1/52
Expediente N.º: EXP202306354 (PS/00312/2024)
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 23 de marzo de 2023
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en
adelante, la parte reclamada, Vodafone o Lowi). Los motivos en que basa la
reclamación son los siguientes:
La parte reclamante manifiesta que, en fecha 21 de septiembre de 2021, su teléfono
quedó sin servicio, produciéndose desde su cuenta bancaria cuatro transferencias con
Bizum a una tercera persona desconocida por un importe total de 1.996 euros. Tras
comunicarse con el banco, éste le informa que no pueden responsabilizarse por los
hechos acaecidos. Posteriormente, el 25 de septiembre de 2021, presenta
reclamación ante VODAFONE por entregar un duplicado de la tarjeta SIM de su línea
de telefonía móvil ***TELÉFONO.1, sin su consentimiento. Añade que la parte
reclamada le confirmó que había sido víctima de fraude realizándose el duplicado de la
tarjeta SIM a través de una tienda física que no han podido identificar, que han
desactivado la tarjeta fraudulenta, han devuelto los servicios a la parte reclamante con
la tramitación de un nuevo duplicado e incluido sus datos personales en sus ficheros
de prevención.
Según la parte reclamante, VODAFONE no ha podido identificar la tienda desde la que
se realizó o probar que el duplicado se llevó a cabo siguiendo todas las medidas de
autenticación posibles y niegan su responsabilidad al respecto. Entiende que
facilitaron una nueva tarjeta SIM a una persona desconocida sin comprobar sus datos,
habiendo permitido una usurpación de identidad que ha llevado a la comisión de
actuaciones fraudulentas.
Manifiesta que, al intentar solucionar el asunto, recibieron respuesta de la parte
reclamada con fecha 20/10/2021, en la que ésta confirmaba la emisión del duplicado
de tarjeta a través de una tienda física, a lo que respondieron que la parte reclamante
no pudo llevarlo a cabo al encontrarse trabajando cerca de la ciudad de Albacete.
Junto a la reclamación la parte reclamante aporta la siguiente documentación:
─ Denuncia interpuesta ante la Guardia Civil, el 21 de septiembre de 2021, en la
que constan los hechos reclamados.
─ Listado de llamadas telefónicas y conexiones a Internet efectuadas desde el
número del reclamante tras el duplicado fraudulento de su tarjeta SIM. Constan
cuatro llamadas telefónicas entre las 20:59 y las 21:06 del día 21 de septiembre
de 2021, todas ellas al número ***TELÉFONO.2.
─ Reclamación de la parte reclamante ante la parte reclamada, de fecha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/52
13/10/2021, en la que solicita el resarcimiento de los daños por los hechos
mencionados. En esta reclamación se indica que la parte reclamante, con
fecha 25/09/2021, contactó telefónicamente con VODAFONE para abrir
reclamación por la entrega a un tercero de un duplicado de tarjeta SIM sin su
consentimiento.
─ Respuesta de VODAFONE a la reclamación anterior, de fecha 20/10/2021, en
la que expresamente se indica: “Queremos poner en su conocimiento que, tras
realizar las gestiones oportunas y verificar los hechos que nos describía en su
escrito el Sr… (la parte reclamante), hemos comprobado que con fecha 21 de
septiembre, se nos comunica que, a través de una tienda física, se gestiona un
duplicado de SIM de la línea ***TELÉFONO.1, informamos que para poder
realizar dicha gestión es necesario que el solicitante pase una política de
seguridad que incluye entrega de DNI, así como facilitar una serie de datos
personales. Con fecha 22 de septiembre, el servicio de atención al cliente
recibe una llamada del Sr… (la parte reclamante), en la que indica que le han
clonado la tarjeta SIM y solicita una nueva, durante esta comunicación se
indica el procedimiento para su solicitud desde la APP del cliente, sin llegar a
ser gestionada por nuestro agente ya que la dirección de entrega no
corresponde con la asociada al cliente en la base de datos. Con fecha 22 de
septiembre, D… (la parte reclamante) nos comunica que gestiona el bloqueo
de la línea desde la APP, no obstante, confirmamos consumos desde la línea
durante todos los días del mes de septiembre permaneciendo activa hasta el
día de hoy. Adjuntamos factura de septiembre”.
─ Reclamación presentada ante la operadora, el 15 de noviembre de 2021, en la
que la parte reclamante insiste en señalar que cuando se emitió el duplicado de
tarjeta SIM se encontraba trabajando en Albacete y solicita que le informen en
qué tienda física se realizó dicho duplicado de tarjeta y le aporten documento
firmado correspondiente a la entrega del mismo con los datos de la persona
que lo recibió.
─ Escrito de VODAFONE, de fecha 09/02/2022, que da respuesta a uno anterior
de la parte reclamada de 03/01/2022, en el que se informa: “Queremos poner
en su conocimiento que, tras realizar las gestiones oportunas y verificar los
hechos que nos describía en su escrito el Sr… (la parte reclamante), hemos
comprobado que, el día 21/09/2021, se gestiona duplicado de sim de la línea
***TELÉFONO.1 en físico, no queda registrado como duplicado de sim puesto
que en lugar de tramitar duplicado al parecer le facilitan a la persona una
nueva SIM. Estamos procediendo a la identificación de la tienda en la que
sucedió este hecho…”.
─ Escrito de VODAFONE, de fecha 12/04/2022, que da respuesta a uno anterior
de la parte reclamada de 15/03/2022, en el que se informa: “Queremos poner
en su conocimiento que, tras realizar las gestiones oportunas y verificar los
hechos que nos describía en su escrito…, informamos que, tras el estudio del
caso, no se ha podido localizar la tienda física en la cual se gestiona el
duplicado de SIM no reconocido por el cliente, confirmamos que una vez
solucionada la incidencia, el servicio permanece activo. Con fecha 12 de abril
de 2022, se ha solicitado un abono de 37 €, a favor de la parte reclamante, por
la factura integra aplicada durante el mes de marzo…”.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/52
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 17/05/2023 como consta en el
acuse de recibo que obra en el expediente.
No se recibió respuesta a este escrito de traslado dentro del plazo concedido para ello.
TERCERO: Con fecha 23 de junio de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: Con fecha 20/07/2023 tuvo entrada en esta AEPD la respuesta emitida por
VODAFONE al trámite de traslado de la reclamación. En esta respuesta dicha entidad
manifiesta lo siguiente:
Sobre los protocolos de actuación para la solicitud de un duplicado de tarjeta SIM.
Vodafone explica que la solicitud de un duplicado de tarjeta SIM puede realizarse a
través del teléfono de atención al cliente 121 (en este caso el duplicado únicamente
podrá ser enviado a la dirección del cliente que consta en sus sistemas); a través de la
página web, en el área de cliente previo logado con usuario y contraseña personal; de
la aplicación “Mi Lowi”, también con acceso mediante usuario y contraseña; y a través
de tienda física.
En este último caso, la tarjeta SIM se entrega en mano al cliente previa solicitud del
documento de identidad.
Sobre el caso concreto objeto de la reclamación.
Advierte que calificó al cliente como víctima de fraude en fecha 22/02/2022 después
de comprobar los hechos acontecidos, de los que resulta, según la parte reclamada, lo
siguiente:
. Con fecha 21/09/2021 se solicitó un duplicado de SIM por un tercero no autorizado
que, “teniendo acceso a los datos del cliente, solicitó el duplicado SIM sin
consentimiento del cliente por vía telefónica”.
. Se siguió la política de seguridad existente entonces para la vía telefónica utilizada:
. Llamar al número de soporte para tiendas
. Identificar la tienda mediante su código postal
. Identificarse el usuario que realiza la solicitud para verificar si se encuentra
autorizado.
. Aporta número de identidad del cliente y número de línea afectada por el
duplicado.
. Indicar ciertos números de la ICC de la tarjeta a duplicar.
Finalmente, el duplicado SIM se envía siempre a la Tienda autorizada que lo haya
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/52
solicitado.
Según la parte reclamada, en este caso, la solicitud de duplicado SIM tenía apariencia
de veracidad, dado que la persona que llamó a soporte tiendas facilitó todos los datos
requeridos para pasar la política de seguridad. Añade que como prueba de ello aporta
grabación de tercero no autorizado solicitando el duplicado y registro de la solicitud en
sus sistemas, en el que puede comprobarse que el usuario facilitado se trataba de
personal autorizado para realizar estas gestiones.
Añade que otro indicio de veracidad es que la SIM se remite a la tienda autorizada que
realiza la solicitud.
Por otra parte, detalla VODAFONE los datos suministrados para pasar la política de
seguridad existente entonces (21/09/2021) por la persona que realizó la solicitud del
duplicado SIM, perteneciente al personal de una tienda autorizada:
. Código postal de la tienda autorizada (***REFERENCIA.1);
. Se identifica como usuario autorizado facilitando el siguiente número de usuario
***USUARIO.1 que entonces se encontraba autorizado para solicitar duplicados
SIM desde Tienda autorizada;
. Número de NIE del cliente (***NIF.1) y número de la línea afectada por el
duplicado SIM (***TELÉFONO.1);
. Ciertos números de la ICC de la tarjeta SIM a duplicar (***REFERENCIA.2).
Sobre la actuación de la parte reclamada cuando detecta la emisión de un duplicado
SIM fraudulento.
Cuando se detecta la emisión de un duplicado SIM fraudulento, se bloquea la línea
afectada y se emite un duplicado a la persona titular para que recupere los servicios.
Adicionalmente se adoptan acciones disciplinarias (la tienda implicada en este caso se
penalizó en julio de 2022 y la propia tienda despidió a uno de sus empleados y solicitó
que ninguno de ellos pueda solicitar duplicados SIM).
Por otra parte, se decidió reforzar la política de seguridad (adjunta documento 5) y se
remitió una circular a los call centers para hacer hincapié en esta política de seguridad.
Como medidas adicionales adoptadas, informa sobre las siguientes:
. Reducción del número de tiendas que puede solicitar un duplicado SIM.
. Las tiendas deben facilitar un código identificativo único para cada tienda.
. Facilitar el número de identidad del cliente y número de línea afectada.
. Recabar copia del documento de identidad del cliente.
Por último, informa VODAFONE que, el día 22 de septiembre de 2021, la parte
reclamante contactó con atención al cliente para alertar de la situación y ese mismo
día solicitó en tienda que le facilitaran una nueva tarjeta SIM y así fue gestionado.
Con su respuesta aportó, entre otra documentación, la siguiente:
. Detalle de la anotación que consta en los sistemas de información de VODAFONE
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/52
relativa a la solicitud del duplicado SIM, de fecha 21/09/2021, hora 20:35. Como canal
consta “Llamadas atención al cliente”, con origen el número de teléfono
***TELÉFONO.3.
Asimismo, en este registro se añaden las indicaciones siguientes:
“(…)”
Detalle de una anotación asociada a la parte reclamante, sin fecha, con el detalle
siguiente:
“Alertas Manuales
No hacer duplicados de SIM de ningún teléfono por posible estafa!!!”.
. Informe elaborado por “Reclamaciones” en el que se indica lo siguiente:
“Efectivamente el duplicado se solicitó y se entregó en tienda, el comercial llamó a
retail y nos pasó la política de seguridad que tenemos marcada para estos casos, por
lo que completamos dicho cambio de ICC desde el canal de soporte tienda…
Nosotros no tenemos la información de los nombres exactos de las tiendas, te facilito
los datos que tenemos de la tienda que lo realizó: • Código postal: ***REFERENCIA.1
• Ubicación: ***LOCALIDAD.1 • Comercial que gestionó dicho duplicado:
***USUARIO.1 El cambio de sim se realizó el día 21/09/2021 20:35:00
Se realizó mediante llamada a Soporte Retail (Soporte a tienda) desde la numeración
***TELÉFONO.3
La tarjeta sim fraude utilizada ***REFERENCIA.3 pertenecía a un pedido de
Fibranorte, (…)…
En la grabación se hacen pasar por compañero de tienda. Fecha grabación
***TELÉFONO.1 21.09.21.mp3 Se catalogo fraude el 28/02/2022…
Este PDV continua activo con Fibranorte, es de la cadena de tiendas SMART &
PHONE. Te comento:
En la fecha que indicáis del duplicado se comunicó al gerente del PDV, el indicó que
no tenía conocimiento que sus comerciales estuvieran realizando duplicados y pidió
que ninguna de sus tiendas pudiera realizar duplicados. y despidió algún comercial.
(…)”.
. Esquema de la nueva política de seguridad existente en el momento en que envía la
respuesta. Para los casos en que el cliente solicita duplicado de la tarjeta a través de
un distribuidor, contempla la solicitud de DNI y confirmación de que se trata del titular
de la línea y una llamada a “Soporte” para confirmar los datos del cliente. Se añade:
. Comprobar en los listados de distribución si la persona que nos llama está
autorizada a realizar el cambio de SIM. Se debe dejar el dato en los comentarios
de Altitud.
. EL distribuidor es el responsable de solicitar la documentación al cliente. Debe
de guardar fotocopia o escaneo del mismo. Antes de realizar el cambio
informamos al distribuidor de esto, si nos confirma que lo ha solicitado, realizamos
el cambio.
. Copia de una circular que dice haber remitido a los call center en fecha 10/10/2022,
con el asunto “Cambios de Datos Clientes modificación política de seguridad”, en la
que se indica:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/52
“Tras las últimas denuncias recibidas, estamos reforzando las políticas de seguridad
para los cambios de datos de clientes.
Los fraudes se realizan por mafias, esto significa que han desarrollado una ingeniería
social que permite acceder a modificar datos a través de la información de los clientes,
procesos y sistemas que consiguen de nosotros. Una vez acceden a la línea del
cliente, tienen acceso a toda su información y acceso a las cuentas bancarias, app,
tarjeta, etc.
Para evitar este tipo de estafas, estamos trabajando en blindar a nuestros clientes.
Para eso, no se debe realizar ningún cambio de datos, cuenta de correo, ICC, etc. Sin
haber seguido los siguientes pasos:
1. No se debe dar ningún tipo de información sobre nuestros sistemas, procesos o
información de clientes…
2. Si se recibe una llamada de un compañero, es necesario comprobar el origen de la
llamada entrante. En todos los casos debe ser una extensión, nunca una numeración
larga.
(…)”.
. Copia de la grabación de la solicitud del duplicado de tarjeta SIM, tramitada
telefónicamente entre una supuesta tienda física y la central. En dicha grabación el
interlocutor por parte de la tienda solicita un duplicado SIM en nombre de un cliente (la
parte reclamante). Lo hace llamando al canal de soporte para tiendas siguiendo su
protocolo específico y, aunque no se aporta un código postal válido como medida de
identificación de la tienda, se prosigue con el trámite. En el Hecho Probado Cuarto se
reproduce la conversación.
QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:
1. En respuesta al requerimiento de información que le fue realizado por los servicios
de inspección, VODAFONE, mediante escrito de 31/08/2023, informó lo siguiente:
Dicha entidad confirma la política de seguridad que se aplicaba en el momento de los
hechos objeto de la reclamación e informa que el envío de los duplicados de tarjetas
SIM a las tiendas no es necesario porque estas tiendas ya cuentan con ellas. Después
de la llamada a “Soporte” e indicar los datos para pasar la política de seguridad se
activa la tarjeta, que ya está a disposición de la tienda autorizada.
Confirma, asimismo, las medidas adicionales que ya fueron informadas con ocasión
del trámite de traslado, que incluyen recabar copia de la documentación identificativa
del cliente como prueba del consentimiento. Advierte al respecto que los puntos de
venta que no tienen relación directa con VODAFONE, sino a través de un agente,
como ocurre en el caso que nos ocupa, tienen prohibida la realización de duplicados
SIM desde marzo de 2022. En estos casos el cliente debe llamar a atención al cliente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/52
La parte reclamada aclara que el punto de venta implicado tiene la denominación
social ***EMPRESA.1 y el nombre comercial SMART PHONE, con domicilio en
***DIRECCIÓN.1. Según VODAFONE, dicha tienda se engloba entre los puntos de
venta gestionados por la entidad FIBRANORTE S.L., que actúa como agente.
