PS-00312-2024

1/52  Expediente N.º: EXP202306354 (PS/00312/2024) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 23 de marzo de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada, Vodafone o Lowi). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, en fecha 21 de septiembre de 2021, su teléfono quedó sin servicio, produciéndose desde su cuenta bancaria cuatro transferencias con Bizum a una tercera persona desconocida por un importe total de 1.996 euros. Tras comunicarse con el banco, éste le informa que no pueden responsabilizarse por los hechos acaecidos. Posteriormente, el 25 de septiembre de 2021, presenta reclamación ante VODAFONE por entregar un duplicado de la tarjeta SIM de su línea de telefonía móvil ***TELÉFONO.1, sin su consentimiento. Añade que la parte reclamada le confirmó que había sido víctima de fraude realizándose el duplicado de la tarjeta SIM a través de una tienda física que no han podido identificar, que han desactivado la tarjeta fraudulenta, han devuelto los servicios a la parte reclamante con la tramitación de un nuevo duplicado e incluido sus datos personales en sus ficheros de prevención. Según la parte reclamante, VODAFONE no ha podido identificar la tienda desde la que se realizó o probar que el duplicado se llevó a cabo siguiendo todas las medidas de autenticación posibles y niegan su responsabilidad al respecto. Entiende que facilitaron una nueva tarjeta SIM a una persona desconocida sin comprobar sus datos, habiendo permitido una usurpación de identidad que ha llevado a la comisión de actuaciones fraudulentas. Manifiesta que, al intentar solucionar el asunto, recibieron respuesta de la parte reclamada con fecha 20/10/2021, en la que ésta confirmaba la emisión del duplicado de tarjeta a través de una tienda física, a lo que respondieron que la parte reclamante no pudo llevarlo a cabo al encontrarse trabajando cerca de la ciudad de Albacete. Junto a la reclamación la parte reclamante aporta la siguiente documentación: ─ Denuncia interpuesta ante la Guardia Civil, el 21 de septiembre de 2021, en la que constan los hechos reclamados. ─ Listado de llamadas telefónicas y conexiones a Internet efectuadas desde el número del reclamante tras el duplicado fraudulento de su tarjeta SIM. Constan cuatro llamadas telefónicas entre las 20:59 y las 21:06 del día 21 de septiembre de 2021, todas ellas al número ***TELÉFONO.2. ─ Reclamación de la parte reclamante ante la parte reclamada, de fecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/52 ─ ─ ─ ─ 13/10/2021, en la que solicita el resarcimiento de los daños por los hechos mencionados. En esta reclamación se indica que la parte reclamante, con fecha 25/09/2021, contactó telefónicamente con VODAFONE para abrir reclamación por la entrega a un tercero de un duplicado de tarjeta SIM sin su consentimiento. Respuesta de VODAFONE a la reclamación anterior, de fecha 20/10/2021, en la que expresamente se indica: “Queremos poner en su conocimiento que, tras realizar las gestiones oportunas y verificar los hechos que nos describía en su escrito el Sr… (la parte reclamante), hemos comprobado que con fecha 21 de septiembre, se nos comunica que, a través de una tienda física, se gestiona un duplicado de SIM de la línea ***TELÉFONO.1, informamos que para poder realizar dicha gestión es necesario que el solicitante pase una política de seguridad que incluye entrega de DNI, así como facilitar una serie de datos personales. Con fecha 22 de septiembre, el servicio de atención al cliente recibe una llamada del Sr… (la parte reclamante), en la que indica que le han clonado la tarjeta SIM y solicita una nueva, durante esta comunicación se indica el procedimiento para su solicitud desde la APP del cliente, sin llegar a ser gestionada por nuestro agente ya que la dirección de entrega no corresponde con la asociada al cliente en la base de datos. Con fecha 22 de septiembre, D… (la parte reclamante) nos comunica que gestiona el bloqueo de la línea desde la APP, no obstante, confirmamos consumos desde la línea durante todos los días del mes de septiembre permaneciendo activa hasta el día de hoy. Adjuntamos factura de septiembre”. Reclamación presentada ante la operadora, el 15 de noviembre de 2021, en la que la parte reclamante insiste en señalar que cuando se emitió el duplicado de tarjeta SIM se encontraba trabajando en Albacete y solicita que le informen en qué tienda física se realizó dicho duplicado de tarjeta y le aporten documento firmado correspondiente a la entrega del mismo con los datos de la persona que lo recibió. Escrito de VODAFONE, de fecha 09/02/2022, que da respuesta a uno anterior de la parte reclamada de 03/01/2022, en el que se informa: “Queremos poner en su conocimiento que, tras realizar las gestiones oportunas y verificar los hechos que nos describía en su escrito el Sr… (la parte reclamante), hemos comprobado que, el día 21/09/2021, se gestiona duplicado de sim de la línea ***TELÉFONO.1 en físico, no queda registrado como duplicado de sim puesto que en lugar de tramitar duplicado al parecer le facilitan a la persona una nueva SIM. Estamos procediendo a la identificación de la tienda en la que sucedió este hecho…”. Escrito de VODAFONE, de fecha 12/04/2022, que da respuesta a uno anterior de la parte reclamada de 15/03/2022, en el que se informa: “Queremos poner en su conocimiento que, tras realizar las gestiones oportunas y verificar los hechos que nos describía en su escrito…, informamos que, tras el estudio del caso, no se ha podido localizar la tienda física en la cual se gestiona el duplicado de SIM no reconocido por el cliente, confirmamos que una vez solucionada la incidencia, el servicio permanece activo. Con fecha 12 de abril de 2022, se ha solicitado un abono de 37 €, a favor de la parte reclamante, por la factura integra aplicada durante el mes de marzo…”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/52 adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 17/05/2023 como consta en el acuse de recibo que obra en el expediente. No se recibió respuesta a este escrito de traslado dentro del plazo concedido para ello. TERCERO: Con fecha 23 de junio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 20/07/2023 tuvo entrada en esta AEPD la respuesta emitida por VODAFONE al trámite de traslado de la reclamación. En esta respuesta dicha entidad manifiesta lo siguiente: Sobre los protocolos de actuación para la solicitud de un duplicado de tarjeta SIM. Vodafone explica que la solicitud de un duplicado de tarjeta SIM puede realizarse a través del teléfono de atención al cliente 121 (en este caso el duplicado únicamente podrá ser enviado a la dirección del cliente que consta en sus sistemas); a través de la página web, en el área de cliente previo logado con usuario y contraseña personal; de la aplicación “Mi Lowi”, también con acceso mediante usuario y contraseña; y a través de tienda física. En este último caso, la tarjeta SIM se entrega en mano al cliente previa solicitud del documento de identidad. Sobre el caso concreto objeto de la reclamación. Advierte que calificó al cliente como víctima de fraude en fecha 22/02/2022 después de comprobar los hechos acontecidos, de los que resulta, según la parte reclamada, lo siguiente: . Con fecha 21/09/2021 se solicitó un duplicado de SIM por un tercero no autorizado que, “teniendo acceso a los datos del cliente, solicitó el duplicado SIM sin consentimiento del cliente por vía telefónica”. . Se siguió la política de seguridad existente entonces para la vía telefónica utilizada: . Llamar al número de soporte para tiendas . Identificar la tienda mediante su código postal . Identificarse el usuario que realiza la solicitud para verificar si se encuentra autorizado. . Aporta número de identidad del cliente y número de línea afectada por el duplicado. . Indicar ciertos números de la ICC de la tarjeta a duplicar. Finalmente, el duplicado SIM se envía siempre a la Tienda autorizada que lo haya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/52 solicitado. Según la parte reclamada, en este caso, la solicitud de duplicado SIM tenía apariencia de veracidad, dado que la persona que llamó a soporte tiendas facilitó todos los datos requeridos para pasar la política de seguridad. Añade que como prueba de ello aporta grabación de tercero no autorizado solicitando el duplicado y registro de la solicitud en sus sistemas, en el que puede comprobarse que el usuario facilitado se trataba de personal autorizado para realizar estas gestiones. Añade que otro indicio de veracidad es que la SIM se remite a la tienda autorizada que realiza la solicitud. Por otra parte, detalla VODAFONE los datos suministrados para pasar la política de seguridad existente entonces (21/09/2021) por la persona que realizó la solicitud del duplicado SIM, perteneciente al personal de una tienda autorizada: . Código postal de la tienda autorizada (***REFERENCIA.1); . Se identifica como usuario autorizado facilitando el siguiente número de usuario ***USUARIO.1 que entonces se encontraba autorizado para solicitar duplicados SIM desde Tienda autorizada; . Número de NIE del cliente (***NIF.1) y número de la línea afectada por el duplicado SIM (***TELÉFONO.1); . Ciertos números de la ICC de la tarjeta SIM a duplicar (***REFERENCIA.2). Sobre la actuación de la parte reclamada cuando detecta la emisión de un duplicado SIM fraudulento. Cuando se detecta la emisión de un duplicado SIM fraudulento, se bloquea la línea afectada y se emite un duplicado a la persona titular para que recupere los servicios. Adicionalmente se adoptan acciones disciplinarias (la tienda implicada en este caso se penalizó en julio de 2022 y la propia tienda despidió a uno de sus empleados y solicitó que ninguno de ellos pueda solicitar duplicados SIM). Por otra parte, se decidió reforzar la política de seguridad (adjunta documento 5) y se remitió una circular a los call centers para hacer hincapié en esta política de seguridad. Como medidas adicionales adoptadas, informa sobre las siguientes: . Reducción del número de tiendas que puede solicitar un duplicado SIM. . Las tiendas deben facilitar un código identificativo único para cada tienda. . Facilitar el número de identidad del cliente y número de línea afectada. . Recabar copia del documento de identidad del cliente. Por último, informa VODAFONE que, el día 22 de septiembre de 2021, la parte reclamante contactó con atención al cliente para alertar de la situación y ese mismo día solicitó en tienda que le facilitaran una nueva tarjeta SIM y así fue gestionado. Con su respuesta aportó, entre otra documentación, la siguiente: . Detalle de la anotación que consta en los sistemas de información de VODAFONE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/52 relativa a la solicitud del duplicado SIM, de fecha 21/09/2021, hora 20:35. Como canal consta “Llamadas atención al cliente”, con origen el número de teléfono ***TELÉFONO.3. Asimismo, en este registro se añaden las indicaciones siguientes: “(…)” Detalle de una anotación asociada a la parte reclamante, sin fecha, con el detalle siguiente: “Alertas Manuales No hacer duplicados de SIM de ningún teléfono por posible estafa!!!”