El “swapping” es el nuevo tipo de fraude mediante el cual un delincuente busca duplicar la tarjeta SIM de un teléfono para poder así acceder a datos bancarios o contraseñas de otras personas, por lo que las compañías telefónicas deben extremar precauciones para evitar que ocurran este tipo de cosas.
Sin embargo, no siempre es así. Por ejemplo, la Agencia Española de Protección de Datos (AEPD) ha vuelto a sancionar, por tercera vez, a Vodafone por esta práctica.
La primera y la más gorda fue en febrero de 2022, que supuso una sanción de casi 4 millones de euros; la segunda en diciembre de 2022, con 56.000 euros y, ahora, con 100.000 aunque finalmente pagará 80.000 por acogerse al pago voluntario.
En este caso, la reclamación la interpuso un cliente de la compañía telefónica en mayo de 2022 tras detectar que en febrero de ese año un tercero sin consentimiento solicitó a Vodafone a través del servicio de atención al cliente un duplicado de su tarjeta SIM.
La persona que se hizo pasar por el titular de la línea llamó desde un número oculto de Noruega tras detectar el prefijo +474, por lo que no lograron descubrir su identidad. Además, la llamada tampoco fue grabada.
El delincuente logró retirar dinero de su tarjeta bancaria
Tras comprobar que se había quedado sin línea, decidió acudir a una tienda física y allí le contaron que alguien había solicitado ese duplicado. Ello derivó en que el delincuente pudiese coger dinero de su cuenta bancaria, por lo que denunció los hechos ante la policía.
La AEPD pidió a Vodafone explicaciones. La empresa respondió que la incidencia ya estaba resuelta y que el duplicado se declaró como fraudulento, por lo que procedieron a bloquear la tarjeta SIM, reembolsarle los gastos de gestión y activar “un check de víctima de fraude” para evitar que se pudiesen producir incidencias similares.
Vodafone explicó que desde el 14 de marzo de 2012 estaban siguiendo la Política de Seguridad para la Contratación de Particulares, la cual se actualizaba cada cierto tiempo, siendo la última de 4 de enero de 2022.
Sin embargo, la compañía telefónica no explicó en esa Política los pasos o actuaciones que siguen cuando alguien solicita un duplicado de la tarjeta SIM. Por lo que para la AEPD, quedó en entredicho la diligencia empleada por la empresa para identificar a la persona que pidió ese duplicado.
Vodafone no siguió el procedimiento implantado
Y en este caso, “no se siguió el procedimiento implantado” porque, de ser así, “se debía de haber producido la denegación del mismo”. Asimismo, Vodafone tampoco logró acreditar que lo hubiese cumplido, por tanto, vulneró el artículo 6 del Reglamento General de Protección de Datos, explica la AEPD.
A la hora de imponer la sanción, tuvieron en cuenta distintos aspectos. Y es que, tal y como se ha comentado antes, “son numerosos los procedimientos sancionadores tramitados por la AEPD” en los que Vodafone no ha actuado correctamente.
“Razón por la cual ese historial de infracciones de la reclamada, en las que existió una significativa omisión de la diligencia necesaria para verificar la identidad de quien facilitó como propios los datos personales de un tercero, incide en la culpabilidad y antijuridicidad de la conducta que aquí se valora”.
Y como atenuantes, se tuvo en consideración que se solventó la incidencia, por lo que consideraron que la sanción adecuada era de 100.000 euros que se redujo a 80.000 tras acogerse al pago voluntario.
La multa no es firme porque puede ser recurrida ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.
