1/9 Expediente Nº: EXP202104087 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Doña A.A.A.(en adelante, la reclamante) con fecha 27 de julio de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, reclamado). Los motivos en que basa la reclamación son los siguientes: Se han facilitado duplicados de la tarjeta SIM de la reclamante (en fechas 31 de enero, 27 de abril y 8 de junio de 2020 (en dos ocasiones)) a terceras personas, quedándose sin línea y valiéndose dichos terceros de su línea para realizar operaciones fraudulentas en la cuenta bancaria de la reclamante (retirada de efectivo, solicitudes de préstamos, cargos fraudulentos). Manifiesta que después de sufrir el cambio de SIM fraudulento, el 27 de abril de 2020, ese mismo día y el siguiente indica al reclamado que no da autorización en ningún caso de que realicen más cambios de SIM. Crean clave de cliente para ser atendida solo con la clave. Manifiesta que otros días que llama no le piden la clave, por lo que le piden disculpas y le comunican que la pedirán siempre. Sin embargo, vuelve a sufrir un duplicado de SIM fraudulento en junio de
- Se da de baja por los hechos relatados el 12 de junio de 2020, al evidenciar una falta de seguridad con su línea, y le cobran la indemnización por la baja. Indica que le cobran hasta los duplicados de SIM fraudulentos realizados por terceras personas. Documentación relevante aportada por el reclamante: - Copia de facturas con los conceptos cargados. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 30 de octubre de 2020, se recibe en esta Agencia escrito de respuesta solicitando ampliación de plazo. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 16 de diciembre de 2020, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: A) Se ha solicitado impresión de los contactos registrados con el cliente en fechas 31/01/2020, 27/04/2020, 28/04/2020, y del 08/06/2020 al 15/06/2020 incluyendo el detalle de las gestiones realizadas y los comentarios del gestor. De la contestación recibida se desprende la existencia de múltiples contactos las fechas indicadas por la reclamante (aportan 131 impresiones de pantalla). Se especifican los más relevantes a continuación: - El 31/01/2020 constan múltiples contactos, no reflejándose en ninguno de ellos emisiones de duplicados SIM. Constan contactos para gestiones varias, entre ellas solicitudes de copia de facturas. - El 27/04/2020 a las 11:01:50 consta un contacto para activar la SIM. - El mismo día a las 14:24:24 consta un contacto en el que se anota la pérdida total del servicio móvil. - El mismo día a las 14:32:25 se anota que la clienta indica que no puede recibir/emitir llamadas, ni conectar con datos móviles. Le aparece “sin servicio” en pantalla. El agente que atiende la llamada realiza pruebas con la cliente como intentar probar la SIM en otro terminal o verificar que no está el modo avión activado. De ello se desprende que el agente no se da cuenta de que se ha producido un cambio de SIM no deseado o no dispone de esa información. - El mismo día a las 18:09:32 consta un contacto con el comentario “cliente indica que están haciendo uso del móvil de forma remota dice que quiere saber dónde están accediendo desde aquí se le informa que no hay forma de comprobar dicha información”. - Aportan otros diversos contactos de fechas 27/04/2020 y 28/04/2020 pero no consta en ninguno de ellos anotaciones que reflejen la activación de una clave ni la no autorización de cambios de SIM que comenta la reclamante, si bien muchos de los contactos registrados no reflejan ningún comentario. - El 08/06/2020 a las 09:37:56 consta un contacto con “llama para activar SIM”. -Consta en una anotación a las 09:44:20 un comentario del agente que indica “me aparece este comunicado al abrir ficha: no realizar modificaciones de datos cambios de sim altas nuevas portabilidades y pedidos si llama desde una línea que no es del cliente y/o número oculto” “Cliente pide que se le active la tarjeta SIM reviso y esta activa por lo que le informo al cliente.” - A las 9:52:41 del mismo día consta un comentario “cliente indica que aún no está activa la sim compruebo numeración todo ok pero aparece fallo en la tarjeta sim persona de contacto B.B.B. (ojo titular) tlf contacto ***TELEFONO.