PS-00281-2021

1/75  Expediente N.º: PS/00281/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: A.A.A. (en lo sucesivo, la parte reclamante) interpone reclamación ante la Agencia Española de Protección de Datos (AEPD) con fecha 25/02/2021.La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U., con NIF A80907397 (en adelante, la parte reclamada o VODAFONE). La reclamación se basa en que la reclamada ha dado de alta una línea telefónica prepago asociada al NIF de la reclamante, quien niega haberla contratado; ha consultado el sistema de información crediticia de EQUIFAX utilizando como criterio de búsqueda el NIF de la reclamante pese a no ostentar un interés legítimo para ese tratamiento; no ha atendido los derechos de acceso y supresión ejercidos por la reclamante y ha respondido a su solicitud de supresión que, al existir una línea vinculada a su NIF, “no podrá suprimir sus datos hasta que no llegue la fecha de expiración de la línea siempre y cuando el propietario no realice alguna recarga”. La reclamante ha aportado anexos a la reclamación estos documentos: 1. Copia de ocho correos electrónicos que intercambió desde su dirección electrónica, ***USUARIO.1@gmail.com, con VODAFONE en la dirección derechosprotecciondatos@vodafone.es. 1.1.- De fecha 19/12/2020, enviado por la reclamante, en el que solicita el acceso a sus datos que pudieran figuran en los registros de VODAFONE y con el que le remite una copia de su DNI. 1.2.- De 21/12/2020 a las 19:20 horas, enviado por VODAFONE, en el que responde que, a la vista de su solicitud de acceso, de conformidad con el artículo 15 del RGPD, “Lamentamos informarle de que no se encuentra legitimada para obtener el derecho de acceso con respecto a los datos personales (Documento Nacional de Identidad) que constan en el sistema de VODAFONE ESPAÑA ya que usted no registra en el mismo como titular de los datos requeridos. Le recordamos que, si lo desea, puede ejercitar sus derechos de supresión, acceso, limitación, rectificación y portabilidad mediante el envío de una comunicación por escrito, acompañada de copia de su DNI o documento identificativo equivalente, a la dirección [...]” (El subrayado es nuestro) 1.3.- De 21/12/2020 a las 20:21 horas, enviado por la parte reclamante con este texto: “Se adjunta denuncia interpuesta ante la policía nacional debido a una usurpación de mi identidad, por lo cual les estoy solicitando el acceso a los datos personales que puedan aparecer relacionados con mi DNI o nombre, ya que ustedes han consultado mis datos el día 15/09/2020 18:40:27 en un fichero de Equifax de manera ilegítima ya que no tengo ningún contrato ni relación con ustedes.” La reclamante le remite a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/75 reclamada copia de la denuncia policial, de su DNI y de su solicitud de ejercicio del derecho de acceso. 1.4.- De 29/12/2020, enviado por VODAFONE con una respuesta idéntica a la del mensaje electrónico que dirigió a la reclamante el 21/12/2020. 1.5.- De 24/01/2021, enviado por la reclamante, en el que ejerce el derecho de supresión de sus datos. El texto es el siguiente: “Se envía este email para solicitar la supresión de mis datos de sus bases de datos, ya que no me proporcionan la información relacionada con mi DNI, y no deberían tener ninguno de mis datos ya que no tengo ninguna relación con Vodafone. Se adjunta: -Solicitud firmada. -DNI -Y ampliación de la denuncia en la que se ha proporcionado a la policía nacional la información que me indican junto a la de otras empresas. [...]” 1.6.- De 26/01/2021, de VODAFONE, en el que responde: “[...] A la vista de su solicitud, en la que ejercita el derecho de supresión de sus datos personales de conformidad con el artículo 17 del Reglamento (UE) 2016/679 [...] Lamentamos informarle de que esta entidad no puede generar la supresión de los datos solicitados ya que los mismos son necesarios para prestar el servicio a la línea prepago ***TELÉFONO.1, entendemos la finalidad de su requerimiento, sin embargo y en caso de no reconocer el producto podríamos generar una rectificación de datos para que el servicio conste a su nombre y pueda realizar uso del mismo; recalcamos que los productos prepago no pueden ser desactivados, en su defecto podemos esperar a que la tarjeta expire (Aproximadamente se estima fecha de expiración a Junio de 2021 si no se generan recargas), luego de ello podría requerir nuevamente su derecho de supresión.” (El subrayado es nuestro) 1.7.- De 01/02/2021, de la reclamante, con este texto: “[...] Me indican desde el canal de Vodafone España de facebook que abrieron la petición número 10915XXXX al departamento de fraude, donde notifican que efectivamente hay un error y que está solventado. ¿Me pueden confirmar la supresión de mis datos? [...] ” 1.8.- De 03/02/2021, enviado por VODAFONE, en el que dice que “[...] En respuesta a su correo, debemos de informarle que la línea ***TELÉFONO.1 correspondiente al fichero registrado con su número de Documento Nacional de Identidad fue expirada por nuestra área de fraude con la finalidad de evitar cualquier tipo de uso, sin embargo la misma aun registra en nuestro sistema y solo será desconectada hasta el mes de Junio de 2021, lo que imposibilita que sus datos sean suprimidos de nuestro sistema. No obstante, el departamento de protección de datos genera un comunicado general alertando a todas nuestras áreas el omitir cualquier tipo de gestión sobre el fichero fraudulento, anexo a ello generamos la oposición al trato y uso de los datos con finalidad comercial. Por último, realizamos la aclaración que su requerimiento (Supresión de datos) solo podrá ser atendido hasta la fecha expuesta con anterioridad (Junio de 2021), por ende es necesario que nos remita esta petición a finales del mes expuesto. Le recordamos que, si lo desea, puede ejercitar sus derechos de acceso, rectificación, limitación, oposición y portabilidad mediante el envío de una comunicación por escrito, acompañada de copia de su DNI o documento identificativo equivalente, a la dirección [...]” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/75 2. Copia de la denuncia que interpuso en la comisaría de policía el 11/12/2020 y de la ampliación de denuncia de fecha 23/01/2021. 2.1. Denuncia de 11/12/2020 (Atestado XXXXX/20) en la que la reclamante expone los hechos acaecidos el 12/11/2020: al activar la tarjeta de crédito de la entidad financiera ING recibe un mensaje de texto negándole la activación ya que consta incluida en el fichero BADEXCUG. Tras consultar el motivo de la inclusión, pues no tiene ninguna deuda, le responden que figura una deuda pendiente derivada de una compra realizada en internet con la empresa Sequra por un importe de XXX,XX€. Contacta con esa empresa, que le remite la copia de un contrato con sus datos personales si bien el segundo apellido y la letra del DNI son erróneos. La reclamante les informa que ella no ha efectuado ninguna compra y le responden que debe de interponer denuncia en la Policía. A preguntas del agente que levanta el atestado manifiesta que no ha perdido la documentación y que los datos han podido obtenerse del BOE pues ha solicitado varias becas y sus datos han sido publicados con el mismo error. A la pregunta del agente relativa a si le había sucedido algo parecido anteriormente responde que intentó darse de alta a través de su aplicación móvil en la cadena “(…)” y le comunicaron que ya había otra persona dada de alta con su nombre, pero no le dio importancia. 2.2. Atestado XXX/21. Esta denuncia es ampliatoria “de la inicial XXXXX/20 de 11/09/2020 y ampliatoria de la XXXXX/20 de 15/12/20”. La denunciante aporta, en relación con el teléfono que supuestamente fue comprado con sus datos personales, los siguientes datos utilizados por los autores del hecho que le facilitó la empresa con la que supuestamente contrató: email ***USUARIO.2@outlook.com. Fecha de nacimiento 17/08/19XX. 3. Un documento con el anagrama de EQUIFAX, de fecha “11/12/2020”, con el resultado de las búsquedas realizadas por el identificador NIF ***NIF.1 (el de la reclamante) En el apartado “Operaciones en el fichero Asnef”, no constan datos. En el apartado “Histórico de consultas” aparece registrada una consulta efectuada el 15/09/2020 a las 18:40.27.8. por Vodafone Ono, S.A.U. 4. Diversas capturas de pantalla obtenidas de la página que VODAFONE tiene en Facebook con fragmentos de la conversación mantenida a través del chat entre ambas. La reclamante dice: “pueden consultar el hilo de correos que mantuve con protección de datos de Vodafone. Les mandé fotocopia del DNI, denuncia de la policía y tienen datos falsos en sus bases de datos [...]”. La reclamada contesta: “¿Qué te parece si revisamos tu caso desde aquí? Facilítanos tus datos de cliente (nombre, apellidos, teléfono y DNI) para poder gestionar lo que necesites.” La reclamante advierte que ella no es cliente de la operadora y se niega a facilitar por esta vía ningún documento, pese a la insistencia de la entidad reclamada. La última captura de pantalla recoge la respuesta de la reclamada en la que afirma que, desde el departamento de fraude, “a través de la petición que enviamos en el día de ayer nº 10915XXXX, lo han catalogado como un error, que desde dicho departamento lo han subsanado.” Consta la fecha de 31/01/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/75 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se dio traslado de la reclamación a la reclamada para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 05/07/2021 se recibe la respuesta de VODAFONE en la que afirma que ha comunicado a la reclamante que, con fecha 27/05/2021, ha dado cumplimiento efectivo a su derecho de supresión. Aporta copia de la carta de fecha 25/06/2021 dirigida a la reclamante (documento anexo 1) en la que si bien le comunica la supresión de sus datos no consta referencia alguna a la fecha de 27/05/2021. La reclamada respondió a las actuaciones de traslado realizadas por esta Agencia en los términos siguientes: 1.Sobre las causas que motivaron la incidencia que ha originado la reclamación, “confirma” que el 19/12/2020 la reclamante ejerció el derecho de acceso a sus datos y que le respondió el 21/12/2020 informándole de “que no se encuentra legitimada para obtener el derecho de acceso con respecto a los datos personales (Documento Nacional de Identidad) que consta en el sistema de mi [la reclamada] ya que la Señora [la reclamante] no está registrada como titular de los datos requeridos.” “Esto se debe a que los datos de la Sra. [la reclamante] estaban relacionados con un tercero que utilizó los datos de la Interesada de forma fraudulenta. En este supuesto, el único dato personal de la reclamante que está relacionado con este fraude es el DNI, motivo por el cual en las evidencias que se aportan de los sistemas de mi representada aparece información de un tercero “B.B.B.”, con el DNI de la reclamante ***NIF.1.” Añade que la reclamante ejercitó de nuevo el derecho de acceso el 21/12/2020 y que le respondió en los mismos términos de su contestación de fecha 21/12/2020. Además, reconoce que la reclamante solicitó la supresión de sus datos y que le respondió el 26/01/2021 que “en este caso, el servicio contratado y relacionado con sus datos se trata de un servicio prepago, lo que significa que una vez emitido no se puede dar de baja hasta que expire. En este sentido, se le indica a la Sra. [reclamante] que el servicio está programado para expirar en junio de 2021.” Manifiesta que la reclamante acudió a Facebook y que le comunicó por esta vía que se había informado al departamento de Fraude de la compañía para que analizara su caso; que, tras recibir esta información, la reclamante le remitió un email el 01/02/2021 solicitando la supresión de sus datos al que la reclamada responde el 03/02/2021 “informando a la [reclamante] de que se ha registrado el caso como fraudulento para evitar cualquier tipo de uso adicional de sus datos. Sin embargo, se le comunica que la línea, al ser de prepago, no se puede desconectar hasta el mes de junio de 2021, lo que imposibilita que los datos de la Interesada sean suprimidos del sistema de mi representada.” 2. A propósito de las medidas adoptadas para evitar que se produzcan incidencias similares, VODAFONE respondió que los hechos “han sido provocados por un fraude de un tercero al superar las políticas de seguridad de [la operadora reclamada] satisfactoriamente, pues para llevar a cabo el alta de una línea prepago se exige la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/75 exhibición de un documento oficial de identificación ante los agentes de las tiendas físicas de [la operadora reclamada].” Indica que no conoció la existencia de este fraude hasta que se le fue notificado por la reclamante y que en ese momento “se inicia un procedimiento para comprobar los hechos y solucionar la situación.” (El subrayado es nuestro) Expone que, como consecuencia de este proceso, el departamento de Fraude clasificó la situación como fraudulenta y generó un comunicado general que alertaba a todas las áreas de la compañía para omitir cualquier tipo de gestión sobre el fichero fraudulento. El documento anexo 3 que VODAFONE ha aportado refleja la información que consta en la pestaña “Inf. de Contacto”, vinculada al NIF de la reclamante, que está asociado al nombre de B.B.B., en la que bajo la rúbrica “Form>Detalle Aviso” aparece esta leyenda: “No generar cambios en este fichero. No dar de alta ningún tipo de producto, está calificado como fraude. Los datos registrados en la clienta son erróneos y pertenecen a otro usuario.” (El subrayado es nuestro) 3.La reclamada manifiesta que ha atendido la solicitud de la reclamante de suprimir sus datos de sus sistemas, “previo bloqueo de los datos de la interesada” y aporta a tal fin, además de la carta que le dirigió el 25/06/2021 (documento anexo 1), como documento anexo 4 diversas capturas de pantalla con la siguiente información: En la pestaña “Registro de clientes” figura con el “Nº de orden V” la referencia ***REFERENCIA.1; como “Título” “Instalación Prepago Con...” y como “F. Apertura” “17/11/2020”. En el recuadro inferior, “Peticiones, reclamaciones, averías”, se registran varias reclamaciones, entre ella una de fecha 26/01/2021 con esta información: Como “Tipo”, consta “Fraude”; como “Código”, “posible fraude” y como “Subcódigo”, “Suplantación”. En la pestaña “Info. de contacto” figura el NIF de la reclamante. Una pantalla emergente pregunta si desea realizar la acción de cancelación de datos para ese NIF y en ella está marcada la opción “sí”. En la siguiente captura de pantalla un mensaje emergente dice que no se ha encontrado ningún contacto coincidente con los criterios de búsqueda. TERCERO: Con fecha 2/06/2021 se admite a trámite la reclamación formulada por la reclamante. De conformidad con el artículo 65.5 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos de carácter personal y garantía de los derechos digitales (LOPDGDD), esa decisión se notificó a la reclamante el 2/06/2021. CUARTO: Acuerdo de inicio. Con fecha 3/02/2022 la Directora de la AEPD acuerda iniciar procedimiento sancionador a VODAFONE con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción de los artículos 6.1.(dos infracciones) 15 y 17 del RGPD, tipificadas, respectivamente, en los artículos 83.5.

