PS-00551-2024

1/42  Expediente N.º: EXP202308705 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 17 de mayo de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada, VODAFONE o LOWI). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que en fecha 9 de febrero de 2023, la parte reclamada entregó vía Internet un duplicado de su tarjeta SIM (***TELÉFONO.1) a un tercero sin su consentimiento. Señala que, tras el duplicado fraudulento, se realizaron operaciones financieras, accediendo a sus cuentas bancarias de forma fraudulenta. Documentación relevante aportada por la parte reclamante: - Denuncia de los hechos ante la comisaría de Policía Nacional de ***LOCALIDAD.1 de fechas 10 y 13 de febrero de 2023. - Relación de cargos de fecha 9 de febrero de 2023 en su cuenta de ***EMPRESA.1, reclamación presentada de fecha 20 de marzo de 2023 y comunicación intercambiada con dicha entidad el 3 de abril de 2023 desde la dirección electrónica del reclamante ***EMAIL.1. - Relación de cargos en su cuenta de ***EMPRESA.2 y reclamación ante dicha entidad de 13 de febrero de 2023 donde se incluye la dirección electrónica del reclamante ***EMAIL.2. - Respuesta de 3 de marzo de 2023 de Atención al Cliente de ***EMPRESA.2 a la dirección electrónica del reclamante de gmail a su reclamación de 13 de febrero de 2023. - Devolución de cargo de ***EMPRESA.3 de 16 de febrero de 2023 por pagos no reconocidos de 10 de febrero de 2023 que son anulados el 22 de febrero de 2023 donde figura el teléfono afectado del reclamante y su dirección electrónica de gmail. - Reclamación de 24 de abril de 2023 a Lowi por la emisión de un duplicado de su tarjeta SIM. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/42 Públicas (en adelante, LPACAP), fue recogido en fecha 28 de junio de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 31 de julio de 2023 se recibe en esta Agencia escrito de respuesta indicando: 1- Sobre las vías de que disponen los clientes para solicitar un duplicado de tarjeta SIM: Los clientes de la marca LOWI disponen de tres canales: (

1. i)Telefónicamente, a través del servicio de atención al cliente de LOWI, 121. (
2. ii)A través de internet, mediante su área privada de usuario, vinculado a la previa autenticación a través de usuario y contraseña en la app de LOWI. (iii) Presencialmente, a través de un número muy limitado de distribuidores autorizados. Se adjunta, como Documento número 1, el protocolo interno en el que se incluyen los canales y procesos de LOWI para la solicitud del Cambio de SIM. 2- Sobre el protocolo de seguridad aplicado para acreditar la identidad del solicitante y gestionar la emisión y el envío del duplicado de la tarjeta SIM. (El subrayado es de la Agencia). I. Vía telefónica: el cliente tiene que pasar la política de seguridad de LOWI aportando (…). En este sentido y como consecuencia de la continua revisión y mejora de sus protocolos y políticas internas para garantizar la seguridad de la información personal, LOWI ha actualizado su Política de Seguridad (…). II. Vía App LOWI: el cliente debe acceder al área privada de cliente a través de esta vía, facilitando (…). III. Vía presencial: el cliente se debe personar en un distribuidor autorizado (…) como evidencia y condición para realizar la gestión. En todo caso y a fin de evitar supuestos de fraude, las instrucciones facilitadas por LOWI a sus agentes prevén la redirección preferente del solicitante del trámite a la aplicación de LOWI para su autogestión por el usuario y, en caso contrario, se comprobará que (…). La información sobre el procedimiento establecido para este trámite se encuentra en el referido Documento número 1. 3- Sobre el canal a través del cual se tramitó el duplicado de SIM y vía de identificación de la persona que lo solicitó: El cambio se realizó desde el área privada del cliente el día 8/2/2023, previa identificación del usuario, sin que LOWI pudiese tener constancia de un acceso indebido al área de cliente, ni de un acceso no autorizado a los datos del cliente dado que los mismos se hicieron incluyendo usuario y contraseña correcta. En fecha 9/2/2023 el reclamante tiene constancia de la solicitud de un duplicado SIM realizada desde su área privada de cliente a través de Internet, a la cual se accede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/42 mediante la dirección de correo electrónico o número de teléfono móvil y la contraseña establecida. LOWI ha constatado que previamente el 8/2/2023 se solicitó un cambio de dirección de correo electrónico de la cuenta de cliente que pudo ser completado con éxito, ya que el solicitante aportó correctamente toda la información que prevé la Política de Seguridad para la verificación de la identidad de cliente (en particular, (…)). Se aporta copia de las grabaciones telefónicas del trámite referido. Documento número 2. En todo caso, LOWI no ha detectado ningún acceso no autorizado por parte de un tercero a sus sistemas internos o bases de datos en los que se almacenan los datos del reclamante, ni ningún otro incidente que haya supuesto la fuga de datos o contraseñas del reclamante, por lo que cabe destacar que los datos del reclamante no fueron obtenidos de Vodafone, sino que el defraudador contaba con esta información de manera ajena a Vodafone. TERCERO: Con fecha 17 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Se comprueba por esta Agencia que LOWI es una de las marcas de servicios de telecomunicaciones bajo las cuales opera VODAFONE ESPAÑA S.A.U. LOWI es un Operador Móvil Virtual (OMV) que utiliza las infraestructuras de VODAFONE para dar servicio a sus clientes. LOWI era una marca de VODAFONE ENABLER ESPAÑA S.L. con NIF B82896119 que fue absorbida por VODAFONE ESPAÑA S.A.U. en octubre de 2022. El 14/11/2023 se requiere a la parte reclamante copia del contrato con LOWI de 26/9/2020 donde se incluyan las líneas contratadas con esa entidad en relación con los hechos reclamados. Se recibe respuesta el 15/11/2023 (entrada REGAGE23e00077809369): Se comprueba que se aporta contrato firmado el 26/9/2020 con LOWI (marca de VODAFONE ENABLER ESPAÑA S.L.) de las líneas telefónicas ***TELÉFONO.1 (línea duplicada) y ***TELÉFONO.2, a nombre de la parte reclamante. 1.- Sobre las grabaciones aportadas (entrada REGAGE23e00055747819 de 18/8/23): - 01_103_20230208144105_0475_Llamada_1 (de 14:41:05h, duración 6’33’’ hasta 14:47:38h) - 01_103_20230208151000_0118_Llamada_2 (de 15:10:00h, duración 7’7’’ hasta 15:17:07h) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/42 - 01_103_20230208153529_0056_Llamada_3 (de 15:35:29h, duración 3’36’’ hasta 15:39:05h). Por parte de la inspectora actuante se ha comprobado en las grabaciones y las capturas de pantalla de la interacción registrada en sistemas internos que las tres llamadas realizadas quedan registradas desde el n.º ***TELÉFONO.3 que no pertenece a LOWI. La voz llamante es la misma en las tres llamadas, y en ellas el llamante supera la política de privacidad (…). En las dos últimas se le solicita además que aporte un n.º de móvil aportándose el n.º de la parte reclamante ***TELÉFONO.1. Las llamadas son de fecha 8/2/23 de 14:41:05h a 14:57:h, de 15:10:00 a 15:16h y de 15:35:29h a 15:39h, respectivamente. En la primera llamada el llamante solicita su dirección de correo electrónico, indicando (…). Aporta, asimismo la dirección de correo electrónico vigente en ese momento ***EMAIL.2, así como el correo electrónico nuevo ***EMAIL.3, no solicitándose por la interlocutora de LOWI el n.º móvil desde el que llama. El llamante, además solicita activar una palabra de seguridad: ***CÓDIGO.1, solicitando que solo le atiendan con esa palabra. La interlocutora de LOWI le informa que en 5 minutos se actualizarían los datos solicitados en la app de LOWI. La interlocutora indica que tiene 2 líneas contratadas y le ofrece una tercera pero el llamante la declina. En la segunda llamada, el mismo usuario llamante comunica que aún no ha sido actualizado el cambio de correo electrónico solicitado. Indica el número de (…), el correo nuevo (que aún no figura actualizado en la app), (…), y facilita un email nuevo distinto del facilitado en la primera llamada, ***EMAIL.4. La interlocutora indica que tiene 2 líneas contratadas y le ofrece una tercera pero el llamante la declina. En la tercera llamada, el mismo llamante solicita de nuevo cambiar el correo electrónico, indicando el número de (…), aportando otro correo nuevo ***EMAIL.5. La interlocutora de LOWI le indica que el email ya está cambiado. 2.- Sobre los datos requeridos para el cambio de la dirección de correo electrónico para notificaciones, incluyendo el registro del trámite, la parte reclamada responde: (entrada REGAGE23e00057720767) El 8 de febrero de 2023 el solicitante, después de varios intentos, requiere la modificación de su correo electrónico. En cada uno de dichos intentos el solicitante superó la Política de Seguridad de LOWI, aportando correctamente la información necesaria para ello. En concreto, se le solicita: - En un primer intento (grabación número 01_103_20230208144105_0475) el solicitante aporta correctamente el (…) que tenía vigente. Asimismo, en dicho trámite activa (…). Sin embargo, el cambio de correo electrónico no se termina ejecutando. Se aporta captura de pantalla de la interacción registrada en sistemas internos. Se comprueban los datos que constan de la llamada: msisdn ***TELÉFONO.2 (que se corresponde con la segunda línea contratada por la parte reclamante, según el contrato aportado, nota: el msisdn es el número único que identifica a un abonado en una red), fecha 8/2/2023, hora 14:57h, motivo cambio correo electrónico, llamada entrante con n.º origen ***TELÉFONO.3. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/42 - En un segundo intento (grabación número 01_103_20230208151000_0118) solicita el cambio de correo electrónico, aportando el (…). En esta ocasión sí se ejecuta el cambio de correo electrónico. Se aporta captura de pantalla de la interacción registrada en sistemas internos. Se comprueban los datos que constan de la llamada: no hay msisdn registrado, fecha 8/2/23, hora 15:16h, motivo cambio correo electrónico, llamada entrante con n.