. . Informe elaborado por “Reclamaciones” en el que se indica lo siguiente: “Efectivamente el duplicado se solicitó y se entregó en tienda, el comercial llamó a retail y nos pasó la política de seguridad que tenemos marcada para estos casos, por lo que completamos dicho cambio de ICC desde el canal de soporte tienda… Nosotros no tenemos la información de los nombres exactos de las tiendas, te facilito los datos que tenemos de la tienda que lo realizó: • Código postal: ***REFERENCIA.1 • Ubicación: ***LOCALIDAD.1 • Comercial que gestionó dicho duplicado: ***USUARIO.1 El cambio de sim se realizó el día 21/09/2021 20:35:00 Se realizó mediante llamada a Soporte Retail (Soporte a tienda) desde la numeración ***TELÉFONO.3 La tarjeta sim fraude utilizada ***REFERENCIA.3 pertenecía a un pedido de Fibranorte, (…)… En la grabación se hacen pasar por compañero de tienda. Fecha grabación ***TELÉFONO.1 21.09.21.mp3 Se catalogo fraude el 28/02/2022… Este PDV continua activo con Fibranorte, es de la cadena de tiendas SMART & PHONE. Te comento: En la fecha que indicáis del duplicado se comunicó al gerente del PDV, el indicó que no tenía conocimiento que sus comerciales estuvieran realizando duplicados y pidió que ninguna de sus tiendas pudiera realizar duplicados. y despidió algún comercial. (…)”. . Esquema de la nueva política de seguridad existente en el momento en que envía la respuesta. Para los casos en que el cliente solicita duplicado de la tarjeta a través de un distribuidor, contempla la solicitud de DNI y confirmación de que se trata del titular de la línea y una llamada a “Soporte” para confirmar los datos del cliente. Se añade: . Comprobar en los listados de distribución si la persona que nos llama está autorizada a realizar el cambio de SIM. Se debe dejar el dato en los comentarios de Altitud. . EL distribuidor es el responsable de solicitar la documentación al cliente. Debe de guardar fotocopia o escaneo del mismo. Antes de realizar el cambio informamos al distribuidor de esto, si nos confirma que lo ha solicitado, realizamos el cambio. . Copia de una circular que dice haber remitido a los call center en fecha 10/10/2022, con el asunto “Cambios de Datos Clientes modificación política de seguridad”, en la que se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/52 “Tras las últimas denuncias recibidas, estamos reforzando las políticas de seguridad para los cambios de datos de clientes. Los fraudes se realizan por mafias, esto significa que han desarrollado una ingeniería social que permite acceder a modificar datos a través de la información de los clientes, procesos y sistemas que consiguen de nosotros. Una vez acceden a la línea del cliente, tienen acceso a toda su información y acceso a las cuentas bancarias, app, tarjeta, etc. Para evitar este tipo de estafas, estamos trabajando en blindar a nuestros clientes. Para eso, no se debe realizar ningún cambio de datos, cuenta de correo, ICC, etc. Sin haber seguido los siguientes pasos: 1. No se debe dar ningún tipo de información sobre nuestros sistemas, procesos o información de clientes… 2. Si se recibe una llamada de un compañero, es necesario comprobar el origen de la llamada entrante. En todos los casos debe ser una extensión, nunca una numeración larga. (…)”. . Copia de la grabación de la solicitud del duplicado de tarjeta SIM, tramitada telefónicamente entre una supuesta tienda física y la central. En dicha grabación el interlocutor por parte de la tienda solicita un duplicado SIM en nombre de un cliente (la parte reclamante). Lo hace llamando al canal de soporte para tiendas siguiendo su protocolo específico y, aunque no se aporta un código postal válido como medida de identificación de la tienda, se prosigue con el trámite. En el Hecho Probado Cuarto se reproduce la conversación. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. En respuesta al requerimiento de información que le fue realizado por los servicios de inspección, VODAFONE, mediante escrito de 31/08/2023, informó lo siguiente: Dicha entidad confirma la política de seguridad que se aplicaba en el momento de los hechos objeto de la reclamación e informa que el envío de los duplicados de tarjetas SIM a las tiendas no es necesario porque estas tiendas ya cuentan con ellas. Después de la llamada a “Soporte” e indicar los datos para pasar la política de seguridad se activa la tarjeta, que ya está a disposición de la tienda autorizada. Confirma, asimismo, las medidas adicionales que ya fueron informadas con ocasión del trámite de traslado, que incluyen recabar copia de la documentación identificativa del cliente como prueba del consentimiento. Advierte al respecto que los puntos de venta que no tienen relación directa con VODAFONE, sino a través de un agente, como ocurre en el caso que nos ocupa, tienen prohibida la realización de duplicados SIM desde marzo de 2022. En estos casos el cliente debe llamar a atención al cliente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/52 La parte reclamada aclara que el punto de venta implicado tiene la denominación social ***EMPRESA.1 y el nombre comercial SMART PHONE, con domicilio en ***DIRECCIÓN.1. Según VODAFONE, dicha tienda se engloba entre los puntos de venta gestionados por la entidad FIBRANORTE S.L., que actúa como agente. Según VODAFONE, mediante el contrato que formaliza con el agente, se traslada a éste la obligación de identificación del cliente en las gestiones a realizar y aportar a VODAFONE fotocopia de los documentos de identidad, que deben ser respetadas por los puntos de venta o subagentes, si bien el detalle aportado corresponde a las nuevas contrataciones. Sobre la actuación del punto de venta en la emisión del duplicado de tarjeta por el que se reclama, dicha entidad informa desconocer el motivo por el cual el personal de tienda actuó irregularmente o si el personal de tienda entregó los datos a un tercero no autorizado para que realizasen las acciones fraudulentas, y añade que la persona que realizó esas acciones contaba con información acerca de los procesos internos de la entidad. Con su respuesta, la entidad VODAFONE aporta, ente otra, la documentación siguiente: . “Contrato de Agencia Canal Alternativo”, entre VODAFONE ENABLER ESPAÑA, S.L y FIBRANORTE S.L., en cuyos Anexos se identifican los puntos de venta o subagentes que encuentran cobertura con dicho contrato, todos ellos ubicados en Cataluña y Aragón, ninguno de ellos en ***LOCALIDAD.1. En la localidad de Mollet del Vallés aparecen cuatro subagentes, uno de ellos con domicilio en ***DIRECCIÓN.1 y teléfono ***TELÉFONO.4. Ninguno de los subagentes que figura en el contrato tiene asociado el número de teléfono ***TELÉFONO.3. En este listado no constan los nombres de las entidades subagentes. Por otra parte, se detalla: “VODAFONE ENABLER es una entidad que forma parte del mismo Grupo societario al que pertenece VODAFONE ESPAÑA, S.A.U.”. FIBRANORTE S.L. es el encargado del tratamiento y la tienda física SMART PHONE tiene la consideración de subencargada del tratamiento. La parte reclamada también aporta las instrucciones dadas al encargado del tratamiento en materia de protección de datos que, a su vez, se compromete a trasladarlas a los subencargados para el personal que atiende de manera presencial en las tiendas físicas. Si bien se hace hincapié en la verificación de la identidad, el traslado de la documentación por la tienda física a la central de VODAFONE no es inmediato en el momento de la gestión. . Histórico de las interacciones mantenidas con la parte reclamante entre los días 1 de septiembre de 2021 y el 1 de octubre de 2021, incluyendo las anotaciones realizadas por los gestores y acciones emprendidas en cada acto. Además de la llamada a soporte correspondiente a la solicitud del duplicado de tarjeta fraudulento, de fecha 21/09/2021, en el sistema de información de VODAFONE constan, entre otros, los contactos siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/52 . 23/09/2021: la parte reclamante, mediante llamada telefónica, advierte que “le han pedido un duplicado sin permiso y le han quitado dinero vinculado a su banco”. . 25/09/2021, 14:06: llamada de la parte reclamante al Servicio de Atención al Cliente indicando que “quiere poner una reclamación porque aparece que le han duplicado la simswap y le han estafado, se indica que envíe la denuncia a correo”. . 25/09/2021: “Llamo al cliente para comprobar línea activa. La línea cursa correctamente y da tono…”. . 01/10/2021, en relación con el contacto anterior de 25/09/2024, 14:06: “cierro caso 25/09/2021 14:06… tipificado y dejado comentario en inicio: no se ha de hacer duplicado de SIM de ningún teléfono por posible estafa. Es mejor que acuda a una tienda Retail a solicitar duplicado para pasar política y dejar fotocopia o escaneo DNI”. . 01/10/2021: “Clienta pide información sobre una estafa sufrida y piensa que se ha hecho un duplicado sim sin su consentimiento // gestiono que no sea así e informó de que no se ha realizado ningún duplicado”. 2. Con fecha 10/11/2023 se recibió respuesta de VODAFONE a un nuevo requerimiento de información que le fue realizado por los Servicios de Inspección, en el que se advertía a dicha entidad que en la documentación aportada con anterioridad no figuraba ningún punto de venta asociado a los datos facilitados sobre código postal, domicilio y teléfono del punto de venta que solicitó el duplicado de SIM fraudulento y que, según puede apreciarse en la grabación de la llamada a “soporte”, el código postal indicado no figuraba como autorizado. A propósito de estas cuestiones, VODAFONE modificó la información aportada anteriormente para señalar ahora que el código postal no era un requisito de la Política de Seguridad en las llamadas al número de soporte para tiendas, la cual se limitaba a identificar el código específico asignado al usuario para verificar si estaba autorizado, aportar el número del documento de identidad del cliente y el número de línea afectada por el duplicado de SIM, así como ciertos números de la ICC de la nueva tarjeta. A este respecto, reitera que la persona que suplantó al personal de tienda conocía ese código específico (***USUARIO.1) y el resto de los datos: DNI, nombre y apellidos y números de la ICC de la nueva tarjeta SIM. Asimismo, informó que el equipo de Reclamaciones, por un error puntual, trasladó una información errónea relativa al punto de venta que realizó el duplicado SIM. Confirma ahora que el punto de venta que realmente solicitó el duplicado SIM en cuestión fue la tienda ubicada en ***DIRECCIÓN.1. Añade que este punto de venta está recogido en el contrato como uno de los puntos utilizados por el distribuidor implicado en el caso. Según VODAFONE, el equipo de reclamaciones no ha podido identificar la causa de aquel error. SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad VODAFONE ESPAÑA, S.A.U. es una gran empresa constituida en el año 1994, y con un volumen de negocios de 2.909.851.000 euros en el año 2024. SÉPTIMO: Con fecha 3 de septiembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/52 con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada solicitó ampliación del plazo y copia del expediente que le fue concedido y con fecha 8 de octubre de 2024 presentó escrito de alegaciones en el que solicita el sobreseimiento del expediente o, subsidiariamente, la imposición de una sanción en cuantía mínima. Basa su pretensión en las consideraciones siguientes: 1. Vodafone ha aplicado las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo y el tratamiento lícito de datos personales. I. Previo: la obligación de adoptar medidas técnicas y organizativas para garantizar un nivel de seguridad adecuado al riesgo no es una obligación absoluta. En primer término, señala que la Agencia entiende que Vodafone habría infringido el artículo 6.1 del RGPD al tratar los datos personales del reclamante sin su consentimiento como consecuencia de no adoptar las medidas apropiadas para impedir que terceros puedan hacerse pasar por el reclamante y conseguir un duplicado de su tarjeta SIM, y destaca al respecto que, según ha declarado la Audiencia Nacional y la propia AEPD, la obligación de adoptar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo "no es una obligación absoluta". En otras palabras, según Vodafone, no puede entenderse que el hecho de que un tercero haya superado dichas medidas implica, per se, haber incumplido la obligación y, por ende, llevar a cabo un tratamiento de datos ilícito. Así pues, el responsable del tratamiento está sujeto a una obligación de medios, no a una obligación de resultados en el sentido de entender que todo incidente es un incumplimiento del deber de garantizar un nivel de seguridad adecuado al riesgo. Por tanto, del hecho de que un tercero, mediante la comisión de delitos, haya superado las medidas de seguridad de Vodafone no puede automáticamente inferirse que Vodafone no ha sido diligente en la verificación de la identidad de los clientes y, por tanto, no ha tratado los datos personales del reclamante conforme al artículo 6.1 del RGPD. II. Vodafone es responsable de adoptar medidas técnicas y organizativas dirigidas a que los duplicados de tarjetas SIM sean facilitados a los titulares de las líneas telefónicas Las indicadas medidas están dirigidas a garantizar que el solicitante del duplicado de tarjeta SIM es el titular de la línea telefónica contratada, de modo que, en el presente caso, de duplicado de tarjeta SIM realizado de forma telemática (por vía telefónica suplantando a una tienda autorizada), quedan fuera de la