La Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, tiene por objeto la regulación de la obligación de los operadores de conservar los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación, así como el deber de cesión de dichos datos a los agentes facultados, siempre que les sean requeridos a través de la correspondiente autorización judicial con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales.
Esta Ley se aplica a los datos de tráfico y de localización sobre personas físicas y jurídicas y a los datos relacionados necesarios para identificar al abonado o usuario registrado. Se excluye del ámbito de aplicación de la citada Ley el contenido de las comunicaciones electrónicas, incluida la información consultada utilizando una red de comunicaciones electrónicas.
La Ley 25/2007, de 18 de octubre, enumera en su artículo 3, de manera precisa y detallada, el listado de datos que quedan sujetos a la obligación de conservación en el marco de las comunicaciones por telefonía fija, móvil o Internet. Estos datos son los necesarios para identificar el origen y destino de la comunicación, su hora, fecha y duración, el tipo de servicio utilizado y el equipo de comunicación de los usuarios utilizado y, en el caso de utilización de un equipo móvil, los datos necesarios para su localización. En aplicación de las previsiones contenidas en la Directiva 2006/24/CE, del Parlamento Europeo y del Consejo, de 15 de marzo, sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones y por la que se modifica la Directiva 2002/58/CE, quedan incluidas también en el ámbito de aplicación de la Ley las denominadas llamadas telefónicas infructuosas. Igualmente se incluye la obligación de conservar los elementos que sean suficientes para identificar el momento de activación de los teléfonos que funcionen bajo la modalidad de prepago.
La disposición adicional única de la Ley 25/2007, de 18 de octubre, a los efectos de poder establecer instrumentos para controlar el empleo para fines delictivos de los equipos de telefonía móvil adquiridos mediante la modalidad de prepago, establece, como obligación de los operadores que comercialicen dicho servicio, la llevanza de un registro con la identidad de los compradores.
Asimismo, la citada Ley 25/2007, de 18 de octubre, establece en su disposición final cuarta, relativa al formato de entrega de los datos, que la cesión a los agentes facultados de los datos cuya conservación sea obligatoria, se efectuará en formato electrónico, en la forma que se determine por Orden conjunta de los Ministros de Interior, de Defensa y de Economía y Hacienda. La citada habilitación normativa a favor del Ministerio de Defensa debe entenderse residenciada actualmente en el Ministerio de la Presidencia, puesto que el Centro Nacional de Inteligencia, del cual se deriva su afección, ha pasado a depender de este último Departamento, en virtud de lo establecido en la disposición adicional segunda del Real Decreto 1823/2011, de 21 de diciembre, por el que se reestructuran los Departamentos Ministeriales. Y por idénticos motivos de reestructuración orgánica, la referencia al Ministerio de Economía y Hacienda deba entenderse encuadrada en el ámbito competencial del Ministerio de Hacienda y Administraciones Públicas.
Esta Orden tiene por objeto el establecimiento de las especificaciones técnicas del formato de entrega a los agentes facultados de los datos conservados por los operadores que son generados y tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación.
Se adopta el modelo promovido por el ETSI (Instituto Europeo de Normalización de las Telecomunicaciones) para el establecimiento de dichas especificaciones. Este modelo consiste en un conjunto de normas elaboradas en el seno de este organismo de normalización en el que participan expertos de todos los sectores involucrados en la retención de datos, lo que garantiza un elevado nivel de consenso y de calidad de las normas desarrolladas, así como el mantenimiento y la adaptación a las diferentes tecnologías de telecomunicaciones que vayan surgiendo en el mercado.
La adopción del modelo ETSI implica la incorporación a la legislación española de una especificación técnica del ETSI que especifica el flujo de información así como los procedimientos, formatos y protocolos específicos de las interfaces de entrega (HI) entre los sujetos obligados y los agentes facultados: ETSI TS 102 657.
