SIM Kartı Kopyasında Hukuki Dayanak

1/28

 Expediente N.º: EXP202301160

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:

ANTECEDENTES

PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 14 de diciembre de
2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en
adelante, la parte reclamada o Vodafone). Los motivos en que basa la reclamación son
los siguientes:

La parte reclamante manifiesta que un tercero sin su consentimiento solicitó el día 2 de
diciembre de 2022 un duplicado de su tarjeta SIM de la marca LOWI de Vodafone, que
no cumplió con las medidas de seguridad y de protección de datos al entregar la
nueva tarjeta SIM a un tercero, sin identificarle correctamente. Como consecuencia de
lo sucedido tuvieron acceso a sus datos personales y a sus cuentas bancarias,
realizando transferencias y bizums, ocasionándole graves perjuicios. Señala que se
puso en contacto con la reclamada para informarse acerca de lo ocurrido y no recibió
una respuesta satisfactoria.

Y, aporta la siguiente documentación relevante:

Correos electrónicos de fechas 9 y 13 de diciembre de 2022 enviados por la
reclamante a la marca LOWI de la parte reclamada.

Contestación de LOWI de fecha 9 de diciembre de 20222.

Denuncias interpuestas ante la Guardia Urbana del Ayuntamiento de L´Hospitalet.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 6 de febrero de 2023 como
consta en el acuse de recibo que obra en el expediente.

Con fecha 16 de marzo de 2023 se recibe en esta Agencia escrito de respuesta
indicando: << en fecha 1 de diciembre de 2022 se tiene constancia de la solicitud de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/28

un duplicado SIM realizada desde el área privada de cliente del reclamante, a la cual
se accede mediante dirección de correo electrónico o número de teléfono móvil y la
contraseña establecida. Dicha petición se produjo sin que se haya tenido constancia
previamente de un acceso indebido al área de cliente ni de un acceso no autorizado a
los datos del cliente, constando únicamente de manera previa dos llamadas
telefónicas a los servicios de atención al cliente en las que se solicitaba la
modificación en la dirección de correo electrónico del cliente, vinculada al acceso a su
área privada. Dicho trámite no pudo ser completado con éxito al no aportar
correctamente toda la información prevista en la Política de Seguridad de Vodafone
para verificar la identidad del llamante (en particular, la comprobación de los dígitos de
la cuenta bancaria vinculada al servicio contratado). Lo cual no implica, en principio,
ninguna presunción de actuación fraudulenta o ajena al titular del servicio, sino que
simplemente conlleva la imposibilidad de realizar el trámite solicitado a través de ese
canal.

Asimismo, Vodafone no ha detectado ningún acceso no autorizado por parte de un
tercero a sus sistemas internos o bases de datos en los que se almacenan los datos
del reclamante, ni ningún otro incidente de seguridad que haya supuesto la fuga de
datos o contraseñas del reclamante.

Consecuentemente, la información relativa a la dirección de correo electrónico /
número de teléfono y la contraseña de acceso al área privada de cliente de la
reclamante no se produjo como resultado de una fuga de datos en los sistemas
internos de Vodafone o como consecuencia de una actuación negligente por parte de
los agentes del servicio de Atención al Cliente de Vodafone.

En su caso, de haber existido un acceso ilícito al área privada, el presunto infractor
debía conocer o haber obtenido previamente las credenciales de acceso de la
reclamante, lo que le permitió acceder al área privada y solicitar un duplicado de SIM
sobre la línea telefónica de la reclamante.

Así las cosas, entendemos que lo ocurrido queda fuera del ámbito de responsabilidad
de mi mandante pues los clientes o interesados tienen la responsabilidad de custodiar
debidamente sus datos personales y de establecer una contraseña con la robustez
suficiente, estando únicamente dentro de la esfera de control de mi mandante la
adecuada definición de los procedimientos, sistemas, controles y medidas de
seguridad aplicables en función de la criticidad del tratamiento que aseguren la
correcta identificación del titular de los datos personales.

En la solicitud de duplicado SIM realizada desde el área privada de cliente se facilitó
como dirección postal de entrega una dirección distinta a la dirección de facturación.

Posteriormente, el duplicado SIM es efectivamente entregado en la dirección indicada
en fecha 2 de diciembre de 2022, a las 12:31 horas. Para dicha entrega, se requirió la
identificación del receptor, quien en este caso proporcionó el nombre y apellidos y el
DNI de la reclamante, firmando el albarán de entrega como si fuese la propia
reclamante.

Vodafone ha podido comprobar que se efectuaron distintas acciones presuntamente
fraudulentas sobre la línea de telefonía móvil perteneciente a la reclamante. Previo a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/28

la incidencia objeto de la reclamación, en fecha 30 de noviembre de 2022, se
produjeron dos intentos de cambio de la dirección de correo electrónico por vía
telefónica, supuestamente para poder acceder al área privada de cliente.

En vista de los hechos acontecidos, una vez que la reclamante se percató de los
hechos denunciados, el día 2 de diciembre de 2022, se puso en contacto con mi
representada indicando que las gestiones anteriores se habían realizado
supuestamente sin su consentimiento, siendo este el primer momento en que
Vodafone tuvo conocimiento de los hechos objeto de reclamación. En este sentido, mi
representada procedió a realizar las investigaciones y gestiones oportunas a fin de
resolver la incidencia acontecida. Por ello, tras verificar Vodafone que estaba ante
gestiones que, pese a tener la apariencia de veraces, eran de carácter fraudulento;
procedió a desactivar la tarjeta SIM fraudulenta y gestionar el cambio de titular para
rectificar esta incidencia, activando sobre la cuenta de cliente de la reclamante
medidas de seguridad adicionales para evitar cualquier otro perjuicio a la reclamante.

Por tanto, mi representada logró solventar la incidencia objeto de reclamación de
forma efectiva con anterioridad a la recepción del presente requerimiento por parte de
la Agencia>>.

TERCERO: De conformidad con el artículo 65 de la LOPDGDD, cuando se presentase
ante la Agencia Española de Protección de Datos (en adelante, AEPD) una
reclamación, ésta deberá evaluar su admisibilidad a trámite, debiendo notificar a la
parte reclamante la decisión sobre la admisión o inadmisión a trámite, en el plazo de
tres meses desde que la reclamación tuvo entrada en esta Agencia. Si, transcurrido
este plazo, no se produjera dicha notificación, se entenderá que prosigue la
tramitación de la reclamación con arreglo a lo dispuesto en el Título VIII de la Ley.

Dicha disposición también resulta de aplicación a los procedimientos que la AEPD
hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras
leyes.

En este caso, teniendo en cuenta lo anteriormente expuesto y que la reclamación se
presentó en esta Agencia, en fecha 14 de diciembre de 2022, se comunica que su
reclamación ha sido admitida a trámite, el día 14 de marzo de 2023, al haber
transcurrido tres meses desde que la misma tuvo entrada en la AEPD.

CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/28

2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

Sobre la recogida de la tarjeta SIM en el domicilio.

Se ha solicitado a la parte reclamada documentación acreditativa de haber efectuado
la verificación de la identidad de la persona que recogió el duplicado SIM en el
domicilio, indicándole que no consta firma en el albarán que aporta, por lo que se pide
motivo de ello o copia de documento firmado. Se verifica que en el albarán consta el
literal “correos express”.

