Vodafone, sancionada con 112.000 euros por no actualizar los datos personales de una clienta

La Agencia Española de Protección de Datos (AEPD) ha empujado a Vodafone a pagar más de 100.000 euros por no actualizar los datos personales de una clienta que, en noviembre de 2022, fue destinataria de un recibo bancario a nombre de otra persona. Así, la AEPD ha condenado a la compañía de telecomunicaciones por presuntamente vulnerar el artículo 5.1 d) del Reglamento General de Protección de Datos (RGPD), el cual establece que los datos personales serán «exactos y, si fuera necesario, actualizados».

La reclamación se originó cuando, en noviembre de 2022, una mujer —clienta de Vodafone hasta el año 2015 y, posteriormente, clienta de Lowi (perteneciente a Vodafone) desde 2021— detectó que en una factura del servicio de línea móvil constaban los datos identificativos de un tercero. En consecuencia, se puso en contacto con los servicios de atención al cliente para informar del error.

Tras esta llamada, la señora descubrió que existían dos direcciones postales vinculadas a su ID. Una, su dirección actual; otra, su vivienda anterior, la cual no había sido todavía actualizada en la base de datos de la multinacional. Pese a ello, Vodafone justificó dicha equivocación alegando que cuando tuvo lugar la fusión entre Lowi y Vodafone España «se produjo una incidencia puntual que implicó la vinculación de la dirección postal correspondiente al domicilio anterior de la reclamante».

Para subsanar su error, la entidad procedió a rectificar el cruce de datos acaecido, desvinculando del ID de la reclamante la dirección relativa a su domicilio anterior, donde ahora residía un nuevo cliente de Vodafone. Asimismo, remitió un correo a la reclamante comunicándole las gestiones realizadas y pidiéndole disculpas «por las molestias ocasionadas», reiterando que tan sólo se trataba de una incidencia puntual y que no volvería a producirse fallo similar.

No obstante esto, la reclamación llegó ante la AEPD, la cual consideró que la justificación vertida por Vodafone «en ningún caso desvirtúa la realidad de los hechos ocurridos ni exime a Vodafone de su responsabilidad como responsable de tratamiento de los datos personales de sus clientes». Una declaración que estuvo sustentada en el hecho de que la multinacional, como responsable de tratamiento de datos, «está obligada a disponer de medidas razonables para que los datos sean exactos en todo momento».

(Imagen: E&J)

Vodafone no ha reconocido su responsabilidad

En base a ello, la Agencia informó de que los acontecimientos ocurridos podrían constituir una infracción por vulneración del artículo 5.1 d) del RGPD, el cual establece que «los datos personales serán: d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan». Un principio que obligaría a que los datos personales tratados sean siempre precisos y estén actualizados.

Asimismo, la AEPD expresó que, de confirmarse esta vulneración, podría imponer una multa administrativa a Vodafone de máximo 20 millones de euros, de acuerdo con el artículo 83.5 del RGPD. Además, recordó que la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), en su artículo 72, indica que «se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679».

Teniendo esto en cuenta —y el hecho de que el RGPD señala que han de valorarse también los aspectos relativos a la naturaleza, gravedad y duración de la infracción, así como todas aquellas infracciones anteriores que haya podido cometer Vodafone— la Agencia Española de Protección de Datos acordó iniciar un procedimiento sancionador contra Vodafone por la presunta infracción del artículo 51. d) del RGPS, fijándose una multa administrativa de 140.000 euros, «sin perjuicio de lo que resulte de la instrucción».

Amparándose en el derecho al pago voluntario de la sanción propuesta antes de la resolución del presente procedimiento y con su respectivo descuento del 20% (sin que ello implique ningún tipo de reconocimiento de responsabilidad), Vodafone ha procedido al pago de la cuantía de 112.000 euros, abono que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción.