PS-00261-2023

1/20  Expediente N.º: EXP202207989 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 13 de junio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra TELEFÓNICA MÓVILES ESPAÑA, S.A. con NIF A78923125 (en adelante, la parte reclamada o “TME”). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el 29 de julio de 2020, un tercero solicitó a “TME” el cambio de titularidad de su línea móvil, procediendo a realizar la parte reclamada dicha gestión sin ninguna comprobación. Así las cosas, el reclamante tuvo conocimiento de lo ocurrido el día 5 de agosto de 2020, al efectuarse dicha modificación y quedarse sin línea, dado que el cambio llevaba aparejado una nueva tarjeta SIM. Posteriormente, recuperó la citada línea, tras solicitar un duplicado de la tarjeta SIM. No obstante, manifiesta que con anterioridad a la recuperación de la línea, el tercero se valió de la información contenida en el teléfono móvil de la parte reclamante para acceder a sus datos bancarios y realizar varias sustracciones fraudulentas de dinero de su cuenta. Por otro lado, a raíz de lo ocurrido, a través del Instituto Galego de Consumo, solicita a la parte reclamada copia de la grabación de la llamada relativa al cambio de titularidad y cuando recibe la misma comprueba que, en dicha llamada, un tercero manifiesta que cuenta con el consentimiento del titular para realizar el cambio de línea a su nombre y facilita nombre, apellidos y DNI de ambos (siendo las dos letras finales del DNI, en ambos casos, erróneas). Y, aporta la siguiente documentación relevante: Denuncia formulada ante las dependencias de la Guardia Civil el día 6 de agosto de 2020. Diligencias policiales por estafa bancaria dirigidas al Juzgado. Atestados policiales de fechas 24 y 25 de septiembre de 2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 Acta de la declaración del investigado y Providencia judicial de fecha 27 de abril de 2022. Factura del duplicado de la tarjeta SIM. Contestación de la reclamada a través de la cual aporta la grabación de la llamada y grabación de la llamada relativa al cambio de titularidad, así como transcripción de la misma. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 1 de agosto de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 22 de septiembre de 2022 se recibe en esta Agencia escrito de respuesta indicando que en relación a los hechos reclamados, “TME” informa de que existe una solicitud de cambio de ICC de la tarjeta SIM del reclamante el día 5 de agosto de 2020 a las 17:45 horas a través de uno de sus Puntos de Venta. Ese mismo día a las 20:14 horas, tal como explica el reclamante en su escrito de reclamación, se solicita otro cambio de ICC para recuperar su línea. Asimismo, manifiesta que “TME” cuenta con una operativa adecuada sobre el cambio de tarjetas SIM, indicando que cuando un cliente solicita el duplicado de una tarjeta SIM en una tienda Movistar, el procedimiento a seguir es el denominado “Cambio de tarjeta SIM”, que para clientes particulares de la marca comercial Movistar, como es el presente caso, consiste en lo siguiente: En caso de personas físicas la persona habilitada para llevar a cabo la gestión serían el titular de la línea sobre la que se solicita el duplicado, o un representante legal o autorizado por el titular. Por otro lado, indican que para mayor grado de protección, en cuanto a la acreditación de la identidad del cliente, se establece un doble control: La identificación del cliente, entendiéndose por identificar la demostración o el reconocimiento de la identidad de la persona tanto verbalmente (cuando el cliente indica su número de DNI) como visualmente (cuando el cliente presenta su documento de identidad, lo que comporta un mayor nivel de seguridad). TERCERO: De conformidad con el artículo 65 de la Ley LOPDGDD, cuando se presentase ante la Agencia Española de Protección de Datos (en adelante, AEPD) una reclamación, ésta deberá evaluar su admisibilidad a trámite, debiendo notificar a la parte reclamante la decisión sobre la admisión o inadmisión a trámite, en el plazo de tres meses desde que la reclamación tuvo entrada en esta Agencia. Si, transcurrido este plazo, no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en el Título VIII de la Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 Dicha disposición también resulta de aplicación a los procedimientos que la AEPD hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes. En este caso, teniendo en cuenta lo anteriormente expuesto y que la reclamación se presentó en esta Agencia, en fecha 13 de junio de 2022, se comunica que su reclamación ha sido admitida a trámite, el día 13 de septiembre de 2022, al haber transcurrido tres meses desde que la misma tuvo entrada en la AEPD. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El procedimiento establecido por Telefónica para el cambio de titularidad de la línea, vigente en el mes de julio de 2020, era el establecido a continuación: “1. El cliente llama al 1004 solicitando la gestión de su cambio de titularidad y el agente comercial le solicita la identificación del nuevo titular del servicio, solicitando los datos de nombre y documento de identidad. Adicionalmente, se solicitan los siguientes datos en función de si la citada persona ya consta dada de alta en nuestros sistemas o no:

1. a)si figura como cliente en planta: se solicita autorización para usar los datos de domicilio y cuenta bancaria que constan en las bases de datos, solicitando confirmación del número de calle y los 4 últimos dígitos de la cuenta.
