Source: http://www.aspectosprofesionales.info/2013/01/directiva-de-retencion-de-datos.html
Timestamp: 2020-03-31 16:31:07
Document Index: 291704403

Matched Legal Cases: ['ARTÍCULO 29', 'Artículo 29', 'Artículo 29', 'Artículo 29', 'Artículo 29', 'Artículo 29', 'Artículo 29', 'Artículo 29', 'artículo 547', 'artículo 283', 'Artículo 29', 'artículo 8', 'Artículo 29']

Aspectos profesionales: Protección de Datos, Cloud Computing y Sistemas de Gestión.: Directiva de Retención de datos: antecedentes, transposición y estado actual
Resumen: En el año 2006 la Unión Europea aprobó la Directiva sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones, popularmente conocida como “Directiva de retención de datos” y que ha generado una gran polémica y controversia, ya que para algunos sectores su articulado vulnera la privacidad de los ciudadanos.
3. DICTÁMENES DEL GRUPO DEL ARTÍCULO 29 Y DEL SUPERVISOR EUROPEO DE PROTECCIÓN DE DATOS
3.1. Dictamen 9/2004 del Grupo del Artículo 29
3.2. Dictamen 4/2005 del Grupo del Artículo 29
3.3. Dictamen 3/2006 del Grupo del Artículo 29
3.4. Dictamen del Supervisor Europeo de Protección de Datos
4. DIRECTIVA DE RETENCIÓN DE DATOS Y SU TRANSPOSICIÓN AL ORDENAMIENTO JURÍDICO ESPAÑOL.
4.1. Directiva 2006/24/CE
4.2. Ley 25/2007
5. DICTÁMENES SOBRE LA TRANSPOSICIÓN DE LA DIRECTIVA REALIZADA POR LOS ESTADOS MIEMBROS DE LA UNIÓN EUROPEA
5.1. Dictamen 1/2010 del Grupo del Artículo 29
5.2. Dictamen de la Comisión Europea
NOTA DEL EDITOR (Actualización): en fecha 8 de abril de 2014, el TJUE (Tribunal de Justicia de la Unión Europea) declara inválida la Directiva 2006/24/CE, de 15 de marzo, conocida como de "Retención de datos" al considerar que constituye una injerencia de gran magnitud y especial gravedad en los derechos fundamentales al respeto de la vida privada y a la protección de datos de carácter personal, sin que esta injerencia se limite a lo estrictamente necesario.
El Tribunal de Justicia considera que, al imponer la conservación de estos datos y al permitir el acceso a las autoridades nacionales competentes, la Directiva se inmiscuye de manera especialmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de datos de carácter personal.
La Directiva responde efectivamente a un objetivo de interés general, a saber, la lucha contra la delincuencia grave y, en definitiva, la seguridad pública. Sin embargo, el Tribunal de Justicia estima que, al adoptar la Directiva sobre la conservación de datos, el legislador de la Unión sobrepasó los límites que exige el respeto del principio de proporcionalidad.
La injerencia amplia y especialmente grave de la Directiva en los derechos fundamentales de que se trata no está suficientemente regulada para garantizar que dicha injerencia se límite efectivamente a lo estrictamente necesario.
Por último, el Tribunal de Justicia censura que la Directiva no obliga a que los datos se conserven en el territorio de la Unión.
COMUNICADO DE PRENSA nº 54/14 del Tribunal de Justicia de la Unión Europea.
En el año 2006 la Unión Europea aprobó la Directiva sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones (1), popularmente conocida como “Directiva de retención de datos” y que ha generado una gran polémica y controversia, ya que para algunos sectores su articulado vulnera la privacidad de los ciudadanos. De hecho, en algunos países no ha sido traspuesta todavía y en otros las normas adoptadas para trasponer la misma han sido declaradas inconstitucionales.
