PS-00435-2022

1/15  Expediente N.º: EXP202206094 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 21 de octubre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202206094 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: HECHOS PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 4 de mayo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada o Vodafone). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el día 31 de marzo de 2022, recibió en su bandeja de correo no deseado un correo electrónico de Vodafone donde le indican que se ha creado un usuario y daban acceso a "su cuenta de Vodafone" (pese a no ser cliente desde hace más de un año), donde autorizan a una dirección de correo electrónico de un tercero ("***EMAIL.1") a acceder a su cuenta de Vodafone pudiendo este acceder con los mismos permisos que el titular y, por tanto puede realizar compras o suscripciones on-line. Tras lo ocurrido, contactó con Vodafone y le indican que han solicitado con sus datos la portabilidad de cuatro líneas de teléfono móvil a nombre de un tercero, siendo el operador donante Lycamobile y también una portabilidad de fibra con un número de teléfono fijo del operador Ono (Auna), el servicio de fibra fue instalado el mismo día 31 de marzo de 2022 en un domicilio que no era el suyo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 Pues bien, Vodafone le informa que la contratación se realizó telefónicamente y que fue firmado de forma virtual por SMS. La parte reclamante solicita la cancelación de las portabilidades y el corte del servicio de la línea de fibra, procediendo Vodafone a abrir un número de expediente por fraude por suplantación de identidad, el cual es cerrado posteriormente sin recibir explicaciones al respecto. Posteriormente, recibe dos facturas generadas, una cobrando la baja del servicio y otra por cero euros. Así las cosas, el departamento de atención al cliente de Vodafone le manifiesta que hay modificaciones en sus direcciones de facturación y ahora aparecen datos de otras direcciones con servicios cancelados a su nombre y que también aparece un servicio cancelado a su nombre en ***LOCALIDAD.

1. Tras múltiples reclamaciones, Vodafone le manifiesta vía telefónica que no ha habido una suplantación de identidad, sino que lo ocurrido se debe a un error de la propia entidad al tramitar la portabilidad solicitada por otro usuario. Pues bien, el reclamante contactó con los números de la portabilidad que figuraban a su nombre y el usuario le indica que ha sido un error de Vodafone y que ellos pidieron una portabilidad a su nombre y nunca facilitaron sus datos a Vodafone. Igualmente, el día 3 de mayo de 2022 ha recibido otra factura por un importe de XXX,XX euros. Junto a la reclamación se aporta la siguiente documentación relevante: Reclamación de la parte reclamante por suplantación identidad dirigida a Vodafone. Contestaciones de Vodafone al reclamante a través del correo electrónico. Correo de fecha 21 de abril de 2022, en el cual Vodafone manifiesta que han sido dados de baja los servicios fijos el día 14/04/2022 con fecha retroactiva del mismo 30/03/
2. Correo de fecha 1 de mayo de 2022, en el cual Vodafone expone que la reclamación es cerrada a su favor ya que “nos informan que comprobamos que estos servicios no fueron adquiridos por usted y ahora mismo está solvente a nivel de sistema”. Denuncia ante la Guardia Civil de fecha 31 de marzo de
3. Facturas generadas por Vodafone a nombre del reclamante. Con los siguientes periodos de facturación: Del 1 de marzo al 31 de marzo de 2022 por importe 0,00 euros, con domicilio en ***DOMICILIO.1 y cuenta bancaría ******XXXX. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 Del 1 de marzo al 31 de marzo de 2022 por importe X,XX euros, con domicilio en ***DOMICILIO.2 y cuenta bancaria ******XXXX. Del 1 de abril al 21 de abril de 2022 por importe de XXX,XX euros, con domicilio en ***LOCALIDAD.1 y cuenta bancaria ******XXXX. Resumen de compra, con los detales de la solicitud del reclamante: Datos de Instalación: 30/03/
4. Número de Pedido XXXXXXXXX. Nombre y apellidos: A.A.A.. Domicilio: ***DIRECCIÓN.
5. Fecha de inicio solicitud 29/03/
6. Dirección email ***EMAIL.2 con DNI ***NIF.
7. Indicando las cuatro líneas móviles a portar a Vodafone del operador donante Lycamobile y una línea fija de ONO (AUNA), con dirección en: ***DIRECCIÓN.
8. Orden de domiciliación de adeudo directo SEPA ******XXXX, de fecha 29 de marzo de 2022 Correo electrónico de Vodafone dirigido al reclamante informándole que se ha creado un nuevo usuario en tu cuenta Mi Vodafone con NIF***NIF.