1. a)y 83.5.
2. b)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/75 El acuerdo de inicio se notificó a VODAFONE electrónicamente, conforme a lo previsto en la LPACAP como lo acredita el certificado expedido por la FNMT que obra en el expediente. QUINTO: Solicitud de ampliación de plazo y copia del expediente. Mediante escrito recibido en la AEPD el 14/02/2022 VODAFONE solicita que se amplíe el plazo otorgado inicialmente para formular alegaciones y que se le entregue una copia del expediente. La AEPD, mediante escrito que la reclamada recibió el 21/02/2022, le notifica que se otorga, por el máximo permitido por el artículo 32.1 de la LPACAP, la ampliación de plazo solicitada y le remite una copia de la documentación. SEXTO: Alegaciones al acuerdo de inicio. El 28/02/2022 VODAFONE presenta en esta Agencia sus alegaciones al acuerdo de apertura en las que, en relación con la infracción del artículo 15 del RGPD, solicita “tener por reconocida la responsabilidad de Vodafone Ono, S.A.U.” Respecto a las restantes infracciones del RGPD que se le imputaron en el acuerdo de iniciación -vulneración de los artículos 6.1. y 17 del RGPD- niega su comisión y solicita el sobreseimiento del expediente con el consiguiente archivo de las actuaciones. Subsidiariamente, para el caso de que se impusiera alguna sanción, solicita que ésta se fije en la cuantía mínima en aplicación de las atenuantes cuya concurrencia invoca. En apoyo de sus pretensiones aduce lo siguiente: 1. En primer término acota “el objeto del debate” y hace un listado de lo que considera son “unos hechos, desnudos de cualquier valoración jurídica, que entendemos que son relevantes y deben tenerse en cuenta a la hora de decidir sobre la imposición de las sanciones a Vodafone y, llegado el caso, sobre su cuantía.”: <<1. Los hechos se refieren a un único interesado (la Reclamante) que no es cliente de Vodafone. 2. El único dato personal de la Reclamante que fue tratado por Vodafone fue el relativo a su Documento Nacional de Identidad ("DNI"): ***NIF.1. 3. Dicho dato personal se encuentra disponible, junto con el nombre y apellidos de la Reclamante, (…). 4. El 15 de septiembre de 2020, Vodafone realizó una consulta en el sistema de información crediticia e Equifax con el DNI de la Reclamante. Asimismo, en septiembre de 2020 hasta un total de cinco entidades distintas realizaron consultas a Equifax con dicho NIF. Cuatro de estas consultas se realizaron el 16 de septiembre de 2020, un día después de la realizada por Vodafone. 5. El 17 de noviembre de 2020, un tercero, bajo el nombre de B.B.B. (el "Tercero"), dio de alta una tarjeta prepago utilizando el número de DNI de la Reclamante. 6. La tarjeta prepago no fue dada de alta a nombre de la Reclamante, sino del propio Tercero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/75 7. El número de DNI de la Reclamante, como ella misma admite y como queda acreditado en el expediente, ha sido utilizado para que terceros contraten o intenten la contratación de otros servicios y realicen compras que nada tienen que ver con Vodafone. 8. Como la Reclamante admite, la usurpación de la identidad no se produce como consecuencia de la conducta de Vodafone, sino con anterioridad al contacto del Tercero con Vodafone: "Tras solicitar el acceso en varios ficheros de morosos debido a una usurpación de identidad se observa que Vodafone ONO SAU ha consultado mi DNI en ASNEF Equifax.>> (El subrayado es nuestro) 2. Las cuestiones sobre las que VODAFONE se pronuncia en su escrito de alegaciones al acuerdo de inicio son estas: (
3. i)VODAFONE “no ha infringido el artículo 6.1 del RGPD en ninguno de los tratamientos de datos identificados en el Acuerdo de Inicio”: A) Alta de la línea móvil prepago "a nombre de la reclamante"; y B) consulta a un fichero de información crediticia vinculada al DNI de la reclamante. (
4. ii)Subsidiariamente, para el caso de que la AEPD entendiera que sí ha habido infracción, alega que “no existe culpa en las infracciones imputadas [...] y, en consecuencia, no puede imponerse sanción alguna.” (iii) VODAFONE ha reconocido la responsabilidad por la infracción del artículo 15 del RGPD relativo al derecho de acceso. (
5. iv)VODAFONE niega haber infringido el artículo 17 del RGPD, relativo al derecho de supresión. (
6. v)Subsidiariamente, “para el caso de que se entendiera que Vodafone ha infringido los artículos 6.1 y/o 17 del RGPD y, en el caso de la infracción del artículo 6.1, se considere que sí puede imponerse una sanción a la parte reclamada, deberán tenerse en cuenta las circunstancias atenuantes” que invoca en la alegación sexta de su escrito. Las consideraciones que VODAFONE hace sobre cada una de las cuestiones apuntadas son, en síntesis, las siguientes: (
7. i)1. Vulneración del artículo 6.1. del RGPD: alta de la línea móvil prepago a nombre de la reclamante. Comienza exponiendo lo que, a su parecer, es la postura mantenida por la AEPD en el acuerdo de inicio. “La Agencia entiende que "el tratamiento del NIF de la reclamante vinculado a la contratación de una línea prepago a nombre de B.B.B.. [el Tercero], línea que la reclamada dio de alta el 17 de noviembre de 2020, no estaba fundado en ninguna de las circunstancias legitimadoras del tratamiento previstas en el artículo 6.1 RGPD", y que por ello el precepto resultaría infringido. Siguiendo con su argumentación, la Agencia afirma que Vodafone "ha de poder acreditar que la persona con la que contrató y se identificó con determinados datos personales -en particular el NIF de la reclamante- era efectivamente su titular", así como que Vodafone "no ha facilitado ninguna prueba que acredite C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/75 que, con ocasión de contratar la línea asociada al NIF de la reclamante, obró con la diligencia que es exigible en cumplimiento del principio de licitud; principio que está obligada a respetar y cuyo cumplimiento ha de poder demostrar". Según la Agencia, la "mera exhibición de un documento identificativo [...] constituye una medida claramente ineficaz e insuficiente". A continuación, hace esta “aclaración”: que el tercero que intervino en la contratación no contrató la línea “a nombre de la reclamante” sino a su propio nombre. “En primer lugar, queremos aclarar que no estamos ante un supuesto de suplantación de identidad en el que un tercero haya contratado una línea o solicitado un duplicado de tarjeta SIM "a nombre de la reclamante" (así se afirma de forma manifiestamente errónea y ajena a la verdad, por ejemplo, en las páginas 31 y 42 del Acuerdo de Inicio). Lo que ha sucedido es que el Tercero, utilizando el número de DNI de la reclamante, ha dado de alta una tarjeta prepago a su propio nombre, no al de la reclamante. En otras palabras, el titular de la línea móvil de prepago es el Tercero, no la reclamante.” (El subrayado es nuestro) Por último, VODAFONE niega haber vulnerado el principio de licitud y estima que sí estaba legitimada para tratar el dato del NIF de la reclamante que el tercero que intervino en la contratación le facilitó. Hace sobre el particular las siguientes declaraciones: “A diferencia de lo que opina la Agencia, Vodafone entiende que sí que estaba legitimada para tratar los datos personales utilizado por el Tercero –solicitante de una tarjeta prepago –, entre ellos el número de DNI facilitado, cuestión distinta es que el dato del DNI tratado no correspondiera al Tercero que es quien contrata la tarjeta prepago. Si bien no compartimos la interpretación – demasiado estricta, a nuestro parecer – de la base jurídica legitimadora del artículo 6.1
8. b)del RGPD que la Agencia hace en el último párrafo de la página 15 del Acuerdo de Inicio, resulta que la base jurídica legitimadora que ampara el tratamiento de Vodafone es la indicada en el artículo 6.1
9. c)del RGPD: el cumplimiento de una obligación legal. Esta obligación legal la encontramos en la Disposición Adicional Única de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones (la “Ley 25/2007”), que establece que: "1. Los operadores de servicios de telefonía móvil que comercialicen servicios con sistema de activación mediante la modalidad de tarjetas de prepago, deberán llevar un libro-registro en el que conste la identidad de los clientes que adquieran una tarjeta inteligente con dicha modalidad de pago. Los operadores informarán a los clientes, con carácter previo a la venta, de la existencia y contenido del registro, de su disponibilidad en los términos expresados en el número siguiente y de los derechos recogidos en el artículo 38.6 de la Ley 32/2003. La identificación se efectuará mediante documento acreditativo de la personalidad, haciéndose constar en el libro-registro el nombre, apellidos y nacionalidad del comprador, así como el número correspondiente al documento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/75 identificativo utilizado y la naturaleza o denominación de dicho documento. En el supuesto de personas jurídicas, la identificación se realizará aportando la tarjeta de identificación fiscal, y se hará constar en el libro-registro la denominación social y el código de identificación fiscal". La reclamada finaliza su argumentación con esta afirmación: “Vodafone está obligada por la Ley 25/2007 a tratar el "número correspondiente al documento identificativo utilizado" por el comprador de la tarjeta prepago; cuestión distinta es que dicho número resulte ser erróneo o haya sido utilizado mediante un fraude por un tercero, pero ello no podrá suponer, en ningún caso, una infracción del artículo 6.1 del RGPD.” Sobre el “grado de diligencia” que desplegó en relación con la conducta que ha dado origen a la infracción del artículo 6.1 del RGPD que se le imputó en el acuerdo de apertura (alta de una línea prepago vinculada al NIF de la reclamante), considera que ha sido el “adecuado”. Así, dice: “En cualquier caso, las medidas adoptadas por Vodafone para acreditar la identidad del solicitante de la tarjeta prepago no son ineficaces ni insuficientes.” (El subrayado es nuestro) En defensa de esa posición aduce: “Creemos conveniente tomar como punto de partida lo exigido por la legislación, que entendemos que es la vara de medir que debe ser tomada por Vodafone y el resto de operadores. En primer lugar, la Ley 25/2007 antes citada, norma directamente aplicable a Vodafone, indica que los operadores de servicios de telefonía móvil que comercialicen tarjetas prepago deberán acreditar la identidad de los clientes que adquieran una de estas tarjetas "mediante documento acreditativo de la personalidad, haciéndose constar en el libro-registro el nombre, apellidos y nacionalidad del comprador, así como el número correspondiente a documento identificativo utilizado y la naturaleza o denominación de dicho documento". La norma no exige que se guarde copia del DNI, sino solo de los datos que obran en el documento facilitado. Asimismo, aunque la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General, no resulta de aplicación al caso, sí que nos sirve como botón de muestra a fin de demostrar que la exhibición de un DNI es suficiente para identificar a la persona que va a ejercer uno de los derechos fundamentales por antonomasia, el derecho de voto.” VODAFONE añade que “la obligación de identificación ha sido debidamente trasladada por esa entidad a su mayorista, Sercom Soluciones, S.L. ("Sercom") que, a su vez, suscribió un acuerdo con el punto de venta que dio de alta la tarjeta prepago al Tercero.” Nos remitimos a las estipulaciones de los contratos celebrados entre VODAFONE y SERCOM y entre esta última y el punto de venta ***ESTABLECIMIENTO.1 que se reproducen al final de este Antecedente. Continuando con la cuestión de la diligencia que dice haber desplegado, la reclamada añade: “Por lo demás, en su Acuerdo de Inicio la Agencia estaría exigiendo a Vodafone y, por extensión a miles de puntos de venta de Vodafone y del resto de operadoras de telefonía, que se implementara, por ejemplo, un software de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/75 escaneo y verificación de DNIs: "La mera exhibición de un documento identificativo, al que la reclamada alude -afirma que el tercero que contrató superó la política de seguridad de la compañía por cuanto exhibió el documento identificativo-, constituye una medida claramente ineficaz e insuficiente que está muy por debajo de las posibilidades que el desarrollo técnico actual ofrece y que no toma en consideración el evidente riesgo que la contratación de servicios que la reclamada comercializa representa para los derechos y libertades de las personas". Lo anterior supone exigir a Vodafone un grado de diligencia totalmente desmedido y fuera del estándar de mercado: no sólo es superior a los estándares que dicta la normativa aplicable (nos remitimos a la Ley 25/2007), sino que no se sigue ni tan siquiera en actuaciones tan sensibles como el ejercer el derecho a voto. Dicho esto, si la Agencia pretende aumentar las exigencias en materia de identificación incorporando obligaciones de conservación y verificación técnica de documentos, lo que procede es aprobar reglas a tal fin pero, en ningún caso, podrá acusarse a Vodafone de negligencia o de falta de solidez de las medidas tomadas en este momento, sino que primero deberían establecerse las citadas reglas y posteriormente, en su caso, sancionar a la operadora que no las aplique, pero lo que no es conforme a Derecho es pretender utilizar directamente la vía sancionadora como método de fijación de los parámetros de seguridad exigibles. De hecho, en este caso concreto no existe ninguna posibilidad para los operadores privados de comprobar si el número de DNI corresponde efectivamente a la persona que dice ser su titular y lo acredita con un documento que puede estar manipulado. Lo contrario iría en contra de la normativa de protección de datos, y es que la única forma de evitar un fraude como el que ha dado origen a este expediente sería que Vodafone tuviera acceso a una base de datos que permitiera comprobar que si el número de DNI empleado por el solicitante pertenece en realidad al solicitante en cuestión.” (El subrayado es nuestro) 2. Vulneración del artículo 6.1 del RGPD: consulta al fichero de EQUIFAX vinculada al NIF de la reclamante efectuada el 15/09/2020. VODAFONE niega la infracción imputada y resume así la posición mantenida por la AEPD en el acuerdo de apertura: “La Agencia considera que: 1. No hay ninguna prueba que vincule la consulta realizada a Equifax el 15 de septiembre de 2020 con el alta de la línea prepago hecha el 17 de noviembre de 2020, [...]. 2. En el supuesto de que la consulta no estuviera vinculada con el alta de la línea prepago, Vodafone no habría "facilitado información sobre el origen del dato tratado y acerca de cuál fue el motivo de la consulta", por lo que el tratamiento no podría calificarse de "legítimo" en el sentido del artículo 20.1
