PS-00021-2021

1/106  Procedimiento N.º: PS/00021/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 27 de noviembre de 2019, la directora de la AEPD, ante las noticias aparecidas en medios de comunicación relativas a la utilización de prácticas fraudulentas basadas en la generación de duplicados de tarjetas SIM sin el consentimiento de sus legítimos titulares con objeto de acceder a información confidencial con fines delictivos (conocidas como “SIM Swapping”), insta a la Subdirección General de Inspección de Datos (en lo sucesivo, SGID) a iniciar de oficio las Actuaciones Previas de Investigación tendentes a analizar estas prácticas y las medidas de seguridad existentes para su prevención. A saber: El timo de la SIM duplicada: si su teléfono hace cosas raras, revise la cuenta bancaria | Economía | EL PAÍS (elpais.com) https://elpais.com/economia/2019/05/21/actualidad/1558455806_935422.html La peligrosa estafa de moda: Duplicar tu número de móvil para vaciarte la cuenta del banco | Tecnología (elmundo.

1. es)https://www.elmundo.es/tecnologia/2020/10/15/5f8700b321efa0c9118b462c.html SEGUNDO: A.A.A. (en adelante, la parte reclamante uno), en fecha 12 de diciembre de 2019, interpone una reclamación ante el Registro General del Consell Comarcal de ***LOCALIDAD.1, que es registrada en la AEPD en fecha 13 de diciembre de 2019, dirigida contra TELEFÓNICA MÓVILES ESPAÑA, S.A.U., con CIF A78923125 (en adelante, TME), por los siguientes motivos: “El 06/03/2019 se hizo un duplicado de la tarjeta SIM ***TELÉFONO.1 en el establecimiento THADER TELECOMUNICACIONES de ***LOCALIDAD.2, sin mi consentimiento, a las 18:45:41. Por medio de este duplicado han podido acceder a mi cuenta bancaria, perjudicándome económicamente. Solicito que sancionen esta utilización de datos sin consentimiento.” Junto a la reclamación aporta la denuncia presentada por estos hechos, en fecha 8 de marzo de 2019, con número de diligencia ***DILIGENCIA.1 ampliativas de las diligencias ***DILIGENCIA.2 -relativas a otra denuncia anteriormente presentada por unos hechos similares-, ante los Mossos d’Esquadra USC de ***LOCALIDAD.3 (Barcelona) en la que denuncia que: “(…) le han vuelto a duplicar la tarjeta SIM de su móvil ***TELÉFONO.1 y esta vez, han accedido a su banca online del BBVA y han realizado dos transferencias por valor total de 28.000 euros. (…) Que la cuenta corriente final que recibe las transferencias es la ES00 0000 0000 0000 0000 0000 del BBVA a nombre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/106 de B.B.B.. (…) Que precisamente, desde el 6 de marzo de 2019 por la tarde, el denunciante se quedó con el móvil inoperativo. (…) Que presentará una reclamación a Movistar por este motivo también ya que es la segunda vez que le realizan un duplicado de su tarjeta SIM sin su autorización ni DNI físico.” Asimismo, aporta copia del email enviado desde el correo electrónico ***EMAIL.1 para TE_SOPORTE COMERCIAL, con el siguiente tenor: “Buenas, Este cliente, viene por primera vez el día 07/02, que le habían llamado de ***PROVINCIA.2, que un hombre iba por las tiendas queriendo hacer un duplicado de su línea. Y que creía que ya no tenía línea en el ***TELÉFONO.2, evidentemente, entramos en CTC y le habían hecho desde MOVISTAR CARREFOUR ***PROVINCIA.1 UN DUPLICADO EL DIA 5/02/2019. Él vive en ***LOCALIDAD.4, un pueblo cerca de ***LOCALIDAD.3, en la provincia de Barcelona. HICIMOS duplicado otra vez del ***TELÉFONO.2 y aparte hicimos un número nuevo, que es el ***TELÉFONO.1, el cliente fue al banco y a cambio (sic) el número de contacto por el nuevo en todos los sitios, por si acaso. Pero la sorpresa ha sido que ayer a las 18:45 le volvieron hacer lo mismo, un DUPLICADO (sic) pero del número nuevo, el ***TELÉFONO.1 y esta vez lo han usado para vaciarle 28.000 euros de su cuenta bancaria. Reclama que se le pida siempre el DNI ORIGINAL Y UNA CLAVE PARA HACER QUALQUIER TRAMITE, POR TELEFONO O EN TIENDA. Que se ponga una nota EN CTC INFORMÁNDOLO. y sobre todo quiere estar tranquilo