esfera de control de Vodafone las conductas previas del estafador para obtener datos de las víctimas o las posteriores, como las cometidas para acceder a la banca online. III. Medidas técnicas y organizativas adoptadas por Vodafone C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/52 Para solicitudes tramitadas de forma telemática por parte de las tiendas autorizadas, en la fecha de los hechos, el personal de la tienda debía llamar a “soporte canal de tienda” para identificar la tienda como autorizada e identificar al titular de la línea, facilitando el código de usuario de la tienda, ciertos números de la nueva tarjeta SIM (disponibles en tienda y que se activan tras estos controles), nombre, apellidos, número de DNI y teléfono. Añade que tienen que realizar una copia del documento de identidad antes de emitir un duplicado de la tarjeta SIM. En este caso, la tienda suplantada en este caso es SMART&HOME, con domicilio en ***DIRECCIÓN.1, cubierta por el contrato de agencia suscrito por Vodafone con FIBRANORTE S.L. (en adelante, “FIBRANORTE”) de fecha 1 de abril de 2021, el cual a su vez tiene un contrato con SMART&HOME. En ese contrato se establece la obligación de las tiendas de identificar correctamente a los clientes (reproduce las indicaciones realizadas para nuevas altas). El código de usuario de SMART&HOME era ***USUARIO.1. Ciertos números de la nueva tarjeta SIM LOWI (ICC): ***REFERENCIA.2. Los datos del reclamante son el número de su NIE (***NIF.1), número de móvil de la línea afectada por el duplicado SIM (***TELÉFONO.1), así como su nombre y apellidos. Para acreditar el paso de la política de seguridad, Vodafone se remite a la grabación, ya aportada en el primer requerimiento de información, con el nombre de archivo “***REFERENCIA.4”. Como se puede observar en la grabación, el estafador cuenta con toda la información necesaria para pasar la política de seguridad de LOWI: (

1. i)código de usuario de la tienda autorizada; (
2. ii)ICC de la nueva tarjeta SIM (lo que implica estar en posesión física de la SIM); y (iii) datos del reclamante, nombre, apellidos, número de documento de identidad y número de línea de móvil a duplicar. Sobre esta cuestión, en respuesta a lo indicado en el acuerdo de apertura, sobre la no comprobación por parte de Vodafone de la verificación de identidad realizada por la tienda y la no comprobación del número desde el que se realiza la solicitud de duplicado, que en este caso no coincide con ningún número de línea asociado a la tienda en cuestión, la citada entidad manifiesta que la tienda está obligada a identificar al cliente con su documento de identidad y que ha restringido este tipo de operaciones al canal alternativo (tiendas no relacionadas directamente con Vodafone, sino con el agente). En estos casos, si el cliente quiere realizar un duplicado SIM debe llamar a atención al cliente y solicitarlo directamente, previo paso de la política de seguridad correspondiente. Se refiere Vodafone seguidamente las acciones emprendidas contra el agente con motivo del caso presente y al abono realizado a la parte reclamante en compensación por los servicios consecuencia del duplicado fraudulento, ya detallados en sus escritos anteriores, y las nuevas medidas implantadas: . Medidas disuasorias, como sanciones a los agentes. . Desde el Grupo Vodafone se ha desarrollado una solución llamada “Vodafone Identity Hub (VIH)”, que permite verificar si un usuario que solicita una determinada operación en plataformas de terceros contratantes (por ejemplo, la contratación de un préstamo a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/52 una entidad bancaria o cualquier otra operación bancaria que requiera la identificación del cliente, como la emisión de una tarjeta de débito) ha realizado un cambio/duplicado de tarjeta SIM recientemente. En el caso de que sea así, la plataforma envía dicha información a la entidad contratante que le avisa de una alta probabilidad de fraude en la operación. Vodafone ha implementado esta solución en España y cuenta con diferentes clientes del sector bancario que la han contratado para incluirla en sus procesos de autorización de operaciones bancarias. . Una vez detectado un cambio de SIM fraudulento: bloqueo de la tarjeta SIM; restricción en la recepción de SMS, para así evitar que la línea móvil reciba códigos de entidades bancarias que puedan utilizar los estafadores para obtener dinero de las cuentas del cliente; y marcar al cliente como “víctima de fraude”, así como aparición de ventanas emergentes con notificaciones indicando a los comerciales de Vodafone para que no se realicen operaciones sobre dichas cuentas. IV. Estamos ante un tercero cuyo propósito es, mediante una actividad delictiva, superar dichas medidas de seguridad No estamos ante un fallo o error del sistema implementado por Vodafone, sino ante un acceso a los datos personales de los interesados que se produce mediante una actividad delictiva debidamente organizada y planeada. En el presente caso, el defraudador, conociendo los procedimientos internos y aportando toda la información siguiente: código que identifica a la tienda como tienda autorizada, número de la nueva tarjeta SIM LOWI (ICC), así como toda la información relativa al reclamante consigue superar la política de seguridad de Lowi y realizar el duplicado SIM. Vodafone actuó en todo momento conforme a sus políticas de seguridad y realizó una correcta verificación del establecimiento autorizado, así como de los datos del cliente sobre el cual se solicitó la operación, a lo que se añade la obligación de identificar al solicitante por parte de las tiendas. V. Sobre los supuestos aspectos que Vodafone no habría acreditado, según establece la AEPD en el acuerdo de inicio. Vodafone en este apartado se refiere a las mismas cuestiones ya señaladas en el apartado III y reitera los argumentos anteriores. Respecto de la no comprobación por “canal soporte tienda” del número llamante, indica que ese no era un requisito de la política de seguridad en el momento de los hechos. Y termina concluyendo que el hecho de que un tercero supere las medias de seguridad de Vodafone no implica automáticamente que no haya sido diligente en la verificación de la identidad de los clientes y, por tanto, no ha tratado los datos personales conforme al artículo 6 del RGPD. 2. Subsidiariamente, y para el caso de que la Agencia entendiera que Vodafone ha infringido el artículo 6.1 del RGPD, no puede apreciarse la existencia de culpabilidad en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna. Después de citar el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, señala que no concurre en su conducta culpabilidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/52 alguna, ni a título de dolo ni a título de culpa. Asimismo, detalla la doctrina del Tribunal Supremo, según la cual “para la exculpación no bastará la invocación de la ausencia de culpa, sino que será preciso que se haya empleado la diligencia que era exigible por quien aduce su inexistencia (entre otras, la Sentencia del Tribunal Supremo de 23 de enero de 1998 [RJ 1998\601])”; e invoca la Sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección 1ª) de 25 de febrero de 2010 [JUR 2010/82723], referida a un precedente tramitado en esta Agencia, en la que, según Vodafone, se concluyó que imputar a un responsable del tratamiento por el acceso a los datos por parte de un tercero mediante acciones delictivas podría conllevar la vulneración del principio de culpabilidad y cita el siguiente párrafo de esa Sentencia: “Así, aun cuando el artículo 9 de la LOPD establece una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros, tal obligación no es absoluta y no puede abarcar un supuesto como el analizado. En el caso de autos, el resultado es consecuencia de una actividad de intrusión, no amparada por ordenamiento jurídico y en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que rompiendo los sistemas de seguridad establecidos accede a la base de datos de usuarios registrados en www.portalatino.com, descargándose una copia de la misma. Y, tales hechos, no pueden imputarse a la entidad recurrente pues, de otra forma, se vulneraría el principio de culpabilidad”. Entiende que eso ha sido lo ocurrido en este caso, en el que estamos ante una actuación delictiva llevada a cabo por un tercero, quien, actuando con dolo, engañó al agente de soporte canal para tienda, suplantando al personal de tienda al aportar toda la información requerida por la política de seguridad. Por tanto, deberá determinarse si Vodafone ha empleado la diligencia debida que le era exigible para garantizar la licitud del tratamiento de los datos personales de sus clientes y evitar el duplicado de tarjeta SIM por parte de terceros. Según Vodafone, el hecho de que se ejecutase el duplicado de tarjeta SIM no quiere decir que no obrara con la diligencia debida, por cuanto todas sus actuaciones han ido siempre dirigidas al establecimiento y supervisión de medidas técnicas y organizativas tendentes a garantizar la seguridad de los datos personales de sus clientes y a asegurar que quién solicita el duplicado SIM es el titular de la línea. A este respecto, destaca: . Dispone de políticas de seguridad para prevenir el cambio fraudulento de tarjetas SIM, y una específica para solicitar el duplicado desde una tienda autorizada. . Actualiza dichas medias de seguridad y envía comunicados y alertas a sus agentes y tiendas. . En caso de que el fraude se consiga, reacciona en cuatro frentes: . Hacia el cliente, bloqueando la tarjeta y restringiendo la recepción de SMS, así como abonando los servicios consumidos por el estafador. . Acciones dirigidas a los agentes y empleados, con el envío de comunicaciones periódicas, información sobre el modus operandi, aplicación de penalizaciones, etc. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/52 . Con las FFCCSS, interponiendo denuncias o colaborando en la lucha contra este fraude. . Respecto de terceros, como entidades de crédito, advirtiendo sobre duplicados de tarjeta SIM recientes. En consecuencia, entiende Vodafone que ha actuado en todo momento cumpliendo con la diligencia debida que le es exigible, no pudiendo imputársele culpabilidad alguna. 3. Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes y modularse la sanción a la baja.
3. a)Sobre las agravantes consideradas por la AEPD I. Toda infracción anterior cometida por el responsable o el encargado del tratamiento. En los cuatro expedientes mencionados por la Agencia (EXP202204287, EXP202203914, EXP202203916 y EXP202206290) efectivamente Vodafone se acogió a una reducción de la sanción, sin asunción de culpa y, en todo caso, es necesario aclarar que la mera alusión del incumplimiento del artículo 6.1 del RGPD puede abarcar multitud de supuestos de tratamientos de datos que nada tengan que ver con los hechos acaecidos y sancionados en el presente Acuerdo. Considera que la aplicación de esta agravante no ha sido lo suficientemente motivada por parte de la Agencia, suponiendo su aplicación un perjuicio grave para la defensa de mi mandante y la seguridad jurídica dado que cualquier incumplimiento del artículo 6.1 del RGPD en general, sin atender a los hechos probados de cada caso, valdría como mera prueba de la aplicación de esta agravante con la inherente consecuencia de graduar el importe de la sanción al alza II. La vinculación de la actividad de Vodafone con la realización de tratamientos de datos de carácter personal (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD). “Efectivamente, existe una vinculación entre la actividad de Vodafone y el tratamiento de datos personales de sus clientes que realiza para llevar a cabo la correcta prestación de los servicios contratados y atender las solicitudes y peticiones que éstos realicen. La Agencia hace referencia a la existencia de imprudencia cuando un responsable del tratamiento no se comporta con la diligencia exigible debiendo insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto. Prueba del especial cuidado y cautela aplicada en el tratamiento de datos personales que lleva a cabo mi representada, son todas las medidas de seguridad implementadas, además de la continua revisión de las políticas y cumplimiento de las mismas. Por lo que este factor, no debe ser tenido en cuenta como agravante a la hora de graduar la sanción”.