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 - A las 9:59:39 del mismo día consta un contacto de la clienta con el registro de pérdida total del servicio móvil. Consta el comentario “Miro su ficha y me sale que su tarjeta está activa. Voy a transferir a ATC. Cliente cuelga la llamada…” - A las 10:05:59 del mismo día consta otro contacto en el que se registra que el “cliente reclama que la tarjeta sim no le funciona compruebo si la tarjeta sim que hay en el sistema es la que esta utilizando y no es la misma intento gestionar Cliente cuelga” - A las 10:08:15 del mismo día consta otro contacto en el que se registra que el “CLIENTE INDICA QUE LE ACTIVEMOS UNA TARJETILLA SIM PERO NO HAY OT DE CAMBIO CORTA LA LLAMADA” - A las 10:12:34 consta otra llamada para activar sim con el comentario “política ok” - A las 10:36:43 consta un contacto en el que el cliente indica que no tiene datos móviles y fallos en llamadas. - A las 10:50:30 consta un registro con el comentario “CLIENTE RECLAMA UQE LE HAN HECHO UN DUPLICADO DE SIM SIN SU CONSENTIMIENTO INTENTO ACTIVAR LA SIM QUE TENIA, PERO NO ESPOSIBLE INFORMO UQE DEBE IR A TIENDA VF PARA DUPLICADO NUEVO BLOQUEO SIM” - A las 13:50:12 consta una gestión con el comentario “solicita distribuidora cancelar orden duplicado realizado sin consentimiento de la titular” - A las 15:05:45 consta un contacto con la cliente con el comentario “abro petición de datos por usurpación de personalidad al cliente le han realizado un duplicado de sim sin su consentimiento" - A las 22:41:01 consta un contacto (llamada de teléfono entrante) con la razón “cambio de SIM”. - A las 23:54:50 consta llamada entrante donde se comenta por el agente, “no puede hacer ni recibir llamadas […] tiene cambio de tarjeta indica que no lo realizo bloqueo tarjeta e indico generar cambio de sim” - El 15/06/2020 consta la baja del servicio con comentario registrado: “Comentarios del cliente: Denuncias. fraude. Usurpación de identidad”. B) Se ha solicitado, para los duplicados de SIM de fecha 27/04/2020 (un duplicado) y 08/06/2020 (dos duplicados) lo siguiente: - En caso de solicitud en tienda, copia del DNI recabado en la solicitud de duplicado de SIM. Si no existe copia recabada, reflejo que conste en los sistemas de la solicitud y comprobación de la identidad del solicitante mediante exhibición de su DNI. - En caso de solicitud/activación telefónica, registro del caso (aportando grabación de la llamada, e impresión del caso registrado en los sistemas de la entidad). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Como se ha reflejado en los contactos registrados, en uno de ellos del 08/06/2020 el gestor reflejó “política ok”, no encontrándose ningún otro reflejo de haber pasado la política de seguridad, ni aportan grabaciones de las llamadas u otras comprobaciones de identidad. Los representantes del reclamado han manifestado “Sin perjuicio de lo anterior, indicar que mi representada no dispone de las grabaciones de las llamadas de los cambios de SIM en las fechas señaladas y registradas en el Documento número 1, puesto que las llamadas que se hacen al departamento de atención al cliente y que no constituyen un contrato entre las partes, se conservan durante un periodo corto de tiempo” siendo el documento número 1 el que recoge las interacciones registradas. C) Dado que el cliente manifiesta que se le activó clave de seguridad el 27-28/04/2020 con motivo de la emisión del duplicado de SIM. Se ha requerido aportar el motivo por el cual no se ha tenido en cuenta la clave de seguridad, así como el anterior duplicado de SIM reclamado como fraudulento, y se ha conseguido duplicar la SIM dos nuevas veces el 08/06/
- Se pide también documentación acreditativa de haber solicitado la clave de seguridad a la persona que solicitó los duplicados el 08/06/
- Como se ha indicado, en los contactos registrados un gestor ha indicado “me aparece este comunicado al abrir ficha: no realizar modificaciones de datos cambios de sim altas nuevas portabilidades y pedidos si llama desde una línea que no es del cliente y/o número oculto” “Cliente pide que se le active la tarjeta SIM reviso y esta activa por lo que le informo al cliente.” No se ha encontrado referencia a clave de seguridad. Los representantes del reclamado han manifestado al respeto: “De acuerdo con los sistemas de Vodafone, las solicitudes de cambio de SIM fueron efectuadas por los agentes quienes, consideraron superadas las políticas de seguridad implantadas por Vodafone. Así las cosas, a raíz del cambio de SIM tramitado en fecha 8 de junio de 2020 que dio lugar a la reclamación interna de la A.A.A., se trasladó el asunto al departamento de fraude. De este modo, desde fraude se procedieron a efectuar las gestiones pertinentes para investigar los hechos acontecidos, calificando la incidencia como fraudulenta y aplicando medidas de protección adicionales sobre la cuenta cliente de la reclamante. En este sentido, se activó el “Check Víctima de Fraude” en su cuenta cliente y se insertó un aviso de seguridad al entrar en sus datos, con la leyenda “No realizar modificaciones de datos, cambios de sim, altas nuevas, portabilidades y pedidos si llama desde una línea que no es del cliente y/o número oculto”. En todo caso, el procedimiento de seguridad establecido por Vodafone prevé una Política de penalización para agentes o distribuidores que realicen cualquier duplicado o