que si no es el nadie pueda hacer nada a su nombre Y reclama que se le devuelvan los dos duplicados en factura, ya que es cosa de un trabajador de movistar que está haciendo duplicados sin pedir identidad original. El cliente quiere saber esta vez si también ha sido en el Carrefour de ***PROVINCIA.1, pero como no entraron en CTC, no aparece el HISTÓRICO DE AYER y a mí no me deja ver quien le hizo el duplicado. ADJUNTO LA PRIMERA DENUNCIA, EL PRIMER DUPLICADO Y LA ALTA DEL NUMERO NUEVO QUE HICIMOS EL DIA 7/02. LAS FACTURAS DEL DUPLICADO DEL DIA 7/02 Y DEL DIA 7/03 PARA SU DEVOLUCION Y LOS JUSTIFICANTES DEL BANCO DONDE APARECE EL NOMBRE DE LA PERSONA QUE LE HA HECHO LA SUPLANTACION DE IDENTIDAD. Y LOS IMPORTES QUE LE HAN QUITADO. DNI I CONTRATOS FIRMADOS.” Asimismo, aporta una impresión de pantalla del duplicado de la tarjeta SIM expedido en fecha 6 de marzo de 2019, respecto al número de abonado ***TELÉFONO.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/106 En fecha 16 de diciembre de 2019, la parte reclamante uno, presenta nuevo escrito ante el Registro General del Consell Comarcal de ***LOCALIDAD.1, que es registrado en la AEPD en fecha 17 de diciembre de 2019, mediante el cual aporta una denuncia presentada en fecha 7 de febrero, con número de diligencia ***DILIGENCIA.2 ante los Mossos d’Esquadra USC de ***LOCALIDAD.3 (Barcelona) en relación, por una parte, a un intento de suplantación de identidad en 5 tiendas de Movistar de ***PROVINCIA.2 para obtener un duplicado de su tarjeta SIM respecto al número de abonado ***TELÉFONO.2 y por otra parte, en relación a la expedición de un duplicado de su tarjeta SIM el día 6 de febrero de 2019, en un Carrefour de ***PROVINCIA.1. Respecto a esta última expedición aporta el código de distribuidor ***CÓDIGO.1 y el número de agente responsable de dicha expedición: ***AGENTE.1. Asimismo, aporta una impresión de pantalla del duplicado de la tarjeta SIM expedido en fecha 5 de febrero de 2019, respecto al número de abonado ***TELÉFONO.2. De acuerdo con lo previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, en fecha 22 de enero de 2020, se dio traslado de la reclamación a TME y a THADER TELECOMUNICACIONES, S.L. (en lo sucesivo, THADER), para que procedieran a su análisis y dieran respuesta en el plazo de un mes. En respuesta a dichos requerimientos, THADER, manifestó -entre otros argumentoslo siguiente: “(…) 3 — Informe sobre las causas que han motivado la incidencia que ha originado la reclamación: El día 06/03/2019 se persona un cliente en nuestra tienda de Movistar sita en ***DIRECCIÓN.1 de ***LOCALIDAD.2 (***PROVINCIA.2), solicitando un cambio de tarjera SIM del número ***TELÉFONO.1 aportando esta documentación:  Fotocopia del DNI del titular de la línea.  Fotocopia de denuncia por robo de DNI titular de la línea y móvil con el número ***TELÉFONO.1.  Autorización firmada para su gestión.  Fotocopia del pasaporte de la persona autorizada. Dando validez a la documentación aportada se procede al cambio de tarjera SIM según la operativa de Movistar en el apartado Autorizado a tradicional". Según Art. 6 de RGPD Licitud del Tratamiento I.A El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/106 I.B El tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. 4 — Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación V controles efectuados para comprobar su eficacia En vista de la forma de actuar para producir este tipo de fraude o swapping optamos en acogernos a la identificación del titular sobre la opción de SVIC (escáner), solo siendo válido el DNI original y en vigor y en presencia del titular, dejando el resto de opciones de validación no aptas. Implantamos dichas medidas con fecha 24/01/2020, por decisión propia, por nuestro DPD y por recomendación de nuestra central sobre fraudes similares detectados a nivel nacional "Anexo 2". Procedemos al control diario de cambios de tarjetas SIM con documentación escaneada en SVIC. 5 — Cualquier otra que considere relevante La empresa en sus procedimientos