No conservar los datos

Conducta

Infracción muy grave: la no conservación en ningún momento de los datos que enumera el artículo 3. El tipo lo crea esta ley; la cuantía viene de la Ley General de Telecomunicaciones por remisión del artículo 10.2. Sanciona la Administración de telecomunicaciones.

Importe

Multa de hasta veinte millones de euros, cuantía prevista para las infracciones muy graves en el artículo 109.1.a) de la Ley 11/2022. Las infracciones muy graves pueden llevar aparejada inhabilitación de hasta cinco años para suministrar redes o prestar servicios de comunicaciones electrónicas.

Art. 10.1.a) y art. 10.2 · art. 109.1.a) y b) de la Ley 11/2022

Conservación incompleta o por menos de doce meses

Conducta

Infracción grave: la no conservación reiterada o sistemática de los datos del artículo 3, y la conservación por un período inferior a los doce meses del artículo 5. Sanciona la Administración de telecomunicaciones.

Importe

Multa de hasta dos millones de euros, cuantía prevista para las infracciones graves en el artículo 109.1.c) de la Ley 11/2022.

Art. 10.1.b) i y ii · art. 109.1.c) de la Ley 11/2022

Incumplir a sabiendas las medidas de seguridad

Conducta

Infracción grave: el incumplimiento deliberado de las obligaciones de protección y seguridad de los datos del artículo 8. Es el tipo de seguridad de la ley, y el único cuya competencia sancionadora corresponde a la Agencia Española de Protección de Datos.

Importe

Multa de hasta dos millones de euros, cuantía prevista para las infracciones graves en el artículo 109.1.c) de la Ley 11/2022, al que remite el artículo 10.3.

Art. 10.1.b) iii y art. 10.3 · art. 109.1.c) de la Ley 11/2022

Incumplimientos no deliberados ni sistemáticos

Conducta

Infracciones leves: la no conservación de los datos cuando no llega a muy grave ni a grave, y el incumplimiento de las obligaciones de seguridad del artículo 8 cuando no llega a grave. La segunda la sanciona también la Agencia Española de Protección de Datos.

Importe

Multa de hasta 100.000 euros, cuantía prevista para las infracciones leves en el artículo 109.1.d) de la Ley 11/2022.

Art. 10.1.c) · art. 109.1.d) de la Ley 11/2022

Libro-registro de tarjetas de prepago

Conducta

Infracciones del libro-registro de prepago: es muy grave no llevarlo; grave llevarlo reiterada o sistemáticamente incompleto y el incumplimiento deliberado de la cesión y entrega de los datos; leve la llevanza incompleta o el incumplimiento de la cesión cuando no alcanzan las categorías anteriores.

Importe

La disposición adicional única remite al régimen sancionador de la Ley 32/2003, derogada desde 2014, y atribuye la competencia a la Administración de telecomunicaciones. En la práctica la cuantía se lee en la escala vigente de la Ley 11/2022, que es la misma de los escalones anteriores.

Disp. adicional única, 5 y 6

La ley no establece ningún régimen de notificación de incidentes. Es una ausencia llamativa para una norma que ordena custodiar durante doce meses los datos de tráfico y localización de toda la base de abonados de un operador: si ese repositorio se ve comprometido, el deber de avisar no nace aquí. Nace de la normativa de protección de datos, que obliga a notificar la violación de seguridad a la Agencia Española de Protección de Datos, y del régimen de integridad y seguridad de las redes de la Ley General de Telecomunicaciones, que corre por su propio cauce. Ambas son normas distintas de esta, con sus propias fichas.

