PS-00083-2024

1/27  Expediente N.º: EXP202303784 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 7 de marzo de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada o Vodafone). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que en fecha 8 de abril de 2022, se realizó sin su consentimiento un duplicado de la tarjeta SIM asociada a su línea de teléfono. Así las cosas, señala que, según el punto de venta de Vodafone, se realizaron dos intentos en fecha 8 de abril de 2022. El primero de ellos a las 19:47 horas sin éxito y posteriormente a las 19:52 horas permitiendo la duplicidad, y además efectuaron operaciones no consentidas en su cuenta bancaria. Y, aporta la siguiente documentación relevante: - Copia de la denuncia presentada ante el Cuerpo Nacional de Policía de Zaragoza (...) el 11 de abril de 2022 Atestado (...). - Copia de reclamación enviada a Vodafone por correo certificado y de la cual la reclamante indica no haber recibido contestación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 29 de marzo de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 7 de julio de 2023 se recibe en esta Agencia escrito de respuesta indicando: <<que en fecha 8 de abril de 2022 se tiene constancia de la solicitud de un duplicado SIM realizada desde el Call Center de Vodafone. Dicha petición se produjo sin que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/27 haya tenido constancia previamente de un acceso indebido al área de cliente ni de un acceso no autorizado a los datos de la reclamante, constando únicamente de manera previa una llamada telefónica a los servicios de atención al cliente en las que se solicitaba el duplicado de la tarjeta SIM de la reclamante, aunque dicho trámite no pudo ser completado con éxito. Lo cual no implica, en principio, ninguna presunción de actuación fraudulenta o ajena al titular del servicio, sino que simplemente conlleva la imposibilidad de realizar el trámite solicitado a través de ese canal para esa solicitud concreta. Asimismo, Vodafone no ha detectado ningún acceso no autorizado por parte de un tercero a sus sistemas internos o bases de datos en los que se almacenan los datos de la reclamante, ni ningún otro incidente de seguridad que haya supuesto la fuga de datos o contraseñas de la reclamante. Consecuentemente, la obtención de la información relativa a la reclamante, necesaria para superar la política de seguridad, no se produjo como resultado de una fuga de datos en los sistemas internos de Vodafone o como consecuencia de una actuación negligente por parte de los agentes del servicio de Atención al Cliente de Vodafone. En su caso, de haber existido un acceso ilícito a la información privada de la reclamante, el presunto infractor debía de conocer o haber obtenido previamente los datos necesarios para superar la Política de Seguridad implementada por Vodafone para llevar a cabo el duplicado de tarjeta SIM a un cliente, lo que le permitió solicitar un duplicado de SIM sobre la línea telefónica de la reclamante. Así las cosas, entendemos que lo ocurrido queda fuera del ámbito de responsabilidad de mi mandante debido a que los clientes o interesados tienen la responsabilidad de custodiar debidamente sus datos, estando únicamente dentro de la esfera de control de mi mandante la adecuada definición de los procedimientos, sistemas, controles y medidas de seguridad aplicables en función de la criticidad del tratamiento que aseguren la correcta identificación del titular de los datos personales. Tal y como se ha expuesto en la manifestación anterior, la solicitud del duplicado SIM a través de Call Center se supedita a la superación de la Política de Seguridad implementada por Vodafone para llevar a cabo diferentes gestiones. En consecuencia, el conocimiento de la información personal de la reclamante, necesaria para la gestión telefónica de la solicitud un duplicado SIM, se puede haber producido debido a la obtención por parte de un tercero de ciertos datos relativos a la reclamante, lo que le permitió superar la Política de Seguridad y solicitar un duplicado de SIM sobre la línea telefónica de la reclamante. La Política de Seguridad seguida por todos los empleados de Vodafone, incluidos los agentes telefónicos, prevé los pasos necesarios para que, en atención al trámite efectuado, se compruebe la identidad del contratante, por lo que Vodafone, entiende que, superada la Política de Seguridad, la petición efectuada era lícita y con apariencia de veracidad. En consecuencia, tras la validación de la petición, se envió la tarjeta SIM a un establecimiento de venta autorizado. Sin embargo, Vodafone bloqueó el duplicado SIM de forma preventiva en fecha 9 de abril de 2022, después de que la reclamante informase a mi representada de que no reconocía el duplicado. Posteriormente, se elevó el caso al Departamento de Fraude de Vodafone, quien el 13 de abril de 2022 calificó dicho duplicado como fraudulento. En todo caso, la Política de Seguridad de Vodafone prevé la entrega del Documento Nacional de Identidad del solicitante del duplicado SIM en el momento de entrega del mismo en un punto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/27 venta físico, a fin de verificar la identidad del receptor y garantizar la veracidad de la contratación, tal y como se puede verificar en la siguiente imagen. En otro orden de cosas, esta representación debe indicar que no dispone de la grabación del trámite telefónico referido en tanto que no se produjo la grabación de dicha llamada. Ello es debido a que, como ya se ha expuesto en expedientes precedentes, las llamadas telefónicas recibidas por los servicios de atención al cliente de Vodafone sólo son grabadas de forma aleatoria y con fines de calidad de la atención dispensada al cliente, conforme se informa expresamente a los interesados en la realización