1/42
Expediente N.º: EXP202308705
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 17 de mayo de 2023 se interpuso reclamación ante la Agencia
Española de Protección de Datos. La reclamación se dirige contra VODAFONE
ESPAÑA, S.A.U. con NIF A80907397 (en adelante, la parte reclamada, VODAFONE o
LOWI). Los motivos en que basa la reclamación son los siguientes:
La parte reclamante manifiesta que en fecha 9 de febrero de 2023, la parte reclamada
entregó vía Internet un duplicado de su tarjeta SIM (***TELÉFONO.1) a un tercero sin
su consentimiento. Señala que, tras el duplicado fraudulento, se realizaron
operaciones financieras, accediendo a sus cuentas bancarias de forma fraudulenta.
Documentación relevante aportada por la parte reclamante:
- Denuncia de los hechos ante la comisaría de Policía Nacional de ***LOCALIDAD.1
de fechas 10 y 13 de febrero de 2023.
- Relación de cargos de fecha 9 de febrero de 2023 en su cuenta de ***EMPRESA.1,
reclamación presentada de fecha 20 de marzo de 2023 y comunicación intercambiada
con dicha entidad el 3 de abril de 2023 desde la dirección electrónica del reclamante
***EMAIL.1.
- Relación de cargos en su cuenta de ***EMPRESA.2 y reclamación ante dicha
entidad de 13 de febrero de 2023 donde se incluye la dirección electrónica del
reclamante ***EMAIL.2.
- Respuesta de 3 de marzo de 2023 de Atención al Cliente de ***EMPRESA.2 a la
dirección electrónica del reclamante de gmail a su reclamación de 13 de febrero de
2023.
- Devolución de cargo de ***EMPRESA.3 de 16 de febrero de 2023 por pagos no
reconocidos de 10 de febrero de 2023 que son anulados el 22 de febrero de 2023
donde figura el teléfono afectado del reclamante y su dirección electrónica de gmail.
- Reclamación de 24 de abril de 2023 a Lowi por la emisión de un duplicado de su
tarjeta SIM.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/42
Públicas (en adelante, LPACAP), fue recogido en fecha 28 de junio de 2023 como
consta en el acuse de recibo que obra en el expediente.
Con fecha 31 de julio de 2023 se recibe en esta Agencia escrito de respuesta
indicando:
1- Sobre las vías de que disponen los clientes para solicitar un duplicado de tarjeta
SIM:
Los clientes de la marca LOWI disponen de tres canales:
(i) Telefónicamente, a través del servicio de atención al cliente de LOWI, 121.
(ii) A través de internet, mediante su área privada de usuario, vinculado a la previa
autenticación a través de usuario y contraseña en la app de LOWI.
(iii) Presencialmente, a través de un número muy limitado de distribuidores
autorizados.
Se adjunta, como Documento número 1, el protocolo interno en el que se incluyen los
canales y procesos de LOWI para la solicitud del Cambio de SIM.
2- Sobre el protocolo de seguridad aplicado para acreditar la identidad del solicitante y
gestionar la emisión y el envío del duplicado de la tarjeta SIM. (El subrayado es de la
Agencia).
I. Vía telefónica: el cliente tiene que pasar la política de seguridad de LOWI
aportando (…). En este sentido y como consecuencia de la continua revisión y
mejora de sus protocolos y políticas internas para garantizar la seguridad de la
información personal, LOWI ha actualizado su Política de Seguridad (…).
II. Vía App LOWI: el cliente debe acceder al área privada de cliente a través de esta
vía, facilitando (…).
III. Vía presencial: el cliente se debe personar en un distribuidor autorizado (…) como
evidencia y condición para realizar la gestión.
En todo caso y a fin de evitar supuestos de fraude, las instrucciones facilitadas por
LOWI a sus agentes prevén la redirección preferente del solicitante del trámite a la
aplicación de LOWI para su autogestión por el usuario y, en caso contrario, se
comprobará que (…).
La información sobre el procedimiento establecido para este trámite se encuentra en
el referido Documento número 1.
3- Sobre el canal a través del cual se tramitó el duplicado de SIM y vía de
identificación de la persona que lo solicitó:
El cambio se realizó desde el área privada del cliente el día 8/2/2023, previa
identificación del usuario, sin que LOWI pudiese tener constancia de un acceso
indebido al área de cliente, ni de un acceso no autorizado a los datos del cliente dado
que los mismos se hicieron incluyendo usuario y contraseña correcta.
En fecha 9/2/2023 el reclamante tiene constancia de la solicitud de un duplicado SIM
realizada desde su área privada de cliente a través de Internet, a la cual se accede
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/42
mediante la dirección de correo electrónico o número de teléfono móvil y la contraseña
establecida.
LOWI ha constatado que previamente el 8/2/2023 se solicitó un cambio de dirección
de correo electrónico de la cuenta de cliente que pudo ser completado con éxito, ya
que el solicitante aportó correctamente toda la información que prevé la Política de
Seguridad para la verificación de la identidad de cliente (en particular, (…)). Se aporta
copia de las grabaciones telefónicas del trámite referido. Documento número 2.
En todo caso, LOWI no ha detectado ningún acceso no autorizado por parte de un
tercero a sus sistemas internos o bases de datos en los que se almacenan los datos
del reclamante, ni ningún otro incidente que haya supuesto la fuga de datos o
contraseñas del reclamante, por lo que cabe destacar que los datos del reclamante no
fueron obtenidos de Vodafone, sino que el defraudador contaba con esta información
de manera ajena a Vodafone.
TERCERO: Con fecha 17 de agosto de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:
Se comprueba por esta Agencia que LOWI es una de las marcas de servicios de
telecomunicaciones bajo las cuales opera VODAFONE ESPAÑA S.A.U. LOWI es un
Operador Móvil Virtual (OMV) que utiliza las infraestructuras de VODAFONE para dar
servicio a sus clientes. LOWI era una marca de VODAFONE ENABLER ESPAÑA S.L.
con NIF B82896119 que fue absorbida por VODAFONE ESPAÑA S.A.U. en octubre de
2022.
El 14/11/2023 se requiere a la parte reclamante copia del contrato con LOWI de
26/9/2020 donde se incluyan las líneas contratadas con esa entidad en relación con
los hechos reclamados. Se recibe respuesta el 15/11/2023 (entrada
REGAGE23e00077809369):
Se comprueba que se aporta contrato firmado el 26/9/2020 con LOWI (marca de
VODAFONE ENABLER ESPAÑA S.L.) de las líneas telefónicas ***TELÉFONO.1 (línea
duplicada) y ***TELÉFONO.2, a nombre de la parte reclamante.
1.- Sobre las grabaciones aportadas (entrada REGAGE23e00055747819 de 18/8/23):
- 01_103_20230208144105_0475_Llamada_1 (de 14:41:05h, duración 6’33’’ hasta
14:47:38h)
- 01_103_20230208151000_0118_Llamada_2 (de 15:10:00h, duración 7’7’’ hasta
15:17:07h)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/42
- 01_103_20230208153529_0056_Llamada_3 (de 15:35:29h, duración 3’36’’ hasta
15:39:05h).
Por parte de la inspectora actuante se ha comprobado en las grabaciones y las
capturas de pantalla de la interacción registrada en sistemas internos que las tres
llamadas realizadas quedan registradas desde el n.º ***TELÉFONO.3 que no
pertenece a LOWI. La voz llamante es la misma en las tres llamadas, y en ellas el
llamante supera la política de privacidad (…). En las dos últimas se le solicita además
que aporte un n.º de móvil aportándose el n.º de la parte reclamante ***TELÉFONO.1.
Las llamadas son de fecha 8/2/23 de 14:41:05h a 14:57:h, de 15:10:00 a 15:16h y de
15:35:29h a 15:39h, respectivamente.
En la primera llamada el llamante solicita su dirección de correo electrónico, indicando
(…). Aporta, asimismo la dirección de correo electrónico vigente en ese momento
***EMAIL.2, así como el correo electrónico nuevo ***EMAIL.3, no solicitándose por la
interlocutora de LOWI el n.º móvil desde el que llama. El llamante, además solicita
activar una palabra de seguridad: ***CÓDIGO.1, solicitando que solo le atiendan con
esa palabra. La interlocutora de LOWI le informa que en 5 minutos se actualizarían los
datos solicitados en la app de LOWI. La interlocutora indica que tiene 2 líneas
contratadas y le ofrece una tercera pero el llamante la declina.
En la segunda llamada, el mismo usuario llamante comunica que aún no ha sido
actualizado el cambio de correo electrónico solicitado. Indica el número de (…), el
correo nuevo (que aún no figura actualizado en la app), (…), y facilita un email nuevo
distinto del facilitado en la primera llamada, ***EMAIL.4. La interlocutora indica que
tiene 2 líneas contratadas y le ofrece una tercera pero el llamante la declina.
En la tercera llamada, el mismo llamante solicita de nuevo cambiar el correo
electrónico, indicando el número de (…), aportando otro correo nuevo ***EMAIL.5. La
interlocutora de LOWI le indica que el email ya está cambiado.
2.- Sobre los datos requeridos para el cambio de la dirección de correo electrónico
para notificaciones, incluyendo el registro del trámite, la parte reclamada responde:
(entrada REGAGE23e00057720767)
El 8 de febrero de 2023 el solicitante, después de varios intentos, requiere la
modificación de su correo electrónico. En cada uno de dichos intentos el solicitante
superó la Política de Seguridad de LOWI, aportando correctamente la información
necesaria para ello. En concreto, se le solicita:
- En un primer intento (grabación número 01_103_20230208144105_0475) el
solicitante aporta correctamente el (…) que tenía vigente. Asimismo, en dicho trámite
activa (…). Sin embargo, el cambio de correo electrónico no se termina ejecutando.
Se aporta captura de pantalla de la interacción registrada en sistemas internos.
Se comprueban los datos que constan de la llamada: msisdn ***TELÉFONO.2 (que se
corresponde con la segunda línea contratada por la parte reclamante, según el
contrato aportado, nota: el msisdn es el número único que identifica a un abonado en
una red), fecha 8/2/2023, hora 14:57h, motivo cambio correo electrónico, llamada
entrante con n.º origen ***TELÉFONO.3.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/42
- En un segundo intento (grabación número 01_103_20230208151000_0118) solicita
el cambio de correo electrónico, aportando el (…). En esta ocasión sí se ejecuta el
cambio de correo electrónico.
Se aporta captura de pantalla de la interacción registrada en sistemas internos.
Se comprueban los datos que constan de la llamada: no hay msisdn registrado, fecha
8/2/23, hora 15:16h, motivo cambio correo electrónico, llamada entrante con n.º origen
***TELÉFONO.3.
- En un tercer intento (grabación número 01_103_20230208153529_0056) solicita el
cambio de correo electrónico, aportando el (…). En esta ocasión también se ejecuta el
cambio de correo electrónico en la ficha del cliente.
Se aporta captura de pantalla de la interacción registrada en sistemas internos.
Se comprueban los datos que constan de la llamada: msisdn ***TELÉFONO.1 (que se
corresponde con la línea duplicada y primera línea contratada por la parte reclamante,
según el contrato aportado), fecha 8/2/23, hora 15:39h, motivo cambio correo
electrónico, llamada entrante con n.º origen de la llamada ***TELÉFONO.3.
Por tanto, se constata que en cada uno de los intentos referidos, la persona llamante
superó la Política de Seguridad de LOWI indicando los datos de la parte reclamante y
solicitando en todas ellas el cambio del correo electrónico que figuraba en el sistema
siendo efectivo dicho cambio en la segunda y tercera llamada. En ninguna de ellas se
comprueba que la llamada se realiza desde una línea titularidad de LOWI y del
reclamante, como indica la modificación de 2022 de la Política de Seguridad, referida
más adelante. En la primera llamada se solicitó igualmente la incorporación de una
palabra de seguridad por el llamante.
