PS-00065-2023

1/13  Expediente N.º: EXP202213331 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 10 de abril de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE SERVICIOS, S.L.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202213331 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: HECHOS PRIMERO: D. A.A.A., en nombre y representación de D. B.B.B. (en adelante, la parte reclamante) con fecha 4 de noviembre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE SERVICIOS, S.L.U. con NIF B87539284 (en adelante, Vodafone). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que se ha llevado a cabo un duplicado de su tarjeta SIM con la finalidad de suplantar su identidad para obtener acceso a su entidad bancaria y así realizar cargos, retiradas en efectivo y compras a cargo de la cuenta de su titularidad. Aporta reclamación efectuada ante el operador de telecomunicaciones reclamado, reclamación dirigida a su entidad bancaria, denuncia policial y solicitud de arbitraje ante la Junta Arbitral de Consumo de Granada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a Vodafone, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 28 de diciembre de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 8 de febrero de 2023 se recibe en esta Agencia escrito de respuesta indicando: “Tras realizar las investigaciones oportunas sobre lo ocurrido y habiendo confirmado mi representada que se han realizado todas las actuaciones pertinentes con anterioridad a la notificación de la presente solicitud de información, se ha procedido a enviar una carta al reclamante mediante la cual se ha procedido a informarle sobre las gestiones que fueron llevadas a cabo por Vodafone para solucionar la incidencia y que esta se encuentra resuelta en la actualidad. En particular, se le informa que las actuaciones denunciadas por el reclamante han sido calificadas como fraudulentas, en particular el duplicado de su tarjeta SIM. Asimismo, se informa al reclamante de que lo sucedido fue declarado como fraudulento por el Departamento de Fraude de Vodafone y se han implementado medidas de seguridad adicionales sobre la cuenta de cliente del reclamante para que no se produzcan incidencias similares en el futuro. La reclamación tiene su origen en que el reclamante, usuario de una línea de telefonía móvil ***TELÉFONO.1, refiere haber sido víctima de acciones maliciosas por parte de un tercero desconocido mediante las que se habrían solicitado duplicado de sus tarjetas SIM sin su consentimiento para, finalmente, lograr realizar cargos no autorizados en su cuenta bancaria. Tras analizar la reclamación e investigar lo sucedido, Vodafone ha podido comprobar que se efectuaron distintas acciones fraudulentas sobre la línea de telefonía móvil pertenecientes al reclamante. Se tramitó un duplicado de SIM, en fecha 19 de julio de 2022, gestionado de forma telefónica, a través de un colaborador de esta entidad en la gestión del servicio de atención al cliente. Así como también se solicitaron otros duplicados de SIM en fecha 20 de julio de 2022, que figuran como cancelados. Por último, el reclamante realizo un ulterior duplicado SIM, en fecha 21 de julio de 2022, como él mismo refiere en su reclamación. Quiere esta parte señalar que la efectiva gestión de un duplicado de tarjeta SIM está supedita a la superación de las políticas de seguridad que Vodafone tiene implementadas a fin de prevenir que se realicen prácticas fraudulentas sobre los datos personales de sus clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 En este sentido, y al haberse tramitado dicha gestión sujeta a dicha política de seguridad, mi representada entendió en todo momento que se trataban de gestiones lícitas, reales y veraces. En vista de los hechos acontecidos, una vez que el reclamante se percató de los hechos denunciados, el día 6 de septiembre de 2022, se puso en contacto con mi representada indicando que las gestiones anteriores se habían realizado supuestamente sin su consentimiento, siendo este el primer momento en que Vodafone tuvo conocimiento de los hechos objeto de reclamación. En este sentido, mi representada procedió a realizar las investigaciones y gestiones oportunas a fin de resolver la incidencia acontecida. Por ello, el mismo día en el que se tuvo constancia de los hechos objeto de la reclamación, tras verificar Vodafone que estaba ante gestiones que, pese a tener la apariencia de veraces, eran de carácter fraudulento, procedió a desactivar la tarjeta SIM fraudulenta para rectificar esta incidencia, activando sobre la cuenta de cliente del reclamante medidas de seguridad adicionales para evitar cualquier otro perjuicio al reclamante. Finalmente, la línea de telefonía móvil del reclamante se dio de baja en fecha 6 de noviembre de

