PS-00340-2021 | Europaius

1/51  Expediente N.º: PS/00340/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) interpone reclamación ante la Agencia Española de Protección de Datos (AEPD) con fecha 04/03/2021. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U., con NIF A80907397 (en adelante, VODAFONE o la parte reclamada). La reclamación se basa en los siguientes hechos: la reclamada dio de alta una línea de teléfono prepago, número ***TELEFONO.1, vinculada a los datos personales de la reclamante y cedió sus datos asociados a dicha línea a la Guardia Civil de ***LOCALIDAD.1, ***LOCALIDAD.2 “y/o Juzgado Mixto número 5 de ***LOCALIDAD.3 y Juzgado número 1 de ***LOCALIDAD.4”. La reclamante manifiesta que ha sido citada por ambos juzgados en calidad de investigada por las estafas cometidas a través de Wallapop por la línea telefónica que VODAFONE vinculó a su persona. SEGUNDO: Antes de dirigirse a la AEPD, la reclamante presentó ante la a la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales (SETID), con fecha 04/11/2020, una reclamación contra VODAFONE por el alta de la línea telefónica número ***TELEFONO.1 (en lo sucesivo, la línea controvertida) sin su consentimiento y por vulnerar sus datos personales. La reclamante menciona la discrepancia existente entre la información que VODAFONE facilitó a la Guardia Civil le proporcionó los datos de la reclamante que constaban en sus sistemas asociados a la línea controvertida- y la que facilitó a la SETID, a tenor de la cual la reclamante no constaba en sus sistemas como cliente y no era, ni lo había sido, titular de la línea prepago objeto de la reclamación. En el curso del expediente tramitado ante la SETID -con la referencia ***REFERENCIA.1- VODAFONE emitió un informe en el que decía que, respecto a la línea controvertida, la reclamante no era cliente suya, por lo que no tenía ningún servicio activo, y añadió que esa línea móvil no perteneció ni pertenecía entonces a la reclamante, razón por la cual no podía adjuntar el contrato asociado a la línea que se le había solicitado. La SETID dictó resolución el 04/03/2021 en la que acordó estimar la reclamación en lo relativo al alta no solicitada, reconociendo el derecho de la reclamante a obtener la baja inmediata del servicio y a no abonar las facturas que pudiera haber emitido la operadora. La reclamante ha aportado anexa a su reclamación, además de la resolución dictada por la SETID y la respuesta que la reclamada dirigió a la Secretaría de Estado el 25/11/2020, los siguientes documentos que proceden de la Guardia Civil, puesto de ***LOCALIDAD.2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/51 (

i)Documento con el título “Diligencia para anexar documentos”, en el que se recoge que, siendo el 24/03/2020, “se hace constar que se anexan los siguientes documentos: Diligencias Previas XX/XXXX por estafa a través de internet con identificados”. (
ii)Documento que lleva manuscrita la indicación “folio 11” en el que se incluye esta información: “Vodafone (...). Juzgado: Policía Judicial; Procedimiento Criminal: Diligencias Previas XX/XXXX; Fecha recepción: 10/03/20; Fecha respuesta: 10/03/20; Tipo de consulta: LC.01 Titular por MSISDN y rango de fechas; Target: ***TELEFONO.1; Periodo de Búsqueda: de 2020-02-12T00:00:00 Europe/Madrid a 2020-0306T23:59:59 Europe/Madrid; Registros:1”. Inmediatamente debajo figura: “Nombre: [el nombre de la reclamante]; Apellido: [los dos apellidos de la reclamante]; Documento: ***REFERENCIA.2; Tipo Documento: AR-PASAPORTE; Línea: ***TELEFONO.1; Tipo de Contrato: PREP; Fecha Alta: 29/11/2019”. (iii) “Diligencia consignando identificación de una persona”: “En ***LOCALIDAD.2, siendo (...) del 24 de marzo de 2020, por esta Diligencia se hace constar que, como consecuencia de las gestiones practicadas, se han obtenido los datos de identificación de la persona que se indica a continuación cuyos datos son: Nombre: [nombre y dos apellidos de la reclamante] (DNI ***NIF.1). [...] Fecha Nacimiento: 24-04-198j Nombre padre: B.B.B. Nombre madre: C.C.C Domicilio: ***DIRECCION.1. Se hace constar que la identificación se ha realizado mediante contestación de VODAFONE como titular del número de teléfono ***TELEFONO.1, citado por el denunciante. A la persona identificada en la presente diligencia le consta otro domicilio en Base de Datos DGT, siendo el siguiente: ***DIRECCION.2 [...]” (El subrayado es nuestro) TERCERO: Traslado de la reclamación e información de la reclamada previa a la admisión a trámite de la reclamación formulada. De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a VODAFONE para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuar su actuación a la normativa de protección de datos. El escrito se notificó electrónicamente a la parte reclamada que accede a la notificación el 12/04/2021, según consta en el certificado emitido por el servicio de Soporte del Servicio de Notificación Electrónica y Dirección Electrónica Habilitada de la Fábrica Nacional de Moneda y Timbre (en adelante, FNMT). La reclamada no respondió a la solicitud informativa hasta el 16/07/2021, transcurridos más de tres meses desde que tuvo acceso a la notificación. En su respuesta, la reclamada manifiesta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/51 1.Que, tras las investigaciones oportunas, ha enviado una carta a la reclamante informándole de las gestiones efectuadas a fin de solucionar la reclamación y pidiéndole disculpas por las molestias causadas. Anexa como documento 1 la copia de la carta con fecha 28/06/2021 en la que dice, entre otras cosas: “(...) queremos informarle de que hemos podido comprobar que la línea de teléfono ***TELEFONO.1 se había dado de alta en nuestros sistemas con sus datos y, entre otros, con un número de pasaporte. Como consecuencia, cuando la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales nos hace llegar su reclamación y buscamos en nuestros sistemas con la información de la que disponemos, su DNI, no aparece que sea titular de la línea antes mencionada. En cambio, cuando la Guardia Civil nos solicita la titularidad de la línea, aparece que está registrada con su nombre y con un número de pasaporte, información que fue facilitada a la Guardia Civil. Este uso de sus datos ha generado que se comunicaran sus datos a la Guardia Civil, siendo esta institución la que tiene los medios para corroborar si la información aportada, su nombre y número de pasaporte, eran los correctos con respecto a su persona.” (El subrayado es nuestro) Aporta como documento 2 la carta que le remitió el 17/03/2021, enviada “en cumplimiento de la resolución estimada a su favor, con número de expediente ***REFERENCIA.1”, que incluía esta información relevante a los efectos que nos ocupan: “Deseamos comunicarle que, tal y como se establece en dicha resolución la línea ***TELEFONO.1 ya ha sido desconectada y a día de hoy no figura ningún servicio a su nombre.” 2.Respecto a las causas que motivaron la incidencia, la reclamada explica que la reclamación trae causa de una diligencia de la Guardia Civil de ***LOCALIDAD.2 en la que solicitó información sobre la titularidad de la línea de teléfono controvertida. Y dice que, “Ante esa solicitud, procede a facilitar la información que tenía en sus sistemas, apareciendo la línea de prepago a nombre de [ nombre y dos apellidos de la reclamante], con número de pasaporte ***REFERENCIA.2.” Aporta como documento 3 “los servicios dados de alta con el pasaporte” indicado. El documento 3 está integrado por dos capturas de pantalla que corresponden a la página “Customer Interaction Manager”. En ella, en el recuadro dedicado a “Información Llamante”, en la pestaña “cliente”, aparece el nombre y los dos apellidos de la reclamante. En el recuadro “Página Central de Información”, en una de las dos capturas de pantalla figura la pestaña “Fecha de alta”, campo que está vacío; En la otra captura de pantalla figura la pestaña “NIF/NIE/Pasaporte/CIF” y este dato: ***REFERENCIA.2. La reclamada añade a propósito del informe que envió a la SETID, en el que hacía constar que la reclamante no era cliente de la compañía y que no tenía ninguna línea activa, que “Esta información es la procedente de nuestros sistemas dado que las búsquedas se realizan por número de identificación fiscal (DNI/NIF), por lo que la misma se realizó con el DNI de la reclamante, ***NIF.1 comprobándose que no constan servicios activos. Como consecuencia, la SETID estima la reclamación de la Sra. [la reclamante], siendo necesario llevar a cabo la baja inmediata en el servicio de la línea ***TELEFONO.1 que constaba dado de alta bajo otro número de identificación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/51 (Pasaporte ***REFERENCIA.2) bajo el nombre de la reclamante. Este proceso se llevó a cabo, tal y como se indica en el Documento número 2 de la manifestación segunda de las presentes alegaciones. Respecto a la incongruencia entre lo manifestado ante la SETID y la información que facilitó a la Guardia Civil a la que alude la reclamante, indica que la raíz del problema “es el fraude llevado a cabo por un tercero. Es decir, cuando la Guardia Civil solicita la información del teléfono ***TELEFONO.1, aparecen los datos de la titular bajo el número de pasaporte ***REFERENCIA.2. No obstante, cuando la SETID solicita información de la Sra. [la reclamante], se busca con la información que se tiene disponible, es decir, el DNI ***NIF.1, apareciendo en los sistemas de Vodafone los servicios que, en su día, contrató la reclamante legitimante y con sus datos, estando todos ellos dados de baja y no encontrándose entre ellos la línea ***TELEFONO.1.” Insiste en que esta situación “ha sido el resultado del uso fraudulento de los datos de la Sra. [reclamante] y de la falta de revisión por parte de la Guardia Civil de la información aportada por mi representada dado que se aporta un número de pasaporte que no fue contrastado con las bases de identificación nacional de los ciudadanos.” Dice que “Este fraude ha generado que en los sistemas de mi representada se haya registrado una línea de prepago a nombre de la reclamante utilizando un pasaporte inválido. En este caso, desde Vodafone se implementaron las medidas de seguridad necesarias y el tercero que cometió el fraude superó la Política de Seguridad para Clientes Particulares, aportando la información de la interesada que habría obtenido por medios ilícitos o fraudulentos.” (El subrayado es nuestro) Manifiesta que el documento número 4, cuya copia aporta, recoge la Política de Seguridad para Clientes Particulares. Se trata del “Contrato de distribución Mayorista Prepago. No exclusiva de Vodafone” celebrado entre la operadora y el Distribuidor Mayorista CSQ NON STOP SHOP, S.L., 3. Respecto a las medidas adoptadas para evitar que “se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia”, responde que estas medidas consistieron en desconectar la línea controvertida, que había sido dada de alta con información que la reclamante no reconoce y notificar por carta a la reclamante las acciones llevadas a cabo. CUARTO: Acuerdo de apertura del procedimiento sancionador. Con fecha 03/02/2022 la Directora de la AEPD acuerda iniciar procedimiento sancionador a la parte reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
