1/42 Expediente N.º: EXP202303558 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 1 de febrero de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada o Vodafone). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, manifiesta que el día 25 de enero de 2023, el cotitular de su cuenta bancaria en la entidad financiera Unicaja, recibe un mensaje de texto de la anterior, para autorizar una transferencia bancaria de 2000 euros. Simultáneamente, la parte reclamante recibe un mensaje de texto de Vodafone, en el cual le señalan que "respondiendo a su solicitud, hemos realizado el cambio de SIM que nos has indicado". Dos días después acude presencialmente a la entidad bancaria, donde le informan que se han realizado dos transferencias de forma fraudulenta. Y, aporta la siguiente documentación relevante: - Mensaje de texto recibido, en el que se le informa que proceden al cambio de SIM. - Recibos de las dos transferencias bancarias realizadas con fecha 25 de enero de 2023, ambas realizadas al mismo IBAN beneficiario. - Consulta de los accesos a Banca Digital: del lunes 16 de enero al lunes 30 de enero de 2023 - Denuncia policial, de fecha 27 de enero de 2023, presentada ante las dependencias (...). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 23 de marzo de 2023 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/42 Con fecha 28 de junio de 2023 se recibe en esta Agencia escrito de respuesta indicando: “Se ha comprobado que con fecha 25 de enero de 2023 a las 12:35 horas, se tramitó un duplicado SIM a nombre del reclamante. Con el objetivo de verificar la operación, Vodafone se puso en contacto con el reclamante, quien no reconoció el duplicado. Inmediatamente después, Vodafone procedió a la cancelación del mismo y a categorizar al reclamante como víctima de fraude. La incidencia fue solucionada en el mismo día de su detección, bloqueando así el duplicado SIM fraudulento y procediendo a la emisión de un nuevo duplicado para uso del reclamante. Asimismo, se ha rembolsado los gastos incurridos como consecuencia del duplicado SIM fraude. De todo ello, se ha emitido carta al reclamante donde se le informa de las gestiones llevadas a cabo por la empresa de mi representada. Tras analizar la reclamación e investigar lo sucedido, Vodafone ha podido comprobar que, efectivamente, tiene constancia de haber tramitado un duplicado de la SIM vinculado a la línea telefónica del reclamante, a las 12:35 horas del día 25 de enero de 2023, mediante servicio telefónico gestionado por los servicios de Atención al Cliente a través de un proveedor colaborador de Vodafone. Una vez que Vodafone trasladó al reclamante la tramitación de esta petición y el reclamante tuvo constancia de estos hechos, se puso en contacto con mi representada indicando que la gestión anterior se había realizado sin su consentimiento. Al respecto, tras conocer Vodafone que estaba ante gestiones que, pese a tener la apariencia de lícitas, eran de carácter fraudulento; procedió de inmediato a desactivar la operación realizada de forma fraudulenta, bloqueando la nueva SIM alrededor de las 16 horas del propio día 25, así como a adoptar los trámites necesarios para restituir el servicio, finalizando esta actuación en fecha 26 de enero, mediante la restitución al reclamante del control sobre su línea telefónica. Por tanto, mi representada logró solventar la incidencia objeto de reclamación de forma efectiva el 26 de enero de 2023, es decir, en menos de 24 horas desde que tuvo constancia de los hechos y con anterioridad a la recepción del presente requerimiento por parte de la Agencia. Asimismo, Vodafone procedió al abono de las cantidades generadas a raíz de la tramitación del duplicado SIM”. TERCERO: Con fecha 1 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/42 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En su escrito de respuesta de fecha 18 de agosto de 2023, la parte reclamada reconoce que un Agente se saltó la Política de Seguridad de VODAFONE, y tramitó el duplicado SIM, debido a un error humano y puntual en su forma de proceder “al no comprobar que el duplicado había sido solicitado desde una numeración internacional”. Continúa explicando que “se envió un SMS a la parte reclamante, que es la que alertó y permitió detectar el fraude”, y que se han modificado las medidas de seguridad de forma que este suceso no se pueda reproducir. Pues bien, Vodafone expone que: “el duplicado SIM del día 25 de enero de 2023, se tramitó a través del servicio de Atención al Cliente de Vodafone. Dicho duplicado fue solicitado desde una numeración internacional, por lo que el Agente, debido a un error humano y puntual en su forma de proceder al no comprobar el origen de la numeración entrante, se saltó la Política de Seguridad de Vodafone y procedió a la tramitación del duplicado SIM en cuestión. Sin embargo, Vodafone, aunque ha comprobado la robustez de sus medidas de seguridad, permitiendo únicamente y en casos limitados la solicitud de duplicados SIM a través de su servicio de Atención al Cliente, cuya tramitación se encuentra supeditada a la superación de su Política de Seguridad, es consciente de que pueden existir errores humanos puntuales y aislados por parte de los Agentes. Por lo que, con el fin de detectar lo más rápido posible estos casos, desde marzo de 2021, Vodafone envía un SMS de confirmación a sus clientes que solicitan un duplicado SIM, donde se les informa y confirma la tramitación de dicha gestión. Esto permite alertar al titular de la línea de posibles casos fraudulentos, y actuar cuanto antes. […] Tal y como se ha detallado anteriormente, desde abril de 2023, el número de Agentes de Atención al Cliente que pueden realizar duplicados SIM se ha reducido notablemente. Tras las investigaciones oportunas, mi representada ha comprobado que el Agente que realizó el duplicado SIM fraude contaba con una serie de permisos que, desde abril de 2023, han sido deshabilitados, por lo que este caso no habría podido producirse. Vodafone realiza un exhaustivo análisis de los casos de fraude detectados, tratando de implementar medidas eficaces que impidan que casos como puedan tener lugar. Con respecto a la aportación de la grabación de dicho trámite, no se ha podido localizar grabación alguna en sistema. Tal y como se ha detallado, Vodafone debido al gran volumen de interacciones que recibe en su servicio de Atención al Cliente, graba de manera aleatoria y con motivos de calidad algunas de sus llamadas. Sólo aquellas mediante las cuales se perfeccione un contrato por grabación de voz, son grabadas en todo caso.” Consultada sobre si la plataforma que utilizan los Agentes proporcionaba, en la fecha 25 de enero de 2023, algún tipo de alerta o alarma sobre la numeración origen de las llamadas en el caso de que se produjeran desde un número internacional, la parte reclamada refiere en su escrito de respuesta al segundo requerimiento de información de fecha 14 de febrero de 2024: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/42 “los Agentes cuentan con una plataforma interna llamada “(...)” donde, entre otras cosas, consta la Política de Seguridad de Vodafone, la cual es de obligado cumplimiento para todos los Agentes que trabajan en nombre de Vodafone. En dicha Política se establece que: “No realizar cambio de SIM si el cliente llama desde nº internacional (en este último caso validar llamando al tlf. Vodafone para confirmar) * *Si no se cumplen estas condiciones el cliente tiene que ir a tienda a realizar el cambio”. Por lo tanto, los Agentes son conocedores de la obligación de verificación del número entrante, debiendo comprobar si se trata de un número internacional o no, y en caso de que así sea, tomar las medidas adicionales establecidas, debiendo comprobar la autenticidad del trámite llamando a la línea sobre la cual se quiere solicitar el duplicado SIM.” Respecto a la entrega de la tarjeta SIM duplicada En su escrito de respuesta al segundo requerimiento de información de fecha 14 de febrero de 2024, la parte reclamada informa que se trata de una tarjeta SIM física y no de una e-SIM. Respecto el envío de la tarjeta SIM física, la parte reclamada indica que: “Tras una exhaustiva investigación en los sistemas internos de Vodafone, se ha comprobado que no consta la realización del envío de ninguna tarjeta SIM a nombre del reclamante. Sobre este punto, se adjunta captura de pantalla de los resultados de búsqueda de los sistemas empleados por esta entidad para gestionar los envíos postales realizados. Por lo que, cabe concluir que el defraudador obtuvo por medios ajenos y desconocidos por mi representada la tarjeta SIM con la que posteriormente realizó un duplicado SIM o fue facilitada por un punto de venta que no siguió las directrices y políticas marcadas por mi representada. A efectos preventivos, se deshabilitó al punto de venta al que se le remitió dicha tarjeta la posibilidad de adquirir tarjetas de portabilidad desde enero de 2023.” QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad VODAFONE ESPAÑA, S.A.U. es una gran empresa constituida en el año 1.994, y con un volumen de negocios de 3.005.124.000 euros en el año 2023. SEXTO: Con fecha 17 de abril de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada solicito copia del expediente y ampliación del plazo para formular alegaciones que le fue concedido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/42 y presentó escrito de alegaciones con fecha 20 de mayo de 2024 en el que, en síntesis, manifestaba que: <<PRIMERA. - La adopción de medidas técnicas y organizativas no es una obligación absoluta. Vodafone ha cumplido con el principio de licitud del tratamiento y con la obligación de adoptar medidas técnicas y organizativas adecuadas para garantizar el mismo. (…) La obligación de adoptar medidas técnicas y organizativas para garantizar un nivel de seguridad adecuado al riesgo no es “una obligación absoluta” (…). (…) El responsable del tratamiento está sujeto a una obligación de medios, no a una obligación de resultados en el sentido de entender que todo incidente es un incumplimiento del deber de garantizar un nivel de seguridad adecuado al riesgo. Por tanto, el hecho de que un tercero, mediante la comisión de delitos, haya superado las medidas de seguridad de Vodafone no puede automáticamente inferirse que Vodafone no ha sido diligente en la verificación de la identidad del cliente y, por tanto, no ha tratado los datos personales de la reclamante conforme al artículo 6.1 del RGPD (…). (…)Vodafone es responsable de adoptar medidas técnicas y organizativas dirigidas a que los duplicados de tarjetas SIM sean facilitados a los titulares de las líneas telefónicas (…). (…) En este sentido, las siguientes conductas caen fuera de la esfera de control de Vodafone: 1. En primer lugar, todas las conductas realizadas por el estafador o ciberdelincuente en un estadio anterior a la solicitud del duplicado de la tarjeta SIM. En el presente caso de duplicado SIM, el defraudador obtuvo previamente una tarjeta SIM siendo ésta activada con posterioridad a través del Servicio de Atención al Cliente (por vía telefónica). Esto supone la previa obtención por parte de los estafadores o ciberdelincuentes mediante fraude o argucia de determinados datos personales de los interesados exigidos por Vodafone para verificar la identidad del titular de la línea. Estas labores de ingeniería social realizadas sobre la futura víctima también caen fuera de la esfera de control de Vodafone 2. En segundo lugar, todas las conductas realizadas por el estafador o ciberdelincuente en un estadio posterior a la solicitud del duplicado de la tarjeta SIM, como por ejemplo el acceso a las aplicaciones de banca online de las víctimas y la realización de operaciones fraudulentas a través de dichas aplicaciones. (…) 3. Por último, (…) resulta necesario aclarar el funcionamiento de las tarjetas SIM, así como la información que un duplicado SIM puede contener, siendo ésta: el número de MSISDN, IMSI, el estado de la tarjeta SIM, el código de servicio (operador), las claves técnicas para la autenticación contra la red, el PIN y el PUK de la tarjeta SIM.: Por lo que en ningún caso el defraudador pudo acceder al historial de llamadas o mensajes emitidos por el reclamante en un estadio previo a que se realizara el duplicado SIM en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/42 cuestión, ni tampoco al listado telefónico, ya que la nueva tarjeta SIM no custodia esta información. (…) Sentado lo anterior, a continuación, detallaremos las medidas técnicas y organizativas implementadas por Vodafone para la solicitud de un duplicado SIM. La tramitación de un duplicado SIM de forma presencial, tal y como recoge la Política de Seguridad establecida para los puntos de venta de Vodafone, prevé que, para la realización de un duplicado SIM en tienda, debe acudir el titular de la línea con su documento de identidad original para poder realizar el cambio de SIM (…). (…) Vodafone ha establecido como medida de seguridad adicional la obligatoriedad de realizar y guardar una fotocopia del documento de identidad presentado por el cliente, como prueba del duplicado SIM solicitado. De todo este proceso se informa al personal autorizado de los puntos de venta de Vodafone en la Web “Comunicación Comercial de Particulares”, a la cual pueden acceder en todo momento, y donde se especifica la información que deben requerir para la correcta identificación de la identidad del solicitante. Sobre este respecto, se adjunta captura de pantalla de las instrucciones trasladadas. (…) los puntos de venta deben seguir en todo caso las instrucciones marcadas por Vodafone, tal y como recoge el contrato marco, aportado como Documento número 1. En estos contratos (en el apartado de definiciones) se establece que: “se calificará como fraude–no verificar la identidad del Cliente en caso de cambio de titular de un Servicio ya contratado, portabilidad o migración de un Servicio de prepago a pospago, cambio de SIM o la recogida de un Producto por parte del Cliente”. (…) se establece que, “El AGENTE no deberá incurrir en ninguna actuación irregular que pueda ser catalogada como fraudulenta o engañosa en la comercialización a los Clientes”, por lo que en todo momento el punto de venta se encuentra obligado a garantizar una correcta verificación de identidad del cliente. En caso de no realizar dicha comprobación, en el “Anexo I Contrato Canal Especialista Exclusivo de Punto de Venta Estándar”, y el cual se aporta como Documento número 2, se recoge que cualquier alta fraudulenta o alta no documentada – conceptos definidos en el apartado PRIMERO del documento – serán sancionados por incumplimiento de las directrices fijados por Vodafone, y entre las que se incluiría la correcta verificación de identidad del solicitante, como paso esencial para evitar posibles casos de fraude. En este caso, como se ha puesto de manifiesto en las alegaciones presentadas el 14 de febrero de 2024, el duplicado SIM fue adquirido a través de un punto de venta de Vodafone, el cual no se encontraba autorizado para la realización de dicho trámite. Tal y como informó mi representada, el duplicado SIM que motiva el presente Acuerdo de Inicio, el cual fue realizado el 25 de enero de 2023, fue analizado y calificado como fraudulento durante ese mismo día por el Departamento de Fraude de Vodafone. Paralelamente el Departamento de Fraude procedió, el 26 de enero de 2023, a bloquear la adquisición de tarjetas SIM por parte del punto de venta. De la misma forma, se le requirió que devolviera todas las tarjetas SIM de Vodafone que se le habían entregado. Asimismo, se desactivo las tarjetas que no habían sido asignadas, y se revisó todas aquellas que sí se habían asignado con el fin de verificar que habían seguido correctamente el procedimiento. Sobre este respecto, se adjunta captura de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/42 pantalla del correo electrónico enviado por el Equipo de Fraude confirmando las acciones llevadas a cabo sobre el punto de venta. Por otro lado, tal y como se ha indicado, el duplicado SIM fue activado a través del Servicio de Atención al Cliente de Vodafone. Como se ha evidenciado, mi representada traslada instrucciones claras a sus Agentes tanto a través de la Política de Seguridad como mediante píldoras informativas periódicas, sin embargo, en número de ocasiones muy limitado y reducido, los defraudadores, los cuales adquirieren de manera previa y de forma ajena a Vodafone, los datos de los interesados consiguiendo así superar la Política de Seguridad establecida por Vodafone y solicitar la gestión de un trámite para el cual no se encuentran autorizados. Mi representada siendo consciente de ello ha implementado los siguientes mecanismos en el Servicio de Atención al Cliente de Vodafone para reducir al máximo su amenaza. En primer lugar, el cliente tiene que pasar la política de seguridad de Vodafone aportando la información prevista en dicha política para identificar al cliente y titular de la línea. En el apartado “Cambio de SIM” de la política de seguridad vigente en enero de 2023 y aportada como Documento número 1, se establecían varias advertencias a los agentes con el siguiente mensaje: “No realizar cambio de SIM si el cliente llama desde nº oculto o internacional (en este último caso validar llamando al tlf. Vodafone para confirmar) * *Si no se cumplen estas condiciones el cliente tiene que ir a tienda a realizar el cambio.” Asimismo, se requería que los Agentes solicitaran y verificaran la siguiente información, tal y como se indica en la Política de Seguridad de Vodafone: “Política de seguridad: NIF del titular. Confirmar: No existe cambio de dirección en el último mes. En casos de solo Cambio de Sim: confirmar que hay orden de Envío de la SIM* *Si no se cumplen estas condiciones el cliente tiene que ir a tienda a realizar el cambio.” Como se puede observar hay instrucciones claras para no facilitar datos al llamante si previamente no ha facilitado los datos requeridos. En el presente caso, número de documento de identidad y además se debe verificar que hay orden de envío de la SIM, es decir, que la SIM ha sido enviada a la dirección que figura en sistemas. De no darse alguno de los requisitos anteriores, se le indicará al solicitante la imposibilidad de llevar a cabo el trámite. Sin embargo, en el presente caso, debido a un error humano y puntual por parte del Agente, quien no verificó de manera adecuada el número llamante, tramitó un duplicado SIM sobre la línea del reclamante sin confirmar previamente la licitud del trámite llamando a una de las líneas contratadas por el reclamante, tal y como indica la Política de Seguridad de Vodafone que debe llevarse a cabo cuando el número llamante es una numeración internacional. La información sobre el procedimiento establecido para este trámite se encuentra en el Documento número 1. Asimismo, se adjunta como captura de pantalla las instrucciones trasladadas por Vodafone a su fuerza comercial sobre los últimos cambios introducidos en la política de seguridad de Vodafone de marzo de 2022. 2. Una vez verificada su identidad de acuerdo con lo previsto en la política de seguridad de Vodafone y realizados los trámites oportunos, se gestiona el cambio de SIM y le llega un SMS informativo al cliente a la antigua línea dando aviso del cambio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/42 de SIM realizado antes de su desconexión. Esta es una medida implantada en Vodafone desde marzo de 2021. Es decir, en el presente caso dicha medida ya se encontraba implantada cuando el reclamante sufrió este duplicado SIM (25 de enero de 2023) por el estafador o ciberdelincuente. De hecho, es a través de este mecanismo, tal y como indica el reclamante en su reclamación, mediante el cual el reclamante es conocedor de que se había realizado un duplicado SIM en su nombre. A este respecto se adjunta captura de pantalla del SMS enviado a la línea del reclamante, y que aporta en su reclamación ante esta Agencia. Así las cosas, y como consecuencia de la notificación recibida, el reclamante se puso en contacto con el Servicio de Atención al Cliente de Vodafone el mismo día 25 de enero de 2023. Mi representada procedió a realizar las investigaciones y gestiones oportunas a fin de resolver la incidencia acontecida, verificado que Vodafone estaba ante una solicitud que, pese a tener la apariencia de veraz, era de carácter fraudulento, procediendo en consecuencia a calificar el duplicado SIM como tal, así como a identificar a el reclamante como víctima de fraude. Sobre este respecto, se adjunta captura de pantalla de los sistemas internos de Vodafone donde se observa el bloqueo de la tarjeta SIM por fraude, así como la calificación de víctima de fraude en su ficha de cliente. Por otro lado, mi representada a raíz de la reclamación presentada ante esta Agencia procedió al abono de los gastos generados como consecuencia de la tramitación del duplicado SIM. De la misma forma, se debe analizar las siguientes afirmaciones que hace la Agencia en la página 7 y 8 del Acuerdo: • "Vodafone no aporta ninguna documentación que acredite el efectivo paso de la Política de Seguridad, ni la efectiva solicitud de los datos personales por parte del operador para pasar esta, ni qué datos fueron facilitados por el tercero, en su caso. (…) Asimismo, Vodafone no dispone tampoco de la grabación telefónica y por si no fuera suficiente no les consta el envío de ninguna tarjeta SIM a nombre del reclamante.”