← España

AI-00279-2023

1/8  Expediente N.º: EXP202307805 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24 de abril de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00025972617 ante la Agencia Española de Protección de Datos contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, VODAFONE). Los motivos en que basa la reclamación son los siguientes: La reclamante considera que la operadora VODAFONE, de la que es cliente, ha vulnerado la protección de sus datos personales, dado que dos personas han intentado hacerse con su terminal móvil de forma fraudulenta, utilizando para ello información relativa a la gestión de la devolución de dicho producto. En concreto, la reclamante adquiere un terminal móvil el 13/04/2023 y decide devolverlo el 19/04/

  1. VODAFONE le ofrece para ello dos opciones: la entrega en una oficina de Correos o la recogida por mensajero en su domicilio. La reclamante opta por la primera opción, recibe un código para la entrega y acude a Correos el mismo día 19/04/2023, donde le indican que no les consta el código y no puede realizarla. La reclamante contacta entonces con el servicio de atención al cliente de VODAFONE, donde le indican que debe esperar 24 horas para que el código esté operativo. Tras dicha gestión, el mismo día 19/04/2023 recibe la llamada de una persona que se identifica como operador de VODAFONE, conoce sus datos personales y los relativos a la devolución del producto, le ofrece la recogida en su domicilio y acuerda la entrega para esa misma tarde. Tras esa llamada la reclamante vuelve a contactar con el servicio de atención al cliente de VODAFONE, que le informa de que la persona con la que ha hablado no pertenece a la empresa ni se ha tramitado la devolución en su domicilio. Ante los indicios de que se trata de un fraude, la reclamante denuncia los hechos a la policía, que detiene a las dos personas que se presentan en su domicilio para recoger el terminal móvil haciéndole entrega de un albarán de Correo Express con el mismo código identificativo que le había facilitado VODAFONE. Al día siguiente, 20/04/2023, recibe una llamada de un teléfono con numeración similar que no contesta por temor a que se trate de los mismos individuos. A la reclamación se acompañan capturas de pantalla de los mensajes SMS y por WhatsApp intercambiados con VODAFONE, de la llamada recibida y copia de la denuncia presentada a la policía, de fecha 20/04/
  2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a VODAFONE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), se realizó a través del servicio de Dirección Electrónica Habilitada Única (DEHÚ), que certifica que la notificación fue aceptada el 14/06/
  3. Con fecha 20/07/2023 se recibe en esta Agencia escrito de respuesta, firmado por la DPD de VODAFONE. En su respuesta, VODAFONE afirma que los hechos denunciados han sido realizados por personas ajenas a la actividad de VODAFONE y que la empresa también se considera víctima de un intento de fraude, por lo que ha presentado la correspondiente denuncia ante la policía el 12/05/
  4. Aporta información relativa a sus protocolos de actuación para la gestión de devoluciones de terminales móviles. Al respecto, afirma que el personal que atiende las solicitudes son agentes de los denominados call center y, para su gestión, VODAFONE ha dispuesto un procedimiento de actuación que se encontraría disponible de forma interna a través de la Plataforma “Red Planet”, en la que se alojan todos los procedimientos de aplicación para los agentes, siendo este uno de ellos. Aporta copia de un extracto del procedimiento que trata la “devolución de canal no presencial”. Entre las diferentes opciones consta la devolución en Correos, indicando “el cliente debe acudir a la oficina 24h después de recibir el SMS con el código de entrega”. Asimismo, VODAFONE manifiesta que ha realizado formación específica para personal de los citados call center que tramitan telefónicamente las solicitudes y que les envió un comunicado con el objetivo de que “informen a los clientes de que, si escogen la devolución por Correos, en ningún caso se le llamará desde Vodafone para cambiar el método de envío por recogida en el domicilio del cliente”. Se aporta captura de pantalla del comunicado, si bien no figura fecha ni destinatarios del envío, así como una convocatoria de una reunión relativa a “Logística y devoluciones” para el día 13/12/
  5. En cuanto a las causas que podrían haber generado el incidente, aporta capturas de pantalla sobre las actuaciones realizadas en relación con la devolución del terminal móvil en la aplicación informática que se utiliza para su gestión. Asimismo, afirma que no le consta una llamada recibida por la reclamante desde el número y franja horaria que ésta indica, sino desde otro, por lo que sospecha que pueda deberse a una suplantación de identidad telefónica (spoofing). Por último, adjunta copia del escrito dirigido a la reclamante informándole del análisis realizado por la empresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 TERCERO: Con fecha 24 de julio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos (en adelante, SGID) procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En dichas actuaciones se ha tenido conocimiento de los siguientes extremos: VODAFONE afirma que los call center que gestionan las devoluciones actuarían en calidad de encargados del tratamiento y aporta copia del contrato suscrito entre VODAFONE PROCUREMENT COMPANY S.