PS-00101-2025

1/58 Expediente N.º: EXP202209423 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 19 de julio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada o Vodafone). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que la entidad reclamada, de la que es cliente, ha facilitado una copia de su factura de teléfono, que incluye sus datos personales (nombre completo, dirección postal y número de identidad), a la dirección de correo electrónico de un tercero, sin su consentimiento. Además, señala que días antes de la referida filtración de datos, solicitó a Vodafone activar una clave personal de seguridad en su línea móvil, porque temía que algún tercero pudiera acceder a sus datos personales, manifestando que la entidad le indicó que era innecesario ya que contaban con fuertes medidas de seguridad. Añade que no entiende que pueda facilitarse la copia de factura a una dirección que no figura en su ficha y que figura “a nombre de un chico” sin su autorización y que, (…), no deseaba que ningún dato suyo fuese comunicado a un tercero, (…). Documentación aportada por la parte reclamante: - Grabación de la llamada realizada por la reclamante al Servicio de Atención al Cliente de Vodafone el día 13 de julio de 2022, en la cual el agente de dicha entidad confirma el envío de una copia de su factura y sus datos personales a un correo electrónico de un tercero que no aparece como autorizado en la ficha cliente de la reclamante, recomendando que formule denuncia ante la policía e informando de que, en unos días, enviarán copia de la grabación en la que se produce el acceso indebido de los datos de la reclamante por parte de un tercero. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/58 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 19 de septiembre de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 20 de octubre de 2022 se recibe en esta Agencia escrito de respuesta indicando… “En el presente caso, se produjo el envío de una copia de una factura de la reclamante a un tercero que no es reconocido por la reclamante. Esta solicitud de envío fue gestionada por el servicio de atención al cliente de Vodafone, para lo cual los agentes que prestan dicho servicio están sometido a la Política de Seguridad para la Contratación de Particulares (en adelante, la “Política de Seguridad”). En dicha Política de Seguridad se establece que para poder realizar el envío de una factura se tiene que solicitar la siguiente información: (

1. i)(…). (
2. ii)(…). En el caso que nos ocupa, el solicitante de la copia de la factura superó dicha Política de Seguridad, entendiéndose por tanto que, al superar dicha Política de Seguridad y llegarse a realizar el trámite, dicha gestión era legal, consentida, y con apariencia de veracidad. Siendo esta incidencia síntoma de que un tercero sustrajo ciertos datos personales de la reclamante sin su consentimiento, lo que le permitió suplantar su identidad en el referido trámite ante Vodafone, hecho este que mi representada no podía conocer. A raíz de la presente reclamación, mi representada procedió a investigar los hechos acontecidos y ha podido comprobar que la incidencia reclamada se encuentra actualmente resuelta. En este sentido, tras estudiar los hechos ocurridos, el Departamento de Fraude de Vodafone ha declarado las gestiones realizadas como fraudulentas. Como consecuencia de lo anterior, se ha procedido a la desactivación de todos los servicios contratados fraudulentamente. Asimismo, se han incluido los datos de la reclamante en la agrupación de fraude y se han incluido sus datos en los ficheros de prevención, activando medidas de seguridad adicionales sobre sus datos para evitar que se pueda producir un caso similar en el futuro. En relación con petición de la reclamante al acceso de la grabación del trámite que no reconoce, consistente en la solicitud de copia de una factura de la reclamante en fecha 13 de julio de 2022, esta representación debe indicar que Vodafone no dispone de la grabación telefónica solicitada en tanto que dicha llamada no fue grabada. Ello es debido a que las llamadas telefónicas recibidas por los servicios de atención al cliente de Vodafone solo son grabadas de forma aleatoria y con fines de calidad de la atención dispensada al cliente, conforme se informa expresamente a los interesados en la realización de cualquier trámite por el canal telefónico. En cualquier caso, se ha procedido a enviar una carta a la reclamante para informarle de las actuaciones realizadas por mi mandante. Se adjunta, como Documento número 1, copia de la carta remitida a la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/58 La incidencia se originó porque, según refiere la reclamante, tuvo conocimiento el día 13 de julio de 2022, a través de un mensaje de texto de una persona cuya identidad no ha revelado, que logró obtener sus datos personales llamando al servicio de atención al cliente de Vodafone. La reclamante refiere que unos días antes de la incidencia, puso en conocimiento de Vodafone la necesidad de implementar medidas de seguridad reforzadas sobre sus datos personales en atención a su temor a la afectación de su información personal y que, sin embargo, desde Vodafone se le informó de que existían medidas suficientes para salvaguardar la seguridad de sus datos personales. En consecuencia, la reclamante presentó reclamación ante los servicios de atención al cliente de Vodafone. Igualmente, como consecuencia de estos hechos, la reclamante procedió a interponer una reclamación ante la Oficina Municipal de Información al Consumidor del Ayuntamiento de ***LOCALIDAD.1 (en adelante, “OMIC”) por este mismo incidente, trasladada a Vodafone en fecha 14 de julio de 2022. Asimismo, la reclamante consideró pertinente interponer una reclamación ante esta Agencia, en fecha 19 de julio de 2022, que ha resultado en el presente requerimiento de información. Una vez trasladada a Vodafone la reclamación interpuesta ante esta Agencia por reclamante, mi mandante ha procedido a realizar todas las investigaciones pertinentes a fin de esclarecer la incidencia y ha podido confirmar que la misma se encuentra actualmente resuelta. En este sentido, tras tener conocimiento de esta incidencia, el Departamento de Fraude de Vodafone analizó la incidencia y consideró que la gestión no reconocida por la reclamante había sido realizada de forma fraudulenta, al verificar que no coincidían el número de teléfono que sí reconoce la reclamante con el número empleado en el trámite (la llamada fue efectuada desde la línea ***TELÉFONO.1) ni la dirección de correo electrónico con los datos aportados al solicitar la copia de la factura (***EMAIL.1). No obstante, se ha comprobado también que dicha línea telefónica empleada en la gestión no reconocida había estado asociada a la titularidad de la reclamante desde el 18 de marzo hasta el 21 de julio de 2022, cuando fue desactivada por el servicio de atención al cliente de Vodafone. Como evidencia de lo anteriormente indicado, se aportan, como Documento número 2, orden de confirmación del trámite y evidencia de la firma online en nombre de la reclamante. En todo caso, una vez declarado el fraude, Vodafone procedió a incluir sus datos en los ficheros de prevención de Vodafone, activando medidas de seguridad adicionales sobre sus datos para evitar que se pueda producir un caso similar en el futuro. Siendo esta incidencia síntoma de que un tercero sustrajo ciertos datos personales de la reclamante sin su consentimiento, lo que le permitió suplantar su identidad en el referido trámite ante Vodafone, hecho este que mi representada no podía conocer. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/58 Dicho acceso previo a sus datos personales, que habría acaecido ya en fecha 18 de marzo de 2022 sin haber sido detectado por la reclamante, se confirma ante las propias manifestaciones e inquietudes reconocidas por la reclamante, quien ya conocía que un tercero tenía la información suficiente para acceder a sus datos personales. Por último, en relación con la presunta solicitud efectuada por la reclamante para la activación de una clave personal de seguridad, es necesario indicar que la propia Política de Seguridad de Vodafone prevé la activación de la Clave de Acceso de Atención al Cliente si el cliente solicita un cambio o la revisión del protocolo de seguridad. Para ello, se le solicitarían una serie de datos tanto para la activación como para la modificación de la Clave de Acceso de Atención al Cliente, en concreto, (…). Con su respuesta, Vodafone aporta la documentación siguiente: 1. Copia de la carta remitida a la parte reclamante, fechada el 20/10/2022, con ocasión del trámite de traslado de la reclamación. En esta comunicación dicha entidad se indica: “Realizadas las investigaciones oportunas en atención a la reclamación interpuesta, le informamos de que la incidencia ha sido declarada como fraudulenta por el Departamento de Fraude de Vodafone. Realizadas las investigaciones oportunas en atención a la reclamación interpuesta, le informamos de que el Departamento de Fraude de Vodafone ha calificado las contrataciones no reconocidas por la reclamante como fraudulentas. Como consecuencia de lo anterior, se ha procedido a incluir sus datos en la agrupación de fraude y en los ficheros de prevención de Vodafone, activando medidas de seguridad adicionales sobre sus datos para evitar que se pueda producir un caso similar en el futuro. En este sentido, Vodafone actuó en todo momento conforme a los procedimientos en materia de seguridad implementados, por lo que no podía conocer que la contratación reportada como fraudulenta estaba siendo realizada por un tercero sin su consentimiento”. 2. Detalle relativo a la contratación de línea a nombre de la reclamante que tuvo lugar en fecha 18/03/2022, en el que se indica: “Firma Online Vodafone SAU Identificación Cliente IP Cliente: (...) E-mail cliente: ***EMAIL.2 Nombre: A.A.A. DNI: ***NIF.1 Confirmación de la compra ID pedido: ***PEDIDO.1 Envío Mail Resumen Compra: (...) Email destino: ***EMAIL.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/58 Aceptos/Condiciones legales Cesión de datos y privacidad Gracias Hemos recibido tu solicitud de descuento. Esto es lo que nos has pedido: Descuento (...) Solicitud de renovación 18 mar 2022 Tu número de pedido: ***PEDIDO.1 Fecha de compra: 18/03/22 Nombre: A.A.A. DNI/CIF: ***NIF.1” 3. (…): “(…) (…)”. El detalle correspondiente se incluye en el Hecho Probado Décimo. 4. Según la información facilitada por Vodafone, en su Sistema de Información constan las siguientes anotaciones en relación con las incidencias comunicadas por la parte reclamante: Caso ID ***ID.1 . 13/07/2022: “Cliente informa que le han enviado copia de factura a un correo que no es de ella por una llamada que se realizó hoy la cual dice que ella no realizo pidiendo copia de factura, esta se envió al correo ***EMAIL.1, cliente dice que le están escribiendo ahora por whatsapp diciéndole que saben dónde vive, dice que quiere denunciar esto, pero necesita ya sea algún soporte de esas llamadas como grabaciones”. “Fraude básico”. Teléfono de contacto ***TELÉFONO.2 15/07/2022: Desde fraude aplicamos todas las medidas posibles y necesarias para el cliente. Para cualquier tipo de información, el cliente debe dirigirse al dep. de At. al cliente. Caso ID ***ID.2, cliente solicita grabación del día 13/07/2022 (entiendo de la llamada solicitando la factura), estas grabaciones son aleatorias, se responde indicando que no hay grabación . 13/07/2022: cliente solicita las grabaciones de llamadas hechas el día de hoy 13/07/22, porque indica que han llamado a Vodafone habiendo pasar por ella y han solicitado la copia de la factura a otro correo que no está en la ficha, ahora esta persona que se ha hecho pasar por ella está que la amenaza sabiendo todos datos, Teléfono de contacto ***TELÉFONO.2 Notes Se verifica en sistema que en el ID ***ID.3, no consta ninguna grabación del día 13/07/2022, por ende se procede a cerrar la petición Caso ID ***ID.4 . Con fecha 13/07/2022 11:52:50 interacción tipificada como duplicado de factura dejan registrado el correo donde la envían ***EMAIL.1 la llamada se realiza desde la línea ***TELÉFONO.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/58 . La línea ***TELÉFONO.1 estaba asociada a la titularidad del cliente desde el 29/03/2022 al 21/07/2022. Nota: ***EMAIL.1 . Tipificaciones relacionadas con la queja del cliente . Interacción fecha 13/07/2022 14:36:11, hay llamada atención cliente tipificada como posible fraude, pero no dejan reflejado ninguna nota. Teléfono entrante ***TELÉFONO.2 . 