Anúnciate en Noticias Jurídicas Newsletter Colabora con nosotros

TIENDA LA LEY

LA LEY. Librería Jurídica Online Profesional

TIENDA PUBLICACIONES FORMACIÓN BASES DE DATOS SOFTWARE DE GESTIÓN

Base de Datos de Legislación

Orden PRE/199/2013, de 29 de enero, por la que se define el formato de entrega de los datos conservados por los operadores de servicios de comunicaciones electrónicas o de redes públicas de comunicaciones a los agentes facultados

Ficha:
  • ÓrganoMinisterio de la Presidencia
  • Publicado en BOE núm. 40 de 15 de Febrero de 2013
  • Vigencia desde 16 de Febrero de 2013
Versiones/revisiones:

Sumario

La Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, tiene por objeto la regulación de la obligación de los operadores de conservar los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación, así como el deber de cesión de dichos datos a los agentes facultados, siempre que les sean requeridos a través de la correspondiente autorización judicial con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales.

Esta Ley se aplica a los datos de tráfico y de localización sobre personas físicas y jurídicas y a los datos relacionados necesarios para identificar al abonado o usuario registrado. Se excluye del ámbito de aplicación de la citada Ley el contenido de las comunicaciones electrónicas, incluida la información consultada utilizando una red de comunicaciones electrónicas.

La Ley 25/2007, de 18 de octubre, enumera en su artículo 3, de manera precisa y detallada, el listado de datos que quedan sujetos a la obligación de conservación en el marco de las comunicaciones por telefonía fija, móvil o Internet. Estos datos son los necesarios para identificar el origen y destino de la comunicación, su hora, fecha y duración, el tipo de servicio utilizado y el equipo de comunicación de los usuarios utilizado y, en el caso de utilización de un equipo móvil, los datos necesarios para su localización. En aplicación de las previsiones contenidas en la Directiva 2006/24/CE, del Parlamento Europeo y del Consejo, de 15 de marzo, sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones y por la que se modifica la Directiva 2002/58/CE, quedan incluidas también en el ámbito de aplicación de la Ley las denominadas llamadas telefónicas infructuosas. Igualmente se incluye la obligación de conservar los elementos que sean suficientes para identificar el momento de activación de los teléfonos que funcionen bajo la modalidad de prepago.

La disposición adicional única de la Ley 25/2007, de 18 de octubre, a los efectos de poder establecer instrumentos para controlar el empleo para fines delictivos de los equipos de telefonía móvil adquiridos mediante la modalidad de prepago, establece, como obligación de los operadores que comercialicen dicho servicio, la llevanza de un registro con la identidad de los compradores.

Asimismo, la citada Ley 25/2007, de 18 de octubre, establece en su disposición final cuarta, relativa al formato de entrega de los datos, que la cesión a los agentes facultados de los datos cuya conservación sea obligatoria, se efectuará en formato electrónico, en la forma que se determine por Orden conjunta de los Ministros de Interior, de Defensa y de Economía y Hacienda. La citada habilitación normativa a favor del Ministerio de Defensa debe entenderse residenciada actualmente en el Ministerio de la Presidencia, puesto que el Centro Nacional de Inteligencia, del cual se deriva su afección, ha pasado a depender de este último Departamento, en virtud de lo establecido en la disposición adicional segunda del Real Decreto 1823/2011, de 21 de diciembre, por el que se reestructuran los Departamentos Ministeriales. Y por idénticos motivos de reestructuración orgánica, la referencia al Ministerio de Economía y Hacienda deba entenderse encuadrada en el ámbito competencial del Ministerio de Hacienda y Administraciones Públicas.

Esta Orden tiene por objeto el establecimiento de las especificaciones técnicas del formato de entrega a los agentes facultados de los datos conservados por los operadores que son generados y tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación.

Se adopta el modelo promovido por el ETSI (Instituto Europeo de Normalización de las Telecomunicaciones) para el establecimiento de dichas especificaciones. Este modelo consiste en un conjunto de normas elaboradas en el seno de este organismo de normalización en el que participan expertos de todos los sectores involucrados en la retención de datos, lo que garantiza un elevado nivel de consenso y de calidad de las normas desarrolladas, así como el mantenimiento y la adaptación a las diferentes tecnologías de telecomunicaciones que vayan surgiendo en el mercado.