3.- Sobre el n.º llamante identificado en las llamadas en los registros internos del
reclamado:
Mediante una diligencia se identifica al operador del n.º llamante ***TELÉFONO.3 de
estas tres grabaciones que es XFERA MÓVILES, S.A.
Se solicita información a dicho operador sobre el titular de dicho n.º y confirmación de
las llamadas realizadas y responde: (entrada REGAGE24e00027546592):
El titular del n.º ***TELÉFONO.3 es A.A.A. con DNI ***NIF.1 nacionalidad ***PAÍS.1,
tipo de contrato prepago, fecha de activación 27/1/2023 y de desactivación
12/11/2023. Al ser una línea prepago, carece de contratos, datos relacionados con el
domicilio, copias de documentos identificativos, facturas o cuentas bancarias de los
usuarios. No ha sido portada dicha línea, únicamente causó baja en noviembre 2023,
quedando vacante hasta su posterior asignación a otro cliente en enero 2024.
Esta es la información solicitada de las tres llamadas referidas en la citada fecha entre
las horas 14:41-14:57h, 15:10-15:16h y 15:35-15:39h:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/42
o REC_TYPE_DS: VOICE ORIGINATING RECORD
o CALLED_NUMERO: 1456
o EVENT_DATE: 2023-2-8
o DURATION: 530
o HORA_INICIO: 143848
o HORA_FIN: 144738
o CALLED_NUMERO: 1456
o EVENT_DATE: 2023-2-8
o DURATION: 522
o HORA_INICIO: 150825
o HORA_FIN: 151706
o CALLED_NUMERO: 1456
o EVENT_DATE: 2023-2-8
o DURATION: 373
o HORA_INICIO: 153252
o HORA_FIN: 153905
Se comprueba que la duración de cada una de las tres llamadas es 8’50’’, 8’42’’ y
6’13’’, respectivamente, y su hora de inicio y fin se corresponden con las grabaciones
aportadas.
4.- Sobre la documentación y datos aportados por la persona que solicitó la tarjeta SIM
para acreditar su identidad. Información sobre si la realización de los controles para la
verificación de la identidad quedó reflejada en el sistema de información de la entidad.
Si la solicitud se tramitó por canal web, existencia o no de intentos fallidos de acceso
previo, y actuación ante los mismos (el subrayado es de la Agencia):
La realización de una petición de duplicado SIM a través del área privada de cliente en
la app LOWI por Internet se supedita a la previa identificación del cliente, mediante la
introducción de la dirección de correo electrónico o número de teléfono móvil y la
contraseña establecida.
La verificación de la identidad del solicitante queda acreditada una vez que este ha
introducido de forma válida sus credenciales de acceso. Asimismo, cuando el
solicitante requiere la tramitación del duplicado SIM, el sistema registra el
procesamiento o no de la petición efectuada y la fecha y hora de la misma.
En cuanto a los intentos previos de acceso, LOWI ha podido verificar que no hay
intentos fallidos o de otras incidencias relacionadas con el acceso al área privada.
No se ha aportado a esta Agencia evidencia del trámite efectuado de solicitud de la
tarjeta SIM a través de la app de LOWI.
5.- Sobre el detalle de los controles y exigencias establecidos sobre la dirección de
envío e identificación del destinatario.
En este sentido, una vez verificada su identidad de acuerdo con lo previsto en la
política de seguridad de aplicable a la marca LOWI y realizados los trámites
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/42
oportunos, esta entidad gestionó el envío de la tarjeta SIM, la cual podrá ser enviada
al establecimiento de un distribuidor autorizado o al domicilio indicado por el cliente.
En cuanto al envío a un domicilio diferente al del titular, es el cliente quien elige la
dirección de entrega, que puede o no coincidir con su dirección de facturación. No
obstante, la dirección no se puede modificar una vez solicitado y autorizado el
duplicado.
Para la entrega de la tarjeta SIM, los transportistas tienen instrucciones de únicamente
entregarla al titular del servicio, verificando su identidad, firmando a tal efecto el
albarán de entrega como evidencia y conclusión de la gestión.
En el caso reclamado, desde el área privada de cliente en la app LOWI, para la
realización de esta petición, se facilitó como dirección postal de entrega una dirección
diversa a la dirección de facturación, en este caso la correspondiente a
***DIRECCIÓN.1. Posteriormente, el duplicado SIM es efectivamente entregado en la
dirección indicada, en fecha 9/2/2023, a las 11:51 horas.
Para dicha entrega, se requirió la identificación del receptor, quien en este caso
proporcionó el nombre y apellidos y el DNI del reclamante, firmando el albarán de
entrega como si fuese el propio reclamante. Se adjunta captura de pantalla del
justificante de entrega del duplicado SIM.
Se ha comprobado por esta Agencia que el albarán de 9/2/2023 11:51:29h contiene el
nombre, apellidos y DNI de la parte reclamante en el apartado de la firma.
6.- Sobre el protocolo de actuación cuando se detecta la emisión de un duplicado SIM
fraudulento:
Ante cualquier indicio que permita sospechar la existencia de un caso de duplicado
SIM fraudulento –incluyendo cuando es el propio cliente el que reporta estos hechos–,
LOWI bloquea la línea telefónica y solicita un nuevo duplicado, que se pone a
disposición del titular del servicio. En cualquier caso, siempre que se haya recibido y
activado un nuevo duplicado SIM, de forma automática, todos los anteriores, dejan de
estar operativos. En paralelo, cualquier denuncia de acción fraudulenta de esta
tipología es escalada al departamento de Fraude para un análisis en profundidad para
poder solucionar los daños ocasionados y evaluar las acciones necesarias.
Por otra parte, si una vez entregada una tarjeta SIM, el cliente reporta una incidencia
en su uso o activación, a fin de reducir el riesgo de fraude, la Política de Seguridad de
LOWI prevé que se comprobará la identidad del solicitante, de acuerdo con lo previsto
en dicha Política para su superación, y la correcta asignación de la tarjeta SIM en los
sistemas de LOWI. Ante cualquier anomalía, si la solicitud consta realizada de manera
presencial en otro establecimiento, desde el establecimiento del distribuidor autorizado
deberán indicarle que el trámite deberá efectuarlo en el mismo establecimiento en que
se solicitó el duplicado.
7.- Sobre las acciones emprendidas para evitar que casos de este tipo se vuelvan a
producir. en concreto, cambios que se hayan podido realizar sobre el procedimiento
para mejorar la seguridad, fechas de implantación y controles efectuados para
comprobar su eficacia:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/42
En todo caso, LOWI trabaja de forma continua en mejorar las Políticas de Seguridad
para sus procesos de cambio y duplicados de SIM, así como para cualquier otro
proceso que conlleve posibles riesgos de fraudes o actuaciones irregulares para
nuestros clientes. En este sentido, se adjunta como Documento número 3,
instrucciones trasladadas por LOWI a su fuerza comercial en fecha 10, 11 y
19/10/2022 sobre los últimos cambios introducidos en la Política de Seguridad de
LOWI a raíz de las últimas prácticas empleadas por defraudadores para realizar
estafas y actuaciones fraudulentas, entre las cuáles el duplicado SIM.
Se comprueba que en el Documento número 3, consta copia de un correo electrónico
de 10/10/22 con Asunto Cambio de datos Cliente modificación Política de Seguridad,
con los cambios a esta política en dicho año.
“LOWI revisa y mejora continuamente su la Política de Seguridad y las actuaciones de
sus agentes y distribuidores autorizados. A tal efecto, se indican a continuación los
cambios efectuados en la Política de Seguridad de LOWI en relación con el trámite
relativo al cambio de SIM.
(…)
8.- Sobre la decisión adoptada a propósito de esta reclamación y acciones
emprendidas, incluyendo acreditación documental:
Se ha procedido a enviar una carta al reclamante sobre las gestiones que fueron
llevadas a cabo por LOWI para solucionar la incidencia.
Se adjunta como Documento número 4. En particular, se le informa que las
actuaciones denunciadas por el reclamante han sido calificadas como fraudulentas por
el Departamento de Fraude y se han implementado medidas de seguridad adicionales
sobre la cuenta de cliente del reclamante para que no se produzcan incidencias
similares en el futuro.
Se comprueba que dicho documento es una carta de 31/7/23, tras la reclamación
trasladada por esta Agencia.
Previamente a la remisión de dicha comunicación, LOWI ya se había puesto en
contacto con el reclamante, en el contexto de la denuncia interpuesta por éste ante la
Oficina Municipal de la información al Consumidor (OMIC) del Ayuntamiento de
***LOCALIDAD.1.
Se adjunta como captura de pantalla la respuesta remitida a la OMIC, en fecha
20/6/2023, en respuesta a la reclamación presentada el 14/6/23, informando que:
[…] con fecha 8 de febrero de 2023 se registran tres llamadas solicitando el cambio de
correo electrónico y la solicitud de una palabra de seguridad para futuras gestiones de
las líneas, en dichas llamadas se pasan todas las políticas de seguridad
implementadas en Lowi (…). Adjuntamos las llamadas […]. Con fecha 8 de febrero de
2023, solicitan desde la app de Lowi el duplicado de la tarjeta sim, confirmamos que la
dirección de la entrega del duplicado coincide con los datos facilitados en la petición.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/42
Adjuntamos justificante de entrega. […] referente a las gestiones de las entidades
bancarias, confirmamos que no podemos facilitar ninguna información adicional, ya
que desconocemos los procedimientos y políticas de seguridad de otras empresas.
LOWI suscribe con todos sus distribuidores acuerdos en los que se prevé el encargo y
las instrucciones para el tratamiento de datos y las medidas de seguridad aplicables
en atención al servicio prestado, los riesgos identificados y las categorías objeto de
tratamiento. Asimismo, los proveedores de mensajería reciben para cada entrega las
instrucciones para realizar la entrega al cliente, tras su debida identificación y la
verificación de identidad.
Se adjunta captura de pantalla de las instrucciones giradas a los distribuidores y
agentes comerciales en relación con cualquier incidencia relacionada con el cambio
de SIM.
Tras analizar la operación no reconocida el Departamento de Fraude calificó la
operación denunciada como fraudulenta y, en consecuencia, a fin de impedir que se
puedan reiterar hechos similares, se han adoptado medidas de seguridad adicionales
sobre la cuenta de cliente, a fin de que únicamente se puedan realizar gestiones en
caso de contactar con LOWI a través de las líneas objeto de contratación.
9.- Sobre cualquier otra información que considere relevante:
En lo que se refiere a la realización de transacciones bancarias de carácter
fraudulento como las que pone de manifiesto el reclamante en su reclamación, resulta
oportuno expresar que el cambio de una tarjeta SIM implica únicamente el acceso a la
línea de teléfono asociada a ésta, y no a los datos bancarios del titular.
Por tanto, no parece posible que exista una correlación entre los hechos ocurridos en
relación con mi representada y lo ocurrido con la entidad bancaria de la que es cliente
el reclamante. En este sentido, los movimientos bancarios que alega en su
reclamación no tienen su origen, ni han sido ocasionados en concepto de facturas por
servicios de LOWI que tuviese contratados, sino que se deben a accesos efectuados a
través de la cuenta de su entidad bancaria. Por ello, LOWI no puede ser responsable
de los accesos y movimientos bancarios que pudiesen haberse realizado de forma
fraudulenta, dado que para llevar a cabo los mismos se han tenido que superar las
políticas de seguridad de la entidad bancaria del reclamante, para lo cual se han
obtenido los datos del reclamante de sistemas ajenos a los de Vodafone y superar los
procedimientos de seguridad de otras entidades responsables de los mismos.
QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
VODAFONE ESPAÑA, S.A.U. es una gran empresa constituida en el año 1.994, y con
un volumen de negocios de 2.909.851.000 euros en el año 2024.
SEXTO: Con fecha 3 de febrero de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en
el Artículo 83.5.a) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/42
SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas
en la LPACAP, la parte reclamada solicitud de ampliación de plazo y copia del
expediente para formular alegaciones y con fecha 4 de marzo de 2025 presentó
escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente:
PRIMERA. – Afirma que la adopción de medidas técnicas y organizativas no es una
obligación absoluta manifestando que Vodafone ha cumplido con el principio de licitud
del tratamiento y con la obligación de adoptar medidas técnicas y organizativas
adecuadas para garantizar el mismo.