Indica al respecto que ha procedido a realizar las investigaciones oportunas a fin de
poder aportar la información que se solicita y que su Política de Seguridad aplicable al
duplicado de tarjeta SIM exige la verificación de la identidad del receptor del duplicado
SIM de la línea telefónica, con el objetivo de confirmar la identidad del cliente y evitar
acciones fraudulentas. Manifiesta que no obstante lo anterior, tras las investigaciones
practicadas, ha podido comprobar que, en el presente caso y de manera
extraordinaria, no cuenta con acreditación de firma del albarán de entrega de la tarjeta
SIM.

No aporta acreditación documental del tipo de entrega que se efectuó en este caso, ni
documentación adicional sobre si los servicios contratados incluyen la verificación de
la identidad del receptor como tal. No se cita dicha verificación de identidad en el
contrato, que sí menciona, como servicio adicional si los servicios contratados así lo
incluyen, la verificación de la autenticidad del DNI del receptor (mediante la
comprobación de la existencia de indicios de falsificación), y la obtención de copia del
DNI, la cual no aporta. No aporta acreditación documental de la contratación adicional
del este servicio.

No aporta tampoco acreditación documental de haber exigido como cliente la
acreditación de la recepción mediante el registro del nombre y apellidos del receptor
de la entrega y su DNI junto a la captura de su firma, constando en el contrato que se
realiza “en aquellos supuestos en los que así lo exija el Cliente”.

Sobre la solicitud.

Se ha solicitado así mismo documentación acreditativa de que la solicitud del
duplicado SIM de fecha 1 de diciembre de 2022 se realizó desde el área privada del
cliente.

Vuelve a manifestar la parte reclamada que fue realizado por dicho canal y aporta
impresión de un registro del Sistema de Información con relación a una orden del
01/12/2022 a las 13:23h donde constan los datos de la reclamante, siendo la orden del
tipo “SIM_SWAP” (cambio de SIM) y constando como canal “WEB”.

Sobre la activación del duplicado de tarjeta SIM.

Se ha pedido copia de la interacción/contacto (impresión de pantalla) que refleje el
paso de la política de seguridad incluyendo todas las anotaciones del gestor telefónico
al respecto.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/28

Indica la parte reclamada que no dispone de la evidencia que permita confirmar el
paso de la política de seguridad completa llamando al 121, manifestando que no
dispone de la grabación del trámite telefónico referido en tanto que no se produjo la
grabación de dicha llamada. Tampoco aporta copia del contacto donde se refleje el
paso de la política de seguridad.

Contactos.

Se ha solicitado a Vodafone relación y detalle de todos los contactos mantenidos con
el reclamante desde el 01/12/2022 al 06/12/2022 incluyendo las anotaciones
realizadas por los gestores de atención telefónica/chat/etc. y el reflejo de las acciones
emprendidas por la entidad con motivo de cada contacto.

En su contestación Vodafone señala los siguientes contactos:

“Consta contacto del 02/12/2022 en el que se figura la anotación “…NOS LLEGA UN
CORREO DE 020_ INDICANDO QUE LA SIM ESTÁ ENTREGADA// CIERRO
CORREO Y FICHA”.

Consta otro contacto del 04/12/2022 con una anotación sobre que el cliente tiene la
línea bloqueada por fraude, y que manda documentos por correo. Consta la anotación
de que se reenvía la petición para que lo revise el departamento correspondiente y
que se informa al cliente que espere a que contacten con ella”.

No aporta más información sobre otras gestiones realizadas entre dichas fechas.

QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
VODAFONE ESPAÑA, S.A.U. es una gran empresa constituida en el año 1994, y con
un volumen de negocios de 2.928.817.000 euros en el año 2022.

SEXTO: Con fecha 20 de noviembre de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en
el Artículo 83.5 del RGPD.

SÉPTIMO: Notificado el citado acuerdo de inicio electrónicamente el día 29 de
noviembre de 2023, conforme a las normas establecidas en la LPACAP, la parte
reclamada solicitó ampliación del plazo y copia del expediente el día 30 de noviembre
de 2023 y el 1 de diciembre del mismo año por el instructor del expediente se acuerda:
“ampliar el plazo para formular alegaciones hasta un máximo de cinco días, que
deberán computarse a partir del día siguiente a aquel en el que finalice el primer plazo
de alegaciones”.

OCTAVO: Con fecha 21 de diciembre de 2023, Vodafone presentó escrito de
alegaciones en el que, en síntesis, manifiesta: << la Agencia entiende que Vodafone
habría infringido el artículo 6.1 del RGPD al tratar los datos personales de la
reclamante sin su consentimiento como consecuencia de no adoptar las medidas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/28

apropiadas para impedir que terceros puedan hacerse pasar por la reclamante y
conseguir un duplicado de sus tarjetas SIM. A este respecto, es preciso apuntar que,
el responsable del tratamiento está sujeto a una obligación de medios, no a una
obligación de resultados en el sentido de entender que todo incidente es un
incumplimiento del deber de garantizar un nivel de seguridad adecuado al riesgo.

Por tanto, del hecho de que un tercero, mediante la comisión de delitos, haya
superado las medidas de seguridad de Vodafone no puede automáticamente inferirse
que Vodafone no ha sido diligente en la verificación de la identidad de los clientes y,
por tanto, no ha tratado los datos personales de la reclamante conforme al artículo 6.1
del RGPD.

A Vodafone podrán achacársele infracciones sólo respecto de aquellos tratamientos
de datos y medidas de seguridad de las que sea responsable, esto es, aquellas
dirigidas a garantizar que el solicitante del duplicado de la tarjeta SIM es el titular de la
línea; no están (ni pueden estar) dirigidas a evitar la suplantación de identidad
(falsificación del DNI, por ejemplo) ni a evitar el acceso a las cuentas bancarias a
través de la aplicación de la entidad de crédito en cuestión.

Para la entrega de la tarjeta SIM, los transportistas tienen instrucciones de únicamente
entregarla al titular del servicio, firmando a tal efecto el albarán de entrega como
evidencia y conclusión de la gestión. En todo caso, cualquier modificación en los datos
del cliente asociados a su dirección de envío estará vinculada a la superación de la
Política de Seguridad de LOWI. A este respecto, es relevante destacar que mi
representada tiene implantado un doble proceso de verificación de la identidad
durante la tramitación de un duplicado SIM (i) a través del acceso a la app Mi Lowi y
(ii) en el momento de la entrega.

En este sentido, Vodafone tiene contratada la modalidad de entrega exclusiva con las
agencias de transporte para las entregas de tarjetas SIM. Bajo esta entrega, los
transportistas deben verificar que la persona que recoge el envío de la tarjeta SIM es
la destinataria de la misma (titular de la línea móvil en cuestión). Para ello, el
transportista solicitará la muestra del DNI/NIE comprobando que los datos ahí
recogidos coinciden con el nombre del titular a quién va dirigido el paquete. Sobre este
proceso, el cliente de LOWI es informado con anterioridad a la entrega, previniéndole
de la obligatoriedad de contar su DNI o NIE con el fin de que se lleve a cabo la
entrega correctamente. Por lo que, en el caso que nos ocupa, la persona encargada
de entregar la tarjeta SIM en cuestión tenía la obligación de verificar la identidad de
quien que la recibió, comprobando que los datos identificativos de su DNI coincidían
con los del envío.

