PS-00665-2022

1/26  Expediente N.º: EXP202105689 - RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 23 de enero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VODAFONE ESPAÑA, S.A.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202105689 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: HECHOS PRIMERO: Dña. A.A.A. (en adelante, la reclamante uno) con fecha 28 de octubre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397, anteriormente VODAFONE ENABLER ESPAÑA (en adelante, la parte reclamada o LOWI). Los motivos en que basa la reclamación son los siguientes: La reclamante uno, usuaria de una línea de telefonía móvil contratada con LOWI, ha sido víctima de acciones maliciosas por parte de terceros desconocidos, consistentes en solicitar sin su consentimiento un duplicado de su tarjeta SIM, y, tras serle concedido el mismo, realizar transferencias no autorizadas de fondos desde cuentas bancarias suyas, contratadas con ING y BBVA. Gracias al nuevo duplicado, el atacante consiguió cambiar las credenciales de su caja electrónica en ING, así como la dirección de e-mail asociada. Además de disponer de sus fondos, activó la validación por móvil y añadió su medio de pago a Google Pay. También modificó las credenciales de su cuenta de AMAZON, y su dirección de e-mail vinculada. La afectada desea manifestar que, a pesar de haber comunicado a LOWI que ella no había solicitado el duplicado, la operadora no bloqueó realmente la línea, y ésta pudo seguir siendo utilizada durante un tiempo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/26 Documentación relevante aportada por la parte reclamante: - Documento en el que recoge la cronología de hechos (en adelante, “Cronología Reclamante”). Factura de fecha 23 de septiembre de 2021 emitida a nombre de la reclamante que refiere el número ***TELEFONO.1 e incluye el texto “Importe SIM: 2,48€”; “Descuento SIM: - 2,48€”. - Correos electrónicos recibidos por la reclamante en la dirección ***EMAIL.1 el 23 de septiembre de 2021 a las 13:30 desde la dirección ***EMAIL.2 en los que le informan de que están procesando su solicitud de duplicado de tarjeta SIM (en adelante, “Emails Reclamante”). - Impresión de pantalla de un mensaje de SMS (acrónimo en inglés de “Short Message System”, “Sistema de Mensajes Cortos” en castellano) recibido el día 23 de septiembre de 2021 a las 19:35 horas. En el mensaje se indica que el envío de las tarjetas SIM solicitadas está listo (en adelante, “SMS Reclamante”). - Denuncia presentada por la reclamante el día 26 de septiembre de 2021 a las 19:35 horas ante los Mossos d’Esquadra (en adelante, “Denuncia”). Recoge la cronología de los hechos con inclusión de intentos de suplantación de la identidad frente a ING, BBVA y Amazon. - Correo electrónico dirigido por la reclamante a ***EMAIL.3 el día 28 de septiembre de 2021 para poner una reclamación por la suplantación de identidad y solicitar la baja de la línea ***TELEFONO.

1. En el escrito además comunica que su número de teléfono para localizarla “ahora” es ***TELEFONO.
2. SEGUNDO: Dña. B.B.B. (en adelante, la reclamante dos) con fecha 15 de mayo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397, anteriormente VODAFONE ENABLER ESPAÑA (en adelante, la parte reclamada o LOWI). Los motivos en que basa la reclamación son los siguientes: La reclamante dos manifiesta que, en fecha 1 de marzo de 2022, recibe una llamada extraña (en la que un supuesto operador de la parte reclamada solicita su información bancaria, sin que la reclamante accediese a ello, colgando el teléfono) y unos minutos más tarde, su línea de telefonía móvil (contratada con la parte reclamada) deja de funcionar y tampoco puede acceder a su área personal a través de la web. Tras contactar con su entidad bancaria le indican que se había realizado un cargo en su cuenta bancaria, por lo que solicita el bloqueo de su cuenta bancaria y contacta con la parte reclamada para bloquear su línea de teléfono, solicitando una nueva tarjeta SIM (puesto que la suya estaba deshabilitada) y al recibir la SIM (sin que el repartidor le solicitase ningún documento identificativo) comprueba que la dirección de e-mail asociada no es la suya, por lo que deduce que un tercero accedió a su área personal, modificó los datos de contacto y solicitó a la parte reclamada un duplicado de su tarjeta SIM, pudiendo acceder así a su cuenta bancaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/26 Junto a la reclamación se aporta pantallazo (de fecha 25 de septiembre de 2021) relativo al e-mail correcto que figuraba asociado a su tarjeta SIM, así como fotografía acreditativa de que el e-mail asociado a la nueva SIM que solicitó era diferente del anterior. Asimismo, aporta copia de la denuncia presentada ante la Policía (en fecha 2 de marzo de 2022) y respuesta de la parte reclamada (de fecha 6 de abril de 2022) relativa a la reclamación presentada, en la que se indica lo siguiente: "Permítenos agradecerte que hayas puesto esta situación en nuestro conocimiento... Lamentamos mucho tu experiencia con nosotros y te ofrecemos nuestras más sinceras disculpas por todas las molestias ocasionadas, esperamos que a partir de ahora tu experiencia con Lowi sea formidable. Por tanto, damos por cerrada tu reclamación y te agradecemos la confianza depositada". TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de la reclamación presentada por la reclamante uno a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 10 de enero de 2022, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 20 de enero de
3. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. Con fecha 10 de febrero de 2022 se recibe en esta Agencia escrito de respuesta indicando “Que se ha procedido a enviar una carta a la reclamante mediante la cual se ha procedido a informarle sobre las gestiones que fueron llevadas a cabo por LOWI para solucionar la incidencia y que esta se encuentra resuelta en la actualidad. En este sentido, se adjunta como Documento número 1, copia de dicha carta remitida a la reclamante, mediante la cual se le informa, en particular, de que la solicitud de tarjeta SIM y el cambio SIM han sido calificados como un fraude por el Departamento de Fraude de LOWI. Asimismo, se le indica a la reclamante que el pedido de tarjeta SIM solicitado a través de su ID de cliente nunca fue entregado ya que se canceló por LOWI en fecha 24 de septiembre de
4. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/26 Por lo tanto, esta tarjeta nunca pudo ser activada y este duplicado SIM nunca se llegó a ejecutar. En cuanto al cambio SIM que se produjo el día 23 de septiembre de 2021, este se realizó mediante la activación de una tarjeta SIM comprada previamente en tienda. No obstante, el mismo día 23 de septiembre LOWI suspendió la línea de teléfono de la reclamante para evitar que un tercero pudiera realizar cualquier tipo de actuación fraudulenta y le devolvió el control de su línea a la reclamante. Por último, se le indica a la reclamante que no dispone de servicios activos disponibles en los sistemas de LOWI. Tras analizar la reclamación e investigar lo sucedido, LOWI ha podido comprobar que, con fecha 23 de septiembre de 2021, se tramitó un pedido de tarjeta SIM en el ID de cliente de A.A.A. para la línea móvil ***TELEFONO.