. Vodafone ha realizado el cambio de tarjeta SIM porque el solicitante ha acreditado (de forma fraudulenta) ser el reclamante y ha aportado todos los datos personales del reclamante necesarios para superar la política de seguridad, habiendo obtenido los mismos a través de técnicas de ingeniería social. Pretender que Vodafone pruebe la identidad de los solicitantes supone una suerte de prueba diabólica que no se puede exigir a Vodafone. Con respecto a la grabación telefónica de las llamadas a través de las cuales el defraudador consigue el duplicado SIM mi representada no dispone de dicha grabación, únicamente figuran las interacciones ya aportadas en requerimientos de información previos y mencionadas en esta Alegación primera. Mi representada ya ha informado a la Agencia en numerosas ocasiones que las llamadas telefónicas recibidas por los servicios de atención al cliente de Vodafone solo son grabadas de forma aleatoria y con fines de calidad de la atención dispensada al cliente, lo cual se informa expresamente a los interesados en la realización de cualquier trámite por canal telefónico. Sin embargo, mi representada ha aportado en cada una de las alegaciones presentadas a los requerimientos de información previos al presente Acuerdo de Inicio, las interacciones y tipificaciones registradas por los Agentes de Vodafone de cada una de las gestiones llevadas a cabo por el Servicio de Atención al Cliente. Por otro lado, en cuanto a la falta de acreditación del envío de la tarjeta SIM, se debe resaltar de nuevo que la tarjeta SIM fue adquirido en un punto de venta de Vodafone, no habiéndose producido, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/42 por tanto, envío alguno de la misma. Por lo que, en efecto no es posible acreditar tal evidencia, ya que la adquisición de la tarjeta se produjo de manera presencial. SEGUNDA. - Subsidiariamente, y para el caso de que la Agencia entendiera que Vodafone ha infringido el artículo 6.1 del RGPD, no puede apreciarse la existencia de culpabilidad en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna. Con carácter subsidiario, en el caso de que esta Agencia entendiera que Vodafone sí ha infringido el artículo 6.1 del RGPD, no procede la imposición de sanción alguna a mi mandante por los motivos que se verán a continuación. I. Vodafone no ha actuado culposamente, por lo que no procede la imposición de sanción alguna. Estamos ante prácticas delictivas (que van evolucionando con el transcurso del tiempo) llevadas a cabo por estafadores y ciberdelincuentes (en muchos casos actuando a través de organizaciones criminales y bandas organizadas, como alguna de las desmanteladas a raíz de la colaboración de Vodafone con las Fuerzas y Cuerpos de Seguridad del Estado) quienes, actuando con dolo, utilizan la intervención humana ineludible en el sistema de Vodafone para aprovecharse de que una persona en concreto (el empleado u operador que tramita el cambio de SIM) pueda, de buena voluntad y sujeta al abuso del delincuente, relajar los protocolos establecidos. Se trata de delincuentes que, valiéndose de artimañas y actividades delictivas comenzadas en un momento temporal anterior a la solicitud de cambio de SIM (y, por tanto, en un estadio en el que ni Vodafone – ni ningún otro operador – puede hacer nada al respecto) roban datos de entidades, falsifican DNIs, denuncias de robo de dichos DNIs y consiguen los datos personales de la futura víctima a fin de superar los protocolos de seguridad establecidos por Vodafone. Suplantada la identidad y, en su caso, superadas las medidas de seguridad de la operadora de teléfono, estos terceros continúan con sus actividades delictivas tendentes a distraer otras medidas de seguridad, las establecidas por las entidades bancarias de los clientes de Vodafone. Teniendo en cuenta lo anterior, deberá determinarse si Vodafone ha empleado la diligencia que le era exigible para garantizar la licitud del tratamiento de los datos personales de su cliente y evitar el duplicado de tarjetas SIM por parte de terceros distintos al titular. Esto es precisamente lo que ocurre en el presente supuesto, y es que en ningún caso el duplicado de la tarjeta SIM del cliente de Vodafone puede suponer la consideración de que esta entidad haya obrado culposamente. En efecto, todas las actuaciones por parte de Vodafone han ido siempre dirigidas al establecimiento y supervisión de medidas técnicas y organizativas tendentes a garantizar la seguridad de los datos personales de sus clientes. En consecuencia, Vodafone ha actuado en todo momento cumpliendo con la diligencia debida que le es exigible, no pudiendo imputársele culpabilidad alguna. Por ello, teniendo en cuenta la especial naturaleza del Derecho administrativo sancionador que determina la imposibilidad de imponer sanciones sin tener en cuenta la culpabilidad y la diligencia, o los errores que hayan podido determinar el incumplimiento de una obligación legal, esta parte mantiene la improcedencia de la imposición de sanción alguna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/42 TERCERA.- Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes Más subsidiariamente, para el supuesto de que la Agencia entendiera que sí que ha existido infracción y que asimismo procede la imposición de una sanción a Vodafone, mi mandante considera que la misma deberá modularse a la baja atendiendo a las circunstancias que se expondrán en esta Alegación Tercera. En su Acuerdo de Inicio, la Agencia entiende que, en relación con la supuesta infracción del artículo 6.1 del RGPD, concurrirían los siguientes agravantes, sin haber tenido en consideración ninguna circunstancia atenuante. • Toda infracción anterior cometida por el responsable o el encargado del tratamiento. • La vinculación de la actividad de Vodafone con la realización de tratamientos de datos de carácter personal. Mi mandante discrepa respetuosamente de los agravantes indicados en el Acuerdo de Inicio por los motivos que se expondrán a continuación y por los cuales entiende que la sanción – de ser impuesta – debe modularse a la baja. I. La existencia de casos anteriores ya sancionados por la Autoridad. La Agencia indica en el Acuerdo de Inicio de Procedimiento Sancionador, lo siguiente: “Así pues, conforme al apartado
- e)del artículo 83.2. RGPD, en la determinación del importe de la sanción de multa administrativa no podrán dejar de valorarse todas aquellas infracciones anteriores del responsable o del encargado de tratamiento en aras a calibrar la antijuricidad de la conducta analizada o la culpabilidad del sujeto infractor”. (…) “Son numerosos los procedimientos sancionadores tramitados por la AEPD en los que la reclamada ha sido sancionada por la infracción del artículo 6.1 del RGPD: i. EXP 202204287 Resolución dictada el 24 de octubre de 2022 en la que se impuso una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM fraudulento sin legitimación. Vodafone se acogió uno de una de las dos reducciones previstas. ii. EXP202203914 Resolución dictada el 24 de octubre de 2022 en la que se impuso una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM fraudulento sin legitimación. Vodafone se acogió a una de las dos reducciones previstas”. iii. EXP202203916. Resolución dictada el 24 de octubre de 2022 en la que se impuso una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM fraudulento sin legitimación. Vodafone se acogió de una de las dos reducciones previstas”. En los tres expedientes mencionados por la Agencia efectivamente Vodafone se acogió a una reducción de la sanción, sin asunción de culpa y, en todo caso, es necesario aclarar que la mera alusión del incumplimiento del artículo 6.1 del RGPD puede abarcar multitud de supuestos de tratamientos de datos que nada tengan que ver con los hechos acaecidos y sancionados en el presente Acuerdo. Así las cosas, esta parte considera que la aplicación de esta agravante no ha sido lo suficientemente motivada por parte de la Agencia, suponiendo su aplicación un perjuicio grave para la defensa de mi mandante y la seguridad jurídica dado que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/42 cualquier incumplimiento del artículo 6.1 del RGPD en general, sin atender a los hechos probados de cada caso, valdría como mera prueba de la aplicación de esta agravante con la inherente consecuencia de graduar el importe de la sanción al alza. II. La vinculación de la actividad de Vodafone con la realización de tratamientos de datos de carácter personal. Efectivamente, existe una vinculación entre la actividad de Vodafone y el tratamiento de datos personales de sus clientes que realiza para llevar a cabo la correcta prestación de los servicios contratados y atender las solicitudes y peticiones que éstos realicen. La Agencia hace referencia a la existencia de imprudencia cuando un responsable del tratamiento no se comporta con la diligencia exigible debiendo insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto. Prueba del especial cuidado y cautela aplicada en el tratamiento de datos personales que lleva a cabo mi representada, son todas las medidas de seguridad implementadas y que se detallan en la Alegación primera, además de la continua revisión de sus políticas y cumplimiento de las mismas. Por lo que este factor, no debe ser tenido en cuenta como agravante a la hora de graduar la sanción. Sin embargo, entendemos que también deberían tomarse en consideración las siguientes atenuantes: I. Procedió la parte reclamada a solventar la incidencia objeto de la reclamación de forma efectiva. Tal y como se ha indicado en la alegación primera, mi representada procedió a solventar la incidencia de manera rápida y efectiva, tomando todas las medidas necesarias para solventarla. A este respecto, se procedió al bloqueo de la tarjeta SIM fraudulenta, así como a la identificación de la reclamante como víctima de fraude. II. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD Tal y como se ha expuesto en la Alegación Primera de este escrito, Vodafone ha implementado medidas técnicas y organizativas adecuadas para el riesgo generado por mi mandante, esto es, tendentes a asegurar que quien solicita el duplicado o cambio de una tarjeta SIM es el titular de la línea. Nos remitimos a dicha Alegación para evitar reiteraciones innecesarias. III. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción Mi mandante también entiende que su grado de cooperación con la Agencia durante las actuaciones previas de inspección ha sido alto. IV. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción Vodafone no ha obtenido ningún tipo de beneficio o evitado pérdidas a raíz de la duplicación fraudulenta de la tarjeta SIM, sino todo lo contrario. En este sentido, la actividad criminal llevada a cabo por los estafadores y ciberdelincuentes también ha supuesto un perjuicio reputacional para mi mandante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/42 CUARTA. - Prueba que esta parte estima conveniente proponer Que, a efectos de demostrar la ausencia de la infracción, así como la falta de culpabilidad de mi representada en el presente expediente, o, en su caso, modular a la baja la sanción propuesta por la Agencia, esta parte estima necesario que se admita la práctica de las siguientes pruebas: 1) Como Documento 1, política de seguridad para contratación de particulares Vodafone vigente en enero de 2023. 2) Como Documento 2, política de seguridad para contratación de particulares Vodafone en su versión actualizada de enero de 2024. En virtud de todo lo anterior, SOLICITO A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS que tenga por presentado este escrito y todos los documentos que lo acompañan y, en su virtud, tenga por efectuadas las manifestaciones en él contenidas y, tras los trámites oportunos, acuerde: 1) El sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas. 2) Subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima, a la luz de las circunstancias atenuantes indicadas en el presente escrito>>. OCTAVO: Con fecha 21 de mayo de 2024, el instructor del procedimiento acordó practicar las siguientes pruebas: <<1.Se dan por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento AI/00224/2023. 