º origen ***TELÉFONO.3. - En un tercer intento (grabación número 01_103_20230208153529_0056) solicita el cambio de correo electrónico, aportando el (…). En esta ocasión también se ejecuta el cambio de correo electrónico en la ficha del cliente. Se aporta captura de pantalla de la interacción registrada en sistemas internos. Se comprueban los datos que constan de la llamada: msisdn ***TELÉFONO.1 (que se corresponde con la línea duplicada y primera línea contratada por la parte reclamante, según el contrato aportado), fecha 8/2/23, hora 15:39h, motivo cambio correo electrónico, llamada entrante con n.º origen de la llamada ***TELÉFONO.3. Por tanto, se constata que en cada uno de los intentos referidos, la persona llamante superó la Política de Seguridad de LOWI indicando los datos de la parte reclamante y solicitando en todas ellas el cambio del correo electrónico que figuraba en el sistema siendo efectivo dicho cambio en la segunda y tercera llamada. En ninguna de ellas se comprueba que la llamada se realiza desde una línea titularidad de LOWI y del reclamante, como indica la modificación de 2022 de la Política de Seguridad, referida más adelante. En la primera llamada se solicitó igualmente la incorporación de una palabra de seguridad por el llamante. 3.- Sobre el n.º llamante identificado en las llamadas en los registros internos del reclamado: Mediante una diligencia se identifica al operador del n.º llamante ***TELÉFONO.3 de estas tres grabaciones que es XFERA MÓVILES, S.A. Se solicita información a dicho operador sobre el titular de dicho n.º y confirmación de las llamadas realizadas y responde: (entrada REGAGE24e00027546592): El titular del n.º ***TELÉFONO.3 es A.A.A. con DNI ***NIF.1 nacionalidad ***PAÍS.1, tipo de contrato prepago, fecha de activación 27/1/2023 y de desactivación 12/11/2023. Al ser una línea prepago, carece de contratos, datos relacionados con el domicilio, copias de documentos identificativos, facturas o cuentas bancarias de los usuarios. No ha sido portada dicha línea, únicamente causó baja en noviembre 2023, quedando vacante hasta su posterior asignación a otro cliente en enero 2024. Esta es la información solicitada de las tres llamadas referidas en la citada fecha entre las horas 14:41-14:57h, 15:10-15:16h y 15:35-15:39h: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/42 o REC_TYPE_DS: VOICE ORIGINATING RECORD o CALLED_NUMERO: 1456 o EVENT_DATE: 2023-2-8 o DURATION: 530 o HORA_INICIO: 143848 o HORA_FIN: 144738 o CALLED_NUMERO: 1456 o EVENT_DATE: 2023-2-8 o DURATION: 522 o HORA_INICIO: 150825 o HORA_FIN: 151706 o CALLED_NUMERO: 1456 o EVENT_DATE: 2023-2-8 o DURATION: 373 o HORA_INICIO: 153252 o HORA_FIN: 153905 Se comprueba que la duración de cada una de las tres llamadas es 8’50’’, 8’42’’ y 6’13’’, respectivamente, y su hora de inicio y fin se corresponden con las grabaciones aportadas. 4.- Sobre la documentación y datos aportados por la persona que solicitó la tarjeta SIM para acreditar su identidad. Información sobre si la realización de los controles para la verificación de la identidad quedó reflejada en el sistema de información de la entidad. Si la solicitud se tramitó por canal web, existencia o no de intentos fallidos de acceso previo, y actuación ante los mismos (el subrayado es de la Agencia): La realización de una petición de duplicado SIM a través del área privada de cliente en la app LOWI por Internet se supedita a la previa identificación del cliente, mediante la introducción de la dirección de correo electrónico o número de teléfono móvil y la contraseña establecida. La verificación de la identidad del solicitante queda acreditada una vez que este ha introducido de forma válida sus credenciales de acceso. Asimismo, cuando el solicitante requiere la tramitación del duplicado SIM, el sistema registra el procesamiento o no de la petición efectuada y la fecha y hora de la misma. En cuanto a los intentos previos de acceso, LOWI ha podido verificar que no hay intentos fallidos o de otras incidencias relacionadas con el acceso al área privada. No se ha aportado a esta Agencia evidencia del trámite efectuado de solicitud de la tarjeta SIM a través de la app de LOWI. 5.- Sobre el detalle de los controles y exigencias establecidos sobre la dirección de envío e identificación del destinatario. En este sentido, una vez verificada su identidad de acuerdo con lo previsto en la política de seguridad de aplicable a la marca LOWI y realizados los trámites C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/42 oportunos, esta entidad gestionó el envío de la tarjeta SIM, la cual podrá ser enviada al establecimiento de un distribuidor autorizado o al domicilio indicado por el cliente. En cuanto al envío a un domicilio diferente al del titular, es el cliente quien elige la dirección de entrega, que puede o no coincidir con su dirección de facturación. No obstante, la dirección no se puede modificar una vez solicitado y autorizado el duplicado. Para la entrega de la tarjeta SIM, los transportistas tienen instrucciones de únicamente entregarla al titular del servicio, verificando su identidad, firmando a tal efecto el albarán de entrega como evidencia y conclusión de la gestión. En el caso reclamado, desde el área privada de cliente en la app LOWI, para la realización de esta petición, se facilitó como dirección postal de entrega una dirección diversa a la dirección de facturación, en este caso la correspondiente a ***DIRECCIÓN.1. Posteriormente, el duplicado SIM es efectivamente entregado en la dirección indicada, en fecha 9/2/2023, a las 11:51 horas. Para dicha entrega, se requirió la identificación del receptor, quien en este caso proporcionó el nombre y apellidos y el DNI del reclamante, firmando el albarán de entrega como si fuese el propio reclamante. Se adjunta captura de pantalla del justificante de entrega del duplicado SIM. Se ha comprobado por esta Agencia que el albarán de 9/2/2023 11:51:29h contiene el nombre, apellidos y DNI de la parte reclamante en el apartado de la firma. 6.- Sobre el protocolo de actuación cuando se detecta la emisión de un duplicado SIM fraudulento: Ante cualquier indicio que permita sospechar la existencia de un caso de duplicado SIM fraudulento –incluyendo cuando es el propio cliente el que reporta estos hechos–, LOWI bloquea la línea telefónica y solicita un nuevo duplicado, que se pone a disposición del titular del servicio. En cualquier caso, siempre que se haya recibido y activado un nuevo duplicado SIM, de forma automática, todos los anteriores, dejan de estar operativos. En paralelo, cualquier denuncia de acción fraudulenta de esta tipología es escalada al departamento de Fraude para un análisis en profundidad para poder solucionar los daños ocasionados y evaluar las acciones necesarias. Por otra parte, si una vez entregada una tarjeta SIM, el cliente reporta una incidencia en su uso o activación, a fin de reducir el riesgo de fraude, la Política de Seguridad de LOWI prevé que se comprobará la identidad del solicitante, de acuerdo con lo previsto en dicha Política para su superación, y la correcta asignación de la tarjeta SIM en los sistemas de LOWI. Ante cualquier anomalía, si la solicitud consta realizada de manera presencial en otro establecimiento, desde el establecimiento del distribuidor autorizado deberán indicarle que el trámite deberá efectuarlo en el mismo establecimiento en que se solicitó el duplicado. 7.- Sobre las acciones emprendidas para evitar que casos de este tipo se vuelvan a producir. en concreto, cambios que se hayan podido realizar sobre el procedimiento para mejorar la seguridad, fechas de implantación y controles efectuados para comprobar su eficacia: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/42 En todo caso, LOWI trabaja de forma continua en mejorar las Políticas de Seguridad para sus procesos de cambio y duplicados de SIM, así como para cualquier otro proceso que conlleve posibles riesgos de fraudes o actuaciones irregulares para nuestros clientes. En este sentido, se adjunta como Documento número 3, instrucciones trasladadas por LOWI a su fuerza comercial en fecha 10, 11 y 19/10/2022 sobre los últimos cambios introducidos en la Política de Seguridad de LOWI a raíz de las últimas prácticas empleadas por defraudadores para realizar estafas y actuaciones fraudulentas, entre las cuáles el duplicado SIM. Se comprueba que en el Documento número 3, consta copia de un correo electrónico de 10/10/22 con Asunto Cambio de datos Cliente modificación Política de Seguridad, con los cambios a esta política en dicho año. “LOWI revisa y mejora continuamente su la Política de Seguridad y las actuaciones de sus agentes y distribuidores autorizados. A tal efecto, se indican a continuación los cambios efectuados en la Política de Seguridad de LOWI en relación con el trámite relativo al cambio de SIM. (…) 8.- Sobre la decisión adoptada a propósito de esta reclamación y acciones emprendidas, incluyendo acreditación documental: Se ha procedido a enviar una carta al reclamante sobre las gestiones que fueron llevadas a cabo por LOWI para solucionar la incidencia. Se adjunta como Documento número 4. En particular, se le informa que las actuaciones denunciadas por el reclamante han sido calificadas como fraudulentas por el Departamento de Fraude y se han implementado medidas de seguridad adicionales sobre la cuenta de cliente del reclamante para que no se produzcan incidencias similares en el futuro. Se comprueba que dicho documento es una carta de 31/7/23, tras la reclamación trasladada por esta Agencia. Previamente a la remisión de dicha comunicación, LOWI ya se había puesto en contacto con el reclamante, en el contexto de la denuncia interpuesta por éste ante la Oficina Municipal de la información al Consumidor (OMIC) del Ayuntamiento de ***LOCALIDAD.1. Se adjunta como captura de pantalla la respuesta remitida a la OMIC, en fecha 20/6/2023, en respuesta a la reclamación presentada el 14/6/23, informando que: […] con fecha 8 de febrero de 2023 se registran tres llamadas solicitando el cambio de correo electrónico y la solicitud de una palabra de seguridad para futuras gestiones de las líneas, en dichas llamadas se pasan todas las políticas de seguridad implementadas en Lowi (…). Adjuntamos las llamadas […]. Con fecha 8 de febrero de 2023, solicitan desde la app de Lowi el duplicado de la tarjeta sim, confirmamos que la dirección de la entrega del duplicado coincide con los datos facilitados en la petición. