Llei 25/2007, de 18 d'octubre, de conservació de dades relatives a les comunicacions electròniques i a les xarxes públiques de comunicacions

Article 1. Objecte de la Llei

1. Aquesta Llei té per objecte la regulació de l'obligació dels operadors de conservar les dades generades o tractades en el marc de la prestació de serveis de comunicacions electròniques o de xarxes públiques de comunicació, i el deure de cessió d'aquestes dades als agents facultats sempre que els siguin requerits a través de la corresponent autorització judicial amb finalitats de detecció, investigació i enjudiciament de delictes greus contemplats en el Codi Penal o en les lleis penals especials.

2. Aquesta Llei s'aplicarà a les dades de tràfic i de localització sobre persones físiques i jurídiques i a les dades relacionades necessàries per identificar l'abonat o l'usuari registrat.

3. Queda exclòs de l'àmbit d'aplicació d'aquesta Llei el contingut de les comunicacions electròniques, inclosa la informació consultada fent servir una xarxa de comunicacions electròniques.

Article 2. Subjectes obligats

Són destinataris de les obligacions relatives a la conservació de dades imposades en aquesta Llei els operadors que prestin serveis de comunicacions electròniques disponibles al públic o que explotin xarxes públiques de comunicacions, en els termes establerts en la Llei 32/2003, de 3 de novembre, General de Telecomunicacions.

Article 3. Dades objecte de conservació

1. Les dades que han de conservar els operadors especificats en l'article 2 d'aquesta Llei són les següents:

a) Dades necessàries per rastrejar i identificar l'origen d'una comunicació: 1r. Respecte a la telefonia de xarxa fixa i a la telefonia mòbil: i) Número de telèfon de trucada. ii) Nom i adreça de l'abonat o l'usuari registrat. 2n. Respecte a l'accés a Internet, el correu electrònic per Internet i la telefonia per Internet: i) La identificació d'usuari assignada. ii) La identificació d'usuari i el número de telèfon assignats a tota comunicació que accedeixi a la xarxa pública de telefonia. iii) El nom i l'adreça de l'abonat o de l'usuari registrat al qual se li ha assignat en el moment de la comunicació una adreça de Protocol d'Internet (IP), una identificació d'usuari o un número de telèfon.

b) Dades necessàries per identificar la destinació d'una comunicació: 1r. Respecte a la telefonia de xarxa fixa i a la telefonia mòbil: i) El número o números marcats (el número o números de telèfon de destinació) i, en aquells casos en què intervinguin altres serveis, com ara el desviament o la transferència de trucades, el número o números cap als quals es transfereixen les trucades. ii) Els noms i les adreces dels abonats o usuaris registrats. 2n. Respecte al correu electrònic per Internet i la telefonia per Internet: i) La identificació d'usuari o el número de telèfon del destinatari o dels destinataris d'una trucada telefònica per Internet. ii) Els noms i adreces dels abonats o usuaris registrats i la identificació d'usuari del destinatari de la comunicació.

c) Dades necessàries per determinar la data, l'hora i la durada d'una comunicació: 1r. Respecte a la telefonia de xarxa fixa i a la telefonia mòbil: la data i l'hora de l'inici i la fi de la trucada o, si escau, del servei de missatgeria o del servei multimèdia. 2n. Respecte a l'accés a Internet, al correu electrònic per Internet i a la telefonia per Internet: i) La data i l'hora de la connexió i la desconnexió del servei d'accés a Internet registrades, basades en un determinat fus horari, i l'adreça del Protocol d'Internet, ja sigui dinàmica o estàtica, assignada pel proveïdor d'accés a Internet a una comunicació, i la identificació d'usuari o de l'abonat o de l'usuari registrat. ii) La data i l'hora de la connexió i la desconnexió del servei de correu electrònic per Internet o del servei de telefonia per Internet, basades en un determinat fus horari.

d) Dades necessàries per identificar el tipus de comunicació: 1r. Respecte a la telefonia de xarxa fixa i a la telefonia mòbil: el servei telefònic utilitzat: tipus de trucada (transmissió de veu, bústia de veu, conferència, dades), serveis suplementaris (inclòs el reenviament o la transferència de trucades) o serveis de missatgeria o multimèdia emprats (inclosos els serveis de missatges curts, serveis multimèdia avançats i serveis multimèdia). 2n. Respecte al correu electrònic per Internet i a la telefonia per Internet: el servei d'Internet utilitzat.