14/07/2022 11:03:50: Cliente reclama que alguien llamó haciéndose pasar por ella cuando no es así solicitando un duplicado de factura donde ahí están datos. . OMIC Ayuntamiento de ***LOCALIDAD.1 Motivo reclamación: reclama que alguien ha solicitado un duplicado de factura sin ser ella y han adquirido sus datos Gestiones realizadas: id cliente Consta interacción ***ID.4 envío factura ***EMAIL.1 Se informa hay política de seguridad se ofrece clave Resultado: OK Cliente conforme: OK Envío mail: N/A . Interacción fecha 18/07/2022 12:14:21 ¡Cliente rellamador! Cliente ha tomado asuntos legales debido a que se compartieron datos de una factura con una persona que se hizo pasar por ella. Cliente indica que ya se había acercado a tiendas de Vodafone para generar una clave de seguridad pero se la negaron y ahora ella teme por su vida porque al parecer una persona x puede hacerle daño a tal punto de que se está mudando por temor a alguna represalia. Solicita hablar con Calidad. Teléfono entrante ***TELÉFONO.2 . 19/07/2022 08:40:14: Cliente llama porque no le ha llamado Calidad por motivo que está siendo amenazada su integridad… Menciona que le habían enviado un SMS que ya lo habían solucionado. Teléfono entrante ***TELÉFONO.2 . 19/07/2022 18:31:26. Cliente menciona que está a la espera que el Área de Calidad se comunique con ella por la petición de fraude que mantiene ***ID.1 // Se le informa que el Área de Fraudes ya dicto las medidas de seguridad para que no vuelva a suceder. Teléfono entrante ***TELÉFONO.2 . 19/07/2022 19:29:52: se le informa las medidas de seguridad y se le informa que para más información se dirija a (…). . 21/07/2022 12:13:07: cliente víctima de fraude solicita baja de todo. Se hace grabación . 21/07/2022 12:21:58. Clienta indica que le enviaron a correo q no es d ella hay números q no son de ella información donde una tercera persona contrato 2 líneas adicionales q hoy fueron dadas de baja solicita reclamación para no pagar penalidades ni se le financie la total de tv q tiene financiada número contacto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/58 ***TELÉFONO.2 . 21/07/2022 21:15:29: Cancelar OT de baja . 21/07/2022 21:29:00 Cliente no solicitó baja de su fibra ni línea móvil. La OT está pendiente de cancelar y tampoco hay grabación y cliente solicita que se le activen los servicios. En el mismo documento que contiene esas interacciones, Vodafone informa: “5. Propuesta para el caso concreto, A través del caso Fraude ***ID.1 (pantallazo en el punto 3) se toman las medidas necesarias Respecto al servicio ***TELÉFONO.1, se refleja en la interacción que realiza la llamada para la solicitud de la factura y que ha estado activado asociado a la titularidad de la cliente desde el 29/03/2022 hasta el 21/07/2022 No consta contrato en el sistema, la orden de trabajo para la activación del servicio se realiza desde Televenta. Con fecha 18/03/2022 cuando se crea la orden de trabajo para la activación del servicio, la documentación que encuentra es una firma online, pero no refleja datos del servicio. Adjunto documento (se trata del mismo documento reseñado en el apartado 2 anterior). La desactivación del servicio se realiza a través departamento televenta”. TERCERO: En fecha 25 de octubre de 2022 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando el archivo de la reclamación. La resolución fue notificada a la parte recurrente, en fecha 25 de octubre de 2022, según consta acreditado en el expediente. CUARTO: En fecha 25 de octubre de 2022 la parte recurrente presenta un escrito a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente EXP202209423, en el que muestra su disconformidad con la resolución impugnada, solicitando que continúe la tramitación de la reclamación inicial presentada. QUINTO: En fecha 3 de abril de 2023 se remitió el recurso interpuesto a la parte reclamada en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes. Este trámite fue notificado a Vodafone en fecha 10/04/2023. Dicha entidad no presentó escrito alguno ante esta AEPD. SEXTO: Con fecha 13 de julio de 2023, se estima el recurso de reposición interpuesto por la parte reclamante contra la resolución de esta Agencia dictada en fecha 25 de octubre de 2022, por la que se acordaba el archivo de la reclamación referida a Vodafone, a fin de que prosiga su tramitación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/58 En esta resolución se tuvo en cuenta que la comunicación de datos a un tercero estaba injustificada, más aún a una cuenta que no estaba registrada como dato de contacto, y que ello se produjo tras haber solicitado la parte reclamante, con anterioridad a los hechos, el establecimiento de cautelas o medidas adicionales para evitar la comunicación de datos a terceros; además de considerar que el procedimiento de la parte reclamada podría no ser adecuado para garantizar la seguridad de los datos. Asimismo, se consideró que no se había grabado la llamada realizada por el tercero mediante la cual éste habría supuestamente superado la política de seguridad y obtenido los datos de la parte reclamante, impidiendo comprobar la aplicación efectiva de dicha política y la suficiencia de las medidas de seguridad. SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad Vodafone es una gran empresa constituida en el año 1994, y con un volumen de negocios de 2.909.851.000 euros en el año 2024. OCTAVO: Con fecha 13 de marzo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción de lo dispuesto en los artículos 6.1 y 32 del RGPD, tipificadas, respectivamente, en los artículos 83.5
3. a)y 83.4
4. a)del RGPD, según el siguiente detalle. 1. Una presunta infracción del artículo 6 del RGPD por el alta de la línea a nombre de la parte reclamante presuntamente fraudulenta. 2. Una presunta infracción del artículo 6 del RGPD por la infracción cometida por la emisión de un duplicado de factura y su entrega a un tercero. 3. Una presunta infracción del artículo 32 del RGPD por deficiencias en la política de seguridad que posibilitó la modificación de los datos de contacto del titular de los servicios (dirección de correo electrónico) y la obtención de un duplicado de factura por un tercero. NOVENO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada solicitud de ampliación de plazo y copia del expediente para formular alegaciones y con fecha 7 de abril de 2025 presentó escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente: PREVIA. Con carácter previo, Vodafone expone los hechos que considera relevantes en relación con las infracciones atribuidas: 1. Tal y como consta en el expediente, la Reclamante es titular de la línea ***TELÉFONO.2, lo cual no es cuestionado por la Reclamante (la "Primera Línea"). Esta línea fue dada de alta en Vodafone mediante solicitud de portabilidad de fecha 24/02/2021. (Los detalles de interés de este contrato, que fue aportado por Vodafone, y los relativos a su firma por la reclamante se recogen en el Hecho Probado Primero). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/58 2. La solicitud de copia de la factura se realizó desde otra línea telefónica titularidad de la Reclamante (la línea ***TELÉFONO.1, dada de alta el 25/03/2022 y cuyo contrato ha sido aportado a las actuaciones (la “segunda línea). 3. El alta de la Segunda Línea se perfeccionó mediante el envío del contrato a la dirección de correo electrónico de la Reclamante junto con un mensaje SMS a la Primera Línea. La Reclamante utilizó el código incluido en el mensaje SMS para firmar el contrato de la Segunda Línea. (Los detalles de interés de este contrato de fecha 25/03/2022, que fue aportado por Vodafone, y los relativos a su firma por la reclamante se recogen en el Hecho Probado Segundo). PRIMERA. Vodafone no ha infringido el artículo 6.1 del RGPD I. Las infracciones atribuidas por la Agencia en el Acuerdo de Inicio. Las sanciones que la Agencia pretende imponer a Vodafone derivan de dos presuntas infracciones del artículo 6.1 del RGPD, tipificadas como muy graves por el artículo 83.5
5. a)del RGPD:
6. a)La presunta infracción cometida por el alta de la Segunda Línea a nombre de la Reclamante; y
7. b)La presunta infracción cometida por la emisión de un duplicado de factura y su entrega a un tercero. La Agencia entiende que Vodafone habría tratado los datos personales de la Reclamante sin estar legitimada para ello. II. El alta de la Segunda Línea La Agencia manifiesta que los hechos conocidos supondrían "un primer tratamiento ilícito a través del alta de la línea presuntamente fraudulenta [la Segunda Línea] a nombre de la parte reclamante, contratada el 18 de marzo de 2022, lo cual supondría una primera infracción del artículo 61. Del RGPD". Vodafone entiende que en este caso no hay infracción del artículo 6.1 RGPD en la medida en que:
8. a)El alta de la Segunda Línea se perfeccionó mediante el envío y activación de un código OTP a la Primera Línea el día 25 de marzo de 2022, línea que es titularidad de la Reclamante y cuya licitud no se cuestiona. Vodafone envió una copia del contrato de la Segunda Línea a la dirección de correo electrónico facilitada por la Reclamante: ***EMAIL.3. Esta fue la dirección de correo electrónico facilitada tanto para la Primera como para la Segunda Línea. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/58 Vodafone envió un mensaje SMS a la Primera Línea con un código para firmar el contrato: ▪ La Reclamante firmó el contrato de la Segunda Línea con el código facilitado por Vodafone: En consecuencia, señala Vodafone que no existen pruebas de que se trate de un alta fraudulenta, sino de lo contrario, por lo que no ha habido infracción del artículo 6.1 del RGPD.
9. b)Incluso indica Vodafone que, si se considerara que el alta fue fraudulenta, Vodafone adoptó las medidas apropiadas para prevenir el alta fraudulenta, por lo que tampoco en este caso puede haber infracción del artículo 6.1 del RGPD. III. La emisión y envío de un duplicado de factura. Vodafone entiende que en este caso tampoco hay infracción del artículo 6.1 RGPD ya que desplegó la diligencia debida al enviar el duplicado de la factura solicitado. Indica que en la "Política Seguridad (…)" vigente a la fecha de envío de la factura (la "Política de Seguridad"), a los envíos de facturas les eran de aplicación las siguientes medidas de seguridad:
10. a)Si la llamada por la que se solicita la factura se realiza desde un teléfono a nombre del cliente: (…).
11. b)Si la llamada por la que se solicita la factura no se realiza desde un teléfono a nombre del cliente: (…). En este caso, indica que como se ha puesto de manifiesto, la llamada por la que se solicitó la copia de la factura se realizó desde una línea titularidad de la Reclamante (la Segunda Línea) cuya alta se había realizado mediante la introducción de un código OTP que se había enviado a otra línea de la Reclamante (la Primera Línea). Por otra parte, indica que Vodafone aplicó una autenticación de dos factores mediante la combinación de algo que el usuario sabe (la información listada en la letra
12. a)anterior) y algo que posee (la Segunda Línea). En relación con el envío de la factura, el agente de Vodafone debía seleccionar una de las direcciones de correo electrónico registradas en los sistemas, puesto que el sistema no permitía seleccionar una dirección distinta. En caso de que el cliente solicitara el envío a una dirección distinta (fue el caso), el agente debía modificar la dirección de correo electrónico del titular y para ello debía superar la Política de Seguridad, cuyos requisitos coinciden con los anteriormente descritos para el envío de factura. Además, indica que solo cuando se cumplen los requisitos previstos en la Política de Seguridad, se enviaba la factura por correo electrónico a través de un enlace URL a cuyo contenido únicamente se puede acceder si el solicitante aporta el código (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/58 enviado a través de SMS a una de las líneas móviles contratadas. A continuación, se indica que los pasos a seguir para enviar una copia de la factura: No obstante, en este caso parece ser que el agente que tramitó el envío de la factura se apartó de la política y no siguió este último paso consistente en el envío del SMS con el (…). IV. Subsidiariamente, para el caso de que la Agencia entendiera que Vodafone ha cometido las infracciones que se le atribuyen, no puede apreciarse la existencia de culpabilidad en las mismas y, en consecuencia, no puede imponerse sanción alguna. En el caso de que la Agencia entendiera que la conducta de Vodafone es constitutiva de alguna de las infracciones del artículo 6.1 del RGPD, Vodafone entiende que no concurre en la conducta de Vodafone culpabilidad ninguna, ni a título de dolo ni a título de culpa, por lo que no procedería la imposición de sanción alguna. Siguiendo con la interpretación realizada por el Tribunal Supremo, para la exculpación no bastará la invocación de la ausencia de culpa, sino que será preciso que se haya empleado la diligencia que era exigible por quien aduce su inexistencia (entre otras, la Sentencia del Tribunal Supremo de 23 de enero de 1998 [RJ 1998\601]).
