PS-00500-2023

1/42  Expediente N.º: EXP202304539 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 27 de febrero de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada o Vodafone). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta haber sido víctima de acciones maliciosas por parte de un tercero desconocido mediante las que se habría obtenido, en fecha 25 de julio de 2022, un duplicado de su tarjeta SIM sin su consentimiento para, finalmente, lograr acceder a sus cuentas bancarias y realizar cargos no autorizados en la misma. En esta reclamación se indica que el duplicado de tarjeta fue entregado a un tercero en una tienda física de Vodafone. Junto a su reclamación aporta: Mensaje de texto de fecha 25 de julio de 2022, 13:07 horas, en el que Vodafone le informa sobre la solicitud del duplicado de su tarjeta SIM. El texto de este SMS es el siguiente: “VF info: Respondiendo a tu solicitud hemos realizado el cambio de SIM que nos has solicitado. En caso de que no nos lo hayas solicitado, llámanos al 22123. Gracias por confiar en Vodafone”. Denuncia ante la Policía Nacional dependencia de ***LOCALIDAD.1 de fecha 28 de julio de 2022 (Atestado nº: (....)), donde se manifiesta lo siguiente: “El dicente se presenta en estas dependencias para denunciar la estafa sufrida… que solo puede aportar un número de teléfono ***TELÉFONO.1, que desconoce más del autor de los hechos… Que el 25 de julio de 2022 sobre las 13:07 horas recibe un mensaje de texto informándole del cambio SIM. Se queda sin línea en su terminal. Contacta con Vodafone, para informar de tales hechos, ya que él no había solicitado ningún cambio al respecto. Pasada una hora recibe un mensaje de su entidad bancaria, activación de bizum por un importe de 600 euros. Una vez recibido el mensaje contacta con su entidad para desvincular el número de teléfono que había accedido a su cuenta… con hora a las 14:12. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/42 Que ha contactado con Vodafone para presentar una reclamación por permitir el cambio de SIM”. - Reclamación por fraude de fecha 3 de agosto de 2022 efectuada por el reclamante ante Vodafone: “Estimados señores de Vodafone: Me dirijo a ustedes para denunciar lo sucedido el día 25/07/2022, a las 13:08 horas, en el que Vodafone realiza un duplicado de mi tarjeta SIM del número ***TELÉFONO.2, sin mi consentimiento y haciendo de entrega de ella a un desconocido, el cual la utilizo para suplantar mi identidad y defraudar mi cuenta bancaria (sim swapping)… Dicha persona desconocida se sirve de esta para suplantar la identidad del usuario de dicha SIM y cometer un fraude de 600€ en la cuenta bancaria vinculada con esta línea móvil... Tras recabar información a lo largo de estos días por parte de Vodafone, se puede deducir, que el duplicado de la SIM, se cometió en una tienda física, ya que la entrega de esta SIM fue inmediata, donde se omitieron todas las medidas de seguridad en cuanto a identificación y comprobación de la identidad del titular…Pendiente de la comunicación por parte del departamento de fraude, con el número de reclamación (...), para la correspondiente explicación, y aclaración de lo sucedido, todavía a fecha de hoy nadie se ha dignado a dar una disculpa. De los perjuicios de este acto, también indicar que además de tener que cambiar de numero de las dos líneas que tengo contratada con Vodafone, me veo obligado a numerosas gestiones (médicos, organismos oficiales, trabajo, bancos, contactos y contraseñas vinculadas) que implicaban tener los antiguos números de teléfono”. - Contestación de Vodafone de fecha 4 de agosto de 2022, donde le informan “que el día 25 de julio de 2022, se le realizó mediante una tienda física de Vodafone el duplicado de SIM, por tal motivo si desea gestionar cualquier reclamación debe dirigirse a la tienda que le realizó la modificación, se verifica que el caso ya fue escalado con el departamento encargado, por tal motivo es importante esperar la respuesta para poder informársela…”. - Nueva contestación del SAC de Vodafone, de fecha 05/08/2022: “…en respuesta a su solicitud, le informamos que hemos realizado las validaciones previas a su consulta, donde muy amablemente le solicitamos que interponga denuncia, con la entidad correspondiente, ya que lamentamos informarle que por este departamento no podemos ofrecer otra respuesta/solución”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 20 de abril de 2023 como consta en el acuse de recibo que obra en el expediente, sin que se recibiera respuesta alguna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/42 TERCERO: Con fecha 27 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 17 de julio de 2023 se recibe en esta Agencia escrito de Vodafone de respuesta al requerimiento de información que le fue realizado por los Servicios de Inspección, en el que indica lo siguiente: <<…en fecha 3 de agosto de 2022, Vodafone tiene constancia de que la solicitud de un duplicado SIM realizado telefónicamente a través de los servicios de Atención al Cliente de Vodafone en fecha 25 de julio de 2022, habría sido realizado de forma fraudulenta, no siendo reconocido por la Reclamante. En este sentido, cuando se realiza un duplicado SIM a través del canal telefónico, se lleva a cabo la comprobación de la identidad del solicitante mediante la vinculación del trámite a la aportación de los datos requeridos por la Política de Seguridad para la Contratación de Particulares (en adelante, “la Política de Seguridad”); sin que se requiera documentación adicional al solicitante para el cambio. Por lo que si el solicitante supera lo previsto en la Política de Seguridad se activan los trámites oportunos para atender su petición. En este sentido, esta representación debe aclarar que no consta grabación telefónica del trámite referido, en tanto que dicha llamada no fue grabada… Entendemos que, en todo caso, lo ocurrido queda fuera del ámbito de responsabilidad de mi mandante pues los clientes o interesados tienen la responsabilidad de custodiar debidamente sus datos, estando únicamente dentro de la esfera de control de mi mandante la adecuada definición de los procedimientos, sistemas, controles y el establecimiento y control de las medidas de seguridad aplicables en función de la criticidad del tratamiento, a fin de adoptar los medios adeudados para la correcta identificación del cliente o solicitante de un trámite… La reclamación tiene su origen en que la reclamante, titular de la línea de telefonía móvil ***TELÉFONO.2, alega en su reclamación haber sido víctima de acciones maliciosas por parte de un tercero desconocido mediante las que se habría obtenido, en fecha 25 de julio de 2022, un duplicado de su tarjeta SIM sin su consentimiento para, finalmente, lograr acceder a sus cuentas bancarias y realizar cargos no autorizados en la misma. Una vez que la reclamante se percató de estos hechos, no reconociendo la actuación realizada, se puso en contacto con mi representada, el día 3 de agosto de 2022, siendo este el primer momento en que Vodafone tuvo conocimiento de los hechos objeto de reclamación… C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/42 Al respecto, tras verificar que la gestión realizada, pese a tener apariencia de veracidad, no era reconocida por la Reclamante, el Departamento de Fraude procedió a analizar los hechos controvertidos y calificar la operación realizada como fraudulenta. En consecuencia, Vodafone procedió a la activación sobre la cuenta de cliente de la reclamante medidas de seguridad adicionales para evitar cualquier otro perjuicio a la reclamante. En todo caso, quiere esta parte señalar que la reclamante efectuó un ulterior duplicado de SIM el mismo día que se realizó la gestión fraudulenta, presencialmente, a través de uno