1/9 Expediente N.º: EXP202301328 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 22 de diciembre de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que se ha llevado a cabo suplantación de identidad en la contratación y uso de ciertos servicios con el operador de telecomunicaciones reclamado. Manifiesta que solicita el acceso a las grabaciones de ciertas llamadas, pero no se las facilitan. Aporta procedimiento y resolución adoptada por la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales, denuncia policial, peritaje judicial y facturas asociadas. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 9 de febrero de 2023, como consta en el certificado que obra en el expediente. Con fecha 25 de abril de 2023 se recibe en esta Agencia escrito de respuesta, una vez había sido admitida a trámite la reclamación. TERCERO: Con fecha 22 de marzo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: PUNTO Previo. Análisis de la reclamación. Del análisis de la reclamación y de la documentación adjunta a la misma se desprende lo siguiente: - La denunciante aporta como escrito de reclamación ante esta Agencia copia de una denuncia que manifiesta haber presentado ante los Juzgados de lo Penal (no cita fecha de la denuncia ante el juzgado, ni está fechado el documento). Por la descripción que se hace en ella, el escrito es del año 2022, ya que se cita que se describen los hechos sucedidos hasta febrero de 2022, fecha en que manifiesta haber causado baja en la operadora de telefonía (de la parte reclamada). - Sobre la restricción de llamadas internacionales la reclamante manifiesta en su escrito de reclamación que “hace aproximadamente 3 años” que comenzaron dichos hechos. Siendo el escrito del 2022, comenzarían por tanto en el año 2019, fecha que también cita más adelante en su escrito de reclamación. - En la reclamación la reclamante manifiesta que a menudo le indicaban que había superado el límite de llamadas, le dejaban sin servicio y se lo reanudaban en una hora indicándole finalmente que no lo había superado. La reclamante manifiesta que este hecho le hizo pensar que le habían duplicado la tarjeta SIM. No obstante, hay que indicar que cuando se duplica una tarjeta SIM no se comunica al cliente que se ha superado el número de llamadas, ni la línea se recupera de la manera expuesta, teniendo que emitir un nuevo duplicado que hay que instalar. Tampoco menciona la reclamante las fechas de estos incidentes. - Indica por otro lado que estando en Italia en 2021 no puede utilizar datos en roaming, indicándole la parte reclamada que ha llegado al límite permitido, lo que le hace pensar que se ha realizado un duplicado de SIM. Indica que la parte reclamada negó dicha posibilidad. Hay que indicar que en caso de que se hubiera realizado un duplicado de la tarjeta SIM habría perdido la línea completamente, no solo los datos en roaming. - También se menciona en la reclamación que en otra ocasión recibió una llamada preguntando si aceptaba un duplicado de SIM. No cita fecha exacta o aproximada de esta llamada de confirmación, que en cualquier caso frenó el proceso de emisión del duplicado, por lo que no llegó a realizarse. - También menciona que alguien ha intentado un cambio de titularidad de la línea en marzo de
- Se trata también de un intento de cambio que no se llegó a realizar, ya que el tercero que intentó cambiar la línea de titularidad no sabía que se encontraba de baja. Manifiesta que preguntó a la parte reclamada quien realizó el intento y le informaron que no le podían dar dicha información. - La reclamante manifiesta aportar grabaciones de llamadas telefónicas realizadas por ella a Atención al Cliente de la parte reclamada, pero no constan dichas grabaciones adjuntas a su reclamación ante esta Agencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 - Aporta 65 páginas de facturas, en las que no se encuentra ninguna marca ni se señala ningún cargo o servicio. - Aporta copia de una denuncia presentada ante la Policía Nacional, de fecha 13 de septiembre de 2021 en la que cita que desde hace aproximadamente un año (en 2020) le restringen las llamadas internacionales y que el día 3 de septiembre de 2020 la parte reclamada le confirma que alguien ha solicitado su PIN y PUK. No consta si se los facilitaron. Sobre este tema, en su escrito de reclamación ante el Juzgado y ante esta Agencia la reclamante cita que alguien pudo solicitar fraudulentamente mediante