2.Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por VODAFONE ESPAÑA, S.A.U., y la documentación que a ellas acompaña. El resultado de estas pruebas podrá dar lugar a la realización de otras.>> NOVENO: Con fecha 10 de octubre de 2024, se emitió por el instructor del expediente la propuesta de resolución y fue notificada electrónicamente el día 15 del mismo mes y año y en la misma se proponía: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD, con una multa de 200.000 € (doscientos mil euros)”. DÉCIMO: Con fecha 18 de octubre de 2024, solicitó Vodafone ampliación de plazo para formular alegaciones a la propuesta de resolución y el día 21del mismo mes y año le fue concedido y el día 6 de noviembre de 2024 presentó las siguientes alegaciones: La primera alegación se centra en señalar que Vodafone ha actuado de forma diligente en la medida en la que tiene implementados los procesos necesarios para identificar correctamente a sus clientes, siendo la adopción de medidas técnicas y organizativas una obligación que no es absoluta. La parte reclamada sostiene que ha implementado medidas técnicas y organizativas adecuadas para identificar a sus clientes y evitar fraudes en la gestión de duplicados de tarjetas SIM. A pesar de estas medidas, la parte reclamada indica que los defraudadores pueden superar la seguridad mediante técnicas ilícitas para obtener datos confidenciales, lo que no significa que la política sea insuficiente, sino que se han obtenido los datos necesarios, por medios ajenos, para superar las medidas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/42 Asimismo, señala que tanto la Audiencia Nacional como la Agencia reconocen que la obligación de adoptar medidas de seguridad no es absoluta, sino que es una obligación de medios. En consecuencia, siempre existirá un riesgo residual en el tratamiento de datos personales, incluso con medidas robustas. De igual forma, afirma que las medidas implementadas por Vodafone cumplen con la diligencia media exigible dentro del sector de telecomunicaciones, ejecutando el duplicado de la tarjeta SIM sólo en el caso de que el solicitante acredite su identidad mediante la aportación correcta de los datos exigidos por la Política de Seguridad. Vodafone no pudo comprobar que la solicitud se estaba realizando por un tercero en la medida en la que la identidad del estafador estaba oculta y se hacía pasar por el cliente de Vodafone, superando mediante técnicas ilícitas las políticas de seguridad establecidas por Vodafone. Por tanto, la parte reclamada manifiesta que la tramitación de un duplicado SIM de forma presencial, tal y como recoge la Política de Seguridad establecida para los puntos de venta de Vodafone, prevé que, para la realización de un duplicado SIM en tienda, debe acudir el titular de la línea con su documento de identidad original para realizar el cambio de SIM. Vodafone ha establecido como medida de seguridad adicional la obligatoriedad de realizar y guardar una fotocopia del documento de identidad presentado por el cliente, como prueba del duplicado SIM solicitado. De todo este proceso se informa al personal autorizado de los puntos de venta de Vodafone en la Web “Comunicación Comercial de Particulares”, a la cual pueden acceder en todo momento, y donde se especifica la información que deben requerir para la correcta identificación de la identidad del solicitante. En este caso, el duplicado SIM fue adquirido a través de un punto de venta de Vodafone, que no se encontraba autorizado para realizar dicho trámite, el cual fue realizado el 25 de enero de 2023. Asegura que ese mismo día el duplicado fue analizado y calificado como fraudulento por la parte reclamada. Insiste en que, paralelamente el Departamento de Fraude procedió, el 26 de enero de 2023, a bloquear la adquisición de tarjetas SIM por parte del punto de venta. El duplicado SIM fue activado a través del Servicio de Atención al Cliente de Vodafone. Vodafone señala que, en el presente caso debido a un error humano y puntual por parte del Agente, quien no verificó de manera adecuada el número llamante, tramitó un duplicado SIM sobre la línea del reclamante sin confirmar previamente llamando a una de las líneas contratadas por el reclamante, tal y como indica la Política de Seguridad de Vodafone que debe llevarse a cabo cuando el número llamante es una numeración internacional. Señala, asimismo, que Vodafone procedió al abono de los gastos generados como consecuencia de la tramitación del duplicado SIM, a raíz de la reclamación presentada ante esta Agencia. Insiste en que ha actuado y actúa con la debida diligencia y prueba de ello es que “el conjunto de requisitos que la política de seguridad establece para la verificación de la identidad de los clientes, y sólo cuando defraudadores, a través de medios ilícitos, obtienen los datos de estos, este proceso se corrompe, lo que no implica una falta de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/42 diligencia, sino un resultado de una actividad realizada por un tercero del que Vodafone es parte afectada”. Además, señala diferentes medidas técnicas y organizativas que ha implementado e indica las acciones que lleva a cabo una vez que ha detectado un cambio de SIM fraudulento. En la segunda de sus alegaciones, Vodafone sostiene que “la realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes de la parte reclamada, sino a los servicios de móvil e internet que pudieran tener contratados”. En este sentido, afirma que la emisión de duplicados de la tarjeta SIM no es suficiente para realizar operaciones bancarias, ya que el estafador debe suplantar la identidad del titular ante la entidad financiera. En consecuencia, la tarjeta SIM solo permite acceder al servicio móvil, sin implicar acceso a información bancaria o contraseñas. En este sentido, explica que el proceso fraudulento se divide en dos fases: - Previa al duplicado: El defraudador debe obtener información del cliente de fuentes ajenas a la reclamada para superar las políticas de seguridad mediante la suplantación de identidad. - Posterior al duplicado: El defraudador tiene acceso únicamente al servicio contratado por el cliente, sin obtener información bancaria o contraseñas como consecuencia directa del duplicado. Para ello, se basa en la respuesta de la entidad bancaria, según la cual, además de la clave única enviada por SMS, se requiere el acceso a la aplicación del banco mediante usuario y contraseña. Según su postura, ello demuestra que el duplicado SIM no es suficiente para acceder a cuentas bancarias sin la obtención de credenciales adicionales. Por tanto, afirma que la parte reclamada puede ser responsable solo de las medidas de seguridad relacionadas con la verificación de la identidad del solicitante del duplicado SIM, no de la suplantación de identidad ni del acceso a cuentas bancarias a través de aplicaciones de entidades de crédito. En la tercera alegación, Vodafone asegura que “no puede apreciarse la existencia de culpabilidad en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna”. A este respecto, reitera las alegaciones efectuadas al acuerdo de inicio. Afirma que la AEPD no considera todas las medidas que existían en el momento de los hechos objeto de sanción ni las mejoras que la parte reclamada ha implementado, obrando con la máxima diligencia exigible. En este sentido, la parte reclamada se remite a las medidas técnicas y organizativas indicadas en la primera alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/42 El fallo o error puntual del agente de la empresa colaboradora de Vodafone en la verificación de la llamada entrante, al no verificar que se trata de una llamada internacional, no puede dar lugar a concluir que Vodafone ha actuado de forma dolosa o culposa. Por otro lado, la AEPD sostiene que el principio de proactividad transfiere a la parte reclamada la obligación de cumplir con la normativa y demostrar dicho cumplimiento. Indica que ha cubierto ampliamente este aspecto, aportando los procesos implementados y las interacciones en sus sistemas que evidencian el seguimiento de los procedimientos pertinentes. Por lo tanto, manifiesta que actuó con la diligencia debida, implementando las medidas técnicas y organizativas necesarias a pesar de que la Agencia defiende que existe dolo o culpa únicamente observando el resultado de los hechos, sin considerar todas las medidas de seguridad implementadas para evitar el fraude. Señala que esta lógica impone a la parte reclamada la obligación de evitar todos los fraudes, convirtiéndose en una obligación absoluta, no de medios, lo que contradice lo dispuesto por la Audiencia Nacional. En su cuarta alegación señala que, “subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes”. En este sentido, la parte reclamada discrepa de los motivos expuestos por la Agencia para desestimar la reducción de la sanción por los motivos que se incluyen a continuación. Sobre los agravantes aplicados por la Agencia a la hora de evaluar la sanción, la parte reclamada se reitera en lo dispuesto en las Alegaciones al Acuerdo de Inicio señala que: - Toda infracción anterior cometida por el responsable o el encargado del tratamiento. Vodafone manifiesta que en los tres expedientes mencionados por la Agencia se acogió a una reducción de la sanción, sin asunción de culpa y, en todo caso, es necesario aclarar que la mera alusión del incumplimiento del artículo 6.1 del RGPD puede abarcar multitud de supuestos de tratamientos de datos que nada tengan que ver con los hechos acaecidos y sancionados en el presente Acuerdo. - La vinculación entre su actividad y el tratamiento de datos personales para prestar servicios y atender solicitudes de sus clientes. Sin embargo, destaca que todas las medidas de seguridad implementadas y detalladas en la alegación Primera demuestran el especial cuidado en el tratamiento de datos, por lo que este factor no debe considerarse como agravante. Sobre los atenuantes no aplicados por la Agencia a la hora de evaluar la sanción, la parte reclamada entiende que deberían tomarse en consideración las siguientes: - Que procedió a solventar la incidencia objeto de reclamación de forma efectiva en cuanto tuvo conocimiento de los hechos. La parte reclamada manifiesta que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/42 procedió a solventar la incidencia de manera rápida y efectiva, tomando todas las medidas necesarias para solventarla. A este respecto se procedió al bloqueo de la Tarjeta SIM fraudulenta, así como a la identificación de la reclamante como víctima de fraude. - El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas aplicadas. La parte reclamada manifiesta que la falta de identificación del estafador no es reprochable, ya que esta tarea corresponde a las Fuerzas y Cuerpos de Seguridad del Estado, con los que colabora. - El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. La parte reclamada señala que ha puesto medios para remediar y mitigar efectos adversos de la práctica fraudulenta de los duplicados SIM, y ha reaccionado ante fraudes dirigidos hacia cuatro frentes: clientes afectados, agentes y empleados, colaboración con autoridades, y terceros como entidades de crédito. - Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso. La parte reclamada manifiesta que no ha obtenido ningún beneficio financiero ni evitado pérdidas a raíz de la duplicación fraudulenta de tarjetas SIM, sino que ha sufrido perjuicios reputacionales y defraudación de sus políticas de seguridad.” Por todo lo anterior, la parte reclamada solicita que se considere lo expuesto en estas y anteriores alegaciones para demostrar la ausencia de infracción y la falta de culpabilidad, o para modular a la baja la sanción propuesta por la Agencia, a la luz de las circunstancias atenuantes indicadas. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. – Queda acreditado que el día 25 de enero de 2023 a las 12:35 horas, se tramitó por parte de Vodafone un duplicado de la tarjeta SIM vinculado a la línea telefónica del reclamante, mediante servicio gestionado por los servicios de Atención al Cliente a través de un proveedor colaborador de Vodafone. SEGUNDO. – Vodafone acredita en su respuesta de fecha 18 de agosto de 2023, lo siguiente: 1.- Reconoce que un Agente se saltó la Política de seguridad de Vodafone, y tramitó el duplicado SIM “al no comprobar que el duplicado había sido solicitado desde una numeración internacional” 2.- Con respecto a la aportación de la grabación de dicho trámite, no han podido localizar grabación alguna en el sistema. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/42 TERCERO. – Vodafone acredita en su respuesta de fecha 14 de febrero de 2024, que: “los Agentes cuentan con una plataforma interna llamada “(...)” donde, entre otras cosas, consta la Política de Seguridad de Vodafone, la cual es de obligado cumplimiento para todos los Agentes que trabajan en nombre de Vodafone. En dicha Política se establece que: “No realizar cambio de SIM si el cliente llama desde nº internacional (en este último caso validar llamando al tlf. Vodafone para confirmar) * *Si no se cumplen estas condiciones el cliente tiene que ir a tienda a realizar el cambio”. Por lo tanto, los Agentes son conocedores de la obligación de verificación del número entrante, debiendo comprobar si se trata de un número internacional o no, y en caso de que así sea, tomar las medidas adicionales establecidas, debiendo comprobar la autenticidad del trámite llamando a la línea sobre la cual se quiere solicitar el duplicado SIM.” CUARTO. – Consta acreditado en su escrito de alegaciones de fecha 20 de mayo de 2024 que el duplicado SIM fue activado a través del Servicio de Atención al Cliente de Vodafone y fue adquirido a través de su punto de venta, el cual no se encontraba autorizado para la realización de dicho trámite, y con fecha 25 de enero de 2023, fue analizado y calificado como fraudulento durante ese mismo día por el Departamento de Fraude de Vodafone. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/42 física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; Además, el artículo 4.7 del RGPD establece que el «responsable del tratamiento» o «responsable» es: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. Una tarjeta SIM es una tarjeta inteligente que contiene un chip en el que se almacena el número de línea telefónica móvil del cliente, así como el número de identificación personal, pero que también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por tanto, a los efectos de los artículos 4.1 y 4.2 del RGPD la emisión de duplicados de tarjetas SIM supone un tratamiento de datos personales. Vodafone realiza esta actividad en su condición de responsable del tratamiento dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones al acuerdo de inicio Se procede a dar respuesta a las mismas según el orden expuesto por Vodafone. PRIMERA. - La parte reclamada manifiesta que actuó de forma diligente en la medida en la que tiene implementados los procesos necesarios para identificar correctamente a sus clientes, siendo la adopción de medidas técnicas y organizativas una obligación que no es absoluta. Añade que la adopción de medidas técnicas y organizativas no es una obligación absoluta, e indica que no se exige una obligación de resultado, sino de actividad. A tal respecto, conviene señalar que en el presente caso la infracción no se fundamenta en la insuficiencia o adecuación de medidas de seguridad, sino en una falta de licitud en el tratamiento de los datos personales derivado de un incumplimiento de los protocolos internos de la propia parte reclamada. Así, tal y como consta en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/42 hecho probado segundo de esta propuesta, la parte reclamada ha admitido que un agente se saltó la política de seguridad al tramitar el duplicado de la SIM sin la verificación adecuada, lo que revela un incumplimiento de sus propias medidas. El artículo 6.1 establece que el tratamiento de datos personales solo es lícito si se cumple al menos una de las condiciones previstas en el mencionado artículo. En este caso, la vulneración del principio de licitud se manifiesta en el tratamiento indebido de los datos personales de la parte reclamada por un incumplimiento de su propio protocolo pues, al no verificarse adecuadamente la identidad del solicitante, la parte reclamada permitió el acceso y tratamiento de datos personales sin una base jurídica válida. Dicho hecho se traduce en un tratamiento ilícito de datos, ya que no se cumplieron las condiciones necesarias para garantizar que el acceso se realizara de forma lícita y de acuerdo con la propia política de seguridad de la parte reclamada. En síntesis, en el presente caso no se está sancionado la existencia o ausencia de medidas técnicas y organizativas, sino el hecho de que, en este caso específico, el tratamiento de los datos personales del reclamante fue llevado a cabo sin cumplir con los requisitos de licitud establecidos en el artículo 6.1 del RGPD. La infracción de este artículo confirma que la parte reclamada permitió un tratamiento no autorizado de los datos, vulnerando de esta forma los derechos de la parte reclamante. Asimismo, Vodafone señala que estamos ante un tercero cuyo propósito es, mediante una actividad delictiva, superar dichas medidas de seguridad. Hace referencia Vodafone, para su descargo, al conjunto de medidas de seguridad que ha adoptado, que, las medidas implantadas son las mínimas exigibles a cualquier organización con las características y en el contexto en el que actúa una operadora de telecomunicaciones. Respecto a dicha cuestión, conviene indicar que el hecho consiste en el tratamiento ilícito no se debió a que un tercero superase las medidas de seguridad, sino al incumplimiento de los protocolos de seguridad internos por parte de uno de sus agentes, tal y como la propia parte reclamada ha reconocido. Como se indica en el hecho probado segundo, el agente no verificó adecuadamente la solicitud del duplicado de la SIM, lo cual facilitó el acceso fraudulento y el tratamiento ilícito de los datos del reclamante. En este sentido, la mera existencia de una política de seguridad no puede justificar una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y el responsable del tratamiento debe de garantizar que se cumplan estrictamente en todo momento. En caso contrario, las medidas adoptadas carecen de virtualidad y pueden conllevar tratamientos ilícitos como ocurrente en el presente caso. Por lo tanto, la cuestión aquí no radica en el nivel de sofisticación del ataque delictivo del tercero, sino en el incumplimiento de las propias medidas de seguridad que permitieron el tratamiento ilícito de datos personales. La parte reclamada no puede exonerar su responsabilidad apelando a la existencia de medidas mínimas cuando el fallo estuvo en la aplicación de esas medidas, permitiendo una infracción de la licitud del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/42 Vodafone señala que la realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes de la parte reclamada, sino a los servicios de móvil e internet que pudieran tener contratados. En este sentido, la parte reclamada manifiesta que la emisión de los duplicados de la tarjeta SIM no es suficiente para realizar operaciones bancarias en nombre de los titulares, puesto que, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad financiera. Sin embargo, dicha afirmación no exime de responsabilidad a la parte reclamada, puesto que, si bien la obtención de duplicación de una tarjeta SIM no implica directamente la posibilidad de acceder a dichos datos ni la de realizar operaciones bancarias en nombre de los mismos, lo cierto es que la simple utilización de una tarjeta SIM por un tercero no autorizado implica ya de por si una vulneración del principio de confidencialidad, en cuanto tiene la consideración de datos personales. Debe de tenerse en cuenta, además, que la posesión de un duplicado de tarjeta cuando el suplantador posee datos adicionales puede producir efectos más gravosos, como la realización de operaciones financieras no deseadas, como acaeció el caso de la parte reclamante. Por dicha razón, facilitar un duplicado de tarjeta es un proceso en donde la diligencia prestada por los operadores es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el cumplimiento de su propia Política de seguridad para garantizar que el tratamiento de datos sea conforme al RGPD, lo cual, en el caso que nos ocupa y tal como ha reconocido la parte reclamada, no ha tenido lugar. Vodafone insiste respecto del grado de responsabilidad que, en su caso, pueda achacárseles, no puede hacerse depender de una actuación de un tercero que escapa su control, esto es: las medidas de seguridad implementadas por una u otra entidad bancaria o incluso el hecho de que el afectado disponga o no de banca electrónica. En relación con esta alegación, amén de lo ya indicado anteriormente, el grado de responsabilidad cae dentro de su ámbito y no de terceros, debiendo señalar que la SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento”. En este sentido, conviene señalar que en el presente caso no se trata de valorar la actuación del banco o cualquier otra entidad externa, sino de examinar cómo la parte reclamada permitió un tratamiento de datos personales sin seguir los procedimientos establecidos. La actuación de sus agentes no escapa a su control, ya que estos actúan en nombre de la parte reclamada y, por tanto, son responsables de cumplir con las políticas de seguridad. La propia parte reclamada ha reconocido que su agente no verificó adecuadamente la solicitud, lo que facilitó el acceso no autorizado a los datos personales del reclamante, lo cual demuestra que la infracción no depende de un tercero, sino de una falta de cumplimiento dentro de la organización. