E-07413-2013

1/11 Expediente Nº: E/07413/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ESPAÑA, S.A.U., en virtud de la denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 07/11/2013, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de A.A.A. (en lo sucesivo la denunciante) en el que expone que cuando se llama al número de atención al cliente de VODAFONE ESPAÑA, S.A.U., (en lo sucesivo, VODAFONE o la denunciada) y se accede a los servicios de respuesta vocal es posible cambiar la información de la cuenta bancaria, acceder a los servicios contratados y modificarlos sin que exista “ningún tipo de control de seguridad que permita asegurar que la persona que intenta tener acceso a la información es el titular de la misma”, lo que considera contrario a la normativa de protección de datos. Aporta la grabación de tres llamadas telefónicas dirigidas al Servicio de Atención al Cliente (SAC) de VODAFONE en fechas 03/07/2013 y 04/07/213, sin que se tenga conocimiento de la fecha de la tercera de ellas. Aporta también copia de los contratos de las líneas ***TEL.1 (de fecha 26/03/2013), ***TEL.2 (de fecha 27/02/2013) y ***TEL.3 (de 26/02/2013) celebrados con VODAFONE. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a realizar actuaciones de investigación para el esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección que reproducimos: <<ANTECEDENTES Con fecha 7 de noviembre de 2013 se recibe en el registro de la Agencia Española de Protección de Datos escrito de A.A.A. y en fecha 2 de enero de 2014 se recibe escrito de Subsanación y mejora de solicitud. En dichos escritos se pone de manifiesto los siguientes hechos: La denunciante, cliente de VODAFONE ESPAÑA SA (en adelante VODAFONE) manifiesta que el Servicio telefónico de Atención al Cliente de VODAFONE ofrece la posibilidad de realizar consultas y modificaciones sobre servicios contratados sin realizar ningún control de seguridad que permita asegurar que la persona que intenta acceder a la información solicitada es la titular de la misma. La denunciante ha aportado, en fecha 12 de noviembre de 2013, tres grabaciones de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 conversación mantenidas con el Servicio de Atención al Cliente de VODAFONE donde a personas que no son titulares de las líneas le proporcionan información sobre deudas y sobre las líneas consiguiendo suspender temporalmente alguna de ellas. ACTUACIONES PREVIAS DE INSPECCIÓN

1. El denunciante ha aportado un CD-ROM donde constan tres grabaciones de conversaciones con el Servicio de Atención al Cliente de VODAFONE: En la primera grabación Comienza la grabación con un contestador automático identificándose como Servicio de Atención al Cliente de Vodafone. La persona que realiza la llamada solicita “Otras Consultas”, “Departamento de Bajas” y después de las indicarle las posibles opciones (baja ADSL, baja voz o cambio de pago) solicita “Baja Voz”. El contestador solicita el número de teléfono y el número de DNI del titular de la línea. El interlocutor manifiesta que la línea es la que está llamando y aporta el número de DNI. Una vez indicados por marcación, el contestador le informa de que tiene una deuda pendiente por importe de 506,60 € y le oferta las posibilidades de: pagar deuda, información para poder proceder a la baja o realizar otra consulta. La persona solicita “Realizar otra consulta” y “Hablar con un agente” por problemas de facturación. El contestador le indica varias opciones y le pasa la comunicación a un operador. El operador le pregunta que quiere solicitar y la persona que llama le indica que quiere dar de baja temporal las tres líneas de su novia por incumplimiento de la normativa de protección de datos ya que han modificado varios servicios de estas líneas a pesar de tener contraseña. El operador le solicita la clave o el número de DNI y la persona aporta el número “***NIF.1”. El operador le indica que en este momento no se puede realizar la baja que llame en otro momento y solicite hablar con el Dpto de Bajas. La persona que ha llamado solicita al operador le indique las líneas que tiene activas su novia actualmente y le pregunta si tiene que aportar el DNI de su novia, también le informa que las líneas son las 717 y
2. El operador le solicita el número de clave y él aporta el DNI “***NIF.1”. Le informan que tiene las líneas ***TEL.4 desde la que está llamando y la línea ***TEL.
