13.4.2006   

ES

Diario Oficial de la Unión Europea

L 105/54

(1)

La Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (3), exige que los Estados miembros protejan los derechos y libertades de las personas físicas por lo que se refiere al tratamiento de datos personales y, en particular, su derecho a la intimidad, para asegurar el libre flujo de datos personales en la Comunidad.

(2)

La Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas (4), traduce los principios establecidos en la Directiva 95/46/CE a normas específicas para el sector de las comunicaciones electrónicas.

(3)

Los artículos 5, 6 y 9 de la Directiva 2002/58/CE definen las normas aplicables al tratamiento, por los proveedores de red y de servicios, de los datos de tráfico y de localización generados por el uso de servicios de comunicaciones electrónicas. Estos datos deben borrarse o hacerse anónimos cuando ya no se necesiten para la transmisión, salvo los datos necesarios para la facturación o los pagos por interconexión. Previo consentimiento, determinados datos pueden también tratarse con fines comerciales y la prestación de servicios de valor añadido.

(4)

El artículo 15, apartado 1, de la Directiva 2002/58/CE fija las condiciones en que los Estados miembros pueden limitar el alcance de los derechos y obligaciones que se establecen en el artículo 5, el artículo 6, el artículo 8, apartados 1 a 4, y el artículo 9 de dicha Directiva. Tales restricciones deben constituir medidas necesarias, apropiadas y proporcionadas en una sociedad democrática para fines específicos de orden público, como proteger la seguridad nacional (es decir, la seguridad del Estado), la defensa, la seguridad pública, o la prevención, investigación, detección y enjuiciamiento de delitos o la utilización no autorizada del sistema de comunicaciones electrónicas.

(5)

Varios Estados miembros han adoptado legislación que prevé la conservación de datos por los prestadores de servicios para la prevención, investigación, detección y enjuiciamiento de delitos. Estas disposiciones de las normativas nacionales varían considerablemente.

(6)

Las diferencias legales y técnicas entre disposiciones nacionales sobre conservación de datos con fines de prevención, investigación, detección y enjuiciamiento de delitos crean obstáculos en el mercado interior de las comunicaciones electrónicas; los prestadores de servicios deben cumplir requisitos diferentes en cuanto a los tipos de datos de tráfico y de localización que deben conservarse, así como en cuanto a las condiciones y los períodos de conservación.

(7)

Las conclusiones del Consejo de Justicia e Interior de 19 de diciembre de 2002 destacan que, a causa del crecimiento significativo de las posibilidades de las comunicaciones electrónicas, los datos relativos al uso de comunicaciones electrónicas son particularmente importantes y, por tanto, una herramienta valiosa en la prevención, investigación, detección y enjuiciamiento de delitos, en especial contra la delincuencia organizada.

(8)

La Declaración sobre la lucha contra el terrorismo, adoptada por el Consejo Europeo el 25 de marzo de 2004, encargó al Consejo que examinara medidas para establecer normas sobre la conservación por los prestadores de servicios de datos de tráfico de las comunicaciones.

(9)

De conformidad con el artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales (CEDH), toda persona tiene derecho al respeto de su vida privada y de su correspondencia. No podrá haber injerencia de la autoridad pública en el ejercicio de ese derecho salvo cuando esa injerencia esté prevista por la ley y constituya una medida que, en una sociedad democrática, sea necesaria, entre otras cosas, para la seguridad nacional o la seguridad pública, la prevención de desórdenes o delitos, o la protección de los derechos y las libertades de terceros. Dado que la conservación de datos se ha acreditado como una herramienta de investigación necesaria y eficaz para aplicar la ley en diferentes Estados miembros, en particular en asuntos de gravedad como la delincuencia organizada y el terrorismo, es necesario garantizar que los datos conservados se pongan a disposición de las fuerzas y cuerpos de seguridad durante un determinado período de tiempo, con arreglo a las condiciones establecidas en la presente Directiva. Por consiguiente, la adopción de un instrumento de conservación de datos que cumpla los requisitos del artículo 8 del CEDH es una medida necesaria.

(10)

El 13 de julio de 2005, el Consejo reafirmó en su declaración de condena de los atentados terroristas de Londres la necesidad de adoptar cuanto antes medidas comunes sobre conservación de datos de telecomunicaciones.

(11)

Dada la importancia de los datos de tráfico y de localización para la investigación, detección y enjuiciamiento de delitos, según demuestran la investigación y la experiencia práctica de varios Estados miembros, existe la necesidad de asegurar a escala europea que los datos generados o tratados, en el marco de la prestación de servicios de comunicaciones, por proveedores de servicios de comunicaciones electrónicas de acceso público o de una red pública de comunicaciones se conservan durante un determinado período de tiempo, con arreglo a las condiciones establecidas en la presente Directiva.