13. a)Sin perjuicio de que esta parte considera que el alta de la Segunda Línea no fue fraudulenta, para el caso de que se considerara que sí lo fue, el alta se hizo a través de la activación de un código OTP enviado a la Primera Línea, titularidad de la Reclamante; y
14. b)En relación con el envío de la factura, Vodafone adoptó medidas dirigidas a asegurarse de que la factura se enviaba al titular de la línea. En consecuencia, Vodafone ha actuado en todo momento cumpliendo con la diligencia debida que le es exigible, no pudiendo imputársele culpabilidad alguna. Por ello, teniendo en cuenta la especial naturaleza del Derecho administrativo sancionador que determina la imposibilidad de imponer sanciones sin tener en cuenta la culpabilidad y la diligencia, o los errores que hayan podido determinar el incumplimiento de una obligación legal, esta parte mantiene la improcedencia de la imposición de sanción alguna. V. Más subsidiariamente, y para el caso de que la Agencia entienda que se ha infringido el artículo 6.1 del RGPD y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes: 1. La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que se hayan sufrido (artículo 83.2
15. a)del RGPD). La Agencia aplica la gravedad de la infracción, "teniendo en cuenta la naturaleza de la operación de tratamiento de que se trate: tanto la emisión de un duplicado de factura como la modificación de los datos de contacto que fue necesaria para la entrega de ese duplicado a un tercero, así como el alta en nuevos servicios, se encuadran en las actividades básicas de Vodafone". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/58 Vodafone, no está conforme con la aplicación de esta circunstancia, ya que la Agencia la justifica en la conexión entre la actividad de Vodafone y los tratamientos de datos personales afectados, conexión a la que ya resulta de aplicación la circunstancia prevista en el artículo 76.2
16. b)de la LOPDGDD: "la vinculación de la actividad del infractor con la realización de tratamientos de datos personales". 2. La intencionalidad o negligencia en la infracción (artículo 83.2
17. b)del RGPD). La Agencia considera que habría una "negligencia grave apreciada en la comisión de las infracciones, teniendo en cuenta que Vodafone era plenamente consciente de que su interlocutor solicitante de los nuevos servicios y del duplicado de factura era un tercero". Vodafone, no está de acuerdo con la consideración de esta circunstancia como agravante: no existe prueba en el expediente de que Vodafone fuera consciente de que el alta de la Segunda Línea y el duplicado de la factura fueran tramitados por un tercero, sino todo lo contrario. 3. La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2
18. k)del RGPD en relación con el artículo 76.2
19. b)de la LOPDGDD). Vodafone, no está conforme con la aplicación de esta circunstancia: las dos infracciones atribuidas a Vodafone se refieren al tratamiento de los datos personales sin una base jurídica legitimadora que afecta única y exclusivamente a la Reclamante. A continuación, indica que, si bien la Agencia puede defender que la presunta infracción del artículo 32 del RGPD es extrapolable a una pluralidad de sujetos, la naturaleza de las presuntas infracciones discutidas en esta Alegación (infracciones del artículo 6 del RGPD) se limitan a un único caso, sin que sean extrapolables a una pluralidad. 4. Otras circunstancias a tener en cuenta. Además, Vodafone entiende que deberán tenerse en cuenta las siguientes circunstancias como atenuantes:
20. a)El número de interesados afectados (artículo 83.2.
21. a)del RGPD): las infracciones han afectado a una sola persona.
22. b)El grado de cooperación con la Agencia con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción (artículo 83.2
23. f)del RGPD): tal y como se puso de manifiesto en la Contestación al Primera Requerimiento de Información, tras tener conocimiento de la reclamación, Vodafone incluyó "los datos de la reclamante en la agrupación de fraude" así como en los "ficheros de prevención".
24. c)La forma en la que la Agencia tuvo conocimiento de la infracción (artículo 83.2
25. h)del RGDP): en relación con la presunta infracción del artículo 6.1 del RGPD consistente en el alta de la Segunda Línea, la AEPD trabó conocimiento de esta infracción porque C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/58 Vodafone informó de esta circunstancia a la Agencia en la Contestación al Primer Requerimiento de Información.
26. d)La posibilidad de que la conducta de la Reclamante hubiera podido inducir a la comisión de la infracción (artículo 76.2
27. d)del RGPD): tal y como se ha puesto de manifiesto en los apartados II y III de esta Alegación: (
28. i)el alta de la Segunda Línea se realizó activando un código OTP desde una línea titularidad de la Reclamante; y (
29. ii)la solicitud de la factura se realizó desde una línea titularidad de la Reclamante. SEGUNDA. Vodafone considera que no ha infringido el artículo 32 del RGPD. I. Afirma que las medidas de seguridad adoptadas por Vodafone son las apropiadas, que la Política de Seguridad aplicable a la modificación de datos de contacto del titular y a la obtención del duplicado de una factura es la política que aportó como Documento 3 de la Contestación al Primer Requerimiento de Información. Señala, que esta Política de Seguridad parte de la siguiente distinción:
30. a)Medidas de seguridad aplicables en aquellos casos en los que la solicitud (por ejemplo, la solicitud de envío de una factura o la solicitud de cambio de dirección de contacto) se realiza desde el número de teléfono móvil del titular de la línea; y
31. b)Medidas de seguridad aplicables en aquellos casos en los que la solicitud se realiza desde un número de teléfono móvil que no pertenece al titular de la línea. En este caso, indica que la solicitud de envío de la factura se realizó desde la Segunda Línea, esto es, desde un número de teléfono a nombre del titular (la Reclamante). Alega Vodafone, que para dar de alta la Segunda Línea (línea que estaba a nombre de la Reclamante), Vodafone:
32. a)Envió una copia del contrato (sin firmar) a la dirección de correo electrónico de la Reclamante (titular de la línea); y
33. b)Envió un mensaje SMS a la línea contratada por la Reclamante (la Primera Línea). En este SMS se incluía un código que utilizó la Reclamante para firmar el contrato de la Segunda Línea. En consecuencia, Vodafone se aseguró de que la persona que contrataba la Segunda Línea era la titular de la Primera Línea: la Reclamante. Asimismo, indica que la solicitud de envío de la factura y de cambio de dirección de correo electrónico se realizó desde la Segunda Línea, esto es, desde una línea que había sido contratada por la Reclamante. Por ello, Vodafone señala las medidas adoptadas implicaron la aplicación de una autenticación de dos factores:
34. a)Algo que el usuario tenía: llamada realizada desde el número de teléfono que se corresponde con el del titular de la línea respecto de la que se solicita la gestión; y
35. b)Algo que el usuario sabía: la información solicitada a la persona que llama. Además, las solicitudes de factura deben enviarse a las direcciones de correo electrónico registradas en los sistemas, esto es, a las direcciones facilitadas por el titular de la línea. Vodafone manifiesta que, si se solicita enviar la factura a una dirección distinta a las registradas, el agente de Vodafone deberá modificar la dirección de correo electrónico de contacto del titular de la línea, y para ello deberá superarse la política de privacidad anteriormente descrita. Asimismo, Vodafone no enviará una copia de la factura a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/58 dirección de correo electrónico facilitada, sino que enviará un URL al cual el cliente podrá acceder y descargar la factura en cuestión siempre y cuando haya introducido un código enviado por SMS a la línea contratada por el titular. Vodafone, indica que las medidas de seguridad aplicadas aseguran que solo se pueda obtener una copia de la factura desde las líneas móviles titularidad de la persona cuya factura se solicita y por ello Vodafone considera que cumplen con el artículo 32 del RGPD. II. Subsidiariamente, afirma Vodafone, que para el caso de que la Agencia entienda que se ha infringido el artículo 32 del RGPD y deba imponerse una sanción, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes. Para el supuesto de que la Agencia entendiera que sí que ha existido infracción y que asimismo procede la imposición de una sanción a Vodafone, mi mandante considera que la misma deberá modularse a la baja atendiendo a las circunstancias que se expondrán en esta Alegación. 1. La naturaleza y gravedad de la infracción (artículo 83.2
36. a)del RGPD). Vodafone, no está conforme con la aplicación de la circunstancia agravante, dado que la Agencia se basa en un único supuesto para concluir que las medidas de seguridad existentes no eran apropiadas. 2. La intencionalidad o negligencia en la infracción (artículo 83.2
37. b)del RGPD). Considera que Incluso en el supuesto en que la Agencia considerara que Vodafone ha infringido el artículo 32 del RGPD, señala que la falta de diligencia en relación con la obligación de adoptar unas medidas técnicas y organizativas apropiadas no puede determinarse sobre la base de un único caso – que además afecta a un único individuo – en el que las medidas se hayan visto superadas. Solicita que tenga por presentado este escrito y todos los documentos que lo acompañan y, en su virtud, tenga por efectuadas las manifestaciones en él contenidas y, tras los trámites oportunos, acuerde: 1) El sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas. 2) Subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima, a la luz de las circunstancias atenuantes indicadas en el presente escrito. DÉCIMO: Con fecha 29/01/2026, Vodafone presentó un nuevo escrito de alegaciones adicionales para dar cuenta de las medidas adoptadas por el encargado del tratamiento ***EMPRESA.1 para la prestación de servicios de atención al cliente a través de los cuales uno de sus agentes tramitó el envío del duplicado de factura objeto de las presentes actuaciones. En este escrito se indica “que el agente que tramitó el envío de la factura se apartó de la política de seguridad de Vodafone y no siguió el último paso consistente en el envío del SMS con el (…) a la línea del cliente para la modificación de la cuenta de correo electrónico (página 5 del escrito de alegaciones al acuerdo de inicio)”; e informa que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/58 este hecho fue cometido por un empleado del encargado del tratamiento ***EMPRESA.1 con ID ***ID.5, según consta en el registro de las interacciones de los agentes autorizados que interaccionan con sus clientes. Añade que conocida esta circunstancia contactó con el Delegado de Protección de Datos de ***EMPRESA.1 para requerirle la revisión del cumplimiento de las políticas de Vodafone para evitar su reiteración, solicitar evidencias de las medidas correctoras implementadas y recordar las obligaciones contractuales y legales del encargado en materia de seguridad y confidencialidad. Esta actuación demuestra que Vodafone cumplió de manera proactiva y diligente con su deber de supervisión del encargado del tratamiento. Seguidamente, reproduce la respuesta que dice haber recibido del DPD del encargado del tratamiento: “En todo caso ***EMPRESA.1 quiere pedir sinceras disculpas a Vodafone, a la AEPD y especialmente a la persona afectada, que ha visto conculcado su derecho de protección de datos. Que ***EMPRESA.1 tiene el compromiso de tolerancia cero con posibles incumplimientos del RGPD, de tal manera que si la agente mencionada en el punto primero siguiera trabajando en ***EMPRESA.1, verificados los hechos de la infracción, se la hubiera sancionado con falta laboral muy grave, se le hubiera hecho un review sobre el error cometido, ordenado repetir el curso RGPD y test de superación, además de hacerle una acción formativa especifica de refuerzo de la Política de Seguridad para envío de facturas a clientes Vodafone. En ***EMPRESA.1 todos los empleados antes de poder acceder a sistemas ***EMPRESA.1 o en este caso de Vodafone, firman un compromiso de confidencialidad y protección de datos y hacen un curso y superan un test RGPD. Se une pdf con el curso de formación RGPD de ***EMPRESA.1. Esta formación se renueva periódicamente, además se comunican unas píldoras informativas a través de un plan anual de comunicación sobre seguridad de la información y cumplimiento del RGPD, que esta alineado con la Política, Normas y Procedimientos de Seguridad de la información y de Protección de Datos Personales de ***EMPRESA.1, que garantizan la integridad, disponibilidad y seguridad en el tratamiento de datos personales. Se une el calendario de píldoras informativas correspondiente de 2025, que se va a ampliar en 2026, con una nueva píldora informativa, que se les recuerde a todos los agentes que está prohibido entregar documentos a un cliente, a una dirección postal y correo electrónico distinto a la que figura en la base de datos de clientes, incluso aunque haya superado el control de seguridad de confirmación de la identidad del cliente. Todo ello fue objeto de auditoría realizada por Vodafone durante el 2023 y 2024, que fue superada por ***EMPRESA.1. Medidas preventivas: Se informa que el DPO de ***EMPRESA.1 ha ordenado y se han ejecutado las siguientes medidas preventivas para evitar, que un hecho como el que ha dado lugar a la apertura del expediente sancionador vuelva a repetirse. 