los Estados no pueden imponer características técnicas obligatorias a los equipos terminales que obstaculicen su puesta en el mercado y su libre circulación. Si una disposición solo puede aplicarse implantando características técnicas en la red, hay que informar a la Comisión. Y cuando proceda se pueden adoptar medidas para que los terminales se fabriquen de forma compatible con el derecho del usuario a proteger y controlar el uso de sus datos personales.

Art. 14

Establecer el régimen de sanciones

Cada Estado determina las sanciones, penales incluidas cuando proceda, efectivas, proporcionadas y disuasorias, y puede aplicarlas al período completo de la infracción aunque se haya corregido después. Tiene que dar además a la autoridad potestad para exigir el cese y competencias de investigación, y garantizar la cooperación transfronteriza informando a la Comisión antes de adoptar medidas.

Literal de la norma Los Estados miembros determinarán el régimen de sanciones — incluidas las sanciones penales, cuando proceda — aplicable en caso de incumplimiento de las disposiciones nacionales adoptadas en virtud de la presente Directiva y adoptarán todas las medidas necesarias para garantizar su aplicación. […]

Art. 15 bis

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Art. 4.1 y art. 4.1 bis, párr. 2 · categorización del curador, no de la norma

Cuerpo normativo de seguridad Compartida

El cuerpo normativo de seguridad: qué se protege, quién decide y contra qué criterios se mide todo lo demás, escrito, comunicado a quien tiene que cumplirlo y vivo.

Art. 4.1 bis, tercer guion · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 4.1 bis, primer guion · art. 6.5 · art. 9.3 · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Art. 4.1 bis, segundo guion · art. 4.3, párr. 3 · categorización del curador, no de la norma

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

Art. 4.1 bis, segundo guion · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Art. 4.3 y 4.4 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Art. 4.2 y 4.3 · Rgto. (UE) 611/2013, art. 2 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Art. 4.2 y 4.3 · Rgto. (UE) 611/2013, art. 2.2 · categorización del curador, no de la norma

Procedimiento controlado para las solicitudes de acceso a datos de usuarios

Convertir la atención de requerimientos de acceso a datos personales de usuarios en un proceso escrito y con traza, en vez de una respuesta improvisada por quien la reciba. Es el canal por el que la organización entrega datos de sus clientes a un tercero, y por eso es a la vez una obligación de transparencia y el punto donde una suplantación hace más daño: un procedimiento con papeles asignados, verificación del solicitante y registro de cada petición es lo que separa una entrega lícita de una fuga con membrete.

Art. 15.1 ter · categorización del curador, no de la norma

Proveedor de servicios de comunicaciones

Quien presta un servicio de comunicaciones electrónicas disponible para el público. Es el destinatario principal de la Directiva y el único obligado del artículo 4: asegura el servicio, informa del riesgo y notifica las violaciones de datos. La Directiva no lo define en su artículo 2, sino que toma la definición de la Directiva marco 2002/21/CE, derogada desde el 21 de diciembre de 2020 por el Código Europeo de las Comunicaciones Electrónicas, cuyas definiciones son las que hay que leer hoy en su lugar.

Art. 2 · art. 3 · art. 4.1

Proveedor de red pública

Quien suministra la red pública por la que viaja el tráfico. No es el obligado del artículo 4, apartado 1, pero entra en él por la puerta de la colaboración: la seguridad de la red es suya y el proveedor del servicio tiene que contar con él cuando sea necesario. Sí es obligado directo en el tratamiento de datos de tráfico y de localización, donde la Directiva lo nombra junto al proveedor del servicio.

Art. 4.1 · art. 6.1 y 6.5 · art. 9.1 y 9.3

Tercero de servicios de valor añadido

Quien recibe datos de localización distintos de los de tráfico para prestar un servicio que va más allá de la transmisión o la facturación. La Directiva le extiende el límite de finalidad y de personal: solo pueden tratar esos datos quienes actúen bajo su autoridad, y solo en lo necesario para prestar el servicio. El abonado tiene que haber sido informado antes de dar su consentimiento de que sus datos se transmitirán a un tercero.