1. Por tanto, no parece posible que exista una correlación entre los hechos ocurridos en relación con mi representada y lo ocurrido con la entidad bancaria de la que es cliente el reclamante. En este sentido, los movimientos bancarios que alega en su reclamación no tienen su origen, ni han sido ocasionados en concepto de facturas por servicios de Vodafone que tuviese contratados, sino que se deben a accesos efectuados a través de la cuenta de su entidad bancaria. Por ello, Vodafone no puede ser responsable de los accesos y movimientos bancarios que pudiesen haberse realizado de forma fraudulenta”. TERCERO: De conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), cuando se presentase ante la Agencia Española de Protección de Datos (en adelante, AEPD) una reclamación, ésta deberá evaluar su admisibilidad a trámite, debiendo notificar a la parte reclamante la decisión sobre la admisión o inadmisión a trámite, en el plazo de tres meses desde que la reclamación tuvo entrada en esta Agencia. Si, transcurrido este plazo, no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en el Título VIII de la Ley. Dicha disposición también resulta de aplicación a los procedimientos que la AEPD hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes. En este caso, teniendo en cuenta lo anteriormente expuesto y que la reclamación se presentó en esta Agencia, en fecha 4 de noviembre de 2022, se comunica que su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 reclamación ha sido admitida a trámite, el día 4 de febrero de 2023, al haber transcurrido tres meses desde que la misma tuvo entrada en la AEPD. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad VODAFONE SERVICIOS, S.L.U. es una gran empresa constituida en el año 2016, y con un volumen de negocios de 81.314.000 euros en el año
2. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Obligación incumplida Con carácter previo resulta preciso señalar que el artículo 4.1 del RGPD define: «datos personales» como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C 101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “
3. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. III Tipificación y calificación de la infracción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “
4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”. En el presente caso, resulta acreditado que Vodafone facilitó un duplicado de la tarjeta SIM a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero, el cual, ha accedido a información contenida en el teléfono móvil, tales como datos bancarios, contraseñas, dirección de correo electrónico y otros datos personales asociados al terminal. Así pues, la reclamada, no verificó la personalidad del que solicitó el duplicado de la tarjeta SIM, no tomó las cautelas necesarias para que estos hechos no se produjeran. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. Pues bien, según ha manifestado la parte reclamada, “Vodafone ha podido comprobar que se efectuaron distintas acciones fraudulentas sobre la línea de telefonía móvil pertenecientes al reclamante. Se tramitó un duplicado de SIM, en fecha 19 de julio de 2022, gestionado de forma telefónica, a través de un colaborador de esta entidad en la gestión del servicio de atención al cliente. Así como también se solicitaron otros duplicados de SIM en fecha 20 de julio de 2022, que figuran como cancelados”. Ahora bien, debe señalarse que el Sim Swapping es un fraude que permite suplantar la identidad mediante el secuestro del número de teléfono al obtener un duplicado de la tarjeta SIM. En todo caso, la operadora deberá ser capaz de acreditar que para este caso concreto haya seguido los protocolos de verificación implementados a la hora de solicitar un duplicado de la tarjeta SIM. Pues bien, el resultado fue que la reclamada expidió la tarjeta SIM a un tercero que no era el titular de la línea. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 A la vista de lo anterior, la parte reclamada no logra acreditar que se haya seguido ese procedimiento. En la explicación aportada por la parte reclamada, no se apunta a cuál pudo haber sido la causa concreta que desembocó en la emisión del duplicado, más allá de unas explicaciones genéricas sobre un posible “error humano”, incumplimiento por los colaboradores de Vodafone, o incluso “actuación criminal organizada”. En todo caso, la parte reclamada no ha sido capaz de acreditar que para este supuesto se siguiera el procedimiento implantado por ella misma, ya que, de haberlo hecho, se debió haber producido la denegación del duplicado de la tarjeta SIM. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. De conformidad con las evidencias de las que se dispone en este momento procesal y sin perjuicio de lo que resulte de la instrucción del procedimiento, se estima que la conducta de la parte reclamada podría vulnerar el artículo 6.1 del RGPD pudiendo ser constitutiva de la infracción tipificada en el artículo 83.5.a) del citado Reglamento 2016/
5. En ese sentido el Considerando 40 del RGPD señala: “