AI-00229-2023

1/7  Expediente N.º: EXP202305373 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 8 de marzo de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00014333841 ante la Agencia Española de Protección de Datos contra TELEFÓNICA MÓVILES ESPAÑA, S.A. con NIF A78923125 (en adelante, la parte reclamada o TME). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que se ha realizado un duplicado de la tarjeta SIM asociada a su número móvil sin su consentimiento. Señala que con la misma se hicieron con el control de su número, y con un I-Phone accedieron a su banca electrónica, vaciaron la cuenta realizando transferencias bancarias al extranjero y pidieron un préstamo a su nombre. Tras denunciar la situación, el operador de telecomunicaciones reclamado le indicó que todo estaba solucionado pero con posterioridad volvió a emitirse un nuevo duplicado de la SIM en la misma tienda física de la localidad de Salamanca. Documentación relevante aportada por la parte reclamante: - Denuncia ante la Guardia Civil-Illescas de fecha 24 de noviembre de 2022. Denuncia ante la Policía Nacional-Toledo de fecha 6 de diciembre de 2022. Detalle de las transferencias realizadas el 23 y el 24/11/2022 y el 5/12/2022. Reclamación efectuada ante el operador de fecha 9/12/2022. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 3 de mayo de 2023 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 En fecha 8 de mayo de 2023, TME solicitó ampliación del plazo inicialmente concedido para dar respuesta al requerimiento de información, siéndole concedido un plazo adicional de 10 días hábiles. Con fecha 16 de junio de 2023 se recibe en esta Agencia escrito de respuesta indicando: “que no consta en sus bases de datos que el reclamante sea titular de la línea en cuestión, ni tan siquiera consta como persona autorizada por la empresa ***EMPRESA.1., persona jurídica titular de la línea. Entienden que existe una falta de legitimación activa para interponer la presente reclamación, en tanto en cuanto la persona en cuestión no es el titular de la línea objeto de la reclamación”. La parte reclamada ha comprobado que se han realizado dos solicitudes de cambio de la tarjeta SIM no reconocidas, el primero en fecha 23/11/2022 y el segundo el 5/12/2022, ambos a través de los sistemas de gestión de la tienda física Microshop María Auxiliadora, sita en la ciudad de Salamanca, sin que Telefónica disponga de evidencias de que se haya seguido la operativa establecida a tales efectos, en concreto, no consta acreditado en sus sistemas que se haya seguido el protocolo de identificación de cliente, constando únicamente el registro de la solicitud a nombre de la empresa. TERCERO: Con fecha 8 de junio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Tras requerir aclaración a la parte reclamante, se obtiene evidencia de que el nº de teléfono objeto del duplicado SIM es el nº ***TELÉFONO.1, cuyo titular es la entidad ***EMPRESA.1. (en adelante DE) y su beneficiario es la parte reclamante, con grado de parentesco de primer grado con la administradora única de la citada entidad. Esta entidad firma con la parte reclamada un contrato de fecha 11/06/2021 para la prestación de los servicios Fusión Empresas, en la cual está incluida la citada línea móvil, que fue dada de baja con fecha 07/12/2022. Esta entidad aporta listado de los únicos interlocutores/autorizados a realizar gestiones con la parte reclamada, entre los que no se encuentra la parte reclamante. Presenta la siguiente documentación:  Escrituras de ***EMPRESA.1 y DNI de su administradora única.  Contrato Fusión Empresa de 11/6/21.  Libro de Familia de la administradora única.  Cronología de los hechos con la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 o o o o o o Pantallazo de la 1ª tarjeta SIM del reclamante: el servicio comienza a facturarse el 20/7/22 Se solicita el primer cambio de tarjeta SIM por Fraude el 24/11/22, el reclamante solicita la suspensión de la línea, y respuesta de la parte reclamada confirmado la suspensión de la línea. Primera denuncia por fraude el 24/11/22. Segunda denuncia por fraude el 6/12/22. 7/12/22 baja de línea sin permanencia por la parte reclamada. 