PS-00425-2023

1/28  Expediente N.º: EXP202301160 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 14 de diciembre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada o Vodafone). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que un tercero sin su consentimiento solicitó el día 2 de diciembre de 2022 un duplicado de su tarjeta SIM de la marca LOWI de Vodafone, que no cumplió con las medidas de seguridad y de protección de datos al entregar la nueva tarjeta SIM a un tercero, sin identificarle correctamente. Como consecuencia de lo sucedido tuvieron acceso a sus datos personales y a sus cuentas bancarias, realizando transferencias y bizums, ocasionándole graves perjuicios. Señala que se puso en contacto con la reclamada para informarse acerca de lo ocurrido y no recibió una respuesta satisfactoria. Y, aporta la siguiente documentación relevante: Correos electrónicos de fechas 9 y 13 de diciembre de 2022 enviados por la reclamante a la marca LOWI de la parte reclamada. Contestación de LOWI de fecha 9 de diciembre de 20222. Denuncias interpuestas ante la Guardia Urbana del Ayuntamiento de L´Hospitalet. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 6 de febrero de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 16 de marzo de 2023 se recibe en esta Agencia escrito de respuesta indicando: << en fecha 1 de diciembre de 2022 se tiene constancia de la solicitud de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/28 un duplicado SIM realizada desde el área privada de cliente del reclamante, a la cual se accede mediante dirección de correo electrónico o número de teléfono móvil y la contraseña establecida. Dicha petición se produjo sin que se haya tenido constancia previamente de un acceso indebido al área de cliente ni de un acceso no autorizado a los datos del cliente, constando únicamente de manera previa dos llamadas telefónicas a los servicios de atención al cliente en las que se solicitaba la modificación en la dirección de correo electrónico del cliente, vinculada al acceso a su área privada. Dicho trámite no pudo ser completado con éxito al no aportar correctamente toda la información prevista en la Política de Seguridad de Vodafone para verificar la identidad del llamante (en particular, la comprobación de los dígitos de la cuenta bancaria vinculada al servicio contratado). Lo cual no implica, en principio, ninguna presunción de actuación fraudulenta o ajena al titular del servicio, sino que simplemente conlleva la imposibilidad de realizar el trámite solicitado a través de ese canal. Asimismo, Vodafone no ha detectado ningún acceso no autorizado por parte de un tercero a sus sistemas internos o bases de datos en los que se almacenan los datos del reclamante, ni ningún otro incidente de seguridad que haya supuesto la fuga de datos o contraseñas del reclamante. Consecuentemente, la información relativa a la dirección de correo electrónico / número de teléfono y la contraseña de acceso al área privada de cliente de la reclamante no se produjo como resultado de una fuga de datos en los sistemas internos de Vodafone o como consecuencia de una actuación negligente por parte de los agentes del servicio de Atención al Cliente de Vodafone. En su caso, de haber existido un acceso ilícito al área privada, el presunto infractor debía conocer o haber obtenido previamente las credenciales de acceso de la reclamante, lo que le permitió acceder al área privada y solicitar un duplicado de SIM sobre la línea telefónica de la reclamante. Así las cosas, entendemos que lo ocurrido queda fuera del ámbito de responsabilidad de mi mandante pues los clientes o interesados tienen la responsabilidad de custodiar debidamente sus datos personales y de establecer una contraseña con la robustez suficiente, estando únicamente dentro de la esfera de control de mi mandante la adecuada definición de los procedimientos, sistemas, controles y medidas de seguridad aplicables en función de la criticidad del tratamiento que aseguren la correcta identificación del titular de los datos personales. En la solicitud de duplicado SIM realizada desde el área privada de cliente se facilitó como dirección postal de entrega una dirección distinta a la dirección de facturación. Posteriormente, el duplicado SIM es efectivamente entregado en la dirección indicada en fecha 2 de diciembre de 2022, a las 12:31 horas. Para dicha entrega, se requirió la identificación del receptor, quien en este caso proporcionó el nombre y apellidos y el DNI de la reclamante, firmando el albarán de entrega como si fuese la propia reclamante. Vodafone ha podido comprobar que se efectuaron distintas acciones presuntamente fraudulentas sobre la línea de telefonía móvil perteneciente a la reclamante. Previo a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/28 la incidencia objeto de la reclamación, en fecha 30 de noviembre de 2022, se produjeron dos intentos de cambio de la dirección de correo electrónico por vía telefónica, supuestamente para poder acceder al área privada de cliente. Sin embargo, dicha petición no fue llevada a cabo al no superar la Política de Seguridad, en la medida en que los dígitos de la cuenta bancaria facilitados por la reclamante en aplicación de la Política de Seguridad no coincidían con la numeración obrante en los sistemas internos. Pese a lo cual, y a pesar de no haberse obtenido el cambio de dirección de correo electrónico que facultaría a la persona llamante a lograr el acceso al área privada de cliente, se tramitó de forma online una petición de duplicado de SIM, en fecha 1 de diciembre de 2022, a través del área privada de cliente. En vista de los hechos acontecidos, una vez que la reclamante se percató de los hechos denunciados, el día 2 de diciembre de 2022, se puso en contacto con mi representada indicando que las gestiones anteriores se habían realizado supuestamente sin su consentimiento, siendo este el primer momento en que Vodafone tuvo conocimiento de los hechos objeto de reclamación. En este sentido, mi representada procedió a realizar