PS-00001-2021

1/88 Procedimiento N.º: PS/00001/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante uno), en fecha 2 de septiembre de 2019, interpone una reclamación ante la AEPD dirigida contra VODAFONE ESPAÑA, S.A.U. con CIF A80907397 (en adelante, VODAFONE o VDF), por los siguientes motivos: “El día 5 de Agosto sobre las 21:00 horas de la noche compruebo que mi terminal con línea de su compañía ***TELÉFONO.1 se queda sin la red y no puedo efectuar ni recibir llamadas, por lo que llamo al Servicio de Atención al Cliente y tras 2 minutos de espera me dicen que la línea está bien y que acuda a un Distribuidor (tienda de Vodafone) para ver si se puede tratar de algún problema en la tarjeta SIM, que pueda estar dañada y que se soluciona con un cambio de la misma. Al día siguiente día 6 de agosto, dado que trabajo en una localidad a 70 kms de mi domicilio y allí no hay tienda, no puedo hacerlo hasta las 18:30 horas de la tarde y acudo a la tienda Vodafone que se encuentra en la calle Ancha nº 26 donde además de facilitarme una nueva SIM con coste de 5 euros, me contratan una oferta de algunos canales más a mi Tv del paquete que tengo contratado. En el momento de recuperar el teléfono, sobre las 19:04 horas y una vez restablecida normalmente mi línea, recibo entrada de nuevos mensajes y en uno de ellos, una Alerta del Banco de Santander, me dice que estoy realizando una transferencia desde mi banca On line y que, si no es así, me ponga en contacto con el número ***TELÉFONO en horario de 9:00 a 19:00 horas lo cual no hago, pues lo recibo a las 19:04 horas. Al llegar a mi domicilio, intento entrar en la Banca Digital pero no puedo acceder con mis contraseñas para comprobar si ha habido algún movimiento extraño en mi cuenta, lo cual pospongo para el día siguiente 7 de Agosto en la Sucursal del Banco de Santander en ***LOCALIDAD.1, lugar donde trabajo; Es en la sucursal cuando un empleado me saca un extracto donde me comunican que tengo concedido y contratado un Préstamo, y una vez concedido ha habido 25 operaciones de gastos, compras de tarjetas de crédito, transferencias, y pagos a otras entidades, que yo no he realizado, por lo que acudo a formular una denuncia ante la Guardia Civil, porque alguna persona o personas, ha utilizado mis contraseñas y mi acceso a Banca On Line del Santander, para hacer todas esas operaciones de manera fraudulenta. Es obvio que utilizaron mi línea telefónica secuestrada durante 1 día y medio, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/88 fecha en que acudo a hacer personalmente un duplicado de mi tarjeta. A posteriori de la Denuncia, y en llamada a Vodafone interesándome por lo que había pasado en aquellos dos días, un agente de la Compañía me informa que el día 5 a las 20:39 horas de la tarde, alguna persona o personas, han hecho un duplicado de mi tarjeta en la Tienda Vodafone del Centro Comercial "***CENTRO.1" de ***LOCALIDAD.3 (Cornellá) que yo no he realizado y por lo tanto DENUNCIO por suplantación de identidad, o por negligencia de quien o quienes permitieron ese cambio con mis datos, estando yo a 800 kms de distancia. Esto provoca el posterior delito o delitos de estafa, celebrando un contrato irregular de un Préstamo a mi nombre y la compra de tarjetas de crédito con saldos, además de un Seguro y varios movimientos con ese dinero conseguido, que yo no he autorizado”. Junto a la reclamación aporta la denuncia presentada ante la Guardia Civil de ***LOCALIDAD.1 (***PROVINCIA.1), en fecha 7 de agosto de 2019, con número de atestado ***ATESTADO.1` y la factura número ***FACTURA.1 emitida por VDF en esa misma fecha, que contiene el cargo correspondiente a la emisión de una tarjeta SIM ((Subscriber Identity Module – Modulo de Identidad del Abonado), donde especifica como dirección de entrega un Centro Comercial ubicado en el municipio de ***LOCALIDAD.2, cuando el RECLAMANTE UNO tiene su residencia habitual en el municipio de ***PROVINCIA.1. De acuerdo con lo previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, en fecha 21 de octubre de 2019, se dio traslado de la reclamación a VDF, para que procediera a su análisis y diera respuesta en el plazo de un mes. En respuesta a dicho requerimiento, VDF manifiesta -entre otros argumentos- lo siguiente: “Tras analizar la denuncia presentada por el Sr. A.A.A. y realizar las investigaciones internas oportunas hemos verificado que con fecha 5 de agosto de 2019, se realiza un cambio de tarjeta SIM en la Tienda de Vodafone sita en el Centro Comercial ***CENTRO.1, para la línea ***TELÉFONO.1 asociada a D. A.A.A., con domicilio en C/ ***DIRECCIÓN.1, ***PROVINCIA.1. En su reclamación, el Sr. A.A.A. expone que, con fecha 7 de agosto de 2019, acudió a la Guardia Civil de ***LOCALIDAD.1 (***PROVINCIA.1) denunciando la posibilidad de que le hubieran suplantado la identidad y hubiesen realizado un duplicado de su tarjeta SIM sin su consentimiento, asociándolo a una serie de operaciones bancarias realizadas en su nombre con un préstamo bancario del Banco Santander no reconocido. Al día siguiente remite una carta por correo electrónico a mi representada, sobre los mismos hechos. Al llevar a cabo las investigaciones internas oportunas sobre el duplicado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/88 tarjeta SIM que se reclama, Vodafone procedió a (…). Asimismo, y de conformidad con la política de seguridad de Vodafone, la tramitación de un duplicado de tarjeta SIM únicamente podrá tramitarse si (…). Las políticas de seguridad de Vodafone se ponen a disposición de todos nuestros colaboradores y proveedores, siendo el cumplimiento de sus disposiciones obligatorio por todos sus empleados. No obstante, pueden existir casos en los terceros anteriormente referidos, por razones no relacionadas con Vodafone y fuera de su control puesto que son resultado de la toma de decisiones de una persona, no cumplan con la totalidad de lo dispuesto en dicha política. En cualquier caso, desde Vodafone se procedió a tomar las acciones necesarias para garantizar la seguridad de la cuenta. A tal efecto, la tarjeta SIM duplicada objeto de reclamación ha quedado debidamente bloqueada. Sin perjuicio de lo anterior, desde mi representada no ha sido posible averiguar la identidad del responsable de la autorización al cambio de tarjeta SIM realizado el pasado 5 de agosto. (…) Es importante en este caso poner de manifiesto que el hecho de hacer un duplicado de SIM, no implica más que acceso a la línea de teléfono, no sería posible acceder a contraseñas, datos bancarios y otra información del titular de la cuenta salvo que el tercero disponga de otra serie de datos personales del titular porque hubiera tenido acceso a los mismos o se los hubiera robado previamente. Pedir un crédito al banco o hacer transacciones solo por duplicado de SIM es altamente improbable como decimos sin disponer de otro tipo de información de la persona. (…)“. Sobre dicha reclamación recayó resolución de ARCHIVO DE ACTUACIONES de fecha 2 de diciembre de 2019, en el expediente con núm. de referencia E/10004/2019. SEGUNDO: B.B.B. (en adelante, la parte reclamante dos), en fecha 20 de noviembre de 2019, interpone una reclamación ante la AEPD dirigida contra VDF, por los siguientes motivos: “Mi compañía telefónica por unas medidas de seguridad malas en materia de protección de datos, ha permitido duplicar mi tarjeta SIM de mi teléfono, hasta en tres ocasiones (2, 3 y 12 de noviembre de 2019) a personas ajenas, accediendo así a todos mis datos y como consecuencia de esto han defraudado mis cuentas bancarias reintegrando todo su contenido, así como solicitar préstamos y abrir cuentas suplantando mi identidad”. Junto a la reclamación aporta tres denuncias con número de atestado ***ATESTADO.2 de fecha 4 de noviembre de 2019; ***ATESTADO.3 de fecha 5 de noviembre de 2019; y, ***ATESTADO.4 de fecha 12 de noviembre de 2019; todas ellas, presentadas ante la Dirección General de la Policía Nacional (en adelante, DGPN) en las dependencias de Madrid-San Blas, denunciando estos hechos. Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 2 de enero de 2020, en el expediente con núm. de referencia E/12065/2019. TERCERO: Con fecha 27 de noviembre de 2019, la directora de la AEPD, ante las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/88 noticias aparecidas en medios de comunicación relativas a la utilización de prácticas fraudulentas basadas en la generación de duplicados de tarjetas SIM sin el consentimiento de sus legítimos titulares con objeto de acceder a información confidencial con fines delictivos (conocidas como “SIM Swapping”), insta a la Subdirección General de Inspección de Datos (en lo sucesivo, SGID) a iniciar de oficio las Actuaciones Previas de Investigación tendentes a analizar estas prácticas y las medidas de seguridad existentes para su prevención. A saber: Vodafone: "Duplicaron mi SIM y me robaron XXXX€": el fraude del 'SIM swapping' vuelve a España (elconfidencial.com) https://www.elconfidencial.com/tecnologia/2019-09-10/sim-swapping-timo-duplicadotarjeta-estafa_2216863/ El timo de la SIM duplicada: si su teléfono hace cosas raras, revise la cuenta bancaria | Economía | EL PAÍS (elpais.com) https://elpais.com/economia/2019/05/21/actualidad/1558455806_935422.html La peligrosa estafa de moda: Duplicar tu número de móvil para vaciarte la cuenta del banco | Tecnología (elmundo.

1. es)https://www.elmundo.es/tecnologia/2020/10/15/5f8700b321efa0c9118b462c.html CUARTO: C.C.C. en nombre y representación de D.D.D. (en adelante, la parte reclamante tres), en fecha 28 de noviembre de 2019, interpone una reclamación ante la AEPD dirigida contra VDF, por los siguientes motivos: “El pasado 28 de septiembre Vodafone dio de paso un duplicado de SIM fraudulento (SIM swapping) en la tarjeta de mi marido (D.D.D.), ingresado en el hospital por aquel entonces, aquejado de una grave enfermedad. Tras muchas llamadas para intentar parar el proceso fraudulento, Vodafone hizo caso omiso y le entregó la copia de la SIM al estafador. Con esto le dio la llave de acceso a nuestras cuentas bancarias y consiguieron robarnos dinero, pedir préstamos a nombre de mi marido, pagos a casas de apuestas, pagos Bizum, venta de acciones y sustracción del dinero, retiradas de efectivo en cajeros... Quiero aclarar que no estamos reclamando ninguna deuda ni la inclusión en ningún fichero de morosos, sino la negligencia de Vodafone al entregar los datos privados y financieros de un cliente a un estafador, dándole la herramienta para acceder a las cuentas bancarias y robar a sus anchas. Posteriormente y con fecha 2 de noviembre mi marido falleció, por lo que no es posible que haga la reclamación él mismo”. Junto a la reclamación aporta dos denuncias con número de atestado ***ATESTADO.5, de fecha 24 de octubre de 2019 y ***ATESTADO.6, de fecha 4 de noviembre de 2019. Ambas presentadas por la hija de ambos -E.E.E.- ante la DGPN en las dependencias de ***LOCALIDAD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/88 En fecha 22 de octubre de 2019, se da traslado de la reclamación a VDF, para su análisis y respuesta en el plazo de un mes. En respuesta a dicho requerimiento, VDF manifiesta -entre otros argumentos- lo siguiente: “(…) la persona infractora que suplantó la identidad del Sr. D.D.D. a fin de conseguir realizar el cambio o duplicado de la tarjeta SIM, (…). A estos efectos, el infractor conocía previamente la información personal del Sr. D.D.D., en concreto, nombre, apellidos, NIF y cuenta de domiciliación. Por ello, en tanto todos los datos fueron facilitados de manera correcta a través del (…), para mi representada la persona que estaba solicitando el cambio de SIM era el correcto titular, el Sr. D.D.D., no pudiendo de ningún modo advertir de que dicha persona no se trataba del Sr. D.D.D., sino de un infractor que estaba suplantando su identidad. En cualquier caso, quiere mi representada recalcar que, un cambio o duplicado de una tarjeta SIM implica únicamente el acceso a la línea de teléfono asociada a ésta, y de ningún modo ofrece la posibilidad de que la operadora facilite los datos bancarios del titular. De este modo, de ningún modo es posible afirmar que exista una responsabilidad de Vodafone por las acciones ocurridas en las cuentas bancarias de ING y Banco Santander del Sr. D.D.D., a lo cual se hará referencia más adelante. Tras realizar las investigaciones oportunas, se comprobó que, en fecha 28 de septiembre de 2019, tras recibir las llamadas a las que hace referencia la Sra. C.C.C. en su reclamación, (…). (…). Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 25 de febrero de 2020, en el expediente con núm. de referencia E/00557/2020. QUINTO: F.F.F. (en adelante, la parte reclamante cuatro), en fecha 28 de noviembre de 2019, interpone una reclamación ante la AEPD dirigida contra VDF, por los siguientes motivos: “El pasado martes 12 y 14 de noviembre me realizaron de modo fraudulento una copia SIM de dos de mis tres líneas que tengo contratadas en Vodafone, concretamente los números ***TELÉFONO.2 y ***TELÉFONO.3. Al preguntar en el servicio de atención al cliente y en las oficinas me confirman que se realizaron por vía telefónica, sin pedir físicamente el DNI en ninguna oficina. Nadie me ha explicado a día de hoy en Vodafone cómo es posible que cualquier persona que de mi número de DNI por teléfono pueda recibir una copia SIM de mis líneas”. En fecha 22 de enero de 2020, se da traslado de la reclamación a VDF, para su análisis y respuesta en el plazo de un mes. En respuesta a dicho requerimiento, VDF manifiesta -entre otros argumentos- lo siC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/88 guiente: “ - La “SIM Original” en el momento del alta del servicio tenía asignada la numeración ***SIM.1. - El 12/11/2018 se solicita duplicado vía telefónica de la SIM Original que pasa a ser la “(…)” con numeración ***SIM.2. - El 14/11/2018 tras la activación de la “SIM Bis” se solicita su duplicado presencial y pasa a ser la “(…)” con numeración ***SIM.3. De otro lado, en lo que respecta a la línea de la cual también es titular el Sr. F.F.F., ***TELÉFONO.2, en fecha 14 de noviembre de 2019, se comprobó que se produjo desde la tienda ***TIENDA.1 de Majadahonda un cambio de tarjeta SIM, pasando del número inicial ***SIM.4 al número ***SIM.5, “(…)”. De igual forma, el Sr. F.F.F. contactó con Vodafone ese mismo día, con el fin de informar de la realización de un duplicado de tarjeta SIM que él no había solicitado. Por tanto, nos encontramos ante la circunstancia de que se solicitaron dos cambios de tarjetas SIM (…) de los dos servicios del Sr. F.F.F., una el día 12 de noviembre de 2019, y otra el 14 de noviembre de 2019, motivo por el cual el reclamante contactó con Vodafone al percibir que se quedaba sin servicio. Vodafone, ante semejantes circunstancias actuó con máxima celeridad y con carácter preventivo bloqueando ambas tarjetas SIM y evitando posibles actuaciones fraudulentas que pudieran beneficiarse de las pasarelas de seguridad utilizados por los medios de pago a través del envío de SMS. Vodafone procedió a restablecer el servicio del Sr. F.F.F. en sus tarjetas SIM originales ese mismo día 14 de noviembre de 2019 quedando la incidencia resuelta. De esta manera, a fecha de la presente reclamación el Sr. F.F.F. dispone de tarjetas SIM activas y operativas, habiendo quedado automáticamente anuladas los duplicados realizados de forma fraudulenta. (…) Quiere mi representada resaltar la idea de que Vodafone no es la causante del fraude económico ocasionado al reclamante, en tanto en ningún momento ha proporcionado o facilitado la información relativa a la cuenta bancaria al tercero que solicitó el cambio de tarjeta SIM y que, no olvidemos, consiguió superar las medidas de seguridad de Vodafone porque ya tenía y conocía los datos personales del reclamante. En este sentido, señalar que mi representada desconoce cómo el infractor pudo tener acceso a los datos personales del reclamante para hacer uso de los mismos. Vodafone al igual que el reclamante, ha sido engañada por un tercero, quien, conocedor de los mecanismos de seguridad con que cuentan las entidades bancarias, sabía que el paso previo era obtener un duplicado de la SIM para poder recibir vía SMS las claves para acceder a la información bancaria del reclamante, utilizando como paso previo y mero instrumento para lograr su objetivo final a Vodafone. Mi representada es, por tanto, una víctima y perjudicada más en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/88 todo este artificio fraudulento, viéndose altamente comprometida y dañada tanto su imagen de marca como la confianza que depositan en ella los clientes”. Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 11 de marzo de 2020, en el expediente con núm. de referencia E/00558/2020. SEXTO: G.G.G. (en adelante, la parte reclamante cinco), en fecha 4 de diciembre de 2019, interpone una reclamación ante la AEPD dirigida contra VDF, por los siguientes motivos: “Como Clienta de la compañía telefónica Vodafone con numero de terminal ***TELÉFONO.4. Me dirijo a este departamento para comunicarles que en julio de 2019 fui víctima de un fraude la cual la responsable fue dicha compañía telefónica. Debido a la insuficiente política de Seguridad que aplica la empresa para sus Clientes. Hechos Que en fecha 4 de agosto de 2019, contactó conmigo el Sr. H.H.H. del departamento de transferencias fraudulentas de mi banco EVO BANC. El Señor H.H.H. me informó que en la madrugada del pasado día 29 de julio se efectuaron una serie de transferencias por valor de 15.000 € de las cuales el sistema de seguridad solo pudo anular las últimas, ascendiendo a la suma de 4889 euros. Tras mantener una conversación telefónica con el Señor H.H.H., el mismo me preguntó si recientemente había tenido algún tipo de incidencia con el dispositivo móvil. A lo que le indiqué, que efectivamente el pasado 29 de julio sobre las 20:00 el terminal había dejado de funcionar. En concreto, la SIM de mi número ***TELÉFONO.4, se encontraba totalmente inoperativa. Dada la hora en la que sucedieron los acontecimientos relatados, y dado que las tiendas físicas de Vodafone se encontraban cerradas al público, me personé al día siguiente sobre las 10.30h a efectos de poder conocer qué sucedía. La empleada de la tienda me indicó que debía de hacer una copia de la tarjeta dado que la SIM no funcionaba. Para poder completar este proceso, me solicitó el DNI y procedió a la venta y activación de la nueva tarjeta SIM, todo ello, sin verificar los datos correspondientes, dado que no se me hizo firmar ningún tipo de documentación. Tal y como adelantaba, el Sr. H.H.H. me aconsejó que llamará a mi compañía telefónica para averiguar el motivo por el que la tarjeta SIM de mi terminal, dejó de funcionar. Tras efectuar la correspondiente llamada gestión telefónica, me confirmaron que efectivamente se había hecho una copia de la misma el 29 de julio 2019 desde (…). Tras localizar los datos de la referida tienda física, procedí a ponerme en contacto con el encargado Sr. I.I.I., que me confirmó que efectivamente en la fecha indicada se procedió a efectuar un duplicado de mi tarjeta SIM para lo que se presentó el correspondiente DNI que consta en los archivos de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/88 tienda. Dada la imposibilidad material de haberse efectuado esta gestión por mi propia persona, le solicité que, por favor, me remitiera el supuesto documento de identificación personal presentado. El Señor I.I.I. me indicó que como consecuencia de la normativa referente a la protección de datos no podía facilitarme la documentación. A la vista de lo expuesto, no habiendo autorizado en ningún momento la expedición del duplicado de la tarjeta SIM, rogaría se me remita la información correspondiente acerca de cómo ha podido ser autorizada tal actuación. A la vista de lo expuesto, y dado que se realizó una transacción sin la correspondiente autorización y que ascendía al importe de XXXX €, tras ser conocedora de la anterior situación, procedí a interponer la denuncia correspondiente ante las dependencias policiales a fin de que el banco me pudiera reintegrar el importe retirado sin el correspondiente consentimiento otorgado por mi parte. La entidad bancaria tras interponer la denuncia me comunicó que por seguridad se procedería a bloquear todas las cuentas de las que soy titular. Asimismo, he intentado en reiteradas ocasiones el contacto con el departamento de atención al cliente de Vodafone, habiendo resultado todos los intentos de conseguir solucionar esta situación infructuosa”. Junto a la reclamación aporta la denuncia presentada por estos hechos, en fecha 5 de agosto de 2019, con número de diligencia: ***DILIGENCIA.1 ante los Mossos d’Esquadra, OAC de ***LOCALIDAD (Girona); certificado bancario expedido en esa misma fecha que informa sobre dos transferencias realizadas en fecha 29 de julio de 2019 desde su cuenta corriente a favor de un tercero -J.J.J.- por un importe de 2.175’00 euros y 2.713’00 euros. También aporta un CD-R que contiene la grabación de la conversación telefónica mantenida con la operadora de Vodafone, demandando una política de seguridad que evite la reproducción de estos hechos y una copia de la reclamación presentada ante la Secretaría de Estado para el Avance Digital, con registro de entrada de fecha 12 de septiembre de 2019. En fecha 22 de enero de 2020, se da traslado de la reclamación a VDF, para su análisis y respuesta en el plazo de un mes. En respuesta a dicho requerimiento, VDF manifiesta -entre otros argumentos- lo siguiente: “Tras analizar la reclamación e investigar lo sucedido, mi representada ha podido comprobar que, con fecha 29 de julio de 2019 se realizó, desde una tienda física de un distribuidor, en concreto, en Santa Cruz de Tenerife, un cambio de la tarjeta SIM correspondiente a la línea ***TELÉFONO.4, cuyo titular es la Sra. G.G.G. En concreto, consta el cambio de numeración de la tarjeta SIM original C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/88 “***SIM.6” al número “***SIM.7” (“(…)”). Asimismo, se comprobó que en fecha 30 de julio de 2019, figura la gestión de otro cambio de SIM vinculada a la misma línea móvil, realizado, en la misma tienda física de Vodafone. En particular, figura el cambio de la SIM Bis a la numeración “***SIM.8” (“(…)”). Como consecuencia de ello, en fecha 11 de octubre de 2019, la Sra. G.G.G. interpuso reclamación ante la SETSI, mediante la cual ponía de manifiesto la realización de un cambio de la SIM Original solicitando a Vodafone: (
2. i)la baja de los servicios, y (
3. ii)la indemnización por daños y perjuicios derivados del fraude, en concreto, la cantidad de XXXX € que detectó que habían sido transferidos desde su cuenta bancaria. Mi representada respondió a dicha reclamación, en fecha 16 de octubre de 2019, informando de que el cambio de SIM Original asociado a su línea de teléfono ***TELÉFONO.4 tiene su origen en dos solicitudes creadas en un distribuidor de Vodafone, con fecha 29 y 30 de julio del 2019. Asimismo, se puso en conocimiento de la reclamante la política de seguridad de Vodafone, en virtud de la cual se debe presentar un documento que avale la identidad del solicitante para poder gestionar los duplicados de tarjetas SIM. Con respecto a la baja de los servicios que solicitó la reclamante, mi representada procedió a informarle de que, en tanto dichos servicios no contaban con compromiso de permanencia alguno, gestionar la baja supondría para ella perder la numeración salvo que solicitara una portabilidad de sus líneas a otro operador y causar el menor perjuicio posible. (…) De hecho, y tras comprobaciones realizadas en sistemas, mi representada ha verificado que la Sra. G.G.G. ha portado sin ningún tipo de cargo por compromiso de permanencia a la compañía Orange sus líneas móviles ***TELÉFONO.5 en fecha 11 de febrero de 2020 y ***TELÉFONO.6 en fecha 7 de febrero de 2020. Con posterioridad, en fecha 29 de noviembre de 2019, la reclamante interpuso una segunda reclamación ante la SETSI, mediante la cual volvía a señalar que, debido a las transferencias realizadas desde su cuenta bancaria, solicitaba a Vodafone la indemnización del perjuicio económico causado. Mi representada respondió en fecha 11 de diciembre de 2019, indicando que, tras verificar la ausencia de consentimiento en el cambio de SIM, gracias a la denuncia adjunta interpuesta por la Sra. G.G.G. ante la Dirección General de la Policía y adjunta en la reclamación de la SETSI, el Departamento de Calidad de Vodafone ese mismo día contactó con la Sra. G.G.G., a fin de explicarle los procesos de seguridad existentes en Vodafone que garantizan la seguridad de su cuenta cliente. Es importante indicar que fue al recibir esta segunda reclamación vía SETSI (29 de noviembre de 2019) cuando mi representada tuvo constancia del posible carácter fraudulento de la tramitación de los cambios de SIM realizados en los días 29 y 30 de julio de 2019. (…) En ese momento, el departamento de fraude de Vodafone estudió con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/88 detenimiento lo ocurrido, y catalogó el cambio de SIM como (…). En cualquier caso, queda de todo modo probado que la compañía telefónica es un mero intermediario, a quien evidentemente, no puede serle repercutida la responsabilidad por la gestión con falta de diligencia efectuada por parte de la entidad bancaria en el seno de sus medidas de seguridad”. Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 26 de febrero de 2020, en el expediente con núm. de referencia E/00559/2020. SÉPTIMO: K.K.K. (en adelante, la parte reclamante seis), en fecha 17 de febrero de 2020, interpone una reclamación ante la AEPD dirigida contra VDF, por los siguientes motivos: “Me pongo en contacto con ustedes para denunciar la grave situación en la que me encuentro desde que la compañía Vodafone facilitó mis datos personales y sensibles a un desconocido. Desde aquel día han ocurrido hechos muy graves y desconozco si en el futuro pueden acontecer otros similares. Les adjunto varios documentos a mi escrito para que puedan verificar los hechos que voy a relatar a continuación. El día 5 de enero de 2020, a las 18:23, una persona se hace pasar por mí llamando al servicio de atención al cliente de Vodafone y solicita que se envíe mi última factura de telefonía a un correo electrónico ajeno a mi y que ni siquiera consta en mis datos personales de cliente. El servicio que tengo contratado con dicha Cía. es que para poder acceder a cualquier factura he de hacerlo a través de mi espacio como cliente que tuve activar con contraseñas personales y siempre online. Con mi área de cliente puedo descargar mis facturas y gestionarlas como considere ya que así lo contraté con ellos. En las facturas constan datos tan importantes como mi nombre completo, mi número de DNI, mi dirección de correo electrónico, la dirección de mi casa, todas las líneas que tengo contratadas, los extras contratados como TV y plataformas audiovisuales (en mi caso HBO y NETFLIX) y las cuatro últimas cifras de mi cuenta bancaria. No sólo es irregular que un operador de telefonía reenvíe una factura con dichos datos, sino que lo haga a un correo que no les consta en su base de datos. Yo entiendo que si alguien llama se le ha de remitir a su espacio personal, y como mucho reenviar una factura al correo electrónico que le consta a Vodafone en su base de datos. A partir de este momento y en 13 llamadas efectuadas por esa persona durante la tarde del 05 de enero de 2020, intenta varios cambios de SIM (Vodafone dice que sólo puede hacerse en tienda física), solicitudes del número de PIN y PUK e intento de compra. También me consta un intento acceso a HBO. Dos días después, el día 07 de enero 2020, ocurre lo que Vodafone decía que era imposible. Me quedo sin línea sobre las 10:30 de la mañana. Esta persona realiza una llamada a Vodafone y dice tener una SIM por activar, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/88 SIM que no sabemos ni si quiera de dónde sale. El operador que le atiende activa la SIM para mi línea de teléfono y yo dejo de tener conexión y no puedo llamar ni recibir llamadas. Llamo a Vodafone ignorando lo sucedido y solicito que me activen la línea porque no funciona. El operador que me atiende en ningún momento me notifica que media hora antes se ha activado otra SIM, simplemente me pide que le facilita la numeración de mi tarjeta y al hacerlo me remite a tienda física para hacer un nuevo duplicado. Dos horas después, en la tienda de Vodafone sita en el Corte Inglés de ***LOCALIDAD tramitamos un cambio de SIM sin que me expliquen qué ha ocurrido con la línea y por qué ha fallado. Unas horas después, mi mujer (que es usuaria de una de las líneas), recibe un mensaje de texto en su teléfono de su entidad bancaria (ING Direct), donde le comunican que han bloqueado cuentas y tarjetas asociadas a K.K.K. y que comparte con él. Nos extrañamos porque yo soy beneficiario de sus cuentas, pero nunca he operado ni entrado en los Servicios de ING. No le dimos excesiva importancia hasta que bloquearon definitivamente todas sus tarjetas y cuentas (incluso las que no tenían relación conmigo). ING Direct detecta intento de entrada con mi identidad y mi línea telefónica. Desde el momento en que dispusieron de mi línea con el cambio de SIM, hasta que gestionamos nosotros en el Corte Ingles la nueva, han intentado operar en varios bancos solicitando el reenvío de contraseñas a