PS-00260-2023

1/26  Expediente N.º: EXP202209148 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 20 de julio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada o Vodafone). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que un tercero suplantó su identidad para llevar a cabo la solicitud de portabilidad de su línea de telefonía móvil, así como la compra de un terminal móvil, sin su consentimiento. Y añade, que recibió un mensaje de texto de Vodafone y dos correos electrónicos, indicando que se había procedido a modificar su teléfono. Asimismo, se le solicita la firma de las nuevas contrataciones efectuadas a su nombre y su confirmación, que no había rubricado. Y, aporta la siguiente documentación relevante: Denuncia ante la Policía Nacional de fecha 18 de julio de 2022. Dependencia ValenciaPatraix. Atestado nº XXXX/XX. Dos correos electrónicos, donde se le solicita la firma de los servicios no solicitados y la confirmación de la firma de los contratos. Capturas de pantalla enviadas por Vodafone. Reclamación interpuesta ante la reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 6 de octubre de 2022 se recibe en esta Agencia escrito de respuesta de Vodafone, indicando lo siguiente: <<que la incidencia reclamada se encuentra actualmente resuelta que fueron declarados como fraudulentos el 19 de julio del 2022 por el Departamento de Fraude de Vodafone. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/26 Vodafone canceló dichas peticiones de contratación antes de que llegaran a efectuarse y se procedió a activar el check de víctima de fraude para evitar que se puedan producir incidencias similares en el futuro. Se ha procedido a enviar una carta a la parte reclamante para informarle de las actuaciones realizadas por mi mandante, así como de que los servicios que origina su reclamación han sido declarados como fraudulentas. La incidencia se originó porque el reclamante refiere haber tenido conocimiento, a través de sendas notificaciones de Vodafone en fecha 18 de julio del 2022, de la solicitud de portabilidad de la línea de telefonía móvil ***TELEFONO.1 desde el operador Orange, así como de la contratación de un terminal móvil (Iphone 13 Midnight 512GB), no reconociendo el reclamante dichas contrataciones efectuadas a su nombre. No reconociendo el reclamante las actuaciones indicadas, procedió, el mismo día en que tuvo conocimientos de estos hechos, a interponer denuncia ante la policía por suplantación de identidad, así como una reclamación a Vodafone, presentada en su nombre en fecha 20 de julio, por una asociación de consumidores de la Comunitat Valenciana, en la que solicitaba la cancelación del pedido y la confirmación de los servicios contratados por el reclamante. En este sentido, se procedió a enviar carta de respuesta dirigida a dicha asociación de consumidores y usuarios, en la que se indica el resultado de las actuaciones efectuadas por Vodafone. Mi representada de ninguna manera podía conocer previamente que se estuvieran pudiendo realizar nuevas contrataciones de servicios sin el consentimiento del reclamante; puesto que las actuaciones como las que son objeto de reclamación se encuentran supeditadas a la superación de la Política de Seguridad implantada por Vodafone, por lo que, al llegar a realizarse la contratación, mi mandante presumía que dichas actuaciones eran legales, consentidas y con apariencia de veracidad. No obstante, tras no reconocer el reclamante las contrataciones efectuadas el día 18 de julio, el departamento de fraude de Vodafone calificó, un día después y en fecha 19 de julio de 2022, como fraudulenta la contratación de los servicios no reconocidos por el reclamante. En concreto, esta incidencia quedó resulta el pasado 19 de julio de 2022, esto es, un día después de que el reclamante trasladara a Vodafone la actuación fraudulenta acaecida el día anterior. El Departamento de Fraude de Vodafone analizó la incidencia y consideró que las contrataciones no reconocidas por el reclamante habían sido realizadas de forma fraudulenta. Inmediatamente, una vez declarado el fraude, Vodafone procedió a cancelar la línea de telefonía móvil alta y el terminal móvil adquirido suplantando la identidad del reclamante. Asimismo, mi mandante activo el check de víctima de fraude, de manera que al acceder a su ID de cliente, se muestra un aviso en el que se indica lo siguiente: “No facilitar información, realizar modificaciones, activación de productos, pedidos etc., si C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/26 el cliente llama desde líneas distintas a las que tiene contratadas