de cualquier trámite por el canal telefónico. En este sentido, una vez verificada la identidad del solicitante, de acuerdo con lo previsto en la política de seguridad de Vodafone y realizados los trámites oportunos, se gestionó el envío de la tarjeta SIM a un establecimiento abierto al público gestionado por un distribuidor autorizado. Como se ha expuesto en la manifestación anterior, los agentes encargados de la entrega de la tarjeta SIM en los puntos de venta físicos deben garantizar la identificación del cliente mediante la entrega del Documento Nacional de Identidad, a fin de evitar que se produzcan acciones maliciosas por parte de terceros defraudadores. Vía presencial: la tramitación de un duplicado SIM de forma presencial, según la Política de Seguridad establecida para ello, prevé que, para la realización de un cambio SIM en tienda, debe de acudir el titular de la cuenta de cliente con su documento de identidad original para poder realizar el cambio de SIM, tal y como se adjuntaba en la alegación tercera. Asimismo, tal y como se ha puesto de manifiesto en las presentes alegaciones, desde el 6 de diciembre de 2022, el sistema bloquea la entrada de llamadas realizadas a través de números ocultos con el fin de evitar posibles acciones fraudulentas. • Por último, recientemente, Vodafone ha restringido, con carácter general, a los agentes que componen su Servicio de Atención al Cliente los permisos necesarios para la realización de un duplicado o cambio de tarjeta SIM de forma telefónica. En particular, el número de agentes del Servicio de Atención al Cliente con permisos específicos para realizar este tipo de trámites se trata de un número muy limitado. Dicha medida ha sido implantada el pasado 11 de abril y persigue reducir significativamente las actuaciones fraudulentas relacionadas con el duplicado o cambio de SIM. Quiere esta parte señalar que la efectiva gestión de un duplicado de tarjeta SIM conlleva la superación de la Política de Seguridad. En este sentido, y al haberse tramitado dicha gestión sujeta a dicha política de seguridad, mi representada entendió en todo momento que se trataban de gestiones lícitas, reales y veraces. Se ha procedido a enviar una carta a la reclamante mediante la cual se le ha informado sobre las gestiones que fueron llevadas a cabo por Vodafone para solucionar la incidencia. Asimismo, se ha procedido al abono de las cantidades generadas como consecuencia del duplicado SIM fraudulento. Por otro lado, en lo que se refiere a la realización de transacciones bancarias de carácter fraudulento como las que pone de manifiesto la reclamante en su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/27 reclamación, resulta oportuno expresar que el cambio de una tarjeta SIM implica únicamente el acceso a la línea de teléfono asociada a ésta, y no a los datos bancarios del titular. Por tanto, no parece posible que exista una correlación entre los hechos ocurridos en relación con mi representada y lo ocurrido con la entidad bancaria de la que es cliente la reclamante. En este sentido, los movimientos bancarios que alega en su reclamación no tienen su origen, ni han sido ocasionados en concepto de facturas por servicios de Vodafone que tuviese contratados, sino que se deben a accesos efectuados a través de la cuenta de su entidad bancaria. Por ello, Vodafone no puede ser responsable de los accesos y movimientos bancarios que pudiesen haberse realizado de forma fraudulenta>>. TERCERO: Con fecha 7 de junio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En repuesta a requerimiento de esta Agencia donde se solicita “copia de la solicitud de duplicado sim de fecha 08/04/2022”, la representante de Vodafone responde el día 31/08/2023 lo siguiente: “……… la tarjeta SIM empleada para realizar el duplicado SIM objeto de este requerimiento fue adquirido en un punto de venta de Vodafone, el cual no se encontraba autorizado por mi representada para llevar a cabo dicho trámite, saltándose así los procedimientos y Políticas de Seguridad determinados por Vodafone. Como consecuencia, no se cuenta con la solicitud de la tarjeta SIM gestionada por dicho punto de venta.” “El duplicado SIM fue solicitado a través del Servicio de Atención al Cliente de Vodafone el 8 de abril de 2022 después de que el defraudador se hiciera pasar por una tienda autorizada de Vodafone. Es relevante destacar que el defraudador se hizo pasar por una tienda de Vodafone y aportó los datos personales de la reclamante, los cuales había obtenido previamente y por medios ajenos a la entidad de mi representada.” “……. se debe remarcar que los Agentes que atienden las solicitudes del Servicio de Atención al Cliente de particulares no se encuentran autorizados para llevar a cabo ningún tipo de trámite en caso de que se ponga en contacto una tienda de Vodafone, ya que estos puntos de venta tienen un canal de soporte específico al que se deben dirigir. Mi representada recuerda esta prohibición a sus Agentes de manera periódica con el fin de evitar casos como este. A este respecto, se adjunta captura de pantalla de un ejemplo de comunicado.” “A pesar de los continuos refuerzos y avisos enviados por mi representada a los Agentes del Servicio al Cliente recordándoles su deber de cumplir con la Política de Seguridad de Vodafone, debido a un error puntual y aislado por parte del Agente, quien no siguió correctamente el protocolo marcado, se procedió a la tramitación del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/27 duplicado SIM. Por todo ello, el Departamento de Fraude procedió a calificar el duplicado SIM como fraudulento, y aplicar medidas adicionales sobre la ficha de cliente de la reclamante, quien ha sido calificada como víctima de fraude, encontrándose la incidencia correctamente solventada desde el 13 de abril de 2022.” “……. tal y como mi mandante