10. e)de la LOPDGDD.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/75 A continuación, dedica un apartado específico en su escrito de alegaciones a subrayar que “el número de DNI de la Reclamante fue utilizado para realizar multitud de consultas”: “Tal y como ha quedado acreditado en el expediente, el número de la Reclamante fue utilizado por distintos actores (entre ellos, Vodafone) para realizar varias consultas a mediados de septiembre”. Incorpora a su escrito una relación de consultas al fichero de EQUIFAX (un total de nueve) efectuadas por siete entidades distintas utilizando como criterio de búsqueda el NIF de la reclamante durante el periodo de tiempo comprendido entre el 19/06/2020 y el 16/09/2020. La reclamada niega que la consulta al fichero de EQUIFAX constituya una infracción de la normativa de protección de datos y sostiene que “se realizó respetando lo dispuesto en el artículo 20.1
11. e)de la LOPDGDD” y estuvo relacionada con “una solicitud online”. Sobre la “solicitud online” vinculada al NIF de la reclamante que supuestamente recibió no aporta ningún documento que pruebe su existencia. La información que facilita sobre la aludida “solicitud online” consiste en la manifestación de que el producto sobre el que versó la petición de contratación implicaba una financiación, pago aplazado o facturación periódica, para concluir sin más que el tratamiento sí estaba comprendido en el ámbito de aplicación del artículo 20.1
12. e)de la LOPDGDD. Seguidamente expone las diferencias entre el alta de productos prepago y post pago a efectos de examinar la solvencia del cliente. Dice que “el alta de tarjetas prepago no implican un proceso de scoring y de consulta a ficheros de morosidad. Dichos procesos (incluyendo la consulta a Equifax) sólo se aplican a las financiaciones o a los productos de Vodafone que suponen un pago aplazado o una facturación periódica.” A efectos de prueba aporta como documentos 5 y 6, las "Condiciones Generales de los Servicios de Comunicaciones Móviles. Prepago" y las “Condiciones Generales de los Servicios de Comunicaciones Móviles Pospago. Particulares", respectivamente, e indica que su lectura permite comprobar que, mientras que en las relativas a servicios pospago sí se informa sobre la posibilidad de que esa entidad compruebe la solvencia del cliente mediante consultas a ficheros de solvencia patrimonial y de crédito ("Vodafone podrá comprobar la solvencia del Cliente a través de procedimientos automatizados de "scoring", mediante la obtención de datos de las entidades bancarias facilitadas por el Cliente o a través de ficheros de solvencia patrimonial y de crédito"), esa posibilidad no se menciona en las relativas a servicios prepago. Para mayor claridad se transcribe el siguiente fragmento de sus alegaciones: “El pasado 15 de septiembre de 2020 Vodafone realizó una consulta al fichero ASNEF con el DNI [...]. Esta consulta no está en modo alguna vinculada con el alta de tarjeta prepago que se llevó a cabo en noviembre de 2020, dos meses después, sino con una solicitud online. En este sentido, el alta de tarjetas prepago no implican un proceso de scoring y de consulta a ficheros de morosidad. Dichos procesos (incluyendo la consulta a Equifax) sólo se aplican a las financiaciones o a los productos de Vodafone que suponen un pago aplazado o una facturación periódica.[..]” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/75 En definitiva, la reclamada niega la comisión de las dos infracciones del artículo 6.1 del RGPD que se le imputaron en el acuerdo de inicio del expediente y dice que “En consecuencia, no podrá imponerse a Vodafone la sanción propuesta por la Agencia.” (
13. ii)Con carácter subsidiario, para el caso de que la AEPD entienda que sí existieron las infracciones que la reclamada niega, se alega de contrario que falta en ambos casos el necesario elemento de la culpabilidad, lo que impediría a esta Agencia sancionar esas conductas. 1. La reclamada afirma que ha actuado en todo momento cumpliendo con la diligencia que le es exigible, que no concurre en su conducta culpabilidad, ni a título de dolo ni a título de culpa. Manifiesta que ha empleado la diligencia que le era exigible para identificar al solicitante de la tarjeta prepago pues “ha cumplido con lo dispuesto en la Ley 25/2007.” Invoca como fundamento el artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP), que proclama el principio de culpabilidad en el ámbito del procedimiento administrativo sancionador y exige que el sujeto infractor sea responsable a título de dolo o culpa, y se refiere también a la sentencia del Tribunal Supremo de 23 de enero de 1998 [RJ 1998\601]) en la que el Tribunal expone que “para la exculpación no bastará la invocación de la ausencia de culpa, sino que será preciso que se haya empleado la diligencia que era exigible por quien aduce su inexistencia.” Añade que “la Audiencia Nacional ha entendido, en casos en los que un tercero ha accedido, mediante actividades delictivas, a datos de los interesados custodiados por un responsable del tratamiento (no es el caso, Vodafone no custodiaba los datos de la Reclamante), que imputar tales hechos al responsable del tratamiento podría conllevar la vulneración del principio de culpabilidad.” Cita a tal efecto la SAN, Sala de lo Contencioso-Administrativo, Sección 1ª, de 25/02/2010. En consideración a lo expuesto dice: “En este caso, estamos ante una práctica delictiva llevada a cabo por un tercero quien, actuando con dolo, ha facilitado el número de DNI de un tercero al solicitar el alta de una tarjeta prepago en su propio nombre, superando los controles establecidos por Vodafone. Luego, si la anterior jurisprudencia ha resultado de aplicación en casos en los que los datos de los interesados eran custodiados por el responsable del tratamiento, con mayor razón deberá aplicarse también a aquellos otros casos en los que no pesa el deber de custodia sobre el responsable (quien puede lo más, puede lo menos).” 2. Alega que, en este supuesto, el tratamiento de un dato personal de la reclamante “se ha debido a la existencia de un error humano, que son inevitables y sobre los que Vodafone no puede tener un control efectivo.” Argumenta lo siguiente: “[...] pueden existir casos, como el presente, en el que Vodafone trate un dato personal que no pertenece al solicitante de la tarjeta prepago, sino a un tercero (el Reclamante). Es lo que ha sucedido en este caso: es una evidencia y no lo negamos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/75 En estos supuestos (residuales), estaríamos ante supuestos en los que el solicitante (el Tercero), valiéndose de artimañas y utilizando a su favor su experiencia criminal, ha logrado burlar los controles establecidos por Vodafone, provocando el error humano en el Punto de Venta. La Agencia se ha pronunciado en numerosas ocasiones sobre los errores humanos, destacando que los mismos no pueden ser castigados. Por ejemplo, en el Procedimiento Sancionador PS/00210/2019 y en el Procedimiento E/02877/2019, en los que se citó la Sentencia de la Audiencia Nacional (Sala de lo Contencioso, Sección 1ª) de 23 de diciembre de 2013 [JUR 2014\15015], en la que a su vez se destacó que: "La cuestión, pues, ha de resolverse conforme a los principios propios del derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional". Y añade a continuación: “A mayor abundamiento, si la Audiencia Nacional y la Agencia han considerado el error humano como excusable en supuestos en los que no existía ningún elemento externo que indujera a la persona física en cuestión a incurrir en el error, con mayor razón deberá apreciarse la excusabilidad del mismo cuando ha sido un tercero quien, mediante dolo criminal, ha inducido de forma directa al error.” (El subrayado es nuestro) (iii) VODAFONE ha reconocido la responsabilidad por la infracción del artículo 15 del RGPD relativo al derecho de acceso. La reclamada ha manifestado al respecto: “Tal y como hemos avanzado en la Alegación Previa anterior, Vodafone reconoce su responsabilidad única y exclusivamente por la infracción del artículo 15 del RGPD, lo que deberá llevar aparejada una reducción de un 20% de la sanción propuesta para esta infracción (100.000 euros). Asimismo, en caso de que el pago se realizara antes de la resolución del presente procedimiento, la sanción debería reducirse en un 20% adicional, siendo la cuantía a pagar de 60.000 euros.” (
14. iv)VODAFONE niega la infracción del artículo 17 del RGPD derivada de no haber procedido a suprimir el dato del NIF de la reclamante cuando ella ejercitó este derecho. Alega que actuó correctamente y que no existe infracción del artículo 17 del RGPD. A propósito de su respuesta a la supresión del dato del NIF solicitada por la reclamante, reconoce que la “redacción” fue “poco afortunada” y dice que lo relevante a efectos de determinar si se ha infringido el artículo 17 del RGPD no es tanto la respuesta que se haya facilitado a la reclamante –“no negamos que la misma fuera desafortunada”- sino el respeto por su parte de la normativa aplicable. En defensa de que su actuación fue acorde con el artículo 17 del RGPD aduce lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/75 1.En primer término, en congruencia con su alegación primera, en la que niega la vulneración del artículo 6.1 del RGPD derivada de haber vinculado el alta de un servicio prepago al NIF de la afectada, quien no intervino en la contratación de ese servicio, considera que no ha existido un tratamiento ilícito del dato del NIF de la reclamante. Dice sobre el particular que el tratamiento del número de DNI que le proporcionó el tercero solicitante de la tarjeta prepago “[...] viene impuesto por la disposición Adicional Única de la Ley 25/2007”. Y añade que “Vodafone no guarda ese dato (número de DNI) relacionado con la identidad de la Reclamante, sino con la identidad (nombre y apellidos) del Tercero. Nos remitimos a lo ya expuesto en la Alegación Primera para evitar repeticiones innecesarias.” 2. En segundo término, alega que, en el supuesto de hecho aquí planteado, concurrían dos de las excepciones previstas en el apartado 3 del artículo 17 del RGPD: De una parte, la excepción prevista en el apartado
15. b)del artículo 17.3: “El tratamiento del número de DNI facilitado por el Tercero era necesario para que Vodafone cumpliera con una obligación legal (artículo 17.3
16. b)del RGPD)”. La obligación legal de tratar el dato del DNI y de conservarlo vendría impuesta por la Disposición Adicional Única y el artículo 5, ambos de la Ley 25/2007. Así, considera que, conforme a la Disposición Adicional, “los operadores de telefonía están obligados a recabar determinados datos del solicitante de una tarjeta prepago, entre ellos “el número correspondiente al documento identificativo utilizado””. Y que estaba obligado a conservar el DNI “facilitado por el contratante de la tarjeta prepago” en virtud de la obligación de conservación del artículo 5 de la Ley 25/2007, precepto que resulta aplicable al dato del NIF “facilitado por el solicitante de una tarjeta prepago” en virtud de la remisión a ese artículo que hace el punto 2 de la Disposición Adicional. De otra parte, alega que concurría la excepción del apartado
17. e)del artículo 17.3 del RGPD. Afirma al respecto: “Asimismo, Vodafone estaba facultada para conservar el dato facilitado por el Tercero para el caso de que en el futuro dicho dato fuera necesario para formular, ejercer o defenderse de alguna reclamación. En este sentido, vuelve a cobrar importancia el hecho de que Vodafone no había asociado con la identidad de la Reclamante, sino con la del Tercero, esto es, quien dio de alta la tarjeta prepago, que además había sido marcada como "fraude".” (
18. v)Subsidiariamente, para el caso de que se entendiera que la reclamada ha infringido los artículos 6.1 y/o 17 del RGPD y, respecto a las infracciones del artículo 6.1 del RGPD, se concluyera que sí se puede imponer una sanción, rechaza la aplicación de las agravantes que se apreciaron en el acuerdo de inicio y solicita que se estimen las atenuantes que invoca. La reclamada alega, en síntesis, lo siguiente: 1. Infracción del artículo 6.1 del RGPD, concretada en el alta de una línea prepago vinculada al NIF de la reclamante: Solicita que se gradúe a la baja la sanción. Niega que concurran las agravantes que se apreciaron en el acuerdo de inicio y hace las siguientes consideraciones a propósito de cada una de ellas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/75 1.1. Sobre la circunstancia agravante del artículo 83.2.
