La AEPD multa a Vodafone con 1,8 millones, pero repercutirá el coste a sus proveedores por los fallos

La Agencia Española de Protección de Datos (AEPD) ha impuesto a Vodafone España dos sanciones que suman 1,8 millones de euros por sendas infracciones del RGPD, según adelanta CincoDías.

El primer expediente responde a un fallo en la verificación de identidad en el canal de atención al cliente; el segundo, a una brecha de seguridad en una plataforma externa. Vodafone ya ha pagado ambas multas, aunque las ha recurrido ante la Audiencia Nacional al considerar que los incidentes fueron responsabilidad de terceros proveedores.

Segunda línea no autorizada y factura filtrada

El primer expediente, por 1,05 millones de euros, se abrió tras la denuncia de una clienta por la activación de una segunda línea móvil a su nombre sin su consentimiento. La AEPD detectó inconsistencias en los números de pedido, las direcciones de correo y los contratos aportados por Vodafone, lo que impidió acreditar la identidad del solicitante.

El mismo expediente investigó la entrega de un duplicado de factura a un tercero. Durante una llamada al servicio de atención al cliente, un operador modificó el correo registrado en la cuenta y envió el documento —con nombre, domicilio y número de identificación de la afectada— a un destinatario que no era el titular. La víctima recibió después mensajes del tercero que confirmaban el acceso a sus datos.

Vodafone alegó que la contratación se validó con un código OTP enviado al móvil de la titular. La AEPD respondió que la empresa no probó que el usuario superara los controles de identificación internos, y recordó que externalizar la atención al cliente no exime a Vodafone de su responsabilidad como responsable del tratamiento. El organismo impuso dos multas de 150.000 euros por vulnerar el artículo 6.1 del RGPD y una tercera de 750.000 euros por incumplir el artículo 32, sobre medidas de seguridad.

“Que exista un intento de fraude por parte de un tercero no elimina necesariamente la responsabilidad de la operadora. La cuestión es si los controles de identificación estaban diseñados para detectar este tipo de situaciones antes de que alguien pudiera contratar una línea, modificar datos o acceder a documentación de otro cliente”, explica Ana de la Torre, experta en telefonía de Roams.

Te interesa: opiniones sobre Vodafone

El fallo de seguridad detrás del Super WiFi

El segundo expediente, notificado en agosto, fija una multa de 750.000 euros por fallos de seguridad en la plataforma del servicio Super WiFi. El incidente se originó en un ciberataque a los servidores de Plume, la firma estadounidense que daba soporte tecnológico al servicio, en noviembre de 2023.

Días antes de que Plume avisara formalmente a Vodafone, un foro de cibercrimen ofreció un archivo de 20 gigabytes con 15 millones de registros de usuarios de la plataforma en distintos países, entre ellos nombres, apellidos, correos electrónicos, tipo de dispositivo, operador y ubicación geográfica. La AEPD concluyó que la plataforma de Plume carecía de un sistema adecuado de autenticación y no cifraba la información, lo que facilitó el robo. La brecha afectó a unos 60.000 usuarios de Vodafone en España.

Respecto al incidente de Super Wifi, la especialista de Roams lo tiene claro: “Refleja uno de los grandes retos actuales de las telecos: su superficie de riesgo ya no termina en sus propios sistemas. Cada plataforma, proveedor tecnológico o servicio externo que interviene en la relación con el cliente amplía también la cadena de seguridad que la operadora necesita supervisar”.

Vodafone alegó ante la AEPD que el impacto era limitado, ya que la filtración se circunscribió a nombres, apellidos y correos electrónicos. El organismo rechazó el argumento al considerar insuficientes las medidas de protección de la plataforma para el nivel de riesgo del tratamiento.

Vodafone dejó de comercializar el Super WiFi basado en la tecnología de Plume en febrero de 2025 y mantiene el servicio solo para quienes ya tenían el equipo instalado; desde entonces ofrece Super WiFi 6, gestionado por el proveedor AirTies.

Vodafone recurre y repercute el coste a sus proveedores

Vodafone ha presentado sendos recursos contencioso-administrativos ante la Audiencia Nacional contra las dos sanciones. Sobre el caso de Plume, la compañía sostiene que “los datos afectados no procedían de sistemas de Vodafone ni fueron proporcionados por Vodafone a Plume” y que el origen fue un acceso mediante credenciales comprometidas de la propia firma tecnológica.

Tras detectar el incidente, Vodafone activó sus protocolos de evaluación, lo notificó a la AEPD y a INCIBE e informó a los clientes afectados. Plume, por su parte, deshabilitó la cuenta comprometida, implementó autenticación multifactor y contrató a la firma de ciberseguridad CrowdStrike para contener el ataque. Pese a haber pagado la multa, Vodafone insiste en que “la causa no es imputable a Vodafone sino al proveedor”.

Sobre el expediente de la clienta, la operadora alega una “actuación fraudulenta por parte de un tercero y un incumplimiento de las políticas de seguridad” de su proveedor de atención telefónica. Vodafone trasladará el coste de ambas sanciones a las empresas proveedoras implicadas en cada caso, al considerar que no siguieron sus instrucciones ni respetaron los controles establecidos.

“Vodafone puede intentar repercutir contractualmente el coste de las sanciones a los proveedores implicados, pero el impacto reputacional es más difícil de trasladar. Para el cliente, quien custodia su relación, su línea y sus datos sigue siendo principalmente la operadora con la que ha contratado”, añade la experta de Roams.