PS-00434-2022

1/14  Expediente N.º: EXP202206705 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 14 de octubre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202206705 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: HECHOS PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 19 de mayo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada o Vodafone). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el día 9 de mayo de 2022 la parte reclamada facilitó, sin su consentimiento, un duplicado de su tarjeta SIM a un tercero que no es el titular de la línea, lo que ha propiciado que dicho tercero, valiéndose de los códigos de confirmación bancaria recibidos en la línea telefónica afectada, haya accedido a su cuenta bancaria realizando cargos no consentidos. Junto a la reclamación se aporta: Pantallazo relativo a la interacción llevada a cabo por la parte reclamada, en relación con el duplicado de la tarjeta SIM. Copia de la denuncia presentada ante la Policía el 10 de mayo de 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 Copia de la factura emitida por la parte reclamada, el 10 de mayo de 2022, relativa al duplicado de la tarjeta SIM. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 20 de junio de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 20 de julio de 2022 se recibe en esta Agencia escrito de respuesta de Vodafone manifestando: “Se ha procedido a enviar una carta al reclamante mediante la cual hemos procedido a informarle de las gestiones que fueron llevadas a cabo por Vodafone para solucionar la incidencia. Además, señalan que la incidencia se originó, según lo indicado por el reclamante, porque el día 9 de mayo de 2022 se realizó un duplicado de SIM sobre su línea móvil ***TELÉFONO.1 sin su consentimiento. Dicho cambio fue gestionado de forma telefónica mediante una llamada al call center de Vodafone. En este sentido, una vez puesto en conocimiento de mi mandante la existencia de un duplicado SIM obtenido sin el consentimiento del reclamante el día 10 de mayo de 2022, Vodafone procedió a efectuar todas aquellas gestiones necesarias para devolver el control al reclamante sobre su línea móvil. En este sentido, el mismo día 10 de mayo de 2022, el reclamante acudió a una tienda de Vodafone en la cual, tras identificarse, se le tramitó un nuevo duplicado SIM y se le devolvió el control sobre su línea móvil. Asimismo, Vodafone declaró lo sucedido como una actuación fraudulenta el día 11 de mayo de 2022. Tras la declaración del fraude, Vodafone procedió a implementar todas las medidas de seguridad adicionales necesarias activando el check de víctima de fraude en su ID de cliente de Vodafone para evitar que dicha incidencia se volviera a producir en el futuro y activó una ventana emergente en su ficha de cliente en la que se informaba a todos los empleados de Vodafone de lo siguiente: “No facilitar información, realizar modificaciones, activación de productos, pedidos etc., si el cliente llama desde líneas distintas a las que tiene contratadas en Vodafone, ocultación de llamada u origen internacional. Se debe consultar y seguir siempre la política de seguridad”. Quiere esta parte señalar que la efectiva gestión de un cambio de tarjeta SIM conlleva la superación de las políticas de seguridad que Vodafone tiene implementadas a fin de prevenir que se realicen prácticas fraudulentas sobre los datos personales de sus clientes. En este sentido, y al haberse tramitado dicha gestión sujeta a dicha política de seguridad, mi representada entendió en todo momento que se trataban de gestiones lícitas, reales y veraces. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 Vodafone trabaja de forma continua en mejorar las Políticas de Seguridad para sus procesos de cambio y duplicados de SIM así como para cualquier otro proceso que conlleve posibles riesgos de fraudes o actuaciones irregulares para nuestros clientes. En este sentido, desde la fecha 14 de marzo de 2012, Vodafone actúa bajo la Política de Seguridad para la Contratación de Particulares, la cual se ha ido actualizando progresivamente, y cuya última modificación ha sido implementada en fecha 4 de enero de 2022. Mediante dicha Política de Seguridad, mi representada establece qué tipo de información debe requerir al cliente para cada gestión solicitada. Asimismo, queda incluido cómo proceder en caso de que un usuario no pase la Política de Seguridad, así como las actuaciones preventivas en situaciones de fraude. La mencionada Política de Seguridad es de obligado cumplimiento para todos los Servicios Postventa Vodafone, quienes se encargan de aplicarla y respetarla. En lo que respecta a los duplicados de tarjeta SIM, cabe indicar que el objetivo de Vodafone es que todas los duplicados o cambios de tarjeta se hagan de forma presencial, ya que es la forma más segura de garantizar que no se producen procesos irregulares o fraudulentos y que, cuando la gestión a realizar requiere superar la Política de Seguridad, el cliente debe portar su DNI original Para efectuar un cambio de SIM de forma telefónica, es necesario la realización y superación de la Política de seguridad de Vodafone para tales escenarios. Dicha Política prevé tres escenarios concretos para los que procederá el cambio de tarjeta SIM de forma telefónica: (

