PS-00203-2023

1/23  Expediente N.º: EXP202302162 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. y B.B.B. (en adelante, la parte reclamante) con fecha 2 de enero de 2023 interpusieron reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada o Vodafone). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el día 5 de diciembre de 2022 recibió un SMS de Vodafone en que se le notifica la activación de un duplicado de la tarjeta SIM del titular de la línea, y proceden mediante contacto con el servicio de atención del cliente de Vodafone a anular dicho duplicado. Posteriormente, el día 6 de diciembre de 2022, recibe el titular de la línea un nuevo SMS en que se le comunica que se ha tramitado un duplicado de la tarjeta SIM. A consecuencia de lo anterior, fueron objeto de una suplantación de identidad produciéndose cargos fraudulentos en su cuenta bancaria. Y, aporta la siguiente documentación relevante: Denuncia ante la Comandancia de la Guardia Civil de Jaén -Puesto Principal de BaezaSEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 27 de febrero de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 17 de abril de 2023 se recibe en esta Agencia escrito de respuesta indicando: <<Las actuaciones denunciadas por la reclamante han sido calificadas como fraudulentas, en concreto el duplicado de su tarjeta SIM no reconocido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 Se tramitó un duplicado de SIM, en fecha 6 de diciembre de 2022, gestionado de forma telefónica, así como una petición previa de duplicado de SIM en fecha 5 de diciembre de 2022, que sin embargo consta como cancelado por la propia reclamante. Quiere esta parte señalar que la efectiva gestión de un duplicado de tarjeta SIM está supedita a la superación de las políticas de seguridad que Vodafone tiene implementadas a fin de prevenir que se realicen prácticas fraudulentas sobre los datos personales de sus clientes. En este sentido, y al haberse tramitado dicha gestión sujeta a dicha política de seguridad, mi representada entendió en todo momento que se trataban de gestiones lícitas, reales y veraces. En vista de los hechos acontecidos, una vez que la reclamante se percató de los hechos denunciados, se puso en contacto con mi representada indicando que las gestiones anteriores se habían realizado supuestamente sin su consentimiento, siendo este el primer momento en que Vodafone tuvo conocimiento de los hechos objeto de reclamación. En primer lugar, es necesario aclarar que la reclamante recuperó el control de su línea el día 7 de diciembre de 2022, esto es, transcurrido un único día desde la actuación no consentida. En todo caso, en fecha 15 de diciembre de 2022, tras verificar Vodafone que estaba ante gestiones que, pese a tener la apariencia de veraces, eran de carácter fraudulento, procedió a adoptar las medidas necesarias para solventar esta incidencia, activando sobre la cuenta de cliente de la reclamante medidas de seguridad adicionales para evitar cualquier otro perjuicio a la reclamante. A fin de evitar que se produzcan incidencias similares, Vodafone trabaja de forma continua en mejorar las Políticas de Seguridad. En este sentido, desde la fecha 14 de marzo de 2012, Vodafone actúa bajo la Política de Seguridad para la Contratación de Particulares, la cual se ha ido actualizando progresivamente, y cuya última versión se ha implementado en fecha 8 marzo de

1. Sin perjuicio de lo anterior, el Departamento de Fraude de Vodafone revertió el duplicado de SIM de la línea de teléfono de la reclamante. Asimismo, se activó el check de víctima de fraude en el ID de cliente de la reclamante, introduciendo los datos de la reclamante en los sistemas internos de Vodafone como víctima de fraude, incluyendo sus datos en la agrupación de fraude y en los ficheros de prevención, así como activando medidas de seguridad adicionales sobre sus datos para evitar que se pueda producir un caso similar en el futuro. Por otra parte, se ha incluido en los sistemas internos de Vodafone para prevención del fraude el IMEI vinculado a la línea telefónica utilizada en la operación considerada fraudulenta>>. TERCERO: De conformidad con el artículo 65 de la LOPDGDD, cuando se presentase ante la Agencia Española de Protección de Datos (en adelante, AEPD) una reclamación, ésta deberá evaluar su admisibilidad a trámite, debiendo notificar a la parte reclamante la decisión sobre la admisión o inadmisión a trámite, en el plazo de tres meses desde que la reclamación tuvo entrada en esta Agencia. Si, transcurrido este plazo, no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en el Título VIII de la Ley. Dicha disposición también resulta de aplicación a los procedimientos que la AEPD hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 En este caso, teniendo en cuenta lo anteriormente expuesto y que la reclamación se presentó en esta Agencia, en fecha 2 de enero de 2023, se comunica que su reclamación ha sido admitida a trámite, el día 2 de abril de 2023, al haber transcurrido tres meses desde que la misma tuvo entrada en la AEPD. