PS-00167-2023

1/14  Expediente N.º: EXP202207074 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 31 de mayo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202207074 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 14 de junio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada o Vodafone). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que un tercero, haciéndose pasar por él, realiza una llamada a Vodafone para solicitar un cambio en el número de teléfono de contacto con la operadora, y así llevar a cabo la compra de un terminal móvil desde el nuevo número, quebrantando la parte reclamada las medidas de seguridad al enviar el nuevo contrato, que contenía todos sus datos personales, incluidos los bancarios, al nuevo número de teléfono de contacto. Y, aporta la siguiente documentación relevante: - Denuncia ante la Policía Nacional. - SMS y correo electrónico de Vodafone. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 6 de julio de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 4 de agosto de 2022 se recibe en esta Agencia escrito de respuesta indicando: <<Se ha verificado que el terminal comprado a plazos y no reconocido por el reclamante se declaró como fraudulento el 13 de junio de 2022 por el Departamento de Fraude de Vodafone. Como consecuencia de lo anterior, se canceló el pedido del terminal y se activó el check de víctima de fraude implantando medidas de seguridad adicionales sobre el ID de cliente del reclamante para evitar que se produjeran incidencias similares en el futuro. En cualquier caso, se ha procedido a enviar una carta al reclamante para informarle de las actuaciones realizadas por mi mandante. La incidencia se originó porque el reclamante refiere haber tenido conocimiento, a través de un SMS de Vodafone y del envío de un correo electrónico, de la modificación de su teléfono de contacto en su ID de cliente de Vodafone y de la compra de un terminal adquirido a plazos, no reconociendo el reclamante haber realizado ninguno de los dos trámites. Una vez trasladada la reclamación interpuesta ante esta Agencia por el reclamante, Vodafone ha procedido a realizar todas las investigaciones pertinentes a fin de esclarecer la incidencia y ha podido confirmar que la misma se encontraba correctamente resuelta con anterioridad a la recepción del presente requerimiento de información. En este sentido, tras tener conocimiento de esta incidencia a través de las comunicaciones remitidas por el reclamante, en fecha 13 de junio de 2022, el Departamento de Fraude de Vodafone analizó la incidencia y consideró que la contratación no reconocida por el reclamante había sido realizada de forma fraudulenta. En consecuencia, una vez declarado el fraude, Vodafone procedió a cancelar el pedido y a activar el check de víctima de fraude, implantando medidas adicionales de seguridad de manera que no puedan suceder incidencias similares en el futuro. En este sentido, se ha incluido un aviso en el ID de cliente del reclamante indicando que no puede realizarse ninguna gestión sobre su ID de cliente si el reclamante no llama desde una de sus líneas. Cabe destacar que mi representada de ninguna manera podía conocer en el momento de la contratación que se estuviera realizando una contratación de servicios suplantando la identidad del reclamante. Puesto que este tipo de gestiones se encuentran supeditadas a la superación de la Política de Seguridad para la Contratación de Particulares implantada por Vodafone, entendiéndose por tanto que, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 al superar dicha Política de Seguridad y llegarse a realizar la contratación, dicha contratación era legal, consentida, y con apariencia de veracidad. Siendo esta incidencia síntoma de que un tercero sustrajo los datos personales del reclamante sin su consentimiento, hecho este que mi representada no puede conocer>>. TERCERO: Con fecha 1 de septiembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1.- Se requirió a Vodafone documentación acreditativa de haber efectuado la verificación de identidad del solicitante del terminal móvil contratado el 13 de junio de

1. Vodafone contestó que no pueden aportar la grabación de la llamada en la que se efectuó la renovación del terminal móvil, el 13 de junio de 2022, ya que las llamadas telefónicas recibidas por los servicios de atención al cliente de la entidad solo son grabadas de forma aleatoria y con fines de calidad de la atención dispensada al cliente. No aportan documentación acreditativa de dicho contacto telefónico y del paso de la Política de Seguridad para la Contratación de Particulares (en adelante, “la Política de Seguridad”). Indican que la Política de Seguridad seguida por todos los empleados de la parte reclamada, incluidos los agentes telefónicos, prevé los pasos necesarios para que, en atención al trámite efectuado, se compruebe la identidad del contratante, y que en su procedimiento se fija la necesidad de verificar la identidad del llamante, siendo este proceso de obligado cumplimiento. Por lo tanto, la parte reclamada entendió en ese momento que dicha contratación era legal y con apariencia de veracidad. 2.- Se solicitó la relación y el detalle de todos los contactos mantenidos con el reclamante entre los días 11/06/2022 y 14/06/2022 incluyendo las anotaciones realizadas por los gestores de atención telefónica/chat/email/etc. así como el reflejo de las acciones emprendidas en cada contacto. Aportan 40 impresiones de pantalla de contactos mantenidos, la mayoría sin anotaciones. En uno de los contactos, una llamada entrante de fecha 13/06/2022 a las 16:55, consta la anotación “compra confirmada proceso finalizado, puede cerrar esta ventana Línea XXXXXXXX Móvil ilimitada (P) FIDELIZACIÓN INFORMACION TERMINAL PRECIO PERMANENCIA Samsung Galaxy Fold 3 5G black SAP:314235 canon 1.1 ?” . (Se sustituye el número de línea por XXXXXXXX). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 En otro contacto de la misma fecha unos minutos posterior consta “Acción: Firma Certificada / Cliente: Firma Enviada / Nif: ***NIF.1”. Se comprueba que este número no se corresponde con el NIF del reclamante por lo que se ha solicitado información a la parte reclamada, en un segundo requerimiento sobre el origen o significado de este número, contestando que se trata del número de la orden de trabajo. Constan dos contactos un minuto posteriores con los literales “Acción: Firma Certificada / Cliente: Realizado – Aceptado / Nif: ***NIF.1” y “Acción: Firma Certificada / Cliente: Contrato Enviado / Nif: ***NIF.1”. (Como se ha indicado, no se trata de un NIF, sino del número de la orden de trabajo). Constan tres contactos de fecha 13/06/2022 a las17:23h, 17:32h y 1:23h en los que el reclamante comenta que no ha pedido ningún móvil y que está siendo víctima de un fraude. Consta otro contacto el 14/06/2022 en el mismo sentido, con la anotación “…se verifica petición abierta ***NÚMERO.1 a fraude se envía followup“. No aportan más información sobre las acciones emprendidas por la entidad. 3.- Se requirió la documentación acreditativa de haber efectuado la verificación de identidad del solicitante del cambio de datos (número de línea de comunicaciones) asociados al reclamante el día 13/06/
2. Se solicita aportar documentación acreditativa de dicho contacto, del paso de la política de seguridad y en qué consistió dicha política. Información sobre si se grabó la llamada de solicitud de cambio de datos. Anotaciones del gestor de atención telefónica. La parte reclamada contesta similarmente a la contratación del terminal, no pudiendo aportar la grabación de la llamada en la que se cambió el cambio de datos. No aportan documentación acreditativa de dicho contacto telefónico ni del paso de la Política de Seguridad. Sí indican que la entidad tiene implementada una Política de Seguridad que es de obligado cumplimiento y en la que se establece un proceso para la verificación de la identidad de la persona llamante y que esta política evidencia los procesos implementados que sirven para acreditar el proceso de verificación de la identidad. 4.- Se ha requerido aportar información sobre los datos del titular de la línea que fueron comunicados al contratante del terminal móvil. Información sobre si le fue remitida copia del contrato por alguna vía. Manifiestan que tras haber efectuado las investigaciones oportunas, han podido comprobar que no remitieron evidencia de la contratación al solicitante del trámite, ni por mail ni por ningún otro medio; debido a que, previamente a completar los trámites para confirmar la contratación, el pedido fue cancelado una vez que el reclamante informó a Vodafone de la posible contratación fraudulenta el propio 13 de junio de
3. Indican que el proceso de contratación que se llevó a cabo en este caso sigue los pasos establecidos para la Firma Certificada Digital, siendo un método por el cual el cliente acepta y firma de forma digital un contrato previamente acordado. El cliente recibe su documentación contractual por medio de un SMS/email y puede aceptarlo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 usando un código OTP (código de un solo uso). Tras esto, recibe el contrato firmado y certificado por un tercero vía email y lo tendrá disponible en Mi Vodafone (a las 24 horas). Aportan copia del contrato firmado por el supuesto defraudador a través del número de teléfono móvil ***TELÉFONO.1 y correo electrónico ***EMAIL.1 en fecha 13/06/2022 a las 17:06, que contiene todas las comunicaciones que recibió del tercero DIGITEL ON TRUSTED SERVICES SLU. Se comprueba que en este contrato constan datos del reclamante como nombre y apellidos, NIF, dirección postal, dirección de correo electrónico y número IBAN de la cuenta bancaria. Confirmación de que el cliente no tenía en fecha 12/06/2022 y 13/06/2022 clave de acceso de atención al cliente (política de seguridad estricta). La parte reclamada ha confirmado que el reclamante en fecha de hechos no tenía activada la clave de acceso de atención al cliente, que hubiera implicado la solicitud de dicha clave para la realización de gestiones por Atención al Cliente con relación al reclamante. En la actualidad la tiene activada. 5.- Se ha requerido el motivo por el cual no se tuvo en cuenta para tramitar la contratación de terminal móvil de alta gama solicitado el 13/06/2022, el intento de contratación del día anterior 12/06/2022 en el que un agente de atención telefónica de la parte reclamada comprueba mediante llamada telefónica al titular de la línea que la contratación de teléfono de alta gama no ha sido realizada por él. Se ha preguntado también los motivos por lo que no se tuvo en cuenta el envío del terminal a un domicilio distinto al que consta del titular. Se ha requerido aportar, en su caso, acreditación documental de las comprobaciones adicionales realizadas sobre la solicitud de contratación del 13/06/