implanta la formación a su dependencia en LOPD y RGPD al personal vía formación. Petición a la central que nos informe de causas de fraude similares a nivel nacional. Ponemos a su disposición nuestro registro de actividades, documento de seguridad 2016 respecto a LOPD 15/1999, ficheros inscritos anteriores a entrada en vigor del RGPD y registro de actividades permanentemente actualizado para demostrar desde un principio la colaboración y responsabilidad proactiva desde antes y después de entrada en vigor del reglamento UE 2016/679 por parte de esta dirección. DOCUMENTACION ADJUNTA Anexo 1 Extracto boletines identificación duplicados SIM Anexo 2 Correo Responsable de Movistar sobre fraudes FICHE DEFI THADER TELECOMUNICACIONES S.L DOCUMENTO SEGURIDAD THADER TELECOMUNICACIONES AUDITORIA INTERNA THADER TELECOMUNICACIONES, S.L MANUAL RGPD THADER TELECOMUNICACIONES, S.L” Por su parte, TME, no dio respuesta a este requerimiento, notificado en fecha 27 de enero de 2020, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, según certificado que figura en el expediente. Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 30 de marzo de 2020, en el expediente con núm. de referencia E/00560/2020. TERCERO: C.C.C. (en adelante, la parte reclamante dos), en fecha 6 de marzo de 2020, interpone una reclamación ante la AEPD dirigida contra TME, por los siguientes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/106 motivos: “El 13 de febrero del 2020, fui víctima de duplicación fraudulenta de tarjeta SIM en la tienda CATHOME de ***LOCALIDAD.4 (Barcelona) que es distribuidora de Telefónica Movistar. Esta información (la duplicación de la SIM y el lugar) me la proporciona Telefónica cuando llamé para preguntar qué ocurría con el servicio al darme cuenta que no tenía acceso a la red. Consecuencia de la duplicación fraudulenta, realizada por medio de suplantación de identidad, fue el robo de 18.000 euros en mis cuentas bancarias del banco Santander. Llamé varias veces a CATHOME y al servicio de Atención al Cliente de Movistar para recabar más información de los detalles de cómo sucedió el hecho pero todo fueron evasivas. En CATHOME me dijeron que esperara a ver que podían decirme. Unas 5 horas más tarde me mandan un SMS (yo ya había recuperado mi número de teléfono) del que se deduce que reconocen que se ha producido el hecho de la duplicación pero que espere más tiempo, hasta la fecha, no se han vuelto a poner en contacto conmigo. ¿cómo se realizó el proceso de identificación al ladrón? (yo nunca perdí mi DNI ni mis tarjetas de crédito) ¿Hay un protocolo, de obligado cumplimiento, para realizar una duplicación de tarjeta SIM? ¿la tienda siguió el protocolo? ¿Ese protocolo es el adecuado en relación al riesgo que se corre? En mi opinión, se pueden hacer pequeñas pesquisas para asegurarse que la persona que pide el duplicado es quien dice ser y muchos de los delitos que se pueden cometer con esta clase de métodos quedarían anulados, por lo que creo que existe una clara BRECHA DE SEGURIDAD y esto es una de las razones por las que presento la presente reclamación. Es importante tener en cuenta que no solo corre riesgo el dinero de las personas. Mientras la duplicación fraudulenta está activa todas las llamadas, mensajes etc. Le llegan al criminal poniendo en riesgo la seguridad de los contactos de la víctima. En mi caso, el ladrón cogía las llamadas que se le hacían a mi número de teléfono. Yo mismo, llegué a hablar con él. ¿Si solo quería robar dinero, por qué cogía las llamadas? También pongo esta reclamación para que, si fuera el caso, sancionen a la tienda CATHOME y/o Telefónica Movistar. (…).” Junto a la reclamación aportó dos denuncias presentadas ante el Puesto P. de las Rozas de la Comandancia de la Guardia Civil de Madrid, en fecha 13 de febrero de 2020, con número de atestado ***ATESTADO.1 y en fecha 18 de febrero de 2020, con número de atestado ***ATESTADO.2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/106 En la primera de ellas denuncia