Asimismo, manifiesta que el responsable del tratamiento está sujeto a una obligación
de medios, no a una obligación de resultados en el sentido de entender que todo
incidente es un incumplimiento del deber de garantizar un nivel de seguridad
adecuado al riesgo. Por tanto, el hecho de que un tercero, mediante la comisión de
delitos, haya superado las medidas de seguridad de Vodafone no puede
automáticamente inferirse que Vodafone no ha sido diligente en la verificación de la
identidad del cliente y, por tanto, no ha tratado los datos personales de la reclamante
conforme al artículo 6.1 del RGPD.
Señala, asimismo, que Vodafone es responsable de adoptar medidas técnicas y
organizativas dirigidas a que los duplicados de tarjetas SIM sean facilitados a los
titulares de las líneas telefónicas
Indica, que todas las conductas realizadas por el estafador o ciberdelincuente en un
estadio anterior a la solicitud del duplicado de la tarjeta SIM caen fuera de la esfera de
control de Vodafone.
Expone Vodafone que, en el presente caso, el duplicado de tarjeta SIM se produjo a
través de la aplicación de Mi Lowi, lo que supone la previa obtención por parte de los
estafadores o ciberdelincuentes, mediante fraude, ingeniería social o argucia, de
determinados datos personales de los interesados, datos exigidos por Vodafone para
verificar la identidad del titular de la línea.
Aporta, la interacción en sistemas donde figura la fecha y hora del duplicado SIM
solicitado por el defraudador en la App de Mi Lowi, e indica el orden de cómo
acontecieron los hechos:
Detalla las medidas técnicas y organizativas implementadas por Vodafone para las
solicitudes de modificación del correo electrónico a través del Servicio de Atención al
Cliente de Vodafone, así como para las solicitudes de duplicados SIM a través de la
app de Mi Lowi.
SEGUNDA.- Subsidiariamente, y para el caso de que la Agencia entendiera que
Vodafone ha infringido el artículo 6.1 del RGPD, no puede apreciarse la existencia de
culpabilidad en las infracciones imputadas a Vodafone y, en consecuencia, no puede
imponerse a la misma sanción alguna.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/42
Señala que, con carácter subsidiario, en el caso de que esta Agencia entendiera que
Vodafone sí ha infringido el artículo 6.1 del RGPD, no procede la imposición de
sanción alguna a Vodafone por los motivos que señala.
El artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público, regula el principio de culpabilidad, en virtud del cual es necesario que el
supuesto infractor sea responsable de la infracción cometida. Así, dicho artículo
dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin
personalidad jurídica y los patrimonios independientes o autónomos, que resulten
responsables de los mismos a título de dolo o culpa".
Por ello, en el caso de que la Agencia entendiera que la conducta de Vodafone es
constitutiva de la infracción indicada en el Acuerdo de Inicio, es claro que no concurre
en la conducta de Vodafone culpabilidad alguna, ni a título de dolo ni a título de culpa.
Siguiendo con la interpretación realizada por el Tribunal Supremo, para la exculpación
no bastará la invocación de la ausencia de culpa, sino que será preciso que se haya
empleado la diligencia que era exigible por quien aduce su inexistencia (entre otras, la
Sentencia del Tribunal Supremo de 23 de enero de 1998 [RJ 1998\601]).
Asimismo, señala que la Audiencia Nacional ha entendido, en casos similares al
presente, en los que un tercero ha accedido, mediante actividades delictivas, a datos
de los interesados custodiados por un responsable del tratamiento, que imputar tales
hechos al responsable del tratamiento podría conllevar la vulneración del principio de
culpabilidad. A título de ejemplo, la Sentencia de la Audiencia Nacional (Sala de lo
Contencioso-Administrativo, Sección 1ª) de 25 de febrero de 2010 [JUR 2010/82723]:
"Así, aun cuando el artículo 9 de la LOPD establece una obligación de resultado,
consistente en que se adopten las medidas necesarias para evitar que los datos se
pierdan, extravíen o acaben en manos de terceros, tal obligación no es absoluta y no
puede abarcar un supuesto como el analizado.
Indica, que en ningún caso el duplicado de las tarjetas SIM del cliente de Vodafone
puede suponer la consideración de que Vodafone ha obrado culposamente. Por ello,
teniendo en cuenta la especial naturaleza del Derecho administrativo sancionador que
determina la imposibilidad de imponer sanciones sin tener en cuenta la culpabilidad y
la diligencia, o los errores que hayan podido determinar el incumplimiento de una
obligación legal, mantiene la improcedencia de la imposición de sanción alguna.
TERCERA.- Subsidiariamente, y para el caso de que la Agencia entienda que ha
existido infracción y deba imponerse una sanción a Vodafone, muestra su desacuerdo
con las circunstancias agravantes referidas por la Autoridad y considera que deberían
tenerse en cuenta las siguientes atenuantes.
Más subsidiariamente, para el supuesto de que la Agencia entendiera que sí que ha
existido infracción y que asimismo procede la imposición de una sanción a Vodafone,
considera que la misma deberá modularse a la baja atendiendo a las circunstancias
siguientes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/42
En su Acuerdo de Inicio, la Agencia entiende que, en relación con la supuesta
infracción del artículo 6.1 del RGPD, concurrirían los siguientes agravantes y
atenuantes:
1. Agravantes:
I. Toda infracción anterior cometida por el responsable o el encargado del tratamiento.
Es relevante destacar que los procedimientos sancionadores a los que hace referencia
la Agencia para fundamentar este agravante; EXP202204287, EXP202203914 y
EXP202203916, son relativos a clientes de Vodafone que no son clientes de la marca
Lowi y cuyos duplicados SIM se tramitaron por canales diferentes al del caso aquí
analizado, la app Mi Lowi.
En este sentido, se considera que los mismos, al no ser análogos al supuesto
analizado en este sancionador, no deben de ser aplicados como agravante. Tampoco
indica la Agencia en qué se parecen los hechos de estos casos con los existentes en
el presente Acuerdo de Inicio que fundamente y justifique la aplicación de la presente
agravante.
II. La vinculación de la actividad de Vodafone con la realización de tratamientos de
datos de carácter personal.
Efectivamente, existe una vinculación entre la actividad de Vodafone y el tratamiento
de datos personales de sus clientes que realiza para llevar a cabo la correcta
prestación de los servicios contratados y atender las solicitudes y peticiones que éstos
realicen.
La Agencia se limita a citar una sentencia de la Audiencia Nacional, 17/10/2007, la cual
hace referencia a la existencia de imprudencia cuando un responsable del tratamiento
no se comporta con la diligencia exigible debiendo insistirse en el rigor y el exquisito
cuidado para ajustarse a las prevenciones legales al respecto, para justificar la
imposición de esta agravante sin más motivación o detalle.
Por lo que este factor, no debe ser tenido en cuenta como agravante a la hora de
graduar la sanción.
Además, entendemos que también deberían tomarse en consideración las siguientes
atenuantes:
I. Vodafone procedió a solventar la incidencia objeto de reclamación de forma efectiva
en cuanto tuvo conocimiento de los hechos (art. 83.2 c del RGPD), procediendo a
regularizar la situación irregular de forma diligente.
Tal y como se ha manifestado, el duplicado SIM fue entregado el 9 de febrero de 2023
a las 11:51 horas, sin embargo, el duplicado SIM fue bloqueado por el Departamento
de Fraude el 10 de febrero de 2023.
A este respecto se adjunta captura de pantalla de los sistemas internos donde consta
el bloqueo del duplicado SIM en cuestión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/42
Asimismo, el Departamento de Fraude procedió a la activación del check de víctima de
fraude en los sistemas internos de Vodafone, incluyendo los datos personales del
reclamante en la agrupación de fraude y en los ficheros de prevención de Vodafone,
activando medidas de seguridad adicionales sobre sus datos para evitar que se pueda
producir un caso similar en el futuro.
Por todo ello se procedió a solventar correctamente la incidencia manifestada a las
pocas horas de que se produjera, realizando todos los trámites necesarios para
solventarla.
II. El grado de responsabilidad del responsable del tratamiento, habida cuenta de las
medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32
del RGPD.
Vodafone ha implementado medidas técnicas y organizativas adecuadas para el riesgo
generado, tendentes a asegurar que quien solicita el duplicado o cambio de una tarjeta
SIM es el titular de la línea.
III. El grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción entiende que su
grado de cooperación con la Agencia durante las actuaciones previas de inspección ha
sido alto.
IV. Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción Vodafone no ha obtenido ningún tipo de
beneficio o evitado pérdidas a raíz de la duplicación fraudulenta de tarjetas SIM, sino
todo lo contrario.
En este sentido, la actividad criminal llevada a cabo por los estafadores y
ciberdelincuentes también ha supuesto un perjuicio reputacional y una defraudación de
sus políticas de seguridad.
V. El sometimiento de Vodafone, de forma voluntaria, a mecanismos de resolución
alternativa de conflictos, en aquellos supuestos en los que existan controversias entre
aquellos y cualquier interesado (previsto en el Art. 76.2 h) de la LOPDGDD).
Por último, considera que, debería valorarse, como circunstancia atenuante, la
pertenencia de Vodafone a mecanismos alternativos de resolución de conflictos,
recogida en el artículo 76.2 h) de la LOPDGDD.
Al respecto, si bien es un hecho notorio, es necesario recordar que Vodafone ha
suscrito con AUTOCONTROL (Asociación para la Autorregulación de la Comunicación
Comercial) un protocolo que prevé mecanismos para la resolución privada de
controversias relativas a la protección de datos en el ámbito de contratación y
publicidad de servicios de comunicaciones electrónicas, con fecha 15 de septiembre
de 2017.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/42
Dicho código, de adhesión voluntaria, prevé expresamente que las resoluciones de las
reclamaciones en esta vía serán vinculantes para las empresas adheridas
voluntariamente —como es el caso de Vodafone—. Asimismo, recoge expresamente
que su adhesión podrá utilizarse para “demostrar el cumplimiento de las obligaciones
de protección de datos”. En este sentido, la propia Agencia es perfectamente
conocedora de esta iniciativa y la participación de Vodafone, puesto que colaboró en
su desarrollo y, para fomentar su adhesión por los diferentes operadores - 24 - de
telecomunicaciones, suscribió con AUTOCONTROL un protocolo general de actuación
al respecto.
En fecha 17 de enero de 2023, Vodafone se adhirió a la actualización del referido
Código de conducta de AUTOCONTROL para el “Tratamiento de datos en la actividad
publicitaria” —aprobado por la AEPD en fecha 28 de noviembre de 2022—, pudiendo
consultarse el total de entidades adheridas en el propio sitio web de AUTOCONTROL
(www.autocontrol.es/servicios/reclamaciones-de-proteccion-datos-
ypublicidad/empresas-adheridas).
Adicionalmente, el 9 de diciembre de 2024, Vodafone formalizó su adhesión al nuevo
Código de Conducta para la Resolución de Controversias de Protección de Datos en el
Sector de las Comunicaciones Electrónicas de AUTOCONTROL. Este nuevo código,
aprobado por la AEPD, extiende su ámbito de aplicación más allá de la actividad
publicitaria, cubriendo el tratamiento de datos en todo el sector de las comunicaciones
electrónicas, y entró en vigor el 17 de diciembre de 2024.
La pertenencia de Vodafone a estos mecanismos de autorregulación y resolución
alternativa de conflictos debería ser considerada como una circunstancia atenuante
relevante, en línea con el espíritu y la letra del artículo 76.2 h) de la LOPDGDD.
Solicita que tenga por presentado este escrito y todos los documentos que lo
acompañan y, en su virtud, tenga por efectuadas las manifestaciones en él contenidas
y, tras los trámites oportunos, acuerde: 1) El sobreseimiento del expediente con el
consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las
infracciones imputadas. 2) Subsidiariamente, que en caso de imponerse alguna
sanción se imponga en cuantía mínima, a la luz de las circunstancias atenuantes
indicadas en la Alegación Tercera del presente escrito.