en Vodafone, ocultación de llamada y origen internacional. Se debe consultar y seguir siempre la política de seguridad”. De este modo, se evitará que se produzcan incidencias similares en el futuro. En cuanto a las medidas de seguridad adicionales aplicadas por Vodafone, desde el 14 de marzo de 2012 mi mandante actúa bajo la Política de Seguridad para la Contratación de Particulares, aportada junto con el presente escrito como Documento número 3. La mencionada Política de Seguridad, es de obligado cumplimiento para todos los empleados y agentes de Vodafone, quienes se encargan de aplicarla y respetarla. Con todo ello, podemos confirmar que actualmente mi representada ha realizado todas las actuaciones pertinentes para dar solución a la reclamación, estimando que ha quedado correctamente solventada con anterioridad a la recepción del presente escrito>>. TERCERO: De conformidad con el artículo 65 de la LOPDGDD, cuando se presentase ante la Agencia Española de Protección de Datos (en adelante, AEPD) una reclamación, ésta deberá evaluar su admisibilidad a trámite, debiendo notificar a la parte reclamante la decisión sobre la admisión o inadmisión a trámite, en el plazo de tres meses desde que la reclamación tuvo entrada en esta Agencia. Si, transcurrido este plazo, no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en el Título VIII de la Ley. Dicha disposición también resulta de aplicación a los procedimientos que la AEPD hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes. En este caso, teniendo en cuenta lo anteriormente expuesto y que la reclamación se presentó en esta Agencia, en fecha 20 de julio de 2022, se comunica que su reclamación ha sido admitida, el 20 de octubre de 2022, a trámite al haber transcurrido tres meses desde que la misma tuvo entrada en la AEPD. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. De la reclamación y de su documentación adjunta se desprende que el reclamante era ya cliente de la parte reclamada antes de las contrataciones objeto de reclamación, ya que mantenía una línea de telefonía móvil con la entidad. La línea portada es un nuevo número que primero se le asigna como teléfono de contacto y a continuación se porta a su nombre desde otra operadora, constando también en la solicitud un terminal de alta gama. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/26 2. Se ha solicitado a la parte reclamada documentación acreditativa de haber efectuado la verificación de identidad del solicitante de la portabilidad de la línea y la contratación de un terminal móvil el 18 de julio de 2022 a nombre del reclamante, respondiendo la entidad que no dispone de la evidencia que permita confirmar la verificación de la identidad del solicitante del trámite de portabilidad de la línea telefónica efectuada de forma telefónica. Indican que no disponen de la grabación del telefónica ya que no se produjo la grabación de dicha llamada, debido a que las llamadas telefónicas recibidas por los servicios de atención al cliente de la entidad solo son grabadas de forma aleatoria y con fines de calidad de la atención dispensada al cliente. Manifiestan que la formalización de cualquier contratación a distancia se lleva a cabo a través de verificación digital por medio del envío de un mensaje de texto al solicitante de la portabilidad para la confirmación de la operación. En el presente caso, se remitieron dos mensajes de texto a la línea de telefonía móvil que se portó, la cual ya constaba vinculada en los sistemas de la entidad al reclamante como teléfono de contacto, y desde la cual se procedió a la formalización de la contratación. Indican que como evidencia aportan el contrato suscrito en fecha 18 de julio de 2022 y firmado electrónicamente. Manifiestan que con anterioridad a esta contratación el presunto defraudador habría procedido a modificar los datos de contacto del reclamante y que de esta petición y como medida de seguridad, la entidad remitió un mensaje de texto (SMS) al número de contacto previo (el del reclamante), notificando la tramitación de esta petición, lo que conllevó que el reclamante apreciara una actividad sospechosa y pudiese tener conocimiento de las posteriores actuaciones fraudulentas realizadas en su nombre. Se constata que este mensaje de texto lo recibió el reclamante, constando adjunto a la reclamación interpuesta ante esta Agencia. En el contrato que aporta la parte reclamada se constata que se trata de una portabilidad de línea desde otro operador con cambio de titularidad (a nombre del reclamante) y un contrato de venta a plazos de un terminal de alta gama también a nombre del reclamante. Tiene fecha de 18 de julio de 2022. Consta certificado por una tercera entidad el envío de dos SMS a la nueva línea de contacto el día 18 de julio de 2022 para la firma del contrato, constando también la firma en la misma fecha. 