cambio de una tarjeta SIM sin haber requerido la documentación o que realicen cualquier gestión de cambio de SIM sin seguir todos los pasos definidos en la Política de seguridad.” D) Se ha requerido que, en caso de solicitud no presencial, con envío de SIM a domicilio, se aporte justificación de los motivos por lo que se pudo entregar la SIM en una dirección diferente a la del cliente si no se permite en dichos canales un cambio de doC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 micilio. Los representantes del reclamado han manifestado al respecto: “Según se ha podido averiguar como consecuencia de las investigaciones llevadas a cabo, en el supuesto del primer duplicado SIM de fecha 24/04/2020, la SIM utilizada para llevar a cabo dicho duplicado no procedía de un envío de una nueva tarjeta SIM al domicilio del cliente, sino que la persona que usurpó la identidad de la reclamante había obtenido la tarjeta SIM como consecuencia de un pedido fraudulento realizado a un tercer cliente de la cartera de Vodafone. Por otro lado, en lo referente al duplicado SIM fraudulento sufrido por la reclamante en fecha 08/06/2020, la tarjeta SIM utilizada para perpetrar la usurpación de identidad de la reclamante no fue obtenida mediante pedido a través de la cuenta de ID de cliente de la A.A.A., sino que la SIM que aportó la persona que contactó con atención al cliente procedía de un pedido enviado al distribuidor mayorista de prepago Sercom Soluciones. Por lo tanto, esta parte puede afirmar que no realizó ningún cambio de domicilio en la cuenta de cliente de la A.A.A.. A este respecto, todos los empleados de Atención al Cliente han recibido formación de los pasos a seguir para la realización de cambio de SIM, a través de la Guía que está disponible para todos los agentes en el portal denominado “RED PLANET”, donde se incluyen todos los procesos y procedimientos de Vodafone que les son de aplicación y los pasos a seguir en cada caso según las circunstancias. En los casos concretos, para aquellos casos en los que la SIM no se envía al domicilio que conste en sistemas del cliente de manera previa a su cambio, el proceso a seguir contenido en la política de seguridad de Vodafone exige que se debe de remitir a éste a una tienda para verificar su identidad, omitiendo este último paso ambos agentes. No obstante, como se ha mencionado anteriormente, Vodafone prevé una Política de penalización para agentes o distribuidores que realicen cualquier duplicado o cambio de una tarjeta SIM sin seguir todos los pasos definidos en la Política de seguridad, depurándose internamente las responsabilidades que se deriven de dichos incumplimientos.” E) Se ha requerido al reclamado información sobre las acciones emprendidas incluyendo acreditación documental de los siguientes aspectos: - Si se ha marcado como víctima de fraude al cliente para evitar posibles intentos de suplantación de identidad futuros. Acreditación documental de la fecha en que se produjo la marca. - Si se han realizado investigaciones internas para esclarecer los hechos, ya sea con el punto de venta en caso de entrega en tienda, o internas en caso de canal on-line/telefónico. Resultado de dichas investigaciones. - Si se ha contactado con el cliente para alertarle de lo sucedido y sobre la resolución de su caso. - Copia de la contestación emitida al cliente por su reclamación de fecha 09/06/2020 (se adjunta al requerimiento). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 Los representantes del reclamado indican que en fecha 08/06/2020 se activó a la reclamante el check de víctima de fraude. Aportan captura de pantalla. Sobre las investigaciones los representantes de la entidad han manifestado: “El procedimiento que sigue el departamento de fraude de mi representada cuando detecta los cambios de SIM fraudulentos, es contactar con el responsable de las plataformas de atención al cliente a fin de que realicen todas las acciones necesarias para evitar que estos actos se sigan cometiendo. A este respecto, en fecha 17 de junio de 2020, se remitió un correo al responsable de la plataforma de atención al cliente que contenía las siguientes indicaciones con el fin de evitar incidencias similares: − Revisar estas acciones con los agentes/agencias a fin de que apliquen correctamente las políticas de seguridad que se han ido modificando en Atención al Cliente y que evitarían que estas acciones se produjeran. − Reforzar las políticas de seguridad para realizar un cambio de SIM así como las verificaciones necesarias. ▪ No facilitar información ni realizar cambios de SIM ni modificaciones de datos si la petición procede desde números ocultos, internacionales o distintos a los que el cliente tiene contratados con Vodafone. ▪ No se realicen cambios de sim si la tarjeta no ha sido enviada al cliente previamente y se remita a