Una llamada al servicio de atención al cliente fue clave para explicar por qué las operadoras de telecomunicaciones necesitan controlar muy bien la identidad de los interlocutores. En este caso, un tercero consiguió modificar el correo electrónico asociado a una clienta y recibir un duplicado de su factura con datos personales.
El caso forma parte de una sanción de 1,05 millones de euros de la Agencia Española de Protección de Datos (AEPD) a Vodafone España. La cuantía de esta sanción fue publicada en el BOE. A ella hay que sumar otra multa de 750.000 euros relacionada con una brecha del antiguo servicio Super WiFi. Esto coloca las sanciones en 1,8 millones de euros.
No obstante, sabemos que Vodafone no está conforme con las sanciones. Pese a que las ha abonado ya, también ha presentado recursos ante la Audiencia Nacional, atribuyendo el origen de ambos incidentes a actuaciones de terceros y proveedores.
Un tercero consiguió que la factura de una clienta terminase en otro correo
El primer expediente parte de la denuncia de una clienta que detectó la activación de una segunda línea móvil a su nombre sin haberla autorizado. En Cinco Días han conseguido acceso a la resolución que mostraba inconsistencias durante el procedimiento en números de pedido, direcciones de correo electrónico y contratos. La AEPD confirmó que no podía acreditarse adecuadamente la identidad de quien había solicitado la contratación.
Vodafone defendió que se había empleado un código OTP enviado al terminal de la titular para validar la contratación. No obstante, la AEPD concluyó que la compañía no consiguió demostrar que se hubiesen superado correctamente sus controles internos de identificación.
Además, el expediente incluye otro episodio llamativo. Durante una llamada de atención al cliente se modificó la dirección de correo registrada y se envió un duplicado de una factura a una persona que no era su titular. Ese documento contenía datos como nombre, domicilio y número de identificación de la afectada.
Uno de los principales argumentos de defensa de las operadoras está en que tienen parte de la atención al cliente externalizada en otras empresas. Sin embargo, la AEPD considera que el hecho de que una operación la realice un trabajador de una empresa contratista no elimina la responsabilidad de Vodafone como responsable del tratamiento de los datos.