2. b)clientes nuevos que no figuran en sus bases de datos: solicitud de domicilio, número de cuenta bancaria y titularidad. 2. Solicitud de identificación de los datos de titularidad del actual propietario de la línea, mediante indicación de su nombre, apellidos y documento de identidad. 3. En caso de verificación por parte del agente comercial de los datos aportados anteriormente, se solicita confirmación de que el antiguo titular consiente la cesión de la línea, afirmando conocer y asumir la situación de la misma y los servicios que tiene contratados. Adicionalmente, se informa de que contactaremos con el antiguo titular para solicitar la autorización de la cesión. 4. Llamada al antiguo titular de la línea, al número que va a ser cedido, y tras solicitar que se identifique mediante su nombre, apellidos y número de identificación, confirme que está conforme con la citada cesión. Lo anterior, era registrado mediante grabación telefónica para cada uno de los intervinientes, quedando custodiadas en sus sistemas a los efectos oportunos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 En caso de tratarse de cambios de titularidad a empresa o de DNI a Pasaporte, la gestión es derivada al canal presencial, donde el cliente deberá presentar la documentación correspondiente. Detalle de si este procedimiento se aplicó o no para el caso de este cliente, y en caso de que no hubiese sido aplicado, motivos que lo hicieron posible. En el presente caso, el agente comercial tan sólo realizó la grabación referente al nuevo titular de la línea, por lo que puede deducirse que no siguió el procedimiento establecido con respecto a la grabación de la llamada del antiguo titular. Adjuntan como Anexo 1 copia de la grabación que sí quedó registrada en nuestros sistemas. 3. El anterior procedimiento fue modificado en octubre de 2020. En este sentido, desde la citada fecha, cuando una persona interesada en dicha gestión se pone en contacto telefónico con nuestro servicio de atención al cliente, se desencadena la siguiente operativa: 1. El agente telefónico registra los datos del nuevo titular (nombre, documento de identidad y teléfono de contacto) y crea una tarea en nuestros sistemas por las que deriva la gestión de la llamada al actual titular a un BackOffice especialista. 2. En paralelo, en la primera de las llamadas, se continúa con la solicitud del cambio de titularidad por parte del nuevo titular en la que se solicitan: 2.1 Identificación del nuevo titular del servicio, solicitando los datos de nombre y documento de identidad. Adicionalmente, se solicitan los siguientes datos en función de si la citada persona ya consta dada de alta en nuestros sistemas o no:
3. a)si figura como cliente en planta: se solicita autorización para usar los datos de domicilio y cuenta bancaria que constan en las bases de datos, solicitando confirmación del número de calle y los 4 últimos dígitos de la cuenta.