Según VODAFONE, mediante el contrato que formaliza con el agente, se traslada a
éste la obligación de identificación del cliente en las gestiones a realizar y aportar a
VODAFONE fotocopia de los documentos de identidad, que deben ser respetadas por
los puntos de venta o subagentes, si bien el detalle aportado corresponde a las nuevas
contrataciones.
Sobre la actuación del punto de venta en la emisión del duplicado de tarjeta por el que
se reclama, dicha entidad informa desconocer el motivo por el cual el personal de
tienda actuó irregularmente o si el personal de tienda entregó los datos a un tercero no
autorizado para que realizasen las acciones fraudulentas, y añade que la persona que
realizó esas acciones contaba con información acerca de los procesos internos de la
entidad.
Con su respuesta, la entidad VODAFONE aporta, ente otra, la documentación
siguiente:
. “Contrato de Agencia Canal Alternativo”, entre VODAFONE ENABLER ESPAÑA, S.L
y FIBRANORTE S.L., en cuyos Anexos se identifican los puntos de venta o
subagentes que encuentran cobertura con dicho contrato, todos ellos ubicados en
Cataluña y Aragón, ninguno de ellos en ***LOCALIDAD.1. En la localidad de Mollet del
Vallés aparecen cuatro subagentes, uno de ellos con domicilio en ***DIRECCIÓN.1 y
teléfono ***TELÉFONO.4. Ninguno de los subagentes que figura en el contrato tiene
asociado el número de teléfono ***TELÉFONO.3. En este listado no constan los
nombres de las entidades subagentes.
Por otra parte, se detalla: “VODAFONE ENABLER es una entidad que forma parte del
mismo Grupo societario al que pertenece VODAFONE ESPAÑA, S.A.U.”.
FIBRANORTE S.L. es el encargado del tratamiento y la tienda física SMART PHONE
tiene la consideración de subencargada del tratamiento.
La parte reclamada también aporta las instrucciones dadas al encargado del
tratamiento en materia de protección de datos que, a su vez, se compromete a
trasladarlas a los subencargados para el personal que atiende de manera presencial
en las tiendas físicas. Si bien se hace hincapié en la verificación de la identidad, el
traslado de la documentación por la tienda física a la central de VODAFONE no es
inmediato en el momento de la gestión.
. Histórico de las interacciones mantenidas con la parte reclamante entre los días 1 de
septiembre de 2021 y el 1 de octubre de 2021, incluyendo las anotaciones realizadas
por los gestores y acciones emprendidas en cada acto.
Además de la llamada a soporte correspondiente a la solicitud del duplicado de tarjeta
fraudulento, de fecha 21/09/2021, en el sistema de información de VODAFONE
constan, entre otros, los contactos siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/52
. 23/09/2021: la parte reclamante, mediante llamada telefónica, advierte que “le han
pedido un duplicado sin permiso y le han quitado dinero vinculado a su banco”.
. 25/09/2021, 14:06: llamada de la parte reclamante al Servicio de Atención al Cliente
indicando que “quiere poner una reclamación porque aparece que le han duplicado la
simswap y le han estafado, se indica que envíe la denuncia a correo”.
. 25/09/2021: “Llamo al cliente para comprobar línea activa. La línea cursa
correctamente y da tono…”.
. 01/10/2021, en relación con el contacto anterior de 25/09/2024, 14:06: “cierro caso
25/09/2021 14:06… tipificado y dejado comentario en inicio: no se ha de hacer
duplicado de SIM de ningún teléfono por posible estafa. Es mejor que acuda a una
tienda Retail a solicitar duplicado para pasar política y dejar fotocopia o escaneo DNI”.
. 01/10/2021: “Clienta pide información sobre una estafa sufrida y piensa que se ha
hecho un duplicado sim sin su consentimiento // gestiono que no sea así e informó de
que no se ha realizado ningún duplicado”.
2. Con fecha 10/11/2023 se recibió respuesta de VODAFONE a un nuevo
requerimiento de información que le fue realizado por los Servicios de Inspección, en
el que se advertía a dicha entidad que en la documentación aportada con anterioridad
no figuraba ningún punto de venta asociado a los datos facilitados sobre código postal,
domicilio y teléfono del punto de venta que solicitó el duplicado de SIM fraudulento y
que, según puede apreciarse en la grabación de la llamada a “soporte”, el código
postal indicado no figuraba como autorizado.
A propósito de estas cuestiones, VODAFONE modificó la información aportada
anteriormente para señalar ahora que el código postal no era un requisito de la Política
de Seguridad en las llamadas al número de soporte para tiendas, la cual se limitaba a
identificar el código específico asignado al usuario para verificar si estaba autorizado,
aportar el número del documento de identidad del cliente y el número de línea
afectada por el duplicado de SIM, así como ciertos números de la ICC de la nueva
tarjeta.
A este respecto, reitera que la persona que suplantó al personal de tienda conocía ese
código específico (***USUARIO.1) y el resto de los datos: DNI, nombre y apellidos y
números de la ICC de la nueva tarjeta SIM.
Asimismo, informó que el equipo de Reclamaciones, por un error puntual, trasladó una
información errónea relativa al punto de venta que realizó el duplicado SIM. Confirma
ahora que el punto de venta que realmente solicitó el duplicado SIM en cuestión fue la
tienda ubicada en ***DIRECCIÓN.1. Añade que este punto de venta está recogido en
el contrato como uno de los puntos utilizados por el distribuidor implicado en el caso.
Según VODAFONE, el equipo de reclamaciones no ha podido identificar la causa de
aquel error.
SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
VODAFONE ESPAÑA, S.A.U. es una gran empresa constituida en el año 1994, y con
un volumen de negocios de 2.909.851.000 euros en el año 2024.
SÉPTIMO: Con fecha 3 de septiembre de 2024, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/52
con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta
infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD.
OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la LPACAP, la parte reclamada solicitó ampliación del plazo y copia del expediente que
le fue concedido y con fecha 8 de octubre de 2024 presentó escrito de alegaciones en
el que solicita el sobreseimiento del expediente o, subsidiariamente, la imposición de
una sanción en cuantía mínima. Basa su pretensión en las consideraciones siguientes:
1. Vodafone ha aplicado las medidas técnicas y organizativas apropiadas para
garantizar un nivel de seguridad adecuado al riesgo y el tratamiento lícito de datos
personales.
I. Previo: la obligación de adoptar medidas técnicas y organizativas para garantizar un
nivel de seguridad adecuado al riesgo no es una obligación absoluta.
En primer término, señala que la Agencia entiende que Vodafone habría infringido el
artículo 6.1 del RGPD al tratar los datos personales del reclamante sin su
consentimiento como consecuencia de no adoptar las medidas apropiadas para
impedir que terceros puedan hacerse pasar por el reclamante y conseguir un
duplicado de su tarjeta SIM, y destaca al respecto que, según ha declarado la
Audiencia Nacional y la propia AEPD, la obligación de adoptar medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo "no
es una obligación absoluta".
En otras palabras, según Vodafone, no puede entenderse que el hecho de que un
tercero haya superado dichas medidas implica, per se, haber incumplido la obligación
y, por ende, llevar a cabo un tratamiento de datos ilícito. Así pues, el responsable del
tratamiento está sujeto a una obligación de medios, no a una obligación de resultados
en el sentido de entender que todo incidente es un incumplimiento del deber de
garantizar un nivel de seguridad adecuado al riesgo.
Por tanto, del hecho de que un tercero, mediante la comisión de delitos, haya
superado las medidas de seguridad de Vodafone no puede automáticamente inferirse
que Vodafone no ha sido diligente en la verificación de la identidad de los clientes y,
por tanto, no ha tratado los datos personales del reclamante conforme al artículo 6.1
del RGPD.
II. Vodafone es responsable de adoptar medidas técnicas y organizativas dirigidas a
que los duplicados de tarjetas SIM sean facilitados a los titulares de las líneas
telefónicas
Las indicadas medidas están dirigidas a garantizar que el solicitante del duplicado de
tarjeta SIM es el titular de la línea telefónica contratada, de modo que, en el presente
caso, de duplicado de tarjeta SIM realizado de forma telemática (por vía telefónica
suplantando a una tienda autorizada), quedan fuera de la esfera de control de
Vodafone las conductas previas del estafador para obtener datos de las víctimas o las
posteriores, como las cometidas para acceder a la banca online.
III. Medidas técnicas y organizativas adoptadas por Vodafone
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/52
Para solicitudes tramitadas de forma telemática por parte de las tiendas autorizadas,
en la fecha de los hechos, el personal de la tienda debía llamar a “soporte canal de
tienda” para identificar la tienda como autorizada e identificar al titular de la línea,
facilitando el código de usuario de la tienda, ciertos números de la nueva tarjeta SIM
(disponibles en tienda y que se activan tras estos controles), nombre, apellidos,
número de DNI y teléfono. Añade que tienen que realizar una copia del documento de
identidad antes de emitir un duplicado de la tarjeta SIM.
En este caso, la tienda suplantada en este caso es SMART&HOME, con domicilio en
***DIRECCIÓN.1, cubierta por el contrato de agencia suscrito por Vodafone con
FIBRANORTE S.L. (en adelante, “FIBRANORTE”) de fecha 1 de abril de 2021, el cual
a su vez tiene un contrato con SMART&HOME. En ese contrato se establece la
obligación de las tiendas de identificar correctamente a los clientes (reproduce las
indicaciones realizadas para nuevas altas).
El código de usuario de SMART&HOME era ***USUARIO.1.
Ciertos números de la nueva tarjeta SIM LOWI (ICC): ***REFERENCIA.2.
Los datos del reclamante son el número de su NIE (***NIF.1), número de móvil de la
línea afectada por el duplicado SIM (***TELÉFONO.1), así como su nombre y
apellidos.
Para acreditar el paso de la política de seguridad, Vodafone se remite a la grabación,
ya aportada en el primer requerimiento de información, con el nombre de archivo
“***REFERENCIA.4”. Como se puede observar en la grabación, el estafador cuenta
con toda la información necesaria para pasar la política de seguridad de LOWI: (i)
código de usuario de la tienda autorizada; (ii) ICC de la nueva tarjeta SIM (lo que
implica estar en posesión física de la SIM); y (iii) datos del reclamante, nombre,
apellidos, número de documento de identidad y número de línea de móvil a duplicar.
Sobre esta cuestión, en respuesta a lo indicado en el acuerdo de apertura, sobre la no
comprobación por parte de Vodafone de la verificación de identidad realizada por la
tienda y la no comprobación del número desde el que se realiza la solicitud de
duplicado, que en este caso no coincide con ningún número de línea asociado a la
tienda en cuestión, la citada entidad manifiesta que la tienda está obligada a identificar
al cliente con su documento de identidad y que ha restringido este tipo de operaciones
al canal alternativo (tiendas no relacionadas directamente con Vodafone, sino con el
agente). En estos casos, si el cliente quiere realizar un duplicado SIM debe llamar a
atención al cliente y solicitarlo directamente, previo paso de la política de seguridad
correspondiente.
Se refiere Vodafone seguidamente las acciones emprendidas contra el agente con
motivo del caso presente y al abono realizado a la parte reclamante en compensación
por los servicios consecuencia del duplicado fraudulento, ya detallados en sus escritos
anteriores, y las nuevas medidas implantadas:
. Medidas disuasorias, como sanciones a los agentes.
. Desde el Grupo Vodafone se ha desarrollado una solución llamada “Vodafone Identity
Hub (VIH)”, que permite verificar si un usuario que solicita una determinada operación
en plataformas de terceros contratantes (por ejemplo, la contratación de un préstamo a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/52
una entidad bancaria o cualquier otra operación bancaria que requiera la identificación
del cliente, como la emisión de una tarjeta de débito) ha realizado un cambio/duplicado
de tarjeta SIM recientemente. En el caso de que sea así, la plataforma envía dicha
información a la entidad contratante que le avisa de una alta probabilidad de fraude en
la operación. Vodafone ha implementado esta solución en España y cuenta con
diferentes clientes del sector bancario que la han contratado para incluirla en sus
procesos de autorización de operaciones bancarias.
. Una vez detectado un cambio de SIM fraudulento: bloqueo de la tarjeta SIM;
restricción en la recepción de SMS, para así evitar que la línea móvil reciba códigos de
entidades bancarias que puedan utilizar los estafadores para obtener dinero de las
cuentas del cliente; y marcar al cliente como “víctima de fraude”, así como aparición de
ventanas emergentes con notificaciones indicando a los comerciales de Vodafone para
que no se realicen operaciones sobre dichas cuentas.
IV. Estamos ante un tercero cuyo propósito es, mediante una actividad delictiva,
superar dichas medidas de seguridad
No estamos ante un fallo o error del sistema implementado por Vodafone, sino ante un
acceso a los datos personales de los interesados que se produce mediante una
actividad delictiva debidamente organizada y planeada.
En el presente caso, el defraudador, conociendo los procedimientos internos y
aportando toda la información siguiente: código que identifica a la tienda como tienda
autorizada, número de la nueva tarjeta SIM LOWI (ICC), así como toda la información
relativa al reclamante consigue superar la política de seguridad de Lowi y realizar el
duplicado SIM. Vodafone actuó en todo momento conforme a sus políticas de
seguridad y realizó una correcta verificación del establecimiento autorizado, así como
de los datos del cliente sobre el cual se solicitó la operación, a lo que se añade la
obligación de identificar al solicitante por parte de las tiendas.
V. Sobre los supuestos aspectos que Vodafone no habría acreditado, según establece
la AEPD en el acuerdo de inicio.
Vodafone en este apartado se refiere a las mismas cuestiones ya señaladas en el
apartado III y reitera los argumentos anteriores.
Respecto de la no comprobación por “canal soporte tienda” del número llamante,
indica que ese no era un requisito de la política de seguridad en el momento de los
hechos. Y termina concluyendo que el hecho de que un tercero supere las medias de
seguridad de Vodafone no implica automáticamente que no haya sido diligente en la
verificación de la identidad de los clientes y, por tanto, no ha tratado los datos
personales conforme al artículo 6 del RGPD.
2. Subsidiariamente, y para el caso de que la Agencia entendiera que Vodafone ha
infringido el artículo 6.1 del RGPD, no puede apreciarse la existencia de culpabilidad
en las infracciones imputadas a Vodafone y, en consecuencia, no puede imponerse a
la misma sanción alguna.
Después de citar el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen
Jurídico del Sector Público, señala que no concurre en su conducta culpabilidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/52
alguna, ni a título de dolo ni a título de culpa.
Asimismo, detalla la doctrina del Tribunal Supremo, según la cual “para la exculpación
no bastará la invocación de la ausencia de culpa, sino que será preciso que se haya
empleado la diligencia que era exigible por quien aduce su inexistencia (entre otras, la
Sentencia del Tribunal Supremo de 23 de enero de 1998 [RJ 1998\601])”; e invoca la
Sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección
1ª) de 25 de febrero de 2010 [JUR 2010/82723], referida a un precedente tramitado en
esta Agencia, en la que, según Vodafone, se concluyó que imputar a un responsable
del tratamiento por el acceso a los datos por parte de un tercero mediante acciones
delictivas podría conllevar la vulneración del principio de culpabilidad y cita el siguiente
párrafo de esa Sentencia:
“Así, aun cuando el artículo 9 de la LOPD establece una obligación de resultado,
consistente en que se adopten las medidas necesarias para evitar que los datos se
pierdan, extravíen o acaben en manos de terceros, tal obligación no es absoluta y no
puede abarcar un supuesto como el analizado. En el caso de autos, el resultado es
consecuencia de una actividad de intrusión, no amparada por ordenamiento jurídico y
en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que
rompiendo los sistemas de seguridad establecidos accede a la base de datos de
usuarios registrados en www.portalatino.com, descargándose una copia de la misma.
Y, tales hechos, no pueden imputarse a la entidad recurrente pues, de otra forma, se
vulneraría el principio de culpabilidad”.
Entiende que eso ha sido lo ocurrido en este caso, en el que estamos ante una
actuación delictiva llevada a cabo por un tercero, quien, actuando con dolo, engañó al
agente de soporte canal para tienda, suplantando al personal de tienda al aportar toda
la información requerida por la política de seguridad.
Por tanto, deberá determinarse si Vodafone ha empleado la diligencia debida que le
era exigible para garantizar la licitud del tratamiento de los datos personales de sus
clientes y evitar el duplicado de tarjeta SIM por parte de terceros.