- Las Conclusiones del Consejo de Justicia e Interior de la Unión Europea, de 19 de diciembre de 2002 (2), que incide en la importancia de los datos de la comunicaciones electrónicas para la finalidad descrita anteriormente;
- La Declaración del Consejo de Europa para combatir el terrorismo, adoptada en marzo de 2004 (3), que aborda la necesidad de que se adopte una norma que regule la retención de datos de las comunicaciones electrónicas;
- La Declaración del Consejo de Ministros de la Unión Europea, de 13 de julio de 2005 (4), condenando los ataques terroristas de Londres, y que fija como objetivo que la norma sobre retención de datos esté elaborada para octubre de 2005.
Así, en primer lugar, en el Dictamen 9/2004 el Grupo del Artículo 29 (5) alertó sobre la monitorización y almacenamiento de los datos de tráfico, ya que constituían una vulneración del derecho a la privacidad y confidencialidad de las telecomunicaciones. Para que esta vulneración no tuviese lugar, según el Grupo, deberían cumplirse tres requisitos:
· Legalidad;
· Necesidad;
· Conformidad con algunos de los supuestos referidos en la Convención de Derechos Humanos.
El segundo de los Dictámenes es el 4/2005 (6), en el que se procede a un análisis más detallado que en el anterior informe. Podemos decir que este Dictamen está dividido en dos partes.
Por una parte, se realiza un análisis general de toda la propuesta, incidiendo en que al afectar a un derecho fundamental, la norma debe ser muy clara, así como que debe cumplirse el principio de proporcionalidad y que el período de retención de los datos sea el mínimo posible.
· Objetivo: debe limitarse a la lucha contra el terrorismo y crimen organizado, ya que si fuese sobre investigación de delitos, sin mayor especificación, el término es demasiado amplio.
· Destinatarios de la información: únicamente aquellas instituciones o autoridades establecidas por ley cuya finalidad sea la investigación, prevención y persecución del terrorismo. Para cumplir con el principio de transparencia, debería publicarse en cada país las instituciones o autoridades que pueden recibir los datos retenidos para esos fines.
· Supuestos de cesión de la información: autorización judicial o por ley; debe especificarse en la autorización los datos requeridos.
· Medidas de seguridad: adopción de estándares mínimos, y en todo caso, los contemplados en la Directiva 2002/58. Además, debe separarse la información para este fin de aquella que esté relacionada con los negocios, de forma que la primera se cifre.
· Definiciones: debe existir una definición clara de los tipos de datos que se retengan. Los datos referentes a intentos de comunicaciones – es decir, que no hayan tenido lugar- no tendrían que retenerse.
Por último, el Dictamen 3/2006, (7), que a diferencia de los dos anteriores, examina el texto de la Directiva de Retención de Datos ya aprobada. Para el Grupo algunos de los apartados del texto pueden derivar en diversas interpretaciones por lo que exige que en aras de la salvaguarda de los derechos de los ciudadanos la implementación, es decir, la transposición de la Directiva sea uniforme. Más adelante veremos que no ha sido así, que la citada transposición no es uniforme en los países de la Unión, y que incluso en algunos los Tribunales han declarado inconstitucionales las respectivas leyes de retención de datos aprobadas al amparo de esta Directiva.
· Objetivo: definir claramente que se considera “delito” (en inglés, “serious crime”);
· Destinatarios de la información/supuestos de cesión/medidas de seguridad/: igual que en el anterior informe que hemos analizado;
· Minimización de datos: retención de datos el mínimo tiempo posible;
· Finalidad: no se puede tratar los datos retenidos para una finalidad diferente a la que plantea la Directiva.
En cuanto al Supervisor Europeo de Protección de Datos, al igual que el Grupo del Artículo 29, en su Dictamen (8) realiza una serie de propuestas de mejora del proyecto de Directiva (el informe es anterior a la aprobación de la misma), entre las que podemos destacar las siguientes:
· Inclusión de un apartado que asegure que otras autoridades que no sean las permitidas accedan al contenido de los datos retenidos;
· Inclusión de un apartado en el que se refleje que los datos retenidos no pueden suponer que se acceda al contenido de las comunicaciones;
· Limitar el período de retención entre 6 meses y un año;
· Incidir en la responsabilidad de los proveedores que han retenido los datos en cumplimiento de la Directiva. Esta responsabilidad se refleja en materia de comunicación de los datos así como en la adopción de las medidas de seguridad mientras estén retenidos.