5. No obstante, tras una reclamación presentada por la reclamante ante el servicio de Atención al Cliente de LOWI, en fecha 24 de septiembre de 2021, se procedió a cancelar dicho pedido, que nunca fue entregado. Sin perjuicio de lo anterior, el mismo día 23 de septiembre de 2021, LOWI ha podido confirmar que la línea móvil ***TELEFONO.1 de la reclamante sufrió un cambio SIM tramitado a través del call center mediante la activación de una tarjeta SIM adquirida anteriormente por el suplantador en una tienda explotada por la sociedad FIBRANORTE, S.L. Asimismo, una vez recibida la reclamación de la reclamante en la que alegaba haber sufrido una suplantación de identidad y no reconocer dicho cambio de tarjeta SIM, el Departamento de Fraude procedió a suspender la línea afectada, a calificar lo sucedido como un fraude y a devolver el control sobre su línea a la reclamante. Quiere esta parte señalar que mi representada logró solventar las incidencias objeto de reclamación de forma efectiva el día 23 y 24 de septiembre de 2021, es decir, con anterioridad a la recepción del presente requerimiento por parte de la Agencia. Una vez recibida la presente reclamación, LOWI verificó que lo sucedido se había calificado como un fraude y que se devolvió el control de la línea afectada a la reclamante el mismo día que se produjo el cambio de tarjeta SIM, esto es, el 23 de septiembre de
6. Asimismo, se ha verificado que el pedido de tarjeta SIM que se realizó utilizando el ID de cliente de la reclamante quedó cancelado el 24 de septiembre de 2021 y 3 C2 General nunca se llegó a entregar. No obstante, se ha confirmado que la reclamante no dispone actualmente de servicios en LOWI. Todo ello se ha notificado a la reclamante mediante en el envío de una carta que se adjunta como Documento número
7. Además, tras las investigaciones internas llevadas a cabo por LOWI, se ha decido sancionar a la tienda que vendió la tarjeta SIM que fue objeto de activación por el presunto suplantador de la identidad de la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 Por otro lado, a fin de evitar que se produzcan incidencias similares, LOWI trabaja de forma continua en mejorar las Políticas de Seguridad para sus procesos de cambio y duplicados de SIM así como para cualquier otro proceso que conlleve posibles riesgos de fraudes o actuaciones irregulares para nuestros clientes. En este sentido, LOWI actúa bajo la Política de Seguridad para la Contratación de Particulares, la cual se ha ido actualizando progresivamente. Mediante dicha Política de Seguridad, mi representada establece qué tipo de información debe requerir al cliente para cada gestión solicitada. Asimismo, queda incluido cómo proceder en caso de que un usuario no pase la Política de Seguridad, así como las actuaciones preventivas en situaciones de fraude. La mencionada Política de Seguridad es de obligado cumplimiento para todos los Servicios Postventa LOWI, quienes se encargan de aplicarla y respetarla. Asimismo, en lo que respecta a la tramitación de un duplicado SIM, de conformidad con dichas Políticas, para efectuar un cambio de SIM de forma telefónica, es necesario la realización y superación de la Política de seguridad de LOWI para tales escenarios. Adicionalmente, cabe indicar que todos los empleados en el Departamento de Atención al Cliente han recibido formación de los pasos a seguir para la realización de cambios de SIM. Por tanto, si la tramitación de un cambio de SIM y/o un cambio de titularidad superan las Políticas de Seguridad de LOWI anteriores, se procederá a la realización de tales gestiones conforme a lo indicado en dichas Políticas, al considerar mi representada el cambio como auténtico, real y veraz. Asimismo, se están revisando los procesos internos para asegurar que se cumplen las Políticas de Seguridad definidas o introducir los cambios necesarios cuando se considere pertinente. En concreto, mi representada está trabajando en la mejora continua de: • Revisión de los procesos internos para asegurar que se cumplen las Políticas de Seguridad y controles de verificación que se han ido definiendo e incorporando, tanto en canal presencial como telefónico, para los escenarios de duplicados de SIM. • Refuerzos periódicos de comunicación de las Políticas de Seguridad y verificaciones que han sido definidas por LOWI para los duplicados de SIM y que deben ser aplicadas por las agencias, tiendas comerciales y agentes. • Envío de comunicados periódicos al canal presencial y telefónico, así como al operador logístico, donde se alerta de los escenarios de riesgo detectados, sus características y patrones de comportamiento para prevenir nuevos casos. En estos comunicados se incluye el detalle de cómo se producen estas peticiones, canales a través de los que se solicitan, documentación que aportan, descripción de la manipulación, zonas geográficas donde se están recogiendo/entregando las tarjetas SIM duplicadas. • Aplicación -si procede-, de la Política de Penalización existente para agentes o distribuidores que realicen cualquier duplicado o cambio de una tarjeta SIM sin haber requerido la documentación o que realicen cualquier gestión de cambio de SIM sin seguir todos los pasos definidos en la Política de Seguridad. En lo que se refiere a la realización de transacciones bancarias de carácter fraudulento como las que pone de manifiesto la reclamante en su reclamación, resulta oportuno expresar que el cambio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26 de una tarjeta SIM implica únicamente el acceso a la línea de