(12)

El artículo 15, apartado 1, de la Directiva 2002/58/CE sigue aplicándose a los datos, incluidos los datos relativos a las llamadas telefónicas infructuosas, cuya conservación no se prescribe específicamente en la presente Directiva y que, por consiguiente, quedan fuera del ámbito de aplicación de la misma, así como a la conservación a efectos, incluidos judiciales, diferentes de los contemplados en la presente Directiva.

(13)

La presente Directiva sólo se refiere a los datos generados o tratados como consecuencia de una comunicación o de un servicio de comunicación y no a los datos que constituyen el contenido de la información comunicada. Los datos deben conservarse de tal manera que se evite que se conserven más de una vez. Los datos generados o tratados, cuando se presten servicios de comunicaciones electrónicas, se refieren a los datos accesibles. En particular, en lo referente a la conservación de datos relativos a los correos electrónicos y la telefonía por Internet, la obligación de conservar datos sólo puede aplicarse con respecto a los datos de los servicios propios de los proveedores o de los proveedores de redes.

(14)

Las tecnologías relativas a las comunicaciones electrónicas están cambiando rápidamente y los legítimos requisitos de las autoridades competentes pueden evolucionar. Para obtener asesoramiento y fomentar el intercambio de experiencias de las mejores prácticas sobre estos asuntos, la Comisión tiene intención de crear un grupo integrado por autoridades policiales de los Estados miembros, asociaciones del sector de las comunicaciones electrónicas, representantes del Parlamento Europeo y autoridades de protección de datos, incluido el Supervisor Europeo de Protección de Datos.

(15)

La Directiva 95/46/CE y la Directiva 2002/58/CE son plenamente aplicables a los datos conservados de conformidad con la presente Directiva; el artículo 30, apartado 1, letra c), de la Directiva 95/46/CE exige la consulta al Grupo de trabajo sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales, establecido de conformidad con el artículo 29 de dicha Directiva.

(16)

Las obligaciones impuestas a los proveedores de servicios en relación con las medidas para garantizar la calidad de los datos, derivadas del artículo 6 de la Directiva 95/46/CE, y sus obligaciones relativas a la garantía de la confidencialidad y seguridad del tratamiento de datos, derivadas de los artículos 16 y 17 de dicha Directiva, son plenamente aplicables a los datos conservados a efectos de la presente Directiva.

(17)

Es esencial que los Estados miembros adopten medidas legislativas para asegurar que los datos conservados de conformidad con la presente Directiva solamente se faciliten a las autoridades nacionales competentes de conformidad con la legislación nacional, respetando plenamente los derechos fundamentales de las personas afectadas.

(18)

En este contexto, el artículo 24 de la Directiva 95/46/CE impone a los Estados miembros la obligación de establecer sanciones por el incumplimiento de las disposiciones adoptadas en virtud de dicha Directiva. El artículo 15, apartado 2, de la Directiva 2002/58/CE impone la misma obligación respecto de las disposiciones nacionales adoptadas en virtud de la Directiva 2002/58/CE. La Decisión marco 2005/222/JAI del Consejo, de 24 de febrero de 2005, relativa a los ataques contra los sistemas de información (5), establece que el acceso intencionado e ilícito a un sistema de información, incluido a los datos conservados dentro del mismo, debe ser sancionable como delito.

(19)

El derecho de toda persona que sufra un perjuicio como consecuencia de un tratamiento ilícito o de una acción incompatible con las disposiciones nacionales adoptadas en aplicación de la Directiva 95/46/CE, a obtener la reparación del perjuicio sufrido, de conformidad con el artículo 23 de dicha Directiva, se aplica también al tratamiento ilícito de cualquier tipo de datos personales con arreglo a la presente Directiva.

(20)

El Convenio del Consejo de Europa de 2001 sobre la delincuencia cibernética y el Convenio del Consejo de Europa de 1981 sobre la protección de las personas con respecto al tratamiento automatizado de los datos de carácter personal abarcan igualmente los datos conservados en el sentido de la presente Directiva.

(21)

Dado que los objetivos de la presente Directiva, a saber, armonizar las obligaciones de los proveedores de conservar determinados datos y asegurar que éstos estén disponibles con fines de investigación, detección y enjuiciamiento de delitos graves, tal como se definen en la normativa nacional de cada Estado miembro, como el terrorismo y la delincuencia organizada, no pueden ser alcanzados de manera suficiente por los Estados miembros y, debido a la dimensión y los efectos de la presente Directiva, pueden lograrse mejor a nivel comunitario, la Comunidad puede adoptar medidas, de acuerdo con el principio de subsidiariedad consagrado en el artículo 5 del Tratado. De conformidad con el principio de proporcionalidad enunciado en dicho artículo, la presente Directiva no excede de lo necesario para alcanzar dichos objetivos.

(22)

La presente Directiva respeta los derechos fundamentales y observa los principios reconocidos, en particular, por la Carta de los Derechos Fundamentales de la Unión Europea. En especial, la presente Directiva, junto con la Directiva 2002/58/CE, intenta garantizar el pleno cumplimiento de los derechos fundamentales de los ciudadanos al respeto de la vida privada y de las comunicaciones y a la protección de los datos de carácter personal, consagrados en los artículos 7 y 8 de la Carta.

