1/6 Expediente Nº: E/00568/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ESPAÑA, S.A.U., en virtud de la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 20/01/2016 ha tenido entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo, la denunciante) en el que declara que VODAFONE ESPAÑA, S.A.U., (en adelanta VODAFONE o la denunciada), entidad de la que es cliente, ha incumplido el deber de custodia de sus datos personales, lo que ha provocado una “suplantación de personalidad” materializada en el hecho de que un tercero, sin su consentimiento, ha modificado sus datos personales a través del sitio web de la entidad – en particular si número de teléfono fijo y su dirección de correo electrónico-; ha adquirido a su nombre un Iphone 6 Plus; ha modificado al alza la tarifa de precios que tenía contratada para la línea de la que es titular, I.I.I., y ha inhabilitado la referida línea para la recepción de sms. La denunciante, en respuesta a la petición de la AEPD para que aportara documentación adicional y subsanara las deficiencias de las que adolecía su denuncia, remitió, con fecha de entrada en este organismo el 17/02/2016, un escrito en el que detalla las reclamaciones que interpuso por vía telefónica frente a VODAFONE: en fecha 12/01/2016, ante el Departamento de fraudes, incidencias números ***INCIDENCIA.1 y ***INCIDENCIA.2; en fecha 12/01/2016 una solicitud de entrega del albarán de recepción del móvil fraudulentamente contratado, número ***INCIDENCIA.3; la incidencia ***INCIDENCIA.1 relativa al envío del albarán de entrega del móvil y una reclamación de fecha 20/01/2016 con número de incidencia ***INCIDENCIA.4. La denunciante ha aportado copia de los siguientes documentos: - La denuncia presentada en la Policía de Valladolid el 13/01/2016, en la que manifiesta que el 12/01/2016 recibió una llamada con número oculto de quien dijo pertenecer a la compañía Vodafone, con la que tiene contratados varios servicios, y que una vez finalizada procedió vía internet a comprobar en la página oficial de la denunciada lo comunicado, comprobando entonces que existía un pago aplazado de un dispositivo asociado al número al número H.H.H. y que además tenía una tarifa distinta a la contratada. Indica que al contactar acto seguido con la operadora le respondieron que el cargo de treinta y un euros por veinticuatro cuotas correspondía a un Iphone-6 Plus 16G Rosa, que había sido previamente solicitado; que fue entregado en la calle B.B.B. de A.A.A. el día 28/12/2015; que la compra se hizo en Tienda On-Line de VODAFONE y que le había adjudicado una tarifa distinta (Red L) a la previamente contratada (tarifa Smart S) Relató también en la denuncia policial que finalizada la llamada, al ir a cambiar la contraseña de acceso a Mi Vodafone, comprobó que en el apartado de sus datos personales aparecía el número G.G.G., que correspondía al domicilio de su madre y C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 2/6 que hace nueve años se dio de baja, así como que la dirección del domicilio de la denunciante pasaba a ser la calle B.B.B. de A.A.A. y que su e-mail no se corresponde al suyo figurando D.D.D., cuando el e-mail de la denunciante es C.C.C.. - Factura de VODAFONE número “***FACTURA.1”, emitida el 08/01/2016, con fecha de vencimiento 19/01/2016 y periodo de facturación 08/12/2015 -07/001/2016, por un importe total de 130,29 euros. Incluye, entre otras, la línea H.H.H., con plan de precios asociado “Plan RED L” e importe 79,2153 euros. En el apartado “Otros pagos”, un importe total de 31,0000 euros. Incluye la línea H.H.H., con descripción asociada al “Pago aplazado dispositivo (1 cuota en esta factura). Pendiente 23 de 24 cuotas” e importe 31,0000 euros. - Factura de VODAFONE número “***FACTURA.2” con fecha de emisión 08/02//2016; fecha de vencimiento 17/2/2016 y periodo de facturación: 8/01/2016 – 7/02/2016. En el apartado “Resumen por línea”, un importe total de 4,3095 euros. Incluye entre otras la línea H.H.H., con plan de precios asociado “Plan Smart S 19” e importe 15,6582 euros. En el apartado “Otros pagos”, un importe total de 31,0000 euros. Incluye la línea H.H.H., con descripción asociada es “Pago aplazado dispositivo (1 cuota en esta factura). Pendiente 22 de 24 cuotas” e importe 31,0000 euros. - Albarán de entrega del dispositivo móvil, de fecha 24/12/2015, respecto al que dice: “no enviado a mi domicilio ni recogido por mí. En el fax en el que me lo hacen llegar aparece el número de pedido (***NÚM.1) y el número de incidencia (***INCIDENCIA.1)”. En el albarán consta como remitente O2O LOGISTICS S.A; como destinatario A.A.A.. El documento aparece firmado por “ F.F.F.” y en el apartado destinado al DNI la indicación “ E.E.E.” SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN La empresa VODAFONE ESPAÑA SAU ha remitido la siguiente información pertinente al efecto de la investigación: En su escrito de respuesta a la solicitud de información (firmada el 1/3/2016) de fecha de registro 5/4/2016 (número de registro 18/3/2016; número de registro 108063/2016), VODAFONE ESPAÑA SAU, manifiesta que el servicio G.G.G. “nos consta sólo como número de contacto asociado” a la denunciante “facilitado cuando contrató el servicio H.H.H.”. o C/ Jorge Juan, 6 28001 – A.A.A. o En su escrito de respuesta a la solicitud de información, VODAFONE ESPAÑA SAU, manifiesta que el servicio H.H.H. fue contratado a través de un distribuidor el 27/11/2000. o Adjunta copia del contrato del servicio H.H.H. fechado el 27/11/2000 y firmado por la denunciante que recoge como teléfono de contacto G.G.G.. En dicho escrito no adjunta información sobre las contrataciones supuestamente fraudulentas denunciadas: servicio y un producto: www.agpd.es sedeagpd.gob.es 3/6 Un teléfono móvil modelo “IPHONE 6 PLUS 16 GB ROSA” Modificación del plan de precios e inhabilitación del sistema SMS de una de las líneas de la denunciante: H.H.H.. Con fecha 11/11/2016 se firma requerimiento de información dirigido a VODAFONE ESPAÑA SAU sobre las contrataciones supuestamente fraudulentas denunciadas. Dicho requerimiento concede plazo 10 día hábiles para su contestación. La fecha de notificación que registrada en los sistemas de la AEPD es 16/11/2016.