OCTAVO: Con fecha 7 de noviembre de 2025, se emitió por el instructor del
expediente la propuesta de resolución y fue notificada electrónicamente el día 14 del
mismo mes y año y en la misma se proponía: “Que por la Presidencia de la Agencia
Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., con
NIF A80907397, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo
83.5.a) del RGPD, con una multa de 200.000 € (doscientos mil euros)”.
NOVENO: Con fecha 26 de noviembre de 2025, solicitó Vodafone ampliación de plazo
para formular alegaciones a la propuesta de resolución y el día 28 del mismo mes y
año le fue concedido. Con fecha 28 de noviembre de 2025 presentó las siguientes
alegaciones:
La primera alegación se centra en señalar que Vodafone ha actuado de forma diligente
en la medida en la que tiene implementados los procesos necesarios para identificar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/42
correctamente a sus clientes, siendo la adopción de medidas técnicas y organizativas
una obligación que no es absoluta.
La parte reclamada sostiene que ha implementado medidas técnicas y organizativas
adecuadas para identificar a sus clientes y evitar fraudes en la gestión de duplicados
de tarjetas SIM. A pesar de estas medidas, la parte reclamada indica que los
defraudadores pueden superar la seguridad mediante técnicas ilícitas para obtener
datos confidenciales, lo que no significa que la política sea insuficiente, sino que se
han obtenido los datos necesarios, por medios ajenos, para superar las medidas.
Asimismo, señala que tanto la Audiencia Nacional como la Agencia reconocen que la
obligación de adoptar medidas de seguridad no es absoluta, sino que es una
obligación de medios. En consecuencia, siempre existirá un riesgo residual en el
tratamiento de datos personales, incluso con medidas robustas.
De igual forma, afirma que las medidas implementadas por Vodafone cumplen con la
diligencia media exigible dentro del sector de telecomunicaciones, ejecutando el
duplicado de la tarjeta SIM sólo en el caso de que el solicitante acredite su identidad
mediante la aportación correcta de los datos exigidos por la Política de Seguridad.
Vodafone no pudo comprobar que la solicitud se estaba realizando por un tercero en la
medida en la que la identidad del estafador estaba oculta y se hacía pasar por el
cliente de Vodafone, superando mediante técnicas ilícitas las políticas de seguridad
establecidas por Vodafone.
El estafador facilita todos los elementos requeridos por la política de seguridad vigente
en el momento de los hechos, es decir, facilita, nombre, apellidos, DNI, ocho últimos
dígitos de la cuenta bancaria y correo electrónico existente en sistemas para modificar
el correo electrónico del reclamante por vía telefónica. Es decir, el estafador conocía
de forma previa todos los datos del reclamante y es por ello, que hasta en tres
ocasiones supera la política de seguridad de Vodafone.
Además, señala diferentes medidas técnicas y organizativas que ha implementado e
indica las acciones que lleva a cabo una vez que ha detectado un cambio de SIM
fraudulento.
En la segunda de sus alegaciones, Vodafone sostiene que si bien se va modificando
su política de seguridad para tratar de anticiparse a nuevos métodos criminales, dichas
organizaciones van evolucionando e implementando nuevas formas de actuación con
el fin de superar la seguridad de las operadoras, lo que hace que sea imposible una
anticipación a la actividad criminal en todos los casos.
En la tercera alegación, Vodafone asegura que el acceso a la tarjeta SIM nunca
conlleva el acceso a información bancaria, contraseñas, dirección de correo
electrónico, etc.
Señala que hay que diferenciar dos fases del proceso (i) Previo al duplicado: el
defraudador debería tener la información necesaria del cliente de Vodafone para
superar las políticas de seguridad. Esta información se habría obtenido de fuentes
ajenas a Vodafone, habilitando al delincuente a superar las medidas de seguridad
implementadas al suplantar la identidad del cliente. (ii) Posterior al duplicado: el
defraudador tendría únicamente acceso al servicio contratado por el cliente de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/42
Vodafone para dicha SIM, no teniendo acceso, como mera consecuencia del
duplicado, a información bancaria, contraseñas, dirección de correo electrónico, etc.
Indica, que el duplicado fraudulento de la tarjeta SIM no es una actuación necesaria
(hay entidades bancarias que no envían SMS con sus claves únicas) ni suficiente (se
requiere el acceso a otros datos y claves) para lograr acceder a las cuentas de los
sujetos afectados. Por lo que el defraudador pudo obtener los datos necesarios para
pasar la política de seguridad de Vodafone de la cuenta bancaria del reclamante. A
Vodafone podrán achacársele infracciones sólo respecto de aquellos tratamientos de
datos y medidas de seguridad de las que sea responsable, esto es, aquellas dirigidas
a garantizar que el solicitante del duplicado de la tarjeta SIM es el titular de la línea; no
están (ni pueden estar) dirigidas a evitar la suplantación de identidad ni a evitar el
acceso a las cuentas bancarias a través de la aplicación de la entidad de crédito en
cuestión.
En la cuarta de sus alegaciones señala “no puede apreciarse la existencia de
culpabilidad en las infracciones imputadas a Vodafone y, en consecuencia, no puede
imponerse a la misma sanción alguna”.
A este respecto, reitera las alegaciones efectuadas al acuerdo de inicio.
Afirma que la AEPD no considera todas las medidas que existían en el momento de
los hechos objeto de sanción ni las mejoras que la parte reclamada ha implementado,
obrando con la máxima diligencia exigible. En este sentido, la parte reclamada se
remite a las medidas técnicas y organizativas indicadas en la primera alegación.
Por otro lado, la AEPD sostiene que el principio de proactividad transfiere a la parte
reclamada la obligación de cumplir con la normativa y demostrar dicho cumplimiento.
Indica que ha cubierto ampliamente este aspecto, aportando los procesos
implementados y las interacciones en sus sistemas que evidencian el seguimiento de
los procedimientos pertinentes.
Por lo tanto, manifiesta que actuó con la diligencia debida, implementando las medidas
técnicas y organizativas necesarias a pesar de que la Agencia defiende que existe
dolo o culpa únicamente observando el resultado de los hechos, sin considerar todas
las medidas de seguridad implementadas para evitar el fraude. Señala que esta lógica
impone a la parte reclamada la obligación de evitar todos los fraudes, convirtiéndose
en una obligación absoluta, no de medios, lo que contradice lo dispuesto por la
Audiencia Nacional.
En la quinta alegación señala que, “subsidiariamente, y para el caso de que la Agencia
entienda que ha existido infracción y deba imponerse una sanción a Vodafone,
deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes”.
En este sentido, la parte reclamada discrepa de los motivos expuestos por la Agencia
para desestimar la reducción de la sanción por los motivos que se incluyen a
continuación.
Sobre los agravantes aplicados por la Agencia a la hora de evaluar la sanción, la parte
reclamada se reitera en lo dispuesto en las Alegaciones al Acuerdo de Inicio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/42
Sobre los atenuantes no aplicados por la Agencia a la hora de evaluar la sanción, la
parte reclamada entiende que deberían tomarse en consideración las siguientes:
- Que procedió a solventar la incidencia objeto de reclamación de forma efectiva
en cuanto tuvo conocimiento de los hechos. La parte reclamada manifiesta que
procedió a solventar la incidencia de manera rápida y efectiva, tomando todas
las medidas necesarias para solventarla. A este respecto se procedió al
bloqueo de la Tarjeta SIM fraudulenta, así como a la identificación de la
reclamante como víctima de fraude.
- El grado de responsabilidad del responsable del tratamiento, habida cuenta de
las medidas técnicas u organizativas aplicadas. La parte reclamada manifiesta
que esta Autoridad deberá explicar con mayor detalle porque considera que no
procede la atenuante.
- El grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos de la infracción. La parte
reclamada entiende que esta Autoridad deberá explicar con mayor detalle
porque considera que no procede la atenuante.
- Cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso. La parte reclamada manifiesta que no ha obtenido ningún beneficio
financiero ni evitado pérdidas a raíz de la duplicación fraudulenta de tarjetas
SIM, sino que ha sufrido perjuicios reputacionales y defraudación de sus
políticas de seguridad.”
Por todo lo anterior, solicita el sobreseimiento del expediente con el consiguiente
archivo de las actuaciones, por considerar no haber cometido ninguna de las
infracciones imputadas y por lo tanto poder apreciarse la existencia de culpabilidad. Y
subsidiariamente, que en caso de imponerse alguna sanción se imponga en cuantía
mínima, a la luz de las circunstancias atenuantes indicadas.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO. – Queda acreditado que el día 9 de febrero de 2023, se tramitó por parte
de Vodafone un duplicado de la tarjeta SIM sobre la línea ***TELÉFONO.1
perteneciente a la parte reclamante.
Dicho hecho ha sido puesto de manifiesto por la parte reclamante y afirmado por
Vodafone durante el traslado y actuaciones de investigación efectuadas por la
presente autoridad.
SEGUNDO. – De las capturas de pantalla que adjunta Vodafone junto a sus
alegaciones de fecha 4 de marzo de 2025, ha quedado acreditado que el mencionado
duplicado de tarjeta fue realizado en los siguientes términos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/42
1. Se solicita una modificación del correo electrónico de la parte reclamante a través
del Servicio de Atención al Cliente de Vodafone por el tercero con fecha 8 de febrero
de 2023, previo paso de la Política de Seguridad de Vodafone a las 14:57, 15:16 y
15:39 horas.
2. El tercero solicita un duplicado SIM a través de la app Mi Lowi App el mismo día 8
de febrero de 2023 a las 15:54 horas, después de que el tercero hubiera realizado una
modificación del correo electrónico
3. El duplicado SIM se entrega por los servicios de Correos Express el día 9 de febrero
de 2023 a las 11:51 horas. Dicha entrega se produjo previo suministro, por parte del
tercero, de los datos personales identificativos correspondientes al reclamante
TERCERO. – Ha quedado acreditado que la política de seguridad de Vodafone
respecto a la solicitud de modificación del correo electrónico a distancia (a través de
llamada), es la siguiente:
En el apartado “Modificación de Email” de la Política de Seguridad aportada por
Vodafone como documento número 3 a las alegaciones presentadas el 31 de julio de
2023, se establece la siguiente advertencia: “Verificar que llama desde un teléfono que
tenga contratado, activo, e incluido en su ficha de cliente.
Si llama desde otro teléfono, aunque sea el de contacto, realizaremos una llamada
saliente, y sólo realizaremos la gestión, si en esa llamada somos atendidos por el
titular y es conocedor de que vamos a realizar la modificación”.
CUARTO. - De las actuaciones de investigación efectuadas, consta acreditado que la
política de seguridad de Vodafone vigente desde el año 2022, establecía que las
solicitudes deben realizarse desde una línea vinculada al contrato del cliente o, en su
defecto, se debe realizar una llamada de verificación al número registrado, siendo en
el presente caso el número llamante de otra compañía, no contratado con Vodafone ni
tampoco incluido en la ficha del reclamante, y tampoco se realizó la llamada de
verificación por parte de Vodafone.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/42
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”
II
Cuestiones previas
El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.
Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier
operación o conjunto de operaciones realizadas sobre datos personales o conjuntos
de datos personales, ya sea por procedimientos automatizados o no, como la
recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación,
supresión o destrucción;
Además, el artículo 4.7 del RGPD establece que el «responsable del tratamiento» o
«responsable» es: la persona física o jurídica, autoridad pública, servicio u otro
organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si
el Derecho de la Unión o de los Estados miembros determina los fines y medios del
tratamiento, el responsable del tratamiento o los criterios específicos para su
nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros.
Una tarjeta SIM es una tarjeta inteligente que contiene un chip en el que se almacena
el número de línea telefónica móvil del cliente, así como el número de identificación
personal, pero que también puede proporcionar otro tipo de datos como la información
sobre el listado telefónico o el de llamadas y mensajes. Por tanto, a los efectos de los
artículos 4.1 y 4.2 del RGPD la emisión de duplicados de tarjetas SIM supone un
tratamiento de datos personales.