Sin embargo, es relevante destacar que no es posible aportar evidencia documental
que demuestre que el transportista solicitó el DNI o NIE, ya que para ello sería
necesario proceder a la fotocopia del DNI o NIE del interesado y almacenamiento del
mismo. Por lo tanto, mi representada ha adoptado un procedimiento en el que
únicamente se realice una verificación visual del DNI o NIE en el momento de la
entrega y únicamente en el caso de que los datos coincidan con los del titular se
procederá a la entrega del duplicado SIM. Como prueba de ello, el agente de
transporte deja constancia en el albarán de la comprobación del DNI del destinatario
anotando su nombre y apellidos y número de DNI como se indica a continuación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/28

Por otra parte, si una vez entregada una tarjeta SIM, el cliente reporta una incidencia
en su uso o activación, a fin de reducir el riesgo de fraude, la Política de Seguridad de
LOWI prevé que se comprobará la identidad del solicitante, de acuerdo con lo previsto
en dicha Política para su superación, y la correcta asignación de la tarjeta SIM en los
sistemas de LOWI. Ante cualquier anomalía, si la solicitud consta realizada de manera
presencial en otro establecimiento, desde el establecimiento del distribuidor autorizado
deberán indicarle que el trámite deberá efectuarlo en el mismo establecimiento en que
se solicitó el duplicado.

Además, para reducir el riesgo de cualquier actuación fraudulenta, Vodafone revisa y
mejora continuamente su Política de Seguridad y las actuaciones de sus agentes y
distribuidores autorizados.

A tal efecto, indican a continuación los cambios efectuados en la Política de Seguridad
de LOWI en relación con el trámite relativo al cambio de SIM en el año 2019, en marzo
de 2022 y señalan que, para evitar este tipo de estafas, están trabajando en blindar a
sus clientes.

Por otra parte, señalan que desde agosto de 2023, se ha implementado un mecanismo
de doble factor de autenticación con OTP para todos los clientes de LOWI y han
implementado medidas disuasorias, como por ejemplo sanciones a los agentes por
incumplir las políticas y procesos marcados y comunicados por Vodafone y que desde
el Grupo Vodafone se ha desarrollado una solución llamada "Vodafone Identity Hub
(VIH)", y manifiestan las acciones que lleva a cabo Vodafone una vez se ha detectado
un cambio de SIM fraudulento.

Así, Vodafone ha realizado el cambio de tarjeta SIM porque el solicitante ha acreditado
(de forma fraudulenta) su identidad mediante la aportación correcta de las
credenciales de acceso, habiendo obtenido los datos personales de las víctimas a
través de técnicas de ingeniería social. Pretender que Vodafone pruebe la identidad de
los solicitantes una vez que estos han facilitado de forma valida su usuario y
contraseña supone una suerte de prueba diabólica que no se puede exigir a Vodafone.

Subsidiariamente, y para el caso de que la Agencia entendiera que Vodafone ha
infringido el artículo 6.1 del RGPD, no puede apreciarse la existencia de culpabilidad
en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse a
la misma sanción alguna.

Con carácter subsidiario, en el caso de que esta Agencia entendiera que Vodafone sí
ha infringido el artículo 6.1 del RGPD, no procede la imposición de sanción alguna a
mi mandante por los motivos que se verán a continuación. I. Vodafone no ha actuado
culposamente, por lo que no procede la imposición de sanción alguna. Por ello, en el
caso de que la Agencia entendiera que la conducta de Vodafone es constitutiva la
infracción indicada en el Acuerdo de Inicio, es claro que no concurre en la conducta de
Vodafone culpabilidad ninguna, ni a título de dolo ni a título de culpa.

Mi mandante discrepa respetuosamente de los agravantes indicados en el Acuerdo de
Inicio por los motivos que se expondrán a continuación y por los cuales entiende que
la sanción – de ser impuesta – debe modularse a la baja. I. Toda infracción anterior
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/28

cometida por el responsable o el encargado del tratamiento. Es relevante destacar que
los procedimientos sancionadores a los que hace referencia la Agencia para
fundamentar este agravante; EXP202204287, EXP202203914 y EXP202203916. En
este sentido, se considera que los mismos, al no ser análogos al supuesto analizado
en este sancionador, no deben de ser aplicados como agravante. II. La vinculación de
la actividad de Vodafone con la realización de tratamientos de datos de carácter
personal. Efectivamente, existe una vinculación entre la actividad de Vodafone y el
tratamiento de datos personales de sus clientes que realiza para llevar a cabo la
correcta prestación de los servicios contratados y atender las solicitudes y peticiones
que éstos realicen. La Agencia hace referencia a la existencia de imprudencia cuando
un responsable del tratamiento no se comporta con la diligencia exigible debiendo
insistirse en el rigor y el exquisito cuidado para ajustarse a las prevenciones legales al
respecto. Prueba del especial cuidado y cautela aplicada en el tratamiento de datos
personales que lleva a cabo mi representada, son todas las medidas de seguridad
implementadas y que se detallan en la Alegación primera, además de la continua
revisión de sus políticas y cumplimiento de las mismas. Por lo que este factor, no debe
ser tenido en cuenta como agravante a la hora de graduar la sanción.

Además, entendemos que también deberían tomarse en consideración las siguientes
atenuantes: I. Vodafone procedió a solventar la incidencia objeto de reclamación de
forma efectiva en cuanto tuvo conocimiento de los hechos (art. 83.2 c del RGPD). Tal y
como se ha manifestado, el duplicado SIM fue entregado el 2 de diciembre de 2022 a
las 12:31 horas, sin embargo, inmediatamente después de que el reclamante se
pusiera en contacto con el servicio de Atención al Cliente, el duplicado SIM fue
bloqueado por el Departamento de Fraude, en concreto durante el mismo día 2 de
diciembre de 2022 a las 14:56 horas. A este respecto se adjunta captura de pantalla
de los sistemas internos de mi representada donde consta el bloqueo del duplicado
SIM en cuestión. Asimismo, el Departamento de Fraude procedió a la activación del
check de víctima de fraude en los sistemas internos de Vodafone, incluyendo los datos
personales de la reclamante en la agrupación de fraude y en los ficheros de
prevención de Vodafone, activando medidas de seguridad adicionales sobre sus datos
para evitar que se pueda producir un caso similar en el futuro.

III. El grado de cooperación con la autoridad de control con el fin de poner remedio a
la infracción y mitigar los posibles efectos adversos de la infracción. Mi mandante
también entiende que su grado de cooperación con la Agencia durante las actuaciones
previas de inspección ha sido alto.

IV. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción Vodafone no ha obtenido ningún tipo de
beneficio o evitado pérdidas a raíz de la duplicación fraudulenta de tarjetas SIM, sino
todo lo contrario. En este sentido, la actividad criminal llevada a cabo por los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/28

estafadores y ciberdelincuentes también ha supuesto un perjuicio reputacional para mi
mandante y una defraudación de sus políticas de seguridad.

