1/9 Expediente N.º: EXP202200378 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La Unión de Consumidores de Asturias, en nombre y representación de D. A.A.A. (en adelante, la parte reclamante) con fecha 12 de noviembre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra R CABLE Y TELECABLE TELECOMUNICACIONES S.A.U. con NIF A15474281 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El día 28 de junio de 2021 sobre las 19:30 horas reparó que no tenía red en su línea móvil, por lo que se puso en contacto con la parte reclamada. Así las cosas, la operadora le indicó que realizara comprobaciones tales como reiniciar el móvil o cambiar la tarjeta SIM a otro teléfono. Asimismo, recibió en su línea de móvil una serie de mensajes de su entidad financiera por cargos y transferencias en su cuenta bancaria, cargos no autorizados por diversos importes, en total por unos XXXX€. Por otra parte, al día siguiente llamó a la parte reclamada requiriendo explicaciones y no fue hasta la tercera llamada cuando le manifestaron que habían solicitado en Asturias un duplicado de su tarjeta SIM. Pues bien, tras interponer una denuncia ante la Guardia Civil, ésta le manifestó que un tercero pidió un duplicado de la tarjeta SIM en una tienda de la entidad situada en la de ***LOCALIDAD.1 el día 28 a las 19:30 horas con una copia de su DNI. Documentación relevante aportada por la parte reclamante: - Denuncia interpuesta ante el Puesto Principal de Zafra de la Guardia Civil Atestado nº ***ATESTADO.1 - Reclamación interpuesta ante la parte reclamada, por la Unión de Consumidores de Asturias-UCE en nombre del reclamante, y contestación a la misma. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 7 de febrero de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 7 de marzo de 2022 se recibe en esta Agencia escrito de respuesta indicando que con fecha 28 de junio de 2021 un tercero que se identificó como el reclamante solicito de manera presencial un duplicado de la tarjeta SIM del número ***TELEFONO.1 de su titularidad. Añaden que el personal que le atendió realizo la identificación del tercero a través de su DNI, y que tras dicha identificación procedieron a generar la tarjeta. Asimismo, manifiestan que entre las medidas de seguridad adoptada por el responsable del tratamiento (Telecable) figura no aceptar solicitudes telefónicas por lo que la petición de duplicado debe hacerse presencialmente o por una persona apoderada en algunas de las tiendas físicas de la entidad. Se exige la presentación del DNI y se almacena una copia de la documentación aportada. Señalan, que en este caso existió una suplantación de la identidad y que el personal de la tienda actuó con total diligencia Adjuntan como prueba copia del DNI aportado en la suplantación (se manifiesta que en dicha copia no era sencillo detectar la falsificación). Indican, que han adoptado una serie de medidas para hacer más robusto el sistema de identificación (incluyendo la verificación de que la información de anverso y reverso del DNI facilitado coinciden). Solicitan la suspensión del procedimiento al existir una prejudicialidad penal Igualmente, manifiestan que han adoptado medidas para reforzar la seguridad de cara a la obtención de duplicados SIM. TERCERO: De conformidad con el artículo 65 de la LOPDGDD, cuando se presentase ante la Agencia Española de Protección de Datos una reclamación, ésta deberá evaluar la admisión o inadmisión a trámite, en el plazo de tres meses desde que la reclamación tuvo entrada en esta Agencia. Si, transcurrido este plazo, no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en el Título VIII de la Ley. Dicha disposición también resulta de aplicación a los procedimientos que la AEPD hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes. En este caso, teniendo en cuenta lo anteriormente expuesto y que la reclamación se presentó en esta Agencia, en fecha 12 de noviembre de 2021, se comunica que su reclamación ha sido admitida a trámite el 12 de febrero de 2022 al haber transcurrido tres meses desde que la misma tuvo entrada en la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Sobre el procedimiento establecido por la parte reclamada para la tramitación de las solicitudes de duplicados de tarjetas SIM, sus representantes aportan la siguiente información: - Todos los duplicados SIM deben realizarse presencialmente en las tiendas físicas de la parte reclamada, no aceptándose solicitudes telefónicas. - El duplicado debe ser solicitado por el titular de la línea o una persona autorizada. - Se exige acreditar la identidad con el DNI, que es contrastado con los datos que constan del titular en los sistemas de la entidad (coincidencia exacta del nombre y número de DNI). - El personal de tienda debe almacenar una copia de la documentación aportada como prueba de la verificación realizada. - La nueva tarjeta SIM se entrega activada por parte del personal de tienda en el momento, una vez realizadas las tareas de verificación descritas. - Cuando se tiene conocimiento de un posible fraude se contacta con el personal de la tienda que ejecutó el duplicado. Aportan la siguiente documentación: - Instrucciones de gestión de duplicados SIM para las tiendas. Se verifica que en la página 7 consta que antes de realizar un duplicado de la tarjeta SIM se debe pasar la política de seguridad correspondiente, para validar la identidad del cliente. - Política de seguridad. En ella consta, en el apartado de identificación del cliente, “operativa para los ya clientes”, que siempre se comprobará que el DNI aportado coincide con los datos obrantes en la aplicación (nombre apellidos y número). Se indica que “en los canales presenciales (tienda) se guardará fotocopia del DNI con el que se ha identificado el cliente”. - Aportan, como acreditación documental de la existencia de instrucciones giradas a las tiendas, pantallazo del apartado “Procedimientos tienda” del gestor documental puesto a disposición de las tiendas. Se verifica que en la impresión de pantalla se observa que la política de seguridad está publicada desde marzo del
