El caso vuelve a poner sobre la mesa una cuestión fundamental para las empresas: externalizar determinados servicios no significa trasladar automáticamente la responsabilidad en materia de protección de datos.
Una línea móvil activada sin autorización
El primero de los expedientes tiene su origen en la reclamación presentada por una clienta de Vodafone después de que se produjera la activación de una segunda línea móvil a su nombre sin su autorización.
Durante la investigación, la AEPD detectó inconsistencias en la documentación aportada por Vodafone que impedían acreditar adecuadamente la identidad de la persona que había realizado la operación.
Vodafone alegó que la contratación se había realizado mediante la validación de un código OTP enviado por SMS al teléfono de la titular. Sin embargo, la Agencia consideró que la compañía no había podido demostrar que los controles establecidos fueran suficientes para garantizar que la operación había sido realizada por una persona legitimada.
El expediente también analizó otro incidente ocurrido durante una llamada al servicio de atención al cliente. En este caso, un operador modificó la dirección de correo electrónico asociada a la cuenta y posteriormente envió un duplicado de una factura a una persona que no era la titular.
El documento contenía información personal de la afectada, incluyendo su nombre, domicilio y número de identificación.
La importancia de verificar correctamente la identidad
Los hechos analizados por la AEPD muestran la importancia de contar con mecanismos de identificación y autenticación adecuados cuando se realizan operaciones que afectan a datos personales.
No basta con disponer de una tecnología concreta, como puede ser un código OTP, si el procedimiento completo permite que una persona no autorizada pueda contratar servicios, modificar los datos de contacto de un cliente o acceder a documentación personal.
Las empresas deben analizar los riesgos asociados a cada operación y establecer controles proporcionales que permitan evitar suplantaciones de identidad, accesos indebidos y modificaciones fraudulentas.
Una sanción de 1,05 millones de euros
Por estos hechos, la AEPD impuso un total de 1.050.000 euros en sanciones. El expediente contempla infracciones relacionadas con el artículo 6.1 del Reglamento General de Protección de Datos (RGPD), relativo a la licitud del tratamiento, y con el artículo 32, que establece la obligación de aplicar medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos.
La resolución también pone de manifiesto que la compañía no puede quedar exenta de responsabilidad por el mero hecho de que determinadas tareas sean realizadas por personal de una empresa externa.
La externalización no elimina la responsabilidad
Vodafone ha defendido que los incidentes estuvieron relacionados con actuaciones fraudulentas de terceros y con incumplimientos de las políticas de seguridad por parte de proveedores externos. La compañía ha recurrido las resoluciones ante la Audiencia Nacional y ha anunciado que repercutirá las sanciones a los proveedores correspondientes.
Sin embargo, desde la perspectiva del RGPD, la contratación de un proveedor no supone que la empresa deje de tener obligaciones respecto al tratamiento de los datos personales.
Cuando una organización utiliza un encargado del tratamiento, debe establecer las garantías correspondientes, seleccionar proveedores que ofrezcan garantías suficientes y supervisar que los tratamientos se realizan conforme a las obligaciones establecidas.
Esta cuestión adquiere todavía más importancia en un contexto en el que las empresas utilizan cada vez más servicios cloud, plataformas SaaS, proveedores tecnológicos, sistemas de atención al cliente y herramientas externas.
Una brecha de seguridad afecta a unos 60.000 clientes
El segundo expediente sancionador es diferente y está relacionado con una brecha de seguridad en la plataforma utilizada para el servicio Super WiFi.
El incidente se produjo en noviembre de 2023 tras un ciberataque contra los servidores de Plume, proveedor de la infraestructura tecnológica utilizada para el servicio. La brecha terminó afectando a los datos de aproximadamente 60.000 clientes de Vodafone en España.
Entre la información afectada se encontraban datos como nombres, apellidos, direcciones de correo electrónico, ubicación geográfica, tipo de dispositivo, operador de red y versión del sistema operativo.
Según la investigación de la AEPD, la plataforma presentaba deficiencias relacionadas con los mecanismos de autenticación y el cifrado de la información, circunstancias que facilitaron el acceso no autorizado a los datos.
La sanción por la brecha asciende a 750.000 euros
Por este segundo expediente, la AEPD impuso una sanción de 750.000 euros.
Vodafone comunicó que, una vez tuvo conocimiento del incidente, activó sus procedimientos internos, trasladó la información a los organismos correspondientes y comunicó el incidente a los clientes afectados.
La compañía también dejó de comercializar posteriormente el sistema Super WiFi basado en la tecnología de Plume y migró el servicio hacia una plataforma diferente.
No obstante, la actuación posterior a una brecha de seguridad no elimina necesariamente las obligaciones relacionadas con la existencia de medidas preventivas adecuadas.