En virtud de todo lo anterior, solicito que tenga por presentado este escrito y todos los
documentos que lo acompañan y, en su virtud, tenga por efectuadas las
manifestaciones en él contenidas y, tras los trámites oportunos, acuerde: 1) El
sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no
haberse cometido ninguna de las infracciones imputadas. 2) Subsidiariamente, que en
caso de imponerse alguna sanción se imponga en cuantía mínima, a la luz de las
circunstancias atenuantes indicadas en el presente escrito>>.

NOVENO: Con fecha 15 de enero de 2024, el instructor del procedimiento acordó
practicar las siguientes pruebas: “1. Se dan por reproducidos a efectos probatorios la
reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y
generados durante la fase de admisión a trámite de la reclamación, y el informe de
actuaciones previas de investigación que forman parte del procedimiento
AI/00092/2023. 2. Asimismo, se da por reproducido a efectos probatorios, las
alegaciones al acuerdo de inicio del procedimiento sancionador referenciado,
presentadas por VODAFONE ESPAÑA, S.A.U., y la documentación que a ellas
acompaña”.

DÉCIMO: Con fecha 31 de enero de 2024, Vodafone dentro del plazo concedido en el
período de pruebas, realiza las siguientes alegaciones: <<Vodafone exige a su
colaborador logístico la verificación de la identidad de la persona a la que entrega el
duplicado SIM. Es relevante destacar, tal y como mi representada ha señalado en las
alegaciones presentadas al Acuerdo de Inicio, que Vodafone adopta unas robustas y
efectivas medidas técnicas y organizativas apropiadas para garantizar un nivel de
seguridad adecuado al riesgo asociado a cada uno de los trámites solicitados por sus
clientes. En el caso de que el interesado quiera solicitar un duplicado SIM a través de
la app de Mi Lowi debe acreditar su identidad aportando correctamente el usuario (la
dirección de email de contacto, o el número de teléfono contratado) y la contraseña.

Asimismo, en lo que respecta al proceso de entrega del duplicado SIM, Lowi exige a
su colaborador logístico, en el caso que nos ocupa Correos Express, que ejecute la
entrega de dicho duplicado mediante un mecanismo de “entrega exclusiva”, es decir,
que la persona que recoge el duplicado debe acreditar su identidad mediante la
aportación de su DNI, NIE o pasaporte al transportista, quien realizará una verificación
visual para comprobar que los datos ahí recogidos coinciden con los de la persona a
la que va dirigido el paquete.

Sobre este respecto, es necesario aclarar que todos los envíos de duplicados SIM que
se realizan desde Vodafone siguen un método de entrega exclusiva, el cual es
tipificado internamente en los sistemas de mi representada, así como en la orden de
envío para el transportista con el número 89, que significa entrega exclusiva. Por lo
que, si en el registro del envío el método de entrega consta identificado con dicha
numeración, la misma se realizará siguiendo este método.

Con respecto al caso que motiva el presente Acuerdo de Inicio, mi representada ha
comprobado en sus sistemas internos que en la entrega del duplicado SIM, el cual fue
realizado sin el consentimiento de la reclamante, fue categorizada como “89 Entrega
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/28

Exclusiva”, por lo que el transportista tuvo que solicitar el DNI a la persona receptora
del mismo, realizando una verificación visual del documento y comprobando que la
información ahí recogida coincidía con la de la titular, la reclamante.

Sobre este respecto, se adjunta captura de pantalla de los sistemas internos de
Vodafone. Por lo tanto, el defraudador debía contar con el DNI de la reclamante, ya
que de otro modo la entrega de dicho duplicado SIM no se hubiera producido al no
superar la Política de Seguridad fijada por Lowi. En este sentido, del hecho de que un
tercero, mediante la comisión de delitos, haya superado las medidas de seguridad de
Vodafone no puede automáticamente inferirse que Vodafone no ha sido diligente en la
verificación

de la identidad de los clientes y, por tanto, no ha tratado los datos personales de la
reclamante conforme al artículo 6.1 del RGPD.

De la misma forma, cabe resaltar que mi representada lanza recordatorios periódicos
a la empresa de transporte con la que colabora con el fin de enfatizar el deber de que
sus transportistas sigan el método de entrega exclusiva en todos aquellos envíos que
se hayan categorizado con la calificación de 89.

Sobre este punto, se adjunta una captura de pantalla de un ejemplo de ellos.

En virtud de todo lo anterior, solicito a la agencia española de protección de datos que
tenga por presentado este escrito, se sirva admitirlo, y en su virtud, tenga por
efectuadas las manifestaciones en él contenidas y el trámite concedido a los efectos
pertinentes>>.

UNDECIMO: Con fecha 7 de febrero de 2024, se emitió por el instructor del expediente
la propuesta de resolución y fue notificada electrónicamente el día 14 del mismo mes y
año y en la misma se proponía: “que por la Directora de la Agencia Española de
Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., con NIF
A80907397, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo
83.5.a) del RGPD, con una multa de 200.000 € (doscientos mil euros)”.

DUODECIMO: Con fecha 14 de febrero de 2024, solicitó Vodafone ampliación de
plazo para formular alegaciones a la propuesta de resolución y el día 17 del mismo
mes y año le fue concedido y el día 6 de marzo de 2024 presentó escrito de
alegaciones en el que, en síntesis, manifestaba que: << Vodafone se remite en su
integridad a las Alegaciones al Acuerdo de Inicio.

Para la entrega de duplicado SIM, Vodafone tiene contratado un servicio de entrega
exclusiva con la empresa de transportes colaboradora con esta entidad.

(i.) Con respecto al envío de la tarjeta SIM a un domicilio distinto del de facturación.
Tal y como mi representada ha puesto de manifiesto en la alegación previa, el
duplicado de la tarjeta es solicitado a través del área privada de la reclamante, esto
es, previamente el defraudador ha aportado el usuario y la contraseña establecidas
por la reclamante de manera correcta. Con ello, el defraudador suplantando la
identidad de la reclamante, sin que mi representada pueda identificar que se trataba
de un tercero ajeno a su persona, pudo solicitar el duplicado y enviarlo a la dirección
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/28

que deseara al haber acreditado de manera previa su identidad. En consecuencia,
esto no se puede entender como una vulneración de la Política de Seguridad de
Vodafone, ya que al haber aportado correctamente las credenciales únicas e
intransferibles de la reclamante, desde el área privada de la app de Mi Lowi se puede
solicitar un duplicado SIM con una dirección distinta a la de facturación. (ii.) Por otro
lado, esta Agencia indica que el albarán de entrega del duplicado SIM no consta
firmado. Sobre este punto se debe aclarar que el albarán de entrega del duplicado
SIM, y el cual fue aportado por mi representada como Documento número 1 de las
alegaciones presentadas el 16 de marzo de 2023 a esta Agencia, se encuentra
correctamente firmado.

En este sentido, Correos Express, entidad de transporte que, como esta Agencia ya
conoce, fue la empleada para hacer llegar el duplicado SIM objeto de este acuerdo de
inicio, tiene implementado un proceso de firma en el que el transportista, tal y como se
ha indicado, debe solicitar el DNI o NIE de quien lo recoge, realizar una verificación
visual del mismo comprobando que la información ahí recogida coincide con la de la
persona a la que va dirigida el paquete y, en caso de que así sea proceder a la
entrega.

