← España

PS-00453-2022

1/18  Expediente N.º: EXP202103912 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 21 de diciembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202103912 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 27 de septiembre de 2021, A.A.A.(en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: En el año 2019 tras un problema de suplantación de identidad solicita proteger sus datos personales a VODAFONE, estableciendo para el acceso telefónico la solicitud de una clave de seguridad a partir del día 18/06/2019, señalándose que cualquier trámite o modificación solamente se podrá realizar de manera presencial en las oficinas Vodafone. Con fecha 05/09/2021 recibe un correo electrónico de VODAFONE indicando que había solicitado un duplicado de factura, no habiéndolo solicitado. Tras acceder a su área personal verifica que el dato de correo electrónico de contacto ha sido modificado a otra dirección. El día 07/09/2021 acude a una tienda VODAFONE indicando que ya había sufrido con anterioridad una suplantación de identidad, y el empleado que la atiende le indica que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 remite correo electrónico al departamento de fraude para que estén pendientes, y que si le suplantaran la identidad, quedaría constancia de su aviso a Vodafone. Manifiesta que insistió que se bloqueara cualquier trámite de manera telefónica a realizar en su contrato, y que cualquier modificación o cambio lo debía realizar de manera presencial en sus oficinas. Con fecha 10 de septiembre de 2021, recibe un correo electrónico de VODAFONE en el que le informan que su baja ha sido realizada, dando de baja todos los servicios que tenía contratados por portabilidad a LOWI. Intenta recuperar la línea sin éxito mediante contacto con VODAFONE. Contacta con LOWI para bloquear la línea, y le indican que debe aportar copia del DNI, sin embargo le informan que la política para admitir la contratación/portabilidad es facilitar el número de DNI (no copia del DNI), nombre completo y número de teléfono. Solicita la cancelación por correo el 11/09/2021 y recibe respuesta el 13/09/2021 indicándole que se ha procedido a congelar temporalmente la línea. También pregunta cómo se ha entregado la SIM sin solicitar el DNI del titular del contrato, según lo que indica la página web, y manifiesta que el gestor que la atiende indica que normalmente se depositan en el buzón de la dirección que consta en el contrato y no se pide el documento acreditativo de identidad. Declara que como consecuencia de estos hechos han intentado acceder a su cuenta corriente, que fue bloqueada por su entidad bancaria. Fecha en la que tuvieron lugar los hechos reclamados: 5 de septiembre de 2021 (acceso a la factura y modificación de los datos) y 10 de septiembre de 2021 (portabilidad). Documentación relevante aportada por la parte reclamante: - Copia del duplicado de la factura con VODAFONE que manifiesta no haber solicitado. - Copias de las denuncias policiales interpuestas en fechas 10 y 17 de septiembre de 2021. - Copia de contrato con LOWI a su nombre. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 3 de noviembre de 2021 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 8 de noviembre de 2021 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 El 6 de diciembre de 2021, se recibe respuesta a dicho requerimiento por parte de VODAFONE, indicándose que envió un correo electrónico a la reclamante en fecha 8 de septiembre de 2021 a la dirección ***EMAIL.1, en el que le informaba de que se iba a realizar dicha portabilidad, sin que hubiera manifestado su rechazo a la misma. No obstante, al no reconocer la portabilidad efectuada por parte de la reclamante, VODAFONE le comunicó que desde el Departamento de Fraude de VODAFONE no era posible realizar ninguna gestión adicional sobre la línea puesto que esta línea se encontraba dada de alta en LOWI. Por ello, la entidad reclamada indicó a la reclamante que debía ponerse en contacto con LOWI y tramitar con dicha operadora dicha incidencia informándoles de los hechos acontecidos. Asimismo, comunicó a la reclamante que, una vez declarado el fraude en LOWI y recuperado el control sobre la línea, podría solicitar la portabilidad de nuevo a VODAFONE. Así las cosas, el 5 de octubre de 2021, el departamento de fraude se puso en contacto con la reclamante para devolver la línea afectada a VODAFONE por medio de una retroportabilidad, si bien el marido de la reclamante rechazó dicha portabilidad. Por tanto, VODAFONE considera que la incidencia quedó correctamente resuelta. TERCERO: Con fecha 27 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: UNO. Se ha requerido información y documentación a VODAFONE con el siguiente resultado: Se ha constatado la existencia de una interacción registrada en los sistemas de VODAFONE consistente en una llamada de teléfono entrante de fecha 05/09/2021 17:21h solicitando duplicado de factura del mes de