Operadores de comunicaciones electrónicas

Quienes prestan servicios de comunicaciones electrónicas disponibles al público o explotan redes públicas de comunicaciones, en los términos de la Ley General de Telecomunicaciones (art. 2)

Operadores móviles con prepago

Los operadores de telefonía móvil que comercializan servicios activados mediante tarjeta de prepago, con el régimen añadido del libro-registro de compradores (disp. adicional única, 1)

Personal especialmente autorizado

Las personas nominadas por el operador como únicas habilitadas para acceder a los datos conservados. Identificarlas es obligación expresa, y su ausencia es infracción (art. 8.1)

Agentes facultados

Fuerzas y Cuerpos de Seguridad en funciones de policía judicial, Dirección Adjunta de Vigilancia Aduanera y personal del Centro Nacional de Inteligencia. Lista cerrada (art. 6.2)

Autoridad judicial

Autoriza previamente toda cesión y delimita, por necesidad y proporcionalidad, qué datos se ceden y en qué plazo (art. 6.1 y art. 7.2)

Agencia Española de Protección de Datos

Vela por la protección de los datos conservados y sanciona los incumplimientos de las obligaciones de seguridad del artículo 8 (art. 8.4 y art. 10.3)

Administración de telecomunicaciones

Sanciona la no conservación, la conservación por debajo del plazo y las infracciones del libro-registro de prepago, con informe preceptivo del Ministerio del Interior (art. 10.2 y disp. adicional única, 6)

Exclusiones

Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones

Identificador

BOE-A-2007-18243

Fuente

BOE · Texto consolidado · Agencia Estatal Boletín Oficial del Estado

Ciberseguridad

No es una norma de ciberseguridad por objeto: su objeto es la investigación penal. Lo que la trae al observatorio es lo que deja en manos del operador. Obliga a construir y sostener durante doce meses un repositorio de quién habla con quién, desde dónde y con qué terminal, de todos los abonados, y le pone encima un artículo de seguridad corto pero exigible: identificar al personal autorizado y aplicar medidas contra la manipulación, el uso desviado, la pérdida y el acceso no autorizado. Ese artículo tiene infracción grave y leve propias, y quien las sanciona es la Agencia Española de Protección de Datos. No hay catálogo de controles, ni auditoría, ni notificación de incidentes, ni cifrado exigido: la ley nombra el resultado y deja el cómo a la normativa de protección de datos, a la que remite por su nombre de 1999.

Valoración del curador · nivel 2 de 5

Conservar los datos de tráfico y localización Ciber parcial

Conservar, para cada comunicación, los datos de las seis letras del artículo 3.1: los que permiten rastrear el origen, identificar el destino, fijar fecha, hora y duración, identificar el tipo de comunicación, identificar el equipo del usuario y localizar el equipo móvil. La obligación alcanza solo a los datos que el operador genera o trata en la prestación de sus propios servicios, no a los que no llega a producir.

Literal de la norma Los datos que deben conservarse por los operadores especificados en el artículo 2 de esta Ley, son los siguientes: a) Datos necesarios para rastrear e identificar el origen de una comunicación […]

Art. 3.1 y art. 4.1

Extensión a las llamadas infructuosas

La conservación alcanza también a las llamadas que se completaron técnicamente pero no obtuvieron respuesta, o en las que intervino el operador. Es una ampliación real del volumen conservado, y solo opera en la medida en que el operador genere o registre esos datos.

Literal de la norma La citada obligación de conservación se extiende a los datos relativos a las llamadas infructuosas, en la medida que los datos son generados o tratados y conservados o registrados por los sujetos obligados. Se entenderá por llamada infructuosa aquella comunicación en el transcurso de la cual se ha realizado con éxito una llamada telefónica pero sin contestación, o en la que ha habido una intervención por parte del operador u operadores involucrados en la llamada.

Art. 4.2

Prohibición de conservar contenido Ciber parcial

Ningún dato que revele el contenido de la comunicación puede conservarse al amparo de esta ley. La exclusión aparece dos veces, en el ámbito de aplicación y como prohibición expresa, y abarca también la información consultada a través de la red.

Literal de la norma Ningún dato que revele el contenido de la comunicación podrá conservarse en virtud de esta Ley.

Art. 3.2 y art. 1.3

Conservar doce meses, y no más Ciber parcial

La obligación de conservar cesa a los doce meses contados desde la fecha de la comunicación. La ley permite que un reglamento amplíe ese plazo hasta dos años o lo reduzca hasta seis meses, para determinados datos o categorías de datos y previa consulta a los operadores; a la fecha de revisión no se ha aprobado ninguno.