las investigaciones y gestiones oportunas a fin de resolver la incidencia acontecida. Por ello, tras verificar Vodafone que estaba ante gestiones que, pese a tener la apariencia de veraces, eran de carácter fraudulento; procedió a desactivar la tarjeta SIM fraudulenta y gestionar el cambio de titular para rectificar esta incidencia, activando sobre la cuenta de cliente de la reclamante medidas de seguridad adicionales para evitar cualquier otro perjuicio a la reclamante. Por tanto, mi representada logró solventar la incidencia objeto de reclamación de forma efectiva con anterioridad a la recepción del presente requerimiento por parte de la Agencia>>. TERCERO: De conformidad con el artículo 65 de la LOPDGDD, cuando se presentase ante la Agencia Española de Protección de Datos (en adelante, AEPD) una reclamación, ésta deberá evaluar su admisibilidad a trámite, debiendo notificar a la parte reclamante la decisión sobre la admisión o inadmisión a trámite, en el plazo de tres meses desde que la reclamación tuvo entrada en esta Agencia. Si, transcurrido este plazo, no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en el Título VIII de la Ley. Dicha disposición también resulta de aplicación a los procedimientos que la AEPD hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes. En este caso, teniendo en cuenta lo anteriormente expuesto y que la reclamación se presentó en esta Agencia, en fecha 14 de diciembre de 2022, se comunica que su reclamación ha sido admitida a trámite, el día 14 de marzo de 2023, al haber transcurrido tres meses desde que la misma tuvo entrada en la AEPD. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/28 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Sobre la recogida de la tarjeta SIM en el domicilio. Se ha solicitado a la parte reclamada documentación acreditativa de haber efectuado la verificación de la identidad de la persona que recogió el duplicado SIM en el domicilio, indicándole que no consta firma en el albarán que aporta, por lo que se pide motivo de ello o copia de documento firmado. Se verifica que en el albarán consta el literal “correos express”. Indica al respecto que ha procedido a realizar las investigaciones oportunas a fin de poder aportar la información que se solicita y que su Política de Seguridad aplicable al duplicado de tarjeta SIM exige la verificación de la identidad del receptor del duplicado SIM de la línea telefónica, con el objetivo de confirmar la identidad del cliente y evitar acciones fraudulentas. Manifiesta que no obstante lo anterior, tras las investigaciones practicadas, ha podido comprobar que, en el presente caso y de manera extraordinaria, no cuenta con acreditación de firma del albarán de entrega de la tarjeta SIM. No aporta acreditación documental del tipo de entrega que se efectuó en este caso, ni documentación adicional sobre si los servicios contratados incluyen la verificación de la identidad del receptor como tal. No se cita dicha verificación de identidad en el contrato, que sí menciona, como servicio adicional si los servicios contratados así lo incluyen, la verificación de la autenticidad del DNI del receptor (mediante la comprobación de la existencia de indicios de falsificación), y la obtención de copia del DNI, la cual no aporta. No aporta acreditación documental de la contratación adicional del este servicio. No aporta tampoco acreditación documental de haber exigido como cliente la acreditación de la recepción mediante el registro del nombre y apellidos del receptor de la entrega y su DNI junto a la captura de su firma, constando en el contrato que se realiza “en aquellos supuestos en los que así lo exija el Cliente”. Sobre la solicitud. Se ha solicitado así mismo documentación acreditativa de que la solicitud del duplicado SIM de fecha 1 de diciembre de 2022 se realizó desde el área privada del cliente. Vuelve a manifestar la parte reclamada que fue realizado por dicho canal y aporta impresión de un registro del Sistema de Información con relación a una orden del 01/12/2022 a las 13:23h donde constan los datos de la reclamante, siendo la orden del tipo “SIM_SWAP” (cambio de SIM) y constando como canal “WEB”. Sobre la activación del duplicado de tarjeta SIM. Se ha pedido copia de la interacción/contacto (impresión de pantalla) que refleje el paso de la política de seguridad incluyendo todas las anotaciones del gestor telefónico al respecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/28 Indica la parte reclamada que no dispone de la evidencia que permita confirmar el paso de la política de seguridad completa llamando al 121, manifestando que no dispone de la grabación del trámite telefónico referido en tanto que no se produjo la grabación de dicha llamada. Tampoco aporta copia del contacto donde se refleje el paso de la política de seguridad. Contactos. Se ha solicitado a Vodafone relación y detalle de todos los contactos mantenidos con el reclamante desde el 01/12/2022 al 06/12/2022 incluyendo las anotaciones realizadas por los gestores de atención telefónica/chat/etc. y el reflejo de las acciones emprendidas por la entidad con motivo de cada contacto. En su contestación Vodafone señala los siguientes contactos: “Consta contacto del 02/12/2022 en el que se figura la anotación “…NOS LLEGA UN CORREO DE 020_ INDICANDO QUE LA SIM ESTÁ ENTREGADA// CIERRO CORREO Y FICHA”. Consta otro contacto del 04/12/2022 con una anotación sobre que el cliente tiene la línea bloqueada por fraude, y que manda documentos por correo. Consta la anotación de que se reenvía la petición para que lo revise el departamento correspondiente y que se informa al cliente que espere a que contacten con ella”. No aporta más información sobre otras gestiones realizadas entre dichas fechas. