1/41 Expediente N.º: EXP202306354 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por VODAFONE ESPAÑA, S.A.U. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos, de fecha 29 de agosto de 2025, y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 29 de agosto de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos, en el EXP202306354, en virtud de la cual se imponía a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, una multa de 150.000 euros (ciento cincuenta mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 17 de septiembre de 2025, según acuse de recibo que figura en el expediente, fue dictada previa tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00312/2024, quedó constancia de los siguientes: procedimiento sancionador, “1. La parte reclamante, con residencia en ***LOCALIDAD.1, es cliente de la entidad Vodafone. Entre los servicios contratados figura la línea de telefonía móvil número ***TELÉFONO.1. 2. Con fecha 21/09/2021, un tercero no autorizado solicitó un duplicado de tarjeta SIM para la línea de la parte reclamante ***TELÉFONO.1. Esta solicitud, que se realizó vía telefónica a través del canal interno para soporte a tiendas (Soporte Retail), fue atendida por Vodafone, entregándose al tercero la tarjeta SIM solicitada. 3. En relación con la solicitud de duplicado de tarjeta SIM reseñada en el Hecho Probado Segundo, en los sistemas de información de Vodafone consta que tuvo lugar en fecha 21/09/2021, a las 20:35 horas. En este registro consta como “Llamadas atención al cliente”, con origen el número de teléfono ***TELÉFONO.2, y las indicaciones siguientes: “(…)”. 4. Vodafone aportó a las actuaciones copia de la grabación de la llamada realizada a Soporte Retail para solicitar el duplicado de tarjeta SIM reseñado en el Hecho Probado Segundo. Seguidamente se reproduce la conversación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/41 . Tengo aquí un cliente que quiere hacer un duplicado de su tarjeta SIM . En este caso, primero confírmame el código postal de tu tienda para saber si estás autorizado o no… . Vale, sería ***REFERENCIA.1 . Vale, ***REFERENCIA.1 no, en este caso no estarías autorizado ¿tendrías algún otro código? . Te digo el de cliente, el de tienda . El de tienda, claro, realmente necesito el código postal de la tienda . ***EMPRESA.1 . No, tampoco. No me aparece . Sí, sería ***EMPRESA.1 . A ver si hay otro, estoy buscando, dame un momento… No me aparece… Algún otro, es que con el código postal debería salirme la tienda, ***REFERENCIA.1 no aparece . No, solo con eso te debería aparecer. Es más, si quieres te indico la clave de usuario . Deletréame el usuario . ***EMPRESA.1 . Voy a buscar. Sí, aquí está. Vale, pues dime DNI del cliente . Sería… (número de NIE), A.A.A. . Me confirmas ahora el número móvil . ***TELÉFONO.1 . Por último, confírmame el nuevo ICC a partir de 100 . ***REFERENCIA.2 . Pues ya está hecho 5. La entidad Vodafone, en su respuesta al trámite de traslado de la reclamación, de fecha 20/07/2023, informó que, el día 22/09/2021, la parte reclamante contactó con atención al cliente para alertar de la situación y ese mismo día solicitó en tienda que le facilitaran una nueva tarjeta SIM y así fue gestionado. 6. En los sistemas de información de Vodafone constan, entre otros, los contactos siguientes: . 23/09/2021: la parte reclamante, mediante llamada telefónica, advierte que “le han pedido un duplicado sin permiso y le han quitado dinero vinculado a su banco”. . 25/09/2021: llamada de la parte reclamante al Servicio de Atención al Cliente indicando que “quiere poner una reclamación porque aparece que le han duplicado la simswap y le han estafado, se indica que envíe la denuncia a correo”. . 01/10/2021, en relación con el contacto anterior: “cierro caso 25/09/2021 14:06… tipificado y dejado comentario en inicio: no se ha de hacer duplicado de SIM de ningún teléfono por posible estafa. Es mejor que acuda a una tienda Retail a solicitar duplicado para pasar política y dejar fotocopia o escaneo DNI”. 7. Mediante escrito de fecha 20/10/2021, que da respuesta a una reclamación de la parte reclamante de fecha 13/10/2021, en la que ésta solicita el resarcimiento de daños por los hechos relatados, Vodafone expresamente indica: “Queremos poner en su conocimiento que, tras realizar las gestiones oportunas y verificar los hechos que nos describía en su escrito el Sr… (la parte reclamante), hemos comprobado que con fecha 21 de septiembre, se nos comunica que, a través de una tienda física, se gestiona un duplicado de SIM de la línea ***TELÉFONO.1, informamos que para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/41 poder realizar dicha gestión es necesario que el solicitante pase una política de seguridad que incluye entrega de DNI, así como facilitar una serie de datos personales. Con fecha 22 de septiembre, el servicio de atención al cliente recibe una llamada del Sr… (la parte reclamante), en la que indica que le han clonado la tarjeta SIM y solicita una nueva, durante esta comunicación se indica el procedimiento para su solicitud desde la APP del cliente, sin llegar a ser gestionada por nuestro agente ya que la dirección de entrega no corresponde con la asociada al cliente en la base de datos. Con fecha 22 de septiembre, D… (la parte reclamante) nos comunica que gestiona el bloqueo de la línea desde la APP, no obstante, confirmamos consumos desde la línea durante todos los días del mes de septiembre permaneciendo activa hasta el día de hoy. Adjuntamos factura de septiembre”. 8. Con fecha 15/11/2021, la parte reclamante solicitó a Vodafone que le informe en qué tienda física se realizó dicho duplicado de tarjeta y le aporten documento firmado correspondiente a la entrega del mismo con los datos de la persona que lo recibió. 9. Mediante escrito de fecha 09/02/2022, que da respuesta a uno anterior de la parte reclamante de 03/01/2022, Vodafone expresamente indica: “Queremos poner en su conocimiento que, tras realizar las gestiones oportunas y verificar los hechos que nos describía en su escrito el Sr… (la parte reclamante), hemos comprobado que, el día 21/09/2021, se gestiona duplicado de sim de la línea ***TELÉFONO.1 en físico, no queda registrado como duplicado de sim puesto que en lugar de tramitar duplicado al parecer le facilitan a la persona una nueva SIM. Estamos procediendo a la identificación de la tienda en la que sucedió este hecho…”. 10. En su respuesta al trámite de traslado de la reclamación, de fecha 20/07/2023, Vodafone informó a la AEPD que calificó al cliente como víctima de fraude en fecha 22/02/2022 después de comprobar los hechos acontecidos. 11. Mediante escrito de fecha 12/04/2022, que da respuesta a uno anterior de la parte reclamada de 15/03/2022, Vodafone informa: “Queremos poner en su conocimiento que, tras realizar las gestiones oportunas y verificar los hechos que nos describía en su escrito…, informamos que, tras el estudio del caso, no se ha podido localizar la tienda física en la cual se gestiona el duplicado de SIM no reconocido por el cliente, confirmamos que una vez solucionada la incidencia, el servicio permanece activo. Con fecha 12 de abril de 2022, se ha solicitado un abono de 37 €, a favor de la parte reclamante, por la factura integra aplicada durante el mes de marzo…”. 12. En su respuesta al trámite de traslado de la reclamación, de fecha 20/07/2023, Vodafone informó a la AEPD que para la emisión de un duplicado de tarjeta SIM por parte de una tienda física, ésta debía llamar a Soporte Retail identificar la tienda mediante su código postal, facilitar el usuario que realiza la solicitud para verificar si se encuentra autorizado, así como el número de identidad del cliente, número de línea afectada por el duplicado y ciertos números de la ICC de la tarjeta a duplicar. 13. En su respuesta al trámite de traslado de la reclamación, de fecha 20/07/2023, Vodafone informó a la AEPD que los datos suministrados por la persona que realizó la solicitud del duplicado SIM reseñada en el Hecho Probado Segundo fueron los siguientes: . Código postal de la tienda autorizada (***REFERENCIA.1); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/41 . Se identifica como usuario autorizado facilitando el siguiente número de usuario ***EMPRESA.1 que entonces se encontraba autorizado para solicitar duplicados SIM desde Tienda autorizada; . Número de NIE del cliente (***NIF.1) y número de la línea afectada por el duplicado SIM (***TELÉFONO.1); . Ciertos números de la ICC de la tarjeta SIM a duplicar (***REFERENCIA.2). 14. Con su respuesta al trámite de traslado de la reclamación, de fecha 20/07/2023, Vodafone aportó copia del Informe elaborado por “Reclamaciones”, en el que se indica lo siguiente: “Efectivamente el duplicado se solicitó y se entregó en tienda, el comercial llamó a retail y nos pasó la política de seguridad que tenemos marcada para estos casos, por lo que completamos dicho cambio de ICC desde el canal de soporte tienda… Se realizó mediante llamada a Soporte Retail (Soporte a tienda) desde la numeración ***TELÉFONO.2 La tarjeta sim fraude utilizada ***REFERENCIA.2 pertenecía a un pedido de Fibranorte, (…)… En la grabación se hacen pasar por compañero de tienda. Fecha grabación ***TELÉFONO.1 21.09.21.mp3 Se catalogo fraude el 28/02/2022… Este PDV continua activo con Fibranorte, es de la cadena de tiendas SMART & PHONE…”. 15. Con fecha 31/08/2023, en respuesta al primer requerimiento que le fue realizado por los servicios de inspección de la AEPD, Vodafone informó que el punto de venta implicado tiene la denominación social ***EMPRESA.1 y el nombre comercial Smart Phone, con domicilio en ***DIRECCIÓN.1. Según Vodafone, dicha tienda se engloba entre los puntos de venta gestionados por la entidad FIBRANORTE S.L., que actúa como agente. 16. Con fecha 10/11/2023, en respuesta al segundo requerimiento que le fue realizado por los servicios de inspección de la AEPD, Vodafone informó que el código postal no era un requisito de la Política de Seguridad en las llamadas al número de soporte para tiendas, la cual se limitaba a identificar el código específico asignado al usuario para verificar si estaba autorizado, aportar el número del documento de identidad del cliente y el número de línea afectada por el duplicado de SIM, así como ciertos números de la ICC de la nueva tarjeta. Asimismo, informó que el equipo de Reclamaciones, por un error puntual, trasladó una información errónea relativa al punto de venta que realizó el duplicado SIM y que el punto de venta que realmente solicitó el duplicado SIM en cuestión fue la tienda ubicada en ***DIRECCIÓN.1. Añade que este punto de venta está recogido en el contrato como uno de los puntos utilizados por el distribuidor implicado en el caso. Según Vodafone, el equipo de reclamaciones no ha podido identificar la causa de aquel error. 