mi línea de teléfono (que esa persona tenía activa). Afortunadamente, no hicieron intentos en mi entidad bancaria y lo hicieron en la de mi mujer, dónde consta mi DNI como beneficiario, pero no mi tlf porque nunca me he registrado. Suerte que los filtros de Seguridad de ING Direct han sido efectivos y han evitado una tragedia mayor para nosotros. En una tienda de Vodafone situada en Barberà del Vallés, una trabajadora nos informa de todo lo acontecido en mis líneas. Me saca el listado de las operaciones realizadas por esa persona desconocida desde el día 5 de enero (les adjunto dicho documento). Interponemos denuncia policial en comisaría de Mossos d'Esquadra (documento adjunto). A partir de ahí, hemos pedido explicaciones a Vodafone en sucesivas llamadas solicitando medidas que garanticen que esto no acarree más consecuencias y sobre todo que no vuelva a ocurrir. Me facilitaron una clave de Seguridad atención telefónica que no sirve para nada porque nunca la pide ningún operador. No puedo anular estas líneas de teléfono porque hay una permanencia, y lo correcto es que estos números dejen de tener relación conmigo sabiendo que alguien dispone de tantos datos comprometidos. La respuesta de Vodafone como empresa (me dirigí a oficinas en Barcelona de atención personal) es que nada se ha hecho mal y no me ofrecen ninguna C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/88 salida. Finalmente he tenido que cancelar todos los Servicios (pagando casi 300 euros de permanencia por culpa de sus acciones) para asegurarme que no puedan seguir mi rastro a través de Vodafone”. Junto a la reclamación aporta la denuncia presentada por estos hechos, en fecha 9 de enero de 2020, con número de diligencia ***DILIGENCIA.2 ante los Mossos d’Esquadra USC de ***LOCALIDAD (Barcelona); y, detalle facilitado por VDF de los movimientos efectuados por la persona que se hizo pasar por él. En fecha 26 de marzo de 2020, se da traslado de la reclamación a VDF, para su análisis y respuesta en el plazo de un mes. En respuesta a dicho requerimiento, VDF manifiesta -entre otros argumentos- lo siguiente: “Tras analizar la reclamación e investigar lo sucedido, Vodafone ha podido comprobar que, con fecha 5 de enero de 2020, mi representada envió un duplicado de una factura a la dirección ***EMAIL.1. Asimismo, en fecha 7 de enero de 2020, mi representada también pudo verificar que fue efectuado a través (…) un cambio de la tarjeta SIM correspondiente a la línea ***TELÉFONO.7, asociada a la titularidad del reclamante, quien era cliente de Vodafone en dicha fecha. Quiere esta parte señalar que la efectiva gestión del envío de un duplicado de factura, así como la tramitación de un cambio de tarjeta SIM conlleva la superación de las políticas de seguridad que Vodafone tiene implementadas a fin de prevenir que se realicen prácticas fraudulentas sobre los datos personales de sus clientes. En este sentido, ha sido verificado que la realización de ambas gestiones se realizó superando dichas políticas de seguridad, por lo que mi representada entendió en todo momento que se trataban de gestiones lícitas, reales y veraces. Sin embargo, en fecha 22 de enero de 2020, el reclamante interpuso una reclamación ante el servicio de atención al cliente de mi representada, alegando que se le había facilitado a un tercero un duplicado de su factura en Vodafone. Es en este momento cuando Vodafone tuvo constancia por primera vez de la supuesta suplantación de la identidad del reclamante, al entender previamente que las gestiones se habían realizado de forma lícita, veraz y leal, pues fueron superadas las Políticas en materia de seguridad. A partir de este momento, mi representada realizó las investigaciones y gestiones oportunas, poniéndose en contacto con el reclamante en fecha 28 de enero de 2020, es decir, tan solo seis días después de tener constancia de la presunta suplantación de identidad que reclamaba el Sr. K.K.K., e informándole asimismo de las políticas de seguridad que tenía implementadas Vodafone. Adicionalmente, quiere mi representada señalar que ha sido verificado que ya en fecha 7 de enero de 2020, es decir, tan solo dos días después a que tuviera lugar el duplicado de la tarjeta SIM, mi representada procedió a (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/88 Dicha medida implica asimismo que (…). Asimismo, y fruto de la activación de dicho duplicado como fraude, se desactivó temporalmente la línea titularidad del Sr. K.K.K. Mi representada, además, advirtió al reclamante que, en caso de haber tramitado un tercero dichas gestiones sin su conocimiento, era posible que tal tercero conociese de antemano los datos personales relativos a su persona. Sin embargo, y en vista de los hechos acontecidos, en fecha 4 de febrero de 2020, el Sr. K.K.K. decidió de forma voluntaria desactivar la totalidad de los servicios que tenía asociados con Vodafone. De esta manera, en dicha fecha mi representada tramitó no solo la baja de la línea supuestamente afectada por la tramitación del cambio de SIM (***TELÉFONO.7), sino la del resto de servicios asociados al reclamante (Fibra ONE 600Mb, Fijo ***TELÉFONO.8, y líneas móviles ***TELÉFONO.9 y ***TELÉFONO.10) y sobre los cuales no se había gestionado un duplicado SIM. Por último, resulta oportuno indicar que el cambio de una tarjeta SIM implica únicamente el acceso a la línea de teléfono asociada a ésta, no a los datos bancarios del titular, por lo que no parece posible afirmar que exista una correlación entre las acciones efectuadas en relación con la tarjeta SIM del Sr. K.K.K. y lo ocurrido con sus cuentas bancarias, en este caso, de la entidad ING”. Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 16 de julio de 2020, en el expediente con núm. de referencia E/03065/2020. OCTAVO: L.L.L. (en adelante, la parte reclamante siete), en fecha 17 de marzo de 2020, interpone una reclamación ante la AEPD dirigida contra VDF, por los siguientes motivos: “Me suplantaron la identidad en una tienda física de VODAFONE en Girona y se apropiaron de las líneas contratadas por mí a VODAFONE. Por dichas acciones realizaron una duplicación de tarjeta SIM de la línea móvil, desembocando en un fraude económico y unas consecuencias administrativas que sigo reclamando”. Junto a la reclamación aporta la denuncia presentada por estos hechos ante la DGPN en las dependencias de ***LOCALIDAD, con número de atestado ***ATESTADO.7 en fecha 4 de enero de 2020; y, reclamación dirigida a VDF, de fecha 15 de enero de 2020, en la que solicita que “(…) como quiera que en ningún momento he expresado mi consentimiento para cambiar la titularidad de mis servicios a otra persona, les requerimos para que procedan a dar explicaciones sobre los hechos relatados en el presente escrito, así como en todo caso, realicen los trámites y gestiones necesarias para hacer efectiva la activación inmediata de las líneas e indemnicen por la falta de suministro e interrupción del servicio, absteniéndose de cobrar cantidad alguna desde el pasado 4 de enero. 2º.- Que se proceda a informar a esta parte como se han producido el cambio de titularidad de mis líneas, poniendo a mi disposición la grabación de voz o documental asociada, a fin de efectuar las acciones legales oportunas. 3º.- Que se me abonen todos los gastos ocasionados por esta incidencia, para solventar los gastos injustos: compra SIM prepago y sus recargas hasta la recuperación de los servicios, uso de locutorio telefónico, reintegro del importe correspondiente en las facturas indebidamente cargadas en cuenta, e indemnización C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/88 por los daños y perjuicios sufridos en esta VULNERACIÓN EN LA PROTECCIÓN DE DATOS Y SUPLANTACIÓN DE IDENTIDAD. (…)”. Asimismo, aporta extracto bancario de ING Direct de la cuenta corriente que comparte con su mujer donde se observa que en fecha 4 de enero de 2020 se efectúan 5 cargos fraudulentos que ascienden a un total de XXXX,XX euros y dos extractos de los cargos efectuados a través de la tarjeta de crédito que ascienden a XXXX,XX euros. En fecha 2 de junio de 2020, se da traslado de la reclamación a VDF, para su análisis y respuesta en el plazo de un mes. En respuesta a dicho requerimiento, VDF manifiesta -entre otros argumentos- lo siguiente: “Tras analizar la reclamación e investigar lo sucedido, mi representada ha podido comprobar que, con fecha 4 de enero de 2020, se produjeron dos cambios de titularidad sobre el ID de cliente ***ID.1, titularidad del Sr. L.L.L. En primer lugar, se produjo un cambio de titularidad que asoció los datos de un tercero, D. M.M.M., al ID ***ID.1 del reclamante. Posteriormente, tuvo lugar un segundo cambio de titular que asoció el id de cliente anterior a los datos de otro tercero, D. N.N.N. Asimismo, mi representada ha también podido verificar que en fecha 4 de enero de 2020, se tramitó un cambio de SIM sobre la línea ***TELÉFONO.11, asociada al ID ***ID.1 anterior. Dicho cambio de SIM fue gestionado de forma presencial, a través de una tienda Vodafone ubicada en Gerona. Quiere esta parte señalar que la efectiva gestión de un cambio de titularidad, así como la tramitación de un cambio de tarjeta sim conllevan la superación de las políticas de seguridad que Vodafone tiene implementadas, a fin de prevenir que se realicen prácticas fraudulentas sobre los datos personales de sus clientes. En este sentido, y al haberse tramitado ambas gestiones sujetas a dicha política de seguridad, mi representada entendió en todo momento que se trataban de gestiones lícitas, reales y veraces. Sin embargo, y en vista de los hechos acontecidos, el mismo día 4 de enero de 2020, el Sr. L.L.L. se puso en contacto con mi representada, indicando que las gestiones anteriores se habían realizado, presuntamente, sin su autorización, siendo éste el primer momento en que Vodafone tuvo constancia de los hechos objeto de reclamación. Asimismo, en dicha interacción, el reclamante solicitó el bloqueo de las líneas asociadas al ID ***ID.1 y puso en conocimiento de mi representada que estaba en proceso de tramitar una denuncia de los hechos ante la Policía. En vista de la denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado que indicaba el reclamante procedería a interponer, mi representada procedió a realizar las investigaciones y gestiones oportunas con el fin de resolver con la máxima celeridad posible la incidencia reportada por el Sr. L.L.L. De esta manera, en fecha 4 de enero de 2020, es decir, el mismo día en que se Vodafone fue notificada de los hechos, procedió a bloquear los servicios asociados al ID ***ID.1, restringiendo en este sentido, y como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/88 media primordial y principal ante un caso de duplicado de tarjeta sim, el uso de las líneas asociadas a tal id. tales bloqueos se efectuaron con el exclusivo fin de evitar que se pudiese producir un perjuicio posterior mayor al reclamante. Asimismo, y tras efectuar los bloqueos anteriormente mencionados, el departamento de fraude de Vodafone procedió a realizar las investigaciones oportunas, a fin de verificar si lo sucedido podría tener el carácter de fraudulento y en caso afirmativo, tramitar el cambio de titularidad y de sim a favor del Sr. L.L.L. Finalmente, en fecha 22 de enero de 2020, mi representada, tras verificar que las anteriores gestiones se realizaron de forma fraudulenta, procedió a efectuar un cambio de titularidad sobre los servicios asociados al ID ***ID.1, volviéndolos a asociar de manera exitosa al Sr. L.L.L. Asimismo, en fecha 23 de enero de 2020, mi representada efectuó a su vez un cambio de SIM sobre la línea ***TELÉFONO.11 afectada, con el fin de invalidar la tarjeta SIM obtenida de forma fraudulenta y devolver el control de la línea al reclamante. Sin embargo, en fecha 23 de enero de 2020, y debido a que los servicios asociados al ID ***ID.1 habían sido bloqueados anteriormente por Vodafone, el cliente se puso en contacto con mi representada, manifestando que no podía realizar llamadas correctamente. En vista de lo anterior, en fecha 26 de enero de 2020, mi representada procedió, a petición del Sr. L.L.L., a eliminar las restricciones en el uso de las líneas asociadas al ID ***ID.1, reestableciendo, por tanto, el uso sobre los servicios ya asociados al reclamante. (…). Por último, resulta asimismo oportuno indicar que el cambio de una tarjeta SIM implica únicamente el acceso a la línea de teléfono asociada a ésta, no a los datos bancarios del titular, por lo que no parece posible afirmar que exista una correlación entre las acciones efectuadas en relación con la tarjeta SIM del Sr. L.L.L. y lo sucedido con sus cuentas bancarias, en este caso, pertenecientes a la entidad ING”. Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 24 de julio de 2020, en el expediente con núm. de referencia E/03632/2020. NOVENO: Ñ.Ñ.Ñ. (en adelante, la parte reclamante ocho), en fecha 30 de junio 2020, interpone una reclamación ante la AEPD dirigida contra VDF, por los siguientes motivos: “El exponente, Ñ.Ñ.Ñ., con DNI ***NIF.1, reside en Sevilla. C/ ***DIRECCIÓN.2. El día 2 de junio de 2020, sobre las 13 del mediodía notó que no tenía línea telefónica, cosa que no pudo solucionar hasta el día siguiente 3 de junio sobre la misma hora en que compra nueva tarjeta. De las averiguaciones y documentos que se acompañan se deduce: 1.- Unos desconocidos, sin estar debidamente acreditados, porque no se les exige el DNI, compran en Valencia una tarjeta telefónica a mi nombre, y celebran un contrato nuevo con Vodafone, también a mi nombre. En dicho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/88 contrato Vodafone les proporciona mi cuenta bancaria de cargo en el Banco Santander. 2.