PS-00153-2023

1/13  Expediente N.º: EXP202204189 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 21 de abril de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202204189 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: HECHOS PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 16 de marzo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada o Vodafone). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, usuaria de una línea de telefonía móvil contratada con Vodafone, ha sido víctima de acciones maliciosas por parte de terceros desconocidos, consistentes en solicitar sin su consentimiento un duplicado de su tarjeta SIM, y, tras serle concedido el mismo, acceder a su información bancaria y realizar una transferencia bancaria fraudulenta. En concreto, la parte reclamante manifiesta que, en fecha 25 de febrero de 2022, comenzó a recibir llamadas desde el extranjero en su terminal móvil, a las que no contestó y seguidamente, recibió varios SMS de su banco informando de movimientos en su cuenta bancaria y en la aplicación de su banca online, pudiendo comprobar que se había bloqueado tanto su cuenta como la citada aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 Así las cosas, tras efectuar gestiones con Vodafone evidenció que <<le habían facilitado a un desconocido varón, los datos de mi tarjeta SIM, así como la desviación de dichos servicios al teléfono ***TELÉFONO.1>>. Al parecer, dicho tercero tan solo se identificó con su nombre de pila, a continuación, dio los datos de la reclamante indicando que a esta se le había dañado la tarjeta SIM y solicitó el desvío a otro terminal, sin que la entidad reclamada realizase ningún tipo de comprobación adicional. Y, aporta la siguiente documentación relevante: Copia de la denuncia interpuesta ante la Policía, en fecha 26 de febrero de 2022, así como ampliación de la misma. Extracto de los movimientos bancarios. Escrito de queja dirigido a su entidad financiera. Pantallazos impresos facilitados por el operador de telefonía, relativos a los detalles de la interacción controvertida y lo indicado posteriormente por la reclamante. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 4 de mayo de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 9 de junio de 2022 se recibe en esta Agencia escrito de respuesta indicando: <<Que tras analizar la reclamación e investigar lo sucedido, Vodafone ha podido comprobar que, con fecha 25 de febrero de 2022, se solicitó el desvío de llamadas de la línea ***TELÉFONO.2, titularidad de la reclamante, al número de teléfono de un tercero. Para solicitar dicho desvío de llamadas dicho tercero facilitó todos los datos de la reclamante, superando así la Política de Seguridad de Vodafone. Una vez que la reclamante se percató del funcionamiento anómalo de su línea móvil, se puso en contacto con Vodafone, que remitió la incidencia al Departamento de Fraude. Investigado lo sucedido, el Departamento de Fraude de Vodafone devolvió el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 control de la línea ***TELÉFONO.2 a la reclamante y declaró la incidencia como fraudulenta, implementando en la cuenta de cliente de la reclamante medidas de seguridad adicionales necesarias en aras de evitar incidencias similares. Quiere esta parte señalar que la efectiva gestión de un desvío de llamadas conlleva la superación de las políticas de seguridad que Vodafone tiene implementadas a fin de prevenir que se realicen prácticas fraudulentas sobre los datos personales de sus clientes. En este sentido, y al haberse tramitado dicha gestión sujeta a dicha política de seguridad, mi representada entendió en todo momento que se trataban de gestiones lícitas, reales y veraces. Sin perjuicio de lo anterior, en fecha 26 de febrero de 2022, tan solo un día después de sufrir el desvío de llamadas, el Departamento de Fraude de Vodafone revertió el desvío de llamadas devolviendo a la reclamante el control sobre su línea móvil. Asimismo, se activó el check de víctima de fraude en el ID de cliente de la reclamante. En este sentido, como consecuencia de la aplicación del check de víctima de fraude, se insertó un aviso de seguridad en la cuenta de cliente de la reclamante con la leyenda: “No facilitar información, realizar modificaciones, activación de productos, pedidos etc., si el cliente llama desde líneas distintas a las que tiene contratadas en Vodafone, ocultación de llamada y origen internacional. Se debe consultar y seguir siempre la política de seguridad”. En lo que se refiere a la realización de transacciones bancarias de carácter fraudulento que pone de manifiesto la reclamante en su reclamación, resulta oportuno expresar que la realización de un desvío de llamadas implica únicamente la recepción de las llamadas entrantes en un tercer terminal y no un acceso a las cuentas bancarias de la titular. Por tanto, no parece posible que exista una correlación entre los hechos ocurridos en relación con mi representada y lo ocurrido con la entidad bancaria de la que es cliente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 la reclamante. En este sentido, los movimientos bancarios que alega en su reclamación no tienen su origen, ni han sido ocasionados en concepto de facturas por servicios de Vodafone que tuviese contratados, sino que se deben a accesos efectuados a través de la cuenta de su entidad bancaria. Por ello, Vodafone no puede ser responsable de los accesos y movimientos bancarios que pudiesen haberse realizado de forma fraudulenta. Con todo ello, podemos confirmar que actualmente mi representada ha realizado todas las actuaciones pertinentes para dar solución a la reclamación, estimando que ha quedado correctamente solventada con anterioridad a la recepción del presente escrito.