4. b)Atenuantes que, a juicio de Vodafone, deben tomarse en consideración: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/52 III. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD, en atención a las medidas implementadas para asegurar que quien solicita el duplicado o cambio de tarjeta SIM es el titular de la línea. IV. El grado de cooperación con la autoridad de control durante las actuaciones previas de inspección con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción V. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. “Vodafone no ha obtenido ningún tipo de beneficio o evitado pérdidas a raíz de la duplicación fraudulenta de la tarjeta SIM, sino todo lo contrario. En este sentido, la actividad criminal llevada a cabo por los estafadores y ciberdelincuentes también ha supuesto un perjuicio reputacional para mi mandante y una defraudación de sus políticas de seguridad”. 4. Propone que se admita la prueba documental siguiente: Además de la política de seguridad de cambio e SIM, el contrato de agencia con Fibranorte, S.L., el registro en sus sistemas de la llamada de solicitud del duplicado de SIM correspondiente al presente caso, la carta enviada al reclamante de fecha 18/07/2023 explicándole lo acontecido y el abono realizado al mismo, todos ellos ya aportados y reseñados en los antecedentes anteriores; Vodafone aporta: . Instrucciones trasladadas a su fuerza comercial informando de la necesidad de exigir el código de tienda y de informar a ésta que deberá guardar fotocopia o escaneo de la documentación del cliente. . Hilo de correos sobre los códigos de las tiendas autorizadas en el momento de los hechos. En esta relación no se indica ningún detalle sobre las entidades a las que corresponden esos códigos. . Códigos de las tiendas autorizadas en el momento de los hechos. En esta relación no se indica ningún detalle sobre las entidades a las que corresponden esos códigos. En su escrito se mencionan los documentos siguientes, si bien no fueron aportados: . Las dos grabaciones ya aportadas al expediente con el nombre de archivo “***REFERENCIA.5” y “***REFERENCIA.6”. . Anexo III Acuerdo de Tratamiento de Datos de Vodafone Enabler . Grabación ya aportada al expediente con el nombre de archivo “***REFERENCIA.4” que acredita el paso de la política de seguridad en el momento de los hechos. NOVENO: Con fecha 15 de octubre de 2024, el instructor del procedimiento acordó abrir un período de practica de pruebas, declarando reproducida la reclamación interpuesta y su documentación, así como la documentación que integra la fase de admisión a trámite y las actuaciones previas de investigación, y por presentadas las alegaciones formuladas por Vodafone al acuerdo de inicio del procedimiento. Por otra parte, se requirió a la entidad Vodafone para que aportase los documentos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/52 señalados en su escrito de alegaciones y no aportados con dicho escrito. DÉCIMO: Con fecha 6 de noviembre de 2024, Vodafone, dentro del plazo concedido en el período de pruebas, informó que las grabaciones a las que se refería el requerimiento ya fueron aportadas a las actuaciones y aportó copia del “Anexo III Acuerdo de Tratamiento de Datos de Vodafone Enabler”. UNDÉCIMO: Con fecha 9 de julio de 2025 se formuló propuesta de resolución, proponiendo que se sancionara a VODAFONE ESPAÑA, S.A.U. con NIF A80907397, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 150.000 € (ciento cincuenta mil euros) y otorgándole un plazo de diez días para la presentación de alegaciones. DUODÉCIMO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada solicitó ampliación del plazo le fue concedida y con fecha 5 de agosto de 2025 presentó escrito de alegaciones en el que solicita el sobreseimiento del expediente o, subsidiariamente, la imposición de una sanción en cuantía mínima. Vodafone, basa sus pretensiones en las consideraciones que se exponen a continuación, remitiéndose en todo caso, y en su integridad, a lo ya manifestado previamente en su escrito de alegaciones al acuerdo de inicio. 1. Vodafone ha actuado de forma diligente en la medida en la que tiene implementados los procesos necesarios para identificar correctamente a sus clientes, siendo la adopción de medidas técnicas y organizativas una obligación que no es absoluta. En primer lugar, Vodafone incide en que, si bien en la propuesta de resolución de este procedimiento no se le imputa una infracción por insuficiencia o adecuación de medidas de seguridad sino por falta de licitud en el tratamiento de datos personales, en la misma se hace referencia a la ineficacia de sus medidas de seguridad. A continuación, declara que tiene implementadas las medidas técnicas y organizativas adecuadas para identificar correctamente a sus clientes y evitar que haya un tratamiento ilícito de datos. No obstante, si terceros, mediante técnicas ilícitas y fraudulentas, obtienen los datos confidenciales de los clientes y, a través de ellos, les usurpan la identidad y superan las medidas implementadas, eso no significa que la política sea insuficiente, sino que se han obtenido los datos necesarios, por medios ajenos a mi representada, para superar las medidas establecidas. Asimismo, recuerda que la obligación de adoptar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo "no es una obligación absoluta", si no que el responsable del tratamiento se encuentra sujeto a una obligación de medios a la hora de implementar una política de seguridad robusta y eficaz, tal y como la de Vodafone (Sentencias de la Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección 1ª) de 25 de febrero de 2010 [JUR 2010/82723] y de 10 de noviembre de 2017 [JUR 2018/3170]). Vodafone alega que toda política de seguridad es susceptible de ser superada en un momento dado a pesar de contar con medidas y requisitos difícilmente vulnerables y apela al concepto de que el de “riesgo cero” no existe, tal y como ha indicado esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/52 Agencia en su Guía, de junio de 2021, sobre la “Gestión del riesgo y evaluación de impacto en tratamientos de datos personales”. Esta misma línea se sigue en el Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29), que se aporta por la propia Agencia en su Propuesta de Resolución e indica que "la esencia de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos”. En consecuencia, lo que se puede solicitar al responsable es que implemente un proceso de verificación de la identidad que sea acorde y que, en circunstancias normales, garantice un correcto tratamiento de los datos. Estas medidas estaban implementadas por parte de mi representada cuando se ejecutó el duplicado SIM. En concreto, Vodafone realizó el cambio de tarjeta SIM en la medida en que el solicitante acreditó (de forma fraudulenta) que era agente de un establecimiento autorizado mediante la aportación de cierta información y los datos del reclamante, habiendo obtenido los datos personales del reclamante a través de medios ajenos, como, por ejemplo, técnicas de ingeniería social. Por otro lado, describe la política de seguridad exigida en el momento de los hechos, destacando que:        El personal del punto de venta debe llamar a soporte canal, el cual autoriza el duplicado SIM, previa indicación de:
5. i)código del usuario de la tienda autorizada, (
6. ii)ciertos números de la nueva tarjeta SIM (ICC), (iii) nombre, apellidos, número de DNI/NIE y nº de teléfono del cliente cuya línea se quiere duplicar. La tienda debe identificar al cliente mediante la visualización del documento de identidad. La política de seguridad para duplicados SIM solicitados desde tienda antes dependía de códigos postales, pero en el momento de los hechos no, según se acreditó mediante las grabaciones aportadas. Si el agente hubiese dado por válida la operación en base al código postal habría incumplido la política de seguridad de Vodafone, y no ha sido el caso. La necesidad de consultar los códigos de tienda, para saber si el punto de venta se encuentra o no autorizado. En este caso, el defraudador indica el código de tienda. El defraudador no sólo conocía el código de la tienda autorizada, sino que además contaba con la nueva tarjeta SIM (ICC) y con los datos personales del cliente (Nombre, Apellidos, DNI y teléfono de la línea a duplicar). El motivo por el cual el equipo de reclamaciones dio mal la información relativa a la tienda involucrada en el presente caso se desconoce, pero cierto es que Vodafone es una compañía grande y en ocasiones para conocer el detalle de determinadas operativas hay que contactar con personas específicas. El agente de soporte Retail no verificó la línea entrante porque no era un campo requerido, al contarse con el código de tienda. Añade que el requisito de comprobar la línea entrante se incluyó posteriormente en una circular de 10/10/2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/52  Se requería fotocopia y custodia del documento de identidad por parte del punto de venta, según consta en el contrato con el agente. Vodafone considera que no debería ser responsable de los actos ilegales de terceros argumentado, que no pudo comprobar que la solicitud se estaba realizando por un tercero en la medida que la identidad del estafador estaba oculta y se hacía pasar por un compañero de tienda, superando mediante técnicas ilícitas las políticas de seguridad establecidas. Con relación a la observación recogida en la Propuesta de Resolución, relativa a la posibilidad de que pudieran haberse adoptado medidas de seguridad adicionales, Vodafone alega que, en el presente caso, el autor del fraude logro superar los controles internos porque conocía los procesos internos. Esto le lleva a concluir que el problema no son las medidas de control, sino la existencia de una actuación fraudulenta cuya única motivación es dañar a terceros, en este caso al reclamante y a Vodafone. Por todo ello, Vodafone considera que ha implementado las medidas técnicas y organizativas necesarias y adecuadas al riesgo del tratamiento de datos que realiza, minimizando al máximo posible el riesgo prevalente, de cara a la realización de un tratamiento de datos lícito y acorde con la normativa de protección de datos vigente, y que cumple con la diligencia debida que se le puede exigir. 2. La realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes de Vodafone, sino a los servicios de móvil e internet que pudieran tener contratados. En lo que atañe a esta cuestión, Vodafone manifiesta que el duplicado fraudulento de la tarjeta SIM no es una actuación necesaria (hay entidades bancarias que no envían SMS con sus claves únicas) ni suficiente (se requiere el acceso a otros datos y claves) para lograr acceder a las cuentas de los sujetos afectados. En consecuencia, considera que no se puede admitir la afirmación que la Agencia hace en la Propuesta de Resolución, sin contar con ninguna evidencia al respecto, relativa a que los datos de las credenciales bancarias del afectado como contraseñas, dirección de correo electrónico y otros datos era información contenida en el teléfono móvil, siendo éste la fuente de acceso a dichos datos con los cuales superó la política de seguridad de la entidad bancaria correspondiente. En este sentido, entiende que si realmente se quiere averiguar cómo se han producido los accesos a las cuentas bancarias del reclamante se debería al menos solicitar información a la entidad bancaria del reclamante, para conocer cómo fue el acceso no autorizado a sus cuentas bancarias, qué otros datos eran necesarios para realizar esas transferencias. Por último, concluye que a Vodafone podrán achacársele infracciones sólo respecto de aquellos tratamientos de datos y medidas de seguridad de las que sea responsable, esto es, aquellas dirigidas a garantizar que el solicitante del duplicado de la tarjeta SIM es el titular de la línea; no están (ni pueden estar) dirigidas a evitar la suplantación de identidad (falsificación del DNI, por ejemplo) ni a evitar el acceso a las cuentas bancarias a través de la aplicación de la entidad de crédito en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/52 3. No puede apreciarse la existencia de culpabilidad en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna. Vodafone discrepa del argumento según el cual existiría culpa por la falta de diligencia mostrada en su actuación y, en consecuencia, rechaza que pueda derivarse responsabilidad sancionadora alguna. En este sentido, Vodafone considera que sí ha sido diligente en el establecimiento de medidas organizativas y técnicas adecuadas al nivel de riesgo existente y se remite a lo indicado en la Alegación Primera de estas alegaciones. Asimismo, considera que el principio de proactividad, que transfiere a Vodafone la obligación de cumplir la normativa y la de poder demostrar dicho cumplimiento, ha sido ampliamente cubierto aportando las evidencias de que se siguieron los procesos pertinentes. Por último, considera que únicamente se ha observado el resultado de los hechos, la emisión fraudulenta del duplicado SIM, sin considerar todas las medidas de seguridad implementadas para evitar el fraude. En consecuencia, estima que se le impone la obligación de evitar todos los fraudes, siendo ésta una obligación absoluta, no una de medios, lo que iría en contra de lo dispuesto por la Audiencia Nacional. 4. Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, esta parte no está de acuerdo con las circunstancias agravantes y la no consideración de las circunstancias atenuantes mencionadas. Sobre los agravantes aplicados por la Agencia a la hora de evaluar la sanción: I. Artículo 83.2.
