Establecer procedimientos de verificación de identidad adecuados es algo particularmente necesario para las operadoras de telecomunicaciones, puesto que una comprobación insuficiente de la identidad de la persona a la que le entregan una tarjeta SIM puede ser la causa de un tipo de fraude conocido como SIM swapping.
De hecho, hace cuatro meses que Vodafone fue multada por la Agencia Española de Protección de Datos (AEPD) con 56.000 euros por hacer un duplicado de una tarjeta SIM a alguien que realmente no era el titular.
Sin embargo, tan fácil como es quedarse corto en esa clase de procedimientos, lo es también pasarse de precavido y vulnerar en el camino los derechos de los usuarios legítimos. Y, por ello, la AEPD acaba de sancionar con 100.000 a otra operadora —Orange— por ello.
El paquete o (los datos de) tu vida
Todo comenzó en 2019, cuando la compañía introdujo una serie de cambios en su sistema de entregas mediante mensajería: a partir de ese momento, el repartidor tomaría fotos con su móvil de la documentación del cliente en el momento de la entrega del paquete. Concretamente, de las dos caras de su DNI.
Pero, en 2020, uno de sus clientes consideró excesiva e injustificada esta exigencia, y se fue (acompañado del repartidor, de la compañía GLS) al cuartel de la Guardia Civil en Totana para presentar una reclamación, que derivó en el inicio de una investigación por parte de la AEPD.
GLS remitió una respuesta a la agencia pública en la que exponía que la empresa ofrece a sus clientes (en este caso, a Orange) un servicio llamado IdentService, que permite que les permite consultar durante cuatro años en su servidor imágenes cifradas, inaccesibles para los repartidores. Sin embargo, el problema no radicaba en cómo se conservan esos datos ni en la seguridad de su acceso…
…sino en el uso del DNI como documentación fotografiada: a ojos de la AEPD, capturar el DNI (ambas caras, además) constituye un exceso porque permite a Orange acceder a muchos más datos de los necesarios para realizar la verificación de identidad.
"El DNI contiene no sólo el nombre y apellidos, su número y fotografía del destinatario" del paquete, explica en su resolución (aquí el PDF), sino también otros datos "adicionales que no son ni adecuados ni pertinentes ni limitados para la finalidad de la entrega de la mercancía", como firma, domicilio, código alfanumérico, fecha de validez, etc.
Orange intentó alegar que había tomado esta medida para evitar nuevas sanciones de la propia AEPD por comprobación insuficiente de la identidad, casos equivalentes al anteriormente expuesto de Vodafone, en el que el regulador de protección de datos le había afeado "no conservar prueba de la verificación de identidad" de la persona a la que se le proporcionó la SIM.
Sin embargo, la APED estima que en este caso Orange ha incurrido en una infracción 'muy grave' al no limitarse a recopilar únicamente aquellos datos "adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados"; esto es, por no practicar lo que se conoce como 'minimización de datos'.
Vía | BandaAncha.eu
Imagen | Elaboración propia (originales de Pxhere, Lishuilynn/Wikimedia y Portal de Administración Electrónica)
En Genbeta | Te apuntaste a la Lista Robinson, pero te siguen llegando llamadas comerciales: así puedes reclamar ante la AEPD
Ver 8 comentarios