E-05168-2021

1/7  Procedimiento Nº: E/05168/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 30 de diciembre de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U., con NIF A80907397 (en adelante, el reclamado). Los motivos en que basa la reclamación son la realización de gestiones en los contratos, por parte de un tercero, suplantando la identidad de la reclamante. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/01459/2021, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos sin que se haya recibido respuesta por parte de la reclamada. TERCERO: Con fecha 30 de abril de 2021, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de entrada de la reclamación: 30 de diciembre de 2020 Reclamante: A.A.A. (en adelante, la reclamante) Reclamado: VODAFONE ESPAÑA, S.A.U. (en adelante, el reclamado o la entidad reclamada). Hechos según manifestaciones de la reclamante: Una tercera persona (que dispone de su nombre completo, dirección y número de DNI) ha solicitado a la entidad reclamada información sobre las líneas contratadas por la reclamante, realizando diversas gestiones en relación con dichas líneas, tales como redirección de las llamadas a otro número o bloqueo de la SIM, todo ello, a pesar de que la reclamante solicitó al reclamado que para acceder a información relativa a sus líneas o realizar gestiones sobre las mismas, la identificasen solicitándole los 4 últimos dígitos de su cuenta bancaria. También solicitó la generación de una clave de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 seguridad que le aseguraron se solicitaría a cualquier persona que llamase para realizar cualquier consulta o petición referente a sus contratos. Sin embargo, indica que en las ocasiones en las que ella misma ha llamado, no le solicitan dicha contraseña, identificándola generalmente mediante la solicitud del número de DNI, por lo que deduce que lo mismo está pasando cuando esa tercera persona llama solicitando modificaciones en sus líneas. Fecha en la que tuvieron lugar los hechos reclamados: la reclamante indica una serie de acciones realizadas por la tercera persona que van desde septiembre de 2018 a 26 julio de 2020, sin especificar la fecha en la que ella solicitó la utilización de una clave de seguridad y la identificación solicitando los últimos dígitos de la cuenta corriente. (Como se verá más adelante el reclamado indica que la reclamante se puso en contacto con ellos el 27 de mayo de 2020 alegando un supuesto fraude en las gestiones realizadas por el tercero y solicitando una identificación más robusta). Documentación relevante aportada por la reclamante: - Contrato y factura con VODAFONE. - Reclamación ante la OMIC (12/08/2020). - Solicitud acceso a VODAFONE (10/09/2020 y 16/11/2020). - Respuestas VODAFONE (10/09/2020 y 17/11/2020). - Denuncias ante la Guardia Civil (22/12/2018, 14/07/2019, 27/05/2020 y 03/08/2020). ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: VODAFONE ESPAÑA, S.A.U. con NIF A80907397 con domicilio en AVDA. DE AMERICA 115 - 28042 MADRID (MADRID). RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Se ha solicitado información y documentación al reclamado y de su respuesta se desprende lo siguiente: Los representantes de la entidad reclamada indican que tras analizar la reclamación e investigar lo sucedido, han podido comprobar que, desde el mes de septiembre de 2018, se han venido solicitando una serie de consultas y peticiones respecto a las líneas de Vodafone contratadas por la reclamante, por medio de llamadas realizadas al departamento de Atención al Cliente de Vodafone. Aportan informe interno de Vodafone sobre las gestiones que denuncia la reclamante que constan en sus sistemas. Manifiestan que, en fecha 27 de mayo de 2020, la reclamante se puso en contacto con la entidad reclamada alegando un supuesto fraude en relación con las gestiones anteriormente mencionadas, siendo este el primer momento en que tuvieron constancia de los hechos objeto de reclamación. Indican que, según la reclamante, quien realmente efectuaba estas gestiones era su expareja (la tercera persona), con intención de causarle perjuicios. En este sentido, y para la seguridad de la reclamante, la entidad reclamada remitió el caso a su Departamento de Fraude, donde se decidió implementar todas las medidas de seguridad pertinentes para evitar la suplantación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 identidad de la reclamante. Por ello indican que, desde la mencionada fecha, las gestiones sobre la cuenta de cliente de la reclamante únicamente podían realizarse aportando la clave de seguridad que exclusivamente la reclamante conoce. Asimismo, en caso de no recordar la clave, esta podrá solicitar su recuperación aportando DNI, dirección de facturación y los últimos 4 dígitos de la cuenta bancaria asociados a la cuenta de cliente. Indican que, no obstante lo anterior, la reclamante interpuso un escrito de reclamación en la Oficina Municipal de Información al Consumidor de ***LOCALIDAD.1 (en adelante, “OMIC”) el 4 de septiembre de 2020, dado que, de algún modo la tercera persona continuaba superando los controles de seguridad para realizar solicitudes y pedidos fraudulentos. Indican que tal y como se detalla en las respuestas a la OMIC, la entidad reclamada pudo verificar que la reclamante contaba con una política de seguridad activada, que requería de la