a)del RGPD. QUINTO: Alegaciones al acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/51 Notificado el acuerdo de inicio el 04/02/2022 conforme a lo prevenido en la LPACAP, VODAFONE acepta la notificación el 07/02/2022. En escrito presentado el 14/02/2022 la parte reclamada solicita que se amplíe el plazo fijado inicialmente para formular alegaciones y que se le haga entrega de una copia del expediente. Se responde a la reclamada en escrito de fecha 21/02/2022 en el que se acuerda ampliar el plazo por el máximo permitido legalmente y se le remite una copia del expediente administrativo. VODAFONE presenta sus alegaciones el 28/02/2022. Solicita, en primer término, el archivo del procedimiento por entender que su conducta no es constitutiva de una infracción del artículo 6.1 del RGPD. Con carácter subsidiario respecto a la pretensión anterior, solicita el archivo del expediente sancionador por inexistencia del elemento de la culpabilidad, lo que impediría a esta Agencia imponer una sanción. Subsidiariamente respecto a las anteriores pretensiones, que la sanción que se imponga se fije en su cuantía mínima en atención a las atenuantes cuya concurrencia invoca. En defensa de sus peticiones aduce lo siguiente: 1.Relata a través de once puntos los hechos que, a su juicio, acotan el objeto del debate: i. Versan exclusivamente sobre una persona, la reclamante, que además no es cliente de VODAFONE. ii. En fecha 28/11/2019 “presuntamente un tercero” solicitó el alta de una tarjeta prepago a nombre de la reclamante, “pues se dio de alta” con el nombre y apellidos de la reclamante y el número de pasaporte ***REFERENCIA.2. iii. Se dio de alta la línea ***TELEFONO.1, que “fue presuntamente utilizada” por un tercero para cometer una estafa en Wallapop. iv. El 10/03/2020 la Guardia Civil (Diligencias Policiales núm. XX/XXXX), envía un mandato judicial a VODAFONE en el que se solicitaba que fueran "cedidos a esta Unidad los siguientes datos: Titularidad del número de abonado ***TELEFONO.1 a fecha 12 de febrero de 2020". v. VODAFONE responde a la Guardia Civil el 13/03/2020 informando que la titular de la línea era la reclamante y facilitando el dato del pasaporte que recabó del tercero que contrató. vi. Que, “Tal y como consta en el Anexo 2 de la Reclamación”, el 24/03/2020, la Guardia Civil de ***LOCALIDAD.2 emitió una Diligencia de identificación, en la que se indica que "como consecuencia de las gestiones practicadas, se han obtenido los datos de identificación" de la Reclamante, a la que se identifica por el DNI ***NIF.1.” vii. La reclamante presentó una reclamación ante la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales (SETID) el 04/11/2020 en la que manifiesta que Vodafone habría dado de alta una línea sin su consentimiento. viii. La SETID traslada a VODAFONE la reclamación el 25/11/2020 que contesta que “una vez realizadas las comprobaciones oportunas y analizados los hechos descritos por la Sra. A.A.A., le comunicamos en referencia al alta de línea móvil ***TELEFONO.1 no reconocida, que a fecha de este escrito, 25 de noviembre de 2020, Dña. A.A.A. no es clienta de Vodafone, por lo que no tiene ningún servicio activo en nuestra Compañía, y la línea móvil ***TELEFONO.1 no pertenece ni C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/51 perteneció a la Sra. A.A.A.". “Tal y como expuso Vodafone en la Contestación al Requerimiento de Información, la búsqueda se realizó con el DNI de la Reclamante, que obraba en la reclamación presentada ante la SETID de la que se dio traslado a Vodafone. La búsqueda, realizada por el DNI de la Reclamante, arrojó un resultado negativo.” ix. El 04/03/2020, la SETID emitió una resolución (adjunta como Anexo 3 de la Reclamación) en la que ordena a Vodafone dar de baja a la reclamante del servicio no solicitado. x. El 04/03/2021, la reclamante presenta reclamación ante la AEPD y el 08/04/2021 la AEPD dirige a VODAFONE un requerimiento informativo al que responde el 24/06/2021. xi. Se dicta acuerdo de inicio de expediente sancionador frente a VODAFONE por vulneración del artículo 6.1 del RGPD “ y ello por cuanto Vodafone habría tratado "los datos personales de la reclamante vinculados a una línea telefónica prepago que ella niega haber contratado" y Vodafone no habría "aportado con su respuesta a la petición informativa previa a la admisión a trámite de esta reclamación ningún documento o elemento probatorio que acredite cuál es el fundamento jurídico del tratamiento efectuado". 2. Niega haber infringido el artículo 6.1 del RGPD y manifiesta que estaba legitimada para tratar los “datos personales facilitados al dar de alta la tarjeta prepago”, “entre ellos el número de pasaporte facilitado.” Considera que el tratamiento efectuado tiene dos posibles bases jurídicas: El apartado
b)del artículo 6.1 del RGPD, “los datos facilitados eran necesarios para ejecutar el contrato”, y el artículo 6.1
c)del RGPD, el cumplimiento de una obligación legal en conexión con la Disposición Adicional Única de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones (en lo sucesivo, la Ley 25/2007), precepto que establece: "1. Los operadores de servicios de telefonía móvil que comercialicen servicios con sistema de activación mediante la modalidad de tarjetas de prepago, deberán llevar un libro-registro en el que conste la identidad de los clientes que adquieran una tarjeta inteligente con dicha modalidad de pago. Los operadores informarán a los clientes, con carácter previo a la venta, de la existencia y contenido del registro, de su disponibilidad en los términos expresados en el número siguiente y de los derechos recogidos en el artículo 38.6 de la Ley 32/2003. La identificación se efectuará mediante documento acreditativo de la personalidad, haciéndose constar en el libro-registro el nombre, apellidos y nacionalidad del comprador, así como el número correspondiente al documento identificativo utilizado y la naturaleza o denominación de dicho documento. En el supuesto de personas jurídicas, la identificación se realizará aportando la tarjeta de identificación fiscal, y se hará constar en el libro-registro la denominación social y el código de identificación fiscal". Concluye su argumentación diciendo que “está obligada por la Ley 25/2007 a tratar el "nombre y apellidos del comprador", así como el "número correspondiente al documento identificativo utilizado" por el comprador de la tarjeta prepago”. (El subrayado es de VODAFONE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/51 Añade que, una “cuestión distinta es que dichos datos resulten ser erróneos, pero ello no podrá suponer, en ningún caso, una infracción del artículo 6.1 del RGPD.” 3. Subsidiariamente, alega la inexistencia de culpabilidad, por lo que incluso si la AEPD entendiera que ha vulnerado el artículo 6.1 del RGPD no procedería imponerle ninguna sanción ya que no concurre en su conducta culpabilidad, ni a título de dolo ni a título de culpa. Cita a tal fin el artículo 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante LRJSP) que regula el principio de culpabilidad. Alude a la interpretación que hace el Tribunal Supremo: “entre otras, la Sentencia del Tribunal Supremo de 23 de enero de 1998 [RJ 1998\601]” a tenor de la cual “para la exculpación no bastará la invocación de la ausencia de culpa, sino que será preciso que se haya empleado la diligencia que era exigible por quien aduce su inexistencia.” Menciona el criterio seguido por la Audiencia Nacional que, dice, ha entendido en supuestos en los que un tercero ha accedido mediante actividades delictivas a datos de los interesados custodiados por un responsable del tratamiento “(no es el caso, Vodafone no custodiaba los datos de la Reclamante)”, “que imputar tales hechos al responsable del tratamiento podría conllevar la vulneración del principio de culpabilidad.” Se refiere a la SAN, (Sala de lo Contencioso-Administrativo, Sección 1ª) de 25/02/2010 que indica: “Así, aun cuando el artículo 9 de la LOPD establece una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros, tal obligación no es absoluta y no puede abarcar un supuesto como el analizado. En el caso de autos, el resultado es consecuencia de una actividad de intrusión, no amparada por ordenamiento jurídico y en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que rompiendo los sistemas de seguridad establecidos accede a la base de datos de usuarios registrados en www.portalatino.com, descargándose una copia de la misma. Y, tales hechos, no pueden imputarse a la entidad recurrente pues, de otra forma, se vulneraría el principio de culpabilidad". La parte reclamada concluye que estamos “ante una práctica delictiva llevada a cabo por un tercero quien, actuando con dolo, ha suplantado la identidad de la Reclamante al solicitar el alta de una tarjeta prepago en nombre de la Reclamante, superando los controles establecidos por Vodafone.” Sobre la diligencia que le era exigible para identificar al solicitante de la tarjeta prepago, considera que “el parámetro de diligencia exigible a Vodafone y al resto de operadores” debe ser “lo exigido por la legislación”. La legislación que, a su entender, constituye la medida de la diligencia debida es, por una parte, la Ley 25/2007 que, advierte, “no obliga a que se guarde copia del DNI, sino solo de los datos que obran en el documento facilitado.” Por otra, la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General, sobre la que comenta que, aunque “no resulta de aplicación al caso, sí que nos sirve como botón de muestra a fin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/51 de demostrar que la exhibición de un DNI es suficiente para identificar a la persona que va a ejercer uno de los derechos fundamentales por antonomasia, el derecho de voto.” En definitiva, afirma que ha cumplido con lo dispuesto en la Ley 25/2007 y ha adoptado medidas adecuadas para identificar al solicitante de la tarjeta prepago. Niega que las medidas que adoptó hubieran sido ineficaces o insuficientes, como sostuvo el acuerdo de inicio. Sobre las medidas implantadas expone: -Que trasladó la obligación de identificación al mayorista con el que contrató, CSQ Non Stop Shop, S.L. (CSQ). Aporta como documento número 3 una captura de pantalla acreditativa de que CSQ contrató con el punto de venta encargado de dar de alta la tarjeta prepago de la que trae causa esta reclamación, D.D.D. (en lo sucesivo el Punto de Venta o D.D.D.) -Que en la cláusula primera del Anexo II del contrato que suscribió con el mayorista CSQ (aportado como documento número 4), éste se obliga a trasladar al punto de venta la "obligación imprescindible de identificar PRESENCIALMENTE al Cliente/Comprador mediante su tarjeta identificativa original", y se especifica que la documentación a presentar por las personas físicas consiste en el DNI o NIF o en el Pasaporte o NIE. Afirma que los hechos se produjeron por un error humano. Dice en ese sentido que “[...], el hecho de tratar datos personales que pertenecían a la Reclamante se ha debido a la existencia de un error humano, que son inevitables y sobre los que Vodafone no puede tener un control efectivo. [...], pueden existir casos, como el presente, en el que Vodafone trate datos personales que no pertenecen al solicitante de la tarjeta prepago, sino a un tercero (el Reclamante). Es lo que ha sucedido en este caso: es una evidencia y no lo negamos.” Comenta que la AEPD se ha pronunciado en numerosas ocasiones sobre los errores humanos, destacando que no pueden ser castigados. Cita la SAN de 23/12/2013: "La cuestión, pues, ha de resolverse conforme a los principios propios del derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional". Por último, reproducimos los comentarios de la reclamada respecto a las consideraciones que se recogían en el acuerdo de inicio del procedimiento: “[...] en su Acuerdo de Inicio la Agencia estaría exigiendo a Vodafone y, por extensión a miles de puntos de venta de Vodafone y del resto de operadoras de telefonía, que se implementaran medidas como, por ejemplo, un software de escaneo y verificación de DNIs y pasaportes. Lo anterior supone exigir a Vodafone un grado de diligencia totalmente desmedido y fuera del estándar de mercado: no sólo es superior a los estándares que dicta la normativa aplicable (nos remitimos a la Ley 25/2007), sino que no se sigue ni tan siquiera en actuaciones tan sensibles como el ejercer el derecho a voto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/51 Dicho esto, si la Agencia pretende modificar esos requerimientos y aumentar las exigencias de identificación hasta tales extremos, en ningún caso podrá acusarse a Vodafone de negligencia o de falta de solidez de las medidas tomadas en este momento, sino que primero deberían establecerse las reglas y posteriormente, en su caso, sancionar a la operadora que no las aplique, pero lo que no es conforme a Derecho es pretender utilizar directamente la vía sancionadora como método de fijación de los parámetros de seguridad exigibles.” (El subrayado es nuestro) 4. Solicita una reducción de la sanción en base a la atenuante que invoca y se opone a la admisión de las agravantes fijadas en el acuerdo de apertura del procedimiento. Respecto a las agravantes apreciadas por la Agencia VODAFONE hace estas consideraciones: -Artículo 83.2.
a)RGPD. El acuerdo de inicio admitió esta circunstancia como agravante apreciando dos factores: (
i)La gravedad de la infracción teniendo en cuenta el nivel de los daños y perjuicios sufridos, en la medida en que los datos personales de la reclamante se vieron vinculados con la comisión de infracciones penales. Y (
ii)la duración de la infracción, teniendo en cuenta el propósito de la operación del tratamiento, pues la infracción se habría iniciado el 29/11/2019 (cuando se dio de alta la línea) y se habría puesto fin al tratamiento ilícito el 17/03/2021. La reclamada rechaza su admisión y alega estos motivos: 1.La Ley 25/2007, en su disposición Adicional Única en relación con su artículo 5, impone a VODAFONE la obligación de recabar y conservar "el nombre, apellidos y nacionalidad del comprador, así como el número correspondiente al documento identificativo utilizado [...]". 2.El artículo 83.2.
a)establece que la "duración de la infracción" se utilizará como agravante o atenuante "teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido". Sin embargo, en el presente caso, solo hay un afectado (la reclamante). 3.Las Sentencias de la Audiencia Nacional de 16/09/2008 (Rec. 488/2006) y del Tribunal Supremo de 17/04/2002 (Recurso 466/2000) citadas en el acuerdo de inicio no resultan de aplicación, pues los supuestos de hecho y su naturaleza son totalmente distintos. En ambas sentencias, que no versan sobre protección de datos personales, estamos ante una conducta reiterada, consciente y activa por parte de los infractores, elementos que no encontramos en el caso de Vodafone. -Artículo 83.2.