17. Vodafone, manifiesta en su respuesta de fecha 31/08/2023 que “Se desconoce el motivo por el cual el personal de tienda actuó irregularmente o si el personal de tienda entregaría los datos a un tercero no autorizado para que realizasen las acciones fraudulentas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/41 18. Vodafone aportó a las actuaciones copia del “Contrato de Agencia Canal Alternativo”, suscrito por Vodafone Enabler Esapaña, S.L y Fibranorte, S.L., en cuyos Anexos se identifican los puntos de venta o subagentes que cubre dicho contrato, todos ellos ubicados en Cataluña y Aragón, ninguno de ellos en ***LOCALIDAD.2. En la localidad de ***LOCALIDAD.3 aparecen cuatro subagentes, uno de ellos con domicilio en ***DIRECCIÓN.1 y teléfono ***TELÉFONO.3. Ninguno de los subagentes que figura en el contrato tiene asociado el número de teléfono ***TELÉFONO.2. En este listado no constan los nombres de las entidades subagentes”. Por otra parte, se detalla: “Vodafone Enabler es una entidad que forma parte del mismo Grupo societario al que pertenece Vodafone España, S.A.U.”. Fibranorte, S.L. es el encargado del tratamiento y la tienda física Smart Phone tiene la consideración de subencargada del tratamiento”. TERCERO: En fecha 9 de octubre de 2025, la parte recurrente ha presentado, en esta Agencia Española de Protección de Datos, recurso de reposición, en el que muestra su disconformidad con la resolución impugnada, remitiéndose en su integridad a las alegaciones ya formuladas durante la tramitación del procedimiento sancionador y reproduciendo sustancialmente los mismos argumentos y conclusiones que entonces expuso. «PRIMERA. - Vodafone ha actuado de forma diligente en la medida en la que tiene implementados los procesos necesarios para identificar correctamente a sus clientes, siendo la adopción de medidas técnicas y organizativas una obligación que no es absoluta. (…) Sin perjuicio de que nos remitimos en su integridad a lo defendido en las Alegaciones a la Propuesta de Resolución, Vodafone quiere reiterar que, en su obligación de adoptar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, como responsable del tratamiento se encuentra sujeto a una obligación de medios a la hora de implementar una Política de Seguridad robusta y eficaz. Mi mandante considera haber cumplido con este propósito, en tanto su Política de Seguridad cumple con las mencionadas características (…). (…) la acción ilícita de terceros que fraudulentamente obtienen los datos confidenciales de los clientes logrando superar las medidas implementadas de forma que usurpan la identidad de estos, no significa que la política sea insuficiente, sino que se han obtenido los datos necesarios, por medios ajenos a mi representada, para superar las medidas establecidas (…). Así las cosas, lo que se puede solicitar a mi representada es que implemente un proceso de verificación de la identidad que sea acorde y que, en circunstancias normales, garantice un correcto tratamiento de los datos., así como demostrar el funcionamiento del mismo. (…) en este sentido mi representada ha demostrado que las medidas dirigidas a una correcta identificación del interesado estaban implementadas (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/41 (…) (…), Vodafone no pudo comprobar que la solicitud se estaba realizando por un tercero en la medida en la que la identidad del estafador estaba oculta y contaba con información confidencial suficiente para superar, mediante técnicas ilícitas, las políticas de seguridad establecidas por mi mandante. Siendo así, mi mandante no puede estar de acuerdo en la concurrencia de irregularidades en las medidas implementadas mencionada por esta Agencia, pues en circunstancias normales en las que un tercero defraudador no hubiese conseguido información de forma ilícita para superarlas, dichas medidas hubieran cumplido su cometido. (…) SEGUNDA.- La realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes de Vodafone, sino a los servicios de móvil e internet que pudieran tener contratados. (…) Sin perjuicio de remitirnos en su integridad a lo defendido en las Alegaciones a la Propuesta de Resolución, en la medida en que la Agencia alcanza esta conclusión en su Resolución, resulta necesario reiterar que Vodafone en todo momento ha sido diligente (…). (…) (…) a través de un duplicado SIM se puede llegar a obtener el servicio que tuviese contratado el titular de dicha tarjeta, esto es, acceso a la tarifa que se tiene contratada a través de la SIM, pudiendo recibir mensajes y llamadas, así como enviarlos, y tener servicio de internet, en el caso de que estuviese contratado, por tanto, no puede alcanzarse la conclusión de que dichas repercusiones a las que la Agencia hace mención sean el resultado del duplicado SIM fraudulento, pues este no es suficiente para acceder a la realización de operaciones financieras. (…) (…) para acceder a una aplicación de banca online y, por tanto, para sustraer dinero de la cuenta de la víctima, primero es necesario acceder a dicha aplicación, para lo que se requerirá un usuario y, como mínimo, una contraseña. (…) (…) todas las conductas realizadas por el estafador o ciberdelincuente en un estadio posterior a la solicitud del duplicado de la tarjeta SIM para estos fines delictivos son ajenas al control de Vodafone. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/41 TERCERA.- No puede apreciarse la existencia de culpabilidad en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna. (…) , nos remitimos, en lo que respecta a las medidas técnicas y organizativas, a lo indicado en la alegación primera de las presentes alegaciones, así como a las alegaciones anteriormente presentadas en las que se detalla el cuidado y observancia que mi representada pone en cada uno de sus procesos. (…) En este caso, siendo un tercero quien ha accedido, mediante actividades delictivas, a datos de los interesados custodiados por mi mandante, no pueden imputarse tales hechos a Vodafone, pudiendo llegar a vulnerar el principio de culpabilidad, pues Vodafone ha obrado diligentemente de cara a la realización de un tratamiento de datos lícito y acorde con la normativa de protección de datos vigente, hecho que esta parte considera acreditado en la alegación primera del presente escrito, así como en las alegaciones previas presentadas en las distintas fases del procedimiento. (…) CUARTA.- Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, esta parte no está de acuerdo con las circunstancias agravantes y la no consideración de las circunstancias atenuantes mencionadas. (…) En su Resolución la Agencia entiende que, en relación con la supuesta infracción del artículo 6.1 del RGPD, concurrirían los siguientes agravantes: I. Artículo 83.2.
- d)del RGPD: “el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32”. La Agencia en su Resolución indica: “puede concluirse que la infracción tiene connotaciones sistémicas y, por lo tanto, puede afectar, incluso en diferentes momentos, a interesados adicionales que no hayan presentado reclamaciones ante esta autoridad de control.”. Esta parte no puede estar de acuerdo (…). Estamos ante un caso puntual en el que se ha utilizado información interna para vulnerar los procedimientos existentes en la compañía y defraudar tanto al reclamante como a Vodafone, lo cual debería ser valorado para atenuar la cuantía sancionadora, no agravarla. II. La vinculación de la actividad de Vodafone con la realización de tratamientos de datos de carácter personal (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/41 (…) Efectivamente, existe una vinculación entre la actividad de Vodafone y el tratamiento de datos personales de sus clientes (…). Vodafone aplica especial cuidado y cautela en el tratamiento de datos personales que lleva a cabo, no solo con todas las medidas de seguridad implementadas y ya detalladas ante esta Agencia, sino con la continua revisión de las políticas y cumplimiento de las mismas. Por lo que este factor, no debe ser tenido en cuenta como agravante a la hora de graduar la sanción. Adicionalmente, mi mandante considera que deberían tomarse en consideración las siguientes atenuantes: I. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD. (…) Nos remitimos a las alegaciones presentadas ante la Propuesta de resolución para evitar reiteraciones innecesarias. (…) II. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. Vodafone considera que sí que ha puesto medios para remediar y mitigar los posibles efectos adversos de la práctica fraudulenta de los duplicados SIM. (…) De hecho, en marzo de 2022 se prohibió que este canal pudiese volver a realizar duplicados SIM a través de soporte retail y que directamente sean los clientes quienes contacten con Atención al Cliente Asimismo, en aquellos casos en los que la actividad criminal del estafador o ciberdelincuente ha logrado defraudar el sistema implementado por Vodafone, mi mandante ha reaccionado (…): (…) III. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. Vodafone no ha obtenido ningún tipo de beneficio o evitado pérdidas a raíz de la duplicación fraudulenta de la tarjeta SIM, sino todo lo contrario. En este sentido, la actividad criminal llevada a cabo por los estafadores y ciberdelincuentes también ha supuesto un perjuicio reputacional para mi mandante.» En virtud de todo lo anterior, la parte recurrente solicita: «1) El sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas y no poder apreciarse la existencia de culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/41 2) Subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía mínima, a la luz del principio de proporcionalidad y a la luz de las circunstancias atenuantes indicadas en el presente escrito.» FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la LOPDGDD. II Fundamentos de la resolución recurrida En relación con las manifestaciones efectuadas en el recurso, que reiteran básicamente las ya realizadas en el escrito de reclamación, debe señalarse que las mismas ya fueron analizadas y desestimadas en la resolución impugnada, cuyos fundamentos continúan plenamente vigentes y se transcriben a continuación: «II Contestación a las alegaciones presentadas al acuerdo de inicio del procedimiento 1. Establecimiento de medidas y principio de culpabilidad. La parte reclamada afirma que ha actuado de forma diligente en la medida en la que tiene implementados los protocolos o medidas necesarios para identificar correctamente a sus clientes y que los duplicados de tarjetas SIM sean facilitados a los titulares de las líneas telefónicas, no siendo la adopción de medidas técnicas y organizativas una obligación