À R.L., con sede en Luxemburgo, y la entidad ZEDCHAIN INTERNATIONAL LOGISTICS S.L., cuya sede se encuentra en España, en calidad de “supplier” (proveedor), en el que consta un anexo dedicado a protección de datos. Manifiesta que, hasta el momento en que la reclamante contacta con el servicio de atención telefónica para informar de que no había podido utilizar el código en la oficina de Correos, el proceso había sido acorde a sus protocolos y realizado con normalidad. En relación con ese proceso indica: “A estos efectos, se han auditado los accesos a la ficha de la reclamante que se realizaron de forma previa y durante el transcurso del fraude y se ha podido comprobar que todos los accesos registrados son legítimos y realizados por empleados o colaboradores con los correspondientes permisos y relacionados con interacciones previas que justifican dichos accesos.”. Aporta extracto de los accesos por parte de los diferentes agentes al perfil de la parte reclamante, junto con el registro de cada interacción realizada. En la documentación aportada relativa a las interacciones mantenidas figura el detalle de la misma y copia de la conversación. En relación con la llamada recibida por la reclamante con posterioridad, VODAFONE confirma que se han producido casos similares: “tras analizar los sistemas internos de Vodafone, mi representada ha podido establecer una vinculación entre el caso de la reclamante, la numeración ***TELEFONO.1 y otros sesenta y dos

(62)casos similares”. No obstante, VODAFONE manifiesta ser ajena al incidente y no haber tenido constancia del mismo hasta que la parte reclamante lo puso de manifiesto: “Ni la llamada ni el cambio de método de devolución fueron realizados por un representante habilitado de Vodafone, sino por terceros ajenos a Vodafone que buscaban lucrarse a través de la adquisición ilícita del terminal que A.A.A. quería devolver. Esta tentativa fue descubierta en el momento en el que la reclamante llamó al servicio de Atención al Cliente de mi representada y se le C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 informó de que la operativa que estaba describiendo no había sido realizada por Vodafone.”. VODAFONE manifiesta que cuenta tanto con medidas de seguridad generales (“medidas implementadas por Vodafone para reforzar la seguridad de los datos de sus clientes en general, no siendo desarrolladas específicamente para paliar el fraude en las devoluciones de terminales”) como con medidas específicas para esta casuística. Entre las medidas de seguridad generales informa de las siguientes: - (…) En cuanto a las medidas específicas, la parte reclamada indica las siguientes: - (…) Asimismo, manifiesta que pueden existir filtraciones sobre las que considera que no puede tener control: “no se puede esperar de mi representada que mantenga un control y medidas de seguridad que eliminen la posibilidad de que agentes corruptos puedan memorizar ciertos datos de los clientes y colaborar con bandas criminales organizadas que lleven a cabo el fraude descrito. Esta práctica criminal quedaría fuera de la capacidad de control de mi representada y por ende del nivel de responsabilidad que se le puede exigir.”. En relación con el origen de la llamada recibida por la reclamante, en las actuaciones de investigación se ha tratado de esclarecer el origen y numeración real de la llamada fraudulenta, así como la titularidad de dicha línea. En relación con el número ***TELEFONO.1, desde el que aparentemente se contactó a la parte reclamante para el intento de estafa el día 19 de abril de 2023, se requirió información al operador Least Cost Routing Telecom, S.L., (en adelante, LCRT) al que se encuentra asociada dicha numeración según el registro ofrecido por la Comisión Nacional de los Mercados y la Competencia, que ha manifestado lo siguiente: “Revisado nuestro sistema de registro de llamadas (…) no aparecen llamadas realizadas desde la línea ***TELEFONO.1 el día 19 de abril de 2023” y que la línea se encuentra subasignada desde del 6 de febrero al revendedor STG GROUP, S.A.C., con domicilio legal en Perú. Se ha realizado la misma comprobación ante STG GROUP, S.A.C, a través de su representante en España, que ha manifestado igualmente que no constan llamadas realizadas desde esa línea: “Revisado el sistema registro de llamadas, para la facturación de las mismas, de STG GROUP, no hay llamadas de salida desde la línea ***TELEFONO.1 durante el día 19 de abril de 2023. También se ha trasladado la consulta al Operador y tampoco le aparecen llamadas desde la línea indicada en la fecha señalada; por tanto, no nos consta que se realizasen llamadas.” Asimismo, indican que la línea está contratada por una entidad cuyo domicilio legal también se encuentra en Perú: “La línea ***TELEFONO.1, en fecha 19 de abril de 2023, está contratada por el Abonado ORBE TELECOMUNICACIONES S.A.C” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 De las actuaciones de investigación se