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad VODAFONE ESPAÑA, S.A.U. es una gran empresa constituida en el año 1994, y con un volumen de negocios de 2.928.817.000 euros en el año
2. QUINTO: Con fecha 25 de julio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: << el hecho de que un tercero, mediante la comisión de delitos, haya superado las medidas de seguridad de Vodafone no puede automáticamente inferirse que Vodafone no ha sido diligente en la verificación de la identidad de los clientes y, por tanto, no ha tratado los datos personales de la reclamante conforme al artículo 6.1 del RGPD. A Vodafone podrán achacársele infracciones sólo respecto de aquellos tratamientos de datos y medidas de seguridad de las que sea responsable, esto es, aquellas dirigidas a garantizar que el solicitante del duplicado de la tarjeta SIM es el titular de la línea; no están (ni pueden estar) dirigidas a evitar la suplantación de identidad (falsificación del DNI, por ejemplo) ni a evitar el acceso a las cuentas bancarias a través de la aplicación de la entidad de crédito en cuestión. Esta misma medida es la que permitió que el primer intento fraudulento, del 5 de diciembre de 2022, no fuese fructífero, pues la reclamante recibió un SMS en el que se le informaba de la activación de un duplicado SIM y se puso inmediatamente en contacto con mi representada, quien procedió a anular el proceso. En relación con el segundo intento de duplicado, el realizado el 6 de diciembre de 2022, la reclamante indica que, después de recibir otro SMS informativo por parte de mi representada, se intentó poner en contacto con Vodafone, pero que no fue capaz porque el servicio de Atención al Cliente no estaba operativo al ser un día festivo. Se incluye captura de pantalla del párrafo en cuestión de la reclamación de la reclamante: Esta afirmación es rotundamente falsa, pues los servicios de Atención al Cliente de mi representada están operativos los días festivos, inclusive el 6 de diciembre. De hecho, tras revisar los sistemas internos de mi representada se ha podido comprobar que existe una llamada vinculada con la ficha de la reclamante realizada el 6 de diciembre de 2022 a las 16:42 horas en la que se solicita el bloqueo de la SIM previamente duplicada y se informa a la reclamante de que debe de acudir a una tienda para gestionar un nuevo duplicado y así recuperar su línea. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 Por lo tanto, el SMS informativo para las solicitudes de cambios de SIM se evidencia como una medida proactiva implementada por parte de mi representada que sirve para minimizar e incluso evitar casos de duplicados SIM fraudulentos. Se implementa y ejecuta un sistema de penalizaciones para todos los puntos de venta o Centro De Atención Telefónica que no cumplan los procedimientos vigentes. Medida implementada en abril de
3. Esta medida fue ejecutada en el presente caso cuando se penalizó a la tienda ***TIENDA.1 por facilitar, sin seguir las políticas y procesos establecidos por mi representada, una tarjeta SIM a una persona no autorizada, el defraudador. Bloqueo de llamadas entrantes de números ocultos en los números de Atención al Cliente y Soporte Técnico de Vodafone. Medida implementada en noviembre de
4. Esta afirmación podría parecer contraria a la información provista en el Informe del requerimiento de información, ya que en dicho informe se indica que “la llamada la realizan desde numeración oculta”, pero en el momento de realizarse dicha llamada, 6 de diciembre de 2022, la medida de bloqueo de números ocultos ya estaba implementada. Esto se debe a que el sistema, cuando no reconoce correctamente la numeración que ejecuta la llamada, la categoriza como número oculto. No obstante, esto es resultado de que el sistema puntualmente no reconozca una numeración desde la que se ejecuta una solicitud a través del canal de Atención al Cliente, en ningún momento es consecuencia de que el Programa informático que