ha puesto en conocimiento de esta Agencia, no ha sido posible localizar grabación de dicho trámite, ya que, como la presente Agencia conoce, Vodafone, debido al gran volumen de interacciones que recibe en su servicio de Atención al Cliente, únicamente graba de manera aleatoria y por motivos de calidad algunas de sus llamadas, no habiendo sido grabada esta llamada por motivos de calidad. Solamente aquellas mediante las cuales se perfeccione un contrato por grabación de voz, son grabadas en todo caso.” En respuesta a la solicitud de relación y detalle de todos los contactos mantenidos con la reclamante entre los días 08/04/2022 y 11/04/2022, incluyendo las anotaciones realizadas por los gestores de atención telefónica y acreditación de las acciones emprendidas en cada contacto, se indica lo más relevante de la respuesta obtenida de este documento y el documento adjunto “Documento número 8_Interacciones Sistemas internos.pdf”: - Registro (Id. (…), llamada entrante codificada automáticamente por la máquina interactiva IVR) con razón “Información - Tarjeta SIM - Pedido” el 08/04/2022 a las 19:44:12 a nombre de la reclamante. - Registro (Id. (…), llamada a través del servicio de atención al cliente de Vodafone. Es atendida por un Agente y la codifica. Asimismo, anota que puede ser un posible caso de fraude) con razón “Fraude - Posible fraude Suplantación” el día 08/04/2022 a las 19:47:56, con la siguiente anotación: “Posible fraude. Llama haciéndose pasar por trabajador de tienda Vodafone para que le activemos tarjeta SIM. Corta la llamada”. - Registro (Id. (…), se codifica interacción, no hay anotaciones) con razón “Servicio - Post venta – Cambio de SIM” el día 08/04/2022 a las 19:50:27 - Registro (Id. (…), se realiza cambio de SIM a través de Agente) con razón “Servicio - Post venta – Cambio de SIM” el día 08/04/2022 a las 19:51:37 - Registro (Id. (…) a las 19:52:45 con la siguiente anotación: “compañero Web de tienda solicita envío SIM” - Registro (Id. (…) con razón “Cobertura – Info/Soluc” el día 09/04/2022 a las 12:04:11 donde indica: “Que dice el cliente que le pasa: no puede hacer llamadas ni recibir y no puede acceder a ningún contacto de su lista. Resultado de la investigación: se evidencia línea con SGSN NUBER UNKNOWN.” - Registro (Id. (…) con razón “Suplantación – Info/Solucion” el día 09/04/2022 a las 12:18:54 donde se indica: “MOTIVO LLAMADA: Incomunicado total. Ni emite ni recibe ha recibido SMS de cambio de sim no lo ha solicitado. NOMBRE: A.A.A. CIF:***NIF.1 CONTACTO :***TELÉFONO.1 …….. PRUEBAS REALIZADAS SERVICIO AC, se detecta posible fraude, se le facilita número de fraudes.” - Registro (Id. (…), servicio avería, razón “No fallo SIM – Info/Solución” el día 09/04/2022 a las 12:36:12, donde el operador indica: “Cliente línea ***TELÉFONO.2 bloqueada indicamos debe ir tienda Vodafone hacer duplicado y reactivar línea” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/27 QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad VODAFONE ESPAÑA, S.A.U. es una gran empresa constituida en el año 1.994, y con un volumen de negocios de (...) euros en el año 2023. SEXTO: Con fecha 17 de abril de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

1. a)del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en, la LPACAP, la parte reclamada solicitó ampliación del plazo y copia del expediente y presentó escrito de alegaciones el día 20 de mayo de 2024. OCTAVO: Con fecha 21 de mayo de 2024, el instructor del procedimiento acordó practicar las siguientes pruebas: << Se dan por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento AI/00228/2023. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por VODAFONE ESPAÑA, S.A.U., y la documentación que a ellas acompaña. El resultado de estas pruebas podrá dar lugar a la realización de otras.>> NOVENO: Con fecha 23 de julio de 2024, se emitió por el instructor del expediente la propuesta de resolución y fue notificada electrónicamente el día 29 del mismo mes y año y en la misma se proponía: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
2. a)del RGPD, con una multa de 200.000 € (doscientos mil euros)”. DÉCIMO: Con fecha 30 de julio de 2024, solicitó Vodafone ampliación de plazo para formular alegaciones a la propuesta de resolución y el día 5 del mismo mes y año le fue concedido y el día 20 de agosto de 2024 presentó las siguientes alegaciones: PRIMERA. - La parte reclamada ha actuado de forma diligente en la medida en la que tiene implementados los procesos necesarios para identificar correctamente a sus clientes, siendo la adopción de medidas técnicas y organizativas una obligación que no es absoluta. La parte reclamada sostiene que ha implementado medidas técnicas y organizativas adecuadas para identificar a sus clientes y evitar fraudes en la gestión de duplicados de tarjetas SIM. A pesar de estas medidas, la parte reclamada indica que los defraudadores pueden superar la seguridad mediante técnicas ilícitas para obtener datos confidenciales, lo que no significa que la política sea insuficiente, sino que se han obtenido los datos necesarios, por medios ajenos, para superar las medidas. Asimismo, señala que tanto la Audiencia Nacional como la Agencia reconocen que la obligación de adoptar medidas de seguridad no es absoluta, sino que es una obligación de medios. En consecuencia, siempre existirá un riesgo residual en el tratamiento de datos personales, incluso con medidas robustas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/27 De igual forma, afirma que las medidas implementadas por Vodafone cumplen con la diligencia media exigible dentro del sector de telecomunicaciones, ejecutando el duplicado de la tarjeta SIM sólo en el caso de que el solicitante acredite su identidad mediante la aportación correcta de los datos exigidos por la Política de Seguridad. Vodafone