absoluta, sino una obligación de medios, de tal forma que no puede entenderse que el hecho de que un tercero supere dichas medidas, sirviéndose de una actividad delictiva planeada y organizada, implique, per se, la ilicitud del tratamiento de datos realizado. Sobre esta misma base, Vodafone invoca el principio de culpabilidad y señala al respecto que la emisión del duplicado de tarjeta SIM no quiere decir que no obrara con la diligencia debida, por cuanto todas sus actuaciones han ido siempre dirigidas al establecimiento y supervisión de medidas técnicas y organizativas tendentes a garantizar la seguridad de los datos personales de sus clientes y a asegurar que quién solicita el duplicado SIM es el titular de la línea. A tal respecto, conviene señalar que en el presente caso la infracción no se fundamenta en la insuficiencia o adecuación de medidas de seguridad, sino en una falta de licitud en el tratamiento de los datos personales que conlleva la emisión de un duplicado de tarjeta y su entrega a un tercero no autorizado, sin que el titular de la misma tuviera si quiera conocimiento de tales tratamientos. El artículo 6.1 establece que el tratamiento de datos personales solo es lícito si se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/41 cumple al menos una de las condiciones previstas en el mencionado artículo. En este caso, la vulneración del principio de licitud se manifiesta en el tratamiento indebido de los datos personales de la parte reclamada, que no fue la solicitante real del duplicado de tarjeta. Este tipo de tratamientos requiere verificar adecuadamente la identidad del solicitante y para ello resulta necesario establecer medidas que aseguren esa correcta identificación. El establecimiento de estas medidas o protocolos, así como su seguimiento y atención por la propia entidad responsable, sirve para valorar la conducta y el grado de diligencia empleado por la misma, pero no son estos los hechos determinantes de la infracción. Vodafone emitió un duplicado de tarjeta SIM sin contar con el consentimiento del titular de la línea y lo entregó a un tercero sin una base jurídica válida. Dicho hecho se traduce en un tratamiento ilícito de datos. En síntesis, en el presente caso no se está sancionado la existencia o ausencia de medidas técnicas y organizativas, sino el hecho de que, en este caso específico, el tratamiento de los datos personales del reclamante fue llevado a cabo sin cumplir con los requisitos de licitud establecidos en el artículo 6.1 del RGPD. La infracción de este artículo confirma que la parte reclamada permitió un tratamiento no autorizado de los datos, vulnerando de esta forma los derechos de la parte reclamante. En este sentido, la mera existencia de una política de seguridad no puede justificar una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y posibilitar que el responsable del tratamiento esté en condiciones de demostrar el cumplimiento de los principios relativos al tratamiento de los datos personales. En caso contrario, las medidas adoptadas carecen de virtualidad y pueden conllevar tratamientos ilícitos como ocurre en el presente caso. Por lo tanto, la parte reclamada no puede pretender quedar exonerada de su responsabilidad apelando a la existencia de tales medidas de seguridad, menos aun cuando el fallo estuvo en la aplicación de las mismas, permitiendo una infracción de la licitud del tratamiento. Lo cierto es que la simple emisión de una tarjeta SIM y su entrega a un tercero no autorizado implica ya de por si una vulneración del principio de licitud, en cuanto tienen la consideración de tratamientos de datos personales. Es preciso señalar, asimismo, que no es un hecho controvertido que la emisión del duplicado de tarjeta SIM y su entrega a un tercero no autorizado se llevó a cabo sin la intervención del reclamante y titular de la línea telefónica. La propia entidad Vodafone calificó el caso como fraudulento, según consta reseñado en los hechos probados. Por otra parte, acreditada la existencia de una conducta antijurídica de Vodafone (el tratamiento de los datos de la parte reclamante sin base jurídica), la cuestión se centra en determinar si de tal conducta puede nacer responsabilidad administrativa sancionadora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/41 Vodafone manifiesta, que no puede apreciarse la existencia de culpabilidad en la infracción que se le imputa, ni a título de dolo ni de culpa, por lo que no puede imponerse a la misma sanción alguna. Rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. Esta AEPD comparte la posición que Vodafone recoge en sus alegaciones, en las que hace referencia a la doctrina de nuestro Tribunal Supremo cuando señala que “para la exculpación no bastará la invocación de la ausencia de culpa, sino que será preciso que se haya empleado la diligencia que era exigible por quien aduce su inexistencia (entre otras, la Sentencia del Tribunal Supremo de 23 de enero de 1998 [RJ 1998\601])”. Así, la decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que las circunstancias del caso exigen. En cumplimiento del principio de culpabilidad la AEPD ha acordado en numerosas ocasiones el archivo de procedimientos sancionadores en los que no concurría el elemento de la culpabilidad del sujeto infractor. Supuestos en los que, pese a existir un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/41 comportamiento antijurídico, había quedado acreditado que el responsable había obrado con toda la diligencia que resultaba exigible, por lo que no se apreciaba culpa alguna en su conducta. Ese ha sido el criterio mantenido por la Sala de lo Contencioso Administrativo, sección 1ª, de la Audiencia Nacional. Pueden citarse, por ser muy esclarecedoras, las siguientes sentencias: - SAN de 26 de abril de 2002 (Rec. 895/2009) que dice: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” - SAN de 29 de abril de 2010, Fundamento Jurídico sexto, que, a propósito de una contratación fraudulenta, indica que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/41 “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”, establece: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.[...]”. Cabe preguntarse cuáles son los parámetros de la diligencia debida que Vodafone debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar es la que era precisa para cumplir las obligaciones que le imponen los artículos 5.2, 24 y 25 del RGPD, a la luz de la doctrina de la Audiencia Nacional y la jurisprudencia del Tribunal Supremo. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Es plenamente aplicable al caso, también, la SAN de 19 de septiembre de 2023 (rec. 403/2021), que dice:” contrató la póliza de seguro con un tercero sin control ni supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona que estaba manifestando su voluntad de contratar, no era quien decía ser. De haberse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/41 tomado las necesarias precauciones, a fin de asegurar la identidad la persona contratante (para lo que hubiera sido bastante atender a la incorrecta contestación a las preguntas de identificación y verificación del cliente)”. La reclamada ha invocado distintos argumentos para justificar la ausencia de culpabilidad de su conducta. Básicamente, el disponer de una política de seguridad dirigida a garantizar que los duplicados de tarjetas SIM se entregan los titulares de las líneas telefónicas, que fue seguida por Vodafone y que no falló, sino que se vio superada mediante acciones delictivas cometidas por un tercero que conocía sus procedimientos internos y toda la información necesaria. Entiende Vodafone que estamos ante una actuación delictiva llevada a cabo por un tercero, quien, actuando con dolo, engaña al agente del soporte canal para tienda, suplantando al personal de tienda al aportar toda la información requerida por su política de seguridad; y cita la Sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección 1ª) de 25 de febrero de 2010 [JUR 2010/82723], referida a un precedente tramitado en esta Agencia, en la que se concluyó que imputar a un responsable del tratamiento vulneraría principio de culpabilidad cuando “el resultado es consecuencia de una actividad de intrusión, no amparada por ordenamiento jurídico y en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que rompiendo los sistemas de seguridad establecidos accede a la base de datos de usuarios registrados…, descargándose una copia de la misma”. En base a ello, considera Vodafone que su conducta no puede calificarse como no diligente. Sin embargo, existen numerosas circunstancias de hecho en el presente caso que llevan a calificar la conducta de Vodafone como imprudente y culposa a la hora de detectar preventivamente el fraude, de tal forma que le hubiese permitido denegar la solicitud de emisión de un duplicado de tarjeta SIM que recibió de un tercero no autorizado y, con ello, abstenerse de realizar los tratamientos de datos personales de la parte reclamante que conlleva la emisión de dicha tarjeta y su entrega a una persona distinta a su titular. En primer término, es preciso destacar los dos siguientes aspectos: 1. Que son numerosas las circunstancias de hecho que debieron alertar a Vodafone sobre el fraude o, lo que es lo mismo, que dan muestra de la negligencia de su conducta. 