4. b)clientes nuevos que no figuran en nuestras bases de datos: solicitud de domicilio, número de cuenta bancaria y titularidad. 2.2 Solicitud de identificación de los datos de titularidad del actual propietario de la línea, mediante indicación de su nombre, apellidos y documento de identidad. 2.3 En caso de verificación por parte del agente comercial de los datos aportados anteriormente, se solicita confirmación de que el antiguo titular consiente la cesión de la línea, afirmando conocer y asumir la situación de la misma y los servicios que tiene contratados. Adicionalmente, se informa de que contactaremos con el antiguo titular para solicitar la autorización de la cesión. 3. Llamada al antiguo titular de la línea desde el BackOffice especializado, al número que va a ser cedido, y tras solicitar que se identifique mediante su nombre, apellidos y número de identificación, confirme que está conforme con la citada cesión. Esta solicitud es igualmente grabada a los efectos oportunos. En caso de tratarse de cambios de titularidad a empresa o de DNI a Pasaporte, la gestión es derivada al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 canal presencial, correspondiente”. donde el cliente deberá presentar la documentación QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad TELEFÓNICA MÓVILES ESPAÑA, S.A. es una gran empresa constituida en el año 1988, y con un volumen de negocios de 4.406.624.000 euros en el año 2021. SEXTO: Con fecha 20 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, como cuestión previa señala prejudicialidad penal y sobre los hechos que motivan la incoación del presente acuerdo de inicio de procedimiento sancionador manifiesta inexistencia de comisión de infracción. disconformidad con el acuerdo de inicio del expediente sancionador indican que, si bien han podido determinar que no se ha seguido el protocolo establecido en lo relativo a la grabación del antiguo titular, señala la parte reclamada que esto en ningún caso supone admitir, presuponer o verificar que el duplicado de la tarjeta SIM no se realizó conforme a la operativa establecida a tales efectos, señalando el procedimiento establecido por Telefónica para los cambios de titularidad de línea por parte de los clientes de los productos y servicios de la marca O2 en el año 2020 y que se adoptaron las medidas adicionales en octubre de 2020, la autorización de la cesión. Por tanto, manifiestan que Telefónica trabaja continuamente en la mejora de las medidas de las que dispone con el objetivo de evitar la suplantación de identidad en los distintos procesos de contratación y posteriores gestiones que soliciten los titulares a través de los diferentes canales. En este sentido, no puede entender que la Agencia considere que Telefónica no cuenta con una diligencia debida a la hora de adoptar una operativa de identificación de clientes adaptada a las exigencias contempladas en la normativa de protección de datos, y que lo vincule a un tratamiento no lícito de los datos personales del Reclamante. Añade que, debe tenerse en cuenta por parte de la Agencia, que tanto Telefónica como el resto de los operadores, deben enfrentarse a terceros cuya intención es la comisión de delitos de suplantación. La parte reclamada, manifiesta que la conducta seguida por Telefónica en ningún caso puede ser considerada típica, dado que la conducta realizada por Telefónica no es subsumible en el precepto cuya infracción se imputa y que tampoco puede ser considerada antijurídica. Telefónica considera que ha actuado en todo momento con buena fe y fundada creencia excluyente de toda culpabilidad. En este caso, señala la reclamada, conforme a la operativa, el cliente se habría identificado con los datos correctos para la solicitud del cambio de titularidad, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 quedando constatado que estaríamos ante un error de tipo invencible, donde se desconocía la antijuricidad de la conducta, debiendo procederse al archivo del procedimiento, al no poderse determinar la culpabilidad de Telefónica y de forma subsidiaria se declare la inexistencia de responsabilidad por parte de Telefónica por las presuntas infracciones que se le imputan en este procedimiento, ordenando el archivo del presente expediente sancionador o subsidiariamente y para el caso de que no se proceda al archivo del presente expediente sancionador, se suspenda el presente procedimiento y se requiera al reclamante a fin de que aporte en qué punto está la denuncia interpuesta, así como el contenido del procedimiento penal que en su caso se encuentre en marcha, con el fin de determinar si existe prejudicialidad penal y por último, en caso de que no se estimasen ninguna de las pretensiones anteriores, que se minore la sanción inicialmente propuesta en virtud de las atenuantes estipuladas en el art. 83 del RGPD. OCTAVO: Con fecha 10 de julio de 2023, el instructor del procedimiento acordó practicar las siguientes pruebas: “1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento AI/00355/2022. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por TELEFÓNICA MÓVILES ESPAÑA, S.A., y la documentación que a ellas acompaña”. NOVENO: Con fecha 13 de septiembre de 2023 se formuló la propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a la reclamada, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 70.000 euros. DÉCIMO: Notificada la propuesta de resolución, La parte reclamada presentó escrito de alegaciones ratificándose en las realizadas al Acuerdo de Inicio, solicitando se suspenda el presente procedimiento y se requiera al reclamante a fin de que aporte en qué punto está la denuncia interpuesta, así como el contenido del procedimiento penal que en su caso se encuentre en marcha, con el fin de determinar si existe prejudicialidad penal, proponga declaración de inexistencia de responsabilidad por parte de la reclamada por presunta infracción que se le imputa en el presente procedimiento, y se dicte en su día Resolución ordenando el archivo del presente expediente sancionador al margen referenciado, y subsidiariamente, minore la sanción inicialmente propuesta del art. 83 del RGPD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO.- La parte reclamante formuló reclamación ante esta Agencia el 13 de junio de 2022 en la que se hace constar que, un tercero el 29 de julio de 2020 solicito a “TME” el cambio de titularidad de su línea móvil, llevándose a cabo el día 5 de agosto de 2020, fecha en la que se quedó sin servicio en su teléfono móvil. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 El suplantador valiéndose de la información contenida en el teléfono móvil, accede a la banca online de la parte reclamante (con sus claves y contraseñas) realizando numerosos cargos y operaciones fraudulentas en su cuenta bancaria. SEGUNDO.- En la grabación de la llamada relativa al cambio de titularidad, un tercero manifiesta que cuenta con el consentimiento del titular para realizar el cambio de línea a su nombre y facilita nombre, apellidos y DNI de ambos (siendo las dos letras finales del DNI, en ambos casos, erróneas). TERCERO.- “TME” reconoce en su respuesta, de fecha 3 de abril de 2023, a la solicitud de requerimiento de información de esta Agencia de fecha 17 de marzo de 2023: <<en el presente caso, el agente comercial tan solo realizó la grabación referente al nuevo titular de la línea, por lo que puede deducir que no siguió el procedimiento establecido con respecto a la grabación de la llamada del antiguo titular>>. CUARTO.- No está acreditado que se haya efectuado la llamada comprobando la efectiva voluntad del reclamante, propietario de la línea, para el cambio de titularidad. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Prejudicialidad penal Con carácter previo procede resolver la alegación presentada por “TME”, en base a la existencia de una prejudicialidad penal. Se manifiesta sobre estos hechos que están siendo actualmente objeto de una investigación penal. Considera que, por ello, en aplicación del principio de prejudicialidad penal recogido en el artículo 10 de la Ley Orgánica del Poder Judicial, no debe resolverse el asunto en vía administrativa en tanto en cuanto no se resuelva por la vía penal. Ello, manifiesta, dado que los hechos declarados probados vincularán a la Agencia respecto a un posible procedimiento sancionador, conforme a lo previsto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 en el artículo 77.4 de la Ley 39/2015. Debe tenerse en cuenta que el art. 77.4 de la LPACAP, señala que: “En los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien”. Sin embargo, hay que indicar, que no existe la triple identidad necesaria para aplicar el artículo 77 de la LPACAP, (de sujeto, hecho y fundamento), entre la infracción administrativa que se valora y la posible infracción o infracciones penales que se pudieran derivar de las presuntas Diligencias Previas practicadas por un órgano jurisdiccional. Esto, porque el sujeto infractor es obvio que no sería el mismo –respecto a las infracciones de la LOPDGDD el responsable es Telefónica, en tanto que el responsable penal de un eventual delito de usurpación de personalidad o estafa sería el tercero que se hubiera hecho pasar por el reclamante. Tampoco el fundamento jurídico sería el mismo: mientras el bien jurídico protegido por la LOPDGDD es el derecho fundamental a la protección de datos personales, el bien jurídico que se protege en los tipos penales cuya comisión investigaría, llegado el caso, el Juzgado de Instrucción serían el estado civil, el patrimonio, etc. En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de 27/04/2012 (rec. 78/2010), en cuyo Fundamento Jurídico segundo el Tribunal se pronuncia en los siguiente términos frente al alegato de la recurrente de que la AEPD ha infringido el artículo 7 del R.D. 1398/1993 (norma que estuvo vigente hasta la entrada en vigor de la LPACAP): “En este sentido el Art. 7 del Real Decreto 1398/1993, de 4 de agosto, del procedimiento para el ejercicio de la potestad sancionadora, únicamente prevé la suspensión del procedimiento administrativo cuando se verifique la existencia efectiva y real de un procedimiento penal, si se estima que concurre identidad de sujeto, hecho y fundamento de derecho entre la infracción administrativa y la infracción penal que pudiera corresponder. No obstante, y para la concurrencia de una prejudicialidad penal, se requiere que ésta condicione directamente la decisión que haya de tomarse o que sea imprescindible para resolver, presupuestos que no concurren en el caso examinado, en el que existe una separación entre los hechos por los que se sanciona en la resolución ahora recurrida y los que la recurrente invoca como posibles ilícitos penales. Así, y aun de haberse iniciado, en el presente supuesto, y por los hechos ahora controvertidos, también actuaciones