no pudo comprobar que la solicitud se estaba realizando por un tercero en la medida en la que la identidad del estafador estaba oculta y se hacía pasar por personal de tienda, superando mediante engaño (el defraudador llama a atención al cliente haciéndose pasar por compañero de tienda pidiendo ayuda). A pesar de los esfuerzos para mejorar continuamente las políticas de seguridad, indica que no puede controlar las técnicas fraudulentas utilizadas por terceros antes de la solicitud de duplicado. Además, afirma que ha reforzado sus medidas de seguridad a lo largo de los años, incluyendo mecanismos de doble autenticación y controles más estrictos en los cambios de datos y solicitudes de duplicados. Por tanto, la parte reclamada manifiesta que en el presente caso el agente engañado por el defraudador tramita el duplicado de tarjeta SIM solicitado, le atiende creyendo que es un compañero de tienda que requiere de ayuda. Y es por ello que el primer agente deniega el duplicado SIM y el segundo, engañado, tramita la solicitud. Por tanto, la parte reclamada afirma que ha implementado nuevas medidas y controles que traten de reducir al máximo posible el riesgo inherente al tratamiento de datos que realiza. SEGUNDA. - La realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes de La parte reclamada, sino a los servicios de móvil e internet que pudieran tener contratados. La parte reclamada sostiene que la realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, o dirección de correo electrónico de los clientes, sino únicamente a los servicios de móvil e internet contratados. Afirma que la emisión de duplicados de la tarjeta SIM no es suficiente para realizar operaciones bancarias, ya que el estafador debe suplantar la identidad del titular ante la entidad financiera. En consecuencia, la tarjeta SIM solo permite acceder al servicio móvil, sin implicar acceso a información bancaria o contraseñas. En este sentido, explica que el proceso fraudulento se divide en dos fases: - Previa al duplicado: El defraudador debe obtener información del cliente de fuentes ajenas a la reclamada para superar las políticas de seguridad mediante la suplantación de identidad. - C/ Jorge Juan, 6 28001 – Madrid Posterior al duplicado: El defraudador tiene acceso únicamente al servicio contratado por el cliente, sin obtener información bancaria o contraseñas como consecuencia directa del duplicado. www.aepd.es sedeagpd.gob.es 8/27 Para ello, se basa en la respuesta de la entidad bancaria, según la cual, además de la clave única enviada por SMS, se requiere el acceso a la aplicación del banco mediante usuario y contraseña. Según su postura, ello demuestra que el duplicado SIM no es suficiente para acceder a cuentas bancarias sin la obtención de credenciales adicionales. Por tanto, afirma que la parte reclamada puede ser responsable solo de las medidas de seguridad relacionadas con la verificación de la identidad del solicitante del duplicado SIM, no de la suplantación de identidad ni del acceso a cuentas bancarias a través de aplicaciones de entidades de crédito. TERCERA. - No puede apreciarse la existencia de culpabilidad en las infracciones imputadas a La parte reclamada y, en consecuencia, no puede imponerse a la misma sanción alguna. La parte reclamada considera necesario contestar a las afirmaciones de la Agencia en su Propuesta de Resolución en este aspecto ya alegado frente al acuerdo de inicio. Afirma que la AEPD no considera todas las medidas que existían en el momento de los hechos objeto de sanción ni las mejoras que la parte reclamada ha implementado, obrando con la máxima diligencia exigible. En este sentido, la parte reclamada se remite a las medidas técnicas y organizativas indicadas en la primera alegación. Por otro lado, la AEPD sostiene que el principio de proactividad transfiere a la parte reclamada la obligación de cumplir con la normativa y demostrar dicho cumplimiento. Indica que ha cubierto ampliamente este aspecto, aportando los procesos implementados y las interacciones en sus sistemas que evidencian el seguimiento de los procedimientos pertinentes. Por lo tanto, manifiesta que actuó con la diligencia debida, implementando las medidas técnicas y organizativas necesarias a pesar de que la Agencia defiende que existe dolo o culpa únicamente observando el resultado de los hechos, sin considerar todas las medidas de seguridad implementadas para evitar el fraude. Señala que esta lógica impone a la parte reclamada la obligación de evitar todos los fraudes, convirtiéndose en una obligación absoluta, no de medios, lo que contradice lo dispuesto por la Audiencia Nacional. CUARTA. - Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes. En este sentido, la parte reclamada discrepa de los motivos expuestos por la Agencia para desestimar la reducción de la sanción por los motivos que se incluyen a continuación. Sobre los agravantes aplicados por la Agencia a la hora de evaluar la sanción, la parte reclamada se reitera en lo dispuesto en las Alegaciones al Acuerdo de Inicio: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/27 - Indica que los procedimientos sancionadores a los que hace referencia la Agencia (EXP202204287, EXP202203914 y EXP202203916). En los tres expedientes mencionados por la Agencia Vodafone se acogió a una reducción de la sanción, sin asunción de culpa y, en todo caso, es necesario aclarar que la mera alusión del incumplimiento del artículo 6.1 del RGPD puede abarcar multitud de supuestos de tratamientos de datos que nada tengan que ver con los hechos acaecidos y sancionados en el presente Acuerdo. - La vinculación entre su actividad y el tratamiento de datos personales para prestar servicios y atender solicitudes de sus clientes. Sin embargo, destaca que todas las medidas de seguridad implementadas y detalladas en la alegación Primera demuestran el especial cuidado en el tratamiento de datos, por lo que este factor no debe considerarse como agravante. Sobre los atenuantes no aplicados por la Agencia a la hora de evaluar la sanción, la parte reclamada entiende que deberían tomarse en consideración las siguientes: - - - - Que procedió a solventar la incidencia objeto de reclamación de forma efectiva en cuanto tuvo conocimiento de los hechos. La parte reclamada manifiesta que procedió a solventar la incidencia de manera rápida y efectiva, tomando todas las medidas necesarias para solventarla. A este respecto se procedió al bloqueo de la Tarjeta SIM fraudulenta, así como a la identificación de la reclamante como víctima de fraude. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas aplicadas. La parte reclamada manifiesta que la falta de identificación del estafador no es reprochable, ya que esta tarea corresponde a las Fuerzas y Cuerpos de Seguridad del Estado, con los que colabora. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. La parte reclamada señala que ha puesto medios para remediar y mitigar efectos adversos de la practica fraudulenta de los duplicados SIM, y ha reaccionado ante fraudes dirigidos hacia cuatro frentes: clientes afectados, agentes y empleados, colaboración con autoridades, y terceros como entidades de crédito. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso. La parte reclamada manifiesta que no ha obtenido ningún beneficio financiero ni evitado pérdidas a raíz de la duplicación fraudulenta de tarjetas SIM, sino que ha sufrido perjuicios reputacionales y defraudación de sus políticas de seguridad. Por todo lo anterior, la parte reclamada solicita que se considere lo expuesto en estas y anteriores alegaciones para demostrar la ausencia de infracción y la falta de culpabilidad, o para modular a la baja la sanción propuesta por la Agencia, a la luz de las circunstancias atenuantes indicadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/27 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. – Queda acreditado que el día 8 de abril de 2022, se tramitó por parte de Vodafone un duplicado de la tarjeta SIM sobre la línea ***TELÉFONO.2 perteneciente a la parte reclamante. Dicho hecho ha sido puesto de manifiesto por la parte reclamante y afirmado por Vodafone durante el traslado y actuaciones de investigación efectuadas por la presente autoridad. SEGUNDO. – De las capturas de pantalla que adjunta Vodafone junto a sus alegaciones de fecha 20 de mayo de 2024, ha quedado acreditado que el mencionado duplicado de tarjeta fue realizado en los siguientes términos: 1.- El duplicado de la tarjeta SIM se realizó el día 8 de abril de 2022 en un punto de venta de la parte reclamada. 2.- Se realizó un primer intento por parte de un tercero a las 19:47 horas de ese mismo día, el cual fue rechazado por el Agente que atendió dicha gestión siguiendo de este modo la Política de Seguridad y directrices de Vodafone, constando la siguiente anotación: <<posible fraude llama haciéndose pasar por trabajador de tienda Vodafone para que activemos tarjeta SIM>>. 3.- Se produjo un segundo intento, con una diferencia de cinco minutos respecto del primero, a las 19:52 horas a través del cual el tercero pudo tramitar la activación del duplicado SIM, constando la siguiente anotación <<compañero de tienda solicita envío SIM>>. TERCERO. – Ha quedado acreditado que el bloqueo de la tarjeta SIM suplantada, se llevó a cabo el día 9 de abril de 2022 a las 12:26 horas, después que la reclamante no lo reconociera. Este hecho se muestra en el registro de la llamada efectuada por la reclamante para notificar la incidencia. CUARTO. - De las actuaciones de investigación efectuadas, consta acreditado que en fecha 19 de abril de 2022 Vodafone calificó como fraude dicha incidencia. QUINTO. – Ha quedado acreditado que la política de seguridad de Vodafone impide que los Agentes que atienden las solicitudes del Servicio de Atención al Cliente de particulares puedan hacer trámites solicitados por tiendas de Vodafone, dado que ya poseen un soporte específico para ello. Ello se desprende de la propia contestación de Vodafone en el traslado de la reclamación por la presente autoridad. “……se debe remarcar que los Agentes que atienden las solicitudes del Servicio de Atención al Cliente de particulares no se encuentran autorizados para llevar a cabo ningún tipo de trámite en caso de que se ponga en contacto una tienda de Vodafone, ya que estos puntos de venta tienen un canal de soporte específico al que se deben dirigir. Mi representada recuerda esta prohibición a sus Agentes de manera periódica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/27 con el fin de evitar casos como este. A este respecto, se adjunta captura de pantalla de un ejemplo de comunicado.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Contestación a las alegaciones presentadas a la Propuesta de Resolución Se procede a dar respuesta a las mismas según el orden expuesto por Vodafone. PRIMERA. - La parte reclamada ha actuado de forma diligente en la medida en la que tiene implementados los procesos necesarios para identificar correctamente a sus clientes, siendo la adopción de medidas técnicas y organizativas una obligación que no es absoluta. En primer lugar, y sobre que la adopción de medidas técnicas y organizativas no es una obligación absoluta, debe indicarse que en el caso que nos ocupa ha sido la propia parte reclamada la que ha admitido que no se han seguido los propios procedimientos y políticas de seguridad. En este sentido, valorar si las medidas previamente adaptadas fueron o no adecuadas resulta irrelevante, puesto que dichas medidas no han sido seguidas por la propia parte reclamada. La adopción de las medidas técnicas y organizativas presupone un cumplimiento de las mismas, en