E-01178-2020

1/6  Procedimiento Nº: E/01178/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por Dña. A.A.A. (en adelante, la reclamante) tiene entrada con fecha 8 de abril de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra XFERA MÓVILES, S.A., con NIF A82528548 (en adelante, la reclamada). La reclamante manifiesta que le han cargado en su cuenta bancaría varios recibos, los cuales ha devuelto, por no tener contratado ningún servicio con la reclamada, por lo que considera que se ha producido una contratación fraudulenta por suplantación de identidad. Así las cosas, presentó denuncia ante la Guardia Civil el 18 de marzo de 2019 y solicitó a la reclamada, el día 19 del mismo mes y año, todos los datos que obraran sobre su persona. Por otro lado, aporta la siguiente documentación: o Fotocopia de su DNI. o Fotocopia del atestado nº ***ATESTADO.1 de la Guardia Civil, de fecha 18 de marzo de 2019, correspondiente a diligencia de inicio por denuncia de infracción penal mediante comparecencia de la reclamante en dependencias del puesto principal de ***LOCALIDAD.1 o Fotocopias de tres cargos diferentes por adeudo directo, siendo acreedora la reclamada y deudora la reclamante en todos ellos, en una cuenta corriente de la reclamante en la entidad bancaria BBVA, con el siguiente detalle: o - Fecha: 13 de febrero de 2019 e Importe: 3,87 €. - Fecha: 13 de febrero de 2019 e Importe: 3,39 €. - Fecha: 13 de marzo de 2019 e Importe: 15,00 €. Fotocopia de correo electrónico, de fecha 19 de marzo de 2019, en que la reclamante se dirige a la reclamada solicitando el envío de todos los datos suyos que obren en la reclamada ante el acontecimiento de una suplantación de identidad. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Con fecha 26 de agosto de 2020, la reclamada manifiesta que las líneas involucradas en la contratación fraudulenta por suplantación de identidad de la reclamante son las de siguiente numeración: o ***TELÉFONO.1 o ***TELÉFONO.2 La reclamada aporta captura de pantalla con cierta información, y añade otra, que obra en sus sistemas referida a dichas líneas telefónicas móviles. Toda esta información puede extractarse en: o Nombre, apellidos, domicilios y direcciones de contacto (incluida la electrónica) y cuenta bancaria de la reclamada. Todos ellos identificados con origen en la contratación realizada online (Código distribuidor ***CÓDIGO.1). o Fecha e información de alta de ambas líneas telefónicas móviles: 22 de enero de 2019 desde la siguiente IP ubicada en la provincia de ***LOCALIDAD.2: ***IP.1, a las 21:16:13 horas y a las 21:13:16 horas, respectivamente. o Fecha y motivo de baja de la línea telefónica terminada en 217: 15 de marzo de 2019 por detección del fraude. o Fecha y motivo de baja de la línea telefónica terminada en 745: 31 de enero de 2019 por solicitud de portabilidad saliente a VODAFONE ESPAÑA, S.A.U.  Aporta evidencias de que las facturas de la línea telefónica terminada en ***LÍNEA.1 por importes de 3,87 € y 15,00 €, respectivamente, fueron abonadas a la reclamante al tener constancia del fraude.  Igualmente, aporta evidencias de que la factura de la línea telefónica terminada en ***LÍNEA.2 por importe de 3,39 € fue abonada a la reclamante al tener constancia del fraude.  Por otro lado, informa tener constancia de las siguientes comunicaciones con la reclamante: C/ Jorge Juan, 6 28001 – Madrid o 15 de marzo de 2019: comunicación telefónica en la que se procedió a la baja de la línea terminada en ***LÍNEA.1. Se aporta documento de resumen interno de la conversación en el que se denota, entre otros, que la dirección postal de la reclamante no es coincidente. o 21 de marzo de 2019: comunicación por email en la que la reclamante vuelve a notificar la contratación fraudulenta por suplantación de identidad. Se aporta documento de resumen interno del contenido. o 22 de marzo de 2019: comunicación por email en la que la reclamante insiste en notificar la contratación fraudulenta por suplantación de identidad. Se aporta documento de resumen interno del contenido. o 16 de mayo de 2019: recepción de reclamación, a través del Instituto Galego do Consumo e da Competencia de la Xunta de Galicia, referida a los hechos y respondida el 12 de junio de 2019 al organismo oficial citado informando de la baja de las líneas telefónicas móviles y la www.aepd.es sedeagpd.gob.es 3/6 condonación de la deuda. Se aportan documentos de requerimiento del organismo de consumo y respuesta dada por parte de la reclamada.  Respecto al procedimiento de contratación online involucrado en los hechos, la reclamada expone que la recogida de datos personales de clientes se realiza a través de la web: ***URL.1 Así como que se demuestra que éstos sean correctos en el momento de la entrega, mediante comprobación del original del DNI y la firma del albarán de entrega por el titular. La reclamada defiende que, durante el procedimiento de contratación, se informa de que la tarjeta SIM sólo será entregada a la persona que haya realizado la compra, lo cual consta en la citada web. La reclamada presenta evidencia de albarán de recogida de la tarjeta SIM presuntamente firmado por la reclamante el 24 de enero de 2019 a las 18:12 horas en determinada dirección del municipio de ***LOCALIDAD.2. El albarán contiene instrucciones de entrega exclusiva a persona con DNI con terminación como el de la reclamante. La firma plasmada en el albarán parece no ser coincidente con la que la reclamante plasma en su DNI. Por otra parte, informa de no haber apreciado incidencias en el procedimiento de contratación.  