- Con tales datos solicitan por teléfono al banco mi firma electrónica, mis datos de la tarjeta de crédito y desvalijan la cuenta titularidad del interesado en dicho banco”. Junto a su reclamación aporta una solicitud dirigida a VDF de fecha 8 de junio de 2020 en la que demanda que “dichos hechos no se vuelvan a producir, guarden las cintas de videovigilancia de la tienda de Carrefour Valencia y, en su caso, las pongan a disposición de la policía para investigar los hechos y a indemnizar al interesado en la cantidad en la que este ha resultado perjudicado; 17.265,00 euros desaparecidos de la cuenta corriente (…)”. Acompaña también otra reclamación dirigida a VDF vía email, en fecha 10 de junio de 2020, en la que reitera sus peticiones. También aporta la factura emitida por VDF, de fecha 2 de junio de 2020, con el número ***FACTURA.2, que contiene el cargo correspondiente a la emisión de una tarjeta SIM, donde especifica como dirección de entrega una sociedad denominada (…) ubicada en el municipio de***LOCALIDAD (Valencia), cuando el RECLAMANETE OCHO tiene su residencia habitual en el municipio de SEVILLA. Acompaña también el Contrato de Servicio Móvil, Banda Ancha, Fijo y TV para Clientes Particulares que niega haber suscrito en el municipio de ***LOCALIDAD de fecha 2 de junio de 2020 y la reclamación de operaciones efectuadas mediante la tarjeta de crédito Visa/MasterCard a su nombre, dirigida al Banco Santander por las más de 20 transacciones efectuadas entre los días 2 y 4 de junio de 2020, que superan los XXXX,XX euros. Añade, además, la queja presentada en fecha 12 de junio de 2020 ante una sucursal de VDF ubicada en Málaga por los hechos acontecidos. En fecha 17 de julio de 2020, se da traslado de la reclamación a VDF, para su análisis y respuesta en el plazo de un mes. En respuesta a dicho requerimiento, VDF manifiesta -entre otros argumentos- lo siguiente: “Tras analizar la reclamación e investigar lo sucedido, Vodafone ha podido comprobar que, en fecha 2 de junio de 2020 se tramitó un cambio de SIM sobre la línea ***TELÉFONO.12, asociada al ID de cliente ***TELÉFONO.13, del que es titular el reclamante. Dicho cambio de SIM fue gestionado de forma presencial, a través del Punto de Venta Vodafone operado por (…), ubicado en ***LOCALIDAD, Valencia. Quiere esta parte señalar que la efectiva tramitación de un cambio de tarjeta SIM conlleva la superación de las políticas de seguridad que Vodafone tiene implementadas a fin de prevenir que se realicen prácticas fraudulentas sobre los datos personales de sus clientes. En este sentido, y al haberse tramitado dicho cambio de SIM, tratándose dicha gestión de una operación sujeta a la superación de la política de seguridad de Vodafone, mi representada entendió en todo momento que se trataba de una gestión con la apariencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/88 lícita, real y veraz. Sin perjuicio de lo anterior, en fecha 3 de junio de 2020, el reclamante se puso en contacto con mi representada, indicándole que no disponía de cobertura en su dispositivo asociada a la línea móvil ***TELÉFONO.12, siendo este el primer momento en que Vodafone tuvo conocimiento de la incidencia objeto de reclamación. De esta manera, mi representada realizó las investigaciones y gestiones oportunas, pudiendo confirmar que la razón por la que no disponía de cobertura el reclamante se debía al cambio SIM tramitado el día anterior. En vista de lo anterior, mi representada procedió a tramitar un nuevo cambio de SIM, con el fin de anular el cambio realizado en fecha 2 de junio, restableciendo a tal efecto la línea y el control sobre la línea ***TELÉFONO.12 al Sr. Ñ.Ñ.Ñ. en fecha 3 de junio de 2020, es decir, un día después de tener conocimiento de la incidencia objeto de reclamación y en todo caso, con anterioridad a la recepción del presente requerimiento por parte de la Agencia. Asimismo, mi representada también pudo verificar que, en también fecha de 2 junio de 2020, se tramitó una orden de modificación sobre los servicios asociados al ID de cliente anterior, a fin de modificar los servicios Vodafone One Fibra 50Mb + M + TV + Total + Fijo que disfrutaba el Sr. Ñ.Ñ.Ñ. por la tarifa Vodafone One Ilimitada Total Fibra 1Gb. Además, dicha orden pretendía a su vez desactivar los servicios de Vodafone TV del reclamante. Dicha orden de modificación fue también gestionada de forma presencial, a través del Punto de Venta Vodafone operado por (…) ubicado en ***LOCALIDAD. Al igual que para la tramitación de un cambio SIM, la modificación de los servicios y tarifas activadas al ID de uno de los clientes de Vodafone conlleva la superación de las políticas de seguridad que Vodafone, a fin de prevenir que se realicen contrataciones fraudulentas sobre los datos personales de sus clientes que pudiesen originarle perjuicios económicos a los mismos por la contratación de servicios no reconocidos. En este sentido, y al haberse plasmado la orden de modificación de servicios bajo un contrato, la cual se aporta como Documento número 2, mi representada entendió en todo momento que estaba ante una gestión con la apariencia lícita, real y veraz. Sin perjuicio de lo anterior, con motivo de la interacción entre el reclamante y mi representada de fecha 3 de junio de 2020, y debido a que la orden de modificación de servicios también se tramitó desde el mismo Punto de Venta sobre el cual se había tramitado el cambio de SIM fraudulento, mi representada procedió a interrumpir el proceso de activación de las tarifas contratadas, con el fin de evitar causarle cualquier perjuicio al Sr. Ñ.Ñ.Ñ. (…) Por último, considera mi representada oportuno indicar que, el cambio de una tarjeta SIM implica únicamente el acceso a la línea de teléfono asociada a ésta, no a los datos bancarios del titular, por lo que no parece posible afirmar que exista una correlación entre las acciones efectuadas en relación con la tarjeta SIM del Sr. Ñ.Ñ.Ñ. y lo ocurrido con sus cuentas bancarias”. Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 28 de agosto de 2020, en el expediente con núm. de referencia E/05844/2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/88 DÉCIMO: O.O.O. (en adelante, la parte reclamante nueve), en fecha 8 de junio 2020, interpone una reclamación ante la AEPD dirigida contra VDF, por los siguientes motivos: “El día 7 de enero de 2020 mi terminal se queda sin línea, al estar en la oficina no le doy más importancia ya que sigo conectado al wifi, a continuación, me llega un mensaje de ING Direct para confirmar una operación que yo no he realizado, dicho mensaje lo veo cuando bajo a desayunar, por lo que al no tener línea no puedo denegar la operación. A través de otro móvil consigo contactar con Vodafone porque sospecho que me han duplicado la SIM y están haciendo operaciones fraudulentas en entidades bancarias. Al llamar a Vodafone me indican que yo no soy el titular de la línea, que se acaba de producir un cambio de titular (sin mi consentimiento). Les indico que es un fraude, lo marcan (o eso dicen) como tal y quedan en llamarme urgentemente. Dicha llamada nunca se produce, así que unas 8 horas después vuelvo a llamar y resulta que han vuelto a cambiar la titularidad de la cuenta a otra persona diferente... En resumen, sin mi consentimiento realizan un cambio de titular, me dejan sin línea 2 semanas y hacen duplicado de SIM que aprovechan para acceder a cuentas de ING Direct, pedir préstamo a mi nombre y sacar en efectivo 5 mil euros...” Junto a su reclamación aportó la denuncia presentada por estos hechos, en fecha 7 de enero de 2020, con número de atestado ***ATESTADO.8 ante la DGPN en las dependencias de ***LOCALIDAD. Asimismo, aporta la factura número ***FACTURA.3 emitida por VDF en esa misma fecha, que contiene el cargo correspondiente a la emisión de una tarjeta SIM, donde especifica como dirección de entrega ***DIRECCIÓN.3 en el municipio de ***LOCALIDAD (GIRONA), cuando el RECLAMANTE NUEVE tiene su residencia habitual en el municipio de ***LOCALIDAD (LAS PALMAS). También aporta la reclamación dirigida a VDF en fecha 8 de enero de 2020 solicitando una explicación a los dos cambios de titularidad producidos en su línea y la expedición de una tarjeta SIM, sin su consentimiento y los mensajes siguientes intercambiados con el Servicio de Atención al Cliente de VDF, en respuesta a su reclamación. En fecha 23 de junio de 2020, se da traslado de la reclamación a VDF, para su análisis y respuesta en el plazo de un mes. En respuesta a dicho requerimiento, VDF manifiesta -entre otros argumentos- lo siguiente: “Tras analizar la reclamación e investigar lo sucedido, Vodafone ha podido comprobar que, (…). Asimismo, mi representada ha también podido verificar que en fecha 7 de enero de 2020 se tramitó un cambio de SIM sobre la línea ***TELÉFONO.13, asociada al ID ***ID.2 anterior. Dicho cambio de SIM fue (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/88 Quiere esta parte señalar que la efectiva gestión de un cambio de titularidad, así como la tramitación de un cambio de tarjeta SIM conllevan la superación de las políticas de seguridad que Vodafone tiene implementadas, a fin de prevenir que se realicen prácticas fraudulentas sobre los datos personales de sus clientes. En este sentido, y al haberse tramitado ambas gestiones sujetas a dicha política de seguridad, mi representada entendió en todo momento que se trataban de gestiones lícitas, reales y veraces. Sin embargo, en vista de los hechos acontecidos, el mismo día 7 de enero de 2020, el reclamante se puso en contacto con mi representada, indicando que las gestiones anteriores se habían realizado supuestamente sin su autorización, siendo este el primer momento en que Vodafone tuvo conocimiento de los hechos objeto de reclamación. En este sentido, mi representada procedió a realizar las investigaciones y gestiones oportunas, a fin de resolver la incidencia acontecida y efectuar el cambio de titularidad y el cambio de SIM que devolvieran el control de tanto la línea como el ID afectado, al Sr. O.O.O. Por ello, en fecha 9 de enero de 2020, es decir, tan solo dos días después de tener constancia de los hechos objeto de reclamación, y tras verificar que estaba ante gestiones que, pese a tener la apariencia de veraces, eran de carácter fraudulento, mi representada procedió a bloquear la cuenta del cliente, restringiendo el uso de los servicios asociados al ID ***ID.2. Tal bloqueo se efectuó con el exclusivo fin de evitar que se pudiese producir un perjuicio mayor al reclamante O.O.O. y desactivando a los anteriores terceros que constaron indebidamente como titular de la cuenta del reclamante. (…) Asimismo, en fecha 13 de enero de 2020, el reclamante efectuó, a su vez, de forma presencial en una tienda Vodafone, un cambio de SIM sobre la línea ***TELÉFONO.13 afectada, que permitió invalidar la anterior tarjeta SIM duplicada de forma fraudulenta, devolviendo de esta manera el control de la línea al reclamante. (…) Por tanto, mi representada logró solventar la incidencia objeto de reclamación de forma efectiva el 13 de enero de 2020, cuando tramitó el cambio de SIM sobre la línea móvil afectada que, junto con el cambio de titularidad efectuado el 9 de enero de 2020 sobre el ID ***ID.2, devolvieron el control total de las líneas al Sr O.O.O. En este sentido, la incidencia quedó correctamente resuelta en sistemas internos de mi representada con notoria anterioridad a la recepción del presente requerimiento por parte de la Agencia. Por último, resulta oportuno indicar que el cambio de una tarjeta SIM implica únicamente el acceso a la línea de teléfono asociada a ésta, no a los datos bancarios del titular, por lo que no parece posible afirmar que exista una correlación entre las acciones efectuadas en relación con la tarjeta SIM del Sr. O.O.O. y lo ocurrido con sus cuentas bancarias”. Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 2 de septiembre de 2020, en el expediente con núm. de referencia E/05287/2020. UNDÉCIMO: A la vista de los hechos denunciados en las distintas reclamaciones, de los documentos aportados por las partes reclamantes y de la Nota Interior acordada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/88 por la directora de la Agencia, la SGID procede a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de las actuaciones previas de investigación se practicaron tres requerimientos de información dirigidos a VDF, en distintas fechas: Requerimiento Código Seguro de Verificación Fecha requerimiento Fecha notificación requerimiento Primero ***CSV.1 13/01/2020 16/01/2020 Segundo ***CSV.2 12/06/2020 15/01/2020 Tercero ***CSV.3 15/09/2020 16/09/2020 En el primero de los requerimientos, de fecha 13 de enero de 2020, se solicitaba la siguiente información: 1. Información sobre las vías de que disponen los clientes para solicitar un duplicado de tarjeta SIM. (Teléfono, Internet, tiendas, etc.). 2. Para cada una de las vías de que se disponga, se pide información detallada del procedimiento establecido para la atención de las solicitudes, incluyendo los controles para la verificación de la identidad del solicitante incluyendo los datos y documentos que se requieren al solicitante, así como el detalle de las verificaciones que se realizan sobre los mismos. En caso de envío de tarjeta SIM por correo, detalle de los controles y exigencias establecidas sobre la dirección de envío. 3. Instrucciones giradas al respecto al personal que atiende las solicitudes para la atención de las mismas. Documentación que acredite su difusión entre los empleados dedicados a dichas tareas, internos o externos a la entidad. 4. Información sobre si la realización de los controles para la verificación de la identidad queda reflejada, para cada solicitud atendida, en el Sistema de Información de la entidad. Documentación que lo acredite en su caso, tal como impresión de pantalla de los botones (check-box) u otra documentación según el método utilizado. 5. Motivos por los cuales ha sido posible en algunos casos la suplantación de la identidad de clientes para la emisión de duplicados de SIM. Razones por las cuales las medidas y controles de seguridad implementados no han surgido efecto. 6. Acciones emprendidas por la entidad cuando se detecta uno de estos casos. Información sobre la existencia de un procedimiento escrito y copia del mismo en caso afirmativo. Acciones emprendidas para evitar que casos de este tipo se vuelvan a producir, en concreto, cambios que se hayan podido realizar sobre el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/88 procedimiento para mejorar la seguridad. 7. Número de casos de solicitudes fraudulentas de duplicados de SIM detectados durante todo el año 2019. Número de clientes de telefonía móvil total de la entidad. En el segundo de los requerimientos, de fecha 12 de junio de 2020, se solicitaba la siguiente información: PUNTO 1. Se solicita aclaración sobre los siguientes aspectos con relación a la contestación de nuestro requerimiento de fecha 16 de enero de 2020, en el marco de este mismo expediente: A). Al final de la manifestación PRIMERA de la contestación se menciona que únicamente es posible la tramitación (…) en tres supuestos ((…)). Sin embargo, en el punto 2 de la manifestación TERCERA se menciona que (…). Se pide copia del procedimiento por escrito donde consten todos los casos que se tramitan (…), incluyendo todos los supuestos. Se pide copia de las instrucciones concretas dadas a los operadores con información detallada de cómo valora el operador todos los supuestos, incluyendo cómo valora o comprueba (…). B). Con relación a los datos para la identificación del cliente que se piden durante una solicitud de duplicado (…). En la manifestación SEGUNDA se menciona que se pide “(…)”, además (…). Sin embargo, en el punto 2.