efectúa todas las comprobaciones necesarias de que se cumplen todos los requisitos para ejecutar un duplicado SIM esté permitiendo la entrada de llamadas a los canales de atención al cliente de mi representada desde numeraciones ocultas. En el presente caso, el defraudador se hizo pasar por la reclamante, aportando toda la información relativa a la reclamante para superar la política de seguridad de Vodafone y conseguir el duplicado SIM. Vodafone actuó en todo momento conforme a sus políticas de seguridad y realizó una correcta verificación de los datos del cliente sobre el cual se solicitó la operación, por lo que, sí se llevó a cabo la verificación de la identidad correctamente no siendo posible constatar en el momento de la solicitud del duplicado SIM que dicha información estuviese siendo utilizada de manera fraudulenta. En efecto, Vodafone no ha probado la identidad del estafador y ciberdelincuente porque precisamente este sujeto ha ocultado su verdadera identidad y se ha hecho pasar por el cliente de Vodafone, superando mediante técnicas ilícitas las políticas de seguridad establecidas por mi mandante. Así pues, no creemos que sea reprochable el hecho de que Vodafone no haya podido identificar a los criminales, tratándose esta una tarea más propia de las Fuerzas y Cuerpos de Seguridad del Estado, con los que Vodafone sí colabora. Así, Vodafone ha realizado el cambio de tarjeta SIM porque el solicitante ha acreditado (de forma fraudulenta) que llamaba en nombre de la reclamante mediante la aportación de los datos de la reclamante necesarios para superar la política de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 seguridad, habiendo obtenido los datos personales de las víctimas a través de técnicas de ingeniería social u otros medios ajenos a mi representada. En el mismo sentido, y con respecto a la grabación telefónica de las llamadas a través de las cuales el defraudador consigue los duplicados SIM, mi representada, debido a que las llamadas telefónicas recibidas por los servicios de atención al cliente de Vodafone sólo son grabadas de forma aleatoria y con fines de calidad de la atención dispensada al cliente, conforme se informa expresamente a los interesados en la realización de cualquier trámite por canal telefónico, no dispone de la grabación en tanto dichas llamadas no fueron grabadas. Consecuencia de la ausencia de las grabaciones telefónicas y del paso de la Política de Seguridad vía telefónica por parte del defraudador que no requiere documentación acreditativa adicional, no es posible aportar prueba fehaciente de la superación de la Política de Seguridad solicitada a petición de esta Agencia. Falta de legitimación activa y pasiva respecto al tratamiento de datos del interesado B.B.B.. Es necesario indicar que los datos de B.B.B., a cuyo nombre también se presenta la reclamación sobre la que trae causa el Acuerdo de Inicio en el que se gradúa la sanción en doscientos mil euros teniendo en cuenta la afectación de la infracción sobre dos afectados, no se han visto afectados por los tratamientos de datos y procesos que son responsabilidad de mi representada. Es decir, el proceso de duplicado de tarjeta SIM sobre la línea de teléfono de la cliente A.A.A.. Esto se debe a que B.B.B. no es cliente de Vodafone y los datos que se vieron involucrados en el proceso que cabe analizarse en este supuesto son los de la reclamante y en ningún caso los de B.B.B.. Subsidiariamente, y para el caso de que la Agencia entendiera que Vodafone ha infringido el artículo 6.1 del RGPD, no puede apreciarse la existencia de culpabilidad en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna. Con carácter subsidiario, en el caso de que esta Agencia entendiera que Vodafone sí ha infringido el artículo 6.1 del RGPD, no procede la imposición de sanción alguna a mi mandante. Mi mandante discrepa respetuosamente de los agravantes indicados en el Acuerdo de Inicio. En virtud de todo lo anterior, acuerde: 1) El sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas. 2) Subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima>>. SÉPTIMO: Con fecha 12 de septiembre de 2023, el instructor del procedimiento acordó practicar las siguientes pruebas: <<1.Se dan por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y B.B.B. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 del procedimiento AT/00831/2023.2.Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por VODAFONE ESPAÑA, S.A.U., y la documentación que a ellas acompaña>>. OCTAVO: Notificada la propuesta de resolución, solicitó la parte reclamada ampliación de plazo para formular alegaciones, que le fue concedido y las presentó con fecha 29 de noviembre de 2023 en las cuales, en síntesis, manifestaba que:<< el expediente sancionador tiene su origen en una reclamación presentada por la reclamante, cuya identidad habría sido suplantada por estafadores y ciberdelincuentes a fin de obtener un duplicado de su tarjeta SIM para así tomar el control de la línea telefónica, acceder a los mensajes SMS que las entidades bancarias habrían enviado a la reclamante durante la posesión de la línea y efectuar operaciones bancarias en su nombre. Como causa de ello, la Agencia entiende que mi mandante podría haber vulnerado la licitud del tratamiento de datos personales (artículo 6.1 del RGPD) al facilitar un duplicado de tarjeta SIM a una persona que no es la titular de la línea móvil, tras la superación por este tercero de las políticas de seguridad implementadas por Vodafone. Vodafone ha actuado de forma diligente en la medida en la que tiene implementados los procesos necesarios para identificar correctamente a sus clientes, siendo la adopción de medidas técnicas y organizativas una obligación que no es absoluta. La Agencia, en su Propuesta de Resolución, indica que Vodafone no ha desplegado la diligencia debida para verificar la identidad de la reclamante para gestionar el duplicado de la tarjeta SIM, hecho que motiva la infracción que se impone en el Acuerdo. No obstante, si terceros, mediante técnicas ilícitas y fraudulentas, obtienen los datos confidenciales de los clientes y, a través de ellos, les usurpan la identidad y superan las medidas implementadas, eso no significa que la política sea insuficiente, sino que se han obtenido los datos necesarios, por medios ajenos a mi representada, para superar sus medidas. Por lo tanto, el concepto de “riesgo cero” no existe cuando hablamos de gestión del riesgo, en particular, cuando hablamos de los riesgos que pueden suponer los tratamientos de datos personales. Siempre existirá un riesgo inherente o inicial implícito en cualquier tratamiento y, una vez que se hayan aplicado medidas y garantías que lo minimicen, seguirá existiendo un riesgo residual”. En consecuencia, lo que se puede solicitar a mi representada es que implemente un proceso de verificación de la identidad que sea acorde y que, en circunstancias normales, garantice un correcto tratamiento de los datos. Estas medidas estaban implementadas por parte de mi representada cuando se ejecutó el duplicado SIM. Vodafone no pudo comprobar que la solicitud se estaba realizando por un tercero en la medida en la que la identidad del estafador estaba oculta y se hacía pasar por el cliente de Vodafone, superando mediante técnicas ilícitas las políticas de seguridad establecidas por mi mandante. Por lo tanto, y dicho sea en términos de estricta defensa, la afirmación que incluye la Agencia en su Propuesta de Resolución “[…] no se siguió el procedimiento implantado por la parte reclamada, ya que, de haberlo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 hecho, se debió haber producido la denegación del mismo”, no sería cierta, pues los defraudadores, obteniendo los datos de los clientes de mi representada por medio ilícitos, son capaces de superar la política de seguridad. En este sentido, no creemos que sea reprochable el hecho de que Vodafone no haya podido identificar a los criminales, tratándose esta una tarea más propia de las Fuerzas y Cuerpos de Seguridad del Estado, con los que Vodafone sí colabora. Vodafone ha acreditado ante esta Agencia a lo largo de este procedimiento sancionador la implementación de un procedimiento robusto a la hora de verificar la identidad de sus clientes, que en circunstancias normales bloquea de manera inmediata cualquier intento fraudulento que pueda tener lugar. Sin perjuicio de que nos remitimos en su integridad a lo defendido en las Alegaciones al Acuerdo de Inicio, en la medida en que la Agencia replica esta afirmación en su Propuesta de Resolución, resulta necesario aclarar el funcionamiento de las tarjetas SIM, que nunca conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc. Como se ha venido defendiendo en múltiples procedimientos ante esta Agencia por parte de mi representada, a través de un duplicado SIM se puede llegar a obtener el servicio que tuviese contratado el titular de dicha tarjeta. Es decir, el solicitante podrá acceder a la tarifa que se tiene contratada a través de la SIM, pudiendo