Una llamada al servicio de atención al cliente fue clave para explicar por qué las operadoras de telecomunicaciones necesitan controlar muy bien la identidad de los interlocutores. En este caso, un tercero consiguió modificar el correo electrónico asociado a una clienta y recibir un duplicado de su factura con datos personales. El caso forma parte de una sanción de 1,05 millones de euros de la Agencia Española de Protección de Datos (AEPD) a Vodafone España. La cuantía de esta sanción fue publicada en el BOE.
A ella hay que sumar otra multa de 750.000 euros relacionada con una brecha del antiguo servicio Super WiFi. Esto coloca las sanciones en 1,8 millones de euros. No obstante, sabemos que Vodafone no está conforme con las sanciones. Pese a que las ha abonado ya, también ha presentado recursos ante la Audiencia Nacional, atribuyendo el origen de ambos incidentes a actuaciones de terceros y proveedores.
Un tercero consiguió que la factura de una clienta terminase en otro correo El primer expediente parte de la denuncia de una clienta que detectó la activación de una segunda línea móvil a su nombre sin haberla autorizado. En Cinco Días han conseguido acceso a la resolución que mostraba inconsistencias durante el procedimiento en números de pedido, direcciones de correo electrónico y contratos. La AEPD confirmó que no podía acreditarse adecuadamente la identidad de quien había solicitado la contratación. Vodafone defendió que se había empleado un código OTP enviado al terminal de la titular para validar la contratación.
No obstante, la AEPD concluyó que la compañía no consiguió demostrar que se hubiesen superado correctamente sus controles internos de identificación. Además, el expediente incluye otro episodio llamativo. Durante una llamada de atención al cliente se modificó la dirección de correo registrada y se envió un duplicado de una factura a una persona que no era su titular. Ese documento contenía datos como nombre, domicilio y número de identificación de la afectada.
Uno de los principales argumentos de defensa de las operadoras está en que tienen parte de la atención al cliente externalizada en otras empresas. Sin embargo, la AEPD considera que el hecho de que una operación la realice un trabajador de una empresa contratista no elimina la responsabilidad de Vodafone como responsable del tratamiento de los datos. Otros 750.000 euros por la brecha del antiguo Super WiFi El segundo procedimiento es diferente y está relacionado con una brecha sufrida en noviembre de 2023 por la infraestructura utilizada para el antiguo servicio Super WiFi 5 de Vodafone. La plataforma la prestaba un tercero, dando servicio a aproximadamente 60.000 usuarios en España.
Economía Digital explica que en más de 13.000 casos quedaron expuestos nombre, apellidos y correo electrónico, mientras que otros aproximadamente 46.200 usuarios tuvieron expuesta su dirección de email. La AEPD impuso por este segundo caso un total de 750.000 euros, repartidos en tres infracciones: 500.000 euros por el artículo 5.1.f del RGPD, 150.000 por el artículo 32 y otros 100.000 por el artículo 28. Como ya hemos explicado, Vodafone ha abonado las multas, pero no ha aceptado el criterio de la AEPD y pretende recurrir. En el primer caso, ha presentado recursos contencioso-administrativos ante la Audiencia Nacional, alegando que el origen de los incidentes se encuentra en actuaciones de terceros y proveedores.
En el segundo caso, piensa que el acceso no autorizado se produjo mediante credenciales comprometidas del proveedor y asegura que no quedaron afectados datos financieros, contraseñas ni la conectividad del servicio. Por ello, todavía pueden ser revisadas judicialmente.