de los establecimientos de Vodafone, sito en ***LOCALIDAD.1. (…) En todo caso, quiere esta parte señalar que la efectiva gestión de un duplicado de tarjeta SIM conlleva la superación de las políticas de seguridad que esta entidad tiene implementadas a fin de prevenir que se realicen prácticas fraudulentas sobre los datos personales de sus clientes. En este sentido, y al haberse tramitado dicha gestión sujeta a dicha política de seguridad, mi representada entendió en todo momento que se trataban de gestiones lícitas, reales y veraces... (…). (…). (…). (…). (…). (…) Con su respuesta, aporta, entre otra, la documentación siguiente: . Copia de DNI de la parte reclamante y documento de “Solicitud de activación duplicado de SIM” suscrito por la misma en fecha 25/07/2022, en una tienda de Vodafone sita en ***LOCALIDAD.1. . “Política Seguridad Contrato (Particulares)”, en su versión aprobada en fecha 08/03/20222. En este documento se indica lo siguiente: “(…)”. “(…)”. “(…): (…) (…) (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/42 . Informe sobre el caso en el que se detallan las anotaciones relativas a la línea de la parte reclamante y a las interacciones registradas a partir del 23 de julio de 2022. Entre las indicadas, cabe destacar las siguientes: . Constan dos órdenes de cambio de tarjeta SIM, realizadas ambas el día 25/07/2022. La primera desde “Tienda online” y la segunda desde tienda física (Franquicia XXX). . En la misma fecha del 25/07/2022 se desactivan las dos líneas móviles de la parte reclamante y se activan dos nuevas líneas a su nombre. . Petición de fraude de la parte reclamante, mediante contacto con el SAC de Vodafone de fecha 25/07/2022, a las 16:47 hora: “El cliente comunica que le han generado un duplicado de la tarjeta sin el cliente solicitarlo. El cliente indica que le han sacado dinero de la cuenta y responsabiliza a Vodafone”. . Varias consultas sobre la reclamación de fraude: 29/07/2022, 03/08/2022. En el registro correspondiente a la llamada de consulta de 29/07/2022 consta la anotación siguiente: “pide que se haga las gestiones correspondientes según proceso ***URL.1 según las comprobaciones que realizo ot (...) cambio d sim en tienda online pero no se verifica como recibió esta tarjeta al parecer solo se cambió el nro de tarjeta después cliente llamó y se hizo las demás gestiones, no se comprueba que nadie ha recibido la sim físicamente por lo que no veo el fraude por lo que pido a este dpto que haga más gestiones y contacte con el cliente para informar”. . Interacciones: . De fecha 23/07/2022, 19:24:16 horas, razón “Consulta ficha”, que tipifican como “No titular”. . De fecha 25/07/2022, 12:56:13 horas, que tipifican como “Transferencia contratar (Televenta)”. . De fecha 25/07/2022, 12:57:49 horas, que tipifican como “Consulta pin y puk pero no dejan constancia de nada más”. . De fecha 25/07/2022, 13:05:12 horas, que tipifican como “Servicio postventa cambio de SIM pero no se indica nada más”. . De fecha 25/07/2022, 13:07:17 horas, que tipifican como “Postventa cambio de SIM”. . De fecha 25/07/2022, 13:08:28 horas, “donde se hace la consulta del número ***TELÉFONO.1 desde la web y se deja indicado que pasa política ok y gestionan la Orden de Trabajo”. . De fecha 25/07/2022, 16:33:37 horas, “donde desde la FRANQ (...) solicitan saber el motivo del duplicado de SIM en la línea ***TELÉFONO.2 y desde atención al cliente realizan bloqueo al no haber sido solicitado”. Consta la siguiente anotación: “Pide saber porque solicitaron un duplicado de tarjeta de su línea móvil ***TELÉFONO.2 y realizo bloqueo porque nunca solicitado este duplicado pide sabe que procedimiento hacer”. . Interacción de 25/7/2022 16:53:50 consta una modificación de datos teléfono comunicaciones . Interacción de 26/7/2022 14:47:25 donde se hace cambio de número por fraude. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/42 No aportan ninguna documentación que acredite el efectivo paso de la Política, ni la efectiva solicitud de los datos por parte del operador para pasar la política, ni qué datos fueron facilitados por el solicitante, en su caso. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad VODAFONE ESPAÑA, S.A.U. es una gran empresa constituida en el año 1.994, y con un volumen de negocios de (...) euros en el año 2022. SEXTO: Con fecha 15 de marzo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en, la LPACAP, la parte reclamada solicitó ampliación del plazo y copia del expediente y presentó escrito de alegaciones el día 11 de abril de 2024 en el que, en síntesis, manifiesta: <<PRIMERA.- La adopción de medidas técnicas y organizativas no es una obligación absoluta. Vodafone ha cumplido con el principio de licitud del tratamiento y con la obligación de adoptar medidas técnicas y organizativas adecuadas para garantizar el mismo. I. Previo: la obligación de adoptar medidas técnicas y organizativas para garantizar un nivel de seguridad adecuado al riesgo no es una obligación absoluta. Así pues, el responsable del tratamiento está sujeto a una obligación de medios, no a una obligación de resultados en el sentido de entender que todo incidente es un incumplimiento del deber de garantizar un nivel de seguridad adecuado al riesgo. Por tanto, del hecho de que un tercero, mediante la comisión de delitos, haya superado las medidas de seguridad de Vodafone no puede automáticamente inferirse que Vodafone no ha sido diligente en la verificación de la identidad de los clientes y, por tanto, no ha tratado los datos personales de la reclamante conforme al artículo 6.1 del RGPD. En el presente caso, el Agente tuvo que solicitar el número de documento de identidad y número de teléfono, además de verificar que hay orden de envío de la SIM, es decir, que la SIM ha sido enviada a la dirección que figura en sistemas. De no darse alguno de los requisitos anteriores, hay que redirigir al cliente a tienda. Adicionalmente se establecen instrucciones para que sólo se atiendan llamadas entrantes que pertenezcan al titular de la línea, debiendo realizar las comprobaciones referidas cuando la llamada proceda desde un número oculto o internacional. Concretamente para el caso de número oculto, forma utilizada para la realización del duplicado SIM en el presente caso, el Agente debió verificar el número llamante desde el cual se solicitaba la tramitación del duplicado SIM, y el solicitante facilitar correctamente la numeración sobre la cual quería realizar la gestión. Asimismo, y como consecuencia de la continua revisión y mejora de sus protocolos y políticas internas para garantizar la seguridad de la información personal, Vodafone actualiza recurrentemente su Política de Seguridad a fin de garantizar que todo trámite realizado por nuestros clientes es legal y consentido, siendo necesario que los interesados que quieran realizar en la actualidad un duplicado SIM a través de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/42 llamada deberán aportar, asimismo, “4 últimos nºs de la cuenta bancaria o nombre de entidad bancaria (si tiene domiciliación bancaria)”. Del mismo modo, desde noviembre de 2022, se ha implementado un mecanismo de bloqueo automático de llamadas entrantes realizadas desde números ocultos como medida de seguridad. No obstante, lo anterior, la última modificación de la Política de Seguridad data de 21 de enero de 2024. La información sobre el procedimiento establecido para este trámite se encuentra en el Documento número 1. Del mismo modo, es relevante destacar, que Vodafone de manera periódica lanza recordatorios a su fuerza comercial para reforzar el cumplimiento de la Política de Seguridad. A este respecto, se adjunta a continuación captura de pantalla de un ejemplo de ellos enviado en marzo de 2022. 