teléfono asociada a ésta, y no a los datos bancarios del titular. Por tanto, no parece posible que exista una correlación entre los hechos ocurridos en relación con mi representada y lo ocurrido con la entidad bancaria de la que es cliente la reclamante. En este sentido, los movimientos bancarios que alega en su reclamación no tienen su origen, ni han sido ocasionados en concepto de facturas por servicios de LOWI que tuviese contratados, sino que se deben a accesos efectuados a través de la cuenta de su entidad bancaria. Por ello, LOWI no puede ser responsable de los accesos y movimientos bancarios que pudiesen haberse realizado de forma fraudulenta”. CUARTO: De conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), cuando se presentase ante la Agencia Española de Protección de Datos (en adelante, AEPD) una reclamación, ésta deberá evaluar su admisibilidad a trámite, debiendo notificar a la parte reclamante la decisión sobre la admisión o inadmisión a trámite, en el plazo de tres meses desde que la reclamación tuvo entrada en esta Agencia. Si, transcurrido este plazo, no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en el Título VIII de la Ley. Dicha disposición también resulta de aplicación a los procedimientos que la AEPD hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes. En este caso, teniendo en cuenta lo anteriormente expuesto y que la reclamación se presentó en esta Agencia, en fecha 28 de octubre de 2021, se comunica que con fecha 28 de enero de 2022, la reclamación de la reclamante uno, ha sido admitida a trámite al haber transcurrido tres meses desde que la misma tuvo entrada en la AEPD. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Expresa la parte reclamada en sus escritos que se habrían producido dos solicitudes de duplicado de la tarjeta SIM sobre la línea de la reclamante en las fechas que se refieren. Una primera solicitud se habría realizado a través del sitio de internet de la parte reclamada, y una segunda en una tienda física. Responsabilidad de la parte reclamada sobre los perjuicios a la reclamante Manifiesta LOWI que “el cambio de una tarjeta SIM implica únicamente el acceso a la línea de teléfono asociada a ésta, y no a los datos bancarios del titular”. Y añade que “no puede ser responsable de los accesos y movimientos bancarios que pudiesen haberse realizado de forma fraudulenta”. Adjunta una carta dirigida a la reclamante el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26 día 10 de febrero de 2022 en la que le comunica los hechos relacionados con las solicitudes de los duplicados de las tarjetas SIM y le expresa que no es responsable de las transacciones bancarias que pudieran haberse realizado fraudulentamente en otras entidades. Sobre los procedimientos para solicitar y activar duplicados de tarjetas SIM La parte reclamada ha facilitado un documento que incluye un gráfico que describe el proceso de cambio de tarjeta SIM. El gráfico muestra dos itinerarios posibles: uno, cuando la petición se realiza a través de un distribuidor; otro, cuando se inicia telefónicamente (a través del número “121”) o desde el “área privada” del cliente. Según la información consultada el “121” es el número de teléfono de atención al cliente del reclamado. En relación con la solicitud iniciada en distribuidor, el reclamado describe el proceso en los siguientes términos: (…) En relación con la solicitud iniciada telefónicamente (a través del “121”) o desde el área privada del cliente (internet), especifica los siguientes pasos: (…) Además, manifiesta LOWI que dispone de una Política de Seguridad para la Contratación de Particulares que establece qué tipo de información debe requerir al cliente para cada gestión solicitada al objeto de evitar fraudes. Añade que traslada a los proveedores de servicios de atención al cliente (refiere a “Majorel”) el proceso para tramitar las solicitudes de cambio de SIM. Este documento incluye los siguientes pasos: (…) Expresa la parte reclamada además que los empleados del Servicio de Atención al Cliente reciben formación sobre qué tipo de información debe requerirse para cada gestión, con inclusión de la solicitud de activación de tarjetas SIM. Sobre la primera solicitud realizada a nombre de la reclamante De la documentación recabada se obtiene la siguiente cronología de hechos en relación con la primera solicitud de duplicado de la tarjeta SIM: - Manifiesta la parte reclamada que el día 22 de septiembre de 2021 a las 20:56 horas contactó con su servicio de atención al cliente una persona que facilitó los datos de la reclamante para solicitar información sobre cómo pedir un duplicado de la tarjeta SIM. A este respecto el reclamado ha facilitado: o C/ Jorge Juan, 6 28001 – Madrid Captura de pantalla de los sistemas de información de la parte reclamada que referencia el registro de una llamada entrante a atención al cliente del día 22 de septiembre de 2021 a las 20:56 horas en relación con el número de la reclamante. www.aepd.es sedeagpd.gob.es 8/26 o - - - - Grabación de audio: la persona llamante facilita el nombre completo y el número de DNI de la reclamante para identificarse. La agente le facilita información sobre los diferentes canales para la solicitud de duplicados de tarjetas SIM: tienda “Media Markt” (con activación de la tarjeta en la propia tienda -manifiesta la agente que desde hace dos meses no se permite activación telefónica-); telefónicamente (con envío a la dirección que está consignada en el sistema -refiere la agente que no puede modificarse la dirección-); o a través de