1. Se ha ordenado y ejecutado la repetición del curso y test RGPD a todos los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/58 agentes que siguen prestando servicio a Vodafone, realizado el 11 de diciembre de 2025. Se une al correo un pdf que lo acredita y que es un fiel reflejo del registro digital disponible en sistemas ***EMPRESA.1. 2. Se ha ordenado y ejecutado una formación específica de refuerzo de la Política de Seguridad para envío de facturas Vodafone, realizado el 11 de diciembre de 2025. Se une pdf que lo acredita y que es un fiel reflejo del registro digital disponible en sistemas ***EMPRESA.1. Se une un pdf con el contenido de la formación. En concreto se les recuerda a todos los agentes que está prohibido entregar documentos a un cliente Vodafone, a una dirección postal y correo electrónico distinto a la que figura en la base de datos de clientes Vodafone, incluso aunque haya superado el control de seguridad de confirmación de la identidad del cliente. 3. Se ha presentado una denuncia en una Comisaría, que se ha tenido conocimiento de unos hechos que pudieran ser constitutivos de un delito de descubrimiento y revelación de secretos del artículo 197.1 del Código Penal. Se une una copia de la denuncia presentada. Por último, se agradecería a Vodafone que haga llegar este escrito lo antes posible a la AEPD, para que la AEPD y la persona que ha visto conculcado su derecho de protección de datos, conozcan que ***EMPRESA.1 lamenta profundamente los hechos que dan origen al expediente sancionador y pide por ello nuevamente disculpas, que tiene un compromiso de tolerancia cero con los incumplimientos RGPD y que ha adoptado una serie de medidas para evitar que el hecho objeto del expediente se vuelva a repetir”. En virtud de lo anterior, Vodafone solicita (
38. i)el sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas, y (
39. ii)subsidiariamente, que en caso de imponerse alguna/s de la/s sanción/es, se imponga/n en cuantía mínima, a la luz de las circunstancias atenuantes indicadas en el presente escrito Acompaña, entre otros, un documento de ***EMPRESA.1 con el rótulo “Refuerzo de la Política de Seguridad para Envío de Facturas/Documentos Vodafone”, fechado en diciembre de 2025, cuyo contenido es el siguiente: “Objetivo de la Concientización Refuerzo de la Política de Seguridad para Envío de Facturas 1. Reforzar la política de que todas las facturas y documentos se envíen exclusivamente a las direcciones postales o correos electrónicos registrados y verificados en la base de datos de Vodafone. 1. Se prohíbe de forma absoluta el envío de información a cualquier dirección no autorizada para garantizar la máxima seguridad de los datos y cumplir con las normativas de protección de información. 1. El objetivo es evitar los riesgos de fraude, proteger la información sensible del cliente y asegurar que todos los procesos internos estén alineados con esta directriz de protección de datos fundamental. Procesos de envío para titulares Requisitos de Verificación: 1.(…). 1. (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/58 1. (…). (…) (…): 1. (…). 1. (…). 1. (…). DÉCIMO PRIMERO: Con fecha 6 de febrero de 2026 se formuló propuesta de resolución, proponiendo: Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a Vodafone con multa por cada una de las infracciones imputadas: - Por la vulneración del artículo 6.1 del RGPD, por el alta de una línea de telefonía móvil a nombre de la parte reclamante. Por la vulneración del artículo 6.1 del RGPD, por la emisión de un duplicado de factura y su entrega a un tercero, previa modificación de los datos personales de la reclamante registrados en los sistemas de información de Vodafone. Por la vulneración del artículo 32 del RGPD, por deficiencias en la política de seguridad dispuesta por Vodafone para la realización de gestiones a través del canal telefónico de atención al cliente. Asimismo, se propuso que se ordene a Vodafone la adopción de medidas adecuadas para dar cumplimiento a lo establecido en los artículos infringidos. DÉCIMO SEGUNDO: Solicitud de ampliación de plazo para hacer alegaciones a la propuesta de resolución. Denegación de la solicitud. En fecha 20 de febrero de 2026 se recibe una solicitud de la reclamada para que se amplíe por el máximo permitido legalmente el plazo para formular sus alegaciones a la propuesta de resolución, alegando para ello la supuesta “dificultad de recabar todas las evidencias necesarias”. La petición de ampliación se deniega en escrito firmado por el instructor del procedimiento el 24 de febrero de 2026, que es notificado en esa misma fecha a la reclamada. Se tuvo en cuenta que la propuesta de resolución no incorpora novedades en la calificación jurídica de los hechos en relación con el acuerdo de inicio, que Vodafone ya dispuso de un plazo ampliado para formular alegaciones a la apertura del procedimiento y proponer la práctica de prueba (posibilidad esta última de la que no hizo uso, más allá de aportar con su escrito de alegaciones la documentación que estimó de su interés) y que no obra en el procedimiento ningún documento que resulte novedoso para la parte reclamada y demande una especial atención para su valoración, pues la principal documentación incorporada al expediente es la que ella misma remitió a la Agencia en los distintos trámites de que ha dispuesto. Asimismo, haciendo uso de la facultad que otorga el artículo 53 “Derechos del interesado en el procedimiento administrativo” de la citada LPACAP, según el cual los interesados en el procedimiento podrán formular alegaciones, utilizar los medios de defensa admitidos por el Ordenamiento Jurídico y aportar documentos en cualquier fase del procedimiento anterior al trámite de audiencia, Vodafone, con fecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/58 29/01/2026, presentó un nuevo escrito de alegaciones y documentos adicionales, que fueron tenidos en cuenta por el instructor del procedimiento al redactar la propuesta de resolución. Por otra parte, con anterioridad a la apertura del procedimiento sancionador, Vodafone tuvo conocimiento de la reclamación, recurso de reposición y documentos presentados por la parte reclamante, habiendo tenido oportunidad de responder a la misma con ocasión del trámite de traslado de la reclamación y el trámite de audiencia que le fue concedió para alegar en su defensa frente a dicho recurso de reposición. DECIMO TERCERO: Con fecha 27 de febrero de 2026, VODFONE, formula en síntesis las siguientes alegaciones a la propuesta de resolución. PRIMERO. Vodafone no ha infringido el artículo 6.1 del RGPD. - Alta de línea a nombre de la reclamante solicitada por un tercero Vodafone se reitera en que el alta de la línea telefónica ***TELÉFONO.1 se perfeccionó mediante el Contrato de 25 de marzo de 2022, que fue firmado mediante un código enviado por SMS a la línea ***TELÉFONO.2. Señala, que la Propuesta de Resolución considera que existiría dicha infracción porque, al comparar los datos de la orden de pedido de 18 de marzo de 2022 y el Contrato de 25 de marzo de 2022, se aprecia que: "• Ambos documentos corresponden a pedidos distintos, según el número de pedido que figura en cada uno de ellos. • En ambos documentos figura una dirección de correo electrónica diferente. • Ninguno de estos documentos indica las líneas de telefonía móvil a las que dan cobertura." Vodafone, afirma que la orden de trabajo de 18 de marzo de 2022 está relacionada con una "solicitud de descuento", mientras que el Contrato de 25 de marzo de 2022 es la materialización de la orden de trabajo, y, por lo tanto, menciona la parte reclamada, al estar un documento relacionado con una solicitud y otro con una contratación, resulta comprensible que el número de pedido fuese distinto. En segundo lugar, señala que las direcciones electrónicas que habían sido legítimamente dadas de alta por la Reclamante:
40. a)El correo electrónico "***EMAIL.2" fue la dirección registrada al solicitar la portabilidad de sus líneas telefónicas a Vodafone; y
41. b)Según los registros de Vodafone, el correo electrónico "***EMAIL.3 " fue registrado por la Reclamante el 14 de diciembre de 2021, y no cabe duda del control de la interesada sobre dicha dirección de correo. Por último, expone Vodafone que en el contrato no podían constar el número de teléfono que había sido dado de alta al suscribir el Contrato de 25 de marzo de 2022 porque no se solicitaba la portabilidad de líneas preexistentes, sino un alta de línea ex novo. En este tipo de casos, la línea telefónica se asigna una vez firmado (…) el contrato y antes del alta de servicio (en este caso, el día 29 de marzo de 2022), por lo que, en el momento de firmar el Contrato de 25 de marzo de 2022, no podía aparecer el número ***TELÉFONO.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/58 Vodafone, entiende que la línea ***TELÉFONO.1 fue lícitamente contratada mediante el Contrato de 25 de marzo de 2022, indicando que en el anterior consta la contratación de "líneas adicionales" sujetas a la tarifa "Vodafone Ilimitada Esencial" se contrató el alta de la línea asociada al número de teléfono ***TELÉFONO.1 a través del punto de venta (…), dándose de alta el servicio el 29 de marzo de 20223 y que en la factura enviada a la Reclamante correspondiente al periodo de 3 marzo de 2022 a 7 de abril de 2022, se destaque entre los "Nuevos Servicios" el alta del teléfono ***TELÉFONO.1 desde el 29 de marzo de 2022. En atención a lo anterior, al haberse enviado una copia del Contrato de 25 de marzo de 2022 al correo autorizado por la titular "***EMAIL.3" y haber sido firmado con el código SMS enviado al ***TELÉFONO.2, cuya legitimación no es controvertida, el teléfono ***TELÉFONO.1 debe entenderse lícitamente contratado. - La emisión y envío de un duplicado de factura, previa modificación de los datos de la reclamante. Respecto de esta infracción, Vodafone se limita a reproducir literalmente sus alegaciones a la apertura del procedimiento, si bien suprimiendo la siguiente manifestación contenida en aquel primer escrito de alegaciones: “No obstante, en este caso parece ser que el agente que tramitó el envío de la factura se apartó de la política y no siguió este último paso consistente en el envío del SMS con el (…)”. - Vodafone invoca nuevamente el principio de culpabilidad. Nuevamente reproduce literalmente sus alegaciones anteriores. Únicamente al referirse al proceso seguido para asegurarse de que la factura se enviaba al titular de la línea, especifica que aplicó una autenticación de dos factores, comprobando que el usuario poseía algo del titular (en este caso, el teléfono ***TELÉFONO.1) y conocía información concreta de la Reclamante (…). - Subsidiariamente, solicita que se tengan circunstancias agravantes y atenuantes en cuenta las siguientes Sobre lo establecido en las letras
42. a)y
43. b)del artículo 83.2 del RGPD y la letra
44. b)del artículo 76.2 de la LOPDGDD reitera de forma literal sus alegaciones a la apertura del procedimiento. Lo mismo puede decirse, básicamente, respecto de las circunstancias atenuantes que alega, sobre las que añade lo siguiente:
45. a)El hecho de que estas infracciones afecten a un único interesado ha sido admitido en la propuesta de resolución, sin reflejo en las sanciones propuestas.
46. b)La propuesta rechaza la atenuante relativa al grado de cooperación con la Agencia con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción (artículo 83.2
47. f)del RGPD) sin motivación alguna. Vodafone reitera que, tras tener conocimiento del envío de la factura a un posible tercero no autorizado, incluyó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/58 "los datos de la reclamante en la agrupación de fraude" así como en los "ficheros de prevención".
48. c)La Agencia tuvo conocimiento de la infracción (artículo 83.2
49. h)del RGDP) consistente en el alta de la línea supuestamente fraudulenta porque Vodafone informó a la Agencia de esta circunstancia, a la que no se refería la reclamación. Destaca que fue Vodafone quien, mediante escrito de 20 de octubre de 2022, puso de manifiesto que la Reclamante informó a dicha entidad de la supuesta contratación fraudulenta del teléfono ***TELÉFONO.1 en marzo de 2022.