1. i)en aquellos casos en los que la plataforma encargada de la gestión del cambio de la tarjeta SIM falla de tal manera que no se puede realizar el cambio SIM en nuestras tiendas; (
2. ii)si el cliente es empresa y por tanto prefiere hacer el cambio desde la plataforma 129/1442, enviándose en estos casos la tarjeta SIM al domicilio de la empresa que consta en nuestros sistemas; y (iii) si el cliente es prepago y por tanto se pueda realizar el envío de la tarjeta SIM en casos de avería, pérdida/robo, incidencia en la tienda y por petición del cliente. Asimismo, y con carácter previo a la verificación de si el solicitante se encuentra bajo el ámbito de los tres casos anteriores, el Departamento de Atención al Cliente de Vodafone, de conformidad con dicha Política de Seguridad debe invitarle a que acuda a gestionar el cambio de SIM ante un Servicio Postventa de Vodafone (“SPV”) para dar la máxima garantía de seguridad al proceso. En caso de que el cliente se encuentre en alguno de los tres escenarios contemplados anteriormente, el Departamento de Atención al Cliente de Vodafone comprobará con carácter previo a la gestión del cambio de SIM que no existe ninguna de las siguientes circunstancias: (
3. i)no debe existir ningún cambio de dirección en el último mes; (
4. ii)no debe haberse solicitado envíos de tarjeta SIM anteriores. Cabe decir que, de conformidad con nuestras Políticas de Seguridad, el no cumplimiento de cualquiera de los dos requisitos anteriores conllevará la necesidad de tramitar el cambio de SIM de forma presencial en nuestras tiendas. En aquellos casos en los que el solicitante cumpla con los requisitos de los párrafos anteriores, la tramitación del cambio de SIM dependerá de lo siguiente: (
5. i)si el solicitante llama desde el mismo número sobre el que va a solicitar el cambio de SIM se le pedirá la clave de acceso del Servicio de Atención al Cliente o DNI; no obstante, (
6. ii)si el cliente no llama desde el mismo número, se solicitará el número de teléfono asociado a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 SIM (“MSISDN”) junto con la clave de acceso del Servicio de Atención al Cliente o DNI. Adicionalmente, cabe indicar que todos los empleados en el Departamento de Atención al Cliente han recibido formación de los pasos a seguir para la realización de cambios de SIM, a través de la guía disponible para todos los agentes en el portal denominado “REDPLANET”, donde se incluyen todos los procesos y procedimientos de Vodafone que les son de aplicación y los pasos a seguir en cada caso, según las circunstancias. En cualquier caso, si la tramitación de un cambio de SIM y/o un cambio de titularidad superan las Políticas de Seguridad de Vodafone anteriores, se procederá a la realización de tales gestiones conforme a lo indicado en dichas Políticas, al considerar mi representada el cambio como auténtico, real y veraz. No pudiendo mi representada saber que un tercero sustrajo los datos del reclamante sin su consentimiento. Sin perjuicio de lo anterior, desde el día 10 de mayo de 2022, mi representada llevó a cabo las gestiones oportunas a fin de proteger al reclamante como cliente de Vodafone. En este sentido, mi representada, a solicitud del interesado, procedió a declarar lo ocurrido como un fraude, adoptando las convenientes medidas de seguridad sobre su cuenta, y a solventar las diferentes incidencias ocurridas con respecto a la tarjeta SIM de la línea afectada. Asimismo, se procedió a rembolsar a la reclamante el importe de 5 euros en concepto de gastos de duplicado de tarjeta SIM. Por lo tanto, para cuando le fue notificado a Vodafone el presente requerimiento, mi representada ya había restablecido los servicios asociados al ID de cliente del reclamante y el control sobre su línea. Igualmente, se están revisando los procesos internos para asegurar que se cumplen las Políticas de Seguridad definidas o introducir los cambios necesarios cuando se considere pertinente. En concreto, mi representada está trabajando en la mejora continua de: • Revisión de los procesos internos para asegurar que se cumplen las Políticas de Seguridad y controles de verificación que se han ido definiendo e incorporando, tanto en canal presencial como telefónico, para los escenarios de duplicados de SIM. • Refuerzos periódicos de comunicación de las Políticas de Seguridad y verificaciones que han sido definidas por Vodafone para los duplicados de SIM y que deben ser aplicadas por las agencias, tiendas comerciales y agentes. • Envío de comunicados periódicos al canal presencial y telefónico, así como al operador logístico, donde se alerta de los escenarios de riesgo detectados, sus características y patrones de comportamiento para prevenir nuevos casos. • Aplicación -si procede-, de la Política de Penalización existente para agentes o distribuidores que realicen cualquier duplicado o cambio de una tarjeta SIM sin haber