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/42 Adjuntamos justificante de entrega. […] referente a las gestiones de las entidades bancarias, confirmamos que no podemos facilitar ninguna información adicional, ya que desconocemos los procedimientos y políticas de seguridad de otras empresas. LOWI suscribe con todos sus distribuidores acuerdos en los que se prevé el encargo y las instrucciones para el tratamiento de datos y las medidas de seguridad aplicables en atención al servicio prestado, los riesgos identificados y las categorías objeto de tratamiento. Asimismo, los proveedores de mensajería reciben para cada entrega las instrucciones para realizar la entrega al cliente, tras su debida identificación y la verificación de identidad. Se adjunta captura de pantalla de las instrucciones giradas a los distribuidores y agentes comerciales en relación con cualquier incidencia relacionada con el cambio de SIM. Tras analizar la operación no reconocida el Departamento de Fraude calificó la operación denunciada como fraudulenta y, en consecuencia, a fin de impedir que se puedan reiterar hechos similares, se han adoptado medidas de seguridad adicionales sobre la cuenta de cliente, a fin de que únicamente se puedan realizar gestiones en caso de contactar con LOWI a través de las líneas objeto de contratación. 9.- Sobre cualquier otra información que considere relevante: En lo que se refiere a la realización de transacciones bancarias de carácter fraudulento como las que pone de manifiesto el reclamante en su reclamación, resulta oportuno expresar que el cambio de una tarjeta SIM implica únicamente el acceso a la línea de teléfono asociada a ésta, y no a los datos bancarios del titular. Por tanto, no parece posible que exista una correlación entre los hechos ocurridos en relación con mi representada y lo ocurrido con la entidad bancaria de la que es cliente el reclamante. En este sentido, los movimientos bancarios que alega en su reclamación no tienen su origen, ni han sido ocasionados en concepto de facturas por servicios de LOWI que tuviese contratados, sino que se deben a accesos efectuados a través de la cuenta de su entidad bancaria. Por ello, LOWI no puede ser responsable de los accesos y movimientos bancarios que pudiesen haberse realizado de forma fraudulenta, dado que para llevar a cabo los mismos se han tenido que superar las políticas de seguridad de la entidad bancaria del reclamante, para lo cual se han obtenido los datos del reclamante de sistemas ajenos a los de Vodafone y superar los procedimientos de seguridad de otras entidades responsables de los mismos. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad VODAFONE ESPAÑA, S.A.U. es una gran empresa constituida en el año 1.994, y con un volumen de negocios de 2.909.851.000 euros en el año 2024. SEXTO: Con fecha 3 de febrero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
3. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/42 SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada solicitud de ampliación de plazo y copia del expediente para formular alegaciones y con fecha 4 de marzo de 2025 presentó escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente: PRIMERA. – Afirma que la adopción de medidas técnicas y organizativas no es una obligación absoluta manifestando que Vodafone ha cumplido con el principio de licitud del tratamiento y con la obligación de adoptar medidas técnicas y organizativas adecuadas para garantizar el mismo. Asimismo, manifiesta que el responsable del tratamiento está sujeto a una obligación de medios, no a una obligación de resultados en el sentido de entender que todo incidente es un incumplimiento del deber de garantizar un nivel de seguridad adecuado al riesgo. Por tanto, el hecho de que un tercero, mediante la comisión de delitos, haya superado las medidas de seguridad de Vodafone no puede automáticamente inferirse que Vodafone no ha sido diligente en la verificación de la identidad del cliente y, por tanto, no ha tratado los datos personales de la reclamante conforme al artículo 6.1 del RGPD. Señala, asimismo, que Vodafone es responsable de adoptar medidas técnicas y organizativas dirigidas a que los duplicados de tarjetas SIM sean facilitados a los titulares de las líneas telefónicas Indica, que todas las conductas realizadas por el estafador o ciberdelincuente en un estadio anterior a la solicitud del duplicado de la tarjeta SIM caen fuera de la esfera de control de Vodafone. Expone Vodafone que, en el presente caso, el duplicado de tarjeta SIM se produjo a través de la aplicación de Mi Lowi, lo que supone la previa obtención por parte de los estafadores o ciberdelincuentes, mediante fraude, ingeniería social o argucia, de determinados datos personales de los interesados, datos exigidos por Vodafone para verificar la identidad del titular de la línea. Aporta, la interacción en sistemas donde figura la fecha y hora del duplicado SIM solicitado por el defraudador en la App de Mi Lowi, e indica el orden de cómo acontecieron los hechos: Detalla las medidas técnicas y organizativas implementadas por Vodafone para las solicitudes de modificación del correo electrónico a través del Servicio de Atención al Cliente de Vodafone, así como para las solicitudes de duplicados SIM a través de la app de Mi Lowi. SEGUNDA.- Subsidiariamente, y para el caso de que la Agencia entendiera que Vodafone ha infringido el artículo 6.1 del RGPD, no puede apreciarse la existencia de culpabilidad en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/42 Señala que, con carácter subsidiario, en el caso de que esta Agencia entendiera que Vodafone sí ha infringido el artículo 6.1 del RGPD, no procede la imposición de sanción alguna a Vodafone por los motivos que señala. El artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, regula el principio de culpabilidad, en virtud del cual es necesario que el supuesto infractor sea responsable de la infracción cometida. Así, dicho artículo dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa". Por ello, en el caso de que la Agencia entendiera que la conducta de Vodafone es constitutiva de la infracción indicada en el Acuerdo de Inicio, es claro que no concurre en la conducta de Vodafone culpabilidad alguna, ni a título de dolo ni a título de culpa. Siguiendo con la interpretación realizada por el Tribunal Supremo, para la exculpación no bastará la invocación de la ausencia de culpa, sino que será preciso que se haya empleado la diligencia que era exigible por quien aduce su inexistencia (entre otras, la Sentencia del Tribunal Supremo de 23 de enero de 1998 [RJ 1998\601]). Asimismo, señala que la Audiencia Nacional ha entendido, en casos similares al presente, en los que un tercero ha accedido, mediante actividades delictivas, a datos de los interesados custodiados por un responsable del tratamiento, que imputar tales hechos al responsable del tratamiento podría conllevar la vulneración del principio de culpabilidad. A título de ejemplo, la Sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección 1ª) de 25 de febrero de 2010 [JUR 2010/82723]: "Así, aun cuando el artículo 9 de la LOPD establece una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros, tal obligación no es absoluta y no puede abarcar un supuesto como el analizado. Indica, que en ningún caso el duplicado de las tarjetas SIM del cliente de Vodafone puede suponer la consideración de que Vodafone ha obrado culposamente. Por ello, teniendo en cuenta la especial naturaleza del Derecho administrativo sancionador que determina la imposibilidad de imponer sanciones sin tener en cuenta la culpabilidad y la diligencia, o los errores que hayan podido determinar el incumplimiento de una obligación legal, mantiene la improcedencia de la imposición de sanción alguna. TERCERA.- Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, muestra su desacuerdo con las circunstancias agravantes referidas por la Autoridad y considera que deberían tenerse en cuenta las siguientes atenuantes. Más subsidiariamente, para el supuesto de que la Agencia entendiera que sí que ha existido infracción y que asimismo procede la imposición de una sanción a Vodafone, considera que la misma deberá modularse a la baja atendiendo a las circunstancias siguientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/42 En su Acuerdo de Inicio, la Agencia entiende que, en relación con la supuesta infracción del artículo 6.1 del RGPD, concurrirían los siguientes agravantes y atenuantes: 1. Agravantes: I. Toda infracción anterior cometida por el responsable o el encargado del tratamiento. Es relevante destacar que los procedimientos sancionadores a los que hace referencia la Agencia para fundamentar este agravante; EXP202204287, EXP202203914 y EXP202203916, son relativos a clientes de Vodafone que no son clientes de la marca Lowi y cuyos duplicados SIM se tramitaron por canales diferentes al del caso aquí analizado, la app Mi Lowi. En este sentido, se considera que los mismos, al no ser análogos al supuesto analizado en este sancionador, no deben de ser aplicados como agravante. Tampoco indica la Agencia en qué se parecen los hechos de estos casos con los existentes en el presente Acuerdo de Inicio que fundamente y justifique la aplicación de la presente agravante. II. La vinculación de la actividad de Vodafone con la realización de tratamientos de datos de carácter personal. Efectivamente, existe una vinculación entre la actividad de Vodafone y el tratamiento de datos personales de sus clientes que realiza para llevar a cabo la correcta prestación de los servicios contratados y atender las solicitudes y peticiones que éstos realicen. La Agencia se limita a citar una sentencia de la Audiencia Nacional, 17/10/2007, la cual hace referencia a la existencia de imprudencia cuando un