d)RGPD: El grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32. La reclamada rechaza su admisión como agravante y alega estos motivos: “La Agencia afirma que "se desconoce qué medidas organizativas tenía implementadas y si estas eran las correctas y necesarias tomando en consideración el desarrollo técnico actual y el evidente riesgo que la contratación de los servicios que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/51 entidad reclamada comercializa representa para los derechos y libertades de las personas".” Responde a esa cuestión remitiéndose a la alegación primera de su escrito de alegaciones y dice que “en relación con la idoneidad de solicitar el DNI o el Pasaporte para acreditar la identidad del solicitante. En cualquier caso, y como ya hemos apuntado, el Acuerdo de Inicio es relativo a la presunta infracción del artículo 6.1 del RGPD, no a las medidas de seguridad adoptadas por Vodafone.” -Artículo 83.2.
e)RGPD: “Toda infracción anterior cometida por el responsable o el encargado del tratamiento”. Rechaza su admisión como agravante y alega estos motivos: “La Agencia entiende que son antecedentes "pertinentes" los hechos acaecidos en los siguientes procedimientos sancionadores: PS/00193/2021, PS/00186/2020, PS/00009/2020, PS/303/2020 y PS 348/2020.No estamos de acuerdo: si se revisan los antecedentes de hecho de cada uno de estos procedimientos se verá que todos ellos versan sobre casos en los que un tercero, haciéndose pasar por los reclamantes, ha contratado productos a nombre de los reclamantes y éstos últimos han recibido las correspondientes facturas, lo que no ha sucedido en el presente caso, pues se trata de una línea prepago. Por lo demás, el PS/00186/2020 nada tiene que ver con una suplantación de identidad, sino con un error informático en los sistemas de Vodafone.” -Artículo 83.2.
g)RGPD: “Las categorías de los datos de carácter personal afectados por la infracción”. Rechaza su admisión como agravante y alega estos motivos: “La Agencia considera que, atendiendo a lo dispuesto en el Considerando 75 del RGPD, el número de pasaporte sería un "dato particularmente sensible en tanto en cuanto [...] un tercero puede suplantar la identidad de una persona física con total facilidad, con los riesgos que esto comporta para la privacidad, el honor y el patrimonio del suplantado". “En nuestra opinión, son varias la consideraciones a tener en cuenta. En estos casos, la usurpación de identidad se produce con carácter anterior a la contratación de la línea prepago, esto es: la contratación de la línea prepago es una consecuencia de la usurpación de identidad, no la usurpación de identidad en sí misma considerada. Es decir, no es que Vodafone con su conducta haya facilitado a un tercero un dato personal, sino que ese tercero ya estaba en posesión del dato personal y lo que hace es utilizarlo en fraude contra la interesada y contra la propia Vodafone. En un plano puramente teórico, el razonamiento de la Agencia podría llegar a admitirse si el sancionado fuera el responsable de conservar y preservar la seguridad los datos personales del afectado y, debido a unas medidas de seguridad deficientes, permitiera que un tercero accediera de forma ilegítima a dichos datos y, con ello, pudiera suplantar la identidad del afectado. No es el caso.” VODAFONE invoca como atenuante la circunstancia del apartado
b)del artículo 83.2. del RGPD: la inexistencia de intencionalidad o negligencia. Por último, propone como prueba la admisión de los siguientes documentos cuya copia aporta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/51 1.Mandamiento enviado a Vodafone por el Grupo de Interceptación de las Telecomunicaciones de la Guardia Civil de fecha 10/03/2020 (documento 1) 2.Contestación de Vodafone al mandamiento enviado por el Grupo de Interceptación de las Telecomunicaciones de la Guardia Civil (documento 2) 3.Captura de pantalla acreditativa de que el mayorista que ha suscrito un contrato con Vodafone es CSQ Non Stop Shop, S.L. quien, a su vez, contrató con el punto de venta encargado de dar de alta la tarjeta prepago en cuestión, D.D.D. (documento 3) Aporta también el documento número 4, “Distribución Mayorista Prepago No exclusiva Vodafone”. El contenido esencial de los documentos aportados es el siguiente: 1. El documento 1 está formado por dos folios. Ambos llevan en su encabezado los membretes del Ministerio del Interior y de la Guardia Civil. El primero es la carátula de un fax enviado por el Grupo de Interceptación de Comunicaciones de la Guardia Civil a VODAFONE el 10/03/2020 con este texto: “Adjunto se remite copia del mandamiento juridicial acordando: [...] Dilig. Previas: Diligencias Policiales nº XX/XXXX. Asunto: Datos. Nº Teléfono: ***TELEFONO.1 [...]” El segundo es la copia de un Oficio con el número de referencia “Diligencias policiales ***REFERENCIA.3”, la fecha 06/03/2020 y el asunto “Solicitando identificación del titular de una línea telefónica”. Como destinatario consta “Compañía Vodafone”. El texto del Oficio dice que “por ser necesario para las investigaciones que se desarrollan en el marco de las diligencias policiales ***REFERENCIA.3 se solicita que sean cedidos a esta Unidad los siguientes datos: Titularidad del número de abonado ***TELEFONO.2 a fecha 12 de febrero de 2020.” 2. El documento 2 es la contestación de VODAFONE al Oficio descrito en el punto anterior. En la parte superior lleva estas indicaciones: Policía Judicial, Diligencias Previas XX/XXXX; fecha de recepción 10/03/2020; fecha de respuesta 13/03/2020; tipo de consulta “LC.01.Titular por MSISDN y por rango de fechas”; “Target” ***TELEFONO.2 y periodo de búsqueda de 2020-02-12 a 2020-03-02. En la parte inferior lleva esta información: Bajo las rúbricas de “Nombre” y “Apellido”, el nombre y los dos apellidos de la reclamante; bajo la rúbrica “Documento” ***REFERENCIA.2; bajo la rúbrica “Tipo Documento”, “AR-Pasaporte”; bajo la rúbrica “Línea” ***TELEFONO.2; bajo la rúbrica “Tipo de contrato”, “PREP”; bajo la rúbrica “Fecha Alta”, 28/11/2019. El apartado “Fecha Baja” está vacío. 3. Es una captura de pantalla en la que no hay encabezado ni ningún dato que permita conocer su procedencia. Ofrece esta información: En la primera línea aparece “Fecha solicitud:” “28/11/2019”; “IP localizador”, una información ilegible seguida de “(...)”; “Usuario procesador: op_bot”; “Artículo: welcome Sim Yu YUSER 10”; “MSISDN ***TELEFONO.2”; “Centro CSQ” y “Punto de Venta D.D.D.”. 4. El contrato de “Distribución Mayorista Prepago No exclusiva Vodafone”, celebrado entre la reclamada y CSQ Non Stop Shop, S.L., (CSQ) cuya estipulación 12.2 dice: “Asimismo, el Mayorista dará traslado de todas las obligaciones en materia de protección de datos de carácter personal a los puntos de venta Minoristas y certificará C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/51 haber dado traslado de estas obligaciones mediante la firma de un certificado estándar que se adjunta como Anexo IV”. (El subrayado es nuestro) Se acompaña al contrato el Anexo II, “Recogida de datos. Contrato de Distribución Mayorista”. Indica que “contiene las instrucciones relativas al cumplimiento de la Disposición Adicional Única de la Ley 25/2007 [...] respecto de (
i)la identificación presencia y recogida de datos de los Clientes que adquieran una Tarjeta de Prepago o un Pack de Prepago con carácter previo a la venta y (
ii)la información a los mismos en los términos descritos en la citada Ley, todo ello de conformidad con lo dispuesto en la cláusula 11.2 del Contrato de Distribución Mayorista del que este Anexo trae causa”. En la estipulación primera del citado anexo se establece: “El Mayorista deberá trasladar al Punto de Venta minorista, mediante la suscripción de un acuerdo que recoja la obligaciones relacionada en el presente anexo, la obligación imprescindible de identificar PRESENCIALMENTE al Cliente/Comprador mediante su tarjeta identificativa original. La documentación a presentar por las personas físicas, según su nacionalidad y situación, es la siguiente: “-Para nacionales españoles, DNI o NIF. Para ciudadanos de la Comunidad Europea se acepta DNI, Tarjeta de residencia o Pasaporte.-Para ciudadanos de fuera de la Comunidad Europea, Pasaporte o NIE.” (El subrayado es nuestro) La estipulación segunda del Anexo, “Datos a recabar de los compradores de servicios de prepago”, dice en su apartado 1: “Persona física”: “El Mayorista deberá trasladar al Punto de Venta minorista la obligación de recabar los siguientes datos de carácter obligatorio: Nombre, Apellidos, Nacionalidad; Tipo y número de Documento (DNI, NIF, Pasaporte, Tarjeta de Residencia).” La estipulación tercera del Anexo, “Impresión y firma a solicitud de cliente”, dice: “En caso de que el cliente lo solicite y el Punto de Venta minorista tenga habilitado Vodafone WAS o Web Service, desde estas herramientas se imprimirá una única copia de la documentación (auto cumplimentada con los datos introducidos en las herramientas) y se le entregará al Cliente /Comprador sin que el Punto de Venta Minorista pueda quedarse copia del mismo.” SEXTO: Pruebas practicadas. Con fecha 29/06/2022 la instructora del procedimiento acuerda la apertura de una fase de prueba y la práctica de las siguientes diligencias probatorias: 1.Dar por reproducida a efectos de prueba la reclamación interpuesta por la reclamante y su documentación anexa, así como los documentos obtenidos y generados por la Subdirección de Inspección de Datos de la AEPD durante la fase de admisión a trámite de la reclamación. 2.Dar por reproducidas a efectos de prueba las alegaciones al acuerdo de inicio presentadas por VODAFONE y la documentación que a ellas acompaña. 3. Se solicita a VODAFONE que facilite a la AEPD la siguiente documentación e información: 3.1. La copia del Registro de Actividades de Tratamiento (RAT) que tuviera aprobado en noviembre de 2019. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/51 3.2. La copia del condicionado general por el cual se regía en noviembre de 2019 la relación entre la reclamada y los clientes que contrataban con ella un servicio prepago. 3.3. Que informe de si la obligación de facilitar las condiciones generales al cliente que contrata un servicio prepago corresponde al punto de venta minorista. En caso afirmativo, se solicita que explique en qué documento se incluía esa obligación del punto de venta que intervino en el servicio prepago que ha originado este expediente sancionador. En caso negativo, que explique y acredite documentalmente cuándo y quién estaba obligado a proporcionar al cliente que contrata un servicio prepago esas condiciones generales. 3.4. Los Anexos I, III, IV y V al “Contrato de Distribución Mayorista Prepago. No exclusivo de Vodafone” que celebró con CSQ en junio de 2019. 3.5. El acuerdo de encargo de tratamiento que suscribió con CSQ. 3.6. El contrato que CSQ celebró con el punto de venta minorista que intervino en la contratación del servicio prepago que es objeto de este expediente sancionador. 3.7. El acuerdo de encargo de tratamiento que CSQ hubiera suscrito con el punto de distribución minorista que intervino en la contratación de la línea prepago, D.D.D. 3.8. Que informe de qué forma puede acreditar VODAFONE que, efectivamente, el punto de venta recabó de la persona que solicitó la contratación de una línea prepago su documento de identidad original (no fotocopia), que verificó su identidad y que recabó del citado documento los datos de identidad del cliente. SÉPTIMO: Respuesta a las pruebas practicadas. VODAFONE responde el 21/07/2022. 1.Aporta (documento 1) el RAT vigente en el periodo indicado. Dice que “Este es el registro de actividades del tratamiento que se aplica tanto a franquicias como a mayoristas.” El documento tiene las siguientes características: Lleva por rúbrica “Detalles de la actividad de tratamiento” (Processing Activity Details). La información versa, exclusivamente, sobre “Distribucion – Distribuidores Franquicias”. En el apartado “Descripción del tratamiento”, menciona la “gestión de las tiendas de franquicia” y dice que el tratamiento es el mismo que en las tiendas propias de VODAFONE con dos diferencias: “but with two different ERP in the front.”. No se identifica con claridad a VODAFONE como responsable del tratamiento. Se utiliza la referencia “1.0” en la descripción del tratamiento que se realiza, respecto al responsable/encargado de tratamiento y los fines del tratamiento. No determina qué datos son objeto de tratamiento. Respecto a la base legal del tratamiento dice que “las personas han dado su consentimiento para el tratamiento de sus datos personales para una o varias finalidades.” 2. Aporta las condiciones generales de los contratos móviles prepago utilizados por VODAFONE en 2019 (documento 2) que están integradas por las "Normas de uso razonables a los Servicios de Comunicaciones Electrónicas de Vodafone" y el "Resumen de Condiciones Generales del Servicio”. Explica que estos documentos van incluidos en el embalaje de la tarjeta prepago y que el segundo documento remite a la web de la operadora para acceder al documento que se aporta con el número 3. 3.Como documento 3, las “Condiciones Generales de los Servicios de Comunicaciones Móviles Prepago” a las que el cliente accede a través de la página C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/51 web de VODAFONE. En su apartado 11, “Protección de Datos Personales.”, establece: “Según lo dispuesto en la Ley Orgánica 15/1999 de Protección de Datos de carácter personal (LOPD), le informamos de que los datos personales a los que Vodafone tenga acceso como consecuencia de la prestación del Servicio se incorporarán a un fichero titularidad de Vodafone y serán tratados con la finalidad de prestarle los servicios contratados. El Cliente consiente, además, que Vodafone trate sus datos con las siguientes finalidades: (
i)llevar a cabo acciones comerciales generales o adaptadas a su perfil, de los servicios de telecomunicaciones y de valor añadido prestados por Vodafone, por empresas del Grupo Vodafone (www.vodafone.