Como prueba de ello, debe introducir el nombre y apellidos, así como el número de
DNI o NIE en el propio albarán de entrega de manera electrónica a través de la tableta
digital que se les facilita a los agentes de transporte. A este respecto, es importante
puntualizar que el transportista no ha tenido conocimiento previo del número de DNI o
NIE del titular del paquete hasta que no ha solicitado el DNI o NIE de aquel a quien lo
entrega. Como se puede comprobar en la siguiente captura de pantalla del albarán de
entrega del duplicado SIM que nos ocupa, en el apartado de la firma figura
correctamente el nombre y el apellido de la reclamante, así como su número de DNI,
información que sólo pudo ser cumplimentada una vez que el transportista verificara el
DNI de la titular, no estando esta información pre cubierta de ningún modo.

(iii.) Sobre el tipo de entrega realizada para el envío del duplicado SIM que motiva la
presente resolución al Acuerdo de Inicio, tal y como mi representada refirió a esta
Agencia tras el periodo de pruebas abierto, se siguió un método de entrega exclusiva
a través del cual la empresa de transportes Correos Express tuvo que verificar la
identidad del receptor. Remitiéndonos de nuevo a las evidencias aportadas el pasado
31 de enero de 2024, se puede constatar que, en los sistemas internos de Vodafone,
empleados para la gestión de los envíos, se clasifica el envío del duplicado SIM
solicitado a través del área privada de la reclamante con el número “89: Entrega
Exclusiva”, y cuya captura de pantalla se remite de nuevo a continuación. La entidad
de mi representada tiene contratados con el operador logístico CEVA Logistics
(“CEVA”), un servicio de entrega exclusiva por el cual se establece que todos los
envíos calificados internamente por Lowi con el número 89 deberán seguir un método
de entrega exclusiva. Desde CEVA se trabaja con distintas empresas de transportes
para la entrega de estos duplicados, en este caso Correos Express, y se traslada e
identifica las entregas que deben seguir un método de entrega exclusiva.

El método de entrega exclusiva establece que el transportista tiene que solicitar el DNI
del receptor, introducir su número de DNI en el sistema de gestión de envíos al cual
tiene acceso, y que de manera automática verificará que los datos aportados
coinciden con los registrados en la orden de envío, es decir, con los del titular. En caso
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/28

de que los datos no coincidan, la entrega no podrá efectuarse. Por lo que, en este
caso el transportista tuvo que verificar la identidad del receptor del duplicado SIM,
solicitando su DNI e introduciendo los datos ahí contenidos en el sistema de gestión
de envíos, el cual comprobó automáticamente que sus datos coincidían con los
registrados en la orden de envío remitida por mi representada.
Sobre este respecto, mi representada aporta el certificado emitido por CEVA, en el
que se recoge cómo Vodafone tiene contratado con esta empresa el servicio de
entrega exclusiva, y donde se especifica que: Dicho certificado se aporta como
Documento número 1. De la misma forma, cabe resaltar que mi representada lanza
recordatorios periódicos a la empresa de transporte con la que colabora con el fin de
enfatizar el deber de que sus transportistas sigan el método de entrega exclusiva en
todos aquellos envíos que se hayan categorizado con la calificación de 89.

Sobre este punto, se adjunta una captura de pantalla de un ejemplo de ellos. Por todo
ello, mi representada no puede estar de acuerdo con lo manifestado por esta Agencia,
ya que como ha evidenciado en esta y en anteriores ocasiones, ha implementado
todas las medidas necesarias para garantizar que el duplicado SIM es entregado al
titular de la línea. Sin embargo, si un tercero cuenta con todos los datos necesarios
para suplantar la identidad de un cliente, incluido las credenciales de acceso al área
privada del cliente, no puede achacársele a mi representada falta de diligencia a la
hora de verificar la identidad de la reclamante.

Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción
y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las siguientes
circunstancias agravantes y atenuantes.

I. Toda infracción anterior cometida por el responsable o el encargado del tratamiento
Es relevante destacar que los procedimientos sancionadores a los que hace referencia
la Agencia para fundamentar este agravante; EXP202204287, EXP202203914 y
EXP202203916, son relativos a clientes de Vodafone que no son clientes de la marca
Lowi y cuyos duplicados SIM se tramitaron por canales diferentes al del caso aquí
analizado, la app Mi Lowi. En este sentido, se considera que los mismos, al no ser
análogos al supuesto analizado en este sancionador, no deben de ser aplicados como
agravante.

II. La vinculación de la actividad de Vodafone con la realización de tratamientos de
datos de carácter personal Efectivamente, existe una vinculación entre la actividad de
Vodafone y el tratamiento de datos personales de sus clientes que realiza para llevar a
cabo la correcta prestación de los servicios contratados y atender las solicitudes y
peticiones que éstos realicen. La Agencia hace referencia a la existencia de
imprudencia cuando un responsable del tratamiento no se comporta con la diligencia
exigible debiendo insistirse en el rigor y el exquisito cuidado para ajustarse a las
prevenciones legales al respecto. Prueba del especial cuidado y cautela aplicada en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/28

tratamiento de datos personales que lleva a cabo mi representada, son todas las
medidas de seguridad implementadas y que se detallan en la Alegación primera,
además de la continua revisión de sus políticas y cumplimiento de las mismas. Por lo
que este factor, no debe ser tenido en cuenta como agravante a la hora de graduar la
sanción.
Sobre los atenuantes no aplicados por la Agencia a la hora de evaluar la sanción:
I. Vodafone procedió a solventar la incidencia objeto de reclamación de forma efectiva
en cuanto tuvo conocimiento de los hechos (art. 83.2 c del RGPD), no existiendo un
carácter continuado en el tratamiento ilícito y procedimiento a regularizar la situación
irregular de forma diligente.

Tal y como se ha manifestado, el duplicado SIM fue entregado el 2 de diciembre de
2022 a las 12:31 horas, sin embargo, inmediatamente después de que la reclamante
se pusiera en contacto con el servicio de Atención al Cliente, el duplicado SIM fue
bloqueado por el Departamento de Fraude, en concreto durante el mismo día 2 de
diciembre de 2022 a las 14:56 horas.

A este respecto se adjunta captura de pantalla de los sistemas internos de mi
representada donde consta el bloqueo del duplicado SIM en cuestión. Asimismo, el
Departamento de Fraude procedió a la activación del check de víctima de fraude en
los sistemas internos de Vodafone, incluyendo los datos personales de la reclamante
en la agrupación de fraude y en los ficheros de prevención de Vodafone, activando
medidas de seguridad adicionales sobre sus datos para evitar que se pueda producir
un caso similar en el futuro.

II. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las
medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32
del RGPD Tal y como se ha expuesto en la Alegación Primera de este escrito,
Vodafone ha implementado medidas técnicas y organizativas adecuadas para el
riesgo generado por mi mandante, esto es, tendentes a asegurar que quien solicita el
duplicado o cambio de una tarjeta SIM es el titular de la línea. Por lo tanto, siguiendo
lo establecido en el art. 45.4 i) de la Ley Orgánica 15/1999, de 13 de diciembre, de
Protección de Datos de Carácter Personal, mi representada ha acreditado “que con
anterioridad a los hechos constitutivos de infracción la entidad imputada tenía
implantados procedimientos adecuados de actuación en la recogida y tratamiento de
los datos de carácter personal, siendo la infracción consecuencia de una anomalía en
el funcionamiento de dichos procedimientos no debida a una falta de diligencia
exigible al infractor”.

