AI-00067-2023

1/9 Expediente N.º: EXP202213522 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: DON A.A.A. (en adelante, la parte reclamante) con fecha 9 de noviembre de 2022, presentó reclamación ante la Agencia Española de Protección de Datos contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, VODAFONE). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que una persona se ha puesto en contacto con él para reclamarle un importe de 30 euros; ya que, ha llevado a cabo unas grabaciones con la parte reclamada, suplantando su identidad "para pasar las validaciones". Señala haber obtenido esta información de una asesora comercial de VODAFONE que ha remitido sus datos personales para que se suplante su identidad a la persona que le reclama el importe. Junto a su reclamación aporta impresiones de pantalla de Whatsapp en las que se muestra la conversación mantenida con la persona que se pone en contacto con él para cobrar 30 euros por pasarle unas validaciones suplantando su identidad, así como tres ficheros de sonido con grabaciones de voz (audios) remitidos por whatsapp por esa persona. También aporta impresiones de otra conversación por whatsapp donde se refleja la contratación con un supuesto distribuidor de VODAFONE. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a VODAFONE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 27 de diciembre de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 1 de febrero de 2023 se recibe en esta Agencia escrito de respuesta indicando que: 1) La contratación se había producido de forma telefónica "y que la misma se había perfeccionado mediante su autorización [de la parte reclamante] a la contratación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 remitida por SMS al número de teléfono del reclamante"; además señalan que "en ni ningún momento [la parte reclamante] trasladó su desacuerdo con las contrataciones llevadas a cabo, supuestamente, sin su consentimiento". 2) Consideran que lo ocurrido es ajeno a la actividad de la entidad, que ha declarado la contratación como no fraudulenta "al existir evidencias del conocimiento y consentimiento contractual prestado por [la parte reclamante]". 3) No constan en los sistemas de la parte reclamada brechas o accesos no autorizados a los datos de la parte reclamante, alegando que los datos personales a los que habrían tenido acceso el tercero "han podido ser obtenidos de múltiples fuentes ajenas a [la parte reclamada]", no siendo además cliente de la entidad en el momento en que se produjeron los hechos. 4) Adjuntaron copia del escrito remitido a la parte reclamante, con fecha 1 de febrero de 2023, con las gestiones realizadas en relación con los hechos reclamados, confirmando que en la actualidad no hay productos o servicios contratados. En el informe aportado consta “SMS Enviado” el 02/11/2022, con los datos del reclamante, teléfono acabado en 828, con relación a una portabilidad de la línea acabada en 092 desde NEO-SKY, la portabilidad de la línea acabada en 580 desde YOIGO, indicándose en el SMS que para aceptar la portabilidad debe responder SI al SMS o entrar en link adjunto y pulsa Aceptar. También constan 3 recordatorios enviados por SMS al mismo número cada 20 minutos, con el texto “Recuerde que tiene que responder con la palabra SI al SMS inicial recibido o pulsando ACEPTAR en el link adjunto en el mismo”. También consta en el Informe este número acabado en 828 como teléfono de contacto del reclamante en una petición clasificada como “Tipo:Error comercial” y “Código Apertura: Engaño(oferta inventada)” y con la siguiente anotación: ”reclama que al contratar le ofrecieron una linea nueva por 15 eruros adicional a la que tiene en sistemas / se revisa en contrato solo le incluye una linea / pero indica que le dijeron que podia contratar una linea nueva adicional dentro del contrato en su contratacion no lo indica / se abre peticion para verificar posibilidad de alta nueva con descuento para el cliente”. TERCERO: Con fecha 9 de febrero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Dado que la línea telefónica a la que se envió el SMS de confirmación (de numeración acabada en 828) según las evidencias anteriormente relatadas no es la del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 reclamante, sino de la tercera persona que se pone en contacto con el reclamante por whatsapp para reclamarle los 30 euros, en las actuaciones inspectoras se ha requerido a la parte reclamada acreditación documental de haber verificado la identidad del solicitante de los contratos (una portabilidad de una línea de teléfono móvil de numeración acabada en 580 desde YOIGO, la portabilidad de una línea de teléfono fijo acabada en 092 desde NEOSKY, el alta de una línea de teléfono fijo, así como una portabilidad de un servicio de TV y fibra). A este respecto los representantes de la parte reclamada aportan grabaciones de llamadas (audio.WAV y audio2.WAV), verificándose que la primera se refiere a una llamada para efectuar la cancelación de fijo y fibra, en la que el llamante indica que tenía una portabilidad y ya que le han cancelado el móvil, pero tenía que volver a llamar para cancelar el fijo y la fibra. El operador informa que ya está hecha la instalación de la fibra y que va a generar un cargo, a lo que el interlocutor asiente. En ningún momento el reclamante menciona que la contratación haya sido fraudulenta o con