9/12/22 respuesta de la parte reclamada a esta entidad tras dos denuncias Mediante una diligencia se identifica al operador actual ***EMPRESA.2, de la línea móvil afectada y se obtiene de él evidencia de que estuvo a nombre de un cliente desde el 5/7/2019 hasta el 28/7/2021, momento en el que se portó a la operadora Movistar. La línea aparece devuelta a ***EMPRESA.2 en fecha 19/7/2023, pero desde dicha fecha no se ha asignado a ningún cliente. La inspectora actuante ha realizado una búsqueda en la web de Movistar para solicitar un duplicado SIM y ha obtenido el enlace con información de 19/1/2021 donde se informan de los requisitos para solicitarlo “Clientes persona jurídica” junto con un modelo de autorización: “En el caso de clientes persona jurídica, ninguna de las autorizaciones anteriores es válida para realizar operaciones en tienda. En lugar de eso, siempre deberá acudir a tienda una persona física que esté legalmente habilitada para actuar en nombre de la persona jurídica (representante o interlocutor válido). La forma de garantizarlo será aportando documentación adicional que lo acredite: - Poder Notarial. Escritura o Inscripción en Registro Mercantil. Modelo de autorización.docx” “Para este caso concreto en el que se han producido dos cambios de tarjeta SIM, se ha procedido a marcar las líneas del reclamante desde el equipo de Prevención del Fraude, para evitar que cualquier área o cliente final pueda levantar el bloqueo sin su autorización, lo cual sólo podrá llevarse a cabo mediante la acreditación fehaciente de envío de determinada documentación a un buzón gestionado directamente por esta unidad. Esta información ha sido trasladada a la Pyme. Adicionalmente, se ha contactado con la tienda física en cuestión para recordarle tanto el protocolo de actuación a seguir en estos casos como las medidas de seguridad que debe implantar en tienda. En concreto, se realizaron una serie de entrevistas telefónicas con la tienda física en cuestión para poder esclarecer los hechos. Si bien en un primer momento se nos trasladó de que no eran conscientes del hecho acontecido, la propia tienda, al pasar un antivirus al ordenador, detecta que contiene un malware y pone este hecho en conocimiento de Telefónica, mediante la aportación de las capturas de pantalla. Aporta pantallazo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Inmediatamente, esta parte traslada al distribuidor la necesidad de eliminar dicho malware, así como la del reseteo de las credenciales de acceso a la aplicación de Telefónica. Así mismo, se recordó a la tienda que, conforme al Contrato de Distribución suscrito con Telefónica, ésta debe contar con las medidas técnicas y de seguridad estipuladas en el mismo. En caso contrario, se les informó de que Telefónica podría adoptar ciertas medidas sancionables por el incumplimiento contractual, entre las que se podrían encontrar la aplicación de penalizaciones o la posibilidad de resolución del contrato de distribución. En este sentido y tal y como se ha indicado anteriormente, fruto de las investigaciones internas realizadas, se ha podido averiguar que una razón por las que se podrían haber producido los dos cambios de ICC desde la citada tienda física es debido a que el ordenador del empleado de la tienda física Maria Auxiliadora Shop contenía un malware a través de las que es posible que se hayan podido obtener las claves del comercial de la aplicación de Telefónica utilizada en este caso, que es para la gestión de clientes empresa (personas jurídicas), lo que habría podido permitir la realización de los dos cambios de ICC de la línea titularidad de ***EMPRESA.1. de forma remota e ilícita. Sobre este punto, se informa a la AEPD que esta parte, como perjudicada por estos hechos, ha interpuesto la correspondiente denuncia ante los cuerpos y fuerzas de seguridad del estado para esclarecer los hechos denunciados, los cuales se encuentran actualmente en fase de investigación judicial penal en el que se ha decretado el secreto de sus actuaciones. “Respecto a la Información intercambiada con la persona jurídica titular de la línea afectada, constan dos contactos telefónicos con la empresa en cuestión de los cuales no consta grabación. El primero de ellos, de fecha 24 de noviembre de 2022, en el que el cliente indica que no tiene línea, y se procede a informarle de que consta en nuestros