4. a)de la manifestación TERCERA se dice que se piden “(…)”. Se pide copia del procedimiento/política de seguridad donde consten claramente los datos que se solicitan según los diferentes casos, incluyendo todos los supuestos. Se pide copia de las instrucciones concretas dadas a los operadores con información detallada de los datos que deben pedir en cada caso. C) Sobre el proceso de solicitud (…). Copia del proceso que siguen los clientes, incluyendo los pasos que deben dar y los datos que aportan necesariamente. D). Comprobaciones que se realizan en la entrega a domicilio de la tarjeta SIM para la identificación del destinatario. Copia de la documentación contractual con las empresas de logística/mensajería que realizan el reparto, donde consten las comprobaciones de identidad que debe realizar el repartidor. E) Copia de los comunicados periódicos enviados a los puntos de venta, canal telefónico y al operador logístico sobre los riesgos y las políticas al respecto, mencionados en la manifestación CUARTA de su escrito de contestación. PUNTO 2. Listado de 20 casos de duplicados de SIM denunciados/reclamados como suplantación de identidad o fraudulentos por los clientes. El listado incluirá los duplicados de SIM solicitados desde el 1 de enero de 2020, es decir, todos los reclamados que sucedieron a partir del 1 de enero, desde el primero, consecutivos hasta llegar a 20 (se trata de casos que no han sido objeto de reclamación ante la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/88 Se pide indicar en el listado la fecha, el número de línea y el canal de la solicitud. PUNTO 3. Sobre casos presentados ante esta Agencia que se resumen en la tabla (que se da por íntegramente reproducida en este acto de trámite): Se pide: A. Motivo por el cual en el caso E/10004/2019 cuando el cliente llama indicando que no tiene línea no se le alerta que se le ha duplicado el SIM. B. Motivo por el cual en los casos E/12065/2019 y E/00558/2020 no se han tenido en cuenta los recientes envíos de duplicados de SIM y se ha conseguido duplicar la SIM repetidas veces. Procedimiento escrito o instrucciones que existan de cómo considerar posibles casos de suplantación de identidad futuros en un determinado cliente con precedentes. C. En los casos de solicitud en tienda, copias de los DNI recabados en la solicitud de duplicado de SIM. Si no existe copia recabada, reflejo que conste en los sistemas de la solicitud y comprobación de la identidad del solicitante mediante exhibición de su DNI. D. Para los casos de solicitud (…), información sobre si se tiene como requisito para la entrega que la ciudad donde se solicita la SIM sea la ciudad de residencia del cliente. Información sobre si existe algún control adicional en caso de ciudades distintas. E. En los casos de solicitud (…), registro del caso (Aportando grabación de la llamada, e impresión del caso registrado en los sistemas de la entidad). F. En los casos de solicitud (…), con envío de SIM a domicilio, justificación de los motivos por lo que se pudo entregar la SIM en una dirección diferente a la del cliente si no se permiten dichos canales con cambio de domicilio previo. Información sobre si se establecieron en las solicitudes de duplicados direcciones de entrega nuevas. G. Acciones emprendidas por VODAFONE en cada caso, incluyendo acreditación documental de los siguientes aspectos:  Si se ha marcado como víctima de fraude al cliente para evitar posibles intentos de suplantación de identidad futuros.  Si se han realizado investigaciones internas para esclarecer los hechos ya sea con el punto de venta en caso de entrega en tienda, o internas en caso de canal on-line/telefónico.  Si se ha contactado con el cliente para alertarle de lo sucedido y sobre la resolución de su caso. En el tercero y último de los requerimientos, de fecha 15 de septiembre de 2020, se solicitaba la siguiente información: PUNTO 1. Sobre el listado de 20 casos de duplicados de SIM denunciados/reclamados facilitados en la contestación anterior detallados (que se da por íntegramente reproducido en este acto de trámite): Se pide, en los casos de solicitud presencial, copia de los DNIs o documentos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/88 identificativos aportados por los solicitantes en el cambio de SIM. En los casos de solicitudes telefónicas copia de la grabación de la conversación donde el solicitante supera la política de seguridad. PUNTO 2. Sobre los casos presentados ante esta Agencia que se resumen en la tabla: Se pide: A) Caso E/3065/2020: Con relación a la llamada atendida el 5/1/2020 de una persona que solicita copia de una factura. Se pide copia de la grabación de la llamada donde se supera la política de seguridad por la persona llamante. Copia de la factura remitida. Copia del registro de la llamada con los comentarios del operador, así como el motivo por el cual se remite a una dirección de correo electrónico que no consta en los datos del cliente. Copia del registro de los múltiples intentos de cambio de SIM realizados el 5/1/2020, solicitudes de PIN y PUK e intentos de compra. Copia del registro de cambio/activación de SIM efectuado el 7/1/2020. Grabación de la llamada donde quede constancia de las comprobaciones de la identidad del solicitante (superación de la política de privacidad). Motivo por el cual se produce el cambio de SIM después de múltiples intentos sospechosos de fraude. Motivo por el cual no se marca el cliente como fraude hasta el día 7/1/2020, y se permite el cambio de SIM. Motivo por el cual no se alerta al cliente del cambio de SIM previo, cuando llama el 7/1/2020 al advertir que no tiene línea, indicándole por parte de VODAFONE que solicite un cambio de SIM de forma presencial. Copia del registro de la llamada del cliente, de fecha 7/1/2020 donde el cliente comunica que se ha quedado sin línea. B) Caso E/3632/2020: Con relación a los cambios de titularidad previos al cambio de SIM se pide copia de la grabación de las llamadas donde se supera la política de seguridad por la persona llamante. Copia del registro de la llamada y las gestiones realizadas con los comentarios del operador para los cambios de titularidad del 4/1/2020. Para el cambio de SIM presencial del 4/1/2020, se pide copia del DNI o documento identificativo recabado en la solicitud de duplicado de SIM. C) Caso E/5844/2020: Para el nuevo contrato o cambio de contratación de telefonía del 2/6/2020, se pide copia del DNI o documento identificativo recabado en la contratación presencial. Copia del nuevo contrato entregado al contratante. Para el cambio de SIM presencial del 2/6/2020, se pide copia del DNI o documento identificativo recabado en la solicitud de duplicado de SIM. D) Caso E/5287/2020: Con relación a los cambios de titularidad previos al cambio de SIM se pide copia de la grabación de las llamadas donde se supera la política de seguridad por la persona llamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/88 Copia del registro de las llamadas y las gestiones realizadas con los comentarios del operador para los cambios de titularidad del 7/1/2020. Copia de los registros de las llamadas realizadas por el cliente alertando de que no dispone de línea los comentarios del operador para los cambios de titularidad del 7/1/2020. Se producen dos cambios de titularidad, llamando el cliente entre ambos dos alertando de no disponer de línea y posible cambio de SIM. Justificación que puedan aportar para que se produzca el segundo cambio de titular después de la alerta del cliente. Motivo por el cual no se ha incluido una alerta para que no se produzcan más cambios supuestamente fraudulentos. Para el cambio de SIM presencial del 7/1/2020, se pide copia del DNI o documento identificativo recabado en la solicitud de duplicado de SIM. PUNTO 3. Sobre los casos en los cuales se entrega presencialmente un SIM en tienda y se activa vía telefónica, o se produce un robo de SIMs en tienda (ver casos E/12065/2019, E/00557/2020, E/00558/2020). Se pide:  Información sobre si es posible adquirir SIMs enviados a tienda por Vodafone sin asociarlos a ninguna línea o cliente. Causas por las que se permite que un cliente se lleve de una tienda un SIM sin activar y sin asociar a una línea determinada, y se permite posteriormente activar telefónicamente el SIM y asociar a una línea.  Información sobre los casos, que no supongan un posible fraude de SIM swapping, en los cuales un cliente puede estar en posesión de un SIM sin haber sido asociado previamente en los sistemas de la entidad a una línea de su titularidad.  Política de seguridad que se pasa al solicitante en la recogida del SIM cuando no se asocia a una línea o cliente durante su recogida.  Causas por las que se permite en el procedimiento activar telefónicamente un SIM cualquiera para una línea determinada. (Caso de SIMs sustraídos en una tienda, que se encuentran sin asociar con cliente alguno o línea). Sobre los cambios de titularidad vía telefónica se pide Política de seguridad que se pasa al solicitante. Copia de las instrucciones concretas que al respecto disponen los operadores. DUODÉCIMO: Con fecha 23 de junio de 2020, VDF solicita una ampliación del plazo ante la imposibilidad de recabar y estructurar la información requerida en el plazo establecido. Con fecha 29 de junio de 2020 la Subdirectora General de Inspección de Datos acuerda la ampliación del plazo por un periodo de cinco días. DÉCIMO TERCERO: En respuesta a los tres requerimientos formulados, VDF aporta la siguiente información: Respecto al primero de los requerimientos se especifica la información conforme a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/88 apartados requeridos según el orden de numeración: 1.- Información sobre las vías de que disponen los clientes: (…). 2.- Información detallada del procedimiento: (…). 3.- Instrucciones giradas al personal: (…). 4.- Información sobre el registro de la información en el sistema: (…). 5.- Motivos por los cuales ha sido posible la suplantación de la identidad de clientes: (…). 6.- Información sobre la existencia de un procedimiento escrito: (…). Con relación al procedimiento o las instrucciones existentes sobre cómo considerar posibles casos de suplantación de identidad futuros en un determinado cliente con precedentes, (…). Asimismo, (…). Han aportado copia de los comunicados enviados en el último año. 7.- Número de casos de solicitudes fraudulentas de duplicados de SIM detectados durante todo el año 2019. (…). Respecto al segundo de los requerimientos se especifica la información conforme a los puntos requeridos según el orden de numeración: PUNTO 1: A). Copia del procedimiento y de las instrucciones: (…). B). Copia del procedimiento o política de seguridad: (…). C). Sobre el proceso de solicitud vía web: (…). D). Copia de la documentación contractual con las empresas de logística/mensajería que realizan el reparto: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/88 (…). E). Copia de los comunicados periódicos enviados: (…). PUNTO 2: Listado de 20 casos de duplicados de SIM denunciados/reclamados como suplantación de identidad o fraudulentos por los clientes: (…). PUNTO 3: Sobre casos presentados ante esta Agencia:  Expediente E/10004/2019: Manifiesta que tras analizar el motivo por el cual no se alertó al cliente del duplicado de la tarjeta SIM en el momento en el efectuó la llamada, han constatado que el duplicado fraudulento se realizó el día 05/08/2019 a las 20:38 horas, pero hasta las 23:08 horas el reclamante no llama a atención al cliente. (…). Sin embargo, el reclamante ha manifestado sobre la llamada (no indica hora, pero posterior a las 21:00) que “tras 2 minutos de espera me dicen que la línea está bien y que acuda a un distribuidor (tienda de Vodafone) para ver si se puede tratar de algún problema en la tarjeta SIM, que pueda estar dañada y que se soluciona con un cambio de la misma”. Indica así mismo que al día siguiente, dado que trabaja en una localidad en la que no hay tienda Vodafone, no pudo acudir a una tienda hasta las 18:30 horas y a las 19:04 al recuperar la línea recibe alerta de su banco de transferencia bancaria. El 07/08/2019 descubre en una sucursal de su entidad bancaria más de 25 operaciones de gasto fraudulentas. El duplicado se ha realizado en una tienda Vodafone en ciudad distinta a la de residencia del reclamante el día 05/08/2019 a las 20:39 horas. VDF indica que (…). VDF no ha aportado (…). Expediente E/12065/2019:   El primer cambio de SIM se realiza con fecha 1/11/2019 a las 23:23:22 por canal telefónico. La petición del cambio de SIM se realiza a partir de llamada al servicio de atención al cliente desde número oculto.  El segundo con fecha 4/11/2019 6:30:23 por canal Web Mi Vodafone utilizando la tarjeta SIM ***SIM.9.  El tercero con fecha 12/11/2019 11:58:03 por canal Web Mi Vodafone, utilizando la tarjeta SIM 5***SIM.10.  (…).  