DIGI: la AEPD obliga a liberar el registro de llamadas

La AEPD planta cara a las telecos que ocultan los registros de llamadas entrantes. La Agencia Española de Protección de Datos ha dictado una resolución firme contra DIGI en el expediente EXP202514784 que obliga a los operadores a abandonar los vetos genéricos y a examinar cada solicitud de acceso de forma individualizada. El fallo rompe con la práctica extendida de invocar el secreto de las comunicaciones para negar a los usuarios sus propios datos de tráfico.

El expediente EXP202514784: qué reclamó Álvaro y cómo respondió DIGI

El caso partió de una petición concreta. Álvaro, cliente de DIGI, solicitó el registro completo de llamadas entrantes a su número para una jornada determinada. Pedía datos técnicos mínimos: fecha, hora, duración, estado de respuesta y número del llamante.

DIGI denegó la solicitud de forma global. La operadora invocó el artículo 15 del Reglamento General de Protección de Datos (RGPD) y la Ley 25/2007, de conservación de datos relativos a las comunicaciones electrónicas. Argumentó que facilitar el acceso afectaría los derechos y libertades de terceros, amparándose en el artículo 23 del RGPD, que permite limitar el derecho de acceso en determinadas circunstancias.

La respuesta de DIGI representaba una línea defensiva habitual en el sector. Las telecos venían aplicando esta doctrina de bloqueo sistemático, interpretando que la protección del secreto de las comunicaciones y la salvaguarda de terceros justificaba el cierre automático de cualquier petición de registros de llamadas entrantes.

Tres razones por las que la AEPD desmontó el argumentario de DIGI

La resolución de la AEPD desmanteló la estrategia de DIGI mediante un razonamiento jurídico estructurado en tres puntos. El primero: la Ley 25/2007 no contiene limitaciones específicas al derecho de acceso sobre listados de llamadas entrantes. La norma de conservación regula la obligación de almacenar datos, no el acceso del titular a los mismos.

El segundo punto resultó clave para delimitar el alcance de la ley. La AEPD aclaró que las salvaguardas de la Ley 25/2007 operan en dos planos distintos: garantizan que los datos conservados no revelen el contenido de las comunicaciones, y exigen autorización judicial para la transferencia de datos a terceros. Estas protecciones, sin embargo, no equivalen a una prohibición absoluta de facilitar al propio usuario sus datos personales de tráfico.

El tercer pilar de la resolución se centró en la prohibición de la automatización. La AEPD reconoció que el derecho de acceso debe convivir con los derechos de terceros, pero subrayó que los operadores no pueden aplicar estos límites de forma mecánica. La coexistencia de derechos exige un análisis individualizado, no un veto por defecto.

La AEPD planta cara a las telecos: obligación de examen caso por caso

La conclusión de la resolución resulta vinculante para toda la industria. La AEPD determinó que DIGI incurrió en error al emitir una denegación en bloque. La operadora debió realizar un análisis particularizado para identificar qué información específica podía facilitar y qué medidas técnicas o legales permitían proteger a terceros, en lugar de rechazar la petición en su totalidad.

Esta doctrina obliga a las telecos a revisar sus protocolos de respuesta. El examen caso por caso implica valorar, para cada solicitud, si la identificación del llamante puede revelarse íntegramente, si debe anonimizarse parcialmente o si existen circunstancias excepcionales que justifiquen la denegación motivada de determinados datos.

El impacto sectorial es considerable. Operadores como Movistar, Vodafone, Orange y las demás OMV del mercado español venían manteniendo posiciones similares a la de DIGI, basadas en interpretaciones conservadoras del marco normativo. La resolución del expediente EXP202514784 establece un precedente administrativo que debilita esa postura colectiva.

Implicaciones prácticas para usuarios, despachos y departamentos de compliance

Para los usuarios, la resolución abre una vía efectiva de acceso a datos que antes quedaban sistemáticamente bloqueados. Los registros de llamadas entrantes resultan relevantes en litigios civiles, procedimientos de familia, reclamaciones de acoso telefónico o pruebas de disponibilidad en conflictos laborales.

Para los despachos, el fallo proporciona un argumento sólido en reclamaciones contra denegaciones de acceso. La cita del expediente EXP202514784 permite presionar a operadores reacios y, en su caso, fundamentar reclamaciones ante la AEPD o vía judicial si persiste la negativa genérica.

Los departamentos de compliance de las propias telecos enfrentan ahora una revisión urgente de sus procedimientos. Los manuales de respuesta a derechos ARCO deben actualizarse para incorporar el análisis individualizado, con criterios documentados sobre cuándo y cómo se anonimizan datos de terceros o cuándo se deniega parcialmente el acceso con motivación explícita.

La próxima frontera: ¿se extenderá la doctrina a otros datos de tráfico?

La resolución deja interrogantes abiertos sobre su aplicabilidad a datos más complejos. Los registros de llamadas salientes, los datos de localización de celdas, los registros de conexión a internet o los metadatos de mensajería instantánea podrían ser objeto de solicitudes similares, con mayores tensiones respecto a la privacidad de terceros.

La AEPD no ha aclarado si esta doctrina del examen caso por caso se trasladará automáticamente a estas categorías. La diferencia sustancial reside en que las llamadas entrantes identifican a un tercero que ya contactó al titular, mientras que otros datos de tráfico pueden revelar interacciones más complejas o ubicaciones físicas.

El sector espera nuevas resoluciones que consoliden o maticen esta línea. Mientras tanto, la AEPD planta cara a las telecos con un mensaje claro: el derecho de acceso del titular no queda anulado por el secreto de las comunicaciones, y la protección de terceros debe construirse sobre análisis concretos, no sobre prohibiciones genéricas.

Información publicada originalmente por Confilegal.