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/42 Por tanto, la responsabilidad no puede ser desplazada hacia elementos externos. La parte reclamada es directamente responsable del comportamiento de su personal y de asegurar que los protocolos de seguridad se apliquen correctamente en cada caso, sin excepción. SEGUNDA. – Vodafone manifiesta, que no puede apreciarse la existencia de culpabilidad en las infracciones imputadas a la parte reclamada y, en consecuencia, no puede imponerse a la misma sanción alguna. Por otro lado, y estrictamente en cuanto a la negligencia en la actuación de Vodafone, cabe señalar que la SAN -Sala Contencioso-Administrativo- 392/2015, de 17 de noviembre que en su Fundamento Jurídico Tercero recoge la doctrina del Tribunal Constitucional sobre la aplicación al derecho administrativo sancionador de los principios del orden penal, en los siguientes términos: El Tribunal Constitucional ha declarado reiteradamente que los principios del orden penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos matices, al derecho administrativo sancionador, al ser ambos manifestaciones del ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y 164/2005). El principio de culpabilidad, garantizado por el artículo 25 de la Constitución, limita el ejercicio del "ius puniendi" del Estado y exige, según refiere el Tribunal Constitucional en la sentencia 129/2003, de 20 de junio, que la imposición de la sanción se sustente en la exigencia del elemento subjetivo de culpa, para garantizar el principio de responsabilidad y el derecho a un procedimiento sancionador con todas las garantías (STS de 1 de marzo de 2012, Rec 1298/2009). Ciertamente, el principio de culpabilidad, previsto en el artículo 130.1 de la Ley 30/1992, de 26 noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone que solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Obviamente, ello supone que dicha responsabilidad sólo puede ser exigida a título de dolo o culpa, quedando desterrada del ámbito del derecho administrativo sancionador la llamada "responsabilidad objetiva", y comprendiendo el titulo culposo la imprudencia, negligencia o ignorancia inexcusable. Esta "simple inobservancia" no puede ser entendida, por tanto, como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, pues la jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990 ), destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y prohibición de exceso ( artículo 25.1 CE ), o de las propias exigencias inherentes a un Estado de Derecho, por lo que se requiere la existencia de dolo o culpa (en este sentido STS de 21 de enero de 2011, Rec 598/2008). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/42 No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma " (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998 , parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005 , y de 23 de octubre de 2010, Rec 1067/2006 , que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". En el supuesto que nos atañe resulta notoria la existencia de antijuridicidad y culpabilidad en la conducta infractora de la entidad responsable del tratamiento de los datos personales, Vodafone, quien como responsable del tratamiento de datos de emisión de duplicados de tarjetas SIM, que decide sobre la finalidad, contenido y uso de los datos personales incluidos en el tratamiento, tiene la obligación de obrar con mayor diligencia a la hora de tramitar la emisión de duplicados, asegurándose de contar con el consentimiento de su titular, a fin de no incurrir en el tratamiento no consentido de sus datos personales. Dicha condición impone un deber especial de diligencia a la hora de llevar a cabo el uso o tratamiento de los datos personales, en lo que atañe al cumplimiento de los deberes que la legislación sobre protección de datos establece para garantizar los derechos fundamentales y las libertades públicas de las personas físicas, y especialmente su honor e intimidad personal y familiar, cuya intensidad se encuentra potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro en el mercado de datos; en este sentido se ha pronunciado también la SAN 392/2015, de 17 de noviembre (Ver su Fundamento de Derecho Tercero). Al respecto, resulta significativo que la operadora responsable del tratamiento no justifique debidamente la concurrencia en su conducta de la diligencia que le era exigible ni acredite la adopción de las cautelas exigibles para evitar el tratamiento no consentido del dato de carácter personal que nos ocupa (la emisión de duplicado de tarjeta SIM de forma fraudulenta), que debe atribuirse a la conducta negligente de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/42 parte reclamada, utilizándose por un tercero los datos personales del reclamante debido al incumplimiento de su propia política de seguridad. En cuanto a la responsabilidad de Vodafone, debe indicarse que, con carácter general Vodafone trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
- b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
- e)y
- f)del RGPD. Por dicha razón, este es un proceso en donde la diligencia prestada por la operadora es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Esta diligencia se manifiesta, en primer lugar, por el cumplimiento de su propia política de seguridad, lo cual no acaecido en el caso que nos ocupa. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de Vodafone se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/42 medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. Por lo tanto, la parte reclamada no puede eludir su responsabilidad, ya que el RGPD exige que el responsable garantice no solo la existencia de medidas de seguridad, sino también su efectiva aplicación y supervisión. El incumplimiento de su propia política de seguridad especialmente cuando se trata de un procedimiento tan delicado como el duplicado de una tarjeta SIM, demuestra una falta de diligencia en su responsabilidad que justifica la imputación de la infracción. TERCERA. - Vodafone solicita que subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a la parte reclamada, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes. Vodafone solicita que se aprecien las siguientes circunstancias atenuantes: 1. Que procedió a solventar la incidencia objeto de la reclamación de forma efectiva en cuanto tuvo conocimiento de los hechos. 2. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD. 3. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. 4. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. Estas alegaciones se contestan en el apartado V (Sanción de multa: Determinación del importe). CUARTA. – Vodafone, también señala que, a efectos de demostrar la ausencia de la infracción, así como la falta de culpabilidad en el presente expediente, o, en su caso, modular a la baja la sanción propuesta por la Agencia, esta parte estima necesario que se admita la práctica de las siguientes pruebas: En apoyo a su pretensión Vodafone aporta documentación -prueba documental- en concreto: 1) Como Documento 1, política de seguridad para contratación de particulares Vodafone vigente en enero de 2023. 2) Como Documento 2, política de seguridad para contratación de particulares Vodafone en su versión actualizada de enero de 2024. Sin embargo, las pruebas aportadas una vez examinadas no quiebran la responsabilidad y culpabilidad de Vodafone como se ha visto en la respuesta dada a sus alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/42 Como Vodafone ha reconocido en sus alegaciones, un Agente se saltó la Política de Seguridad de Vodafone y tramitó el duplicado SIM, al no comprobar que el duplicado se había solicitado desde una numeración internacional. Pues bien, la plataforma interna utilizada por los Agentes “(...)” les advierte que, si el cliente llama desde número internacional, debe validar llamando al teléfono Vodafone para confirmar, pero no impide realizar dicho paso, sólo advierte. Ello permite que un agente pueda saltarse la política de seguridad sin mucha dificultad, lo que puede tener ciertas consecuencias en materia de protección de los datos personales de los usuarios. IV Contestación a las alegaciones presentadas a la Propuesta de Resolución A continuación, se procede a dar respuesta a las alegaciones presentadas por Vodafone, que son, en líneas generales, una reiteración de las presentadas al acuerdo de inicio y contestadas en la propuesta de resolución. Respecto a la primera alegación por la que se indica que Vodafone ha actuado de forma diligente en la medida en la que tiene implementados los procesos necesarios para identificar correctamente a sus clientes, siendo la adopción de medidas técnicas y organizativas una obligación que no es absoluta. En primer lugar, y sobre que la adopción de medidas técnicas y organizativas no es una obligación absoluta, debe indicarse que en el caso que nos ocupa ha sido la propia parte reclamada la que ha admitido que no se han seguido los propios procedimientos y políticas de seguridad. En este sentido, valorar si las medidas previamente adaptadas fueron o no adecuadas resulta irrelevante, puesto que dichas medidas no han sido seguidas por la propia parte reclamada. La adopción de las medidas técnicas y organizativas presupone un cumplimiento de las mismas, en caso contrario, no queda garantizado el derecho a la protección de datos. A este respecto, además, conviene señalar que la SAN de 29 de octubre de 2024, rec. 1824/2021, dispone que: “…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no estamos ante un requisito meramente formal, sino material. En este sentido, y en línea con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso", lo que no implica que se exija una obligación de resultado”. Asimismo, cabe citar la sentencia del Tribunal Constitucional 94/1998, de 4 de mayo, en la que el Tribunal Constitucional señalaba que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/42 sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. En el presente caso no se está sancionando la existencia o ausencia de medidas técnicas y organizativas, sino el hecho de que, en este caso específico, el tratamiento de los datos personales del reclamante fue llevado a cabo sin cumplir con los requisitos de licitud establecidos en el artículo 6.1 del RGPD. La infracción de este artículo confirma que la parte reclamada realizó un tratamiento no autorizado de los datos, vulnerando de esta forma los derechos de la parte reclamante. En segundo lugar, Vodafone señala que estamos ante un tercero cuyo propósito es, mediante una actividad delictiva, superar dichas medidas de seguridad. Para ello, hace referencia Vodafone, para su descargo, al conjunto de medidas de seguridad que ha adoptado, las cuales son las mínimas exigibles a cualquier organización con las características y en el contexto en el que actúa una operadora de telecomunicaciones. Respecto a dicha cuestión, conviene indicar que el hecho consistente en el tratamiento ilícito de los datos del reclamante por parte de Vodafone no se debió a que un tercero superase las medidas de