· Adición de un apartado que permita a las Autoridades de Control de Protección de Datos auditar cómo están cumplimiendo los proveedores con la norma.
Debemos preguntarnos cómo ha plasmado la Directiva (1) algunas de las cuestiones que ha puesto en duda tanto el Grupo del Artículo 29 (exceptuando el informe referente a la Directiva ya aprobada) como el Supervisor Europeo de Protección de Datos, si han sido tenidas en cuenta o no, para lo cual podemos destacar los puntos más importantes tratados, de manera que una mera comparativa nos dará como resultado que la respuesta es negativa:
· Objetivo: obligar a los proveedores de servicios de comunicaciones electrónicas de acceso público o red pública de comunicación a conservar los datos generados o tratados por los mismos, para garantizar que los datos estén disponibles con fines de investigación, detección y enjuiciamiento de delitos graves (hay que acudir a la legislación nacional de cada Estado miembro para ver cuáles son).
· Principios de seguridad: se relaciona una serie de los mismos, por ejemplo, adopción de medidas técnicas y organizativas para evitar la destrucción accidental o alteración, si bien no se especifican cuáles.
· Plazo de conservación: mínimo 6 meses, máximo 2 años.
· Destinatarios: autoridades nacionales competentes de acuerdo a su legislación. Se obvia la obligación de hacer público un listado de los mismos para dar transparencia.
· Categoría de datos que se conservan: se establece todo un catálogo dependiendo de la finalidad. Por ejemplo, datos necesarios para rastrear el origen de una comunicación o fecha y hora de la misma, puestos en relación además con el medio utilizado (Internet, correo electrónico, telefonía…). Se incluye también la conservación para las llamadas infructuosas.
Esta Directiva fue transpuesta al ordenamiento jurídico español mediante la aprobación de la Ley 25/2007, de 18 de octubre (9), de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. Como curiosidad, se hizo con más de un mes de retraso, ya que la Directiva fijaba como fecha límite para realizar la transposición el 15 de septiembre de 2007.
· Objetivo: obligación de los operadores de conservar los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación, así como el deber de cesión de dichos datos a los agentes facultados siempre que les sean requeridos a través de la correspondiente autorización judicial con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal (10) o en las leyes penales especiales. Sobre este apartado destacan dos cosas: exigencia de autorización judicial y que los delitos sean graves.
· Conservación: 12 meses, aunque reglamentariamente (hasta la fecha no se ha hecho) para determinadas categorías podrá ser entre 6 y 24 meses.
· Destinatarios (cesionarios): tasado única y exclusivamente a tres supuestos. A saber: Los miembros de las Fuerzas y Cuerpos de Seguridad, cuando desempeñen funciones de policía judicial, de acuerdo con lo previsto en el artículo 547 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial (11) ; los funcionarios de la Dirección Adjunta de Vigilancia Aduanera, en el desarrollo de sus competencias como policía judicial, de acuerdo con el apartado 1 del artículo 283 de la Ley de Enjuiciamiento Criminal (12); y el personal del Centro Nacional de Inteligencia en el curso de las investigaciones de seguridad sobre personas o entidades, de acuerdo con lo previsto en la Ley 11/2002, de 6 de mayo (13) , reguladora del Centro Nacional de Inteligencia, y en la Ley Orgánica 2/2002, de 6 de mayo (14), reguladora del control judicial previo del Centro Nacional de Inteligencia.
· Medidas de seguridad de conservación: remisión a las establecidas en la LOPD y su Reglamento de desarrollo.
El primero de ellos (15), el realizado por el Grupo del Artículo 29, pone de relieve que no se ha llevado a cabo una transposición adecuada, ya que los Estados miembros han ido más allá al haber interpretado algunos de los apartados de la norma. El Grupo pone énfasis en los siguientes aspectos:
· Categoría de datos objeto de conservación: el listado es demasiado exhaustivo. Además, no puede obligarse a retener más datos que los que aparecen en la Directiva.
· Período de conservación: debería ser reducido.
