1/8 Expediente N.º: EXP202207118 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 10 de febrero de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ENABLER ESPAÑA S.L. con NIF B82896119 (en adelante, Vodafone Enabler o “LOWI”). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, en fecha 7 de enero de 2022, se produjo un bloqueo de su línea de telefonía móvil. Tras lo sucedido, contacta con su operador de telefonía (“LOWI”) y le indican que ha solicitado un duplicado de su tarjeta SIM. Así las cosas, el reclamante niega dicho extremo, y procedió a solicitar una nueva tarjeta SIM y presentó denuncia ante la Dirección General de la Policía. Posteriormente, el 11 de enero de 2022 (una vez instalada en su terminal la nueva tarjeta SIM) comprueba que, durante los días 7, 8 y 9 de enero de 2022, se han realizado diversas operaciones no consentidas en su cuenta bancaria, con el consiguiente perjuicio económico para el reclamante. Y, aporta, entre otra, la siguiente documentación: Denuncia presentada ante la Dirección General de la Policía (Atestado: XXX/XX, Dependencia: Santander), en fecha 12 de enero de 2022, en la que consta, entre otros extremos, número de teléfono del afectado, fecha e importe de las cantidades sustraídas, número de la tarjeta bancaria, así como número de identificación de la llamada que realizó un tercero, mediante la cual solicitó el duplicado fraudulento (dicho número de referencia fue facilitado por “LOWI” al reclamante cuando presentó la reclamación por lo sucedido). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 29 de marzo de 2022 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Con fecha 29 de abril se recibe en esta Agencia escrito de respuesta manifestando que: <<Una vez recibida la reclamación y la denuncia presentada a la policía Nacional del reclamante, mi mandante volvió a analizar el incidente a través del Departamento de Fraude de LOWI y confirmó que, el día 7 de enero de 2022, se había producido un cambio de SIM como consecuencia de una solicitud realizada por un supuesto tercero haciéndose pasar por el reclamante en una tienda física de LOWI, logrando superar la política de seguridad. En vista de lo anterior, el Departamento de Fraude declaró lo sucedido como una actuación fraudulenta y confirmó que el reclamante disponía del control de la línea móvil afectada. Se han realizado las investigaciones oportunas sobre lo ocurrido, confirmándose por parte de LOWI que lo sucedido ha sido calificado como una actuación fraudulenta y que el reclamante recuperó el control sobre su línea el mismo 8 de enero de 2022. Asimismo, tras la recepción del presente requerimiento, se ha procedido a enviar una carta al reclamante a fin de informarle sobre las gestiones que fueron llevadas a cabo por LOWI para solucionar la incidencia, la cual se encontraba resuelta con anterioridad a la recepción del presente requerimiento de información. En este sentido, se adjunta como Documento número 1, copia de dicha carta remitida al reclamante, mediante la cual se le informa, en particular, de las políticas de seguridad de las que dispone LOWI para prevenir la realización de duplicados de tarjeta SIM y de que lo sucedido ha sido calificado como fraudulento por el Departamento de Fraude de LOWI trasladándole las disculpas por lo sucedido y confirmándole la portabilidad saliente solicitada el 14 de enero de 2022. La incidencia se origina porque el día 7 de enero de 2022 se realizó un duplicado de tarjeta SIM sobre la línea ***NIF.1 del reclamante, sin su consentimiento, lo cual resultó en la pérdida de control de su línea. No obstante lo anterior, el mismo día 8 de enero de 2022 se devolvió al reclamante el control sobre su línea bloqueando la tarjeta SIM activada fraudulentamente y el Departamento de Fraude de LOWI calificó lo sucedido como una actuación fraudulenta. Por lo tanto, la incidencia reclamada quedó solventada con anterioridad a la recepción del presente requerimiento. Finalmente, mi representada dio trámite a la solicitud de portabilidad saliente del reclamante el 14 de enero de 2022; no ostentando actualmente el reclamante servicios activos en LOWI. A fin de evitar que se produzcan incidencias similares, LOWI trabaja de forma continua en mejorar las Políticas de Seguridad para sus procesos de cambio y duplicados de SIM, así como para cualquier otro proceso que conlleve posibles riesgos de fraudes o actuaciones irregulares para nuestros clientes. En este sentido, LOWI actúa bajo la Política de Seguridad para la Contratación de Particulares, la cual se ha ido actualizando progresivamente. Mediante dicha Política de Seguridad, mi representada establece qué tipo de información debe requerir al cliente para cada gestión solicitada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Asimismo, queda incluido cómo proceder en caso de que un usuario no pase la Política de Seguridad, así como las actuaciones preventivas en situaciones de fraude. La mencionada Política de Seguridad es de obligado cumplimiento para todos los empleados de LOWI, quienes se encargan de aplicarla y respetarla. Se adjunta como Documento número 2 copia de la Política de seguridad para particulares de LOWI. En lo que respecta a los duplicados de tarjeta SIM, cabe indicar que el objetivo de LOWI es que todas los duplicados o cambios de tarjeta se hagan de forma presencial, ya que es la forma más segura de