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad VODAFONE ESPAÑA, S.A.U. es una gran empresa constituida en el año 1994, y con un volumen de negocios de 2.928.817.000 euros en el año 2022. SEXTO: Con fecha 20 de noviembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio electrónicamente el día 29 de noviembre de 2023, conforme a las normas establecidas en la LPACAP, la parte reclamada solicitó ampliación del plazo y copia del expediente el día 30 de noviembre de 2023 y el 1 de diciembre del mismo año por el instructor del expediente se acuerda: “ampliar el plazo para formular alegaciones hasta un máximo de cinco días, que deberán computarse a partir del día siguiente a aquel en el que finalice el primer plazo de alegaciones”. OCTAVO: Con fecha 21 de diciembre de 2023, Vodafone presentó escrito de alegaciones en el que, en síntesis, manifiesta: << la Agencia entiende que Vodafone habría infringido el artículo 6.1 del RGPD al tratar los datos personales de la reclamante sin su consentimiento como consecuencia de no adoptar las medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/28 apropiadas para impedir que terceros puedan hacerse pasar por la reclamante y conseguir un duplicado de sus tarjetas SIM. A este respecto, es preciso apuntar que, el responsable del tratamiento está sujeto a una obligación de medios, no a una obligación de resultados en el sentido de entender que todo incidente es un incumplimiento del deber de garantizar un nivel de seguridad adecuado al riesgo. Por tanto, del hecho de que un tercero, mediante la comisión de delitos, haya superado las medidas de seguridad de Vodafone no puede automáticamente inferirse que Vodafone no ha sido diligente en la verificación de la identidad de los clientes y, por tanto, no ha tratado los datos personales de la reclamante conforme al artículo 6.1 del RGPD. A Vodafone podrán achacársele infracciones sólo respecto de aquellos tratamientos de datos y medidas de seguridad de las que sea responsable, esto es, aquellas dirigidas a garantizar que el solicitante del duplicado de la tarjeta SIM es el titular de la línea; no están (ni pueden estar) dirigidas a evitar la suplantación de identidad (falsificación del DNI, por ejemplo) ni a evitar el acceso a las cuentas bancarias a través de la aplicación de la entidad de crédito en cuestión. Para la entrega de la tarjeta SIM, los transportistas tienen instrucciones de únicamente entregarla al titular del servicio, firmando a tal efecto el albarán de entrega como evidencia y conclusión de la gestión. En todo caso, cualquier modificación en los datos del cliente asociados a su dirección de envío estará vinculada a la superación de la Política de Seguridad de LOWI. A este respecto, es relevante destacar que mi representada tiene implantado un doble proceso de verificación de la identidad durante la tramitación de un duplicado SIM (

1. i)a través del acceso a la app Mi Lowi y (
2. ii)en el momento de la entrega. En este sentido, Vodafone tiene contratada la modalidad de entrega exclusiva con las agencias de transporte para las entregas de tarjetas SIM. Bajo esta entrega, los transportistas deben verificar que la persona que recoge el envío de la tarjeta SIM es la destinataria de la misma (titular de la línea móvil en cuestión). Para ello, el transportista solicitará la muestra del DNI/NIE comprobando que los datos ahí recogidos coinciden con el nombre del titular a quién va dirigido el paquete. Sobre este proceso, el cliente de LOWI es informado con anterioridad a la entrega, previniéndole de la obligatoriedad de contar su DNI o NIE con el fin de que se lleve a cabo la entrega correctamente. Por lo que, en el caso que nos ocupa, la persona encargada de entregar la tarjeta SIM en cuestión tenía la obligación de verificar la identidad de quien que la recibió, comprobando que los datos identificativos de su DNI coincidían con los del envío. Sin embargo, es relevante destacar que no es posible aportar evidencia documental que demuestre que el transportista solicitó el DNI o NIE, ya que para ello sería necesario proceder a la fotocopia del DNI o NIE del interesado y almacenamiento del mismo. Por lo tanto, mi representada ha adoptado un procedimiento en el que únicamente se realice una verificación visual del DNI o NIE en el momento de la entrega y únicamente en el caso de que los datos coincidan con los del titular se procederá a la entrega del duplicado SIM. Como prueba de ello, el agente de transporte deja constancia en el albarán de la comprobación del DNI del destinatario anotando su nombre y apellidos y número de DNI como se indica a continuación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/28 Por otra parte, si una vez entregada una tarjeta SIM, el cliente reporta una incidencia en su uso o activación, a fin de reducir el riesgo de fraude, la Política de Seguridad de LOWI prevé que se comprobará la identidad del solicitante, de acuerdo con lo previsto en dicha Política para su superación, y la correcta asignación de la tarjeta SIM en los sistemas de LOWI. Ante cualquier anomalía, si la solicitud consta realizada de manera presencial en otro establecimiento, desde el establecimiento del distribuidor autorizado deberán indicarle que el trámite deberá efectuarlo en el mismo establecimiento en que se solicitó el duplicado. Además, para reducir el riesgo de cualquier actuación fraudulenta, Vodafone revisa y mejora continuamente su Política de Seguridad y las actuaciones de sus agentes y distribuidores autorizados. A tal efecto, indican a continuación los cambios efectuados en la Política de Seguridad de LOWI en relación con el trámite relativo al cambio de SIM en el año 2019, en marzo de 2022 y señalan que, para evitar este tipo de estafas, están trabajando en blindar a sus clientes. Por otra parte, señalan que desde agosto de 2023, se ha implementado un mecanismo de doble factor de autenticación con OTP para todos los clientes de LOWI y han implementado medidas disuasorias, como por ejemplo sanciones a los agentes por incumplir las políticas y procesos marcados y comunicados por Vodafone y que desde el Grupo Vodafone se ha desarrollado una solución llamada "Vodafone Identity Hub (VIH)", y manifiestan las acciones que lleva a cabo Vodafone una vez se ha detectado un cambio de SIM fraudulento. Así, Vodafone ha realizado