septiembre, e información sobre datos bancarios y la entidad bancaria. Como resultado de la llamada consta “informo”. Se ha requerido a la entidad aportar acreditación documental del paso de la política de seguridad (con los datos que se solicitaron para pasarla) y haber solicitado la clave de seguridad al solicitante para realizar esta gestión, habiendo indicado los representantes de la entidad que no se tiene información adicional sobre esta interacción. No consta en los sistemas de VODAFONE, según la información aportada por la entidad, ninguna interacción correspondiente al cambio a la dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 electrónico del supuesto suplantador. Solo consta un cambio a la dirección de correo de la reclamante el 05/09/2021 vía web. Solicitada información sobre el funcionamiento de la clave de seguridad los representantes de VODAFONE manifiestan que la entidad pone a disposición de sus clientes la opción del paso de una política de seguridad estricta, pudiendo elegir entre ser solo atendido de forma presencial en una tienda, o ser solicitada siempre la clave de seguridad (llame o no el titular). Si en un futuro quiere anular esta política estricta, la petición tendrá que realizarla por escrito, no pudiendo volver a política de seguridad habitual con petición telefónica. En la opción de Atención con clave, se marca la ficha de cliente con este tipo de política, de tal forma que salta un pop up en el momento que entra la llamada: “SOLO ATENDER CON CLAVE DE ACCESO DE ATENCIÓN AL CLIENTE”, de tal forma que telefónicamente única y exclusivamente se realizarán gestiones sobre los servicios que tiene contratados si facilita la clave de seguridad. Nunca se atenderá sin la clave de acceso de Atención al cliente, aunque facilite los datos del titular. (Existe otra opción disponible de clave de acceso de atención al cliente para ser atendido solicitando solo la clave, sin solicitarse desde Vodafone ningún otro dato. En este caso se podría atender pasando la política de seguridad facilitando los datos del titular o con la clave, cualquiera de las dos opciones sería valida). Requerida la relación y el detalle de todos los contactos mantenidos con la reclamante entre los días 01/09/2021 y 15/09/2021 incluyendo las anotaciones realizadas por los gestores de atención telefónica y el reflejo en los sistemas que acredite las acciones emprendidas por la entidad en cada contacto, VODAFONE aporta, entre otras, las siguientes interacciones en orden cronológico, con las anotaciones que se reflejan en su caso: - 05/09/2021 16:51 llamada teléfono entrante, consulta factura, sin más anotaciones. - 05/09/2021 17:07 llamada teléfono entrante, modificación datos cliente, sin más anotaciones. - 05/09/2021 17:12 llamada teléfono entrante, razón: consulta factura. - 05/09/2021 17:21 (llamada ya especificada en este informe más arriba) llamada de teléfono entrante de fecha 05/09/2021 17:21h solicitando duplicado de factura del mes de septiembre, e información sobre datos bancarios y la entidad bancaria. Consta como resultado: “informo”. - 07/09/2021 16:45 llamada teléfono entrante consta: posible fraude, suplantación, y la nota: “enviamos correo a fraude para revisión de datos posible intento de fraude”. - 07/09/2021 16:49 llamada teléfono entrante nota: “corregimos dirección a petición cliente”. - 10/09/2021 18:41 llamada teléfono entrante. Cliente indica que le han portado su número de teléfono sin haberlo solicitado. Se genera un caso por el Servicio de Atención al Cliente con los siguientes comentarios: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 “Cliente indica que sin su consentimiento se ha generado la portabilidad de su linea numero ***TELEFONO.1 el día 8 de setiembre del 2021 al operador lowi, se menciona que dicho cliente tiene un atestado por suplantación de identidad y por ende todo tramite generado no corresponde a decisión del titular de los servicios. Se solicita se puede revisar inmediatamente y gestionar la activación nuevamente del servicio móvil debido a que es de urgencia para el titular ya que s encuentra fuera de su domicilio incomunicado totalmente y además el numero portado esta siendo ultilizado por otra persona ya que se certifica al momento de realizar llamadas. “ El día 12/09/2021 a las 14:20 se cierra el caso desde el departamento de fraude con los siguientes comentarios: “Como el cliente reclama que su línea ***TELEFONO.1 se ha portado desde vdf en otra compañía- lowi Baja móvil Esencial Portabilidad Inversa VF 9/09/2021, línea ea en dp de portabilidad. Desde fraude vdf, no tenemos acceso a lowi. En esta situación el cliente tiene que ponerse en contacto con el operator lowi- y con el depart de portabilidad/bajas vdf que ha realizado la baja. La línea ya no esta activa en vdf y desde fraude no se puede generar ninguna gestión. ; motivo de envío improcedente a esta cola, devuelvo el caso en la cola de origen” Se ha requerido información sobre si se