Según Vodafone, el hecho de que se ejecutase el duplicado de tarjeta SIM no quiere
decir que no obrara con la diligencia debida, por cuanto todas sus actuaciones han ido
siempre dirigidas al establecimiento y supervisión de medidas técnicas y organizativas
tendentes a garantizar la seguridad de los datos personales de sus clientes y a
asegurar que quién solicita el duplicado SIM es el titular de la línea. A este respecto,
destaca:
. Dispone de políticas de seguridad para prevenir el cambio fraudulento de tarjetas
SIM, y una específica para solicitar el duplicado desde una tienda autorizada.
. Actualiza dichas medias de seguridad y envía comunicados y alertas a sus agentes y
tiendas.
. En caso de que el fraude se consiga, reacciona en cuatro frentes:
. Hacia el cliente, bloqueando la tarjeta y restringiendo la recepción de SMS, así
como abonando los servicios consumidos por el estafador.
. Acciones dirigidas a los agentes y empleados, con el envío de comunicaciones
periódicas, información sobre el modus operandi, aplicación de penalizaciones,
etc.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/52
. Con las FFCCSS, interponiendo denuncias o colaborando en la lucha contra este
fraude.
. Respecto de terceros, como entidades de crédito, advirtiendo sobre duplicados
de tarjeta SIM recientes.
En consecuencia, entiende Vodafone que ha actuado en todo momento cumpliendo
con la diligencia debida que le es exigible, no pudiendo imputársele culpabilidad
alguna.
3. Subsidiariamente, y para el caso de que la Agencia entienda que ha existido
infracción y deba imponerse una sanción a Vodafone, deberán tenerse en cuenta las
siguientes circunstancias agravantes y atenuantes y modularse la sanción a la baja.
a) Sobre las agravantes consideradas por la AEPD
I. Toda infracción anterior cometida por el responsable o el encargado del tratamiento.
En los cuatro expedientes mencionados por la Agencia (EXP202204287,
EXP202203914, EXP202203916 y EXP202206290) efectivamente Vodafone se acogió
a una reducción de la sanción, sin asunción de culpa y, en todo caso, es necesario
aclarar que la mera alusión del incumplimiento del artículo 6.1 del RGPD puede
abarcar multitud de supuestos de tratamientos de datos que nada tengan que ver con
los hechos acaecidos y sancionados en el presente Acuerdo. Considera que la
aplicación de esta agravante no ha sido lo suficientemente motivada por parte de la
Agencia, suponiendo su aplicación un perjuicio grave para la defensa de mi mandante
y la seguridad jurídica dado que cualquier incumplimiento del artículo 6.1 del RGPD en
general, sin atender a los hechos probados de cada caso, valdría como mera prueba
de la aplicación de esta agravante con la inherente consecuencia de graduar el
importe de la sanción al alza
II. La vinculación de la actividad de Vodafone con la realización de tratamientos de
datos de carácter personal (artículo 83.2.k, del RGPD en relación con el artículo
76.2.b, de la LOPDGDD).
“Efectivamente, existe una vinculación entre la actividad de Vodafone y el tratamiento
de datos personales de sus clientes que realiza para llevar a cabo la correcta
prestación de los servicios contratados y atender las solicitudes y peticiones que éstos
realicen.
La Agencia hace referencia a la existencia de imprudencia cuando un responsable del
tratamiento no se comporta con la diligencia exigible debiendo insistirse en el rigor y el
exquisito cuidado para ajustarse a las prevenciones legales al respecto.
Prueba del especial cuidado y cautela aplicada en el tratamiento de datos personales
que lleva a cabo mi representada, son todas las medidas de seguridad
implementadas, además de la continua revisión de las políticas y cumplimiento de las
mismas. Por lo que este factor, no debe ser tenido en cuenta como agravante a la
hora de graduar la sanción”.
b) Atenuantes que, a juicio de Vodafone, deben tomarse en consideración:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/52
III. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las
medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32
del RGPD, en atención a las medidas implementadas para asegurar que quien solicita
el duplicado o cambio de tarjeta SIM es el titular de la línea.
IV. El grado de cooperación con la autoridad de control durante las actuaciones previas
de inspección con el fin de poner remedio a la infracción y mitigar los posibles efectos
adversos de la infracción
V. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.
“Vodafone no ha obtenido ningún tipo de beneficio o evitado pérdidas a raíz de la
duplicación fraudulenta de la tarjeta SIM, sino todo lo contrario. En este sentido, la
actividad criminal llevada a cabo por los estafadores y ciberdelincuentes también ha
supuesto un perjuicio reputacional para mi mandante y una defraudación de sus
políticas de seguridad”.
4. Propone que se admita la prueba documental siguiente:
Además de la política de seguridad de cambio e SIM, el contrato de agencia con
Fibranorte, S.L., el registro en sus sistemas de la llamada de solicitud del duplicado de
SIM correspondiente al presente caso, la carta enviada al reclamante de fecha
18/07/2023 explicándole lo acontecido y el abono realizado al mismo, todos ellos ya
aportados y reseñados en los antecedentes anteriores; Vodafone aporta:
. Instrucciones trasladadas a su fuerza comercial informando de la necesidad de exigir
el código de tienda y de informar a ésta que deberá guardar fotocopia o escaneo de la
documentación del cliente.
. Hilo de correos sobre los códigos de las tiendas autorizadas en el momento de los
hechos. En esta relación no se indica ningún detalle sobre las entidades a las que
corresponden esos códigos.
. Códigos de las tiendas autorizadas en el momento de los hechos. En esta relación no
se indica ningún detalle sobre las entidades a las que corresponden esos códigos.
En su escrito se mencionan los documentos siguientes, si bien no fueron aportados:
. Las dos grabaciones ya aportadas al expediente con el nombre de archivo
“***REFERENCIA.5” y “***REFERENCIA.6”.
. Anexo III Acuerdo de Tratamiento de Datos de Vodafone Enabler
. Grabación ya aportada al expediente con el nombre de archivo “***REFERENCIA.4”
que acredita el paso de la política de seguridad en el momento de los hechos.
NOVENO: Con fecha 15 de octubre de 2024, el instructor del procedimiento acordó
abrir un período de practica de pruebas, declarando reproducida la reclamación
interpuesta y su documentación, así como la documentación que integra la fase de
admisión a trámite y las actuaciones previas de investigación, y por presentadas las
alegaciones formuladas por Vodafone al acuerdo de inicio del procedimiento.
Por otra parte, se requirió a la entidad Vodafone para que aportase los documentos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/52
señalados en su escrito de alegaciones y no aportados con dicho escrito.
DÉCIMO: Con fecha 6 de noviembre de 2024, Vodafone, dentro del plazo concedido
en el período de pruebas, informó que las grabaciones a las que se refería el
requerimiento ya fueron aportadas a las actuaciones y aportó copia del “Anexo III
Acuerdo de Tratamiento de Datos de Vodafone Enabler”.
UNDÉCIMO: Con fecha 9 de julio de 2025 se formuló propuesta de resolución,
proponiendo que se sancionara a VODAFONE ESPAÑA, S.A.U. con NIF A80907397,
por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD,
con una multa de 150.000 € (ciento cincuenta mil euros) y otorgándole un plazo de
diez días para la presentación de alegaciones.
DUODÉCIMO: Notificada la citada propuesta de resolución conforme a las normas
establecidas en la LPACAP, la parte reclamada solicitó ampliación del plazo le fue
concedida y con fecha 5 de agosto de 2025 presentó escrito de alegaciones en el que
solicita el sobreseimiento del expediente o, subsidiariamente, la imposición de una
sanción en cuantía mínima. Vodafone, basa sus pretensiones en las consideraciones
que se exponen a continuación, remitiéndose en todo caso, y en su integridad, a lo ya
manifestado previamente en su escrito de alegaciones al acuerdo de inicio.
1. Vodafone ha actuado de forma diligente en la medida en la que tiene
implementados los procesos necesarios para identificar correctamente a sus clientes,
siendo la adopción de medidas técnicas y organizativas una obligación que no es
absoluta.
En primer lugar, Vodafone incide en que, si bien en la propuesta de resolución de este
procedimiento no se le imputa una infracción por insuficiencia o adecuación de
medidas de seguridad sino por falta de licitud en el tratamiento de datos personales,
en la misma se hace referencia a la ineficacia de sus medidas de seguridad.
A continuación, declara que tiene implementadas las medidas técnicas y organizativas
adecuadas para identificar correctamente a sus clientes y evitar que haya un
tratamiento ilícito de datos. No obstante, si terceros, mediante técnicas ilícitas y
fraudulentas, obtienen los datos confidenciales de los clientes y, a través de ellos, les
usurpan la identidad y superan las medidas implementadas, eso no significa que la
política sea insuficiente, sino que se han obtenido los datos necesarios, por medios
ajenos a mi representada, para superar las medidas establecidas.
Asimismo, recuerda que la obligación de adoptar medidas técnicas y organizativas
apropiadas para garantizar un nivel de seguridad adecuado al riesgo "no es una
obligación absoluta", si no que el responsable del tratamiento se encuentra sujeto a
una obligación de medios a la hora de implementar una política de seguridad robusta y
eficaz, tal y como la de Vodafone (Sentencias de la Audiencia Nacional (Sala de lo
Contencioso-Administrativo, Sección 1ª) de 25 de febrero de 2010 [JUR 2010/82723] y
de 10 de noviembre de 2017 [JUR 2018/3170]).
Vodafone alega que toda política de seguridad es susceptible de ser superada en un
momento dado a pesar de contar con medidas y requisitos difícilmente vulnerables y
apela al concepto de que el de “riesgo cero” no existe, tal y como ha indicado esta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/52
Agencia en su Guía, de junio de 2021, sobre la “Gestión del riesgo y evaluación de
impacto en tratamientos de datos personales”.
Esta misma línea se sigue en el Dictamen 3/2010, del Grupo de Trabajo del artículo 29
(GT29), que se aporta por la propia Agencia en su Propuesta de Resolución e indica
que "la esencia de la responsabilidad proactiva es la obligación del responsable del
tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el
contexto de las operaciones de tratamiento se cumplen las normas en materia de
protección de datos”.
En consecuencia, lo que se puede solicitar al responsable es que implemente un
proceso de verificación de la identidad que sea acorde y que, en circunstancias
normales, garantice un correcto tratamiento de los datos. Estas medidas estaban
implementadas por parte de mi representada cuando se ejecutó el duplicado SIM. En
concreto, Vodafone realizó el cambio de tarjeta SIM en la medida en que el solicitante
acreditó (de forma fraudulenta) que era agente de un establecimiento autorizado
mediante la aportación de cierta información y los datos del reclamante, habiendo
obtenido los datos personales del reclamante a través de medios ajenos, como, por
ejemplo, técnicas de ingeniería social.
Por otro lado, describe la política de seguridad exigida en el momento de los hechos,
destacando que:
El personal del punto de venta debe llamar a soporte canal, el cual autoriza el
duplicado SIM, previa indicación de: i) código del usuario de la tienda
autorizada, (ii) ciertos números de la nueva tarjeta SIM (ICC), (iii) nombre,
apellidos, número de DNI/NIE y nº de teléfono del cliente cuya línea se quiere
duplicar.
La tienda debe identificar al cliente mediante la visualización del documento de
identidad.
La política de seguridad para duplicados SIM solicitados desde tienda antes
dependía de códigos postales, pero en el momento de los hechos no, según se
acreditó mediante las grabaciones aportadas. Si el agente hubiese dado por
válida la operación en base al código postal habría incumplido la política de
seguridad de Vodafone, y no ha sido el caso.
La necesidad de consultar los códigos de tienda, para saber si el punto de
venta se encuentra o no autorizado. En este caso, el defraudador indica el
código de tienda.
El defraudador no sólo conocía el código de la tienda autorizada, sino que
además contaba con la nueva tarjeta SIM (ICC) y con los datos personales del
cliente (Nombre, Apellidos, DNI y teléfono de la línea a duplicar).
El motivo por el cual el equipo de reclamaciones dio mal la información relativa
a la tienda involucrada en el presente caso se desconoce, pero cierto es que
Vodafone es una compañía grande y en ocasiones para conocer el detalle de
determinadas operativas hay que contactar con personas específicas.
El agente de soporte Retail no verificó la línea entrante porque no era un
campo requerido, al contarse con el código de tienda. Añade que el requisito de
comprobar la línea entrante se incluyó posteriormente en una circular de
10/10/2022.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/52
Se requería fotocopia y custodia del documento de identidad por parte del
punto de venta, según consta en el contrato con el agente.
Vodafone considera que no debería ser responsable de los actos ilegales de terceros
argumentado, que no pudo comprobar que la solicitud se estaba realizando por un
tercero en la medida que la identidad del estafador estaba oculta y se hacía pasar por
un compañero de tienda, superando mediante técnicas ilícitas las políticas de
seguridad establecidas.
Con relación a la observación recogida en la Propuesta de Resolución, relativa a la
posibilidad de que pudieran haberse adoptado medidas de seguridad adicionales,
Vodafone alega que, en el presente caso, el autor del fraude logro superar los
controles internos porque conocía los procesos internos. Esto le lleva a concluir que el
problema no son las medidas de control, sino la existencia de una actuación
fraudulenta cuya única motivación es dañar a terceros, en este caso al reclamante y a
Vodafone.
Por todo ello, Vodafone considera que ha implementado las medidas técnicas y
organizativas necesarias y adecuadas al riesgo del tratamiento de datos que realiza,
minimizando al máximo posible el riesgo prevalente, de cara a la realización de un
tratamiento de datos lícito y acorde con la normativa de protección de datos vigente, y
que cumple con la diligencia debida que se le puede exigir.
2. La realización de un duplicado SIM no conlleva el acceso a información bancaria,
contraseñas, dirección de correo electrónico, etc., de los clientes de Vodafone, sino a
los servicios de móvil e internet que pudieran tener contratados.
En lo que atañe a esta cuestión, Vodafone manifiesta que el duplicado fraudulento de
la tarjeta SIM no es una actuación necesaria (hay entidades bancarias que no envían
SMS con sus claves únicas) ni suficiente (se requiere el acceso a otros datos y claves)
para lograr acceder a las cuentas de los sujetos afectados. En consecuencia,
considera que no se puede admitir la afirmación que la Agencia hace en la Propuesta
de Resolución, sin contar con ninguna evidencia al respecto, relativa a que los datos
de las credenciales bancarias del afectado como contraseñas, dirección de correo
electrónico y otros datos era información contenida en el teléfono móvil, siendo éste la
fuente de acceso a dichos datos con los cuales superó la política de seguridad de la
entidad bancaria correspondiente.
En este sentido, entiende que si realmente se quiere averiguar cómo se han producido
los accesos a las cuentas bancarias del reclamante se debería al menos solicitar
información a la entidad bancaria del reclamante, para conocer cómo fue el acceso no
autorizado a sus cuentas bancarias, qué otros datos eran necesarios para realizar
esas transferencias.
Por último, concluye que a Vodafone podrán achacársele infracciones sólo respecto de
aquellos tratamientos de datos y medidas de seguridad de las que sea responsable,
esto es, aquellas dirigidas a garantizar que el solicitante del duplicado de la tarjeta SIM
es el titular de la línea; no están (ni pueden estar) dirigidas a evitar la suplantación de
identidad (falsificación del DNI, por ejemplo) ni a evitar el acceso a las cuentas
bancarias a través de la aplicación de la entidad de crédito en cuestión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/52
3. No puede apreciarse la existencia de culpabilidad en las infracciones imputadas a
Vodafone y, en consecuencia, no puede imponerse a la misma sanción alguna.
Vodafone discrepa del argumento según el cual existiría culpa por la falta de diligencia
mostrada en su actuación y, en consecuencia, rechaza que pueda derivarse
responsabilidad sancionadora alguna.
En este sentido, Vodafone considera que sí ha sido diligente en el establecimiento de
medidas organizativas y técnicas adecuadas al nivel de riesgo existente y se remite a
lo indicado en la Alegación Primera de estas alegaciones.