e) Dades necessàries per identificar l'equip de comunicació dels usuaris o el que es considera ser l'equip de comunicació: 1r. Respecte a la telefonia de xarxa fixa: els números de telèfon d'origen i de destinació. 2n. Respecte a la telefonia mòbil: i) Els números de telèfon d'origen i destinació. ii) La identitat internacional de l'abonat mòbil (IMSI) de la part que efectua la trucada. iii) La identitat internacional de l'equip mòbil (IMEI) de la part que efectua la trucada. iv) La IMSI de la part que rep la trucada. v) La IMEI de la part que rep la trucada. vi) En el cas dels serveis anònims de pagament per avançat, com ara els serveis amb targetes de prepagament, la data i l'hora de la primera activació del servei i l'etiqueta de localització (l'identificador de cel·la) des de la qual s'hagi activat el servei. 3r. Respecte a l'accés a Internet, el correu electrònic per Internet i la telefonia per Internet: i) El número de telèfon d'origen en cas d'accés mitjançant marcació de números. ii) La línia digital d'abonat (DSL) o un altre punt terminal identificador de l'autor de la comunicació.

f) Dades necessàries per identificar la localització de l'equip de comunicació mòbil: 1r. L'etiqueta de localització (identificador de cel·la) a l'inici de la comunicació. 2n. Les dades que permeten fixar la localització geogràfica de la cel·la, mitjançant referència a l'etiqueta de localització, durant el període en què es conserven les dades de les comunicacions.

2. Cap dada que reveli el contingut de la comunicació no podrà conservar-se en virtut d'aquesta Llei.

Article 4. Obligació de conservar dades

1. Els subjectes obligats adoptaran les mesures necessàries per garantir que les dades especificades en l'article 3 d'aquesta Llei es conservin de conformitat amb el que hi disposa, en la mesura que siguin generades o tractades per ells en el marc de la prestació dels serveis de comunicacions de què es tracti. En cap cas, els subjectes obligats podran aprofitar o utilitzar els registres generats, fora dels supòsits d'autorització fixats en l'article 38 de la Llei 32/2003, de 3 de novembre, General de Telecomunicacions.

2. L'obligació de conservació esmentada s'estén a les dades relatives a les trucades infructuoses, en la mesura que les dades siguin generades o tractades i conservades o registrades pels subjectes obligats. S'entendrà per trucada infructuosa aquella comunicació en el transcurs de la qual s'ha realitzat amb èxit una trucada telefònica però sense resposta, o en la qual hi ha hagut una intervenció per part de l'operador o operadors implicats en la trucada.

3. Les dades relatives a les trucades no connectades queden excloses de les obligacions de conservació contingudes en aquesta Llei. S'entendrà per trucada no connectada aquella comunicació en el transcurs de la qual s'ha realitzat sense èxit una trucada telefònica, sense que hi hagi hagut intervenció de l'operador o operadors implicats.

Article 5. Període de conservació de les dades

1. L'obligació de conservació de dades imposada cessa als dotze mesos comptats des de la data en què s'hagi produït la comunicació. Per via reglamentària, prèvia consulta als operadors, es podrà ampliar o reduir el termini de conservació per a determinades dades o una categoria de dades fins a un màxim de dos anys o un mínim de sis mesos, tenint en consideració el cost de l'emmagatzematge i la conservació de les dades, i l'interès d'aquestes per als fins d'investigació, detecció i enjudiciament d'un delicte greu.

2. Allò que disposa l'apartat anterior s'entén sense perjudici del que preveu l'article 16.3 de la Llei Orgànica 15/1999, de 13 de desembre, de Protecció de Dades de Caràcter Personal, sobre l'obligació de conservar dades bloquejades en els supòsits legals de cancel·lació.

Article 6. Normes generals sobre cessió de dades

1. Les dades conservades de conformitat amb el que disposa aquesta Llei només podran ser cedides d'acord amb el que hi estableix, per als fins que s'hi determinen i amb autorització judicial prèvia.

2. La cessió de la informació s'efectuarà en format electrònic únicament als agents facultats, i haurà de limitar-se a la informació que resulti imprescindible per a la consecució dels fins assenyalats en l'article 1. A aquests efectes, tindran la consideració d'agents facultats: a) Els membres de les Forces i Cossos de Seguretat, quan exerceixin funcions de policia judicial, de conformitat amb el que preveu l'article 547 de la Llei Orgànica 6/1985, d'1 de juliol, del Poder Judicial. b) Els funcionaris de la Direcció Adjunta de Vigilància Duanera, en el desenvolupament de les seves competències com a policia judicial, d'acord amb l'apartat 1 de l'article 283 de la Llei d'Enjudiciament Criminal. c) El personal del Centre Nacional d'Intel·ligència en el curs de les investigacions de seguretat sobre persones o entitats, de conformitat amb el que preveu la Llei 11/2002, de 6 de maig, reguladora del Centre Nacional d'Intel·ligència, i la Llei Orgànica 2/2002, de 6 de maig, reguladora del control judicial previ del Centre Nacional d'Intel·ligència.