Los proveedores también forman parte de la superficie de riesgo
El caso Vodafone refleja uno de los principales retos actuales para las organizaciones: la seguridad de los datos ya no depende únicamente de los sistemas propios de una empresa.
Cuando una organización utiliza proveedores tecnológicos, plataformas cloud o servicios externalizados, los datos personales pueden circular por diferentes sistemas y entornos. Cada uno de estos elementos puede convertirse en un nuevo punto de riesgo.
Por este motivo, la gestión de proveedores debe integrarse dentro del sistema general de protección de datos y ciberseguridad.
Antes de contratar un proveedor que vaya a tratar información personal, la empresa debe analizar sus garantías, establecer contractualmente sus obligaciones y comprobar que dispone de medidas técnicas y organizativas adecuadas.
Además, esta supervisión no debería limitarse al momento de la contratación. Es recomendable establecer mecanismos de revisión periódica que permitan comprobar que las condiciones de seguridad siguen siendo adecuadas durante toda la relación contractual.
La importancia del artículo 32 del RGPD
Uno de los elementos centrales de estas sanciones es el artículo 32 del RGPD, que obliga a responsables y encargados del tratamiento a aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.
Esto implica valorar aspectos como la naturaleza de los datos tratados, los riesgos que pueden afectar a los derechos y libertades de las personas, el estado de la técnica y las circunstancias concretas del tratamiento.
Por tanto, la seguridad no puede reducirse a instalar un antivirus, utilizar contraseñas o disponer de un sistema de copias de seguridad. Es necesario establecer un modelo de seguridad basado en riesgos que contemple tanto los sistemas internos como los proveedores y servicios externos.
Vodafone recurre las sanciones
Vodafone ha manifestado su desacuerdo con las resoluciones y ha recurrido ambas sanciones ante la Audiencia Nacional. La compañía sostiene que los incidentes estuvieron relacionados con actuaciones de terceros y considera que los hechos no son directamente imputables a Vodafone.
La operadora ha señalado además que ya ha abonado las sanciones y que pretende repercutir su importe a los proveedores implicados en los respectivos expedientes.
Por tanto, la situación todavía podría experimentar cambios como consecuencia de la vía judicial. Sin embargo, las resoluciones de la AEPD ofrecen importantes lecciones para cualquier organización que gestione datos personales.
Qué pueden aprender las empresas de la sanción a Vodafone
El caso demuestra que los problemas de protección de datos no siempre tienen su origen en un gran ciberataque. También pueden aparecer como consecuencia de procesos internos deficientes, controles de identidad insuficientes o una supervisión inadecuada de los proveedores.
Las empresas deberían revisar especialmente los procedimientos utilizados para verificar la identidad de sus clientes antes de permitir operaciones sensibles, como modificar datos de contacto, contratar nuevos servicios o acceder a documentación.
También es fundamental realizar una evaluación periódica de los proveedores que tienen acceso a datos personales, comprobando sus medidas de seguridad y su capacidad para prevenir, detectar y responder ante incidentes.
Por último, las organizaciones deben contar con procedimientos eficaces para detectar, gestionar y documentar las brechas de seguridad, así como para determinar cuándo existe obligación de notificar un incidente a la AEPD y cuándo es necesario comunicarlo a las personas afectadas.
Una nueva advertencia de la AEPD a las empresas
La sanción de 1,8 millones de euros a Vodafone pone de manifiesto que la protección de datos y la ciberseguridad están cada vez más conectadas.
Las empresas no pueden limitarse a disponer de documentación para demostrar su cumplimiento del RGPD. Deben ser capaces de acreditar que han identificado los riesgos, han implantado medidas adecuadas y mantienen mecanismos de control que funcionan en la práctica.
Además, la utilización de proveedores externos no elimina esta obligación. Delegar una actividad no significa delegar la responsabilidad de garantizar que los datos personales se tratan de forma segura y conforme a la normativa.
Para cualquier organización, la principal lección es clara: el cumplimiento del RGPD requiere un enfoque continuo basado en la prevención, la gestión de riesgos, la supervisión de proveedores y la aplicación efectiva de medidas técnicas y organizativas.
¿Tu empresa cumple correctamente con el RGPD?
Una auditoría de protección de datos permite identificar posibles incumplimientos, analizar los riesgos asociados a los tratamientos y comprobar si los procedimientos y medidas de seguridad implantados son realmente adecuados.
En FORLOPD ayudamos a empresas y organizaciones a adaptar sus tratamientos al RGPD y a la LOPDGDD, revisar sus procedimientos y mejorar sus sistemas de cumplimiento.
Contacta con nosotros y solicita una auditoría de protección de datos para conocer el nivel de cumplimiento de tu organización.
Fuente: Xataka
