← España

PS-00178-2016

1/14 Procedimiento Nº PS/00178/2016 RESOLUCIÓN: R/02766/2016 En el procedimiento sancionador PS/00178/2016, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA SAU, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 19/05, 31/08 y 1/09/2015 tiene entrada en esta Agencia una denuncia de A.A.A. en la que declara que en agosto de 2014 solicitó a VODAFONE que no facilitara ningún dato suyo a terceros activando una palabra clave e informando que es .............. Aclara que dicha línea con VODAFONE causó baja en diciembre de

  1. A pesar de ello, el 6/05/2015, recibió una llamada de control de calidad de VODAFONE para que valorara la gestión que se había realizado consistente en enviar por correo electrónico sus facturas. Al indicar que no había solicitado duplicado de facturas le comunican que su marido B.B.B. ha facilitado todos sus datos y ha solicitado que le remitan a su correo electrónico todas las facturas. En la llamada le informaron que se habían enviado a las 10 horas. Estos hechos los puso en conocimiento del Juzgado el 8/05/2015, que se encuentra tramitando un procedimiento de XXXXX, adjuntando escrito de 8/05/2016 en el que además indica “también en el Hospital de ### se han emitido duplicados de algunos informes médicos sin su autorización, habiéndoles manifestado en dicho servicio que si el propio esposo aporta su DNI es posible que acceda a dichos duplicados a pesar de que no conste ninguna autorización expresa” de ella. Añade en su escrito enviado por correo electrónico con sello de registro de entrada del 1/09/2015, que el 7/05/2015 recibió un SMS en su línea de teléfono de VODAFONE que le indicaba que podía consultar la factura y descargarla gratuitamente y que la llamaron al rato para evaluar la atención prestada, motivo por el que se puso en contacto con VODAFONE telefónicamente en vista de que ni era ya cliente ni había solicitado nada. En la llamada es informada de que B.B.B. habiéndose identificado como su marido, había pedido copia de sus facturas y se las habían enviado a la dirección que este les facilitó. Indica “que desde abril 2015 su domicilio está bajo secreto de sumario, no lo sabe nadie, las facturas conseguidas son de 2014, porque cambió de compañía y ya no vive en ese domicilio”. Añade que dicha persona es su ex marido y ella dispone de una orden de protección, adjuntando copia parcial del acuerdo judicial en que así se señala, sin que se visione la fecha. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 Aporta copia de correo electrónico de la denunciante a VODAFONE de 7/05/2015, 17 h 52 min. en el que indica quien es y explica que ayer su ex marido solicitó copias de sus facturas sin su autorización, junto al acuse de recibo de correo por parte de VODAFONE. Aporta copia de otro correo dirigido a VODAFONE indicando que interpone queja formal por el asunto, que reitera el día siguiente. Aporta copia parcial de un ACUERDO, una hoja de “Administración de Justicia” que no contiene fecha alguna ni órgano que lo dicta, indicando que se impone a “B.B.B. la prohibición de .........” la denunciante. En subsanación de la denuncia, el 1/09/2015 añade que el correo al que se mandaron las facturas es .........@hotmail.com. Añade que para que no se dieran los datos a terceras personas sin su autorización, lo comunicó telefónicamente a VODAFONE. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realiza visita de Inspección en la sede de la denunciada el 12 y el 24/11/
  2. 1.
  3. VODAFONE informa que cuando un cliente solicita una gestión telefónica que implica un tratamiento de sus datos personales se requiere que pase una política de seguridad, consistente en aportar el DNI, nombre, dirección y nombre de la entidad bancaria en la que tiene domiciliados los pagos. En caso de no ser titular de los datos personales no se facilita ninguna información. Si desea una mayor protección en el acceso a sus datos personales a través del sistema de atención telefónica, puede solicitar una palabra clave consistente en 4 dígitos. Esta gestión sólo puede realizarse por el titular de la línea tras pasar la política de seguridad (DNI, nombre, dirección y entidad bancaria). Esta clave se puede solicitar directamente al operador aportando el cliente un número que conoce. También puede generarse aleatoriamente por el sistema. Como medida de seguridad, en ambos casos se envía la clave al móvil del cliente en un mensaje de texto. Cuando la palabra clave está activada, en todas las gestiones telefónicas que implican el acceso a datos personales, el sistema de información solicita dicha contraseña. El operador no tiene acceso al contenido de la clave limitándose a introducir en el sistema la facilitada por el cliente. Una vez aportada la clave correcta el sistema la valida y el operador continúa con la gestión y acceso a los datos personales. 1.