III. El grado de cooperación con la autoridad de control con el fin de poner remedio a
la infracción y mitigar los posibles efectos adversos de la infracción En este sentido,
informar a la Agencia de que Vodafone sí que ha puesto medios para remediar y
mitigar los posibles efectos adversos de la practica fraudulenta de los duplicados SIM.
Indicar lo contrario sería no tomar en consideración que Lowi, tal y como se ha venido
indicando, se encuentra en un proceso constante de actualización y revisión de sus
Política de Seguridad, implementando nuevas medidas y controles que traten de
reducir al máximo posible el riesgo inherente al tratamiento de datos que realiza.

IV. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/28

indirectamente, a través de la infracción Vodafone no ha obtenido ningún tipo de
beneficio o evitado pérdidas a raíz de la duplicación fraudulenta de tarjetas SIM, sino
todo lo contrario.

Solicita: 1) El sobreseimiento del expediente con el consiguiente archivo de las
actuaciones, por no haberse cometido ninguna de las infracciones imputadas y no
poder apreciarse la existencia de culpabilidad. 2) Subsidiariamente, que en caso de
imponerse alguna sanción se imponga en cuantía mínima, a la luz de las
circunstancias atenuantes indicadas en el presente escrito.>>
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO. - Obra en el expediente, que con fecha 1 de diciembre de 2022 se solicitó
por un tercero a través del acceso al área privada de la reclamante a Lowi marca de
Vodafone un duplicado de su tarjeta SIM y se facilitó por la tercera persona para
realizar la entrega del pedido del duplicado de la tarjeta SIM un domicilio distinto del
que figuraba en el registro de Vodafone para la facturación de la reclamante.

SEGUNDO. - Obra en el expediente, que el duplicado SIM es entregado el día 2 de
diciembre de 2022 en la dirección postal facilitada por el tercero.

TERCERO. - Vodafone, reconoce en su escrito de fecha 16 de marzo de 2023 que ha
podido comprobar que no dispone de la evidencia que permita confirmar el paso de la
política de seguridad, y tampoco de la evidencia que permita confirmar el paso de la
política de seguridad completa llamando al 121, para la activación de la tarjeta SIM,
manifestando que no dispone de la grabación del trámite telefónico referido en tanto
que no se produjo la grabación de dicha llamada.

CUARTO. – Obra en el expediente que anteriormente en fecha 30 de noviembre de
2022, se produjeron dos intentos de cambio de la dirección de correo electrónico por
vía telefónica, supuestamente para poder acceder al área privada de cliente de la
reclamante, dicha petición no fue llevada a cabo al no superar la Política de Seguridad.

FUNDAMENTOS DE DERECHO

Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/28

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”

Contestación a las alegaciones presentadas

La parte reclamada manifiesta que la emisión de los duplicados de la tarjeta SIM no es
suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente,
para completar la estafa, es necesario que un tercero “suplante la identidad” del titular
de los datos ante la entidad financiera. Lo que conlleva a priori, un tratamiento al
margen del principio de licitud pues un tercero está tratando datos, ya que tiene
acceso a ellos, sin base legal alguna, además de la vulneración de otros principios
como el de confidencialidad.

Por dicha razón, este es un proceso en donde la diligencia prestada por las
operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD.
Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar
que el tratamiento de datos sea conforme al RGPD.

Idénticas consideraciones merece la actuación de las entidades bancarias que
proporcionan servicios de pago, en cuyo ámbito se inicia este tipo de estafas, ya que
el tercero tiene acceso a las credenciales del usuario afectado y se hace pasar por
este.

En tanto que estas entidades son responsables del tratamiento de los datos de sus
clientes, les competen idénticas obligaciones que las señaladas hasta ahora para las
operadoras referidas al cumplimiento del RGPD y la LOPDGDD, y además las
derivadas del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y
otras medidas urgentes en materia financiera.

A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta
SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que
contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado
usada para identificarse ante la red, esto es, el número de línea telefónica móvil del
cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de
la Red Digital de Servicios Integrados-), así como el número de identificación personal
del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del
Abonado móvil-) pero también puede proporcionar otro tipo de datos como la
información sobre el listado telefónico o el de llamadas y mensajes.

Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los
datos personales de su titular ya que se considerará persona física identificable toda
persona cuya identidad pueda determinarse, directa o indirectamente, en particular
mediante un identificador (artículo 4.1) del RGPD).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/28

Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez,
identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C
-101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto
de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46
comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha
Directiva "toda información sobre una persona física identificada o identificable". Este
concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o
a otra información relativa a sus condiciones de trabajo o a sus aficiones».

En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la
tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca
al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar
sujeto a la normativa de protección de datos.

En cuanto a la responsabilidad de Vodafone, debe indicarse que, con carácter general
Vodafone trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1 b)
del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato
en el que el interesado es parte o para la aplicación a petición de este de medidas
precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases
previstas en el artículo 6.1.a), c), e) y f) del RGPD.

El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos
encontramos ante un derecho fundamental a la protección de datos por el que se
garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y
sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la
dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de
datos se configura como una facultad del ciudadano para oponerse a que
determinados datos personales sean usados para fines distintos a aquel que justificó
su obtención.

Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un
derecho autónomo e independiente que consiste en un poder de disposición y de
control sobre los datos personales que faculta a la persona para decidir cuáles de esos
datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este
tercero recabar, y que también permite al individuo saber quién posee esos datos
personales y para qué, pudiendo oponerse a esa posesión o uso.

En cuanto a la conducta de Vodafone se considera que responde al título de culpa.
Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada
o dedicada específicamente a la gestión de los datos de carácter personal de los
clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir,
desde la óptica de la culpabilidad, estamos ante un error vencible ya que con la
aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones
de identidad se hubieran podido evitar.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/28

Es el considerando 74 del RGPD el que dice: Debe quedar establecida la
responsabilidad del responsable del tratamiento por cualquier tratamiento de datos
personales realizado por él mismo o por su cuenta. En particular, el responsable debe
estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la
conformidad de las actividades de tratamiento con el presente Reglamento, incluida la
eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el
ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y
libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección
de los derechos y libertades de los interesados, así como la responsabilidad de los
responsables y encargados del tratamiento, también en lo que respecta a la
supervisión por parte de las autoridades de control y a las medidas adoptadas por
ellas, requieren una atribución clara de las responsabilidades en virtud del presente
Reglamento, incluidos los casos en los que un responsable determine los fines y
medios del tratamiento de forma conjunta con otros responsables, o en los que el
tratamiento se lleve a cabo por cuenta de un responsable.

Asimismo, solicita Vodafone con carácter subsidiario que esta Agencia acuerde el
archivo del procedimiento por inexistencia de culpabilidad.

Rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28
de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el
elemento subjetivo o culpabilístico es una condición indispensable para que surja la
responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice:

“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa
las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de
obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los mismos a
título de dolo o culpa.”

A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de
dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de
cuidado.

El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las
sanciones administrativas participan de la misma naturaleza que las penales, al ser
una de las manifestaciones del ius puniendi del Estado, y que, como exigencia
derivada de los principios de seguridad jurídica y legalidad penal consagrados en los
artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas.