2. Que Vodafone, en cada una de las ocasiones en que se ha dirigido a esta AEPD para explicar el caso, ha ofrecido una versión distinta de los hechos, sin aportar pruebas fehacientes que permitan dar credibilidad a lo manifestado, e incluso contrarias en ocasiones a lo mostrado en la documentación aportada por la propia entidad. El duplicado de tarjeta se tramitó, supuestamente, desde una tienda física o sirviéndose de la clave de usuario de una tienda física. Según el protocolo previsto, para esta gestión la tienda debe contactar con el departamento de Vodafone “Soporte Retail” vía telefónica y solicitar la activación del duplicado, después de superar las medidas previstas por la entidad facilitando la información requerida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/41 Sin embargo, Vodafone ni siquiera tenía certeza sobre la “tienda Vodafone” implicada en los hechos. La propia entidad Vodafone, meses después de ocurridos tales hechos, respondía a la parte reclamante que “tras el estudio del caso, no se ha podido localizar la tienda física en la cual se gestionó el duplicado de SIM, no reconocido por el cliente”. En los sistemas de información de Vodafone consta un registro según el cual el código postal de dicha tienda es ***REFERENCIA.3, perteneciente a ***LOCALIDAD.2. Así consta, igualmente, en el informe elaborado por el departamento de “Reclamaciones” con ocasión de las actuaciones que han dado lugar al presente procedimiento y así informó la propia entidad Vodafone en su respuesta al trámite de traslado de la reclamación. Fue posteriormente, en respuesta a los requerimientos de información que le cursaron los servicios de inspección de esta AEPD, cuando Vodafone señaló a una tienda ubicada en la localidad de ***LOCALIDAD.3. No se entiende que si esta tienda tenía asignada la clave de usuario facilitada por el tercero suplantador Vodafone no identificase al punto de venta hasta tanto tiempo después. Por otra parte, el teléfono desde el que se realizó la llamada para tramitar el duplicado de tarjeta no se correspondía con el asociado a esta tienda en la documentación contractual correspondiente, lo que, por un lado, debió llevar a Vodafone a cuestionar la solicitud de duplicado y, por otro lado, añade incertidumbre sobre la tienda y la información relativa a la misma que se indicó a “Soporte Retail” por la persona que realizó la llamada. Ninguna de las explicaciones ofrecidas por Vodafone para explicar estas dos circunstancias, las relativas al código postal de la tienda y el número de línea que realizó la llamada, resulta convincente. Sobre el código postal de la tienda, manifiesta Vodafone que no era una información requerida para gestionar el duplicado en el momento en que tuvieron lugar los hechos (septiembre de 2021), aportando al respecto grabaciones de otros casos en los que el personal de “Soporte Retail” no lo requirió al interlocutor que realizaba la solicitud. Pero lo cierto es que, en este caso, el agente de “Soporte Retail” sí lo solicitó y le fue facilitado uno (el ***REFERENCIA.1) en el que no existe ninguna tienda. Así, tanto si el dato estaba dispuesto como necesario para el trámite en la política de seguridad, como si no lo estaba, lo cierto es que se facilitó uno inexistente y ello debió nuevamente servir de alerta a Vodafone para extremar las cautelas. Es clarificador el detalle de la conversación sobre este extremo concreto: “. Tengo aquí un cliente que quiere hacer un duplicado de su tarjeta SIM . En este caso, primero confírmame el código postal de tu tienda para saber si estás autorizado o no… . Vale, sería ***REFERENCIA.1 . Vale, ***REFERENCIA.1 no, en este caso no estarías autorizado ¿tendrías algún otro código? . Te digo el de cliente, el de tienda . El de tienda, claro, realmente necesito el código postal de la tienda . ***EMPRESA.1 . No, tampoco. No me aparece C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/41 . Sí, sería ***EMPRESA.1 . A ver si hay otro, estoy buscando, dame un momento… No me aparece… Algún otro, es que con el código postal debería salirme la tienda, ***REFERENCIA.1 no aparece”. Sobre la no comprobación por parte de Vodafone del número desde el que se realiza la solicitud de duplicado, que en este caso no coincide con ningún número de línea asociado a la tienda en cuestión, la citada entidad se limita a atribuir a la tienda en cuestión la responsabilidad de identificar al cliente, algo inaceptable, dada su condición de responsable de los tratamientos de datos de sus clientes. Prueba de que esta no comprobación de la numeración origen de la llamada es una debilidad del proceso de comprobación establecido por Vodafone y de la conveniencia de verificarlo es la circular que la propia Vodafone distribuyó a su call center en fecha 10/10/2022, aportada con su respuesta al trámite de traslado de la reclamación. En esta circular, entre otras cuestiones, advierte que “si se recibe la llamada de un compañero, es necesario comprobar el origen de la llamada entrante”. Respecto de la forma de identificación de los clientes que solicitan un duplicado de tarjeta SIM, ninguna previsión específica contiene la política de seguridad establecida en septiembre de 2021 por Vodafone, y tampoco el contrato de agencia suscrito con Fibranorte, SL., entidad ésta con la que colabora la tienda en cuestión, más allá de la comprobación del documento de identidad para nuevas altas. Entre la información que debe facilitar la persona que llama a “Soporte Retail” se incluye la indicación de ciertos números de la ICC de la tarjeta a duplicar. Vodafone informó que el envío de tarjetas SIM a las tiendas no es necesario porque ya cuentan con ellas, de modo que, una vez superada la política de seguridad ante “Soporte Retail”, la tarjeta se activa. Informó, asimismo, que no tiene relación directa con los puntos de venta (las tiendas), sino a través de un agente, como ocurre en el presente caso. Así, constituye una debilidad más el hecho de que Vodafone no conozca la numeración de las tarjetas disponibles en cada tienda, lo que le hubiese permitido asociar la tarjeta al punto de venta que realizó la llamada en cuestión. Consta en las actuaciones, aportado por Vodafone, el informe elaborado por su departamento de “Reclamaciones” con motivo del presente caso, en el que se indica que la numeración de “la tarjeta sim fraude utilizada ***REFERENCIA.2 pertenecía a un pedido de Fibranorte”. Por otra parte, se estima oportuno destacar que no consta que Vodafone realizara ninguna actuación dirigida ante la parte reclamante para asegurar la realidad de la solicitud que estaba recibiendo, ni para conocer el motivo por el que se solicitó el duplicado de tarjeta. Ello hubiese permitido a Vodafone comprobar que la tarjeta que venía siendo utilizada por la parte reclamada se encontraba activa, sin incidencia alguna, y comprobar que el cliente no había realizado petición alguna. Por otra parte, entiende esta Agencia que otra muestra de alerta viene determinada por el hecho de que una persona con residencia en ***LOCALIDAD.1 solicite un duplicado de tarjeta SIM en una tienda ubicada en una Comunidad Autónoma distinta, sea la que fuere. No es una cuestión determinante, por no improbable, pero sí para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/41 tomarla en consideración a la hora de iniciar el proceso y la aplicación de las cautelas necesarias. En definitiva, no ha existido una conducta proactiva para aplicar de forma efectiva los principios de protección de datos. Resulta, por tanto, que la actuación desarrollada por Vodafone ha resultado claramente ineficaz e insuficiente, está muy por debajo de las posibilidades que el desarrollo técnico actual ofrece y no toma en consideración el evidente riesgo que la contratación de los servicios que comercializa representa para los derechos y libertades de las personas, por lo que debe responder a título de culpa por la infracción cometida por la falta de diligencia mostrada. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. Por otra parte, atendidas todas las circunstancias de hecho que conforman el presente supuesto, no puede decirse que la incidencia producida en el tratamiento de los datos personales de la parte reclamante responda a un ataque sofisticado llevado a cabo por un tercero con altos conocimientos técnicos informáticos para superar los sistemas de seguridad de Vodafone y cuyas consecuencias no pudieran evitarse. En otro orden, en relación con la alegación formulada por Vodafone según la cual quedan fuera de su esfera de control las conductas previas del estafador para obtener los datos de las víctimas o las posteriores, como las cometidas para acceder a la banca online, cabe precisar que ninguna responsabilidad se está imputando en el presente procedimiento sancionador por tales conductas del tercero, ya tenga que ver con la obtención de los datos personales de la parte reclamante que fueron facilitados a “Soporte Retail” o con el uso posterior de los mismos realizados por el tercero una vez obtuvo el duplicado de tarjeta. Ello sin perjuicio de que pueda tenerse en cuenta la repercusión que para el interesado puede tener que un tercero obtenga un duplicado de la tarjeta correspondiente a su línea de telefonía móvil, que obliga a la entidad responsable a establecer todas las cautelas necesarias para evitarlo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/41 2. Graduación de la sanción Vodafone solicita que subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a la parte reclamada, deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes. Vodafone solicita que se aprecien las siguientes circunstancias atenuantes: ─ ─ ─ El grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD. El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. Sobre la primera de las cuestiones, nos remitimos a lo indicado sobre este factor de graduación en el Fundamento de Derecho V. El grado de cooperación está regulado en el artículo 83.2.
- f)del RGPD: “grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;”. El grado de cooperación con la Agencia tampoco puede considerarse una atenuante ya que la respuesta de la reclamada al requerimiento informativo de la Subdirección de Inspección no cumplía esas finalidades, por lo que no es encuadrable en esa circunstancia atenuante. A tal efecto hay que tener en consideración las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión 2.1, adoptadas el 24 de mayo de 2023, las cuales señalan que “debe considerarse que el deber ordinario de cooperación es obligatorio y, por tanto, debe considerarse neutro (y no un factor atenuante).” Así queda confirmado en la mismas Directrices del CEPD sobre la aplicación y la fijación de multas administrativas a efectos del Reglamento 2016/679, adoptadas el 3 de octubre de 2017, en las que se asevera que “Dicho esto, no sería apropiado tener en cuenta por añadidura la cooperación que la ley exige; por ejemplo, en todo caso se exige a la entidad permitir a la autoridad de control acceso a las instalaciones para realizar auditorías o inspecciones”. Por ello podemos concluir que no puede entenderse como “cooperación” aquello que es exigido o de obligado cumplimiento por mor de la Ley para el responsable del tratamiento, como sucedió en este caso. Además, no comparte esta AEPD que la actuación de Vodafone fuese la adecuada para la mitigación de los efectos adversos producidos por la infracción, salvo en lo relativo al abono de los servicios no consumidos por la parte reclamante. Debe señalar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/41 que cuando los datos personales de la parte reclamante ya habían sido entregados a un tercero desconocido, difícilmente pueden mitigarse los daños producidos en los derechos del interesado. Sobre la aplicación del artículo 76.2.
- c)de la LOPDGDD, en conexión con el artículo 83.2.k), inexistencia de beneficios obtenidos, cabe señalar que tal circunstancia solo puede operar como agravante y en ningún caso como circunstancia atenuante. El artículo 83.2.
- k)del RGPD se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo 76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..]