emitieron avisos de portabilidad por SMS a la línea de la reclamante, así como acreditación documental de los avisos en caso afirmativo. Los representantes de VODAFONE han manifestado al respecto que en los sistemas internos de la entidad no se tienen registros de SMS en los que se avise a la reclamante de la portabilidad. DOS. Se ha requerido información y documentación a LOWI con el siguiente resultado: El procedimiento de portabilidad seguido por LOWI incluye un proceso de firma digital, que según manifiestan los representantes de la entidad: - Aplica para todos los canales y se trata de un proceso obligatorio tanto para nuevos clientes como para clientes propios. - Durante el proceso de firma digital se le envían dos comunicaciones al cliente, ambas por el mismo canal. La primera donde recibe un enlace para acceder, introduciendo su DNI, al detalle de los productos y tarifas contratadas y donde se puede descargar una copia de su contrato. En la segunda comunicación recibe un código de autenticación con contraseña de un solo uso (por sus siglas en inglés “OTP” o “One Time Password”) que debe introducir para firmar digitalmente su pedido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 - Si en la contratación hay algún móvil con portabilidad, las comunicaciones de firma digital se envían vía SMS al móvil que porta. - (…) La portabilidad objeto de este expediente, del día 10/09/2021, se tramitó telefónicamente. Adjuntan la grabación de la solicitud de portabilidad. Se constata que en la conversación telefónica la persona solicitante facilita los datos de la reclamante: DNI, nombre, apellidos, y número a portar, que comienza por 607, indicando VODAFONE como operador de origen con la modalidad de contrato. El gestor también solicita durante la conversación entre otros datos un teléfono de contacto (que la solicitante facilita y que comienza por 649), una dirección postal para el envío de la tarjeta SIM y la cuenta bancaria. Se constata que el gestor indica a la solicitante que le va a enviar un mensaje de texto al teléfono de contacto, que comienza por 649, para que le revise en contrato y lo acepte. (…). Los representantes de LOWI indican que en marzo de 2022 se realizó una modificación en el procedimiento para reforzar el proceso de contratación telefónica y así evitar posibles altas fraudulentas. En concreto, el cambio que se llevó a cabo es el siguiente: “Si la grabación incluye una portabilidad debe realizarse una llamada al número de portabilidad para realizarla. No se puede hacer en la misma llamada”. Los representantes de la entidad indican que la firma digital, al llevarse a cabo sobre el dispositivo que se quiere portar (en los casos de portabilidad), sirve como garantía de que el firmante está en posesión del número que se porta. En los casos en los que resulte imposible llevar a cabo la firma digital se deberá de realizar, como garantía, una llamada al número objeto de portabilidad. Indican que esto se debe a que, si la portabilidad se lleva a cabo a través de una llamada realizada por el sujeto interesado, el agente que atiende la solicitud puede no conocer la numeración desde donde está recibiendo la llamada. Sobre si se emitieron avisos de portabilidad por SMS a la línea a portar y la acreditación documental del envío de estos avisos los representantes de LOWI han manifestado que estos SMS se archivan únicamente durante un plazo de 3 meses, por lo que no se tiene un histórico para el caso. Aportan captura de pantalla de un mensaje modelo que se envía para informar a los nuevos clientes de una portabilidad. En lo que respecta al servicio de envío postal para la entrega de tarjetas SIM, se ha requerido a LOWI para que aporte copia completa del contrato de servicios suscrito con la entidad de envíos postales para la entrega de las tarjetas SIM, así como documentación contractual donde se indique la modalidad de envío y la forma de identificar al receptor de la tarjeta SIM. Los representantes de LOWI han manifestado que han adoptado, junto con la entidad que presta el servicio, una serie de controles para acreditar la identidad del receptor del envío. En concreto, se tienen los siguientes controles: (

  1. i)Entrega validada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 Se recoge el DNI de la persona que recibe el envío. (