la aplicación con envío a la dirección que se escoja. Manifiesta la parte reclamada que el día 23 de septiembre de 2021 a las 13:30 horas una persona solicita a través del área de clientes del sitio de internet del reclamado un cambio de la tarjeta SIM para el número de la reclamante. Expresa que para poder acceder al área de clientes es necesario facilitar el número de teléfono o el correo electrónico del cliente y una contraseña de acceso. Manifiesta que la persona conocía dichos datos pues accedió y solicitó el duplicado. LOWI expresa que las tarjetas SIM solicitadas a través de este procedimiento se envían inactivas a la dirección facilitada por los interesados y que es el receptor el que ha de activarlas una vez las recibe. La parte reclamada ha facilitado: o Captura de pantalla de la página de internet de acceso al área de clientes de la parte reclamada en la que se observa que se solicitan dos datos para acceder: el correo electrónico o número de teléfono, y una contraseña de acceso. o Los datos de la petición de duplicado de la tarjeta SIM realizada el día 23 de septiembre de 2021 a las 13:30 horas a través del canal “WEB”. No consta la dirección de envío. Expresa la parte reclamada que el día 23 de septiembre de 2021 a las 13:30 dirigió dos correos electrónicos a la reclamante en los que le informaron de que estaban procesando su solicitud de duplicado. Uno de ellos contiene el texto “recuerda tener tu DNI a mano para poder recogerla”. Estos correos electrónicos coinciden con los aportados por la reclamante (Emails Reclamante) Manifiesta la parte reclamada que la comunicación del envío de una nueva tarjeta SIM se realiza también a través de mensaje de texto SMS. Así, adjunta una captura de pantalla en la que figura el mensaje enviado el 23 de septiembre de 2021 a las 19:35 horas con el texto “las tarjetas SIM ya están listas para su envío. En breve la recibirás en la dirección que nos indicaste”. Este mensaje coincide con el aportado por la reclamante (SMS Reclamante). Manifiesta la parte reclamada que, una vez las comunicaciones anteriores hacen consciente a la reclamante de la situación, llama al servicio de atención al cliente. La parte reclamada ha facilitado: o Una grabación de audio (“SEGUNDA LLAMADA CD” adjunta al Escrito#3) en la que la persona llamante manifiesta que ha recibido un mensaje de texto (SMS) informándole del envío de tarjetas SIM e indica que ha dejado de tener línea en su terminal. Facilita el DNI, nombre y apellidos de la reclamante, y el número de teléfono ***TELEFONO.
8. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26 Manifiesta que no se ha puesto en contacto con el reclamado durante el día para realizar ningún trámite. El agente le explica que previamente han llamado solicitando información sobre cómo pedir un duplicado de tarjeta SIM y que alguien, haciéndose pasar por ella, ha conseguido activar una tarjeta SIM adquirida en tienda. Expresa que procede entonces a bloquear la línea y establecer una “palabra de seguridad” para las comunicaciones entre la reclamante y el reclamado. - Expresa además la parte reclamada que procedió al bloqueo del envío del duplicado de tarjeta SIM solicitada a través del área de clientes de la reclamante. Manifiesta además al respecto el reclamado que “se envió comunicación vía correo electrónico a logística para que procediese a la cancelación del envío de la solicitud realizada por el delincuente por la página web”. Sobre este particular la parte reclamada ha aportado: o Información del registro de los sistemas del reclamado del día 23 de septiembre de 2021 a las 21:55 horas que refiere el envío de un correo electrónico “a o2o para que cancelen duplicado de la sim”. o Captura de pantalla de los sistemas de información del reclamado en la que figura información sobre el envío dirigido a la reclamante con indicación de la dirección de destino. Incluye registro de la solicitud de devolución a la empresa de transportes por orden del reclamado el día 24 de septiembre de 2021 a las 9:24 horas, así como de la ejecución de la devolución al origen. La parte reclamada manifiesta que se pudo realizar esta primera solicitud de duplicado de la tarjeta SIM a través de su sitio de internet porque el solicitante tenía conocimiento de los datos necesarios para acceder al área de cliente de la reclamante. Sobre la segunda solicitud realizada a nombre de la reclamante La parte reclamada manifiesta que a través de esta segunda solicitud se consiguió la activación de una tarjeta SIM adquirida en una tienda física explotada por la sociedad FIBRANORTE, S.L. La parte reclamada aporta la siguiente cronología de hechos en relación con esta segunda solicitud: - En sus sistemas de información figuran varias llamadas recibidas el día 23 de septiembre de 2021 por la parte reclamada asociadas a la reclamante. C/ Jorge Juan, 6 28001 – Madrid o El primer registro, de las 13:42 horas, refiere la llamada de un instalador del reclamado solicitando información sobre una tarjeta SIM. Según la información registrada se le deriva al servicio de atención al cliente. o El segundo registro, de las 13:57 horas, refiere una llamada en la que se solicita activación de una tarjeta SIM adquirida en tienda. Según se especifica, se informa de que ese trámite no se realiza telefónicamente. www.aepd.es sedeagpd.gob.es 10/26 Adjunta una grabación de audio en la que la persona llamante facilita el número de DNI de la reclamante para identificarse y manifiesta que está en una tienda y que ha adquirido una tarjeta SIM. Esta persona