suplantación. La segunda grabación se refiere a una contratación a fecha 2 de noviembre de 2022, en la que el operador pide el DNI así como nombre y apellidos para la portabilidad de la línea acabada en 580 procedente de YOIGO, y el solicitante que llama los facilita. La parte reclamada indica que esta grabación se realizó desde línea que iba a portarse (acabada en 580), por lo que se ofrece una garantía adicional sobre la veracidad de la misma. Aportan al respecto captura de pantalla con el registro del número de la línea y la fecha y hora de la llamada. Manifiestan además que: “por otro lado, en lo relativo al resto de llamadas efectuadas por el reclamante a Vodafone, esta representación debe indicar que no fueron grabadas, por lo que no se puede aportar la grabación de las mismas. Ello es debido a que, como ya se ha expuesto en expedientes precedentes, las llamadas telefónicas recibidas por los servicios de Atención al Cliente de Vodafone sólo son grabadas de forma aleatoria (excepto los casos en los que el contrato se perfecciona por grabación de voz, los cuales se graban en todo caso) y con fines de calidad de la atención dispensada al cliente, conforme se informa expresamente a los interesados en la realización de cualquier trámite por el canal telefónico. Como esta Agencia conoce, el número de peticiones y trámites que Vodafone gestiona de forma telefónica hace prácticamente inviable la grabación y conservación de la totalidad de las gestiones efectuadas telefónicamente ante los servicios de Atención al Cliente de esta entidad, por lo que Vodafone sólo lleva a cabo la grabación de un número representativo del total de gestiones efectuadas telefónicamente a fin de poder evaluar la calidad de la atención al cliente o para acreditar la contratación efectuada por un nuevo cliente.” Aportan copia del contrato firmado entre el reclamante y la parte reclamada mediante firma certificada a través de una One Time Password (OTP), indicando que de este modo suscribió la totalidad de contrataciones mencionadas. Al respecto, Vodafone ha podido verificar que el contrato firmado fue remitido a la dirección de correo electrónico del reclamante, mientras que la notificación de la tramitación de la portabilidad de las líneas fue remitida a su número de teléfono acabado en 580 (del reclamante). Se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 verifica por otro lado que en este contrato aparece el número de teléfono acabado en 828 como teléfono de contacto. Indican que además de todo lo anterior la dirección postal de instalación del servicio de fibra contratado coincide con la aportada por el reclamante, tal y como se puede comprobar. Por otro lado, indican que cuando un interesado solicita la portabilidad de alguna de sus líneas, el Operador Donante debe de verificar si los datos aportados coinciden o no con los registrados en sus sistemas. En caso de coincidencia, el Operador Receptor no impondrá ningún impedimento a la portabilidad de las líneas; sin embargo, si alguno de los datos no corresponde con los que figuran en sus sistemas, el Operador Donante será el encargado de comunicar dicho error y detener la portabilidad También se ha requerido aportar documentación acreditativa del origen del dato del número de teléfono para enviar el código de firma del contrato por SMS, (número acabado en 828) que es el número de la tercera persona que supuestamente suplantó la identidad del reclamante, e información sobre quién introdujo este número en los sistemas para proceder a enviarle el código de validación. A este respecto los representantes de la parte reclamada contestan que “tal y como se ha indicado anteriormente, la firma del contrato se hace mediante firma digital (OTP) al número proporcionado, y con el fin de una doble verificación de la información y condiciones del contrato, se le envía una copia del mismo a la dirección de correo [del reclamante]. En dicha copia figuran tanto la información identificativa del reclamante como la numeración desde la que se ha procedido a la firma. Ante este hecho, el [reclamante] no responde con ningún tipo de negativa o modificación a la contratación efectuada. Sino que no es hasta una semana después cuando el reclamante solicita la baja de los servicios contratados debido a una contraoferta de otra operadora, tal y como tipifica el Agente en la interacción”. Se ha verificado que consta una interacción en los sistemas de la entidad reclamada de fecha 03/11/2022 12:50:36, del tipo llamada entrante, a nombre del reclamante desde la línea acabada en 580 (del reclamante) en la que consta: “Motivo de la llamada: CLIENTE SOLICITA BAJA DE LA FIBRA POR CONTRA-OFERTA Gestión del agente: CLIENTE CON PORTA DE FIJO EN VUELO, PONEMOS A2 YA QUE AUN NO SE HABIA INICIADO LA PORTA PERO LA OT SI ESTA HACEMOS LA GRABACION DE LA BAJA PERO NO LANZAMOS OT DE DESCONEXION YA QUE EL FIJO ESTA EN ESTADO PTE DE CAMBIO LA BAJA HABRA QUE HACERLA CON CARACTER RETROACTIVO AL DIA 03/11/2022”. Los representantes de la parte reclamada indican que a raíz de la recepción del presente requerimiento de información han procedido a investigar nuevamente los hechos denunciados por el reclamante, concluyendo que la incidencia no se ha producido como consecuencia de una actuación fraudulenta ajena al reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 En este sentido, tras las investigaciones practicadas, el Departamento de Fraude de la entidad ha concluido que las contrataciones no han sido realizadas de forma fraudulenta, ello en atención a que el contrato firmado fue remitido a la dirección de correo electrónico reconocida como propia por el reclamante, así como la notificación sobre el trámite de portabilidad de las líneas solicitadas fue remitido al número de teléfono de contacto que el propio reclamante aporta en su reclamación, número acabado en