3. Sobre la modificación del número de contacto se ha requerido a la parte reclamada documentación acreditativa de haber efectuado la verificación de identidad del solicitante de este cambio, del paso de la política de seguridad y en qué consistió dicha política, así como información sobre si se ha revertido dicho cambio. Los representantes de la parte reclamada indican que no disponen de grabación de la conversación telefónica por las mismas razones que la llamada de solicitud de la portabilidad. Informan que la modificación de datos no reconocida por el reclamante fue efectivamente revertida en fecha 19 de julio de 2022. 4.Se ha requerido la relación y el detalle de todos los contactos mantenidos con el reclamante entre los días 17 y 20 de julio de 2022 incluyendo las anotaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 realizadas por los gestores. Aportan copia de un informe que incluye los contactos requeridos. Se constata que constan diversos contactos el día de los hechos, existiendo uno en el que consta la anotación “portabilidad más terminal” correspondiente a una llamada entrante efectuada desde la nueva línea (línea que se estableció como contacto), no constando ninguna anotación del gestor sobre el paso o no de la política de seguridad. No constan anotaciones de los gestores sobre la modificación del teléfono de contacto ni por tanto sobre el paso o no de la política de seguridad al realizar el trámite. Sí consta registro del cambio de teléfono la fecha de hechos, tanto al nuevo teléfono, como la reversión de dicho cambio al teléfono anterior, pero sin anotaciones de los gestores. Los representantes de la entidad informan que el 19 de julio de 2022 las contrataciones fueron canceladas. Por último, los representantes de la parte reclamada han manifestado que la Política de Seguridad seguida por todos los empleados de la entidad, incluidos los agentes telefónicos, prevé los pasos necesarios para que, en atención al trámite efectuado, se compruebe la identidad del contratante, por lo que, pese a no existir la grabación del concreto trámite telefónico, indican que tienen implementado un procedimiento en el que se fija la necesidad de verificar la identidad del llamante, siendo este proceso de obligado cumplimiento. Por lo tanto, la parte reclamada indica que entendió en ese momento que dicha contratación era legal y con apariencia de veracidad. Manifiestan que todos los empleados y agentes son expresamente informados de las posibles penalizaciones que pueden ser adoptadas por la entidad, en caso de acreditarse que se efectúa cualquier trámite o actuación sin haberse seguido de forma completa y exhaustiva lo dispuesto en la Política de Seguridad vigente. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad VODAFONE ESPAÑA, S.A.U. es una gran empresa constituida en el año 1994, y con un volumen de negocios de 2.928.817.000 euros en el año 2022. SEXTO: Con fecha 21 de julio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio solicito conforme a las normas establecidas en la LPACAP, la parte reclamada solicitó ampliación de plazo para formular alegaciones y copia del expediente que le fue concedido y presentó escrito de alegaciones el día 9 de agosto de 2023 en el que, en síntesis, manifiesta: <<Vodafone ha cumplido con el principio de licitud del tratamiento y con la obligación de adoptar medidas técnicas y organizativas adecuadas para garantizar el mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26 El responsable del tratamiento está sujeto a una obligación de medios, no a una obligación de resultados en el sentido de entender que todo incidente es un incumplimiento del deber de garantizar un nivel de seguridad adecuado al riesgo. Por tanto, el hecho de que un tercero, mediante la comisión de delitos, haya superado las medidas de seguridad de Vodafone no puede automáticamente inferirse que Vodafone no ha sido diligente en la verificación de la identidad de los clientes y, por tanto, no ha tratado los datos personales de la reclamante conforme al artículo 6.1 del RGPD. La modificación de los datos por el estafador o ciberdelincuente se produce el 18 de julio de 2022 a las 13:11 horas y se restablece el dato de contacto a su estado original, tras la llamada del reclamante alertado por el SMS, a las 13:28 horas. En esos 17 minutos el estafador o