garantizar que no se producen procesos irregulares o fraudulentos. La tramitación de un duplicado SIM de forma presencial, según la Política de Seguridad establecida para ello, prevé que, para la realización de un cambio SIM en tienda, debe acudir el titular de la cuenta cliente con su documento de identidad original para poder realizar el cambio de SIM. LOWI ha establecido como medida de seguridad adicional la obligatoriedad de realizar y guardar una fotocopia del documento de identidad presentado por el cliente, como prueba de la operación de duplicación de SIM solicitada y realizada. En lo que respecta a la tramitación del duplicado SIM fraudulento, esta parte puede afirmar que la persona que solicitó el duplicado SIM en el establecimiento físico de LOWI supero la política de privacidad marcada por la Política de Seguridad mencionada anteriormente. Esto es, (
- i)se verificó que la persona solicitante era el titular de la línea afectada y (
- ii)se le solicitó su DNI, conservando en la tienda, a efectos de prueba, una copia del mismo. Se adjunta, como Documento número 3, la copia del DNI solicitada por la tienda LOWI a la persona que solicitó el duplicado SIM. Consecuentemente, si la tramitación de un cambio de SIM y/o un cambio de titularidad superan las Políticas de Seguridad de LOWI citadas anteriormente, se procederá a la realización de tales gestiones conforme a lo indicado en dichas Políticas, al considerar mi representada el cambio como auténtico, real y veraz. Por otro lado, en lo que se refiere a la realización de transacciones bancarias de carácter fraudulento como las que pone de manifiesto el reclamante en su reclamación, resulta oportuno expresar que el cambio de una tarjeta SIM implica únicamente el acceso a la línea de teléfono asociada a ésta, y no a los datos bancarios del titular. Por tanto, no parece posible que exista una correlación entre los hechos ocurridos en relación con mi representada y lo ocurrido con la entidad bancaria de la que es cliente el reclamante. En este sentido, los movimientos bancarios que alega en su reclamación no tienen su origen, ni han sido ocasionados en concepto de facturas por servicios de LOWI que tuviese contratados, sino que se deben a accesos efectuados a través de la cuenta de su entidad bancaria. Por ello, LOWI no puede ser responsable de los accesos y movimientos bancarios que pudiesen haberse realizado de forma fraudulenta. Con todo ello, podemos confirmar que actualmente mi representada ha realizado todas las actuaciones pertinentes para dar solución a la reclamación, estimando que ha quedado correctamente solventada con anterioridad a la recepción del presente escrito. Se adjunta, como Documento número 4, informe de las gestiones llevadas a cabo por LOWI para solucionar la presente incidencia>>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 TERCERO: Con fecha 4 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Licitud del tratamiento El artículo 6 del RGPD detalla en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” III Reclamación En el presente caso, la parte reclamante presenta reclamación contra Vodafone Enabler, por una presunta vulneración del artículo 6 del RGPD en relación con la licitud del tratamiento de sus datos personales porque se han utilizado sus datos personales sin su consentimiento, para la obtención de un duplicado de su tarjeta SIM. IV Conclusión Según manifiesta Vodafone Enabler a la solicitud de información de esta Agencia: <<La incidencia se origina porque el día 7 de enero de 2022 se realizó un duplicado de tarjeta SIM sobre la línea ***NIF.1 del reclamante, sin su consentimiento, lo cual resultó en la pérdida de control de su línea. No obstante lo anterior, el mismo día 8 de enero de 2022 se devolvió al reclamante el control sobre su línea bloqueando la tarjeta SIM activada fraudulentamente y el Departamento de Fraude de LOWI calificó lo sucedido como una actuación fraudulenta. Por lo tanto, la incidencia reclamada quedó solventada con anterioridad a la recepción del presente requerimiento. Finalmente, mi representada dio trámite a la solicitud de portabilidad saliente del reclamante el 14 de enero de 2022; no ostentando actualmente el reclamante servicios activos en LOWI. A fin de evitar que se produzcan incidencias similares, LOWI trabaja de forma continua en mejorar las Políticas de Seguridad para sus procesos de cambio y duplicados de SIM, así como para cualquier otro proceso que conlleve posibles riesgos de fraudes o actuaciones irregulares para nuestros clientes. En este sentido, LOWI actúa bajo la Política de Seguridad para la Contratación de Particulares, la cual se ha ido actualizando progresivamente. Mediante dicha Política de Seguridad, mi representada establece qué tipo de información debe requerir al cliente para cada gestión solicitada. Asimismo, queda incluido cómo proceder en caso de que un usuario no pase la Política de Seguridad, así como las actuaciones preventivas en situaciones de fraude. La mencionada Política de Seguridad es de obligado cumplimiento para todos los empleados de LOWI, quienes se encargan de aplicarla y respetarla. Se adjunta como Documento número 2 copia de la Política de seguridad para particulares de LOWI. En lo que respecta a los duplicados de tarjeta SIM, cabe indicar que el objetivo de LOWI es que todas los duplicados o cambios de tarjeta se hagan de forma