Vodafone realiza esta actividad en su condición de responsable del tratamiento dado
que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.
III
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/42
Contestación a las alegaciones al acuerdo de inicio
Se procede a dar respuesta a las mismas según el orden expuesto por Vodafone.
En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:
PRIMERA. - La parte reclamada afirma que ha actuado de forma diligente en la
medida en la que tiene implementados los procesos necesarios para identificar
correctamente a sus clientes, siendo la adopción de medidas técnicas y organizativas
una obligación que no es absoluta.
En primer lugar, y sobre que la adopción de medidas técnicas y organizativas no es
una obligación absoluta, debe indicarse que es cierto que no se exige una obligación
de resultado, sino de medios, pero para evaluar la aplicación de dichos medios e
implementación de medidas y su consideración como “adecuadas” es inevitable
analizar los métodos utilizados por el tercero para acceder ilícitamente al proceso de
duplicado, las salvaguardas implementadas por Vodafone e inevitablemente, el
resultado. Esos tres elementos son los que van a determinar la adecuación al riesgo y
no como pretende centrar el debate, Vodafone sobre si es infalible o no su sistema.
El enfoque de riesgos y el modelo flexible al riesgo impuesto por el RGPD -partiendo
de la doble configuración de la seguridad como un principio relativo al tratamiento y
una obligación para el responsable o el encargado del tratamiento- no impone en
ningún caso la infalibilidad de las medidas, sino su adecuación constante a un riesgo,
que, como en el supuesto examinado es cierto, probable y no desdeñable, alto y con
un impacto muy significativo en los derechos y libertades de los ciudadanos.
En resumen, esta alegación no puede prosperar, porque ha quedado constatado que
la actuación susceptible de ser considerada fraudulenta deviene de la no adopción de
medidas adecuadas para garantizar que la persona que solicita modifica los datos
correspondientes a un cliente sea, efectivamente, dicho cliente.
En segundo lugar, Vodafone señala que estamos ante un tercero cuyo propósito es,
mediante una actividad delictiva, superar dichas medidas de seguridad.
Para ello, hace referencia Vodafone, para su descargo, al conjunto de medidas de
seguridad que ha adoptado, las cuales son las mínimas exigibles a cualquier
organización con las características y en el contexto en el que actúa una operadora de
telecomunicaciones.
No obstante, ha quedado en evidencia que dichas medidas de seguridad no han sido
las adecuadas para garantizar que un tercero ajeno tuviera acceso a datos personales
de la parte reclamante. Máxime como, en este caso concreto, y antes de la
modificación de datos a través de la app MiLowi, un tercero ajeno al reclamante ha
modificado hasta en tres ocasiones el correo electrónico asociado a la cuenta del
reclamante. Y que en esas tres ocasiones proporcionó, en cada una de ellas, una
dirección de correo electrónico diferente.
En este sentido, Vodafone hace mención en su descargo a la actuación de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
21/42
delincuentes. La falta de medidas de seguridad es un hecho objetivo; tal
incumplimiento resulta ajeno, además, a la actuación de los terceros a quienes
Vodafone ha cedido los datos, en el sentido de que la actividad delictiva llevada a cabo
por estos últimos no influye en la comisión de la infracción. Más bien al contrario, la
falta de medidas de seguridad adecuadas es lo que posibilita la actividad delictiva.
La intervención fraudulenta de un tercero, lo que ha revelado es el deficiente análisis
de los riesgos, así como la insuficiente implantación, revisión y control de las medidas
de seguridad por parte de la operadora. Tercero ajeno al titular de los datos ha
superado las medidas de seguridad establecidas por Vodafone. Esto nos muestra que
la identificación del titular de los datos no se producía con las suficientes garantías.
En suma, una falta de medidas de seguridad apropiadas y un incumplimiento de las
obligaciones derivadas de la responsabilidad proactiva, máxime cuando los “errores”
persisten en el tiempo y ponen de manifiesto reiterados cambios en los datos
asociados al reclamante, en cortos periodos de tiempo, y aportando en cada uno de
estos cambios, un dato diferente.
Al respecto hay que señalar que precisamente evitar que nos encontremos ante el
fraude de un tercero hace que sea necesario asegurarse que la persona a la que se
expide el duplicado de la tarjeta SIM es quien realmente dice ser y deben adoptarse
las medidas necesarias de prevención adecuadas para verificar la identidad de una
persona cuyos datos van a ser objeto de tratamiento tal y como se reconoce en el
Fundamento Jurídico Séptimo de la SAN, SCA, de 5 de mayo de 2021 (“Por otro lado,
en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como
dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012) -: " Precisamente por eso,
es necesario asegurarse que la persona que contrata es quien realmente dice ser y
deben adoptarse las medidas de prevención adecuadas para verificar la identidad de
una persona cuyos datos personales van a ser objeto de tratamiento...").
A lo largo del presente procedimiento Vodafone ha manifestado reiteradamente que los
duplicados fraudulentos de las tarjetas se han producido tras haber superado los
defraudadores su política de seguridad. Considera que es inevitable que a pesar de la
existencia de la política de seguridad pueda haber casos en los que a través de ciertos
mecanismos dicha política de seguridad pueda ser sobrepasada de forma fraudulenta
sin que por ello pueda existir reproche a Vodafone.
Sin embargo, ha quedado probado que la política de seguridad de Vodafone ha
resultado insuficiente para la adecuada protección de los derechos fundamentales de
la parte reclamante cuya tarjeta SIM ha sido fraudulentamente duplicada.
Vodafone señala que la realización de un duplicado SIM no conlleva el acceso a
información bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes
de la parte reclamada, sino a los servicios de móvil e internet que pudieran tener
contratados.
La parte reclamada manifiesta que la emisión de los duplicados de la tarjeta SIM no es
suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente,
para completar la estafa, es necesario que un tercero “suplante la identidad” del titular
de los datos ante la entidad financiera. Obvia la reclamada que dichas actuaciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
22/42
serían posteriores a un tratamiento de datos personales atribuible en este caso a la
reclamada sin base de legitimación.
Por dicha razón, este es un proceso en donde la diligencia prestada por las
operadoras es fundamental para garantizar que el tratamiento de datos personales se
realiza en cumplimiento de lo establecido en la normativa de protección de datos y,
más en concreto, contando con una base de licitud del tratamiento, tal y como
propugna el art. 6 del RGPD. Diligencia que se traduce en el establecimiento de
medidas adecuadas para garantizar que el tratamiento de datos sea conforme al
RGPD.
A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta
SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que
contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado
usada para identificarse ante la red, esto es, el número de línea telefónica móvil del
cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de
la Red Digital de Servicios Integrados-), así como el número de identificación personal
del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del
Abonado móvil-) pero también puede proporcionar otro tipo de datos como la
información sobre el listado telefónico o el de llamadas y mensajes.
Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los
datos personales de su titular ya que se considerará persona física identificable toda
persona cuya identidad pueda determinarse, directa o indirectamente, en particular
mediante un identificador (artículo 4.1) del RGPD).
Por lo tanto, en la medida en que la tarjeta SIM identifica un número de teléfono este
número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el
asunto C -101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El
concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva
95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de
dicha Directiva "toda información sobre una persona física identificada o identificable".
Este concepto incluye, sin duda, el nombre de una persona junto a su número de
teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones».
En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la
tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca
al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar
sujeto a la normativa de protección de datos.
Es cierto que el sistema de verificación de las entidades bancarias responde a la
voluntad de estas y no de Vodafone. No obstante, también es cierto que, si Vodafone
asegurase el procedimiento de identificación y entrega, ni siquiera podría activarse el
sistema de verificación de las entidades bancarias. La persona estafadora tras
conseguir la activación de la nueva SIM, toma el control de la línea telefónica,
pudiendo así, a continuación, realizar operaciones bancarias fraudulentas accediendo
a los SMS que las entidades bancarias envían a sus clientes como confirmación de las
operaciones que ejecutan. En definitiva, desde el momento que se entrega un
duplicado a una persona distinta al titular de la línea o persona autorizada, el cliente
pierde el control de la línea y los riesgos, daños y perjuicios, se multiplican. Además,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
23/42
los hechos acontecen con una inmediatez abrumadora.
Vodafone insiste respecto del grado de responsabilidad que, en su caso, pueda
achacárseles, no puede hacerse depender de una actuación de un tercero que escapa
su control, esto es: las medidas de seguridad implementadas por una u otra entidad
bancaria o incluso el hecho de que el afectado disponga o no de banca electrónica.
En relación con esta alegación, amén de lo ya indicado anteriormente, el grado de
responsabilidad cae dentro de su ámbito y no de terceros, debiendo señalar que la
SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por
otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero,
como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por
eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser
y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de
una persona cuyos datos personales van a ser objeto de tratamiento”.
SEGUNDA. - No puede apreciarse la existencia de culpabilidad en las infracciones
imputadas a la parte reclamada y, en consecuencia, no puede imponerse a la misma
sanción alguna.
Por otro lado, y estrictamente en cuanto a la negligencia en la actuación de Vodafone,
cabe señalar que la SAN -Sala Contencioso-Administrativo- 392/2015, de 17 de
noviembre que en su Fundamento Jurídico Tercero recoge la doctrina del Tribunal
Constitucional sobre la aplicación al derecho administrativo sancionador de los
principios del orden penal, en los siguientes términos:
El Tribunal Constitucional ha declarado reiteradamente que los principios del orden
penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos
matices, al derecho administrativo sancionador, al ser ambos manifestaciones del
ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el
ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya
virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin
acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y
164/2005).
El principio de culpabilidad, garantizado por el artículo 25 de la Constitución, limita el
ejercicio del "ius puniendi" del Estado y exige, según refiere el Tribunal Constitucional
en la sentencia 129/2003, de 20 de junio, que la imposición de la sanción se sustente
en la exigencia del elemento subjetivo de culpa, para garantizar el principio de
responsabilidad y el derecho a un procedimiento sancionador con todas las garantías
(STS de 1 de marzo de 2012, Rec 1298/2009).
Ciertamente, el principio de culpabilidad, previsto en el artículo 130.1 de la Ley
30/1992, de 26 noviembre, de Régimen Jurídico de las Administraciones Públicas y del
Procedimiento Administrativo Común, dispone que solo pueden ser sancionados por
hechos constitutivos de infracción administrativa los responsables de los mismos, aún
a título de simple inobservancia. Obviamente, ello supone que dicha responsabilidad
sólo puede ser exigida a título de dolo o culpa, quedando desterrada del ámbito del
derecho administrativo sancionador la llamada "responsabilidad objetiva", y
comprendiendo el titulo culposo la imprudencia, negligencia o ignorancia inexcusable.
Esta "simple inobservancia" no puede ser entendida, por tanto, como la admisión en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
24/42
derecho administrativo sancionador de la responsabilidad objetiva, pues la
jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias de
24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional
(después de su STC 76/1990 ), destacan que el principio de culpabilidad, aún sin
reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y
prohibición de exceso ( artículo 25.1 CE ), o de las propias exigencias inherentes a un
Estado de Derecho, por lo que se requiere la existencia de dolo o culpa (en este
sentido STS de 21 de enero de 2011, Rec 598/2008 ).
No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se
corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables
a la conducta humana. De modo que, en el caso de infracciones cometidas por
personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se
aplica necesariamente de forma distinta a como se hace respecto de las personas
físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de
la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción
jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido
estricto, pero no la capacidad de infringir las normas a las que están sometidos.
Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien
jurídico protegido por la norma que se infringe y la necesidad de que dicha protección
sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona
jurídica que está sujeta al cumplimiento de dicha norma " (en este sentido STS de 24
de noviembre de 2011, Rec 258/2009).
