E-01125-2021

1/5  Expediente Nº: E/01125/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 26 de octubre de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, reclamado). Los motivos en que basa la reclamación son los siguientes: Se han realizado varios duplicados de tarjeta SIM sin consentimiento del reclamante. Junto a la notificación se aporta escrito en el que se indica que se han producido varios duplicados de SIM para su línea: - Figura en el registro del reclamado orden de duplicado de SIM el 03/09/2020 realizado mediante llamada al servicio de atención al cliente. - El 04/09/2020 el reclamante realiza duplicidad de SIM en tienda al estar bloqueada la línea y haberse realizado operaciones bancarias fraudulentas. - El mismo día se produce una nueva duplicidad de SIM en tienda volviendo a quedar la línea bloqueada al reclamante. - El reclamante vuelve a realizar un duplicado de SIM dos horas más tarde para recuperar la línea. - Declara que ha sufrido disposiciones de su cuenta bancaria a consecuencia de los hechos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 27 de noviembre de 2020, se practicó el traslado de dicha reclamación a VODAFONE, que fue recogido en fecha 30 de noviembre de 2020 como consta en el acuse de recibo que obra en el expediente. Se recibe en esta Agencia escrito de respuesta el 10 de enero de 2021. TERCERO: Con fecha 8 de febrero de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Sobre el duplicado de SIM realizado vía telefónica: Requerida grabación de la llamada correspondiente al duplicado de SIM realizado el 03/09/2020, VODAFONE no la aporta, indicando sus representantes que “no dispone de las grabaciones de las llamadas de los cambios de SIM en las fechas señaladas y registradas en el Documento número 1, puesto que las llamadas que se hacen al departamento de atención al cliente y que no constituyen un contrato entre las partes, se graban aleatoriamente y por motivos de calidad, como se indica expresamente en la locución inicial que se proporciona a todos los usuarios que llaman a Atención al Cliente”. Con respecto a la entrega del duplicado, en concreto a la pregunta “información sobre la forma de entrega del SIM. Justificación de los motivos por lo que se pudo entregar la SIM en una dirección diferente a la del cliente si no se permite en dicho canal telefónico un cambio de domicilio. Dirección de la cliente que consta en los sistemas y direcciones de entrega consignadas en los envíos”, los representantes de VODAFONE han manifestado: “Según se ha podido averiguar como consecuencia de las gestiones llevadas a cabo, en el supuesto del duplicado SIM de fecha 3 de septiembre de 2020, solicitado por vía telefónica, desde Vodafone no se remitió ninguna tarjeta SIM con ocasión de la ejecución del duplicado solicitado fraudulentamente. En este sentido, se ha podido comprobar que la SIM utilizada para efectuar dicho duplicado procedía de un envío de una tarjeta SIM que se derivaba de otro pedido independiente a la solicitud de cambio de SIM. No obstante, lo anterior, la Política de Seguridad de Vodafone, comunicada a los canales en septiembre de 2019 y noviembre de 2020, prohíbe a los agentes y distribuidores de Vodafone que entreguen tarjetas sin asignar a ningún cliente para evitar este tipo de acciones fraudulentas. Por lo tanto, al haber incumplido el agente en cuestión la Política de Seguridad, mi mandante ha impuesto las penalizaciones pertinentes, depurándose internamente las responsabilidades que se deriven de dichos incumplimientos. En todo caso, no consta en sistemas de Vodafone que se realizase ningún cambio de dirección en relación con la cuenta cliente del reclamante por vía telefónica. No obstante, hay indicios de que este dato pudo ser modificado el 2 de septiembre, dado que en los sistemas de mi mandante figura una interacción realizada desde la página web de Vodafone en la que se modifican los datos de contacto del cliente. En cualquier caso, no es posible acceder desde el sistema a los datos concretos que fueron modificados en dicha interacción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Aportan impresión de pantalla donde se muestra el cambio de dirección. Aportan impresiones de pantalla con las interacciones registradas en el sistema. Sobre el duplicado de SIM realizado presencialmente en tienda de centro comercial: Requerida copia del registro de la operación y del DNI recabado en el duplicado de SIM realizado en tienda el 04/09/2020, aportan impresión del registro de la operación efectuada desde el centro comercial, así como la copia del DNI presentado en la tienda física por el solicitante, indicando “siendo este presuntamente falso”. Se comprueba que la copia de DNI aportada por el solicitante tiene el mismo número de DNI, nombre y apellidos que el DNI del reclamante, pero no son coincidentes otros datos como la fecha de nacimiento, lugar de nacimiento, nombres de padres, domicilio, ni la fotografía. Sobre las acciones emprendidas Se ha requerido información al respecto, incluyendo acreditación documental del marcado del reclamante como víctima de fraude y el motivo por el cual se tardaron 12 días en marcar al cliente como tal (según manifestaciones realizadas en las alegaciones aportadas en el expediente E/9596/2020, del 12 al 24 de septiembre). Los representantes de VODAFONE han manifestado: “De acuerdo con la información que aparece en los sistemas de mi representada, en fecha 12 de septiembre de 2020, el Sr. A.A.A. contactó con mi representada y puso en su conocimiento los hechos acontecidos en relación con los duplicados SIM que aquí se reclaman. De este modo, desde ese momento, al tener constancia de los hechos objeto de reclamación, mi representada procedió a realizar las investigaciones y gestiones oportunas. Así las cosas, se informó al Sr. A.A.A. acerca del proceso de fraude a seguir en el supuesto de que, tras efectuar las comprobaciones pertinentes, se catalogase el asunto como duplicados de SIM fraudulentos, indicando al Sr. A.A.A. que se le aplicaría el protocolo de víctima de fraude en su ID de cliente. En este sentido, quiere esta parte destacar que la realización de estas comprobaciones conlleva la evaluación interna de distintos aspectos por parte del departamento de fraude, para lo cual es posible que se requiera al cliente la aportación de una serie de documentación e información. Por tanto, la duración de este proceso puede variar en función de la rapidez en que se aporte la información que, en su caso, sea requerida y la complejidad del asunto en cuestión, si bien se exige que se realice a la mayor celeridad posible. En consecuencia, y para este caso concreto, el referido proceso finalizó en fecha 24 de septiembre de 2020, fecha en que, tras considerar mi mandante lo ocurrido como una incidencia fraudulenta, calificó al Sr. A.A.A. como víctima de fraude, activando el “Check Víctima de Fraude” sobre su cuenta cliente. Como prueba de lo anterior, se aporta a continuación una captura de pantalla de los sistemas de Vodafone en los que queda acreditada la activación del mencionado check, en dicha fecha.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Los hechos reclamados se refieren al mismo procedimiento operativo de protección de datos que ha sido investigado y sancionado por la AEPD mediante resolución de fecha 5 de noviembre de 2021 en el marco del procedimiento sancionador PS/00001/2021, y que se publicará en la página web www.aepd.es.”. En la Resolución se sancionaba con una multa a VODAFONE ESPAÑA, S.A.U., con una multa de 3.940.000’00 euros (tres millones novecientos cuarenta mil euros), por una infracción del artículo 5.1.f) y 5.2 del RGPD, tipificada en el artículo 83.5.a) del RGPD, y calificada como muy grave a efectos de prescripción en el artículo 72.1.a) de la LOPDGDD. Todo ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y VODAFONE ESPAÑA, S.A.U. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-200122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es