  2. ii)Entrega exclusiva al destinatario titular del envío. La operativa consiste en que cuando el conductor va a realizar la entrega, en el dispositivo de reparto salta una notificación indicando lo siguiente: “No entregar si no nos presentan DNI original del titular del envío. Solo entregar en la dirección indicada”. Aportan copia del acuerdo de prestación de servicios con entidad de paquetería en el que se indica: “Los datos del receptor serán tratados para proceder a la entrega y, en aquellos supuestos en los que así lo exija el Cliente, acreditar su recepción mediante: El registro del nombre y apellidos del receptor de la entrega y su DNI junto a la captura de su firma ya sea en soporte papel o mediante nuestras PDAS lo que incluye, junto a la imagen de la firma, Información sobre determinados rasgos (velocidad de trazo, presión...) que la identifican de forma unívoca. En cualquier caso, el receptor puede solicitar firmar en soporte papel. Adicionalmente, en caso de que los servicios contratados así lo incluyan, la verificación de autenticidad del DNI del receptor. Para ello, [el prestador del servicio], cumpliendo las exigencias del Cliente, obtendrá una copia de su documento fehaciente de identificación y comprobará la existencia de indicios de falsificación a través de medios de lectura mecánica u otras técnicas de verificación.” Este documento apunta por tanto diferentes posibilidades u opciones de acreditación de la identidad del receptor, según lo exija el cliente (en este caso LOWI), pero no se aporta documentación acreditativa que refleje sí dichas opciones han sido exigidas o contratadas por LOWI con la empresa de paquetería. Entre los contactos registrados en el sistema de información de la entidad consta el mencionado por la reclamante de fecha 10/09/2021 figurando la anotación de que se activa palabra de seguridad por robo, a petición del cliente, facilitando el gestor email para que la reclamante mande denuncia ya que manifiesta que teme que se genere deuda. El 13/09/2021 consta anotación en la que se informa al cliente que la línea está congelada, gestión motivada por un correo electrónico entrante de la reclamante. TRES: VODAFONE ESPAÑA ha absorbido a VODAFONE ENABLER (LOWI) con fecha de 13/10/2022 FUNDAMENTOS DE DERECHO I De acuerdo con lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II La seguridad en el tratamiento de datos personales viene regulada en el artículo 32 del RGPD donde se establece lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  3. a)la seudonimización y el cifrado de datos personales;
  4. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  5. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  6. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” El artículo 73.
  7. f)de la LOPDGDD, bajo la rúbrica “Infracciones consideradas graves dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 “En función del artículo 83.4 del Reglamento (UE) 2016/679 se considerarán graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel, y en particular los siguientes:
  8. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679 III Por su parte el artículo 6.1 del RGPD establece que “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  9. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  10. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  11. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  12. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  13. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  14. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.” El artículo 72.1.
  15. b)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  16. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento en el artículo 6 del Reglamento (UE) 2016/679.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 IV La Circular 1/2009, de la Comisión del Mercado de las Telecomunicaciones, por la que se introduce el consentimiento verbal con verificación por tercero en la contratación de servicios mayoristas regulados de comunicaciones fijas, así como en las solicitudes de conservación de numeración establece en relación a la tramitación de solicitudes de servicios mayoristas regulados de comunicaciones fijas y/o portabilidad con consentimiento verbal lo siguiente: “Para que el operador beneficiario pueda iniciar la tramitación de una solicitud con consentimiento verbal del abonado, será necesario:
  17. a)Que la verificación que acredite el consentimiento del abonado a cambiar de operador con o sin portabilidad numérica, o aquélla que acredite el consentimiento para conservar la numeración por cambio de operador (fija o móvil) cumpla con los siguientes requisitos: 1. La llamada de verificación sea iniciada por el abonado (llamando al verificador), o por el agente de ventas del operador (desviando la llamada hacia el verificador y abandonando la misma). 2. La verificación sea realizada telefónicamente de manera directa por un agente de verificación por tercero, sin que puedan ser empleados para dicha operación sistemas automáticos basados en grabaciones o en mecanismos de síntesis de voz. 3. Durante la llamada de verificación el agente de verificación no se lleve a cabo promoción del servicio, ni ningún otro tipo de actividad comercial o de marketing. 4. La llamada de verificación se adecue al contenido del cuestionario de verificación incluido en el anexo I de esta Circular que proceda para cada tipo de actuación, con independencia de las frases concretas que se vayan a emplear en la llamada de verificación. 5. La llamada de verificación deberá ser codificada en formato MP3 o WAVE.