1. Además, la dirección postal de instalación del servicio de fibra contratado coincide con la aportada por el reclamante en su reclamación. Por consiguiente, los representantes de la parte reclamada no pueden descartar que fuese el propio reclamante o un tercero de su entorno quien proporcionase la información personal, algo totalmente ajeno a la esfera de control de la parte reclamada, siendo la custodia de sus datos personales y credenciales de acceso responsabilidad del propio reclamante. Entienden que lo ocurrido queda fuera del ámbito de responsabilidad de la parte reclamada pues los interesados tienen la responsabilidad de custodiar debidamente sus datos personales, estando únicamente dentro de la esfera de control de mi mandante la adecuada definición de los procedimientos, sistemas, controles y medidas de seguridad aplicables en función de la criticidad del tratamiento que aseguren la correcta identificación del titular de los datos personales. En todo caso, indican que se están revisando los procesos internos para asegurar que se cumplen las Políticas de Seguridad definidas o introducir los cambios necesarios cuando se considere pertinente. En concreto están trabajando en la mejora continua de: - Revisión de los procesos internos para asegurar que se cumplen las Políticas de Seguridad y controles de verificación que se han ido definiendo e incorporando, tanto en canal presencial como telefónico. - Refuerzos periódicos de comunicación de las Políticas de Seguridad y verificaciones que han sido definidas por Vodafone para la gestión de las diferentes contrataciones y que deben ser aplicadas por las agencias, tiendas comerciales y agentes. - Envío de comunicados periódicos al canal presencial y telefónico, así como al operador logístico, donde se alerta de los escenarios de riesgo detectados, sus características y patrones de comportamiento para prevenir nuevos casos. - Aplicación -si procede-, de la Política de Penalización existente para agentes o distribuidores que realicen cualquier contratación sin haber requerido la documentación o que realicen cualquier gestión sin seguir todos los pasos definidos en la Política de Seguridad. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros” En el presente supuesto, VODAFONE realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. III Licitud del tratamiento El Artículo 6 “Licitud del tratamiento” del RGPD establece: “
2. Licitud del tratamiento
3. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.”. La parte reclamante manifiesta que una persona se ha puesto en contacto con él para reclamarle un importe de 30 euros; ya que, ha llevado a cabo unas grabaciones con la parte reclamada, suplantando su identidad "para pasar las validaciones". Es importante, concretar los hechos ocurridos; en el presente caso, el 2 de noviembre de 2022 se llevó a cabo la contratación de una línea fija con instalación de fibra, así como de una línea móvil, ambas en el mismo contrato y con portabilidad desde otra operadora. La parte reclamada ha aportado copia de grabación de llamada de portabilidad para la línea móvil, y ha acreditado que la llamada se realizó desde la propia línea móvil a portar; por lo que, no cabe suplantación a no ser que el suplantador se apoderara del terminal móvil o de la línea del reclamante. La parte reclamada también ha aportado grabación de llamada en la que el reclamante da de baja los servicios contratados, por contraoferta, aceptando el coste de la instalación de la fibra, que por otra parte requirió la entrada en su domicilio. No menciona en ningún momento haber sufrido un fraude en la contratación. Por otro lado, se ha acreditado el envío, durante el proceso de contratación, de mensajes SMS a la línea acabada en 828 (de la supuesta suplantadora). No obstante, no se han obtenido evidencias del origen de ese dato, que consta como dato de contacto de la parte reclamante en los sistemas de la entidad, ni de quién lo ha facilitado. En consecuencia, de la documentación aportada por VODAFONE en el curso de las actuaciones de investigación no se han obtenido evidencias de que la suplantación haya llegado a término, existiendo evidencias de que la contratación se realizó por parte del reclamante o al menos desde su teléfono móvil, y que el mismo reclamante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 canceló por una contraoferta, asumiendo los cargos por los gastos de la instalación de fibra, que fue instalada en su domicilio y sin negar la contratación. IV Principio de presunción de inocencia El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor. Aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinado, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que, en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). V Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir una infracción en materia de protección de datos por suplantación de identidad, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es