ciberdelincuente pudo firmar electrónicamente la contratación de una línea telefónica y un terminal móvil a nombre del reclamante vía solicitud de portabilidad, no obstante, el proceso de portabilidad no llegó a finalizarse y los servicios nunca se llegaron a activar. En el presente caso, dicho SMS nunca llegó a enviarse dado que la portabilidad fue detenida y cancelada antes de que se pudiese llegar a dicha fase. Pero en el caso de que no hubiese sido así, esta última medida final en la que se requiere el consentimiento del titular de la línea para finalizar el proceso de portabilidad hubiese impedido de nuevo la ejecución de la portabilidad que nunca llegó a producirse. Es decir, este proceso de portabilidad cuenta con medidas de seguridad suficientes ya que los agentes pasan la política de seguridad mencionada pero, además, se envía un correo electrónico al reclamante con el justificante del contrato firmado con el fin de informar y alertar al titular de la operación que se acaba de efectuar. Por último, como ya indicado al final del proceso se envía un SMS a la línea a portar, pero dicho SMS nunca llegó a enviarse dado que la portabilidad fue detenida y cancelada antes de que se pudiese llegar a dicha fase. Es por todo lo anterior, que se debe concluir que todas estas medidas de seguridad fueron eficaces dado que el contrato se firma electrónicamente por el estafador o ciberdelincuente el 18 de julio de 2022 a las 13:13 horas y el proceso de portabilidad que se había iniciado, se detiene, cancelándose todo por parte de fraude ese mismo día a las 13:33 horas, sin causar ningún daño ni perjuicio al reclamante: Es decir, transcurren 20 minutos entre la firma del contrato firmado electrónicamente por el estafador o ciberdelincuente y la acción inmediata del equipo interno de fraude, que en ese mismo instante le aplica la marca de víctima de fraude para evitar casos futuros. En efecto, Vodafone no ha probado la identidad del estafador y ciberdelincuente porque precisamente este sujeto ha ocultado su verdadera identidad y se ha hecho pasar por el cliente de Vodafone, superando mediante técnicas ilícitas las políticas de seguridad establecidas por mi mandante. Así, Vodafone ha realizado la modificación de los datos personales porque el solicitante ha facilitado los datos requeridos para superar la política de seguridad, haciéndose pasar por el cliente titular de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26 Pretender que Vodafone pruebe la identidad de los solicitantes supone una suerte de prueba diabólica que no se puede exigir a Vodafone. Afirmar que no se siguió el proceso implantado (en este caso la política de seguridad de marzo de 2022 para la modificación de datos) no sería correcto. Los agentes tienen obligación de indicar en las interacciones el paso de la política de seguridad y en este caso no se ha podido encontrar dicha anotación, siendo esto un error del agente que tramita la solicitud. El hecho de que el agente no lo haya indicado en el sistema no quiere decir que la política de seguridad no se haya pasado. Tampoco hay grabación porque únicamente se graban las contrataciones estrictamente telefónicas y, en este caso, la contratación se firmó electrónicamente (vía OTP SMS), así como algunas grabaciones por motivos de calidad para verificar que precisamente los agentes cumplen con el paso de la política de seguridad, entre otras cuestiones. En segundo lugar, que ni la portabilidad ni la entrega del terminal se llegan a producir dado que el departamento de fraude detiene esta operación de forma inmediata, en concreto, 20 minutos tras la firma del contrato electrónicamente por parte del ciberdelincuente o estafador. Subsidiariamente, y para el caso de que la Agencia entendiera que Vodafone ha infringido el artículo 6.1 del RGPD, no puede apreciarse la existencia de culpabilidad en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse sanción alguna. Mi mandante discrepa respetuosamente de los agravantes indicados en el Acuerdo de Inicio. En virtud de todo lo anterior, acuerde: 1) El sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas. 2) Subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima>>. OCTAVO: Con fecha 12 de septiembre de 2023, el instructor del procedimiento acordó practicar las siguientes pruebas: “1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento AI/00383/2022. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por VODAFONE ESPAÑA, S.A.U., y la documentación que a ellas acompaña”. NOVENO: Con fecha 30 de octubre de 2023 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.