dicho cliente a tienda donde también hemos trabajado en asegurar y reforzar las políticas de seguridad en los cambios de sim presenciales. − Además de confirmar si la tarjeta que quiere utilizar el cambio ha sido enviada al cliente desde call center y en caso contrario remitir a tienda para que realicen cambio de SIM, donde confirmaran físicamente que el cliente es quien dice ser y custodiaran la documentación aportada para dicho cambio. − Analizar si procede sancionar a las agencias por incumplir con las políticas y procesos marcados y comunicados por Vodafone. − Aplicar de forma urgente las acciones necesarias que eviten que este escenario se siga produciendo. Además de las actuaciones anteriores, mi representada ha remitido de oficio las incidencias al Grupo de Delitos Tecnológicos de la Policía Nacional de Murcia en fecha 21 de septiembre de 2020, que se encuentra actualmente investigando los hechos denunciados. Por último, con el fin de evitar futuras incidencias similares, mi representada se encuentra en proceso de refuerzo de sus políticas de seguridad tratando de evitar que los agentes tengan que acceder a los sistemas para tramitar este tipo de solicitudes directamente. En este sentido, las peticiones de cambio de SIM se derivarán al sistema IVR (robot) que se encargará de pasar la política de privacidad impidiendo así eventuales actuaciones fraudulentas.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 Sobre si se ha contactado con el cliente para alertarle de lo sucedido y sobre la resolución de su caso, los representantes del reclamado realizan manifestaciones únicamente sobre la reactivación y restauración de los servicios: “Tras efectuarse los cambios de SIM, y después de que la reclamante pusiera en conocimiento de la incidencia a mi representada, se procedió a restaurar los servicios contratados efectuando los consiguientes cambios de SIM a favor de la A.A.A., resolviendo así las incidencias objeto de reclamación. En concreto, en fecha 8 de junio de 2020, mi representada comunicó a la reclamante, vía telefónica, que se iba a intentar proceder a la reactivación de la SIM correcta, confirmando la A.A.A. que iba a dirigirse a tienda para realizar un nuevo duplicado. No obstante lo anterior, no constan en nuestros sistemas grabaciones de las llamadas mencionadas puesto que las comunicaciones mantenidas con el departamento de atención al cliente, y que no constituyen un contrato entre las partes, solo se graban aleatoriamente y por motivos de calidad. Aunque puede comprobarse estas gestiones en las interacciones que se recogen en el Documento número 1 que se señala en la primera de las manifestaciones.” Con relación a la copia de la contestación emitida al cliente por su reclamación de fecha 09/06/2020, los representantes del reclamado manifiestan que adjuntan copia de las contestaciones dadas a la reclamante, en respuesta a su escrito de demanda ante la Junta Arbitral de Consumo de Aragón en el seno del expediente 0516/20-JA y la respuesta en cumplimiento del laudo emitido a raíz del citado expediente. Examinadas dichas contestaciones, se verifica que no se indica nada sobre lo reclamado por la reclamante, que manifiesta en su reclamación haber sido víctima de usurpación de identidad para emisión de duplicados SIM en varias ocasiones y en concreto, después de activar clave de seguridad sobre su registro de cliente. Estos aspectos no se mencionan, limitándose únicamente a mencionar las cantidades abonadas o cargadas en la cuenta del cliente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II En relación con la reclamación presentada y admitida a trámite por esta Agencia, le informamos de la incoación del expediente nº PS/00001/2021, contra VODAFONE ESPAÑA, S.A.U. Asimismo, le comunicamos que con fecha 5 de noviembre de 2021 se ha dictado la resolución del procedimiento. En la Resolución se sancionaba con una multa a VODAFONE ESPAÑA, S.A.U., con una multa de 3.940.000’00 euros (tres millones novecientos cuarenta mil euros), por una infracción del artículo 5.1.f) y 5.2 del RGPD, tipificada en el artículo 83.5.a) del RGPD, y calificada como muy grave a efectos de prescripción en el artículo 72.1.a) de la LOPDGDD. De esta forma, se da cumplimiento a lo establecido en el art. 77.2 del Reglamento (UE) 016/679 (Reglamento General de Protección de Datos), que establece que la autoridad de control ante la que se haya presentado la reclamación informará al reclamante sobre el curso y el resultado de la reclamación. Los hechos reclamados se refieren al mismo procedimiento operativo de protección de datos que ha sido investigado y sancionado por la AEPD mediante la resolución precitada, que fue publicada en la página web www.aepd.es.”. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-200122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es