A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998 ,
parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005 , y de 23
de octubre de 2010, Rec 1067/2006 , que "aunque la culpabilidad de la conducta debe
también ser objeto de prueba, debe considerarse en orden a la asunción de la
correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos
necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su
exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente
normativa, que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia; no basta, en suma, para la exculpación frente a un comportamiento
típicamente antijurídico la invocación de la ausencia de culpa".
En el supuesto que nos atañe Vodafone no ha cumplido con sus propias medidas,
dado que la parte reclamada facilitó y modificó los datos personales de la parte
reclamante sin su consentimiento ni amparo en otra base jurídica válida. Tanto el
cambio del correo electrónico asociado a la cuenta del reclamante efectuado en las
llamadas efectuadas por el tercero ajeno al reclamante , habrían llevado a cabo sin
una verificación adecuada de su identidad, sin garantizar que la llamada se efectuaba
con a través de la línea del cliente que solicitaba el cambio, permitiendo cambios
sucesivos en la dirección de correo electrónico asociado al reclamante y advirtiendo de
la situación sólo tras comunicación expresa del cliente afectado, hoy reclamante ante
la AEPD; y por lo tanto resulta notoria la existencia de antijuridicidad y culpabilidad en
la conducta infractora de la entidad responsable del tratamiento de los datos
personales, Vodafone, quien como responsable del tratamiento de datos de emisión de
duplicados de tarjetas SIM, decide sobre la finalidad, contenido y uso de los datos
personales incluidos en el tratamiento, tiene la obligación de obrar con mayor
diligencia a la hora de tramitar la emisión de duplicados, asegurándose de contar con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
25/42
el consentimiento de su verdadero titular, a fin de no incurrir en el tratamiento no
consentido de sus datos personales. Dicha condición impone un deber especial de
diligencia a la hora de llevar a cabo el tratamiento de los datos personales, en lo que
atañe al cumplimiento de los deberes que la legislación sobre protección de datos
establece para garantizar los derechos fundamentales y las libertades públicas de las
personas físicas, y especialmente su honor e intimidad personal y familiar, cuya
intensidad se encuentra potenciada por la relevancia de los bienes jurídicos protegidos
por aquellas normas y la profesionalidad de los responsables o encargados, máxime
cuando operan con ánimo de lucro en el mercado de datos; en este sentido se ha
pronunciado también la SAN 392/2015, de 17 de noviembre (Ver su Fundamento de
Derecho Tercero).
Al respecto, resulta significativo que la operadora responsable del tratamiento no
justifique debidamente la concurrencia en su conducta de la diligencia que le era
exigible ni acredite la adopción de las cautelas exigibles para evitar el tratamiento no
consentido del dato de carácter personal que nos ocupa (la emisión de duplicado de
tarjeta SIM de forma fraudulenta), que debe atribuirse a la conducta negligente de
Vodafone, utilizándose por un tercero los datos personales del reclamante pasando las
medidas de seguridad para realizar el duplicado de la tarjeta SIM.
En cuanto a la responsabilidad de Vodafone, debe indicarse que, con carácter general
Vodafone trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1 b)
del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato
en el que el interesado es parte o para la aplicación a petición de este de medidas
precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases
previstas en el artículo 6.1.a), c), e) y f) del RGPD.
Por dicha razón, este es un proceso en donde la diligencia prestada por la operadora
es fundamental para garantizar que el tratamiento de datos que realiza se efectúe con
pleno cumplimiento de la normativa de protección de datos y, más en concreto, con el
principio de licitud del tratamiento establecido en el art. 6 RGPD.
El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos
encontramos ante un derecho fundamental a la protección de datos por el que se
garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y
sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la
dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de
datos se configura como una facultad del ciudadano para oponerse a que
determinados datos personales sean usados para fines distintos a aquel que justificó
su obtención.
Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un
derecho autónomo e independiente que consiste en un poder de disposición y de
control sobre los datos personales que faculta a la persona para decidir cuáles de esos
datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este
tercero recabar, y que también permite al individuo saber quién posee esos datos
personales y para qué, pudiendo oponerse a esa posesión o uso.
En cuanto a la conducta de Vodafone se considera que responde al título de culpa.
Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada
o dedicada específicamente a la gestión de los datos de carácter personal de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
26/42
clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir,
desde la óptica de la culpabilidad, estamos ante un error vencible ya que con la
aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones
de identidad se hubieran podido evitar.
Es el considerando 74 del RGPD el que dice: Debe quedar establecida la
responsabilidad del responsable del tratamiento por cualquier tratamiento de datos
personales realizado por él mismo o por su cuenta. En particular, el responsable debe
estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la
conformidad de las actividades de tratamiento con el presente Reglamento, incluida la
eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el
ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y
libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección
de los derechos y libertades de los interesados, así como la responsabilidad de los
responsables y encargados del tratamiento, también en lo que respecta a la
supervisión por parte de las autoridades de control y a las medidas adoptadas por
ellas, requieren una atribución clara de las responsabilidades en virtud del presente
Reglamento, incluidos los casos en los que un responsable determine los fines y
medios del tratamiento de forma conjunta con otros responsables, o en los que el
tratamiento se lleve a cabo por cuenta de un responsable.
TERCERA. - Subsidiariamente, y para el caso de que la Agencia entendiera que la
parte reclamada ha infringido el artículo 6.1 del RGPD, no puede apreciarse la
existencia de culpabilidad en las infracciones imputadas a la parte reclamada y, en
consecuencia, no puede imponerse a la misma sanción alguna.
Asimismo, solicita Vodafone con carácter subsidiario que esta Agencia acuerde el
archivo del procedimiento por inexistencia de culpabilidad.
Efectivamente, la AEPD ha cordado en numerosas ocasiones, en cumplimiento del
principio de culpabilidad, el archivo de procedimientos sancionadores en los que no
concurría el elemento de la culpabilidad del sujeto infractor. Supuestos en los que,
pese a existir un comportamiento antijurídico, había quedado acreditado que el
responsable había obrado con toda la diligencia que resultaba exigible, por lo que no
se apreciaba culpa alguna en su conducta. Ese ha sido el criterio mantenido por la
Sala de lo Contencioso Administrativo, sección 1ª, de la Audiencia Nacional. Pueden
citarse, por ser muy esclarecedoras, las siguientes sentencias:
- SAN de 26 de abril de 2002 (Rec. 895/2009) que dice:
“En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es
lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad
el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la
Resolución es analizar la suficiencia de las medidas desde los parámetros de
diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena
diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar
diligente, no cabe afirmar ni presumir la existencia de culpa alguna.”
- SAN de 29 de abril de 2010, Fundamento Jurídico sexto, que, a propósito de una
contratación fraudulenta, indica que “La cuestión no es dilucidar si la recurrente trató
los datos de carácter personal de la denunciante sin su consentimiento, como si
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
27/42
empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con
la que suscribió el contrato”.
Ahora bien, es el presente caso y en conexión con lo expuesto hay que referirse al
artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el
responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el
apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo
6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad
transfiere al responsable del tratamiento la obligación no solo de cumplir con la
normativa, sino también la de poder demostrar dicho cumplimiento.
El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido
durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son
aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es
la obligación del responsable del tratamiento de aplicar medidas que, en
circunstancias normales, garanticen que en el contexto de las operaciones de
tratamiento se cumplen las normas en materia de protección de datos y en tener
disponibles documentos que demuestren a los interesados y a las Autoridades de
control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en
materia de protección de datos.
El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a
adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder
demostrar” que el tratamiento es conforme con el RGPD. El precepto establece:
“Responsabilidad del responsable del tratamiento”
“1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento,
así como los riesgos de diversa probabilidad y gravedad para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará medidas
técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el
tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y
actualizarán cuando sea necesario.
2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre
las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del
responsable del tratamiento, de las oportunas políticas de protección de datos.
3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados
como elementos para demostrar el cumplimiento de las obligaciones por parte del
responsable del tratamiento.”
El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”,
establece:
“1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza,
ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y
gravedad que entraña el tratamiento para los derechos y libertades de las personas
físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los
medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y
organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma
efectiva los principios de protección de datos, como la minimización de datos, e
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
28/42
integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del
presente Reglamento y proteger los derechos de los interesados.
2.[...]”.
Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que,
después de referirse a que las entidades en las que el desarrollo de su actividad
conlleva un continuo tratamiento de datos de clientes y terceros han de observar un
adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que
existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir,
cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del
grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto,
y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la
recurrente es de constante y abundante manejo de datos de carácter personal ha de
insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al
respecto
Subsidiariamente, y para el caso de que la Agencia entienda que ha existido infracción
y deba imponerse una sanción a la parte reclamada.
Vodafone solicita que se aprecien las siguientes circunstancias atenuantes:
- Que procedió a solventar la incidencia objeto de la reclamación de forma
efectiva en cuanto tuvo conocimiento de los hechos.
- El grado de responsabilidad del responsable del tratamiento, habida cuenta de
las medidas técnicas u organizativas que hayan aplicado en virtud de los
artículos 25 y 32 del RGPD.
- El grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos de la infracción.
- Cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.
- El sometimiento de Vodafone, de forma voluntaria, a mecanismos de resolución
alternativa de conflictos, en aquellos supuestos en los que existan
controversias entre aquellos y cualquier interesado (previsto en el Art. 76.2 h)
de la LOPDGDD).
Estas alegaciones se contestan en el apartado V (Sanción de multa: Determinación del
importe).
CUARTA. - Que, a efectos de demostrar la ausencia de la infracción, así como la falta
de culpabilidad de mi representada en el presente expediente, o, en su caso, modular
a la baja la sanción propuesta por la Agencia, esta parte estima necesario que se
admita la práctica de las siguientes pruebas:
En apoyo a su pretensión Vodafone aporta documentación -prueba documental- en
concreto: 1) Como Documento 1, contrato marco canal especialista exclusivo de punto
de venta estándar. 2) Como Documento 2, Anexo I contrato canal especialista
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
29/42
exclusivo de punto de venta estándar. 3) Como Documento 3, política de seguridad
para contratación de particulares Vodafone, de marzo de 2022. 4) Como Documento 4,
política de seguridad para contratación de particulares Vodafone, en su versión
actualizada de enero de 2024.
Las pruebas aportadas una vez examinadas no quiebran la responsabilidad y
culpabilidad de Vodafone como se ha visto en la respuesta dada a sus alegaciones.
IV
Contestación a las alegaciones presentadas a la Propuesta de Resolución
A continuación, se procede a dar respuesta a las alegaciones presentadas por
Vodafone, que son, en líneas generales, una reiteración de las presentadas al acuerdo
de inicio y contestadas en la propuesta de resolución.
Respecto a la primera y segunda de las alegaciones por la que se indica que Vodafone
ha actuado de forma diligente en la medida en la que tiene implementados los
procesos necesarios para identificar correctamente a sus clientes, siendo la adopción
de medidas técnicas y organizativas una obligación que no es absoluta.
En primer lugar, y sobre que la adopción de medidas técnicas y organizativas no es
una obligación absoluta, debe indicarse que en el caso que nos ocupa ha sido la
propia parte reclamada la que ha admitido que no se han seguido los propios
procedimientos y políticas de seguridad. En este sentido, valorar si las medidas
previamente adaptadas fueron o no adecuadas resulta irrelevante, puesto que dichas
medidas no han sido seguidas por la propia parte reclamada.
La adopción de las medidas técnicas y organizativas presupone un cumplimiento de
las mismas, en caso contrario, no queda garantizado el derecho a la protección de
datos.
A este respecto, además, conviene señalar que la SAN de 29 de octubre de 2024, rec.
1824/2021, dispone que:
“…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no
estamos ante un requisito meramente formal, sino material. En este sentido, y en línea
con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec.
7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios
también es necesaria su correcta implantación y su utilización de forma apropiada, de
modo que también responderá por la falta de la diligencia en su utilización, entendida
como una diligencia razonable atendiendo a las circunstancias del caso", lo que no
implica que se exija una obligación de resultado”.