Asimismo, niega la versión de la reclamante respecto a que no se dieran de baja las líneas telefónicas móviles en cuestión el mismo día 15 de marzo de 2019 en que se produjo el primer contacto entre ambas partes. Por otro lado, detalla que ese mismo día 15 de marzo de 2019 suspendió los servicios contratadas cuando la reclamante les trasladó la suplantación de identidad sufrida. Igualmente, traslada que el protocolo ante usurpación de identidad de un cliente consiste en proceder con la política de seguridad para verificar su identidad. Según su versión, tras ello, se procede a la finalización preventiva o suspensión de la línea afectada, si bien, añaden, con la intención de evitar fraudes solicitan aportar denuncia policial de los hechos, la cual, en este caso.  De otra parte, supone que probablemente la persona usurpadora de identidad cuente con un DNI falsificado o extraviado de la reclamante, además de conocimiento de sus datos bancarios. La reclamada dice reforzar esta teoría en el hecho de que una de las líneas telefónicas móviles en cuestión fue portada sin incidencias a VODAFONE ESPAÑA, S.A.U. Asimismo, explica que todos los datos personales de la reclamante eran correctos, salvo las direcciones postal y electrónica. La reclamada reporta que ésta última fue ***EMAIL.1, por lo que guardaba parecido con el nombre y apellido de la reclamante. Afirma que se aportó otro teléfono de contacto, que la dirección IP desde la que se realizó la contratación se correspondía con la provincia en la que se solicitó la entrega y que para la firma del albarán se necesita de la correspondiente exhibición del DNI. Dichos parámetros son considerados por la reclamada para valorar el riesgo de fraude y en este caso se vieron superados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6  Aporta las carátulas de los contratos de las dos líneas telefónicas móviles involucradas en esta suplantación de identidad, así como las condiciones generales de contratación aplicables a ambos.  Identifica la ejecución del propio contrato como la base de legitimación para el tratamiento de datos en cuestión, señalando el artículo 6.1.

1. b)del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE como aplicable a este caso.  Por otra parte, reseña que la validación definitiva del contratante (la reclamante, en este caso) se realiza in situ en el momento de la tarjeta SIM mediante exhibición de su DNI y firma del albarán correspondiente, y que así les consta en este caso.  Respecto a la situación actual de las líneas telefónicas móviles inmersas en la presente contratación fraudulenta, la reclamada expone, a 25 de agosto de 2020, que aquélla terminada en 745 fue portada el 31 de enero de 2019 a VODAFONE ESPAÑA, S.A.U. y consta finalizada en sus sistemas desde esa fecha. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III En el presente caso, se ha recibido en esta Agencia la reclamación presentada por la reclamante contra la reclamada por una presunta vulneración de lo señalado en el artículo 6 del RGPD en relación con la licitud del tratamiento de los datos de carácter personal del reclamante. De conformidad con la normativa expuesta, con carácter previo a la admisión a trámite de esta reclamación, se dio traslado de ésta a la reclamada para que procediese a su análisis y diera respuesta al reclamante y a esta Agencia en el plazo de un mes. Asimismo, se solicitó a la reclamada copia de la comunicación remitida por la misma a la reclamante a propósito de la reclamación, informe sobre las causas que motivaron la incidencia producida y detalle de las medidas adoptadas para evitar situaciones similares. Por otro lado, se acusó recibo de la reclamación presentada por la reclamante, informándole además de su traslado a la reclamada y del requerimiento hecho a ésta para que en el plazo de un mes informase a esta Agencia de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Una vez analizadas las razones expuestas por la reclamada, que obran en el expediente, manifestando que las líneas involucradas en la contratación fraudulenta por suplantación de identidad de la reclamante fueron dadas de alta el 22 de enero y de baja el 15 y el 31 de marzo de 2019 por detección del fraude. La reclamada señala la contratación como fraude por suplantación de personalidad, habiendo informado a la reclamante de las causas de la incidencia, de la baja de las líneas telefónicas móviles y la condonación de la deuda, se considera procedente acordar el archivo de las presentes actuaciones al considerarse resuelta la misma. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
2. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es