caso contrario, no queda garantizado el derecho a la protección de datos. En el presente caso no se está sancionando la existencia o ausencia de medidas técnicas y organizativas, sino el hecho de que, en este caso específico, el tratamiento de los datos personales del reclamante fue llevado a cabo sin cumplir con los requisitos de licitud establecidos en el artículo 6.1 del RGPD. La infracción de este artículo confirma que la parte reclamada permitió un tratamiento no autorizado de los datos, vulnerando de esta forma los derechos de la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/27 En segundo lugar, Vodafone señala que estamos ante un tercero cuyo propósito es, mediante una actividad delictiva, superar dichas medidas de seguridad. Para ello, hace referencia Vodafone, para su descargo, al conjunto de medidas de seguridad que ha adoptado, las cuales son las mínimas exigibles a cualquier organización con las características y en el contexto en el que actúa una operadora de telecomunicaciones. Respecto a dicha cuestión, conviene indicar que el hecho consistente en el tratamiento ilícito de los datos del reclamante por parte de Vodafone no se debió a que un tercero superase las medidas de seguridad, sino al incumplimiento de los protocolos de seguridad internos por parte de unos de sus agentes, tal y como la propia parte reclamada ha reconocido. Como se indica en el hecho probado segundo, el agente no verificó adecuadamente la solicitud del duplicado de la SIM, lo cual facilitó el acceso fraudulento y el tratamiento ilícito de los datos del reclamante. En este sentido, la mera existencia de una política de seguridad no puede justificar una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y el responsable del tratamiento debe de garantizar que se cumplan estrictamente en todo momento. En caso contrario, las medidas adoptadas carecen de virtualidad y puede conllevar tratamientos ilícitos como ocurre en el presente caso. Por lo tanto, la cuestión aquí no radica en el nivel de sofisticación del ataque delictivo del tercero, sino en el incumplimiento de las propias medidas de seguridad que permitieron el tratamiento ilícito de datos personales. La parte reclamada no puede exonerar su responsabilidad apelando a la existencia de medidas mínimas cuando el fallo estuvo en la aplicación de esas medidas, permitiendo una infracción de la licitud del tratamiento. SEGUNDA. - La realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes de La parte reclamada, sino a los servicios de móvil e internet que pudieran tener contratados. Vodafone señala que la realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes de la parte reclamada, sino a los servicios de móvil e internet que pudieran tener contratados. La parte reclamada manifiesta que la emisión de los duplicados de la tarjeta SIM no es suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad financiera. Sin embargo, dicha afirmación no exime de responsabilidad a la parte reclamada, puesto que la obtención de duplicación de una tarjeta SIM es un elemento necesario para acceder a dichos datos realizar operaciones bancarias en nombre de los titulares, como recoge la sentencia de 13/05/2024, Rec. 0002336/2021, de la Audiencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/27 Nacional al declarar que “(…) en la primera fase de este tipo de estafas el suplantador consigue, de manera fraudulenta, los datos de acceso o las credenciales de la banca online del cliente, pero le falta por conocer el código de verificación, segundo factor de autentificación, para poder ejecutar cualquier operación. En el momento en el que logra la tarjeta SIM duplicada ya tiene también acceso a este segundo factor de autentificación y, por tanto, desde ese momento puede realizar los actos de disposición patrimonial que desee”. Además, la simple utilización de una tarjeta SIM por un tercero no autorizado implica ya de por sí un tratamiento ilícito. Debe de tenerse en cuenta que la posesión de un duplicado de tarjeta aumenta el riesgo para su titular, pues el suplantador puede poseer datos adicionales que pueden producir efectos más gravosos, como la realización de operaciones financieras no deseadas, como acaeció en el caso de la parte reclamante. Por dicha razón, facilitar un duplicado de tarjeta es un proceso donde la diligencia prestada por los operadores es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Dicha diligencia que se traduce en el cumplimiento de su propia Política de seguridad para garantizar que el tratamiento de datos sea conforme al RGPD, lo cual en el caso que nos ocupa y como ha reconocido la parte reclamada, no ha tenido lugar. Vodafone insiste respecto del grado de responsabilidad que, en su caso, pueda achacárseles, no puede hacerse depender de una actuación de un tercero que escapa su control, esto es: las medidas de seguridad implementadas por una u otra entidad bancaria o incluso el hecho de que el afectado disponga o no de banca electrónica. En relación con esta alegación, amén de lo ya indicado anteriormente, el grado de responsabilidad cae dentro de su ámbito y no de terceros, debiendo señalar que la SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento”. En este sentido, conviene señalar que en el presente caso no se trata de valorar la actuación del banco o cualquier otra entidad externa, sino de examinar cómo la parte reclamada permitió un tratamiento de datos personales sin seguir los procedimientos establecidos. La actuación de sus agentes no escapa a su control, ya que estos actúan en nombre de la parte reclamada y, por tanto, son responsables de cumplir con las políticas de seguridad. La propia parte reclamada ha reconocido que su agente no verificó adecuadamente la solicitud, lo que motivó el tratamiento no autorizado de los datos personales del reclamante, lo