sistemas una solicitud de cambio de ICC del día anterior que el cliente indica no reconocer. Por ello, se procede de inmediato al bloqueo de la misma para evitar perjuicios al cliente y, previa identificación fehaciente de éste se procede a su recuperación. Posteriormente, el día 5 de diciembre, el cliente pone nuevamente en conocimiento de Telefónica que se ha vuelto a quedar sin línea, confirmándole que existe otra solicitud de cambio de ICC de la misma fecha. El cliente indica no reconocerlo, pero en esta ocasión decide no recuperar su línea, procediéndose por tanto a su baja por petición del cliente”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Licitud del tratamiento El artículo 6 del RGPD detalla en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” III Manifestaciones de la parte reclamada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 En el presente caso, la parte reclamante presenta reclamación contra la parte reclamada, por una presunta vulneración del artículo 6 del RGPD en relación con la licitud del tratamiento de sus datos personales porque se han utilizado sus datos personales sin su consentimiento, para la obtención de dos duplicados de su tarjeta SIM. Pues bien, en respuesta a las actuaciones de traslado y de información realizadas, se ha recibido en esta Agencia escrito de la parte reclamada con fecha 16 de junio de 2023 en el que, por lo que aquí interesa, TME, señala: “que no consta en sus bases de datos que el reclamante sea titular de la línea en cuestión, ni tan siquiera consta como persona autorizada por la empresa ***EMPRESA.1., persona jurídica titular de la línea”. IV Conclusión En el presente caso, una vez analizadas las razones expuestas por la parte reclamada, que obran en el expediente, se ha constatado que el reclamante no es titular de la línea telefónica, la titularidad corresponde a una persona jurídica. El artículo 1.1 del RGPD señala: “1. El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos”. Y, el considerando 14 del RGPD señala: “La protección otorgada por el presente Reglamento debe aplicarse a las personas físicas, independientemente de su nacionalidad o de su lugar de residencia, en relación con el tratamiento de sus datos personales. El presente Reglamento no regula el tratamiento de datos personales relativos a personas jurídicas y en particular a empresas constituidas como personas jurídicas, incluido el nombre y la forma de la persona jurídica y sus datos de contacto”. La sentencia de 19 de marzo de 2014 (SP-SET/759065) de la Sala de lo ContenciosoAdministrativo de la Audiencia Nacional indica que “nos encontramos ante un derecho fundamental, la protección de datos de carácter personal, que difiere de los garantizados en el art. 18.1 de la Constitución , y del que solo son titulares las personas físicas, es decir, a los seres humanos, tal y como se reconoce tanto en la LOPD como en la citada Directiva 95/46, así como en Convenios Internacionales suscritos por España”. En este sentido se ha pronunciado la sentencia de 4 de mayo de 2023 de la Sala de lo Contencioso-Administrativo Sección 3.ª del Tribunal Supremo, sentencia 547/2023, la cual ha precisado: “La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y el Reglamento reseñado tienen por objeto la protección de datos relativos a las personas físicas, como se desprende de su articulado que expresamente se refiere a las personas físicas, de modo que no cabe incluir en su ámbito de aplicación a las personas jurídicas, que se encuentran excluidas de su ámbito de aplicación”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 En este caso, de las actuaciones realizadas y de la documentación obrante en el expediente, no se infiere la existencia de una actuación infractora de la parte reclamada en el ámbito competencial de la AEPD, por lo que procede el archivo de la reclamación. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. En consecuencia, procede el archivo de las presentes actuaciones previas de investigación al no advertir incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible en el catálogo de infracciones previstas y sancionadas en dicha normativa. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA MÓVILES ESPAÑA, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es