concluyó que, “Ante la ausencia de evidencias sobre la realización de la llamada desde la numeración ***TELEFONO.1, quedaría constatado que efectivamente la llamada fraudulenta a la parte reclamante se realizó desde una línea diferente, quedando enmascarada mediante la técnica de spoofing y visualizando así la numeración ***TELEFONO.1 en su terminal, tal como aporta en la documentación de la reclamación”. Se ha intentado averiguar la posible numeración real de la llamada, no siendo posible obtenerla a partir de estas terceras partes debido a este enmascaramiento. LCRT manifiesta al respecto: “Si no nos facilitan la línea de teléfono fijo denunciada (Desde la que el denunciante indica que recibió la llamada), no tenemos posibilidad de localizar en nuestro sistema de registro de llamadas (HEOS) si se ha realizado llamada al número ***TELEFONO.2 en la fecha 19 de abril de 2023.” Por último, se ha requerido en reiteradas ocasiones a la entidad VOXBONE, S.A. información sobre la titularidad de la línea ***TELEFONO.3 y las llamadas realizadas el día 19 de abril de 2023. No se ha podido contactar con éxito con dicha entidad mediante los requerimientos emitidos desde esta Agencia, por lo que no ha sido posible acreditar estos aspectos. Por último, en el Informe de actuaciones previas de investigación de la SGID se recogen las medidas correctivas adoptadas por VODAFONE para tratar de evitar este tipo de: - (…) Finalmente, el Informe de actuaciones de investigación concluye que “Con relación a la posible exfiltración de los datos de la parte reclamante, no ha sido posible determinar el origen; la parte reclamada elude cualquier responsabilidad ante este suceso y manifiesta que también sería víctima de este tipo de estafas. Se ha realizado una auditoría interna de los accesos sobre este caso, sin encontrar evidencias de accesos indebidos ni hechos irregulares que evidencien una filtración. En cualquier caso, los datos empleados por los terceros maliciosos obraban en poder de la parte reclamada y esta admite posibles riesgos que quedarían fuera de su control: “no se puede esperar de mi representada que mantenga un control y medidas de seguridad que eliminen la posibilidad de que agentes corruptos puedan memorizar ciertos datos de los clientes y colaborar con bandas criminales organizadas que lleven a cabo el fraude descrito”. Se ha recabado información sobre las medidas de seguridad existentes, siendo la mayoría orientadas a la seguridad transversal del personal que atiende este canal telefónico. Se contemplan medidas focalizadas a evitar la filtración y/o exportación de datos de clientes.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
  1. f)y
  2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  3. a)la seudonimización y el cifrado de datos personales;
  4. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  5. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  6. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III Integridad y confidencialidad La letra
  7. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." IV Conclusión En relación con la posible exfiltración de los datos, no ha sido posible determinar el origen de esta. VODAFONE admite la posibilidad de que “agentes corruptos puedan memorizar ciertos datos de los clientes y colaborar con bandas criminales organizadas que lleven a cabo el fraude descrito”, considerando que se trata de riesgos que quedarían fuera de su control. Al respecto, y teniendo en cuenta que se han dado más casos similares (hasta 62 según manifiesta VODAFONE), cabe plantear si se han tomado medidas adecuadas para garantizar la seguridad de los datos. En este sentido, VODAFONE ha documentado la adopción de medidas frente a esta casuística. Dichas medidas, detalladas en los apartados anteriores, incluyen: - La existencia de un procedimiento específico para la gestión de devoluciones que incluye referencias concretas a la casuística objeto de esta reclamación. - La existencia de una herramienta informática para la gestión de las devoluciones que permite una trazabilidad del acceso a datos de los clientes en la que, tras la auditoría interna realizada por la empresa, no constan accesos indebidos ni hechos irregulares que evidencien una filtración. - La existencia de protocolos en el lugar de trabajo específicos para dificultar la filtración de datos. - La formación del personal que trata los datos, así como un recordatorio específico sobre la casuística objeto de la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 En definitiva, de los hechos investigados no se ha podido determinar el origen de la filtración de los datos por lo que no existen evidencias que permitan confirmar la responsabilidad de la parte reclamada. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible constatar un incumplimiento por parte de VODAFONE de la obligación de garantizar la integridad y confidencialidad de los datos, ni de la obligación de contar con medidas de seguridad adecuadas en el tratamiento, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Olga Pérez Sanjuán Subdirectora de General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía de la AEPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.