3. La persona vuelve a preguntar indicando que sabe que hay otra línea y le indican que les consta una tercera línea dada de baja. La persona que ha llamado le pregunta al operador si la fecha del día es “2 de julio” y el operador le contesta que es “3 de julio”. En la segunda grabación La grabación comienza cuando un operador indica “la línea está desactivada por una deuda” “con lo cual no se podría reactivar”. La persona informa que las dos líneas actuales son la 717 y el operador le indica que la línea ***TEL.4 es la que está desactivada temporalmente hasta el 4 de enero”. La persona indica la otra línea ***TEL.3 y le informan que esa línea es la que está desactivada por impago. La persona insiste sobre una tercera línea sin proporcionar información y el operador le indica que le diga el número de línea y dice que no recuerda y finalmente aporta el número ***TEL.1 y le contestan indicando que la línea está activa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 Solicita la desactivación temporal de la línea y el operador le indica que necesita el número clave para poder desactivar la línea. La persona quiere proporcionar el número de DNI pero el operador le indica que entonces tiene que llamar la titular de la línea. La persona proporciona como número clave el “7534” y el operador le indica que es “Correcto” y procede a la desactivación de la línea desde “las 11 de esta noche hasta el 4 de enero”. La persona le indica que el motivo de la desactivación es que incumplen la normativa de protección de datos ya que con aportar el número de DNI se facilita los números de teléfonos. Desde el 4 julio está desactivada. En la tercera grabación Comienza un contestador automático identificándose como Servicio de Atención al Cliente de Vodafone y solicitando el motivo de la llamada. Se indica “Saber el número” y le pasa la comunicación a un agente. La persona que llama solicita “Quiero saber el número de teléfono de mi tía”. La persona dice que se llama IRIS. El agente le pregunta si su tía es cliente de VODAFONE y contesta que si el operador le solicita el número de DNI y la persona aporta “***NIF.1”. El agente pregunta si la titular se llama “Jennifer” y la persona confirma y le informa de los dos números “***TEL.1 y ***TEL.4”.
4. Tal y como consta en el Acta de Inspección E/7413/2013-I/1 realizada en VODAFONE en fecha 9 de septiembre de 2014: 2.
5. En los Sistemas de Información de VODAFONE consta el cliente A.A.A. como titular de las líneas:  Línea ***TEL.1 con fecha de alta 26/03/
6.  Línea ***TEL.3 con fecha de alta 26/02/
7.  Línea ***TEL.4 con fecha de alta 27/02/
8. Todas ellas de baja por impago con fecha 11/02/
9. 2.
10. Se ha verificado que figura un impago por importe de 506,86 € motivado por la devolución de una factura correspondiente a junio de
11. Asimismo se comprueba que, a la fecha de la baja, consta un impago por importe 631,80€. 2.
12. Se ha comprobado que en el Sistema donde se registran los contactos mantenidos con los clientes figura: 2.3.1.Con fecha 18 de junio de 2013 constan diferentes contactos con el cliente respecto de que tiene palabra clave para las interacciones. 2.3.2.Con fecha 19 de junio de 2013 consta la anotación: “Se ha dado de alta la palabra clave para este cliente”. 2.3.3.Con fecha 22 de junio de 2013 consta la siguiente anotación: “Iris – solicita número de esta cl. Facilita dni, facilito” 2.
13. Con fecha 3 y 4 de julio de 2013 consta una anotación sobre una llamada en la que el cliente solicita la desactivación temporal de sus líneas y figura que se pasa la llamada al departamento de bajas.
