Sanción de 70.000 euros a Vodafone por no proteger a una usuaria que fue víctima de una suplantación de identidad

La operadora de telefonía Vodafone ha sido sancionada por la Agencia Española de Protección de Datos por no desplegar la diligencia mínima exigible después de que una usuaria le alertase de que había sido víctima de una suplantación de identidad por un tercero que dio de alta cinco líneas de teléfono y cuatro terminales de alta gama bajo su nombre.

Optando por el pago voluntario de la sanción propuesta, la compañía de telecomunicaciones se beneficia de una reducción del 20% y pasa de tener que abonar la cantidad de 70.000 euros a la moderada cifra 56.000 euros.

Antecedentes

En diciembre de 2020, la usuaria afectada interpuso reclamación ante la AEPD contra Vodafone.

La reclamante informaba que fue víctima de una suplantación de identidad por parte de un tercero que dio de alta cinco líneas de teléfono y cuatro terminales de alta gama.

«Queda en entredicho la debida diligencia empleada por Vodafone para identificar a la persona que realizó la contratación en nombre de la usuaria afectada». (Foto: Economist & Jurist)

Así, acompaña a su reclamación la siguiente documentación:

• Denuncia ante la Policía por contratación de líneas de telefonía utilizando sus datos personales;
• Copia de facturas solicitadas a Vodafone asociadas a las contrataciones irregulares con su DNI, pero a nombre de un tercero.

Con carácter previo a la admisión a trámite de esta reclamación, se trasladó a la compañía de telecomunicaciones un requerimiento informativo. En cambio, la reclamada nunca respondió a este último.

Vodafone no fue diligente

Una vez admitida a trámite la reclamación, la AEPD reconoce que de la documentación que obra en el expediente se desprenden evidencias de que Vodafone vulneró el art. 6.1 del Reglamento General de Protección de Datos, toda vez que realizó el tratamiento de los datos personales de la reclamante sin que tuviese ninguna legitimación para ello. “Los datos personales de la reclamante fueron incorporados a los sistemas de información de la compañía, sin que haya acreditado que hubiera contratado legítimamente, dispusiera de legitimación para la recogida y el tratamiento posterior de sus datos personales, o existiese alguna otra causa que hiciese lícito el tratamiento efectuado”, señala el literal de la reciente resolución de la AEPD.

Además, en base a lo mencionado en el párrafo anterior, en el caso analizado, queda en entredicho la debida diligencia empleada por Vodafone para identificar a la persona que realizó la contratación en nombre de la usuaria afectada.

Vodafone realizó el tratamiento de los datos personales de la reclamante sin que tuviese ninguna legitimación para ello

En particular, ya no solo no contestó al requerimiento informativo efectuado por la Agencia, sino que Vodafone no ha aportado documento o elemento probatorio alguno que evidencie que la misma, ante tal situación, hubiera desplegado la diligencia mínima exigible para verificar que efectivamente su interlocutora era la que afirmaba ostentar.

Fachada de la Agencia Española de Protección de Datos (Foto: El Público)

Pues bien, sin perjuicio de lo que resultare de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer a la compañía de telecomunicaciones, se considera que esta última es responsable de una infracción tipificada en el art. 83.5 a) del RGPD. Asimismo, en una valoración inicial, se estiman concurrentes los siguientes factores como agravantes:

• La intencionalidad o negligencia en la infracción (art. 83.2 b) del RGPD);
• Se encuentran afectados identificadores personales básicos: nombre, datos bancarios, el identificador de línea (art. 83.2 g) del RGPD).

Así las cosas, se considera procedente graduar la sanción a imponer a la compañía reclamada y fijarla en una cuantía de 70.000 euros por la infracción del art. 6.1 del repetido RGPD.

Vodafone paga voluntariamente

Habilitado por lo dispuesto en el art. 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, una vez que se acordó el inicio del procedimiento sancionador, Vodafone ha ordenado el pago de 56.000 euros correspondientes a la infracción inicialmente prevista.

Es decir, beneficiándose de la reducción del 20% por el pago voluntario de la sanción, la compañía de telecomunicaciones anuncia su desistimiento y renuncia a cualquier acción o recurso en vía administrativa en lo relativo a este supuesto de hecho.

De acuerdo con lo señalado, la Directora de la AEPD resuelve y declara la terminación del procedimiento por pago voluntario de Vodafone.