1. a)del RGPD, con una multa de 100.000 € (cien mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/26 DÉCIMO: Notificada la propuesta de resolución la parte reclamada presentó escrito de alegaciones el día 23 de noviembre de 2023 en el que, en síntesis, manifiesta: <<Importante destacar el hecho de que la portabilidad no se llega a producir, sino que la operación se detiene proactivamente por los equipos internos de Vodafone antes de que se llegase a producir. Vodafone se remite en su integridad a las Alegaciones al Acuerdo de Inicio. Vodafone ha actuado de forma diligente en la medida en la que tiene implementados los procesos necesarios para identificar correctamente a sus clientes, siendo la adopción de medidas técnicas y organizativas una obligación que no es absoluta. Vodafone tiene implementadas las medidas técnicas y organizativas adecuadas para identificar correctamente a sus clientes. No obstante, si terceros, mediante técnicas ilícitas y fraudulentas, obtienen los datos confidenciales de los clientes de manera ajena a VF y, a través de ellos, les usurpan la identidad y superan las medidas implementadas, eso no significa que la política sea insuficiente, sino que se han obtenido los datos necesarios, por medios ajenos a mi representada, para superar sus medidas. En el presente caso, la portabilidad y la compra del terminal que no se llegan a concluir, dado que la portabilidad se cancela de forma previa a la activación por los equipos internos de Vodafone, tiene un proceso en las contrataciones con clientes existentes en donde tras el paso de la política de seguridad, en el cual el solicitante supera unas preguntas de seguridad aportando una serie de datos personales, se envía un mensaje OTP SMS a la línea de contacto que figura asociada al cliente. Hoy en día son numerosos los intentos de ingeniería social de ciberdelincuentes o estafadores que se hacen con los datos personales de los interesados y posteriormente son utilizados para superar las medidas de seguridad existentes en las compañías. Por lo tanto, el concepto de “riesgo cero” no existe cuando hablamos de gestión del riesgo, en particular, cuando hablamos de los riesgos que pueden suponer los tratamientos de datos personales. Siempre existirá un riesgo inherente o inicial implícito en cualquier tratamiento y, una vez que se hayan aplicado medidas y garantías que lo minimicen, seguirá existiendo un riesgo residual”. En consecuencia, lo que se puede solicitar a mi representada es que implemente un proceso de verificación de la identidad que sea acorde y que, en circunstancias normales, garantice un correcto tratamiento de los datos. Estas medidas estaban implementadas por parte de mi representada cuando se ejecutó la modificación del dato de contacto del reclamante. En concreto, Vodafone realizó la modificación del dato de contacto del reclamante en la medida en la que el ciberdelincuente o estafador acreditó (de forma fraudulenta) que era el reclamante mediante la aportación de los datos personales del reclamante a través de medios ajenos a mi representada, como, por ejemplo, técnicas de ingeniería social. Así pues, mi representada tomó las cautelas necesarias para que estos hechos no se produjeran. Vodafone no pudo comprobar que la solicitud se estaba realizando por un tercero en la medida en la que la identidad del estafador estaba oculta y se hacía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26 pasar por el reclamante, superando mediante técnicas ilícitas las políticas de seguridad establecidas por mi mandante. Así pues, no creemos que sea reprochable el hecho de que Vodafone no haya podido identificar a los criminales, tratándose ésta una tarea más propia de las Fuerzas y Cuerpos de Seguridad del Estado, con los que Vodafone sí colabora. Con todo ello, Vodafone acredita la implementación de un procedimiento robusto a la hora de verificar la identidad de sus clientes, que en circunstancias normales bloquea de manera inmediata cualquier intento fraudulento que pueda tener lugar. Vodafone actualiza sus políticas de seguridad constantemente y mantiene a los agentes informados e instruidos de todos estos cambios. En el presente caso Vodafone también es parte perjudicada, dado que todo este proceso daña su reputación. La Autoridad entiende que, en la medida en la que mi representada no ha facilitado la grabación de la superación de la política de seguridad existe dolo o culpa y, por ende, existe