que: ”(…) se ha realizado un duplicado de la tarjeta SIM del teléfono ***TELÉFONO.3 no autorizado por el denunciante, que el denunciante sobre las 13:00 al realizar una llamada desde su teléfono este no le permite realizar la misma. Que empieza a realizar gestiones, se pone en contacto con TELEFONICA MOVISTAR los cuales le informan que ha realizado un duplicado de tarjeta EN UNA TIENDA DE MOVISTAR sita en ***DIRECCIÓN.2 de la localidad de ***LOCALIDAD.5. Que el denunciante le informa que él se encuentra en Madrid y es imposible que haya autorizado ningún duplicado. Que al tener sospechas fundadas de que esto no era normal realiza comprobaciones en su cuenta bancaria DEL BANCO SANTANDER la cual se encuentra a su nombre, observando varios cargos en la misma no autorizados, siendo estos los siguientes: Han realizado una compra en la empresa REVOLUT por valor de 2.500 euros Han realizado una compra en la empresa REVOLUT por valor de 3.500 euros. (…) que recibió un mensaje el lunes 3 de febrero de su banco de (…) su gestor del banco Santander pidiéndole que se pusiera en contacto con el teléfono ***TELÉFONO.4 y que el 10 recibió una llamada del departamento antifraude del Banco Santander informándole que había un intento de manipulación de cuentas desde ***PAÍS.1, que fue al banco y cambió las claves.” En la segunda de ellas denuncia que: “(…) quiere ampliar los datos de los cargos sufridos en su tarjeta ya que le han realizado más cargos de los que no estaba informado el día que hizo la denuncia. Que el 13 de febrero de 2020 cuando revisaba sus cuentas observa que le han realizado unos cargos los cuales no ha realizado ni autorizado en su cuenta bancaria ***CUENTA.1 y número de tarjeta asociada ***CUENTA.2, por un valor de: Empresa REVOLUT, 13-02.2020, por valor de 2.500 euros Empresa REVOLUT, 13-02.2020, por valor de 5.500 euros Que ese mismo día le han realizado el mismo procedimiento en otra cuenta que tiene con la entidad bancaria ***ENTIDAD.1 número de tarjeta asociada ***TARJETA.1, por un valor de: Empresa REVOLUT, 13-02.2020, por valor de 2.450 euros Empresa REVOLUT, 13-02.2020, por valor de 3.500 euros” En fecha 8 de junio de 2020, se dio traslado de la reclamación a TME, para que procediera a su análisis y diera respuesta en el plazo de un mes. En respuesta a dicho requerimiento, TME manifestó -entre otros argumentos- lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/106 “(…) 3. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. En relación a los hechos reclamados, TME informa de que existe una solicitud de cambio de ICC de la tarjeta SIM del Reclamante el día 13 de febrero de 2020 a las 11:48 horas a 2 través de uno de nuestros (…), y en concreto, de la (…) ***LOCALIDAD.4”. Revisado el caso y pese a que TME cuenta con una operativa adecuada y conocida por todos nuestros agentes sobre cómo actuar ante una solicitud de cambio de tarjeta SIM y que se detallará más adelante, en este caso en concreto se ha podido determinar que (…). Ese mismo día a las 17:12 horas, tal como explica el Reclamante en su escrito de reclamación, se solicita otro cambio de ICC para recuperar su línea. Esta solicitud se hace en el (…), que se adjunta como Anexo 2. Tal como fue trasladado en el marco del requerimiento de información con ref. ***REFERENCIA.2 de la AEPD, TME cuenta con una operativa adecuada sobre el cambio de tarjetas SIM. (…) Por tanto y en conclusión, en este caso en concreto en el que se ha visto afectado tan solo una persona se ha podido determinar que (…). 