La adopción del modelo ETSI implica la incorporación a la legislación española de una especificación técnica del ETSI que especifica el flujo de información así como los procedimientos, formatos y protocolos específicos de las interfaces de entrega (HI) entre los sujetos obligados y los agentes facultados: ETSI TS 102 657.

Finalmente, la presente Orden ha sido sometida al previo informe de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en los artículos 37.h) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y 5.b) del Estatuto de la Agencia, aprobado por el Real Decreto 428/1993, de 26 de marzo.

En su virtud, a propuesta de este Ministerio y de los Ministros del Interior, de Hacienda y Administraciones Públicas, dispongo:

Artículo 1 Objeto y ámbito de aplicación

Constituye el objeto de esta orden el establecimiento de las especificaciones técnicas del formato de entrega a los agentes facultados de los datos objeto de conservación a que hace referencia el artículo 3 y la disposición adicional única de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, de acuerdo con lo establecido en la disposición final cuarta de dicha Ley.

Lo dispuesto en esta orden se entiende sin perjuicio de los desarrollos reglamentarios previstos en la disposición final tercera de la mencionada Ley.

Estarán obligados a seguir los procedimientos y adoptar las medidas a las que se refiere la presente orden ministerial los operadores que presten o estén en condiciones de prestar servicios de comunicaciones electrónicas disponibles al público o de establecer o explotar redes públicas de comunicaciones en España, con independencia de la naturaleza, ámbito territorial y momento que tuvo efecto su habilitación, en los términos establecidos en la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones.

Artículo 2 Formato de entrega de los datos a los agentes facultados

1. Número de solicitudes individuales de cesión de datos entre todos los agentes facultados superior a 2.000.–

En el marco de la Ley 25/2007, de 18 de octubre, la cesión a los agentes facultados de los datos cuya conservación sea obligatoria por parte de los operadores, se efectuará, cuando el número de solicitudes individuales de cesión de datos entre todos los agentes facultados sea superior a 2.000 solicitudes durante el año natural anterior a la entrada en vigor de la presente orden ministerial, según el formato establecido en la especificación técnica del Instituto Europeo de Normalización de las Telecomunicaciones (ETSI) TS 102 657, Lawful Interception (LI); Retained data handling; Handover interface for the request and delivery of retained data, con las modificaciones y precisiones que se establecen en el anexo I de esta orden ministerial.

2. Número de solicitudes individuales de cesión de datos entre todos los agentes facultados igual o inferior a 2.000.–

Cuando un sujeto obligado haya recibido un número de solicitudes individuales de cesión de datos entre todos los agentes facultados igual o inferior a 2.000 solicitudes durante el año natural anterior a la entrada en vigor de la presente orden ministerial, o en años naturales posteriores se viera disminuido el número de las mismas por debajo de las ya citadas 2.000 solicitudes, en lugar de utilizar el formato de entrega basado en la norma ETSI TS 102 657 podrá optar por utilizar otra solución tecnológica acordada previamente con los agentes facultados de entre los diferentes formatos especificados para este caso en el anexo III, en formato electrónico y cuyo nombre se adecuará a lo definido en el punto 7.1 del anexo I de esta Orden ministerial.

Para poder optar a esta solución, el sujeto obligado deberá comunicar a cada agente facultado que no se han superado en el año natural anterior las 2.000 solicitudes individuales y su petición de acogerse a la solución tecnológica alternativa previamente acordada. En todo caso la solución tecnológica acordada deberá garantizar el cumplimiento de las medidas de seguridad exigibles conforme a lo establecido en la normativa de protección de datos de carácter personal.

Si en el primer caso no se alcanzara el acuerdo preceptivo entre el sujeto obligado y los agentes facultados o si establecida la excepción contemplada en el segundo caso se superara posteriormente el número de 2.000 solicitudes, se aplicará lo establecido en el apartado 1 de este artículo.

3. Plazo de adopción del formato de entrega.–

Cuando un sujeto obligado haya recibido un número superior a 2.000 solicitudes individuales de cesión de datos durante el año natural anterior a la entrada en vigor de la presente orden ministerial o acordada la excepción del apartado 2 de este artículo se superara posteriormente el número de 2.000 solicitudes dentro de un año natural, dispondrá del plazo fijado por la Ley 25/2007, de 18 de octubre, en su disposición final cuarta, para implantar el procedimiento de cesión basado en la norma ETSI TS 102 657 adoptado en esta orden. Dicho plazo se contabilizará desde la entrada en vigor de la presente orden ministerial en el primer caso y desde el momento en el que se supere el número de 2.000 solicitudes dentro de un año natural en el segundo.