50. d)Respecto de la posibilidad de que la conducta de la Reclamante hubiera podido inducir a la comisión de la infracción (artículo 76.2
51. d)del RGPD), señala que la propuesta de resolución no tiene en cuenta la incidencia de la diligencia o conducta de la Reclamante en la producción de la infracción, por cuanto el alta de la línea ***TELÉFONO.1 se activó mediante un código OTP desde una línea titularidad de la propia reclamante. SEGUNDA. Vodafone no ha infringido el artículo 32 del RGPD Sobre las medidas adoptadas para las gestiones que puedan realizarse mediante llamada telefónica realizada desde una línea del titular de los servicios, reitera que el doble factor de autenticación era una medida suficientemente robusta para preservar la seguridad de los datos de los interesados. Destaca nuevamente que el alta de servicios estaba sujeta a un doble factor de autenticación, y que esta medida consta acreditadas tanto en relación con la portabilidad de la línea ***TELÉFONO.2 (folios 122 a 135) como en el alta de la línea ***TELÉFONO.1 (folios 145 a 155). En relación con el envío de un duplicado de factura, como expuso en su escrito de 22 de febrero de 2024, se enviaba la factura por correo electrónico a través de un enlace URL a cuyo contenido únicamente se puede acceder si el solicitante aporta (…). Sobre la multa propuesta por esta infracción del artículo 32, una vez más reproduce sus alegaciones a la apertura del procedimiento, limitándose a señalar que la AEPD no identifica qué medidas adicionales deberían existir. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 24/02/2021, la reclamante suscribió con la entidad Vodafone un contrato para la portabilidad de las líneas ***TELÉFONO.3 y ***TELÉFONO.2. Incluye, entre otros, los datos personales de la reclamante relativos a nombre, apellidos, NIE, domicilio, email (“***EMAIL.2”), fecha de nacimiento, entidad y número de cuenta bancaria. Según consta en las actuaciones, la reclamante ha reconocido ser usuaria de la línea C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/58 ***TELÉFONO.2. En relación con este contrato, Vodafone ha aportado certificación de fecha 24/02/2021, emitida por un Prestador de Servicios de Confianza, en la que se indica que en dicha fecha se envió un correo electrónico desde la dirección “firma.vodafone@(...)” a la dirección “***EMAIL.2” con el siguiente texto: “Vodafone Hola… (nombre y apellidos de la reclamante), Tal y como hemos hablado, te hacemos llegar tus condiciones de contratación. Revisa y firma tu contrato mediante el código que te haremos llegar por SMS…”. El mismo certificado da cuenta del SMS enviado a la reclamante, al número ***TELÉFONO.2, con el texto “VF Info: Aquí tienes el código ****** necesario para firmar el contrato con Vodafone…”, así como de la firma del contrato (“el usuario final ha firmado el contrato pulsando el botón de firma”). SEGUNDO: Vodafone dio de alta una línea de telefonía móvil a nombre de la reclamante, con número ***TELÉFONO.1. En relación con esta línea, Vodafone ha informado el siguiente detalle: . 29/03/2022: instalación . 21/07/2022: desconexión. En su respuesta al trámite de traslado de la reclamación, Vodafone informó que esta línea de telefonía móvil estuvo asociada a la titularidad de la reclamante desde el 18 de marzo hasta el 21 de julio de 2022, cuando fue desactivada por el servicio de atención al cliente de Vodafone. Vodafone ha aportado copia de un contrato, de fecha 25/03/2022, correspondiente al pedido número (…), en el que constan, entre otros, los datos de la reclamante relativos nombre, apellidos, NIE, domicilio, email (“***EMAIL.3”), fecha de nacimiento, entidad y número de cuenta bancaria, que coinciden con los indicados en el contrato anterior, salvo la dirección de correo. En este contrato, que Vodafone lo asocia a la contratación de la línea ***TELÉFONO.1, no se detallan las líneas de telefonía móvil a las que se refiere. En el mismo únicamente se indica: “Servicios nuevos que contratas: Vodafone One Ilimitada Esencial (Fibra 600Mb) . Tarifa móvil Vodafone Ilimitada Esencial . Vodafone Fibra 600Mb . Vodafone fijo Tus líneas adicionales . Vodafone Ilimitada Esencial Servicios que desactivas Vodafone One Ilimitada (Fibra 600Mb)”. Este contrato incorpora un certificado emitido por el mismo Prestador de Servicios de Confianza, en el que se indica que en dicha fecha se envió un correo electrónico desde la dirección “firma.vodafone@(...)” a la dirección “***EMAIL.3” con el siguiente texto: “Vodafone Hola… (nombre y apellidos de la reclamante), Tal y como hemos hablado, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/58 te hacemos llegar tu contrato. Revísalo y fírmalo siguiendo las instrucciones que te indicamos…”. El mismo certificado da cuenta de dos SMS enviados a la reclamante, al número ***TELÉFONO.2, con el texto “VF Info: ¡Gracias por confiar en Vodafone! Revisa y firma tu contrato, usando el código que te enviaremos por sms…” y “VF Info: Aquí tienes el código ****** necesario para firmar el contrato con Vodafone…”; así como de la firma del contrato (“el usuario final ha firmado el contrato pulsando el botón de firma”). Vodafone ha manifestado que corresponde a la contratación anterior el siguiente documento de confirmación: Firma Online Vodafone SAU Identificación Cliente IP Cliente: (...) E-mail cliente: ***EMAIL.2 Nombre: A.A.A. DNI: ***NIF.1 Confirmación de la compra ID pedido: ***PEDIDO.1 Envío Mail Resumen Compra: (...) Email destino: ***EMAIL.2 Aceptos/Condiciones legales Cesión de datos y privacidad Gracias Hemos recibido tu solicitud de descuento. Esto es lo que nos has pedido: Descuento (...) Solicitud de renovación 18 mar 2022 Tu número de pedido: ***PEDIDO.1 Fecha de compra: 18/03/22 Nombre: A.A.A. DNI/CIF: ***NIF.1” TERCERO: Sobre la contratación reseñada en el Hecho Probado Segundo, Vodafone informó lo siguiente: “Respecto al servicio ***TELÉFONO.1, se refleja en la interacción que realiza la llamada para la solicitud de la factura y que ha estado activado asociado a la titularidad de la cliente desde el 29/03/2022 hasta el 21/07/2022 No consta contrato en el sistema, la orden de trabajo para la activación del servicio se realiza desde Televenta. Con fecha 18/03/2022 cuando se crea la orden de trabajo para la activación del servicio, la documentación que encuentra es una firma online, pero no refleja datos del servicio… La desactivación del servicio se realiza a través departamento televenta”. CUARTO: Con fecha 13/07/2022, a través del canal telefónico, un tercero solicitó a Vodafone el duplicado de una factura correspondiente a los servicios que presta a la reclamante. Este hecho ha sido reconocido por Vodafone que, en su respuesta al trámite de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/58 traslado de la reclamación, manifestó: “En el presente caso, se produjo el envío de una copia de una factura de la reclamante a un tercero que no es reconocido por la reclamante. Esta solicitud de envío fue gestionada por el servicio de atención al cliente de Vodafone, para lo cual los agentes que prestan dicho servicio están sometido a la Política de Seguridad (…)”. QUINTO: En relación con los hechos reseñados en el Hecho Probado Cuarto, la reclamante ha manifestado que recibió mensajes de texto remitidos por el tercero que accedió a su factura revelándole que había conseguido obtener sus datos a través del teléfono de atención al cliente de Vodafone. SEXTO: Con fecha 13/07/2022, la reclamante contactó con el Servicio de Atención al Cliente de VODAFONE, con motivo de los hechos reseñados en el Hecho Probado Cuarto. El agente que atendió esta llamada de la reclamante confirmó la entrega del duplicado de factura a un tercero e informó que el mismo fue remitido a una dirección de correo electrónico de un tercero que no aparece como autorizado en la ficha de cliente de la reclamante. En el curso de esta llamada, la reclamante solicitó copia de la grabación que da lugar al acceso indebido a los datos de la reclamante por el tercero. Consta incorporado a las actuaciones, aportado por la reclamante, un fragmento de la grabación de esta llamada realizada por la reclamante (R) al SAC de Vodafone, con más de seis minutos de duración, comprobándose que el agente (A) de la entidad indicó: “A. hay cosas que el sistema nos deja y no nos deja hacer… no hay ninguna opción para nosotros poner una nota como esa… R. Pero en la llamada anterior que hablé con B.B.B.… ella miró en el sistema y me dijo sí hay un correo al que se facilitó la factura… a. …mi compañera te ha dicho que eso está en el sistema, ya lo verificó y te ha dicho que le han mandado el correo electrónico con los datos factura… efectivamente a un correo que no estaba en tu ficha… pero no ha y una opción que nos diga poner que se verifica que el cliente le han suplantado su identidad y han mandado una factura a otro correo que no está en su ficha… suficiente con la grabación de la llamada… R. ¿Me podrías verificar si sigue apareciendo ese correo? A. …¿el día de hoy?... me sale una interacción que dice duplicado de factura ***EMAIL.4... Esas interacciones no se van a borrar… R. ahora yo que hago… yo no quiero que esa persona venga a donde yo vivo… ¿dónde me voy?... tengo un niño pequeño… uno tiene su protección de datos… es más, yo llamé sabiendo que esa persona estaba buscando mis datos, llamé y les dije yo necesito que no entreguen mi información… me fui hasta una oficina para abrir una clave… no, no la puede abrir, me pusieron problemas… ya llamé diciendo que ya lo habían enviado y entonces sí, le hacemos la clave… ya para qué… yo te agradezco si esa petición de los audios llega pronto… esos audios ¿me los mandarán a mí? A. Claro que sí, al correo que está registrado en la ficha… que es el de ***EMAIL.3. Entonces voy a hacer la petición, un momento… R. ¿entonces ya queda lista la petición para que me manden las grabaciones que se hicieron y ahí incluye la llamada en la que se hicieron pasar por mí?... ya también sé dónde se tratan las denuncias de protección de datos… pero no sabía que tenía que ir también a la policía. A. Sí, también, para denunciar a la persona que ha suplantado tus datos y si quieres hacer una queja de lo que ha esperado tus datos, así como así, sin haber tomado las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/58 medidas necesarias”. Esta llamada consta registrada en los sistemas de información de Vodafone con la anotación siguiente: . 13/07/2022: “Cliente informa que le han enviado copia de factura a un correo que no es de ella por una llamada que se realizó hoy la cual dice que ella no realizo pidiendo copia de factura, esta se envió al correo ***EMAIL.1, cliente dice que le están escribiendo ahora por whatsapp diciéndole que saben dónde vive, dice que quiere denunciar esto pero necesita ya sea algún soporte de esas llamadas como grabaciones”. “Fraude básico”. Teléfono de contacto ***TELÉFONO.2. SÉPTIMO: En los sistemas de información de Vodafone consta el registro de una llamada de la reclamante, de fecha 15/07/2022, con la anotación siguiente: “CASO ID ***ID.2, cliente solicita grabación del día 13/07/2022 (entiendo de la llamada solicitando la factura), estas grabaciones son aleatorias, se responde indicando que no hay grabación”. OCTAVO: En relación con la petición de la reclamante de acceso a la grabación de la llamada realizada por un tercero el 13/07/2022 solicitando copia de una factura emitida por Vodafone a nombre de la reclamante, esta entidad, en su respuesta al trámite de traslado de la reclamación, informó que “no dispone de la grabación telefónica solicitada en tanto que dicha llamada no fue grabada. Ello es debido a que las llamadas telefónicas recibidas por los servicios de atención al cliente de Vodafone solo son grabadas de forma aleatoria y con fines de calidad de la atención dispensada al cliente”. NOVENO: En relación con los hechos reseñados en el Hecho Probado Cuarto, Vodafone informó en su respuesta al trámite de traslado de la reclamación lo siguiente: “…tras tener conocimiento de esta incidencia, el Departamento de Fraude de Vodafone analizó la incidencia y consideró que la gestión no reconocida por la reclamante había sido realizada de forma fraudulenta, al verificar que no coincidían el número de teléfono que sí reconoce la reclamante con el número empleado en el trámite (la llamada fue efectuada desde la línea ***TELÉFONO.1) ni la dirección de correo electrónico con los datos aportados al solicitar la copia de la factura (***EMAIL.1)”. DÉCIMO: Vodafone ha aportado a las actuaciones copia de la “Política seguridad (…)” que aplica en gestión de llamadas: (…) (…) (…) (…) (…): . (...) (…) . (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/58 (…): (…) (…): (…) (…): (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) Vodafone ha aportado a las actuaciones copia de la citada “Política seguridad (…)” que seguirán sus encargados del tratamiento, actualizada a diciembre de 2025. Al comparar esta actualización de la Política de Seguridad con la versión anterior, de 08/03/2022, se comprueba que no presenta variaciones, salvo la previsión de que no entrarán llamadas desde número oculto. Queda como sigue: “(…): 1. (…) 1. (…) 1. (…) (…) (…): 1. (…) 1. (…) 1. (…)”. DÉCIMO PRIMERO: La Política de Seguridad de Vodafone prevé la activación de una Clave de Acceso de Atención al Cliente si el cliente lo solicita. Según ha informado Vodafone, para la activación de esa clave se solicitan al interesado una serie de datos, (…). Vodafone ha informado que su Política de Seguridad prevé