C/ Jorge Juan, 6 28001 – Madrid Expediente E/00557/2020: www.aepd.es sedeagpd.gob.es 27/88 Indica que la realización de un cambio de SIM puede ser efectuado únicamente mediante la superación de las políticas de seguridad que tiene implementadas para prevenir que se realicen prácticas fraudulentas sobre los datos de sus clientes. Manifiesta que la persona infractora que suplantó la identidad del cliente a fin de conseguir realizar el cambio o duplicado de la tarjeta SIM, fue requerido (…). Indica que el infractor conocía previamente la información personal del cliente, en concreto, (…). Por ello, en tanto todos los datos fueron facilitados de manera correcta a través del Servicio de Atención al Cliente, para Vodafone la persona que estaba solicitando el cambio de SIM era el correcto titular, no pudiendo de ningún modo advertir de que dicha persona era un infractor que estaba suplantando su identidad. También indica que, tras realizar las investigaciones oportunas, se comprobó que, en fecha 28 de septiembre de 2019, tras recibir las llamadas a las que hace referencia en la reclamación, desde el departamento de fraude de Vodafone se estudió con detenimiento lo ocurrido, y este caso (…). También indica sobre este caso que el 28/09/2019 21:03:16 desde el departamento de fraude se detecta el cambio de SIM y se aplica desactivación temporal a la línea a fin de que no pueda ser utilizada para realizar llamadas o transacciones. Se contacta con cliente con fecha 28/09/2019 donde se confirma que dicho cliente no ha realizado ninguna modificación, pero indica que no puede atender más la llamada. (…). De forma previa al cambio de SIM realizado vía telefónica, se envía a distribuidor. (…).  Expediente E/00558/2020: Ha indicado que según la información que consta en sus sistemas se puede comprobar que los intentos de duplicados de SIM fueron cancelados y no tramitados al completo desde el momento en el que se tuvo constancia de la comisión del fraude. Aportan impresión de pantalla indicando que “el día 12/11/2019 se lleva a cabo un duplicado fraudulento de tarjeta SIM y el día 14/11/2019 se produce un intento desde el canal On-line, pero las ordenes aparecen canceladas” (se refieren a las órdenes del día 14/11/2019, que son dos). Vodafone ha indicado para otro caso que “cuando una orden se completa el estado aparece como cerrada”. En el pantallazo aportado, la orden de 12/11/2019 aparece como cerrada, y las órdenes de fecha 14/11/2019 aparecen canceladas. El cambio de SIM del día 12/11/2019 se realizó (…) y el del 14/11/2019 vía (…). Informa que “dado que el primer cambio de SIM es realizado por (…) se traslada con fecha 19/11/2019 información a responsable de atención al cliente para que refuercen la política de seguridad y revisen las acciones con el agente/agencia.” Asimismo, indica que con fecha 05/12/2019 a petición del departamento de fraude “se cerró la opción de (…)”. Informa que analizada la procedencia de las tarjetas SIM, las dos proceden del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/88 mismo lote de 100 tarjetas remitidas a un distribuidor. Se solicitó información y la documentación al distribuidor en cuestión para que acreditara a quien se le había entregado la tarjeta SIM. El distribuidor confirma que no dispone de la documentación. Expediente E/00559/2020:  VDF no ha aportado copia del DNI del solicitante, alegando que se solicitó a la tienda el documento aportado para la recogida de la tarjeta SIM y que disponían de dicho documento, que estaba manipulado. Indican que no se penalizó al distribuidor ya que cumple con las directrices marcadas por Vodafone ante estos casos. Respecto al tercero de los requerimientos se especifica la información conforme a los puntos requeridos según el orden de numeración: PUNTO 1: (se trata de casos que no han sido objeto de reclamación ante la AEPD).  Copia de los DNIs, respecto a lo cual se verifica lo siguiente: (…).  En las solicitudes telefónicas, copia de las grabaciones de la conversación: (…). PUNTO 2: Expediente E/03065/2020 respecto al cual manifiesta lo siguiente:  Indican que la grabación de la llamada no se lleva a cabo en todas las interacciones que se realizan con llamantes clientes o personas interesadas en los productos de Vodafone, dado que no es estrictamente necesario para el buen desarrollo de la prestación de los servicios de atención al cliente, como sería el caso. Indican que (…). (…). Indican que estas interacciones no solamente se identificaban por el llamante como cambio de SIM, sino que se enmascaraban dentro de otras solicitudes de soporte, dificultando la determinación de dichas acciones como fraudulentas, máxime cuando el servicio de atención al cliente fue provisto por diferentes operadores. Indican que no es posible recabar las grabaciones de las llamadas efectuadas para el cambio de las tarjetas SIM dado que el plazo de conservación de esta ha expirado. Consta la interacción realizada por el llamante en la que se muestra la apreciación del operador de superación de la política de seguridad “pol. Ok cliente solicita cambio de SIM que ha recibido”. Han indicado que los diferentes intentos de obtener el cambio de SIM se identifican ante el servicio de atención al cliente bajo distintas incidencias, resultando la identificación de estas conductas fraudulentas más complejas, máxime cuanC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/88 do el llamante supera la política de seguridad. (…). Manifiestan que en el momento en el que el cliente advierte que no tiene línea, su representada no tiene constancia de que se haya producido previamente una conducta fraudulenta ya que, cuando se efectúa el cambio de SIM, se supera la política de seguridad. (…). Al persistir esta incidencia, se le indica al cliente que haga el duplicado de SIM. Es después de estas interacciones, el día 7 de enero de 2020, cuando el departamento de fraude de Vodafone identifica que el cliente es víctima de una conducta fraudulenta, momento en el manifiestan que se inicia todo el proceso pertinente para solventar esta situación. También indican (el 9 de enero de 2020) que el propio cliente se pone en contacto con atención al cliente manifestando que quiere solicitar una doble clave de seguridad debido a que estaban intentando suplantar su identidad. En ese momento, VDF informa al cliente que no existe la posibilidad de una doble clave, por lo que se determina con el cliente modificar la que tiene. Manifiestan que esta interacción evidencia que VDF actuó con la máxima diligencia posible. Respecto a la copia del registro de la llamada del cliente, se verifica que consta en la interacción con el cliente como solución a la incidencia “se le indica hacer duplicado de la tarjeta”. Expediente E/03632/2020:  VDF no aporta dichas grabaciones manifestando que no es posible aportar la grabación de la llamada dadas las limitaciones de almacenaje de los sistemas al producirse millones de llamadas al servicio de atención al cliente que generarían un alto volumen de grabaciones a ser custodiadas, y que la superación de la política de seguridad es un procedimiento intrínseco al servicio de atención al cliente que todos los operadores pasan antes de proporcionar cualquier información. Aportan impresión de las pantallas constando como notas del operador únicamente “(…)” para el primer cambio (se cambia dos veces consecutivas el mismo día, cancelando el primero) y “confirmo cambio de titular de ***TELÉFONO.11” para el segundo cambio. Consta interacción por llamada del cliente del mismo día en la que el reclamante manifiesta que él no ha solicitado cambio de titular ni cambio de SIM. VDF ha aportado copia del DNI aportado por el solicitante (el nuevo titular). La copia del DNI aportada se observa incompleta, estando el DNI troceado y faltando un pequeño trozo de este.  C/ Jorge Juan, 6 28001 – Madrid Expediente E/05844/2020: www.aepd.es sedeagpd.gob.es 30/88 VDF manifiesta que no es posible aportar dicho documento al ser los puntos de venta los que realizan la verificación y copia de los DNI para llevar a cabo la contratación presencial. Son los propios puntos de venta quienes custodian las copias de los DNI y los ponen a disposición de VDF. En el presente caso, indican que han verificado que se gestionó en una tienda de (…). Aportan copia de un contrato en formato PDF sin firmar en el que constan los datos del reclamante y su número de DNI, de fecha el 02/06/2020, dando de baja determinados servicios. Constan los datos del nuevo cliente y una cuenta bancaria que coincide con la del reclamante. El documento se encuentra suscrito digitalmente por el nuevo cliente, pero no por el antiguo, la parte reclamante ocho. Indican que no es posible aportar copia del DNI al ser los puntos de venta presenciales los que realizan la verificación y copia de los DNIs para llevar a cabo el duplicado de SIM. Son los propios puntos de venta quienes custodian las copias de los DNIs y los ponen a disposición de VDF. En el presente caso, indican que (…). Sí aportan impresiones de pantalla que reflejan la gestión en relación con el duplicado de SIM. Indican que las impresiones de pantalla muestran las diferentes interacciones efectuadas en las que se plasma la firma digital del solicitante y la orden de cambio de SIM. Se observa que en las pantallas aparece el nombre del nuevo titular.  Expediente E/05287/2020: VDF no aporta dichas grabaciones manifestando que no es posible aportar la grabación de la llamada dadas las limitaciones de almacenaje de los sistemas al producirse millones de llamadas al servicio de atención al cliente que generarían un alto volumen de grabaciones a ser custodiadas, y que la superación de la política de seguridad es un procedimiento intrínseco al servicio de atención al cliente que todos los operadores pasan antes de proporcionar cualquier información. Los representantes de VODAFONE aportan impresiones de pantalla que reflejan interacciones que se listan por orden sucesivo en el tiempo (ver número interacción):  Interacción ***INTERACCIÓN.1: se realiza el cambio de titular.  Interacción ***INTERACCIÓN.2: se informa del cambio de titular producido.  Interacción ***INTERACCIÓN.3: el titular pregunta sobre el cambio producido y desea cancelarlo.  Interacción ***INTERACCIÓN.4: se ayuda al cliente a atender su petición.  Interacción ***INTERACCIÓN.5: el cliente llama informando sobre la presunta suplantación de identidad.  Interacción ***INTERACCIÓN.6: nueva solicitud de cambio de titular, modi- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/88 ficación únicamente la persona titular.  Interacción ***INTERACCIÓN.7: se confirma el cambio de titular:  Interacción ***INTERACCIÓN.8: se abre la petición de fraude Alega que después del primer cambio de titularidad, el cliente, se pone en contacto con atención al cliente para informar de que está teniendo problemas con su línea y, posteriormente, se identifica que puede ser una acción de fraude. Indican que durante el tiempo en que VDF llevó a cabo las acciones pertinentes para determinar la existencia de un supuesto de fraude, se producen diversas interacciones entre Vodafone y los distintos implicados, todas ellas con la apariencia de veraces que se les presume por pasar la política de seguridad. En ninguna interacción se refleja que se haya pasado o no se haya pasado la política de seguridad. Manifiestan que, durante el mismo día 7 de enero de 2020, VDF lleva a cabo las acciones pertinentes para proteger los intereses del cliente, bloqueando las líneas hasta que el departamento de fraude de Vodafone determinase las acciones a desarrollar. No se refleja en las pantallas. (…). Aporta copia del DNI aportado por el solicitante (del nuevo titular). La copia del DNI aportada se observa incompleta, estando el DNI troceado y faltando un trozo de este. Se observa también que es el mismo DNI que para la parte reclamante siete. PUNTO 3 Información sobre si es posible adquirir SIMs (…);  (…). Información sobre los casos (…):  (…). Política de seguridad que se pasa al solicitante en la recogida del SIM (…);  (…).  Causas por las que se permite en el procedimiento activar telefónicamente un SIM (…): (…). Sobre los cambios de titularidad vía telefónica (…):  (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/88 DÉCIMO CUARTO: Con fecha 27 de agosto de 2020, se obtiene información de la Comisión Nacional de los Mercados y la Competencia sobre las líneas de telefonía móvil de voz por tipo de contrato y por segmento siendo los resultados: OPERADOR PREPAGO VODAFONE Residencial 2.066.349 POSPAGO Negocios 0 Residencial 6.867.903 Negocios 3.487.812 DÉCIMO QUINTO: Con fecha 25 de enero de 2021, se obtiene información comercial sobre el volumen de ventas de VDF durante el año 2019 siendo los resultados de 3.635.853.000 euros. El capital social asciende a 439.110.908,20 euros. DÉCIMO SEXTO: Con fecha 8 de febrero de 2021, la directora de la AEPD acuerda iniciar un procedimiento sancionador contra VDF, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por presunta infracción del artículo 5.1.
5. f)y 5.2 del RGPD, tipificada en el artículo 83.5.
6. a)del RGPD y en el artículo 72.1.
7. a)de la LOPDGDD. El Acuerdo de inicio se notifica a VDF, en fecha 10 de febrero de 2021, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, según certificado que figura en el expediente. DÉCIMO SÉPTIMO: Con fecha 11 de febrero de 2021, VDF presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones y aportar documentos u otros elementos de juicio, y además, la remisión del expediente sancionador. DÉCIMO OCTAVO: Con fecha 17 de febrero de 2021, el órgano instructor acuerda la ampliación de plazo instada hasta un máximo de cinco días, así como la remisión de la copia del expediente, de acuerdo con lo dispuesto en los artículos 32.1 y 53.1
8. a)de la LPACAP. El Acuerdo de ampliación se notifica en fecha 22 de febrero de 2021. DÉCIMO NOVENO: Con fecha 3 de marzo de 2021, se recibe en esta Agencia, en tiempo y forma, escrito del abogado y representante de VDF, por el que se procede a formular alegaciones y en el que, tras manifestar lo que a su derecho convenía, termina solicitando el sobreseimiento del expediente con el consiguiente archivo de las actuaciones al no haberse cometido ninguna de las infracciones imputadas y subsidiariamente, en caso de imponerse una sanción, la imposición de una cuantía mínima, a la luz de las circunstancias atenuantes alegadas. En síntesis manifiesta que: 1.- VDF no había infringido los artículos 5.1.