  18. b)Que una vez finalizada la llamada de verificación, el verificador haya determinado si se trata de una verificación positiva, teniendo en cuenta los criterios de verificación recogidos en la presente Circular y así lo comunique al operador beneficiario.
  19. c)Que el operador beneficiario remita al abonado la confirmación documental del contrato telefónico acordado y de la verificación del mismo, una vez recibida la comunicación de verificación positiva. A estos efectos, el operador beneficiario, al cual le corresponde la carga de la prueba, deberá remitir la confirmación documental de conformidad con la normativa vigente. Esta documentación deberá incluir: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 1. Términos y condiciones a que está sujeta la solicitud tramitada. 2. Indicación de que dicha solicitud de actuación se ha verificado por un tercero en el transcurso de una llamada telefónica, indicando la fecha y hora de la verificación. 3. Información sobre el derecho de revocación por el abonado, indicando el procedimiento a seguir (al menos, el operador beneficiario dispondrá de un número telefónico perteneciente al rango 901, donde el abonado podrá revocar su solicitud) y plazo para ejercitarlo, de conformidad con la normativa vigente, sin incurrir en penalización ni gasto alguno por parte del abonado, el cual deberá ser asumido por el operador beneficiario. 4. Se informará al abonado de que en caso de reclamación deberá dirigirse al departamento o servicio especializado de atención al cliente del operador, en el plazo de un mes desde el momento en que tenga conocimiento del hecho que la motive (en el caso de que la reclamación sea referente a facturación, será desde la fecha de recepción de la misma), obteniendo el número de referencia dado a la reclamación. Asimismo se informará al abonado que si en el plazo de un mes no hubiera recibido respuesta satisfactoria del operador, podrá dirigir su reclamación por las siguientes vías, de acuerdo con la normativa propia de cada organismo: Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI), teléfono de consulta 901 33 66 99 y pagina web http://www.usuriosteleco.es Juntas Arbitrales de Consumo, directamente o a través de una Asociación de Consumidores.” V De conformidad con las evidencias de las que se dispone en el presente momento, y sin perjuicio de lo que resulte de la instrucción de este procedimiento sancionador, se considera que la entidad reclamada ha vulnerado la confidencialidad requerida en el tratamiento de datos personales, ya que pese a las medidas de seguridad indicadas, se ha producido la portabilidad de la línea del reclamante a otra compañía sin su consentimiento. Se ha acreditado que VODAFONE emitió un duplicado de factura el 05/09/2021, que fue solicitado telefónicamente, junto con una solicitud de información de datos bancarios y de la entidad bancaria, no habiendo aportado la entidad acreditación documental del paso de la política de seguridad al solicitante para su correcta identificación, ni si fue solicitada la clave de seguridad al solicitante para realizar esta gestión. Sobre el cambio de dirección de correo electrónico que menciona la reclamante, los representantes de VODAFONE indican que no constan interacciones. Sí se constata, en el histórico de interacciones, una del 05/09/2021 17:07 mediante la que modifican los datos cliente, sin más anotaciones, no constando ningún tipo de acreditación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 documental del paso de la política de seguridad al solicitante para su identificación, ni sobre la solicitud de la clave de seguridad para realizar esta gestión. Sobre la portabilidad, el proceso se inicia en LOWI, como operador receptor de la portabilidad. VODAFONE, como operador donante, acepta la portabilidad cuya solicitud le llega de otro operador con los datos correctos, habiéndose constatado que el solicitante (presunto suplantador) los aportó en llamada telefónica a LOWI. (…) LOWI ha aportado la grabación de voz de la conversación de solicitud de portabilidad del día 10/09/2021 como acreditación documental, indicando que es la grabación legal de la portabilidad. LOWI ha manifestado que en marzo de 2022 ha incorporado en su procedimiento de portabilidad con grabación legal, un control sobre la línea a portar, consistente en la realización de una llamada a la misma, para evitar portabilidades fraudulentas. Sobre la contratación de los servicios de paquetería para el envío de las tarjetas SIM, tarjeta necesaria para efectuar la portabilidad, LOWI no ha aportado documentación que refleje la modalidad de envío contratada y que acredite la forma de