1/6 Expediente Nº: E/00781/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ONO, S.A.U. en virtud de denuncia presentada por D. C.C.C., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 10/11/2016, tuvo entrada en esta Agencia escrito de D. C.C.C. (en lo sucesivo el denunciante) en el que formula denuncia contra VODAFONE ONO, S.A.U. (en lo sucesivo VODAFONE ONO) por haber modificado, sin su consentimiento, sus datos personales como titular de los servicios que tiene contratados con dicha entidad, habiendo añadido en el apartado correspondiente al nombre las expresiones “ E.E.E..” y “ A.A.A.” Informa que tuvo conocimiento de este hechos en fecha 06/04/2016, al recibir la factura emitida por dicha entidad, en cuyo apartado correspondiente al “Titular” se indican aquellas expresiones. Advierte que esta factura fue recogida por personas que prestan sus servicios en el inmueble donde reside el interesado. Según el denunciante, VODAFONE ONO procedió al cambio del nombre después de varias llamadas del denunciante reclamándolo Por otra parte, el denunciante presentó una querella por injurias, que dio lugar a Diligencias Previas seguidas por el Juzgado de Instrucción nº 10 F.F.F. y al acto de conciliación tramitado por el Juzgado de Primera Instancia nº 1 F.F.F.. También interpuso reclamación ante AENOR. Ajuicio el denunciante, estos hechos suponen una alteración fraudulenta, maliciosa y perniciosa para el interesado que infringe el artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), así como un incumplimiento del deber de secreto. Con su escrito de denuncia aporta, entre otra, la documentación siguiente: Facturas emitida por VODAFONE ONO (one Profesional), de fecha de emisión 23/03 y 23/04/2016, cuyo destinatario y titular es “ A.A.A.”, con domicilio en (C/......, 1) Carta remitida por VODAFONE ONO (one Profesional), cuyo destinatario es “ A.A.A..”, domicilio en (C/......, 1), en la que le informan sobre productos “que permite a Profesionales y Pequeñas Empresa aprovechar las oportunidades a partir del próximo 18 de abril (…). Decreto dictado en el Procedimiento de Conciliación tramitado por el Juzgado de Primera Instancia nº 1 F.F.F., de fecha 20/09/2016, en cuya parte dispositiva se indica “Dar por terminado y acordar el archivo del presente expediente con el resultado de intentado sin efecto ante la falta de comparecencia del requerido”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Oficio del Grupo de Policía Judicial del Ministerio del Interior dirigido al Juzgado de Instrucción nº 10 F.F.F., para que surta efectos en las Diligencias Previas seguidas por el mismo, de fecha 11/10/2016, mediante el que informan que la compañía telefónica VODAFONE ONO, ha dado respuesta al requerimiento judicial, manifestando que “no ha sido posible localizar la IP desde donde se conectó a mi Vodafone para realizar el cambio de nombre en las facturas”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: La operadora VODAFONE ONO informó a la Inspección de Datos lo siguiente: El denunciante se puso en contacto con VODAFONE ONO, el 19/04/2016, comunicando que se había realizado un cambio de datos de facturación e informando que alguien debió obtener sus claves de acceso y modificó sus datos en el Área de Cliente. Según la información que consta en los sistemas de la operadora, el cambio del nombre del titular se realizó a través del Área de Cliente habilitada para que éstos puedan realizar determinadas gestiones. Dicha gestión se realizó, teóricamente, por el propio cliente, y figura como una modificación de datos (nombre de la empresa), no como un cambio de titular. En las investigaciones efectuadas por VODAFONE ONO, cuando tuvieron conocimiento de los hechos, verifican que el primer cambio de datos se produce el 28 de febrero y se corrige el mismo día desde el Área de Cliente y posteriormente se produce otro cambio el 07/04/2016, según consta en las impresiones de pantalla aportadas. Las facturas fueron rectificadas el 01/05/2016, modificado el nombre del titular y destinatario de las comunicaciones “ C.C.C.”, correspondiendo a las facturas del 23 de marzo y al 23 de mayo de 2016 (adjuntan copias). Con respecto al procedimiento judicial, iniciado por el denunciante en relación con los mismos hechos, informan que en el mes de junio de 2016 se abrió una conciliación por unas facturas injuriosas a nombre del denunciante y que la fecha fijada para la conciliación quedó señalada para el 20/09/2016, pero no disponen de información posterior. En el ámbito del procedimiento judicial se solicitó a VODAFONE ONO información de la dirección IP