aportación de una clave y los últimos cuatro dígitos de su cuenta bancaria para permitir la realización de cualquier gestión sobre las líneas contratadas. Indican que a efectos de acreditar lo anterior, aportan las respuestas enviadas por Vodafone ante los requerimientos de la OMIC. Señalan que la efectiva gestión de todas las solicitudes tramitadas en la cuenta de cliente de la reclamante implica la superación de las políticas de seguridad que la entidad reclamada tiene implementadas a fin de prevenir que se realicen prácticas fraudulentas sobre los datos personales de sus clientes. Indican que en este sentido, y dado que el interlocutor conocía los datos identificativos de la titular de la línea, mi representada entendió en todo momento que se trataban de gestiones con apariencia de lícitas, reales y veraces. Manifiestan que las medidas de seguridad solicitadas por la reclamante están plenamente implementadas y en funcionamiento para su protección y esta parte entiende que la incidencia planteada está correctamente resuelta. Indican que desde 27 de mayo de 2020, el Departamento de Fraude de Vodafone ha implantado en el ID de cliente de la reclamante medidas de seguridad adicionales para que ningún tercero pueda suplantar su identidad. Manifiestan que entre las medidas de seguridad implantadas se encuentran las siguientes: (

1. i)la solicitud de la clave de seguridad de cuatro dígitos y la solicitud de los últimos cuatro dígitos de los datos bancarios. Esta información se exige a la reclamante antes de proporcionar información sobre su cuenta, ejecutar modificaciones sobre la misma o contratar nuevos servicios. Asimismo, para asegurar que los usuarios no puedan verse bloqueados de su cuenta si olvidan o pierden su clave de acceso, la política de seguridad se considerará superada si los interesados aportan cumulativamente el número de DNI, la dirección de facturación y los 4 últimos dígitos de la cuenta bancaria. Aportan copia de captura de pantalla de los sistemas de información en la que se muestra la activación de la clave de seguridad; (
2. ii)un mensaje pop-up de aviso de seguridad insertado en el sistema que se muestra al acceder a la ficha de cliente de la reclamante y en el que se puede leer lo siguiente “No realizar modificaciones de datos, cambios de sim, altas nuevas, portabilidades y pedidos si llama desde una línea que no es del cliente y/o número oculto. política de seguridad: siempre hay que pedir la clave + datos bancarios”. Aportan captura de pantalla en la que puede apreciarse dicho mensaje. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 En la carta enviada a la reclamante, cuya copia aportan consta: “En cualquier caso, le informamos de que, tras analizar los hechos que reclamaba, Vodafone ha podido comprobar que su cuenta de cliente figura protegida mediante una clave de seguridad desde el 27 de mayo de 2020, requiriéndose la facilitación de este dato y de los cuatro últimos dígitos de su cuenta bancaria o, en su defecto, la aportación del DNI, dirección de facturación y los últimos 4 dígitos de la cuenta bancaria asociados a la línea en cuestión.” Los representantes del reclamado manifiestan además que a fin de evitar que se produzcan incidencias similares, desde la fecha 14 de marzo de 2012, Vodafone actúa bajo la Política de Seguridad para la Contratación de Particulares, la cual se ha ido actualizando progresivamente, y cuya última modificación ha sido implementada en fecha 21 de noviembre de 2019. Indican que, mediante dicha Política de Seguridad, el reclamado establece qué tipo de información debe requerir al cliente para cada gestión solicitada, como ha quedado reflejado en el detalle de su aplicación ante los trámites reseñados en el apartado anterior. Indican que, asimismo, queda incluido cómo proceder en caso de que un usuario no supere la Política de Seguridad, así como las actuaciones preventivas en situaciones de fraude. Aportan copia de la mencionada Política de Seguridad señalando que es de obligado cumplimiento para todos los Servicios Postventa Vodafone, quienes se encargan de aplicarla y respetarla. Manifiestan que como puede corroborarse en la Política de Seguridad aportada, la entidad reclamada en ningún caso facilitará los datos de domiciliación bancaria, únicamente limitándose a confirmar si los datos son correctos. Por ello, indican que no es posible que la mencionada tercera persona obtuviera el número de cuenta bancario de la reclamante por medio de la entidad reclamada, debiendo obrar dichos datos en conocimiento de este la tercera persona, sin saberlo la reclamante. Adicionalmente, manifiestan que se están revisando los procesos internos para asegurar que se cumplen las Políticas de Seguridad definidas o introducir los cambios necesarios cuando se considere pertinente. En concreto, indican estar trabajando en la mejora continua de: - Revisión de los procesos internos para asegurar que se cumplen las Políticas de Seguridad y controles de verificación que se han ido definiendo e incorporando, tanto en canal presencial como telefónico, para los escenarios de duplicados de SIM. - Refuerzos periódicos de comunicación de las Políticas de Seguridad y verificaciones que han sido definidas por Vodafone para los duplicados de SIM y que deben ser aplicadas por las agencias, tiendas comerciales y agentes. - Envío de comunicados periódicos al