Finalmente, la presente Orden ha sido sometida al previo informe de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en los artículos 37.h) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y 5.b) del Estatuto de la Agencia, aprobado por el Real Decreto 428/1993, de 26 de marzo.
En su virtud, a propuesta de este Ministerio y de los Ministros del Interior, de Hacienda y Administraciones Públicas, dispongo:
Artículo 1. Objeto y ámbito de aplicación.
Constituye el objeto de esta orden el establecimiento de las especificaciones técnicas del formato de entrega a los agentes facultados de los datos objeto de conservación a que hace referencia el artículo 3 y la disposición adicional única de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, de acuerdo con lo establecido en la disposición final cuarta de dicha Ley.
Lo dispuesto en esta orden se entiende sin perjuicio de los desarrollos reglamentarios previstos en la disposición final tercera de la mencionada Ley.
Estarán obligados a seguir los procedimientos y adoptar las medidas a las que se refiere la presente orden ministerial los operadores que presten o estén en condiciones de prestar servicios de comunicaciones electrónicas disponibles al público o de establecer o explotar redes públicas de comunicaciones en España, con independencia de la naturaleza, ámbito territorial y momento que tuvo efecto su habilitación, en los términos establecidos en la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones.
Artículo 2. Formato de entrega de los datos a los agentes facultados.
1. Número de solicitudes individuales de cesión de datos entre todos los agentes facultados superior a 2.000.–En el marco de la Ley 25/2007, de 18 de octubre, la cesión a los agentes facultados de los datos cuya conservación sea obligatoria por parte de los operadores, se efectuará, cuando el número de solicitudes individuales de cesión de datos entre todos los agentes facultados sea superior a 2.000 solicitudes durante el año natural anterior a la entrada en vigor de la presente orden ministerial, según el formato establecido en la especificación técnica del Instituto Europeo de Normalización de las Telecomunicaciones (ETSI) TS 102 657, Lawful Interception (LI); Retained data handling; Handover interface for the request and delivery of retained data, con las modificaciones y precisiones que se establecen en el anexo I de esta orden ministerial.
2. Número de solicitudes individuales de cesión de datos entre todos los agentes facultados igual o inferior a 2.000.–Cuando un sujeto obligado haya recibido un número de solicitudes individuales de cesión de datos entre todos los agentes facultados igual o inferior a 2.000 solicitudes durante el año natural anterior a la entrada en vigor de la presente orden ministerial, o en años naturales posteriores se viera disminuido el número de las mismas por debajo de las ya citadas 2.000 solicitudes, en lugar de utilizar el formato de entrega basado en la norma ETSI TS 102 657 podrá optar por utilizar otra solución tecnológica acordada previamente con los agentes facultados de entre los diferentes formatos especificados para este caso en el anexo III, en formato electrónico y cuyo nombre se adecuará a lo definido en el punto 7.1 del anexo I de esta Orden ministerial.
Para poder optar a esta solución, el sujeto obligado deberá comunicar a cada agente facultado que no se han superado en el año natural anterior las 2.000 solicitudes individuales y su petición de acogerse a la solución tecnológica alternativa previamente acordada. En todo caso la solución tecnológica acordada deberá garantizar el cumplimiento de las medidas de seguridad exigibles conforme a lo establecido en la normativa de protección de datos de carácter personal.
Si en el primer caso no se alcanzara el acuerdo preceptivo entre el sujeto obligado y los agentes facultados o si establecida la excepción contemplada en el segundo caso se superara posteriormente el número de 2.000 solicitudes, se aplicará lo establecido en el apartado 1 de este artículo.
3. Plazo de adopción del formato de entrega.–Cuando un sujeto obligado haya recibido un número superior a 2.000 solicitudes individuales de cesión de datos durante el año natural anterior a la entrada en vigor de la presente orden ministerial o acordada la excepción del apartado 2 de este artículo se superara posteriormente el número de 2.000 solicitudes dentro de un año natural, dispondrá del plazo fijado por la Ley 25/2007, de 18 de octubre, en su disposición final cuarta, para implantar el procedimiento de cesión basado en la norma ETSI TS 102 657 adoptado en esta orden. Dicho plazo se contabilizará desde la entrada en vigor de la presente orden ministerial en el primer caso y desde el momento en el que se supere el número de 2.000 solicitudes dentro de un año natural en el segundo.