que el interesado pueda disponer que la atención al cliente únicamente se preste con la Clave de Acceso de Atención al Cliente o con la atención presencial en tienda como único canal. (…). DÉCIMO SEGUNDO: Vodafone ha informado a esta AEPD que para atender una solicitud de duplicado de factura y proceder a su envío, una vez superada la política de seguridad por parte del solicitante, el agente de Vodafone debía seleccionar una de las direcciones de correo electrónico registradas en los sistemas, puesto que el sistema no permite seleccionar una dirección distinta. En caso de que el cliente solicitara el envío a una dirección distinta, previamente debe modificarse la dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/58 electrónico del titular y para ello la persona interesada debe superar igualmente la Política de Seguridad, cuyos requisitos coinciden con los exigidos para el envío del duplicado de factura. Además, indica que la factura se enviaba por correo electrónico a través de un enlace URL, a cuyo contenido únicamente se puede acceder si el solicitante aporta el (…) que se envía a través de SMS a una de las líneas móviles contratadas. En relación con el envío del duplicado de factura de la reclamante, Vodafone ha informado en su escrito de alegaciones de 07/04/2025 que el agente que tramitó la solicitud no siguió este último paso consistente en el envío del SMS con el (…). Posteriormente, en su escrito de alegaciones de 29/01/2026, Vodafone indica “que el agente que tramitó el envío de la factura se apartó de la política de seguridad de Vodafone y no siguió el último paso consistente en el envío del SMS con el (…) a la línea del cliente para la modificación de la cuenta de correo electrónico”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/58 de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; La figura del “responsable del tratamiento” se define en el artículo 4.7 del RGPD como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de la investigación practicada resulta acreditada la existencia de un tratamiento de datos personales, de acuerdo con lo establecido en los artículos 4.1 y 4.2 del RGPD, realizado por la parte reclamada. III Contestación a las alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: PRIMERA. – Vodafone no ha infringido el artículo 6.1 del RGPD. I. Las infracciones atribuidas en el Acuerdo de Inicio. II. El alta de la Segunda Línea. III. La emisión y envío de un duplicado de factura. IV. No puede apreciarse culpabilidad V. Circunstancias agravantes y atenuantes a tener en cuenta. En el presente caso se imputan a Vodafone dos infracciones de lo establecido en el artículo 6 del RGPD, una motivada por el alta fraudulenta de servicios de telefonía móvil a nombre de la reclamante (línea número ***TELÉFONO.1) y otra por la modificación de sus datos personales (dirección de correo electrónico) a solicitud de un tercero y por la entrega a éste de un duplicada de una factura emitida por aquella entidad a nombre de la reclamante.
52. a)En relación con el primero de los incumplimientos detallados, el que resulta de un alta de línea de telefonía móvil fraudulenta, Vodafone alega que no existe infracción del artículo 6.1 RGPD en la medida en que el alta de la citada línea se perfeccionó el 25/03/2022 mediante el envío y activación de un código OTP a la línea titularidad de la reclamante y reconocida por ésta (***TELÉFONO.2), cuyo contrato se formalizó el 24/02/2021. Para acreditar la contratación de la línea ***TELÉFONO.1 a nombre de la reclamante, Vodafone ha aportado a las actuaciones copia de un contrato de 25/03/2022, que dice haber remitido a la dirección de correo electrónico facilitada por la reclamante (***EMAIL.3), que según dicha entidad coincide con la facilitada también para la contratación de la línea ***TELÉFONO.2, Primera como para la Segunda Línea, el cual fue suscrito por la reclamante con el código que fue facilitado mediante el envío de un mensaje SMS a la línea ***TELÉFONO.2, quedando todo ello demostrado mediante certificación de un Prestador de Servicios de Confianza. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/58 Además, Vodafone aportó copia del documento de confirmación de la orden de trabajo, señalando que este documento corresponde a la solicitud de la línea ***TELÉFONO.1. El contenido de interés recogido en ambos documentos consta reseñado en el Hecho Probado Segundo. De su examen resulta lo siguiente: . Ambos documentos corresponden a pedidos distintos, según el número de pedido que figura en cada uno de ellos. . En ambos documentos figura una dirección de correo electrónica diferente. . Ninguno de estos documentos indica las líneas de telefonía móvil a las que dan cobertura. Asimismo, cabe destacar que la propia entidad Vodafone ha manifestado a esta AEPD lo siguiente: “Respecto al servicio ***TELÉFONO.1, se refleja en la interacción que realiza la llamada para la solicitud de la factura y que ha estado activado asociado a la titularidad de la cliente desde el 29/03/2022 hasta el 21/07/2022 No consta contrato en el sistema, la orden de trabajo para la activación del servicio se realiza desde Televenta. Con fecha 18/03/2022 cuando se crea la orden de trabajo para la activación del servicio, la documentación que encuentra es una firma online, pero no refleja datos del servicio…”. Por otra parte, indica Vodafone que, aun considerando que el alta fue fraudulenta, debe tenerse en cuenta que adoptó las medidas apropiadas para prevenir dicha alta fraudulenta, por lo que tampoco en este caso puede haber infracción del artículo 6.1 del RGPD. Sin embargo, nada ha aportado para justificar que la persona que solicitó la línea ***TELÉFONO.1, cuya titularidad se asoció a la reclamante, superó la política de seguridad dispuesta al efecto por la entidad reclamada. Además, ha quedado probado que la política de seguridad de Vodafone ha resulta insuficiente para la adecuada protección de los derechos fundamentales de la parte reclamante. Con carácter general, deben adoptarse las medidas necesarias de prevención adecuadas para verificar la identidad de una persona cuyos datos van a ser objeto de tratamiento tal y como se reconoce en el Fundamento Jurídico Séptimo de la SAN, SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012) -: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento...").
53. b)La segunda infracción de lo establecido en el artículo 6 del RGPD resulta de la emisión y envío a un tercero de un duplicado de factura emitida por Vodafone a nombre de la reclamante, previa modificación por dicho tercero del dato personal de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/58 reclamante relativo a su dirección de correo electrónico. Esto se llevó a cabo por Vodafone sin el consentimiento de la reclamante y sin que el tercero hubiese sido autorizado por la misma. Como consecuencia de la modificación de la dirección de correo electrónico que figuraba en la ficha de cliente de la reclamante a petición de este tercero, el duplicado de factura fue enviado a un correo electrónico de un tercero que no coincide con el facilitado por la reclamante. Este hecho, que tuvo lugar el día 13/07/2022, ha sido reconocido por Vodafone que, en su respuesta al trámite de traslado de la reclamación, manifestó: “En el presente caso, se produjo el envío de una copia de una factura de la reclamante a un tercero que no es reconocido por la reclamante. Esta solicitud de envío fue gestionada por el servicio de atención al cliente de Vodafone, para lo cual los agentes que prestan dicho servicio están sometido a la Política de Seguridad (…)”. Sin embargo, Vodafone no ha aportado la grabación de la llamada del tercero a través de la cual habría solicitado el duplicado de factura y modificado los datos de la reclamante, por lo que no queda acreditado que dicho tercero superase la política de seguridad de Vodafone. Esta entidad ha informado expresamente que no se realizó grabación de la llamada en cuestión. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para garantizar que el tratamiento de datos personales se realiza en cumplimiento de lo establecido en la normativa de protección de datos y, más en concreto, contando con una base de licitud del tratamiento, tal y como propugna el art. 6 del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que el tratamiento de datos sea conforme al RGPD y que las mismas se respetan. Hace referencia Vodafone, para su descargo, al conjunto de medidas de seguridad que ha adoptado, las cuales se han demostrado insuficientes para garantizar la seguridad de los datos personales en el contexto en el que actúa una operadora de telecomunicaciones. Dichas medidas de seguridad no han sido las adecuadas para garantizar que un tercero ajeno tuviera acceso a datos personales de la parte reclamante. Máxime como, en este caso concreto, según manifestaciones de Vodafone de fecha 20 de octubre de 2022: “En este sentido, tras tener conocimiento de esta incidencia, el Departamento de Fraude de Vodafone analizó la incidencia y consideró que la gestión no reconocida por la reclamante había sido realizada de forma fraudulenta, al verificar que no coincidían el número de teléfono que sí reconoce la reclamante con el número empleado en el trámite (la llamada fue efectuada desde la línea ***TELÉFONO.1) ni la dirección de correo electrónico con los datos aportados al solicitar la copia de la factura (***EMAIL.1)”. La intervención fraudulenta de un tercero ha revelado el deficiente análisis de los riesgos, así como la insuficiente implantación, revisión y control de las medidas de seguridad por parte de la operadora. En suma, una falta de medidas de seguridad apropiadas y un incumplimiento de las obligaciones derivadas de la responsabilidad proactiva, máxime cuando la incidencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/58 da lugar a cambios en los datos asociados a la reclamante. Al respecto hay que señalar que precisamente evitar que nos encontremos ante el fraude de un tercero hace que sea necesario asegurarse que la persona a la que se envía el duplicado de la factura de teléfono es quien realmente dice ser y que está debidamente autorizado para obtener la información. A partir de todas las circunstancias expresadas, no se entiende que Vodafone, conociendo que la solicitud se estaba realizando por un tercero, diese curso a dicha petición y terminara atendiéndola, lo que confirma la negligencia observada en su conducta y su grado de responsabilidad y culpabilidad. La política de seguridad vigente en el momento de los hechos aportado por la propia entidad Vodafone contempla la actuación a seguir ante llamadas de terceras personas, que no ha sido respetada en este caso. Dice así esta política: “…(…)”. IV. Según Vodafone, no puede apreciarse la existencia de culpabilidad en las infracciones imputadas a la parte reclamada y, en consecuencia, no puede imponerse a la misma sanción alguna. Pues bien, estrictamente en cuanto a la negligencia en la actuación de Vodafone, cabe señalar que la SAN -Sala Contencioso-Administrativo- 392/2015, de 17 de noviembre que en su Fundamento Jurídico Tercero recoge la doctrina del Tribunal Constitucional sobre la aplicación al derecho administrativo sancionador de los principios del orden penal, en los siguientes términos: El Tribunal Constitucional ha declarado reiteradamente que los principios del orden penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos matices, al derecho administrativo sancionador, al ser ambos manifestaciones del ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y 164/2005). El principio de culpabilidad, garantizado por el artículo 25 de la Constitución, limita el ejercicio del "ius puniendi" del Estado y exige, según refiere el Tribunal Constitucional en la sentencia 129/2003, de 20 de junio, que la imposición de la sanción se sustente en la exigencia del elemento subjetivo de culpa, para garantizar el principio de responsabilidad y el derecho a un procedimiento sancionador con todas las garantías (STS de 1 de marzo de 2012, Rec 1298/2009). Ciertamente, el principio de culpabilidad, previsto en el artículo 130.1 de la Ley 30/1992, de 26 noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone que solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Obviamente, ello supone que dicha responsabilidad sólo puede ser exigida a título de dolo o culpa, quedando desterrada del ámbito del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/58 derecho administrativo sancionador la llamada "responsabilidad objetiva", y comprendiendo el titulo culposo la imprudencia, negligencia o ignorancia inexcusable. Esta "simple inobservancia" no puede ser entendida, por tanto, como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, pues la jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990 ), destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y prohibición de exceso ( artículo 25.1 CE ), o de las propias exigencias inherentes a un Estado de Derecho, por lo que se requiere la existencia de dolo o culpa (en este sentido STS de 21 de enero de 2011, Rec 598/2008 ). No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma " (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998 , parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005 , y de 23 de octubre de 2010, Rec 1067/2006 , que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". En el supuesto que nos atañe Vodafone no ha cumplido con sus propias medidas, dado que la parte reclamada dio de alta servicios a nombre de la reclamante, facilitó y modificó sus