- Sobre el caso concreto del reclamante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 - Los representantes de la parte reclamada manifiestan que el día 28 de junio de 2021 una persona que se identificó como el reclamante, solicitó en la tienda de la parte reclamada sita en la ***DIRECCION.1 de ***LOCALIDAD.1 un duplicado de SIM, que el personal de tienda realizó la identificación de esta persona a través de su DNI y una vez identificado procedió a generar y activar la nueva tarjeta SIM con la numeración solicitada. - Manifiestan también que en el caso objeto de la reclamación una persona suplantó la identidad del reclamante cometiendo un ilícito penal ante el personal de la tienda de la parte reclamada, mediante la aportación de un DNI falsificado. Indican que el único responsable, penal y civilmente, es por tanto esa persona, y que el personal de la tienda que lo atendió actuó con total diligencia. Indican que no ha existido responsabilidad alguna, ni dolo ni falta de diligencia, en la verificación de la identidad del solicitante del duplicado de SIM por parte del personal de la tienda y por tanto tampoco responsabilidad alguna por la parte reclamada al haber sido engañados con un DNI falsificado. - Se verifica que aportan, como prueba del cumplimiento del procedimiento de identificación en la gestión del duplicado SIM objeto de reclamación, la copia del DNI que se recogió en el caso de la supuesta suplantación de identidad. Se constata que en el documento consta el nombre y apellidos del reclamante, tanto en su anverso, como en su reverso dentro de la zona MRZ (Machine-Readable Zone, las tres líneas de caracteres alfanuméricos del reverso del documento). El número del DNI del reclamante consta en el anverso, no encontrándose en la MRZ. Hay que señalar que la MRZ está destinada a ser leída por medios automáticos (OCR - Reconocimiento óptico de caracteres) y recoge diversos códigos alfanuméricos seguidos, varios de ellos sin ningún delimitador de campo. Se verifica que sí constan dentro de la MRZ del documento, además del nombre y apellidos, otros códigos que coinciden con datos del anverso, como el IDESP o código del soporte, la fecha de nacimiento o la fecha de validez del documento. - Manifiestan también que hasta que el reclamante no les informó de lo que le había indicado la Guardia Civil sobre la falsificación del DNI y la forma en que ellos como cuerpo policial habían detectado la falsificación no fueron conscientes de la misma. - La parte reclamada contactó con la tienda en cuestión, que les confirmó el 30 de junio de 2021, dos días después de los hechos, que recordaban haber verificado el DNI y los datos, y de que como la persona que se había presentado en la tienda llevaba gorro y mascarilla, le requirieron que se los quitase para verificar su identidad y que en todo momento les pareció que era la persona de la foto del DNI. - Indican que aportan como prueba de la verificación del DNI del solicitante la copia recogida en tienda del documento identificativo que aportó el supuesto suplantador manifestando que se puede observar que no era sencillo detectar la falsificación. - Requeridos los contactos telefónicos registrados con el reclamante los días 28 y 29 de junio de 2021 se verifica la existencia de varios contactos el día 28, el primero a las 21:31 recibido en Atención al Cliente, que se transfiere al Grupo de Averías, en el que se realizan comprobaciones con el cliente, proponiéndole probar la tarjeta SIM en otro terminal, y otro contacto a las 21:59 con el resultado de dicha prueba. El día 29 a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 9:58 se recibe llamada en departamento de Reclamaciones en la que el reclamante avisa de una supuesta suplantación, constando registrados varios contactos en los que se corta la llamada. Los representantes de la parte reclamada indican que emprendieron como acción inmediata el bloqueo de la tarjeta SIM, a las 11:31 horas, tardando el tiempo imprescindible internamente para la gestión del bloqueo, para que el supuesto suplantador dejara de tener acceso a las comunicaciones telefónicas realizadas desde o hacia el número de móvil del reclamante. Indican que fueron necesarias cuatro llamadas del reclamante, desde su primer contacto del día porque por problemas de cobertura por su parte sufrían constantes cortes de comunicación. - Remarcan que el suplantador tuvo acceso a datos personales del reclamante con anterioridad al duplicado de SIM realizado el día 28/06/2021 en base a las manifestaciones del reclamante, que les indicó que creía que le habían hackeado su dispositivo móvil con algún tipo de virus, porque había recibido avisos de intentos de recuperación de contraseña de varios servicios. Indican que el reclamante les informó de intentos de acceso a sus cuentas de correo electrónico, servicios no prestados por la parte reclamada pero que tenía vinculados al citado terminal, y que por tanto fueron anteriores al duplicado SIM (le llegaron los avisos antes de que perdiese la conexión). Sobre las medidas adoptadas con posterioridad a los hechos: A raíz del incidente acaecido con este reclamante y en base a la información que les llega desde la Guardia Civil, sobre los medios por lo que se podría haber detectado la falsificación, han decidido mejorar los