Literal de la norma La obligación de conservación de datos impuesta cesa a los doce meses computados desde la fecha en que se haya producido la comunicación. Reglamentariamente, previa consulta a los operadores, se podrá ampliar o reducir el plazo de conservación para determinados datos o una categoría de datos hasta un máximo de dos años o un mínimo de seis meses […]

Art. 5.1

Prohibición de usar los registros para otros fines Ciber parcial

Los datos conservados no pueden aprovecharse ni utilizarse fuera de los supuestos de autorización que fija la Ley General de Telecomunicaciones. El repositorio existe para atender requerimientos judiciales, no para nada más.

Literal de la norma En ningún caso, los sujetos obligados podrán aprovechar o utilizar los registros generados, fuera de los supuestos de autorización fijados en el artículo 38 de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones.

Art. 4.1, párrafo segundo

Identificar al personal autorizado para acceder Ciber

Designar nominalmente a las personas que pueden acceder a los datos conservados. La ley no fija criterio ni procedimiento para hacerlo, pero convierte el acceso al repositorio en algo que hay que poder justificar persona a persona. Es la primera de las dos mitades del artículo 8.1 y la que un incumplimiento hace visible de inmediato.

Literal de la norma Los sujetos obligados deberán identificar al personal especialmente autorizado para acceder a los datos objeto de esta Ley […]

Art. 8.1

Medidas contra la manipulación, el uso desviado y la pérdida Ciber

Adoptar medidas técnicas y organizativas que impidan cinco cosas sobre los datos conservados: su manipulación, su uso para fines distintos de los de la ley, su destrucción accidental o ilícita, su pérdida accidental y su almacenamiento, tratamiento, divulgación o acceso no autorizados. La ley enumera resultados, no controles: qué hay que montar para conseguirlos lo remite a la normativa de protección de datos.

Literal de la norma […] adoptar las medidas técnicas y organizativas que impidan su manipulación o uso para fines distintos de los comprendidos en la misma, su destrucción accidental o ilícita y su pérdida accidental, así como su almacenamiento, tratamiento, divulgación o acceso no autorizados, con sujeción a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en su normativa de desarrollo.

Art. 8.1

Calidad, confidencialidad y nivel de protección de los datos Ciber

Las medidas concretas de calidad del dato, confidencialidad y seguridad del tratamiento, y el nivel de protección que corresponde a los datos almacenados, no los fija esta ley: los toma de la legislación de protección de datos. El texto remite por su nombre a la Ley Orgánica 15/1999 y a su normativa de desarrollo, que establecía tres niveles de medidas de seguridad. Esa ley está derogada y el marco vigente no funciona por niveles tasados, sino por medidas apropiadas al riesgo.

Literal de la norma Las obligaciones relativas a las medidas para garantizar la calidad de los datos y la confidencialidad y seguridad en el tratamiento de los mismos serán las establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y su normativa de desarrollo.

Art. 8.2 y art. 8.3

Ceder solo con autorización judicial previa

Los datos conservados solo pueden cederse previa autorización judicial y para los fines de detección, investigación y enjuiciamiento de delitos graves. Es la resolución judicial la que determina, con arreglo a necesidad y proporcionalidad, qué datos concretos se entregan. La Ley de Enjuiciamiento Criminal reforzó esta exigencia en su artículo 588 ter j.

Literal de la norma Los datos conservados de conformidad con lo dispuesto en esta Ley sólo podrán ser cedidos de acuerdo con lo dispuesto en ella para los fines que se determinan y previa autorización judicial.

Art. 6.1 y art. 7

Cesión en formato electrónico y limitada a lo imprescindible Ciber parcial

La entrega se hace en formato electrónico, únicamente a los agentes facultados y limitada a la información imprescindible para los fines de la ley. El formato concreto lo define la Orden PRE/199/2013.