4. Informe sobre las medidas adoptadas. Indicar que a todo el personal de la marca Movistar se le exige acceso y cumplimiento de todos los procedimientos establecidos para realizar y entregar duplicados de SIM a través de nuestro (…). Por ello, se han realizado refuerzos y recordatorios de la operativa de cambios de duplicados de SIM, así como la publicación de una comunicación de concienciación y sensibilización sobre los cambios de tarjeta SIM. (…)” Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 24 de septiembre de 2020, en el expediente con núm. de referencia E/03543/2020. CUARTO: A la vista de los hechos denunciados por las partes reclamantes uno y dos, de los documentos aportados y de la Nota Interior acordada por la directora de la Agencia, la SGID procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de las actuaciones previas de investigación se practicaron cuatro requerimientos de información dirigidos a TME, en distintas fechas: Requerimiento C/ Jorge Juan, 6 28001 – Madrid Código Seguro de Verificación Fecha requerimiento Fecha notificación requerimiento www.aepd.es sedeagpd.gob.es 8/106 Primero CSV.1 13/01/2020 15/01/2020 Segundo CSV.2 06/03/2020 09/03/2020 Tercero CSV.3 29/06/2020 06/07/2020 Cuarto CSV.4 17/09/2020 21/09/2020 En el primero de los requerimientos, de fecha 13 de enero de 2020, se solicitaba la siguiente información: 1. Información sobre las vías de que disponen los clientes para solicitar un duplicado de tarjeta SIM. (Teléfono, Internet, tiendas, etc.). 2. Para cada una de las vías de que se disponga, se pide información detallada del procedimiento establecido para la atención de las solicitudes, incluyendo los controles para la verificación de la identidad del solicitante incluyendo los datos y documentos que se requieren al solicitante, así como el detalle de las verificaciones que se realizan sobre los mismos. En caso de envío de tarjeta SIM por correo, detalle de los controles y exigencias establecidas sobre la dirección de envío. 3. Instrucciones giradas al respecto al personal que atiende las solicitudes para la atención de las mismas. Documentación que acredite su difusión entre los empleados dedicados a dichas tareas, internos o externos a la entidad. 4. Información sobre si la realización de los controles para la verificación de la identidad queda reflejada, para cada solicitud atendida, en el Sistema de Información de la entidad. Documentación que lo acredite en su caso, tal como impresión de pantalla de los botones (check-box) u otra documentación según el método utilizado. 5. Motivos por los cuales ha sido posible en algunos casos la suplantación de la identidad de clientes para la emisión de duplicados de SIM. Razones por las cuales las medidas y controles de seguridad implementados no han surgido efecto. 6. Acciones emprendidas por la entidad cuando se detecta uno de estos casos. Información sobre la existencia de un procedimiento escrito y copia del mismo en caso afirmativo. Acciones emprendidas para evitar que casos de este tipo se vuelvan a producir, en concreto, cambios que se hayan podido realizar sobre el procedimiento para mejorar la seguridad. 7. Número de casos de solicitudes fraudulentas de duplicados de SIM detectados durante todo el año 2019. Número de clientes de telefonía móvil total de la entidad. En el segundo de los requerimientos, de fecha 6 de marzo de 2020, se solicitaba la misma información citada en el requerimiento anterior, de fecha 13 de enero de 2020. En el tercer requerimiento, de fecha 29 de junio de 2020, se solicitaba la siguiente inC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/106 formación: PUNTO 1 Se solicita aclaración sobre los siguientes aspectos con relación a la contestación de nuestro requerimiento de fecha 6 de marzo de 2020, en el marco de este mismo expediente: A). En el caso de la marca MOVISTAR se indica que solo es posible la solicitud presencial en tienda. Se pide información sobre si en algún caso excepcional se tramita de forma telefónica u online, siempre hablando de clientes particulares (residenciales) Se pide, en caso afirmativo, copia del procedimiento por escrito donde consten todos los casos que se tramitan no presencialmente, incluyendo todos los supuestos o circunstancias. Se pide, en caso afirmativo, copia de las instrucciones concretas dadas a los operadores con información detallada de cómo valora el operador todos los supuestos, incluyendo cómo debe valorar las circunstancias del cliente para acceder a la tramitación