Asimismo, considera que el principio de proactividad, que transfiere a Vodafone la
obligación de cumplir la normativa y la de poder demostrar dicho cumplimiento, ha sido
ampliamente cubierto aportando las evidencias de que se siguieron los procesos
pertinentes.
Por último, considera que únicamente se ha observado el resultado de los hechos, la
emisión fraudulenta del duplicado SIM, sin considerar todas las medidas de seguridad
implementadas para evitar el fraude. En consecuencia, estima que se le impone la
obligación de evitar todos los fraudes, siendo ésta una obligación absoluta, no una de
medios, lo que iría en contra de lo dispuesto por la Audiencia Nacional.
4. Subsidiariamente, y para el caso de que la Agencia entienda que ha existido
infracción y deba imponerse una sanción a Vodafone, esta parte no está de acuerdo
con las circunstancias agravantes y la no consideración de las circunstancias
atenuantes mencionadas.
Sobre los agravantes aplicados por la Agencia a la hora de evaluar la sanción:
I. Artículo 83.2.d) del RGPD: “el grado de responsabilidad del responsable o del
encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que
hayan aplicado en virtud de los artículos 25 y 32”.
Vodafone discrepa que la infracción tenga connotaciones sistémicas por considerar
que estamos ante un caso puntual en el que se ha utilizado información interna para
vulnerar los procedimientos existentes en la compañía y defraudar tanto al reclamante
como a Vodafone, lo cual debería ser valorado para atenuar la cuantía sancionadora,
no agravarla.
En relación con la falta de medidas de seguridad indicadas y su no eficacia se remite a
lo ya indicado en la Alegación Primera.
II. La vinculación de la actividad de Vodafone con la realización de tratamientos de
datos de carácter personal (artículo 83.2.k, del RGPD en relación con el artículo
76.2.b, de la LOPDGDD).
Vodafone reconoce la vinculación entre su actividad y el tratamiento de datos
personales de sus clientes que realiza para llevar a cabo la correcta prestación de los
servicios contratados y atender las solicitudes y peticiones que éstos realicen.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/52
Al respecto, alega como prueba del especial cuidado y cautela aplicada en el
tratamiento de datos personales que lleva a cabo, todas las medidas de seguridad
implementadas y que se detallan en la Alegación Primera, además de la continua
revisión de las políticas y cumplimiento de las mismas. Por lo que estima que este
factor no debería ser tenido en cuenta como agravante a la hora de graduar la
sanción.
Adicionalmente, considera que deberían tomarse en consideración las siguientes
atenuantes:
I. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las
medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32
del RGPD.
Al efecto, se remite a la Alegación Primera de estas alegaciones.
II. El grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción.
Vodafone considera que sí ha puesto medios para remediar y mitigar los posibles
efectos adversos de la práctica fraudulenta de los duplicados SIM tal y como se ha
evidenciado en la manifestación primera de las estas alegaciones. Además, destaca la
prohibición, desde marzo de 2022, de poder realizar duplicados SIM a través de
soporte Retail y que directamente sean los clientes quienes contacten con Atención al
Cliente, así como las medidas reactivas dirigidas al cliente afectado, sus agentes y
empleados, a tercero como las entidades de crédito, y su colaboración con las Fuerzas
y Cuerpos de Seguridad del Estado.
III. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.
Vodafone alega que no ha obtenido ningún tipo de beneficio o evitado pérdidas a raíz
de la duplicación fraudulenta de la tarjeta SIM; por el contrario, la actividad criminal le
ha supuesto un perjuicio reputacional.
HECHOS PROBADOS
1. La parte reclamante, con residencia en ***LOCALIDAD.1, es cliente de la entidad
Vodafone. Entre los servicios contratados figura la línea de telefonía móvil número
***TELÉFONO.1.
2. Con fecha 21/09/2021, un tercero no autorizado solicitó un duplicado de tarjeta SIM
para la línea de la parte reclamante ***TELÉFONO.1. Esta solicitud, que se realizó vía
telefónica a través del canal interno para soporte a tiendas (Soporte Retail), fue
atendida por Vodafone, entregándose al tercero la tarjeta SIM solicitada.
3. En relación con la solicitud de duplicado de tarjeta SIM reseñada en el Hecho
Probado Segundo, en los sistemas de información de Vodafone consta que tuvo lugar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/52
en fecha 21/09/2021, a las 20:35 horas. En este registro consta como “Llamadas
atención al cliente”, con origen el número de teléfono ***TELÉFONO.3, y las
indicaciones siguientes:
“(…)”.
4. Vodafone aportó a las actuaciones copia de la grabación de la llamada realizada a
Soporte Retail para solicitar el duplicado de tarjeta SIM reseñado en el Hecho Probado
Segundo. Seguidamente se reproduce la conversación:
. Tengo aquí un cliente que quiere hacer un duplicado de su tarjeta SIM
. En este caso, primero confírmame el código postal de tu tienda para saber si estás
autorizado o no…
. Vale, sería ***REFERENCIA.1
. Vale, ***REFERENCIA.1 no, en este caso no estarías autorizado ¿tendrías algún
otro código?
. Te digo el de cliente, el de tienda
. El de tienda, claro, realmente necesito el código postal de la tienda
. (…)
. No, tampoco. No me aparece
. Sí, sería (…)
. A ver si hay otro, estoy buscando, dame un momento… No me aparece… Algún otro,
es que con el código postal debería salirme la tienda, ***REFERENCIA.1 no aparece
. No, solo con eso te debería aparecer. Es más, si quieres te indico la clave de usuario
. Deletréame el usuario
. (…)
. Voy a buscar. Sí, aquí está. Vale, pues dime DNI del cliente
. Sería… (número de NIE), A.A.A.
. Me confirmas ahora el número móvil
. ***TELÉFONO.1
. Por último, confírmame el nuevo ICC a partir de 100
. ***REFERENCIA.7
. Pues ya está hecho
5. La entidad Vodafone, en su respuesta al trámite de traslado de la reclamación, de
fecha 20/07/2023, informó que, el día 22/09/2021, la parte reclamante contactó con
atención al cliente para alertar de la situación y ese mismo día solicitó en tienda que le
facilitaran una nueva tarjeta SIM y así fue gestionado.
6. En los sistemas de información de Vodafone constan, entre otros, los contactos
siguientes:
. 23/09/2021: la parte reclamante, mediante llamada telefónica, advierte que “le han
pedido un duplicado sin permiso y le han quitado dinero vinculado a su banco”.
. 25/09/2021: llamada de la parte reclamante al Servicio de Atención al Cliente
indicando que “quiere poner una reclamación porque aparece que le han duplicado la
simswap y le han estafado, se indica que envíe la denuncia a correo”.
. 01/10/2021, en relación con el contacto anterior: “cierro caso 25/09/2021 14:06…
tipificado y dejado comentario en inicio: no se ha de hacer duplicado de SIM de ningún
teléfono por posible estafa. Es mejor que acuda a una tienda Retail a solicitar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
21/52
duplicado para pasar política y dejar fotocopia o escaneo DNI”.
7. Mediante escrito de fecha 20/10/2021, que da respuesta a una reclamación de la
parte reclamante de fecha 13/10/2021, en la que ésta solicita el resarcimiento de
daños por los hechos relatados, Vodafone expresamente indica: “Queremos poner en
su conocimiento que, tras realizar las gestiones oportunas y verificar los hechos que
nos describía en su escrito el Sr… (la parte reclamante), hemos comprobado que con
fecha 21 de septiembre, se nos comunica que, a través de una tienda física, se
gestiona un duplicado de SIM de la línea ***TELÉFONO.1, informamos que para
poder realizar dicha gestión es necesario que el solicitante pase una política de
seguridad que incluye entrega de DNI, así como facilitar una serie de datos
personales. Con fecha 22 de septiembre, el servicio de atención al cliente recibe una
llamada del Sr… (la parte reclamante), en la que indica que le han clonado la tarjeta
SIM y solicita una nueva, durante esta comunicación se indica el procedimiento para
su solicitud desde la APP del cliente, sin llegar a ser gestionada por nuestro agente ya
que la dirección de entrega no corresponde con la asociada al cliente en la base de
datos. Con fecha 22 de septiembre, D… (la parte reclamante) nos comunica que
gestiona el bloqueo de la línea desde la APP, no obstante, confirmamos consumos
desde la línea durante todos los días del mes de septiembre permaneciendo activa
hasta el día de hoy. Adjuntamos factura de septiembre”.
8. Con fecha 15/11/2021, la parte reclamante solicitó a Vodafone que le informe en qué
tienda física se realizó dicho duplicado de tarjeta y le aporten documento firmado
correspondiente a la entrega del mismo con los datos de la persona que lo recibió.
9. Mediante escrito de fecha 09/02/2022, que da respuesta a uno anterior de la parte
reclamante de 03/01/2022, Vodafone expresamente indica: “Queremos poner en su
conocimiento que, tras realizar las gestiones oportunas y verificar los hechos que nos
describía en su escrito el Sr… (la parte reclamante), hemos comprobado que, el día
21/09/2021, se gestiona duplicado de sim de la línea ***TELÉFONO.1 en físico, no
queda registrado como duplicado de sim puesto que en lugar de tramitar duplicado al
parecer le facilitan a la persona una nueva SIM. Estamos procediendo a la
identificación de la tienda en la que sucedió este hecho…”.
10. En su respuesta al trámite de traslado de la reclamación, de fecha 20/07/2023,
Vodafone informó a la AEPD que calificó al cliente como víctima de fraude en fecha
22/02/2022 después de comprobar los hechos acontecidos.
11. Mediante escrito de fecha 12/04/2022, que da respuesta a uno anterior de la parte
reclamada de 15/03/2022, Vodafone informa: “Queremos poner en su conocimiento
que, tras realizar las gestiones oportunas y verificar los hechos que nos describía en
su escrito…, informamos que, tras el estudio del caso, no se ha podido localizar la
tienda física en la cual se gestiona el duplicado de SIM no reconocido por el cliente,
confirmamos que una vez solucionada la incidencia, el servicio permanece activo. Con
fecha 12 de abril de 2022, se ha solicitado un abono de 37 €, a favor de la parte
reclamante, por la factura integra aplicada durante el mes de marzo…”.
12. En su respuesta al trámite de traslado de la reclamación, de fecha 20/07/2023,
Vodafone informó a la AEPD que para la emisión de un duplicado de tarjeta SIM por
parte de una tienda física, ésta debía llamar a Soporte Retail identificar la tienda
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
22/52
mediante su código postal, facilitar el usuario que realiza la solicitud para verificar si se
encuentra autorizado, así como el número de identidad del cliente, número de línea
afectada por el duplicado y ciertos números de la ICC de la tarjeta a duplicar.
13. En su respuesta al trámite de traslado de la reclamación, de fecha 20/07/2023,
Vodafone informó a la AEPD que los datos suministrados por la persona que realizó la
solicitud del duplicado SIM reseñada en el Hecho Probado Segundo fueron los
siguientes:
. Código postal de la tienda autorizada (***REFERENCIA.1);
. Se identifica como usuario autorizado facilitando el siguiente número de usuario
***USUARIO.1 que entonces se encontraba autorizado para solicitar duplicados
SIM desde Tienda autorizada;
. Número de NIE del cliente (***NIF.1) y número de la línea afectada por el
duplicado SIM (***TELÉFONO.1);
. Ciertos números de la ICC de la tarjeta SIM a duplicar (***REFERENCIA.2).
14. Con su respuesta al trámite de traslado de la reclamación, de fecha 20/07/2023,
Vodafone aportó copia del Informe elaborado por “Reclamaciones”, en el que se indica
lo siguiente:
“Efectivamente el duplicado se solicitó y se entregó en tienda, el comercial llamó a
retail y nos pasó la política de seguridad que tenemos marcada para estos casos, por
lo que completamos dicho cambio de ICC desde el canal de soporte tienda…
Se realizó mediante llamada a Soporte Retail (Soporte a tienda) desde la numeración
***TELÉFONO.3
La tarjeta sim fraude utilizada ***REFERENCIA.3 pertenecía a un pedido de
Fibranorte, (…)…
En la grabación se hacen pasar por compañero de tienda. Fecha grabación
***TELÉFONO.1 21.09.21.mp3 Se catalogo fraude el 28/02/2022…
Este PDV continua activo con Fibranorte, es de la cadena de tiendas SMART &
PHONE…”.
15. Con fecha 31/08/2023, en respuesta al primer requerimiento que le fue realizado
por los servicios de inspección de la AEPD, Vodafone informó que el punto de venta
implicado tiene la denominación social ***EMPRESA.1 y el nombre comercial Smart
Phone, con domicilio en ***DIRECCIÓN.1. Según Vodafone, dicha tienda se engloba
entre los puntos de venta gestionados por la entidad FIBRANORTE S.L., que actúa
como agente.
16. Con fecha 10/11/2023, en respuesta al segundo requerimiento que le fue realizado
por los servicios de inspección de la AEPD, Vodafone informó que el código postal no
era un requisito de la Política de Seguridad en las llamadas al número de soporte para
tiendas, la cual se limitaba a identificar el código específico asignado al usuario para
verificar si estaba autorizado, aportar el número del documento de identidad del cliente
y el número de línea afectada por el duplicado de SIM, así como ciertos números de la
ICC de la nueva tarjeta.
Asimismo, informó que el equipo de Reclamaciones, por un error puntual, trasladó una
información errónea relativa al punto de venta que realizó el duplicado SIM y que el
punto de venta que realmente solicitó el duplicado SIM en cuestión fue la tienda
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
23/52
ubicada en ***DIRECCIÓN.1. Añade que este punto de venta está recogido en el
contrato como uno de los puntos utilizados por el distribuidor implicado en el caso.
Según Vodafone, el equipo de reclamaciones no ha podido identificar la causa de
aquel error.
17. Vodafone, manifiesta en su respuesta de fecha 31/08/2023 que “Se desconoce el
motivo por el cual el personal de tienda actuó irregularmente o si el personal de tienda
entregaría los datos a un tercero no autorizado para que realizasen las acciones
fraudulentas”.
18. Vodafone aportó a las actuaciones copia del “Contrato de Agencia Canal
Alternativo”, suscrito por Vodafone Enabler Esapaña, S.L y Fibranorte, S.L., en cuyos
Anexos se identifican los puntos de venta o subagentes que cubre dicho contrato,
todos ellos ubicados en Cataluña y Aragón, ninguno de ellos en ***LOCALIDAD.1. En
la localidad de Mollet del Vallés aparecen cuatro subagentes, uno de ellos con
domicilio en ***DIRECCIÓN.1 y teléfono ***TELÉFONO.4. Ninguno de los subagentes
que figura en el contrato tiene asociado el número de teléfono ***TELÉFONO.3. En
este listado no constan los nombres de las entidades subagentes.
Por otra parte, se detalla: “Vodafone Enabler es una entidad que forma parte del
mismo Grupo societario al que pertenece Vodafone España, S.A.U.”. Fibranorte, S.L.
es el encargado del tratamiento y la tienda física Smart Phone tiene la consideración
de subencargada del tratamiento”.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD,
es competente para resolver este procedimiento la Presidencia de la Agencia
Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”
II
Contestación a las alegaciones presentadas al acuerdo de inicio del procedimiento
1. Establecimiento de medidas y principio de culpabilidad.
La parte reclamada afirma que ha actuado de forma diligente en la medida en la que
tiene implementados los protocolos o medidas necesarios para identificar
correctamente a sus clientes y que los duplicados de tarjetas SIM sean facilitados a los
titulares de las líneas telefónicas, no siendo la adopción de medidas técnicas y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
24/52
organizativas una obligación absoluta, sino una obligación de medios, de tal forma que
no puede entenderse que el hecho de que un tercero supere dichas medidas,
sirviéndose de una actividad delictiva planeada y organizada, implique, per se, la
ilicitud del tratamiento de datos realizado.
Sobre esta misma base, Vodafone invoca el principio de culpabilidad y señala al
respecto que la emisión del duplicado de tarjeta SIM no quiere decir que no obrara con
la diligencia debida, por cuanto todas sus actuaciones han ido siempre dirigidas al
establecimiento y supervisión de medidas técnicas y organizativas tendentes a
garantizar la seguridad de los datos personales de sus clientes y a asegurar que quién
solicita el duplicado SIM es el titular de la línea.