identificar al receptor de la tarjeta SIM. Por lo tanto, esta Agencia considera que nos encontramos ante una vulneración del artículo 32 del RGPD, ya que las medidas de seguridad de la entidad reclamada no son adecuadas permitiendo la suplantación de identidad, al haberse procedido a la emisión de una factura duplicada y cambio de la dirección de correo electrónico por un tercero distinto al titular de tales datos, por lo que se considera que deben ser mejoradas tras haber quedado constatado que no han sido suficientes para evitar los hechos denunciados. En relación a la portabilidad de la línea realizada por LOWI nos encontramos asimismo ante una vulneración del artículo 32 del RGPD por realizarse dicha portabilidad sin contar con las adecuadas medidas de seguridad por parte de la entidad reclamada, ya que las existentes no impidieron la suplantación de identidad del titular de la línea objeto de dicha portabilidad y la entrega de la tarjeta SIM a una persona que no era la titular de la línea. En este sentido ha de tenerse en cuenta, que con fecha de 13/10/2022, VODAFONE ESPAÑA ha absorbido a VODAFONE ENABLER (LOWI), por lo que esta Agencia considera que es VODAFONE ESPAÑA quien ha de responder por la portabilidad indebidamente realizada por VODAFONE ENABLER (LOWI), al no contar con el consentimiento del titular de la línea, ya que VODAFONE hereda los incumplimientos realizados por LOWI. Por lo tanto, hemos de considerar que VODAFONE, sin perjuicio de lo que resulte de la instrucción, permitió un cambio de dirección de e-mail de la reclamante se emitió un duplicado de la factura a petición de un tercero ajeno al titular de la línea sin que haya acreditado que se pasó de la política de seguridad al solicitante para su correcta identificación, ni que se solicitara la clave de seguridad, lo que supone una infracción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 del art. 32 del RGPD. Además, se realizó por LOWI, entidad absorbida por la entidad reclamada, la portabilidad de la línea objeto de este procedimiento, sin comprobar adecuadamente la identidad del solicitante, ni la identidad de la persona a la que se entregaba la tarjeta SIM, lo cual implica una segunda infracción del artículo 32 del RGPD, al no adoptar las medidas de seguridad necesarias para garantizar la protección de los datos de carácter personal de sus clientes. VI Por otro lado, podemos considerar que LOWI solicitó la portabilidad de la línea y trató los datos de la reclamante sin contar con base de legitimación, según la Circular 1/2009 de la CMT (en la actualidad CNMC), por la que se introduce el consentimiento verbal con verificación por tercero en la contratación de servicios mayoristas regulados de comunicaciones fijas, así como en las solicitudes de conservación de numeración, tal y como se ha indicado en el fundamento de derecho IV. De manera que en virtud de dicha normativa, es el operador beneficiario el que tiene que comprobar que existe consentimiento verbal y no puede tramitar la solicitud si no cuenta con tal consentimiento. Por lo tanto podríamos decir que nos encontramos ante una vulneración del artículo 6 del RGPD de conformidad con el fundamento de derecho III al carecer de base de legitimación para llevar a cabo dicha portabilidad, al no seguir el protocolo establecido en la Circular 1/2009 de la CMT, indicado en el fundamento de derecho IV. VII El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  20. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
  21. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; VIII La infracción del artículo 6 del RGPD puede ser sancionada con multa de 20 000 000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Las infracciones del artículo 32 del RGPD pueden ser sancionadas con multa de 10 000 000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.4 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 Asimismo, se considera que procede graduar las sanciones a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: - Vinculación de la actividad de los investigados con la realización de tratamientos de datos de carácter personal: el desarrollo de la actividad empresarial que desempeñan las entidades requiere un tratamiento continuo de datos personales. - Reincidencia de infracciones ya resueltas en relación con los mismos hechos: constan varios procedimientos sancionadores resueltos, o en trámite a la firma del presente informe, por infracciones de VODAFONE en el último año con relación a medidas de seguridad e identificación de clientes, como pueden ser los de referencias PS/00001/2021, PS/00296/2022, PS/295/2022, PS/290/2022, PS/00324/2022, PS/611/2022. - Volumen