presencial, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 ya que es la forma más segura de garantizar que no se producen procesos irregulares o fraudulentos. La tramitación de un duplicado SIM de forma presencial, según la Política de Seguridad establecida para ello, prevé que, para la realización de un cambio SIM en tienda, debe acudir el titular de la cuenta cliente con su documento de identidad original para poder realizar el cambio de SIM. LOWI ha establecido como medida de seguridad adicional la obligatoriedad de realizar y guardar una fotocopia del documento de identidad presentado por el cliente, como prueba de la operación de duplicación de SIM solicitada y realizada. En lo que respecta a la tramitación del duplicado SIM fraudulento, esta parte puede afirmar que la persona que solicitó el duplicado SIM en el establecimiento físico de LOWI supero la política de privacidad marcada por la Política de Seguridad mencionada anteriormente. Esto es, (
- i)se verificó que la persona solicitante era el titular de la línea afectada y (
- ii)se le solicitó su DNI, conservando en la tienda, a efectos de prueba, una copia del mismo. Se adjunta, como Documento número 3, la copia del DNI solicitada por la tienda LOWI a la persona que solicitó el duplicado SIM. Consecuentemente, si la tramitación de un cambio de SIM y/o un cambio de titularidad superan las Políticas de Seguridad de LOWI citadas anteriormente, se procederá a la realización de tales gestiones conforme a lo indicado en dichas Políticas, al considerar mi representada el cambio como auténtico, real y veraz. Por otro lado, en lo que se refiere a la realización de transacciones bancarias de carácter fraudulento como las que pone de manifiesto el reclamante en su reclamación, resulta oportuno expresar que el cambio de una tarjeta SIM implica únicamente el acceso a la línea de teléfono asociada a ésta, y no a los datos bancarios del titular. Por tanto, no parece posible que exista una correlación entre los hechos ocurridos en relación con mi representada y lo ocurrido con la entidad bancaria de la que es cliente el reclamante. En este sentido, los movimientos bancarios que alega en su reclamación no tienen su origen, ni han sido ocasionados en concepto de facturas por servicios de LOWI que tuviese contratados, sino que se deben a accesos efectuados a través de la cuenta de su entidad bancaria. Por ello, LOWI no puede ser responsable de los accesos y movimientos bancarios que pudiesen haberse realizado de forma fraudulenta. Con todo ello, podemos confirmar que actualmente mi representada ha realizado todas las actuaciones pertinentes para dar solución a la reclamación, estimando que ha quedado correctamente solventada con anterioridad a la recepción del presente escrito. Se adjunta, como Documento número 4, informe de las gestiones llevadas a cabo por LOWI para solucionar la presente incidencia>>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Teniendo lo anterior en cuenta, Vodafone Enabler actuó poniendo las medidas adecuadas, pero el resultado no fue el esperado. Pues bien, verificaron que la persona solicitante era el titular de la línea afectada y solicitaron su DNI, conservando en la tienda, a efectos de prueba, una copia del mismo. Todas estas actuaciones indican el cumplimiento de una diligencia razonable por parte de Vodafone Enabler. Por tanto el tratamiento realizado por Vodafone Enabler se ajusta a lo establecido en el artículo 6 del RGPD que quien realizaba la tramitación del duplicado SIM no fuera quien decía ser y, sin perjuicio que dicha relación pueda ser cuestionada ante el orden jurisdiccional correspondiente habida cuenta que el reclamante manifiesta y así lo denunció ante la Policía que alguien suplantó su identidad utilizando sus datos personales para contratar con las citada operadora de telecomunicación utilizando copias de documentos identificativos de su personalidad tales como su DNI. De la documentación obrante en el expediente se desprende ausencia del elemento subjetivo de culpabilidad necesario en la actuación de la parte reclamada para ejercer la potestad sancionadora. A este respecto, la Sentencia de la Audiencia Nacional de 22 de marzo de 2012 se pronuncia sobre un supuesto similar, en los siguientes términos “(...)Por todo lo cual y a la vista de las especiales circunstancias concurrentes en el caso de autos, no cabe apreciar culpabilidad alguna (ni siquiera a título de culpa o falta de diligencia) en la actuación de la entidad recurrente, que actuó en la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal con una documentación en apariencia auténtica y a ella correspondiente, por lo que estaba legitimada para el tratamiento de sus datos de carácter personal. En consecuencia, al faltar uno de los requisitos exigidos para la imposición de sanción por vulneración del principio del consentimiento consagrado en el artículo 6.1 de la LOPD, procede dejar sin efecto la sanción impuesta por la comisión de dicha infracción” En consecuencia, procede el archivo de las presentes actuaciones previas de investigación al no advertir incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible en el catálogo de infracciones previstas y sancionadas en dicha normativa. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a VODAFONE ENABLER ESPAÑA S.L. con NIF B82896119. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es