A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19
de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el
elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a
como se hace respecto de las personas físicas y añade que “Esta construcción distinta
de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia
naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el
elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las
que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que
deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que
dicha protección sea realmente eficaz [...]”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/28

La decisión de archivar un expediente sancionador podrá fundarse en la ausencia del
elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera
obrado con toda la diligencia que las circunstancias del caso exigen.

En cumplimiento del principio de culpabilidad la AEPD ha acordado en numerosas
ocasiones el archivo de procedimientos sancionadores en los que no concurría el
elemento de la culpabilidad del sujeto infractor. Supuestos en los que, pese a existir un
comportamiento antijurídico, había quedado acreditado que el responsable había
obrado con toda la diligencia que resultaba exigible, por lo que no se apreciaba culpa
alguna en su conducta. Ese ha sido el criterio mantenido por la Sala de lo Contencioso
Administrativo, sección 1ª, de la Audiencia Nacional. Pueden citarse, por ser muy
esclarecedoras, las siguientes sentencias:

- SAN de 26 de abril de 2002 (Rec. 895/2009) que dice:
“En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es
lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad
el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la
Resolución es analizar la suficiencia de las medidas desde los parámetros de
diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena
diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar
diligente, no cabe afirmar ni presumir la existencia de culpa alguna.”

- SAN de 29 de abril de 2010, Fundamento Jurídico sexto, que, a propósito de una
contratación fraudulenta, indica que “La cuestión no es dilucidar si la recurrente trató
los datos de carácter personal de la denunciante sin su consentimiento, como si
empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con
la que suscribió el contrato”.

Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha
dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la
“capacidad de infringir las normas a las que están sometidos”. “Capacidad de
infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la
necesidad de que dicha protección sea realmente eficaz [...]”.

En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de
responsabilidad proactiva), conforme al cual el responsable del tratamiento será
responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí
interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de
demostrar su cumplimiento. El principio de proactividad transfiere al responsable del
tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder
demostrar dicho cumplimiento.

El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido
durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son
aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es
la obligación del responsable del tratamiento de aplicar medidas que, en
circunstancias normales, garanticen que en el contexto de las operaciones de
tratamiento se cumplen las normas en materia de protección de datos y en tener
disponibles documentos que demuestren a los interesados y a las Autoridades de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/28

control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en
materia de protección de datos.

El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a
adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder
demostrar” que el tratamiento es conforme con el RGPD. El precepto establece:

“Responsabilidad del responsable del tratamiento”
“1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento,
así como los riesgos de diversa probabilidad y gravedad para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará medidas
técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el
tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y
actualizarán cuando sea necesario.
2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre
las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del
responsable del tratamiento, de las oportunas políticas de protección de datos.
3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados
como elementos para demostrar el cumplimiento de las obligaciones por parte del
responsable del tratamiento.”

El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”,
establece:
“1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza,
ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y
gravedad que entraña el tratamiento para los derechos y libertades de las personas
físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los
medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y
organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma
efectiva los principios de protección de datos, como la minimización de datos, e
integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del
presente Reglamento y proteger los derechos de los interesados.
2.[...]”.

Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que,
después de referirse a que las entidades en las que el desarrollo de su actividad
conlleva un continuo tratamiento de datos de clientes y terceros han de observar un
adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que
existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir,
cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del
grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto,
y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la
recurrente es de constante y abundante manejo de datos de carácter personal ha de
insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al
respecto”.

III

Obligación incumplida

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/28

Se imputa a la parte reclamada la comisión de una infracción por vulneración del
artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los
supuestos en los que el tratamiento de datos de terceros es considerado lícito:

“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de
aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones”.

En el presente caso, resulta acreditado en primer lugar que la solicitud del duplicado
de la tarjeta SIM, se hizo a través del área privada de la parte reclamante y se indicó
en dicha petición que se enviara la tarjeta SIM a un domicilio postal distinto al de la
facturación.

Además, la parte reclamada no dispone de la evidencia que permita confirmar el paso
de la política de seguridad completa llamando al 121, para la activación de la tarjeta
sim una vez entregada a la tercera persona, manifestando que no disponen de la
grabación del trámite telefónico referido en tanto que no se produjo la grabación de
dicha llamada, ni aportan copia del contacto donde se refleje el paso de la política de
seguridad.

De esta forma, la parte reclamada facilitó duplicado de la tarjeta SIM de la línea de la
reclamante, sin su consentimiento y sin verificar la identidad de dicho tercero, el cual,
ha accedido a información contenida en el teléfono móvil. Así pues, la reclamada, no
verificó la personalidad del que solicitó el duplicado de la tarjeta SIM, no verificó la
personalidad de quien estaba activando tal duplicado de la tarjeta sim, esto es, no
tomó las cautelas necesarias para que estos hechos no se produjeran.

Hay que destacar, que tal como reconoce Vodafone en su escrito de fecha 16 de
marzo de 2023: <<Vodafone ha podido comprobar que se efectuaron distintas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/28

acciones presuntamente fraudulentas sobre la línea de telefonía móvil perteneciente a
la reclamante. Previo a la incidencia objeto de la reclamación, en fecha 30 de
noviembre de 2022, se produjeron dos intentos de cambio de la dirección de correo
electrónico por vía telefónica, supuestamente para poder acceder al área privada de
cliente.

Sin embargo, dicha petición no fue llevada a cabo al no superar la Política de
Seguridad, en la medida en que los dígitos de la cuenta bancaria facilitados por la
reclamante en aplicación de la Política de Seguridad no coincidían con la numeración
obrante en los sistemas internos. Pese a lo cual, y a pesar de no haberse obtenido el
cambio de dirección de correo electrónico que facultaría a la persona llamante a lograr
el acceso al área privada de cliente, se tramitó de forma online una petición de
duplicado de SIM, en fecha 1 de diciembre de 2022, a través del área privada de
cliente>>. Sin embargo, Vodafone no tomo las cautelas necesarias para que estos
hechos no se produjeran.
En este sentido, la SAN, de fecha 19 de septiembre de 2023 (REC 403/2021), que
dice: “contrató un tercero sin control ni supervisión suficiente en cuanto no fue capaz
de detectar que realmente, la persona que estaba manifestando su voluntad de
contratar, no era quien decía ser. De haberse tomado las necesarias precauciones, a
fin de asegurar la identidad de la persona contratante (por lo que hubiera sido
bastante atender a la incorrecta contestación de las preguntas de identificación y
verificación del cliente) se hubiera evitado la infracción del artículo 6.1 de la LOPD
imputada por la AEP”

En definitiva, en el caso analizado, queda en entredicho la diligencia empleada por
parte de la reclamada para identificar a la persona que solicitó el duplicado de la
tarjeta SIM.

En todo caso, no se siguió el procedimiento implantado por la parte reclamada, ya que,
de haberlo hecho, se debió haber producido la denegación del mismo.

A la vista de lo anterior, Vodafone no logra acreditar que se haya seguido ese
procedimiento y por consiguiente hubo un tratamiento ilícito de los datos personales de
la parte reclamante, contraviniendo con ello el artículo 6 del RGPD.

En ese sentido el Considerando 40 del RGPD señala:

“(40) Para que el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión
o de los Estados miembros a que se refiera el presente Reglamento, incluida la
necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la
necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de
tomar medidas a instancia del interesado con anterioridad a la conclusión de un
contrato.”