Article 7. Procediment de cessió de dades

1. Els operadors estaran obligats a cedir a l'agent facultat les dades conservades a les quals es refereix l'article 3 d'aquesta Llei relatives a comunicacions que identifiquin persones, sens perjudici de la resolució judicial prevista en l'apartat següent.

2. La resolució judicial determinarà, de conformitat amb el que preveu la Llei d'Enjudiciament Criminal i d'acord amb els principis de necessitat i proporcionalitat, les dades conservades que han de ser cedides als agents facultats.

3. El termini d'execució de l'ordre de cessió serà el fixat per la resolució judicial, atenent la urgència de la cessió i els efectes de la investigació de què es tracti, i la naturalesa i la complexitat tècnica de l'operació. Si no s'estableix cap altre termini diferent, la cessió haurà d'efectuar-se dins del termini de 7 dies naturals comptats a partir de les 8.00 hores del dia natural següent a aquell en què el subjecte obligat rebi l'ordre.

Article 8. Protecció i seguretat de les dades

1. Els subjectes obligats hauran d'identificar el personal especialment autoritzat per accedir a les dades objecte d'aquesta Llei, adoptar les mesures tècniques i organitzatives que impedeixin la seva manipulació o ús per a fins diferents dels compresos en la mateixa, la seva destrucció accidental o il·lícita i la seva pèrdua accidental, i el seu emmagatzematge, tractament, divulgació o accés no autoritzats, de conformitat amb el que disposa la Llei Orgànica 15/1999, de 13 de desembre, i la seva normativa de desenvolupament.

2. Les obligacions relatives a les mesures per garantir la qualitat de les dades i la confidencialitat i seguretat en el tractament d'aquestes seran les establertes en la Llei Orgànica 15/1999, de 13 de desembre, i la seva normativa de desenvolupament.

3. El nivell de protecció de les dades emmagatzemades es determinarà de conformitat amb el que preveu la Llei Orgànica 15/1999, de 13 de desembre, i la seva normativa de desenvolupament.

4. L'Agència Espanyola de Protecció de Dades és l'autoritat pública responsable de vetllar pel compliment de les previsions de la Llei Orgànica 15/1999, de 13 de desembre, i de la normativa de desenvolupament aplicables a les dades contemplades en la present Llei.

Article 9. Excepcions als drets d'accés i cancel·lació

1. El responsable del tractament de les dades no comunicarà la cessió de dades efectuada de conformitat amb aquesta Llei.

2. El responsable del tractament de les dades denegarà l'exercici del dret de cancel·lació en els termes i condicions previstos en la Llei Orgànica 15/1999, de 13 de desembre.

Article 10. Infraccions i sancions

1. Constitueixen infraccions al que preveu la present Llei les següents: a) És infracció molt greu la no-conservació en cap moment de les dades a les quals es refereix l'article 3. b) Són infraccions greus: i) La no-conservació reiterada o sistemàtica de les dades a les quals es refereix l'article 3. ii) La conservació de les dades per un període inferior a l'establert en l'article 5. iii) L'incompliment deliberat de les obligacions de protecció i seguretat de les dades establertes en l'article 8. c) Són infraccions lleus: i) La no-conservació de les dades a les quals es refereix l'article 3 quan no es qualifiqui com a infracció molt greu o greu. ii) L'incompliment de les obligacions de protecció i seguretat de les dades establertes en l'article 8, quan no es qualifiqui com a infracció greu.

2. A les infraccions previstes en l'apartat anterior, a excepció de les indicades en els apartats 1.b).iii i 1.c).ii d'aquest article, els serà d'aplicació el règim sancionador establert en la Llei General de Telecomunicacions, corresponent la competència sancionadora al Secretari d'Estat de Telecomunicacions i per a la Societat de la Informació, sens perjudici de les responsabilitats penals que poguessin derivar de l'incompliment de l'obligació de cessió de dades als agents facultats. El procediment per sancionar les esmentades infraccions s'iniciarà per acord del Secretari d'Estat de Telecomunicacions i per a la Societat de la Informació, i el Ministeri de l'Interior podrà instar aquest inici. En tot cas, s'haurà de recaptar del Ministeri de l'Interior informe preceptiu i determinant per a la resolució del procediment sancionador.

3. A les infraccions previstes en els apartats 1.b).iii i 1.c).ii d'aquest article els serà d'aplicació el règim sancionador establert en la Llei General de Telecomunicacions, corresponent la competència sancionadora a l'Agència Espanyola de Protecció de Dades.