¿Qué obliga a los proveedores de Internet en la retención de datos de tráfico para fines de seguridad?

En España la Ley 25/2007 reguló la conservación de datos de tráfico y localización para fines de detección de delitos graves, transponiendo la Directiva 2006/24/CE. Sin embargo, el TJUE la declaró inválida en 2014. Aun así, la ley española continúa vigente con matices, obligando a los ISP y telecos a retener ciertos metadatos (quién se comunica con quién, cuándo, dónde) durante un periodo (normalmente 12 meses). Diversos tribunales han cuestionado su compatibilidad con los derechos fundamentales. La jurisprudencia europea exige retención selectiva y proporcional, no masiva. El debate sigue abierto. España mantiene la obligación, pero su aplicación puede restringirse por sentencias que exigen control judicial y proporcionalidad.