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones mencionan como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que Vodafone alega. Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa está presidida por los siguientes principios: deberán estar individualizadas para cada caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1 del RGPD y a los principios por los que se rige la determinación del importe de la sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar esta tesis en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas. La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el hecho de que en un supuesto concreto no estén presentes todos los elementos que integran una circunstancia modificativa de la responsabilidad que, por su naturaleza, tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse sobre la circunstancia del apartado
- e)del artículo 83.2. del RGPD, la comisión de infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”: Por tanto, se rechazan las atenuantes invocadas por VODAFONE III Contestación a las alegaciones presentadas a la propuesta de resolución del procedimiento Las alegaciones ahora formuladas reproducen, en lo sustancial, las ya presentadas en la fase inicial del procedimiento, las cuales fueron expresamente valoradas y contestadas en la propuesta de resolución, por lo que nos remitimos y ratificamos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/41 lo ya manifestado. Sin perjuicio de lo anterior, se estima oportuno realizar determinadas precisiones. 1. Reitera Vodafone ha actuado de forma diligente en la medida en la que tiene implementadas medidas adecuadas para identificar correctamente a sus clientes. La adopción de medidas técnicas y organizativas de seguridad no es una obligación absoluta. Principio de culpabilidad. En primer lugar, Vodafone incide en que, si bien en la propuesta de resolución de este procedimiento no se le imputa una infracción por insuficiencia o adecuación de medidas de seguridad, sino por falta de licitud en el tratamiento de datos personales, en la misma se hace referencia a la ineficacia de sus medidas de seguridad. Asimismo, reitera que se ha conducido con la diligencia debida en tanto tiene implementadas las medidas técnicas y organizativas adecuadas para identificar correctamente a sus clientes y evitar que haya un tratamiento ilícito de datos, no siendo la adopción de tales medidas una obligación absoluta, sino una obligación de medios. En base ello, estima que el hecho de que un tercero supere dichas medidas, sirviéndose de técnicas ilícitas y fraudulentas, no significa que su política de seguridad sea insuficiente. En línea con lo anterior, y con relación a la falta de culpabilidad alegada, sostiene que esta Agencia no ha tomado en consideración para su análisis todas las medidas que existían en el momento en el que ocurrieron los hechos objeto de sanción y las medidas de mejora que ha ido implementando Vodafone observando, únicamente, el resultado de los hechos, esto es, la emisión fraudulenta del duplicado SIM. A esto añade que, considera que el principio de proactividad ha sido ampliamente cubierto aportando las evidencias de que se siguieron los procesos pertinentes. Sobre la calificación jurídica de la infracción, la Agencia se ratifica en lo ya manifestado en su respuesta a las alegaciones al acuerdo de inicio sobre que los hechos determinantes de la infracción consisten en la vulneración del principio de licitud del tratamiento que se materializa en la emisión de un duplicado de tarjeta SIM y su entrega a un tercero no autorizado. Atendiendo a las características y al contexto del tratamiento, resulta conveniente precisar que el fenómeno del SIM Swapping constituye un riesgo ampliamente documentado y de concurrencia frecuente en el sector de las telecomunicaciones. En consecuencia, siendo un riesgo inherente a la actividad, resulta jurídicamente exigible que en el proceso de solicitud de duplicados de tarjetas SIM se adopten medidas técnicas y organizativas adecuadas para su prevención y detección, con el fin de evitar el tratamiento ilícito de datos personales. Así las cosas, la verificación adecuada y rigurosa de la identidad del titular de la línea resulta determinante para que el proceder del operador pueda ser calificado como diligente y acorde con las obligaciones que le imponen los artículos 5.2, 24, 25 y 32 del RGPD. En este sentido, contrariamente a lo alegado, esta Agencia no ha limitado su análisis únicamente al resultado material, esto es, la emisión fraudulenta del duplicado SIM, sino que se han valorado de manera exhaustiva las medidas implementadas por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/41 parte reclamada, identificándose deficiencias o irregularidades en las mismas que ponen en entredicho la diligencia de Vodafone en el presente caso. Como ya se expuso concurren en este caso numerosas circunstancias de hecho que llevan a calificar la conducta de Vodafone como imprudente y culposa a la hora de detectar preventivamente el fraude. Sobre tales circunstancias ya descritas, Vodafone se limita a reiterar las alegaciones previas, sin atender de forma específica los argumentos valorados en la propuesta de resolución. Vodafone no esclarece la falta de certeza inicial y la dilación en la identificación del establecimiento implicado en la emisión del duplicado de tarjeta SIM objeto de controversia, especialmente cuando dicho establecimiento contaba con una clave de usuario asignada, la cual fue facilitada por el tercero suplantador. Así lo confirman los correos electrónicos aportados por la reclamada al efecto. La parte reclamada, se atiene a reiterar lo ya manifestado en escritos previos: “el motivo por el cual el equipo de reclamaciones dio mal la información se desconoce”. Del mismo modo, no justifica adecuadamente el hecho de no haber cuestionado la solicitud del duplicado, pese a concurrir dos circunstancias que razonablemente debieron suscitar sospechas: por un lado, que el número de teléfono desde el cual se realizó la llamada no coincidía con el asociado a la tienda conforme a la documentación contractual correspondiente y, por otro, que se facilitó un código postal que no se correspondía con establecimiento autorizado alguno. Vodafone insiste en que ambos extremos no eran exigibles en la política de seguridad vigente en el momento de los hechos. Sin embargo, omite considerar que dichas circunstancias debieron, en todo caso, generar la sospecha o alerta procedente, en atención a los estándares y cautelas exigibles para la adecuada prevención de riesgos y fraudes. Con relación a la forma de identificación de los clientes que solicitan un duplicado de tarjeta SIM, Vodafone tampoco acredita la existencia de previsión específica alguna, ya sea en la política de seguridad establecida en septiembre de 2021 o en el contrato de agencia suscrito con Fibranorte S.L., más allá de la mera comprobación del documento de identidad en el caso de nuevas altas. En su descargo, Vodafone se limita a acompañar extracto de un documento operativo relativo al procedimiento del cambio de tarjeta SIM en distribución, de apariencia meramente informativa y carente de desarrollo normativo, en el que se establece: “(…)”. En cuanto al contrato con FRIBRANORTE S.L., aporta un extracto del apartado definiciones del contrato, en el que se establece la definición de lo que es un fraude, a saber: “(iii) no verificar la identidad del Cliente en caso de cambio de titular de un Servicio ya contratado, portabilidad o migración de un Servicio o cambio de SIM”. De la lectura de los extractos aportados, se advierte que no describen controles complementarios a la mera comprobación del documento de identidad en tienda por lo que no se rebate la observación efectuada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/41 A mayor abundamiento, con relación específica a la falta de mecanismos adicionales para asegurar la realidad de la solicitud, como la actuación dirigida al titular de la línea con el fin de verificar la autenticidad de la solicitud recibida y determinar el motivo por el que se solicitaba el duplicado, se estima que la parte reclamada se aparta de la cuestión central limitándose a alegar que la problemática radica en la actuación fraudulenta de un tercero que logró superar los controles internos establecidos. A la luz de los expuesto, tanto en la propuesta de resolución como en la presente contestación, ni las evidencias aportadas ni las argumentaciones presentadas resultan suficientes para demostrar que el responsable del tratamiento aplicó las medidas adecuadas y proporcionadas en el contexto específico en el que opera a fin de garantizar la conformidad del tratamiento con la normativa en materia de protección de datos. En consecuencia, no puede considerarse cumplido el principio de responsabilidad proactiva. La parte reclamada, en su defensa, se centra en reiterar que el defraudador acabó facilitando la información exigida conforme a la política de seguridad vigente en el momento de los hechos: código de usuario de tienda, ciertos números de la tarjeta SIM (ICC) y los datos personales de la parte reclamante (nombre, apellidos, DNI y número de línea móvil a duplicar). Resulta significativo, particularmente en lo relativo a las políticas y medidas de seguridad aplicables, que el responsable del tratamiento se aparte de analizar con la debida profundidad la diligencia exigible en su conducta trasladando la responsabilidad a un tercero, especialmente en lo que atañe a la veracidad de la solicitud de duplicado de tarjeta SIM cuyo control resulta esencial para la prevención eficaz del fraude. Por otra parte, resulta de especial interés la doctrina declarada por el Tribunal Supremo, Sala de lo Contencioso-Administrativo, Sección Tercera, en Sentencia de 13/12/2021 (recurso de casación núm. 6109/2020), que analiza un supuesto de contratación on line en el que se cuestiona la actuación llevada a cabo por la entidad recurrente para verificar que contrataba con el verdadero titular de los datos. Según el auto de admisión del citado recurso de casación, “la cuestión que presenta interés casacional objetivo para la formación de la jurisprudencia consisten en interpretar la normativa de protección de datos de carácter personal vigente a efectos de aclarar si la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, permite excluir que haya existido infracción por falta del necesario consentimiento inequívoco para el tratamiento de los datos personales que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, por entender que la empresa contratante actuó con diligencia suficiente y en la creencia de que contrataba con el verdadero titular de tales datos”. En esta Sentencia se declara lo siguiente: “SEGUNDO.- Sobre las infracciones que la recurrente reprocha a la sentencia. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/41 Centrada así la tarea que debemos abordar, comenzaremos señalando que la sentencia recurrida no cuestiona que existiese la intervención de un tercero que suplantó la identidad del titular de los datos. En realidad, bien puede decirse que la sentencia admite la existencia de aquella intervención fraudulenta de un tercero; pero la Sala sentenciadora considera que este hecho -que no ha sido controvertido- no es por sí mismo suficiente para enervar las exigencias legales de que el interesado preste su consentimiento para la utilización de sus datos y de que estos sean tratados con observancia de los principios y garantías legalmente establecidos… Así, la sentencia recurrida aprecia, de un lado, falta de diligencia en la actuación de la recurrente, lo que derivó en un incumplimiento de la exigencia de recabar el consentimiento del titular de los datos (artículo 6 LOPD)… Respecto de la primera cuestión (falta de diligencia en la actuación) en el recurso de casación se reiteran las alegaciones que la entonces demandante hizo en el proceso de instancia, en el sentido de que… adoptó todas las medidas necesarias y oportunas, desde el punto de vista de la protección de datos personales, para tramitar la solicitud de microcrédito… En definitiva, ninguna de las medidas adoptadas por la recurrente está destinada a acreditar que la persona que solicita el micro-crédito coincide con el titular del DNI aportado. Y, en efecto, continua explicando la sentencia recurrida, las pruebas practicadas en la vía administrativa vinieron a poner de manifiesto que, respecto de la línea de teléfono facilitada cuando se solicitó el crédito, ni el nombre, apellidos y NIF del titular de la línea coinciden con los datos personales del denunciante (titular del DNI); y en relación con la cuenta bancaria que figura en los registros de…, a la que se habría transferido el importe del micro préstamo, los datos del titular de la cuenta en la fecha de la contratación del crédito tampoco coinciden con los datos personales del denunciante. Ni siquiera el titular del móvil y el de la cuenta bancaria son la misma persona. Estas apreciaciones de la Sala de instancia sobre la insuficiencia de las medidas adoptadas en el procedimiento de contratación on line, y, en definitiva, sobre falta de diligencia en la actuación por la recurrente, en modo alguno han quedado desvirtuadas en casación, donde la representación de... ha reiterado las manifestaciones que hizo en el proceso de instancia pero nada ha aportado que sirva para rebatir las conclusiones de la Sala sentenciadora. En fin, compartimos el parecer de la Sala de la Audiencia Nacional acerca de la insuficiencia de las medidas aplicadas por la recurrente en el procedimiento de contratación. A las consideraciones que se exponen en la sentencia recurrida, que compartimos y hacemos nuestras, únicamente añadiremos dos observaciones: En primer lugar, las medidas de verificación aplicadas por la recurrente parecen enteramente encaminadas asegurar el buen fin del préstamo, pero, en cambio, se desentienden enteramente del objetivo de verificar la veracidad y exactitud de los datos, y, en particular, de comprobar que quien solicita el crédito es precisamente quien dice ser. De este modo, en cualquier caso en el que un tercero utilice indebidamente un DNI sustraído o extraviado para realizar una compra o solicitar un crédito on line, siempre se consumaría el tratamiento inconsentido de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/41 personales del titular del documento, aunque éste hubiese denunciado en su día ante las autoridades la pérdida o sustracción de su DNI, pues ninguna de las medidas enunciadas por la recurrente aparece mínimamente orientada a impedir o dificultar que ese resultado se produzca. En segundo lugar, lo anterior no significa que se haga recaer sobre la empresa contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la implantación de medidas de control tendentes a verificar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado… TERCERO.