El informe jurídico 160/2004 de la Agencia Española de Protección de Datos (AEPD) aborda el nivel de seguridad que debe implantarse en ficheros que contienen datos de localización de terminales móviles de telefonía. La consulta planteada no especifica claramente si la entidad consultante presta un servicio a terceros o realiza el tratamiento de datos de forma directa, ni si incluye datos identificativos de los usuarios o solo el número de abonado.
El informe destaca la importancia del artículo 38.3 d) de la Ley 32/2003, General de Telecomunicaciones, que establece que los datos de localización solo pueden tratarse si se han hecho anónimos o con el consentimiento informado de los usuarios. Este consentimiento debe incluir información sobre los datos que se tratarán, la finalidad y duración del tratamiento, y el servicio de valor añadido que se prestará. Además, los usuarios deben poder retirar su consentimiento en cualquier momento.
La AEPD también hace referencia a la Directiva 2002/58/CE del Parlamento Europeo, que establece que los datos de localización solo pueden tratarse si se hacen anónimos o con el consentimiento del usuario, y que el tratamiento debe limitarse a lo necesario para la prestación del servicio de valor añadido.
En cuanto a las medidas de seguridad, el artículo 4.4 del Real Decreto 994/1999 exige medidas especiales de seguridad para tratamientos que acumulen suficientes datos para obtener un perfil del comportamiento o preferencias del afectado. En este caso, dado que el tratamiento de datos de localización permite conocer el comportamiento del usuario, se deben implantar las medidas de seguridad correspondientes.
El informe concluye que el tratamiento de datos de localización solo será lícito si cumple con los requisitos establecidos por la Ley 32/2003 y la Directiva 2002/58/CE. En caso contrario, podría constituir una infracción grave o muy grave, con la AEPD competente para imponer sanciones. Además, se deben implementar las medidas de seguridad adecuadas según el artículo 4.4 del Real Decreto 994/1999, siempre y cuando el tratamiento respete los derechos reconocidos por la ley.