solicita que modifiquen el “ICC” en su ficha para el número ***TELEFONO.1 al objeto de activar la nueva tarjeta. La operadora le indica que le tienen que activar la tarjeta SIM en la tienda pues no activan telefónicamente tarjetas adquiridas en tienda. o El tercer registro, de las 14:07 horas, refiere una llamada saliente del canal “Click2Call”. Refiere que se solicita duplicado de tarjeta SIM en una tienda y se le informa de que no se puede modificar el “ICC” de un “alta en tienda”. o El cuarto registro, de las 18:00 horas, refiere una llamada entrante en la que el llamante “busca tienda Vodafone para duplicado”. Adjunta una grabación de audio en la que la persona llamante facilita el número de DNI y el nombre y apellidos de la reclamante para identificarse. Solicita la dirección de una tienda física en la que hacer un duplicado de la tarjeta SIM. El agente le facilita la dirección de una tienda física en la que le tramitarán el duplicado. Además, adjunta una grabación de audio en la que la persona llamante manifiesta haber perdido la tarjeta SIM y querer un duplicado. Solicita la dirección de una tienda física en la que hacer el trámite. El agente le facilita varias direcciones de tiendas físicas en las que tramitarlo. - El día 23 de septiembre de 2021 a las 18:43 horas el registro de la parte reclamada recoge otra llamada entrante en la que se consulta información sobre duplicado y se le informa. Sobre esta llamada manifiesta la parte reclamada que en esta interacción el agente, saltándose el procedimiento, ejecutó la activación del cambio de SIM. Expresa además que “ha procedido a penalizar a la agencia, como herramienta de refuerzo de la obligación del seguimiento de las políticas y procedimientos”. - Como se ha visto en el apartado anterior referido a la primera solicitud, el día 23 de septiembre de 2021 a las 19:35 horas la parte reclamada remite un mensaje de texto (SMS) informando a la reclamante de la tramitación del duplicado de la tarjeta SIM que se encuentra “lista para su envío”. - Expresa la parte reclamada que como consecuencia de la activación del duplicado, la reclamante se quedó sin servicio en su propio teléfono. Asimismo, la Cronología Reclamante refiere que el día 23 de septiembre de 2021 a las 20:01 se quedó sin línea telefónica en su teléfono, que le muestra el mensaje “la SIM no se ha aprovisionado”. - El día 23 de septiembre de 2021 a las 20:31 horas el registro de la parte reclamada recoge una llamada entrante sobre la que se anota que “le están suplantando la identidad y pidiendo duplicado en su nombre… bloquea la línea”. Asimismo, el registro recoge una gestión realizada a las 20:34 horas en la que se consigna la “suspensión temporal” de la línea. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 Adjunta una grabación de audio (“SEGUNDA LLAMADA CD”) en la que la persona llamante manifiesta que ha recibido un mensaje de texto informándole de que le van a enviar una tarjeta SIM que no ha solicitado. Igualmente indica que ha dejado de tener línea en su terminal. La persona llamante facilita el DNI, nombre y apellidos de la reclamante, y el número de teléfono ***TELEFONO.
9. Manifiesta además que durante el día de hoy no se ha puesto en contacto con la parte reclamada. El agente le explica que previamente han llamado solicitando información sobre cómo pedir un duplicado de tarjeta SIM y que alguien, haciéndose pasar por la reclamante, ha conseguido activar una tarjeta SIM adquirida en tienda. Procede entonces a bloquear la línea y establecer una “palabra de seguridad” para las comunicaciones entre la reclamante y la parte reclamada. Manifiesta la parte reclamada que en ese momento bloqueó la tarjeta SIM. Tras esto, en la Cronología Reclamante se detalla información de los siguientes eventos - El día 24 de septiembre de 2021 a las 09:36 horas el registro de la parte reclamada contiene información sobre una llamada entrante realizada desde el número ***TELEFONO.2 (el que refiere la reclamante como su nuevo número) en la que se solicita la desactivación temporal de la línea ***TELEFONO.
10. - El día 26 de septiembre de 2021 a las 14:29 horas la Cronología Reclamante refiere que la reclamante llamó al número de teléfono usurpado y “da línea con locución al final de que este usuario ha dado de baja la línea”. - El día 26 de septiembre de 2021 a las 14:43 horas el registro del reclamado recoge una llamada entrante realizada desde el número ***TELEFONO.2 que refiere una consulta sobre el número ***TELEFONO.1 que “ayer” salía apagado y “hoy” con “llamadas restringidas”. - El día 26 de septiembre de 2021 a las 17:15 la Cronología Reclamante refiere que interpuso una denuncia sobre estos hechos ante los Mossos d’Esquadra. - En el registro del reclamado constan interacciones posteriores en las que se cita la baja de los servicios contratados por la reclamante con el reclamado y la interposición de una reclamación oficial por suplantación de identidad. Sobre las implicaciones del bloqueo de la línea Manifiesta la parte reclamada que tras el bloqueo de la línea telefónica su actividad “queda reducida a la mera recepción de llamadas”. A este respecto aporta una copia de la factura emitida a nombre de la reclamante para el mes de septiembre de 2021 que incluye el listado de llamadas salientes realizadas desde el número ***TELEFONO.
11. La lista no contiene llamadas realizadas con posterioridad al día 23 de septiembre. Además, únicamente consigna una llamada realizada el día 23 de septiembre, a las 19:58 horas, con destino al número ***TELEFONO.