19. a)del RGPD, la duración de la infracción teniendo en cuenta el propósito de la operación de tratamiento: “La Agencia considera que estamos ante una "infracción permanente", [...]. No estamos de acuerdo con la consideración de esta circunstancia como agravante[...] En primer lugar, [...], la Ley 25/2007 (Disposición Adicional Única en relación con su artículo 5) impone al operador (Vodafone) la obligación de recabar y conservar "el número correspondiente al documento identificativo utilizado". En segundo lugar, el artículo 83.2
20. a)del RGPD establece que la "duración de la infracción" se utilizará como agravante o atenuante "teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido". En el presente caso sólo hay un afectado (la Reclamante) y no se ha acreditado que se hayan generado daños y perjuicios. En tercer lugar, las Sentencias de la Audiencia Nacional de 16 de septiembre de 2008 (Rec. 488/2006) y del Tribunal Supremo de 17 de abril de 2002 (Recurso 466/2000) citadas en el Acuerdo de Inicio no resultan de aplicación, pues los supuestos de hecho y su naturaleza son totalmente distintos. En ambas sentencias, que no versan sobre protección de datos personales, estamos ante una conducta reiterada, consciente y activa por parte de los infractores, elementos que no encontramos en el caso de Vodafone.” 1.2. Sobre la circunstancia agravante del artículo 83.2.
21. d)del RGPD, el “grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32”: Se remite a lo invocado en la alegación primera a propósito de la solicitud del DNI para acreditar la identidad del contratante de un servicio prepago. Añade que, “en cuanto a los riesgos, no estamos ante un caso de suplantación de identidad en el que el servicio haya sido contratado "en nombre de" la Reclamante, sino que ha sido contratado por el Tercero en su propio nombre utilizando el número de DNI de la Reclamante.” 1.3. Sobre la circunstancia agravante del artículo 83.2.
22. e)del RGPD, “Toda infracción anterior cometida por el responsable o encargado del tratamiento”: Muestra su discrepancia con el criterio de la AEPD que ha considerado “antecedentes "pertinentes" los hechos acaecidos en los siguientes procedimientos sancionadores: PS/00193/2021, PS/00186/2020, PS/00009/2020, PS/303/2020 y PS 348/2020.” Subraya que estos procedimientos versaron sobre casos en los que un tercero, haciéndose pasar por los reclamantes, contrató productos a nombre de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/75 reclamantes y éstos últimos recibieron las correspondientes facturas, lo que no ha sucedido en el supuesto enjuiciado ahora. 1.4. Sobre la circunstancia agravante del artículo 83.2.
23. g)del RGPD, “Las categorías de los datos de carácter personal afectados por la infracción”: Muestra su desacuerdo con el criterio de la Agencia que “considera que, atendiendo a lo dispuesto en el Considerando 75 del RGPD, el número de DNI sería un "dato particularmente sensible en tanto en cuanto [...] un tercero puede suplantar la identidad de una persona física con total facilidad, con los riesgos que esto comporta para la privacidad, el honor y el patrimonio del suplantado". Justifica la inaplicación de la agravante en que no ha existido una usurpación de identidad; en que el NIF de la reclamante “no fue expuesto por Vodafone”, sino que aparece publicado en el BOE y en que no fue VODAFONE quien facilitó al tercero el dato personal de la reclamante, sino que el tercero estaba ya en posesión de ese dato. Reproducimos el texto de su alegato: “En nuestra opinión, son varias las consideraciones a tener en cuenta. En primer lugar, el Considerando 75 del RGPD hace referencia a que "el tratamiento pueda dar lugar a problemas de usurpación de identidad". En nuestro caso, a diferencia de los citados por la Agencia en el punto anterior, no se ha producido una usurpación de identidad: el Tercero ha contratado en su propio nombre, no en el nombre de la Reclamante. Es el Tercero quien es titular de la tarjeta prepago, no la Reclamante. En segundo lugar, el número de DNI (único dato afectado) no fue expuesto por Vodafone, sino que fue publicado – (…) – (…). (…). Es decir, no es que Vodafone con su conducta haya facilitado a un tercero un dato personal, sino que ese tercero ya estaba en posesión del dato personal y lo que hace es utilizarlo en fraude contra la interesada y contra la propia Vodafone.” (El subrayado es nuestro) Solicita que se apliquen las atenuantes siguientes: (
24. i)(
25. ii)La “inexistencia de intencionalidad o negligencia (artículo 83.2
26. b)del RGPD)” La “cooperación con la autoridad de control al haber contestado al traslado de la reclamación y haber facilitado la información solicitada (artículo 83.2
27. f)del RGPD).” 2. Infracción del artículo 6.1 del RGPD, concretada en la consulta al fichero de EQUIFAX. Solicita que se gradúe a la baja la sanción. Niega la concurrencia de las agravantes apreciadas en el acuerdo de inicio y dice en este sentido: 2.1. Sobre la circunstancia agravante del artículo 83.2
28. a)del RGPD, “La gravedad de la infracción teniendo en cuenta el propósito de la operación de tratamiento” dice: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/75 “La Agencia considera que la consulta al fichero Equifax "representa una muy grave intromisión en la esfera privada de la reclamante", pues la Reclamante no mantiene ninguna relación con Vodafone. Sin perjuicio de que, como se ha visto en la Alegación Segunda anterior, la consulta no estaba relacionada con el alta de la tarjeta prepago, el artículo 83.2
29. a)del RGPD establece que la gravedad se utilizará como agravante o atenuante "teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido". En el presente caso sólo hay un afectado (la Reclamante) y no se ha acreditado que se hayan generado daños y perjuicios.” 2.2. Sobre la circunstancia agravante del artículo 83.2
30. b)del RGPD, “La intencionalidad o negligencia en la infracción”, dice: “Según la Agencia, la falta de diligencia de Vodafone sería "grave", pues el tratamiento "se realizó sin haber verificado previamente si tenía la legitimación necesaria". Como se ha expuesto en la Alegación Segunda, Vodafone sí estaba legitimada a llevar a cabo el tratamiento en cuestión en virtud del artículo 20.1
31. e)de la LOPDGDD: la consulta no estaba relacionada con la solicitud de alta de la tarjeta prepago, sino con un contrato que supone la financiación, el pago aplazado o la facturación periódica. Por lo demás, el número de DNI con el que se realizó la consulta fue facilitado de forma fraudulenta por el Tercero, esto es, no se trata de una consulta realizada de forma indiscriminada. Por ello, no se podrá apreciar una falta de diligencia, y mucho menos calificarla como grave.” 2.3. Sobre la agravante del artículo 83.2
32. e)del RGPD, “Toda infracción anterior cometida por el responsable del tratamiento”, dice: “La Agencia considera que son de aplicación los precedentes citados al pronunciarse sobre la primera infracción del artículo 6.1 del RGPD: PS/00193/2021, PS/00186/2020, PS/00009/2020, PS/303/2020 y PS 348/2020” y que, en consecuencia, se remite a lo expuesto en el punto 3 respecto a la infracción anterior. 2.4. Sobre la agravante del artículo 83.2 g), “Las categorías de los datos de carácter personal afectados por la infracción”, se remite a lo alegado para esta circunstancia en el punto 4 de la infracción analizada anteriormente. Solicita que se apliquen las circunstancias atenuantes siguientes: (
33. i)La cooperación con la autoridad de control, al haber contestado al traslado de la reclamación y haber facilitado la información solicitada, artículo 83.2
34. f)del RGPD. (
35. ii)Que la supuesta infracción no se alargara en el tiempo, artículo 83.2
36. a)del RGPD y 76.2
37. a)de la LOPDGDD. (iii) La inexistencia de beneficios obtenidos a través de la infracción, artículo 83.2
38. k)del RGPD y artículo 76.2
39. c)de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/75 3. Infracción del artículo 17 del RGPD. Solicita la graduación a la baja del importe de la sanción. Rechaza la aplicación de las agravantes que se apreciaron en el acuerdo de inicio: 3.1. Sobre la circunstancia agravante del artículo 83.2.
40. a)del RGPD, “La importante gravedad de la infracción teniendo en cuenta el alcance de la operación de tratamiento”, dice: “La Agencia achaca a Vodafone un "desconocimiento absoluto del contenido del derecho" de supresión, ignorando, en opinión de esta Agencia, "cuáles son las obligaciones que derivan para ella del artículo 17 del RGPD". Dicho sea, con el debido respeto, no estamos de acuerdo con el carácter generalizado de la valoración subjetiva de la Agencia. Como hemos expuesto en la Alegación Quinta, a la que nos remitimos, aunque la Agencia acabe entendiendo que Vodafone ha infringido el artículo 17 del RGPD, existen argumentos para defender que se ha actuado de conformidad con lo dispuesto en el artículo 17 del RGPD:
41. a)No ha tratado el número de DNI de forma ilícita.
42. b)En cualquier caso, estaba obligada por ley a conservar dicho dato y, además, el mismo era necesario para la formulación, el ejercicio o la defensa de reclamaciones 3.2. Sobre la circunstancia agravante del artículo 83.2
43. b)del RGPD, “La intencionalidad o negligencia de la infracción”, dice: “La Agencia califica de "gravísima" la falta de diligencia de Vodafone por no haber atendido "la supresión del dato del NIF solicitada por la reclamante pese a estar obligada a ello conforme al artículo 17.1
44. d)RGPD". Aunque se considerara que el tratamiento del número de DNI facilitada por el Tercero es ilícito (quod non), deberá tenerse en cuenta la obligación de conservación impuesta en la Ley 25/2007 que, en opinión de esta parte, hace que la infracción no pueda calificarse de "gravísima negligencia". Solicita que se apliquen como atenuantes estas circunstancias: (
45. i)Artículo 83.2.
46. f)RGPD: “la cooperación con la autoridad de control al haber contestado al traslado de la reclamación y haber facilitado la información solicitada”. (
47. ii)Artículo 83.2.
48. k)del RGPD y 76.2.