es)o por terceros que intervengan en la prestación de dichos servicios, durante o con posterioridad a la vigencia del contrato. Las citadas acciones comerciales se podrán realizar mediante cualquier medio de comunicación (teléfono, e-mail, sms, mms…); e (
ii)instalar y actualizar en su teléfono aquellas aplicaciones correspondientes a servicios de telecomunicaciones y de valor añadido prestados por Vodafone, por empresas del Grupo Vodafone o por terceros que intervengan en la prestación de dichos servicios. Asimismo, el Cliente consiente expresamente que Vodafone:
a)trate sus datos de tráfico y facturación, conforme a lo dispuesto en el art. 65.3 del Real Decreto 424/2005, de 15 de abril;
b)acceda y trate sus datos de navegación;
c)trate sus datos de localización, en el marco de la prestación de servicios de valor añadido que impliquen dicha localización y siempre que previamente sean solicitados por el Cliente y sólo por el tiempo necesario para prestarle los mismos;
d)ceda sus datos personales a empresas del Grupo Vodafone (www.vodafone.es), todo ello, con la finalidad de realizar acciones comerciales en los mismos términos indicados en el apartado (
i)del segundo párrafo de esta Condición.” 4.Aporta los Anexos I, III, IV y V al Contrato de Distribución Mayorista Prepago. No exclusivo de Vodafone. El Anexo III corresponde al encargo de tratamiento entre VODAFONE y CSQ. (Documento 5) 5.Aporta copia del contrato que CSQ celebró con el Punto de Venta minorista que intervino en la contratación del servicio prepago que es objeto de este expediente sancionador, D.D.D., y del encargo de tratamiento suscrito entre ambos. (Documento 6) El contrato, celebrado el 20/04/2016 entre CSQ y el Punto de Venta minorista D.D.D., consta de unas (
i)“Condiciones Generales aplicables al contrato” y (
ii)“de las Condiciones específicas para la distribución de productos físicos que requieren la identificación del Usuario Final como paso previo para la venta, activación y/o suscripción de productos o servicios.” La estipulación 1 del condicionado (
i)dice que “Constituye el objeto de este contrato la instalación y explotación del Terminal propiedad de CSQ para la recarga de teléfonos móviles nacionales e internacionales por cuenta de CSQ; quedando la posibilidad de comercializar otros servicios y productos a través del Terminal cuyas condiciones serian notificadas previo comunicado.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/51 El condicionado (
ii)establece: 1. “Objeto: Dando cumplimiento de la legislación vigente en materia de protección de datos personales, es objeto del presente Contrato la determinación por parte de CSQ de las medidas de seguridad que el Punto de Venta minorista como "Encargado del Tratamiento", deberá adoptar en el acceso y tratamiento de los datos personales de lo cuales CSQ es responsable del tratamiento.” 3.- “Medidas de Seguridad.” “El Punto de Venta minorista se compromete a implantar las medidas de seguridad técnicas y organizativas necesarias para: • Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. • Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico. • Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento. Con respecto a la identificación y registro, el punto de venta no podrá vender ninguna SIM sin haber completado el siguiente procedimiento:
a)El Punto de Venta minorista acepta la utilización de las herramientas que para tal fin CSQ disponga, y en algunos casos implicará la utilización de las propias herramientas especificadas por las diferentes operadoras de telefonía (ej: Vodafone WAS), comprometiéndose a incorporar únicamente los datos de comprador solicitados en el correspondiente apartado de activación
b)Con carácter previo a la venta, el Punto de Venta identificará al Cliente Final mediante la validación presencial de un documento acreditativo de su identidad, que ha de ser válido original y estar en vigor. En concreto: • Los datos obligatorios para las personas físicas son: Nombre, Apellidos, Nacionalidad, Tipo y número de documento (DNI, NIF, Pasaporte, Tarjeta de Residencia). • Los datos obligatorios para las personas jurídicas son: Razón social, Tipo y número de documento de identificación fiscal y Domicilio completo • En ambos casos, es obligatorio identificar presencialmente al Comprador mediante la documentación original solicitada en cada caso, y comprobar que los datos proporcionados y los grabados en el sistema de activación de CSQ son correctos, veraces y están actualizados y se corresponden con la documentación proporcionada.
c)[...] Con carácter previo a la identificación y registro de los datos, el Punto de Venta informará al Cliente Final sobre la obligación legal de identificarse en los términos del párrafo anterior y facilitar toda la información allí señalada, indicándole que el suministro de la misma es obligatorio para la activación y prestación del servicio. CSQ no se hace responsable de la veracidad de los datos aportados, siendo responsabilidad única del punto de venta haber comprobado la información con un documento acreditativo válido. El punto de venta declara mediante la firma de este documento ser conocedor de que, en el caso que haga un mal uso de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/51 herramienta de activación proporcionada por CSQ o por parte de cualquier operadora de telefonía (ej: Vodafone WAS), o introduzca datos erróneos en la misma de los compradores de servicios de prepago, se le podría limitar o retirar el acceso a la herramienta de activación, quedando además CSQ y/o la operadora, según proceda, facultadas para reclamar al punto de venta, por cualquier vía, los daños y perjuicios efectivamente ocasionados como consecuencia de dicho mal uso.” (El subrayado es nuestro) 6. A la pregunta relativa a cómo podía acreditar que, efectivamente, el punto de venta recabó de la persona que solicitó la contratación de una línea prepago su documento de identidad original (no fotocopia), que verificó su identidad y que recabó del citado documento los datos de identidad del cliente, responde en estos términos: “Como se indicó en el escrito de Alegaciones al Acuerdo de Inicio, CSQ se obligó a trasladar al punto de venta la "obligación imprescindible de identificar PRESENCIALMENTE al Cliente/Comprador mediante su tarjeta identificativa original". Además, se especifica que "la documentación a presentar por las personas físicas consiste en el "DNI o NIF" o en el "Pasaporte o NIE" (Documento 4 del escrito de Alegaciones al Acuerdo de Inicio). A su vez, esta obligación fue trasladada al punto de venta (D.D.D.), tal y como acredita el Documento 6 aportado con este escrito: "
b)Con carácter previo a la venta, el Punto de Venta identificará al Cliente Final mediante la validación presencial de un documento acreditativo de su identidad, que ha de ser válido original y estar en vigor. En concreto: • Los datos obligatorios para las personas físicas son: Nombre, Apellidos, Nacionalidad, Tipo y número de documento (DNI, NIF, Pasaporte, Tarjeta de Residencia). • Los datos obligatorios para las personas jurídicas son: Razón social, Tipo y número de documento de identificación fiscal y Domicilio completo. • En ambos casos, es obligatorio identificar presencialmente al Comprador mediante la documentación original solicitada en cada caso, y comprobar que los datos proporcionados y los grabados en el sistema de activación de CSQ son correctos, veraces y están actualizados y se corresponden con la documentación proporcionada.” OCTAVO: Propuesta de resolución. La propuesta de resolución, firmada y notificada el 10/10/2022, se formuló en los siguiente términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
a)del RGPD, con una multa de 100.000 € (cien mil euros).>> El certificado emitido por la FNMT que obra en el expediente acredita que la notificación fue aceptada por la reclamada el 17/10/2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/51 Conforme al artículo 73.1 de la LPACAP, el plazo para formular alegaciones es de diez días hábiles que deberán computarse desde el siguiente a la aceptación de la notificación. Así pues, habiendo aceptado la notificación de la propuesta de resolución el día 31/10/2022 el plazo de alegaciones finaliza el día 31/10/2022. NOVENO: Solicitud de ampliación del plazo de alegaciones a la propuesta de resolución. Con fecha 18/10/2022 se recibe en la AEPD un escrito de VODAFONE en el que solicita que se amplíe, por el máximo permitido legalmente, el plazo otorgado para formular alegaciones a la propuesta de resolución. La AEPD responde el 19/10/2022 denegando la ampliación solicitada. El escrito de respuesta se notifica a la reclamada el 19/10/2022 y es aceptado el 24/10/2022 según consta en el certificado emitido por la FNMT que obra en el expediente. A las razones aducidas por VODAFONE para justificar su solicitud de ampliación -que “el plazo inicialmente otorgado [...] no permite formular debidamente las oportunas alegaciones y recabar las pruebas necesarias” debido a “la complejidad del procedimiento y la cuantía de la sanción que pudiese corresponder”- se respondió que no obraba en el procedimiento ningún documento que fuera desconocido para la reclamada, pues, por una parte, se le había hecho entrega de la copia del expediente antes del trámite de alegaciones al acuerdo de inicio y, de otra, las únicas pruebas que se practicaron lo fueron ante la propia VODAFONE. Se añadió que la reclamada había tenido la posibilidad de aportar pruebas en los trámites de alegaciones al acuerdo de inicio y en la fase de prueba y que la propuesta de resolución mantenía la calificación jurídica de los hechos que hizo el acuerdo de inicio, limitándose, en esencia, a rebatir los argumentos que la reclamada había esgrimido en su defensa en las alegaciones al acuerdo de apertura. DÉCIMO: VODAFONE no formula alegaciones a la propuesta de resolución. A fecha 03/11/2022, tres días después de que finalizara el plazo otorgado para formular alegaciones a la propuesta de resolución, no han tenido entrada en el Registro de esta Agencia las alegaciones de VODAFONE. Conforme al artículo 73.1 de la LPACAP, el plazo para formular alegaciones es de diez días hábiles, que deberán computarse desde el siguiente a la aceptación de la notificación. Así pues, habiendo aceptado VODAFONE la notificación de la propuesta de resolución el día 17/10/2022, el plazo de alegaciones finalizó el día 31/10/2022. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La reclamante denuncia que VODAFONE dio de alta una línea prepago vinculada a sus datos personales; datos que facilitó a la Guardia Civil y por la que ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/51 sido citada por dos juzgados en calidad de investigada como consecuencia de las estafas cometidas a través de Wallapop por la línea telefónica que VODAFONE vinculó a su persona. SEGUNDO: Obran en el expediente dos capturas de pantalla procedentes de sus sistemas, obtenidas el 06/05/2021, que VODAFONE remitió a la Subdirección de Inspección de Datos con su respuesta al requerimiento informativo. Ambas corresponden a “Customer Interaction Manager” y en ellas se visualizan estas ventanas: (
i)“Información Llamante”, en la que aparecen, entre otras, las pestañas “ID”, “***REFERENCIA.4”; y “Cliente”, “A.A.A..” (
ii)“Página Central de Información”, con varias pestañas dos de las cuales, “Información del contacto” y “Servicios Contratados,” están activadas y sus resultados se muestran en respectivamente, en las dos capturas de pantalla aportadas por la reclamada: - La ventana “Información del contacto” incluye en el espacio “NIF/NIE/Pasaporte/Cif:” “***REFERENCIA.2” y en “Estado” “Desconectado”. - La ventana “Servicios Contratados”, incluye en la descripción de los servicios básicos, el “plan de precios prepago a teléfono”. Como equipo indica ***TELEFONO.1; como “Tipo equipo”, “Mobile Pre.”; como “Estado”, “Desc.” como “F. Instalación”, “28/11/2019” y como “F. Desins”, “19/07/2020”. TERCERO: Obra en el expediente la copia del fax que el Grupo de Interceptación de Comunicaciones de la Guardia Civil remitió el 10/03/2020 a VODAFONE con este texto: “Adjunto se remite copia del mandamiento juridicial acordando: [...] Dilig. Previas: Diligencias Policiales nº XX/XXXX. Asunto: Datos. Nº Teléfono: ***TELEFONO.1 [...]” Obra en el expediente la copia del Oficio enviado a la reclamada - número de referencia “Diligencias policiales ***REFERENCIA.3” y fecha 06/03/2020- con el asunto “Solicitando identificación del titular de una línea telefónica”. El texto del Oficio es el siguiente: “[...]por ser necesario para las investigaciones que se desarrollan en el marco de las diligencias policiales ***REFERENCIA.3 se solicita que sean cedidos a esta Unidad los siguientes datos: Titularidad del número de abonado ***TELEFONO.2 a fecha 12 de febrero de 2020.” CUARTO: Obra en el expediente la respuesta de VODAFONE al Oficio citado: Una captura de pantalla en la que se incluye esta información: En la parte superior del documento”: “Policía Judicial, Diligencias Previas XX/XXXX”; la fecha de recepción, 10/03/2020; la fecha de respuesta, 13/03/2020; el tipo de consulta, “LC.01.Titular por MSISDN y por rango de fechas”; el “Target”, “***TELEFONO.2” y el periodo de búsqueda: de 2020-02-12 a 2020-03-02. En la parte inferior, el nombre y los dos apellidos de la reclamante; como “Documento”, “***REFERENCIA.2”; como “Tipo Documento”, “AR-Pasaporte”; como “Línea”, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/51 ***TELEFONO.2; como “Tipo de contrato”, “PREP”; como “Fecha Alta”, 28/11/2019. El apartado “Fecha Baja” está vacío. QUINTO: Obran en el expediente varios documentos de la Guardia Civil, Puesto de ***LOCALIDAD.2, que evidencian que la Guardia Civil identificó a la reclamante como titular de la línea móvil ***TELEFONO.1 en virtud de la contestación que VODAFONE le facilitó. Entre esos documentos figura la “Diligencia consignando identificación de una persona”: “En ***LOCALIDAD.2, siendo (...) del 24 de marzo de 2020, por esta Diligencia se hace constar que, como consecuencia de las gestiones practicadas, se han obtenido los datos de identificación de la persona que se indica a continuación cuyos datos son: Nombre: A.A.A. (DNI ***NIF.1)”. El documento incluye la fecha de nacimiento de la reclamante, el nombre de su madre y de su padre y un domicilio y añade: “Se hace constar que la identificación se ha realizado mediante contestación de VODAFONE como titular del número de teléfono ***TELEFONO.1, citado por el denunciante[...] “En ***LOCALIDAD.2, siendo (...) del 24 de marzo de 2020, por esta Diligencia se hace constar que, como consecuencia de las gestiones practicadas, se han obtenido los datos de identificación de la persona que se indica a continuación cuyos datos son: Nombre: [nombre y dos apellidos de la reclamante] (DNI ***NIF.1). [...] Fecha Nacimiento: 24-04-198j Nombre padre: B.B.B. Nombre madre: C.C.C. Domicilio: ***DIRECCION.1. Se hace constar que la identificación se ha realizado mediante contestación de VODAFONE como titular del número de teléfono ***TELEFONO.1, citado por el denunciante. A la persona identificada en la presente diligencia le consta otro domicilio en Base de Datos DGT, siendo el siguiente: ***DIRECCION.2 [...]” SEXTO: VODAFONE niega que se haya vulnerado el artículo 6.1 del RGPD y considera que la licitud del tratamiento estaba fundada en las bases jurídicas de los artículo 6.1.