cual demuestra que la infracción no depende de un tercero, sino de una falta de cumplimiento dentro de la organización. Por tanto, la responsabilidad no puede ser desplazada hacia elementos externos. La parte reclamada es directamente responsable del comportamiento de su personal y de asegurar que los protocolos de seguridad se apliquen correctamente en cada caso, sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/27 excepción. TERCERA. - No puede apreciarse la existencia de culpabilidad en las infracciones imputadas a la parte reclamada y, en consecuencia, no puede imponerse a la misma sanción alguna. En cuanto a la negligencia en la actuación de Vodafone, cabe señalar que la SAN -Sala Contencioso-Administrativo- 392/2015, de 17 de noviembre que en su Fundamento Jurídico Tercero recoge la doctrina del Tribunal Constitucional sobre la aplicación al derecho administrativo sancionador de los principios del orden penal, en los siguientes términos: El Tribunal Constitucional ha declarado reiteradamente que los principios del orden penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos matices, al derecho administrativo sancionador, al ser ambos manifestaciones del ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y 164/2005). El principio de culpabilidad, garantizado por el artículo 25 de la Constitución, limita el ejercicio del "ius puniendi" del Estado y exige, según refiere el Tribunal Constitucional en la sentencia 129/2003, de 20 de junio, que la imposición de la sanción se sustente en la exigencia del elemento subjetivo de culpa, para garantizar el principio de responsabilidad y el derecho a un procedimiento sancionador con todas las garantías (STS de 1 de marzo de 2012, Rec 1298/2009). Ciertamente, el principio de culpabilidad, previsto en el artículo 130.1 de la Ley 30/1992, de 26 noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone que solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Obviamente, ello supone que dicha responsabilidad sólo puede ser exigida a título de dolo o culpa, quedando desterrada del ámbito del derecho administrativo sancionador la llamada "responsabilidad objetiva", y comprendiendo el titulo culposo la imprudencia, negligencia o ignorancia inexcusable. Esta "simple inobservancia" no puede ser entendida, por tanto, como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, pues la jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990 ), destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y prohibición de exceso ( artículo 25.1 CE ), o de las propias exigencias inherentes a un Estado de Derecho, por lo que se requiere la existencia de dolo o culpa (en este sentido STS de 21 de enero de 2011, Rec 598/2008 ). No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que en el caso de infracciones cometidas por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/27 personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma " (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998 , parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005 , y de 23 de octubre de 2010, Rec 1067/2006 , que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". En el supuesto que nos atañe Vodafone no ha cumplido con sus propias medidas, dado que ha sido facilitado por agentes del servicio del cliente a un punto de venta, cuando no estaban autorizados, y por lo tanto resulta notoria la existencia de antijuridicidad y culpabilidad en la conducta infractora de la entidad responsable del tratamiento de los datos personales, Vodafone, quien como responsable del tratamiento de datos de emisión de duplicados de tarjetas SIM, que decide sobre la finalidad, contenido y uso de los datos personales incluidos en el tratamiento, tiene la obligación de obrar con mayor diligencia a la hora de tramitar la emisión de duplicados, asegurándose de contar con el consentimiento de su titular, a fin de no incurrir en el tratamiento no consentido de sus datos personales. Dicha condición impone un deber especial de diligencia a la hora de llevar a cabo el uso o tratamiento de los datos personales, en lo que atañe al cumplimiento de los deberes que la legislación sobre protección de datos establece para garantizar los derechos fundamentales y las libertades públicas de las personas físicas, y especialmente su honor e intimidad personal y familiar, cuya intensidad se encuentra potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro en el mercado de datos; en este sentido se ha pronunciado también la SAN 392/2015, de 17 de noviembre (Ver su Fundamento de Derecho Tercero). Al respecto, resulta significativo que la operadora responsable del tratamiento no justifique debidamente la concurrencia en su conducta de la diligencia que le era exigible ni acredite la adopción de las cautelas exigibles para evitar el tratamiento no consentido del dato de carácter personal que nos ocupa (la emisión de duplicado de tarjeta SIM de forma fraudulenta), que debe atribuirse a la conducta negligente de la parte reclamada, que trató los datos personales del reclamante sin base de legitimación, debido al incumplimiento de su propia política de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/27 En cuanto a la responsabilidad de Vodafone, debe indicarse que, con carácter general Vodafone trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
3. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
4. e)y