- Respuesta de la Sala a la cuestión de interés casacional señalada en el auto de admisión del recurso de casación. En respuesta a la cuestión que plantea el auto de admisión del presente recurso de casación debemos declarar que la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, no excluye que la empresa contratante, que lleva a cabo el tratamiento de los datos personales, haya podido incurrir en infracción por falta del necesario consentimiento inequívoco que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues aquella intervención fraudulenta de un tercero no implica por sí misma que la empresa contratante haya actuado con diligencia suficiente. Lo anterior no significa que se haga recaer sobre la empresa contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la implantación de medidas de control y verificación tendentes a asegurar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado”. En resumen, como ya se indicó en la propuesta de resolución, como resultado de las deficiencias o irregularidades descritas la reclamada expidió un duplicado de la tarjeta SIM a un tercero que no era el titular de la línea, quedando en entredicho la diligencia empleada por su parte a la hora de realizar las comprobaciones oportunas para verificar la identidad del cliente interesado, así como la legitimidad de la solicitud. No debe olvidarse, además, que de acuerdo con el principio de responsabilidad proactiva establecido en el artículo 5.2 del RGPD, incumbe al responsable del tratamiento no solo la obligación de cumplir los principios del tratamiento, por lo que aquí interesa el de licitud, sino también la carga de acreditar su cumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/41 Por otra parte, cuando la base jurídica de un tratamiento es el consentimiento, la exigencia de que el responsable del tratamiento acredite la licitud del tratamiento efectuado no solo viene impuesta por el artículo 5.2 del RGPD. El artículo 7 del RGPD, bajo la rúbrica “Condiciones para el consentimiento”, dice: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquél consintió el tratamiento de sus datos personales.” Se desestima, por tanto, esta alegación. 2. Según Vodafone, la realización de un duplicado SIM no conlleva el acceso a información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes de Vodafone, sino a los servicios de móvil e internet que pudieran tener contratados. La parte reclamada manifiesta que la eventual realización de un duplicado fraudulento de la tarjeta SIM no es una actuación necesaria ni suficiente para obtener acceso a las cuentas bancarias de los sujetos afectados. Por tal motivo, alega que únicamente podrán imputársele infracciones en relación con aquellos tratamientos y medidas de seguridad respecto de los cuales ostente la condición de responsable, siendo estos los dirigidos a garantizar que el solicitante del duplicado de la tarjeta SIM es el legítimo titular de la línea. Con respecto a este argumento, procede señalar que, en el presente caso, la única infracción que se atribuye a la reclamada se fundamenta en la falta de licitud en el tratamiento de los datos personales. La referencia al fenómeno del denominado SIM Swapping y a sus eventuales consecuencias se efectúa con el fin de valorar el alcance y naturaleza de la infracción imputada, atendiendo a las repercusiones que tales prácticas pueden generar sobre los derechos del titular de los datos personales afectados. En este sentido, la Audiencia Nacional en la sentencia de 13/05/2024, Rec. 0002336/2021, establece que “(…) en la primera fase de este tipo de estafas el suplantador consigue, de manera fraudulenta, los datos de acceso o las credenciales de la banca online del cliente, pero le falta por conocer el código de verificación, segundo factor de autentificación, para poder ejecutar cualquier operación. En el momento en el que logra la tarjeta SIM duplicada ya tiene también acceso a este segundo factor de autentificación y, por tanto, desde ese momento puede realizar los actos de disposición patrimonial que desee”. Por su parte, el Instituto Nacional de Ciberseguridad (INCIBE) incluye en su web “incibe.es” la siguiente información sobre el SIM Swapping: “Recordemos que ante un SIM swapping, los ciberdelincuentes intentan duplicar de forma fraudulenta la tarjeta SIM del dispositivo móvil de una persona. Para ello suplanta su identidad a fin de conseguir un duplicado de la misma. Posteriormente, una vez que la víctima se queda sin servicio telefónico, accede a su información personal y toma el control de sus aplicaciones, suplantándole en sus redes sociales, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/41 cuentas de correo electrónico o banca digital, utilizando los SMS de verificación que llegan al número de teléfono. De esta forma el ciberdelincuente puede recuperar los mensajes de texto de confirmación con las claves y realizar algún ciberdelito con estas credenciales, como puede ser realizar una operación bancaria y suplantaciones de identidad”. Por tanto, la mera utilización de una tarjeta SIM por parte de un tercero no autorizado incrementa de forma significativa el riesgo para su titular, en la medida en que el suplantador puede disponer de datos adicionales que permitan la realización de actuaciones con efectos especialmente gravosos, tales como operaciones financieras no consentidas, como ha sucedido en el caso que nos ocupa. En razón de ello, facilitar un duplicado de tarjeta SIM es un proceso en el que la diligencia prestada por los operadores resulta esencial para evitar este tipo de estafas y garantizar la adecuada protección de los derechos e intereses de los clientes, diligencia que, como ya se ha expuesto, se encuentra en entredicho en el presente caso. Por consiguiente, se desestima esta alegación. 3. Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a Vodafone, esta parte no está de acuerdo con las circunstancias agravantes y la no consideración de las circunstancias atenuantes mencionadas. La parte reclamada discrepa de los factores considerados para determinar la gravedad de la infracción y las agravantes aplicadas por la Agencia a la hora de valorar la sanción. Sin embargo, las alegaciones formuladas por la parte reclamada no resultan suficientes para desvirtuar los argumentos planteados, por lo que deben ser desestimadas remitiéndonos, al efecto, a lo manifestado en el Fundamento de Derecho VI de la presente resolución del procedimiento. No obstante, interesa destacar que para la determinación del importe de la multa administrativa se ha considerado prevalente que la infracción afecta de forma directa a un único interesado, la parte reclamante, sin perjuicio de valorar las debilidades ya descritas en las medidas y política de seguridad dispuestas por la reclamada y la posibilidad de que ello pudiera dar lugar a hechos similares con otros afectados. Del mismo modo, se desestiman las atenuantes invocadas por la parte reclamada, sobre el grado de cooperación mostrado por VODAFONE y la no obtención de beneficios derivados de la comisión de la infracción, en tanto que reiteran las ya recogidas en su escrito de alegaciones al acuerdo de inicio, por los motivos descritos en el Fundamento de Derecho II, que reproduce la respuesta ofrecida a dichas aleaciones en la propuesta de resolución del presente procedimiento. IV Obligación incumplida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/41 Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Hay que señalar que el tratamiento de datos requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso, se imputa a Vodafone la vulneración del artículo 6.1 del RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo, no constando acreditada ninguna de las bases de legitimación previstas en el citado artículo en relación con el tratamiento relacionado con los datos de la parte reclamante. Se considera tratamiento cualquier operación realizada sobre datos personales, incluida la comunicación de tales datos a un tercero. El RGPD, en el punto 2 de su artículo 4, define tratamiento como “cualquier operación o conjunto de operaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/41 realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. Resulta preciso, asimismo, señalar que el artículo 4.1 del RGPD define: «datos personales» como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por otro lado, la emisión de un duplicado de tarjeta SIM y su entrega a un tercero supone el tratamiento de los datos personales de su titular, ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador [artículo 4.1) del RGPD]. En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. En el presente caso, resulta acreditado el hecho de que Vodafone emitió un duplicado de la tarjeta SIM correspondiente a la línea de telefonía móvil de la parte reclamante y lo entregó a un tercero no autorizado, todo ello sin el conocimiento ni consentimiento del interesado y sin que exista otra base jurídica que ampare dichos tratamientos de datos personales. En efecto, según ha quedado expuesto, el supuesto punto de venta que solicitó el duplicado a la central de VODAFONE, en nombre de la parte reclamante, lo hizo por vía telefónica mediante el canal interno de soporte para tiendas. Según el protocolo vigente en ese momento, se requería para ello el número del documento de identidad del cliente y el número de la línea telefónica sobre la que se quería realizar la gestión. También se requería la numeración ICC de la nueva tarjeta SIM, información que obra en poder de los agentes contratados por Vodafone. Asimismo, en la respuesta al traslado se afirma que es requerido el código postal de la tienda de la cual se solicita el duplicado, a pesar de que la parte reclamada posteriormente afirmó que no estaría vigente en el momento de los hechos. Tal y como consta en la grabación de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/41 llamada, el código postal fue requerido, ofreciéndose uno invalido. De las actuaciones de investigación, no se desprende por parte de la central de VODAFONE, una comprobación complementaria de que la solicitud estaba realmente hecha por el cliente ni medidas de refuerzo adicionales. Ello manifiesta que dicha oficina central presume que se ha realizado una identificación previa por parte del personal de la tienda que realiza la gestión. En este sentido, la exigencia de verificación de la identidad que se contempla por los protocolos aportados por la parte reclamada queda desvirtuada, dado que dicha verificación no es comprobada por la central, cuando se solicita por parte de la tienda autorizada. Por otra parte, según la información proporcionada, la llamada en nombre de la supuesta tienda se realizó desde el número ***TELÉFONO.2, que no coincide con el número que consta en la documentación aportada por la parte reclamada para ese establecimiento. Asimismo, como se indicó anteriormente, analizada la grabación de la solicitud del duplicado, tramitada telefónicamente, se advierte que el interlocutor por parte de la tienda no aportó un código postal válido como medida de identificación de la tienda. El código postal facilitado fue el ***REFERENCIA.1 y no el ***REFERENCIA.4 como correspondería a la tienda física señalada por Vodafone. A este respecto, la parte reclamada manifiesta que la comprobación por código postal no estaría vigente en el momento de los hechos, aunque en la respuesta al traslado sí se indicó esta medida y se reiteró posteriormente en respuesta a otro requerimiento. La solicitud se cursó, finalmente, al aportar el llamante un usuario de identificación de tienda (***EMPRESA.1) que le acreditaba como autorizado junto con la numeración de ICC y los datos del cliente. En este caso, el resultado de esas deficiencias o irregularidades fue que la reclamada expidió un duplicado de la tarjeta SIM a un tercero que no era el titular de la línea, quedando en entredicho la diligencia empleada por su parte a la hora de realizar las comprobaciones oportunas para verificar la identidad del cliente interesado, así como la legitimidad de la solicitud. En definitiva, la emisión de un duplicado de tarjeta SIM implica necesariamente un tratamiento de datos personales, ya que se realiza sobre la línea y la identidad del titular. Dicho tratamiento debe cumplir con una base jurídica que lo legitime, tal como exige el citado artículo 6.1 del RGPD, al igual que cualquier comunicación de datos personales a un tercero, que constituye igualmente un tratamiento de datos y que en este caso se produce con la entrega de la tarjeta a un tercero no autorizado. En este caso, la emisión del duplicado SIM a solicitud de un tercero sin la intervención o consentimiento del titular constituye una falta de base jurídica válida para dicho tratamiento de datos. Por lo tanto, la emisión del duplicado SIM en estas condiciones y su entrega a una persona distinta al titular de la línea telefónica constituyen un tratamiento de datos personales sin base jurídica y, en consecuencia, una infracción del artículo 6.1 del RGPD, dado que se ha realizado sin cumplir con ninguna de las bases legitimadoras para dicho tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/41 De conformidad con las evidencias de las que se dispone, se estima que la conducta de la parte reclamada vulnera el artículo 6.1 del RGPD siendo constitutiva de la infracción tipificada en el artículo 83.5.