seguridad, sino al incumplimiento de los protocolos de seguridad internos por parte de unos de sus agentes, tal y como la propia parte reclamada ha reconocido. Como se indica en el hecho probado segundo, la parte reclamada ha admitido que un agente se saltó la política de seguridad al tramitar el duplicado de la SIM sin la verificación adecuada, lo que revela un incumplimiento de sus propias medidas. En este sentido, la mera existencia de una política de seguridad no puede justificar el cumplimiento del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y el responsable del tratamiento debe de garantizar que se cumplan estrictamente en todo momento. En caso contrario, las medidas adoptadas carecen de virtualidad y puede conllevar tratamientos ilícitos como ocurre en el presente caso. Pues bien, en este caso, con fecha 25 de enero de 2023, se tramitó un cambio de SIM sobre la línea perteneciente a la parte reclamante y dicho cambio de SIM fue solicitado de forma telefónica desde una numeración internacional. Además, el duplicado SIM fue adquirido a través de un punto de venta de Vodafone que no se encontraba autorizado para la realización de dicho trámite, lo que evidencia una clara deficiencia en las medidas implantadas para cumplir con el principio de licitud, pues no se entiende como pudo expedir un duplicado de tarjeta SIM un punto de venta no autorizado para la realización de dicho trámite. Por lo tanto, la cuestión aquí no radica en el nivel de sofisticación del ataque delictivo del tercero, sino en el incumplimiento de las propias medidas que permitieron el tratamiento ilícito de datos personales. La parte reclamada no puede exonerar su responsabilidad apelando a la existencia de medidas mínimas cuando el fallo estuvo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/42 en la aplicación de esas medidas, permitiendo una infracción de la licitud del tratamiento. – Respecto a la segunda alegación sobre que la realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes de la parte reclamada, sino a los servicios de móvil e internet que pudieran tener contratados. Vodafone señala que la realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes de la parte reclamada, sino a los servicios de móvil e internet que pudieran tener contratados. La parte reclamada manifiesta que la emisión de los duplicados de la tarjeta SIM no es suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad financiera. Al respecto se señala que la propia emisión de un duplicado de la tarjeta SIM supone un tratamiento de datos personales en sí mismo, que es objeto del presente procedimiento sancionador. Sin perjuicio de lo anterior, los efectos que dicho tratamiento puede tener en los afectados pueden ser de grandes dimensiones puesto que la obtención de un duplicado de una tarjeta SIM es un elemento necesario para acceder a datos realizar operaciones bancarias en nombre de los titulares, como recoge la sentencia de 13/05/2024, Rec. 0002336/2021, de la Audiencia Nacional al declarar que “(…) en la primera fase de este tipo de estafas el suplantador consigue, de manera fraudulenta, los datos de acceso o las credenciales de la banca online del cliente, pero le falta por conocer el código de verificación, segundo factor de autentificación, para poder ejecutar cualquier operación. En el momento en el que logra la tarjeta SIM duplicada ya tiene también acceso a este segundo factor de autentificación y, por tanto, desde ese momento puede realizar los actos de disposición patrimonial que desee”. Por tanto, la simple utilización de una tarjeta SIM por un tercero no autorizado implica ya de por sí un tratamiento ilícito. Debe de tenerse en cuenta que la posesión de un duplicado de tarjeta aumenta el riesgo para su titular, pues el suplantador puede poseer datos adicionales que pueden producir efectos más gravosos, como la realización de operaciones financieras no deseadas, como acaeció en el caso de la parte reclamante. Por dicha razón, facilitar un duplicado de tarjeta es un proceso donde la diligencia prestada por los operadores es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Dicha diligencia que se traduce en el cumplimiento de su propia política de seguridad para garantizar que el tratamiento de datos sea conforme al RGPD, lo cual en el caso que nos ocupa y como ha reconocido la parte reclamada, no ha tenido lugar. Vodafone insiste respecto del grado de responsabilidad que, en su caso, pueda achacárseles, no puede hacerse depender de una actuación de un tercero que escapa su control, esto es: las medidas de seguridad implementadas por una u otra entidad bancaria o incluso el hecho de que el afectado disponga o no de banca electrónica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/42 En relación con esta alegación, amén de lo ya indicado anteriormente, el grado de responsabilidad cae dentro de su ámbito y no de terceros, debiendo señalar que la SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento”. En este sentido, conviene señalar que en el presente caso no se trata de valorar la actuación del banco o cualquier otra entidad externa, sino de examinar cómo la parte reclamada llevó a cabo un tratamiento de datos personales sin seguir los procedimientos establecidos. La actuación de sus agentes no escapa a su control, ya que estos actúan en nombre de la parte reclamada y, por tanto, son responsables de cumplir con las políticas de seguridad. La propia parte reclamada ha reconocido que un agente se saltó la política de seguridad al tramitar el duplicado de la SIM sin la verificación adecuada, lo que revela un incumplimiento de sus propias medidas. Por tanto, la responsabilidad no puede ser desplazada hacia elementos externos. La parte reclamada es directamente responsable del comportamiento de su personal y de asegurar que los protocolos de seguridad se apliquen correctamente en cada caso, sin excepción. En cuanto a la tercera alegación relativa a que no puede apreciarse la existencia de culpabilidad en las infracciones imputadas a la parte reclamada y, en consecuencia, no puede imponerse a la misma sanción alguna. En cuanto a la negligencia en la actuación de Vodafone, cabe señalar que la SAN -Sala Contencioso-Administrativo- 392/2015, de 17 de noviembre que en su Fundamento Jurídico Tercero recoge la doctrina del Tribunal Constitucional sobre la aplicación al derecho administrativo sancionador de los principios del orden penal, en los siguientes términos: El Tribunal Constitucional ha declarado reiteradamente que los principios del orden penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos matices, al derecho administrativo sancionador, al ser ambos manifestaciones del ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y 164/2005). El principio de culpabilidad, garantizado por el artículo 25 de la Constitución, limita el ejercicio del "ius puniendi" del Estado y exige, según refiere el Tribunal Constitucional en la sentencia 129/2003, de 20 de junio, que la imposición de la sanción se sustente en la exigencia del elemento subjetivo de culpa, para garantizar el principio de responsabilidad y el derecho a un procedimiento sancionador con todas las garantías (STS de 1 de marzo de 2012, Rec 1298/2009). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/42 Ciertamente, el principio de culpabilidad, previsto en el artículo 130.1 de la Ley 30/1992, de 26 noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone que solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Obviamente, ello supone que dicha responsabilidad sólo puede ser exigida a título de dolo o culpa, quedando desterrada del ámbito del derecho administrativo sancionador la llamada "responsabilidad objetiva", y comprendiendo el titulo culposo la imprudencia, negligencia o ignorancia inexcusable. Esta "simple inobservancia" no puede ser entendida, por tanto, como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, pues la jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990 ), destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y prohibición de exceso ( artículo 25.1 CE ), o de las propias exigencias inherentes a un Estado de Derecho, por lo que se requiere la existencia de dolo o culpa (en este sentido STS de 21 de enero de 2011, Rec 598/2008 ). No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma " (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998 , parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005 , y de 23 de octubre de 2010, Rec 1067/2006 , que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". En el supuesto que nos atañe Vodafone no ha cumplido con sus propias medidas, dado que un agente se saltó la política de seguridad al tramitar el duplicado de la SIM sin la verificación adecuada, y por lo tanto resulta notoria la existencia de antijuridicidad y culpabilidad en la conducta infractora de la entidad responsable del tratamiento de los datos personales, Vodafone, quien como responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/42 tratamiento de datos de emisión de duplicados de tarjetas SIM, que decide sobre la finalidad, contenido y uso de los datos personales incluidos en el tratamiento, tiene la obligación de obrar con mayor diligencia a la hora de tramitar la emisión de duplicados, asegurándose de contar con el consentimiento de su titular, a fin de no incurrir en el tratamiento no consentido de sus datos personales. Dicha condición impone un deber especial de diligencia a la hora de llevar a cabo el uso o tratamiento de los datos personales, en lo que atañe al cumplimiento de los deberes que la legislación sobre protección de datos establece para garantizar los derechos fundamentales y las libertades públicas de las personas físicas, y especialmente su honor e intimidad personal y familiar, cuya intensidad se encuentra potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro en el mercado de datos; en este sentido se ha pronunciado también la SAN 392/2015, de 17 de noviembre (Ver su Fundamento de Derecho Tercero). Al respecto, resulta significativo que la operadora responsable del tratamiento no justifique debidamente la concurrencia en su conducta de la diligencia que le era exigible ni acredite la adopción de las cautelas exigibles para evitar el tratamiento no consentido del dato de carácter personal que nos ocupa (la emisión de duplicado de tarjeta SIM de forma fraudulenta), que debe atribuirse a la conducta negligente de la parte reclamada, que trató los datos personales del reclamante sin base de legitimación, debido al incumplimiento de su propia política de seguridad. En cuanto a la responsabilidad de Vodafone, debe indicarse que, con carácter general Vodafone trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
- b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
- e)y