  4. Si un cliente indica que ha olvidado la palabra clave, tras pasar nuevamente la política de seguridad (DNI, nombre, dirección y entidad bancaria) se envía la clave al teléfono del que es titular, en ningún caso se facilita esta palabra clave a un tercero. Una vez recibida puede ponerse en contacto con el servicio de atención al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 cliente para solicitar el cambio si desea una palabra clave elegida por el interesado. 1.
  5. Aunque esté activada la palabra clave, el operador tiene acceso a los datos y puede realizar gestiones con los datos personales del cliente. No obstante, el operador tiene instrucciones para no continuar con las gestiones hasta que se aporte correctamente la palabra clave. Estas instrucciones constan en el documento “Política de Seguridad Contrato (Particulares)” que conocen los operadores y se encuentra en la Intranet de VODAFONE. 1.
  6. Si se ha activado la palabra clave, si un no titular de la línea la conoce y se la facilita al operador, puede realizar diversas gestiones entre las que se encuentra el envío de factura a distinta dirección, fax o correo electrónico.
  7. Sobre el sistema de información de VODAFONE se han realizado las siguientes verificaciones: 2.
  8. Se consultan los datos asociados al cliente cuyo DNI de la denunciante es ***DNI.1 verificándose que los datos están bloqueados en el sistema. Los representantes de la entidad indican que con fecha 19/06/2015 se atendió el ejercicio del derecho de cancelación de datos realizado por la denunciante. Se solicita el desbloqueo de los datos y tras realizar el procedimiento correspondiente, para lo que se precisa una semana, se vuelve a la sede inspeccionada el 24/11/
  9. Se consultan nuevamente los datos asociados al cliente por DNI verificándose que el sistema de información presenta una ventana emergente que informa que se puede recibir una llamada en que intenten suplantar la identidad del afectado, y que sólo se le puede dar información si facilita correctamente la clave y DNI. “Si no llama el titular no se facilita ninguna información.” 2.
  10. Se solicita acceso a los contactos y actuaciones realizadas en el año 2014 verificándose que en fecha 27/08/2014 la cliente, denunciante contacta con la entidad y el operador genera el siguiente comentario: “política ok el cliente desea saber cuándo se le pasan las facturas por el banco se lo compruebo e informo el cliente solicita q solo se le atienda con clave de seguridad es .............”. Se realiza una consulta sobre los contactos realizados durante el año 2015 verificándose que en fecha 06-05-2015 consta un contacto en que el operador refleja el comentario “se comunica Don ***NOMBRE.1 solicitando el envío de las facturas de año pasado para que se las envíen al correo (.........@hotmail.com) tel. contacto ***TEL.1). NADA SE INDICA DE LO QUE SE LE CONTESTÓ. En fecha 07-05-2015, según impresión de contactos aportados en doc. 2, pág. 2/06 se realiza una nueva interacción en el que el operador refleja el siguiente comentario:”CLIENTE RECLAMANTE: A.A.A. ***DNI.1 MSISDN AFECTADO: ***TEL.2 CUENTA AFECTADA ***CUENTA.1 CONTACTO: ***TEL.1 DESCRIPCIÓN BREVE: solicita envío de las facturas del año pasado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 al correo: .........@hotmail.com” En el campo resolución consta: “envío facturas a correo indicado desde enero de 2014 hasta última factura generada. (Folio 55)Llamo a cliente a las 9:38 horas, contesta esposo del titular D. B.B.B. confirmo envío de sus facturas del año 2014 y 2015, también se envían facturas del caso ***CASO.
  11. Llamo a esposo del titular a las 9:47 horas, me confirma que ya está recibiendo las facturas.” A la vista de esta información los representantes de VODAFONE manifiestan que por los comentarios se deduce que en fecha 06-05-2015 el operador identificó correctamente al interlocutor de la llamada (D. B.B.B.) y no le facilitó ninguna información. Con fecha 07-05-2015 el interlocutor superó la política de seguridad y se le identificó como A.A.A. y se le remitieron las facturas a la dirección de correo que facilitó y se mandó un SMS al teléfono de la titular. 2.
  12. En el mismo registro de contactos figura una anotación, según la impresión aportada, folio 54 y 57, documento 2/06, con fecha 07-05-2015 figura una llamada de A.A.A. en la que el operador graba el siguiente comentario: ”SE COMUNICA TT DE LA LÍNEA INFORMADO QUE LE HA LLEGADO UN SMS INFORMANDOLE QUE SI TIENE ALGUNA DUDA RESPONDA EL SMS PERO ELLA DICE QUE NO HA LLAMADO, SE VALIDA Y EL ESPOSO HA PEDIDO DUPLICADO DE FACTURAS DEL ÚLTIMO AÑO. CLIENTE SE MOLESTA Y DICE QUE NO QUIERE QUE SE ENVÍE NINGÚN TIPO DE INFORMACIÓN SIN LA CLAVE PORQUE EL HOMBRE QUE HA LLAMADO YA NO ES SU ESPOSO…, SE INFORMA QUE EL CLIENTE AL DECIR QUE ERA EL ESPOSO Y CONFIRMAR TODOS LOS DATOS, NO PODÍAMOS NEGARNOS”. El operador también refleja que “OJO FAVOR NO ENVIAR DUPLICADOS NI NINGÚN TIPO DE INFORMACIÓN, UNICAMENTE AL TITULAR PASANDO PALABRA CLAVE…” También figura anotado que el 8/05/2015, la denunciante ha presentado una reclamación Como resolución en fecha 08-05-2015 se activa una ventana emergente informando que cualquier solicitud debe pasar política con palabra clave. Se avisa al cliente a la línea acabada en 34 confirmando que se activa pantallazo de aviso de clave.

(59)2.4. Se solicita acceso al sistema de información de gestión de clientes que utilizan los operadores de la entidad para atender las llamadas telefónicas y se verifica que a nombre de la afectada no consta ninguna dirección de correo electrónico ni persona de contacto. Aporta la impresión de una pantalla en la que se ven todos los datos básicos de la línea y su titular y una cruz en una casilla que indica “Hay clave”. Asimismo, se comprueba el procedimiento utilizado para introducir la clave facilitada por el cliente verificándose que los números aparecen como asteriscos y que si no se introduce el valor correcto se presenta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 una ventana que indica que la clave no es válida. No obstante en la actualidad el operador puede seguir accediendo a los datos ya que el sistema no los oculta. Según indican los representantes de la entidad, además de la palabra clave se puede hacer aparecer una ventana emergente que dé instrucciones al operador. Este sistema de ventanas emergentes no es muy común y se utiliza solo para situaciones excepcionales. En el presente caso cuando VODAFONE tuvo conocimiento del caso de XXXXXde la reclamante, habilitó una ventana emergente. Según indican los representantes de la entidad en la actualidad se está trabajando para implementar el uso de ventanas emergentes que refuercen la palabra clave cuando se requieran medidas excepcionales de seguridad como situaciones de XXXXX. 2.5. Para el caso concreto de la denunciante, viendo su problemática y que ya no era cliente de la entidad, los representantes de VODAFONE le recomendaron que solicitara la cancelación de datos. Con fecha 1/06/2015 la interesada solicitó la cancelación de sus datos y con fecha 10/06/2015 remitieron escrito comunicando que esta cancelación se realizará a la mayor brevedad. TERCERO: Con fecha 10/05/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA SAU por la comisión de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículos 91 y 93 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); tipificada como grave en el artículo 44.3.
  1. h)de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 2/06/2016 la denunciada alega: 1) Desde 4/01/2016 se encuentra en vigor un protocolo para casos donde un cliente alegue casos de XXX o XXXXX. Aporta escrito de 4/01/2016 “Política de seguridad estricta”. Entre otros destaca que ante una llamada en que por algún motivo personal, XXX, XXXXXaunque no nos indique cual es- con lo que no se precisa la constancia documental, y que una vez pedida la clave desea anularla, habrá de hacerla por escrito, y que las medidas funcionan también en tienda. 2) Precisa que “efectivamente” VODAFONE facilitó al marido de la denunciante un duplicado de las facturas de esta sin su autorización aun cuando VODAFONE había recibido indicaciones expresas de la denunciante para que solo se atendiera con su clave y en este caso, se facilitó el duplicado de facturas ya que en lugar de la clave se aportaron todos los datos personales correctos de la denunciante. Reconocen la comisión de la infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 3) Solicita la aplicación del artículo 45.5 de la LOPD al concurrir las circunstancias del: 1. 45.5.