- a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: “
(40)Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” V Tipificación y calificación de la infracción La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: 1. Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”. VI Sanción de multa: Determinación del importe La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y 2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/41 administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/41 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa. Procede cuantificar la sanción que procede, considerando para ello que la multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de VODAFONE, que en el ejercicio 2024 ascendió a 2.909.851.000 euros. En primer término, se tiene en cuenta la categoría de la infracción cometida, comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con la mayor gravedad en su apartado 5, castigando la conducta con una multa máxima de 20 millones de euros o, tratándose de una empresa, con una multa por una cuantía equivalente al 4% como máximo de su volumen de negocio anual. Según el citado precepto, al establecer el importe máximo aplicable debe optarse por el límite de mayor cuantía, de los dos fijados por la norma. En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el año 2024 a 2.909.851.000 euros, el importe de la multa que procede imponer estará necesariamente situado entre 0,00 euros y 116.396.040 euros. De acuerdo con los preceptos transcritos, a efectos de fijar el importe final de la sanción a imponer en el presente caso por la infracción del artículo 6.1 del RGPD de la que se responsabiliza a VODAFONE, tipificada en el artículo 83.5.
- a)del RGPD, se estiman concurrentes los siguientes factores: 1. Como elementos determinantes del nivel de gravedad de la infracción, se toman en consideración las circunstancias siguientes: . Artículo 83.2.
- a)del RGPD: “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. . Naturaleza de la infracción: El artículo 83.5 agrupa varios tipos de conductas diferentes. En este caso, la disposición infringida afecta a un principio básico del derecho a la protección de datos personales, por cuanto sustenta la legalidad del tratamiento de datos y su violación entraña un riesgo importante para los derechos de los interesados. En este caso, la conducta de VODAFONE ha provocado, de forma directa, la lesión del bien jurídico protegido por el artículo 6 del RGPD, impidiendo su aplicación efectiva y el objetivo que pretende proteger. El tratamiento de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/41 personales se realiza (
- i)sin que VODAFONE tenga ninguna garantía de que el solicitante del duplicado de tarjeta SIM sea el verdadero titular de la línea y, por consiguiente, de los datos personales; y (
- ii)sin haber realizado ninguna comprobación para verificar que la emisión de ese duplicado era necesaria para la prestación de los servicios contratados por la parte reclamante, que ya disponía de una tarjeta activa y en correcto funcionamiento. Como resultado de ello, los datos en cuestión han sido tratados sin disponer de base legal alguna que lo legitime. . Gravedad de la infracción: . Naturaleza y propósito del tratamiento: Evaluar la gravedad de estos aspectos del tratamiento de los datos personales requiere considerar el contexto en el que se realiza. El tratamiento de datos realizado en este caso tiene como finalidad la emisión de una tarjeta SIM, necesaria para que VODAFONE pueda prestar los servicios contratados por su titular. Si esa tarjeta es solicitada por un tercero y la entidad no cumple las obligaciones que le son propias para impedir esta irregularidad, la consecuencia final es la entrega de la tarjeta a una persona no autorizada para su uso y, con ello, la posibilidad de que un tercero acceda a diversa información del verdadero titular de la tarjeta, que puede ser utilizada con fines fraudulentos. Así ocurrió en el presente caso, en el que un tercero se sirvió del duplicado de tarjeta SIM obtenido fraudulentamente para retirar fondos de las cuentas bancarias de la parte reclamante. Es el fenómeno denominado como “SIM swapping”, muy extendido en el contexto actual y sobradamente conocido por VODAFONE. Una vez accede a la línea de telefonía de la víctima, el tercero dispone de multitud de opciones para, suplantando su identidad, acceder a todo tipo de cuentas personales (mensajería, correo electrónico, redes sociales y cualquier tipo de cuenta en línea, incluidas las financieras). En función de este contexto, el tratamiento realizado por VODAFONE, considerando su naturaleza y propósito, acarrea importantes riesgos para el titular de los datos personales. Y no puede obviarse que dicho tratamiento de datos se realiza en el marco de la actividad empresarial principal y básica de la citada operadora, desarrollada con ánimo de lucro. . El alcance del tratamiento: La infracción valorada se comete por el tratamiento ilícito de los datos personales de un solo interesado, la parte reclamante, como bien se considera en los factores de graduación que siguen. No obstante, interesa considerar que VODAFONE es una compañía de telefonía que opera con alcance nacional y que la infracción es consecuencia directa de las debilidades de los mecanismos diseñados por VODAFONE para la tramitación de solicitudes de duplicados de tarjeta SIM en línea, por lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/41 que el riesgo que ello conlleva incrementa el número de potenciales afectados. La relación existente entre la infracción cometida y la asignación de recursos que cabe exigir a VODAFONE para impedir este tipo de actuaciones ilícitas debe analizarse en base al riesgo real y a aquella circunstancia relativa a su ámbito de actuación de alcance nacional. . Número de interesados: La infracción que se sanciona es consecuencia del tratamiento ilícito de los datos personales de un único interesado, la parte reclamante. . El nivel de daño sufrido por la parte reclamante: De conformidad con el considerando 75 del RGPD, el nivel de daño sufrido se refiere a los daños y perjuicios físicos, materiales o no materiales. En el presente caso, el daño sufrido por la parte reclamante no puede calificarse como marginal. Por un lado, la parte reclamante se vio privada del servicio que tenía contratado con VODAFONE y, por otro, sufrió un fraude bancario consecuencia directa de la infracción que se sanciona, la cual, como se ha dicho, no solo se comete por el tratamiento de datos necesario para emitir el duplicado de tarjeta SIM, sino también por el tratamiento de datos consistente en la comunicación de los datos de la parte reclamante a un tercero, derivado de la entrega del duplicado de tarjeta SIM a dicho tercero. En casos como este, el interesado pierde el control de sus datos personales, por lo que el daño podría persistir durante un tiempo indeterminado. . Artículo 83.2.
- b)del RGPD: “la intencionalidad o negligencia en la infracción”. Se observa en la conducta de VODAFONE una negligencia grave, por incumplimiento del deber de cuidado exigido por la ley, más allá de lo que puede considerarse un factor neutro asociado al elemento subjetivo de la culpabilidad. Esta conclusión resulta de elementos objetivos de la conducta de VODAFONE, obtenidos en base a todas las circunstancias de hecho que constan detalladas en los Fundamentos de Derecho que preceden, especialmente en el apartado 1 del Fundamento de Derecho II, que muestran claramente todas las alertas que no fueron consideradas por VODAFONE para sospechar sobre la irregularidad de la petición de duplicado de SIM que recibió de una supuesta tienda física perteneciente a un agente colaborador, la cual ni siquiera ha sido identificada con certeza por dicha entidad. Entre las circunstancias apreciadas en el presente caso, cabe destacar las siguientes: . El duplicado de tarjeta se tramitó, supuestamente, desde una tienda física o sirviéndose de la clave de usuario de una tienda física, que según el protocolo previsto debía contactar con el departamento de Vodafone “Soporte Retail” vía telefónica. Sin embargo, Vodafone ni siquiera ha acreditado con certeza qué “tienda Vodafone” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/41 estuvo implicada en los hechos. . La persona que realizó la llamada a “Soporte Retail”, supuestamente empleada de una tienda física perteneciente a un agente, no facilitó los datos necesarios para dar por buena la solicitud del duplicado de tarjeta SIM. . La llamada se realizó desde una línea de teléfono que no pertenecía a ningún agente de VODAFONE, entidad esta que no tiene establecido ningún mecanismo de comprobación de este dato. . Entre la información que debe facilitar la persona que llama a “Soporte Retail” se incluye la indicación de ciertos números de la ICC de la tarjeta a duplicar, aunque VODAFONE no conoce la numeración de las tarjetas disponibles en cada tienda, lo que le hubiese permitido asociar la tarjeta al punto de venta y añadir una garantía más en la comprobación de la regularidad de la solicitud. . Respecto de la forma de identificación de los clientes que solicitan un duplicado de tarjeta SIM, ninguna previsión específica contenía la política de seguridad establecida, y tampoco el contrato de agencia suscrito con supuesto agente interviniente, más allá de la comprobación del documento de identidad para nuevas altas. . VODAFONE no había dispuesto realizar ningún contacto con la parte reclamante para asegurar la realidad de la solicitud que estaba recibiendo, ni para conocer el motivo por el que se solicitó el duplicado de tarjeta. Tampoco ninguna comprobación para verificar si la tarjeta del reclamante se encontraba activa o tenía alguna incidencia que justificase la petición del duplicado. . Finalmente, indicar que la operadora no tuvo en cuenta para activar las alertas por un posible fraude que la petición se realizaba desde una comunidad autónoma distinta a la de residencia de la parte reclamante. La consecuencia final de todo ello fue que VODAFONE validó la petición, activó la tarjeta SIM y la entregó a un tercero sin evidencias ciertas sobre la identidad de la persona que realizó la llamada ni de la persona que realizaba la petición, para asegurar que esta última se correspondía con el titular de los servicios y de los datos personales. Conectado también con el grado de diligencia que VODAFONE está obligada a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. . Artículo 83.2.