Tipificación y calificación de la infracción

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/28

La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”

La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1
de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b)
El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”.

Sanción de multa: Determinación del importe

La determinación de la sanción que procede imponer en el presente caso exige
observar las previsiones de los artículos 83.1 y 2 del RGPD, preceptos que,
respectivamente, disponen lo siguiente:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”

“2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/28

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado
“Sanciones y medidas correctivas”:

“1. Las sanciones previstas en los apartados 4,5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/28

Vodafone solicita que se aprecien las siguientes circunstancias atenuantes:

- El grado de responsabilidad del responsable del tratamiento, habida cuenta de
las medidas técnicas u organizativas que hayan aplicado en virtud de los
artículos 25 y 32 del RGPD.

- El grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos de la infracción.

- Cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.

No se admite ninguna de las circunstancias invocadas.

El Artículo 83.2.d) RGPD: “El grado de responsabilidad del responsable o del
encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que
hayan aplicado en virtud de los artículos 25 y 32;”.

La reclamada se ha limitado a declarar que el tercero que contrató con ella superó la
política de seguridad de la compañía sin aportar ninguna prueba que demuestre que
recabó de la persona que intervino en la contratación algún documento que acreditara
que era efectivamente el titular de los datos personales que había facilitado como
propios o que articuló algún mecanismo que permitiera contrastar la veracidad de los
datos de identidad proporcionados.

Por otra parte, el principio de proactividad supone transferir al responsable del
tratamiento la obligación no solo de cumplir con la normativa, también la de poder
demostrar su cumplimiento. Entre los mecanismos que el RGPD contempla para
lograrlo se encuentran los previstos en el artículo 25, “protección de datos desde el
diseño”, a tenor del cual el responsable debe aplicar “tanto en el momento de
determinar los medios de tratamiento como en el momento del propio tratamiento”
medidas técnicas y organizativas que garanticen que hace una efectiva aplicación de
los principios del RGPD con ocasión de los tratamientos que realiza.

El artículo 83.2.f) del RGPD se refiere al “grado de cooperación con la autoridad de
control con el fin de poner remedio a la infracción y mitigar los posibles efectos
adversos de la infracción;”.

La respuesta de la reclamada al requerimiento informativo de la Subdirección de
Inspección no cumplía esas finalidades, por lo que no es encuadrable en esa
circunstancia atenuante.

Sobre la aplicación del artículo 76.2.c) de la LOPDGDD, en conexión con el artículo
83.2.k), inexistencia de beneficios obtenidos, cabe señalar que tal circunstancia solo
puede operar como agravante y en ningún caso como circunstancia atenuante.

El artículo 83.2.k) del RGPD se refiere a “cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/28

pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo
76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.k) del
Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..] c) Los beneficios
obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones
mencionan como factor que puede tenerse en cuenta en la graduación de la sanción
los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que Vodafone
alega.

Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa
está presidida por los siguientes principios: deberán estar individualizadas para cada
caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere
como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1
del RGPD y a los principios por los que se rige la determinación del importe de la
sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como
atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que
se cumple a través de la sanción. Aceptar la tesis de Vodafone en un supuesto como
el que nos ocupa supondría introducir una rebaja artificial en la sanción que
verdaderamente procede imponerse; la que resulta de considerar las circunstancias
del artículo 83.2 RGPD que sí deben de ser valoradas.

La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el
hecho de que en un supuesto concreto no estén presentes todos los elementos que
integran una circunstancia modificativa de la responsabilidad que, por su naturaleza,
tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable
en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su
SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse
sobre la circunstancia del apartado e) del artículo 83.2. del RGPD, la comisión de
infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la
reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así
que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”.

En aras a graduar el importe de la sanción de multa que se propone imponer a
Vodafone por la infracción del artículo 6.1 del RGPD, estimamos que concurren las
circunstancias a las que nos referiremos a continuación, que operan en calidad de
agravantes:

- La circunstancia del artículo 83.2 e) RGPD: “Toda infracción anterior cometida
por el responsable o el encargado del tratamiento”.

El considerando 148 del RGPD señala que “A fin de reforzar la aplicación de las
normas del presente Reglamento […]” e indica a ese respecto que “Debe no obstante,
prestarse especial atención a […] o a cualquier infracción anterior pertinente […]”.

Así pues, conforme al apartado e) del artículo 83.2. RGPD, en la determinación del
importe de la sanción de multa administrativa no podrán dejar de valorarse todas
aquellas infracciones anteriores del responsable o del encargado de tratamiento en
aras a calibrar la antijuricidad de la conducta analizada o la culpabilidad del sujeto
infractor.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/28

Además, una correcta interpretación de la disposición del artículo 83.2.e) RGPD no
puede obviar la finalidad perseguida por la norma: decidir la cuantía de la sanción de
multa administrativa en el caso individual planteado atendiendo siempre a que la
sanción sea proporcional, efectiva y disuasoria.

Son numerosos los procedimientos sancionadores tramitados por la AEPD en los que
la reclamada ha sido sancionada por la infracción del artículo 6.1 del RGPD:

i.EXP202204287 Resolución dictada el 24 de octubre de 2022 en la que se impuso
una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta
SIM fraudulento sin legitimación. Vodafone se acogió a una de las dos reducciones
previstas.

ii.EXP202203916. Resolución dictada el 24 de octubre de 2022 en la que se impuso
una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta
SIM fraudulento sin legitimación. Vodafone se acogió a una de las dos reducciones
previstas.

iii.EXP202203914 Resolución dictada el 24 de octubre de 2022 en la que se impuso
una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta
SIM fraudulento sin legitimación. Vodafone se acogió a una de las dos reducciones
previstas.

La reclamada argumenta que los anteriores procedimientos sancionadores, son
relativos a clientes de Vodafone que no son clientes de la marca Lowi y cuyos
duplicados SIM se tramitaron por canales diferentes al del caso aquí analizado, y por
lo tanto no deben de ser aplicados como agravante.

Queda acreditado que Lowi es una marca bajo la misma denominación legal que
Vodafone, son la misma empresa y por lo tanto no podrán dejar de valorarse todas
aquellas infracciones anteriores del responsable o del encargado de tratamiento en
aras a calibrar la antijuricidad de la conducta analizada o la culpabilidad del sujeto
infractor.

- La evidente vinculación entre la actividad empresarial de la reclamada y el
tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD
en relación con el artículo 76.2.b, de la LOPDGDD).

La Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), en la que,
respecto de entidades cuya actividad lleva aparejado en continuo tratamiento de datos
de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe
imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el
infractor no se comporta con la diligencia exigible. Y en la valoración del grado de
diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no
cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente
es de constante y abundante manejo de datos de carácter personal ha de insistirse en
el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/28

Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 200.000
€ por la por la presunta infracción del artículo 6.1) tipificada en el artículo 83.5.a) del
citado RGPD.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a VODAFONE ESPAÑA, S.A.U. con NIF A80907397, por una
infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa
de por un importe de 200.000 euros (doscientos mil euros).

SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. con
NIF A80907397.

TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/28

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

SIM Kartı Kopyasında Hukuki Dayanak

Türkçe özet

Hukuki mesele

Sonuç

Karar metni