12. El anexo aportado por la reclamante refiere que el suplantador realizó en ese momento una llamada telefónica saliente desde su línea ***TELEFONO.1 y en la Denuncia expresa que la llamada se realizó al banco ING. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26 CONCLUSIONES Actuaciones previas de investigación iniciadas a raíz de la recepción de una reclamación en la que la reclamante manifiesta que en el mes de septiembre de 2021 un tercero suplantó su identidad frente a la parte reclamada y obtuvo una tarjeta SIM asociada a su número de teléfono. De la información recabada durante la investigación se ha puesto de manifiesto que durante los días 22 y 23 de septiembre de 2021 una persona que se identificó con el nombre, apellidos y número de DNI de la reclamante solicitó telefónicamente al reclamado información sobre las vías para solicitar un duplicado de su tarjeta SIM. Tras ello, el día 23 de septiembre de 2021 se iniciaron en nombre de la reclamante dos procesos de cambio de la tarjeta SIM asociada a su número de teléfono. La parte reclamada ha facilitado los protocolos que dispone para la sustitución de las tarjetas SIM. No obstante, la información obtenida evidencia que tras varios intentos el solicitante consiguió obtener el duplicado sin que se aplicara completamente el protocolo. El primero de procesos de obtención del duplicado de la tarjeta SIM se realizó a través de su cuenta de cliente (área de usuario) en el sitio de internet del reclamado. Esta solicitud pudo producirse ya que, según ha manifestado la parte reclamada, el solicitante disponía de los medios de acceso (usuario y contraseña) para acceder al área de clientes de la reclamante. Como parte del proceso la parte reclamada dirigió varias comunicaciones por correo electrónico y SMS con información sobre el estado del envío físico de la nueva tarjeta SIM. La reclamante, tras recibir el SMS, contactó con la parte reclamada al objeto de informar de que ella no había realizado tal petición. Esta primera solicitud concluyó con la anulación del pedido (de las evidencias obtenidas se deduce que el duplicado de tarjeta SIM no llegó a enviarse al destinatario). El segundo de ellos se realizó mediante la activación telefónica de una tarjeta SIM adquirida previamente de forma presencial en una tienda. Según ha manifestado la parte reclamada, el proceso de adquisición de un duplicado SIM en un distribuidor implica la identificación del solicitante mediante su DNI (del que el distribuidor ha de guardar constancia). Asimismo ha señalado que el protocolo dispone que las tarjetas SIM adquiridas a través de esta vía han de ser activadas también desde la propia tienda, sin que ello pueda ser realizado por el propio usuario a través de internet ni telefónicamente. Manifiesta la parte reclamada que, en esta ocasión, por error y tras varios intentos del solicitante, un agente activó la tarjeta SIM adquirida en tienda en el curso de una llamada del solicitante al servicio de atención al cliente. La activación de la nueva tarjeta SIM produjo que la reclamante dejara de disponer de la línea en su propio dispositivo. Ello, y la recepción previa del mensaje de texto (SMS) reseñado anteriormente, hizo que la reclamante se pusiera en contacto con el servicio de atención al cliente de la parte reclamada al objeto de comunicar los hechos. Durante la llamada se indica que se procede al bloqueo del duplicado fraudulento de la tarjeta SIM y al establecimiento de una palabra de seguridad como medida adicional de identificación en las comunicaciones entre la reclamante y el reclamado. Manifiesta el reclamado que el bloqueo de la línea telefónica redujo su actividad “a la mera recepción de llamadas”. La medida tomada en este primer momento, por tanto, no habría contemplado la inhabilitación completa de la línea en el duplicado de la tarjeta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26 SIM. Con posterioridad la reclamante solicitó, primeramente, la desactivación de la línea, y posteriormente la baja de los servicios contratados con la parte reclamada. SEXTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de la reclamación presentada por la reclamante dos a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, fue recogido por el responsable 13 de junio de 2022, como consta en el acuse de recibo que obra en el expediente. “Con fecha 27 de julio de 2022 se recibe en esta Agencia escrito de respuesta indicando Tras realizar las investigaciones oportunas sobre lo ocurrido y habiendo confirmado mi representada que se han realizado todas las actuaciones pertinentes con anterioridad a la notificación de la presente solicitud de información, se ha procedido a enviar una carta a la reclamante mediante la que se le informa sobre las gestiones que fueron llevadas a cabo por LOWI para solucionar la incidencia y que esta se encuentra resuelta en la actualidad. En este sentido, se adjunta, como Documento número 1, copia de dicha carta remitida a la reclamante, mediante la cual se da traslado, en particular, de las políticas de seguridad de las que dispone LOWI para prevenir la realización de duplicados de tarjeta SIM y de que lo sucedido ha sido calificado como un fraude por el Departamento de Fraude de LOWI. Además, se informa de que la reclamante recuperó el control total sobre la línea ***TELEFONO.4 afectada el día 1 de marzo, en el propio día en que puso los hechos en conocimiento de LOWI. Por último, se indica que la entrega de la nueva tarjeta SIM fue efectuada en domicilio confirmado por la propia reclamante durante la tramitación del duplicado. La reclamación tiene su origen en que la reclamante, usuaria de la línea de telefonía móvil ***TELEFONO.4 contratada con mi mandante LOWI, alega en su reclamación haber sido víctima de acciones maliciosas por parte de un tercero desconocido mediante las que se habría modificado la dirección email asociada al ID de cliente, se habría solicitado un duplicado de su tarjeta SIM sin su consentimiento y, tras serle concedido, se habrían realizado operaciones no consentidas a través de su cuenta bancaria. Tras analizar la reclamación e investigar lo sucedido, LOWI ha podido comprobar que, con fecha 1 de marzo de 2022, se tramitó un duplicado SIM no reconocido por la reclamante sobre la línea ***TELEFONO.4 asociada al ID de cliente de la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/26 Para ello, la persona que contactó con el servicio de atención al cliente de LOWI, tras aportar los datos que le fueron solicitados y superar la Política de Seguridad de LOWI, realizó un cambio en la dirección