  2. a)“Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.” En este caso señala que concurren los de las letras:
  3. a)No se trata de una infracción continuada, fue un hecho sucedido en un momento puntual en el tiempo.
  4. b)Solo se trata de datos de una persona, la denunciante y pasaron a su marido, que disponía de los mismos.
  5. d)y
  6. e)El volumen de negocio no se está incrementando año tras año.
  7. f)No existió intencionalidad en la entrega de las facturas y si un uso de datos conocidos que se emplearon de mala fe para obtener las facturas.
  8. g)Se ha creado un protocolo de actuación de cara al futuro. 4. 45.5.
  9. b)Por la diligencia llevada a cabo en la actuación de VODAFONE pues activó la clave en agosto 2014, cuando llamó la primera vez el marido el 6/05/2015 no tuvo repercusión. Fue al efectuarse la segunda llamada, 7/05/2016 cuando se facilitaron los datos correctos de la denunciante y la persona que llamaba decía era A.A.A.. Si bien la denunciante tenía activada la palabrea clave, VODAFONE no puede dejar de prestar servicio si el cliente se olvida y facilita en su lugar los datos personales correctos necesarios. Es por ello que en este caso se acabó facilitando el duplicado de las facturas. Ante la llamada de la denunciante preguntando por lo ocurrido, se efectuó la aplicación de una ventana emergente así como la recomendación que efectuara una cancelación de datos. 5. 45.5.
  10. d)por reconocimiento espontaneo de la responsabilidad. QUINTO: Con fecha 7/10/2016 se emite propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA SAU con multa de 40.000 €, por la infracción del artículo 9.1 de la LOPD, en relación con el 91 y 93 del RLOPD tipificada como grave en el artículo 44.3.
  11. h)de dicha norma, de conformidad con el artículo 45. 1), 2), 45.4.c),
  12. d)
  13. f)y
  14. h)y 45.5
  15. d)de dicha LOPD.” La denunciada presenta alegaciones con fecha 28/10/2016 en las que se muestra conforme con la sanción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 HECHOS PROBADOS 1. La denunciante tenía contratada la línea ***TEL.2 con VODAFONE ESPAÑA SAU hasta diciembre 2014. Denuncia que el 6/05/2015 su ex marido llamando a VODAFONE consiguió hacerse con copia de las facturas de 2014 de su línea móvil a través de envío a un correo electrónico o que facilitó su ex marido (1, 20, 56) 2. Manifiesta la denunciante que desde agosto 2014 había implementado con VODAFONE una palabra clave para acceder a sus datos de modo que nadie que no fuera ella misma accediera a los mismos pues relata que su ex marido tiene una orden de alejamiento en vigor por malos tratos.
(1)y aporta copia parcial de la misma en la que se decreta la prohibición de aproximarse a la denunciante a menos de 500 metros.
(5)sin que figure la fecha.
  1. Se desprende que la denunciante tuvo conocimiento el 7/05/2015 de que se había solicitado y facilitado en su nombre por su ex marido copia de sus facturas según los correos de reclamación a la denunciada (8 a 14).
  2. La denunciante indica que desde abril 2015 su domicilio está en secreto de sumario, no lo sabe nadie lo que indica que no coincide con el de las facturas
(20)
  1. La denunciante manifiesta que ante su delicada situación personal instó telefónicamente la asignación de algún mecanismo que evitara que se proporcionaran sus datos cualquier persona que se interesara por ello
  2. Manifestó la denunciante que en la petición de información de datos personales de un cliente sobre una línea contratada existe un básico de requisitos para proporcionarlos consistente en comprobar que el llamante es el titular pidiendo y dando el DNI, nombre, dirección y nombre de la entidad bancaria
(43). Si el nivel de protección deseado es superior, el cliente puede solicitarlo telefónicamente para que se acceda mediante una clave asignada por el sistema.