5. f)del RGPD. Por dicha razón, este es un proceso en donde la diligencia prestada por la operadora es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Esta diligencia se manifiesta en primer lugar, por el cumplimiento de su propia política de seguridad, lo cual ha acaecido en el caso que nos ocupa. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de Vodafone se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/27 Por lo tanto, la parte reclamada no puede eludir su responsabilidad, ya que el RGPD exige que el tratamiento de los datos se realice de modo lícito y el tratamiento solo será lícito si se cumple al menos una de las condiciones previstas en el art. 6 del RGPD. El incumplimiento de su propia política de seguridad especialmente cuando se trata de un procedimiento tan delicado como el duplicado de una tarjeta SIM, demuestra una falta de diligencia en su responsabilidad que justifica la imputación de la infracción. CUARTA. - Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes. Vodafone solicita que se aprecien las siguientes circunstancias atenuantes: - Que procedió a solventar la incidencia objeto de la reclamación de forma efectiva en cuanto tuvo conocimiento de los hechos. - El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD. - El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. - Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. Estas alegaciones se contestan en el apartado V (Sanción de multa: Determinación del importe). III Obligación incumplida Se imputa a la parte reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/27
8. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
9. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
10. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
11. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
12. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C -101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. En el presente caso, resulta acreditado que el día 8 de abril de 2022, se tramitó un cambio de SIM sobre la línea ***TELÉFONO.2 perteneciente a la parte reclamante. Inicialmente, en su respuesta a esta Agencia, de 7 de julio de 2023, Vodafone indica que la tarjeta SIM fue adquirida en un punto de venta de Vodafone, el cual no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/27 encontraba autorizado para llevar a cabo dicho trámite y que no cuenta con la solicitud de la tarjeta SIM gestionada por dicho punto de venta. Posteriormente, en su escrito de respuesta de fecha 31 de agosto de 2023, manifiesta que el duplicado SIM fue solicitado a través del Servicio de Atención al Cliente de Vodafone el 8 de abril de 2022 después de que el tercero se hiciera pasar por una tienda autorizada de Vodafone, manifestando: “se debe remarcar que los Agentes que atienden las solicitudes del Servicio de Atención al Cliente de particulares no se encuentran autorizados para llevar a cabo ningún tipo de trámite en caso de que se ponga en contacto una tienda de Vodafone, ya que estos puntos de venta tienen un canal de soporte específico al que se deben dirigir. Mi representada recuerda esta prohibición a sus Agentes de manera periódica con el fin de evitar casos como este. A pesar de los continuos refuerzos y avisos enviados por mi representada a los Agentes del Servicio al Cliente recordándoles su deber de cumplir con la Política de Seguridad de Vodafone, debido a un error puntual y aislado por parte del Agente, quien no siguió correctamente el protocolo marcado, se procedió a la tramitación del duplicado SIM. Por todo ello, el Departamento de Fraude procedió a calificar el duplicado SIM como fraudulento, y aplicar medidas adicionales sobre la ficha de cliente de la reclamante, quien ha sido calificada como víctima de fraude, encontrándose la incidencia correctamente solventada desde el 13 de abril de 2022.” Asimismo, hay que destacar que en un primer intento ante la solicitud de cambio de SIM, al servicio de atención al cliente de Vodafone, el día 8 de abril de 2022 a las 19:44:12, no superó la política de privacidad. Así consta en registro (Id. 1833548444) aportado por Vodafone que un agente la codifica y la califica “Posible fraude. Llama haciéndose pasar por trabajador de tienda Vodafone para que le activemos tarjeta SIM. Corta la llamada”. Sin embargo, en el segundo intento el tercero consiguió el cambio de SIM a través del servicio de atención al cliente de Vodafone el mismo día con la siguiente anotación: “compañero Web de tienda solicita envío SIM”, en este caso Vodafone no verificó la personalidad del que solicitó el duplicado de la tarjeta SIM siguiendo sus propios protocolos, puesto que como indica los Agentes que atienden las solicitudes del Servicio de Atención al Cliente de particulares no se encuentran autorizados para llevar a cabo este tipo de trámites, dado que existe un canal de soporte específico para ello y, por lo tanto, no tomó las cautelas necesarias para que estos hechos no se produjeran en este momento. En definitiva Vodafone facilitó un duplicado de la tarjeta SIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. Por otro lado, manifiesta que no dispone de las grabaciones telefónicas ya que las llamadas no fueron grabadas, y que el Departamento de Fraude de Vodafone procedió a analizar los hechos controvertidos y calificar la operación realizada como fraudulenta, y por lo tanto Vodafone procedió a la activación sobre la cuenta de la parte reclamante medidas de seguridad adicionales para evitar cualquier otro perjuicio a la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/27 Por lo tanto, tal y como afirma la propia parte reclamada, la misma no cumplió con su propia política de seguridad cuyo resultado fue que la reclamada expidió la tarjeta SIM a un tercero que no era el titular de la línea, lo que permitió un tratamiento no autorizado de los datos personales de la parte reclamante. De conformidad con las evidencias de las que se dispone en este momento procesal y sin perjuicio de lo que resulte de la instrucción del procedimiento, se estima que la conducta de la parte reclamada podría vulnerar el artículo 6.1 del RGPD pudiendo ser constitutiva de la infracción tipificada en el artículo 83.5.
13. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: “