9. f)y 5.2 del RGPD, ya que había aplicado las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. 2.- No existía culpa en las infracciones imputadas y en consecuencia, no podía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/88 imponerse sanción alguna. 3.- En el caso de que se entendiera de que procedía imponer una sanción, deberían tenerse en cuenta las circunstancias atenuantes. 4.- Enumeraba las pruebas de las que pretender valerse. VDF alegó los siguientes argumentos: Primera.- La adopción de medidas técnicas y organizativas no es una obligación absoluta. VDF ha cumplido con el principio de integridad y confidencialidad y con la obligación de adoptar medidas técnicas y organizativas adecuadas. I.- Invoca las Sentencias de la Audiencia Nacional (en lo sucesivo, SAN) (Sala de lo Contencioso Administrativo, en adelante, SCA) de 25 de febrero de 2010 [JUR 2010/82723] y de 10 de noviembre de 2017 [JUR 2018/3170]) (…). Así pues, el hecho de que un tercero haya superado dichas medidas no implica, per se, haber incumplido la obligación o, en su caso, el principio de integridad y confidencialidad. El responsable del tratamiento está sujeto a una obligación de medios, no a una obligación de resultado en el sentido de entender que todo incidente es un incumplimiento del deber de "garantizar un nivel de seguridad adecuado al riesgo" (artículo 32 del RGPD). II.- VDF es responsable de adoptar medidas técnicas y organizativas dirigidas a que los duplicados de tarjetas SIM sean facilitados a los titulares de las líneas telefónicas. En este sentido, las siguientes conductas caen fuera de la esfera de control de VDF: 1.- Las conductas realizadas por el estafador o ciberdelincuente en un estadio anterior a la solicitud del duplicado de la tarjeta SIM: (…). 2.- Las conductas realizadas por el estafador o ciberdelincuente en un estadio posterior a la solicitud del duplicado de la tarjeta SIM, como por ejemplo el acceso a las aplicaciones de banca online de las víctimas y la realización de operaciones fraudulentas a través de dichas aplicaciones. Remite a los folios 291 y siguientes del expediente donde el BBVA pone de manifiesto que no es suficiente con introducir la clave única que BBVA remite a través de SMS al teléfono validado por el cliente, sino que además será necesario que el defraudador acceda a la aplicación de BBVA mediante un usuario y contraseña. Hace referencia a varias técnicas de phishing utilizadas por los defraudadores como el envío masivo de correos suplantando al BBVA, llamadas aleatorias, o enlaces a través de SMS. Solo cuando los estafadores consiguen el usuario y la clave para acceder a las cuentas de los clientes, entonces y sólo entonces, el defraudador, mediante el duplicado de la tarjeta SIM, puede tener acceso a las cuentas de los afectados. Por tanto, el duplicado frauC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/88 dulento de la tarjeta SIM no es una actuación necesaria (hay entidades bancarias. que no envían SMS con sus claves únicas) ni suficiente (se requiere el acceso a otros datos y claves) para lograr acceder a las cuentas de los sujetos afectados. Aclaran que con lo anterior VDF no quiere tratar de distraer responsabilidades o culpar a terceros, sino simplemente centrar el objeto de debate. A VDF podrán achacársele infracciones sólo respecto de aquellas medidas de seguridad de las que sea responsable, esto es, aquellas dirigidas a garantizar que el solicitante del duplicado de la tarjeta SIM es el titular de la línea; no están (ni pueden estar) dirigidas a evitar la suplantación de identidad (falsificación del DNI, por ejemplo) ni a evitar el acceso a las cuentas bancarias. a través de la aplicación de la entidad de crédito en cuestión. III.- Medidas técnicas y organizativas adoptadas por VDF: Diferencia dos supuestos: (…). En suma, alega que no sólo implementó las medidas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo, sino que ha velado por que estas medidas se mantuvieran actualizadas en todo momento, saliendo el paso de las actividades delictivas realizadas por los estafadores y ciberdelincuentes y tratando de evitar que terceros obtengan duplicados de tarjetas SIM de forma fraudulenta. V.- Las medidas técnicas y organizativas implementadas por VDF son efectivas y adecuadas para garantizar un nivel de seguridad adecuado al riesgo: 1. El porcentaje de clientes que se ha visto afectado por un cambio de tarjeta SIM fraudulento es de un X,XXX %; y 2. El porcentaje de cambios de tarjeta SIM fraudulentos comparado con la totalidad de cambios de tarjeta SIM realizado sobre el sector de clientes particulares es de un X,XXX %. VI.- Estamos ante un tercero cuyo propósito es, mediante una actividad delictiva, superar dichas medidas de seguridad. El acceso a los datos personales de los interesados (tarjeta SIM) se produce mediante una actividad delictiva debidamente organizada y planeada. No estamos ante un fallo o error del sistema implementado por VDF. Hay que tener en cuenta la capacidad de estas organizaciones criminales para adaptarse a las nuevas realidades e ir mejorando sus métodos para cometer los fraudes en cuestión. En este sentido, VDF ha ido modificando su política de seguridad para tratar de anticiparse a nuevos métodos criminales, si bien, dichas organizaciones van evolucionando e implementando nuevas formas de actuación con el fin de superar la seguridad de las operadoras, lo que hace que sea imposible una anticipaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/88 ción a la actividad criminal en todos los casos. VII.- Sobre los supuestos aspectos que VDF no habría acreditado:  Identidad de los solicitantes de los duplicados de las tarjetas SIM, en los cambios de titularidad de la línea o en los solicitantes de las copias de las facturas: VDF no ha probado la identidad de los estafadores y ciberdelincuentes porque precisamente estos sujetos han ocultado su verdadera identidad y se han hecho pasar por los clientes de VDF, superando mediante técnicas ilícitas las políticas de seguridad. Pretender que pruebe la identidad de los solicitantes supone una suerte de prueba diabólica que no se puede exigir a VDF.  Las grabaciones de las llamadas telefónicas amparándose en que los plazos de conservación han expirado, cuando nos encontramos ante un total de XXX fraudulentos declarados en el ejercicio 2019:  La Agencia no ha solicitado copia de las grabaciones de las llamadas telefónicas de los XXX casos fraudulentos declarados en 2019 por VDF, sino de los 9 casos que dieron lugar al Acuerdo de Inicio (folio 414 del expediente) y de los 20 casos reportados por VDF (folio 787 del expediente). Sentado lo anterior, no ha sido posible aportar las grabaciones de las llamadas pues, por motivos logísticos, el tiempo durante el cual se almacenan las grabaciones de dichas llamadas es de un mes, lo cual además es conforme con el principio de limitación del plazo de conservación (artículo 5.1
10. e)del RGPD).  El motivo por el cual se ha remitido el duplicado de la tarjeta SIM a una ciudad distinta a la de la residencia de los abonados sin controles o garantías adicionales" (Reclamantes 1, 8 y 9): Para la parte reclamante uno, el cambio de tarjeta SIM se realizó en tienda por un comercial del distribuidor ***LOCALIDAD.3 CC Llobregat (folio 616 del expediente); y para la parte reclamante ocho, se realizó en una tienda de un distribuidor VDF ubicada en un centro Carrefour en Valencia (folio 878 del expediente). Por lo que se refiere a la parte reclamante nueve, tal y como se pone de manifiesto en los folios 881 y siguientes del expediente, no se llegó a remitir un duplicado de la tarjeta SIM al estafador.  La efectividad del check "víctima de fraude": Para la parte reclamante dos, tal y como se desprende de los folios 603 y 604 de las actuaciones, se realizó un primer duplicado fraudulento de la tarjeta SIM el 1 de noviembre de 2019, resultando infructuosos los posteriores intentos de duplicado fraudulento (días 4 y 5 de noviembre de 2019) por haber sido marcado el cliente como "víctima de fraude. Para la parte reclamante cuatro, tal y como se desprende del folio 605 de las actuaciones, se realizó un primer duplicado fraudulento de la tar- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/88 jeta SIM el 12 de noviembre de 2019, resultando infructuoso el posterior intento de duplicado fraudulento (de 14 de noviembre de 2019) por haber sido marcado como "víctima de fraude”.  La efectividad del procedimiento de activación telefónica después de la recogida de la tarjeta SIM de forma presencial: (…).  La efectividad de la atención multicanal que establece la vía presencial como canal prioritario para la solicitud de los duplicados de SIM, indicando a los gestores que atienden las llamadas que deriven a tienda a los solicitantes que solicitan el duplicado vía telefónica (…): (…). Segunda.- Subsidiariamente, y para el caso de que la Agencia entendiera que VDF ha infringido los artículos 5.1
11. f)y 5.2 del RGPD, no puede apreciarse la existencia de culpabilidad en las infracciones imputadas y, en consecuencia, no puede imponerse sanción alguna. I.- VDF no ha actuado culposamente, por lo que no procede la imposición de sanción alguna. El artículo 28.1 de la Ley 40/2015, de 1 de octubre, regula el principio de culpabilidad. Siguiendo con la interpretación realizada por el Tribunal Supremo, para la exculpación no bastará la invocación de la ausencia de culpa, sino que será preciso que se haya empleado la diligencia que era exigible por quien aduce su inexistencia (entre otras, la Sentencia del Tribunal Supremo de 23 de enero de 1998 [RJ 1998\601]). Asimismo, la Audiencia Nacional ha entendido, en casos similares al presente, en los que un tercero ha accedido, mediante actividades delictivas, a datos de los interesados custodiados por un responsable del tratamiento, que imputar tales hechos al responsable del tratamiento podría conllevar la vulneración del principio de culpabilidad. A título de ejemplo, la SAN (SCA, Sección 1ª) de 25 de febrero de 2010 [JUR 2010/82723]. "Así, aun cuando el artículo 9 de la LOPD establece una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros, tal obligación no es absoluta y no puede abarcar un supuesto como el analizado. En el caso de autos, el resultado es consecuencia de una actividad de intrusión, no amparada por ordenamiento jurídico y en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que rompiendo los sistemas de seguridad establecidos accede a la base de datos de usuarios registrados en www.portalatino.com, descargándose una copia de la misma. Y, tales hechos, no pueden imputarse a la entidad recurrente pues, de otra forma, se vulneraría el principio de culpabilidad". (el subrayado es de VDF). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/88 En ningún caso el duplicado de las tarjetas SIM de determinados clientes puede suponer la consideración de que VDF ha obrado culposamente. En efecto, todas las actuaciones de la misma han ido siempre dirigidas al establecimiento y supervisión de medidas técnicas y organizativas tendentes a garantizar la seguridad de los datos personales de sus clientes: diseño de políticas de seguridad que son seguidas por el servicio postventa y son apropiadas para garantizar un nivel de seguridad adecuado al riesgo" ya que "sólo" un X,XXX % de los clientes han sido víctimas de este tipo de actuación criminal; actualización de las medidas de seguridad -desde el 30 de mayo de 2019 fija la obligatoriedad de realizar y guardar una copia del DNI del solicitante- y ha enviado multitud de comunicados y alertas a sus tiendas; en aquellos casos en que la actividad del estafador consigue defraudar el sistema implementado por VDF, ha reaccionado dirigiendo sus acciones hacia 4 frentes: .- el cliente: bloqueando la tarjeta SIM y restringiendo la recepción de SMS, contacto y abono de las llamadas operadas por el estafador .- a los agentes y empleados: enviando comunicaciones periódicas con alertas y aplicando penalizaciones .- con las Fuerzas y Cuerpos de Seguridad del Estado: colaborando en la lucha contra este fraude .-a terceros: como entidades de crédito desarrollando futuras herramientas como (…). En consecuencia, ha actuado con la diligencia debida que es exigible y conforme dispone el derecho sancionador, no procede la imposición de sanción alguna. II.- En cualquier caso, las suplantaciones de identidad de los afectados son debidas a la existencia de errores humanos, que son inevitables y sobre los que VDF no puede tener un control efectivo: En estos supuestos (residuales), estaríamos ante errores humanos en los que el estafador o ciberdelincuente, valiéndose de artimañas y utilizando a su favor su experiencia criminal, ha logrado burlar las políticas de seguridad, provocando el error humano del servicio postventa. La Agencia se ha pronunciado en numerosas ocasiones sobre los errores humanos, destacando que los mismos no pueden ser castigados. Por ejemplo, en el Procedimiento Sancionador PS/00210/2019 y en el Procedimiento E/ 02877/2019, en los que se citó la SAN (SCA, Sección 1ª) de 23 de diciembre de 2013 [JUR 2014\15015]: "La cuestión, pues, ha de resolverse conforme a los principios propios del derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional". Tercera.- Subsidiariamente, y para el caso de que la Agencia entienda que ha exisC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/88 tido infracción y deba imponerse una sanción, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes: VDF discrepa respetuosamente de los agravantes listados en el Acuerdo de Inicio: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, el alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido: I. Naturaleza, gravedad y duración de la infracción: El único dato personal sobre el que se pierde la disposición (de forma temporal, hasta que la nueva SIM es bloqueada) es la línea telefónica. La pérdida de disposición y control sobre otros datos personales (como el nombre, apellidos, DNI, dirección, datos bancarios) se produce: (
12. i)bien en un momento anterior a la participación de VDF (por ejemplo, relajación de la conducta humana en la facilitación de ciertos datos a desconocidos, que los obtienen mediante prácticas de phishing o "ingeniería social"). (