telefónica. B). En el caso de las autorizaciones o representaciones para tramitaciones presenciales en tienda se pide información sobre los controles que se realizan sobre la copia del documento de identidad (del cliente que autoriza o representado). Información sobre si queda almacenada la imagen del documento de identidad del solicitante, la autorización o acreditación de representación, y la copia del documento del cliente. C) En las entregas a domicilio, se pide información sobre la posibilidad expresada del cambio de la dirección de entrega de la SIM, tanto durante la solicitud de cambio de SIM, como de forma previa al cambio de SIM en gestión independiente, y sobre los controles establecidos para realizar el cambio de este dato. D). En O2 y TUENTI Información sobre los controles establecidos para tramitar el cambio de dirección de correo electrónico de un usuario. Implicaciones que puede tener un cambio de dirección de correo electrónico en la solicitud o activación fraudulenta de un nuevo duplicado de SIM. Información sobre si la dirección de correo electrónico es coincidente con el código de usuario para las apps/webapps, o si se utiliza durante la tramitación de cambio de SIM. E). Para los casos de entrega de la SIM por (…),o empresas de mensajería: Se pide las comprobaciones que se realizan en la entrega a domicilio de la tarjeta SIM para la identificación del destinatario. Copia de la documentación contractual con las empresas de mensajería que realizan el reparto, donde consten las comprobaciones de identidad o instrucciones al respecto que debe realizar el repartidor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/106 PUNTO 2 Listado de 20 casos de duplicados de SIM reclamados como suplantación de identidad o fraudulentos por los clientes, de la marca MOVISTAR. El listado incluirá los duplicados de SIM solicitados desde el 1 de enero de 2020, es decir, todos los reclamados que sucedieron a partir del 1 de enero, desde el primero, consecutivos hasta llegar a 20. Se pide indicar en el listado únicamente: - la fecha del cambio de SIM, - el número de línea, - canal de la solicitud, - canal de entrega. PUNTO 3 Sobre casos presentados ante esta Agencia que se resumen en la tabla (que se da por íntegramente reproducida en este acto de trámite): Se pide: A) Motivo por el cual fue posible el duplicado de SIM para cada caso. Acreditación de los controles que se pasaron, para cada caso, sobre la identidad del solicitante en la solicitud presencial en tienda. Copia del Documento de identidad presentado y controles que se le pasaron, o resultado de la validación con código QR . B) Motivo por el cual fueron posibles dos duplicados de SIM consecutivos para este cliente. Información sobre el tipo de contrato del cliente. C) Acciones emprendidas por la entidad en cada caso, incluyendo acreditación documental de los siguientes aspectos:  Si se ha marcado como víctima de fraude al cliente para evitar posibles intentos de suplantación de identidad futuros.  Si se han realizado investigaciones internas para esclarecer los hechos con el punto de venta.  Si se han realizado cambios en el procedimiento para evitar casos futuros similares.  Si se ha realizado alguna actuación con el distribuidor o tienda.  Si se ha contactado con el cliente para alertarle de lo sucedido y sobre la resolución de su caso. En el cuarto y último de los requerimientos, de fecha 17 de septiembre de 2020, se solicitaba la siguiente información: PUNTO 1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/106 Sobre el listado de 20 casos de duplicados de SIM denunciados/reclamados (que se da por íntegramente reproducido en este acto de trámite): A. Se pide, en los casos de solicitud y entrega presencial, copia de los DNIs o documentos identificativos aportados por los solicitantes del cambio de SIM. B. Para los casos de solicitud telefónica:  Copia de la grabación de la conversación donde el solicitante supera la política de seguridad.  