de correo electrónico asociada a la línea telefónica y, finalmente, un cambio de SIM a las 13:59 horas. Posteriormente, a través de dos llamadas desde las líneas telefónicas ***TELEFONO.5 y ***TELEFONO.6, en las que se superó la Política de Seguridad de LOWI, la reclamante indicó haber sufrido una suplantación de identidad y denunció un posible duplicado SIM, al haberse perdido acceso a la red LOWI y el acceso al área de cliente. Por tal motivo, el propio día 1 de marzo, el servicio de atención al cliente de LOWI procedió a suspender la línea afectada, calificar lo sucedido como un fraude y devolver el control sobre su línea a la reclamante, tramitando un nuevo duplicado de SIM, enviado a la dirección postal confirmada por la reclamante. Quiere esta parte señalar que la efectiva gestión de un cambio de tarjeta SIM, ya sea solicitado en tienda física o por vía telefónica, conlleva la superación de las políticas de seguridad que LOWI tiene implementadas a fin de prevenir que se realicen prácticas fraudulentas sobre los datos personales de sus clientes. En este sentido, y al haberse tramitado dicha gestión sujeta a dicha política de seguridad, mi representada entendió en todo momento que se trataban de gestiones lícitas, reales y veraces. Sin embargo, en vista de los hechos acontecidos, cuando la reclamante traslada la pérdida de red y de acceso a su área de cliente, indicando que no reconoce como propia la dirección de correo electrónico asociada, mi representada procedió a realizar las investigaciones y gestiones oportunas a fin de resolver la incidencia acontecida y efectuar un nuevo cambio de SIM que devolviera el control al reclamante sobre la línea. Así, el mismo día en que se tuvo constancia de los hechos objeto de reclamación, tras verificar LOWI que estaba ante gestiones que, pese a tener la apariencia de veraces, eran de carácter fraudulento, apenas cuestión de un par de horas mi representada procedió al bloqueó de la tarjeta SIM del cliente para evitar futuros ataques, se devolvió al reclamante el control sobre su tarjeta SIM y se tramitó un nuevo duplicado SIM. Así las cosas, la reclamante recuperó el control sobre su línea telefónica en el propio día en que se habría producido el duplicado no reconocido por la reclamante. En paralelo, el Departamento de Fraude procedió a calificar lo sucedido como un fraude y, consecuentemente, se activó el check de víctima de fraude en el ID de cliente del reclamante. Por tanto, mi representada logró solventar la incidencia objeto de reclamación de forma efectiva el 1 de marzo de 2022, es decir, el mismo día en que se habrían producido los hechos fraudulentos y con anterioridad a la recepción del presente requerimiento por parte de la Agencia. Pese a la realización de las gestiones anteriores, la reclamante procedió a interponer una denuncia ante la policía, en fecha 2 de marzo de 2022, una reclamación ante los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/26 servicios de atención al cliente de LOWI, así como presentar una reclamación ante esta Agencia, con fecha de registro 15 de mayo de 2022, que ha resultado en el presente requerimiento de información. Una vez recibida la presente reclamación, LOWI verificó que lo sucedido se había calificado como un fraude y que la línea afectada se encontraba bajo la titularidad de la reclamante. Asimismo, mi mandante incluyó los datos personales de la reclamante en los ficheros de prevención de fraude de LOWI para evitar que se pueda volver a producir una situación similar en el futuro. Todo ello se ha notificado a la reclamante mediante en el envío de una carta que se adjunta como Documento número
13. En cuanto a la llamada telefónica recibida inicialmente por la reclamante, mi mandante ha podido comprobar, tras efectuar las investigaciones oportunas, que la línea telefónica ***TELEFONO.7, desde la cual la reclamante denuncia haber sido contactada telefónicamente bajo el argumento de actuar como operador de LOWI y existir una incidencia con un cargo en su cuenta bancaria, no está vinculada a LOWI, ni consta en las bases de datos de distribución de esta entidad, ni tampoco existe constancia de que ninguno de sus agentes o colaboradores haya realizado la llamada indicada. Asimismo, es de interés apuntar que, de acuerdo con sus políticas internas, mi mandante nunca requiere números de cuenta o datos de facturación por vía telefónica o por correo electrónico. Así las cosas, entendemos que queda fuera del ámbito de responsabilidad de mi mandante la información personal que se hubiese podido compartir a través de este tipo de actuaciones fraudulentas, pues los interesados tienen también la responsabilidad de custodiar debidamente sus datos personales, estando únicamente dentro de la esfera de control de mi mandante la adecuada definición de los procedimientos, sistemas, controles y medidas de seguridad aplicables en función de la criticidad del tratamiento que aseguren la correcta identificación del titular de los datos personales. Por otro lado, a fin de evitar que se produzcan incidencias similares, LOWI trabaja de forma continua en mejorar las Políticas de Seguridad para sus procesos de cambio y duplicados de SIM, así como para cualquier otro proceso que conlleve posibles riesgos de fraudes o actuaciones irregulares para nuestros clientes. En este sentido, LOWI actúa bajo la Política de Seguridad para la Contratación de Particulares, la cual se ha ido actualizando progresivamente. Mediante dicha Política de Seguridad, mi representada establece qué tipo de información debe requerir al cliente para cada gestión solicitada. Asimismo, queda incluido cómo proceder en caso de que un usuario no pase la Política de Seguridad, así como las actuaciones preventivas en situaciones de fraude. La mencionada Política de Seguridad es de obligado cumplimiento para todos los empleados de LOWI, quienes se encargan de aplicarla y respetarla. Se adjunta como Documento número 2 copia de la Política de seguridad para particulares de LOWI. Consecuentemente, si la tramitación de un cambio de SIM y/o un cambio de titularidad superan las Políticas de Seguridad de LOWI citadas anteriormente, se procederá a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/26 realización de tales gestiones conforme a lo indicado en dichas Políticas, al considerar mi representada el cambio como auténtico, real y veraz. Por otro lado, en lo que se refiere a la realización de transacciones bancarias de carácter fraudulento como las que pone de manifiesto la reclamante en su reclamación, resulta oportuno expresar que el cambio de