49. c)LOPDGDD: la “inexistencia de beneficios obtenidos a través de la infracción”. Por último, VODAFONE propone como prueba la admisión de los documentos que aporta anexos a sus alegaciones: 1. Captura de pantalla “acreditativa de que el mayorista que ha suscrito un contrato con Vodafone es Sercom Soluciones, S.L. quien, a su vez, contrató con el punto de venta encargado de dar de alta la tarjeta prepago en cuestión, ***ESTABLECIMIENTO.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/75 2. Copia del contrato de Distribución Mayorista Prepago no exclusivo Vodafone suscrito el 01/06/2019 entre Sercom Soluciones, S.L., (en adelante SERCOM) y VODAFONE. Destaca de su contenido la cláusula decimosegunda, dedicada al “Cumplimiento de la normativa aplicable” que estipula: Apartado 12.1: “Como consecuencia del desarrollo de los servicios de distribución mayorista, el mayorista podrá acceder a ciertos datos de carácter personal siempre que, a través suya o de los Puntos de Venta Minoristas a los que suministre, contraten los servicios de VODAFONE. Por este motivo, y de conformidad con la normativa vigente, el MAYORISTA tendrá la consideración de encargado de tratamiento debiendo formalizar el acuerdo estándar de tratamiento de datos que se adjunta como Anexo III, a través del cual se recogen sus obligaciones en esta materia.” El Apartado 12.2. dice: “Asimismo, el Mayorista dará traslado de todas las obligaciones en materia de protección de datos de carácter personal a los puntos de venta Minoristas y certificará haber dado traslado de estas obligaciones mediante la firma de un certificado estándar que se adjunta como documento IV.” (El subrayado es nuestro) El Apartado 12.3. “El Mayorista declara conocer y aceptar las políticas de VODAFONE relativas al Fraude, Riesgo y Protección de la Información recogidas en el Anexo V del presente contrato, y se compromete a implantar sus propias políticas relativas a estos extremos relativas al desarrollo de su actividad y a trasladar las mismas al Punto de Venta. [....]“ El Anexo II al contrato, “Recogida de datos. Contrato de distribución mayorista” dice: “El presente Anexo, [...], contiene las instrucciones relativas al cumplimiento de la disposición Adicional Única de la Ley 25/2007, de 18 de octubre, de Conservación de datos relativos a las Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones respecto de (
50. i)la identificación presencial y recogida de datos de los clientes que adquieran una Tarjeta Prepago o un Pack Prepago con carácter previo a la venta y (
51. ii)la información a los mismos en los términos descritos en la citada Ley , todo ello de conformidad con lo dispuesto en la cláusula 11.2 del Contrato de Distribución Mayorista del que este Anexo trae causa. Los requisitos y procedimientos recogidos a continuación son los mínimos que deberá cumplir el Mayorista o en su defecto el Punto de Venta minorista en cumplimiento de lo establecido en el párrafo anterior, sin perjuicio del cumplimiento de otros procedimientos vigentes con el mismo objeto disponibles en el Portal Comercial. El Mayorista reconoce y acepta que los mismos podrán ser modificados, reducidos o ampliados por VODAFONE en el caso de que fuera necesario. Dichas actualizaciones serán oportunamente comunicadas por VODAFONE al Mayorista a través del Portas comercial y éste deberá comunicarlo a los Puntos de Venta minoristas.” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/75 Este Anexo II dedica la estipulación primera a la “Identificación Presencial y Recogida de Datos del Cliente/Comprador”, que dice así: “1. El MAYORISTA deberá trasladar al Punto de Venta minorista mediante la suscripción de un acuerdo que recoja obligaciones relacionadas en el presente anexo, la obligación imprescindible de identificar PRESENCIALMENTE al Cliente /Comprador mediante su tarjeta identificativa original. * La documentación a presentar por las personas físicas según su nacionalidad y situación, es la siguiente: -Para españoles: DNI o NIF. -Para ciudadanos de la Comunidad Europea se acepta DNI, Tarjeta de Residencia y Pasaporte. -Para ciudadanos de fuera de la Comunidad Europea: Pasaporte o NIE. 2. Asimismo, el MAYORISTA deberá indicar al Punto de Venta minorista el procedimiento que se deberá seguir para recoger datos y activar la tarjeta de forma correcta. Los datos se deberán recoger en los Puntos de Venta minoristas a través de la herramienta de Vodafone WAS. También será posible activar a través del Web Service habilitado en la Web del MAYORISTA, siempre que éste se integre con Vodafone WAS. Será obligatorio comprobar que los datos proporcionados por el Cliente/Comprado y grabados por Vodafone WAS o en Web Service se corresponden con la documentación proporcionada.” 3. Copia del contrato suscrito entre Sercom Soluciones, S.L. y ***ESTABLECIMIENTO.1, el “20/04/2021”, fecha posterior a los hechos. 4.Copia del texto que Sercom Soluciones, S.L. muestra en su web service, al que deben acceder los distintos puntos de venta antes de activar las tarjetas prepago de Vodafone. 5. Copia de las "Condiciones Generales de los Servicios de Comunicaciones Móviles. Prepago". Comienza indicando que “Las presentes Condiciones Generales constituyen el Contrato (en adelante, el Contrato) y son las únicas aplicables a la prestación de servicios de comunicaciones móviles de Vodafone España, S.A.U., [...] en la modalidad de Prepago (tarjeta) a los consumidores y usuarios [...] (en adelante, el Cliente).” Transcribimos algunas de sus estipulaciones: “1. Objeto. - Vodafone prestará al Cliente el servicio telefónico móvil y los servicios de comunicaciones electrónicas y valor añadido que solicite (en adelante, el Servicio). [...] 11.- Protección de Datos Personales. - Según lo dispuesto en la Ley Orgánica 15/1999 de Protección de Datos de carácter personal (LOPD), le informamos de que los datos personales a los que Vodafone tenga acceso como consecuencia de la prestación del Servicio se incorporarán a un fichero titularidad de Vodafone y serán tratados con la finalidad de prestarle los servicios contratados. El Cliente consiente, además, que Vodafone trate sus datos con las siguientes finalidades: (
52. i)llevar a cabo acciones comerciales generales o adaptadas a su perfil, de los servicios de telecomunicaciones y de valor añadido prestados por Vodafone, por empresas del Grupo Vodafone (www.vodafone.
53. es)o por terceros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/75 que intervengan en la prestación de dichos servicios, durante o con posterioridad a la vigencia del contrato. Las citadas acciones comerciales se podrán realizar mediante cualquier medio de comunicación (teléfono, e-mail, sms, mms…); e (
54. ii)instalar y actualizar en su teléfono aquellas aplicaciones correspondientes a servicios de telecomunicaciones y de valor añadido prestados por Vodafone, por empresas del Grupo Vodafone o por terceros que intervengan en la prestación de dichos servicios. Asimismo, el Cliente consiente expresamente que Vodafone:
55. a)trate sus datos de tráfico y facturación, conforme a lo dispuesto en el art. 65.3 del Real Decreto 424/2005, de 15 de abril;
56. b)acceda y trate sus datos de navegación;
57. c)trate sus datos de localización, en el marco de la prestación de servicios de valor añadido que impliquen dicha localización y siempre que previamente sean solicitados por el Cliente y sólo por el tiempo necesario para prestarle los mismos;
58. d)ceda sus datos personales a empresas del Grupo Vodafone (www.vodafone.es), todo ello, con la finalidad de realizar acciones comerciales en los mismos términos indicados en el apartado (
59. i)del segundo párrafo de esta Condición. El Cliente podrá revocar todos los consentimientos expresados en esta Condición dirigiéndose a Vodafone con la referencia “Protección de Datos” por cualquier medio de los indicados en la condición 6 de este Contrato. En relación con los servicios de datos que el Cliente haya contratado o pueda contratar, le informamos de que, en el marco de la prestación de los servicios contratados, Vodafone podrá utilizar herramientas de control del volumen y el uso de datos para gestionar el funcionamiento de su red, así como los servicios contratados por el Cliente El Cliente podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición reconocidos en la LOPD dirigiéndose a Vodafone por cualquier medio de los indicados en la cláusula 6.” 6. Copia de las "Condiciones Generales de los Servicios de Comunicaciones Móviles Pospago. Particulares". SÉPTIMO: Infracción del artículo 15 del RGPD: Efectos del pago anticipado de la sanción. En sus alegaciones al acuerdo de apertura de 28/02/2022 la reclamada solicita que se tenga por reconocida su responsabilidad respecto a la infracción del artículo 15 del RGPD que se le atribuyó en el citado acuerdo y para la que se fijó una posible sanción de multa administrativa por importe de 100.000 euros. Con fecha 01/03/2022 VODAFONE ordena un pago en la cuenta bancaria de la AEPD por importe de 60.000 euros. La cantidad ingresada es el resultado de aplicar una minoración del cuarenta por ciento a la cuantía de la multa prevista para la infracción aludida. La reclamada ha hecho uso de las dos reducciones previstas en los apartados 2 y 3 del artículo 85 de la LPACAP. El pago realizado dentro del plazo concedido para formular alegaciones a la apertura del procedimiento conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el acuerdo de Inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/75 El artículo 85 de la LPACAP dispone en su apartado 3 que “el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento”. Así pues, la consecuencia jurídica que deriva de que la reclamada haya procedido al pago anticipado de la sanción prevista para la infracción del artículo 15 del RGPD es la terminación ipso iure del procedimiento exclusivamente respecto a la citada infracción. Por tanto, la tramitación de este procedimiento se circunscribe a las restantes infracciones del RGPD atribuidas a la parte reclamada: artículos 6.1 y 17. OCTAVO: Práctica de prueba. En diligencia de fecha 27/06/2022 la instructora del procedimiento deja constancia de la apertura de una fase de prueba por un periodo de treinta días; de que se practicarán pruebas ante VODAFONE y SERCOM SOLUCIONES, S.L., (SERCOM) y de la práctica de las siguientes diligencias probatorias: 1. Dar por reproducida la reclamación presentada por la parte reclamante y su documentación anexa, así como los documentos obtenidos y generados durante las actuaciones de traslado de la reclamación. 2. Dar por reproducidas las alegaciones al acuerdo de inicio del procedimiento sancionador presentadas por VODAFONE y la documentación que a ellas acompaña. A. Petición de prueba a VODAFONE. Se requiere a la reclamada para que proporcione la siguiente información y documentación: 1. Copia del Registro de Actividades de Tratamiento (RAT) que tuviera aprobado en septiembre de 2020. 2. Respecto a la infracción del artículo 6.1 del RGPD derivada de haber tratado el NIF del reclamante vinculado al alta de una línea prepago que no contrató, se solicita: 2.1. Copia del formulario que cumplimentó ante el “***ESTABLECIMIENTO.1” la persona que se identificó con el NIF de la reclamante y solicitó el alta de la línea prepago. 2.2. Copia del Anexo III al “Contrato de Distribución Mayorista Prepago no exclusivo Vodafone” suscrito con SERCOM. Anexo que versa sobre el encargo de tratamiento que el Distribuidor formalizó con VODAFONE. Deberá aportarlo cumplimentado y firmado (i). Asimismo, deberá aportar las modificaciones o adiciones al citado Anexo III que estuvieran vigentes en noviembre de 2020 (ii). 2.3. Copia del Anexo IV al “Contrato de Distribución Mayorista Prepago no exclusivo Vodafone” suscrito con SERCOM que versa sobre el cumplimiento por el Mayorista de las obligaciones de trasladar al punto de venta Minorista todas las obligaciones en materia de protección de datos de carácter personal (
60. i)Deberá aportar también el certificado que recabó del Distribuidor mediante el que éste acreditó que había dado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/75 traslado de tales obligaciones al punto de venta Minorista, en este caso a ***ESTABLECIMIENTO.1,(ii). 2.4. Copia del Anexo V al Contrato de Distribución Mayorista Prepago no exclusivo Vodafone suscrito con SERCOM que versa sobre las políticas de VODAFONE respecto al Fraude, Riesgo y Protección de la Información (i). Deberá aportar, además: (
61. ii)Documento que VODAFONE hubiera recabado del Distribuidor al objeto de tener constancia documental del cumplimiento de la obligación de informar al punto de venta Minorista. (iii) Asimismo, deberá indicar si en fecha noviembre de 2020 esas políticas (las reflejadas en el Anexo V) habían sido modificadas, reducidas o ampliadas por VODAFONE y, en caso afirmativo, copia del documento en el que se recoja. 2.5. Respecto al Anexo II al Contrato de Distribución Mayorista Prepago no exclusivo Vodafone, suscrito con SERCOM, referente a las instrucciones relativas al cumplimiento de la disposición Adicional Única de la Ley 25/2007, de 18 de octubre, de Conservación de datos relativos a las Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones al que alude la estipulación con el que se aporta la copia del contrato que el Mayorista suscribió con el minorista ***ESTABLECIMIENTO.1, se solicita: (
62. i)Que aporte una copia del contrato que la Distribuidora SERCOM tenía suscrito con ***ESTABLECIMIENTO.1, en fecha 17/11/2020, toda vez que el ejemplar de contrato aportado data de “20/04/2021”. (
63. ii)Que detalle cuáles son los controles que VODAFONE realiza respecto a los contratos celebrados con los puntos de venta minoristas por parte del Distribuidor a fin de verificar que son ajustados a Derecho. 2.6.¿De qué forma puede acreditar VODAFONE ante esta Autoridad Supervisora que, efectivamente, el punto de venta recabó de la persona que solicitó la contratación de una línea prepago su documento de identidad original (no fotocopia), que verificó su identidad y que recabó del citado documento los datos de identidad del cliente? 2.7. Respecto al documento denominado Condiciones Generales de los Servicios de Comunicaciones Móviles Prepago que VODAFONE ha aportado con sus alegaciones al acuerdo de apertura como documento anexo número 5, se solicita que informe de en qué momento se hace entrega del referido condicionado al cliente que contrata una línea prepago con VODAFONE a través de un punto de venta minorista. 2.8. Respecto al documento número 4 aportado por VODAFONE anexo a sus alegaciones al acuerdo de inicio -la captura de pantalla de una aplicación de VODAFONE en la que a la izquierda aparece un campo con la leyenda “Acceso clientes” y debajo “***ESTABLECIMIENTO.1” y a la derecha “Indícanos el número de teléfono a activar” e “Indica los datos del cliente, un botón con la leyenda “Activar” e inmediatamente después “información activación vodafone” que resulta ilegible y que la operadora ha transcrito – se solicita que informe de la fecha en la que tal aplicación estuvo operativa; en particular desde qué fecha se utiliza con el punto de venta minorista ***ESTABLECIMIENTO.1. 3.Respecto a la infracción del artículo 6.1 del RGPD derivada de haber efectuado una consulta al fichero de solvencia patrimonial ASNEF utilizando como criterio de búsqueda el NIF de la reclamante, se requiere: 3.1. Que acredite documentalmente que, según manifestó en sus alegaciones al acuerdo de inicio, recibió una solicitud online para contratar un producto o servicio que implicaba financiación o facturación periódica en la que la solicitante se identificó con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/75 el NIF de la reclamante. Deberá aportar (
64. i)los documentos que acrediten la solicitud recibida y (
65. ii)la documentación que entonces se recabó del solicitante del contrato a fin de verificar su identidad. 3.2. Que acredite documentalmente que la persona que solicitó contratar un servicio pospago que le llevo a hacer una consulta al fichero de solvencia ASNEF utilizando como criterio de búsqueda el NIF de la reclamante fue informada de este tratamiento, previamente a la consulta, en cumplimiento de lo dispuesto en el artículo 13 del RGPD. 4. Respecto a la vulneración del artículo 17 del RGPD atribuida a VODAFONE, se solicita: 4.1. Que explique las razones por las que no procedió “sin dilación indebida” a suprimir el dato del NIF de la reclamante al amparo del artículo 17.1.
