1/9 Expediente N.º: EXP202313523 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 23 de agosto de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00056706504 y REGAGE23e00056861736 ante la Agencia Española de Protección de Datos contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada, VODAFONE o LOWI). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, el día 10 de agosto de 2023, se bloquea su línea telefónica contratada con la compañía LOWI. A continuación, se pone en contacto con atención al cliente de la parte reclamada y desde esta le informan que se ha pedido un duplicado de la tarjeta SIM de su línea de teléfono. Después de comunicar a LOWI que no había solicitado dicho duplicado, le informan que este se ha producido inmediatamente después de que hubiera una modificación de la dirección y correo electrónico asociados a la línea. Junto a la reclamación, se aporta la siguiente documentación: - Denuncia de fecha 11 de agosto de 2023, ante la Policía Nacional, dependencia de Orense, en donde figura: “que la línea telefónica con numeración (…). - Acta de Declaració ante la Regió Policial Metropolitana de Barcelona. Área Básica Policial Sant Andreu, de fecha 18 de agosto de 2023, donde se manifiestan los hechos anteriores y realiza una ampliación de la información de la denuncia inicial. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 11 de octubre de 2023 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 Con fecha 13 de noviembre de 2023 se recibe en esta Agencia escrito de respuesta indicando que: “(…)”. TERCERO: Con fecha 23 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: VODAFONE realizan las siguientes manifestaciones: 1.- En relación con los hechos denunciados: Vodafone manifiesta que (…). Previamente a dicho acceso no consta en sistemas internos de LOWI ningún acceso irregular o indebido al área de cliente del reclamante. También se ha comprobado que no es hasta el día siguiente, el 10 de agosto de 2023, cuando se activa el duplicado SIM. Durante ese mismo día y tras tener conocimiento LOWI de las actuaciones no reconocidas por el reclamante, se procedió al bloqueo inmediato de la línea telefónica sin perjuicio de las actuaciones iniciadas por el Departamento de Fraude de LOWI para investigar la incidencia manifestada. Posteriormente, y una vez esclarecido por completo los hechos y devuelta la línea al reclamante, en fecha 17 de agosto de 2023, LOWI procedió a la reactivación del servicio de red de la tarjeta SIM asociada a la línea telefónica del afectado. (…). Con lo cual, la información remitida por VODAFONE dirigida al reclamante no fue recibida por este, sino por el supuesto defraudador, no siendo capaz la entidad de conocer que dichas comunicaciones estaban siendo recibidas por un tercero ajeno a su cliente. (…) Según indica la parte reclamada, los clientes tienen la responsabilidad de custodiar debidamente sus datos personales. Hasta la fecha LOWI no había detectado ningún acceso no autorizado por parte de un tercero en sus sistemas internos o bases de datos en los que se almacenan los datos del reclamante, ni ningún otro incidente que haya supuesto la fuga de datos o contraseñas del reclamante. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Al tener conocimiento de los hechos, la calificación de la operación como fraudulenta fue gestionada y resuelta el mismo día en que la reclamante puso en conocimiento de LOWI el carácter supuestamente fraudulento de esta actuación, anulando la operación realizada de manera automática. De modo que la incidencia se resolvió con anterioridad a la recepción de requerimientos de información de la Agencia. 2.- En relación con el procedimiento de modificación de la contraseña de acceso al área privada, medidas de seguridad aplicadas, detallando si además de enviar un enlace al correo electrónico que esté puesto en el área personal se realiza alguna acción complementaria, los representantes de la entidad indican que: (…) 3.- En relación con el procedimiento de envío y entrega de la SIM física en la dirección postal. instrucciones de verificación al mensajero aportando evidencias de si se cumplió o no con las siguientes medidas: - Se solicitó a Correos Express la entrega exclusiva. - Se informó al interesado de que se iba a producir la entrega con carácter previo a la misma (previsión de contar con su DNI) - El albarán de entrega contiene nombre, apellidos, DNI del interesado. - Se introdujo en la aplicación de gestión de reparto de Correos Express el número de DNI validándose la coincidencia. Los representantes de la entidad indican que LOWI exige que todos los duplicados SIM sean entregados con el método de entrega exclusiva. Se exige a los transportistas que la entrega se realice únicamente al titular del servicio, debiendo solicitar el DNI, NIE o pasaporte del interesado. (…) En caso de error, no se permite la finalización del proceso y en consecuencia no deja entregar el paquete al receptor. LOWI tiene contratados el servicio de transporte de entrega exclusiva con el operador logístico CEVA Logistics (“CEVA”). En este sentido, todos los envíos calificados internamente por LOWI con el número 89 deberán seguir un método de entrega exclusiva. Desde CEVA se trabaja con distintas empresas de transportes para la entrega de estos duplicados, en este caso Correos Express, y se traslada e identifica las entregas que deben seguir un método de entrega exclusiva. Se aporta captura de pantalla del sistema de entrega en este caso concreto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 También se aporta pantallazo del albarán de entrega donde se puede ver la inclusión por el mensajero del nombre y del número de documento de identidad del reclamante (en este caso introduce el número de documento de identidad dos veces) 5.