canal presencial y telefónico, así como al operador logístico, donde se alerta de los escenarios de riesgo detectados, sus características y patrones de comportamiento para prevenir nuevos casos. En estos comunicados se incluye el detalle de cómo se producen estas peticiones, canales a través de los que se solicitan, documentación que aportan, descripción de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 manipulación, zonas geográficas donde se están recogiendo/entregando las tarjetas SIM duplicadas. - Aplicación -si procede-, de la política de penalización existente para agentes o distribuidores que realicen cualquier duplicado o cambio de una tarjeta SIM sin haber requerido la documentación o que realicen cualquier gestión de cambio de SIM sin seguir todos los pasos definidos en la política de seguridad. Por otro lado, en relación con las grabaciones de las conversaciones mantenidas con los operadores del Servicio de Atención al Cliente del reclamado que ha solicitado la reclamante, la reclamada mantiene que estas grabaciones no se encuentran en sus sistemas. Indican que, de acuerdo con lo respondido ante la OMIC, las llamadas realizadas al Servicio de Atención al Cliente no se graban en su totalidad, sino que dichas grabaciones se realizan de manera aleatoria, tal y como se indica en la locución inicial al contactar con el Servicio de Atención al Cliente: “las llamadas podrán ser grabadas para mejorar la prestación del servicio”. Por último, indican que respecto a la solicitud de la reclamante sobre el informe detallado de contactos que solicitaron las gestiones– y tal y como también se respondió en su momento a la OMIC –, dicha reclamación no puede ser atendida, dado que para proveer esta información será necesaria la recepción de un requerimiento judicial o una diligencia de investigación proveniente de una autoridad judicial competente o de las Fuerzas y Cuerpos de Seguridad del Estado. La reclamante menciona un listado de 6 gestiones indicando que fueron realizadas por una tercera persona suplantando su identidad, comprobándose que las 5 primeras son anteriores al 27 de mayo de 2020, cuando se implementaron las medidas de seguridad especiales (clave de seguridad + dígitos cuenta corriente). La sexta gestión se refiere a la consulta de un número de línea nuevo solicitado por la reclamante. Se comprueba que en las facturas emitidas al cliente aparecen los 4 últimos dígitos de la cuenta corriente, facturas aportadas por la reclamante adjuntas a su reclamación. Se verifica que en la política de seguridad se cita: “Confirmación de datos personales del cliente (no información, nunca facilitamos, solo confirmaremos si los datos son correctos o no si pasa política): Nombre, DNI, domiciliación bancaria, dirección de facturación…” así como “Información sobre teléfonos del detalle de factura, no facilitar. Sólo podremos indicar los 3 primeros dígitos y el último de cada numeración. (Se informará al cliente que puede consultar los datos a través de Mi Vodafone, o darse de alta en la web de forma gratuita). “ FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De las actuaciones de investigación y de la documentación aportada, se desprende que en fecha 27 de mayo, la reclamante se pone en contacto con la reclamada alegando que se había producido una suplantación de identidad por parte de su expareja, por ello la reclamada remite el caso a su Departamento de Fraude, donde se decide implementar las medidas de seguridad pertinentes para evitar la suplantación, de este modo, las gestiones sobre la cuenta de cliente de la reclamante únicamente pueden realizarse, a partir de esta fecha, aportando una clave de seguridad que exclusivamente esta conoce, con la única excepción prevista para el caso de pérdida de la clave en el que será necesario aportar el número de DNI, la dirección de facturación y los 4 últimos dígitos de la cuenta bancaria. Asimismo, la reclamante indica que se le ha facilitado a su expareja el número de línea nuevo que ella había solicitado. No obstante, la reclamada afirma que no se facilita información, únicamente se confirma, aporta copia de la política de seguridad donde se dice: “Confirmación de datos personales del cliente (no información, nunca facilitamos, solo confirmaremos si los datos son correctos o no si pasa política): Nombre, DNI, domiciliación bancaria, dirección de facturación. Sólo podremos indicar los 3 primeros dígitos y el último de cada numeración. (Se informará al cliente que puede consultar los datos a través de Mi Vodafone, o darse de alta en la web de forma gratuita)…” así como “Información sobre teléfonos del detalle de factura, no facilitar” En consecuencia, se debe concluir que la entidad investigada disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia. En lo referente a proporcionar información relativa al número fijo de la reclamada, no ha quedado acreditado que se haya producido la exfiltración de los datos referidos. Por ello y conforme a lo expresamente recogido para los procedimientos administrativos sancionadores en el artículo 53.2.
3. b)de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, que reconoce al interesado el derecho “A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución VODAFONE ESPAÑA, S.A.U. y A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
4. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es