2. Una vez verificada su identidad de acuerdo con lo previsto en la política de seguridad de Vodafone y realizados los trámites oportunos, se gestiona el cambio de SIM, y le llega un SMS informativo al cliente a la antigua línea dando aviso del cambio de SIM realizado antes de su desconexión. Esta es una medida implantada en Vodafone desde marzo de 2021. Es decir, en el presente caso dicha medida ya se encontraba implantada cuando la reclamante fue víctima del duplicado SIM fraudulento (25 de julio de 2022) por el estafador o ciberdelincuente. De hecho, es a través de este mecanismo, tal y como indica la reclamante en su reclamación, mediante el cual la reclamante es conocedora de que se había realizado un duplicado SIM en su nombre. A este respecto se adjunta captura de pantalla del SMS enviado a la línea de la reclamante. Así las cosas, y como consecuencia de la notificación recibida, la reclamante se puso en contacto con el Servicio de Atención al Cliente de Vodafone el mismo día 25 de julio de 2022. Mi representada procedió a realizar las investigaciones y gestiones oportunas a fin de resolver la incidencia acontecida, verificado que Vodafone estaba ante una solicitud que, pese a tener la apariencia de veraz, era de carácter fraudulento, procediendo en consecuencia a calificar el duplicado SIM como tal, así como a identificar a la reclamante como víctima de fraude. De la misma forma, es relevante reiterar a lo ya indicado por mi representada en las alegaciones presentadas el 17 de julio de 2023, que la reclamante efectuó un ulterior duplicado de SIM el mismo día que se realizó la gestión fraudulenta de manera presencial, a través de uno de los establecimientos de Vodafone, sito en ***LOCALIDAD.1. Por otro lado, mi representada a raíz de las reclamaciones presentadas por la reclamante ante la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales (en adelante, la “SETID”), y las cuales atendió procediendo a emitir contestación el 23 de marzo de 2023 a la reclamante donde se le informaba que Vodafone había procedido al abono de ***CANTIDAD.1 euros, en concepto de compensación por la interrupción del servicio contratado, así como a la cancelación del importe de la cuota por el servicio contratado con mi representada, cuya cantidad ascendía a ***CANTIDAD.2 euros. Sobre este respecto, se aporta de nuevo captura de pantalla de los abonos referidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/42 Además, para reducir el riesgo de cualquier actuación fraudulenta, Vodafone revisa y mejora continuamente su Política de Seguridad y las actuaciones de sus agentes y distribuidores autorizados. Estamos ante un tercero cuyo propósito es, mediante una actividad delictiva, superar dichas medidas de seguridad Asimismo, el acceso a los datos personales de los interesados (tarjeta SIM) se produce mediante una actividad delictiva debidamente organizada y planeada. No estamos ante un fallo o error del sistema implementado por Vodafone, o ante una infracción consecuencia de un comportamiento de un tercero realizado en el marco normal de las relaciones jurídicas, sino ante un acceso ilícito que se produce como consecuencia de que un tercero (en muchas ocasiones en el seno de una organización criminal), actuando de forma dolosa, lleva a cabo actividades tendentes a superar el sistema de seguridad de mi mandante mediante la suplantación de la identidad del afectado. En la mayoría de las ocasiones, se trata de organizaciones criminales especializadas en la comisión de estafas (y otros delitos), con presencia en distintos países y con complejas estructuras societarias dedicadas al blanqueo de capitales. En el presente caso, el defraudador se hizo pasar por el titular de la línea proporcionando toda la información relativa al reclamante para superar la política de seguridad de Vodafone y conseguir los duplicados SIM, aportando a la gestión en todo momento apariencia de licitud y veracidad. Vodafone actuó en todo momento conforme a sus políticas de seguridad y realizó una correcta verificación de los datos del cliente sobre el cual se solicitó la operación, por lo que sí se llevó a cabo la verificación de la identidad correctamente, no siendo posible constatar en el momento de la solicitud del duplicado SIM que dicha información estuviese siendo utilizada de manera fraudulenta. En efecto, Vodafone no ha probado la identidad del estafador y ciberdelincuente porque precisamente este sujeto ha ocultado su verdadera identidad y se ha hecho pasar por el cliente de Vodafone, superando mediante técnicas ilícitas las políticas de seguridad establecidas por mi mandante. Así pues, no creemos que sea reprochable el hecho de que Vodafone no haya podido identificar a los criminales, tratándose esta una tarea más propia de las Fuerzas y Cuerpos de Seguridad del Estado, con los que Vodafone sí colabora. Así, Vodafone ha realizado el cambio de tarjeta SIM porque el solicitante ha acreditado (de forma fraudulenta) ser el titular de los servicios mediante la aportación de todos los datos personales necesarios para superar la política de seguridad, habiendo obtenido los datos personales de las víctimas a través de técnicas de ingeniería social. Pretender que Vodafone pruebe la identidad de los solicitantes supone una suerte de prueba diabólica que no se puede exigir a Vodafone. De la misma forma, con respecto a lo indicado por esta Agencia en la página 3 del presente Acuerdo de Inicio: “No aportan ninguna documentación que acredite el efectivo paso de la Política, ni la efectiva solicitud de los datos por parte del operador para pasar la política, ni qué datos fueron facilitados por el solicitante, en su caso”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/42 Cabe reafirmar que el protocolo de actuación de Vodafone cuando se realiza una solicitud de duplicado SIM vía telefónica es la comprobación de la identidad del solicitante mediante su vinculación a la superación de la Política de Seguridad sin que se requiera documentación adicional del solicitante para el cambio, por lo que habiendo superado el solicitante lo previsto en la Política de Seguridad se activan los trámites oportunos para atender su petición. En el mismo sentido, y con respecto a la grabación telefónica de las llamadas a través de las cuales el defraudador consigue los duplicados SIM, mi representada, debido a que las llamadas telefónicas recibidas por los servicios de atención al cliente de Vodafone solo son grabadas de forma aleatoria y con fines de calidad de la atención dispensada al cliente, conforme se informa expresamente a los interesados en la realización de cualquier trámite por canal telefónico, no dispone de la grabación en tanto la llamada no fue grabada. Sin embargo, mi representada ha comprobado en sistemas internos que el Agente que tramitó la solicitud del duplicado SIM, procedió a la verificación de la identidad del solicitante del trámite, constando en sistemas registro del paso de la Política de Seguridad. A este respecto, se adjunta captura de pantalla de las anotaciones registradas por el Agente al tipificar la solicitud del duplicado SIM en sistemas internos. Por lo que, Vodafone presume que dichas gestiones se supeditaron a la superación de la Política de Seguridad y, por tanto, entendió en ese momento que la gestión realizada era legal y con apariencia de veracidad, sin que mi representada pudiera conocer que la solicitud estaba siendo tramitada por un tercero ajeno al reclamante. Asimismo, y en relación con la diligencia debida por parte de los agentes colaboradores de Vodafone en los servicios de atención al cliente, cabe destacar que las entidades a las que estos pertenecen actúan en calidad de encargadas del tratamiento de Vodafone, quedando sujetas a la obligación, de acuerdo con el artículo 28.3.