requerido la documentación o que realicen cualquier gestión de cambio de SIM sin seguir todos los pasos definidos en la Política de Seguridad. En lo que se refiere a la realización de transacciones de la entidad ‘’BIZUM’’ de carácter fraudulento que pone de manifiesto el reclamante en su reclamación, resulta oportuno expresar que el cambio de una tarjeta SIM implica únicamente el acceso a la línea de teléfono asociada a ésta, y no a los datos bancarios del titular. Por tanto, no parece posible que exista una correlación entre los hechos ocurridos en relación con mi representada y lo ocurrido con la entidad bancaria de la que es cliente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 el reclamante. En este sentido, los movimientos bancarios que alega en su reclamación no tienen su origen, ni han sido ocasionados en concepto de facturas por servicios de Vodafone que tuviese contratados, sino que se deben a accesos efectuados a través de la cuenta de su entidad bancaria. Por ello, Vodafone no puede ser responsable de los accesos y movimientos bancarios que pudiesen haberse realizado de forma fraudulenta. Con todo ello, podemos confirmar que actualmente mi representada ha realizado todas las actuaciones pertinentes para dar solución a la reclamación, estimando que ha quedado correctamente solventada con anterioridad a la recepción del presente escrito”. TERCERO: Con fecha 10 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Con carácter previo resulta preciso señalar que el artículo 4.1 del RGPD define: «datos personales» como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C 101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
9. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
10. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
12. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
13. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
14. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “
15. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”. III En el presente caso, resulta acreditado que Vodafone facilitó un duplicado de la tarjeta SIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero, el cual, ha accedido a información contenida en el teléfono móvil, tales como datos bancarios, contraseñas, dirección de correo electrónico y otros datos personales asociados al terminal. Así pues, la reclamada, no verificó la personalidad del que solicitó el duplicado de la tarjeta SIM, no tomó las cautelas necesarias para que estos hechos no se produjeran. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. Pues bien, resulta acreditado tal como reconoce la parte reclamada en su escrito de contestación a esta Agencia de fecha 20 de julio de 2022, << que la incidencia se originó, según lo indicado por el reclamante, porque el día 9 de mayo de 2022 se realizó un duplicado de SIM sobre su línea móvil ***TELÉFONO.1 sin su consentimiento. Dicho cambio fue gestionado de forma telefónica mediante una llamada al call center de Vodafone. En este sentido, una vez puesto en conocimiento de mi mandante la existencia de un duplicado SIM obtenido sin el consentimiento del reclamante el día 10 de mayo de 2022, Vodafone procedió a efectuar todas aquellas gestiones necesarias para devolver el control al reclamante sobre su línea móvil. En este sentido, el mismo día 10 de mayo de 2022, el reclamante acudió a una tienda de Vodafone en la cual, tras identificarse, se le tramitó un nuevo duplicado SIM y se le devolvió el control sobre su línea móvil. Asimismo, Vodafone declaró lo sucedido como una actuación fraudulenta el día 11 de mayo de 2022>> Ahora bien, debe señalarse que el Sim Swapping es un fraude que permite suplantar la identidad mediante el secuestro del número de teléfono al obtener un duplicado de la tarjeta SIM. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 En todo caso, la operadora deberá ser capaz de acreditar que para este caso concreto haya seguido los protocolos de verificación implementados a la hora de solicitar un duplicado de la tarjeta SIM. Pues bien, el resultado fue que la reclamada expidió la tarjeta SIM a un tercero que no era el titular de la línea. A la vista de lo anterior, Vodafone no logra acreditar que se haya seguido ese procedimiento. En la explicación aportada por la parte reclamada, no se apunta a cuál pudo haber sido la causa concreta que desembocó en la emisión del duplicado, más allá de unas explicaciones genéricas. En todo caso, Vdafone no ha sido capaz de acreditar que para este supuesto se siguiera el procedimiento implantado por ella misma, ya que, de haberlo hecho, se debió haber producido la denegación del duplicado de la tarjeta SIM. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. De conformidad con las evidencias de las que se dispone en este momento procesal y sin perjuicio de lo que resulte de la instrucción del procedimiento, se estima que la conducta de la parte reclamada podría vulnerar el artículo 6.1 del RGPD pudiendo ser constitutiva de la infracción tipificada en el artículo 83.5.
16. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: “