datos personales sin su consentimiento ni autorización. Considerando las circunstancias expuestas, resulta notoria la existencia de antijuridicidad y culpabilidad en la conducta infractora de la entidad responsable del tratamiento de los datos personales, Vodafone, quien tiene la obligación de obrar con mucha mayor diligencia a la hora de tramitar las peticiones que recibe a través del canal telefónico, mucho más si la petición la realiza un tercero, asegurándose de contar con el consentimiento del verdadero titular de los datos, a fin de no incurrir en el tratamiento no consentido de los mismos. Dicha condición impone un deber especial de diligencia a la hora de llevar a cabo el tratamiento de los datos personales, en lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/58 que atañe al cumplimiento de los deberes que la legislación sobre protección de datos establece para garantizar los derechos fundamentales y las libertades públicas de las personas físicas, y especialmente su honor e intimidad personal y familiar, cuya intensidad se encuentra potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro en el mercado de datos; en este sentido se ha pronunciado también la SAN 392/2015, de 17 de noviembre (Ver su Fundamento de Derecho Tercero). Al respecto, resulta significativo que la operadora responsable del tratamiento no justifique debidamente la concurrencia en su conducta de la diligencia que le era exigible ni acredite la adopción de las cautelas exigibles para evitar el tratamiento no consentido de los datos de carácter personal que nos ocupan, que debe atribuirse a la conducta negligente de Vodafone, habiendo dado lugar a que un tercero haya accedido a los datos personales de la reclamante. Por dicha razón, este es un proceso en donde la diligencia prestada por la operadora es fundamental para garantizar que el tratamiento de datos que realiza se efectúe con pleno cumplimiento de la normativa de protección de datos y, más en concreto, con el principio de licitud del tratamiento establecido en el art. 6 RGPD. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de Vodafone se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir, desde la óptica de la culpabilidad, estamos ante un error vencible ya que, con la aplicación de las medidas técnicas y organizativas adecuadas, la incidencia producida se hubiera podido evitar. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/58 eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. V. Vodafone solicita, para el caso de que la Agencia entienda que se ha infringido el artículo 6.1 del RGPD y deba imponérsele una sanción, que se tengan en cuenta las siguientes circunstancias agravantes y atenuantes. 1. La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que se hayan sufrido (artículo 83.2
54. a)del RGPD). Vodafone, no está conforme con la aplicación de esta circunstancia, ya que la Agencia la justifica en la conexión entre la actividad de Vodafone y los tratamientos de datos personales afectados, conexión a la que ya resulta de aplicación la circunstancia prevista en el artículo 76.2
55. b)de la LOPDGDD: "la vinculación de la actividad del infractor con la realización de tratamientos de datos personales". 2. La intencionalidad o negligencia en la infracción (artículo 83.2
56. b)del RGPD). Vodafone, no está de acuerdo con la consideración de esta circunstancia como agravante, y señala que no existe prueba en el expediente de que Vodafone fuera consciente de que el alta de la Segunda Línea y el duplicado de la factura fueran tramitados por un tercero, sino todo lo contrario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/58 3. La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2
57. k)del RGPD en relación con el artículo 76.2
58. b)de la LOPDGDD). Vodafone, no está conforme con la aplicación de esta circunstancia, y señala que las dos infracciones atribuidas a Vodafone se refieren al tratamiento de los datos personales sin una base jurídica legitimadora que afecta única y exclusivamente a la Reclamante. A continuación, indica que, si bien la Agencia puede defender que la presunta infracción del artículo 32 del RGPD es extrapolable a una pluralidad de sujetos, la naturaleza de las presuntas infracciones discutidas en esta Alegación (infracciones del artículo 6 del RGPD) se limitan a un único caso, sin que sean extrapolables a una pluralidad. 4. Vodafone entiende que deberán tenerse en cuenta las siguientes circunstancias como atenuantes:
59. a)El número de interesados afectados (artículo 83.2.
60. a)del RGPD): las infracciones han afectado a una sola persona. Esta alegación se contesta en el apartado VI (Propuesta de sanción).
61. b)El grado de cooperación con la Agencia con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción (artículo 83.2
62. f)del RGPD): tal y como se puso de manifiesto en la Contestación al Primera Requerimiento de Información, tras tener conocimiento de la reclamación, Vodafone incluyó "los datos de la reclamante en la agrupación de fraude" así como en los "ficheros de prevención". El artículo 83.2.
63. f)del RGPD se refiere al “grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción”. La respuesta de la reclamada no es encuadrable en esa circunstancia atenuante.
64. c)La forma en la que la Agencia tuvo conocimiento de la infracción (artículo 83.2
65. h)del RGDP): en relación con la presunta infracción del artículo 6.1 del RGPD consistente en el alta de la Segunda Línea, la AEPD tuvo conocimiento de esta infracción porque Vodafone informó de esta circunstancia a la Agencia en la Contestación al Primer Requerimiento de Información. Vodafone, no notificó a esta Agencia dicha infracción.
66. d)La posibilidad de que la conducta de la Reclamante hubiera podido inducir a la comisión de la infracción (artículo 76.2
67. d)del RGPD): tal y como se ha puesto de manifiesto en los apartados II y III de esta Alegación: (
68. i)el alta de la Segunda Línea se realizó activando un código OTP desde una línea titularidad de la Reclamante; y (
69. ii)la solicitud de la factura se realizó desde una línea titularidad de la Reclamante. Sin embargo, ninguna de las circunstancias que conforman el supuesto de hecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/58 examinado llevan a la conclusión referida por Vodafone. No se admite ninguna de las atenuantes invocadas. SEGUNDA. - Vodafone señala que no ha infringido el artículo 32 del RGPD I. Las medidas de seguridad adoptadas por Vodafone son las apropiadas. No comparte esta Agencia esta conclusión. La política de seguridad dispuesta por Vodafone para una situación como la examinada en este caso, relativa a solicitudes realizadas a través del canal telefónico, consta detallada en los Hechos Probados Décimo y Décimo Primero. Dicha política presenta deficiencias y debilidades importantes, las cuales muestran la insuficiencia de las medidas diseñadas para garantizar la seguridad de los datos, muy especialmente cuando la petición se realiza por un tercero. Esta política de seguridad contempla la posibilidad de que el cliente habilite una clave de acceso personal, para cuya activación mediante llamada al Servicio de Atención al Cliente se requiere que la persona interesada facilite (…). Sin embargo, una vez activada, para su modificación se exige únicamente (…). Por otra parte, en relación con esta clave de acceso, se dispone que la llamada (…). De producirse esta llamada por un tercero, el solo hecho de que (…) no garantiza que éste haya consentido o autorizado la gestión de que se trate. Además, en un contexto como el actual, en el que el riesgo de suplantación de identidad es tan alto, por circunstancias de todos conocidas y como bien conoce también Vodafone por la actividad que desarrolla, la información que se requiere a las personas que realizan gestiones a través del canal telefónico, además de escasa, se considera muy débil para acreditar que dicha persona esté legitimada para ello, al tratarse de datos personales que de forma muy habitual están en posesión de los posibles suplantadores. Todo lo anterior sirve para calificar de insuficiente la política de seguridad dispuesta por Vodafone para otras gestiones distintas a la activación de la clave personal, como la solicitud de servicios, duplicados de facturas o modificación de los datos personales del titular de los servicios contratados. Lo dispuesto por Vodafone para estas gestiones, si la persona que llama dice ser la titular, exige que dicha persona (…). Como ya se ha señalado, esto no permite considerar el establecimiento de la clave personal como una política de seguridad reforzada. Si estas otras gestiones se solicitan mediante llamada realizada por una persona que no es titular, Vodafone (…). Sorprende, por otra parte, que para llamadas realizadas por un tercero no titular de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/58 servicios, Vodafone (…). (…). (…). II. Subsidiariamente, señala Vodafone que para el caso de que la Agencia entienda que se ha infringido el artículo 32 del RGPD y deba imponérsele una sanción, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes. 1. La naturaleza y gravedad de la infracción (artículo 83.2
70. a)del RGPD). Vodafone, no está conforme con la aplicación de la circunstancia agravante, dado que la Agencia se basa en un único supuesto para concluir que las medidas de seguridad existentes no eran apropiadas. 2. La intencionalidad o negligencia en la infracción (artículo 83.2
71. b)del RGPD). Considera que Incluso en el supuesto en que la Agencia considerara que Vodafone ha infringido el artículo 32 del RGPD, señala que la falta de diligencia en relación con la obligación de adoptar unas medidas técnicas y organizativas apropiadas no puede determinarse sobre la base de un único caso -que además afecta a un único individuoen el que las medidas se hayan visto superadas. Estas alegaciones se contestan en el apartado IX (Propuesta de sanción). IV Contestación a las alegaciones de la propuesta de resolución Las alegaciones ahora formuladas reproducen, en lo sustancial, las ya presentadas en la fase inicial del procedimiento, las cuales fueron expresamente valoradas y contestadas en la propuesta de resolución, por lo que nos remitimos y ratificamos en lo ya manifestado. Sin perjuicio de lo anterior, se estima oportuno realizar nuevamente las siguientes precisiones. PRIMERA. Sobre las infracciones del artículo 6 del RGPD - Sobre el alta de línea fraudulenta En el presente caso se sanciona por la formalización de un alta de línea de telefonía móvil a nombre de la reclamante, llevada a cabo por Vodafone conociendo que estos servicios estaban siendo solicitados por un tercero. Sobre esta cuestión, reitera Vodafone que el alta se perfeccionó mediante contrato, que consta aportado a las actuaciones, firmado mediante un código enviado por SMS a la línea de la reclamante. Sin embargo, según se ha detallado en el Fundamento de Derecho anterior, los datos registrados en dicho contrato, así como en la supuesta orden de pedido asociada al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/58 mismo, no permiten concluir que esta documentación tenga relación con la contratación controvertida. Fue la propia entidad Vodafone la que sobre esta contratación informó que no disponía de contrato en su sistema y que la única documentación localizada era una firma online que no refleja los datos del servicio: “Respecto al servicio ***TELÉFONO.1, se refleja en la interacción que realiza la llamada para la solicitud de la factura y que ha estado activado asociado a la titularidad de la cliente desde el 29/03/2022 hasta el 21/07/2022 No consta contrato en el sistema, la orden de trabajo para la activación del servicio se realiza desde Televenta. Con fecha 18/03/2022 cuando se crea la orden de trabajo para la activación del servicio, la documentación que encuentra es una firma online, pero no refleja datos del servicio… La desactivación del servicio se realiza a través departamento televenta”. - Sobre la modificación de los datos de la reclamante a solicitud de un tercero para entregar a éste un duplicado de factura. Lo mismo puede decirse respecto de estos hechos, que constan reconocidos por la propia Vodafone. Según consta en las actuaciones, dicha incidencia fue calificada como fraudulenta por Vodafone, que ha informado no disponer de la grabación de la llamada realizada por el tercero para solicitar el duplicado de factura de la reclamante, de modo que no ha quedado acreditado que dicho tercero superase la política de seguridad dispuesta por la entidad y facilitase correctamente los datos requeridos para ello; ni consta que Vodafone hubiese realizado actuación alguna para verificar la existencia de autorización por parte de la reclamante para dicha gestión, ni se contactó con la misma para confirmarla y que prestara su consentimiento. De hecho, el duplicado de factura se envió a una dirección de correo electrónico distinta a la que figuraba en la ficha de cliente de la reclamante, a pesar de que la política de seguridad contemplaba que el sistema no permitiese esa posibilidad. Para ello, previamente Vodafone sustituyó ese dato por otra dirección facilitada por el tercero, en las mismas condiciones ya indicadas, es decir, sin autorización de la reclamante y sin que conste que el tercero superase la política de seguridad. Además, la previsión de Vodafone era enviar la factura por correo electrónico a través de un enlace URL, a cuyo contenido únicamente se puede acceder si el solicitante aporta el (…) que se envía a través de SMS a una de las líneas