A tal respecto, conviene señalar que en el presente caso la infracción no se
fundamenta en la insuficiencia o adecuación de medidas de seguridad, sino en una
falta de licitud en el tratamiento de los datos personales que conlleva la emisión de un
duplicado de tarjeta y su entrega a un tercero no autorizado, sin que el titular de la
misma tuviera si quiera conocimiento de tales tratamientos.
El artículo 6.1 establece que el tratamiento de datos personales solo es lícito si se
cumple al menos una de las condiciones previstas en el mencionado artículo. En este
caso, la vulneración del principio de licitud se manifiesta en el tratamiento indebido de
los datos personales de la parte reclamada, que no fue la solicitante real del duplicado
de tarjeta.
Este tipo de tratamientos requiere verificar adecuadamente la identidad del solicitante
y para ello resulta necesario establecer medidas que aseguren esa correcta
identificación. El establecimiento de estas medidas o protocolos, así como su
seguimiento y atención por la propia entidad responsable, sirve para valorar la
conducta y el grado de diligencia empleado por la misma, pero no son estos los
hechos determinantes de la infracción.
Vodafone emitió un duplicado de tarjeta SIM sin contar con el consentimiento del titular
de la línea y lo entregó a un tercero sin una base jurídica válida. Dicho hecho se
traduce en un tratamiento ilícito de datos.
En síntesis, en el presente caso no se está sancionado la existencia o ausencia de
medidas técnicas y organizativas, sino el hecho de que, en este caso específico, el
tratamiento de los datos personales del reclamante fue llevado a cabo sin cumplir con
los requisitos de licitud establecidos en el artículo 6.1 del RGPD. La infracción de este
artículo confirma que la parte reclamada permitió un tratamiento no autorizado de los
datos, vulnerando de esta forma los derechos de la parte reclamante.
En este sentido, la mera existencia de una política de seguridad no puede justificar
una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de
existir, estas medidas deben resultar efectivas y posibilitar que el responsable del
tratamiento esté en condiciones de demostrar el cumplimiento de los principios
relativos al tratamiento de los datos personales. En caso contrario, las medidas
adoptadas carecen de virtualidad y pueden conllevar tratamientos ilícitos como ocurre
en el presente caso.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
25/52
Por lo tanto, la parte reclamada no puede pretender quedar exonerada de su
responsabilidad apelando a la existencia de tales medidas de seguridad, menos aun
cuando el fallo estuvo en la aplicación de las mismas, permitiendo una infracción de la
licitud del tratamiento.
Lo cierto es que la simple emisión de una tarjeta SIM y su entrega a un tercero no
autorizado implica ya de por si una vulneración del principio de licitud, en cuanto tienen
la consideración de tratamientos de datos personales.
Es preciso señalar, asimismo, que no es un hecho controvertido que la emisión del
duplicado de tarjeta SIM y su entrega a un tercero no autorizado se llevó a cabo sin la
intervención del reclamante y titular de la línea telefónica. La propia entidad Vodafone
calificó el caso como fraudulento, según consta reseñado en los hechos probados.
Por otra parte, acreditada la existencia de una conducta antijurídica de Vodafone (el
tratamiento de los datos de la parte reclamante sin base jurídica), la cuestión se centra
en determinar si de tal conducta puede nacer responsabilidad administrativa
sancionadora.
Vodafone manifiesta, que no puede apreciarse la existencia de culpabilidad en la
infracción que se le imputa, ni a título de dolo ni de culpa, por lo que no puede
imponerse a la misma sanción alguna.
Rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28
de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el
elemento subjetivo o culpabilístico es una condición indispensable para que surja la
responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice:
“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades
sin personalidad jurídica y los patrimonios independientes o autónomos, que
resulten responsables de los mismos a título de dolo o culpa.”
A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de
dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de
cuidado.
El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las
sanciones administrativas participan de la misma naturaleza que las penales, al ser
una de las manifestaciones del ius puniendi del Estado, y que, como exigencia
derivada de los principios de seguridad jurídica y legalidad penal consagrados en los
artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas.
A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19
de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el
elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a
como se hace respecto de las personas físicas y añade que “Esta construcción distinta
de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia
naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
26/52
elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las
que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que
deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que
dicha protección sea realmente eficaz [...]”.
Esta AEPD comparte la posición que Vodafone recoge en sus alegaciones, en las que
hace referencia a la doctrina de nuestro Tribunal Supremo cuando señala que “para la
exculpación no bastará la invocación de la ausencia de culpa, sino que será preciso
que se haya empleado la diligencia que era exigible por quien aduce su inexistencia
(entre otras, la Sentencia del Tribunal Supremo de 23 de enero de 1998 [RJ
1998\601])”.
Así, la decisión de archivar un expediente sancionador podrá fundarse en la ausencia
del elemento de la culpabilidad cuando el responsable de la conducta antijurídica
hubiera obrado con toda la diligencia que las circunstancias del caso exigen.
En cumplimiento del principio de culpabilidad la AEPD ha acordado en numerosas
ocasiones el archivo de procedimientos sancionadores en los que no concurría el
elemento de la culpabilidad del sujeto infractor. Supuestos en los que, pese a existir un
comportamiento antijurídico, había quedado acreditado que el responsable había
obrado con toda la diligencia que resultaba exigible, por lo que no se apreciaba culpa
alguna en su conducta. Ese ha sido el criterio mantenido por la Sala de lo Contencioso
Administrativo, sección 1ª, de la Audiencia Nacional. Pueden citarse, por ser muy
esclarecedoras, las siguientes sentencias:
- SAN de 26 de abril de 2002 (Rec. 895/2009) que dice:
“En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es
lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad
el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la
Resolución es analizar la suficiencia de las medidas desde los parámetros de
diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena
diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar
diligente, no cabe afirmar ni presumir la existencia de culpa alguna.”
- SAN de 29 de abril de 2010, Fundamento Jurídico sexto, que, a propósito de una
contratación fraudulenta, indica que “La cuestión no es dilucidar si la recurrente trató
los datos de carácter personal de la denunciante sin su consentimiento, como si
empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con
la que suscribió el contrato”.
Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha
dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la
“capacidad de infringir las normas a las que están sometidos”. “Capacidad de
infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la
necesidad de que dicha protección sea realmente eficaz [...]”.
En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de
responsabilidad proactiva), conforme al cual el responsable del tratamiento será
responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí
interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
27/52
demostrar su cumplimiento. El principio de proactividad transfiere al responsable del
tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder
demostrar dicho cumplimiento.
El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido
durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son
aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es
la obligación del responsable del tratamiento de aplicar medidas que, en
circunstancias normales, garanticen que en el contexto de las operaciones de
tratamiento se cumplen las normas en materia de protección de datos y en tener
disponibles documentos que demuestren a los interesados y a las Autoridades de
control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en
materia de protección de datos.
El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a
adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder
demostrar” que el tratamiento es conforme con el RGPD. El precepto establece:
“Responsabilidad del responsable del tratamiento”
“1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento,
así como los riesgos de diversa probabilidad y gravedad para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará medidas
técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el
tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y
actualizarán cuando sea necesario.
2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre
las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del
responsable del tratamiento, de las oportunas políticas de protección de datos.
3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados
como elementos para demostrar el cumplimiento de las obligaciones por parte del
responsable del tratamiento.”
El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”,
establece:
“1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza,
ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y
gravedad que entraña el tratamiento para los derechos y libertades de las personas
físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los
medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y
organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma
efectiva los principios de protección de datos, como la minimización de datos, e
integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del
presente Reglamento y proteger los derechos de los interesados.
2.[...]”.
Cabe preguntarse cuáles son los parámetros de la diligencia debida que Vodafone
debía haber observado en relación con la conducta examinada. La respuesta es que la
diligencia que debió observar es la que era precisa para cumplir las obligaciones que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
28/52
le imponen los artículos 5.2, 24 y 25 del RGPD, a la luz de la doctrina de la Audiencia
Nacional y la jurisprudencia del Tribunal Supremo.
Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que,
después de referirse a que las entidades en las que el desarrollo de su actividad
conlleva un continuo tratamiento de datos de clientes y terceros han de observar un
adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que
existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir,
cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del
grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto,
y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la
recurrente es de constante y abundante manejo de datos de carácter personal ha de
insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al
respecto”.
Es plenamente aplicable al caso, también, la SAN de 19 de septiembre de 2023 (rec.
403/2021), que dice:” contrató la póliza de seguro con un tercero sin control ni
supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona
que estaba manifestando su voluntad de contratar, no era quien decía ser. De haberse
tomado las necesarias precauciones, a fin de asegurar la identidad la persona
contratante (para lo que hubiera sido bastante atender a la incorrecta contestación a
las preguntas de identificación y verificación del cliente)”.
La reclamada ha invocado distintos argumentos para justificar la ausencia de
culpabilidad de su conducta. Básicamente, el disponer de una política de seguridad
dirigida a garantizar que los duplicados de tarjetas SIM se entregan los titulares de las
líneas telefónicas, que fue seguida por Vodafone y que no falló, sino que se vio
superada mediante acciones delictivas cometidas por un tercero que conocía sus
procedimientos internos y toda la información necesaria. Entiende Vodafone que
estamos ante una actuación delictiva llevada a cabo por un tercero, quien, actuando
con dolo, engaña al agente del soporte canal para tienda, suplantando al personal de
tienda al aportar toda la información requerida por su política de seguridad; y cita la
Sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección
1ª) de 25 de febrero de 2010 [JUR 2010/82723], referida a un precedente tramitado en
esta Agencia, en la que se concluyó que imputar a un responsable del tratamiento
vulneraría principio de culpabilidad cuando “el resultado es consecuencia de una
actividad de intrusión, no amparada por ordenamiento jurídico y en tal sentido ilegal,
de un tercero con altos conocimientos técnicos informáticos que rompiendo los
sistemas de seguridad establecidos accede a la base de datos de usuarios
registrados…, descargándose una copia de la misma”.
En base a ello, considera Vodafone que su conducta no puede calificarse como no
diligente.
Sin embargo, existen numerosas circunstancias de hecho en el presente caso que
llevan a calificar la conducta de Vodafone como imprudente y culposa a la hora de
detectar preventivamente el fraude, de tal forma que le hubiese permitido denegar la
solicitud de emisión de un duplicado de tarjeta SIM que recibió de un tercero no
autorizado y, con ello, abstenerse de realizar los tratamientos de datos personales de
la parte reclamante que conlleva la emisión de dicha tarjeta y su entrega a una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
29/52
persona distinta a su titular.
En primer término, es preciso destacar los dos siguientes aspectos:
1. Que son numerosas las circunstancias de hecho que debieron alertar a Vodafone
sobre el fraude o, lo que es lo mismo, que dan muestra de la negligencia de su
conducta.
2. Que Vodafone, en cada una de las ocasiones en que se ha dirigido a esta AEPD
para explicar el caso, ha ofrecido una versión distinta de los hechos, sin aportar
pruebas fehacientes que permitan dar credibilidad a lo manifestado, e incluso
contrarias en ocasiones a lo mostrado en la documentación aportada por la propia
entidad.
El duplicado de tarjeta se tramitó, supuestamente, desde una tienda física o
sirviéndose de la clave de usuario de una tienda física. Según el protocolo previsto,
para esta gestión la tienda debe contactar con el departamento de Vodafone “Soporte
Retail” vía telefónica y solicitar la activación del duplicado, después de superar las
medidas previstas por la entidad facilitando la información requerida.
Sin embargo, Vodafone ni siquiera tenía certeza sobre la “tienda Vodafone” implicada
en los hechos. La propia entidad Vodafone, meses después de ocurridos tales hechos,
respondía a la parte reclamante que “tras el estudio del caso, no se ha podido localizar
la tienda física en la cual se gestionó el duplicado de SIM, no reconocido por el
cliente”.
En los sistemas de información de Vodafone consta un registro según el cual el código
postal de dicha tienda es ***REFERENCIA.1, perteneciente a ***LOCALIDAD.1. Así
consta, igualmente, en el informe elaborado por el departamento de “Reclamaciones”
con ocasión de las actuaciones que han dado lugar al presente procedimiento y así
informó la propia entidad Vodafone en su respuesta al trámite de traslado de la
reclamación.
Fue posteriormente, en respuesta a los requerimientos de información que le cursaron
los servicios de inspección de esta AEPD, cuando Vodafone señaló a una tienda
ubicada en la localidad de ***LOCALIDAD.2. No se entiende que si esta tienda tenía
asignada la clave de usuario facilitada por el tercero suplantador Vodafone no
identificase al punto de venta hasta tanto tiempo después. Por otra parte, el teléfono
desde el que se realizó la llamada para tramitar el duplicado de tarjeta no se
correspondía con el asociado a esta tienda en la documentación contractual
correspondiente, lo que, por un lado, debió llevar a Vodafone a cuestionar la solicitud
de duplicado y, por otro lado, añade incertidumbre sobre la tienda y la información
relativa a la misma que se indicó a “Soporte Retail” por la persona que realizó la
llamada.
Ninguna de las explicaciones ofrecidas por Vodafone para explicar estas dos
circunstancias, las relativas al código postal de la tienda y el número de línea que
realizó la llamada, resulta convincente.
Sobre el código postal de la tienda, manifiesta Vodafone que no era una información
requerida para gestionar el duplicado en el momento en que tuvieron lugar los hechos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
30/52
(septiembre de 2021), aportando al respecto grabaciones de otros casos en los que el
personal de “Soporte Retail” no lo requirió al interlocutor que realizaba la solicitud.
Pero lo cierto es que, en este caso, el agente de “Soporte Retail” sí lo solicitó y le fue
facilitado uno (el ***REFERENCIA.1) en el que no existe ninguna tienda. Así, tanto si
el dato estaba dispuesto como necesario para el trámite en la política de seguridad,
como si no lo estaba, lo cierto es que se facilitó uno inexistente y ello debió
nuevamente servir de alerta a Vodafone para extremar las cautelas. Es clarificador el
detalle de la conversación sobre este extremo concreto:
“. Tengo aquí un cliente que quiere hacer un duplicado de su tarjeta SIM
. En este caso, primero confírmame el código postal de tu tienda para saber si estás
autorizado o no…
. Vale, sería ***REFERENCIA.1
. Vale, ***REFERENCIA.1 no, en este caso no estarías autorizado ¿tendrías algún
otro código?
. Te digo el de cliente, el de tienda
. El de tienda, claro, realmente necesito el código postal de la tienda
. (…)
. No, tampoco. No me aparece
. Sí, sería (…)
. A ver si hay otro, estoy buscando, dame un momento… No me aparece… Algún otro,
es que con el código postal debería salirme la tienda, ***REFERENCIA.1 no aparece”.
Sobre la no comprobación por parte de Vodafone del número desde el que se realiza
la solicitud de duplicado, que en este caso no coincide con ningún número de línea
asociado a la tienda en cuestión, la citada entidad se limita a atribuir a la tienda en
cuestión la responsabilidad de identificar al cliente, algo inaceptable, dada su
condición de responsable de los tratamientos de datos de sus clientes.
Prueba de que esta no comprobación de la numeración origen de la llamada es una
debilidad del proceso de comprobación establecido por Vodafone y de la conveniencia
de verificarlo es la circular que la propia Vodafone distribuyó a su call center en fecha
10/10/2022, aportada con su respuesta al trámite de traslado de la reclamación. En
esta circular, entre otras cuestiones, advierte que “si se recibe la llamada de un
compañero, es necesario comprobar el origen de la llamada entrante”.
Respecto de la forma de identificación de los clientes que solicitan un duplicado de
tarjeta SIM, ninguna previsión específica contiene la política de seguridad establecida
en septiembre de 2021 por Vodafone, y tampoco el contrato de agencia suscrito con
Fibranorte, SL., entidad ésta con la que colabora la tienda en cuestión, más allá de la
comprobación del documento de identidad para nuevas altas.