- g)del RGPD: “las categorías de los datos de carácter personal afectados por la infracción”. Al margen de los datos personales cuyo tratamiento es necesario para la emisión del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/41 duplicado de tarjeta, no pueden obviarse los riesgos evidentes de que la entrega de este duplicado a un tercero posibilite el acceso por parte de éste a datos de categorías especiales u otra información de naturaleza sensible, como la información financiera de la parte reclamante, materializados en el presente caso. 2. Se consideran los siguientes factores de graduación en calidad de agravantes: . Artículo 83.2.
- d)del RGPD: “el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32”. Los preceptos citados, tanto el artículo 25 como el 32 del RGPD, obligan a la entidad responsable a tomar en consideración “el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas” a la hora de aplicar medidas técnicas y organizativas apropiadas para garantizar la aplicación efectiva de los principios de protección de datos, en este caso el principio de licitud del tratamiento, así como para garantizar un nivel de seguridad adecuado al riesgo. A la vista de dichos preceptos, la actuación desarrollada por VODAFONE ha resultado claramente ineficaz e insuficiente, está muy por debajo de las posibilidades que el desarrollo técnico actual ofrece y no toma en consideración el evidente riesgo que la prestación de sus servicios representa para los derechos y libertades de las personas. En este sentido, su alto volumen de negocio comporta que el nivel de exigencia en orden a incorporar las herramientas y funcionalidades que el estado de la técnica ofrece en cada momento sea elevado. Las debilidades ya expresadas en cuanto al establecimiento por VODAFONE de una política de seguridad que evite la suplantación de identidad de sus clientes, en garantía del principio de licitud en el tratamiento de los datos, cuestionan la solidez de las medidas adoptadas en virtud de los artículos 25 y 32 del RGPD, lo que agrava su conducta en este caso concreto. Así, puede concluirse que la infracción tiene connotaciones sistémicas y, por lo tanto, puede afectar, incluso en diferentes momentos, a interesados adicionales que no hayan presentado reclamaciones ante esta autoridad de control. . Artículo 83.2.k, del RGPD en relación con el artículo 76.2, letra
- b)de la LOPDGDD: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La actividad de la entidad presuntamente infractora está vinculada con el tratamiento de datos de carácter personal tanto de clientes como de terceros. En la actividad que desarrolla la parte reclamada es imprescindible el tratamiento de datos de carácter personal consecuencia de su objeto, por lo que la transcendencia de la conducta objeto de la presente reclamación es innegable. Además, el tratamiento de datos por el que se sanciona se lleva a cabo en el desarrollo de la actividad principal de la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/41 Esta circunstancia, con carácter general, tiene transcendencia como agravante. Así lo ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024 cuando declara: “En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra de negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las circunstancias concurrentes, tomando en consideración su volumen de negocio y su vinculación con el tratamiento de datos personales atendiendo el número de personas que prestan servicio como empleados en… y su actividad”. En base a todo cuanto antecede, atendiendo a la exigencia de que la multa sea efectiva, proporcionada y disuasoria, y con el objetivo de procurar el cumplimiento efectivo del RGPD y la LOPDGDD, el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD consideradas en su conjunto, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6 del RGPD, permite fijar la sanción de multa administrativa en una cuantía de 150.000,00 euros (ciento cincuenta mil euros).» III Contestación a las alegaciones formuladas en el recurso La parte recurrente reitera en su escrito de recurso las mismas alegaciones que ya fueron formuladas durante la tramitación de procedimiento que culminó con la resolución impugnada. En efecto, el recurso se limita a reproducir los argumentos recogidos en los escritos de alegaciones presentados con anterioridad, sin aportar elementos de hecho o de derecho nuevos que puedan desvirtuar los fundamentos en que se sustenta el acto recurrido. Dichos fundamentos, en los que se analizan las circunstancias concurrentes y se exponen las razones que motivaron la desestimación de las pretensiones de la parte recurrente, se consideran plenamente válidos y suficientes para confirmar la resolución adoptada. No obstante, cabe reiterar lo siguiente: En primer lugar, resulta conveniente reiterar que la infracción imputada a Vodafone se fundamenta en la existencia de un tratamiento ilícito de datos personales, en los términos previstos en el artículo 6.1 del RGPD, al emitir y entregar un duplicado de la tarjeta SIM, correspondiente a la línea de telefonía móvil de la parte reclamante, a un tercero no autorizado, todo ello sin el conocimiento ni consentimiento del titular legítimo y sin que exista otra base jurídica que ampare dichos tratamientos de datos personales. Este tipo de tratamiento requiere verificar adecuadamente la identidad del solicitante y para ello resulta necesario establecer medidas que aseguren esa correcta identificación. La implantación, seguimiento y observancia de dichas medidas constituyen elementos relevantes para valorar el grado de diligencia desplegado por el responsable del tratamiento y, en consecuencia, para apreciar su nivel de responsabilidad en relación con los hechos objeto de reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/41 A este respecto, el artículo 5.2 del RGPD, impone al responsable del tratamiento el principio de responsabilidad proactiva, que le obliga no solo a cumplir con las disposiciones del Reglamento, sino también a poder demostrar dicho cumplimiento. No obstante, tal y como ha quedado acreditado en las actuaciones y se desprende de la resolución impugnada, Vodafone no ha aportado evidencias suficientes para demostrar que aplicó las medidas adecuadas y proporcionadas en el contexto específico en el que opera a fin de garantizar la conformidad del tratamiento con la normativa en materia de protección de datos. En consecuencia, procede desestimar la diligencia debida y la ausencia de culpabilidad invocada por Vodafone en relación con los hechos reclamados. Por otro lado, con respecto al contexto específico referido, resulta relevante destacar que el denominado “SIM Swapping” constituye un fenómeno recurrente en el ámbito de las operadoras de telecomunicaciones. Por definición, cuando se habla de este fenómeno, el duplicado se realiza de forma fraudulenta con el fin de suplantar la identidad del usuario para obtener acceso a sus redes sociales, aplicaciones de mensajería instantánea, aplicaciones bancarias o comercio electrónico, con la finalidad de interactuar y realizar operaciones en su nombre, autenticándose mediante un usuario y contraseña previamente arrebatados a ese usuario, así como con la autentificación de doble factor al recibir el SMS de confirmación en su propio terminal móvil donde tendrán insertada la tarjeta SIM duplicada. Como indica la Agencia de la Unión Europea para la Ciberseguridad (ENISA) en su nota de prensa “Beware of the Sim Swapping Fraud!” (¡Cuidado con el fraude de intercambio de tarjetas SIM!), publicada en su página web en fecha 6 de diciembre de 2021: “SIM swapping attacks have been reported in the media since 2017. Such attacks usually target banking transactions but not only. These attacks are also perpetrated against the cryptocurrency community, social media and email accounts.” “Los ataques de intercambio de SIM se han reportado en los medios desde 2017. Estos ataques suelen tener como objetivo las transacciones bancarias, pero no solo eso. También se perpetran contra la comunidad de criptomonedas, las redes sociales y las cuentas de correo electrónico.” (traducción no oficial) En este sentido, el INCIBE afirma en su página web, en la publicación de fecha 26/09/2019 “¿Por qué a un ciberdelincuente le interesa duplicar tu tarjeta SIM?” lo siguiente: “La entrada en vigor de la normativa PSD2, en la que el teléfono móvil pasa a tener un rol muy importante para la realización de pagos online al ser necesario para la confirmación de las transacciones, convierte a este dispositivo en objetivo claro de los ciberdelincuentes. Conseguir el “segundo factor” de autenticación de un solo uso, que el banco envía al teléfono del usuario, por ejemplo, en formato SMS, será vital para todo aquel estafador que quiera confirmar un pago online. ¿Cómo conseguir ese código? Realizando un duplicado de la tarjeta SIM.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/41 Por tanto, en la práctica, la constatación de la persistencia de este fenómeno evidencia riesgos asociados al tratamiento de datos personales, que exigen del responsable un nivel de diligencia elevado y refuerza la exigencia de cumplimiento de las obligaciones establecidas en los artículos 5.2, 24 y 25 del RGPD, así como la necesidad de acreditar la efectiva implementación de las medidas que garanticen la licitud del tratamiento. En virtud de lo expuesto, esta Agencia no comparte la alegación formulada en el sentido de que la emisión de un duplicado SIM no conlleva acceso a información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes, por cuanto la misma se contradice con la realidad técnica y práctica de lo que implica un ataque de SIM Swapping. Por último, se realizan en el recurso objeciones tanto sobre circunstancias que en la resolución sancionadora han sido acogidas como agravantes de la responsabilidad, como sobre otras invocadas por la parte recurrente que, a su juicio, deberían haber sido tenidas en cuenta como atenuantes. Analizadas las mismas, se observan que coinciden en su integridad con las alegadas durante el procedimiento sancionador y que han sido convenientemente contestadas en la propia resolución impugnada. A la que cabe remitirse en bloque ante la ausencia de novedad argumental alguna. En efecto, las circunstancias alegadas son: Agravantes acogidas en la resolución sobre las que se objeta: el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 [art 83.2.
- d)RGPD] y la vinculación de la actividad del infractor con el tratamiento de datos personales [art. 76.2.
- b)LOPDGDD]. Atenuantes propuestas, no acogidas en la resolución: el grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 del RGPD; el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción y cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. IV Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/41 PRIMERO: DESESTIMAR el recur