1. a)del RGPD, de tratar los datos personales únicamente siguiendo las instrucciones del responsable del tratamiento. Siendo así, mi representada, no solo ha escogido en todo caso a sus colaboradores en base a las garantías de cumplimiento de los requisitos contemplados en la normativa aplicable en materia de protección de datos ofrecidas por estos, sino que ha regulado la relación con los mismos de forma robusta formalizando el correspondiente acuerdo de tratamiento de datos y proporcionando todas las políticas e instructivos necesarios para el desarrollo de la actividad, no solo al inicio de la relación contractual, sino durante el desarrollo de la misma, tal y como se ha venido acreditando anteriormente mediante la aportación de los comunicados realizados por mi representada entendiéndose todos ellos como instrucciones claras sobre los procedimientos internos de Vodafone en el marco de la relación responsable-encargado y, por tanto, de obligado cumplimiento. SEGUNDA.- Subsidiariamente, y para el caso de que la Agencia entendiera que Vodafone ha infringido el artículo 6.1 del RGPD, no puede apreciarse la existencia de culpabilidad en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna. Con carácter subsidiario, en el caso de que esta Agencia entendiera que Vodafone sí ha infringido el artículo 6.1 del RGPD, no procede la imposición de sanción alguna a mi mandante por los motivos que se verán a continuación. I. Vodafone no ha actuado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/42 culposamente, por lo que no procede la imposición de sanción alguna El artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, regula el principio de culpabilidad, en virtud del cual es necesario que el supuesto infractor sea responsable de la infracción cometida. En consecuencia, Vodafone ha actuado en todo momento cumpliendo con la diligencia debida que le es exigible, no pudiendo imputársele culpabilidad alguna. Por ello, teniendo en cuenta la especial naturaleza del Derecho administrativo sancionador que determina la imposibilidad de imponer sanciones sin tener en cuenta la culpabilidad y la diligencia, o los errores que hayan podido determinar el incumplimiento de una obligación legal, esta parte mantiene la improcedencia de la imposición de sanción alguna. TERCERA.- Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes Más subsidiariamente, para el supuesto de que la Agencia entendiera que sí que ha existido infracción y que asimismo procede la imposición de una sanción a Vodafone, mi mandante considera que la misma deberá modularse a la baja atendiendo a las circunstancias que se expondrán en esta Alegación Tercera. En su Acuerdo de Inicio, la Agencia entiende que, en relación con la supuesta infracción del artículo 6.1 del RGPD, concurrirían los siguientes agravantes, sin haber tenido en consideración ninguna circunstancia atenuante. • Toda infracción anterior cometida por el responsable o el encargado del tratamiento. • La vinculación de la actividad de Vodafone con la realización de tratamientos de datos de carácter personal. Mi mandante discrepa respetuosamente de los agravantes indicados en el Acuerdo de Inicio por los motivos que se expondrán a continuación y por los cuales entiende que la sanción – de ser impuesta – debe modularse a la baja. I. Toda infracción anterior cometida por el responsable o el encargado del tratamiento. La Agencia indica en el Acuerdo de Inicio de Procedimiento Sancionador, lo siguiente: “Así pues, conforme al apartado
2. e)del artículo 83.2. RGPD, en la determinación del importe de la sanción de multa administrativa no podrán dejar de valorarse todas aquellas infracciones anteriores del responsable o del encargado de tratamiento en aras a calibrar la antijuricidad de la conducta analizada o la culpabilidad del sujeto infractor”. (…) “Son numerosos los procedimientos sancionadores tramitados por la AEPD en los que la reclamada ha sido sancionada por la infracción del artículo 6.1 del RGPD: i.EXP 202204287 Resolución dictada el 24 de octubre de 2022 en la que se impuso una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM fraudulento sin legitimación. Vodafone se acogió uno de una de las dos reducciones previstas. ii. EXP202203914 Resolución dictada el 24 de octubre de 2022 en la que se impuso una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM fraudulento sin legitimación. Vodafone se acogió a una de las dos reducciones previstas”. iii. EXP202203916. Resolución dictada el 24 de octubre de 2022 en la que se impuso una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM fraudulento sin legitimación. Vodafone se acogió de una de las dos reducciones previstas”. En los tres expedientes mencionados por la Agencia efectivamente Vodafone se acogió a una reducción de la sanción, sin asunción de culpa y, en todo caso, es necesario aclarar que la mera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/42 alusión del incumplimiento del artículo 6.1 del RGPD puede abarcar multitud de supuestos de tratamientos de datos que nada tengan que ver con los hechos acaecidos y sancionados en el presente Acuerdo. Así las cosas, esta parte considera que la aplicación de esta agravante no ha sido lo suficientemente motivada por parte de la Agencia, suponiendo su aplicación un perjuicio grave para la defensa de mi mandante y la seguridad jurídica dado que cualquier incumplimiento del artículo 6.1 del RGPD en general, sin atender a los hechos probados de cada caso, valdría como mera prueba de la aplicación de esta agravante con la inherente consecuencia de graduar el importe de la sanción al alza. II. La vinculación de la actividad de Vodafone con la realización de tratamientos de datos de carácter personal. Efectivamente, existe una vinculación entre la actividad de Vodafone y el tratamiento de datos personales de sus clientes que realiza para llevar a cabo la correcta prestación de los servicios contratados y atender las solicitudes y peticiones que éstos realicen. La Agencia hace referencia a la existencia de imprudencia cuando un responsable del tratamiento no se comporta con la diligencia exigible debiendo insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto. Prueba del especial cuidado y cautela aplicada en el tratamiento de datos personales que lleva a cabo mi representada, son todas las medidas de seguridad implementadas y que se detallan en la Alegación primera, además de la continua revisión de sus políticas y cumplimiento de las mismas. Por lo que este factor, no debe ser tenido en cuenta como agravante a la hora de graduar la sanción. Sin embargo, entendemos que también deberían tomarse en consideración las siguientes atenuantes: I. Procedió la parte reclamada a solventar la incidencia objeto de la reclamación de forma efectiva. Tal y como se ha indicado en la alegación primera, mi representada procedió a solventar la incidencia de manera rápida y efectiva, tomando todas las medidas necesarias para solventarla. A este respecto, se procedió al bloqueo de la tarjeta SIM fraudulenta, así como a la identificación de la reclamante como víctima de fraude y al abono de las cantidades adeudadas como consecuencia de la incidencia. II. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD Tal y como se ha expuesto en la Alegación Primera de este escrito, Vodafone ha implementado medidas técnicas y organizativas adecuadas para el riesgo generado por mi mandante, esto es, tendentes a asegurar que quien solicita el duplicado o cambio de una tarjeta SIM es el titular de la línea. Nos remitimos a dicha Alegación para evitar reiteraciones innecesarias. III. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción Mi mandante también entiende que su grado de cooperación con la Agencia durante las actuaciones previas de inspección ha sido alto. IV. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción Vodafone no ha obtenido ningún tipo de beneficio o evitado pérdidas a raíz de la duplicación fraudulenta de la tarjeta SIM, sino todo lo contrario. En este sentido, la actividad criminal llevada a cabo por los estafadores y ciberdelincuentes también ha supuesto un perjuicio reputacional para mi mandante y una defraudación de sus políticas de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/42 CUARTA.- Prueba que esta parte estima conveniente proponer Que, a efectos de demostrar la ausencia de la infracción, así como la falta de culpabilidad de mi representada en el presente expediente, o, en su caso, modular a la baja la sanción propuesta por la Agencia, esta parte estima necesario que se admita la práctica de las siguientes pruebas: 1) Como Documento 1, política de seguridad para contratación de particulares Vodafone, de marzo de 2022. 2) Como Documento 2, autorización del duplicado SIM solicitado presencialmente por la reclamante. 