Artículo 3 Información de localización

Los sujetos obligados que presten servicios móviles deberán proveer la información de localización del terminal móvil solicitada, de acuerdo con lo establecido en el anexo I de esta orden.

Artículo 4 Canales de comunicaciones entre sujetos obligados y agentes facultados

Existirán dos tipos de canales de comunicaciones entre cada sujeto obligado y cada agente facultado para la entrega de los datos solicitados: un canal para intercambio de información administrativa sobre peticiones/respuestas (Interfaz HI-A), y otro canal para transmitir los datos retenidos por el sujeto obligado (Interfaz HI-B). Estos dos canales «lógicos» podrán ser realizados sobre el mismo canal «físico» de enlace, y en cualquier caso se encontrarán, obligatoriamente, dentro del territorio nacional.

El anexo II de esta orden recoge las características y requisitos que deben cumplir ambos canales de comunicaciones así como los pormenores del abono del coste de las comunicaciones por parte de los agentes facultados.

Artículo 5 Comunicación de información relacionada con la de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones entre sujetos obligados

1. La información relacionada con el mandamiento de la conservación de datos, relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, que se intercambie entre sujetos obligados, se limitará a la estrictamente necesaria para satisfacer las necesidades derivadas de la obligación de colaborar entre operadores para la realización de la misma. Los sujetos obligados garantizarán en todo momento la confidencialidad de la información transmitida o almacenada, no pudiendo ser utilizada para ningún otro fin. En todo caso conforme a las exigencias de la Ley 25/2007, de 18 de octubre, este intercambio de información en modo alguno podrá referirse a los datos de carácter personal respecto de los que existe la obligación de conservación y, en su caso, comunicación a los agentes facultados.

2. Las órdenes de cesión de los datos conservados y cualquier otra información importante para la seguridad del sistema de conservación, debe transmitirse mediante un canal seguro, según se define en el anexo II de esta orden.

Disposición transitoria única Plazo para el cumplimiento

Los sujetos obligados que estén prestando servicio a la entrada en vigor de la presente orden ministerial deberán cumplir las obligaciones establecidas en la misma en el plazo fijado por la Ley 25/2007, de 18 de octubre, en su disposición final cuarta, conforme a lo dispuesto en el artículo 2 de esta orden ministerial.

Aquellos sujetos obligados que inicien su actividad con posterioridad a la entrada en vigor de esta orden ministerial, deberán cumplir las obligaciones establecidas en esta orden ministerial desde el inicio de su actividad, pudiéndose acoger a lo dispuesto en el párrafo segundo del artículo 2 cuando se verifiquen dichas condiciones a la finalización del primer año natural completo desde el inicio de su actividad.

Disposiciones Finales

Disposición final primera Habilitación normativa

Se faculta a los titulares de la Secretaría de Estado de Seguridad, de la Secretaría de Estado Director del Centro Nacional de Inteligencia (CNI) y de la Secretaría de Estado de Hacienda para actualizar conjuntamente el contenido de los anexos de la presente Orden.

Disposición final segunda Impacto presupuestario en la Administración Pública

Las previsiones contenidas en esta orden no supondrán incremento de gastos de personal por ningún concepto y se llevarán a cabo con los medios personales disponibles en los departamentos ministeriales y organismos interesados.

Disposición final tercera Entrada en vigor

La presente orden ministerial entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial del Estado».

ANEXO I
Modificaciones y precisiones para la adopción de la especificación técnica del ETSI TS 102 657

ANEXO II
Canales de comunicaciones entre los sujetos obligados y los agentes facultados

1. Canales para intercambio de información administrativa (Interfaz HI-A) y para entrega de datos (Interfaz HI-B)

La interfaz administrativa HI-A es una interfaz bidireccional entre los sujetos obligados y los agentes facultados para el intercambio de información de administración (peticiones / repuestas) que incluye desde los mandamientos judiciales hasta la resolución de incidencias técnicas.

La Interfaz HI-B es una interfaz unidireccional para transmitir los datos conservados por los sujetos obligados a los agentes facultados.

Los canales para comunicaciones de datos se utilizarán para transmitir tanto la información de la interfaz HIA como HI-B. La interfaz HI-A podrá compartir canal físico con la interfaz HI-B.

