Merece la pena observar la facilidad con la que se podía llegar a conocer las cuentas bancarias, según ha reflejado la Agencia Española de Protección de Datos en su resolución, en la que ponen de manifiesto que “el sistema automatizado de respuesta oral de Vodafone” (IVR), facilitaba los datos de forma mecánica, si se llamaba desde el número de teléfono del titular de la línea.

De forma muy didáctica refleja la AEPD en su Resolución las siguientes actuaciones:

Los inspectores actuantes reproducen la grabación aportada por la denunciante y solicitan que, en ese momento, se realice una prueba al objeto de comprobar la forma en la cual se pasa la política de seguridad a los clientes. Para ello se utiliza un teléfono móvil de una de las personas asistentes a la presente inspección y uno de los representantes de la entidad inspeccionada realiza una llamada al número de atención al cliente de Vodafone, desde una línea Vodafone. El terminal se encuentra con el altavoz activado. La conversación que se mantiene es la siguiente:

- IVR (sistema de atención automatizado de respuesta oral de Vodafone): solicita información acerca del deseo del cliente para acogerse a una determinada promoción o realizar alguna operación. En este caso el cliente debe pronunciar “Continuar”

- Cliente: Continuar

- IVR: solicita información acerca de la operación a realizar.

- Cliente: “cambio de cuenta corriente”.

- IVR: confirma si lo solicitado es “cambio de cuenta corriente”.

- Cliente: confirma

- IVR: facilita el nº de cuenta corriente, nº de sucursal y nombre de la entidad bancaria.

¿Qué argumentó Vodafone durante el procedimiento? entre otros pretextos que: “Si el cliente llama desde un terminal de Vodafone, la propia posesión del terminal es considerado por la entidad como un control de seguridad suficiente para identificar al titular de la línea, facilitando únicamente los datos bancarios sin solicitarle ninguna identificación”

La Agencia de Protección de Datos continuó con el expediente sancionador y terminó multando a Vodafone con 60.000 € (desde Salirdeinternet.com observamos que podrían haber sido 50.000 € tal como se propuso inicialmente por la instructora del procedimiento, o 300.000 € en la peor de las situaciones). Se consideró que Vodafone no tenía incorporadas las medidas de seguridad previstas reglamentariamente y que vulneró el artículo 9.1 de la LOPD, en la forma indicada en el artículo 44.3.h) de la LOPD. 

Fuente: Resolución de la AEPD, publicada en la Web de la AEPD el 24.02.2012