3) Como Documento 3, política de seguridad para contratación de particulares Vodafone, en su versión actualizada de junio de 2023. En virtud de todo lo anterior, SOLICITO A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS que tenga por presentado este escrito y todos los documentos que lo acompañan y, en su virtud, tenga por efectuadas las manifestaciones en él contenidas y, tras los trámites oportunos, acuerde: 1) El sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas. 2) Subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima, a la luz de las circunstancias atenuantes indicadas en el presente escrito>>. Con su escrito de respuesta al requerimiento de información, Vodafone aporta copia de la Política de Seguridad, en sus versiones de marzo de 2022 y enero de 2024, y solicitud de duplicado de tarjeta SIM suscrito por la parte reclamante con su DNI. La Política de Seguridad aportada, en su versión de enero de 2024, en relación con el cambio y envío de SIM, indica lo siguiente: “(…)”. OCTAVO: Con fecha 12 de abril de 2024, el instructor del procedimiento acordó practicar las siguientes pruebas: “1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento AI/00190/2023. 2.Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por VODAFONE ESPAÑA, S.A.U., y la documentación que a ellas acompaña”. En fecha 25 de junio de 2024, esta Agencia procedió a la apertura de periodo de prueba y práctica de prueba (segunda parte) y el instructor del procedimiento acordó practicar las siguientes pruebas: “3. Confirmación de que la política de seguridad respecto al duplicado de tarjeta en el momento del acaecimiento de los hechos consistía en lo siguiente: - (…) - (…) - (…) - (…) - (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/42 En relación al duplicado de tarjeta del reclamante realizado de forma telefónica objeto de la reclamación, se acredite lo siguiente: - El número de teléfono desde el cuál llamó el solicitante. - Si se comprobaron los requisitos de la política de seguridad anteriormente mencionados. - El domicilio indicado por el titular de la tarjeta y, en caso de que haya habido modificaciones, la fecha de solicitud del cambio de dicho domicilio. - El domicilio postal donde se envió la tarjeta SIM objeto de la reclamación. - En su caso, el acuse de recibo de la entrega y recepción de dicha tarjeta SIM”. Con fecha 9 de julio de 2024, Vodafone formula las siguientes alegaciones en relación con la solicitud de las anteriores pruebas: (…): (…) “(…)” (…): (…) (…) • (…) • (…) • (…) • (…) • (…): (…): • (…) • (…) • (…) NOVENO: Con fecha 8 de noviembre de 2024, se emitió por el instructor del expediente la propuesta de resolución y fue notificada electrónicamente el día 12 del mismo mes y año y en la misma se proponía: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/42 NIF A80907397, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
3. a)del RGPD, con una multa de 200.000 € (doscientos mil euros)”. DÉCIMO: Con fecha 13 de noviembre de 2024, solicitó Vodafone ampliación de plazo para formular alegaciones a la propuesta de resolución y el día 14 del mismo mes y año le fue concedido y el día 13 de diciembre de 2024 presentó las siguientes alegaciones: PRIMERA. - La parte reclamada ha actuado de forma diligente en la medida en la que tiene implementados los procesos necesarios para identificar correctamente a sus clientes, siendo la adopción de medidas técnicas y organizativas una obligación que no es absoluta. La parte reclamada sostiene que ha implementado medidas técnicas y organizativas adecuadas para identificar a sus clientes y evitar fraudes en la gestión de duplicados de tarjetas SIM. A pesar de estas medidas, la parte reclamada indica que los defraudadores pueden superar la seguridad mediante técnicas ilícitas para obtener datos confidenciales, lo que no significa que la política sea insuficiente, sino que se han obtenido los datos necesarios, por medios ajenos, para superar las medidas. Asimismo, señala que tanto la Audiencia Nacional como la Agencia reconocen que la obligación de adoptar medidas de seguridad no es absoluta, sino que es una obligación de medios. En consecuencia, siempre existirá un riesgo residual en el tratamiento de datos personales, incluso con medidas robustas. De igual forma, afirma que las medidas implementadas por Vodafone cumplen con la diligencia media exigible dentro del sector de telecomunicaciones, ejecutando el duplicado de la tarjeta SIM sólo en el caso de que el solicitante acredite su identidad mediante la aportación correcta de los datos exigidos por la Política de Seguridad. A pesar de los esfuerzos para mejorar continuamente las políticas de seguridad, indica que no puede controlar las técnicas fraudulentas utilizadas por terceros antes de la solicitud de duplicado. Además, afirma que ha reforzado sus medidas de seguridad a lo largo de los años, incluyendo mecanismos de doble autenticación y controles más estrictos en los cambios de datos y solicitudes de duplicados. En concreto, Vodafone realizó el cambio de tarjeta SIM en la medida en que el solicitante acreditó ser el titular de los servicios mediante la aportación de todos los datos personales de la reclamante necesarios para superar la política de seguridad, habiendo obtenido los datos personales de la reclamante a través de medios ajenos a mi representada, como, por ejemplo, técnicas de ingeniería social. Así pues, mi representada tomó las cautelas necesarias para que estos hechos no se produjeran. Vodafone no pudo comprobar que la solicitud se estaba realizando por un tercero en la medida en la que la identidad del estafador estaba oculta y se hacía pasar por el cliente de Vodafone, superando mediante técnicas ilícitas las políticas de seguridad establecidas por mi mandante. Así pues, no creemos que sea reprochable el hecho de que Vodafone no haya podido identificar a los criminales, tratándose ésta una tarea más propia de las Fuerzas y Cuerpos de Seguridad del Estado, con los que Vodafone sí colabora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/42 Por tanto, la parte reclamada afirma que ha implementado nuevas medidas y controles que traten de reducir al máximo posible el riesgo inherente al tratamiento de datos que realiza. SEGUNDA. - La realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes de la parte reclamada, sino a los servicios de móvil e internet que pudieran tener contratados. La parte reclamada sostiene que la realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, o dirección de correo electrónico de los clientes, sino únicamente a los servicios de móvil e internet contratados. Afirma que la emisión de duplicados de la tarjeta SIM no es suficiente para realizar operaciones bancarias, ya que el estafador debe suplantar la identidad del titular ante la entidad financiera. En consecuencia, la tarjeta SIM solo permite acceder al servicio móvil, sin implicar acceso a información bancaria o contraseñas. En este sentido, explica que el proceso fraudulento se divide en dos fases: - Previa al duplicado: El defraudador debe obtener información del cliente de fuentes ajenas a la reclamada para superar las políticas de seguridad mediante la suplantación de identidad. - Posterior al duplicado: El defraudador tiene acceso únicamente al servicio contratado por el cliente, sin obtener información bancaria o contraseñas como consecuencia directa del duplicado. Para ello, se basa en la respuesta de la entidad bancaria, según la cual, además de la clave única enviada por SMS, se requiere el acceso a la aplicación del banco mediante usuario y contraseña. Según su postura, ello demuestra que el duplicado SIM no es suficiente para acceder a cuentas bancarias sin la obtención de credenciales adicionales. Por tanto, afirma que la parte reclamada puede ser responsable solo de las medidas de seguridad relacionadas con la verificación de la identidad del solicitante del duplicado SIM, no de la suplantación de identidad ni del acceso a cuentas bancarias a través de aplicaciones de entidades de crédito. TERCERA. - No puede apreciarse la existencia de culpabilidad en las infracciones imputadas a la parte reclamada y, en consecuencia, no puede imponerse a la misma sanción alguna. La parte reclamada considera necesario contestar a las afirmaciones de la Agencia en su Propuesta de Resolución en este aspecto ya alegado frente al acuerdo de inicio. Afirma que la AEPD no considera todas las medidas que existían en el momento de los hechos objeto de sanción ni las mejoras que la parte reclamada ha implementado, obrando con la máxima diligencia exigible. En este sentido, la parte reclamada se remite a las medidas técnicas y organizativas indicadas en la primera alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/42 Por otro lado, la AEPD sostiene que el principio de proactividad transfiere a la parte reclamada la obligación de cumplir con la normativa y demostrar dicho cumplimiento. Indica que ha cubierto ampliamente este aspecto, aportando los procesos implementados y las interacciones en sus sistemas que evidencian el seguimiento de los procedimientos pertinentes. Por lo tanto, manifiesta que actuó con la diligencia debida, implementando las medidas técnicas y organizativas necesarias a pesar de que la Agencia defiende que existe dolo o culpa únicamente observando el resultado de los hechos, sin considerar todas las medidas de seguridad implementadas para evitar el fraude. Señala que esta lógica impone a la parte reclamada la obligación de evitar todos los fraudes, convirtiéndose en una obligación absoluta, no de medios, lo