66. d)RGPD desde que la entidad fue perfectamente conocedora de que el dato de la reclamante se había vinculado a una contratación fraudulenta. En ese sentido nos remitimos a los correos electrónicos intercambiado con la reclamante de los que resulta que en fecha 03/02/2021, cuando ya obraba en poder de VODAFONE la denuncia policial interpuesta por la reclamante y diversos documentos remitidos por ella, reconoció que se trataba de un fraude, pese a lo cual hasta el 27/05/2021, según tiene declarado, no suprimió el dato de la reclamante de sus sistemas. B. Solicitud de prueba a SERCOM relacionada con el contrato de “Distribución Mayorista Prepago. No exclusivo Vodafone”, que suscribió con esa operadora el 01/06/2019. La notificación electrónica se puso a disposición de la destinataria el 27/06/2022 siendo rechazada el 08/06/2022. NOVENO: Respuesta de VODAFONE a las pruebas practicadas. El 21/07/2022 se recibe en la AEPD la respuesta de la reclamada a las pruebas practicadas. 1. A la petición de que aporte una copia del RAT que estuviera aprobado en septiembre de 2020, remite un documento del que comenta que está “vigente en noviembre de 2020” y “que se aplica tanto a franquicias como a mayoristas”. El documento, identificado con el número 1, lleva por rúbrica “Detalles de la actividad de tratamiento” (Processing Activity Details). La información versa, exclusivamente, sobre “Distribucion–Distribuidores Franquicias”. En el apartado “Descripción del tratamiento”, menciona la “gestión de las tiendas de franquicia” y dice que el tratamiento es el mismo que en las tiendas propias de VODAFONE con dos diferencias: “but with two different ERP in the front.”. No se identifica con claridad a VODAFONE como responsable del tratamiento. Se utiliza la referencia “1.0” en la descripción del tratamiento que efectúa el responsable/encargado de tratamiento y los fines del tratamiento. Sobre la base legal del tratamiento dice que “las personas han dado su consentimiento para el tratamiento de sus datos personales para una o varias finalidades.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/75 2. En relación con la infracción del artículo 6.1 del RGPD derivada del alta de una línea prepago vinculada al NIF de la reclamante: 2.1. Se solicita que aporte la copia del formulario que el cliente que contrató la línea prepago cumplimentó en el ***ESTABLECIMIENTO.1. Esta petición tuvo su razón de ser en que, a tenor del “Contrato de Distribución Minorista” entre SERCOM y ***ESTABLECIMIENTO.1, “En caso de que el operador lo requiera, el punto de venta deberá imprimir el formulario por duplicado, obtener la firma del cliente, entregarle una copia y conservar la otra para su recogida por parte del personal de Sercom.” (estipulación 4.3) VODAFONE responde remitiendo otro documento distinto del solicitado: facilita una captura de pantalla con la información que se incorporó a la aplicación informática de SERCOM, documento que ya había aportado. 2.2. Habida cuenta de que el apartado 12.2 del contrato de Distribución Mayorista celebrado entre VODAFONE y SERCOM que facilitó a la AEPD con las alegaciones al acuerdo de inicio establecía que “el Mayorista dará traslado de todas las obligaciones en materia de protección de datos de carácter personal a los puntos de venta Minoristas y certificará haber dado traslado de estas obligaciones mediante la firma de un certificado estándar que se adjunta como documento IV.”, se solicitó a esa operadora que aportara el citado anexo IV y “el certificado que recabó del Distribuidor mediante el que éste acreditó que había dado traslado de tales obligaciones al punto de venta Minorista, en este caso a ***ESTABLECIMIENTO.1”. VODAFONE responde aportando dos veces un documento que nada certifica. El documento remitido es un formulario (identificado como anexo IV) en el que, además de no constar cumplimentados los datos del certificante (debería ser SERCOM), puesto que los espacios destinados al NIF, nombre, domicilio y datos del representante están vacíos, no hay sello ni firma de SERCOM. Figura el sello de VODAFONE estampado dos veces y una firma sin indicación de a quién pertenece. No hay en el documento ninguna mención a SERCOM. 2.3. Se solicitó a VODAFONE la copia del anexo V al Contrato de Distribución Mayorista Prepago suscrito con SERCOM y la copia del documento que VODAFONE hubiera recabado del distribuidor al objeto de tener constancia documental del cumplimiento de la obligación de informar al punto de venta Minorista. VODAFONE aporta el referido anexo V, que lleva por rúbrica “Política anticorrupción, sanciones económicas y seguridad corporativa” pero no ha remitido ningún documento que acredite que SERCOM informó al punto de venta. Se ha limitado a facilitar dos anexos al anexo V: A. “Acuerdo de confidencialidad individual. Datos e información propiedad de Vodafone España, S.A.U.” y B. “Normas y procedimiento de seguridad. Resumen normativa general de seguridad”. En ambos documentos (A y B) no aparen cumplimentados los datos identificativos del declarante, es decir, estamos ante un formulario en que no se identifica a nadie como autor de la declaración que en ellos se recoge. No existe ningún sello o firma de SERCOM. Aparece por duplicado el sello de VODAFONE. También una rúbrica de la que se ignora a quién pertenece. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/75 2.4. El anexo II al Contrato de Distribución Mayorista suscrito con SERCOM, versa sobre las instrucciones relativas al cumplimiento de la disposición Adicional Única de la Ley 25/2007. Se pidió a VODAFONE que aportara (
67. i)la copia del contrato que la distribuidora SERCOM tenía suscrito con ***ESTABLECIMIENTO.1, en fecha 17/11/2020, toda vez que el ejemplar de contrato aportado data de “20/04/2021”, y (
68. ii)que detallara cuáles eran los controles que VODAFONE realiza respecto a los contratos celebrados por el distribuidor, SERCOM, con los puntos de venta minoristas a fin de verificar que son ajustados a Derecho. Respecto a los controles, VODAFONE, ha respondido: “[...] en relación con los controles que Vodafone realiza respecto a los contratos celebrados entre los mayoristas y los minoristas, los mismos se detallan en las siguientes cláusulas: Cláusula 11.1 del contrato entre Vodafone y SERCOM (Documento 2 del escrito de Alegaciones al Acuerdo de Inicio): "Con la finalidad de garantizar la calidad de los servicios de VODAFONE asociados a los Productos y el prestigio de su marca, la trazabilidad de los Productos activados y evitar el Fraude y/o Engaño Comercial, el MAYORISTA deberá facilitar a VODAFONE diariamente a través de Vodafone WAS un informe sobre todos los Puntos de Venta Minoristas con los que trabaja así como el tipo de producto suministrado a los mismos por parte del MAYORISTA incluyendo la siguiente información de cada Punto de Venta Minorista: • Sobre cada Punto de Venta Minorista: Detalle del nombre comercial, CIF, denominación social, dirección, teléfono, localidad, código postal y sector de actividad, • Sobre los productos vendidos por El MAYORISTA a cada Punto de Venta Minorista: número de productos vendidos por tipo de producto, MSISDN en su caso y fecha de compra del producto por parte del Punto de Venta Minorista. Si la fecha de información a VODAFONE de los productos vendidos por parte del MAYORISTA al punto de venta minorista es posterior a la fecha de activación del MSISDN por parte del minorista o, si la activación de los productos se realiza con un NIF/CIF de un Punto de Venta minorista distinto del informado por parte del MAYORISTA, la actuación del MAYORISTA podrá ser considerada Engaño Comercial. [...]". Cláusula 9 del contrato de encargo del tratamiento (Documento 3): "El Encargado del Tratamiento se asegurará de que cualquier Subencargado del Tratamiento permita a Vodafone, sus clientes (incluidos los subcontratistas, auditores u otros agentes de Vodafone y sus respectivos clientes) y/o las Autoridades de Privacidad (cada una de ellas una "Parte de Auditoría") acceder a sus sistemas informáticos y otros sistemas de información, registros, documentos y acuerdos que razonablemente requiera la Parte de Auditoría, para comprobar que el Encargado del Tratamiento y/o sus SubEncargados están cumpliendo con sus obligaciones establecidas bajo el presente Acuerdo (o cualquier contrato de subTratamiento subsiguiente) o cualquier Legislación de Privacidad Aplicable [...]". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/75 Además, como se ha apuntado en el apartado iii. anterior, mediante el Anexo IV el mayorista certifica que ha trasladado a los puntos de venta las obligaciones aplicables en materia de protección de datos.” En definitiva, los controles consisten: 1.En las obligaciones que se establecen en la cláusula 11.1 del contrato de Distribución, a tenor de la cual el distribuidor se obliga a informar a la operadora de la identidad de los puntos de venta con los que concierta contratos y los productos suministrados. Extremos que no permiten en ningún caso controlar si los puntos de venta siguen el protocolo de identificación de los adquirentes de las tarjetas. Es más, ni siquiera se menciona entre las obligaciones que asume el distribuidor SERCOM la de facilitar a VODAFONE la copia de los documentos contractuales que suscribe con los puntos de venta. La estipulación 9 del contrato de encargo de tratamiento, disposición que no contempla las actuaciones de comprobación de la identidad del contratante de las tarjetas prepago. 2. A través de un documento emitido por el mayorista certifica que ha trasladado a los puntos de venta las obligaciones aplicables en materia de protección de datos según el modelo que consta como anexo IV del contrato de distribución. Sin embargo, en el certificado aportado, como se ha expuesto anteriormente, no se acredita nada pues lo que aporta VODAFONE no es un certificado emitido por el distribuidor SERCOM sino un formulario sin cumplimentar que lleva los sellos de VODAFONE. 2.5. A la pregunta formulada sobre cómo podía VODAFONE acreditar ante la AEPD que el punto de venta recabó de la persona que solicitó la contratación de la línea prepago su documento de identidad original (no fotocopia); que el punto de venta verificó su identidad y que recabó del citado documento los datos de identidad del cliente, la reclamada no acredita nada y se limita a responder refiriéndose de nuevo al contrato celebrado con el punto de venta (documento 6). Dice lo siguiente: “Como se indicó en el escrito de Alegaciones al Acuerdo de Inicio, SERCOM se obligó a trasladar al punto de venta la "obligación imprescindible de identificar PRESENCIALMENTE al Cliente/Comprador mediante su tarjeta identificativa original". Además, se especifica que "la documentación a presentar por las personas físicas" consiste en el "DNI o NIF" o en el "Pasaporte o NIE" (Documento 2 del escrito de Alegaciones al Acuerdo de Inicio). A su vez, esta obligación fue trasladada al punto de venta (***ESTABLECIMIENTO.1), tal y como acredita el Documento 6 aportado con este escrito:”. El documento 6 mencionado corresponde al contrato entre SERCOM y el punto de venta minorista ***ESTABLECIMIENTO.1. 2.6. VODAFONE aporta copia del contrato de distribución minorista de productos de telefonía suscrito entre SERCOM y ***ESTABLECIMIENTO.1, (documento número 6). La única referencia que existe en él a las obligaciones de las que supuestamente debía informarle SERCOM en lo que concierne a la identificación de los adquirentes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/75 de las tarjetas, es esta, en la que, como se puede verificar, no se exige que el cliente aporte el documento identificativo original. El Condicionado General del contrato, estipulación 4, “Requisitos para la toma de datos de clientes de SIM/PACK:”, dice: “4.1. En cumplimiento de lo dispuesto en la Disposición Adicional Única de la Ley 25/2007 de 18 de octubre, de Conservación de Datos Relativos a las Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones, el Punto de Venta Autorizado al vender una SIM/PACK deberá cumplir con las siguientes obligaciones a. Llevar un libro-registro en el que conste la identidad de los clientes que adquieran una tarjeta inteligente con dicha modalidad de pago. b. Información previa a los clientes sobre la existencia y contenido del registro, de su disponibilidad en los términos expresados en el número siguiente y de los derechos recogidos en el artículo 38.6 de la Ley 32/2003. c. La identificación se efectuará mediante documento acreditativo de la personalidad, haciéndose constar en el libro-registro el nombre, apellidos y nacionalidad del comprador, así como el número correspondiente al documento identificativo utilizado y la naturaleza o denominación de dicho documento. En el supuesto de personas jurídicas, [..] d. En los casos en que el operador lo requiera, recoger y enviar la documentación firmada por el cliente al lugar que Sercom le indique. [...] (El subrayado es nuestro) Estipulación 11. “Protección de datos de carácter personal de clientes. “El punto de venta dará cumplimiento a lo preceptuado en la Ley 25/2007, de 18 de octubre; en cuanto a la conservación de los datos recabados de los usuarios, siendo, por tanto, de su exclusiva responsabilidad el cumplimiento o no de la legalidad vigente en materia de protección de datos. El Punto de Venta reconoce expresamente cumplir con todos los requisitos exigidos por la Ley 15/1999 de Protección de Datos.” 3.Respecto a la infracción del artículo 6.1 del RGPD derivada de la consulta al fichero de solvencia patrimonial ASNEF utilizando el NIF de la reclamante, se requirió a VODAFONE que acreditara dos extremos: 1. La supuesta recepción de una solicitud online efectuada por quien se identificó con el NIF de la reclamante para contratar un producto o servicio que implicaba financiación o facturación periódica. A ese respecto se pidieron estos documentos: los que acreditaran la recepción de la solicitud del producto a la que alude y los que se recabaron del solicitante a fin de verificar su identidad. 2. Que se informó a la persona que pidió contratar un servicio online, con carácter previo al tratamiento (la consulta), conforme exige el artículo 13 del RGPD. La reclamada responde a petición de prueba diciendo: “Vodafone no ha podido localizar la solicitud en cuestión. No obstante, tal y como se apuntó en el escrito de Alegaciones al Acuerdo de Inicio, la consulta al fichero de ASNEF no estaba vinculada con el alta de la tarjeta prepago, en la medida en que el alta de tarjeas prepago no implica un proceso de scoring ni la consulta a ficheros de morosidad.” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/75 Respecto a la segunda petición dice: “Nos remitimos a lo expuesto en la respuesta a la pregunta anterior.” 4.Respecto a la infracción del artículo 17 del RGPD, se pidió a VODAFONE que explicara los motivos por los que no procedió “sin dilación indebida” a suprimir el dato del NIF de la reclamante al amparo del artículo 17.1.