>> TERCERO: Con fecha 13 de junio de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Consta que sobre la línea de la reclamante se ha efectuado un desvío de llamadas en fecha 25 de febrero de 2022 que fue revertido al día siguiente, habiendo sido calificado de fraudulento por el departamento de fraude de la parte reclamada. Consta un contacto en fecha 25 de febrero de 2022 en el cual el agente de atención telefónica plasmó la siguiente anotación: “motivo: cliente que quiere realizar desvío porque se le ha roto la SIM. gestión: le informo que tiene que ser con el código pero él dice que se lo han hecho otras veces antes consulto pero no se puede hacer mientras gestiono se corta vuelvo a llamar pero no contestan”. Consta otro contacto minutos después en el cual el agente de atención telefónica plasmó la siguiente anotación: “B.B.B.[…] cliente facilita todos los datos de política y solicita un desvío”. Los representantes de la parte reclamada han manifestado que no disponen de la evidencia que permita confirmar los datos personales que se solicitaron al solicitante del desvío de llamadas en fecha 25 de febrero del 2022, en tanto que dichas llamadas no fueron grabadas. Los representantes de la parte reclamada sí han confirmado que la reclamante no tenía clave de acceso de atención al cliente en la fecha de hechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 Los representantes de la parte reclamada indican que, de las investigaciones practicadas, han podido comprobar que la incidencia referida tuvo lugar porque el agente que llevó a cabo la contratación descrita no siguió el procedimiento previsto en la política de seguridad para identificar debidamente al solicitante del trámite y asegurarse de que se trataba de la titular de la línea telefónica. Manifiestan que el agente, en contra del procedimiento previsto, no comprobó adecuadamente que el teléfono llamante no se correspondía con una línea telefónica a nombre de la reclamante ni verificó posteriormente la adecuación del trámite contactando a la numeración de la reclamante. Indican que, en consecuencia, se incumplió la Política de Seguridad implementada por Vodafone y se actuó en contra de las directrices facilitadas por la entidad a sus agentes para la contratación de servicios mediante llamada telefónica. No mencionan, por tanto, que según la política de seguridad que aportan, si llama una persona distinta del titular (y en este caso es claro al constar que llamó Juan José), el solicitante debe facilitar la clave de atención telefónica, que no estaba activada, siendo imposible por tanto que la facilitara y no pudiéndose realizar el trámite. La actuación correcta según la política aportada (la segunda política aportada) sería la seguida por el agente que contestó la primera llamada del día de los hechos, que según se ha comentado, denegó la solicitud sin tener la clave activa o sin facilitar la clave. Consta que el reclamante ha sido marcado en el sistema de información de la entidad, a raíz de los hechos y para evitar que se vuelvan a producir, con el siguiente aviso emergente en su ficha de cliente que se muestra al gestor de atención telefónica “No facilitar información, realizar modificaciones, activación de productos, pedidos etc., si el cliente llama desde líneas distintas a las que tiene contratadas en Vodafone, ocultación de llamada y origen internacional. Se debe consultar y seguir siempre la política de seguridad”. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad VODAFONE ESPAÑA, S.A.U. es una gran empresa constituida en el año 1994, y con un volumen de negocios de 2.028.817.000 euros en el año 2022. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Obligación Incumplida Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. III Tipificación y calificación de la infracción La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”. En el presente caso, resulta acreditado que un tercero solicitó un cambio de servicios a la parte reclamada, es decir, la activación del desvío de llamadas por fractura, supuestamente, de la tarjeta SIM. Pues bien, en sus respuestas de fechas 9 de junio y 28 de octubre de 2022, la parte reclamada reconoce que existió una suplantación de identidad en la activación del desvío de llamada de la línea de titularidad de la parte reclamante. Está claro, que sobre la línea de la reclamante se efectuó un desvío de llamadas el día 25 de septiembre de 2021, que fue solicitado por una tercera persona. Vodafone, reconoce que no puede acreditar los datos que el agente de atención telefónica pidió al solicitante cuando activó el desvío y también que el gestor no siguió el procedimiento previsto en la política de seguridad para identificar debidamente al solicitante, y manifiesta en su contestación al requerimiento de esta Agencia de fecha 28 de octubre de 2022, lo siguiente: <<Vodafone ha podido comprobar que la incidencia referida tuvo lugar porque el agente que llevó a cabo la contratación descrita no siguió el procedimiento previsto en la Política de Seguridad para identificar debidamente al solicitante del trámite y asegurarse de que se trataba de la titular de la línea telefónica. El agente, en contra del procedimiento previsto, no comprobó adecuadamente que el teléfono llamante no se correspondía con una línea telefónica a nombre de la reclamante ni verificó posteriormente la adecuación del trámite contactando a la numeración de la reclamante>>. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó el desvío de las llamadas. En todo caso, no se siguió el procedimiento implantado por la parte reclamada, ya que, de haberlo hecho, se debió haber producido la denegación de la activación del desvío de llamadas. A la vista de lo anterior, la parte reclamada no logra acreditar que se haya seguido ese procedimiento y por consiguiente hubo un tratamiento ilícito de los datos personales de la parte reclamante, contraviniendo con ello el artículo 6 del RGPD. En ese sentido el Considerando 40 del RGPD señala: “