llamada telefónica el PIN y PUK de su línea. Llegaron a indicarle que se negaron a facilitarlo porque no era ella. - En la Resolución que aporta de la SETID, ese organismo se inhibe de la parte de la reclamación que versa sobre Protección de Datos y suplantación. Sí se cita que la parte reclamada debe indemnizar a la parte reclamante por las interrupciones del servicio. En el marco de ese expediente de la SETID, la parte reclamada manifiesta en un escrito de contestación a la SETID que el departamento de fraude confirma que ha procedido a llevar a cabo las acciones necesarias con la finalidad de prestar un servicio adecuado y seguro garantizando sus derechos como cliente y evitar el fraude o uso ilícito del servicio prestado por la entidad. Se reconoce que no dispuso de datos en el extranjero y que por tanto se abona un importe a la reclamante como garantía de calidad. - La reclamante aporta dos documentos de un perito: A) Un documento con el logotipo de la Asociación Nacional de Tasadores y Peritos Informáticos Judiciales que consiste en una solicitud de información, que el perito dirige a la parte reclamada en nombre de la reclamante, y en la que no se realiza ningún análisis técnico ni se expresa opinión técnica sobre ninguna cuestión. En el documento se realiza una petición de las grabaciones de voz por las que se restringieron las llamadas internacionales. Este documento está firmado por el perito. B) Otro documento de fecha 23 de diciembre de 2021 de dos páginas sin numerar, pareciendo incompleto por su forma de empezar “25 de marzo filtración mostrando también otro número…”. El documento consistente aparentemente en una pericial o una ampliación de pericial. Se mencionan las llamadas del 25 de marzo y 29 de junio, como posible origen de la restricción de las llamadas internacionales de la reclamante. Sin embargo, cabe señalar que las grabaciones que se aportaron en el marco del expediente de la SETID son de fechas 25 de marzo y 11 de junio (no 29 de junio) de 2021, según el escrito de contestación de la parte reclamada a ese organismo, tal y como se ha citado más arriba en el presente informe. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 PUNTO
- Se ha requerido a la parte reclamada para que aporte documentación acreditativa de haber efectuado la verificación de identidad del solicitante de las restricciones de llamadas internacionales de la línea de la reclamante, supuestamente efectuadas en marzo y junio de
- Se solicita aportar documentación acreditativa de dichos contactos telefónicos, del paso de la política de seguridad y en qué consistió dicha política. A este respecto la parte reclamada ha manifestado que, tras haber efectuado las comprobaciones oportunas, han podido verificar que durante las fechas indicadas (marzo y junio de 2021) no consta ninguna restricción de llamadas internacionales aplicada sobre la línea de la reclamante. Indican que durante los meses de marzo y junio 2021 únicamente constan dos grabaciones en los sistemas de la entidad, una de 25 de marzo de 2021 y otra de 11 de junio de 2021 y, en las mismas, no se hace referencia a una restricción de las llamadas internacionales. La primera de ellas hace referencia a una oferta con una permanencia de 12 meses y la otra a la adquisición de un terminal financiado Apple IPhone 12 64GB Black. Indican que sí consta en los sistemas de la entidad la restricción de las llamadas internacionales a través de la aplicación de Mi Vodafone, realizadas los días 2 y 14 de julio de 2021, solicitud que solo puede hacer el titular de la línea a través de la aplicación móvil Mi Vodafone, para lo cual se requiere acceder con usuario y contraseña y doble factor de autenticación a través de OTP a la línea del titular (OTP: One Time Password o clave de un solo uso). Aportan al respecto documento con impresiones de pantalla de los de sistemas donde indican figuran las restricciones de llamadas internacionales realizadas a través de la aplicación Mi Vodafone, y que ambas se retiran en el mismo día y por la misma vía. Consta en todas ellas como “vendedor” “MI VODAFONE ECARE”. También, indican que en el mes de julio de 2021 se calificó un caso fraudulento en el que se alegaba por la reclamante la existencia de una restricción de las llamadas internacionales, sin embargo se comprueba que todo estaba funcionando correctamente por el Departamento de Fraude. Indican que lo que sí consta es la restricción de las llamadas internacionales a través de la aplicación Mi Vodafone mencionada. PUNTO