9. Nuevo usuario registrado: ***EMAIL.1, indicando que el nuevo usuario cuenta con los mismos permisos que el titular y, por lo tanto, puede realizar compras o suscripciones online y añadiendo que, en el caso de no haber permitido este registro, debes eliminar el nuevo usuario cuanto antes. Pantallazos de la cuenta Mi Vodafone del reclamante, de fecha 1 de marzo al 31 de marzo de 2022: Pedidos de la dirección: ***DIRECCIÓN.3 Localidad: ***LOCALIDAD.
10. Alta servicios: Contratación en tienda de ***DIRECCIÓN.
11. Fecha de finalización: 30/03/
12. Pedido nº. XXXXXXXXX. Domiciliación bancaria: ******XXXX. Comienzo del contrato 30 de marzo 2022 Fin del contrato 1 abril
13. Privacidad: XXXXXXX. Contrato de Servicios de Comunicaciones Móviles Pospago, Banda Ancha, Fijo y TV para clientes Empresas (Vodafone Business) de fecha 29 de marzo de 2022, a nombre del reclamante y dirección de la instalación ***DIRECCIÓN.3 Localidad: ***LOCALIDAD.
14. Orden de domiciliación de adeudo directo SEPA ******XXXX. Código del punto de venta (SFID) ***CÓDIGO.
15. Nombre del punto de venta Vodafone Televenta CBU CIF XXXXXXXXX. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 Públicas (en adelante, LPACAP), fue recogido en fecha 6 de junio de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 9 de julio de 2022 se recibe en esta Agencia escrito de respuesta indicando: “que la incidencia reclamada se encuentra actualmente resuelta, habiendo sido investigada por el departamento de fraude de Vodafone y declarada como fraudulenta, encontrándose, en la actualidad, anulada cualquier deuda relativa al reclamante y devueltas las cantidades facturadas, habiendo adoptado además medidas de seguridad sobre el reclamante para evitar que se puedan generar más facturas y reclamaciones de pago de deuda a nombre del reclamante. En cualquier caso, se ha procedido a enviar una carta al reclamante informándole sobre las gestiones realizadas por mi representada para esclarecer la situación y trasladarle disculpas por los hechos acontecidos, así como indicarle que actualmente no consta ningún servicio activo vinculado a su persona. Se adjunta, como Documento número 1, copia de la carta remitida al reclamante. En todo caso, debe destacarse, tal y como se reconoce en la reclamación, que el reclamante tuvo constancia de la contratación presuntamente fraudulenta acaecida el día 30 de marzo de 2022, a través de la notificación efectuada por Vodafone el día 31 de marzo en la que le informaban del alta de un nuevo usuario en su perfil, medida de seguridad implantada proactivamente por esta entidad y mediante la que, en el momento en el que se detecta el alta de un nuevo usuario, este es avisado mediante correo electrónico, lo que en este caso permitió que el reclamante se percatase del fraude y pudiese notificar el presunto fraude a Vodafone. Vodafone no ha detectado ningún acceso no autorizado por parte de un tercero a sus sistemas ni ningún otro incidente de seguridad que haya supuesto la fuga de datos personales o las contraseñas o credenciales de sus clientes. La incidencia se ha originado porque al parecer, el reclamante, sin mantener relación contractual alguna con Vodafone, recibe en su dirección de correo electrónico, el día 31 de marzo de 2022, una comunicación de Vodafone, el que se le informaba del alta de un nuevo usuario en su área de cliente. El reclamante procedió a contactar con Vodafone y requerir información al respecto, siendo informado de que se había solicitado la portabilidad de 4 líneas de teléfono móvil, desde LYCAMOBILE, a nombre de un tercero, así como una portabilidad de un teléfono fijo y fibra, desde ONO (AUNA), la cual habría sido instalada en la dirección postal de un tercero. El mismo día en que tiene constancia de la incidencia, el reclamante interpone una denuncia ante la Guardia Civil, fechada a 31 de marzo de
16. alrededor de las 19 horas, indicando que se estaban utilizando sus datos de forma fraudulenta, motivo por el que procedió a cerrar su cuenta bancaria. Además, al requerir explicaciones al respecto y la cancelación de esta portabilidad, refiere que Vodafone le trasladó que la contratación se había producido telefónicamente y constaba confirmación por SMS pero que abrirían una incidencia para analizar la situación y, posteriormente y tras contactar nuevamente con la entidad, refiere que la trasladaron la necesidad de esperar para su resolución. Sin embargo, semanas después de estos hechos, la referida incidencia no constaba resuelta, llegando a recibir nuevas comunicaciones en su dirección email informándole de la disponibilidad de facturas a su nombre y de cambios en su dirección de facturación. Tras realizar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 nuevos requerimientos a Vodafone, afirma no haber obtenido una respuesta satisfactoria. Finalmente, el reclamante consideró pertinente presentar una reclamación ante esta Agencia de la que se ha derivado el presente requerimiento. En todo caso, debe destacarse, tal y como se reconoce en la reclamación, que el reclamante tuvo constancia de la contratación presuntamente fraudulenta acaecida el día 30 de marzo de 2022, a través de la notificación efectuada por Vodafone el día 31 de marzo en la que le informaban