En junio de 2019, la AEPD impuso en su resolución Nº: PS/00212/2019 a VODAFONE ONO, S.A.U. una multa de 60.000 euros por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 a) del RGPD. VODAFONE ONO, S.A.U.
HECHOS: El 15 de enero de 2019, cuando la reclamante accede al área de clientes con el usuario y contraseña correspondiente para dar de baja un servicio contratado a nombre de su madre, descubre que el sistema informático de dicha entidad, con dicho usuario y contraseña, le facilita el acceso a los datos de un tercero ajeno a su madre. Lo cual documentó a través de pantallazos. VODAFONE argumentó que el 15 de enero de 2019 las dos personas implicadas realizaron una llamada al departamento de atención al cliente de VODAFONE, y que, como resultado de dicha llamada, se les remitió a cada uno de ellos un código para que pudieran visualizar sus facturas. Por este motivo, considera probable que el agente, por error, facilitara el mismo código, lo que pudo motivar el acceso a la información equivocada. Sin embargo, en ningún caso existió intencionalidad ni culpabilidad en la forma de actuar, sino que se trata de un hecho aislado, producido por un error humano.
DERECHO: Se imputa al reclamado la comisión de una infracción por vulneración del artículo 32 del RGPD que señala que “el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado”. La infracción se tipifica en el artículo 83.4 del RGPD y es calificada de Grave en el artículo 73.1 g) de la LOPDPGDD a efectos de prescripción.
Se consideró que procedía graduar la sanción de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes los siguientes: Se trata de una acción negligente no intencional, pero sobre datos significativos que permiten la identificación de una persona (artículo 83.2 b). Se encuentran afectados identificadores personales básicos (nombre, un número de identificación, el identificador de línea), según el artículo 83.2 g). A la vista de lo expuesto se procedió a emitir la siguiente PROPUESTA DE RESOLUCIÓN: Que la Agencia Española de Protección de Datos sancione a VODAFONE ONO, S.A.U., por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 a) del RGPD, una multa de 60.000,00 €. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 48.000,00 euros y su pago implicará la terminación del procedimiento.
El 2 de agosto de 2019, VODAFONE ONO, S.A.U. procedió al pago de la sanción en la cuantía de 48.000 euros haciendo uso de la reducción prevista en la propuesta.
Instruya a sus trabajadores con nuestros cursos de formación en línea: Seguridad Informática para Empleados y Protección de datos para empleados.