de negocio es de 2.954 millones de euros y 3.064 empleados. - Naturaleza de los perjuicios más graves causados al reclamante: posible ruptura de la seguridad en el segundo paso de operaciones bancarias o financieras que utilicen como segundo paso de autenticación la confirmación de la operación por SMS, con posibles perjuicios económicos para el reclamante solo si el suplantador está además en conocimiento de otros datos, necesarios para el primer paso de autenticación, tales como las credenciales (usuario y claves ) utilizadas en entidades bancarias/financieras. Por lo tanto, a tenor de lo anteriormente expuesto, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, de conformidad con lo previsto en el artículo 58.2.
  22. b)del RGPD, por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
  23. b)del RGPD por tratar los datos de la reclamante para tramitar la portabilidad de la línea sin base de legitimación. SEGUNDO: INICIAR PROCEDIMIENTO SANCIONADOR a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, de conformidad con lo previsto en el artículo 58.2.
  24. b)del RGPD, por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
  25. a)del RGPD por permitir un cambio de dirección de e-mail de la reclamante, sin contar con su consentimiento, y emitir un duplicado de la factura a petición de un tercero ajeno al titular de la línea. TERCERO: INICIAR PROCEDIMIENTO SANCIONADOR a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, de conformidad con lo previsto en el artículo 58.2.
  26. b)del RGPD, por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
  27. a)del RGPD por tramitar una portabilidad sin asegurarse de la identidad del solicitante y por la entrega de la tarjeta SIM a una persona que no era la titular de la línea sin contar con las adecuadas medidas de seguridad para impedir la suplantación de identidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 CUARTO: NOMBRAR como instructor a R.R.R. y, como secretario, a S.S.S., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). QUINTO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigaciones, así como el informe de actuaciones previas de Inspección. SEXTO: QUE a los efectos previstos en el art. 64.2
  28. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, por tratar los datos de la reclamante para tramitar la portabilidad de la línea sin base de legitimación, le correspondería una sanción de 70.000 € (setenta mil euros), por la infracción del artículo 6 del RGPD, sin perjuicio de lo que resulte de la instrucción. SEPTIMO: QUE a los efectos previstos en el art. 64.2
  29. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, por permitir un cambio de dirección de e-mail de la reclamante, sin contar con su consentimiento, y emitir un duplicado de la factura a petición de un tercero ajeno al titular de la línea, le correspondería una sanción de 50.000 € (cincuenta mil euros), por la infracción del artículo 32 del RGPD, sin perjuicio de lo que resulte de la instrucción. OCTAVO: QUE a los efectos previstos en el art. 64.2
  30. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, por tramitar una portabilidad sin asegurarse de la identidad del solicitante y por la entrega de la tarjeta SIM a una persona que no era la titular de la línea sin contar con las adecuadas medidas de seguridad para impedir la suplantación de identidad, le correspondería una sanción de 50.000 € (cincuenta mil euros), por la infracción del artículo 32 del RGPD, sin perjuicio de lo que resulte de la instrucción. NOVENO: NOTIFICAR el presente acuerdo a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  31. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción sobre las tres sanciones quedaría por un total de 136.000€, resolviéndose el procedimiento con la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción sobre las tres sanciones quedaría por un total de 136.000€ y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe total a pagar por las tres sanciones quedaría establecido en 102.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 136.000 € o 102.000 €, deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-260122 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 17 de enero de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 136000 euros haciendo uso de una de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente. Por tanto, no ha quedado acreditado el reconocimiento de responsabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202103912, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  32. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 937-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.