- f)del RGPD. Por dicha razón, este es un proceso en donde la diligencia prestada por la operadora es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Esta diligencia se manifiesta en primer lugar, por el cumplimiento de su propia política de seguridad, lo cual ha acaecido en el caso que nos ocupa. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/42 En cuanto a la conducta de Vodafone se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. Por lo tanto, la parte reclamada no puede eludir su responsabilidad, ya que el RGPD exige que el tratamiento de los datos se realice de modo lícito y el tratamiento solo será lícito si se cumple al menos una de las condiciones previstas en el art. 6 del RGPD. El incumplimiento de su propia política de seguridad especialmente cuando se trata de un procedimiento tan delicado como el duplicado de una tarjeta SIM, demuestra una falta de diligencia en su responsabilidad que justifica la imputación de la infracción. En cuanto a la cuarta alegación por la que subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes. Vodafone solicita que se aprecien las siguientes circunstancias atenuantes: - Que procedió a solventar la incidencia objeto de la reclamación de forma efectiva en cuanto tuvo conocimiento de los hechos. - El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD. - El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. - Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/42 Además, señala reitera no estar conforme con las circunstancias valoradas a la hora de imponer la sanción por parte de la AEPD. Sin perjuicio de que se reitere la contestación que fue efectuada a estas alegaciones en el acuerdo de inicio en el fundamento de derecho VII, se señala que, corresponde a la AEPD en el marco de sus competencias la determinación de la sanción, así como la fijación de multas, así como la valoración de los atenuantes y agravantes establecidos por la normativa vigente. V Obligación incumplida Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. En ese sentido el Considerando 40 del RGPD señala: “
(40)Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/42 Como se ha señalado previamente conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C -101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. En el presente caso, resulta acreditado que con fecha 25 de enero de 2023, se tramitó un cambio de SIM sobre la línea perteneciente a la parte reclamante, y que dicho cambio de SIM fue solicitado de forma telefónica desde una numeración internacional. Vodafone no verificó la identidad del que solicitó el duplicado de la tarjeta SIM y, por lo tanto, no tomó las cautelas necesarias para que estos hechos no se produjeran. En definitiva, Vodafone facilitó un duplicado de la tarjeta SIM de la parte reclamante a un tercero, sin base de licitud alguna y sin verificar la identidad de dicho tercero. En su escrito de respuesta de Vodafone de fecha 18 de agosto de 2023, la parte reclamada reconoce que un Agente de la parte reclamada se saltó la Política de Seguridad de VODAFONE, y tramitó el duplicado SIM, debido a un error humano y puntual en su forma de proceder “al no comprobar que el duplicado había sido solicitado desde una numeración internacional”. “Dicho duplicado fue solicitado desde una numeración internacional, por lo que el Agente, debido a un error humano y puntual en su forma de proceder al no comprobar el origen de la numeración entrante, se saltó la Política de Seguridad de Vodafone y procedió a la tramitación del duplicado SIM en cuestión”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/42 La parte reclamada en su escrito de respuesta de requerimiento de información de fecha 14 de febrero de 2024 señala: “los Agentes cuentan con una plataforma interna llamada “(...)” donde, entre otras cosas, consta la Política de Seguridad de Vodafone, la cual es de obligado cumplimiento para todos los Agentes que trabajan en nombre de Vodafone. En dicha Política se establece que: “No realizar cambio de SIM si el cliente llama desde nº internacional (en este último caso validar llamando al tlf. Vodafone para confirmar) * *Si no se cumplen estas condiciones el cliente tiene que ir a tienda a realizar el cambio”. Por lo tanto, los Agentes son conocedores de la obligación de verificación del número entrante, debiendo comprobar si se trata de un número internacional o no, y en caso de que así sea, tomar las medidas adicionales establecidas, debiendo comprobar la autenticidad del trámite llamando a la línea sobre la cual se quiere solicitar el duplicado SIM.” En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. Por otro lado, manifiesta que no dispone de la grabación telefónica, y que el Departamento de Fraude de Vodafone procedió a analizar los hechos controvertidos y calificar la operación realizada como fraudulenta, y por lo tanto Vodafone procedió a la activación sobre la cuenta de la parte reclamante medidas de seguridad adicionales para evitar cualquier otro perjuicio a la misma. Asimismo, respecto a la entrega de la tarjeta SIM duplicada, Vodafone en su escrito de respuesta de fecha 14 de febrero de 2024, informa que se trata de una tarjeta SIM física y no de una e-SIM. Respecto el envío de la tarjeta SIM física, la parte reclamada indica que: “Tras una exhaustiva investigación en los sistemas internos de Vodafone, se ha comprobado que no consta la realización del envío de ninguna tarjeta SIM a nombre del reclamante. Por lo que, cabe concluir que el defraudador obtuvo por medios ajenos y desconocidos por mi representada la tarjeta SIM con la que posteriormente realizó un duplicado SIM o fue facilitada por un punto de venta que no siguió las directrices y políticas marcadas por mi representada. A efectos preventivos, se deshabilitó al punto de venta al que se le remitió dicha tarjeta la posibilidad de adquirir tarjetas de portabilidad desde enero de 2023.” Ahora bien, debe señalarse que el Sim Swapping es un fraude que permite suplantar la identidad mediante el secuestro del número de teléfono al obtener un duplicado de la tarjeta SIM. Por lo tanto, no cabe duda, que el resultado fue que la reclamada expidió la tarjeta SIM a un tercero que no era el titular de la línea, y que dicho cambio fue solicitado de forma telefónica desde una numeración internacional. Pues bien, el agente de Vodafone no siguió la política de seguridad establecida por la parte reclamada para estos casos en que se solicita el duplicado de la tarjeta SIM con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/42 numeración internacional, es decir para realizar el cambio el solicitante tienen que llamar desde un teléfono a su nombre y no llamar desde un número internacional, y en el caso que lo hiciera desde un número internacional, tiene que llevar a cabo la validación de la llamada, acción que no llevo a cabo. Asimismo, Vodafone no dispone tampoco de la grabación telefónica. De conformidad con las evidencias de las que se dispone, se estima que la conducta de la parte reclamada vulnera el artículo 6.1 del RGPD siendo constitutiva de la infracción tipificada en el artículo 83.5.
- a)del RGPD. VI Tipificación de la infracción y calificación a efectos de prescripción La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”. VII Sanción de multa. Determinación del importe La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y 2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/42 “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/42
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” Vodafone reitera en las alegaciones a la propuesta de resolución que se aprecien las siguientes circunstancias atenuantes, manifestadas también en sus alegaciones al acuerdo de inicio del presente procedimiento sancionador: 1. Que procedió a solventar la incidencia objeto de la reclamación de forma efectiva en cuanto tuvo conocimiento de los hechos. 2. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD. 3. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. 4. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. No se admite ninguna de las circunstancias invocadas y se reitera la argumentación facilitada en la propuesta de resolución: La parte reclamada manifiesta que procedió a solventar la incidencia objeto de la reclamación de forma efectiva, pero hay que señalar que entra en el cumplimiento de sus obligaciones legales -por lo que aquí interesa del principio de licitud- la reclamada debe de actuar con la diligencia que las circunstancias del caso exigen y está obligada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/42 a cumplir su propia política de seguridad para de esta forma poder acreditar el cumplimiento de los principios de protección de datos. A propósito del grado de diligencia que el responsable del tratamiento está obligado a desplegar cabe citar la sentencia de la Audiencia Nacional, Sala de lo Contencioso Administrativo, de 17 de octubre de 2007 (Rec. 63/2006) en la que recoge que “...el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. El Artículo 83.2.
- d)RGPD: “El grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;”. La reclamada se ha limitado a declarar que el tercero que contrató con ella superó la política de seguridad de la compañía sin aportar ninguna prueba que demuestre que recabó de la persona que intervino en la contratación algún documento que acreditara que era efectivamente el titular de los datos que había facilitado como propios o que articuló algún mecanismo que permitiera contrastar la veracidad de los datos de identidad proporcionados. Asimismo, ha reconocido que ello se debió al incumplimiento de su propia política de seguridad por parte de un agente. Por otra parte, el principio de proactividad supone transferir al responsable del tratamiento la obligación no solo de cumplir con la normativa, también la de poder demostrar su cumplimiento. Entre los mecanismos que el RGPD contempla para lograrlo se encuentran los previstos en el artículo 25, “protección de datos desde el diseño”, a tenor del cual el responsable debe aplicar “tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento” medidas técnicas y organizativas que garanticen que hace una efectiva aplicación de los principios del RGPD con ocasión de los tratamientos que realiza. El artículo 83.2.
- f)del RGPD se refiere al “grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;”. La parte reclamada se basa en la contestación a los requerimientos de la Subdirección de Inspección de la presente autoridad para considerar que concurre la mencionada circunstancia. Sin embargo, ello no puede considerarse como cooperación voluntaria que busque activamente mitigar el impacto de la infracción, sino que se enmarca dentro de su obligación legal de responder a los requerimientos de la autoridad de control. Según el RGPD, los responsables del tratamiento están obligados a cumplir con las solicitudes de información y a proporcionar la documentación requerida por las autoridades de control. Esta obligación es parte inherente de su responsabilidad y no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/42 constituye, en sí misma, una colaboración para remediar o mitigar los efectos de una infracción. Sobre la aplicación del artículo 76.2.
- c)de la LOPDGDD, en conexión con el artículo 83.2.k), inexistencia de beneficios obtenidos, cabe señalar que tal circunstancia solo puede operar como agravante y en ningún caso como circunstan