(23)

Dado que la obligación de los proveedores de servicios de comunicación electrónica debe ser proporcionada, la Directiva exige que se conserven exclusivamente los datos generados o tratados en el proceso del suministro de servicios de comunicación. Siempre que dichos datos no hayan sido generados o tratados por dichos proveedores, no es obligatorio conservarlos. La presente Directiva no tiene por objeto la armonización de la tecnología de conservación de datos, cuya elección es una cuestión que debe resolverse a nivel nacional.

(24)

Con arreglo al punto 34 del Acuerdo interinstitucional «Legislar mejor» (6), se alienta a los Estados miembros a establecer, en su propio interés y en el de la Comunidad, sus propios cuadros, que muestren, en la medida de lo posible, la concordancia entre la presente Directiva y las medidas de transposición, y a hacerlos públicos.

(25)

La presente Directiva se entiende sin perjuicio de la facultad de los Estados miembros para adoptar medidas legislativas relativas al derecho de acceso y de utilización de los datos por parte de las autoridades nacionales tal como determinen los mismos. Las cuestiones relativas al acceso por parte de las autoridades nacionales a datos conservados con arreglo a la presente Directiva para las actividades contempladas en el artículo 3, apartado 2, primer guión, de la Directiva 95/46/CE, quedan fuera del ámbito de aplicación del Derecho comunitario. Sin embargo, pueden estar sometidas a la legislación nacional o a una acción como las previstas por las disposiciones del título VI del Tratado de la Unión Europea. Dichas leyes o acciones deben respetar plenamente los derechos fundamentales que se derivan de tradiciones constitucionales comunes de los Estados miembros y están garantizados por el CEDH. Con arreglo al artículo 8 del CEDH, según la interpretación del Tribunal Europeo de Derechos Humanos, la injerencia de las autoridades públicas en el derecho a la vida privada debe respetar los requisitos de necesidad y proporcionalidad y debe, por consiguiente, servir a propósitos específicos, explícitos y legítimos y ejercerse de una manera adecuada, pertinente y no excesiva en relación con el objeto de la injerencia.

a)

«datos»: los datos de tráfico y de localización y los datos relacionados necesarios para identificar al abonado o usuario;

b)

«usuario»: toda persona física o jurídica que utilice un servicio de comunicaciones electrónicas de acceso público, con fines privados o comerciales, sin haberse necesariamente abonado a dicho servicio;

c)

«servicio telefónico»: las llamadas (incluida la transmisión de voz, buzones vocales, conferencias y datos), los servicios suplementarios (incluido el reenvío o transferencia de llamadas) y los servicios de mensajería y servicios multimedia (incluidos los servicios de mensajes cortos, servicios multimedia avanzados y servicios multimedia);

d)

«identificador de usuario»: un identificador único asignado a las personas con motivo de su abono a un servicio de acceso a Internet o a un servicio de comunicaciones por Internet, o de su registro en uno de dichos servicios;

e)

«identificador de celda»: la identidad de la celda desde la que se origina o termina una llamada de teléfono móvil;

f)

«llamada telefónica infructuosa»: una comunicación en el transcurso de la cual se ha realizado con éxito una llamada telefónica pero sin contestación o en la que ha habido una intervención por parte del gestor de la red.

a)

datos necesarios para rastrear e identificar el origen de una comunicación:

b)

datos necesarios para identificar el destino de una comunicación:

c)

datos necesarios para identificar la fecha, hora y duración de una comunicación:

d)

datos necesarios para identificar el tipo de comunicación:

e)

datos necesarios para identificar el equipo de comunicación de los usuarios o lo que se considera ser el equipo de comunicación:

f)

datos necesarios para identificar la localización del equipo de comunicación móvil:

a)

los datos conservados serán de la misma calidad y estarán sometidos a las mismas normas de seguridad y protección que los datos existentes en la red;

b)

los datos estarán sujetos a las medidas técnicas y organizativas adecuadas para protegerlos de la destrucción accidental o ilícita, pérdida accidental o alteración, así como almacenamiento, tratamiento, acceso o divulgación no autorizados o ilícitos;

c)

los datos estarán sujetos a medidas técnicas y organizativas apropiadas para velar por que sólo puedan acceder a ellos las personas especialmente autorizadas,

y

d)

los datos, excepto los que hayan sido accesibles y se hayan conservado, se destruirán al término del período de conservación.

—

los casos en que se haya facilitado información a las autoridades competentes de conformidad con el Derecho nacional aplicable,

—

el tiempo transcurrido entre la fecha en que se conservaron los datos y la fecha en que la autoridad competente solicitó su transmisión,

—

los casos en que no pudieron satisfacerse las solicitudes de datos.