penales frente a la empresa distribuidora, lo cierto es que tanto la conducta sancionadora como el bien jurídico protegido son distintos en una y otra vía (contencioso-administrativa y penal). En el ámbito penal, el bien jurídico protegido es una posible falsedad documental y estafa, y en el ámbito administrativo, en cambio, la facultad de disposición de sus datos personales por parte de su titular, por lo que tal objeción de la demandada ha de ser rechazada”. En consideración a lo expuesto no puede prosperar la cuestión planteada por Telefónica y debe ser rechazada. Por otra parte, “TME” cita en su descargo una serie de resoluciones dictadas por la AEPD, manifestando que en el EXP20210446 se procedió al archivo del mismo al entender que ya había un expediente sancionador en curso por los mismos hechos y que “Telefónica ya ha sido sancionada por los mismos hechos que hoy se desarrollan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 en este procedimiento, la Agencia impuso la sanción a través del procedimiento con referencia PS/00021/2021 por lo que incumple principio non bis ídem”. Sobre este particular, procede resaltar que dichos procedimientos tuvieron por objeto analizar los procedimientos seguidos para gestionar las solicitudes de cambio de SIM por parte de Telefónica, identificando las vulnerabilidades que puedan existir en los procedimientos operativos implantados, para detectar las causas por las cuales se pueden estar produciendo estos casos, así como encontrar puntos de incumplimiento, mejora o ajuste, para determinar responsabilidades, disminuir los riesgos y elevar la seguridad en el tratamiento de los datos personales de las personas afectadas. En el procedimiento sancionador PS/00021/2021, tramitado contra la parte reclamada se le imputó la violación del artículo 5.1f), no se le imputa el fraude, ni el tratamiento de datos sin legitimación sino una falta de garantías de las medidas de seguridad que produce una cesión de datos a un tercero. III Obligación Incumplida Con carácter previo resulta preciso señalar que el artículo 4.1 del RGPD define: «datos personales» como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
5. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
6. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
7. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
8. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
9. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
10. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
11. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. A su vez, el artículo 6.1 de la LOPDGDD, indica, sobre el tratamiento de los datos personales basado en el consentimiento del afectado que: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen (…)”. En el presente caso, resulta acreditado que un tercero el día 29 de julio de 2020 solicitó a través de una llamada telefónica a “TME” el cambio del titular de la línea móvil del reclamante, sin el consentimiento del titular de la línea. Pues bien, “TME”, reconoce en su respuesta de fecha 17 de marzo de 2023, al requerimiento de información de esta Agencia: <<en el presente caso, el agente comercial tan sólo realizó la grabación referente al nuevo titular de la línea, por lo que puede deducirse que no siguió el procedimiento establecido con respecto a la grabación de la llamada del antiguo titular>>. En definitiva, el duplicado se consiguió cambiando previamente la titularidad de la línea. La propia reclamada reconoce que hubo un error en la tramitación del duplicado, ya que su procedimiento consiste en que para cambios de titularidad se contacta con el anterior titular para que confirme su consentimiento, y en este caso no se hizo. En consecuencia, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada, dado que no se siguió el procedimiento implantado, ya que, de haberlo hecho, se debió haber producido la denegación del mismo. A la vista de lo anterior, “TME” no logra acreditar que se haya seguido ese procedimiento y por consiguiente hubo un tratamiento ilícito de los datos personales de la parte reclamante, contraviniendo con ello el artículo 6 del RGPD. En cuanto a la responsabilidad de “TME”, debe indicarse que, con carácter general Telefónica trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
12. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
13. e)y
14. f)del RGPD. Por otra parte, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos, para recibir el duplicado de la tarjeta SIM. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 que se implantan y mantienen medidas de seguridad apropiadas para proteger eficazmente la confidencialidad, integridad y disponibilidad de todos los datos personales de los cuales son responsables, o de aquellos que tengan por encargo de otro responsable. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de “TME” se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir, desde la óptica de la culpabilidad, estamos ante un error vencible, ya que con la aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones de identidad se hubieran podido evitar. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. De conformidad con las evidencias de las que se dispone, se estima que la conducta de la parte reclamada vulnera el artículo 6.1 del RGPD siendo constitutiva de la infracción tipificada en el artículo 83.5.
15. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 “