En el presente caso no se está sancionando la existencia o ausencia de medidas
técnicas y organizativas, sino el hecho de que, en este caso específico, el tratamiento
de los datos personales del reclamante fue llevado a cabo sin cumplir con los
requisitos de licitud establecidos en el artículo 6.1 del RGPD. La infracción de este
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
30/42
artículo confirma que la parte reclamada realizó un tratamiento no autorizado de los
datos, vulnerando de esta forma los derechos de la parte reclamante.
En segundo lugar, Vodafone señala que estamos ante un tercero cuyo propósito es,
mediante una actividad delictiva, superar dichas medidas de seguridad.
Para ello, hace referencia Vodafone, para su descargo, al conjunto de medidas de
seguridad que ha adoptado, las cuales son las mínimas exigibles a cualquier
organización con las características y en el contexto en el que actúa una operadora de
telecomunicaciones.
Respecto a dicha cuestión, conviene indicar que el hecho consistente en el tratamiento
ilícito de los datos del reclamante por parte de Vodafone no se debió a que un tercero
superase las medidas de seguridad, sino al incumplimiento de los protocolos de
seguridad internos, tal y como la propia parte reclamada ha reconocido. Como se
indica en el hecho probado cuarto, consta acreditado que la política de seguridad de
Vodafone vigente desde el año 2022, establecía que las solicitudes deben realizarse
desde una línea vinculada al contrato del cliente o, en su defecto, se debe realizar una
llamada de verificación al número registrado, siendo en el presente caso el número
llamante de otra compañía, no contratado con Vodafone ni tampoco incluido en la
ficha del reclamante, y tampoco se realizó la llamada de verificación por parte de
Vodafone.
En este sentido, la mera existencia de una política de seguridad no puede justificar el
cumplimiento del principio de licitud previsto del artículo 6.1 del RGPD. Además de
existir, estas medidas deben resultar efectivas y el responsable del tratamiento debe
de garantizar que se cumplan estrictamente en todo momento. En caso contrario, las
medidas adoptadas carecen de virtualidad y puede conllevar tratamientos ilícitos como
ocurre en el presente caso.
Por lo tanto, la cuestión aquí no radica en el nivel de sofisticación del ataque delictivo
del tercero, sino en el incumplimiento de las propias medidas que permitieron el
tratamiento ilícito de datos personales. La parte reclamada no puede exonerar su
responsabilidad apelando a la existencia de medidas mínimas cuando el fallo estuvo
en la aplicación de esas medidas, permitiendo una infracción de la licitud del
tratamiento.
La parte reclamada manifiesta que la emisión de los duplicados de la tarjeta SIM no es
suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente,
para completar la estafa, es necesario que un tercero “suplante la identidad” del titular
de los datos ante la entidad financiera. Al respecto se señala que la propia emisión de
un duplicado de la tarjeta SIM supone un tratamiento de datos personales en sí
mismo, que es objeto del presente procedimiento sancionador.
Sin perjuicio de lo anterior, los efectos que dicho tratamiento puede tener en los
afectados pueden ser de grandes dimensiones puesto que la obtención de un
duplicado de una tarjeta SIM es un elemento necesario para acceder a datos realizar
operaciones bancarias en nombre de los titulares, como recoge la sentencia de
13/05/2024, Rec. 0002336/2021, de la Audiencia Nacional al declarar que “(…) en la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
31/42
primera fase de este tipo de estafas el suplantador consigue, de manera fraudulenta,
los datos de acceso o las credenciales de la banca online del cliente, pero le falta por
conocer el código de verificación, segundo factor de autentificación, para poder
ejecutar cualquier operación. En el momento en el que logra la tarjeta SIM duplicada
ya tiene también acceso a este segundo factor de autentificación y, por tanto, desde
ese momento puede realizar los actos de disposición patrimonial que desee”.
Por tanto, la simple utilización de una tarjeta SIM por un tercero no autorizado implica
ya de por sí un tratamiento ilícito. Debe de tenerse en cuenta que la posesión de un
duplicado de tarjeta aumenta el riesgo para su titular, pues el suplantador puede
poseer datos adicionales que pueden producir efectos más gravosos, como la
realización de operaciones financieras no deseadas, como acaeció en el caso de la
parte reclamante.
Por dicha razón, facilitar un duplicado de tarjeta es un proceso donde la diligencia
prestada por los operadores es fundamental para evitar este tipo de estafas y
vulneraciones del RGPD. Dicha diligencia que se traduce en el cumplimiento de su
propia política de seguridad para garantizar que el tratamiento de datos sea conforme
al RGPD, lo cual en el caso que nos ocupa y como ha reconocido la parte reclamada,
no ha tenido lugar.
Vodafone insiste respecto del grado de responsabilidad que, en su caso, pueda
achacárseles, no puede hacerse depender de una actuación de un tercero que escapa
su control, esto es: las medidas de seguridad implementadas por una u otra entidad
bancaria o incluso el hecho de que el afectado disponga o no de banca electrónica.
En relación con esta alegación, amén de lo ya indicado anteriormente, el grado de
responsabilidad cae dentro de su ámbito y no de terceros, debiendo recordar, de
nuevo, que la SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021,
establece que: “Por otro lado, en cuanto al hecho de que nos encontramos ante el
fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec.
54/2012)-: " Precisamente por eso, es necesario asegurarse que la persona que
contrata es quien realmente dice ser y deben adoptarse las medidas de prevención
adecuadas para verificar la identidad de una persona cuyos datos personales van a
ser objeto de tratamiento”.
En este sentido, conviene señalar que en el presente caso no se trata de valorar la
actuación del banco o cualquier otra entidad externa, sino de examinar cómo la parte
reclamada llevó a cabo un tratamiento de datos personales sin seguir los
procedimientos establecidos.
La actuación de sus agentes no escapa a su control, ya que estos actúan en nombre
de la parte reclamada y, por tanto, son responsables de cumplir con las políticas de
seguridad. La propia parte reclamada ha reconocido que no se siguió la política de
seguridad al tramitar el duplicado de la SIM sin la verificación adecuada, lo que revela
un incumplimiento de sus propias medidas.
Por tanto, la responsabilidad no puede ser desplazada hacia elementos externos. La
parte reclamada es directamente responsable del comportamiento de su personal y de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
32/42
asegurar que los protocolos de seguridad se apliquen correctamente en cada caso, sin
excepción.
En cuanto a la negligencia en la actuación de Vodafone, no cabe más que remitirnos a
lo ya indicado en nuestra respuesta a las alegaciones realizadas al acuerdo de inicio, a
las que nos remitimos.
Por lo tanto, la parte reclamada no puede eludir su responsabilidad, ya que el RGPD
exige que el tratamiento de los datos se realice de modo lícito y el tratamiento solo
será lícito si se cumple al menos una de las condiciones previstas en el art. 6 del
RGPD. El incumplimiento de su propia política de seguridad especialmente cuando se
trata de un procedimiento tan delicado como el duplicado de una tarjeta SIM,
demuestra una falta de diligencia en su responsabilidad que justifica la imputación de
la infracción.
En cuanto a la quinta alegación por la que subsidiariamente, y para el caso de que la
Agencia entienda que ha existido infracción y deba imponerse una sanción a
Vodafone, Señala las circunstancias que han de tenerse en cuenta
y, en respuesta, y sin perjuicio de que se reitere la contestación que fue efectuada a
estas alegaciones en el acuerdo de inicio en el fundamento de derecho VII, se señala
que, corresponde a la AEPD en el marco de sus competencias la determinación de la
sanción, así como la fijación de multas, así como la valoración de los atenuantes y
agravantes establecidos por la normativa vigente. Circunstancias que se encuentran
debidamente justificadas tan y como se ha indicado reiteradamente.
V
Obligación incumplida
Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6
del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los
que el tratamiento de datos de terceros es considerado lícito:
“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
33/42
aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones”.
Resulta preciso señalar que el artículo 4.1 del RGPD define: «datos personales» como
“toda información sobre una persona física identificada o identificable («el
interesado»); se considerará persona física identificable toda persona cuya identidad
pueda determinarse, directa o indirectamente, en particular mediante un identificador,
como por ejemplo un nombre, un número de identificación, datos de localización, un
identificador en línea o uno o varios elementos propios de la identidad física,
fisiológica, genética, psíquica, económica, cultural o social de dicha persona;”
En el presente caso, de las actuaciones de investigación se desprende que el día 8 de
febrero de 2023 un tercero disponiendo de los datos de la parte reclamante (DNI,
nombre y apellidos, correo electrónico y ocho últimos dígitos de cuenta bancaria),
habría realizado tres llamadas al servicio de atención al cliente de LOWI, para solicitar
un cambio de dirección de correo electrónico de la cuenta de cliente del reclamante.
Según las citadas actuaciones, en la primera llamada el tercero habría superado la
política de seguridad y activado asimismo una palabra de seguridad que le sería
solicitada en sucesivas llamadas. Igualmente se desprende que en las citadas
llamadas no se comprobó, por la parte reclamada, que la llamada fuera realizada
desde una línea de titularidad de LOWI y del reclamante, como indica la modificación
de la política de seguridad del año 2022:
“(…)”.
La solicitud del duplicado SIM presuntamente fraudulento se habría realizado a través
del área privada de cliente en la app LOWI por Internet, una vez modificado el correo
electrónico de la cuenta cliente del reclamante previa identificación del mismo,
mediante la introducción de la nueva dirección de correo electrónico (ya cambiado) o
número de teléfono móvil, y la contraseña establecida.
De esta forma, la entrega del duplicado se habría solicitado en una dirección diferente
a la del contrato del reclamante, posibilidad que permite LOWI, y la cual no se puede
modificar tras la solicitud de duplicado. LOWI aporta albarán de la entrega, donde se
requiere al receptor su identificación con nombre, apellidos y DNI. En el apartado de
firma del albarán figuran estos tres datos con fecha y hora, pero no firma manuscrita.
En base a lo acaecido, se desprende que el tercero habría conseguido suplantar la
identidad de la parte reclamante, activar una palabra de seguridad, modificar el correo
electrónico del reclamante y acceder a su área privada en Lowi y solicitar un duplicado
de la tarjeta SIM.
Ello habría permitido que, dicho tercero en fecha 9 de febrero de 2023 recibiese y
consiguiese activar una tarjeta SIM, lo que le permitió disfrutar del control de esta.
El citado artículo 6.1 RGPD establece que el tratamiento de datos personales
únicamente será lícito si se basa en una de las bases jurídicas contempladas en dicho
artículo. Estas incluyen el consentimiento del interesado, la ejecución de un contrato,
el cumplimiento de una obligación legal, la protección de intereses vitales, el interés
público o el interés legítimo del responsable, siempre y cuando se cumplan los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
34/42
requisitos específicos para cada caso. En consecuencia, cualquier tratamiento de
datos personales que no se ampare en alguna de estas bases jurídicas debe
considerarse ilícito, careciendo de legitimación para ser efectuado.
Asimismo, en los casos donde se exige el consentimiento del interesado como base
jurídica para el tratamiento de datos personales resulta necesario garantizar que dicho
consentimiento sea otorgado de manera libre, específica, informada e inequívoca, tal
como establece el artículo 4.11 del RGPD. Para cumplir con estos requisitos, es
imprescindible que el responsable del tratamiento implemente mecanismos efectivos
de verificación y que los mismos sean observados, asegurándose de esta forma de
que la persona que otorga el consentimiento sea efectivamente el titular de los datos
personales objeto del tratamiento.
En situaciones en las que el tratamiento implique acciones donde no existe
presencialidad, como en el caso que nos ocupa, la verificación de identidad se
convierte, además en un requisito indispensable para garantizar que el consentimiento
sea válido y evitar suplantaciones o usos fraudulentos de los datos personales.