del alta de un nuevo usuario en su perfil, medida de seguridad implantada proactivamente por esta entidad y mediante la que, en el momento en el que se detecta el alta de un nuevo usuario, este es avisado mediante correo electrónico, lo que en este caso permitió que el reclamante se percatase del fraude y pudiese notificar el presunto fraude a Vodafone. Por consiguiente, esta parte puede concluir que el presunto delincuente que se hizo con su información personal obtuvo la misma a través del propio reclamante o cualquier otra fuente ajena a la intervención y control de Vodafone, algo que Vodafone no puede controlar, siendo la custodia de sus datos personales y credenciales de acceso responsabilidad del propio reclamante. Consecuentemente, el acceso a la información personal del reclamante y la contratación de productos y servicios a su nombre no se produjo como resultado de una fuga de datos en los sistemas de Vodafone, sino a causa de un ataque de phishing o ingeniería social o como consecuencia de una custodia negligente o conservación inadecuada de esta información por parte del reclamante, que permitió a un tercero tener acceso a sus datos personales y, con ello, proceder a la contratación de diferentes productos y servicios en nombre del reclamante. Así las cosas, entendemos que lo ocurrido queda fuera del ámbito de responsabilidad de mi mandante pues los interesados tienen la responsabilidad de custodiar debidamente sus datos personales, estando únicamente dentro de la esfera de control de mi mandante la adecuada definición de los procedimientos, sistemas, controles y medidas de seguridad aplicables en función de la criticidad del tratamiento que aseguren la correcta identificación del titular de los datos personales. Prueba del correcto ejercicio de estas labores es que el reclamante tuvo constancia de la contratación fraudulenta acaecida el día 30 de marzo de 2022 a través de la comunicación remitida proactivamente por Vodafone el día 31 de marzo al detectar el alta de un nuevo usuario en el perfil de cliente del reclamante. Asimismo, en el momento en el que el reclamante reportó la actuación fraudulenta, mi mandante procedió a evaluar los hechos trasladados, aplicar las medidas de seguridad pertinentes y, tras calificar la actuación como fraudulenta por su departamento de fraude, procedió a cancelar las solicitudes de portabilidad de las líneas telefónicas móviles –en fecha 5 de abril–, dar de baja los servicios de telefonía fija y fibra –en fecha 14 de abril con efectos desde el día de la contratación–, así como realizar los trámites para cancelar cualquier cantidad adeudada por el reclamante a causa de la contratación fraudulenta, recuperando el reclamante el control de su información personal tratada en los sistemas de Vodafone. Por último, Vodafone procedió a anular cualquier factura a nombre del reclamante, devolver las cantidades abonadas por éste –factura con fecha de emisión 8 de junio–, incluir los datos del reclamante en sus bases de datos internas para la prevención del fraude y así evitar nuevas contrataciones fraudulentas y comprobar que el reclamante no se encontraba inscrito en ningún fichero de solvencia patrimonial negativa. Se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 adjunta, como Documento número 2, copia de la factura Nº ***FACTURA.1, con fecha de emisión 8 de junio de 2022, por un importe de -XXX,XX €, a fin de acreditar el abono de cantidades emitido en favor del reclamante. Por lo tanto, mi representada actuó con toda la celeridad posible para resolver la situación una vez que tuvo conocimiento de un posible fraude, tras las manifestaciones realizadas por el propio reclamante, ya que hasta este momento los contratos formalizados por el tercero tenían apariencia de correctos. Siendo así, la actuación fraudulenta es consecuencia de que un tercero sustrajo o accedió a los datos personales o credenciales del reclamante sin su consentimiento, hechos que no pueden ser controlados o conocidos por mi representada. En cuanto a las medidas de seguridad adicionales aplicadas por Vodafone, desde el 14 de marzo de 2012 mi mandante actúa bajo la Política de Seguridad para la Contratación de Particulares, aportada junto con el presente escrito como Documento número
17. Esta Política de Seguridad se ha ido actualizando progresivamente, habiéndose implementado su última modificación en fecha 4 enero de
18. Mediante dicha Política de Seguridad, mi representada establece qué tipo de información debe requerir al cliente para cada gestión solicitada. Asimismo, queda incluido cómo proceder en caso de que un usuario no supere la Política de Seguridad, así como las actuaciones preventivas en situaciones de fraude. La mencionada Política de Seguridad, es de obligado cumplimiento para todos los empleados y agentes de Vodafone, quienes se encargan de aplicarla y respetarla. Por otro lado, a fin de evitar que se produzcan incidencias similares, Vodafone trabaja de forma continua en mejorar las Políticas de Seguridad implementadas en la contratación de servicios y en cualquier otro proceso que conlleve posibles riesgos de fraudes o actuaciones irregulares para nuestros clientes. Asimismo, desde Vodafone se están revisando los procesos