el cambio de tarjeta SIM porque el solicitante ha acreditado (de forma fraudulenta) su identidad mediante la aportación correcta de las credenciales de acceso, habiendo obtenido los datos personales de las víctimas a través de técnicas de ingeniería social. Pretender que Vodafone pruebe la identidad de los solicitantes una vez que estos han facilitado de forma valida su usuario y contraseña supone una suerte de prueba diabólica que no se puede exigir a Vodafone. Subsidiariamente, y para el caso de que la Agencia entendiera que Vodafone ha infringido el artículo 6.1 del RGPD, no puede apreciarse la existencia de culpabilidad en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna. Con carácter subsidiario, en el caso de que esta Agencia entendiera que Vodafone sí ha infringido el artículo 6.1 del RGPD, no procede la imposición de sanción alguna a mi mandante por los motivos que se verán a continuación. I. Vodafone no ha actuado culposamente, por lo que no procede la imposición de sanción alguna. Por ello, en el caso de que la Agencia entendiera que la conducta de Vodafone es constitutiva la infracción indicada en el Acuerdo de Inicio, es claro que no concurre en la conducta de Vodafone culpabilidad ninguna, ni a título de dolo ni a título de culpa. Mi mandante discrepa respetuosamente de los agravantes indicados en el Acuerdo de Inicio por los motivos que se expondrán a continuación y por los cuales entiende que la sanción – de ser impuesta – debe modularse a la baja. I. Toda infracción anterior C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/28 cometida por el responsable o el encargado del tratamiento. Es relevante destacar que los procedimientos sancionadores a los que hace referencia la Agencia para fundamentar este agravante; EXP202204287, EXP202203914 y EXP202203916. En este sentido, se considera que los mismos, al no ser análogos al supuesto analizado en este sancionador, no deben de ser aplicados como agravante. II. La vinculación de la actividad de Vodafone con la realización de tratamientos de datos de carácter personal. Efectivamente, existe una vinculación entre la actividad de Vodafone y el tratamiento de datos personales de sus clientes que realiza para llevar a cabo la correcta prestación de los servicios contratados y atender las solicitudes y peticiones que éstos realicen. La Agencia hace referencia a la existencia de imprudencia cuando un responsable del tratamiento no se comporta con la diligencia exigible debiendo insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto. Prueba del especial cuidado y cautela aplicada en el tratamiento de datos personales que lleva a cabo mi representada, son todas las medidas de seguridad implementadas y que se detallan en la Alegación primera, además de la continua revisión de sus políticas y cumplimiento de las mismas. Por lo que este factor, no debe ser tenido en cuenta como agravante a la hora de graduar la sanción. Además, entendemos que también deberían tomarse en consideración las siguientes atenuantes: I. Vodafone procedió a solventar la incidencia objeto de reclamación de forma efectiva en cuanto tuvo conocimiento de los hechos (art. 83.2 c del RGPD). Tal y como se ha manifestado, el duplicado SIM fue entregado el 2 de diciembre de 2022 a las 12:31 horas, sin embargo, inmediatamente después de que el reclamante se pusiera en contacto con el servicio de Atención al Cliente, el duplicado SIM fue bloqueado por el Departamento de Fraude, en concreto durante el mismo día 2 de diciembre de 2022 a las 14:56 horas. A este respecto se adjunta captura de pantalla de los sistemas internos de mi representada donde consta el bloqueo del duplicado SIM en cuestión. Asimismo, el Departamento de Fraude procedió a la activación del check de víctima de fraude en los sistemas internos de Vodafone, incluyendo los datos personales de la reclamante en la agrupación de fraude y en los ficheros de prevención de Vodafone, activando medidas de seguridad adicionales sobre sus datos para evitar que se pueda producir un caso similar en el futuro. II. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD Tal y como se ha expuesto, Vodafone ha implementado medidas técnicas y organizativas adecuadas para el riesgo generado por mi mandante, esto es, tendentes a asegurar que quien solicita el duplicado o cambio de una tarjeta SIM es el titular de la línea. III. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. Mi mandante también entiende que su grado de cooperación con la Agencia durante las actuaciones previas de inspección ha sido alto. IV. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción Vodafone no ha obtenido ningún tipo de beneficio o evitado pérdidas a raíz de la duplicación fraudulenta de tarjetas SIM, sino todo lo contrario. En este sentido, la actividad criminal llevada a cabo por los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/28 estafadores y ciberdelincuentes también ha supuesto un perjuicio reputacional para mi mandante y una defraudación de sus políticas de seguridad. En virtud de todo lo anterior, solicito que tenga por presentado este escrito y todos los documentos que lo acompañan y, en su virtud, tenga por efectuadas las manifestaciones en él contenidas y, tras los trámites oportunos, acuerde: 1) El sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas. 2) Subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima, a la luz de las circunstancias atenuantes indicadas en el presente escrito>>. NOVENO: Con fecha 15 de enero de 2024, el instructor del procedimiento acordó practicar las siguientes pruebas: “1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento AI/00092/2023. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por VODAFONE ESPAÑA, S.A.U., y la documentación que a ellas acompaña”. DÉCIMO: Con fecha 31 de enero de 2024, Vodafone dentro del plazo concedido en el período de pruebas, realiza las siguientes alegaciones: <<Vodafone exige a su colaborador logístico la verificación de la identidad de la persona a la que entrega el duplicado SIM. Es relevante destacar, tal y como mi representada ha señalado en las alegaciones presentadas al Acuerdo de Inicio, que Vodafone adopta unas robustas y efectivas medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo asociado a cada uno de los trámites solicitados por sus clientes. En el caso de que el interesado quiera solicitar un duplicado SIM a través de la app de Mi Lowi debe acreditar su identidad aportando correctamente el usuario (la dirección de email de contacto, o el número de teléfono contratado) y la contraseña. Asimismo, en lo que respecta al proceso de entrega del duplicado SIM, Lowi exige a su colaborador logístico, en el caso que nos ocupa Correos Express, que ejecute la entrega de dicho duplicado mediante un mecanismo de “entrega exclusiva”, es decir, que la persona que recoge el duplicado debe acreditar su identidad mediante la aportación de su DNI, NIE o pasaporte al transportista, quien realizará una verificación visual para comprobar que los datos ahí recogidos coinciden con los de la persona a la que va dirigido el paquete. Sobre este respecto, es necesario aclarar que todos los envíos de duplicados SIM que se realizan desde Vodafone siguen un método de entrega exclusiva, el cual es tipificado internamente en los sistemas de mi representada, así como en la orden de envío para el transportista con el número 89, que significa entrega exclusiva. Por lo que, si en el registro del envío el método de entrega consta identificado con dicha numeración, la misma se realizará siguiendo este método. Con respecto al caso que motiva el presente Acuerdo de Inicio, mi representada ha comprobado en sus sistemas internos que en la entrega del duplicado SIM, el cual fue realizado sin el consentimiento de la reclamante, fue categorizada como “89 Entrega C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/28 Exclusiva”, por lo que el transportista tuvo que solicitar el DNI a la persona receptora del mismo, realizando una verificación visual del documento y comprobando que la información ahí recogida coincidía con la de la titular, la reclamante. Sobre este respecto, se adjunta captura de pantalla de los sistemas internos de Vodafone. Por lo tanto, el defraudador debía contar con el DNI de la reclamante, ya que de otro modo la entrega de dicho duplicado SIM no se hubiera producido al no superar la Política de Seguridad fijada por Lowi. En este sentido, del hecho de que un tercero, mediante la comisión de delitos, haya superado las medidas de seguridad de Vodafone no puede automáticamente inferirse que Vodafone no ha sido diligente en la verificación de la identidad de los clientes y, por tanto, no ha tratado los datos personales de la reclamante conforme al artículo 6.1 del RGPD. De la misma forma, cabe resaltar que mi representada lanza recordatorios periódicos a la empresa de transporte con la que colabora con el fin de enfatizar el deber de que sus transportistas sigan el método de entrega exclusiva en todos aquellos envíos que se hayan categorizado con la calificación de 89. Sobre este punto, se adjunta una captura de pantalla de un ejemplo de ellos. En virtud de todo lo anterior, solicito a la agencia española de protección de datos que tenga por presentado este escrito, se sirva admitirlo, y en su virtud, tenga por efectuadas las manifestaciones en él contenidas y el trámite concedido a los efectos pertinentes>>. UNDECIMO: Con fecha 7 de febrero de 2024, se emitió por el instructor del expediente la propuesta de resolución y fue notificada electrónicamente el día 14 del mismo mes y año y en la misma se proponía: “que por la Directora de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
3. a)del RGPD, con una multa de 200.000 € (doscientos mil euros)”. DUODECIMO: Con fecha 14 de febrero de 2024, solicitó Vodafone ampliación de plazo para formular alegaciones a la propuesta de resolución y el día 17 del mismo mes y año le fue concedido y el día 6 de marzo de 2024 presentó escrito de alegaciones en el que, en síntesis, manifestaba que: << Vodafone se remite en su integridad a las Alegaciones al Acuerdo de Inicio. Para la entrega de duplicado SIM, Vodafone tiene contratado un servicio de entrega exclusiva con la empresa de transportes colaboradora con esta entidad. (i.) Con respecto al envío de la tarjeta SIM a un domicilio distinto del de facturación. Tal y como mi representada ha puesto de manifiesto en la alegación previa, el duplicado de la tarjeta es solicitado a través del área privada de la reclamante, esto es, previamente el defraudador ha aportado el usuario y la contraseña establecidas por la reclamante de manera correcta. Con ello, el defraudador suplantando la identidad de la reclamante, sin que mi representada pueda identificar que se trataba de un tercero ajeno a su persona, pudo solicitar el duplicado y enviarlo a la dirección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/28 que deseara al haber acreditado de manera previa su identidad. En consecuencia, esto no se puede entender como una vulneración de la Política de Seguridad de Vodafone, ya que al haber aportado correctamente las credenciales únicas e intransferibles de la reclamante, desde el área privada de la app de Mi Lowi se puede solicitar un duplicado SIM con una dirección distinta a la de facturación. (ii.) Por otro lado, esta Agencia indica que el albarán de entrega del duplicado SIM no consta firmado. Sobre este punto se debe aclarar que el albarán de entrega del duplicado SIM, y el cual fue aportado por mi representada como Documento número 1 de las alegaciones presentadas el 16 de marzo de 2023 a esta Agencia, se encuentra correctamente firmado. En este sentido, Correos Express, entidad de transporte que, como esta Agencia ya conoce, fue la empleada para hacer llegar el duplicado SIM objeto de este acuerdo de inicio, tiene implementado un proceso de firma en el que el transportista, tal y como se ha indicado, debe solicitar el DNI o NIE de quien lo recoge, realizar una verificación visual del mismo comprobando que la información ahí recogida