En el presente caso, se habría producido un tratamiento ilícito por la parte reclamada
al haber facilitado y modificado datos personales de la parte reclamante sin su
consentimiento ni amparo en otra base jurídica válida. Tanto el cambio del correo
electrónico asociado a la cuenta del reclamante efectuado en la segunda y tercera
llamada, así como la posterior entrega de un duplicado de tarjeta SIM perteneciente a
su número de teléfono, se habrían llevado a cabo sin una verificación adecuada de su
identidad. Esta cadena de actuaciones habría permitido que un tercero, mediante un
acceso fraudulento, se beneficiara de un uso indebido de la información personal del
reclamante.
Dicha falta de comprobación de identidad por parte de la reclamada se desprende de
varias actuaciones que constan en las actuaciones de investigación. Así, durante las
llamadas realizadas por el tercero, se permitió modificar el correo electrónico del
reclamante sin una verificación efectiva de su identidad, limitándose a requerir una
serie de datos personales sin adoptar medidas adicionales. De igual forma, la propia
política de seguridad vigente desde 2022, establecía que las solicitudes deben
realizarse desde una línea vinculada al contrato del cliente o, en su defecto, se debe
realizar una llamada de verificación al número registrado, lo cual no se cumplió en el
presente caso.
Además, tras el cambio del correo electrónico, el tercero accedió al área privada del
reclamante y solicitó un duplicado de tarjeta SIM, que fue enviado a una dirección
distinta a la registrada originalmente, a pesar de que se habrían producido
previamente tres solicitudes de cambios de dirección de correo electrónico en un
mismo día.
En ese sentido el Considerando 40 del RGPD señala:
“(40) Para que el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión
o de los Estados miembros a que se refiera el presente Reglamento, incluida la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
35/42
necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la
necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de
tomar medidas a instancia del interesado con anterioridad a la conclusión de un
contrato.”
En consecuencia, la falta de verificación efectiva de identidad habría imposibilitado
garantizar que el tratamiento de los datos personales contó con el consentimiento del
interesado o con otra base jurídica válida, lo que habría supuesto un tratamiento ilícito
y, por ende, una presunta vulneración del artículo 6.1 del RGPD.
VI
Tipificación y calificación de la infracción
La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1
de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b)
El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”.
VII
Sanción.
La determinación de la sanción que procede imponer en el presente caso exige
observar las previsiones de los artículos 83.1 y 2 del RGPD, preceptos que,
respectivamente, disponen lo siguiente:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”
“2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
36/42
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”
Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado
“Sanciones y medidas correctivas”:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.
3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de
las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento
(UE) 2016/679.”
Vodafone solicita que se aprecien las siguientes circunstancias atenuantes:
- Que procedió a solventar la incidencia objeto de la reclamación de forma
efectiva en cuanto tuvo conocimiento de los hechos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
37/42
- El grado de responsabilidad del responsable del tratamiento, habida cuenta de
las medidas técnicas u organizativas que hayan aplicado en virtud de los
artículos 25 y 32 del RGPD.
- El grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos de la infracción.
- Cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.
No se admite ninguna de las circunstancias invocadas por los siguientes motivos:
La parte reclamada manifiesta que procedió a solventar la incidencia objeto de la
reclamación de forma efectiva, pero hay que señalar que entra en el cumplimiento de
sus obligaciones legales -por lo que aquí interesa del principio de licitud- la reclamada
debe de actuar con la diligencia que las circunstancias del caso exigen y está obligada
a adoptar las medidas técnicas y organizativa que le permitan cumplir y poder
acreditar el cumplimiento de los principios de protección de datos. Y ello sin olvidar
que se produjeron sucesivos cambios en los datos personales asociados al
reclamante, con carácter previo al duplicado de la tarjeta SIM así como que tuvo
conocimiento de los hechos acontecidos sólo previa advertencia del reclamante.
A propósito del grado de diligencia que el responsable del tratamiento está obligado a
desplegar cabe citar la sentencia de la Audiencia Nacional, Sala de lo Contencioso
Administrativo, de 17 de octubre de 2007 (Rec. 63/2006) en la que recoge que “...el
Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con
la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso
ahora examinado, cuando la actividad de la recurrente es de constante y abundante
manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado
por ajustarse a las prevenciones legales al respecto”.
El Artículo 83.2.d) RGPD: “El grado de responsabilidad del responsable o del
encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que
hayan aplicado en virtud de los artículos 25 y 32;”.
El principio de proactividad supone transferir al responsable del tratamiento la
obligación no solo de cumplir con la normativa, también la de poder demostrar su
cumplimiento. Entre los mecanismos que el RGPD contempla para lograrlo se
encuentran los previstos en el artículo 25, “protección de datos desde el diseño”, a
tenor del cual el responsable debe aplicar “tanto en el momento de determinar los
medios de tratamiento como en el momento del propio tratamiento” medidas técnicas y
organizativas que garanticen que hace una efectiva aplicación de los principios del
RGPD con ocasión de los tratamientos que realiza.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
38/42
El artículo 83.2.f) del RGPD se refiere al “grado de cooperación con la autoridad de
control con el fin de poner remedio a la infracción y mitigar los posibles efectos
adversos de la infracción;”.
La respuesta de la reclamada al requerimiento informativo de la Subdirección de
Inspección no cumplía esas finalidades, por lo que no es encuadrable en esa
circunstancia atenuante.
Según Sentencia de la Audiencia Nacional de 10/02/2023:
“Las atenuantes alegadas no son de aplicación al caso; así la pretendida colaboración
con la AEPD se produce casi dos meses después de la infracción en respuesta a una
solicitud de información por la propia Agencia y resultaba inocua para poner remedio a
la infracción o mitigar sus posibles efectos adversos, como exige el art. 83.2 f) RGPD;
en cuanto a la ausencia de conducta culposa o negligente, ha quedado acreditada la
conducta negligente en el tratamiento de datos, que constituye el elemento culposo de
la infracción, de modo que tampoco puede atenuar sus efectos de la infracción.”
Sobre la aplicación del artículo 76.2.c) de la LOPDGDD, en conexión con el artículo
83.2.k), inexistencia de beneficios obtenidos, cabe señalar que tal circunstancia solo
puede operar como agravante y en ningún caso como circunstancia atenuante.
El artículo 83.2.k) del RGPD se refiere a “cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las
pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo
76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.k) del
Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..] c) Los beneficios
obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones
mencionan como factor que puede tenerse en cuenta en la graduación de la sanción
los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que Vodafone
alega.
Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa
está presidida por los siguientes principios: deberán estar individualizadas para cada
caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere
como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1
del RGPD y a los principios por los que se rige la determinación del importe de la
sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como
atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que
se cumple a través de la sanción. Aceptar la tesis de Vodafone en un supuesto como
el que nos ocupa supondría introducir una rebaja artificial en la sanción que
verdaderamente procede imponerse; la que resulta de considerar las circunstancias
del artículo 83.2 RGPD que sí deben de ser valoradas.
La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el
hecho de que en un supuesto concreto no estén presentes todos los elementos que
integran una circunstancia modificativa de la responsabilidad que, por su naturaleza,
tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable
en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su
SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse
sobre la circunstancia del apartado e) del artículo 83.2. del RGPD, la comisión de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
39/42
infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la
reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así
que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”.
En aras a graduar el importe de la sanción de multa que se propone imponer a
Vodafone por la infracción del artículo 6.1 del RGPD, estimamos que concurren las
circunstancias a las que nos referiremos a continuación, que operan en calidad de
agravantes:
En calidad de agravantes:
- La circunstancia del artículo 83.2.e) RGPD: “Toda infracción anterior cometida por el
responsable o el encargado del tratamiento”.
El considerando 148 del RGPD señala “A fin de reforzar la aplicación de las normas
del presente Reglamento [...]” e indica a ese respecto que “Debe no obstante,
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional [...] o a cualquier infracción pertinente [...]”.
Así pues, conforme al apartado e) del artículo 83.2. RGPD, en la determinación del
importe de la sanción de multa administrativa no podrán dejar de valorarse todas
aquellas infracciones anteriores del responsable o del encargado de tratamiento en
aras a calibrar la antijuricidad de la conducta analizada o la culpabilidad del sujeto
infractor.
Además, una correcta interpretación de la disposición del artículo 83.2.e) RGPD no
puede obviar la finalidad perseguida por la norma: decidir la cuantía de la sanción de
multa administrativa en el caso individual planteado atendiendo siempre a que la
sanción sea proporcional, efectiva y disuasoria.
Son numerosos los procedimientos sancionadores tramitados por la AEPD, todos ellos
anteriores a los hechos objeto del presente expediente, en los que la reclamada ha
sido sancionada por la infracción del artículo 6.1 del RGPD:
i.EXP 202204287. Resolución dictada el 24 de octubre de 2022 en la que se impuso
una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta
SIM fraudulento sin legitimación. Vodafone se acogió uno de una de las dos
reducciones previstas.
ii.EXP202203914. Resolución dictada el 24 de octubre de 2022 en la que se impuso
una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta
SIM fraudulento sin legitimación. Vodafone se acogió a una de las dos reducciones
previstas.
iii.EXP202203916. Resolución dictada el 24 de octubre de 2022 en la que se impuso
una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta
SIM fraudulento sin legitimación. Vodafone se acogió de una de las dos reducciones
previstas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
40/42
No podemos compartir la interpretación que realiza la parte reclamada, pues el artículo
83.2 e) del RGPD a “toda infracción cometida (…)” sin entrar a valorar si ha de ser por
hechos similares o no.
La finalidad de tal regulación no es otra que forzar el cumplimiento del RGPD, evitar el
incumplimiento, fomentar el cumplimiento y que la infracción no resulte más rentable
que el incumplimiento, es decir, que las multas sean disuasorias, tal y como indica el
artículo 83.1 del RGPD.
Sentido en el que también se pronuncia la Sala Tercera de lo Contencioso-
Administrativo del Tribunal Supremo en su sentencia de 11 de marzo de 2006 (recurso
de casación 7133/2003): “Ha de tenerse en cuenta, además, que uno de los criterios
rectores de la aplicación de dicho principio régimen sancionador administrativo (criterio
recogido bajo la rúbrica de <<principio de proporcionalidad>> en el apartado 2 del
artículo 131 de la citada Ley 30/1992) es que la imposición de sanciones pecuniarias
no debe suponer que la comisión de las infracciones tipificadas resulte más
beneficiosa para el infractor que el cumplimiento de las normas infringidas”.
- La evidente vinculación entre la actividad empresarial de la reclamada y el
tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD
en relación con el artículo 76.2.b, de la LOPDGDD).
La parte reclamada se ha opuesto en sus alegaciones a la aplicación de esta
agravante.
También en ese caso los argumentos de la reclamada deben rechazarse:
La actividad empresarial de la reclamada trata necesariamente datos personales,
siendo una de las compañías de telecomunicaciones más importantes de España.
Esta característica de su actividad empresarial repercute, reforzándola, en la diligencia
que debe desplegar en el cumplimiento de los principios que presiden el tratamiento
de datos de carácter personal y en la calidad y eficacia de las medidas técnicas y
organizativas que debe tener implementadas para garantizar el respeto del derecho
fundamental.
La Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), en la que,
respecto de entidades cuya actividad lleva aparejado en continuo tratamiento de datos
de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe
imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el
infractor no se comporta con la diligencia exigible. Y en la valoración del grado de
diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no
cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente
es de constante y abundante manejo de datos de carácter personal ha de insistirse en
el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto.”
En base a todo cuanto antecede, atendiendo a la exigencia de que la multa sea
efectiva, proporcionada y disuasoria, y con el objetivo de procurar el cumplimiento
efectivo del RGPD y la LOPDGDD, el balance de las circunstancias contempladas en
el artículo 83.2 del RGPD y 76.2 de la LOPDGDD consideradas en su conjunto, con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 6 del RGPD,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
41/42
permite fijar la sanción de multa administrativa en una cuantía de 200.000 euros
(doscientos mil euros).
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, una vez probada la infracción
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a VODAFONE ESPAÑA, S.A.U. con NIF A80907397, por una
infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa
de por un importe de 200.000 euros (doscientos mil euros).
SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. con
NIF A80907397.
TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez haya sido notificada a
los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
42/42
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es