69. d)RGPD desde el momento en que conoció que se había vinculado a una contratación fraudulenta, siendo así que los correos electrónicos intercambiado con la reclamante evidenciaban “que en fecha 03/02/2021, cuando ya obraba en poder de VODAFONE la denuncia policial interpuesta por la reclamante y diversos documentos remitidos por ella, reconoció que se trataba de un fraude, pese a lo cual hasta el 27/05/2021, según tiene declarado, no suprimió el dato de la reclamante de sus sistemas.” VODAFONE respondió reiterando lo alegado sobre esta infracción del RGPD en su escrito de alegaciones al acuerdo de inicio. DÉCIMO: Propuesta de resolución. La propuesta de resolución, firmada y notificada el 10/10/2022, se formuló en los siguientes términos: <<1. Que por la Directora de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una infracción del artículo 6.1. del RGPD, tipificada en el artículo 83.5.
70. a)del RGPD, concretada en haber dado de alta una línea prepago asociada al NIF de la reclamante, con una multa de 70.000 € (setenta mil euros). 2. Que por la Directora de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una infracción del artículo 6.1. del RGPD, tipificada en el artículo 83.5.
71. a)del RGPD, concretada en haber consultado un fichero de información crediticia utilizando como criterio el NIF de la reclamante sin estar legitimada para este tratamiento, con una multa de 70.000€ (setenta mil euros). 3.Que por la Directora de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una infracción del artículo 17 del RGPD, tipificada en el artículo 83.5.
72. b)del RGPD, con una multa 100.00 € (cien mil euros).>> Obra en el expediente el certificado emitido por la FNMT que acredita que la notificación fue aceptada por la reclamada el 17/10/2022. Así pues, siendo de diez días el plazo otorgado para formular alegaciones a la propuesta de resolución conforme al artículo 73.1 de la LPACAP, el referido plazo finalizaría el 31/10/2022. UNDÉCIMO: Con fecha 18/10/2022 se recibe en la AEPD un escrito de VODAFONE en el que solicita que se amplíe, por el máximo permitido legalmente, el plazo otorgado para formular alegaciones a la propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/75 La AEPD responde el 19/10/2022 denegando la ampliación solicitada. El escrito de respuesta se notifica a la reclamada el 19/10/2022. A las razones aducidas por VODAFONE para justificar su solicitud de ampliación -que “el plazo inicialmente otorgado [...] no permite formular debidamente las oportunas alegaciones y recabar las pruebas necesarias” debido a “la complejidad del procedimiento y la cuantía de la sanción que pudiese corresponder”- se respondió que no obraba en el procedimiento ningún documento que fuera desconocido para la reclamada, pues, por una parte, se le había hecho entrega de la copia del expediente antes del trámite de alegaciones al acuerdo de inicio y, de otra, las únicas pruebas que se practicaron con obtención de documentación lo habían sido ante la propia VODAFONE toda vez que SERCOM no llegó siquiera a aceptar la notificación. Se añadió que la reclamada había tenido la posibilidad de aportar pruebas en los trámites de alegaciones al acuerdo de inicio y en la fase de prueba y que la propuesta de resolución mantenía la calificación jurídica de los hechos que se hizo en el acuerdo de inicio, limitándose, en esencia, a rebatir los argumentos que la reclamada había esgrimido en su defensa en sus alegaciones al acuerdo de apertura. DUODÉCIMO: VODAFONE no formula alegaciones a la propuesta de resolución. A fecha 03/11/2022, tres días después de que finalizara el plazo otorgado para formular alegaciones a la propuesta de resolución, no han tenido entrada en el Registro de esta Agencia las alegaciones de VODAFONE. Conforme al artículo 73.1 de la LPACAP, el plazo para formular alegaciones es de diez días hábiles, que deberán computarse desde el siguiente a la aceptación de la notificación. Así pues, habiendo aceptado VODAFONE la notificación de la propuesta de resolución el día 17/10/2022, el plazo de alegaciones finalizó el día 31/10/2022. De las actuaciones practicadas en el presente procedimiento y de la documentación que obra en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La reclamante, A.A.A., titular del NIF ***NIF.1, denuncia que VODAFONE, entidad de la que no es cliente, ha dado de alta asociada a su NIF una línea telefónica prepago sin su conocimiento ni consentimiento; ha consultado el sistema de información crediticia de EQUIFAX utilizando como criterio de búsqueda su NIF y no ha atendido los derechos de acceso y supresión que ejercitó ante la operadora. SEGUNDO: VODAFONE trató el dato del NIF de la reclamante vinculado al alta de una línea telefónica prepago, número (…), con fecha 17 de noviembre de 2020. Obran en el expediente, aportadas por VODAFONE con su respuesta a la solicitud informativa de la Subdirección de Inspección de Datos, diversas capturas de pantalla de sus sistemas informáticos (documentos anexos 3 y 4) en las que figura registrada la cuenta cliente ID ***ID.1, correspondiente al número de teléfono y a la fecha precitados, y vinculada al nombre de B.B.B. y al NIF de la reclamante, ***NIF.1. El dato del NIF se encuentra registrado en la “(…)” en la pestaña “Info. de contacto”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/75 TERCERO: VODAFONE declara que estaba legitimada para tratar el dato del NIF de la reclamante que le facilitó el tercero que intervino en la contratación y que la base jurídica del tratamiento es el artículo 6.1.
73. c)del RGPD en conexión con la Disposición Adicional Única de la Ley 25/2007. La reclamada ha declarado: “Vodafone está obligada por la Ley 25/2007 a tratar el "número correspondiente al documento identificativo utilizado" por el comprador de la tarjeta prepago; cuestión distinta es que dicho número resulte ser erróneo o haya sido utilizado mediante un fraude por un tercero, pero ello no podrá suponer, en ningún caso, una infracción del artículo 6.1 del RGPD.” CUARTO: VODAFONE reconoce en sus alegaciones al acuerdo de inicio (alegación tercera) que el dato del NIF de la reclamante que fue objeto de tratamiento vinculado a la línea prepago no pertenece al adquirente de la tarjeta. La entidad ha dicho: “[...] pueden existir casos, como el presente, en el que Vodafone trate un dato personal que no pertenece al solicitante de la tarjeta prepago, sino a un tercero (el Reclamante). Es lo que ha sucedido en este caso: es una evidencia y no la negamos.” QUINTO: VODAFONE manifiesta que el tercero que contrató con ella y se identificó con el NIF de la reclamante “superó satisfactoriamente las políticas de seguridad” de la compañía “pues para llevar a cabo el alta de una línea prepago se exige la exhibición de un documento oficial de identificación ante los agentes de las tiendas físicas”. Ha declarado que no conoció la existencia de este fraude hasta que se le fue notificado por la reclamante y que en ese momento “se inicia un procedimiento para comprobar los hechos y solucionar la situación.” VODAFONE recibió la copia de la denuncia que la reclamante formuló en la policía el 21/12/ 2020. SEXTO: El contrato de Distribución Mayorista suscrito entre VODAFONE y SERCOM, cláusula 12.2, dice que SERCOM “dará traslado de todas las obligaciones en materia de protección de datos de carácter personal a los puntos de venta Minoristas y certificará haber dado traslado de estas obligaciones mediante la firma de un certificado estándar que se adjunta como documento IV.” Se requiere a VODAFONE en fase de prueba para que aporte el certificado emitido por SERCOM al amparo de la referida estipulación. En respuesta, aporta un documento -el formulario anexo IV- en el que no hay ninguna mención a SERCOM. En el documento no están cumplimentados los datos del certificante (debería ser SERCOM). Los espacios destinados al NIF, nombre, domicilio del certificante y los datos de su representante están vacíos; no hay sello ni firma de SERCOM. Hay un sello de VODAFONE estampado dos veces y una firma sin indicación de a quién pertenece. SÉPTIMO: El Anexo II al contrato entre SERCOM y VODAFONE, “Recogida de datos. Contrato de distribución mayorista”, contiene las instrucciones relativas al cumplimiento de la disposición Adicional Única de la Ley 25/2007, respecto de (
74. i)la identificación presencial y recogida de datos de los clientes que adquieran una Tarjeta Prepago o un Pack Prepago con carácter previo a la venta y (
75. ii)la información a los mismos en los términos descritos en la citada Ley , todo ello de conformidad con lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/75 dispuesto en la cláusula 11.2 del Contrato de Distribución Mayorista del que el Anexo trae causa. Su estipulación primera, “Identificación Presencial y Recogida de Datos del Cliente/Comprador”, dice: “1. El MAYORISTA deberá trasladar al Punto de Venta minorista mediante la suscripción de un acuerdo que recoja obligaciones relacionadas en el presente anexo, la obligación imprescindible de identificar PRESENCIALMENTE al Cliente /Comprador mediante su tarjeta identificativa original. * La documentación a presentar por las personas físicas según su nacionalidad y situación, es la siguiente: -Para españoles: DNI o NIF. -Para ciudadanos de la Comunidad Europea se acepta DNI, Tarjeta de Residencia y Pasaporte. -Para ciudadanos de fuera de la Comunidad Europea: Pasaporte o NIE. [...].” El contrato de distribución minorista de productos de telefonía suscrito entre SERCOM y ***ESTABLECIMIENTO.1, (documento número 6 de los aportados en fase de prueba) no recoge la obligación de que el cliente exhiba el documento original. Su estipulación 4, “Requisitos para la toma de datos de clientes de SIM/PACK:”, dice: “1. En cumplimiento de lo dispuesto en la Disposición Adicional Única de la Ley 25/2007 [...], el Punto de Venta Autorizado al vender una SIM/PACK deberá cumplir con las siguientes obligaciones [..]” c. La identificación se efectuará mediante documento acreditativo de la personalidad, haciéndose constar en el libro-registro el nombre, apellidos y nacionalidad del comprador, así como el número correspondiente al documento identificativo utilizado y la naturaleza o denominación de dicho documento. En el supuesto de personas jurídicas, [..]” OCTAVO: Se solicita a VODAFONE en fase de prueba que detalle cuáles son los controles que realiza respecto a los contratos celebrados por el distribuidor, SERCOM, con los puntos de venta minoristas a fin de verificar que son ajustados a Derecho. De su respuesta -que se reproduce con detalle en el Antecedente octavo- los controles consisten en: 1. Un documento que emite el distribuidor mayorista en el que certifica que ha trasladado a los puntos de venta las obligaciones aplicables en materia de protección de datos, anexo IV del contrato de distribución. Nos remitimos al Hecho Probado SEXTO. 2. Las obligaciones establecidas en la cláusula 11.1 del contrato de Distribución, a tenor de la cual el Distribuidor se obliga a informar a la operadora de la identidad de los puntos de venta con los que concierta contratos y los productos suministrados, y la estipulación 9 del contrato de encargo de tratamiento entre SERCOM y VODAFONE. NOVENO: Se solicita a la reclamada en fase de prueba que aporte copia del RAT. El documento que aporta (número 1 de los remitidos en fase de prueba) versa, exclusivamente, sobre la actividad de los Distribuidores- Franquicias y no especifica si el tratamiento de datos personales al que se está refiriendo tiene que ver con el que se efectúa con la venta de productos prepago o de otro tipo de productos. Como base C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/75 legal del tratamiento dice que “las personas han dado su consentimiento para el tratamiento de sus datos personales para una o varias finalidades”. DÉCIMO: Obra en el expediente un documento de EQUIFAX con la fecha “11/12/2020” que recoge el resultado de la búsqueda efectuada en esa fecha en el fichero ASNEF utilizando como criterio el NIF de la reclamante. En el apartado del documento “Histórico de consultas” está registrada una consulta realizada por “Vodafone One, S.A.U.” el 15/09/2020, a las 18:40.27.8 horas. UNDÉCIMO: VODAFONE reconoce en sus alegaciones al acuerdo de inicio que consultó el fichero ASNEF utilizando como identificador el NIF de la reclamante; declara que la consulta estuvo vinculada a “una solicitud online” que había recibido y que “el producto en cuestión sobre el que se hizo la consulta a Equifax era un producto relativo a una financiación, pago aplazado o facturación periódica, por lo que cae dentro del ámbito de aplicación del artículo 20.1.
