1/11 Expediente Nº: EXP202101476 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Reclamante 1, cuyos datos constan en Anexo I, con fecha 29 de enero de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A
- Los motivos en que basa la reclamación son los siguientes: Manifiesta que, suplantando su identidad, han solicitado a VODAFONE un duplicado de su tarjeta SIM y, a pesar de haber recibido llamadas de VODAFONE para verificar su identidad y negar la misma el reclamante, finalmente VODAFONE facilitó el duplicado de la tarjeta SIM (22/01/2020) a dicho tercero que, valiéndose de los datos obrantes en su teléfono, ha realizado diversas transacciones bancarias, así como la solicitud de un crédito. Aporta denuncia ante la Policía (25/01/2021), así como escrito de reclamación dirigido a VODAFONE (29/01/2021). TRASLADO DPD para aclaración medidas de seguridad a la hora de solicitar duplicados tarjeta SIM. Con fecha 25 de mayo de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. SEGUNDO: Reclamante 2, cuyos datos constan en Anexo II, con fecha 3 de abril de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A
- Los motivos en que basa la reclamación son los siguientes: Expone que conforme documentación adjunta tengo denunciada a la compañía Vodafone España ante la Junta de Arbitraje de Madrid estando pendiente solamente la fecha de juicio, no obstante, en el periodo de alegaciones me envió la compañía a mi nombre una factura de un señor que nada tiene que ver conmigo, pero que Vodafone me la envió a mí y a consumo del Ayuntamiento de Madrid quien promovió dicho litigio. Que esta factura ha sido incorporada recientemente a la Junta de Arbitraje para que verifique una irregularidad más de las que ya tiene en su poder. Que entiendo que al facilitarme esta compañía datos que no me pertenecen ni tengo porqué saber, está incumpliendo las normas que regulan la protección de datos adjunto archivo de tal infracción, es por lo que Solicito que ponga en marcha las inspecciones que las normas le otorgan a la agencia en contra de la vulneración de datos que ha efectuado Vodafone y sirva para que la Junta de Arbitraje pueda sancionar y valorar todas las irregularidades, independientemente de la sanción leve o grave que considere esa agencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 Con fecha 23 de julio de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: Reclamante 3, cuyos datos constan en Anexo III, con fechas 30 de abril y 26 de mayo de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A
- Los motivos en que basa la reclamación son los siguientes: El reclamante manifiesta que, en fecha 18 de enero de 2021, recibe una llamada de la entidad reclamada en su teléfono fijo, indicando que, suplantando su identidad, se había solicitado y realizado un duplicado de la tarjeta SIM de su línea móvil, vía telefónica, y que terceras personas podrían estar utilizando los datos a lo que habían accedido, para sustraer dinero de su banca electrónica. De hecho, ese mismo día se quedó sin línea y se realizaron varias transferencias y movimientos en sus cuentas, con la consiguiente pérdida económica. Tras lo sucedido, presenta varias reclamaciones ante la entidad, siendo la última de fecha 1 de febrero de 2021, solicitando información sobre lo sucedido y adjuntando la pertinente denuncia efectuada ante la Policía, en fecha 19 de enero de
- Por otro lado, en fecha 25 de febrero de 2021, solicita a la entidad reclamada que le facilite información acerca de los accesos indebidos a sus datos personales, que han ocasionado un quebranto económico, sin que haya recibido respuesta. Junto a su reclamación, aporta pantallazo de la llamada recibida avisando del fraude, denuncia ante la Policía, extracto de los movimientos bancarios, número de referencia de las reclamaciones efectuadas, e-mail de reclamación y acreditación del envío, número de línea afectada, así como e-mail solicitando información acerca de lo ocurrido. Con fecha 19 de julio de 2021, de conformidad con el artículo 65 de la LOPDGDD, se inadmitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Reclamante 4, cuyos datos constan en Anexo IV, con fecha 14 de julio de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A