14. Con carácter general, en el Servicio de Atención al Cliente se solicita inicialmente el número de la línea y el DNI para acreditar la identidad del cliente. Posteriormente y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 dependiendo del servicio solicitado se procede a recabar datos adicionales con objeto de cumplir la política de seguridad de VODAFONE. Asimismo, VODAFONE pone a disposición de sus clientes la posibilidad de activar claves de seguridad para las interacciones con los clientes que incluyan modificación de datos del cliente, bajas en servicios, modificaciones en facturación, aplicar restricciones a los servicios. Con carácter general se solicitan dichas claves cuando se procede a modificar información del cliente no así cuando se realizan consultas sobre el número de línea.
15. En relación con las grabaciones aportadas por la denunciante, VODAFONE manifiesta: 4.
16. Respecto de la primera grabación en la cual, el sistema de respuesta automática al solicitar el cliente la baja de una línea y validar el sistema los datos de teléfono que realiza la llamada y DNI, se informa de una deuda de dicha línea:  El sistema de respuesta automática realiza la validación de los datos de titularidad para encaminar la llamada dependiendo del tipo de servicio que se solicita. Todos los procesos que conllevan modificación de datos y bajas de servicios se realizan por un operador.  En el caso de que solicite una baja para la línea telefónica desde la que ha realizado la llamada, el sistema de respuesta automática solicita el DNI.  Cuando la línea y el DNI coincide con los datos del titular y se solicita la baja de la línea como en este caso, el sistema de respuesta automática facilita información de la deuda y si el cliente lo desea se desvía a un operador. 4.
17. Respecto de la primera grabación en la cual se solicita la baja temporal de las líneas una vez que el sistema de respuesta automática lo ha desviado a un operador:  En la grabación consta que el operador de VODAFONE deniega la baja de las líneas.  En relación con la información sobre las líneas de la titular, la persona que ha realizado la llamada ha aportado varias cifras de las líneas por tanto conocía la existencia y el número de las líneas. Asimismo y tal y como se refleja en la grabación, sobre una de las líneas el operador de VODAFONE no aporta ninguna información ya que la persona que ha llamado no ha proporcionado ningún dato sobre la misma y por ello solo indica que hay una línea en baja. 4.
18. Respecto de la segunda grabación donde se procede a la baja de las líneas los representantes de VODAFONE manifiestan:  Dado que la grabación se encuentra cortada en su inicio, no consta la solicitud de los datos que acreditan la identidad del cliente. Como ya se ha explicado, antes de que se pase a un operador, el sistema de respuesta automática ya ha verificado que el número desde el que se llama y el DNI aportado por la persona que realiza la llamada coincide con los datos de la titular de la línea.  Como se ha podido verificar en la grabación, el operador de VODAFONE no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 aporta ninguna información siendo la persona que llama la que indica los números de línea, a pesar de que intenta que se lo proporcione el operador de VODAFONE.  Además, y tal y como se ha visto en la grabación se solicita la baja de la línea solo aportando el número de DNI por lo que se le indica que debe de llamar la titular. Únicamente se procede a la baja temporal cuando la persona que llama aporta la clave de seguridad, cuya custodia corresponde al titular.  Aportando la clave de seguridad se pueden realizar modificaciones de datos ya que es uno de los motivos por los cuales los clientes solicitan dicha clave. 4.
19. Respecto de la tercera grabación  Para dar información sobre un número de línea a solicitud de un tercero VODAFONE solicita se aporte el DNI del titular y el nombre.  En este caso la persona que solicita dicha información se identifica como su sobrina y aporta el número de DNI y el nombre y ambos coinciden con los datos de la titular. Por ello, el operador de VODAFONE informa de los números de línea ya que ha pasado la política de seguridad.  En este tipo de consultas no se facilita ningún dato personal.  Aunque en la grabación la voz parece corresponder a un menor (sobrina de la titular), VODAFONE no puede discriminar una solicitud solo por este motivo.