(43)a la dación de los datos de línea, 7. En los sistemas de la denunciada figuraba una anotación correspondiente a una llamada de 27/08/2014 en que la denunciante solicitó que solo se le atendiera con clave de seguridad (48, 53). Asimismo figura en la ficha de cliente de los sistemas de la denunciada que “hay clave”
(56). 8. En los sistemas de la denunciada figura una primera llamada anotada en sus sistemas el 6/05/2015 que reza “Se comunica D ***NOMBRE.1 solicitando el envío de las facturas del año pasado para que las envíen al correo…tel contacto.. (48,53) y otra de 7/05/2015 en que consta “Cliente reclamante A.A.A. el DNI de esta, y la línea: Solicita envió de las facturas del año pasado al ........1@hotmail.com
(48), En el campo resolución consta “envío facturas a correo indicado desde enero 2014 hasta ultima generada. Llamo a cliente a 9 38 horas contesta esposo de titular d B.B.B. confirmo envió de sus facturas del año 2014 y 2015…Llamo esposo del titular a 9:47 me confirma que ya está recibiendo las facturas”. 9. Con fecha 7/05/2015, a las 17h 02 figura anotado en los sistemas de la denunciada que se comunica titular de la línea indicando que ha recibido un SMS y se le informa que su esposo pidió copia de las facturas
(58)cliente se molesta y dice que no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 quiere que de ninguna información sin la clave” Se informa que el cliente al decir que era el esposo y confirmar todos los datos no podemos negarnos”. ”Ojo no dar información solo a cliente pasando la palabra clave” Se verifica pues que para proceder a la entrega de la copia de las facturas al ex marido de la denunciante se realizó proporcionando los datos de la titular-denunciante, puede que a través de una voz femenina que se identificara como la titular, y que conociera el DNI y la línea, pero sin exigir la clave asignada pues no consta ni se deriva de las anotaciones que se tuviera que dar dicha clave mostrando que la clave de seguridad para el caso de la denunciante fue ineficaz. 10. En una anotación de los sistemas de la denunciada figura a 8/05/2015 “Se activa ventana emergente informando que cualquier solicitud se debe pasar política con palabra clave “El cliente no se encuentra activo en VODAFONE”. (49, 58). 11. La denunciante declara en su denuncia Indica “que desde abril 2015 su domicilio está bajo secreto de sumario, no lo sabe nadie, las facturas conseguidas son de 2014, porque cambió de compañía y ya no vive en ese domicilio”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II La comisión de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12 de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que señala: ”El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garantice la seguridad de los datos de carácter personal y evite su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana del medio físico o natural”, El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, en este caso el RLOPD. En lo que respecta al concepto de fichero, el art. 3.
  2. b)de la LOPD los define como “todo conjunto organizado de datos de carácter personal, cualesquiera que fuera la forma o modalidad de su creación, almacenamiento, organización y acceso”. Por su parte, la letra
  3. c)del mismo artículo define tratamiento de datos como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 El artículo 3 de la LOPD define: “Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” El artículo 9.1 de la LOPD , según reiterada jurisprudencia de la Audiencia Nacional, impone una obligación de resultado, así se determina en múltiples sentencias, entre otras la de 28/06/2006 en que se indica: “la obligación que dimana del artículo 9 de la LOPD no se cumple con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto, en concreto recoge "Se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva y como manifiesta el Abogado del Estado en la contestación, la recurrente es, por disposición legal, una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de como los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues también es responsable de que las mismas se cumplan y se ejecuten con rigor. En definitiva toda responsable de un fichero (o encargada del tratamiento) debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica sin que, bajo ningún concepto, datos bancarios o cualquier otro datos de carácter personal pueda llegar a manos de terceras personas." Cabe reseñar que la implantación del sistema generando clave para proporcionar información exclusivamente a su titular, es algo que la denunciada tenía implantado, del que es responsable, y era un meramente formal pues se acredita en este caso que dicha clave fue obviada y se dieron los datos a una persona que podía conocer el nombre, la línea y el DNI, de la denunciante, obviándose todo lo referente a la clave que no fue solicitada, ignorándose si saltó el aviso de la misma y se obvio. III Los aspectos de seguridad vulnerados se relacionan con los artículos 91 y 93 del RLOPD que señalan: Artículo 91. Control de acceso “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio. Artículo 93. Identificación y autenticación “1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.” En el presente caso es notorio que, con independencia de las medidas de seguridad nominalmente aprobadas y formalmente implantadas, existía una vulnerabilidad de las medidas de protección de los datos del fichero al prever un protocolo que no fue respetado, destacando: 1) El proceso que tenía implementado la denunciada en el momento de la Inspección dejaba acceder por parte del operario a los datos personales sin introducir la clave y a la clave en el momento de su generación o una vez activada cuando se introducía por el cliente la asignada, no se ocultaba a la vista del operador que atendía la llamada. 2) El hecho de conocer los datos de la persona no debería implicar la posibilidad de acceso a los datos por terceros, ya que además como sucedía en este caso existía una clave, circunstancia que pasó desapercibida por la denunciada. 3) Se ha producido una deficiente identificación y autenticación del que decía ser titular de los datos. IV La infracción figura tipificada como grave en el artículo 44.3.