7. d)del RGPD: “el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32”. Vodafone discrepa que la infracción tenga connotaciones sistémicas por considerar que estamos ante un caso puntual en el que se ha utilizado información interna para vulnerar los procedimientos existentes en la compañía y defraudar tanto al reclamante como a Vodafone, lo cual debería ser valorado para atenuar la cuantía sancionadora, no agravarla. En relación con la falta de medidas de seguridad indicadas y su no eficacia se remite a lo ya indicado en la Alegación Primera. II. La vinculación de la actividad de Vodafone con la realización de tratamientos de datos de carácter personal (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD). Vodafone reconoce la vinculación entre su actividad y el tratamiento de datos personales de sus clientes que realiza para llevar a cabo la correcta prestación de los servicios contratados y atender las solicitudes y peticiones que éstos realicen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/52 Al respecto, alega como prueba del especial cuidado y cautela aplicada en el tratamiento de datos personales que lleva a cabo, todas las medidas de seguridad implementadas y que se detallan en la Alegación Primera, además de la continua revisión de las políticas y cumplimiento de las mismas. Por lo que estima que este factor no debería ser tenido en cuenta como agravante a la hora de graduar la sanción. Adicionalmente, considera que deberían tomarse en consideración las siguientes atenuantes: I. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD. Al efecto, se remite a la Alegación Primera de estas alegaciones. II. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. Vodafone considera que sí ha puesto medios para remediar y mitigar los posibles efectos adversos de la práctica fraudulenta de los duplicados SIM tal y como se ha evidenciado en la manifestación primera de las estas alegaciones. Además, destaca la prohibición, desde marzo de 2022, de poder realizar duplicados SIM a través de soporte Retail y que directamente sean los clientes quienes contacten con Atención al Cliente, así como las medidas reactivas dirigidas al cliente afectado, sus agentes y empleados, a tercero como las entidades de crédito, y su colaboración con las Fuerzas y Cuerpos de Seguridad del Estado. III. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. Vodafone alega que no ha obtenido ningún tipo de beneficio o evitado pérdidas a raíz de la duplicación fraudulenta de la tarjeta SIM; por el contrario, la actividad criminal le ha supuesto un perjuicio reputacional. HECHOS PROBADOS 1. La parte reclamante, con residencia en ***LOCALIDAD.1, es cliente de la entidad Vodafone. Entre los servicios contratados figura la línea de telefonía móvil número ***TELÉFONO.1. 2. Con fecha 21/09/2021, un tercero no autorizado solicitó un duplicado de tarjeta SIM para la línea de la parte reclamante ***TELÉFONO.1. Esta solicitud, que se realizó vía telefónica a través del canal interno para soporte a tiendas (Soporte Retail), fue atendida por Vodafone, entregándose al tercero la tarjeta SIM solicitada. 3. En relación con la solicitud de duplicado de tarjeta SIM reseñada en el Hecho Probado Segundo, en los sistemas de información de Vodafone consta que tuvo lugar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/52 en fecha 21/09/2021, a las 20:35 horas. En este registro consta como “Llamadas atención al cliente”, con origen el número de teléfono ***TELÉFONO.3, y las indicaciones siguientes: “(…)”. 4. Vodafone aportó a las actuaciones copia de la grabación de la llamada realizada a Soporte Retail para solicitar el duplicado de tarjeta SIM reseñado en el Hecho Probado Segundo. Seguidamente se reproduce la conversación: . Tengo aquí un cliente que quiere hacer un duplicado de su tarjeta SIM . En este caso, primero confírmame el código postal de tu tienda para saber si estás autorizado o no… . Vale, sería ***REFERENCIA.1 . Vale, ***REFERENCIA.1 no, en este caso no estarías autorizado ¿tendrías algún otro código? . Te digo el de cliente, el de tienda . El de tienda, claro, realmente necesito el código postal de la tienda . (…) . No, tampoco. No me aparece . Sí, sería (…) . A ver si hay otro, estoy buscando, dame un momento… No me aparece… Algún otro, es que con el código postal debería salirme la tienda, ***REFERENCIA.1 no aparece . No, solo con eso te debería aparecer. Es más, si quieres te indico la clave de usuario . Deletréame el usuario . (…) . Voy a buscar. Sí, aquí está. Vale, pues dime DNI del cliente . Sería… (número de NIE), A.A.A. . Me confirmas ahora el número móvil . ***TELÉFONO.1 . Por último, confírmame el nuevo ICC a partir de 100 . ***REFERENCIA.7 . Pues ya está hecho 5. La entidad Vodafone, en su respuesta al trámite de traslado de la reclamación, de fecha 20/07/2023, informó que, el día 22/09/2021, la parte reclamante contactó con atención al cliente para alertar de la situación y ese mismo día solicitó en tienda que le facilitaran una nueva tarjeta SIM y así fue gestionado. 6. En los sistemas de información de Vodafone constan, entre otros, los contactos siguientes: . 23/09/2021: la parte reclamante, mediante llamada telefónica, advierte que “le han pedido un duplicado sin permiso y le han quitado dinero vinculado a su banco”. . 25/09/2021: llamada de la parte reclamante al Servicio de Atención al Cliente indicando que “quiere poner una reclamación porque aparece que le han duplicado la simswap y le han estafado, se indica que envíe la denuncia a correo”. . 01/10/2021, en relación con el contacto anterior: “cierro caso 25/09/2021 14:06… tipificado y dejado comentario en inicio: no se ha de hacer duplicado de SIM de ningún teléfono por posible estafa. Es mejor que acuda a una tienda Retail a solicitar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/52 duplicado para pasar política y dejar fotocopia o escaneo DNI”. 7. Mediante escrito de fecha 20/10/2021, que da respuesta a una reclamación de la parte reclamante de fecha 13/10/2021, en la que ésta solicita el resarcimiento de daños por los hechos relatados, Vodafone expresamente indica: “Queremos poner en su conocimiento que, tras realizar las gestiones oportunas y verificar los hechos que nos describía en su escrito el Sr… (la parte reclamante), hemos comprobado que con fecha 21 de septiembre, se nos comunica que, a través de una tienda física, se gestiona un duplicado de SIM de la línea ***TELÉFONO.1, informamos que para poder realizar dicha gestión es necesario que el solicitante pase una política de seguridad que incluye entrega de DNI, así como facilitar una serie de datos personales. Con fecha 22 de septiembre, el servicio de atención al cliente recibe una llamada del Sr… (la parte reclamante), en la que indica que le han clonado la tarjeta SIM y solicita una nueva, durante esta comunicación se indica el procedimiento para su solicitud desde la APP del cliente, sin llegar a ser gestionada por nuestro agente ya que la dirección de entrega no corresponde con la asociada al cliente en la base de datos. Con fecha 22 de septiembre, D… (la parte reclamante) nos comunica que gestiona el bloqueo de la línea desde la APP, no obstante, confirmamos consumos desde la línea durante todos los días del mes de septiembre permaneciendo activa hasta el día de hoy. Adjuntamos factura de septiembre”. 8. Con fecha 15/11/2021, la parte reclamante solicitó a Vodafone que le informe en qué tienda física se realizó dicho duplicado de tarjeta y le aporten documento firmado correspondiente a la entrega del mismo con los datos de la persona que lo recibió. 9. Mediante escrito de fecha 09/02/2022, que da respuesta a uno anterior de la parte reclamante de 03/01/2022, Vodafone expresamente indica: “Queremos poner en su conocimiento que, tras realizar las gestiones oportunas y verificar los hechos que nos describía en su escrito el Sr… (la parte reclamante), hemos comprobado que, el día 21/09/2021, se gestiona duplicado de sim de la línea ***TELÉFONO.1 en físico, no queda registrado como duplicado de sim puesto que en lugar de tramitar duplicado al parecer le facilitan a la persona una nueva SIM. Estamos procediendo a la identificación de la tienda en la que sucedió este hecho…”. 10. En su respuesta al trámite de traslado de la reclamación, de fecha 20/07/2023, Vodafone informó a la AEPD que calificó al cliente como víctima de fraude en fecha 22/02/2022 después de comprobar los hechos acontecidos. 11. Mediante escrito de fecha 12/04/2022, que da respuesta a uno anterior de la parte reclamada de 15/03/2022, Vodafone informa: “Queremos poner en su conocimiento que, tras realizar las gestiones oportunas y verificar los hechos que nos describía en su escrito…, informamos que, tras el estudio del caso, no se ha podido localizar la tienda física en la cual se gestiona el duplicado de SIM no reconocido por el cliente, confirmamos que una vez solucionada la incidencia, el servicio permanece activo. Con fecha 12 de abril de 2022, se ha solicitado un abono de 37 €, a favor de la parte reclamante, por la factura integra aplicada durante el mes de marzo…”. 12. En su respuesta al trámite de traslado de la reclamación, de fecha 20/07/2023, Vodafone informó a la AEPD que para la emisión de un duplicado de tarjeta SIM por parte de una tienda física, ésta debía llamar a Soporte Retail identificar la tienda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/52 mediante su código postal, facilitar el usuario que realiza la solicitud para verificar si se encuentra autorizado, así como el número de identidad del cliente, número de línea afectada por el duplicado y ciertos números de la ICC de la tarjeta a duplicar. 13. En su respuesta al trámite de traslado de la reclamación, de fecha 20/07/2023, Vodafone informó a la AEPD que los datos suministrados por la persona que realizó la solicitud del duplicado SIM reseñada en el Hecho Probado Segundo fueron los siguientes: . Código postal de la tienda autorizada (***REFERENCIA.1); . Se identifica como usuario autorizado facilitando el siguiente número de usuario ***USUARIO.1 que entonces se encontraba autorizado para solicitar duplicados SIM desde Tienda autorizada; . Número de NIE del cliente (***NIF.1) y número de la línea afectada por el duplicado SIM (***TELÉFONO.1); . Ciertos números de la ICC de la tarjeta SIM a duplicar (***REFERENCIA.2). 14. Con su respuesta al trámite de traslado de la reclamación, de fecha 20/07/2023, Vodafone aportó copia del Informe elaborado por “Reclamaciones”, en el que se indica lo siguiente: “Efectivamente el duplicado se solicitó y se entregó en tienda, el comercial llamó a retail y nos pasó la política de seguridad que tenemos marcada para estos casos, por lo que completamos dicho cambio de ICC desde el canal de soporte tienda… Se realizó mediante llamada a Soporte Retail (Soporte a tienda) desde la numeración ***TELÉFONO.3 La tarjeta sim fraude utilizada ***REFERENCIA.3 pertenecía a un pedido de Fibranorte, (…)… En la grabación se hacen pasar por compañero de tienda. Fecha grabación ***TELÉFONO.1 21.09.21.mp3 Se catalogo fraude el 28/02/2022… Este PDV continua activo con Fibranorte, es de la cadena de tiendas SMART & PHONE…”. 15. Con fecha 31/08/2023, en respuesta al primer requerimiento que le fue realizado por los servicios de inspección de la AEPD, Vodafone informó que el punto de venta implicado tiene la denominación social ***EMPRESA.1 y el nombre comercial Smart Phone, con domicilio en ***DIRECCIÓN.1. Según Vodafone, dicha tienda se engloba entre los puntos de venta gestionados por la entidad FIBRANORTE S.L., que actúa como agente. 