20. Respecto de la denuncia en la que se pone de manifiesto que VODAFONE no realiza ningún control de seguridad para el acceso a la información VODAFONE realiza las siguientes manifestaciones:  No es cierto lo que se denuncia respecto de que VODAFONE realice modificaciones en los datos de los clientes sin pasar ninguna medida de seguridad que garantice la identidad del titular, ya que, tal y como se ha visto en las grabaciones, esta manifestación es falsa porque en todos los casos se ha solicitado que se aporten datos de la titular adicionales al teléfono desde el que se estaba realizando la llamada.  De las grabaciones se desprende que en todos los casos se ha cumplido la política de seguridad de la compañía y se han solicitado a la persona que ha realizado la llamada los datos establecidos para acreditar la identidad de la titular, incluyendo la clave de seguridad para poder realizar la baja temporal de las líneas.  En el contacto de fecha 22 de junio de 2013 en el cual consta una anotación respecto de una llamada de IRIS, el operador no ha registrado que se trata de su sobrina y que además del DNI ha indicado el nombre, tal y como se puede comprobar en la grabación aportada.  VODAFONE no puede controlar el mal uso que los clientes hacen de sus propios datos facilitando información a terceros, incluso la clave de seguridad, con fines malintencionados, tal y como VODAFONE entiende que es este caso.  VODAFONE considera que se aprecian indicios de delito en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 comportamiento del denunciante que serán analizados para realizar acciones posteriores.  Los agentes de VODAFONE no han proporcionado datos personales.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 9 de la LOPD bajo la rúbrica “Seguridad de los datos” establece: “
21. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
22. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.
23. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” Este precepto debe integrarse con la definición de “datos de carácter personal” y de “tratamiento de datos” que ofrece la LOPD en sus artículos 3, a) y 3, c), respectivamente: “cualquier información concerniente a personas físicas identificadas o identificables“; “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. A propósito de esta obligación impuesta por el artículo 9 de la LOPD es también necesario citar el artículo 93 de su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) relativo a la “Identificación y autenticación” que dispone: “1.El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios.
24. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 intente acceder al sistema de información y la verificación de que está autorizado.
25. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad” A su vez el artículo 5.2, apartados b), c) y p), del RLOPD aclara que se entiende por “Autenticación” el “procedimiento de comprobación de la identidad de un usuario” ; por “contraseña” la “información confidencial, frecuentemente constituida por una cadena de caracteres, que puede ser usada en la autenticación de un usuario”; y por “Usuario” “el sujeto o proceso autorizado para acceder a datos o recursos”. La importancia que tienen las medidas de seguridad en relación con el derecho fundamental de protección de datos ha sido destacada por el Tribunal Constitucional, que ha indicado ( por todas, SSTC 143/1994 y 197/2003) que un sistema normativo que autorice la recogida de datos, incluso con fines legítimos, y no contemple las garantías adecuadas frente a un uso potencialmente invasor de la vida privada del ciudadano a través de su tratamiento técnico vulneraría el derecho a la intimidad del mismo modo que lo harían las intromisiones directas en el contenido nuclear de ésta. La Directiva 95/46 CE, del Parlamento Europeo y del Consejo, que se traspuso a nuestro ordenamiento jurídico por la LOPD establece en su artículo 17, bajo la rúbrica “seguridad del tratamiento” lo siguiente: “
26. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizado, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse”. La LOPD tipifica en su artículo 44.3.h), como infracción grave, la vulneración de las obligaciones impuestas en relación a las medidas de seguridad. Así, dispone que son infracciones graves “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. El artículo 10 de LOPD se ocupa del “Deber de secreto” y establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. La obligación impuesta por el artículo 10 LOPD conlleva que el responsable de los datos almacenados o tratados y quienes intervengan en cualquier fase del tratamiento no pueden revelar ni dar a conocer su contenido teniendo el “deber de guardarlos”. A través de él se trata de salvaguardar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y, en definitiva, el poder