una responsabilidad sancionadora. No obstante, es el estafador o ciberdelincuente el que trata los datos sin base de legitimación alguna vulnerando el artículo 6.1 del RGPD. Por otro lado, la AEPD entiende que el principio de proactividad transfiere a mi representada la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. Este aspecto ha sido cubierto ampliamente por Vodafone aportando los procesos que tiene implementados, así como las instrucciones otorgadas a los agentes. Por lo tanto, mi representada sí que actuó con la diligencia debida, implementando las medidas técnicas y organizativas necesarias, y ha podido evidenciar la superación de sus políticas. No obstante, la Agencia defiende que existe dolo o culpa de mi representada únicamente observando el resultado de los hechos, la modificación de los datos, y posterior portabilidad con adquisición de terminal móvil (ésta última sin llegar a activarse), sin considerar todas las medidas de seguridad implementadas para evitar el fraude. En consecuencia, a través de esta lógica argumental se impone a Vodafone la obligación de evitar todos los fraudes, siendo una obligación absoluta, no una de medios, lo que iría en contra de lo dispuesto por la Audiencia Nacional. Sobre el agravante aplicado por la Agencia a la hora de evaluar la sanción, nos reiteramos en lo dispuesto en las Alegaciones al Acuerdo de Inicio: I. La vinculación de la actividad de Vodafone con la realización de tratamientos de datos de carácter personal - 15 - Efectivamente, existe una vinculación entre la actividad de Vodafone y el tratamiento de datos personales de sus clientes que realiza para llevar a cabo la correcta prestación de los servicios contratados y atender las solicitudes y peticiones que éstos realicen. La Agencia hace referencia a la existencia de imprudencia cuando un responsable del tratamiento no se comporta con la diligencia exigible debiendo insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto. Prueba del especial cuidado y cautela aplicada en el tratamiento de datos personales que lleva a cabo mi representada, son todas las medidas de seguridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/26 implementadas, además de la continua revisión de sus políticas y cumplimiento de las mismas. Por lo que este factor, no debe ser tenido en cuenta como agravante a la hora de graduar la sanción. Sobre los atenuantes no aplicados por la Agencia a la hora de evaluar la sanción: II. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD En efecto, Vodafone no ha probado la identidad del estafador y ciberdelincuente porque precisamente este sujeto ha ocultado su verdadera identidad y se ha hecho pasar por el cliente de Vodafone, superando mediante técnicas ilícitas las políticas de seguridad establecidas por mi mandante. Así pues, no creemos que sea reprochable el hecho de que Vodafone no haya podido identificar a los criminales, tratándose ésta una tarea más propia de las Fuerzas y Cuerpos de Seguridad del Estado, con los que Vodafone sí colabora. Así, Vodafone ha realizado la modificación del dato de contacto porque el estafador o ciberdelincuente ha acreditado (de forma fraudulenta) que era el reclamante mediante la aportación de todos los datos personales necesarios para superar la política de seguridad, habiendo obtenido los datos personales de las víctimas a través de técnicas de ingeniería social. III. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción La Agencia, en su Propuesta de Resolución, desestima este atenuante en la medida en la que entiende que “la respuesta de la reclamada al requerimiento informativo de la Subdirección de Inspección no cumplía esas finalidades, por lo que no es encuadrable en esa circunstancia atenuante”. En este sentido, informar a la Agencia de que Vodafone sí que ha cooperado con la Autoridad en todo este proceso, de hecho como ya indicado, el dato inicialmente modificado por el ciberdelincuente o estafador fue revertido a los 17 minutos, aplicando la cancelación de la portabilidad por los equipos internos de Vodafone sin llegar a producirse daño económico alguno, más allá del estrés que esta parte reconoce que puede haber llegado a ocasionar al reclamante y respecto del cual se ha pedido disculpas como se ha acreditado en la carta en su día enviada al reclamante y aportada al requerimiento de información que obra en el presente expediente. Adicionalmente, se le ha marcado como “víctima de fraude” una vez detectado el suceso y en los sistemas ahora figura una advertencia para los agentes, que también ha sido aportada en las Alegaciones al Acuerdo de Inicio. IV. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En este sentido, informar a la Agencia de que Vodafone no ha obtenido ningún beneficio de esta incidencia, al contrario es parte perjudicada y como ya señalado a lo largo de las alegaciones tampoco se ha producido una pérdida o daño económico en el reclamante, más allá del estrés que esta situación haya podido ocasionar y de la que Vodafone ha tomado acciones enviando una disculpa al cliente vía carta que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 adjuntó en el requerimiento de información realizado por la Autoridad y que consta en el expediente. En virtud de todo lo anterior, solicito a la Agencia Española de Protección de Datos que tenga por presentado este escrito y todos los documentos que lo acompañan y, en su virtud, tenga por efectuadas las manifestaciones en él contenidas y, tras los trámites oportunos, acuerde: 1) El sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas y no poder apreciarse la existencia de culpabilidad. 2) Subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima, a la luz de las circunstancias atenuantes indicadas en el presente escrito>>. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. - La parte reclamante formuló reclamación ante esta Agencia el día 20 de julio de 2022 en la que se hace constar que, a través de sendas notificaciones de Vodafone en fecha 18 de julio de 2022, tuvo conocimiento de la solicitud por parte de un tercero de la portabilidad de una línea de telefonía, así como de la contratación de un terminal móvil a su nombre, sin su consentimiento. SEGUNDO. - Vodafone, reconoce en su escrito de fecha 6 de octubre de 2022 y en sus alegaciones de fecha 9 de agosto de 2023 que el reclamante en el momento de la suplantación era ya cliente de Vodafone, tenía varios servicios contratados con la parte reclamada y constaba en su base de datos con un número de contacto previo. TERCERO. - Obra en el expediente, que en el mensaje de texto de fecha 18 de julio de 2022, enviado al reclamante por la parte reclamada al número de contacto previo, se constata como comunican al reclamante que han modificado su número de teléfono de contacto. Y le indican la contratación de nuevos servicios, la aceptación de las condiciones, la documentación requerida y le envían la nueva tarjeta SIM. CUARTO. – Se constata, que con anterioridad al contrato de fecha 18 de julio de 2022, el tercero procedió a modificar los datos de contacto del reclamante, que se trata de una portabilidad de línea desde otro operador con cambio de titularidad (a nombre del reclamante) y un contrato de venta a plazos de un terminal de alta gama también a su nombre. Consta certificado por una tercera entidad el envío de dos SMS a la nueva línea de contacto para la firma del contrato, constando la firma. QUINTO. - La parte reclamada, no acredita que se haya efectuado la verificación de la identidad del tercero que solicitó la portabilidad de la línea y la contratación de un terminal móvil el día 18 de julio de 2022 a nombre de la parte reclamante. Vodafone reconoce que no dispone de la grabación de la conversación telefónica, ya que no se produjo la grabación de dicha llamada y que los agentes tienen obligación de indicar en las interacciones el paso de la política de seguridad y en este caso no han podido encontrar dicha anotación, siendo esto un error del agente que tramitó la solicitud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Contestación a las alegaciones presentadas La parte reclamada manifiesta que la emisión de los duplicados de la tarjeta SIM no es suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad financiera. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que el tratamiento de datos sea conforme al RGPD. Idénticas consideraciones merece la actuación de las entidades bancarias que proporcionan servicios de pago, en cuyo ámbito se inicia este tipo de estafas, ya que el tercero tiene acceso a las credenciales del usuario afectado y se hace pasar por este. En tanto que estas entidades son responsables del tratamiento de los datos de sus clientes, les competen idénticas obligaciones que las señaladas hasta ahora para las operadoras referidas al cumplimiento del RGPD y la LOPDGDD, y además las derivadas del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26 A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C -101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual. Estas circunstancias han sido tenidas en cuenta a la hora de fijar la sanción. En cuanto a la responsabilidad de Vodafone, debe indicarse que, con carácter general Vodafone trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
2. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
3. e)y
4. f)del RGPD. Por otra parte, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos, para la contratación de la línea móvil. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/26 que se implantan y mantienen medidas de seguridad apropiadas para proteger eficazmente la confidencialidad, integridad y disponibilidad de todos los datos personales de los cuales son responsables, o de aquellos que tengan por encargo de otro responsable. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de Vodafone se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir, desde la óptica de la culpabilidad, estamos ante un error vencible ya que con la aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones de identidad se hubieran podido evitar. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. Asimismo, solicita con carácter subsidiario que esta Agencia acuerde el archivo del procedimiento por inexistencia de culpabilidad. Rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/26 elemento subjetivo o culpabilístico es una condición indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. A tal efecto se hace necesario traer a colación la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), que indica: “76 A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C-681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, Lundbeck/Comisión, C-591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C-601/16 P, EU:C:2021:244, apartado 97).” (el subrayado es nuestro). El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. La reclamada ha invocado distintos argumentos para justificar la ausencia de culpabilidad de su conducta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/26 La decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que las circunstancias del caso exigen. En cumplimiento del principio de culpabilidad la AEPD ha acordado en numerosas ocasiones el archivo de procedimientos sancionadores en los que no concurría el elemento de la culpabilidad del sujeto infractor. Supuestos en los que, pese a existir un comportamiento antijurídico, había quedado acreditado que el responsable había obrado con toda la diligencia que resultaba exigible, por lo que no se apreciaba culpa alguna en su conducta. Ese ha sido el criterio mantenido por la Sala de lo Contencioso Administrativo, sección 1ª, de la Audiencia Nacional. Pueden citarse, por ser muy esclarecedoras, las siguientes sentencias: - SAN de 26 de abril de 2002 (Rec. 895/2009) que dice: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” - SAN de 29 de abril de 2010, Fundamento Jurídico sexto, que, a propósito de una contratación fraudulenta, indica que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/26 control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”, establece: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.[...]”. Cabe preguntarse cuáles son los parámetros de la diligencia debida que Vodafone debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar es la que era precisa para cumplir las obligaciones que le impone la disposición Adicional Única de la Ley 25/2007 en relación con los artículos 5.2, 24 y 25 del RGPD, a la luz de la doctrina de la Audiencia Nacional y la jurisprudencia del Tribunal Supremo. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/26 recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. III Obligación incumplida Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
5. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
6. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
7. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
8. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
9. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
10. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
11. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Resulta preciso señalar que el artículo 4.1 del RGPD define: «datos personales» como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” En ese sentido el Considerando 40 del RGPD señala: “