La Agencia Española de Protección de Datos (AEPD) impuso a Vodafone España dos sanciones por un importe conjunto de 1,8 millones de euros debido a diversas infracciones del Reglamento General de Protección de Datos (RGPD). La compañía telefónica ya abonó el importe de las multas y presentó sendos recursos contencioso-administrativos ante la Audiencia Nacional, al rechazar la responsabilidad directa en los incidentes alegando que fueron causados por terceros, informaron a este diario fuentes de la operadora.El organismo regulador notificó el primer expediente sancionador, por un total de 1,05 millones de euros, tras detectar irregularidades en la gestión del canal telefónico de atención al cliente. La resolución, a la que ha tenido acceso EL PAÍS /Cinco Días impone dos multas de 150.000 euros cada una por la vulneración del artículo 6.1 del RGPD, relativo a la licitud del tratamiento de datos personales, y una sanción adicional de 750.000 euros por el incumplimiento del artículo 32, referido a las medidas de seguridad técnicas y organizativas.El origen de la investigación administrativa responde a la denuncia formulada por una clienta de la compañía. La afectada denunció la activación no autorizada de una segunda línea móvil a su nombre. La AEPD determinó que la documentación aportada por la operadora mostraba inconsistencias en los números de pedido, las direcciones de correo electrónico y los contratos, imposibilitando la acreditación legítima de la identidad del solicitante.La representación legal de Vodafone alegó que la contratación contó con la validación de un código OTP enviado al terminal de la titular. Sin embargo, la resolución del regulador concluyó que la empresa no probó que el usuario superara los controles de identificación internos, impidiendo la reconstrucción fiable de la transacción comercial.El mismo procedimiento analiza la entrega no autorizada de un duplicado de factura a un tercero mediante el canal de atención telefónica. Durante la llamada, el operador modificó la dirección de correo registrada y remitió el documento con el nombre, domicilio y número de identificación de la denunciante a un destinatario no titular. La víctima recibió posteriormente mensajes directos del tercero que confirmaron el acceso a su información confidencial.La AEPD remarcó que la externalización del servicio de atención al cliente no exime a la compañía de su condición de responsable del tratamiento de los datos. De acuerdo con el criterio del organismo de control, la ejecución material de una operación por parte de un empleado perteneciente a una contratista externa no traslada la responsabilidad legal última a la empresa proveedora.La sanción de 750.000 euros vinculada a la seguridad telefónica se fundamenta en la falta de robustez del sistema frente a accesos no autorizados. El dictamen oficial concluye que los protocolos operativos permitieron la alteración de datos de contacto y la entrega de documentación privada a personas que no acreditaron su identidad.Fallos en el Super WiFiEl segundo expediente, notificado por la AEPD en agosto, fija una multa de 750.000 euros por fallos de seguridad en la plataforma del servicio Super WiFi. El incidente derivó en la sustracción de una base de datos que afectó a unos 60.000 usuarios de la compañía en territorio español.La brecha de seguridad se originó en noviembre de 2023 tras un ciberataque a los servidores ubicados en Estados Unidos de la firma tecnológica Plume, proveedora de la infraestructura digital del servicio Super WiFi. Días antes de la notificación formal por parte del proveedor, un foro de ciberdelincuencia ofertó un archivo de 20 gigabytes con 15 millones de registros de usuarios de Plume en varios países.Los datos expuestos en el foro incluyeron nombres, apellidos, direcciones de correo electrónico, tipo de dispositivo, operador de red, ubicación geográfica y versión del sistema operativo. La investigación de la AEPD dictaminó que la plataforma gestionada por Plume carecía de un mecanismo adecuado de autenticación y de sistemas de cifrado de la información, facilitando la extracción no autorizada de la base de datos.Plume notificó oficialmente el ciberataque a Vodafone el 20 de noviembre de 2023. La operadora trasladó la incidencia a la AEPD y procedió a la comunicación directa con los clientes afectados. En su escrito, Vodafone argumentó que el impacto restaba gravedad al limitarse la filtración a nombres, apellidos y correos electrónicos. La AEPD rechazó esta alegación al considerar insuficientes las medidas de protección para el nivel de riesgo del tratamiento.Vodafone cesó la comercialización del sistema Super WiFi basado en la tecnología de Plume en febrero de 2025. La empresa migró la prestación del servicio a la plataforma Super WiFi 6, gestionada por el proveedor AirTies, manteniendo operativo el sistema antiguo únicamente para los usuarios que ya disponían del equipo.Respuesta de Vodafone Vodafone España recurrirá ante la Audiencia Nacional las dos sanciones impuestas por la AEPD al considerar que las infracciones no le son imputables, según confirmó la compañía a este diario. Además, la operadora procederá a repercutir el importe de ambas penalizaciones económicas a los proveedores involucrados en cada uno de los expedientes.En el caso relativo a la herramienta analítica del servicio Super WiFi gestionada por el proveedor Plume, el origen de la brecha de seguridad fue un acceso no autorizado en noviembre de 2023 mediante credenciales comprometidas de la propia firma tecnológica. Vodafone precisó que “los datos afectados no procedían de sistemas de Vodafone ni fueron proporcionados por Vodafone a Plume”, limitándose a información recopilada directamente por el proveedor sin comprometer datos financieros, contraseñas ni la conectividad del servicio.Tras la detección del incidente, la compañía activó sus protocolos de evaluación, notificó a los organismos competentes —como la AEPD e INCIBE— e informó a los usuarios afectados. Por su parte, Plume deshabilitó la cuenta afectada, implementó autenticación multifactor y contrató a la firma de ciberseguridad CrowdStrike para contener el evento. Pese a haber abonado la sanción, la operadora mantiene su disconformidad por entender que “la causa no es imputable a Vodafone sino al proveedor”.Respecto a la otra sanción, vinculada al tratamiento de datos de una clienta, Vodafone alegó la existencia de una “actuación fraudulenta por parte de un tercero y un incumplimiento de las políticas de seguridad” por parte de su proveedor. La empresa explicó que el alta de la línea se realizó previa firma de la usuaria mediante la validación de un código OTP enviado por SMS, lo que impidió detectar la irregularidad en una primera fase.Vodafone defiende que dispone de medidas para garantizar que las facturas se envíen de forma segura al titular y ha acudido también a la Audiencia Nacional en este procedimiento. La compañía trasladará igualmente el coste de esta multa a la empresa proveedora por “no haber seguido las instrucciones de Vodafone y no haber respetado los procesos y controles establecidos”.