Entre la información que debe facilitar la persona que llama a “Soporte Retail” se
incluye la indicación de ciertos números de la ICC de la tarjeta a duplicar. Vodafone
informó que el envío de tarjetas SIM a las tiendas no es necesario porque ya cuentan
con ellas, de modo que, una vez superada la política de seguridad ante “Soporte
Retail”, la tarjeta se activa. Informó, asimismo, que no tiene relación directa con los
puntos de venta (las tiendas), sino a través de un agente, como ocurre en el presente
caso.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
31/52
Así, constituye una debilidad más el hecho de que Vodafone no conozca la
numeración de las tarjetas disponibles en cada tienda, lo que le hubiese permitido
asociar la tarjeta al punto de venta que realizó la llamada en cuestión. Consta en las
actuaciones, aportado por Vodafone, el informe elaborado por su departamento de
“Reclamaciones” con motivo del presente caso, en el que se indica que la numeración
de “la tarjeta sim fraude utilizada ***REFERENCIA.3 pertenecía a un pedido de
Fibranorte”.
Por otra parte, se estima oportuno destacar que no consta que Vodafone realizara
ninguna actuación dirigida ante la parte reclamante para asegurar la realidad de la
solicitud que estaba recibiendo, ni para conocer el motivo por el que se solicitó el
duplicado de tarjeta. Ello hubiese permitido a Vodafone comprobar que la tarjeta que
venía siendo utilizada por la parte reclamada se encontraba activa, sin incidencia
alguna, y comprobar que el cliente no había realizado petición alguna.
Por otra parte, entiende esta Agencia que otra muestra de alerta viene determinada
por el hecho de que una persona con residencia en ***LOCALIDAD.1 solicite un
duplicado de tarjeta SIM en una tienda ubicada en una Comunidad Autónoma distinta,
sea la que fuere. No es una cuestión determinante, por no improbable, pero sí para
tomarla en consideración a la hora de iniciar el proceso y la aplicación de las cautelas
necesarias.
En definitiva, no ha existido una conducta proactiva para aplicar de forma efectiva los
principios de protección de datos.
Resulta, por tanto, que la actuación desarrollada por Vodafone ha resultado
claramente ineficaz e insuficiente, está muy por debajo de las posibilidades que el
desarrollo técnico actual ofrece y no toma en consideración el evidente riesgo que la
contratación de los servicios que comercializa representa para los derechos y
libertades de las personas, por lo que debe responder a título de culpa por la infracción
cometida por la falta de diligencia mostrada.
Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada
o dedicada específicamente a la gestión de los datos de carácter personal de los
clientes, debe ser especialmente diligente y cuidadosa en su tratamiento.
Es el considerando 74 del RGPD el que dice: Debe quedar establecida la
responsabilidad del responsable del tratamiento por cualquier tratamiento de datos
personales realizado por él mismo o por su cuenta. En particular, el responsable debe
estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la
conformidad de las actividades de tratamiento con el presente Reglamento, incluida la
eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el
ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y
libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección
de los derechos y libertades de los interesados, así como la responsabilidad de los
responsables y encargados del tratamiento, también en lo que respecta a la
supervisión por parte de las autoridades de control y a las medidas adoptadas por
ellas, requieren una atribución clara de las responsabilidades en virtud del presente
Reglamento, incluidos los casos en los que un responsable determine los fines y
medios del tratamiento de forma conjunta con otros responsables, o en los que el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
32/52
tratamiento se lleve a cabo por cuenta de un responsable.
Por otra parte, atendidas todas las circunstancias de hecho que conforman el presente
supuesto, no puede decirse que la incidencia producida en el tratamiento de los datos
personales de la parte reclamante responda a un ataque sofisticado llevado a cabo por
un tercero con altos conocimientos técnicos informáticos para superar los sistemas de
seguridad de Vodafone y cuyas consecuencias no pudieran evitarse.
En otro orden, en relación con la alegación formulada por Vodafone según la cual
quedan fuera de su esfera de control las conductas previas del estafador para obtener
los datos de las víctimas o las posteriores, como las cometidas para acceder a la
banca online, cabe precisar que ninguna responsabilidad se está imputando en el
presente procedimiento sancionador por tales conductas del tercero, ya tenga que ver
con la obtención de los datos personales de la parte reclamante que fueron facilitados
a “Soporte Retail” o con el uso posterior de los mismos realizados por el tercero una
vez obtuvo el duplicado de tarjeta. Ello sin perjuicio de que pueda tenerse en cuenta la
repercusión que para el interesado puede tener que un tercero obtenga un duplicado
de la tarjeta correspondiente a su línea de telefonía móvil, que obliga a la entidad
responsable a establecer todas las cautelas necesarias para evitarlo.
2. Graduación de la sanción
Vodafone solicita que subsidiariamente, y para el caso de que la Agencia entienda que
ha existido infracción y deba imponerse una sanción a la parte reclamada, deberán
tenerse en cuenta las siguientes circunstancias agravantes y atenuantes.
Vodafone solicita que se aprecien las siguientes circunstancias atenuantes:
─ El grado de responsabilidad del responsable del tratamiento, habida cuenta de
las medidas técnicas u organizativas que hayan aplicado en virtud de los
artículos 25 y 32 del RGPD.
─ El grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos de la infracción.
─ Cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.
Sobre la primera de las cuestiones, nos remitimos a lo indicado sobre este factor de
graduación en el Fundamento de Derecho V.
El grado de cooperación está regulado en el artículo 83.2.f) del RGPD: “grado de
cooperación con la autoridad de control con el fin de poner remedio a la infracción y
mitigar los posibles efectos adversos de la infracción;”.
El grado de cooperación con la Agencia tampoco puede considerarse una atenuante
ya que la respuesta de la reclamada al requerimiento informativo de la Subdirección de
Inspección no cumplía esas finalidades, por lo que no es encuadrable en esa
circunstancia atenuante.
A tal efecto hay que tener en consideración las Directrices 04/2022 del Comité
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
33/52
Europeo de Protección de Datos sobre el cálculo de las multas administrativas con
arreglo al RGPD, en su versión 2.1, adoptadas el 24 de mayo de 2023, las cuales
señalan que “debe considerarse que el deber ordinario de cooperación es obligatorio
y, por tanto, debe considerarse neutro (y no un factor atenuante).”
Así queda confirmado en la mismas Directrices del CEPD sobre la aplicación y la
fijación de multas administrativas a efectos del Reglamento 2016/679, adoptadas el 3
de octubre de 2017, en las que se asevera que “Dicho esto, no sería apropiado tener
en cuenta por añadidura la cooperación que la ley exige; por ejemplo, en todo caso se
exige a la entidad permitir a la autoridad de control acceso a las instalaciones para
realizar auditorías o inspecciones”.
Por ello podemos concluir que no puede entenderse como “cooperación” aquello que
es exigido o de obligado cumplimiento por mor de la Ley para el responsable del
tratamiento, como sucedió en este caso.
Además, no comparte esta AEPD que la actuación de Vodafone fuese la adecuada
para la mitigación de los efectos adversos producidos por la infracción, salvo en lo
relativo al abono de los servicios no consumidos por la parte reclamante. Debe señalar
que cuando los datos personales de la parte reclamante ya habían sido entregados a
un tercero desconocido, difícilmente pueden mitigarse los daños producidos en los
derechos del interesado.
Sobre la aplicación del artículo 76.2.c) de la LOPDGDD, en conexión con el artículo
83.2.k), inexistencia de beneficios obtenidos, cabe señalar que tal circunstancia solo
puede operar como agravante y en ningún caso como circunstancia atenuante.
El artículo 83.2.k) del RGPD se refiere a “cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las
pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo
76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.k) del
Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..] c) Los beneficios
obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones
mencionan como factor que puede tenerse en cuenta en la graduación de la sanción
los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que Vodafone
alega.
Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa
está presidida por los siguientes principios: deberán estar individualizadas para cada
caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere
como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1
del RGPD y a los principios por los que se rige la determinación del importe de la
sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como
atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que
se cumple a través de la sanción. Aceptar esta tesis en un supuesto como el que nos
ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente
procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2
RGPD que sí deben de ser valoradas.
La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
34/52
hecho de que en un supuesto concreto no estén presentes todos los elementos que
integran una circunstancia modificativa de la responsabilidad que, por su naturaleza,
tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable
en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su
SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse
sobre la circunstancia del apartado e) del artículo 83.2. del RGPD, la comisión de
infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la
reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así
que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”:
Por tanto, se rechazan las atenuantes invocadas por VODAFONE
III
Contestación a las alegaciones presentadas a la propuesta de resolución del
procedimiento
Las alegaciones ahora formuladas reproducen, en lo sustancial, las ya presentadas en
la fase inicial del procedimiento, las cuales fueron expresamente valoradas y
contestadas en la propuesta de resolución, por lo que nos remitimos y ratificamos en lo
ya manifestado. Sin perjuicio de lo anterior, se estima oportuno realizar determinadas
precisiones.
1. Reitera Vodafone ha actuado de forma diligente en la medida en la que tiene
implementadas medidas adecuadas para identificar correctamente a sus clientes. La
adopción de medidas técnicas y organizativas de seguridad no es una obligación
absoluta. Principio de culpabilidad.
En primer lugar, Vodafone incide en que, si bien en la propuesta de resolución de este
procedimiento no se le imputa una infracción por insuficiencia o adecuación de
medidas de seguridad, sino por falta de licitud en el tratamiento de datos personales,
en la misma se hace referencia a la ineficacia de sus medidas de seguridad.
Asimismo, reitera que se ha conducido con la diligencia debida en tanto tiene
implementadas las medidas técnicas y organizativas adecuadas para identificar
correctamente a sus clientes y evitar que haya un tratamiento ilícito de datos, no
siendo la adopción de tales medidas una obligación absoluta, sino una obligación de
medios. En base ello, estima que el hecho de que un tercero supere dichas medidas,
sirviéndose de técnicas ilícitas y fraudulentas, no significa que su política de seguridad
sea insuficiente.
En línea con lo anterior, y con relación a la falta de culpabilidad alegada, sostiene que
esta Agencia no ha tomado en consideración para su análisis todas las medidas que
existían en el momento en el que ocurrieron los hechos objeto de sanción y las
medidas de mejora que ha ido implementando Vodafone observando, únicamente, el
resultado de los hechos, esto es, la emisión fraudulenta del duplicado SIM.
A esto añade que, considera que el principio de proactividad ha sido ampliamente
cubierto aportando las evidencias de que se siguieron los procesos pertinentes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
35/52
Sobre la calificación jurídica de la infracción, la Agencia se ratifica en lo ya manifestado
en su respuesta a las alegaciones al acuerdo de inicio sobre que los hechos
determinantes de la infracción consisten en la vulneración del principio de licitud del
tratamiento que se materializa en la emisión de un duplicado de tarjeta SIM y su
entrega a un tercero no autorizado.
Atendiendo a las características y al contexto del tratamiento, resulta conveniente
precisar que el fenómeno del SIM Swapping constituye un riesgo ampliamente
documentado y de concurrencia frecuente en el sector de las telecomunicaciones. En
consecuencia, siendo un riesgo inherente a la actividad, resulta jurídicamente exigible
que en el proceso de solicitud de duplicados de tarjetas SIM se adopten medidas
técnicas y organizativas adecuadas para su prevención y detección, con el fin de evitar
el tratamiento ilícito de datos personales. Así las cosas, la verificación adecuada y
rigurosa de la identidad del titular de la línea resulta determinante para que el proceder
del operador pueda ser calificado como diligente y acorde con las obligaciones que le
imponen los artículos 5.2, 24, 25 y 32 del RGPD.
En este sentido, contrariamente a lo alegado, esta Agencia no ha limitado su análisis
únicamente al resultado material, esto es, la emisión fraudulenta del duplicado SIM,
sino que se han valorado de manera exhaustiva las medidas implementadas por la
parte reclamada, identificándose deficiencias o irregularidades en las mismas que
ponen en entredicho la diligencia de Vodafone en el presente caso.
Como ya se expuso concurren en este caso numerosas circunstancias de hecho que
llevan a calificar la conducta de Vodafone como imprudente y culposa a la hora de
detectar preventivamente el fraude. Sobre tales circunstancias ya descritas, Vodafone
se limita a reiterar las alegaciones previas, sin atender de forma específica los
argumentos valorados en la propuesta de resolución.
Vodafone no esclarece la falta de certeza inicial y la dilación en la identificación del
establecimiento implicado en la emisión del duplicado de tarjeta SIM objeto de
controversia, especialmente cuando dicho establecimiento contaba con una clave de
usuario asignada, la cual fue facilitada por el tercero suplantador. Así lo confirman los
correos electrónicos aportados por la reclamada al efecto. La parte reclamada, se
atiene a reiterar lo ya manifestado en escritos previos: “el motivo por el cual el equipo
de reclamaciones dio mal la información se desconoce”.
Del mismo modo, no justifica adecuadamente el hecho de no haber cuestionado la
solicitud del duplicado, pese a concurrir dos circunstancias que razonablemente
debieron suscitar sospechas: por un lado, que el número de teléfono desde el cual se
realizó la llamada no coincidía con el asociado a la tienda conforme a la
documentación contractual correspondiente y, por otro, que se facilitó un código postal
que no se correspondía con establecimiento autorizado alguno. Vodafone insiste en
que ambos extremos no eran exigibles en la política de seguridad vigente en el
momento de los hechos. Sin embargo, omite considerar que dichas circunstancias
debieron, en todo caso, generar la sospecha o alerta procedente, en atención a los
estándares y cautelas exigibles para la adecuada prevención de riesgos y fraudes.
Con relación a la forma de identificación de los clientes que solicitan un duplicado de
tarjeta SIM, Vodafone tampoco acredita la existencia de previsión específica alguna,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
36/52
ya sea en la política de seguridad establecida en septiembre de 2021 o en el contrato
de agencia suscrito con Fibranorte S.L., más allá de la mera comprobación del
documento de identidad en el caso de nuevas altas. En su descargo, Vodafone se
limita a acompañar extracto de un documento operativo relativo al procedimiento del
cambio de tarjeta SIM en distribución, de apariencia meramente informativa y carente
de desarrollo normativo, en el que se establece:
“(…)”.
En cuanto al contrato con FRIBRANORTE S.L., aporta un extracto del apartado
definiciones del contrato, en el que se establece la definición de lo que es un fraude, a
saber:
“(iii) no verificar la identidad del Cliente en caso de cambio de titular de un Servicio ya
contratado, portabilidad o migración de un Servicio o cambio de SIM”.
De la lectura de los extractos aportados, se advierte que no describen controles
complementarios a la mera comprobación del documento de identidad en tienda por lo
que no se rebate la observación efectuada.
A mayor abundamiento, con relación específica a la falta de mecanismos adicionales
para asegurar la realidad de la solicitud, como la actuación dirigida al titular de la línea
con el fin de verificar la autenticidad de la solicitud recibida y determinar el motivo por
el que se solicitaba el duplicado, se estima que la parte reclamada se aparta de la
cuestión central limitándose a alegar que la problemática radica en la actuación
fraudulenta de un tercero que logró superar los controles internos establecidos.
A la luz de los expuesto, tanto en la propuesta de resolución como en la presente
contestación, ni las evidencias aportadas ni las argumentaciones presentadas resultan
suficientes para demostrar que el responsable del tratamiento aplicó las medidas
adecuadas y proporcionadas en el contexto específico en el que opera a fin de
garantizar la conformidad del tratamiento con la normativa en materia de protección de
datos. En consecuencia, no puede considerarse cumplido el principio de
responsabilidad proactiva.
La parte reclamada, en su defensa, se centra en reiterar que el defraudador acabó
facilitando la información exigida conforme a la política de seguridad vigente en el
momento de los hechos: código de usuario de tienda, ciertos números de la tarjeta
SIM (ICC) y los datos personales de la parte reclamante (nombre, apellidos, DNI y
número de línea móvil a duplicar).
Resulta significativo, particularmente en lo relativo a las políticas y medidas de
seguridad aplicables, que el responsable del tratamiento se aparte de analizar con la
debida profundidad la diligencia exigible en su conducta trasladando la responsabilidad
a un tercero, especialmente en lo que atañe a la veracidad de la solicitud de duplicado
de tarjeta SIM cuyo control resulta esencial para la prevención eficaz del fraude.
Por otra parte, resulta de especial interés la doctrina declarada por el Tribunal
Supremo, Sala de lo Contencioso-Administrativo, Sección Tercera, en Sentencia de
13/12/2021 (recurso de casación núm. 6109/2020), que analiza un supuesto de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
37/52
contratación on line en el que se cuestiona la actuación llevada a cabo por la entidad
recurrente para verificar que contrataba con el verdadero titular de los datos.