4. Por otro lado, con relación a la política de seguridad que los representantes de la parte reclamada manifiestan que se superó para la contratación del terminal (13/06/2022) así como para el cambio de datos (13/06/2022), se ha requerido el motivo por el cual solo se pide el número de DNI al solicitante, (según la política de seguridad aportada en la contestación al traslado de esta reclamación), lo que implica que un supuesto suplantador podría conseguir el control de las contrataciones del cliente incluidos terminales móviles de alta gama solo conociendo el número de DNI del titular. También se ha requerido a la parte reclamante información sobre si se ha realizado un Análisis de los Riesgos que conllevan estos cambios de datos y contrataciones, e información sobre las medidas de seguridad resultantes que deben estar asociadas a estas solicitudes y contrataciones. Se requiere aportar acreditación documental de dicho análisis. Ante ello, los representantes de la parte reclamada han contestado lo siguiente a las anteriores preguntas planteadas: “A raíz de la presente reclamación, mi representada procedió a investigar los hechos acontecidos y ha podido comprobar que la incidencia referida tuvo lugar porque el agente que llevo a cabo la contratación descrita no siguió el procedimiento previsto en la Política de Seguridad para identificar debidamente al solicitante del trámite y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 asegurarse de que se trataba del titular de la línea telefónica. El agente, en contra del procedimiento previsto, no verificó adecuadamente que la persona que solicitaba la realización de este trámite fuera el [reclamante], en el sentido de seguir todos los pasos establecidos por la Política de Seguridad para la identificación del llamante. En consecuencia, se incumplió la Política de Seguridad implementada por Vodafone y se actuó en contra de las directrices facilitadas por Vodafone a sus agentes para la contratación de servicios mediante una llamada telefónica. Al respecto, todos los empleados y agentes que colaboran con Vodafone son expresamente informados de las posibles penalizaciones que pueden ser adoptadas por Vodafone, en caso de acreditarse que se efectúa cualquier trámite o actuación sin haberse seguido de forma completa y exhaustiva lo dispuesto en la Política de Seguridad vigente. En todo caso, si bien es cierto que para superar la Política de Seguridad es necesario aportar la clave de acceso de atención al cliente o el número de DNI del titular, más los cuatro último dígitos de la cuenta bancaria o, alternativamente, el nombre de la entidad bancaria; este protocolo es de aplicación para este trámite únicamente cuando la llamada es realizada desde la línea telefónica titularidad del cliente y el llamante se identifique como el cliente y titular de la línea telefónica, siempre y cuando el número esté activo en el identificador de cambios. Así las cosas, la aportación de dicha información tampoco sería suficiente cuando la llamada fuese efectuada desde un número diferente, en particular con un origen internacional, o desde un número oculto, a no ser que se valide dicha gestión llamando al teléfono registrado en Vodafone para confirmar la identidad del solicitante. En caso contrario, se informaría al solicitante que debe acudir a una tienda Vodafone a realizar el trámite.” Aportan captura de pantalla de las previsiones que indican están incluidas al respecto QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad VODAFONE ESPAÑA, S.A.U. es una gran empresa constituida en el año 1994, y con un volumen de negocios de 2.928.817.000 euros en el año
5. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Obligación Incumplida Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “
6. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. III Tipificación y calificación de la infracción La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “
7. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 a) Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”. En el presente caso, resulta acreditado que un tercero el día 13 de junio de 2022 solicitó a través de una llamada telefónica a Vodafone el cambio de los datos del teléfono móvil de contacto de la parte reclamante y, con ello, contrató la compra de un terminal móvil de alta gama. Pues bien, Vodafone, en su respuesta a esta Agencia de fecha 4 de agosto de 2022, manifiesta que se produjo una contratación de servicios suplantando la identidad del reclamante en fecha 13 de junio de
8. Por otro lado, reconoce también que: << el agente que llevo a cabo la contratación descrita no siguió el procedimiento previsto en la Política de Seguridad para identificar debidamente al solicitante del trámite y asegurarse de que se trataba del titular de la línea telefónica. El agente, en contra del procedimiento previsto, no verificó adecuadamente que la persona que solicitaba la realización de este trámite fuera el [reclamante], en el sentido de seguir todos los pasos establecidos por la Política de Seguridad para la identificación del llamante. En consecuencia, se incumplió la Política de Seguridad implementada por Vodafone y se actuó en contra de las directrices facilitadas por Vodafone a sus agentes para la contratación de servicios mediante una llamada telefónica>>. En definitiva, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó el el envío de un teléfono móvil, cambiando el número de teléfono de contacto del reclamante. En todo caso, no se siguió el procedimiento implantado por la parte reclamada, ya que, de haberlo hecho, se debió haber producido la denegación del mismo. A la vista de lo anterior, Vodafone no logra acreditar que se haya seguido ese procedimiento y por consiguiente hubo un tratamiento ilícito de los datos personales de la parte reclamante, contraviniendo con ello el artículo 6 del RGPD. En ese sentido el Considerando 40 del RGPD señala: “