Las conclusiones presentadas por el Abogado General del Tribunal de Justicia de la Unión Europea (TJUE), Maciej Szpunar, sobre la conservación de los datos relativos a las comunicaciones electrónicas podrían afectar directamente a la legislación española.
El Abogado General considera que determinadas disposiciones de la normativa belga resultan contrarias al Derecho de la Unión porque permiten conservar un conjunto muy amplio de datos de tráfico y localización sin establecer suficientes límites y garantías técnicas. A su juicio, esta injerencia en los derechos a la vida privada y a la protección de los datos personales excede de lo estrictamente necesario para alcanzar los objetivos perseguidos.
El pronunciamiento se produce en el asunto C-661/24, Académie Fiscale y otros, después de que el Tribunal Constitucional belga planteara al TJUE varias cuestiones sobre la compatibilidad de la ley nacional de 2022 con la Directiva 2002/58, relativa a la privacidad y las comunicaciones electrónicas, y con la Carta de los Derechos Fundamentales de la Unión Europea.
Aunque las conclusiones del Abogado General no vinculan al Tribunal de Justicia y será necesario esperar a la sentencia, el criterio propuesto puede tener consecuencias relevantes para España, cuya legislación conserva elementos similares al régimen belga cuestionado.
La situación española
La Ley 25/2007 obliga a los operadores de telecomunicaciones a conservar durante doce meses los datos generados o tratados en las comunicaciones electrónicas. Ese plazo puede reducirse reglamentariamente hasta seis meses o ampliarse hasta dos años para determinadas categorías de datos.
La obligación afecta con carácter general a todos los usuarios, con independencia de que exista una sospecha previa o una investigación concreta. Entre los datos conservados se encuentran el origen y destino de las comunicaciones, la fecha, hora y duración, las direcciones IP, los números de teléfono, la identidad de los abonados, los identificadores IMSI e IMEI de los dispositivos y la localización geográfica de las antenas utilizadas.
“La ley excluye el contenido de las comunicaciones. Pero el hecho de que no se escuche una conversación ni se lea un mensaje no significa que la injerencia sea menor. La combinación de tráfico, identidad y localización puede ofrecer un retrato extraordinariamente preciso de la vida privada de cualquier ciudadano”, advierte Juan Ignacio Navas, socio-director de Navas & Cusí, despacho especializado en Derecho europeo.
Autorización judicial, ¿suficiente?
Es verdad que la legislación española sólo permite la cesión de los datos recopilados para la investigación judicial o enjuiciamiento de delitos. De hecho sólo son prueba válida con autorización judicial que debe determinar qué datos son necesarios y por qué garantizando el principio de proporcionalidad, explica el experto.
Estas garantías sitúan a España en una posición parcialmente diferente a la de Bélgica. Sin embargo, el posible conflicto con el Derecho europeo podría aparecer en un momento anterior: la recogida y conservación preventiva de los datos de toda la población. “Una cosa es que un juez autorice el acceso a los metadatos de una persona investigada y otra muy distinta que previamente se haya ordenado almacenar, durante un año, los datos de millones de ciudadanos ajenos a cualquier delito. El control judicial del acceso no elimina necesariamente la desproporción de la conservación generalizada”, advierte Navas.
Exigencias técnicas
El Abogado General sí permite la conservación generalizada de determinadas categorías, pero exige que haya una separación estanca efectiva de los datos y además prohibe la utilización conjunta para extraer conclusiones.
La ley española no cumple estos requisitos, explica Navas. “El art. 8 de la Ley 25/2007 que regula la seguridad de los datos no ordena que los datos de identidad, tráfico, localización y dispositivos estén en compartimentos estancos y no correlacionados como reclama el Abogado General”, apunta Navas. Es más, el experto explica que la Ley de Enjuiciamiento Criminal permite -incluso- que el juez autorice búsquedas “entrecruzadas o inteligentes” en los archivos de los prestadores.
“España regula la seguridad del almacén, pero no establece claramente los compartimentos estancos que ahora reclama el Abogado General. Si el Tribunal de Justicia confirma este criterio, la Ley 25/2007 necesitará algo más que una interpretación correctora: probablemente será necesaria una reforma legislativa y técnica profunda”, sostiene Navas.
Una ley basada en una directiva anulada
La situación española es además kafkiana porque la Ley 25/2007 fue la transposición de la directiva 2006/24 que fue anulada por el TJUE en el 2014 precisamente por provocar una injerencia “grave y desproporcionada” en los derechos fundamentales. No obstante, España mantuvo la ley e incluso la posterior Ley General de Telecomunicaciones del 2022 se remite a ella, apunta Navas que recuerda la primacía del derecho europeo. “Prima por tanto la directiva 2002/58, la Carta de Derechos Fundamentales y la jurisprudencia del TJUE; y si hay contradicción, los jueces españoles están obligados a aplicar el derecho europeo; y si el TJUE confirma el criterio del Abogado General el asunto será todavía más claro”, señala Navas.
“En materia penal se abre una inquietante contingencia porque las defensas de los querellados podrían alegar la ilegalidad de la prueba por ser contraria al derecho de la Unión”, señala el socio-director de navascusi.com.
Por eso el experto considera que sería necesaria una reforma que estableciera diferentes categorías y plazos, restringiera la conservación a amenazas graves o criterios objetivos, implantara órdenes de conservación rápida para investigaciones concretas y exigiera una separación técnica efectiva entre datos identificativos, tráfico y localización.
“Luxemburgo lleva años advirtiendo de que la lucha contra la delincuencia no permite convertir en sospechosa permanente a toda la población. Las excepciones al derecho a la privacidad deben ser tasadas, mínimas, restrictivas y justificadas. España no puede seguir descansando indefinidamente sobre una ley de 2007 construida a partir de una directiva que fue anulada por invasiva hace más de una década”, concluye Juan Ignacio Navas.
