La AEPD archiva el procedimiento contra Vodafone por SIM swapping al no vulnerar el RGPD al tratarse de una línea empresarial

Resumen de la decisión:

En este procedimiento sancionador, se denunció a Vodafone España, S.A.U. por presuntamente vulnerar el artículo 6.1 del RGPD (Reglamento General de Protección de Datos) al permitir la emisión de un duplicado de tarjeta SIM sin el consentimiento del titular legítimo. Según la reclamación, un tercero solicitó y recibió un duplicado de la SIM asociada a la línea TELÉFONO.1, lo que facilitó la realización de transferencias bancarias fraudulentas por importe de CANTIDAD.1. La parte reclamante argumentó que Vodafone no implementó las medidas de seguridad necesarias para evitar este tipo de suplantaciones (conocido como SIM swapping), lo que constituiría una infracción grave de la normativa de protección de datos.

Tras investigar los hechos, la autoridad competente determinó que no existió infracción alguna del RGPD. La línea telefónica en cuestión estaba contratada por una empresa (EMPRESA.1), y la parte reclamante formaba parte de esta entidad, pero no era la titular de la línea. Por tanto, la solicitud del duplicado de la SIM no implicó el tratamiento de datos personales de la reclamante, ya que el RGPD protege exclusivamente a personas físicas**, no a entidades jurídicas como empresas. Además, aunque un tercero superó los protocolos de seguridad de Vodafone para obtener el duplicado, esto no supuso un tratamiento indebido de datos personales de la reclamante.

En consecuencia, se archivó el procedimiento sancionador por inexistencia de infracción, al no concurrir los elementos necesarios para sancionar a Vodafone. La resolución destaca que el RGPD no es aplicable en este caso, ya que la titularidad de la línea correspondía a una persona jurídica, no a un individuo. Por ello, no se impuso sanción alguna.