b)y 6.1.
c)SÉPTIMO: VODAFONE manifiesta que “se implementaron las medidas de seguridad necesarias y el tercero que cometió el fraude superó la Política de Seguridad para Clientes Particulares, aportando la información de la interesada que habría obtenido por medios ilícitos o fraudulentos.” Denomina Política de Seguridad para Clientes Particulares al contrato de “Distribución Mayorista Prepago. No exclusivo Vodafone” (documento 4, anexo a sus alegaciones al acuerdo de inicio) suscrito entre la reclamada y CSQ Non Stop Shop, S.L. (CSQ) OCTAVO: La estipulación 12.2 del contrato de “Distribución Mayorista Prepago No exclusiva Vodafone”, celebrado entre la reclamada y CSQ dice: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/51 “Asimismo, el Mayorista dará traslado de todas las obligaciones en materia de protección de datos de carácter personal a los puntos de venta Minoristas y certificará haber dado traslado de estas obligaciones mediante la firma de un certificado estándar que se adjunta como Anexo IV”. (El subrayado es nuestro) El Anexo II al contrato de Distribución Mayorista - “Recogida de datos. Contrato de Distribución Mayorista”- dice en su estipulación primera: “El Mayorista deberá trasladar al Punto de Venta minorista, mediante la suscripción de un acuerdo que recoja la obligaciones relacionadas en el presente anexo, la obligación imprescindible de identificar PRESENCIALMENTE al Cliente/Comprador mediante su tarjeta identificativa original. La documentación a presentar por las personas físicas, según su nacionalidad y situación, es la siguiente: “-Para nacionales españoles, DNI o NIF. -Para ciudadanos de la Comunidad Europea se acepta DNI, Tarjeta de residencia o Pasaporte. -Para ciudadanos de fuera de la Comunidad Europea, Pasaporte o NIE.” (El subrayado es nuestro) La estipulación segunda del Anexo dice: “Datos a recabar de los compradores de servicios de prepago”, dice en su apartado 1: “Persona física”: “El Mayorista deberá trasladar al Punto de Venta minorista la obligación de recabar los siguientes datos de carácter obligatorio: Nombre, Apellidos, Nacionalidad; Tipo y número de Documento (DNI, NIF, Pasaporte, Tarjeta de Residencia).” NOVENO: Obra en el expediente el contrato que CSQ celebró con el Punto de Venta minorista que intervino en la contratación del servicio prepago objeto de este expediente sancionador, D.D.D., y del encargo de tratamiento suscrito entre ambos. (Documento 6) Forman parte de ese contrato las “Condiciones específicas para la distribución de productos físicos que requieren la identificación del Usuario Final como paso previo para la venta, activación y/o suscripción de productos o servicios.”, de las que se transcriben estas estipulaciones: “3.- “Medidas de Seguridad.” “El Punto de Venta minorista se compromete a implantar las medidas de seguridad técnicas y organizativas necesarias para: [...] Con respecto a la identificación y registro, el punto de venta no podrá vender ninguna SIM sin haber completado el siguiente procedimiento:
a)
b)Con carácter previo a la venta, el Punto de Venta identificará al Cliente Final mediante la validación presencial de un documento acreditativo de su identidad, que ha de ser válido original y estar en vigor. En concreto: • Los datos obligatorios para las personas físicas son: Nombre, Apellidos, Nacionalidad, Tipo y número de documento (DNI, NIF, Pasaporte, Tarjeta de Residencia). • Los datos obligatorios para las personas jurídicas [...] • En ambos casos, es obligatorio identificar presencialmente al Comprador mediante la documentación original solicitada en cada caso, y comprobar que los datos proporcionados y los grabados en el sistema de activación de CSQ son C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/51 correctos, veraces y están actualizados y se corresponden con la documentación proporcionada.
c)[...] Con carácter previo a la identificación y registro de los datos, el Punto de Venta informará al Cliente Final sobre la obligación legal de identificarse en los términos del párrafo anterior y facilitar toda la información allí señalada, indicándole que el suministro de la misma es obligatorio para la activación y prestación del servicio.” DÉCIMO: A la pregunta relativa a cómo podía acreditar que, efectivamente, el punto de venta recabó de la persona que solicitó la contratación de una línea prepago su documento de identidad original (no fotocopia); que verificó su identidad y que recabó del citado documento los datos de identidad del cliente, VODAFONE responde en estos términos: “Como se indicó en el escrito de Alegaciones al Acuerdo de Inicio, CSQ se obligó a trasladar al punto de venta la "obligación imprescindible de identificar PRESENCIALMENTE al Cliente/Comprador mediante su tarjeta identificativa original". Además, se especifica que "la documentación a presentar por las personas físicas consiste en el "DNI o NIF" o en el "Pasaporte o NIE" (Documento 4 del escrito de Alegaciones al Acuerdo de Inicio). A su vez, esta obligación fue trasladada al punto de venta (D.D.D.), tal y como acredita el Documento 6 aportado con este escrito: "
b)Con carácter previo a la venta, el Punto de Venta identificará al Cliente Final mediante la validación presencial de un documento acreditativo de su identidad, que ha de ser válido original y estar en vigor. En concreto: • Los datos obligatorios para las personas físicas son: Nombre, Apellidos, Nacionalidad, Tipo y número de documento (DNI, NIF, Pasaporte, Tarjeta de Residencia). • [..]. • En ambos casos, es obligatorio identificar presencialmente al Comprador mediante la documentación original solicitada en cada caso, y comprobar que los datos proporcionados y los grabados en el sistema de activación de CSQ son correctos, veraces y están actualizados y se corresponden con la documentación proporcionada.” UNDÉCIMO: En respuesta a la petición para que aportara en pruebas una copia del RAT vigente en noviembre de 2019, VODAFONE facilita un documento (número 1) sobre el que dice: “Este es el registro de actividades del tratamiento que se aplica tanto a franquicias como a mayoristas.” La información del documento aportado versa, exclusivamente, sobre “Distribución – Distribuidores Franquicias”. En el apartado “Descripción del tratamiento”, menciona la “gestión de las tiendas de franquicia” y dice que el tratamiento es el mismo que en las tiendas propias de VODAFONE con dos diferencias. No determina qué datos son objeto de tratamiento. Respecto a la base legal del tratamiento indica que “las personas han dado su consentimiento para el tratamiento de sus datos personales para una o varias finalidades.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/51 FUNDAMENTOS DE DERECHO I Competencia de la AEPD De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Disposiciones aplicables El RGPD se ocupa en su artículo 5 de los principios que presiden el tratamiento de los datos personales y establece que “1. Los datos personales serán:
a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>. (...)” El punto 2 del artículo 5 indica que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” El artículo 6 del RGPD bajo la rúbrica “Licitud del tratamiento” concreta en su apartado 1 los supuestos en los que el tratamiento de datos personales es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/51 intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” III Infracción del artículo 6.1 del RGPD Se atribuyó a la reclamada en el acuerdo de inicio una infracción del artículo 6.1 del RGPD concretada en haber tratado los datos personales de la reclamante vinculados a una línea prepago, número ***TELEFONO.1, a la que la reclamante era ajena, sin que concurriera ninguna de las bases jurídicas de licitud que relaciona esa disposición. 1.Datos de la reclamante que han sido objeto de tratamiento. La documentación que obra en el expediente acredita que los datos de la reclamante tratados ilícitamente por VODAFONE fueron el nombre, los dos apellidos y su número de pasaporte, ***REFERENCIA.2. En el Hecho Probado segundo se trascribe la información que consta en las dos capturas de pantalla de los sistemas de VODAFONE que la entidad facilitó a la Subdirección de Inspección de Datos al responder a las actuaciones de traslado efectuadas conforme al artículo 65.4 de la LOPDGDD. Se verifica así que, en sus sistemas, estaban registrados estos datos: Con el ID ***REFERENCIA.4 existía un cliente con el nombre y los dos apellidos de la reclamante y con el pasaporte ***REFERENCIA.2 en calidad de titular de un servicio móvil prepago ***TELEFONO.1, siendo las fechas de alta y baja del servicio -distinto de la finalización del tratamiento de los datos- respectivamente, el 28/11/2019 y el 19/07/2020. A propósito del número de pasaporte tratado por VODAFONE, ninguna duda cabe de que estamos ante un dato personal de la reclamante. La documentación que obra en el expediente revela que fue a través de ese dato personal -el número de pasaportecomo la Guardia Civil identificó a la reclamante por su DNI y pudo conocer también su domicilio y los datos de filiación. VODAFONE respondió el 13/03/2020 a un Oficio que le remitió el 10/03/2020 el Grupo de Interceptación de Comunicaciones de la Guardia Civil con el asunto “Solicitando identificación del titular de una línea telefónica”. La reclamada le facilitó el nombre y apellidos de la reclamante, el número de pasaporte ***REFERENCIA.2, la indicación de que era una línea móvil prepago y la fecha de alta, 28/11/2019. En la “Diligencia consignando identificación de una persona” extendida por el puesto de la Guardia Civil de ***LOCALIDAD.2 (Hecho Probado quinto) la Guardia Civil conoce ya el dato del DNI vinculado a la titular de la línea controvertida, su domicilio y sus datos de filiación. La Diligencia dice “[...] que, como consecuencia de las gestiones practicadas, se han obtenido los datos de identificación de la persona que se indica a continuación cuyos datos son: Nombre: [nombre y dos apellidos de la reclamante] (DNI ***NIF.1). [...] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/51 Nombre padre: B.B.B. Nombre madre: C.C.C. Domicilio: ***DIRECCION.1.” La Diligencia añade que “Se hace constar que la identificación se ha realizado mediante contestación de VODAFONE como titular del número de teléfono ***TELEFONO.1, citado por el denunciante. A la persona identificada en la presente diligencia le consta otro domicilio en Base de Datos DGT, siendo el siguiente: ***DIRECCION.2 [...]” (El subrayado es nuestro) Entre los datos identificativos de la reclamante que la Guardia Civil refleja en la Diligencia de identificación se incluye el DNI, el domicilio y el nombre del padre y la madre. Datos que VODAFONE no conocía y no pudo haber facilitado a la Guardia Civil pero que se han obtenido por la remisión que el número de pasaporte hace al número del DNI. Hemos de referirnos al Real Decreto 896/2003, de 11 de julio, que regula la “expedición del pasaporte ordinario y determina sus características y su contenido”. El artículo 10, “Contenido” dice en el apartado 2 que el pasaporte “Dispondrá de una página plastificada que contendrá las siguientes menciones:
a)El número del pasaporte, que coincidirá con el de serie de la libreta.