  4. h)de dicha norma, que considera como tal “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” V El artículo 45 de la LOPD, establece, en sus apartados 1 a 2, y 4 y 5, lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  5. a)El carácter continuado de la infracción.
  6. b)El volumen de los tratamientos efectuados.
  7. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  8. d)El volumen de negocio o actividad del infractor.
  9. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  10. f)El grado de intencionalidad.
  11. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  12. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  13. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  14. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  15. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  16. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  17. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14
  18. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  19. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La denunciada solicita que se aplique el artículo 45.5 de la LOPD, aludiendo diversas causas para ello. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En relación con la aplicación concurrente de varios de los supuestos previstos en este apartado 5, como solicita en el presente caso la denunciada, hay que reseñar la sentencia de la Audiencia Nacional de fecha 28/04/2015, dice al respecto: “Una vez que se aplica la reducción que establece el artículo 45.5 (por concurrencia de una de las causas que así lo permiten) resulta obvio que ya no es relevante la concurrencia de otra y otras de dichas circunstancias puesto que la reducción ya se ha producido”. En el acuerdo se contenía la citada invitación a reconocimiento de la responsabilidad con los efectos previstos en el artículo 45.5.d), se aplica el mismo, acudiendo al señalamiento de la sanción en la escala de las leves. Por lo que respecta a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, hay que considerar que en el presente caso concreto están presentes varias circunstancias que operan como agravantes, a saber: 1. Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa. La sentencia de la Audiencia Nacional de 17/10/2007 (Rec. 63/2006) exige a estas entidades que observen un adecuado nivel de diligencia, e indica a este respecto: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. En el presente supuesto se ha exteriorizado la conducta infractora, en el sentido de revelarse accesos no autorizados al no implementarse de modo efectivo la entrada en vigor de la clave asignada cediendo información a terceros no autorizados cuando la denunciada es una entidad acostumbrada al manejo de datos y dada la importancia que en este caso tiene el no acceso a los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 2. Por el volumen de negocio (apartado 4.d), toda vez que estamos ante uno de los principales operadores telefónicos del país. 3. En relación con el grado de intencionalidad (apartado 4.f), recordar con la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), el siguiente criterio: “Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente caso que la entidad hubiera actuado intencionadamente o con dolo, no cabe ninguna duda de que incurrió en una grave falta de diligencia. 4. En los perjuicios causados a la denunciante (apartado 4.h), que confiadamente tenía en mente que el acceso a sus datos estaba salvaguardado y se vio involucrada en la entrega sin consentimiento y sin observancia de las normas que la denunciada decía tenía previstas, tratándose de una situación personal especial. Por todo ello, en aplicación de lo dispuesto en el artículo 45.5.d), teniendo en cuenta el 45.4.c),
  20. d)
  21. f)y
  22. h)se impone una sanción de 40.000 €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA SAU, por una infracción del artículo 9.1 de la LOPD en relación con el 91 y 93 del RLOPD, tipificada como grave en el artículo 44.3.
  23. h)de la LOPD, una multa de 40.000 €, de conformidad con lo establecido en el artículo 45.1), 2), 4) y 5) de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA SAU, y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.