- Se ha requerido aportar la fecha hasta la que estuvieron restringidas las llamadas internacionales. Los representantes de la parte reclamada manifiestan que se aplicaron restricciones en las llamadas internacionales a través de la aplicación Mi Vodafone el día 2 de julio de 2021 y se restableció el mismo 2 de julio de 2021 y luego el 14 de julio de 2021 que también se restableció ese mismo día. Reiteran que, para llevar a cabo estas restricciones, el reclamante tiene que autenticarse a través del acceso con usuario y contraseña y doble factor de autenticación. Se hace notar que en la pericial consta que la reclamante manifiesta al perito que un tercero se apropió de su teléfono móvil un lapso de tiempo en un congreso, no citándose la fecha de dicho incidente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 PUNTO
- Sobre las grabaciones de las llamadas: En la contestación tras la Admisión a Trámite, la parte reclamada citaba que no es posible aportar las grabaciones telefónicas relativas a las acciones maliciosas que la reclamante refiere ya que dichas grabaciones no constan en los sistemas de la entidad. Declaran que las llamadas telefónicas recibidas por los servicios de atención al cliente de la entidad son grabadas de forma aleatoria y con fines de calidad de la atención dispensada al cliente. Indican que han procedido a informar a la reclamante de las gestiones realizadas mediante nueva comunicación, cuya copia aportan, indicando que de este modo han puesto a disposición de la reclamante la totalidad de las grabaciones de las llamadas telefónicas mantenidas con el Servicio de Atención al Cliente obrantes en los sistemas de Vodafone. Consta una carta de fecha 4 de octubre de 2021 con la que manifiestan se contestó a su ejercicio del derecho de acceso, dirigida a la reclamante en la que se cita: «Una vez realizadas las comprobaciones oportunas y analizados los hechos descritos por la [reclamante], le comunicamos que en referencia a la solicitud de las grabaciones de las restricciones de llamadas internacionales, mantenidas con un operador del Servicio de Atención al Cliente de [la parte reclamada], informarle que las llamadas realizadas al Servicio de Atención al Cliente de [la parte reclamada] no se graban en su totalidad, sino que se hace de manera aleatoria, aspecto del que da constancia la propia locución inicial al contactar con el Servicio de Atención al Cliente al indicar que "las llamadas podrán ser grabadas" para mejorar la prestación del servicio. No obstante, adjuntamos grabaciones de las fechas 25 de marzo, 11 de junio del 2021 para su comprobación que corresponden con las contrataciones realizadas con el servicio de Atención al cliente.» PUNTO
- Se ha requerido, no obstante, a efectos de comprobaciones, la relación y detalle de todos los contactos mantenidos en fechas 25 de marzo, 11 de junio y 29 de junio de 2021 incluyendo las anotaciones realizadas por los gestores de atención telefónica/chat/email/etc. y reflejo de las acciones emprendidas en cada contacto. - Se verifica en la documentación aportada que el 25 de marzo de 2021 solo constan contactos telefónicos de consulta de facturas. - Se verifica que el 11 de junio de 2021 consta un contacto entrante a las 15:22 reclamando que se le reconozcan los días que no pudo usar el servicio tanto en casa como con la línea móvil. Posteriormente en el mismo día consta una “compra” figurando “canje terminal” con “firma enviada”. - Se verifica que el 29 de junio de 2021 consta un contacto entrante a las 14:04 sobre “factura” y sobre unas llamadas que ella no realizó. Posteriormente en el mismo día a las 18:38 consta el comentario “contacto con cliente me informa que está a la esC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 pera de una reclamación donde informa que ha estado haciendo llamadas internacionales a su línea y ella no las hace puesto que llamo para restringir las llamadas y evitar esos consumos tiene”. PUNTO
