Llamada telefónica, en una imagen de archivo.
El Tribunal de Justicia europeo pone bajo sospecha la custodia masiva de los metadatos telefónicos en vigor en España
Un abogado general del TJUE cuestiona la norma belga, calcada a la española.
Más información: España impulsará junto a América Latina la protección de los derechos digitales
El abogado general del Tribunal de Justicia de la Unión Europea (TJUE), Maciej Szpunar, ha cuestionado una ley belga de 2022 sobre la recopilación de datos electrónicos por parte de las operadoras de servicios de telecomunicaciones.
Szpunar considera que esta normativa belga infringe el derecho de la Unión Europea al permitir un almacenamiento masivo de información sin las medidas técnicas necesarias para proteger la privacidad de los ciudadanos.
Las conclusiones presentadas por Szpunar no son vinculantes. El abogado general propone al Tribunal una posible solución jurídica (opinión técnica) tras la que los jueces del TJUE inician sus deliberaciones para emitir un veredicto final.
No obstante, este dictamen sienta un precedente y puede influir en la norma española, muy similar a la que se aplica en Bélgica, obligando a los operadores de telecomunicaciones a conservar durante doce meses los datos generados o tratados en las comunicaciones electrónicas.
El pronunciamiento se produce en el asunto C-661/24, Académie Fiscale y otros, después de que el Tribunal Constitucional belga planteara al TJUE varias cuestiones sobre la compatibilidad de la ley nacional de 2022 con la Directiva 2002/58, relativa a la privacidad y las comunicaciones electrónicas, y con la Carta de los Derechos Fundamentales de la Unión Europea.
Según el análisis del abogado general, la legislación belga carece de la precisión requerida y otorga excesiva libertad a las operadoras de servicios para decidir qué archivos conservar.
Aunque se reconoce la necesidad de combatir el fraude, el dictamen subraya que las medidas actuales no respetan el principio de proporcionalidad.
![El presidente del Gobierno, Pedro Sánchez, en el Congreso de los Diputados.](["https:\/\/s3.elespanol.com\/k\/imgp\/cms\/elespanol\/7915886.jpg?p=w:1706\/h:960&h=9agGUds2"])
Maciej Szpunar considera que determinadas disposiciones de la normativa belga resultan contrarias al Derecho de la Unión porque permiten conservar un conjunto muy amplio de datos de tráfico y localización sin establecer suficientes límites y garantías técnicas.
A su juicio, esta injerencia en los derechos a la vida privada y a la protección de los datos personales excede de lo estrictamente necesario para alcanzar los objetivos perseguidos.
En el caso español, la Ley 25/2007 obliga a los operadores de telecomunicaciones a conservar durante doce meses los datos generados o tratados en las comunicaciones electrónicas.
Ese plazo puede reducirse reglamentariamente hasta seis meses o ampliarse hasta dos años para determinadas categorías de datos. La obligación afecta con carácter general a todos los usuarios, con independencia de que exista una sospecha previa o una investigación concreta.
![Imagen de recurso sobre privacidad digital. Foto: Tobias Tullius/Unsplash](["https:\/\/s3.elespanol.com\/k\/imgp\/cms\/elespanol\/8059876.jpg?p=w:1706\/h:960&h=OXqd9KLG"])
Entre los datos conservados se encuentran el origen y destino de las comunicaciones, la fecha, hora y duración, las direcciones IP, los números de teléfono, la identidad de los abonados, los identificadores IMSI e IMEI de los dispositivos y la localización geográfica de las antenas utilizadas.
"La ley excluye el contenido de las comunicaciones. Pero el hecho de que no se escuche una conversación ni se lea un mensaje no significa que la injerencia sea menor. La combinación de tráfico, identidad y localización puede ofrecer un retrato extraordinariamente preciso de la vida privada de cualquier ciudadano", advierte Juan Ignacio Navas, socio-director de Navas & Cusí, despacho especializado en Derecho europeo.
La legislación española sólo permite la cesión de los datos recopilados para la investigación judicial o enjuiciamiento de delitos. De hecho, las pruebas son válidas solo con una autorización judicial que debe determinar qué datos son necesarios y garantizando el principio de proporcionalidad.
Estas garantías sitúan a España en una posición parcialmente diferente a la de Bélgica. Sin embargo, el posible conflicto con el Derecho europeo podría aparecer en un momento anterior: la recogida y conservación preventiva de los datos de toda la población, agrega Navas.
![Hace un año se activó el Reglamento General de Protección de Datos.](["https:\/\/s3.elespanol.com\/k\/imgp\/cms\/elespanol\/7916729.jpg?p=w:1706\/h:960&h=I7UuJ7uy"])
El abogado general sí permite la conservación generalizada de determinadas categorías, pero exige que haya una separación estanca efectiva de los datos y además prohíbe la utilización conjunta para extraer conclusiones.
Y la ley española no cumple estos requisitos. "El art. 8 de la Ley 25/2007 que regula la seguridad de los datos no ordena que los datos de identidad, tráfico, localización y dispositivos estén en compartimentos estancos y no correlacionados como reclama el abogado general", apunta.
Es más, explica que la Ley de Enjuiciamiento Criminal permite -incluso- que el juez autorice búsquedas "entrecruzadas o inteligentes" en los archivos de los prestadores.
"España regula la seguridad del almacén, pero no establece claramente los compartimentos estancos que ahora reclama el Abogado General. Si el Tribunal de Justicia confirma este criterio, la Ley 25/2007 necesitará algo más que una interpretación correctora: probablemente será necesaria una reforma legislativa y técnica profunda", sostiene.
Profunda reforma
La Ley 25/2007 de España fue la transposición de la directiva 2006/24 que fue anulada por el TJUE en el 2014 precisamente por provocar una injerencia “grave y desproporcionada” en los derechos fundamentales. No obstante, España mantuvo la ley e incluso la posterior Ley General de Telecomunicaciones del 2022 se remite a ella.
Por eso, el experto considera que sería necesaria una reforma que estableciera diferentes categorías y plazos, restringiera la conservación a amenazas graves o criterios objetivos, implantara órdenes de conservación rápida para investigaciones concretas y exigiera una separación técnica efectiva entre datos identificativos, tráfico y localización.