coincide con la de la persona a la que va dirigida el paquete y, en caso de que así sea proceder a la entrega. Como prueba de ello, debe introducir el nombre y apellidos, así como el número de DNI o NIE en el propio albarán de entrega de manera electrónica a través de la tableta digital que se les facilita a los agentes de transporte. A este respecto, es importante puntualizar que el transportista no ha tenido conocimiento previo del número de DNI o NIE del titular del paquete hasta que no ha solicitado el DNI o NIE de aquel a quien lo entrega. Como se puede comprobar en la siguiente captura de pantalla del albarán de entrega del duplicado SIM que nos ocupa, en el apartado de la firma figura correctamente el nombre y el apellido de la reclamante, así como su número de DNI, información que sólo pudo ser cumplimentada una vez que el transportista verificara el DNI de la titular, no estando esta información pre cubierta de ningún modo. (iii.) Sobre el tipo de entrega realizada para el envío del duplicado SIM que motiva la presente resolución al Acuerdo de Inicio, tal y como mi representada refirió a esta Agencia tras el periodo de pruebas abierto, se siguió un método de entrega exclusiva a través del cual la empresa de transportes Correos Express tuvo que verificar la identidad del receptor. Remitiéndonos de nuevo a las evidencias aportadas el pasado 31 de enero de 2024, se puede constatar que, en los sistemas internos de Vodafone, empleados para la gestión de los envíos, se clasifica el envío del duplicado SIM solicitado a través del área privada de la reclamante con el número “89: Entrega Exclusiva”, y cuya captura de pantalla se remite de nuevo a continuación. La entidad de mi representada tiene contratados con el operador logístico CEVA Logistics (“CEVA”), un servicio de entrega exclusiva por el cual se establece que todos los envíos calificados internamente por Lowi con el número 89 deberán seguir un método de entrega exclusiva. Desde CEVA se trabaja con distintas empresas de transportes para la entrega de estos duplicados, en este caso Correos Express, y se traslada e identifica las entregas que deben seguir un método de entrega exclusiva. El método de entrega exclusiva establece que el transportista tiene que solicitar el DNI del receptor, introducir su número de DNI en el sistema de gestión de envíos al cual tiene acceso, y que de manera automática verificará que los datos aportados coinciden con los registrados en la orden de envío, es decir, con los del titular. En caso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/28 de que los datos no coincidan, la entrega no podrá efectuarse. Por lo que, en este caso el transportista tuvo que verificar la identidad del receptor del duplicado SIM, solicitando su DNI e introduciendo los datos ahí contenidos en el sistema de gestión de envíos, el cual comprobó automáticamente que sus datos coincidían con los registrados en la orden de envío remitida por mi representada. Sobre este respecto, mi representada aporta el certificado emitido por CEVA, en el que se recoge cómo Vodafone tiene contratado con esta empresa el servicio de entrega exclusiva, y donde se especifica que: Dicho certificado se aporta como Documento número 1. De la misma forma, cabe resaltar que mi representada lanza recordatorios periódicos a la empresa de transporte con la que colabora con el fin de enfatizar el deber de que sus transportistas sigan el método de entrega exclusiva en todos aquellos envíos que se hayan categorizado con la calificación de 89. Sobre este punto, se adjunta una captura de pantalla de un ejemplo de ellos. Por todo ello, mi representada no puede estar de acuerdo con lo manifestado por esta Agencia, ya que como ha evidenciado en esta y en anteriores ocasiones, ha implementado todas las medidas necesarias para garantizar que el duplicado SIM es entregado al titular de la línea. Sin embargo, si un tercero cuenta con todos los datos necesarios para suplantar la identidad de un cliente, incluido las credenciales de acceso al área privada del cliente, no puede achacársele a mi representada falta de diligencia a la hora de verificar la identidad de la reclamante. A Vodafone podrán achacársele infracciones sólo respecto de aquellos tratamientos de datos y medidas de seguridad de las que sea responsable, esto es, aquellas dirigidas a garantizar que el solicitante del duplicado de la tarjeta SIM es el titular de la línea; no están (ni pueden estar) dirigidas a evitar la suplantación de identidad (falsificación del DNI, por ejemplo) ni a evitar el acceso a las cuentas bancarias a través de la aplicación de la entidad de crédito en cuestión. Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes. I. Toda infracción anterior cometida por el responsable o el encargado del tratamiento Es relevante destacar que los procedimientos sancionadores a los que hace referencia la Agencia para fundamentar este agravante; EXP202204287, EXP202203914 y EXP202203916, son relativos a clientes de Vodafone que no son clientes de la marca Lowi y cuyos duplicados SIM se tramitaron por canales diferentes al del caso aquí analizado, la app Mi Lowi. En este sentido, se considera que los mismos, al no ser análogos al supuesto analizado en este sancionador, no deben de ser aplicados como agravante. II. La vinculación de la actividad de Vodafone con la realización de tratamientos de datos de carácter personal Efectivamente, existe una vinculación entre la actividad de Vodafone y el tratamiento de datos personales de sus clientes que realiza para llevar a cabo la correcta prestación de los servicios contratados y atender las solicitudes y peticiones que éstos realicen. La Agencia hace referencia a la existencia de imprudencia cuando un responsable del tratamiento no se comporta con la diligencia exigible debiendo insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto. Prueba del especial cuidado y cautela aplicada en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/28 tratamiento de datos personales que lleva a cabo mi representada, son