a través de la cual se realizaron los cambios pero no fue posible localizarla. El procedimiento para el acceso al Área de Cliente se realiza introduciendo el nombre de usuario y contraseña, dirección de correo electrónico y clave de ocho dígitos alfanumérica, para identificarse y autenticarse, que solo el cliente conoce, pudiendo realizar diversas gestiones como el cambio del nombre del titular de un contrato. Cuando la gestión se realiza telefónicamente (no es el supuesto de las presentes investigaciones) el agente que atiende la llamada debe pasar la política de seguridad que se corresponde con preguntar al cliente por una serie de datos como: DNI y nombre. No obstante, si la gestión es un cambio de titular de contrato, se debe realizar por escrito o debe ser grabada la conversación, y se sigue el procedimiento que se describe a continuación: Debe ser solicitado por el Actual titular. No debe constar deuda ni del Actual titular ni del Nuevo titular. Actual titular debe facilitar los siguientes datos: NIF, NIE, CIF o Pasaporte y los cuatro últimos dígitos de la cuenta bancaria donde están domiciliadas sus facturas, si el cliente tiene pago por ventanilla será necesario modificarlo e incluir una cuenta bancaria (pago domiciliado), de otro modo, no se puede gestionar el cambio de titularidad. Del Nuevo titular: Nombre completo, NIF, NIE, CIF o Pasaporte, si modifican datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 bancarios (20 dígitos de cuenta bancaria), email /teléfono de contacto. El método de pago es cuenta bancaria (si el cliente tiene seleccionado como método de pago "pago por ventanilla", será necesario cambiarlo e indicar una nueva cuenta bancaria). FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 9 de la LOPD establece: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Los artículos 91 y 93 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, aplicables a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
- b)del citado Reglamento define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, la entidad VODAFONE ONO está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En el presente caso, se denuncia el acceso por parte de terceros a los datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 del denunciante, cliente de VODAFONE ONO, a través del Área de Clientes habilitada por la misma para que puedan realizarse determinadas gestiones online. Se denuncia, asimismo, la modificación de los datos relativos a la identidad del denunciante, que se detalla en los Antecedentes, la cual fue realizada mediante el acceso a la indicada Área de Clientes. Sin embargo, ha quedado acreditado que el área de clientes habilitada a través de la web de VODAFONE ONO dispone de las medidas de seguridad establecidas en el Reglamento de desarrollo de la LOPD, incluido un procedimiento de acceso que requiere de un código de usuario y contraseña, distintos para cada cliente, conforme exige la normativa anteriormente reseñada, y que el acceso a la información del denunciante se realizó utilizando el par usuario/contraseña correspondiente al mismo. No se trata del acceso por parte de un tercero no identificado ni autenticado que se aprovechara de vulnerabilidades del sistema de información, sino del acceso por parte de un tercero utilizando el código de usuario y contraseña del denunciante, es decir, correctamente identificado frente al sistema de información de VODAFONE ONO. Por tanto, no puede concluirse que la citada entidad incumpliera la obligación de establecer las medidas de seguridad adecuadas para impedir de manera fidedigna el acceso a la información registrada en sus ficheros, o que el acceso a la información del denunciante fuera consecuencia de una insuficiencia de tales medidas o de una ineficaz implantación de las mismas. En definitiva, al no tratarse de una inadecuada implantación de medidas de seguridad, en lo que se refiere al control de accesos y a la identificación/autenticación de los usuarios, no puede exigirse a VODAFONE ONO responsabilidad por los hechos denunciados, ni cabe entender infringido el artículo 9 de la LOPD citado. Por otra parte, según se concluyó en las Diligencias Previas seguidas por el Juzgado de Instrucción nº 10 F.F.F., promovidas por el mismo denunciante, no fue posible determinar la dirección IP desde la que se accedió a los datos del mismo en el Área de Clientes de VODAFONE ONO, de modo que no ha sido posible determinar la autoría de tal acceso. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a VODAFONE ONO, S.A.U. y a D. C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es