b)Un número identificador personal que será el del documento nacional de identidad de su titular, salvo que carezca de éste, por ser residente en el extranjero o menor de 14 años, [...]
c)El número de la oficina expedidora.
d)Los apellidos, nombre, nacionalidad, fecha y lugar de nacimiento y sexo, así como las fechas de expedición y caducidad del pasaporte. Contendrá, igualmente, la firma digitalizada del titular, a cuyo efecto, para prestarla, deberá acudir a las unidades expedidoras. [...]
e)La fotografía digitalizada del titular.
f)Dos líneas de caracteres OCR [...]” (El subrayado es nuestro) El artículo 10 del Real Decreto 896/2003, dice en el apartado 5: “5. El pasaporte llevará incorporado un chip electrónico que contendrá la siguiente información referida a su titular: datos de filiación, imagen digitalizada de la fotografía, impresiones dactilares de los dedos índices de ambas manos, o los que en su defecto correspondan conforme al siguiente orden de prelación: medio, anular o pulgar.” En consecuencia, la normativa reguladora del pasaporte determina su contenido y conforme a esa disposición se incluye en él, en la página plastificada, el número de DNI del titular. Resulta evidente que, identificada una persona física por el número de pasaporte – que, en este caso, es el dato personal de la reclamante que VODAFONE recabó del adquirente de la línea prepago y mantuvo en sus ficheros durante más de un año- ha sido posible conocer su DNI y los datos que forman parte del contenido de este documento, como el domicilio; dato que, por el contrario, no se incluye en el pasaporte, ni siquiera en el chip electrónico incorporado, al que se refiere el punto 5 del artículo 10 del Real Decreto 896/2003. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/51 2. Fundamentos de la licitud del tratamiento invocados por VODAFONE. La reclamada ha negado en sus alegaciones que el tratamiento que hizo de los datos personales de la reclamante -número de pasaporte, nombre y apellidos- vulnere el artículo 6.1 del RGPD. Sostiene que este tratamiento estaba amparado en dos de las bases de licitud del precepto indicado: (
i)el apartado c), el tratamiento es necesario para el cumplimiento de una obligación legal impuesta al responsable del tratamiento por el Derecho de la Unión o de los Estados Miembros y (
ii)el apartado b), el tratamiento es necesario para la ejecución del contrato. 2.1. Legitimación basada en el apartado
c)del artículo 6.1. RGPD. 2.1.1. VODAFONE sostiene en defensa de que su conducta fue ajustada a Derecho que el tratamiento de los datos personales de la reclamante que es objeto de la reclamación estaba fundado en el apartado
c)del artículo 6.1 del RGPD en conexión con la obligación legal que le impone la Disposición Adicional Única de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones (en adelante la Ley 25/2007) que establece: “Servicios de telefonía mediante tarjetas de prepago. 1. Los operadores de servicios de telefonía móvil que comercialicen servicios con sistema de activación mediante la modalidad de tarjetas de prepago, deberán llevar un libro-registro en el que conste la identidad de los clientes que adquieran una tarjeta inteligente con dicha modalidad de pago. Los operadores informarán a los clientes, con carácter previo a la venta, de la existencia y contenido del registro, de su disponibilidad en los términos expresados en el número siguiente y de los derechos recogidos en el artículo 38.6 de la Ley 32/2003. La identificación se efectuará mediante documento acreditativo de la personalidad, haciéndose constar en el libro-registro el nombre, apellidos y nacionalidad del comprador, así como el número correspondiente al documento identificativo utilizado y la naturaleza o denominación de dicho documento. En el supuesto de personas jurídicas, [...]. 2. Desde la activación de la tarjeta de prepago y hasta que cese la obligación de conservación a que se refiere el artículo 5 de esta Ley, los operadores cederán los datos identificativos previstos en el apartado anterior, cuando para el cumplimiento de sus fines les sean requeridos por los agentes facultados, los miembros de las Fuerzas y Cuerpos de Seguridad del Estado y de los Cuerpos Policiales de las Comunidades Autónomas con competencia para la protección de las personas y bienes y para el mantenimiento de la seguridad pública, el personal del Centro Nacional de Inteligencia en el curso de las investigaciones de seguridad sobre personas o entidades, así como los funcionarios de la Dirección Adjunta de Vigilancia Aduanera. 3. Los datos identificativos estarán sometidos a las disposiciones de esta Ley, respecto a los sistemas que garanticen su conservación, no manipulación o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/51 acceso ilícito, destrucción, cancelación e identificación de la persona autorizada. [...]”. (El subrayado es nuestro) El apartado 3 de la disposición Adicional advierte que “los datos identificativos” estarán sometidos a las disposiciones de la Ley 25/2007. Entre esas disposiciones de la Ley 25/2007 cabe mencionar el artículo 8, “Protección y seguridad de los datos”, que establece: “1. Los sujetos obligados deberán identificar al personal especialmente autorizado para acceder a los datos objeto de esta Ley, adoptar las medidas técnicas y organizativas que impidan su manipulación o uso para fines distintos de los comprendidos en la misma, su destrucción accidental o ilícita y su pérdida accidental, así como su almacenamiento, tratamiento, divulgación o acceso no autorizados, con sujeción a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en su normativa de desarrollo. 2. Las obligaciones relativas a las medidas para garantizar la calidad de los datos y la confidencialidad y seguridad en el tratamiento de los mismos serán las establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y su normativa de desarrollo. 3. El nivel de protección de los datos almacenados se determinará de conformidad con lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, y en su normativa de desarrollo. 4. La Agencia Española de Protección de Datos es la autoridad pública responsable de velar por el cumplimiento de las previsiones de la Ley Orgánica 15/1999, de 13 de diciembre, y de la normativa de desarrollo aplicables a los datos contemplados en la presente Ley.” (El subrayado es nuestro) Las referencias a la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD) deben entenderse hechas actualmente al RGPD y a la LOPDGDD. Por tanto, el tratamiento de datos personales que los operadores efectúen al amparo de la Ley 25/2007 está sujeto, en todo caso, a la normativa de protección de datos de carácter personal. Así lo confirma, además, el Consejo de Estado en su Dictamen 32/2007, de 22 de febrero de 2007, emitido en relación con el Anteproyecto de Ley de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones en el que, por lo que respecta a los datos tratados en aplicación de la Disposición Adicional Única, menciona, reiterándolo, el criterio del Gabinete Jurídico de la AEPD en su informe: “La llevanza del libro-registro aludido supondrá un tratamiento de datos, como señala la AEPD, que en todo punto deberá resultar conforme con lo dispuesto en la Ley Orgánica 15/1999; ahora bien, podrán establecerse especialidades o excepciones en aquellos aspectos en los que esa ley orgánica permite que las mismas se establezcan mediante ley (por ejemplo, artículo 6.1 y 11.2.a).” 2.1.2. Disposición Adicional Única de la Ley 25/2007. Es necesario examinar a continuación cuál es el contenido y la razón de ser de la obligación que la disposición Adicional Única de la Ley 25/2007 impone a los operadores de telefonía, en este supuesto a VODAFONE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/51 La necesidad de determinar el alcance de esa obligación legal deriva de que es en ella, en conexión con el artículo 6.1.
c)del RGPD, en la que la reclamada pretende fundar la licitud del tratamiento objeto de la reclamación y de que, en sus alegaciones al acuerdo de inicio, se ha referido a la disposición Adicional Única como “la vara de medir que debe ser tomada por Vodafone y el resto de los operadores.” La finalidad perseguida con la obligación recogida en esa disposición es contribuir a la lucha contra la delincuencia, dotando a las autoridades que tienen la competencia de velar por la seguridad pública de un instrumento que les permita controlar el uso de esos dispositivos con fines delictivos. El Preámbulo de la Ley 25/2007, apartado II penúltimo párrafo dice: “En las disposiciones contenidas en la parte final se incluyen contenidos diversos. Por un lado, y a los efectos de poder establecer instrumentos para controlar el empleo para fines delictivos de los equipos de telefonía móvil adquiridos mediante la modalidad de prepago, se establece, como obligación de los operadores que comercialicen dicho servicio, la llevanza de un registro con la identidad de los compradores.” Sobre el contenido de la obligación impuesta hay que destacar que no se reduce a que los operadores dejen constancia en un libro-registro de la “identidad” de la persona que adquiere una tarjeta prepago (“llevar un libro-registro en el que conste la identidad de los clientes que adquieran una tarjeta”). La norma no obliga únicamente al operador a llevar un libro-registro con la “identidad” del adquirente de la tarjeta inteligente. Esa conducta está precedida de una doble obligación a la que queda sujeto el operador responsable del tratamiento: la “identificación” del adquirente de la tarjeta prepago y el empleo para efectuar tal “identificación” de un medio específico (“mediante un documento acreditativo de la personalidad”). El diccionario de la Real Academia de la Lengua Española (RAE) define el término “identificación” como “acción y efecto de identificar o identificarse” y el término “identificar” como “Reconocer si una persona o cosa es la misma que se supone o se busca.” El término “identidad” (en su segunda acepción) como “conjunto de rasgos propios de un individuo o de una colectividad que los caracterizan frente a los demás”. Se concluye así que la disposición Adicional examinada obliga al operador, con carácter previo a la recogida de datos personales en el libro-registro, a “reconocer” que los datos de identidad que el adquirente de la tarjeta inteligente le ha facilitado coinciden, son los mismos, que figuran en el documento acreditativo de su personalidad. En definitiva, en el contexto en el que es aplicable la disposición Adicional Única -el de la adquisición de las tarjetas prepago- la obligación de “identificar” que recae sobre el operador se traduce en “reconocer” si los datos de identidad, esto es, los elementos o rasgos con los que se ha caracterizado ante él la persona que pretende adquirir una tarjeta inteligente -el nombre, apellidos, número del documento identificativo facilitado y naturaleza del documento e incluso su imagen física- son los que figuran en el “documento” “acreditativo de la personalidad”. La ley 25/2007 obliga al operador a que el reconocimiento que tiene que hacer de que la persona del adquirente “es la misma que se supone [..].”, se lleve a cabo a través de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/51 un “documento acreditativo de la personalidad”. En nuestro ordenamiento jurídico, si bien ese documento es, por excelencia, el “documento nacional de identidad” o “DNI”, único que por sí solo prueba la identidad de su titular, se contempla también el pasaporte entre los medios que identifican a la persona física. La Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana (en adelante Ley Orgánica 4/2015) dedica el Capítulo II a la “Documentación e identificación personal”. De acuerdo con lo establecido en su capítulo II los documentos que cumplen la finalidad de identificar a las personas son: (
i)el DNI, regulado en los artículos 8 a 10 que define el artículo 8.1. como “un documento público y oficial y tendrá la protección que a estos otorgan las leyes. Es el único documento con suficiente valor por sí solo para la acreditación, a todos los efectos, de la identidad y los datos personales de su titular.” (
ii)el pasaporte, regulado en el artículo 11. (iii) la acreditación de la identidad de los ciudadanos extranjeros, artículo 13. El artículo 11, “Pasaporte de ciudadanos españoles”, dispone que “1. El pasaporte español es un documento público, personal, individual e intransferible que, salvo prueba en contrario, acredita la identidad y nacionalidad de los ciudadanos españoles fuera de España, y dentro del territorio nacional, las mismas circunstancias de los españoles no residentes.” (El subrayado es nuestro) La referencia que la disposición Adicional de la Ley 25/2007 hace al medio de identificación, al “documento” acreditativo de la personalidad, implica que el operador tiene que acceder materialmente al documento. Queda descartado el uso de la fotocopia, ya que carece de las garantías de seguridad de las que goza el documento original. Por lo que concierne al pasaporte nos remitimos al Real Decreto 896/2003 que en su artículo 10 regula el contenido del pasaporte y establece en el apartado 5: “5. El pasaporte llevará incorporado un chip electrónico que contendrá la siguiente información referida a su titular: datos de filiación, imagen digitalizada de la fotografía, impresiones dactilares de los dedos índices de ambas manos, o los que en su defecto correspondan conforme al siguiente orden de prelación: medio, anular o pulgar.” 2.1.3. Tratamientos cuya licitud puede ampararse en el artículo 6.1.