responsable del tratamiento no se comporta con la diligencia exigible debiendo insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al respecto, para justificar la imposición de esta agravante sin más motivación o detalle. Por lo que este factor, no debe ser tenido en cuenta como agravante a la hora de graduar la sanción. Además, entendemos que también deberían tomarse en consideración las siguientes atenuantes: I. Vodafone procedió a solventar la incidencia objeto de reclamación de forma efectiva en cuanto tuvo conocimiento de los hechos (art. 83.2 c del RGPD), procediendo a regularizar la situación irregular de forma diligente. Tal y como se ha manifestado, el duplicado SIM fue entregado el 9 de febrero de 2023 a las 11:51 horas, sin embargo, el duplicado SIM fue bloqueado por el Departamento de Fraude el 10 de febrero de 2023. A este respecto se adjunta captura de pantalla de los sistemas internos donde consta el bloqueo del duplicado SIM en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/42 Asimismo, el Departamento de Fraude procedió a la activación del check de víctima de fraude en los sistemas internos de Vodafone, incluyendo los datos personales del reclamante en la agrupación de fraude y en los ficheros de prevención de Vodafone, activando medidas de seguridad adicionales sobre sus datos para evitar que se pueda producir un caso similar en el futuro. Por todo ello se procedió a solventar correctamente la incidencia manifestada a las pocas horas de que se produjera, realizando todos los trámites necesarios para solventarla. II. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD. Vodafone ha implementado medidas técnicas y organizativas adecuadas para el riesgo generado, tendentes a asegurar que quien solicita el duplicado o cambio de una tarjeta SIM es el titular de la línea. III. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción entiende que su grado de cooperación con la Agencia durante las actuaciones previas de inspección ha sido alto. IV. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción Vodafone no ha obtenido ningún tipo de beneficio o evitado pérdidas a raíz de la duplicación fraudulenta de tarjetas SIM, sino todo lo contrario. En este sentido, la actividad criminal llevada a cabo por los estafadores y ciberdelincuentes también ha supuesto un perjuicio reputacional y una defraudación de sus políticas de seguridad. V. El sometimiento de Vodafone, de forma voluntaria, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado (previsto en el Art. 76.2
4. h)de la LOPDGDD). Por último, considera que, debería valorarse, como circunstancia atenuante, la pertenencia de Vodafone a mecanismos alternativos de resolución de conflictos, recogida en el artículo 76.2
5. h)de la LOPDGDD. Al respecto, si bien es un hecho notorio, es necesario recordar que Vodafone ha suscrito con AUTOCONTROL (Asociación para la Autorregulación de la Comunicación Comercial) un protocolo que prevé mecanismos para la resolución privada de controversias relativas a la protección de datos en el ámbito de contratación y publicidad de servicios de comunicaciones electrónicas, con fecha 15 de septiembre de 2017. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/42 Dicho código, de adhesión voluntaria, prevé expresamente que las resoluciones de las reclamaciones en esta vía serán vinculantes para las empresas adheridas voluntariamente —como es el caso de Vodafone—. Asimismo, recoge expresamente que su adhesión podrá utilizarse para “demostrar el cumplimiento de las obligaciones de protección de datos”. En este sentido, la propia Agencia es perfectamente conocedora de esta iniciativa y la participación de Vodafone, puesto que colaboró en su desarrollo y, para fomentar su adhesión por los diferentes operadores - 24 - de telecomunicaciones, suscribió con AUTOCONTROL un protocolo general de actuación al respecto. En fecha 17 de enero de 2023, Vodafone se adhirió a la actualización del referido Código de conducta de AUTOCONTROL para el “Tratamiento de datos en la actividad publicitaria” —aprobado por la AEPD en fecha 28 de noviembre de 2022—, pudiendo consultarse el total de entidades adheridas en el propio sitio web de AUTOCONTROL (www.autocontrol.es/servicios/reclamaciones-de-proteccion-datosypublicidad/empresas-adheridas). Adicionalmente, el 9 de diciembre de 2024, Vodafone formalizó su adhesión al nuevo Código de Conducta para la Resolución de Controversias de Protección de Datos en el Sector de las Comunicaciones Electrónicas de AUTOCONTROL. Este nuevo código, aprobado por la AEPD, extiende su ámbito de aplicación más allá de la actividad publicitaria, cubriendo el tratamiento de datos en todo el sector de las comunicaciones electrónicas, y entró en vigor el 17 de diciembre de 2024. La pertenencia de Vodafone a estos mecanismos de autorregulación y resolución alternativa de conflictos debería ser considerada como una circunstancia atenuante relevante, en línea con el espíritu y la letra del artículo 76.2
6. h)de la LOPDGDD. Solicita que tenga por presentado este escrito y todos los documentos que lo acompañan y, en su virtud, tenga por efectuadas las manifestaciones en él contenidas y, tras los trámites oportunos, acuerde: 1) El sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas. 2) Subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima, a la luz de las circunstancias atenuantes indicadas en la Alegación Tercera del presente escrito. OCTAVO: Con fecha 7 de noviembre de 2025, se emitió por el instructor del expediente la propuesta de resolución y fue notificada electrónicamente el día 14 del mismo mes y año y en la misma se proponía: “Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
7. a)del RGPD, con una multa de 200.000 € (doscientos mil euros)”. NOVENO: Con fecha 26 de noviembre de 2025, solicitó Vodafone ampliación de plazo para formular alegaciones a la propuesta de resolución y el día 28 del mismo mes y año le fue concedido. Con fecha 28 de noviembre de 2025 presentó las siguientes alegaciones: La primera alegación se centra en señalar que Vodafone ha actuado de forma diligente en la medida en la que tiene implementados los procesos necesarios para identificar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/42 correctamente a sus clientes, siendo la adopción de medidas técnicas y organizativas una obligación que no es absoluta. La parte reclamada sostiene que ha implementado medidas técnicas y organizativas adecuadas para identificar a sus clientes y evitar fraudes en la gestión de duplicados de tarjetas SIM. A pesar de estas medidas, la parte reclamada indica que los defraudadores pueden superar la seguridad mediante técnicas ilícitas para obtener datos confidenciales, lo que no significa que la política sea insuficiente, sino que se han obtenido los datos necesarios, por medios ajenos, para superar las medidas. Asimismo, señala que tanto la Audiencia Nacional como la Agencia reconocen que la obligación de adoptar medidas de seguridad no es absoluta, sino que es una obligación de medios. En consecuencia, siempre existirá un riesgo residual en el tratamiento de datos personales, incluso con medidas robustas. De igual forma, afirma que las medidas implementadas por Vodafone cumplen con la diligencia media exigible dentro del sector de telecomunicaciones, ejecutando el duplicado de la tarjeta SIM sólo en el caso de que el solicitante acredite su identidad mediante la aportación correcta de los datos exigidos por la Política de Seguridad. Vodafone no pudo comprobar que la solicitud se estaba realizando por un tercero en la medida en la que la identidad del estafador estaba oculta y se hacía pasar por el cliente de Vodafone, superando mediante técnicas ilícitas las políticas de seguridad establecidas por Vodafone. El estafador facilita todos los elementos requeridos por la política de seguridad vigente en el momento de los hechos, es decir, facilita, nombre, apellidos, DNI, ocho últimos dígitos de la cuenta bancaria y correo electrónico existente en sistemas para modificar el correo electrónico del reclamante por vía telefónica. Es decir, el estafador conocía de forma previa todos los datos del reclamante y es por ello, que hasta en tres ocasiones supera la política de seguridad de Vodafone. Además, señala diferentes medidas técnicas y organizativas que ha implementado e indica las acciones que lleva a cabo una vez que ha detectado un cambio de SIM fraudulento. En la segunda de sus alegaciones, Vodafone sostiene que si bien se va modificando su política de seguridad para tratar de anticiparse a nuevos métodos criminales, dichas organizaciones van evolucionando e implementando nuevas formas de actuación con el fin de superar la seguridad de las operadoras, lo que hace que sea imposible una anticipación a la actividad criminal en todos los casos. En la tercera alegación, Vodafone asegura que el acceso a la tarjeta SIM nunca conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc. Señala que hay que diferenciar dos fases del proceso (
8. i)Previo al duplicado: el defraudador debería tener la información necesaria del cliente de Vodafone para superar las políticas de seguridad. Esta información se habría obtenido de fuentes ajenas a Vodafone, habilitando al delincuente a superar las medidas de seguridad implementadas al suplantar la identidad del cliente. (