· Otras cuestiones: el concepto de “delito” debe estar relacionado con la legislación de cada Estado, y debe publicarse la lista de entidades que puedan acceder a los datos retenidos.
Sin embargo, es el Dictamen de la Comisión (16), del año 2011, el que mayor información nos va a proporcionar sobre la situación de transposición de esta Directiva por parte de los Estados miembros de la Unión, ya que realiza un análisis comparativo de cada una de las leyes adoptadas por los citados Estados en relación con varios de los apartados de esa Directiva. Una muestra de ello son los siguientes ejemplos ilustrativos:
· Finalidad de la retención/conservación de los datos. Aunque la mayoría de países ha optado como finalidad por la investigación de delitos (Dinamarca, Grecia, Chipre, Italia, Portugal, Malta), otros han ido más allá. Así, Bélgica incluye también la investigación en el uso abusivo tanto del servicio de emergencias electrónicas como de las comunicaciones electrónicas; Francia la protección de la propiedad intelectual; o Eslovenia la protección de los intereses económicos de ese país.
· Destinatarios (cesionarios) de los datos: Autoridades judiciales, policía, centros de inteligencia nacional e incluso en algunos países la autoridad militar. Señalar que en Polonia puede ser el Departamento de Anticorrupción; en Portugal la policía marítima y la de fronteras; y en Hungría y Reino Unido la Administración tributaria.
· Período de conservación de los datos: Podemos dividir los países entre los que han optado por un período mínimo que sería de 6 meses (Chipre, Lituania, Luxemburgo); intermedio de 1 año (Dinamarca, Estonia, Holanda, Portugal, Finlandia, Reino Unido); y uno máximo de 2 años (Polonia, Italia, Irlanda –estos dos únicamente para llamadas de teléfono, ya sea de fijo o de móvil-).
Otro de los puntos importantes que analiza este informe de la Comisión Europea son los países en los cuales su respectivo Tribunal Constitucional ha declarado inconstitucional la ley aprobada en esta materia. Concretamente, Rumanía, Alemania y República Checha.
En el caso Rumano, su Alto Tribunal consideró que el objetivo de su ley era demasiado ambigüo por lo que era incompabible con el derecho a la privacidad y libertad de expresión del artículo 8 de la Convención Europea de Derechos Humanos. En Alemania, país puntero en materia de privacidad, la retención de datos producía un “estado de vigiliancia” del individuo contrario a los derechos fundamentales. Y en la República Checa además de los argumentos citados en los otros dos países, su Tribunal señaló que no existían las garantías suficientes para los ciudadanos en caso de abuso por los poderes públicos.
- (1) Diario Oficial de la Unión Europea. 13 de Abril de 2006. “DIRECTIVA 2006/24/CE DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 15 de marzo de 2006 sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones y por la que se modifica la Directiva 2002/58/CE”.
- (2) Consejo de Europa. Bruselas, 19 de diciembre de 2002. “Consejo - JUSTICIA Y ASUNTOS DE INTERIOR – Unión Europea”. Sesión nº 2477.
CONCLUSIONES DE LA SESIÓN DEL CONSEJO
- (3) Consejo de Europa. Bruselas, 25 de Marzo de 2004. “DECLARATION ON COMBATING TERRORISM”.
DECLARACIÓN PARA COMBATIR EL TERRORISMO
- (4) COUNCIL OF THE EUROPEAN UNION. Bruselas, 13 de Julio de 2005. “Extraordinary Council meeting -Justice and Home Affairs-: The Council adopted a Declaration condemning the terrorist attacks on London”.
DECLARACIÓN CONDENA ATAQUES TERRORISTAS
- (5) ARTICLE 29 Data Protection Working Party. Bruselas, 9 de Noviembre de 2004. “Opinion 9/2004 on a draft Framework Decision on the storage of data processed and retained for the purpose of providing electronic public communications services or data available in public communications networks with a view to the prevention, investigation, detection and prosecution of criminal acts, including terrorism”. 11885/04/EN WP 99.