móviles contratadas. En relación con el envío del duplicado de factura de la reclamante, Vodafone ha informado en su escrito de alegaciones de 07/04/2025 que el agente que tramitó la solicitud no siguió este último paso consistente en el envío del SMS con el (…). Posteriormente, en su escrito de alegaciones de 29/01/2026, Vodafone indica “que el agente que tramitó el envío de la factura se apartó de la política de seguridad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/58 Vodafone y no siguió el último paso consistente en el envío del SMS con el (…) a la línea del cliente para la modificación de la cuenta de correo electrónico”. Ahora, en su escrito de alegaciones a la propuesta de resolución, a pesar de que reitera literalmente sus alegaciones anteriores, Vodafone a tenido buen cuidado en suprimir esta manifestación. Así, en el caso que nos ocupa, ha sido la propia reclamada la que ha admitido que no se ha seguido los propios procedimientos y políticas de seguridad. A este respecto, además, conviene señalar que la SAN de 29 de octubre de 2024, rec. 1824/2021, dispone que: “…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no estamos ante un requisito meramente formal, sino material. En este sentido, y en línea con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso", lo que no implica que se exija una obligación de resultado”. Por otra parte, la actuación de los agentes de Vodafone no escapa a su control, ya que estos actúan en su nombre y, por tanto, son responsables de cumplir con las políticas de seguridad. La responsabilidad no puede ser desplazada hacia elementos externos. La parte reclamada es directamente responsable del comportamiento de su personal o de aquellos que le prestan servicio y de asegurar que los protocolos de seguridad se apliquen correctamente en cada caso, sin excepción. Por lo tanto, la parte reclamada no puede eludir su responsabilidad, ya que el RGPD exige que el tratamiento de los datos se realice de modo lícito y el tratamiento solo será lícito si se cumple al menos una de las condiciones previstas en el art. 6 del RGPD. El incumplimiento de su propia política de seguridad especialmente cuando se trata de un procedimiento tan delicado como el alta de servicios a nombre de una persona distinta a la que realiza la solicitud o la entrega de datos personales del titular de los servicios a un tercero, demuestra una falta de diligencia en su responsabilidad que justifica la imputación de la infracción. En relación con las infracciones del artículo 6 del RGPD señaladas, resultado de las acciones llevadas a cabo por Vodafone a petición de un tercero, resulta de especial interés la doctrina declarada por el Tribunal Supremo, Sala de lo ContenciosoAdministrativo, Sección Tercera, en Sentencia de 13/12/2021 (recurso de casación núm. 6109/2020), que analiza un supuesto de contratación on line en el que se cuestiona la actuación llevada a cabo por la entidad recurrente para verificar que contrataba con el verdadero titular de los datos. Según el auto de admisión del citado recurso de casación, “la cuestión que presenta interés casacional objetivo para la formación de la jurisprudencia consisten en interpretar la normativa de protección de datos de carácter personal vigente a efectos de aclarar si la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, permite excluir que haya existido infracción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/58 por falta del necesario consentimiento inequívoco para el tratamiento de los datos personales que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, por entender que la empresa contratante actuó con diligencia suficiente y en la creencia de que contrataba con el verdadero titular de tales datos”. En esta Sentencia se declara lo siguiente: “TERCERO. Respuesta de la Sala a la cuestión de interés casacional señalada en el auto de admisión del recurso de casación. En respuesta a la cuestión que plantea el auto de admisión del presente recurso de casación debemos declarar que la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, no excluye que la empresa contratante, que lleva a cabo el tratamiento de los datos personales, haya podido incurrir en infracción por falta del necesario consentimiento inequívoco que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues aquella intervención fraudulenta de un tercero no implica por sí misma que la empresa contratante haya actuado con diligencia suficiente. Lo anterior no significa que se haga recaer sobre la empresa contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la implantación de medidas de control y verificación tendentes a asegurar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado”. - Sobre la proporcionalidad de las multas propuestas por las dos infracciones del artículo 6 del RGPD. La parte reclamada discrepa de los factores considerados para determinar la gravedad de la infracción y las agravantes aplicadas por la Agencia a la hora de valorar la sanción. Sin embargo, las alegaciones formuladas no resultan suficientes para desvirtuar los argumentos planteados, por lo que deben ser desestimadas remitiéndonos, al efecto, a lo expuesto en la propuesta de resolución sobre las circunstancias consideradas para determinar los importes de las multas propuesta y los argumentos valorados para rechazar las alegaciones de Vodafone, que esta resolución hace suyos. No obstante, interesa destacar que para la determinación del importe de la multa administrativa se ha considerado prevalente que la infracción afecta de forma directa a un único interesado, la parte reclamante, sin perjuicio de valorar la negligencia apreciada en la conducta de Vodafone, los datos personales afectados por las infracciones o las infracciones cometidas con anterioridad por la entidad, además de la vinculación de su actividad con el tratamiento de datos personales. Del mismo modo, se desestiman las atenuantes invocadas por la parte reclamada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/58 sobre el grado de cooperación mostrado por VODAFONE, la forma en que la AEPD tuvo conocimiento de la infracción y la posibilidad de que la conducta de la reclamante hubiera podido influir en la comisión de la infracción. Sobre el grado de cooperación, que Vodafone basa en haber calificado su actuación como fraude e incluido los datos de la reclamante en sus ficheros de prevención, se estima suficiente con reiterar que estas medidas no son encuadrables en esta circunstancia de graduación. En cuanto a la forma en que la AEPD tuvo conocimiento de la infracción del artículo 6 por el alta de línea fraudulenta, reiteramos que esta infracción no fue notificada por Vodafone, sino que los hechos que la motivan se pusieron de manifiesto durante las actuaciones. Esta AEPD niega también que la reclamante, que no ha intervenido en los hechos constitutivos de infracción, haya podido inducir a la comisión de la infracción por parte de Vodafone. Finalmente, en relación con lo manifestado por Vodafone sobre la consideración por esta AEPD de sus actividades básicas al referirse a los factores de graduación establecidos en la letra
72. a)del artículo 83.2 del RGPD y también para la aplicación de la agravante as para la apreciación de la negligencia (artículo 83.2.
73. b)del RGPD) y también para la agravante regulada en el artículo 76.2
74. b)de la LOPDGDD ("la vinculación de la actividad del infractor con la realización de tratamientos de datos personales"), cabe precisar que dicha vinculación de la actividad con el tratamiento de datos personales no se ha considerado respecto de lo dispuesto en el artículo 83.2.a), sino solo el alcance nacional de dicha actividad. No obstante, considera esta AEPD que se dan las circunstancias para apreciar la atenuante regulada en el artículo 83.2.c): “cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados”. Se tiene en cuenta para ello que Vodafone, tras conocer los hechos, declaró las gestiones realizadas como fraudulentes e incluyó a la reclamante en sus ficheros de prevención, para activar medidas de seguridad adicionales. En otro orden, la citada entidad ha informado sobre las actuaciones desarrolladas con la entidad que le presta servicios de atención al cliente para revisar el cumplimiento de las políticas de seguridad, exigir medidas correctoras y recordar las obligaciones contractuales. Como resultado de estas acciones, la entidad encargada del tratamiento informa sobre la adopción de medidas preventivas y de refuerzo de la política de seguridad para impedir la entrega de facturas y documentos a terceros, así como la prohibición del envío a direcciones no autorizadas. Considerando esta atenuante, se estima procedente establecer la multa a imponer por cada una de las infracciones del artículo 6 del RGPD constatadas en un importe de 150.000 euros, situada en un rango muy bajo respecto del intervalo de multas que procede imponer por las infracciones en cuestión, considerando el volumen de negocio de Vodafone. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/58 SEGUNDA. Sobre la infracción del artículo 32 del RGPD A este respecto, se estima suficiente son hacer constar las consideraciones siguientes: . Las alegaciones a la propuesta de resolución elaboradas por Vodafone son una copia literal de las presentadas con ocasión de la apertura del procedimiento, de modo que se dan por respondidas con los argumentos ya expuestos en dicha propuesta, todos ellos incorporados a esta resolución. . Vodafone se ha limitado a negar haber cometido esta infracción en base a los mismos hechos y argumentos en base a los cuales niega las infracciones del artículo 6 del RGPD imputadas, sin mención alguna a las importantes debilidades apreciadas en su política de privacidad, debidamente destacadas en el Fundamento de Derecho anterior, que estaba igualmente incluido en la propuesta del instructor del procedimiento. . Vodafone no ha manifestado el desarrollo de acción laguna dirigida a la mejora de su política de seguridad dirigida a evitar situaciones futuras similares. V Obligación incumplida: infracción del artículo 6.1 del RGPD El tratamiento llevado a cabo podría ser constitutivo de dos infracciones del artículo 6.1 del RGPD, Licitud del tratamiento, que dispone: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
75. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
76. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
77. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
78. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
79. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
80. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
81. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. En el presente caso, resulta acreditado que el día 13 de julio de 2022, se tramitó por parte de Vodafone el envío de un duplicado de factura de teléfono de la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/58 reclamante, sin su consentimiento, a un correo electrónico de un tercero que no constaba en su ficha de cliente, el cual fue modificado a petición de esta tercera persona precisamente para la obtención del duplicado de factura. Pues bien, la parte reclamante, ha manifestado que días antes de la referida filtración de datos, manifiesta que solicitó por teléfono a la parte reclamada activar una clave personal de seguridad en su línea móvil, porque temía que algún tercero pudiera acceder a sus datos, manifestando que la parte reclamada le indicó que era innecesario ya que contaban con fuertes medidas de seguridad. El mismo día 13 de julio de 2022 reclamó por teléfono a la parte reclamada por la entrega de sus datos a un tercero, según grabación aportada por la reclamante, pero no se cataloga como fraude por Vodafone hasta el día 15 de julio de 2022. Por su parte, Vodafone no ha aportado la grabación de la llamada del tercero a través de la cual habría solicitado la factura, porque según manifiesta en su contestación a esta Agencia de fecha 20 de octubre de 2022 las llamadas se graban de forma aleatoria. Según las manifestaciones de Vodafone de fecha 20 de octubre de 2022: “En este sentido, tras tener conocimiento de esta incidencia, el Departamento de Fraude de Vodafone analizó la incidencia y consideró que la gestión no reconocida por la reclamante había sido realizada de forma fraudulenta, al verificar que no coincidían el número de teléfono que sí reconoce la reclamante con el número empleado en el trámite (la llamada fue efectuada desde la línea ***TELÉFONO.1) ni la dirección de correo electrónico con los datos aportados al solicitar la copia de la factura (***EMAIL.1)”. A este respecto conviene señalar que el artículo 5.2 del RGPD que, en virtud del principio de responsabilidad proactiva el responsable del tratamiento es el responsable de demostrar el cumplimiento de los principios enumerados en el apartado primero de dicho artículo, entre los cuales se encuentra el principio de licitud. Por lo tanto, de la contestación de Vodafone se desprende que la reclamada facilitó un duplicado de la factura a un tercero que no era el titular de la línea, previa modificación de su dirección de correo electrónico, y que dichas solicitudes fueron realizadas de forma telefónica. Vodafone no ha acreditado disponer de base legítima para llevar a cabo este tratamiento de datos. Vodafone también manifiesta lo siguiente: “No obstante, se ha comprobado también que dicha línea telefónica ***TELÉFONO.1 empleada en la gestión no reconocida había estado asociada a la titularidad de la reclamante desde el 18 de marzo hasta el 21 de julio d