todas las medidas de seguridad implementadas y que se detallan en la Alegación primera, además de la continua revisión de sus políticas y cumplimiento de las mismas. Por lo que este factor, no debe ser tenido en cuenta como agravante a la hora de graduar la sanción. Sobre los atenuantes no aplicados por la Agencia a la hora de evaluar la sanción: I. Vodafone procedió a solventar la incidencia objeto de reclamación de forma efectiva en cuanto tuvo conocimiento de los hechos (art. 83.2 c del RGPD), no existiendo un carácter continuado en el tratamiento ilícito y procedimiento a regularizar la situación irregular de forma diligente. Tal y como se ha manifestado, el duplicado SIM fue entregado el 2 de diciembre de 2022 a las 12:31 horas, sin embargo, inmediatamente después de que la reclamante se pusiera en contacto con el servicio de Atención al Cliente, el duplicado SIM fue bloqueado por el Departamento de Fraude, en concreto durante el mismo día 2 de diciembre de 2022 a las 14:56 horas. A este respecto se adjunta captura de pantalla de los sistemas internos de mi representada donde consta el bloqueo del duplicado SIM en cuestión. Asimismo, el Departamento de Fraude procedió a la activación del check de víctima de fraude en los sistemas internos de Vodafone, incluyendo los datos personales de la reclamante en la agrupación de fraude y en los ficheros de prevención de Vodafone, activando medidas de seguridad adicionales sobre sus datos para evitar que se pueda producir un caso similar en el futuro. II. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD Tal y como se ha expuesto en la Alegación Primera de este escrito, Vodafone ha implementado medidas técnicas y organizativas adecuadas para el riesgo generado por mi mandante, esto es, tendentes a asegurar que quien solicita el duplicado o cambio de una tarjeta SIM es el titular de la línea. Por lo tanto, siguiendo lo establecido en el art. 45.4
4. i)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, mi representada ha acreditado “que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor”. III. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción En este sentido, informar a la Agencia de que Vodafone sí que ha puesto medios para remediar y mitigar los posibles efectos adversos de la practica fraudulenta de los duplicados SIM. Indicar lo contrario sería no tomar en consideración que Lowi, tal y como se ha venido indicando, se encuentra en un proceso constante de actualización y revisión de sus Política de Seguridad, implementando nuevas medidas y controles que traten de reducir al máximo posible el riesgo inherente al tratamiento de datos que realiza. IV. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/28 indirectamente, a través de la infracción Vodafone no ha obtenido ningún tipo de beneficio o evitado pérdidas a raíz de la duplicación fraudulenta de tarjetas SIM, sino todo lo contrario. Solicita: 1) El sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas y no poder apreciarse la existencia de culpabilidad. 2) Subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima, a la luz de las circunstancias atenuantes indicadas en el presente escrito.>> De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. - Obra en el expediente, que con fecha 1 de diciembre de 2022 se solicitó por un tercero a través del acceso al área privada de la reclamante a Lowi marca de Vodafone un duplicado de su tarjeta SIM y se facilitó por la tercera persona para realizar la entrega del pedido del duplicado de la tarjeta SIM un domicilio distinto del que figuraba en el registro de Vodafone para la facturación de la reclamante. SEGUNDO. - Obra en el expediente, que el duplicado SIM es entregado el día 2 de diciembre de 2022 en la dirección postal facilitada por el tercero. TERCERO. - Vodafone, reconoce en su escrito de fecha 16 de marzo de 2023 que ha podido comprobar que no dispone de la evidencia que permita confirmar el paso de la política de seguridad, y tampoco de la evidencia que permita confirmar el paso de la política de seguridad completa llamando al 121, para la activación de la tarjeta SIM, manifestando que no dispone de la grabación del trámite telefónico referido en tanto que no se produjo la grabación de dicha llamada. CUARTO. – Obra en el expediente que anteriormente en fecha 30 de noviembre de 2022, se produjeron dos intentos de cambio de la dirección de correo electrónico por vía telefónica, supuestamente para poder acceder al área privada de cliente de la reclamante, dicha petición no fue llevada a cabo al no superar la Política de Seguridad. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/28 Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Contestación a las alegaciones presentadas La parte reclamada manifiesta que la emisión de los duplicados de la tarjeta SIM no es suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad financiera. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que el tratamiento de datos sea conforme al RGPD. Idénticas consideraciones merece la actuación de las entidades bancarias que proporcionan servicios de pago, en cuyo ámbito se inicia este tipo de estafas, ya que el tercero tiene acceso a las credenciales del usuario afectado y se hace pasar por este. En tanto que estas entidades son responsables del tratamiento de los datos de sus clientes, les competen idénticas obligaciones que las señaladas hasta ahora para las operadoras referidas al cumplimiento del RGPD y la LOPDGDD, y además las derivadas del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera. A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/28 Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C -101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. En cuanto a la responsabilidad de Vodafone, debe indicarse que, con carácter general Vodafone trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
5. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
6. e)y