Según el auto de admisión del citado recurso de casación, “la cuestión que presenta
interés casacional objetivo para la formación de la jurisprudencia consisten en
interpretar la normativa de protección de datos de carácter personal vigente a efectos
de aclarar si la intervención fraudulenta de un tercero, que suplanta la identidad de
otra persona en una contratación on line, permite excluir que haya existido infracción
por falta del necesario consentimiento inequívoco para el tratamiento de los datos
personales que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, por
entender que la empresa contratante actuó con diligencia suficiente y en la creencia
de que contrataba con el verdadero titular de tales datos”.
En esta Sentencia se declara lo siguiente:
“SEGUNDO.- Sobre las infracciones que la recurrente reprocha a la sentencia.
(…)
Centrada así la tarea que debemos abordar, comenzaremos señalando que la
sentencia recurrida no cuestiona que existiese la intervención de un tercero que
suplantó la identidad del titular de los datos. En realidad, bien puede decirse que la
sentencia admite la existencia de aquella intervención fraudulenta de un tercero; pero
la Sala sentenciadora considera que este hecho -que no ha sido controvertido- no es
por sí mismo suficiente para enervar las exigencias legales de que el interesado
preste su consentimiento para la utilización de sus datos y de que estos sean tratados
con observancia de los principios y garantías legalmente establecidos…
Así, la sentencia recurrida aprecia, de un lado, falta de diligencia en la actuación de la
recurrente, lo que derivó en un incumplimiento de la exigencia de recabar el
consentimiento del titular de los datos (artículo 6 LOPD)…
Respecto de la primera cuestión (falta de diligencia en la actuación) en el recurso de
casación se reiteran las alegaciones que la entonces demandante hizo en el proceso
de instancia, en el sentido de que… adoptó todas las medidas necesarias y oportunas,
desde el punto de vista de la protección de datos personales, para tramitar la solicitud
de microcrédito…
En definitiva, ninguna de las medidas adoptadas por la recurrente está destinada a
acreditar que la persona que solicita el microcrédito coincide con el titular del DNI
aportado. Y, en efecto, continua explicando la sentencia recurrida, las pruebas
practicadas en la vía administrativa vinieron a poner de manifiesto que, respecto de la
línea de teléfono facilitada cuando se solicitó el crédito, ni el nombre, apellidos y NIF
del titular de la línea coinciden con los datos personales del denunciante (titular del
DNI); y en relación con la cuenta bancaria que figura en los registros de…, a la que se
habría transferido el importe del micro préstamo, los datos del titular de la cuenta en la
fecha de la contratación del crédito tampoco coinciden con los datos personales del
denunciante. Ni siquiera el titular del móvil y el de la cuenta bancaria son la misma
persona.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
38/52
Estas apreciaciones de la Sala de instancia sobre la insuficiencia de las medidas
adoptadas en el procedimiento de contratación on line, y, en definitiva, sobre falta de
diligencia en la actuación por la recurrente, en modo alguno han quedado
desvirtuadas en casación, donde la representación de... ha reiterado las
manifestaciones que hizo en el proceso de instancia pero nada ha aportado que sirva
para rebatir las conclusiones de la Sala sentenciadora.
En fin, compartimos el parecer de la Sala de la Audiencia Nacional acerca de la
insuficiencia de las medidas aplicadas por la recurrente en el procedimiento de
contratación. A las consideraciones que se exponen en la sentencia recurrida, que
compartimos y hacemos nuestras, únicamente añadiremos dos observaciones:
En primer lugar, las medidas de verificación aplicadas por la recurrente parecen
enteramente encaminadas asegurar el buen fin del préstamo, pero, en cambio, se
desentienden enteramente del objetivo de verificar la veracidad y exactitud de los
datos, y, en particular, de comprobar que quien solicita el crédito es precisamente
quien dice ser. De este modo, en cualquier caso en el que un tercero utilice
indebidamente un DNI sustraído o extraviado para realizar una compra o solicitar un
crédito on line, siempre se consumaría el tratamiento inconsentido de los datos
personales del titular del documento, aunque éste hubiese denunciado en su día ante
las autoridades la pérdida o sustracción de su DNI, pues ninguna de las medidas
enunciadas por la recurrente aparece mínimamente orientada a impedir o dificultar
que ese resultado se produzca.
En segundo lugar, lo anterior no significa que se haga recaer sobre la empresa
contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo
como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí
es exigible a dicha empresa contratante, como diligencia necesaria para que no se le
pueda reprochar el incumplimiento de sus obligaciones en materia de protección de
datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento
del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la
implantación de medidas de control tendentes a verificar que la persona que pretende
contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado…
TERCERO.- Respuesta de la Sala a la cuestión de interés casacional señalada en el
auto de admisión del recurso de casación.
En respuesta a la cuestión que plantea el auto de admisión del presente recurso de
casación debemos declarar que la intervención fraudulenta de un tercero, que
suplanta la identidad de otra persona en una contratación on line, no excluye que la
empresa contratante, que lleva a cabo el tratamiento de los datos personales, haya
podido incurrir en infracción por falta del necesario consentimiento inequívoco que
exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues aquella
intervención fraudulenta de un tercero no implica por sí misma que la empresa
contratante haya actuado con diligencia suficiente.
Lo anterior no significa que se haga recaer sobre la empresa contratante la
responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la
utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible
a dicha empresa contratante, como diligencia necesaria para que no se le pueda
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
39/52
reprochar el incumplimiento de sus obligaciones en materia de protección de datos de
carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del
interesado como en lo relativo al principio de veracidad y exactitud de los datos- la
implantación de medidas de control y verificación tendentes a asegurar que la persona
que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI
aportado”.
En resumen, como ya se indicó en la propuesta de resolución, como resultado de las
deficiencias o irregularidades descritas la reclamada expidió un duplicado de la tarjeta
SIM a un tercero que no era el titular de la línea, quedando en entredicho la diligencia
empleada por su parte a la hora de realizar las comprobaciones oportunas para
verificar la identidad del cliente interesado, así como la legitimidad de la solicitud.
No debe olvidarse, además, que de acuerdo con el principio de responsabilidad
proactiva establecido en el artículo 5.2 del RGPD, incumbe al responsable del
tratamiento no solo la obligación de cumplir los principios del tratamiento, por lo que
aquí interesa el de licitud, sino también la carga de acreditar su cumplimiento.
Por otra parte, cuando la base jurídica de un tratamiento es el consentimiento, la
exigencia de que el responsable del tratamiento acredite la licitud del tratamiento
efectuado no solo viene impuesta por el artículo 5.2 del RGPD. El artículo 7 del
RGPD, bajo la rúbrica “Condiciones para el consentimiento”, dice:
“1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable
deberá ser capaz de demostrar que aquél consintió el tratamiento de sus datos
personales.”
Se desestima, por tanto, esta alegación.
2. Según Vodafone, la realización de un duplicado SIM no conlleva el acceso a
información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes
de Vodafone, sino a los servicios de móvil e internet que pudieran tener contratados.
La parte reclamada manifiesta que la eventual realización de un duplicado fraudulento
de la tarjeta SIM no es una actuación necesaria ni suficiente para obtener acceso a las
cuentas bancarias de los sujetos afectados.
Por tal motivo, alega que únicamente podrán imputársele infracciones en relación con
aquellos tratamientos y medidas de seguridad respecto de los cuales ostente la
condición de responsable, siendo estos los dirigidos a garantizar que el solicitante del
duplicado de la tarjeta SIM es el legítimo titular de la línea.
Con respecto a este argumento, procede señalar que, en el presente caso, la única
infracción que se atribuye a la reclamada se fundamenta en la falta de licitud en el
tratamiento de los datos personales.
La referencia al fenómeno del denominado SIM Swapping y a sus eventuales
consecuencias se efectúa con el fin de valorar el alcance y naturaleza de la infracción
imputada, atendiendo a las repercusiones que tales prácticas pueden generar sobre
los derechos del titular de los datos personales afectados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
40/52
En este sentido, la Audiencia Nacional en la sentencia de 13/05/2024, Rec.
0002336/2021, establece que “(…) en la primera fase de este tipo de estafas el
suplantador consigue, de manera fraudulenta, los datos de acceso o las credenciales
de la banca online del cliente, pero le falta por conocer el código de verificación,
segundo factor de autentificación, para poder ejecutar cualquier operación. En el
momento en el que logra la tarjeta SIM duplicada ya tiene también acceso a este
segundo factor de autentificación y, por tanto, desde ese momento puede realizar los
actos de disposición patrimonial que desee”.
Por su parte, el Instituto Nacional de Ciberseguridad (INCIBE) incluye en su web
“incibe.es” la siguiente información sobre el SIM Swapping:
“Recordemos que ante un SIM swapping, los ciberdelincuentes intentan duplicar de
forma fraudulenta la tarjeta SIM del dispositivo móvil de una persona. Para ello
suplanta su identidad a fin de conseguir un duplicado de la misma. Posteriormente,
una vez que la víctima se queda sin servicio telefónico, accede a su información
personal y toma el control de sus aplicaciones, suplantándole en sus redes sociales,
cuentas de correo electrónico o banca digital, utilizando los SMS de verificación que
llegan al número de teléfono. De esta forma el ciberdelincuente puede recuperar los
mensajes de texto de confirmación con las claves y realizar algún ciberdelito con estas
credenciales, como puede ser realizar una operación bancaria y suplantaciones de
identidad”.
Por tanto, la mera utilización de una tarjeta SIM por parte de un tercero no autorizado
incrementa de forma significativa el riesgo para su titular, en la medida en que el
suplantador puede disponer de datos adicionales que permitan la realización de
actuaciones con efectos especialmente gravosos, tales como operaciones financieras
no consentidas, como ha sucedido en el caso que nos ocupa.
En razón de ello, facilitar un duplicado de tarjeta SIM es un proceso en el que la
diligencia prestada por los operadores resulta esencial para evitar este tipo de estafas
y garantizar la adecuada protección de los derechos e intereses de los clientes,
diligencia que, como ya se ha expuesto, se encuentra en entredicho en el presente
caso.
Por consiguiente, se desestima esta alegación.
3. Subsidiariamente, y para el caso de que la Agencia entienda que ha existido
infracción y deba imponerse una sanción a Vodafone, esta parte no está de acuerdo
con las circunstancias agravantes y la no consideración de las circunstancias
atenuantes mencionadas.
La parte reclamada discrepa de los factores considerados para determinar la gravedad
de la infracción y las agravantes aplicadas por la Agencia a la hora de valorar la
sanción. Sin embargo, las alegaciones formuladas por la parte reclamada no resultan
suficientes para desvirtuar los argumentos planteados, por lo que deben ser
desestimadas remitiéndonos, al efecto, a lo manifestado en el Fundamento de
Derecho VI de la presente resolución del procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
41/52
No obstante, interesa destacar que para la determinación del importe de la multa
administrativa se ha considerado prevalente que la infracción afecta de forma directa a
un único interesado, la parte reclamante, sin perjuicio de valorar las debilidades ya
descritas en las medidas y política de seguridad dispuestas por la reclamada y la
posibilidad de que ello pudiera dar lugar a hechos similares con otros afectados.
Del mismo modo, se desestiman las atenuantes invocadas por la parte reclamada,
sobre el grado de cooperación mostrado por VODAFONE y la no obtención de
beneficios derivados de la comisión de la infracción, en tanto que reiteran las ya
recogidas en su escrito de alegaciones al acuerdo de inicio, por los motivos descritos
en el Fundamento de Derecho II, que reproduce la respuesta ofrecida a dichas
aleaciones en la propuesta de resolución del presente procedimiento.
IV
Obligación incumplida
Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6
del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los
que el tratamiento de datos de terceros es considerado lícito:
“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de
aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones”.
Hay que señalar que el tratamiento de datos requiere la existencia de una base legal
que lo legitime.
De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen
otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con
la autorización de su titular, en particular, cuando sea necesario para la ejecución de
un contrato en el que el afectado es parte o para la aplicación, a petición de este, de
medidas precontractuales, o cuando sea necesario para la satisfacción de intereses
legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
42/52
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del afectado que requieran la protección de tales datos. El tratamiento
también se considera lícito cuando sea necesario para el cumplimiento de una
obligación legal aplicable al responsable del tratamiento, para proteger intereses
vitales del afectado o de otra persona física o para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento.
En el presente caso, se imputa a Vodafone la vulneración del artículo 6.1 del RGPD al
evidenciarse la ilicitud del tratamiento llevado a cabo, no constando acreditada
ninguna de las bases de legitimación previstas en el citado artículo en relación con el
tratamiento relacionado con los datos de la parte reclamante.
Se considera tratamiento cualquier operación realizada sobre datos personales,
incluida la comunicación de tales datos a un tercero. El RGPD, en el punto 2 de su
artículo 4, define tratamiento como “cualquier operación o conjunto de operaciones
realizadas sobre datos personales o conjuntos de datos personales, ya sea por
procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.
Resulta preciso, asimismo, señalar que el artículo 4.1 del RGPD define: «datos
personales» como “toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”.
A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta
SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que
contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado
usada para identificarse ante la red, esto es, el número de línea telefónica móvil del
cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de
la Red Digital de Servicios Integrados-), así como el número de identificación personal
del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del
Abonado móvil-) pero también puede proporcionar otro tipo de datos como la
información sobre el listado telefónico o el de llamadas y mensajes.
Por otro lado, la emisión de un duplicado de tarjeta SIM y su entrega a un tercero
supone el tratamiento de los datos personales de su titular, ya que se considerará
persona física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador [artículo 4.1) del RGPD].
En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la
tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca
al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar
sujeto a la normativa de protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
43/52
En el presente caso, resulta acreditado el hecho de que Vodafone emitió un duplicado
de la tarjeta SIM correspondiente a la línea de telefonía móvil de la parte reclamante y
lo entregó a un tercero no autorizado, todo ello sin el conocimiento ni consentimiento
del interesado y sin que exista otra base jurídica que ampare dichos tratamientos de
datos personales.
En efecto, según ha quedado expuesto, el supuesto punto de venta que solicitó el
duplicado a la central de VODAFONE, en nombre de la parte reclamante, lo hizo por
vía telefónica mediante el canal interno de soporte para tiendas. Según el protocolo
vigente en ese momento, se requería para ello el número del documento de identidad
del cliente y el número de la línea telefónica sobre la que se quería realizar la gestión.
También se requería la numeración ICC de la nueva tarjeta SIM, información que obra
en poder de los agentes contratados por Vodafone. Asimismo, en la respuesta al
traslado se afirma que es requerido el código postal de la tienda de la cual se solicita
el duplicado, a pesar de que la parte reclamada posteriormente afirmó que no estaría
vigente en el momento de los hechos. Tal y como consta en la grabación de la
llamada, el código postal fue requerido, ofreciéndose uno invalido.
De las actuaciones de investigación, no se desprende por parte de la central de
VODAFONE, una comprobación complementaria de que la solicitud estaba realmente
hecha por el cliente ni medidas de refuerzo adicionales. Ello manifiesta que dicha
oficina central presume que se ha realizado una identificación previa por parte del
personal de la tienda que realiza la gestión. En este sentido, la exigencia de
verificación de la identidad que se contempla por los protocolos aportados por la parte
reclamada queda desvirtuada, dado que dicha verificación no es comprobada por la
central, cuando se solicita por parte de la tienda autorizada.
Por otra parte, según la información proporcionada, la llamada en nombre de la
supuesta tienda se realizó desde el número ***TELÉFONO.3, que no coincide con el
número que consta en la documentación aportada por la parte reclamada para ese
establecimiento.
Asimismo, como se indicó anteriormente, analizada la grabación de la solicitud del
duplicado, tramitada telefónicamente, se advierte que el interlocutor por parte de la
tienda no aportó un código postal válido como medida de identificación de la tienda. El
código postal facilitado fue el ***REFERENCIA.1 y no el ***REFERENCIA.8 como
correspondería a la tienda física señalada por Vodafone. A este respecto, la parte
reclamada manifiesta que la comprobación por código postal no estaría vigente en el
momento de los hechos, aunque en la respuesta al traslado sí se indicó esta medida y
se reiteró posteriormente en respuesta a otro requerimiento. La solicitud se cursó,
finalmente, al aportar el llamante un usuario de identificación de tienda (…) que le
acreditaba como autorizado junto con la numeración de ICC y los datos del cliente.