Estos canales se realizarán mediante una red privada virtual IPSec (VPN IPSec) o con túneles SSL/TLS, configurados para garantizar los requisitos de un canal seguro, tal como está definido en la Orden ITC/110/2009, de 28 de enero. Esta VPN IPSec o SSL/TLS, empleará el algoritmo de cifrado AES (Advanced Encryption Standard) de 256 bits. La longitud de la clave se acordará entre agentes facultados y sujetos obligados según el estado del arte, para asegurar valores que cumplan con los niveles de seguridad necesarios. El sujeto obligado empleará un cliente hardware VPN seguro. Los sujetos obligados deberán permitir a los agentes facultados la instalación y mantenimiento de estos clientes hardware VPN seguros con puntos de origen y destino dentro del territorio nacional, siempre y cuando se garantice por parte de éstos la total inocuidad de estos equipos en la prestación del servicio por parte de los sujetos obligados. La interfaz de estos clientes hardware VPN seguros hacia los equipos del sujeto obligado es una conexión Ethernet.

Los sujetos obligados que hayan recibido un número inferior a 2000 solicitudes individuales de cesión de datos, según lo recogido en el artículo 2, podrá optar por otros canales seguros de comunicación, previo acuerdo con cada uno de los agentes facultados.

Esta VPN sólo se podrá utilizar para el cumplimiento de las obligaciones del sujeto obligado para las obligaciones en materia de Conservación de Datos establecidas en la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones y, en su caso, en materia de interceptación legal de comunicaciones.

Estos canales para comunicaciones de datos se podrán realizar mediante soluciones tecnológicas alternativas a ésta con puntos de origen y destino dentro del territorio nacional, siempre que logren un nivel de seguridad igual o superior al de esta solución, satisfagan los requisitos de seguridad establecidos en la Orden ITC/110/2009, de 28 de enero, y se acuerde con los agentes facultados.

2. Abono del coste de las comunicaciones

Cada agente facultado contratará el sistema de transporte acordado con el sujeto obligado para estos canales y costeará su instalación y mantenimiento, así como los gastos de comunicaciones de estas líneas dentro del territorio nacional. Asimismo, el agente facultado costeará los equipos de comunicaciones necesarios para establecer estos canales hasta la interfaz Ethernet situada a la salida del cliente VPN hardware seguro, su instalación y su mantenimiento.

ANEXO III
Alternativas a los formatos de intercambio de información administrativa (HI-A) y de entrega de los datos (HI-B) y a los canales de comunicaciones entre los sujetos obligados y los agentes facultados en caso de que el número de solicitudes individuales de cesión de datos entre todos los agentes facultados sea igual o inferior a 2000

En caso de que el sujeto obligado solicite la excepción registrada en el artículo 2.2 de esta orden ministerial, serán de aplicación las siguientes alternativas respecto al modelo general de interfaz de traspaso especificado en la Figura 4 del apartado 4.5 del ANEXO I de esta Orden Ministerial “Modificaciones y precisiones para la adopción de la especificación técnica del ETSI TS 102 657”:

  • a. Como canal de comunicaciones se establecerán preferentemente el intercambio de mensajes electrónicos encriptados o el uso de SFTP.
  • b. Excepcionalmente, ante la imposibilidad de emplear algún medio anteriormente indicado y únicamente para el interfaz HIA, se admitirá la comunicación vía fax como canal de intercambio de información administrativa. En este caso, entre cada sujeto obligado y cada agente facultado se establecerá un único punto de contacto en dependencias con medidas especialmente dedicadas a garantizar la seguridad y confidencialidad de la información recibida, emitida y archivada entre los agentes facultados y los sujetos obligados. Así mismo, se establece como mecanismo de acuse de recibo el reporte que automáticamente genera la transmisión vía fax en el equipo emisor mediante una confirmación técnica del éxito de la entrega en destino de la información transmitida, con constancia de los números origen y destino, fecha y hora de entrega y copia de la primera página de la transmisión.
  • c. Se admitirán documentos de texto, pdf y documentos de Excel como formatos de los archivos electrónicos tanto para intercambio de información administrativa como para entrega de datos.

En todo caso, la codificación de los datos en el intercambio de mensajes se debe ajustar a los campos de datos establecidos en los anexos A, B, C, D, E y F del Anexo I de esta orden sobre modificaciones y precisiones para la adopción de la especificación técnica del ETSI TS 102 657.

Igualmente, la nomenclatura a emplear para los ficheros intercambiados se atendrá a lo dispuesto en esta Orden respecto a la seguridad y confidencialidad en la cesión de los datos conservados.