9. ii)Posterior al duplicado: el defraudador tendría únicamente acceso al servicio contratado por el cliente de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/42 Vodafone para dicha SIM, no teniendo acceso, como mera consecuencia del duplicado, a información bancaria, contraseñas, dirección de correo electrónico, etc. Indica, que el duplicado fraudulento de la tarjeta SIM no es una actuación necesaria (hay entidades bancarias que no envían SMS con sus claves únicas) ni suficiente (se requiere el acceso a otros datos y claves) para lograr acceder a las cuentas de los sujetos afectados. Por lo que el defraudador pudo obtener los datos necesarios para pasar la política de seguridad de Vodafone de la cuenta bancaria del reclamante. A Vodafone podrán achacársele infracciones sólo respecto de aquellos tratamientos de datos y medidas de seguridad de las que sea responsable, esto es, aquellas dirigidas a garantizar que el solicitante del duplicado de la tarjeta SIM es el titular de la línea; no están (ni pueden estar) dirigidas a evitar la suplantación de identidad ni a evitar el acceso a las cuentas bancarias a través de la aplicación de la entidad de crédito en cuestión. En la cuarta de sus alegaciones señala “no puede apreciarse la existencia de culpabilidad en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna”. A este respecto, reitera las alegaciones efectuadas al acuerdo de inicio. Afirma que la AEPD no considera todas las medidas que existían en el momento de los hechos objeto de sanción ni las mejoras que la parte reclamada ha implementado, obrando con la máxima diligencia exigible. En este sentido, la parte reclamada se remite a las medidas técnicas y organizativas indicadas en la primera alegación. Por otro lado, la AEPD sostiene que el principio de proactividad transfiere a la parte reclamada la obligación de cumplir con la normativa y demostrar dicho cumplimiento. Indica que ha cubierto ampliamente este aspecto, aportando los procesos implementados y las interacciones en sus sistemas que evidencian el seguimiento de los procedimientos pertinentes. Por lo tanto, manifiesta que actuó con la diligencia debida, implementando las medidas técnicas y organizativas necesarias a pesar de que la Agencia defiende que existe dolo o culpa únicamente observando el resultado de los hechos, sin considerar todas las medidas de seguridad implementadas para evitar el fraude. Señala que esta lógica impone a la parte reclamada la obligación de evitar todos los fraudes, convirtiéndose en una obligación absoluta, no de medios, lo que contradice lo dispuesto por la Audiencia Nacional. En la quinta alegación señala que, “subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes”. En este sentido, la parte reclamada discrepa de los motivos expuestos por la Agencia para desestimar la reducción de la sanción por los motivos que se incluyen a continuación. Sobre los agravantes aplicados por la Agencia a la hora de evaluar la sanción, la parte reclamada se reitera en lo dispuesto en las Alegaciones al Acuerdo de Inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/42 Sobre los atenuantes no aplicados por la Agencia a la hora de evaluar la sanción, la parte reclamada entiende que deberían tomarse en consideración las siguientes: - Que procedió a solventar la incidencia objeto de reclamación de forma efectiva en cuanto tuvo conocimiento de los hechos. La parte reclamada manifiesta que procedió a solventar la incidencia de manera rápida y efectiva, tomando todas las medidas necesarias para solventarla. A este respecto se procedió al bloqueo de la Tarjeta SIM fraudulenta, así como a la identificación de la reclamante como víctima de fraude. - El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas aplicadas. La parte reclamada manifiesta que esta Autoridad deberá explicar con mayor detalle porque considera que no procede la atenuante. - El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. La parte reclamada entiende que esta Autoridad deberá explicar con mayor detalle porque considera que no procede la atenuante. - Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso. La parte reclamada manifiesta que no ha obtenido ningún beneficio financiero ni evitado pérdidas a raíz de la duplicación fraudulenta de tarjetas SIM, sino que ha sufrido perjuicios reputacionales y defraudación de sus políticas de seguridad.” Por todo lo anterior, solicita el sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por considerar no haber cometido ninguna de las infracciones imputadas y por lo tanto poder apreciarse la existencia de culpabilidad. Y subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima, a la luz de las circunstancias atenuantes indicadas. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. – Queda acreditado que el día 9 de febrero de 2023, se tramitó por parte de Vodafone un duplicado de la tarjeta SIM sobre la línea ***TELÉFONO.1 perteneciente a la parte reclamante. Dicho hecho ha sido puesto de manifiesto por la parte reclamante y afirmado por Vodafone durante el traslado y actuaciones de investigación efectuadas por la presente autoridad. SEGUNDO. – De las capturas de pantalla que adjunta Vodafone junto a sus alegaciones de fecha 4 de marzo de 2025, ha quedado acreditado que el mencionado duplicado de tarjeta fue realizado en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/42 1. Se solicita una modificación del correo electrónico de la parte reclamante a través del Servicio de Atención al Cliente de Vodafone por el tercero con fecha 8 de febrero de 2023, previo paso de la Política de Seguridad de Vodafone a las 14:57, 15:16 y 15:39 horas. 2. El tercero solicita un duplicado SIM a través de la app Mi Lowi App el mismo día 8 de febrero de 2023 a las 15:54 horas, después de que el tercero hubiera realizado una modificación del correo electrónico 3. El duplicado SIM se entrega por los servicios de Correos Express el día 9 de febrero de 2023 a las 11:51 horas. Dicha entrega se produjo previo suministro, por parte del tercero, de los datos personales identificativos correspondientes al reclamante TERCERO. – Ha quedado acreditado que la política de seguridad de Vodafone respecto a la solicitud de modificación del correo electrónico a distancia (a través de llamada), es la siguiente: En el apartado “Modificación de Email” de la Política de Seguridad aportada por Vodafone como documento número 3 a las alegaciones presentadas el 31 de julio de 2023, se establece la siguiente advertencia: “Verificar que llama desde un teléfono que tenga contratado, activo, e incluido en su ficha de cliente. Si llama desde otro teléfono, aunque sea el de contacto, realizaremos una llamada saliente, y sólo realizaremos la gestión, si en esa llamada somos atendidos por el titular y es conocedor de que vamos a realizar la modificación”. CUARTO. - De las actuaciones de investigación efectuadas, consta acreditado que la política de seguridad de Vodafone vigente desde el año 2022, establecía que las solicitudes deben realizarse desde una línea vinculada al contrato del cliente o, en su defecto, se debe realizar una llamada de verificación al número registrado, siendo en el presente caso el número llamante de otra compañía, no contratado con Vodafone ni tampoco incluido en la ficha del reclamante, y tampoco se realizó la llamada de verificación por parte de Vodafone. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/42 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; Además, el artículo 4.7 del RGPD establece que el «responsable del tratamiento» o «responsable» es: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. Una tarjeta SIM es una tarjeta inteligente que contiene un chip en el que se almacena el número de línea telefónica móvil del cliente, así como el número de identificación personal, pero que también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por tanto, a los efectos de los artículos 4.1 y 4.2 del RGPD la emisión de duplicados de tarjetas SIM supone un tratamiento de datos personales. Vodafone realiza esta actividad en su condición de responsable del tratamiento dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/42 Contestación a las alegaciones al acuerdo de inicio Se procede a dar respuesta a las mismas según el orden expuesto por Vodafone. En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: PRIMERA. - La parte reclamada afirma que ha actuado de forma diligente en la medida en la que tiene implementados los procesos necesarios para identificar correctamente a sus clientes, siendo la adopción de medidas técnicas y organizativas una obligación que no es absoluta. En primer lugar, y sobre que la adopción de medidas técnicas y organizativas no es una obligación absoluta, debe indicarse que es cierto que no se exige una obligación de resultado, sino de medios, pero para evaluar la aplicación de dichos medios e implementación de medidas y su consideración como “adecuadas” es inevitable analizar los métodos utilizados por el tercero para acceder ilícitamente al proceso de duplicado, las salvaguardas implementadas por Vodafone e inevitablemente, el resultado. Esos tres elementos son los que van a determinar la adecuación al riesgo y no como pretende centrar el debate, Vodafone sobre si es infalible o no su sistema. El enfoque de riesgos y el modelo flexible al riesgo impuesto por el RGPD -partiendo de la doble configuración de la seguridad como un principio relativo al tratamiento y una obligación para el responsable o el encargado del tratamiento- no impone en ningún caso la infalibilidad de las medidas, sino su adecuación constante a un riesgo, que, como en el supuesto examinado es cierto, probable y no desdeñable, alto y con un impacto muy significativo en los derechos y libertades de los ciudadanos. En resumen, esta alegación no puede prosperar, porque ha quedado constatado que la actuación susceptible de ser considerada fraudulenta deviene de la no adopción de medidas adecuadas para garantizar que la persona que solicita modifica los datos correspondientes a un cliente sea, efectivamente, dicho cliente. En segundo lugar, Vodafone señala que estamos ante un tercero cuyo propósito es, mediante una actividad delictiva, superar dichas medidas de seguridad. Para ello, hace referencia Vodafone, para su descargo, al conjunto de medidas de seguridad que ha adoptado, las cuales son las mínimas exigibles a cualquier organización con las características y en el contexto en el que actúa una operadora de telecomunicaciones. No obstante, ha quedado en evidencia que dichas medidas de seguridad no han sido las adecuadas para garantizar que un tercero ajeno tuviera acceso a datos personales de la parte reclamante. Máxime como, en este caso concreto, y antes de la modificación de datos a través de la app MiLowi, un tercero ajeno al reclamante ha modificado hasta en tres ocasiones el correo electrónico asociado a la cuenta del reclamante. Y que en esas tres ocasiones proporcionó, en