16. Con fecha 10/11/2023, en respuesta al segundo requerimiento que le fue realizado por los servicios de inspección de la AEPD, Vodafone informó que el código postal no era un requisito de la Política de Seguridad en las llamadas al número de soporte para tiendas, la cual se limitaba a identificar el código específico asignado al usuario para verificar si estaba autorizado, aportar el número del documento de identidad del cliente y el número de línea afectada por el duplicado de SIM, así como ciertos números de la ICC de la nueva tarjeta. Asimismo, informó que el equipo de Reclamaciones, por un error puntual, trasladó una información errónea relativa al punto de venta que realizó el duplicado SIM y que el punto de venta que realmente solicitó el duplicado SIM en cuestión fue la tienda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/52 ubicada en ***DIRECCIÓN.1. Añade que este punto de venta está recogido en el contrato como uno de los puntos utilizados por el distribuidor implicado en el caso. Según Vodafone, el equipo de reclamaciones no ha podido identificar la causa de aquel error. 17. Vodafone, manifiesta en su respuesta de fecha 31/08/2023 que “Se desconoce el motivo por el cual el personal de tienda actuó irregularmente o si el personal de tienda entregaría los datos a un tercero no autorizado para que realizasen las acciones fraudulentas”. 18. Vodafone aportó a las actuaciones copia del “Contrato de Agencia Canal Alternativo”, suscrito por Vodafone Enabler Esapaña, S.L y Fibranorte, S.L., en cuyos Anexos se identifican los puntos de venta o subagentes que cubre dicho contrato, todos ellos ubicados en Cataluña y Aragón, ninguno de ellos en ***LOCALIDAD.1. En la localidad de Mollet del Vallés aparecen cuatro subagentes, uno de ellos con domicilio en ***DIRECCIÓN.1 y teléfono ***TELÉFONO.4. Ninguno de los subagentes que figura en el contrato tiene asociado el número de teléfono ***TELÉFONO.3. En este listado no constan los nombres de las entidades subagentes. Por otra parte, se detalla: “Vodafone Enabler es una entidad que forma parte del mismo Grupo societario al que pertenece Vodafone España, S.A.U.”. Fibranorte, S.L. es el encargado del tratamiento y la tienda física Smart Phone tiene la consideración de subencargada del tratamiento”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Contestación a las alegaciones presentadas al acuerdo de inicio del procedimiento 1. Establecimiento de medidas y principio de culpabilidad. La parte reclamada afirma que ha actuado de forma diligente en la medida en la que tiene implementados los protocolos o medidas necesarios para identificar correctamente a sus clientes y que los duplicados de tarjetas SIM sean facilitados a los titulares de las líneas telefónicas, no siendo la adopción de medidas técnicas y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/52 organizativas una obligación absoluta, sino una obligación de medios, de tal forma que no puede entenderse que el hecho de que un tercero supere dichas medidas, sirviéndose de una actividad delictiva planeada y organizada, implique, per se, la ilicitud del tratamiento de datos realizado. Sobre esta misma base, Vodafone invoca el principio de culpabilidad y señala al respecto que la emisión del duplicado de tarjeta SIM no quiere decir que no obrara con la diligencia debida, por cuanto todas sus actuaciones han ido siempre dirigidas al establecimiento y supervisión de medidas técnicas y organizativas tendentes a garantizar la seguridad de los datos personales de sus clientes y a asegurar que quién solicita el duplicado SIM es el titular de la línea. A tal respecto, conviene señalar que en el presente caso la infracción no se fundamenta en la insuficiencia o adecuación de medidas de seguridad, sino en una falta de licitud en el tratamiento de los datos personales que conlleva la emisión de un duplicado de tarjeta y su entrega a un tercero no autorizado, sin que el titular de la misma tuviera si quiera conocimiento de tales tratamientos. El artículo 6.1 establece que el tratamiento de datos personales solo es lícito si se cumple al menos una de las condiciones previstas en el mencionado artículo. En este caso, la vulneración del principio de licitud se manifiesta en el tratamiento indebido de los datos personales de la parte reclamada, que no fue la solicitante real del duplicado de tarjeta. Este tipo de tratamientos requiere verificar adecuadamente la identidad del solicitante y para ello resulta necesario establecer medidas que aseguren esa correcta identificación. El establecimiento de estas medidas o protocolos, así como su seguimiento y atención por la propia entidad responsable, sirve para valorar la conducta y el grado de diligencia empleado por la misma, pero no son estos los hechos determinantes de la infracción. Vodafone emitió un duplicado de tarjeta SIM sin contar con el consentimiento del titular de la línea y lo entregó a un tercero sin una base jurídica válida. Dicho hecho se traduce en un tratamiento ilícito de datos. En síntesis, en el presente caso no se está sancionado la existencia o ausencia de medidas técnicas y organizativas, sino el hecho de que, en este caso específico, el tratamiento de los datos personales del reclamante fue llevado a cabo sin cumplir con los requisitos de licitud establecidos en el artículo 6.1 del RGPD. La infracción de este artículo confirma que la parte reclamada permitió un tratamiento no autorizado de los datos, vulnerando de esta forma los derechos de la parte reclamante. En este sentido, la mera existencia de una política de seguridad no puede justificar una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y posibilitar que el responsable del tratamiento esté en condiciones de demostrar el cumplimiento de los principios relativos al tratamiento de los datos personales. En caso contrario, las medidas adoptadas carecen de virtualidad y pueden conllevar tratamientos ilícitos como ocurre en el presente caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/52 Por lo tanto, la parte reclamada no puede pretender quedar exonerada de su responsabilidad apelando a la existencia de tales medidas de seguridad, menos aun cuando el fallo estuvo en la aplicación de las mismas, permitiendo una infracción de la licitud del tratamiento. Lo cierto es que la simple emisión de una tarjeta SIM y su entrega a un tercero no autorizado implica ya de por si una vulneración del principio de licitud, en cuanto tienen la consideración de tratamientos de datos personales. Es preciso señalar, asimismo, que no es un hecho controvertido que la emisión del duplicado de tarjeta SIM y su entrega a un tercero no autorizado se llevó a cabo sin la intervención del reclamante y titular de la línea telefónica. La propia entidad Vodafone calificó el caso como fraudulento, según consta reseñado en los hechos probados. Por otra parte, acreditada la existencia de una conducta antijurídica de Vodafone (el tratamiento de los datos de la parte reclamante sin base jurídica), la cuestión se centra en determinar si de tal conducta puede nacer responsabilidad administrativa sancionadora. Vodafone manifiesta, que no puede apreciarse la existencia de culpabilidad en la infracción que se le imputa, ni a título de dolo ni de culpa, por lo que no puede imponerse a la misma sanción alguna. Rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/52 elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. Esta AEPD comparte la posición que Vodafone recoge en sus alegaciones, en las que hace referencia a la doctrina de nuestro Tribunal Supremo cuando señala que “para la exculpación no bastará la invocación de la ausencia de culpa, sino que será preciso que se haya empleado la diligencia que era exigible por quien aduce su inexistencia (entre otras, la Sentencia del Tribunal Supremo de 23 de enero de 1998 [RJ 1998\601])”. Así, la decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que las circunstancias del caso exigen. En cumplimiento del principio de culpabilidad la AEPD ha acordado en numerosas ocasiones el archivo de procedimientos sancionadores en los que no concurría el elemento de la culpabilidad del sujeto infractor. Supuestos en los que, pese a existir un comportamiento antijurídico, había quedado acreditado que el responsable había obrado con toda la diligencia que resultaba exigible, por lo que no se apreciaba culpa alguna en su conducta. Ese ha sido el criterio mantenido por la Sala de lo Contencioso Administrativo, sección 1ª, de la Audiencia Nacional. Pueden citarse, por ser muy esclarecedoras, las siguientes sentencias: - SAN de 26 de abril de 2002 (Rec. 895/2009) que dice: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” - SAN de 29 de abril de 2010, Fundamento Jurídico sexto, que, a propósito de una contratación fraudulenta, indica que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/52 demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”, establece: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.[...]”. Cabe preguntarse cuáles son los parámetros de la diligencia debida que Vodafone debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar es la que era precisa para cumplir las obligaciones que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/52 le imponen los artículos 5.2, 24 y 25 del RGPD, a la luz de la doctrina de la Audiencia Nacional y la jurisprudencia del Tribunal Supremo. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Es plenamente aplicable al caso, también, la SAN de 19 de septiembre de 2023 (rec. 403/2021), que dice:” contrató la póliza de seguro con un tercero sin control ni supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona que estaba manifestando su voluntad de contratar, no era quien decía ser. De haberse tomado las necesarias precauciones, a fin de asegurar la identidad la persona contratante (para lo que hubiera sido bastante atender a la incorrecta contestación a las preguntas de identificación y verificación del cliente)”. La reclamada ha invocado distintos argumentos para justificar la ausencia de culpabilidad de su conducta. Básicamente, el disponer de una política de seguridad dirigida a garantizar que los duplicados de tarjetas SIM se entregan los titulares de las líneas telefónicas, que fue seguida por Vodafone y que no falló, sino que se vio superada mediante acciones delictivas cometidas por un tercero que conocía sus procedimientos internos y toda la información necesaria. Entiende Vodafone que estamos ante una actuación delictiva llevada a cabo por un tercero, quien, actuando con dolo, engaña al agente del soporte canal para tienda, suplantando al personal de tienda al aportar toda la información requerida por su política de seguridad; y cita la Sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección 1ª) de 25 de febrero de 2010 [JUR 2010/82723], referida a un precedente tramitado en esta Agencia, en la que se concluyó que imputar a un responsable del tratamiento vulneraría principio de culpabilidad cuando “el resultado es consecuencia de una actividad de intrusión, no amparada por ordenamiento jurídico y en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que rompiendo los sistemas de seguridad establecidos accede a la base de datos de usuarios registrados…, descargándose una copia de la misma”. En base a ello, considera Vodafone que su conducta no puede calificarse como no diligente. Sin embargo, existen numerosas circunstancias de hecho en el presente caso que llevan a calificar la conducta de Vodafone como imprudente y culposa a la hora de detectar preventivamente el fraude, de tal forma que le hubiese permitido denegar la solicitud de emisión de un duplicado de tarjeta SIM que recibió de un tercero no autorizado y, con ello, abstenerse de realizar los tratamientos de datos personales de la parte reclamante que conlleva la emisión de dicha tarjeta y su entrega a una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/52 persona distinta a su titular. En primer término, es preciso destacar los dos siguientes aspectos: 1. Que son numerosas las circunstancias de hecho que debieron alertar a Vodafone sobre el fraude o, lo que es lo mismo, que dan muestra de la negligencia de su conducta. 