internos para asegurar que se cumplen las Políticas de Seguridad definidas o introducir los cambios necesarios cuando se considere pertinente. En concreto, mi representada está trabajando en la mejora continua de: • Revisión de los procesos internos para asegurar que se cumplen las Políticas de Seguridad y controles de verificación que se han ido definiendo e incorporando, tanto en canal presencial como telefónico. • Refuerzos periódicos de comunicación de las Políticas de Seguridad y verificaciones que han sido definidas por Vodafone para la contratación o modificación de servicios y que deben ser aplicadas por las agencias, tiendas comerciales y agentes. • Envío de comunicados periódicos al canal presencial y telefónico, así como al operador logístico, donde se alerta de los escenarios de riesgo detectados, sus características y patrones de comportamiento para prevenir nuevos casos. En estos comunicados se incluye el detalle de cómo se producen estas peticiones, canales a través de los que se solicitan, documentación que aportan, descripción de la manipulación, zonas geográficas donde se están produciendo las incidencias. Con todo ello, podemos confirmar que actualmente mi representada ha realizado todas las actuaciones pertinentes para dar solución a la reclamación, estimando que ha quedado correctamente solventada”. TERCERO: De conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), cuando se presentase ante la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 (en adelante, AEPD) una reclamación, ésta deberá evaluar su admisibilidad a trámite, debiendo notificar a la parte reclamante la decisión sobre la admisión o inadmisión a trámite, en el plazo de tres meses desde que la reclamación tuvo entrada en esta Agencia. Si, transcurrido este plazo, no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en el Título VIII de la Ley. Dicha disposición también resulta de aplicación a los procedimientos que la AEPD hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes. En este caso, teniendo en cuenta lo anteriormente expuesto y que la reclamación se presentó en esta Agencia, en fecha 4 de mayo de 2022, se comunica que su reclamación ha sido admitida a trámite, el día 4 de agosto de 2022, al haber transcurrido tres meses desde que la misma tuvo entrada en la AEPD. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “
19. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “
20. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”. III De conformidad con las evidencias de las que se dispone se considera que, de los hechos denunciados, se desprende un tratamiento de datos sin legitimación, ya que la entidad reclamada realizó la portabilidad objeto de esta denuncia, sin cerciorarse si la persona que lo solicitaba era o no el reclamante, lo cual supone una infracción del artículo 6 del RGPD. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó la portabilidad. El reclamante se dio cuenta porque le llego un SMS donde le indicaba que estaban accediendo a su perfil de “mi Vodafone” pero con otro correo. Pues bien, resulta acreditado tal como reconoce la parte reclamada en su escrito de contestación a esta Agencia de fecha 20 de julio de 2022, << la incidencia se ha originado porque al parecer, el reclamante, sin mantener relación contractual alguna con Vodafone, recibe en su dirección de correo electrónico, el día 31 de marzo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 2022, una comunicación de Vodafone, el que se le informaba del alta de un nuevo usuario en su área de cliente. El reclamante procedió a contactar con Vodafone y requerir información al respecto, siendo informado de que se había solicitado la portabilidad de 4 líneas de teléfono móvil, desde LYCAMOBILE, a nombre de un tercero, así como una portabilidad de un teléfono fijo y fibra, desde ONO (AUNA), la cual habría sido instalada en la dirección postal de un tercero.>> En todo caso, la operadora deberá ser capaz de acreditar que para este caso concreto haya seguido los protocolos de verificación implementados a la hora de solicitar la portabilidad. Posteriormente, al efectuar la reclamación procedieron a dar de baja la portabilidad y a la devolución de las cantidades cobradas. En definitiva, hay que señalar que el respeto al principio de licitud de los datos exige que conste acreditado que el titular de los datos consintió en el tratamiento de los datos de carácter personal y desplegar una razonable diligencia imprescindible para acreditar ese extremo. De no actuar así el resultado sería vaciar de contenido el principio de licitud. En la explicación aportada por la parte reclamada, no se apunta a cuál pudo haber sido la causa concreta que desembocó en la realización de la portabilidad, más allá de unas explicaciones genéricas. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó la portabilidad. De conformidad con las evidencias de las que se dispone en este momento procesal y sin perjuicio de lo que resulte de la instrucción del procedimiento, se estima que la conducta de la parte reclamada podría vulnerar el artículo 6.1 del RGPD pudiendo ser constitutiva de la infracción tipificada en el artículo 83.5.a) del citado Reglamento 2016/
21. En ese sentido el Considerando 40 del RGPD señala: “