7. f)del RGPD. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que la persona que contrata es quien dice ser y que se implantan y mantienen medidas apropiadas para dar cumplimiento al principio de licitud. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de Vodafone se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir, desde la óptica de la culpabilidad, estamos ante un error vencible ya que con la aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones de identidad se hubieran podido evitar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/28 Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. Asimismo, solicita Vodafone con carácter subsidiario que esta Agencia acuerde el archivo del procedimiento por inexistencia de culpabilidad. Rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/28 La decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que las circunstancias del caso exigen. En cumplimiento del principio de culpabilidad la AEPD ha acordado en numerosas ocasiones el archivo de procedimientos sancionadores en los que no concurría el elemento de la culpabilidad del sujeto infractor. Supuestos en los que, pese a existir un comportamiento antijurídico, había quedado acreditado que el responsable había obrado con toda la diligencia que resultaba exigible, por lo que no se apreciaba culpa alguna en su conducta. Ese ha sido el criterio mantenido por la Sala de lo Contencioso Administrativo, sección 1ª, de la Audiencia Nacional. Pueden citarse, por ser muy esclarecedoras, las siguientes sentencias: - SAN de 26 de abril de 2002 (Rec. 895/2009) que dice: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” - SAN de 29 de abril de 2010, Fundamento Jurídico sexto, que, a propósito de una contratación fraudulenta, indica que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/28 control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”, establece: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.[...]”. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. III Obligación incumplida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/28 Se imputa a la parte reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
8. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
9. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
10. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
11. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
12. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
13. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
14. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. En el presente caso, resulta acreditado en primer lugar que la solicitud del duplicado de la tarjeta SIM, se hizo a través del área privada de la parte reclamante y se indicó en dicha petición que se enviara la tarjeta SIM a un domicilio postal distinto al de la facturación. Además, la parte reclamada no dispone de la evidencia que permita confirmar el paso de la política de seguridad completa llamando al 121, para la activación de la tarjeta sim una vez entregada a la tercera persona, manifestando que no disponen de la grabación del trámite telefónico referido en tanto que no se produjo la grabación de dicha llamada, ni aportan copia del contacto donde se refleje el paso de la política de seguridad. De esta forma, la parte reclamada facilitó duplicado de la tarjeta SIM de la línea de la reclamante, sin su consentimiento y sin verificar la identidad de dicho tercero, el cual, ha accedido a información contenida en el teléfono móvil. Así pues, la reclamada, no verificó la personalidad del que solicitó el duplicado de la tarjeta SIM, no verificó la personalidad de quien estaba activando tal duplicado de la tarjeta sim, esto es, no tomó las cautelas necesarias para que estos hechos no se produjeran. Hay que destacar, que tal como reconoce Vodafone en su escrito de fecha 16 de marzo de 2023: <<Vodafone ha podido comprobar que se efectuaron distintas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/28 acciones presuntamente fraudulentas sobre la línea de telefonía móvil perteneciente a la reclamante. Previo a la incidencia objeto de la reclamación, en fecha 30 de noviembre de 2022, se produjeron dos intentos de cambio de la dirección de correo electrónico por vía telefónica, supuestamente para poder acceder al área privada de cliente. Sin embargo, dicha petición no fue llevada a cabo al no superar la Política de Seguridad, en la medida en que los dígitos de la cuenta bancaria facilitados por la reclamante en aplicación de la Política de Seguridad no coincidían con la numeración obrante en los sistemas internos. Pese a lo cual, y a pesar de no haberse obtenido el cambio de dirección de correo electrónico que facultaría a la persona llamante a lograr el acceso al área privada de cliente, se tramitó de forma online una petición de duplicado de SIM, en fecha 1 de diciembre de 2022, a través del área privada de cliente>>. Sin embargo, Vodafone no tomo las cautelas necesarias para que estos hechos no se produjeran. En este sentido, la SAN, de fecha 19 de septiembre de 2023 (REC 403/2021), que dice: “contrató un tercero sin control ni supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona que estaba manifestando su voluntad de contratar, no era quien decía ser. De haberse tomado las necesarias precauciones, a fin de asegurar la identidad de la persona contratante (por lo que hubiera sido bastante atender a la incorrecta contestación de las preguntas de identificación y verificación del cliente) se hubiera evitado la infracción del artículo 6.1 de la LOPD imputada por la AEP” En definitiva, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó el duplicado de la tarjeta SIM. En todo caso, no se siguió el procedimiento implantado por la parte reclamada, ya que, de haberlo hecho, se debió haber producido la denegación del mismo. A la vista de lo anterior, Vodafone no logra acreditar que se haya seguido ese procedimiento y por consiguiente hubo un tratamiento ilícito de los datos personales de la parte reclamante, contraviniendo con ello el artículo 6 del RGPD. En ese sentido el Considerando 40 del RGPD señala: “