una tarjeta SIM implica únicamente el acceso a la línea de teléfono asociada a ésta, y no a los datos bancarios del titular. Por tanto, no parece posible que exista una correlación entre los hechos ocurridos en relación con mi representada y lo ocurrido con la entidad bancaria de la que es cliente el Sra. Soto. En este sentido, los movimientos bancarios que alega en su reclamación no tienen su origen, ni han sido ocasionados en concepto de facturas por servicios de LOWI que tuviese contratados, sino que se deben a accesos efectuados a través de la cuenta de su entidad bancaria. Por ello, LOWI no puede ser responsable de los accesos y movimientos bancarios que pudiesen haberse realizado de forma fraudulenta. Por último, en cuanto a la remisión de la nueva tarjeta SIM al domicilio de la reclamante, es necesario aclarar que la reclamante confirmó telefónicamente, tras superar la Política de Seguridad de LOWI, la dirección postal para el envío de esta tarjeta, la cual fue recibida sin ninguna incidencia, tal y como se reconoce en la propia reclamación. Con todo ello, podemos confirmar que actualmente mi representada ha realizado todas las actuaciones pertinentes para dar solución a la reclamación, estimando que ha quedado correctamente solventada con anterioridad a la recepción del presente escrito”. SÉPTIMO: De conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), cuando se presentase ante la Agencia Española de Protección de Datos (en adelante, AEPD) una reclamación, ésta deberá evaluar su admisibilidad a trámite, debiendo notificar a la parte reclamante la decisión sobre la admisión o inadmisión a trámite, en el plazo de tres meses desde que la reclamación tuvo entrada en esta Agencia. Si, transcurrido este plazo, no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en el Título VIII de la Ley. Dicha disposición también resulta de aplicación a los procedimientos que la AEPD hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes. En este caso, teniendo en cuenta lo anteriormente expuesto y que la reclamación se presentó en esta Agencia, en fecha 28 de octubre de 2021, se comunica que con fecha 15 de agosto de 2022, la reclamación de la reclamante dos ha sido admitida a trámite al haber transcurrido tres meses desde que la misma tuvo entrada en la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/26 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Obligación incumplida Con carácter previo resulta preciso señalar que el artículo 4.1 del RGPD define: «datos personales» como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/26 Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C 101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “
14. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. III Tipificación y calificación de la infracción La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “
15. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/26 tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”. En el presente caso, resulta acreditado que LOWI facilitó un duplicado de la tarjeta SIM de la reclamante uno y dos a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero, el cual, ha accedido a información contenida en el teléfono móvil, tales como datos bancarios, contraseñas, dirección de correo electrónico y otros datos personales asociados al terminal. Así pues, la reclamada, no verificó la personalidad del que solicitó el duplicado de la tarjeta SIM, no tomó las cautelas necesarias para que estos hechos no se produjeran. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. Pues bien, según ha manifestado la parte reclamada, “LOWI ha podido confirmar que la línea móvil ***TELEFONO.1 de la reclamante uno sufrió un cambio SIM tramitado a través del call center mediante la activación de una tarjeta SIM adquirida anteriormente por el suplantador en una tienda explotada por la sociedad FIBRANORTE, S.L”. Por otra parte, señala LOWI en relación con la reclamante uno que, en esta ocasión, por error y tras varios intentos del solicitante, un agente activó la tarjeta SIM adquirida en tienda en el curso de una llamada del solicitante al servicio de atención al cliente. La activación de la nueva tarjeta SIM produjo que la reclamante uno dejara de disponer de la línea en su propio dispositivo. Por otra parte, en relación con la reclamante dos LOWI manifiesta, “Tras analizar la reclamación e investigar lo sucedido, LOWI ha podido comprobar que, con fecha 1 de marzo de 2022, se tramitó un duplicado SIM no reconocido por la reclamante dos sobre la línea ***TELEFONO.4 asociada al ID de cliente de la reclamante dos. Para ello, la persona que contactó con el servicio de atención al cliente de LOWI, tras aportar los datos que le fueron solicitados y superar la Política de Seguridad de LOWI, realizó un cambio en la dirección de correo electrónico asociada a la línea telefónica y, finalmente, un cambio de SIM a las 13:59 horas. Ahora bien, debe señalarse que el Sim Swapping es un fraude que permite suplantar la identidad mediante el secuestro del número de teléfono al obtener un duplicado de la tarjeta SIM. En todo caso, la operadora deberá ser capaz de acreditar que para este caso concreto haya seguido los protocolos de verificación implementados a la hora de solicitar un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/26 duplicado de la tarjeta SIM. Pues bien, el resultado fue que la reclamada expidió las tarjetas SIM a un tercero que no era el titular de la línea. A la vista de lo anterior, la parte reclamada no logra acreditar que se haya seguido ese procedimiento. En la explicación aportada por la parte reclamada, no se apunta a cuál pudo haber sido la causa concreta que desembocó en la emisión de los duplicados, más allá de unas explicaciones genéricas sobre un posible “error humano”, incumplimiento por los colaboradores de LOWI, o incluso “actuación criminal organizada”. En todo caso, la parte reclamada no ha sido capaz de acreditar que para este supuesto se siguiera el procedimiento implantado por ella misma, ya que, de haberlo hecho, se debió haber producido la denegación del duplicado de la tarjeta SIM. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. De conformidad con las evidencias de las que se dispone en este momento procesal y sin perjuicio de lo que resulte de la instrucción del procedimiento, se estima que la conducta de la parte reclamada podría vulnerar el artículo 6.1 del RGPD pudiendo ser constitutiva de la infracción tipificada en el artículo 83.5.a) del citado Reglamento 2016/
16. En ese sentido el Considerando 40 del RGPD señala: “