- Los motivos en que basa la reclamación son los siguientes: El reclamante es cliente de la entidad reclamada. Manifiesta que, a raíz de solicitar el cambio de domicilio de su fibra óptica, en fecha 9 de junio de 2021, se han producido una serie de incidencias en su línea de telefonía móvil. Manifiesta que, en fecha 15 de junio de 2021, pierde su línea móvil y su tarjeta SIM figura como anulada. Contacta con la entidad que le indica que se ha producido un cambio de titularidad de su línea y se ha realizado un duplicado de su tarjeta SIM en Barcelona (el reclamante vive en Málaga). Tras lo sucedido, restaura la titularidad y realiza un duplicado de la tarjeta SIM para recuperar la línea. Asimismo, interpone reclamación ante Consumo. El 17 de junio de 2021, se produce otro cambio de titular, sin su consentimiento, y el 22 de junio de 2021 se facilita a un tercero un duplicado de su tarjeta SIM. Presenta reclamación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 ante la entidad reclamada por lo sucedido que abre incidencia sobre seguridad y le facilita un duplicado de su tarjeta SIM para volver a recuperar su línea. Junto a su reclamación, aporta pantallazo relativo a la instalación de la fibra, SMS relativos a la activación de la tarjeta SIM (de fechas 16 y 22 de junio de 2021), factura relativa al duplicado SIM con domicilio de entrega en Barcelona (de fecha 15 de junio de 2021), reclamación presentada ante Consumo, e-mail de aviso de seguridad del banco, número facilitado relativo a la incidencia de seguridad, así como e-mail relativo a la reclamación efectuada y respuesta de la entidad (de fecha 24 de junio de 2021) disculpándose por lo sucedido e indicando que han tomado las medidas oportunas para que no se repita la incidencia. Con fecha 21 de septiembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUNTO: Reclamante 5, cuyos datos constan en Anexo V, con fecha 22 de julio de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A
- Los motivos en que basa la reclamación son los siguientes: Manifiesta que, en una tienda de la entidad reclamada, en fecha 15 de julio de 2021, se efectuó un duplicado de su tarjeta SIM, sin su consentimiento, quedándose el reclamante sin línea, así como un cambio de titular de contrato no solicitado. El tercero que obtuvo el duplicado de su tarjeta SIM, valiéndose de la información obrante en su teléfono, accedió a los datos bancarios del reclamante, con el consiguiente perjuicio económico para este. Aporta denuncia presentada ante la Policía, en fecha 15 de julio de 2021 y factura relativa al duplicado de la tarjeta SIM. Con fecha 21 de octubre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. SEXTO: Reclamante 6, cuyos datos constan en Anexo VI, con fecha 18 de agoto de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A
- Los motivos en que basa la reclamación son los siguientes: Manifiesta que, en fecha 3 de marzo de 2021, un empleado de la entidad reclamada, bloqueó y clonó la tarjeta SIM de su línea móvil, sin su consentimiento, poniéndola a disposición de terceros, los cuales, accedieron desde 3 terminales diferentes a la información bancaria contenida en el móvil y efectuaron diversas compras suplantando la identidad del reclamante. Aporta denuncia presentada ante los Mossos d'Esquadra (en fecha 4 de marzo de 2021) y pantallazos del sistema de interacción de la entidad reclamada relativos a las actuaciones realizadas con la tarjeta SIM, así como grupo de trabajo implicado en ellas. Con fecha 4 de noviembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II En relación con la reclamación presentada y admitida a trámite por esta Agencia, le informamos de la incoación del expediente nº PS/00001/2021, contra VODAFONE ESPAÑA, S.A.U. Asimismo, le comunicamos que con fecha 5 de noviembre de 2021 se ha dictado la resolución del procedimiento. En la Resolución se sancionaba con una multa a VODAFONE ESPAÑA, S.A.U., con una multa de 3.940.000’00 euros (tres millones novecientos cuarenta mil euros), por una infracción del artículo 5.1.f) y 5.2 del RGPD, tipificada en el artículo 83.5.a) del RGPD, y calificada como muy grave a efectos de prescripción en el artículo 72.1.a) de la LOPDGDD. De esta forma, se da cumplimiento a lo establecido en el art. 77.2 del Reglamento (UE) 016/679 (Reglamento General de Protección de Datos), que establece que la autoridad de control ante la que se haya presentado la reclamación informará al reclamante sobre el curso y el resultado de la reclamación. Los hechos reclamados se refieren al mismo procedimiento operativo de protección de datos que ha sido investigado y sancionado por la AEPD mediante la resolución precitada, que fue publicada en la página web www.aepd.es.”. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 SEGUNDO: NOTIFICAR la presente resolución a cada uno de los reclamantes con el Anexo que les corresponde. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-200122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 ANEXO I A.A.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 ANEXO II B.B.B. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 ANEXO III C.C.C. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 ANEXO IV D.D.D. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 ANEXO V E.E.E. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 ANEXO VI F.F.F. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es