13. ii)bien en un momento posterior a su participación (por ejemplo, utilización de SMS para el envío de claves de acceso a la banca electrónica), por lo que no se le pueden achacar. Los hechos acontecen en un periodo inferior a un año, no superior como señala la Agencia. La naturaleza de los hechos hace muy difícil -casi imposible- erradicar por completo estas prácticas, por lo que el elemento temporal no podrá ser tenido en cuenta como agravante, más aún cuando VDF ha implementado una política de seguridad dirigida a prevenir este tipo de conductas. - Número de interesados afectados: El porcentaje de clientes que se ha visto afectado por un cambio fraudulento de tarjeta SIM es de un X,XXX %, y que el porcentaje de cambios de tarjeta fraudulentos comparado con la totalidad de cambios de tarjeta SIM realizados sobre el sector de clientes particulares es de un X,XXX %, por lo que entendemos que el número de interesados afectados no es alto si lo comparamos con el número de potenciales afectados. - Nivel de los daños y perjuicios sufridos: La Agencia destaca que mediante el control de la línea del abonado se puede tener acceso a los "SMS dirigidos al legítimo abonado para realizar operaciones on-line con entidades bancarias suplantando su identidad". En este sentido, el sistema de verificación de identidad empleado por una entidad bancaria (por ejemplo, el envío de SMS con claves de acceso) responde a la voluntad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/88 la entidad de crédito y del usuario, no de VDF. En otras palabras, el riesgo viene generado por la entidad de crédito al utilizar este sistema de verificación de la identidad del interesado, no por VDF. Asimismo, otro elemento a tener en cuenta es que la entidad bancaria reintegra los importes defraudados a la víctima del fraude, tal y como destaca el BBVA en la respuesta a la solicitud de información de la Agencia obrante en el folio 292 del expediente: "[...] devolviéndole los importes de las operaciones fraudulentas así como las comisiones generadas". II. La intencionalidad o negligencia en la infracción: Queda por completo descartada. VDF sí ha asegurado un procedimiento que garantice la protección de los datos personales de sus clientes (esto es, su tarjeta SIM). Buena muestra de ello es que sólo un X,XXX % de los clientes se han visto afectados por esta estafa y además, ha llevado a cabo acciones tendentes a mantener dicha política de seguridad actualizada. III. Cualquier medida tomada por el responsable del tratamiento para paliar los daños y perjuicios sufridos por los interesados: (…). IV. El grado de responsabilidad, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGP: ha implementado medidas técnicas y organizativas adecuadas para el riesgo generado, esto es, tendentes a asegurar que quien solicita el duplicado o cambio de una tarjeta SIM es el titular de la línea. V. Toda infracción anterior cometida por el responsable del tratamiento: Hasta la fecha, VDF no sido sancionada por infracción de los artículos 5.1
14. f)y 5.2 del RGPD en relación con hechos similares, circunstancia que también deberá ser tenida en cuenta para modular la sanción a la baja. VI. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción: el grado de cooperación con la Agencia ha sido alto. VII. Las categorías de los datos personales afectados por la infracción: Alegan que los datos personales afectados no pueden ser considerados como circunstancia agravante. La Agencia incurre en un error de apreciación, en la medida en que la suplantación de identidad es previa a la expedición del duplicado de tarjeta SIM. La superación de las políticas de seguridad, puede ser un medio usado junto a otros, para burlar los controles de identidad implementados por otros operadores económicos, pero nada tiene que ver con la actividad respecto de la que es exigible a VDF en la adopción de medidas de seguridad adecuadas. De hecho, dependerá de los sistemas de seguridad implementados por las entidades bancarias. el hecho de que el defraudador pueda o no acceder a las cuentas del afectado, no pudiendo responsabilizarse a VDF de la falta de robustez del sistema de seguridad de un tercero (la entidad bancaria). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/88 VIII. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción: La actividad criminal también ha supuesto un perjuicio reputacional para VDF y una defraudación de sus políticas de seguridad. IX. El carácter continuado de la infracción: Se postula a favor del criterio de la Agencia que considera que estas infracciones no tienen carácter continuado. Cuarta.- Prueba que esta parte estima conveniente proponer: (…). VIGÉSIMO: Con fecha 14 de abril de 2021, tras comprobarse que no constaba adjunta parte de la documentación que señalaba haber aportado, se requiere a VDF para que en el plazo de 10 días a partir del siguiente a su notificación, aportase los siguientes documentos: (…). Dicho requerimiento fue notificado en fecha 19 de abril de 2021, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, según certificado que figura en el expediente. VIGÉSIMO PRIMERO: En respuesta a dicho requerimiento de información, con fecha 29 de abril de 2021, VDF remite la documentación solicitada. VIGÉSIMO SEGUNDO: Con fecha 30 de abril de 2021, la instructora del procedimiento acuerda la apertura de un período de práctica de pruebas en los siguientes términos: “Se dan por reproducidas a efectos probatorios las reclamaciones interpuestas por A.A.A.; B.B.B.; C.C.C.; F.F.F.; G.G.G.; K.K.K.; L.L.L.; Ñ.Ñ.Ñ.; y O.O.O., y su documentación. Los documentos obtenidos y generados por los Servicios de Inspección ante VODAFONE ESPAÑA, S.A.U, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/11418/2019. 2. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio PS/ 00001/2021 presentadas por VODAFONE ESPAÑA, S.A.U., en fecha 3 de marzo de 2021 y 29 de abril de 2021 y la documentación que a ellas acompaña:  Documento 1, (…).  Documento 2, (…).  Documento 3, (…).  Documento 4, (…).  Documento 5, (…).  Documento 6, (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/88  Documento 7, (…).” VIGÉSIMO TERCERO: Con fecha 28 julio de 2021, la instructora del procedimiento formula Propuesta de Resolución, en la que propone que por la directora de la AEPD se sancione a VODAFONE ESPAÑA, S.A.U., con CIF A80907397, por infracción del artículo 5.1.
15. f)y 5.2 del RGPD, tipificada en el artículo 83.5.
16. a)del RGPD y en el artículo 72.1.
17. a)de la LOPDGDD, con una multa administrativa de 4.000.000’00 (cuatro millones de euros). Con fecha 2 de agosto de 2021 a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, se notifica la Propuesta de Resolución. VIGÉSIMO CUARTO: Con fecha 5 de agosto de 2021, VDF solicita la ampliación del plazo para formular alegaciones a la Propuesta de resolución. VIGÉSIMO QUINTO: Con fecha 9 de agosto de 2021, la Agencia concede la ampliación instada. VIGÉSIMO SEXTO: Con fecha 23 de agosto de 2021, se recibe en esta Agencia, en tiempo y forma, escrito del abogado y representante de VDF, por el que se procede a formular alegaciones a la Propuesta de Resolución y en el que, tras manifestar lo que a su derecho convenía, termina solicitando, como hacía en las alegaciones al Acuerdo de inicio, el sobreseimiento del expediente con el consiguiente archivo de las actuaciones al no haberse cometido ninguna de las infracciones imputadas y subsidiariamente, en caso de imponerse una sanción, la imposición de una cuantía mínima, a la luz de las circunstancias atenuantes alegadas. Como alegación previa VDF señala que la Propuesta de Resolución propone la imposición de una multa de 4.000.000’00 a VDF por una presunta infracción de los artículo 5.1.
18. f)y 5.2 del RGPD, infracción tipificada como muy grave el artículo 83.5.
19. a)del RGPD y por el artículo 72.1 de la LOPDGDD, porque VDF habría vulnerado los principios de integridad y confidencialidad y de responsabilidad proactiva, al facilitar duplicados de tarjeta SIM a personas que no son las titulares de las líneas móviles, tras la superación por estos terceros de las políticas de seguridad implementadas por VDF. Asimismo, manifiesta que el expediente sancionador tiene su origen en nueve reclamaciones presentadas ante la Agencia, si bien ésta no sólo ha tenido en cuenta los hechos concretos y especificidades acaecidos en esos casos, sino que ha enjuiciado las medidas de seguridad adoptadas por VDF con carácter general. A continuación, y, sin perjuicio de que VDF se remite en su integridad a las alegaciones presentadas en fecha 3 de marzo de 2021 al Acuerdo de inicio, manifiesta que: 1). El objeto del presente procedimiento debe limitarse a determinar si VDF ha adoptado las medidas de técnicas y organizativas adecuadas para evitar, en la medida de lo posible, que se expidan duplicados de tarjetas SIM a sujetos que no son los titulares de las líneas móviles. El enjuiciamiento no puede extenderse a las actuaciones anteriores y posteriores llevadas a cabo por los ciberdelincuentes. A esta cuestión deC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/88 dica la alegación primera. VDF enfatiza que el presente procedimiento debe dirigirse única y exclusivamente a analizar si las medidas técnicas y organizativas adoptadas por VDF son apropiadas para asegurarse (en la medida de lo posible) que los duplicados de tarjetas SIM sean facilitados a los titulares de las líneas telefónicas y que la adecuación o no de las medidas adoptadas por VDF no puede hacerse depender de un hecho futuro que no depende de su mandante, esto es, que el ciberdelincuente consiga acceder a la banca online de la persona afectada. 2). Argumenta VDF que sí ha cumplido con los principios de confidencialidad e integridad y responsabilidad proactiva, así como con la obligación de adoptar las medidas técnicas y organizativas adecuadas: las medidas de seguridad adoptadas por Vodafone no tienen carácter estático, sino que las mismas se han ido revisando y actualizando a lo largo del tiempo. A esta cuestión se dedica la alegación segunda. 3). La adopción de medidas técnicas y organizativas no es una obligación absoluta: las cifras obrantes en el expediente son un indicio relevante de que VDF ha cumplido con el principio de integridad y confidencialidad. A esta cuestión dedica la alegación tercera. En apoyo de esta alegación VDF indica que las cifras obrantes en el expediente demuestran que ha cumplido con el principio de integridad y confidencialidad; esgrimiendo como argumentos que VDF ha procedido a la implementación de medidas objetivamente idóneas para proteger la integridad y confidencialidad de los datos personales de los clientes teniendo en cuenta el número de casos en los que dichas medidas de seguridad se han visto superadas, tomando como referencia el periodo temporal en el que se enmarcan los hechos objeto de las presentes actuaciones, esto es, desde el 29 de julio de 2019 (caso del Reclamante 5, folio 109 del expediente) hasta el 2 de junio de 2020 (caso del Reclamante 8, folio 450 del expediente), vemos que Vodafone ha rechazado un total de XXXX solicitudes de duplicados de tarjetas SIM, evitando potenciales problemas de fraude y se han materializado XXX casos, lo que demostraría que las medidas de seguridad implementadas funcionan, según VDF. 4). Subsidiariamente, para el caso de que se entendiera que sí ha habido infracción, son varios los factores que hacen llegar a la conclusión de que la actuación de VDF no ha sido negligente y, en consecuencia, no puede imponerse a la misma sanción alguna. A esta cuestión dedica la alegación cuarta. Aduciendo en su defensa que en el presente procedimiento sancionador se han evaluado las circunstancias de nueve casos concretos; que las cifras obrantes en el expediente (que no han sido discutidas por la Agencia) ponen de manifiesto que estamos ante casos aislados, de lo que se puede inferir que la actuación de VDF no ha sido negligente; por todas las medidas adoptadas por VDF para prevenir el duplicado fraudulento de tarjetas; la realización de actividades delictivas de terceros para acceder a determinados datos personales de los afectados; y por último la existencia de errores humanos que han llevado a la emisión de los duplicados fraudulentos. 5). Manifiesta VDF que subsidiariamente al punto 4) anterior, para el caso de que se entendiera que sí puede imponérsele una sanción, deberán tenerse en cuenta las circunstancias identificadas en la alegación quinta para disminuir el importe de la sanción. Manifestando en esta alegación que subsidiariamente, para el supuesto de que la Agencia entendiera que sí que ha existido infracción y que asimismo procediera la imC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/88 posición de una sanción a Vodafone, su mandante considera que, al ser la misma desproporcionada (se propone una sanción de aproximadamente XXX.XXX euros por cada caso), deberá modularse a la baja atendiendo a las circunstancias que se exponen en su alegación. Esas circunstancias son los agravantes tenidos en cuenta por la AEPD, y que son los siguientes: Naturaleza, gravedad y duración de la infracción (artículo 83.2
20. a)del RGPD): manifiesta con relación al periodo temporal respecto al que acontecen los hechos, que la Agencia alega que con posterioridad al 2 de junio de 2020 (fecha en la que se produjo la última de las nueve reclamaciones que han dado lugar al presente expediente) se habrían registrado tres reclamaciones adicionales denunciando hechos similares que no han sido objeto de acumulación al presente procedimiento sancionador y que no deberían ser tenidos en cuenta como agravantes. Número de interesados afectados (artículo 83.2
21. a)del RGPD): manifiesta que, los XXX casos no pueden ser tenidos en cuenta sin ponerlos en su debido contexto alegando una serie de circunstancias, en relación con el total de clientes de VDF, con el total de solicitudes de duplicado de tarjetas SIM y con el número de solicitudes de tarjetas SIM denegadas. Nivel de los daños y perjuicios sufridos (artículo 83.2
22. a)del RGPD el grado de responsabilidad que, en su caso, pueda achacarse a VDF, no puede hacerse depender de una actuación de un tercero que escapa al control de mi mandante, esto es: las medidas de seguridad implementadas por una u otra entidad bancaria o incluso el hecho de que el afectado disponga o no de banca electrónica. Intencionalidad o negligencia en la infracción (artículo 83.2
23. b)del RGPD): Manifiesta VDF que a fin de evitar reiteraciones innecesarias, se remite a la Alegación Cuarta en lo relativo a la ausencia de negligencia. Y añade además, su disconformidad con la siguiente afirmación de la Agencia: "Igualmente, el hecho de que VDF haya implementado posteriormente modificaciones en las medidas técnicas u organizativas existentes, corrobora que aquellas otras no proporcionaban la seguridad adecuada” y que no se puede convertir en perjudicial para VDF el hecho de cumplir con el RGPD, que impone una evaluación continua y sistemática de las medidas de seguridad para ir adaptándolas a los riesgos cambiantes, cuestión que ha sido tratada en la Alegación Segunda de este escrito. Si la sanción se impone por la falta de la, a juicio de la Agencia, debida diligencia, la negligencia que constituye precisamente el hecho infractor no puede, a su vez, ser valorada como agravante. Sobre las medidas tomadas por el responsable (artículo 83.2
24. c)del RGPD): Argumenta VDF que la Agencia se refiere a la adopción de un listado de medidas (el listado de medidas son las expresamente manifestadas por VDF en el apartado III de la Alegación Tercera de su escrito de alegaciones al Acuerdo de inicio del presente procedimiento, esta alegación al igual que el resto de alegaciones al citado Acuerdo fueron debidamente contestadas en el Fundamento Jurídico Cuarto de la Propuesta de Resolución, respecto del que realiza dos precisiones: La primera precisión relativa a que VDF ha adoptado, además, otras muchas medidas. La segunda precisión, se admite las medidas posteriores adoptadas tengan la consideración de mínimos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/88 Grado de responsabilidad del responsable (artículo 83.2
25. d)del RGPD): Señala VDF que tal y como ha expuesto en las Alegaciones Segunda y Tercera de este escrito, VDF ha implementado medidas técnicas y organizativas adecuadas para el riesgo generado por mi mandante, es