Artículo 3. Información de localización.
Los sujetos obligados que presten servicios móviles deberán proveer la información de localización del terminal móvil solicitada, de acuerdo con lo establecido en el anexo I de esta orden.
Artículo 4. Canales de comunicaciones entre sujetos obligados y agentes facultados.
Existirán dos tipos de canales de comunicaciones entre cada sujeto obligado y cada agente facultado para la entrega de los datos solicitados: un canal para intercambio de información administrativa sobre peticiones/respuestas (Interfaz HI-A), y otro canal para transmitir los datos retenidos por el sujeto obligado (Interfaz HI-B). Estos dos canales «lógicos» podrán ser realizados sobre el mismo canal «físico» de enlace, y en cualquier caso se encontrarán, obligatoriamente, dentro del territorio nacional.
El anexo II de esta orden recoge las características y requisitos que deben cumplir ambos canales de comunicaciones así como los pormenores del abono del coste de las comunicaciones por parte de los agentes facultados.
Artículo 5. Comunicación de información relacionada con la de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones entre sujetos obligados.
1. La información relacionada con el mandamiento de la conservación de datos, relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, que se intercambie entre sujetos obligados, se limitará a la estrictamente necesaria para satisfacer las necesidades derivadas de la obligación de colaborar entre operadores para la realización de la misma. Los sujetos obligados garantizarán en todo momento la confidencialidad de la información transmitida o almacenada, no pudiendo ser utilizada para ningún otro fin. En todo caso conforme a las exigencias de la Ley 25/2007, de 18 de octubre, este intercambio de información en modo alguno podrá referirse a los datos de carácter personal respecto de los que existe la obligación de conservación y, en su caso, comunicación a los agentes facultados.
2. Las órdenes de cesión de los datos conservados y cualquier otra información importante para la seguridad del sistema de conservación, debe transmitirse mediante un canal seguro, según se define en el anexo II de esta orden.
Disposición transitoria única. Plazo para el cumplimiento.
Los sujetos obligados que estén prestando servicio a la entrada en vigor de la presente orden ministerial deberán cumplir las obligaciones establecidas en la misma en el plazo fijado por la Ley 25/2007, de 18 de octubre, en su disposición final cuarta, conforme a lo dispuesto en el artículo 2 de esta orden ministerial.
Aquellos sujetos obligados que inicien su actividad con posterioridad a la entrada en vigor de esta orden ministerial, deberán cumplir las obligaciones establecidas en esta orden ministerial desde el inicio de su actividad, pudiéndose acoger a lo dispuesto en el párrafo segundo del artículo 2 cuando se verifiquen dichas condiciones a la finalización del primer año natural completo desde el inicio de su actividad.
Disposición final primera. Habilitación normativa.
Se faculta a los titulares de la Secretaría de Estado de Seguridad, de la Secretaría de Estado Director del Centro Nacional de Inteligencia (CNI) y de la Secretaría de Estado de Hacienda para actualizar conjuntamente el contenido de los anexos de la presente Orden.
Disposición final segunda. Impacto presupuestario en la Administración Pública.
Las previsiones contenidas en esta orden no supondrán incremento de gastos de personal por ningún concepto y se llevarán a cabo con los medios personales disponibles en los departamentos ministeriales y organismos interesados.
Disposición final tercera. Entrada en vigor.
La presente orden ministerial entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial del Estado».
Madrid, 29 de enero de 2013.–La Vicepresidenta del Gobierno y Ministra de la Presidencia, Soraya Sáenz de Santamaría Antón.