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 9 de la LOPD bajo la rúbrica “Seguridad de los datos” establece: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” La importancia que tienen las medidas de seguridad en relación con el derecho fundamental a la protección de datos ha sido destacada por el Tribunal Constitucional, que ha indicado -por todas, SSTC 143/1994 y 197/2003- que un sistema normativo que autorice la recogida de datos, incluso con fines legítimos, y no contemple las garantías adecuadas frente a un uso potencialmente invasor de la vida privada del ciudadano a través de su tratamiento técnico vulneraría el derecho a la intimidad del mismo modo que lo harían las intromisiones directas en el contenido nuclear de ésta. La Directiva 95/46 CE, del Parlamento Europeo y del Consejo –actualmente derogada-, que se trasladó a nuestro ordenamiento jurídico a través de la LOPD, establece en su artículo 17, bajo la rúbrica “seguridad del tratamiento” lo siguiente: C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 4/6 “1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizado, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse”. A propósito de la obligación impuesta por el artículo 9 de la LOPD es necesario indicar que su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) dedica el Título VIII a las “Medidas de seguridad en el tratamiento de datos de carácter personal”, artículos 79 a 114. El artículo 79 del RLOPD señala que “Los responsables de los tratamientos o los ficheros y los encargados del tratamiento deberán implantar las medidas de seguridad con arreglo a lo dispuesto en este Título, con independencia de cuál sea su sistema de tratamiento”. El RLOPD (artículo 80) clasifica las medidas de seguridad en tres niveles; básico, medio y alto. Por otra parte, el artículo 93 del RLOPD, enmarcado en las medidas de nivel básico, se refiere a la “identificación y autenticación” del usuario y dispone: “1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad”. III En el asunto que nos ocupa, la denunciante manifiesta que VODAFONE ha incumplido el deber de custodia de sus datos personales toda vez que un tercero ha accedido desde la página web de VODAFONE a sus datos personales y ha realizado, sin su consentimiento, cambios en sus datos personales: Así, indica que ha desaparecido su número fijo como teléfono de contacto y aparece el número G.G.G., que correspondía al domicilio de su madre y que hace nueve años se dio de baja. La dirección electrónica también ha cambiado, desapareciendo la suya ( C.C.C..) y figurando ahora la siguiente: D.D.D.. Añade que ella consta registrada como adquirente de un Iphone 6 Plus y se le ha modificado al alza la tarifa de precios que tenía contratada para la línea de la que es titular, I.I.I.. . Llegados a este punto se ha de indicar que la Agencia ha verificado en el curso de las actuaciones de investigación practicadas en diversas ocasiones ante la operadora VODAFONE que las medidas de seguridad adoptadas por esta entidad con el fin de que el cliente se autentifique –consistentes en la exigencia de que facilite una clave o C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 5/6 contraseña- se valoran como suficientes para entender cumplidas las obligaciones que imponen al responsable del fichero los artículos 9 de la LOPD y 93 del RLOPD. La aplicación diligente de unas medidas de seguridad adecuadas no es óbice para que se produzcan situaciones irregulares, como cuando un tercero que conoce las claves de acceso de un cliente –ya sea por razón de su proximidad familiar o amistadlas utiliza ilegítimamente y consigue pasar la política de seguridad del responsable del fichero. En tal hipótesis no sería admisible exigir responsabilidad sancionadora por vulneración del artículo 9 de la LOPD, infracción tipificada en el artículo 44.3.
- h)de la citada Ley Orgánica, pues ello supondría en la práctica una exigencia de responsabilidad objetiva proscrita en nuestro ordenamiento jurídico. En el presente caso, la documentación e información facilitada por VODAFONE a esta Agencia no arroja evidencias ni indicios razonables que permitan concluir que la entidad hubiera incumplido las obligaciones que en materia de seguridad de los datos le impone la LOPD y norma reglamentaria. Por otra parte, debe subrayarse que es responsabilidad del cliente de VODAFONE la custodia de las claves de acceso al sistema de la entidad; claves necesarias para autenticarse y efectuar por esa vía tanto modificaciones en sus datos personales como en los productos contratados. El cliente, en este caso la denunciante, tiene la obligación de custodiar las claves a fin de evitar que terceras personas accedan a sus datos personales. La documentación e información facilitada por VODAFONE no revelan la existencia de ninguna irregularidad en las medidas que tiene implementadas en relación con la denunciante. Así pues no hay razón alguna para pesar que las medidas de seguridad que VODAFONE tenía implementadas funcionaron en la práctica, por lo que corresponde acordar el archivo de estas actuaciones Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a VODAFONE ESPAÑA SAU De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es 6/6 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – A.A.A. www.agpd.es sedeagpd.gob.es