procedimientos de verificación de la documentación aportada para hacerla más robusta, incluyendo en el procedimiento la verificación de la información del anverso y reverso del DNI. Aportan copia de la nueva política de seguridad donde se incluye un apartado con indicaciones para la verificación manual de la correspondencia del anverso y reverso del DNI, en concreto de los datos de número de DNI y de nombre y apellidos. Aportan también correo electrónico de fecha 8 de abril de 2022 remitido a la lista de “tiendas distribuidores” en el que se recuerda la existencia de una nueva política de seguridad con cambios en la identificación del cliente con directrices para detectar posibles DNI falsificados. CONCLUSIONES La parte reclamada solo emite duplicados de tarjetas SIM de forma presencial en tienda, habiendo quedado acreditado que dentro del procedimiento establecido las tiendas tienen instrucciones de solicitar el documento identificativo (DNI) del solicitante de forma previa a la emisión del duplicado, con obligación contrastar los datos del documento (nombre y apellidos y número de DNI) con los datos del cliente en la aplicación que tienen disponible, así como de recoger una copia del DNI exhibido, como prueba de la comprobación realizada. Aportan, como prueba del cumplimiento del procedimiento en el caso de la reclamación, la copia del DNI que se recogió. Se constata que en él consta el nombre y apellidos del reclamante, tanto en su anverso, como en su reverso dentro de la zona MRZ (Machine-Readable Zone, las tres líneas de caracteres del reverso del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 documento). El número del DNI del reclamante consta en el anverso, no observándose en la MRZ. Sí constan otros datos del anverso en esta zona MRZ. Hay que señalar que la MRZ está destinada a ser leída por medios automáticos (OCR Reconocimiento óptico de caracteres) y recoge diversos códigos alfanuméricos seguidos, varios de ellos sin ningún delimitador de campo. No se ha acreditado que la parte reclamada tuviera conocimiento de una posible emisión fraudulenta de tarjeta SIM hasta el mismo día en que se bloquea para evitar su posible uso fraudulento, bloqueo que se realiza en una hora y media aproximadamente. La parte reclamada ha implementado nuevas medidas para evitar casos similares en el futuro añadiendo instrucciones de comprobación manual del número del DNI y el nombre y apellidos de su titular dentro de la zona MRZ de este documento. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Licitud del tratamiento El artículo 6 del RGPD detalla en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “
- El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” III Reclamación En el presente caso, la parte reclamante presenta reclamación contra la parte reclamada, por una presunta vulneración del artículo 6 del RGPD en relación con la licitud del tratamiento de sus datos personales porque se han utilizado sus datos personales sin su consentimiento, para la obtención de un duplicado de su tarjeta SIM. IV Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 De las actuaciones realizadas y las informaciones obtenidas se concluye que verificaron que la persona solicitante era el titular de la línea afectada y solicitaron su DNI, conservando en la tienda, a efectos de prueba, una copia del mismo. Teniendo lo anterior en cuenta, la parte reclamada actuó poniendo las medidas adecuadas, pero el resultado no fue el esperado. Todas estas actuaciones indican el cumplimiento de una diligencia razonable por parte de la reclamada. Por tanto el tratamiento realizado por la parte reclamada se ajusta a lo establecido en el artículo 6 del RGPD que quien realizaba la tramitación del duplicado SIM no fuera quien decía ser y, sin perjuicio que dicha relación pueda ser cuestionada ante el orden jurisdiccional correspondiente habida cuenta que el reclamante manifiesta y así lo denunció ante la Policía que alguien suplantó su identidad utilizando sus datos personales para contratar con las citada operadora de telecomunicación utilizando copias de documentos identificativos de su personalidad tales como su DNI. De la documentación obrante en el expediente se desprende ausencia del elemento subjetivo de culpabilidad necesario en la actuación de la parte reclamada para ejercer la potestad sancionadora. A este respecto, la Sentencia de la Audiencia Nacional de 22 de marzo de 2012 se pronuncia sobre un supuesto similar, en los siguientes términos “(...)Por todo lo cual y a la vista de las especiales circunstancias concurrentes en el caso de autos, no cabe apreciar culpabilidad alguna (ni siquiera a título de culpa o falta de diligencia) en la actuación de la entidad recurrente, que actuó en la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal con una documentación en apariencia auténtica y a ella correspondiente, por lo que estaba legitimada para el tratamiento de sus datos de carácter personal. En consecuencia, al faltar uno de los requisitos exigidos para la imposición de sanción por vulneración del principio del consentimiento consagrado en el artículo 6.1 de la LOPD, procede dejar sin efecto la sanción impuesta por la comisión de dicha infracción” En consecuencia, procede el archivo de las presentes actuaciones previas de investigación al no advertir incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible en el catálogo de infracciones previstas y sancionadas en dicha normativa. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la Unión de Consumidores de Asturias, en nombre y representación de D. A.A.A. y a R CABLE Y TELECABLE TELECOMUNICACIONES S.A.U. con NIF A
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es