- Se ha requerido la impresión con los detalles del caso que se referencia en un escrito que la parte reclamante remitió a la parte reclamada, que se citaba “Igualmente, se confirma por el departamento de fraude con el Id […] del 2 de julio del 2021 ha procedido a llevar a cabo las acciones necesarias, con la única finalidad de prestarle un servicio adecuado y seguro, garantizando sus derechos como cliente, y evitar el fraude o uso ilícito del servicio prestado por Vodafone”. Aportan impresión de la incidencia del 2 de julio de 2021 donde se refleja en los comentarios registrados que en la llamada se reclama que alguien ha llamado para desactivar los datos, desactivar la recepción de llamadas internaciones, y otras gestiones más. Se reclama la grabación para validar la persona que solicita estas modificaciones, que se haga un estudio de las llamadas realizadas en su nombre, se deje un aviso en la ficha del cliente verificando que llaman regularmente desde otro número solicitando modificaciones de su línea móvil, y que se impidan las modificaciones si no se trata de su número contratado. Se indica “Por favor ver acciones procedentes, ahora mismo esta sin datos, no cuenta de restriccioes referente a datos”. Consta del Grupo de Trabajo: Fraude Basico II el siguiente comentario: “Desde el dep de fraude se han tomado todas las acciones necesarias para la seguridad de la cuenta. Para aplicar restricciones el cliente se debe dirigir al dep at cliente. Gracias.” De forma aclaratoria, sobre el hecho de que la reclamante no contaba con datos en el extranjero, la parte reclamada ha informado que consideraron que no se prestó el servicio de línea móvil correctamente por no contar con datos en el extranjero, por lo que se han abonado a la reclamante las siguientes cantidades: 255,94€, 28€ y 13,48€. Aportan las contestaciones emitidas a la reclamante en las que se verifica se citan las devoluciones. PUNTO
- Se ha solicitado información sobre el supuesto cambio o intento de cambio de titularidad de la línea con posterioridad a la baja de la misma, ante lo que la parte reclamada ha indicado que la reclamante procedió a dar de baja la línea de forma definitiva con fecha 7 de febrero de 2022 y que no constan interacciones posteriores a dicha baja definitiva. Indican que el sistema no permite seguir realizando anotaciones en la ficha de la cliente una vez causada la baja. Aportan impresión de pantalla manifestando ser lo último que figura en su sistema, no encontrándose ninguna información sobre cambios de titularidad. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "
- Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a) la seudonimización y el cifrado de datos personales; b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
- Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
- La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.
- El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." La letra f) del artículo 5.1 del RGPD propugna: "
- Los datos personales serán: (…) f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En el presente caso, la reclamante supone, en varias ocasiones, que se ha duplicado su tarjeta SIM, a raíz de determinados estados de su línea que no son los que ocurren cuando un supuesto suplantador ha realizado un duplicado de tarjeta SIM. Sobre el caso de intento de emisión de duplicado de tarjeta SIM, cuya fecha no se menciona en la reclamación, se pone de manifiesto que la parte reclamada pidió confirmación a la parte reclamante, por lo que no llegó a realizarse. Las únicas restricciones de llamadas internacionales que se han acreditado se generaron desde la aplicación con la que se accede al área privada del cliente, utilizándose por tanto el código de usuario y su contraseña asociada, por lo que, de haber sido realizadas por una tercera persona, ésta era conocedora de dichas credenciales. No se han acreditado otras restricciones solicitadas mediante llamadas telefónicas al servicio de atención al cliente, ni otro tipo de gestiones realizadas por esa vía, ni se han aportado pruebas de la existencia de tales gestiones. En concreto, no pudo producirse el cambio de titularidad de la línea que se ha reclamado, al encontrarse la línea dada de baja previamente. La reclamante reconoce que una tercera persona tuvo acceso físicamente a su terminal móvil por lo que es posible que esa tercera persona, en poder de su teléfono móvil o en poder de las credenciales de acceso al área privada de cliente, realizara cualquier tipo de acción sobre su teléfono o su línea móvil. Por todo ello, no se advierte que se hayan vulnerado os principios relativos al tratamiento de los datos ni las medidas de seguridad por la parte reclamada. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U., y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es