cada una de ellas, una dirección de correo electrónico diferente. En este sentido, Vodafone hace mención en su descargo a la actuación de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/42 delincuentes. La falta de medidas de seguridad es un hecho objetivo; tal incumplimiento resulta ajeno, además, a la actuación de los terceros a quienes Vodafone ha cedido los datos, en el sentido de que la actividad delictiva llevada a cabo por estos últimos no influye en la comisión de la infracción. Más bien al contrario, la falta de medidas de seguridad adecuadas es lo que posibilita la actividad delictiva. La intervención fraudulenta de un tercero, lo que ha revelado es el deficiente análisis de los riesgos, así como la insuficiente implantación, revisión y control de las medidas de seguridad por parte de la operadora. Tercero ajeno al titular de los datos ha superado las medidas de seguridad establecidas por Vodafone. Esto nos muestra que la identificación del titular de los datos no se producía con las suficientes garantías. En suma, una falta de medidas de seguridad apropiadas y un incumplimiento de las obligaciones derivadas de la responsabilidad proactiva, máxime cuando los “errores” persisten en el tiempo y ponen de manifiesto reiterados cambios en los datos asociados al reclamante, en cortos periodos de tiempo, y aportando en cada uno de estos cambios, un dato diferente. Al respecto hay que señalar que precisamente evitar que nos encontremos ante el fraude de un tercero hace que sea necesario asegurarse que la persona a la que se expide el duplicado de la tarjeta SIM es quien realmente dice ser y deben adoptarse las medidas necesarias de prevención adecuadas para verificar la identidad de una persona cuyos datos van a ser objeto de tratamiento tal y como se reconoce en el Fundamento Jurídico Séptimo de la SAN, SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012) -: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento..."). A lo largo del presente procedimiento Vodafone ha manifestado reiteradamente que los duplicados fraudulentos de las tarjetas se han producido tras haber superado los defraudadores su política de seguridad. Considera que es inevitable que a pesar de la existencia de la política de seguridad pueda haber casos en los que a través de ciertos mecanismos dicha política de seguridad pueda ser sobrepasada de forma fraudulenta sin que por ello pueda existir reproche a Vodafone. Sin embargo, ha quedado probado que la política de seguridad de Vodafone ha resultado insuficiente para la adecuada protección de los derechos fundamentales de la parte reclamante cuya tarjeta SIM ha sido fraudulentamente duplicada. Vodafone señala que la realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes de la parte reclamada, sino a los servicios de móvil e internet que pudieran tener contratados. La parte reclamada manifiesta que la emisión de los duplicados de la tarjeta SIM no es suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad financiera. Obvia la reclamada que dichas actuaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/42 serían posteriores a un tratamiento de datos personales atribuible en este caso a la reclamada sin base de legitimación. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para garantizar que el tratamiento de datos personales se realiza en cumplimiento de lo establecido en la normativa de protección de datos y, más en concreto, contando con una base de licitud del tratamiento, tal y como propugna el art. 6 del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que el tratamiento de datos sea conforme al RGPD. A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). Por lo tanto, en la medida en que la tarjeta SIM identifica un número de teléfono este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C -101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. Es cierto que el sistema de verificación de las entidades bancarias responde a la voluntad de estas y no de Vodafone. No obstante, también es cierto que, si Vodafone asegurase el procedimiento de identificación y entrega, ni siquiera podría activarse el sistema de verificación de las entidades bancarias. La persona estafadora tras conseguir la activación de la nueva SIM, toma el control de la línea telefónica, pudiendo así, a continuación, realizar operaciones bancarias fraudulentas accediendo a los SMS que las entidades bancarias envían a sus clientes como confirmación de las operaciones que ejecutan. En definitiva, desde el momento que se entrega un duplicado a una persona distinta al titular de la línea o persona autorizada, el cliente pierde el control de la línea y los riesgos, daños y perjuicios, se multiplican. Además, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/42 los hechos acontecen con una inmediatez abrumadora. Vodafone insiste respecto del grado de responsabilidad que, en su caso, pueda achacárseles, no puede hacerse depender de una actuación de un tercero que escapa su control, esto es: las medidas de seguridad implementadas por una u otra entidad bancaria o incluso el hecho de que el afectado disponga o no de banca electrónica. En relación con esta alegación, amén de lo ya indicado anteriormente, el grado de responsabilidad cae dentro de su ámbito y no de terceros, debiendo señalar que la SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento”. SEGUNDA. - No puede apreciarse la existencia de culpabilidad en las infracciones imputadas a la parte reclamada y, en consecuencia, no puede imponerse a la misma sanción alguna. Por otro lado, y estrictamente en cuanto a la negligencia en la actuación de Vodafone, cabe señalar que la SAN -Sala Contencioso-Administrativo- 392/2015, de 17 de noviembre que en su Fundamento Jurídico Tercero recoge la doctrina del Tribunal Constitucional sobre la aplicación al derecho administrativo sancionador de los principios del orden penal, en los siguientes términos: El Tribunal Constitucional ha declarado reiteradamente que los principios del orden penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos matices, al derecho administrativo sancionador, al ser ambos manifestaciones del ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y 164/2005). El principio de culpabilidad, garantizado por el artículo 25 de la Constitución, limita el ejercicio del "ius puniendi" del Estado y exige, según refiere el Tribunal Constitucional en la sentencia 129/2003, de 20 de junio, que la imposición de la sanción se sustente en la exigencia del elemento subjetivo de culpa, para garantizar el principio de responsabilidad y el derecho a un procedimiento sancionador con todas las garantías (STS de 1 de marzo de 2012, Rec 1298/2009). Ciertamente, el principio de culpabilidad, previsto en el artículo 130.1 de la Ley 30/1992, de 26 noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone que solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Obviamente, ello supone que dicha responsabilidad sólo puede ser exigida a título de dolo o culpa, quedando desterrada del ámbito del derecho administrativo sancionador la llamada "responsabilidad objetiva", y comprendiendo el titulo culposo la imprudencia, negligencia o ignorancia inexcusable. Esta "simple inobservancia" no puede ser entendida, por tanto, como la admisión en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/42 derecho administrativo sancionador de la responsabilidad objetiva, pues la jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990 ), destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y prohibición de exceso ( artículo 25.1 CE ), o de las propias exigencias inherentes a un Estado de Derecho, por lo que se requiere la existencia de dolo o culpa (en este sentido STS de 21 de enero de 2011, Rec 598/2008 ). No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma " (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998 , parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005 , y de 23 de octubre de 2010, Rec 1067/2006 , que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". En el supuesto que nos atañe Vodafone no ha cumplido con sus propias medidas, dado que la parte reclamada facilitó y modificó los datos personales de la parte reclamante sin su consentimiento ni amparo en otra base jurídica válida. Tanto el cambio del correo electrónico asociado a la cuenta del reclamante efectuado en las llamadas efectuadas por el tercero ajeno al reclamante , habrían llevado a cabo sin una verificación adecuada de su identidad, sin garantizar que la llamada se efectuaba con a través de la línea del cliente que solicitaba el cambio, permitiendo cambios sucesivos en la dirección de correo electrónico asociado al reclamante y advirtiendo de la situación sólo tras comunicación expresa del cliente afectado, hoy reclamante ante la AEPD; y por lo tanto resulta notoria la existencia de antijuridicidad y culpabilidad en la conducta infractora de la entidad responsable del tratamiento de los datos personales, Vodafone, quien como responsable del tratamiento de datos de emisión de duplicados de tarjetas SIM, decide sobre la finalidad, contenido y uso de los datos personales incluidos en el tratamiento, tiene la obligación de obrar con mayor diligencia a la hora de tramitar la emisión de duplicados, asegurándose de contar con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/42 el consentimiento de su verdadero titular, a fin de no incurrir en el tratamiento no consentido de sus datos personales. Dicha condición impone un deber especial de diligencia a la hora de llevar a cabo el tratamiento de los datos personales, en lo que atañe al cumplimiento de los deberes que la legislación sobre protección de datos establece para garantizar los derechos fundamentales y las libertades públicas de las personas físicas, y especialmente su honor e intimidad personal y familiar, cuya intensidad se encuentra potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro en el mercado de datos; en este sentido se ha pronunciado también la SAN 392/2015, de 17 de noviembre (Ver su Fundamento de Derecho Tercero). Al respecto, resulta significativo que la operadora responsable del tratamiento no justifique debidamente la concurrencia en su conducta de la diligencia que le era exigible ni acredite la adopción de las cautelas exigibles para evitar el tratamiento no consentido del dato de carácter personal que nos ocupa (la emisión de duplicado de tarjeta SIM de forma fraudulenta), que debe atribuirse a la conducta negligente de Vodafone, utilizándose por un tercero los datos personales del reclamante pasando las medidas de seguridad para realizar el duplicado de la tarjeta SIM. En cuanto a la responsabilidad de Vodafone, debe indicarse que, con carácter general Vodafone trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
10. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
11. e)y
12. f)del RGPD. Por dicha razón, este es un proceso en donde la diligencia prestada por la operadora es fundamental para garantizar que el tratamiento de datos que realiza se efectúe con pleno cumplimiento de la normativa de protección de datos y, más en concreto, con el principio de licitud del tratamiento establecido en el art. 6 RGPD. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de Vodafone se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/42 clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir, desde la óptica de la culpabilidad, estamos ante un error vencible ya que con la aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones de identidad se hubieran podido evitar. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. TERCERA. - Subsidiariamente, y para el caso de que la Agencia entendiera que la parte reclamada ha infringido el artículo 6.1 del RGPD, no puede apreciarse la existencia de culpabilidad en las infracciones imputadas a la parte reclamada y, en consecuencia, no puede imponerse a la misma sanción alguna. Asimismo, solicita Vodafone con carácter subsidiario que esta Agencia acuerde el archivo del procedimiento por inexistencia de culpabilidad. Efectivamente, la AEPD ha cordado en numerosas ocasiones, en cumplimiento del principio de culpabilidad, el archivo de procedimientos sancionadores en los que no concurría el elemento de la culpabilidad del sujeto infractor. Supuestos en los que, pese a existir un comportamiento antijurídico, había quedado acreditado que el responsable había obrado con toda la diligencia que resultaba exigible, por lo que no se apreciaba culpa alguna en su conducta. Ese ha sido el criterio mantenido por la Sala de lo Contencioso Administrativo, sección 1ª, de la Audiencia Nacional. Pueden citarse, por ser muy esclarecedoras, las siguientes sentencias: - SAN de 26 de abril de 2002 (Rec. 895/2009) que dice: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” - SAN de 29 de abril de 2010, Fundamento Jurídico sexto, que, a propósito de una contratación fraudulenta, indica que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/42 empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. Ahora bien, es el presente caso y en conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”, establece: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/42 integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.[...]”. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a la parte reclamada. Vodafone solicita que se aprecien las siguientes circunstancias atenuantes: - Que procedió a solventar la incidencia objeto de la reclamación de forma efectiva en cuanto tuvo conocimiento de los hechos. - El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD. - El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. - Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. - El sometimiento de Vodafone, de forma voluntaria, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado (previsto en el Art. 76.2
13. h)de la LOPDGDD). Estas alegaciones se contestan en el apartado V (Sanción de multa: Determinación del importe). CUARTA. - Que, a efectos de demostrar la ausencia de la infracción, así como la falta de culpabilidad de mi representada en el presente expediente, o, en su caso, modular a la baja la sanción propuesta por la Agencia, esta parte estima necesario que se admita la práctica de las siguientes pruebas: En apoyo a su pretensión Vodafone aporta documentación -prueba documental- en concreto: 1) Como Documento 1, contrato marco canal especialista exclusivo de punto de venta estándar. 2) Como Documento 2, Anexo I contrato canal especialista C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/42 exclusivo de punto de venta estándar. 3) Como Documento 3, política de seguridad para contratación de particulares Vodafone, de marzo de 2022. 4) Como Documento 4, política de seguridad para contratación de particulares Vodafone, en su versión actualizada de enero de 2024. Las pruebas aportadas una vez examinadas no quiebran la responsabilidad y culpabilidad de Vodafone como se ha visto en la respuesta dada a sus alegaciones. IV Contestación a las alegaciones presentadas a la Propuesta de Resolución A continuación, se procede a dar respuesta a las alegaciones presentadas por Vodafone, que son, en líneas generales, una reiteración de las presentadas al acuerdo de inicio y contestadas en la propuesta de resolución. Respecto a la primera y segunda de las alegaciones por la que se indica que Vodafone ha actuado de forma diligente en la medida en la que tiene implementados los procesos necesarios para identificar correctamente a sus clientes, siendo la adopción de medidas técnicas y organizativas una obligación que no es absoluta. En primer lugar, y sobre que la adopción de medidas técnicas y organizativas no es una obligación absoluta, debe indicarse que en el caso que nos ocupa ha sido la propia parte reclamada la que ha admitido que no se han seguido los propios procedimientos y políticas de seguridad. En este sentido, valorar si las medidas previamente adaptadas fueron o no adecuadas resulta irrelevante, puesto que dichas medidas no han sido seguidas por la propia parte reclamada. La adopción de las medidas técnicas y organizativas presupone un cumplimiento de las mismas, en caso contrario, no queda garantizado el derecho a la protección de datos. A este respecto, además, conviene señalar que la SAN de 29 de octubre de 2024, rec. 1824/2021, dispone que: “…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no estamos ante un requisito meramente formal, sino material. En este sentido, y en línea con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso", lo que no implica que se exija una obligación de resultado”. En el presente caso no se está sancionando la existencia o ausencia de medidas técnicas y organizativas, sino el hecho de que, en este caso específico, el tratamiento de los datos personales del reclamante fue llevado a cabo sin cumplir con los requisitos de licitud establecidos en el artículo 6.1 del RGPD. La infracción de este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/42 artículo confirma que la parte reclamada realizó un tratamiento no autorizado de los datos, vulnerando de esta forma los derechos de la parte reclamante. En segundo lugar, Vodafone señala que estamos ante un tercero cuyo propósito es, mediante una actividad delictiva, superar dichas medidas de seguridad. Para ello, hace referencia Vodafone, para su descargo, al conjunto de medidas de seguridad que ha adoptado, las cuales son las mínimas exigibles a cualquier organización con las características y en el contexto en el que actúa una operadora de telecomunicaciones. Respecto a dicha cuestión, conviene indicar que el hecho consistente en el tratamiento ilícito de los datos del reclamante por parte de Vodafone no se debió a que un tercero superase las medidas de seguridad, sino al incumplimiento de los protocolos de seguridad internos, tal y como la propia parte reclamada ha reconocido. Como se indica en el hecho probado cuarto, consta acreditado que la política de seguridad de Vodafone vigente desde el año 2022, establecía que las solicitudes deben realizarse desde una línea vinculada al contrato del cliente o, en su defecto, se debe realizar una llamada de verificación al número registrado, siendo en el presente caso el número llamante de otra compañía, no contratado con Vodafone ni tampoco incluido en la ficha del reclamante, y tampoco se realizó la llamada de verificación por parte de Vodafone. En este sentido, la mera existencia de una política de seguridad no puede justificar el cumplimiento del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y el responsable del tratamiento debe de garantizar que se cumplan estrictamente en todo momento. En caso contrario, las medidas adoptadas carecen de virtualidad y puede conllevar tratamientos ilícitos como ocurre en el presente caso. Por lo tanto, la cuestión aquí no radica en el nivel de sofisticación del ataque delictivo del tercero, sino en el incumplimiento de las propias medidas que permitieron el tratamiento ilícito de datos personales. La parte reclamada no puede exonerar su responsabilidad apelando a la existencia de medidas mínimas cuando el fallo estuvo en la aplicación de esas medidas, permitiendo una infracción de la licitud del tratamiento. La parte reclamada manifiesta que la emisión de los duplicados de la tarjeta SIM no es suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad financiera. Al respecto se señala que la propia emisión de un duplicado de la tarjeta SIM supone un tratamiento de datos personales en sí mismo, que es objeto del presente procedimiento sancionador. Sin perjuicio de lo anterior, los efectos que dicho tratamiento puede tener en los afectados pueden ser de grandes dimensiones puesto que la obtención de un duplicado de una tarjeta SIM es un elemento necesario para acceder a datos realizar operaciones bancarias en nombre de los titulares, como recoge la sentencia de 13/05/2024, Rec. 0002336/2021, de la Audiencia Nacional al declarar que “(…) en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/42 primera fase de este tipo de estafas el suplantador consigue, de manera fraudulenta, los datos de acceso o las credenciales de la banca online del cliente, pero le falta por conocer el código de verificación, segundo factor de autentificación, para poder ejecutar cualquier