Literal de la norma La cesión de la información se efectuará mediante formato electrónico únicamente a los agentes facultados, y deberá limitarse a la información que resulte imprescindible para la consecución de los fines señalados en el artículo 1. […]

Art. 6.2 y disp. final cuarta, 1

Entregar en el plazo fijado, y como máximo en siete días

El plazo lo fija la resolución judicial atendiendo a la urgencia y a la complejidad técnica de la operación. Si no fija ninguno, la entrega debe hacerse dentro de los siete días naturales contados a partir de las ocho de la mañana del día natural siguiente a la recepción de la orden. Ese plazo por defecto era de setenta y dos horas hasta la Ley 9/2014.

Literal de la norma Si no se establece otro plazo distinto, la cesión deberá efectuarse dentro del plazo de 7 días naturales contados a partir de las 8:00 horas del día natural siguiente a aquél en que el sujeto obligado reciba la orden.

Art. 7.3

No comunicar la cesión al afectado

El responsable del tratamiento no informa al afectado de que sus datos han sido cedidos, y deniega el ejercicio del derecho de cancelación en los términos de la legislación de protección de datos. Es la contrapartida de secreto que la investigación penal exige, y significa que la persona cuyos datos se entregan no lo sabe por esta vía.

Literal de la norma El responsable del tratamiento de los datos no comunicará la cesión de datos efectuada de conformidad con esta Ley.

Art. 9

Libro-registro de compradores de tarjetas de prepago Ciber parcial

Llevar un registro con la identidad de quien compra una tarjeta de prepago, identificándolo mediante documento acreditativo antes de la venta, e informarle previamente de la existencia y contenido del registro. La obligación es del operador que comercializa el servicio.

Literal de la norma La identificación se efectuará mediante documento acreditativo de la personalidad, haciéndose constar en el libro-registro el nombre, apellidos y nacionalidad del comprador, así como el número correspondiente al documento identificativo utilizado y la naturaleza o denominación de dicho documento.

Disp. adicional única, 1

Sistemas de garantía sobre los datos de prepago Ciber

Los datos identificativos del libro-registro quedan sometidos a las disposiciones de esta ley en cuanto a los sistemas que garanticen su conservación, su no manipulación, la ausencia de acceso ilícito, su destrucción, su cancelación y la identificación de la persona autorizada. Es el artículo 8 proyectado sobre el registro de prepago, con su misma lógica de acceso nominativo.

Literal de la norma Los datos identificativos estarán sometidos a las disposiciones de esta Ley, respecto a los sistemas que garanticen su conservación, no manipulación o acceso ilícito, destrucción, cancelación e identificación de la persona autorizada.

Disp. adicional única, 3

Cesión de los datos de prepago

Los datos del libro-registro se ceden cuando los requieran los agentes facultados, las Fuerzas y Cuerpos de Seguridad del Estado, los cuerpos policiales de las comunidades autónomas con competencia en seguridad pública, el personal del Centro Nacional de Inteligencia y los funcionarios de Vigilancia Aduanera. El abanico de destinatarios es más ancho que el del resto de la ley, y el supuesto no se limita a delitos graves.

Literal de la norma Los operadores deberán ceder los datos identificativos previstos en el apartado 1 de esta disposición a los agentes facultados, a los miembros de las Fuerzas y Cuerpos de Seguridad del Estado y de los Cuerpos Policiales de las Comunidades Autónomas con competencia para la protección de las personas y bienes y para el mantenimiento de la seguridad pública, o al personal del Centro Nacional de Inteligencia, así como a los funcionarios de la Dirección Adjunta de Vigilancia Aduanera, cuando les sean requeridos por éstos con fines de investigación, detección y enjuiciamiento de un delito contemplado en el Código Penal o en las leyes penales especiales.

Disp. adicional única, 2 y 4

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 8.1 y disp. adicional única, 3 · categorización del curador, no de la norma

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Art. 8.1 y disp. adicional única, 3 · categorización del curador, no de la norma

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

Art. 8.1 · art. 10.1.b) ii · categorización del curador, no de la norma

Operador

El sujeto obligado. Quien presta servicios de comunicaciones electrónicas disponibles al público o explota redes públicas de comunicaciones. No hay umbral de tamaño, de facturación ni de número de abonados: el disparador es la actividad. La ley define la categoría por remisión a la Ley General de Telecomunicaciones, que hoy es la Ley 11/2022.