Art. 2.g) · art. 9.1 y 9.3

Remitente de venta directa

Cualquier persona física o jurídica que use llamada automática, fax o correo electrónico con fines de venta directa. Es el único papel de la Directiva que no exige ser operador de telecomunicaciones: alcanza a cualquier empresa que envíe comunicaciones comerciales por esos medios, con la excepción acotada de dirigirse a un cliente propio sobre productos similares a los que ya le vendió.

Art. 13.1 y 13.2

Autoridad nacional competente

La autoridad que recibe las notificaciones de violación de datos personales y puede examinar las medidas de seguridad de los proveedores, formular recomendaciones sobre mejores prácticas, dictar directrices e instrucciones sobre cuándo y cómo se notifica, exigir al proveedor que avise al afectado si no lo ha hecho y sancionar el incumplimiento del deber de notificar. La Directiva no dice qué organismo es en cada Estado; en España es la Agencia Española de Protección de Datos.

Art. 4.1 bis, párr. 2 · art. 4.3 y 4.4 · art. 15 bis

Estado miembro

El destinatario formal de la Directiva. Es quien tiene que garantizar por ley la confidencialidad de las comunicaciones y prohibir su interceptación, quien decide el régimen de sanciones y quien puede limitar por ley el alcance de los artículos 5, 6, 8 y 9 por seguridad nacional, defensa, seguridad pública o persecución de delitos. Esa facultad de limitar es la puerta por la que entran las leyes nacionales de conservación de datos.

Art. 5 · art. 15.1 · art. 15 bis.1 · art. 21

Comisión Europea

Adopta las medidas técnicas de ejecución sobre las circunstancias, la forma y los procedimientos de la información y la notificación del artículo 4, previa consulta a ENISA, al Grupo del artículo 29 y al Supervisor Europeo de Protección de Datos. De esa habilitación salió el Reglamento (UE) 611/2013, que es el único acto derivado vinculante de esta Directiva.

Art. 4.5 · art. 14 bis

transpuesta

Situación

España la incorporó por partes, y la parte de seguridad es la más reciente. La Ley 11/2022, General de Telecomunicaciones, declara en su disposición final cuarta que incorpora esta Directiva, y es donde viven hoy sus artículos 4 y 5: el artículo 58 de la ley recoge el secreto de las comunicaciones y el artículo 60 traslada los tres mínimos tasados de seguridad y la notificación de violaciones de datos personales a la Agencia Española de Protección de Datos. El artículo 66 de esa misma ley cubre comunicaciones no solicitadas, datos de tráfico y de localización y guías de abonados. Fuera de la ley de telecomunicaciones, el artículo 22 de la Ley 34/2002, de servicios de la sociedad de la información, lleva la regla de almacenamiento y acceso al equipo terminal en la redacción que le dio el artículo 4.3 del Real Decreto-ley 13/2012 y modificó después la disposición final 2.5 de la Ley 9/2014; y la Ley 25/2007 ocupa el espacio de conservación de datos que abre el artículo 15, apartado 1. La reforma de la Directiva 2009/136/CE tuvo plazo propio, el 25 de mayo de 2011, y es la que introdujo casi todo lo que esta ficha marca como ciberseguridad. No se ha comprobado una a una la lista de medidas nacionales que España notificó a la Comisión.

Exigible hoy

Una directiva no obliga por sí misma a una empresa: lo exigible a un operador español es el texto español que la incorpora, y en materia de seguridad ese texto son los artículos 58 y 60 de la Ley 11/2022, con el régimen sancionador de esa misma ley. Hay una excepción que sí se aplica sin intermediario: el Reglamento (UE) 611/2013, que desarrolla el artículo 4, apartado 5, es un reglamento y por tanto directamente aplicable, y es de donde sale el plazo de veinticuatro horas para notificar una violación de datos personales a la autoridad, plazo que la ley española no escribe.

Plazo límite

31/10/2003

Art. 17.1 · Directiva 2009/136/CE, art. 4.1 · Ley 11/2022, disp. final cuarta