que contradice lo dispuesto por la Audiencia Nacional. CUARTA. - Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes. En este sentido, la parte reclamada discrepa de los motivos expuestos por la Agencia para desestimar la reducción de la sanción por los motivos que se incluyen a continuación. Sobre los agravantes aplicados por la Agencia a la hora de evaluar la sanción, la parte reclamada se reitera en lo dispuesto en las Alegaciones al Acuerdo de Inicio: - Indica que en los tres expedientes mencionados por la Agencia Vodafone se acogió a una reducción de la sanción, sin asunción de culpa y, en todo caso, es necesario aclarar que la mera alusión del incumplimiento del artículo 6.1 del RGPD puede abarcar multitud de supuestos de tratamientos de datos que nada tengan que ver con los hechos acaecidos y sancionados en el presente Acuerdo. - La vinculación entre su actividad y el tratamiento de datos personales para prestar servicios y atender solicitudes de sus clientes. Sin embargo, destaca que todas las medidas de seguridad implementadas y detalladas en la alegación Primera demuestran el especial cuidado en el tratamiento de datos, por lo que este factor no debe considerarse como agravante. Sobre los atenuantes no aplicados por la Agencia a la hora de evaluar la sanción, la parte reclamada entiende que deberían tomarse en consideración las siguientes: - Que procedió a solventar la incidencia objeto de reclamación de forma efectiva en cuanto tuvo conocimiento de los hechos. La parte reclamada manifiesta que procedió a solventar la incidencia de manera rápida y efectiva, tomando todas las medidas necesarias para solventarla. A este respecto se procedió al bloqueo de la Tarjeta SIM fraudulenta, así como a la identificación de la reclamante como víctima de fraude. - El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas aplicadas. La parte reclamada manifiesta que la falta de identificación del estafador no es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/42 reprochable, ya que esta tarea corresponde a las Fuerzas y Cuerpos de Seguridad del Estado, con los que colabora. - El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. La parte reclamada señala que ha puesto medios para remediar y mitigar efectos adversos de la práctica fraudulenta de los duplicados SIM, y ha reaccionado ante fraudes dirigidos hacia cuatro frentes: clientes afectados, agentes y empleados, colaboración con autoridades, y terceros como entidades de crédito. - Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso. La parte reclamada manifiesta que no ha obtenido ningún beneficio financiero ni evitado pérdidas a raíz de la duplicación fraudulenta de tarjetas SIM, sino que ha sufrido perjuicios reputacionales y defraudación de sus políticas de seguridad. Por todo lo anterior, la parte reclamada solicita que se considere lo expuesto en estas y anteriores alegaciones para demostrar la ausencia de infracción y la falta de culpabilidad, o para modular a la baja la sanción propuesta por la Agencia, a la luz de las circunstancias atenuantes indicadas. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. La parte reclamante es cliente de la entidad Vodafone, siendo titular, entre otros servicios, de la línea de telefonía móvil ***TELÉFONO.2. Segundo. En los sistemas de información de Vodafone constan las siguientes anotaciones en relación con la línea de telefonía móvil número ***TELÉFONO.2 1. Con fecha 23/07/2022, 19:24:16 horas, razón “Consulta ficha”, que se tipifica como “No titular”. 2. Con fecha 25/07/2022, 12:56:13 horas, que se tipifica como “Transferencia contratar (Televenta)”. 3. Con fecha 25/07/2022, 12:57:49 horas, anotación tipificada como “Consulta pin y puk pero no dejan constancia de nada más”. 4. Con fecha 25/07/2022, 13:05:12 horas, con el texto “Servicio postventa cambio de SIM pero no se indica nada más”. 5. Consta una orden de cambio de tarjeta SIM, realizada el día 25/07/2022, a las 13:07:17 horas, desde “Tienda online”. Se tipifica como “Postventa cambio de SIM”. Se trata de una solicitud de duplicado de la tarjeta SIM a través de canal telefónico, realizada desde una numeración no oculta distinta de las líneas de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/42 parte reclamante. 6. Con fecha 25/07/2022, 13:08:28 horas, se registra una “consulta del número ***TELÉFONO.1 desde la web y se deja indicado que pasa política ok y gestionan la Orden de Trabajo”. 7. Con fecha 25/07/2022, a las 16:33:37 horas, se registra una nueva petición de duplicado de tarjeta SIM realizada por la parte reclamante desde una tienda física de Vodafone (Franquicia (...)). Asociada a esta petición se anotó la información siguiente: “Desde la FRANQ (...) solicitan saber el motivo del duplicado de SIM en la línea ***TELÉFONO.2 y desde atención al cliente realizan bloqueo al no haber sido solicitado”; “Pide saber porque solicitaron un duplicado de tarjeta de su línea móvil ***TELÉFONO.2 y realizo bloqueo porque nunca solicitado este duplicado pide sabe que procedimiento hacer”. 8. Mediante contacto con el SAC de Vodafone de fecha 25/07/2022, a las 16:47 hora, se registra una petición de fraude efectuada por la parte reclamante: “El cliente comunica que le han generado un duplicado de la tarjeta sin el cliente solicitarlo. El cliente indica que le han sacado dinero de la cuenta y responsabiliza a Vodafone”. 9. En la misma fecha del 25/07/2022, a través del canal de Televenta, se desactiva la línea móvil de la parte reclamante ***TELÉFONO.2 y se activa una nueva línea a su nombre. Tercero. Con motivo de la solicitud de duplicado de tarjeta reseñada en el punto 5 del Hecho Probado Segundo, Vodafone remitió a la parte reclamante un mensaje de texto, en la misma fecha del 25/07/2022, 13:07 horas, en el que se informa sobre la misma. El texto de este SMS es el siguiente: “VF info: Respondiendo a tu solicitud hemos realizado el cambio de SIM que nos has solicitado. En caso de que no nos lo hayas solicitado, llámanos al 22123. Gracias por confiar en Vodafone”. Cuarto. Para formalizar la petición de duplicado de tarjeta SIM en tiende física reseñada en el punto 7 del Hecho Probado Segundo, la parte reclamante aportó copia de su DNI y suscribió el correspondiente formulario de solicitud. Quinto. Con fecha 28/07/2022, la parte reclamante formuló denuncia ante la Policía Nacional, dependencia de ***LOCALIDAD.1 de fecha 28 de julio de 2022 (Atestado nº: (....)), en la que manifiesta lo siguiente: “El dicente se presenta en estas dependencias para denunciar la estafa sufrida… que solo puede aportar un número de teléfono ***TELÉFONO.1, que desconoce más del autor de los hechos… Que el 25 de julio de 2022 sobre las 13:07 horas recibe un mensaje de texto informándole del cambio SIM. Se queda sin línea en su terminal. Contacta con Vodafone, para informar de tales hechos, ya que él no había solicitado ningún cambio al respecto. Pasada una hora recibe un mensaje de su entidad bancaria, activación de bizum por un importe de 600 euros. Una vez recibido el mensaje contacta con su entidad para desvincular el número de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/42 teléfono que había accedido a su cuenta… con hora a las 14:12. Que ha contactado con Vodafone para presentar una reclamación por permitir el cambio de SIM”. Sexto. En los sistemas de información de Vodafone constan anotadas varias consultas sobre la reclamación de fraude formulada por la parte reclamante ante la citada entidad, una de ellas fechada el 29/07/2022. En el registro correspondiente a esta llamada de consulta consta la anotación siguiente: “pide que se haga las gestiones correspondientes según proceso ***URL.1 según las comprobaciones que realizo ot (...) cambio d sim en tienda online pero no se verifica como recibió esta tarjeta al parecer solo se cambió el nro de tarjeta después cliente llamó y se hizo las demás gestiones, no se comprueba que nadie ha recibido la sim físicamente por lo que no veo el fraude por lo que pido a este dpto que haga más gestiones y contacte con el cliente para informar”. Séptimo. Vodafone, en la información aportada a las actuaciones durante la fase de prueba del procedimiento, declara que “El duplicado SIM fraudulento fue adquirido a través de un punto de venta de Vodafone, cuya razón social es la siguiente ***NIF.1 B.B.B., no siendo por tanto enviada por correo postal a ninguna dirección”. Añade que “a raíz de esta incidencia se ha dejado de trabajar con este punto de venta en Vodafone. Adicionalmente, se ha incluido un aviso asociado al NIF de dicha empresa para que no se vuelva a contratar con dicho punto de venta”. Octavo. Vodafone ha manifestado que la llamada por la que se solicitó el duplicado de tarjeta Sim que consta reseñada en el punto 5 del Hecho Probado Segundo, de fecha 25/07/2022, no fue grabada. Noveno. Vodafone ha manifestado que, tras tener conocimiento de los hechos, el Departamento de Fraude procedió a su análisis, calificando la operación realizada como fraudulenta. Décimo. Vodafone ha manifestado que dispone de una Política de Seguridad que contempla las acciones que debe seguir para la emisión de un duplicado de tarjeta SIM. En su versión de marzo de 2022, vigente en el momento en que se emite el duplicado fraudulento, esta Política de Seguridad indica lo siguiente en relación con la emisión de un duplicado de tarjeta SIM solicitada a distancia mediante llamada: “(…)”. Décimo Primero. La Política de Seguridad aportada por Vodafone a las actuaciones, en su versión de enero de 2024, indica lo siguiente en relación con el cambio y envío de SIM: “(…)”. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/42 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones presentadas En relación con las alegaciones efectuadas por Vodafone, reiterándose básicamente en las alegaciones ya presentadas ante el Acuerdo de Inicio, debe señalarse que todas ellas ya fueron analizadas y desestimadas en el Fundamento de Derecho II de la propuesta de resolución, tal como se transcribe a continuación: <<II Contestación a las alegaciones presentadas La parte reclamada manifiesta que la emisión de los duplicados de la tarjeta SIM no es suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad financiera. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que el tratamiento de datos sea conforme al RGPD. Idénticas consideraciones merece la actuación de las entidades bancarias que proporcionan servicios de pago, en cuyo ámbito se inicia este tipo de estafas, ya que el tercero tiene acceso a las credenciales del usuario afectado y se hace pasar por este. En tanto que estas entidades son responsables del tratamiento de los datos de sus clientes, les competen idénticas obligaciones que las señaladas hasta ahora para las operadoras referidas al cumplimiento del RGPD y la LOPDGDD, y además las derivadas del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera. A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/42 SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1 del RGPD). Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C -101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. En cuanto a la responsabilidad de Vodafone, debe indicarse que, con carácter general Vodafone trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
4. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
5. e)y
6. f)del RGPD. Por otra parte, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos, para la contratación de la línea móvil. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que se implantan y mantienen medidas de seguridad apropiadas para proteger eficazmente la confidencialidad, integridad y disponibilidad de todos los datos personales de los cuales son responsables, o de aquellos que tengan por encargo de otro responsable. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/42 datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de Vodafone se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir, desde la óptica de la culpabilidad, estamos ante un error vencible ya que con la aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones de identidad se hubieran podido evitar. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. No obstante, Vodafone solicita con carácter subsidiario que esta Agencia acuerde el archivo del procedimiento por inexistencia de culpabilidad. Rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/42 cuidado. A tal efecto se hace necesario traer a colación la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), que indica: “76 A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C-681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, Lundbeck/Comisión, C-591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C-601/16 P, EU:C:2021:244, apartado 97).” (el subrayado es nuestro). El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. La reclamada ha invocado distintos argumentos para justificar la ausencia de culpabilidad de su conducta. La decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que las circunstancias del caso exigen. En cumplimiento del principio de culpabilidad la AEPD ha acordado en numerosas ocasiones el archivo de procedimientos sancionadores en los que no concurría el elemento de la culpabilidad del sujeto infractor. Supuestos en los que, pese a existir un comportamiento antijurídico, había quedado acreditado que el responsable había obrado con toda la diligencia que resultaba exigible, por lo que no se apreciaba culpa alguna en su conducta. Ese ha sido el criterio mantenido por la Sala de lo Contencioso Administrativo, sección 1ª, de la Audiencia Nacional. Pueden citarse, por ser muy esclarecedoras, las siguientes sentencias: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/42 - SAN de 26 de abril de 2002 (Rec. 895/2009) que dice: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” - SAN de 29 de abril de 2010, Fundamento Jurídico sexto, que, a propósito de una contratación fraudulenta, indica que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/42 actualizarán cuando sea necesario. 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”, establece: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.[...]”. Cabe preguntarse cuáles son los parámetros de la diligencia debida que Vodafone debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar es la que era precisa para cumplir las obligaciones que le impone la disposición Adicional Única de la Ley 25/2007 en relación con los artículos 5.2, 24 y 25 del RGPD, a la luz de la doctrina de la Audiencia Nacional y la jurisprudencia del Tribunal Supremo. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. III Contestación a las alegaciones presentadas a la Propuesta de Resolución Se procede a dar respuesta a las mismas según el orden expuesto por Vodafone. PRIMERA. - La parte reclamada ha actuado de forma diligente en la medida en la que tiene implementados los procesos necesarios para identificar correctamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/42 a sus clientes, siendo la adopción de medidas técnicas y organizativas una obligación que no es absoluta. En primer lugar, y sobre que la adopción de medidas técnicas y organizativas no es una obligación absoluta, debe indicarse que en el caso que nos ocupa ha sido la propia parte reclamada la que ha admitido que no se han seguido los propios procedimientos y políticas de seguridad. En este sentido, valorar si las medidas previamente adaptadas fueron o no adecuadas resulta irrelevante, puesto que dichas medidas no han sido seguidas por la propia parte reclamada. La adopción de las medidas técnicas y organizativas presupone un cumplimiento de las mismas, en caso contrario, no queda garantizado el derecho a la protección de datos. En el presente caso no se está sancionando la existencia o ausencia de medidas técnicas y organizativas, sino el hecho de que, en este caso específico, el tratamiento de los datos personales del reclamante fue llevado a cabo sin cumplir con los requisitos de licitud establecidos en el artículo 6.1 del RGPD. La infracción de este artículo confirma que la parte reclamada realizó un tratamiento no autorizado de los datos, vulnerando de esta forma los derechos de la parte reclamante. En segundo lugar, Vodafone señala que estamos ante un tercero cuyo propósito es, mediante una actividad delictiva, superar dichas medidas de seguridad. Para ello, hace referencia Vodafone, para su descargo, al conjunto de medidas de seguridad que ha adoptado, las cuales son las mínimas exigibles a cualquier organización con las características y en el contexto en el que actúa una operadora de telecomunicaciones. En este sentido, la mera existencia de una política de seguridad no puede justificar una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y el responsable del tratamiento debe de garantizar que se cumplan estrictamente en todo momento. En caso contrario, las medidas adoptadas carecen de virtualidad y puede conllevar tratamientos ilícitos como ocurre en el presente caso. Por otra parte, la cuestión aquí no radica en el nivel de sofisticación del ataque delictivo del tercero, dado que el duplicado de tarjeta SIM fue entregado a un tercero en un punto de venta físico. La parte reclamada no puede exonerar su responsabilidad apelando a la existencia de medidas mínimas, permitiendo una infracción de la licitud del tratamiento. SEGUNDA. - La realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes de La parte reclamada, sino a los servicios de móvil e internet que pudieran tener contratados. Vodafone señala que la realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/42 de la parte reclamada, sino a los servicios de móvil e internet que pudieran tener contratados. La parte reclamada manifiesta que la emisión de los duplicados de la tarjeta SIM no es suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad financiera. Sin embargo, dicha afirmación no exime de responsabilidad a la parte reclamada, puesto que la obtención de duplicación de una tarjeta SIM es un elemento necesario para acceder a dichos datos realizar operaciones bancarias en nombre de los titulares, como recoge la sentencia de 13/05/2024, Rec. 0002336/2021, de la Audiencia Nacional al declarar que “(…) en la primera fase de este tipo de estafas el suplantador consigue, de manera fraudulenta, los datos de acceso o las credenciales de la banca online del cliente, pero le