operación. En el momento en el que logra la tarjeta SIM duplicada ya tiene también acceso a este segundo factor de autentificación y, por tanto, desde ese momento puede realizar los actos de disposición patrimonial que desee”. Por tanto, la simple utilización de una tarjeta SIM por un tercero no autorizado implica ya de por sí un tratamiento ilícito. Debe de tenerse en cuenta que la posesión de un duplicado de tarjeta aumenta el riesgo para su titular, pues el suplantador puede poseer datos adicionales que pueden producir efectos más gravosos, como la realización de operaciones financieras no deseadas, como acaeció en el caso de la parte reclamante. Por dicha razón, facilitar un duplicado de tarjeta es un proceso donde la diligencia prestada por los operadores es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Dicha diligencia que se traduce en el cumplimiento de su propia política de seguridad para garantizar que el tratamiento de datos sea conforme al RGPD, lo cual en el caso que nos ocupa y como ha reconocido la parte reclamada, no ha tenido lugar. Vodafone insiste respecto del grado de responsabilidad que, en su caso, pueda achacárseles, no puede hacerse depender de una actuación de un tercero que escapa su control, esto es: las medidas de seguridad implementadas por una u otra entidad bancaria o incluso el hecho de que el afectado disponga o no de banca electrónica. En relación con esta alegación, amén de lo ya indicado anteriormente, el grado de responsabilidad cae dentro de su ámbito y no de terceros, debiendo recordar, de nuevo, que la SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento”. En este sentido, conviene señalar que en el presente caso no se trata de valorar la actuación del banco o cualquier otra entidad externa, sino de examinar cómo la parte reclamada llevó a cabo un tratamiento de datos personales sin seguir los procedimientos establecidos. La actuación de sus agentes no escapa a su control, ya que estos actúan en nombre de la parte reclamada y, por tanto, son responsables de cumplir con las políticas de seguridad. La propia parte reclamada ha reconocido que no se siguió la política de seguridad al tramitar el duplicado de la SIM sin la verificación adecuada, lo que revela un incumplimiento de sus propias medidas. Por tanto, la responsabilidad no puede ser desplazada hacia elementos externos. La parte reclamada es directamente responsable del comportamiento de su personal y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/42 asegurar que los protocolos de seguridad se apliquen correctamente en cada caso, sin excepción. En cuanto a la negligencia en la actuación de Vodafone, no cabe más que remitirnos a lo ya indicado en nuestra respuesta a las alegaciones realizadas al acuerdo de inicio, a las que nos remitimos. Por lo tanto, la parte reclamada no puede eludir su responsabilidad, ya que el RGPD exige que el tratamiento de los datos se realice de modo lícito y el tratamiento solo será lícito si se cumple al menos una de las condiciones previstas en el art. 6 del RGPD. El incumplimiento de su propia política de seguridad especialmente cuando se trata de un procedimiento tan delicado como el duplicado de una tarjeta SIM, demuestra una falta de diligencia en su responsabilidad que justifica la imputación de la infracción. En cuanto a la quinta alegación por la que subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, Señala las circunstancias que han de tenerse en cuenta y, en respuesta, y sin perjuicio de que se reitere la contestación que fue efectuada a estas alegaciones en el acuerdo de inicio en el fundamento de derecho VII, se señala que, corresponde a la AEPD en el marco de sus competencias la determinación de la sanción, así como la fijación de multas, así como la valoración de los atenuantes y agravantes establecidos por la normativa vigente. Circunstancias que se encuentran debidamente justificadas tan y como se ha indicado reiteradamente. V Obligación incumplida Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
14. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
15. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
16. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
17. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
18. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
19. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
20. f)del párrafo primero no será de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/42 aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Resulta preciso señalar que el artículo 4.1 del RGPD define: «datos personales» como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” En el presente caso, de las actuaciones de investigación se desprende que el día 8 de febrero de 2023 un tercero disponiendo de los datos de la parte reclamante (DNI, nombre y apellidos, correo electrónico y ocho últimos dígitos de cuenta bancaria), habría realizado tres llamadas al servicio de atención al cliente de LOWI, para solicitar un cambio de dirección de correo electrónico de la cuenta de cliente del reclamante. Según las citadas actuaciones, en la primera llamada el tercero habría superado la política de seguridad y activado asimismo una palabra de seguridad que le sería solicitada en sucesivas llamadas. Igualmente se desprende que en las citadas llamadas no se comprobó, por la parte reclamada, que la llamada fuera realizada desde una línea de titularidad de LOWI y del reclamante, como indica la modificación de la política de seguridad del año 2022: “(…)”. La solicitud del duplicado SIM presuntamente fraudulento se habría realizado a través del área privada de cliente en la app LOWI por Internet, una vez modificado el correo electrónico de la cuenta cliente del reclamante previa identificación del mismo, mediante la introducción de la nueva dirección de correo electrónico (ya cambiado) o número de teléfono móvil, y la contraseña establecida. De esta forma, la entrega del duplicado se habría solicitado en una dirección diferente a la del contrato del reclamante, posibilidad que permite LOWI, y la cual no se puede modificar tras la solicitud de duplicado. LOWI aporta albarán de la entrega, donde se requiere al receptor su identificación con nombre, apellidos y DNI. En el apartado de firma del albarán figuran estos tres datos con fecha y hora, pero no firma manuscrita. En base a lo acaecido, se desprende que el tercero habría conseguido suplantar la identidad de la parte reclamante, activar una palabra de seguridad, modificar el correo electrónico del reclamante y acceder a su área privada en Lowi y solicitar un duplicado de la tarjeta SIM. Ello habría permitido que, dicho tercero en fecha 9 de febrero de 2023 recibiese y consiguiese activar una tarjeta SIM, lo que le permitió disfrutar del control de esta. El citado artículo 6.1 RGPD establece que el tratamiento de datos personales únicamente será lícito si se basa en una de las bases jurídicas contempladas en dicho artículo. Estas incluyen el consentimiento del interesado, la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, el interés público o el interés legítimo del responsable, siempre y cuando se cumplan los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/42 requisitos específicos para cada caso. En consecuencia, cualquier tratamiento de datos personales que no se ampare en alguna de estas bases jurídicas debe considerarse ilícito, careciendo de legitimación para ser efectuado. Asimismo, en los casos donde se exige el consentimiento del interesado como base jurídica para el tratamiento de datos personales resulta necesario garantizar que dicho consentimiento sea otorgado de manera libre, específica, informada e inequívoca, tal como establece el artículo 4.11 del RGPD. Para cumplir con estos requisitos, es imprescindible que el responsable del tratamiento implemente mecanismos efectivos de verificación y que los mismos sean observados, asegurándose de esta forma de que la persona que otorga el consentimiento sea efectivamente el titular de los datos personales objeto del tratamiento. En situaciones en las que el tratamiento implique acciones donde no existe presencialidad, como en el caso que nos ocupa, la verificación de identidad se convierte, además en un requisito indispensable para garantizar que el consentimiento sea válido y evitar suplantaciones o usos fraudulentos de los datos personales. En el presente caso, se habría producido un tratamiento ilícito por la parte reclamada al haber facilitado y modificado datos personales de la parte reclamante sin su consentimiento ni amparo en otra base jurídica válida. Tanto el cambio del correo electrónico asociado a la cuenta del reclamante efectuado en la segunda y tercera llamada, así como la posterior entrega de un duplicado de tarjeta SIM perteneciente a su número de teléfono, se habrían llevado a cabo sin una verificación adecuada de su identidad. Esta cadena de actuaciones habría permitido que un tercero, mediante un acceso fraudulento, se beneficiara de un uso indebido de la información personal del reclamante. Dicha falta de comprobación de identidad por parte de la reclamada se desprende de varias actuaciones que constan en las actuaciones de investigación. Así, durante las llamadas realizadas por el tercero, se permitió modificar el correo electrónico del reclamante sin una verificación efectiva de su identidad, limitándose a requerir una serie de datos personales sin adoptar medidas adicionales. De igual forma, la propia política de seguridad vigente desde 2022, establecía que las solicitudes deben realizarse desde una línea vinculada al contrato del cliente o, en su defecto, se debe realizar una llamada de verificación al número registrado, lo cual no se cumplió en el presente caso. Además, tras el cambio del correo electrónico, el tercero accedió al área privada del reclamante y solicitó un duplicado de tarjeta SIM, que fue enviado a una dirección distinta a la registrada originalmente, a pesar de que se habrían producido previamente tres solicitudes de cambios de dirección de correo electrónico en un mismo día. En ese sentido el Considerando 40 del RGPD señala: “