76. e)de la LOPDGDD”. DUODÉCIMO: Se solicita a VODAFONE en fase de prueba que acreditara documentalmente que recibió una solicitud online para contratar un producto o servicio que implicaba financiación o facturación periódica por una persona que se identificó con el NIF de la reclamante. En particular se pidió que aportara (
77. i)los documentos que acrediten la solicitud recibida y (
78. ii)la documentación que entonces se recabó del solicitante del contrato a fin de verificar su identidad. La reclamada responde: “Vodafone no ha podido localizar la solicitud en cuestión” (El subrayado es nuestro) DÉCIMOTERCERO: Obra en el expediente la siguiente documentación que acredita que la reclamante ejercitó el derecho de acceso y los términos de la respuesta de VODAFONE, tanto al ejercicio del derecho por la reclamante como a la petición informativa que sobre la cuestión le dirigió la Subdirección de Inspección de la AEPD: 1.Un correo electrónico que la reclamante envía el 19/12/2020 a derechosprotecciondatos@vodafone.es desde su cuenta (***USUARIO.1@gmail.com) en el que solicita el acceso a sus datos y con el que aporta la copia de su DNI. 2.Un correo de VODAFONE a la reclamante, de fecha 21/12/2020, a las 19.20 horas, en el que acusa recibo de la petición y le responde que, de conformidad con el artículo 15 del RGPD, “Lamentamos informarle de que no se encuentra legitimada para obtener el derecho de acceso con respecto a los datos personales (Documento Nacional de Identidad) que constan en el sistema de VODAFONE ESPAÑA ya que usted no registra en el mismo como titular de los datos requeridos. Le recordamos que, si lo desea, puede ejercitar sus derechos de supresión, acceso, limitación, rectificación y portabilidad mediante el envío de una comunicación por escrito, acompañada de copia de su DNI o documento identificativo equivalente, a la dirección [...]” (El subrayado es nuestro) 3.Un correo que la reclamante envía a VODAFONE el 21/12/2020, a las 20:21 horas, con este texto: “Se adjunta denuncia interpuesta ante la policía nacional debido a una usurpación de mi identidad, por lo cual les estoy solicitando el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/75 acceso a los datos personales que puedan aparecer relacionados con mi DNI o nombre, ya que ustedes han consultado mis datos el día 15/09/2020 18:40:27 en un fichero de Equifax de manera ilegítima ya que no tengo ningún contrato ni relación con ustedes.” Anexa a él, además del DNI y del escrito solicitando el acceso, la denuncia policial. 4.Un correo de VODAFONE de 29/12/2020 en el que acusa recibo de la solicitud de acceso de 21 de diciembre y responde en los mismos términos que en su anterior contestación (punto 2). 5. Una captura de pantalla de los sistemas VODAFONE (documento 2 anexo a la respuesta al requerimiento informativo de la Subdirección de Inspección) en cuya imagen se ve, en la pestaña “Información llamante” el ID ***ID.1 (al que está vinculado el NIF de la reclamante y el nombre y apellidos del tercero) y debajo la pestaña correspondiente a la “petición 10915XXXX”. En ella está registrado como “Título” “Fraude”, como “Tipo” “Fraude” y como “Código de apertura” “Fraude”. A continuación, se transcribe el texto de la solicitud formulada por la reclamante, en la que se identifica por su nombre, apellidos, NIF y domicilio; expone que desea ejercitar el derecho de acceso; pide que le faciliten “información sobre sus datos personales, contratos, etc que puedan figurar en su empresa.” e indica que aporta la copia de su DNI. 6.VODAFONE responde al requerimiento informativo de la Subdirección de Inspección de la AEPD que la reclamante ejercitó ante ella el derecho de acceso a sus datos el 19 de diciembre de 2020 y que le respondió el 21 de diciembre de 2020 comunicándole “que no se encuentra legitimada para obtener el derecho de acceso con respecto a los datos personales (Documento Nacional de Identidad) que consta en el sistema de mi [la reclamada] ya que la Señora [la reclamante] no está registrada como titular de los datos requeridos.” “Esto se debe a que los datos de la Sra. [la reclamante] estaban relacionados con un tercero que utilizó los datos de la Interesada de forma fraudulenta. En este supuesto, el único dato personal de la reclamante que está relacionado con este fraude es el DNI, motivo por el cual en las evidencias que se aportan de los sistemas de mi representada aparece información de un tercero “B.B.B.”, con el DNI de la reclamante ***NIF.1.” (El subrayado es nuestro) DECIMOCUARTO: Obra en el expediente esta documentación que acredita que la reclamante ejercitó el derecho de supresión y la respuesta que recibió de VODAFONE: 1. Un correo electrónico que la reclamante envía el 24/01/2021 a VODAFONE, derechosprotecciondatos@vodafone.es, con este texto: “Se envía este email para solicitar la supresión de mis datos de sus bases de datos, ya que no me proporcionan la información relacionada con mi dni, y no deberían tener ninguno de mis datos ya que no tengo ninguna relación con Vodafone.” (El subrayado es nuestro) La reclamante anexó a su correo su petición de supresión de datos firmada; su DNI y “copia de la ampliación de la denuncia en la que se ha proporcionado a la policía nacional la información que me indican junto a la de otras empresas. [...]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/75 2. Un correo de VODAFONE a la reclamante, de 26/01/2021, en el que responde: “[...] A la vista de su solicitud, en la que ejercita el derecho de supresión de sus datos personales de conformidad con el artículo 17 del Reglamento (UE) 2016/679 [...] Lamentamos informarle de que esta entidad no puede generar la supresión de los datos solicitados ya que los mismos son necesarios para prestar el servicio a la línea prepago ***TELÉFONO.1, entendemos la finalidad de su requerimiento, sin embargo y en caso de no reconocer el producto podríamos generar una rectificación de datos para que el servicio conste a su nombre y pueda realizar uso del mismo; recalcamos que los productos prepago no pueden ser desactivados, en su defecto podemos esperar a que la tarjeta expire (Aproximadamente se estima fecha de expiración a Junio de 2021 si no se generan recargas), luego de ello podría requerir nuevamente su derecho de supresión.” (El subrayado es nuestro) 3. Un correo que la reclamante dirige a VODAFONE el 1/02/2021 con este texto: “[...] Me indican desde el canal de Vodafone España de facebook que abrieron la petición número 10915XXXX al departamento de fraude, donde notifican que efectivamente hay un error y que está solventado. ¿Me pueden confirmar la supresión de mis datos? [...] ” 4. Correo de contestación de VODAFONE de 3/02/2021 en el que dice que “[...] En respuesta a su correo, debemos de informarle que la línea ***TELÉFONO.1 correspondiente al fichero registrado con su número de Documento Nacional de Identidad fue expirada por nuestra área de fraude con la finalidad de evitar cualquier tipo de uso, sin embargo la misma aun registra en nuestro sistema y solo será desconectada hasta el mes de Junio de 2021, lo que imposibilita que sus datos sean suprimidos de nuestro sistema. No obstante, el departamento de protección de datos genera un comunicado general alertando a todas nuestras áreas el omitir cualquier tipo de gestión sobre el fichero fraudulento, anexo a ello generamos la oposición al trato y uso de los datos con finalidad comercial. Por último, realizamos la aclaración que su requerimiento (Supresión de datos) solo podrá ser atendido hasta la fecha expuesta con anterioridad (Junio de 2021), por ende es necesario que nos remita esta petición a finales del mes expuesto. [...]” (El subrayado es nuestro) DECIMOQUINTO: VODAFONE ha invocado estos motivos para explicar por qué no procedió a suprimir el NIF de la reclamante “sin dilación indebida”, de conformidad con el artículo 17.1.
79. d)del RGPD, después de saber que estaba vinculado a una contratación fraudulenta: - “[...], Vodafone no guarda el número de DNI relacionado con la identidad de la Reclamante, sino con la identidad (nombre y apellidos) del tercero que dio de alta la tarjeta prepago.” - Que concurren dos de las excepciones del artículo 17.3 del RGPD: El apartado b), “El tratamiento del número de DNI facilitado por el tercero era necesario para que Vodafone cumpliera con una obligación legal”, en conexión con la Disposición Adicional Única y el artículo 5 de la Ley 25/2007. El apartado e): “El tratamiento del número de DNI facilitado por el tercero era necesario para la formulación, el ejercicio o la defensa de reclamaciones”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/75 DECIMOSEXTO: VODAFONE manifiesta en su respuesta al requerimiento informativo de la Subdirección de Inspección que atendió el derecho de supresión de la reclamante y suprimió su NIF de sus sistemas con fecha 27/05/2021. DECIMOSÉPTIMO: El documento número 4 de los que VODAFONE facilitó a la Subdirección de Inspección con su respuesta al requerimiento informativo, incluye dos capturas de pantalla que acreditan que el 26/01/2021 existían en los sistemas de la operadora reclamada registros en los que se menciona el carácter fraudulento de la línea prepago vinculada al NIF de la reclamante. En el documento, la “(...)” incorpora la siguiente información: En la pestaña “Registro de clientes” figura con el “Nº de orden V” la referencia ***REFERENCIA.1; como “Título” “Instalación Prepago Con...” y como “F. Apertura” “17/11/2020”. En el recuadro inferior, “Peticiones, reclamaciones, averías”, se registran varias reclamaciones, entre ella una de fecha 26/01/2021 con esta información: Como “Tipo”, consta “Fraude”; como “Código”, “posible fraude” y como “Subcódigo”, “Suplantación”. FUNDAMENTOS DE DERECHO I Competencia de la AEPD En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD), reconoce a cada autoridad de control y según lo establecido en los artículos 47 y 48 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantías de los derechos digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. Asimismo, el artículo 63.2 de la LOPDGDD determina que “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Procedimiento que se sustancia ante la AEPD El Título VIII de la LOPDGDD lleva por rúbrica del “Procedimiento en caso de posible vulneración de la normativa de protección de datos” (artículos 63 a 69) El artículo 63.2 dispone que “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/75 A tenor de los artículos 63.1 y 64.1 y 2 de la LOPDGDD los procedimientos que se tramitan por la AEPD son dos: Aquellos en los que “un afectado reclame que no ha sido atendida su solicitud de ejercicio de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679” y aquellos que “tengan por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica”. El artículo 64.1 de la LOPDGDD remite al primero de los procedimientos indicados cuando verse “exclusivamente” sobre “la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.” Si el afectado no solicita a la AEPD “exclusivamente” la tutela de los derechos que tiene reconocidos en los artículos 15 a 22 del RGPD, sino que simultáneamente presenta una reclamación por una presunta infracción de la normativa de protección de datos de carácter personal, corresponde a la AEPD determinar si ambas pretensiones se sustanciarán o no en el mismo procedimiento. Como la AEPD indicó en el acuerdo de apertura de este procedimiento, en el supuesto aquí planteado, en el que la reclamante solicita la tutela de los derechos que tiene reconocidos en los artículos 15 y 17 del RGPD y, simultáneamente, denuncia la infracción de disposiciones del RGPD, se estimó conveniente tramitar ambas pretensiones a través del procedimiento sancionador. En la decisión adoptada se valoró la gravedad que entrañaba la conducta de la reclamada que, bajo la apariencia formal de haber atendido los derechos cuya tutela se reclamaba, actuó ignorando radicalmente su contenido. También, el gran volumen de datos personales que la reclamada trata en el desarrollo de su actividad empresarial pues estamos ante la primera operadora de telecomunicaciones móviles del mercado nacional por número de clientes. III Artículo 85 de la LPACAP e infracción del artículo 15 del RGPD. El artículo 85 de la LPACAP dispone: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario, pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/75 El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” En el Antecedente séptimo de esta resolución se recoge que VODAFONE procedió en fecha 01/03/2022 al pago anticipado de la sanción fijada en el acuerdo de apertura para la infracción del artículo 15 del RGPD con una reducción del cuarenta por ciento. A tenor del artículo 85.3. de la LPACAP el pago anticipado de la sanción prevista provocó la terminación del procedimiento sancionador respecto a dicha infracción. IV Disposiciones aplicables El RGPD se ocupa en su artículo 5 de los principios que presiden el tratamiento de los datos personales, precepto que dispone: “1. Los datos personales serán:
80. a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>)
81. b)[...] («limitación de la finalidad»);
82. c)[...] («minimización de datos»); d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
83. e)[...] («limitación del plazo de conservación»);
84. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” El artículo 6 del RGPD bajo la rúbrica “Licitud del tratamiento” concreta en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
85. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
86. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
87. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
88. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
89. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
90. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/75 interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
91. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Por su parte, la LOPDGDD establece en el artículo 20, bajo la rúbrica “Sistemas de información crediticia”: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
92. a)[...]
93. b)[...]
94. c)[...]
95. d)[...]
96. e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
97. a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
98. f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta.” El Capítulo III del RGPD, “Derechos de los interesados”, se refiere entre otros al derecho de supresión de los datos. El artículo 17 del RGPD dispone: “Derecho de supresión («el derecho al olvido») “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
99. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
100. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
101. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2; d)los datos personales hayan sido tratados ilícitamente