Literal de la norma Son destinatarios de las obligaciones relativas a la conservación de datos impuestas en esta Ley los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones, en los términos establecidos en la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones.

Art. 2

Operador de telefonía móvil con prepago

El operador móvil que comercializa servicios activados mediante tarjeta de prepago. Soporta, además de todo lo anterior, un régimen propio en la disposición adicional única: un libro-registro con la identidad de cada comprador, su cesión a un abanico de destinatarios más ancho que el del resto de la ley, y su propia lista de infracciones.

Literal de la norma Los operadores de servicios de telefonía móvil que comercialicen servicios con sistema de activación mediante la modalidad de tarjetas de prepago, deberán llevar un libro-registro en el que conste la identidad de los clientes que adquieran una tarjeta inteligente con dicha modalidad de pago.

Disp. adicional única, 1

Personal especialmente autorizado

Las personas concretas, dentro del operador, que pueden acceder a los datos conservados. La ley no las describe ni fija criterio para designarlas: obliga a identificarlas, lo que convierte el acceso al repositorio en nominativo y hace de esa lista el control de partida del artículo 8. Reaparece en el régimen de prepago, donde la identificación de la persona autorizada es uno de los sistemas que hay que garantizar.

Literal de la norma Los sujetos obligados deberán identificar al personal especialmente autorizado para acceder a los datos objeto de esta Ley […]

Art. 8.1 y disp. adicional única, 3

Agente facultado

El destinatario tasado de la cesión, y el único. Son tres colectivos: las Fuerzas y Cuerpos de Seguridad cuando ejercen de policía judicial, los funcionarios de la Dirección Adjunta de Vigilancia Aduanera en sus competencias de policía judicial, y el personal del Centro Nacional de Inteligencia en sus investigaciones de seguridad. Fuera de esa lista no hay cesión posible al amparo de esta ley.

Literal de la norma La cesión de la información se efectuará mediante formato electrónico únicamente a los agentes facultados, y deberá limitarse a la información que resulte imprescindible para la consecución de los fines señalados en el artículo 1. […]

Art. 6.2

Autoridad judicial

El juez que autoriza. Ninguna cesión de datos conservados es posible sin resolución judicial previa, y es esa resolución la que decide, con arreglo a los principios de necesidad y proporcionalidad, qué datos concretos se ceden y en qué plazo. La ley no admite vía de urgencia sin juez.

Literal de la norma La resolución judicial determinará, conforme a lo previsto en la Ley de Enjuiciamiento Criminal y de acuerdo con los principios de necesidad y proporcionalidad, los datos conservados que han de ser cedidos a los agentes facultados.

Art. 6.1 y art. 7.2

Agencia Española de Protección de Datos

La autoridad que vela por la protección de los datos conservados y la que sanciona los incumplimientos del artículo 8. Es el único punto de la ley donde la competencia sancionadora sale del Ministerio: el incumplimiento de las obligaciones de seguridad lo persigue la Agencia, no la Administración de telecomunicaciones.

Literal de la norma La Agencia Española de Protección de Datos es la autoridad pública responsable de velar por el cumplimiento de las previsiones de la Ley Orgánica 15/1999, de 13 de diciembre, y de la normativa de desarrollo aplicables a los datos contemplados en la presente Ley.

Art. 8.4 y art. 10.3

Administración de telecomunicaciones

Quien sanciona todo lo demás: la no conservación de los datos, la conservación por menos tiempo del debido y las infracciones del libro-registro de prepago. La ley nombra al Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información, cargo que ya no existe con esa denominación. El expediente lo puede instar el Ministerio del Interior, cuyo informe es además preceptivo y determinante para resolver.

Literal de la norma El procedimiento para sancionar las citadas infracciones se iniciará por acuerdo del Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información, pudiendo el Ministerio del Interior instar dicho inicio.

Art. 10.2 y disp. adicional única, 6