de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 control o disposición sobre ellos. Este deber comporta que los datos personales no puedan ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley. La vulneración del artículo 10 de la LOPD constituye una infracción grave tipificada en el artículo 44.3.d (antes de la reforma operada por la Ley 2/2011, artículo 44.3.g). Como ha señalado la Audiencia Nacional en reiteradas ocasiones (por todas, SAN de 07/05/2009 y 11/06/2009) “es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional –como aquí ocurre en relación con el número de la cuenta corriente- se hayan puesto de manifiesto a tercero, sin que pueda presumirse que tal revelación se ha producido.” (El subrayado es de la AEPD) III La denuncia que nos ocupa versa sobre una supuesta omisión por parte de VODAFONE de las medidas de seguridad que está obligada a adoptar a fin de verificar la identidad de quien accede a la información que obra en sus ficheros concerniente al titular de una línea. La denunciante ha aportado en prueba de la omisión de las medidas de seguridad que atribuye a VODAFONE la grabación de tres conversaciones mantenidas con el SAC de la denunciada. Debe indicarse, en primer término, que los representantes de la compañía denunciada explicaron durante la inspección practicada en su sede - manifestaciones que están incorporadas al Acta de Inspección- que con carácter general el SAC de la compañía, al objeto de acreditar la identidad del usuario, solicita inicialmente el número de línea y el DNI, sin perjuicio de que, posteriormente, y dependiendo del servicio solicitado, se proceda a recabar datos adicionales con objeto de cumplir la política de seguridad de VODAFONE. Añaden que se ofrece también a los clientes la posibilidad de activar “claves de seguridad” que se utilizarán para las interacciones con los clientes en los siguiente casos: a. modificación de los datos del cliente. b. bajas en servicios. c. modificaciones en facturación. c. aplicación de restricciones en los servicios. Indican que, sin embargo, no se requerirá la clave de seguridad cuando lo que se pide es información. A resultas de las investigaciones efectuadas ha quedado acreditado que la denunciante contrató con VODAFONE las líneas ***TEL.1 (fecha de alta 26/03/2013), ***TEL.3 (fecha de alta 26/02/2013) y ***TEL.5 (el 27/2/2013) que cambió de numeración al ***TEL.4 el 18/06/
27. Corresponde, seguidamente, analizar el contenido de las tres grabaciones que la denunciante ha aportado y valorar si se incumplieron por la operadora las obligaciones que la LOPD y sus normas reglamentarias de desarrollo imponen a los responsables de ficheros y encargados de tratamiento en relación con los datos personales que obran en ellos. Del examen de la primera de las grabaciones (que tuvo lugar el 03/07/2013) se constata que una vez que el emisor de la llamada dirigida al SAC de VODAFONE manifiesta que desea solicitar la “baja temporal de voz”, el contestador/operador le pide que facilite el número de teléfono ( con la salvedad de que si la baja que se solicita es de la misma línea desde la que se hace la llamada deberá indicar “la misma) y el número de DNI del titular de la línea. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 Cuando el emisor de la llamada había facilitado estos dos datos, de manera que había superado con éxito las medidas de seguridad que la operadora tiene implementadas, fue cuando se informó de la existencia de una deuda pendiente de 560,80 € en relación con la línea cuya baja temporal solicitaba. También en esta grabación se puede comprobar que, pese a la insistencia del emisor de la llamada para que el operador con el que conversa le facilite el número de una tercera línea de la que es o fue titular su novia, pero que presumiblemente está de baja, no le llega a proporcionar esta información. Se concluye así que el SAC de la compañía cumplió las disposiciones vigentes en materia de seguridad de los datos y de deber de secreto. Exigió la autenticación del usuario prevista para aquellos supuestos en los que se pide la baja en los servicios (DNI + número de línea) y no reveló información concerniente a la titular. Respecto a la segunda llamada hay que advertir que la grabación facilitada comienza cuando la conversación está avanzada, cuando el operador de la compañía ya está informando al emisor de de que la línea se encuentra desactivada por una deuda, de manera que hay que presumir que, como en el caso anterior y como prevé el protocolo de la compañía, se había pasado previamente con éxito la oportuna política de seguridad. Por otra parte, no puede considerarse contrario a la LOPD la circunstancia de que estando autenticado el usuario y cuando éste pregunta al operador sobre los números de línea que están activos después de haberle facilitado los tres primeros dígitos del número de línea