Dos sanciones de la Agencia Española de Protección de Datos —AEPD— a Vodafone España, conocidas públicamente en agosto de 2026, suman 1,8 millones de euros y reúnen dos riesgos que suelen gestionarse por separado: verificar la identidad en atención al cliente y exigir controles efectivos a proveedores tecnológicos que tratan datos.
Según la información publicada por Cinco Días, un procedimiento de 1,05 millones aborda el alta no autorizada de una línea y el envío de una factura a un tercero; otro, de 750.000 euros, analiza la brecha de la plataforma usada por el antiguo servicio Super WiFi. Vodafone rechaza la imputación directa, ha recurrido ante la Audiencia Nacional y atribuye los hechos a terceros y proveedores.
La lectura empresarial no es que cualquier incidente de un proveedor produzca automáticamente una sanción. Es que el responsable necesita demostrar que seleccionó, contrató, supervisó y verificó medidas proporcionadas al tratamiento. Una política enviada al contratista no sustituye la evidencia de que el control funcionaba en la operación real.
Dos procedimientos, una misma pregunta de control
La investigación publicada por Cinco Días el 26 de agosto indica que el primer expediente deriva de la denuncia de una clienta. La información disponible describe inconsistencias en pedidos, correos y contratos, y el envío de un duplicado de factura tras modificar el correo registrado durante una llamada. El medio señala sanciones por licitud del tratamiento y por medidas de seguridad.
El segundo expediente, identificado por medios que consultaron la resolución como EXP202400702, se relaciona con la brecha sufrida en noviembre de 2023 por Plume, proveedor de la plataforma del servicio Super WiFi. La información publicada sitúa en aproximadamente 60.000 los usuarios de Vodafone afectados en España y desglosa 750.000 euros por integridad y confidencialidad, seguridad del tratamiento y obligaciones del encargado.
Vodafone sostiene que los datos del caso Super WiFi fueron recogidos y gestionados por el proveedor, que el acceso utilizó credenciales comprometidas de Plume y que notificó a AEPD, INCIBE y clientes. También afirma que Plume deshabilitó la cuenta, implantó autenticación multifactor y activó respuesta especializada. En el caso de atención telefónica, la operadora alega fraude de un tercero e incumplimiento de sus políticas por parte del proveedor. Los recursos están pendientes, por lo que el análisis no presenta las sanciones como una sentencia judicial firme.
Por qué el tercero no cierra la responsabilidad
La externalización distribuye tareas, sistemas y acceso; no elimina la obligación del responsable de gobernar el tratamiento. La AEPD recuerda en su información sobre notificación de brechas de datos personales que notificar forma parte de la responsabilidad proactiva y que todas las brechas deben documentarse, se comuniquen o no a la autoridad.
El caso Super WiFi añade una cuestión previa: qué medidas existían antes del incidente. Según la resolución descrita por los medios, faltaban autenticación adecuada, cifrado y un contrato de encargo formalizado en el momento pertinente. La discusión no se limita a quién operaba el servidor; alcanza la base jurídica, las garantías contractuales y la diligencia técnica sobre el servicio contratado.
El caso de atención telefónica examina otro punto: la distancia entre el procedimiento escrito y la transacción real. Si un operador puede cambiar un canal de contacto y enviar documentación sin reconstruir de forma fiable la identidad y las verificaciones superadas, la existencia de un código OTP o de una política interna puede ser insuficiente para demostrar el control completo.
Qué evidencia exigir a cada proveedor
- Contrato vigente y alcance real. Datos tratados, finalidades, subencargados, ubicaciones, plazos, devolución y eliminación deben corresponder con la arquitectura actual.
- Identidad y acceso. MFA para cuentas administrativas, bajas oportunas, revisión de privilegios, protección de recuperaciones y trazabilidad de cambios sensibles.
- Cifrado y secretos. Cifrado en tránsito y reposo, gestión de llaves, rotación de credenciales y prohibición de cuentas compartidas sin control.
- Prueba operativa. Registros, muestreos, resultados de auditoría y simulaciones que demuestren que el procedimiento funciona, no solo que está documentado.
- Respuesta a incidentes. Plazos de aviso, contenido mínimo, preservación de evidencia, comunicación coordinada y criterios para informar a las personas afectadas.
- Salida y legado. Controles para clientes o sistemas que permanecen en una plataforma antigua después de migrar nuevas altas a otro proveedor.
Un Security GAP Assessment puede contrastar contrato, arquitectura y evidencia. Para tratamientos relevantes, un SGSI basado en ISO 27001 ayuda a mantener inventario de proveedores, riesgos, controles y revisiones dentro de un ciclo verificable.
Plan de revisión en 30 días
- Priorizar proveedores con datos y acceso. Identificar quién administra identidades, comunicaciones con clientes, plataformas conectadas y repositorios de información.
- Comparar contrato y realidad. Validar subencargados, regiones, tipos de datos, integraciones y servicios heredados frente a lo firmado.
- Probar operaciones sensibles. Muestrear cambios de correo, duplicados de documentos, altas, recuperaciones y accesos administrativos con casos legítimos y de abuso.
- Obtener evidencia técnica. Revisar MFA, cifrado, privilegios, cuentas inactivas, alertas y conservación de registros.
- Cerrar brechas con propietario. Asignar fecha, responsable, control temporal y criterio de aceptación. Un cuestionario respondido no equivale a remediación.
- Ensayar la notificación. Alinear seguridad, privacidad, legal, comunicaciones y proveedor para decidir y actuar dentro de los plazos aplicables.
El visual interno elegido para este artículo es ninguno: los dos procedimientos tienen hechos, artículos y estados procesales distintos. Una gráfica o puntuación conjunta sugeriría una comparabilidad que las fuentes no sostienen; la secuencia de evidencias es más útil como lista de control.
Lectura para España y Colombia
En España, el caso es directamente regulatorio y debe leerse junto con el RGPD y la LOPDGDD. En Colombia, las sanciones no son una obligación local, pero la decisión de gestión es transferible: responsables y encargados necesitan delimitar funciones, proteger los datos y conservar evidencia sobre sus controles y terceros conforme al régimen aplicable.
En ambos mercados, dirección debe evitar dos extremos: asumir que contratar un proveedor transfiere la totalidad del riesgo o reaccionar prohibiendo la externalización. La respuesta proporcionada es gobernar el servicio a lo largo de su ciclo. Un modelo de CISO as a Service puede coordinar privacidad, seguridad, compras, legal y operación sin confundir sus responsabilidades.
Revise la evidencia antes del próximo incidente
Insylux puede ayudar a priorizar proveedores, contrastar contratos y controles, probar operaciones sensibles y construir un plan de cierre basado en evidencia.
Solicite una revisión de seguridad de terceros con el Equipo Insylux.
Fuentes y alcance
Artículo elaborado el 27 de agosto de 2026 a partir de la investigación de Cinco Días, la revisión del expediente EXP202400702 publicada por Roams y la información oficial de la AEPD sobre brechas. Las resoluciones completas no estaban enlazadas públicamente en las fuentes consultadas; Vodafone ha recurrido y su posición se recoge expresamente. Este texto es análisis de gestión de riesgo, no asesoramiento jurídico.