2. Que Vodafone, en cada una de las ocasiones en que se ha dirigido a esta AEPD para explicar el caso, ha ofrecido una versión distinta de los hechos, sin aportar pruebas fehacientes que permitan dar credibilidad a lo manifestado, e incluso contrarias en ocasiones a lo mostrado en la documentación aportada por la propia entidad. El duplicado de tarjeta se tramitó, supuestamente, desde una tienda física o sirviéndose de la clave de usuario de una tienda física. Según el protocolo previsto, para esta gestión la tienda debe contactar con el departamento de Vodafone “Soporte Retail” vía telefónica y solicitar la activación del duplicado, después de superar las medidas previstas por la entidad facilitando la información requerida. Sin embargo, Vodafone ni siquiera tenía certeza sobre la “tienda Vodafone” implicada en los hechos. La propia entidad Vodafone, meses después de ocurridos tales hechos, respondía a la parte reclamante que “tras el estudio del caso, no se ha podido localizar la tienda física en la cual se gestionó el duplicado de SIM, no reconocido por el cliente”. En los sistemas de información de Vodafone consta un registro según el cual el código postal de dicha tienda es ***REFERENCIA.1, perteneciente a ***LOCALIDAD.1. Así consta, igualmente, en el informe elaborado por el departamento de “Reclamaciones” con ocasión de las actuaciones que han dado lugar al presente procedimiento y así informó la propia entidad Vodafone en su respuesta al trámite de traslado de la reclamación. Fue posteriormente, en respuesta a los requerimientos de información que le cursaron los servicios de inspección de esta AEPD, cuando Vodafone señaló a una tienda ubicada en la localidad de ***LOCALIDAD.2. No se entiende que si esta tienda tenía asignada la clave de usuario facilitada por el tercero suplantador Vodafone no identificase al punto de venta hasta tanto tiempo después. Por otra parte, el teléfono desde el que se realizó la llamada para tramitar el duplicado de tarjeta no se correspondía con el asociado a esta tienda en la documentación contractual correspondiente, lo que, por un lado, debió llevar a Vodafone a cuestionar la solicitud de duplicado y, por otro lado, añade incertidumbre sobre la tienda y la información relativa a la misma que se indicó a “Soporte Retail” por la persona que realizó la llamada. Ninguna de las explicaciones ofrecidas por Vodafone para explicar estas dos circunstancias, las relativas al código postal de la tienda y el número de línea que realizó la llamada, resulta convincente. Sobre el código postal de la tienda, manifiesta Vodafone que no era una información requerida para gestionar el duplicado en el momento en que tuvieron lugar los hechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/52 (septiembre de 2021), aportando al respecto grabaciones de otros casos en los que el personal de “Soporte Retail” no lo requirió al interlocutor que realizaba la solicitud. Pero lo cierto es que, en este caso, el agente de “Soporte Retail” sí lo solicitó y le fue facilitado uno (el ***REFERENCIA.1) en el que no existe ninguna tienda. Así, tanto si el dato estaba dispuesto como necesario para el trámite en la política de seguridad, como si no lo estaba, lo cierto es que se facilitó uno inexistente y ello debió nuevamente servir de alerta a Vodafone para extremar las cautelas. Es clarificador el detalle de la conversación sobre este extremo concreto: “. Tengo aquí un cliente que quiere hacer un duplicado de su tarjeta SIM . En este caso, primero confírmame el código postal de tu tienda para saber si estás autorizado o no… . Vale, sería ***REFERENCIA.1 . Vale, ***REFERENCIA.1 no, en este caso no estarías autorizado ¿tendrías algún otro código? . Te digo el de cliente, el de tienda . El de tienda, claro, realmente necesito el código postal de la tienda . (…) . No, tampoco. No me aparece . Sí, sería (…) . A ver si hay otro, estoy buscando, dame un momento… No me aparece… Algún otro, es que con el código postal debería salirme la tienda, ***REFERENCIA.1 no aparece”. Sobre la no comprobación por parte de Vodafone del número desde el que se realiza la solicitud de duplicado, que en este caso no coincide con ningún número de línea asociado a la tienda en cuestión, la citada entidad se limita a atribuir a la tienda en cuestión la responsabilidad de identificar al cliente, algo inaceptable, dada su condición de responsable de los tratamientos de datos de sus clientes. Prueba de que esta no comprobación de la numeración origen de la llamada es una debilidad del proceso de comprobación establecido por Vodafone y de la conveniencia de verificarlo es la circular que la propia Vodafone distribuyó a su call center en fecha 10/10/2022, aportada con su respuesta al trámite de traslado de la reclamación. En esta circular, entre otras cuestiones, advierte que “si se recibe la llamada de un compañero, es necesario comprobar el origen de la llamada entrante”. Respecto de la forma de identificación de los clientes que solicitan un duplicado de tarjeta SIM, ninguna previsión específica contiene la política de seguridad establecida en septiembre de 2021 por Vodafone, y tampoco el contrato de agencia suscrito con Fibranorte, SL., entidad ésta con la que colabora la tienda en cuestión, más allá de la comprobación del documento de identidad para nuevas altas. Entre la información que debe facilitar la persona que llama a “Soporte Retail” se incluye la indicación de ciertos números de la ICC de la tarjeta a duplicar. Vodafone informó que el envío de tarjetas SIM a las tiendas no es necesario porque ya cuentan con ellas, de modo que, una vez superada la política de seguridad ante “Soporte Retail”, la tarjeta se activa. Informó, asimismo, que no tiene relación directa con los puntos de venta (las tiendas), sino a través de un agente, como ocurre en el presente caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/52 Así, constituye una debilidad más el hecho de que Vodafone no conozca la numeración de las tarjetas disponibles en cada tienda, lo que le hubiese permitido asociar la tarjeta al punto de venta que realizó la llamada en cuestión. Consta en las actuaciones, aportado por Vodafone, el informe elaborado por su departamento de “Reclamaciones” con motivo del presente caso, en el que se indica que la numeración de “la tarjeta sim fraude utilizada ***REFERENCIA.3 pertenecía a un pedido de Fibranorte”. Por otra parte, se estima oportuno destacar que no consta que Vodafone realizara ninguna actuación dirigida ante la parte reclamante para asegurar la realidad de la solicitud que estaba recibiendo, ni para conocer el motivo por el que se solicitó el duplicado de tarjeta. Ello hubiese permitido a Vodafone comprobar que la tarjeta que venía siendo utilizada por la parte reclamada se encontraba activa, sin incidencia alguna, y comprobar que el cliente no había realizado petición alguna. Por otra parte, entiende esta Agencia que otra muestra de alerta viene determinada por el hecho de que una persona con residencia en ***LOCALIDAD.1 solicite un duplicado de tarjeta SIM en una tienda ubicada en una Comunidad Autónoma distinta, sea la que fuere. No es una cuestión determinante, por no improbable, pero sí para tomarla en consideración a la hora de iniciar el proceso y la aplicación de las cautelas necesarias. En definitiva, no ha existido una conducta proactiva para aplicar de forma efectiva los principios de protección de datos. Resulta, por tanto, que la actuación desarrollada por Vodafone ha resultado claramente ineficaz e insuficiente, está muy por debajo de las posibilidades que el desarrollo técnico actual ofrece y no toma en consideración el evidente riesgo que la contratación de los servicios que comercializa representa para los derechos y libertades de las personas, por lo que debe responder a título de culpa por la infracción cometida por la falta de diligencia mostrada. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/52 tratamiento se lleve a cabo por cuenta de un responsable. Por otra parte, atendidas todas las circunstancias de hecho que conforman el presente supuesto, no puede decirse que la incidencia producida en el tratamiento de los datos personales de la parte reclamante responda a un ataque sofisticado llevado a cabo por un tercero con altos conocimientos técnicos informáticos para superar los sistemas de seguridad de Vodafone y cuyas consecuencias no pudieran evitarse. En otro orden, en relación con la alegación formulada por Vodafone según la cual quedan fuera de su esfera de control las conductas previas del estafador para obtener los datos de las víctimas o las posteriores, como las cometidas para acceder a la banca online, cabe precisar que ninguna responsabilidad se está imputando en el presente procedimiento sancionador por tales conductas del tercero, ya tenga que ver con la obtención de los datos personales de la parte reclamante que fueron facilitados a “Soporte Retail” o con el uso posterior de los mismos realizados por el tercero una vez obtuvo el duplicado de tarjeta. Ello sin perjuicio de que pueda tenerse en cuenta la repercusión que para el interesado puede tener que un tercero obtenga un duplicado de la tarjeta correspondiente a su línea de telefonía móvil, que obliga a la entidad responsable a establecer todas las cautelas necesarias para evitarlo. 2. Graduación de la sanción Vodafone solicita que subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a la parte reclamada, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes. Vodafone solicita que se aprecien las siguientes circunstancias atenuantes: ─ ─ ─ El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. Sobre la primera de las cuestiones, nos remitimos a lo indicado sobre este factor de graduación en el Fundamento de Derecho V. El grado de cooperación está regulado en el artículo 83.2.
8. f)del RGPD: “grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;”. El grado de cooperación con la Agencia tampoco puede considerarse una atenuante ya que la respuesta de la reclamada al requerimiento informativo de la Subdirección de Inspección no cumplía esas finalidades, por lo que no es encuadrable en esa circunstancia atenuante. A tal efecto hay que tener en consideración las Directrices 04/2022 del Comité C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/52 Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión 2.1, adoptadas el 24 de mayo de 2023, las cuales señalan que “debe considerarse que el deber ordinario de cooperación es obligatorio y, por tanto, debe considerarse neutro (y no un factor atenuante).” Así queda confirmado en la mismas Directrices del CEPD sobre la aplicación y la fijación de multas administrativas a efectos del Reglamento 2016/679, adoptadas el 3 de octubre de 2017, en las que se asevera que “Dicho esto, no sería apropiado tener en cuenta por añadidura la cooperación que la ley exige; por ejemplo, en todo caso se exige a la entidad permitir a la autoridad de control acceso a las instalaciones para realizar auditorías o inspecciones”. Por ello podemos concluir que no puede entenderse como “cooperación” aquello que es exigido o de obligado cumplimiento por mor de la Ley para el responsable del tratamiento, como sucedió en este caso. Además, no comparte esta AEPD que la actuación de Vodafone fuese la adecuada para la mitigación de los efectos adversos producidos por la infracción, salvo en lo relativo al abono de los servicios no consumidos por la parte reclamante. Debe señalar que cuando los datos personales de la parte reclamante ya habían sido entregados a un tercero desconocido, difícilmente pueden mitigarse los daños producidos en los derechos del interesado. Sobre la aplicación del artículo 76.2.
9. c)de la LOPDGDD, en conexión con el artículo 83.2.k), inexistencia de beneficios obtenidos, cabe señalar que tal circunstancia solo puede operar como agravante y en ningún caso como circunstancia atenuante. El artículo 83.2.
10. k)del RGPD se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo 76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.
11. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..]
12. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones mencionan como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que Vodafone alega. Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa está presidida por los siguientes principios: deberán estar individualizadas para cada caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1 del RGPD y a los principios por los que se rige la determinación del importe de la sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar esta tesis en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas. La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/52 hecho de que en un supuesto concreto no estén presentes todos los elementos que integran una circunstancia modificativa de la responsabilidad que, por su naturaleza, tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse sobre la circunstancia del apartado
13. e)del artículo 83.2. del RGPD, la comisión de infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”: Por tanto, se rechazan las atenuantes invocadas por VODAFONE III Contestación a las alegaciones presentadas a la propuesta de resolución del procedimiento Las alegaciones ahora formuladas reproducen, en lo sustancial, las ya presentadas en la fase inicial del procedimiento, las cuales fueron expresamente valoradas y contestadas en la propuesta de resolución, por lo que nos remitimos y ratificamos en lo ya manifestado. Sin perjuicio de lo anterior, se estima oportuno realizar determinadas precisiones. 1. Reitera Vodafone ha actuado de forma diligente en la medida en la que tiene implementadas medidas adecuadas para identificar correctamente a sus clientes. La adopción de medidas técnicas y organizativas de seguridad no es una obligación absoluta. Principio de culpabilidad. En primer lugar, Vodafone incide en que, si bien en la propuesta de resolución de este procedimiento no se le imputa una infracción por insuficiencia o adecuación de medidas de seguridad, sino por falta de licitud en el tratamiento de datos personales, en la misma se hace referencia a la ineficacia de sus medidas de seguridad. Asimismo, reitera que se ha conducido con la diligencia debida en tanto tiene implementadas las medidas técnicas y organizativas adecuadas para identificar correctamente a sus clientes y evitar que haya un tratamiento ilícito de datos, no siendo la adopción de tales medidas una obligación absoluta, sino una obligación de medios. En base ello, estima que el hecho de que un tercero supere dichas medidas, sirviéndose de técnicas ilícitas y fraudulentas, no significa que su política de seguridad sea insuficiente. En línea con lo anterior, y con relación a la falta de culpabilidad alegada, sostiene que esta Agencia no ha tomado en consideración para su análisis todas las medidas que existían en el momento en el que ocurrieron los hechos objeto de sanción y las medidas de mejora que ha ido implementando Vodafone observando, únicamente, el resultado de los hechos, esto es, la emisión fraudulenta del duplicado SIM. A esto añade que, considera que el principio de proactividad ha sido ampliamente cubierto aportando las evidencias de que se siguieron los procesos pertinentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/52 Sobre la calificación jurídica de la infracción, la Agencia se ratifica en lo ya manifestado en su respuesta a las alegaciones al acuerdo de inicio sobre que los hechos determinantes de la infracción consisten en la vulneración del principio de licitud del tratamiento que se materializa en la emisión de un duplicado de tarjeta SIM y su entrega a un tercero no autorizado. Atendiendo a las características y al contexto del tratamiento, resulta conveniente precisar que el fenómeno del SIM Swapping constituye un riesgo ampliamente documentado y de concurrencia frecuente en el sector de las telecomunicaciones. En consecuencia, siendo un riesgo inherente a la actividad, resulta jurídicamente exigible que en el proceso de solicitud de duplicados de tarjetas SIM se adopten medidas técnicas y organizativas adecuadas para su prevención y detección, con el fin de evitar el tratamiento ilícito de datos personales. Así las cosas, la verificación adecuada y rigurosa de la identidad del titular de la línea resulta determinante para que el proceder del operador pueda ser calificado como diligente y acorde con las obligaciones que le imponen los artículos 5.2, 24, 25 y 32 del RGPD. En este sentido, contrariamente a lo alegado, esta Agencia no ha limitado su análisis únicamente al resultado material, esto es, la emisión fraudulenta del duplicado SIM, sino que se han valorado de manera exhaustiva las medidas implementadas por la parte reclamada, identificándose deficiencias o irregularidades en las mismas que ponen en entredicho la diligencia de Vodafone en el presente caso. Como ya se expuso concurren en este caso numerosas circunstancias de hecho que llevan a calificar la conducta de Vodafone como imprudente y culposa a la hora de detectar preventivamente el fraude. Sobre tales circunstancias ya descritas, Vodafone se limita a reiterar las alegaciones previas, sin atender de forma específica los argumentos valorados en la propuesta de resolución. Vodafone no esclarece la falta de certeza inicial y la dilación en la identificación del establecimiento implicado en la emisión del duplicado de tarjeta SIM objeto de controversia, especialmente cuando dicho establecimiento contaba con una clave de usuario asignada, la cual fue facilitada por el tercero suplantador. Así lo confirman los correos electrónicos aportados por la reclamada al efecto. La parte reclamada, se atiene a reiterar lo ya manifestado en escritos previos: “el motivo por el cual el equipo de reclamaciones dio mal la información se desconoce”. Del mismo modo, no justifica adecuadamente el hecho de no haber cuestionado la solicitud del duplicado, pese a concurrir dos circunstancias que razonablemente debieron suscitar sospechas: por un lado, que el número de teléfono desde el cual se realizó la llamada no coincidía con el asociado a la tienda conforme a la documentación contractual correspondiente y, por otro, que se facilitó un código postal que no se correspondía con establecimiento autorizado alguno. Vodafone insiste en que ambos extremos no eran exigibles en la política de seguridad vigente en el momento de los hechos. Sin embargo, omite considerar que dichas circunstancias debieron, en todo caso, generar la sospecha o alerta procedente, en atención a los estándares y cautelas exigibles para la adecuada prevención de riesgos y fraudes. Con relación a la forma de identificación de los clientes que solicitan un duplicado de tarjeta SIM, Vodafone tampoco acredita la existencia de previsión específica alguna, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/52 ya sea en la política de seguridad establecida en septiembre de 2021 o en el contrato de agencia suscrito con Fibranorte S.L., más allá de la mera comprobación del documento de identidad en el caso de nuevas altas. En su descargo, Vodafone se limita a acompañar extracto de un documento operativo relativo al procedimiento del cambio de tarjeta SIM en distribución, de apariencia meramente informativa y carente de desarrollo normativo, en el que se establece: “(…)”. En cuanto al contrato con FRIBRANORTE S.L., aporta un extracto del apartado definiciones del contrato, en el que se establece la definición de lo que es un fraude, a saber: “(iii) no verificar la identidad del Cliente en caso de cambio de titular de un Servicio ya contratado, portabilidad o migración de un Servicio o cambio de SIM”. De la lectura de los extractos aportados, se advierte que no describen controles complementarios a la mera comprobación del documento de identidad en tienda por lo que no se rebate la observación efectuada. A mayor abundamiento, con relación específica a la falta de mecanismos adicionales para asegurar la realidad de la solicitud, como la actuación dirigida al titular de la línea con el fin de verificar la autenticidad de la solicitud recibida y determinar el motivo por el que se solicitaba el duplicado, se estima que la parte reclamada se aparta de la cuestión central limitándose a alegar que la problemática radica en la actuación fraudulenta de un tercero que logró superar los controles internos establecidos. A la luz de los expuesto, tanto en la propuesta de resolución como en la presente contestación, ni las evidencias aportadas ni las argumentaciones presentadas resultan suficientes para demostrar que el responsable del tratamiento aplicó las medidas adecuadas y proporcionadas en el contexto específico en el que opera a fin de garantizar la conformidad del tratamiento con la normativa en materia de protección de datos. En consecuencia, no puede considerarse cumplido el principio de responsabilidad proactiva. La parte reclamada, en su defensa, se centra en reiterar que el defraudador acabó facilitando la información exigida conforme a la política de seguridad vigente en el momento de los hechos: código de usuario de tienda, ciertos números de la tarjeta SIM (ICC) y los datos personales de la parte reclamante (nombre, apellidos, DNI y número de línea móvil a duplicar). Resulta significativo, particularmente en lo relativo a las políticas y medidas de seguridad aplicables, que el responsable del tratamiento se aparte de analizar con la debida profundidad la diligencia exigible en su conducta trasladando la responsabilidad a un tercero, especialmente en lo que atañe a la veracidad de la solicitud de duplicado de tarjeta SIM cuyo control resulta esencial para la prevención eficaz del fraude. Por otra parte, resulta de especial interés la doctrina declarada por el Tribunal Supremo, Sala de lo Contencioso-Administrativo, Sección Tercera, en Sentencia de 13/12/2021 (recurso de casación núm. 6109/2020), que analiza un supuesto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/52 contratación on line en el que se cuestiona la actuación llevada a cabo por la entidad recurrente para verificar que contrataba con el verdadero titular de los datos. Según el auto de admisión del citado recurso de casación, “la cuestión que presenta interés casacional objetivo para la formación de la jurisprudencia consisten en interpretar la normativa de protección de datos de carácter personal vigente a efectos de aclarar si la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, permite excluir que haya existido infracción por falta del necesario consentimiento inequívoco para el tratamiento de los datos personales que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, por entender que la empresa contratante actuó con diligencia suficiente y en la creencia de que contrataba con el verdadero titular de tales datos”. En esta Sentencia se declara lo siguiente: “SEGUNDO.- Sobre las infracciones que la recurrente reprocha a la sentencia. (…) Centrada así la tarea que debemos abordar, comenzaremos señalando que la sentencia recurrida no cuestiona que existiese la intervención de un tercero que suplantó la identidad del titular de los datos. En realidad, bien puede decirse que la sentencia admite la existencia de aquella intervención fraudulenta de un tercero; pero la Sala sentenciadora considera que este hecho -que no ha sido controvertido- no es por sí mismo suficiente para enervar las exigencias legales de que el interesado preste su consentimiento para la utilización de sus datos y de que estos sean tratados con observancia de los principios y garantías legalmente establecidos… Así, la sentencia recurrida aprecia, de un lado, falta de diligencia en la actuación de la recurrente, lo que derivó en un incumplimiento de la exigencia de recabar el consentimiento del titular de los datos (artículo 6 LOPD)… Respecto de la primera cuestión (falta de diligencia en la actuación) en el recurso de casación se reiteran las alegaciones que la entonces demandante hizo en el proceso de instancia, en el sentido de que… adoptó todas las medidas necesarias y oportunas, desde el punto de vista de la protección de datos personales, para tramitar la solicitud de microcrédito… En definitiva, ninguna de las medidas adoptadas por la recurrente está destinada a acreditar que la persona que solicita el microcrédito coincide con el titular del DNI aportado. Y, en efecto, continua explicando la sentencia recurrida, las pruebas practicadas en la vía administrativa vinieron a poner de manifiesto que, respecto de la línea de teléfono facilitada cuando se solicitó el crédito, ni el nombre, apellidos y NIF del titular de la línea coinciden con los datos personales del denunciante (titular del DNI); y en relación con la cuenta bancaria que figura en los registros de…, a la que se habría transferido el importe del micro préstamo, los datos del titular de la cuenta en la fecha de la contratación del crédito tampoco coinciden con los datos personales del denunciante. Ni siquiera el titular del móvil y el de la cuenta bancaria son la misma persona. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/52 Estas apreciaciones de la Sala de instancia sobre la insuficiencia de las medidas adoptadas en el procedimiento de contratación on line, y, en definitiva, sobre falta de diligencia en la actuación por la recurrente, en modo alguno han quedado desvirtuadas en casación, donde la representación de... ha reiterado las manifestaciones que hizo en el proceso de instancia pero nada ha aportado que sirva para rebatir las conclusiones de la Sala sentenciadora. En fin, compartimos el parecer de la Sala de la Audiencia Nacional acerca de la insuficiencia de las medidas aplicadas por la recurrente en el procedimiento de contratación. A las consideraciones que se exponen en la sentencia recurrida, que compartimos y hacemos nuestras, únicamente añadiremos dos observaciones: En primer lugar, las medidas de verificación aplicadas por la recurrente parecen enteramente encaminadas asegurar el buen fin del préstamo, pero, en cambio, se desentienden enteramente del objetivo de verificar la veracidad y exactitud de los datos, y, en particular, de comprobar que quien solicita el crédito es precisamente quien dice ser. De este modo, en cualquier caso en el que un tercero utilice indebidamente un DNI sustraído o extraviado para realizar una compra o solicitar un crédito on line, siempre se consumaría el tratamiento inconsentido de los datos personales del titular del documento, aunque éste hubiese denunciado en su día ante las autoridades la pérdida o sustracción de su DNI, pues ninguna de las medidas enunciadas por la recurrente aparece mínimamente orientada a impedir o dificultar que ese resultado se produzca. En segundo lugar, lo anterior no significa que se haga recaer sobre la empresa contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la implantación de medidas de control tendentes a verificar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado… TERCERO.- Respuesta de la Sala a la cuestión de interés casacional señalada en el auto de admisión del recurso de casación. En respuesta a la cuestión que plantea el auto de admisión del presente recurso de casación debemos declarar que la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, no excluye que la empresa contratante, que lleva a cabo el tratamiento de los datos personales, haya podido incurrir en infracción por falta del necesario consentimiento inequívoco que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues aquella intervención fraudulenta de un tercero no implica por sí misma que la empresa contratante haya actuado con diligencia suficiente. Lo anterior no significa que se haga recaer sobre la empresa contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/52 reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la implantación de medidas de control y verificación tendentes a asegurar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado”. En resumen, como ya se indicó en la propuesta de resolución, como resultado de las deficiencias o irregularidades descritas la reclamada expidió un duplicado de la tarjeta SIM a un tercero que no era el titular de la línea, qued