c)del RGPD en conexión con la disposición Adicional Única. A tenor de lo expuesto, es obligado concluir que el artículo 6.1.
c)del RGPD, en conexión con la disposición Adicional Única de la Ley 25/2007, es un fundamento válido de la licitud del tratamiento que los operadores de telefonía hagan de los datos personales de los que sean titulares los adquirentes de tarjetas inteligentes. Siempre que el tratamiento de datos que la operadora efectúe se ciña y tenga únicamente como finalidad cumplir las previsiones de la Ley 25/2007. Debe advertirse, en ese sentido, que el apartado
c)del artículo 6.1 del RGPD en conexión con la Ley 25/2007 no ampara el tratamiento que las operadoras realicen para finalidades distintas de la perseguida por la disposición Adicional Única, de los datos recabados en cumplimiento de esa disposición, como por ejemplo los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/51 conectados con el desarrollo y ejecución del contrato. Los tratamientos que eventualmente realice el operador con otra finalidad deberán estar fundados en alguna de las bases jurídicas descritas en el artículo 6.1. del RGPD distinta de la que se ha mencionado. Respecto al supuesto que nos ocupa, debemos concluir que no es posible aceptar la tesis de la reclamada y amparar la licitud del tratamiento que VODAFONE hizo de los datos personales de la reclamante, el número de su pasaporte y su nombre y apellidos, en la base jurídica del apartado
c)del artículo 6.1 del RGPD en relación con la disposición Adicional Única de la Ley 25/2007. La obligación que la Ley 25/2007 impone a los operadores de telefonía, conectada con el artículo 6.1.
c)del RGPD, habilita a los operadores, exclusivamente, a tratar los datos de los que sean titulares las personas que adquieran una tarjeta prepago; de manera que el tratamiento de un dato que no identifique al adquirente de ese tipo de servicios queda fuera de la cobertura de la precitada disposición Adicional. Hay que rechazar por ello la afirmación de VODAFONE según la cual viene obligada por la Ley 25/2007 a tratar el "nombre y apellidos del comprador", así como el "número correspondiente al documento identificativo utilizado" por el comprador de la tarjeta prepago”. (El subrayado es de VODAFONE) Como se ha indicado anteriormente, en el tratamiento de datos que los operadores lleven a cabo en cumplimiento de la Ley 25/2007 es preceptivo respetar siempre la normativa de protección de datos. Es más, la Ley 25/2007 prevé expresamente que se apliquen a los datos que en ella se mencionan las obligaciones que establece el RGPD (antes LOPD) para garantizar la calidad de los datos. En el contexto de la disposición Adicional Única de la Ley 25/2007, la inexactitud de los datos que el operador vincula al adquirente de una tarjeta prepago -especialmente si el dato es el número del pasaporte, pues identifica inequívocamente a los ciudadanos españoles salvo prueba en contrario- impide que ese tratamiento se repute lícito sobre la base del artículo 6.1.
c)del RGPD en conexión con la disposición de la Ley 25/2007. Disposición que, como se ha dicho, impone al operador la obligación de recoger los datos que identifiquen al adquirente de la tarjeta inteligente pero no los datos de terceras personas. Las razones expuestas conducen a rechazar las alegaciones de VODAFONE al acuerdo de inicio de este procedimiento, en las que sostiene que la circunstancia de que el dato del NIF sea erróneo resulta irrelevante y en nada afecta a la licitud del tratamiento efectuado. La reclamada ha dicho: “Vodafone está obligada por la Ley 25/2007 a tratar el "nombre y apellidos del comprador", así como el "número correspondiente al documento identificativo utilizado" por el comprador de la tarjeta prepago; cuestión distinta es que dichos datos resulten ser erróneos, pero ello no podrá suponer, en ningún caso, una infracción del artículo 6.1 del RGPD.” (El subrayado es de VODAFONE) Por otra parte, VODAFONE ha reconocido en sus alegaciones al acuerdo de inicio (alegación tercera) que el dato del pasaporte de la reclamante que fue objeto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/51 tratamiento vinculado a la línea prepago no pertenecía al adquirente de la tarjeta. La entidad ha dicho: “[...], pueden existir casos, como el presente, en el que Vodafone trate datos personales que no pertenecen al solicitante de la tarjeta prepago, sino a un tercero (el Reclamante). Es lo que ha sucedido en este caso: es una evidencia y no lo negamos.” Resulta así que la conducta de VODAFONE que es objeto de análisis en este expediente sancionador constituye un tratamiento ilícito de los datos personales de la reclamante -su número de pasaporte y su nombre y apellidos- y vulnera el artículo 6.1 del RGPD. La reclamada trató el dato del número de pasaporte de la reclamante y no el del adquirente del servicio prepago, único dato que estaba habilitada para recoger a tenor de la obligación legal cuyo cumplimiento ha invocado: la disposición Adicional Única de la Ley 25/2007. 2.1.4. Sobre la pretendida inexistencia de culpabilidad. Estando acreditada la existencia de una conducta antijurídica de VODAFONE -el tratamiento de los datos de la reclamante sin base jurídica- la cuestión se centra en determinar si de tal conducta puede nacer responsabilidad administrativa sancionadora. La reclamada ha solicitado en sus alegaciones, con carácter subsidiario, que esta Agencia acuerde el archivo del procedimiento por inexistencia de culpabilidad. VODAFONE dedicó la alegación segunda de su escrito de alegaciones al acuerdo de inicio a defender que, respecto a la conducta antijurídica que ha quedado acreditada, no intervino culpabilidad de ningún tipo por su parte y a solicitar, en consecuencia, que se procediera al archivo del expediente por inexistencia del necesario elemento de la culpabilidad. Invocó distintos argumentos para justificar la ausencia de culpabilidad de su conducta: un fraude que “ha generado que en los sistemas de mi representada se haya registrado una línea de prepago a nombre de la reclamante utilizando un pasaporte inválido. En este caso, desde Vodafone se implementaron las medidas de seguridad necesarias y el tercero que cometió el fraude superó la Política de Seguridad para Clientes Particulares, aportando la información de la interesada que habría obtenido por medios ilícitos o fraudulentos.” Una práctica delictiva en la que un tercero superó los controles establecidos (estamos “ante una práctica delictiva llevada a cabo por un tercero quien, actuando con dolo, ha suplantado la identidad de la Reclamante al solicitar el alta de una tarjeta prepago en nombre de la Reclamante, superando los controles establecidos por Vodafone.”). O la existencia de un error humano que, dice, es inevitable y no puede controlar (“[...], el hecho de tratar datos personales que pertenecían a la Reclamante se ha debido a la existencia de un error humano, que son inevitables y sobre los que Vodafone no puede tener un control efectivo. [...], pueden existir casos, como el presente, en el que Vodafone trate datos personales que no pertenecen al solicitante de la tarjeta prepago, sino a un tercero (el Reclamante). Es lo que ha sucedido en este caso: es una evidencia y no lo negamos.”) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/51 La responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico. En el ámbito del Derecho Administrativo sancionador rige el principio de culpabilidad, de forma que el elemento subjetivo o culpabilístico es una condición indispensable para que nazca la responsabilidad sancionadora. El artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP) regula el principio de culpabilidad y dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto, la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica cabe citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]” (El subrayado es nuestro) La decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que las circunstancias del caso exigían. Así lo reconoce la misma operadora reclamada cuando se hace eco del pronunciamiento de la STS de 23/01/1998 en la que, según manifiesta, el Tribunal declara que “para la exculpación no bastará la invocación de la ausencia de culpa, sino que será preciso que se haya empleado la diligencia que era exigible por quien aduce su inexistencia.” En cumplimiento del principio de culpabilidad la AEPD ha acordado en numerosas ocasiones el archivo de procedimientos sancionadores en los que no concurría el elemento de la culpabilidad del sujeto infractor. Supuestos en los que, pese a existir un comportamiento antijurídico, había quedado acreditado que el responsable había obrado con toda la diligencia que resultaba exigible, por lo que no se apreciaba culpa alguna en su conducta. Ese ha sido el criterio mantenido por la Sala de lo Contencioso Administrativo, sección 1ª, de la Audiencia Nacional. Pueden citarse, por ser muy esclarecedoras, las siguientes sentencias: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/51 - SAN de 26 de abril de 2002 (Rec. 895/2009) que dice: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la AEPD) - SAN de 29 de abril de 2010, Fundamento Jurídico sexto, que, a propósito de una contratación fraudulenta, indica que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. (El subrayado es nuestro) En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de responsabilidad proactiva), según el cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/51 técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” (El subrayado es nuestro) El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”, dispone: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.[...]” (El subrayado es nuestro) Cabe preguntarse cuáles son los parámetros de la diligencia debida que VODAFONE debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar era la precisa para cumplir las obligaciones que le impone la disposición Adicional Única de la Ley 25/2007, en relación con los artículos 5.2, 24 y 25 del RGPD, a la luz de la doctrina de la Audiencia Nacional y la jurisprudencia del Tribunal Supremo. Es plenamente aplicable al caso, pese a haberse dictado durante la vigencia de la Ley Orgánica 15/1999, la SAN de 17 de octubre de 2007 (Rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. (El subrayado es de la AEPD) VODAFONE defiende que, en el cumplimiento de la obligación que le impone la Ley 25/2007, observó toda la diligencia que era exigible. Para comprobar la realidad de esta afirmación nada mejor que examinar cuáles fueron las medidas efectivamente adoptadas por la reclamada dirigidas a la adecuada identificación del adquirente de un servicio prepago. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/51 Se preguntó a VODAFONE en fase de prueba cómo podía acreditar ante la AEPD que el punto de venta había recabado de la persona que solicitó la contratación de la línea prepago su documento de identidad original (no fotocopia); que el punto de venta había verificado su identidad y que había recabado del citado documento los datos de identidad del cliente. La reclamada respondió en estos términos: “Como se indicó en el escrito de Alegaciones al Acuerdo de Inicio, CSQ se obligó a trasladar al punto de venta la "obligación imprescindible de identificar PRESENCIALMENTE al Cliente/Comprador mediante su tarjeta identificativa original". Además, se especifica que "la documentación a presentar por las personas físicas consiste en el "DNI o NIF" o en el "Pasaporte o NIE" (Documento 4 del escrito de Alegaciones al Acuerdo de Inicio). A su vez, esta obligación fue trasladada al punto de venta (D.D.D.), tal y como acredita el Documento 6 aportado con este escrito: "
b)Con carácter previo a la venta, el Punto de Venta identificará al Cliente Final mediante la validación presencial de un documento acreditativo de su identidad, que ha de ser válido original y estar en vigor. En concreto: • Los datos obligatorios para las personas físicas son: Nombre, Apellidos, Nacionalidad, Tipo y número de documento (DNI, NIF, Pasaporte, Tarjeta de Residencia). • [..]. • En ambos casos, es obligatorio identificar presencialmente al Comprador mediante la documentación original solicitada en cada caso, y comprobar que los datos proporcionados y los grabados en el sistema de activación de CSQ son correctos, veraces y están actualizados y se corresponden con la documentación proporcionada.” (El subrayado es nuestro) Efectivamente ambos contratos, el de Distribución Mayorista y el suscrito entre ese distribuidor y el punto de venta, recogían la obligación de identificar presencialmente al cliente mediante un documento original y, además, el primero de ellos la obligación de informar al punto de venta de esa obligación. Por otra parte, la única previsión que existe en los contratos citados - Distribución Mayorista y el suscrito entre el mayorista y el Punto de Venta- que pudiera interpretarse como un intento, aunque sea formal, de controlar el cumplimiento de las obligaciones asumidas por encargado y sub encargado, es la de que el Distribuidor Mayorista emita un documento en el que certifique que ha informado a los puntos de venta de la obligación de identificar a los adquirentes de las tarjetas prepago en los términos previstos en la Disposición Adicional de la Ley 25/2007 y en el contrato de Distribución Mayorista celebrado con VODAFONE. El certificado no ha sido aportado por VODAFONE en prueba de la actuación diligente que dice observar. La estipulación 12.2 del contrato de “Distribución Mayorista Prepago No exclusiva Vodafone”, celebrado entre la reclamada y CSQ dice: “Asimismo, el Mayorista dará traslado de todas las obligaciones en materia de protección de datos de carácter personal a los puntos de venta Minoristas y certificará haber dado traslado de estas obligaciones mediante la firma de un certificado estándar que se adjunta como Anexo IV”. (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/51 El Anexo II al contrato de Distribución Mayorista - “Recogida de datos. Contrato de Distribución Mayorista”- dice en su estipulación primera: “El Mayorista deberá trasladar al Punto de Venta minorista, mediante la suscripción de un acuerdo que recoja la obligaciones relacionadas en el presente anexo, la obligación imprescindible de identificar PRESENCIALMENTE al Cliente/Comprador mediante su tarjeta identificativa original. La documentación a presentar por las personas físicas, según su nacionalidad y situación, es la siguiente: “-Para nacionales españoles, DNI o NIF. -Para ciudadanos de la Comunidad Europea se acepta DNI, Tarjeta de residencia o Pasaporte -Para ciudadanos de fuera de la Comunidad Europea, Pasaporte o NIE.” (El subrayado es nuestro) La estipulación segunda del Anexo dice: “Datos a recabar de los compradores de servicios de prepago”, dice en su apartado 1: “Persona física”: “El Mayorista deberá trasladar al Punto de Venta minorista la obligación de recabar los siguientes datos de carácter obligatorio: Nombre, Apellidos, Nacionalidad; Tipo y número de Documento (DNI, NIF, Pasaporte, Tarjeta de Residencia).” Obra en el expediente, aportado por VODAFONE, el contrato que CSQ celebró con el Punto de Venta minorista que intervino en la contratación del servicio prepago objeto de este expediente sancionador, D.D.D., y el encargo de tratamiento suscrito entre ambos (Documento 6) Entre las condiciones que integran ese documento figuran las “Condiciones específicas para la distribución de productos físicos que requieren la identificación del Usuario Final como paso previo para la venta, activación y/o suscripción de productos o servicios.” En su estipulación 3, “Medidas de Seguridad”, se establece que: “El Punto de Venta minorista se compromete a implantar las medidas de seguridad técnicas y organizativas necesarias para: [...] Con respecto a la identificación y registro, el punto de venta no podrá vender ninguna SIM sin haber completado el siguiente procedimiento:
a)
b)Con carácter previo a la venta, el Punto de Venta identificará al Cliente Final mediante la validación presencial de un documento acreditativo de su identidad, que ha de ser válido original y estar en vigor. En concreto: • Los datos obligatorios para las personas físicas son: Nombre, Apellidos, Nacionalidad, Tipo y número de documento (DNI, NIF, Pasaporte, Tarjeta de Residencia). • Los datos obligatorios para las personas jurídicas [...] • En ambos casos, es obligatorio identificar presencialmente al Comprador mediante la documentación original solicitada en cada caso, y comprobar que los datos proporcionados y los grabados en el sistema de activación de CSQ son correctos, veraces y están actualizados y se corresponden con la documentación proporcionada.