En este caso, el resultado de esas deficiencias o irregularidades fue que la reclamada
expidió un duplicado de la tarjeta SIM a un tercero que no era el titular de la línea,
quedando en entredicho la diligencia empleada por su parte a la hora de realizar las
comprobaciones oportunas para verificar la identidad del cliente interesado, así como
la legitimidad de la solicitud.
En definitiva, la emisión de un duplicado de tarjeta SIM implica necesariamente un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
44/52
tratamiento de datos personales, ya que se realiza sobre la línea y la identidad del
titular. Dicho tratamiento debe cumplir con una base jurídica que lo legitime, tal como
exige el citado artículo 6.1 del RGPD, al igual que cualquier comunicación de datos
personales a un tercero, que constituye igualmente un tratamiento de datos y que en
este caso se produce con la entrega de la tarjeta a un tercero no autorizado.
En este caso, la emisión del duplicado SIM a solicitud de un tercero sin la intervención
o consentimiento del titular constituye una falta de base jurídica válida para dicho
tratamiento de datos.
Por lo tanto, la emisión del duplicado SIM en estas condiciones y su entrega a una
persona distinta al titular de la línea telefónica constituyen un tratamiento de datos
personales sin base jurídica y, en consecuencia, una infracción del artículo 6.1 del
RGPD, dado que se ha realizado sin cumplir con ninguna de las bases legitimadoras
para dicho tratamiento.
De conformidad con las evidencias de las que se dispone, se estima que la conducta
de la parte reclamada vulnera el artículo 6.1 del RGPD siendo constitutiva de la
infracción tipificada en el artículo 83.5.a) del citado Reglamento 2016/679.
En ese sentido el Considerando 40 del RGPD señala:
“(40) Para que el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión
o de los Estados miembros a que se refiera el presente Reglamento, incluida la
necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la
necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de
tomar medidas a instancia del interesado con anterioridad a la conclusión de un
contrato.”
V
Tipificación y calificación de la infracción
La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1
de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b)
El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
45/52
VI
Sanción de multa: Determinación del importe
La determinación de la sanción que procede imponer en el presente caso exige
observar las previsiones de los artículos 83.1 y 2 del RGPD, preceptos que,
respectivamente, disponen lo siguiente:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”
“2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”
Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado
“Sanciones y medidas correctivas”:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
46/52
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.
3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de
las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento
(UE) 2016/679.”
En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
corresponde la imposición de multa.
Procede cuantificar la sanción que procede, considerando para ello que la multa que
se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria,
conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos
principios, se considera, con carácter previo, el volumen de negocio de VODAFONE,
que en el ejercicio 2024 ascendió a 2.909.851.000 euros.
En primer término, se tiene en cuenta la categoría de la infracción cometida,
comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con
la mayor gravedad en su apartado 5, castigando la conducta con una multa máxima de
20 millones de euros o, tratándose de una empresa, con una multa por una cuantía
equivalente al 4% como máximo de su volumen de negocio anual. Según el citado
precepto, al establecer el importe máximo aplicable debe optarse por el límite de
mayor cuantía, de los dos fijados por la norma.
En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el
año 2024 a 2.909.851.000 euros, el importe de la multa que procede imponer estará
necesariamente situado entre 0,00 euros y 116.396.040 euros.
De acuerdo con los preceptos transcritos, a efectos de fijar el importe final de la
sanción a imponer en el presente caso por la infracción del artículo 6.1 del RGPD de la
que se responsabiliza a VODAFONE, tipificada en el artículo 83.5.a) del RGPD, se
estiman concurrentes los siguientes factores:
1. Como elementos determinantes del nivel de gravedad de la infracción, se toman en
consideración las circunstancias siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
47/52
. Artículo 83.2.a) del RGPD: “la naturaleza, gravedad y duración de la infracción,
teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento
de que se trate así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido”.
. Naturaleza de la infracción:
El artículo 83.5 agrupa varios tipos de conductas diferentes. En este caso, la
disposición infringida afecta a un principio básico del derecho a la protección de
datos personales, por cuanto sustenta la legalidad del tratamiento de datos y su
violación entraña un riesgo importante para los derechos de los interesados.
En este caso, la conducta de VODAFONE ha provocado, de forma directa, la
lesión del bien jurídico protegido por el artículo 6 del RGPD, impidiendo su
aplicación efectiva y el objetivo que pretende proteger. El tratamiento de los datos
personales se realiza (i) sin que VODAFONE tenga ninguna garantía de que el
solicitante del duplicado de tarjeta SIM sea el verdadero titular de la línea y, por
consiguiente, de los datos personales; y (ii) sin haber realizado ninguna
comprobación para verificar que la emisión de ese duplicado era necesaria para la
prestación de los servicios contratados por la parte reclamante, que ya disponía
de una tarjeta activa y en correcto funcionamiento. Como resultado de ello, los
datos en cuestión han sido tratados sin disponer de base legal alguna que lo
legitime.
. Gravedad de la infracción:
. Naturaleza y propósito del tratamiento:
Evaluar la gravedad de estos aspectos del tratamiento de los datos
personales requiere considerar el contexto en el que se realiza.
El tratamiento de datos realizado en este caso tiene como finalidad la emisión
de una tarjeta SIM, necesaria para que VODAFONE pueda prestar los
servicios contratados por su titular. Si esa tarjeta es solicitada por un tercero y
la entidad no cumple las obligaciones que le son propias para impedir esta
irregularidad, la consecuencia final es la entrega de la tarjeta a una persona
no autorizada para su uso y, con ello, la posibilidad de que un tercero acceda
a diversa información del verdadero titular de la tarjeta, que puede ser
utilizada con fines fraudulentos. Así ocurrió en el presente caso, en el que un
tercero se sirvió del duplicado de tarjeta SIM obtenido fraudulentamente para
retirar fondos de las cuentas bancarias de la parte reclamante.
Es el fenómeno denominado como “SIM swapping”, muy extendido en el
contexto actual y sobradamente conocido por VODAFONE. Una vez accede a
la línea de telefonía de la víctima, el tercero dispone de multitud de opciones
para, suplantando su identidad, acceder a todo tipo de cuentas personales
(mensajería, correo electrónico, redes sociales y cualquier tipo de cuenta en
línea, incluidas las financieras).
En función de este contexto, el tratamiento realizado por VODAFONE,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
48/52
considerando su naturaleza y propósito, acarrea importantes riesgos para el
titular de los datos personales. Y no puede obviarse que dicho tratamiento de
datos se realiza en el marco de la actividad empresarial principal y básica de
la citada operadora, desarrollada con ánimo de lucro.
. El alcance del tratamiento:
La infracción valorada se comete por el tratamiento ilícito de los datos
personales de un solo interesado, la parte reclamante, como bien se
considera en los factores de graduación que siguen.
No obstante, interesa considerar que VODAFONE es una compañía de
telefonía que opera con alcance nacional y que la infracción es consecuencia
directa de las debilidades de los mecanismos diseñados por VODAFONE
para la tramitación de solicitudes de duplicados de tarjeta SIM en línea, por lo
que el riesgo que ello conlleva incrementa el número de potenciales
afectados.
La relación existente entre la infracción cometida y la asignación de recursos
que cabe exigir a VODAFONE para impedir este tipo de actuaciones ilícitas
debe analizarse en base al riesgo real y a aquella circunstancia relativa a su
ámbito de actuación de alcance nacional.
. Número de interesados:
La infracción que se sanciona es consecuencia del tratamiento ilícito de los
datos personales de un único interesado, la parte reclamante.
. El nivel de daño sufrido por la parte reclamante:
De conformidad con el considerando 75 del RGPD, el nivel de daño sufrido se
refiere a los daños y perjuicios físicos, materiales o no materiales.
En el presente caso, el daño sufrido por la parte reclamante no puede
calificarse como marginal. Por un lado, la parte reclamante se vio privada del
servicio que tenía contratado con VODAFONE y, por otro, sufrió un fraude
bancario consecuencia directa de la infracción que se sanciona, la cual, como
se ha dicho, no solo se comete por el tratamiento de datos necesario para
emitir el duplicado de tarjeta SIM, sino también por el tratamiento de datos
consistente en la comunicación de los datos de la parte reclamante a un
tercero, derivado de la entrega del duplicado de tarjeta SIM a dicho tercero.
En casos como este, el interesado pierde el control de sus datos personales,
por lo que el daño podría persistir durante un tiempo indeterminado.
. Artículo 83.2.b) del RGPD: “la intencionalidad o negligencia en la infracción”.
Se observa en la conducta de VODAFONE una negligencia grave, por incumplimiento
del deber de cuidado exigido por la ley, más allá de lo que puede considerarse un
factor neutro asociado al elemento subjetivo de la culpabilidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
49/52
Esta conclusión resulta de elementos objetivos de la conducta de VODAFONE,
obtenidos en base a todas las circunstancias de hecho que constan detalladas en los
Fundamentos de Derecho que preceden, especialmente en el apartado 1 del
Fundamento de Derecho II, que muestran claramente todas las alertas que no fueron
consideradas por VODAFONE para sospechar sobre la irregularidad de la petición de
duplicado de SIM que recibió de una supuesta tienda física perteneciente a un agente
colaborador, la cual ni siquiera ha sido identificada con certeza por dicha entidad.
Entre las circunstancias apreciadas en el presente caso, cabe destacar las siguientes:
. El duplicado de tarjeta se tramitó, supuestamente, desde una tienda física o
sirviéndose de la clave de usuario de una tienda física, que según el protocolo previsto
debía contactar con el departamento de Vodafone “Soporte Retail” vía telefónica. Sin
embargo, Vodafone ni siquiera ha acreditado con certeza qué “tienda Vodafone”
estuvo implicada en los hechos.
. La persona que realizó la llamada a “Soporte Retail”, supuestamente empleada de
una tienda física perteneciente a un agente, no facilitó los datos necesarios para dar
por buena la solicitud del duplicado de tarjeta SIM.
. La llamada se realizó desde una línea de teléfono que no pertenecía a ningún agente
de VODAFONE, entidad esta que no tiene establecido ningún mecanismo de
comprobación de este dato.
. Entre la información que debe facilitar la persona que llama a “Soporte Retail” se
incluye la indicación de ciertos números de la ICC de la tarjeta a duplicar, aunque
VODAFONE no conoce la numeración de las tarjetas disponibles en cada tienda, lo
que le hubiese permitido asociar la tarjeta al punto de venta y añadir una garantía más
en la comprobación de la regularidad de la solicitud.
. Respecto de la forma de identificación de los clientes que solicitan un duplicado de
tarjeta SIM, ninguna previsión específica contenía la política de seguridad establecida,
y tampoco el contrato de agencia suscrito con supuesto agente interviniente, más allá
de la comprobación del documento de identidad para nuevas altas.
. VODAFONE no había dispuesto realizar ningún contacto con la parte reclamante
para asegurar la realidad de la solicitud que estaba recibiendo, ni para conocer el
motivo por el que se solicitó el duplicado de tarjeta. Tampoco ninguna comprobación
para verificar si la tarjeta del reclamante se encontraba activa o tenía alguna incidencia
que justificase la petición del duplicado.
. Finalmente, indicar que la operadora no tuvo en cuenta para activar las alertas por un
posible fraude que la petición se realizaba desde una comunidad autónoma distinta a
la de residencia de la parte reclamante.
La consecuencia final de todo ello fue que VODAFONE validó la petición, activó la
tarjeta SIM y la entregó a un tercero sin evidencias ciertas sobre la identidad de la
persona que realizó la llamada ni de la persona que realizaba la petición, para
asegurar que esta última se correspondía con el titular de los servicios y de los datos
personales.
Conectado también con el grado de diligencia que VODAFONE está obligada a
desplegar en el cumplimiento de las obligaciones que le impone la normativa de
protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de
la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
50/52
que analizamos. La sentencia, después de aludir a que las entidades en las que el
desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y
terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el
Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con
la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso
ahora examinado, cuando la actividad de la recurrente es de constante y abundante
manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado
por ajustarse a las prevenciones legales al respecto”.
. Artículo 83.2.g) del RGPD: “las categorías de los datos de carácter personal
afectados por la infracción”.
Al margen de los datos personales cuyo tratamiento es necesario para la emisión del
duplicado de tarjeta, no pueden obviarse los riesgos evidentes de que la entrega de
este duplicado a un tercero posibilite el acceso por parte de éste a datos de categorías
especiales u otra información de naturaleza sensible, como la información financiera
de la parte reclamante, materializados en el presente caso.
2. Se consideran los siguientes factores de graduación en calidad de agravantes:
. Artículo 83.2.d) del RGPD: “el grado de responsabilidad del responsable o del
encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que
hayan aplicado en virtud de los artículos 25 y 32”.
Los preceptos citados, tanto el artículo 25 como el 32 del RGPD, obligan a la entidad
responsable a tomar en consideración “el estado de la técnica, el coste de la
aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los
riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los
derechos y libertades de las personas físicas” a la hora de aplicar medidas técnicas y
organizativas apropiadas para garantizar la aplicación efectiva de los principios de
protección de datos, en este caso el principio de licitud del tratamiento, así como para
garantizar un nivel de seguridad adecuado al riesgo.
A la vista de dichos preceptos, la actuación desarrollada por VODAFONE ha resultado
claramente ineficaz e insuficiente, está muy por debajo de las posibilidades que el
desarrollo técnico actual ofrece y no toma en consideración el evidente riesgo que la
prestación de sus servicios representa para los derechos y libertades de las personas.
En este sentido, su alto volumen de negocio comporta que el nivel de exigencia en
orden a incorporar las herramientas y funcionalidades que el estado de la técnica
ofrece en cada momento sea elevado.
Las debilidades ya expresadas en cuanto al establecimiento por VODAFONE de una
política de seguridad que evite la suplantación de identidad de sus clientes, en
garantía del principio de licitud en el tratamiento de los datos, cuestionan la solidez de
las medidas adoptadas en virtud de los artículos 25 y 32 del RGPD, lo que agrava su
conducta en este caso concreto.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
51/52
Así, puede concluirse que la infracción tiene connotaciones sistémicas y, por lo tanto,
puede afectar, incluso en diferentes momentos, a interesados adicionales que no
hayan presentado reclamaciones ante esta autoridad de control.
. Artículo 83.2.k, del RGPD en relación con el artículo 76.2, letra b) de la LOPDGDD:
“La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales”.
La actividad de la entidad presuntamente infractora está vinculada con el tratamiento
de datos de carácter personal tanto de clientes como de terceros. En la actividad que
desarrolla la parte reclamada es imprescindible el tratamiento de datos de carácter
personal consecuencia de su objeto, por lo que la transcendencia de la conducta
objeto de la presente reclamación es innegable. Además, el tratamiento de datos por el
que se sanciona se lleva a cabo en el desarrollo de la actividad principal de la parte
reclamada.
Esta circunstancia, con carácter general, tiene transcendencia como agravante. Así lo
ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024 cuando
declara: “En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra
de negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no
pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las
circunstancias concurrentes, tomando en consideración su volumen de negocio y su
vinculación con el tratamiento de datos personales atendiendo el número de personas
que prestan servicio como empleados en… y su actividad”.
En base a todo cuanto antecede, atendiendo a la exigencia de que la multa sea
efectiva, proporcionada y disuasoria, y con el objetivo de procurar el cumplimiento
efectivo del RGPD y la LOPDGDD, el balance de las circunstancias contempladas en
el artículo 83.2 del RGPD y 76.2 de la LOPDGDD consideradas en su conjunto, con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 6 del RGPD,
permite fijar la sanción de multa administrativa en una cuantía de 150.000,00 euros
(ciento cincuenta mil euros).
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de
la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, por una
infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa
de 150.000 euros (ciento cincuenta mil euros).
SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U., con
NIF A80907397.
TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
52/52
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez la resolución sea firme
en vía administrativa.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-180725
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es