recibir mensajes y llamadas, así como enviarlos, y tener servicio de internet, en el caso de que estuviese contratado. A Vodafone podrán achacársele infracciones sólo respecto de aquellos tratamientos de datos y medidas de seguridad de las que sea responsable, esto es, aquellas dirigidas a garantizar que el solicitante del duplicado de la tarjeta SIM es el titular de la línea; no están (ni pueden estar) dirigidas a evitar la suplantación de identidad (falsificación del DNI, por ejemplo) ni a evitar el acceso a las cuentas bancarias a través de la aplicación de la entidad de crédito en cuestión. No puede apreciarse la existencia de culpabilidad en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna. Por otro lado, la AEPD entiende que el principio de proactividad transfiere a mi representada la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. Este aspecto ha sido cubierto ampliamente por Vodafone, no solo aportando los procesos que tiene implementados, sino las interacciones en sus sistemas que evidencian que se siguieron los procesos pertinentes. Por lo tanto, mi representada sí que actuó con la diligencia debida, implementando las medidas técnicas y organizativas necesarias. No obstante, la Agencia defiende que existe dolo o culpa de mi representada únicamente observando el resultado de los hechos, la emisión fraudulenta de un duplicado SIM, sin considerar todas las medidas de seguridad implementadas para evitar el fraude. Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes. La Agencia, a través de su Propuesta de Resolución, ha desestimado las alegaciones presentadas por mi mandante respecto de los agravantes y atenuantes aplicables al caso. En este sentido, mi mandante discrepa respetuosamente de los motivos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 expuestos por la Agencia para desestimar que se deba de modular a la baja la sanción por los motivos que se incluyen a continuación. Sobre el agravante aplicado por la Agencia a la hora de evaluar la sanción, nos reiteramos en lo dispuesto en las Alegaciones al Acuerdo de Inicio: I. La vinculación de la actividad de Vodafone con la realización de tratamientos de datos de carácter personal. Efectivamente, existe una vinculación entre la actividad de Vodafone y el tratamiento de datos personales de sus clientes que realiza para llevar a cabo la correcta prestación de los servicios contratados y atender las solicitudes y peticiones que éstos realicen. La Agencia hace referencia a la existencia de imprudencia cuando un responsable del tratamiento no se comporta con la diligencia exigible debiendo insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto. Prueba del especial cuidado y cautela aplicada en el tratamiento de datos personales que lleva a cabo mi representada, son todas las medidas de seguridad implementadas. Por lo que este factor, no debe ser tenido en cuenta como agravante a la hora de graduar la sanción. Sobre los atenuantes no aplicados por la Agencia a la hora de evaluar la sanción: II. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD. En efecto, Vodafone no ha probado la identidad del estafador y ciberdelincuente porque precisamente este sujeto ha ocultado su verdadera identidad y se ha hecho pasar por el cliente de Vodafone, superando mediante técnicas ilícitas las políticas de seguridad establecidas por mi mandante. Así pues, no creemos que sea reprochable el hecho de que Vodafone no haya podido identificar a los criminales, tratándose esta una tarea más propia de las Fuerzas y Cuerpos de Seguridad del Estado, con los que Vodafone sí colabora. Así, Vodafone ha realizado el cambio de tarjeta SIM porque el solicitante ha aportado (de forma fraudulenta) los datos del titular de la línea telefónica mediante la aportación de todos los datos personales necesarios para superar la política de seguridad, habiendo obtenido los datos personales de la víctima a través de técnicas de ingeniería social. Pretender que Vodafone pruebe la identidad de los solicitantes supone una suerte de prueba diabólica que no se puede exigir a Vodafone. III. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. En este sentido, informar a la Agencia de que Vodafone sí que ha puesto medios para remediar y mitigar los posibles efectos adversos de la practica fraudulenta de los duplicados SIM. Indicar lo contrario sería no tomar en consideración que Vodafone, tal y como se ha venido indicando, se encuentra en un proceso constante de actualización y revisión de sus Política de Seguridad, implementando nuevas medidas y controles que traten de reducir al máximo posible el riesgo inherente al tratamiento de datos que realiza, tal y como se ha evidenciado en la manifestación primera de las presentes alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 IV. La limitación de la afectación del caso sobre el que trae causa el presente procedimiento a la única afectada, excluyendo al otro se solicita que se gradúe la sanción impuesta a la baja teniendo en consideración a la única afectada. En virtud de todo lo anterior, solicito a la Agencia Española de Protección de Datos que tenga por presentado este escrito y todos los documentos que lo acompañan y, en su virtud, tenga por efectuadas las manifestaciones en él contenidas y, tras los trámites oportunos, acuerde: 1) El sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas y no poder apreciarse la existencia de culpabilidad. 2) Subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima, a la luz de las circunstancias atenuantes indicadas en el presente escrito>>. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. - La parte reclamante formuló reclamación ante esta Agencia el día 2 de enero de 2023 en la que se hace constar que el día 5 de diciembre de 2022 recibió un SMS de Vodafone en el cual se le notifica la activación de un duplicado de la tarjeta SIM del titular de la línea, y se puso en contacto con la parte reclamada que procedió a anular dicho proceso. Posteriormente, el día 6 de diciembre de 2022, recibe la parte reclamante un nuevo SMS en que se le comunica que se ha tramitado un duplicado de su tarjeta SIM, sin su consentimiento, lo que conllevó una suplantación de identidad produciéndose cargos fraudulentos en su cuenta bancaria. SEGUNDO. - Vodafone, reconoce en su escrito de fecha 17 de abril de 2023 y en sus alegaciones de fecha 16 de agosto de 2023 que se tramitó un duplicado de SIM, en fecha 6 de diciembre de 2022, gestionado de forma telefónica, así como una petición previa de duplicado de SIM en fecha 5 de diciembre de
5. TERCERO. - Vodafone, reconoce que tras verificar que estaba ante gestiones que, pese a tener la apariencia de veraces, eran de carácter fraudulento, procedió a adoptar medidas para solventar esta incidencia, y el Departamento de Fraude de Vodafone revertió el duplicado de la tarjeta SIM de la línea del teléfono del reclamante. CUARTO. - Vodafone reconoce que no dispone de la grabación de la conversación telefónica, ya que no se produjo la grabación de dicha llamada, y que “no es posible aportar prueba fehaciente de la superación de la Política de Seguridad solicitada a petición de esta Agencia”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Contestación a las alegaciones presentadas La parte reclamada manifiesta que la emisión de los duplicados de la tarjeta SIM no es suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad financiera. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que el tratamiento de datos sea conforme al RGPD. Idénticas consideraciones merece la actuación de las entidades bancarias que proporcionan servicios de pago, en cuyo ámbito se inicia este tipo de estafas, ya que el tercero tiene acceso a las credenciales del usuario afectado y se hace pasar por este. En tanto que estas entidades son responsables del tratamiento de los datos de sus clientes, les competen idénticas obligaciones que las señaladas hasta ahora para las operadoras referidas al cumplimiento del RGPD y la LOPDGDD, y además las derivadas del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C -101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. En cuanto a la responsabilidad de Vodafone, debe indicarse que, con carácter general Vodafone trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1 b) del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c), e) y f) del RGPD. Por otra parte, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos, para la contratación de la línea móvil. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que se implantan y mantienen medidas de seguridad apropiadas para proteger eficazmente la confidencialidad, integridad y disponibilidad de todos los datos personales de los cuales son responsables, o de aquellos que tengan por encargo de otro responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de Vodafone se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir, desde la óptica de la culpabilidad, estamos ante un error vencible ya que con la aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones de identidad se hubieran podido evitar. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. Asimismo, solicita Vodafone con carácter subsidiario que esta Agencia acuerde el archivo del procedimiento por inexistencia de culpabilidad. Rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice: “
6. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. La decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que las circunstancias del caso exigen. En cumplimiento del principio de culpabilidad la AEPD ha acordado en numerosas ocasiones el archivo de procedimientos sancionadores en los que no concurría el elemento de la culpabilidad del sujeto infractor. Supuestos en los que, pese a existir un comportamiento antijurídico, había quedado acreditado que el responsable había obrado con toda la diligencia que resultaba exigible, por lo que no se apreciaba culpa alguna en su conducta. Ese ha sido el criterio mantenido por la Sala de lo Contencioso Administrativo, sección 1ª, de la Audiencia Nacional. Pueden citarse, por ser muy esclarecedoras, las siguientes sentencias: - SAN de 26 de abril de 2002 (Rec. 895/2009) que dice: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” - SAN de 29 de abril de 2010, Fundamento Jurídico sexto, que, a propósito de una contratación fraudulenta, indica que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. En conexión con lo expuesto hay que referirse al artículo 5.
7. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” “
8. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”, establece: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/23 gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.[...]”. Cabe preguntarse cuáles son los parámetros de la diligencia debida que Vodafone debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar es la que era precisa para cumplir las obligaciones que le impone la disposición Adicional Única de la Ley 25/2007 en relación con los artículos 5.2, 24 y 25 del RGPD, a la luz de la doctrina de la Audiencia Nacional y la jurisprudencia del Tribunal Supremo. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. III Obligación incumplida Se imputa a la parte reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “
9. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/23 e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. En el presente caso, resulta acreditado que una tercera persona el día 6 de diciembre de 2022 a través de los servicios telefónicos de Atención al Cliente solicitó un duplicado de la tarjeta SIM de la línea de teléfono de la reclamante, duplicado que le fue facilitado. Pues bien, para que el tratamiento de datos efectuado por la reclamada pudiera estar fundado en alguna de las circunstancias legitimadoras del tratamiento sería preciso que, en su condición de responsable del tratamiento, pudiera acreditar que la titular de los datos tratados fue efectivamente quien los facilitó. Sin embargo, la reclamada no aportó con su respuesta a la petición informativa previa a la admisión a trámite de esta reclamación ningún documento o elemento probatorio que acredite cuál es el fundamento jurídico del tratamiento efectuado. Así, en la respuesta a la solicitud informativa de la AEPD de fecha 17 de abril de 2023, y en sus alegaciones de fecha 16 de agosto de 2023 la reclamada adujo: << Las actuaciones denunciadas por la reclamante han sido calificadas como fraudulentas, en concreto el duplicado de su tarjeta SIM no reconocido. Se tramitó un duplicado de SIM, en fecha 6 de diciembre de 2022, gestionado de forma telefónica, así como una petición previa de duplicado de SIM en fecha 5 de diciembre de 2022, que sin embargo consta como cancelado por la propia reclamante>>. En definitiva, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó el duplicado de la tarjeta SIM. En todo caso, no se siguió el procedimiento implantado por la parte reclamada, ya que, de haberlo hecho, se debió haber producido la denegación del mismo. De todas formas, en virtud del principio de responsabilidad proactiva, el responsable del tratamiento debe estar en condiciones de acreditar cómo respeta los principios del tratamiento y las bases de legitimación. A la vista de lo anterior, Vodafone no logra acreditar que se haya seguido ese procedimiento y por consiguiente hubo un tratamiento ilícito de los datos personales de la parte reclamante, contraviniendo con ello el artículo 6 del RGPD. En ese sentido el Considerando 40 del RGPD señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/23 “