c)C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/51 [...] Con carácter previo a la identificación y registro de los datos, el Punto de Venta informará al Cliente Final sobre la obligación legal de identificarse en los términos del párrafo anterior y facilitar toda la información allí señalada, indicándole que el suministro de la misma es obligatorio para la activación y prestación del servicio.” Resulta también llamativa la falta de diligencia demostrada por VODAFONE en su obligación de llevar un Registro de Actividades de Tratamiento (RAT), carencia que repercute directamente en la probabilidad de que se adopten las medidas oportuna para garantizar el cumplimiento del principio de licitud respecto de un dato como el NIF cuyo tratamiento no consta registrado. El artículo 30 del RGPD obliga a que se describan en él, entre otros, “las categorías de datos personales”. En respuesta a la petición hecha a la reclamada en fase de prueba para que aportara el RAT, el documento que ha facilitado versa exclusivamente sobre la actividad de los Distribuidores -Franquicias- y no hace ninguna referencia al dato del NIF o de los documentos identificativos que han de recabarse con ocasión de la venta de productos prepago. Tampoco menciona ninguna de las bases legales que ha invocado como fundamento jurídico del tratamiento (artículos 6.1.c, del RGPD en relación con la disposición Adicional de la Ley 25/2007 y 6.1.
b)sino que contempla como base legal que “las personas han dado su consentimiento para el tratamiento de sus datos personales para una o varias finalidades”. La política de seguridad de VODAFONE que esa entidad alega que fue superada por quien actuando con dolo suplantó la identidad de la reclamante, se reduce, en la práctica, a incluir en los contratos suscritos con el distribuidor mayorista y entre éste y los punto de venta la obligación de identificar al adquirente del servicio prepago con arreglo a la disposición Adicional de la Ley 25/2007. No se contempla la adopción de ninguna medida específica conforme a los artículos 5.2, 24 y 25 del RGPD para acreditar el cumplimiento de la obligación que se deriva para VODAFONE de la Ley 25/2007. En definitiva, no ha existido una conducta proactiva concretada en la adopción de medidas técnicas y organizativas apropiadas para aplicar de forma efectiva los principios de protección de datos. Resulta por ello que, como se indicó en el acuerdo de inicio, la política de seguridad de VODAFONE es claramente ineficaz e insuficiente, está muy por debajo de las posibilidades que el desarrollo técnico actual ofrece y no toma en consideración el evidente riesgo que la contratación de los servicios que comercializa representa para los derechos y libertades de las personas Finalmente se trae a colación lo alegado por VODAFONE a propósito de las consideraciones que se hicieron por la Agencia en el acuerdo de inicio de este procedimiento: Se dijo en el acuerdo de inicio que “el principio de responsabilidad proactiva (artículo 5.2 RGPD) obliga al responsable a adoptar las medidas necesarias para estar en condiciones de demostrar que el tratamiento estaba fundado en alguna de las circunstancias que relaciona el artículo 6.1. RGPD; por lo que aquí interesa, que la persona que contrató la línea controvertida y se identificó con el nombre y dos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/51 apellidos de la reclamante y con el número de pasaporte ***REFERENCIA.2, era realmente titular de los datos facilitados como propios.” Se añadió que “para que el tratamiento de datos efectuado por la reclamada pudiera estar fundado en alguna de las circunstancias legitimadoras del tratamiento sería preciso que, en su condición de responsable del tratamiento, pudiera acreditar que la titular de los datos tratados fue efectivamente quien los facilitó y suscribió con ella el contrato al que se vincularon.” Se indicó además que, “Sin embargo, la reclamada no ha aportado con su respuesta a la petición informativa previa a la admisión a trámite de esta reclamación ningún documento que o elemento probatorio que acredite cuál es el fundamento jurídico del tratamiento efectuado. Tampoco ha aportado ningún documento que demuestre el origen de los datos tratados -que fueron facilitados por la persona que celebró el contrató- ni que con ocasión de la contratación recabó y obtuvo del contratante la documentación que acreditaba que era el titular de los datos facilitados como suyos.” “En ese sentido, la reclamada tampoco proporcionó a la SETID, en el marco del procedimiento instado ante ella por la reclamante, la documentación del contrato vinculado a la línea controvertida, argumentando entonces que no constaba ningún contrato vinculado al NIF de la reclamante habida cuenta de que en la contratación la persona que intervino no se identificó con ese dato sino con un número de pasaporte.” Por todo ello, en el acuerdo de apertura se estimaba que la política de seguridad de VODAFONE era claramente ineficaz e insuficiente y se advertía, además, que esa falta de solidez de las medidas incidía en la graduación de la sanción de multa debiendo aplicarse como agravante la circunstancia del artículo 83.2.
d)del RGPD relativa al “grado de responsabilidad del responsable (...) habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32.” Frente a esas consideraciones hechas por la AEPD en el acuerdo de apertura, VODAFONE manifestó en sus alegaciones lo siguiente: “Por lo demás, en su Acuerdo de Inicio la Agencia estaría exigiendo a Vodafone y, por extensión a miles de puntos de venta de Vodafone y del resto de operadoras de telefonía, que se implementaran medidas como, por ejemplo, un software de escaneo y verificación de DNIs y pasaportes. Lo anterior supone exigir a Vodafone un grado de diligencia totalmente desmedido y fuera del estándar de mercado: no sólo es superior a los estándares que dicta la normativa aplicable (nos remitimos a la Ley 25/2007), sino que no se sigue ni tan siquiera en actuaciones tan sensibles como el ejercer el derecho a voto. Dicho esto, si la Agencia pretende modificar esos requerimientos y aumentar las exigencias de identificación hasta tales extremos, en ningún caso podrá acusarse a Vodafone de negligencia o de falta de solidez de las medidas tomadas en este momento, sino que primero deberían establecerse las reglas y posteriormente, en su caso, sancionar a la operadora que no las aplique, pero lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/51 que no es conforme a Derecho es pretender utilizar directamente la vía sancionadora como método de fijación de los parámetros de seguridad exigibles.” (El subrayado es nuestro) Las reflexiones que se hicieron en el acuerdo de apertura, que se ratificaron en la propuesta y que se reiteran ahora, no son un intento de la Agencia de “aumentar” “las exigencias en materia de identificación incorporando obligaciones de conservación y verificación técnica de documentos”. En contra de lo que VODAFONE opina, la AEDP se ha limitado a examinar la suficiencia de las medidas que VODAFONE tenía establecidas para acreditar la identidad de quien contrata con ella un servicio prepago en cumplimiento de la disposición Adicional de la Ley 25/2007, a la luz de los artículos 5.2, 24 y 25 del RGPD. 2.2. Legitimación basada en el apartado
b)del artículo 6.1. RGPD. VODAFONE manifestó en sus alegaciones al acuerdo de apertura que el tratamiento de los datos de la reclamante podría estar amparado en la base jurídica del artículo 6.1.
b)del RGPD: “el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;” Como la reclamada reconoció en sus alegaciones al acuerdo de inicio, vinculados a la contratación del servicio prepago trató datos personales que no pertenecían al adquirente de la tarjeta prepago, sino a un tercero, a la reclamante. Así pues, la reclamante no fue parte en el contrato del servicio prepago. La base jurídica del artículo 6.1.
b)que se invoca como fundamento de la licitud del tratamiento opera respecto al tratamiento de datos personales que es necesario para ejecutar un contrato en el que el interesado (el titular de los datos) ha sido parte. Por ello resulta obligado concluir que tampoco concurre en el tratamiento de los datos personales de la reclamante efectuado por VODAFONE este motivo de licitud, apartado
b)del artículo 6.1. RGPD. Tampoco podría prosperar respecto a esa base jurídica la pretendida ausencia del elemento de la culpabilidad. Nos remitimos sobre este extremos a los apartados precedentes, epígrafe 2.1.4. En atención a lo expuesto, respecto al tratamiento de los datos personales de la reclamante efectuado por VODAFONE, se concluye que esa entidad, en calidad de responsable del tratamiento, incurrió en una infracción del artículo 6.1. del RGPD, tipificada en el artículo 83.5.
a)RGPD, precepto que establece: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/51
a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;”. El artículo 72.1.
b)de la LOPDGDD califica de infracción muy grave “El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” El plazo de prescripción de las infracciones muy graves es de tres años. IV Sanción de multa: Determinación del importe El artículo 58.2 del RGPD atribuye a las autoridades de control diversos poderes correctivos entre los que menciona, apartado i), la imposición de una multa administrativa con arreglo al artículo 83 del RGPD. En el presente caso se acuerda imponer a VODAFONE, como responsable del tratamiento, por la infracción del artículo 6.1 del RGPD que se le atribuye, una sanción de multa administrativa. En la determinación del importe de la multa que se deba imponer hay que observar las previsiones de los artículos 83.1 y 83.2 del RGPD. Conforme al artículo 83.1 “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” El artículo 83.2 establece: “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artícu

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.