- En cuanto al envío del aviso al correo electrónico del reclamante antes de la entrega de la SIM. (…) 6.- En relación con el procedimiento de reacción ante la comunicación de un duplicado SIM fraudulento. Evidencias e impresiones de pantalla que indiquen fecha en que tuvieron conocimiento del incidente y fecha en que se bloqueó la tarjeta SIM del reclamante. Los representantes de la entidad indican que ante cualquier indicio comunicado de duplicado SIM fraudulento por parte de cualquiera de los clientes se procede al bloqueo inmediato de la SIM, para que no pueda seguir siendo utilizada. Posteriormente, los equipos de fraude entran a analizar lo ocurrido y solicitan documentación acreditativa de lo ocurrido, como, por ejemplo, denuncia interpuesta ante la policía. En el presente caso, el duplicado SIM se bloquea al día siguiente, es decir, el 10 de agosto de 2023. Consta en sistemas una llamada a Atención al Cliente informando de la situación y los agentes proceden al bloqueo inmediato. Una vez revisado por el equipo de fraude se procede a marcar al reclamante con el check de víctima de fraude, generando eso una alerta en sistemas que indica el siguiente mensaje: “Cliente con intento de Fraude: No hacer cambios sin política de seguridad estricta”. Esto lo que evita es futuros intentos de fraude sobre el mismo cliente. En paralelo se tramita el envío de una nueva SIM al cliente para que pueda recuperar su línea. En cualquier caso, siempre que se haya recibido y activado un nuevo duplicado SIM, de forma automática, todos los anteriores, dejan de estar operativos. 9.- Cronología de las incidencias (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) De todas estas incidencias aporta la entidad impresión de pantalla. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por:
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
- a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
- b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
- c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
- d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
- e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." III Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." IV Manifestaciones de la parte reclamada En el presente caso, la parte reclamante manifiesta que han suplantado su identidad para solicitar un duplicado de la tarjeta SIM sobre la línea telefónica contratada con LOWI. Pues bien, en respuesta a las actuaciones de traslado y de información realizadas, se ha recibido en esta Agencia escrito de la parte reclamada en el que, por lo que aquí interesa, pone de manifiesto lo siguiente: 1.- Para la duplicación de la tarjeta SIM, un tercero se hizo con el control de la dirección del correo electrónico de la parte reclamante. 2.- El canal a través del cual se tramitó el duplicado fue la App de Mi Lowi. Desde la anterior después de haber aportado correctamente las credenciales de acceso (dirección de correo electrónico o número de teléfono móvil y la contraseña establecida) solicitó el tercero un cambio del correo a una dirección que sólo tenía acceso este. 3.- En la aplicación Mi Lowi el defraudador solicitó un cambio de contraseña y a través de la nueva cuenta pudo acceder al correo de recuperación de contraseña y entrar el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 área personal del reclamante en la APP de Mi Lowi. Desde esta aplicación solicitó el duplicado de tarjeta SIM y modificó la dirección de entrega. 4.- El procedimiento de entrega del Duplicado exige que la persona encargada de entregar la tarjeta SIM debe verificar la identidad del receptor, comprobando que los datos identificativos de su DNI coincidían con los del envío. Aporta VODAFONE captura de pantalla del sistema de entrega en este caso concreto y adjunta pantallazo del albarán de entrega donde se ver la inclusión por el mensajero del nombre y del número de documento de identidad del reclamante (en este caso introduce el número de documento de identidad dos veces). 5.- Se procedió al bloqueo inmediato de la SIM 6.- Como medida de refuerzo se ha establecido un doble factor de autenticación en el área privada. V Conclusión De las actuaciones de investigación realizadas se desprende que la parte reclamada ha llevado a cabo durante el proceso de contratación objeto de la presente reclamación los pasos previstos por la propia entidad para el duplicado de la tarjeta SIM. Entre dichos pasos figuran diversos actos de comprobación con el fin de identificar al solicitante, los cuales han sido asimismo aportados durante el transcurso de las actuaciones. De igual forma, se ha acreditado por la parte reclamada el bloqueo inmediato de la SIM, para que no pueda seguir siendo utilizada. En consecuencia, de los hechos que figuran en la reclamación y la documentación aportada no se desprende indicios suficientes de vulneración de la normativa de protección de datos por la parte reclamada. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de datos de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es