falta por conocer el código de verificación, segundo factor de autentificación, para poder ejecutar cualquier operación. En el momento en el que logra la tarjeta SIM duplicada ya tiene también acceso a este segundo factor de autentificación y, por tanto, desde ese momento puede realizar los actos de disposición patrimonial que desee”. Debe de tenerse en cuenta que la posesión de un duplicado de tarjeta aumenta el riesgo para su titular, pues el suplantador puede poseer datos adicionales que pueden producir efectos más gravosos, como la realización de operaciones financieras no deseadas, como acaeció en el caso de la parte reclamante. Por dicha razón, facilitar un duplicado de tarjeta es un proceso donde la diligencia prestada por los operadores es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Dicha diligencia que se traduce en el cumplimiento de su propia Política de seguridad para garantizar que el tratamiento de datos sea conforme al RGPD, lo cual en el caso que nos ocupa y como ha reconocido la parte reclamada, no ha tenido lugar. Vodafone insiste respecto del grado de responsabilidad que, en su caso, pueda achacárseles, no puede hacerse depender de una actuación de un tercero que escapa su control, esto es: las medidas de seguridad implementadas por una u otra entidad bancaria o incluso el hecho de que el afectado disponga o no de banca electrónica. En relación con esta alegación, amén de lo ya indicado anteriormente, el grado de responsabilidad cae dentro de su ámbito y no de terceros, debiendo señalar que la SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento”. En este sentido, conviene señalar que en el presente caso no se trata de valorar la actuación del banco o cualquier otra entidad externa, sino de examinar cómo la parte reclamada permitió un tratamiento de datos personales sin seguir los procedimientos establecidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/42 La actuación de sus agentes no escapa a su control, ya que estos actúan en nombre de la parte reclamada y, por tanto, son responsables de cumplir con las políticas de seguridad. Por tanto, la responsabilidad no puede ser desplazada hacia elementos externos. La parte reclamada es directamente responsable del comportamiento de su personal y de asegurar que los protocolos de seguridad se apliquen correctamente en cada caso, sin excepción. TERCERA. - No puede apreciarse la existencia de culpabilidad en las infracciones imputadas a la parte reclamada y, en consecuencia, no puede imponerse a la misma sanción alguna. En cuanto a la negligencia en la actuación de Vodafone, cabe señalar que la SAN -Sala Contencioso-Administrativo- 392/2015, de 17 de noviembre que en su Fundamento Jurídico Tercero recoge la doctrina del Tribunal Constitucional sobre la aplicación al derecho administrativo sancionador de los principios del orden penal, en los siguientes términos: El Tribunal Constitucional ha declarado reiteradamente que los principios del orden penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos matices, al derecho administrativo sancionador, al ser ambos manifestaciones del ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y 164/2005). El principio de culpabilidad, garantizado por el artículo 25 de la Constitución, limita el ejercicio del "ius puniendi" del Estado y exige, según refiere el Tribunal Constitucional en la sentencia 129/2003, de 20 de junio, que la imposición de la sanción se sustente en la exigencia del elemento subjetivo de culpa, para garantizar el principio de responsabilidad y el derecho a un procedimiento sancionador con todas las garantías (STS de 1 de marzo de 2012, Rec 1298/2009). Ciertamente, el principio de culpabilidad, previsto en el artículo 130.1 de la Ley 30/1992, de 26 noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone que solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Obviamente, ello supone que dicha responsabilidad sólo puede ser exigida a título de dolo o culpa, quedando desterrada del ámbito del derecho administrativo sancionador la llamada "responsabilidad objetiva", y comprendiendo el titulo culposo la imprudencia, negligencia o ignorancia inexcusable. Esta "simple inobservancia" no puede ser entendida, por tanto, como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, pues la jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990 ), destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/42 prohibición de exceso ( artículo 25.1 CE ), o de las propias exigencias inherentes a un Estado de Derecho, por lo que se requiere la existencia de dolo o culpa (en este sentido STS de 21 de enero de 2011, Rec 598/2008 ). No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma " (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998 , parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005 , y de 23 de octubre de 2010, Rec 1067/2006 , que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". En el supuesto que nos atañe Vodafone no ha cumplido con sus propias medidas, y por lo tanto resulta notoria la existencia de antijuridicidad y culpabilidad en la conducta infractora de la entidad responsable del tratamiento de los datos personales, Vodafone, quien como responsable del tratamiento de datos de emisión de duplicados de tarjetas SIM, que decide sobre la finalidad, contenido y uso de los datos personales incluidos en el tratamiento, tiene la obligación de obrar con mayor diligencia a la hora de tramitar la emisión de duplicados, asegurándose de contar con el consentimiento de su titular, a fin de no incurrir en el tratamiento no consentido de sus datos personales. Dicha condición impone un deber especial de diligencia a la hora de llevar a cabo el uso o tratamiento de los datos personales, en lo que atañe al cumplimiento de los deberes que la legislación sobre protección de datos establece para garantizar los derechos fundamentales y las libertades públicas de las personas físicas, y especialmente su honor e intimidad personal y familiar, cuya intensidad se encuentra potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro en el mercado de datos; en este sentido se ha pronunciado también la SAN 392/2015, de 17 de noviembre (Ver su Fundamento de Derecho Tercero). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/42 Al respecto, resulta significativo que la operadora responsable del tratamiento no justifique debidamente la concurrencia en su conducta de la diligencia que le era exigible ni acredite la adopción de las cautelas exigibles para evitar el tratamiento no consentido del dato de carácter personal que nos ocupa (la emisión de duplicado de tarjeta SIM de forma fraudulenta), que debe atribuirse a la conducta negligente de la parte reclamada, que trató los datos personales del reclamante sin base de legitimación. En cuanto a la responsabilidad de Vodafone, debe indicarse que, con carácter general Vodafone trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
7. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
8. e)y
9. f)del RGPD. Por dicha razón, este es un proceso en donde la diligencia prestada por la operadora es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Esta diligencia se manifiesta en primer lugar, por el cumplimiento de su propia política de seguridad, lo cual ha acaecido en el caso que nos ocupa. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de Vodafone se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/42 supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. Por lo tanto, la parte reclamada no puede eludir su responsabilidad, ya que el RGPD exige que el tratamiento de los datos se realice de modo lícito y el tratamiento solo será lícito si se cumple al menos una de las condiciones previstas en el art. 6 del RGPD. El incumplimiento de su propia política de seguridad especialmente cuando se trata de un procedimiento tan delicado como el duplicado de una tarjeta SIM, demuestra una falta de diligencia en su responsabilidad que justifica la imputación de la infracción. CUARTA. - Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes. Vodafone solicita que se aprecien las siguientes circunstancias atenuantes: - Que procedió a solventar la incidencia objeto de la reclamación de forma efectiva en cuanto tuvo conocimiento de los hechos. - El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD. - El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. - Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. Estas alegaciones se contestan en el apartado V (Sanción de multa: Determinación del importe). IV Obligación incumplida Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
10. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/42
11. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
12. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
13. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
14. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
15. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
16. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Resulta preciso señalar que el artículo 4.1 del RGPD define: «datos personales» como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” En ese sentido el Considerando 40 del RGPD señala: “