OPINION 9/2004
- (6) ARTICLE 29 Data Protection Working Party. Bruselas, 21 de Octubre de 2005. “Opinion 4/2005 on the Proposal for a Directive of the European Parliament and of the Council on the Retention of Data Processed in Connection with the Provision of Public Electronic Communication Services and Amending Directive 2002/58/EC”. 1868/05/EN WP 113.
OPINION 4/2005
- (7) ARTICLE 29 Data Protection Working Party. Bruselas, 25 de Marzo de 2006. “Opinion 3/2006 on the Directive 2006/24/EC of the European Parliament and of the Council on the retention of data generated or processed in connection with the provision of publicly available electronic communications services or of public communications networks and amending Directive 2002/58/EC”. 654/06/EN WP 119.
OPINION 3/2006
- (8) Diario Oficial de la Unión Europea. 29 de Noviembre de 2005. “Opinion of the European Data Protection Supervisor on the proposal for a Directive of the European Parliament and of the Council on the retention of data processed in connection with the provision of public electronic communication services and amending Directive 2002/58/EC”.
- (9) BOE nº 251. 18 de Octubre de 2007. “LEY 25/2007 de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones”. 18243.
- (10) BOE nº 281. 23 de Noviembre de 1995. “LEY ORGANICA 10/1995 del Código Penal”. 25444.
- (11) BOE nº 157. 1 de Julio de 1985. “LEY ORGANICA 6/1985 DEL PODER JUDICIAL”.
LEY 6/1985
- (12) BOE nº 260. 17 de Septiembre de 1882. “Real Decreto por el que se aprueba la Ley de Enjuiciamiento Criminal”.
- (13) BOE nº 109. 7 de Mayo de 2002. “Ley 11/2002 reguladora del Centro Nacional de Inteligencia”. 8628.
- (14) BOE nº 109. 6 de Mayo de 2002. “LEY ORGÁNICA 2/2002, de 6 de mayo, reguladora del control judicial previo del Centro Nacional de Inteligencia. La presente Ley Orgánica es complementaria de la Ley 11/2002, de 7 de Mayo”. 8627.
- (15) ARTICLE 29 Data Protection Working Party. Bruselas, 13 de Julio de 2010. “Report 01/2010 on the second joint enforcement action: Compliance at national level of Telecom Providers and ISPs with the obligations required from national traffic data retention legislation on the legal basis of articles 6 and 9 of the e-Privacy Directive 2002/58/EC and the Data Retention Directive 2006/24/EC amending the e-Privacy Directive”. 00068/10/EN WP 172.
DICTAMEN 01/2010
- (16) REPORT FROM THE COMMISSION TO THE COUNCIL AND THE EUROPEAN PARLIAMENT. Bruselas, 18 de Abril de 2011. “Evaluation report on the Data Retention Directive (Directive 2006/24/EC)”.
Javier Sempere Samaniego es Técnico de Apoyo de la Subdirección de Régimen Jurídico y Desarrollo Normativo, Secretaria General Técnica, Consejería de Presidencia y Justicia de la Comunidad de Madrid. Con anterioridad, ha trabajado desde al año 2001 en la Agencia de Protección de Datos de la Comunidad de Madrid donde ha ocupado los puestos de Técnico de Apoyo, Coordinador de Proyecto y Asesor de Apoyo Técnico-Jurídico, encargándose de diversas tareas como la elaboración de informes jurídicos y normativa, formación, elaboración de materiales divulgativos y proyectos europeos.
Es Funcionario de Carrera del Cuerpo de Técnicos Superiores de Administraciones General de la Comunidad de Madrid. Licenciado en Derecho por la Universidad de Alcalá de Henares. Máster en Alta Dirección de Gestión Pública por el Instituto Universitario Ortega y Gasset. Máster en Tecnologías de la Información por el Instituto Nacional de Administración Pública.
NOTA DEL EDITOR: La primera publicación de éste artículo se produjo en el Blog “Privacidad Lógica” (www.privacidadlogica.es).
Publicado por Jose Luis Colom en 11:00
Etiquetas: Artículo 29, Comision Europea, directiva europea, EU, LOPD, PROTECCIÓN DE DATOS, Retención de datos, Sempere