Detalle de las circunstancias que concurrieron para para acceder a la tramitación de la solicitud telefónica. C. Información general sobre la casuística de “apropiación indebida del SIM”:  Información concreta sobre si los SIM fueron sustraídos de un punto de venta o cómo se produjo esa apropiación indebida.  Información sobre si es posible adquirir SIMs sin asociarlos a ninguna línea o cliente. Causas por las que se permite que un cliente se lleve de una tienda un SIM sin activar y sin asociar a una línea determinada, y se permite posteriormente activar telefónicamente dicho SIM y asociar a una línea. Información si existe esta posibilidad, sin fraude de SIM swapping, consistente en la activación de un SIM que esté en posesión de un cliente, sin haber sido asociado previamente en los sistemas de la entidad a una línea de su titularidad.  Causas por las que se permite en el procedimiento activar telefónicamente un SIM cualquiera para una línea determinada. (Caso de posibles SIMs sustraídos en una tienda, que se encuentran sin asociar con cliente alguno o línea).  Política de seguridad que se pasa al solicitante en la recogida del SIM cuando no se asocia a una línea o cliente durante su recogida. QUINTO: Con fecha 10 de marzo de 2020, TME solicita una ampliación del plazo ante la imposibilidad de recabar y estructurar la información requerida en el plazo establecido. Con fecha 12 de marzo de 2020, la Subdirectora General de Inspección de Datos acuerda la ampliación del plazo para responder por un periodo de cinco días, a partir del día siguiente a aquel en el que finalice el primer plazo otorgado. SEXTO: En respuesta a los cuatro requerimientos formulados, TME aporta la siguiente información, que fue objeto de análisis por esta Agencia: 1.- Información sobre las vías de que disponen los clientes para solicitar un duplicado de tarjeta SIM: Clientes de la marca Movistar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/106 (…). 2.- Información detallada del procedimiento: (…): Marca MOVISTAR: (…). MARCA O2 (…). MARCA TUENTI (…). 3.- Instrucciones giradas al respecto al personal que atiende las solicitudes: (…). 4.- Información sobre si la realización de los controles queda reflejada: Marca Movistar. (…). Marca O2. (…). Marca Tuenti. (…). 5.- Motivos por los cuales ha sido posible en algunos casos la suplantación de la identidad de clientes: (…). 6.- Acciones emprendidas por la entidad cuando se detecta uno de estos casos: Los representantes de la entidad han manifestado desarrollar las siguientes acciones al respecto: (…). 7- Número de casos de solicitudes fraudulentas de duplicados de SIM detectados durante todo el año 2019. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/106 (…). El número total de clientes de las marcas Movistar, Tuenti y O2 a cierre enero 2020 era de 8.142.352 clientes. Respecto a la información solicitada relativa a los casos adicionales no presentados ante esta Agencia, manifiesta lo siguiente: (…). para las SIM solicitadas como recogidas presencialmente en tienda, los representantes de TME manifiestan: (…). Requerida la grabación de la conversación para los casos telefónicos, en las que el solicitante supera la política de seguridad, no las aportan, manifestando los representantes de la entidad lo siguiente: (…). Se ha solicitado a TME el detalle de las circunstancias que concurrieron para acceder a la tramitación de la solicitud telefónica, no respondiendo los representantes de la entidad porqué se tramitó telefónicamente, indicando que en 5 de los casos: (…). Se ha solicitado a TME información sobre si es posible adquirir tarjetas SIM sin asociarlas a ninguna línea o cliente así como las causas por las que se permite que un cliente se lleve de una tienda una SIM sin activar y sin asociar a una línea determinada, y se permite posteriormente activar telefónicamente dicha SIM y asociar a una línea. Los representantes de la entidad han contestado aportando la siguiente información: (…). Respecto a la información solicitada relativa a los casos presentados ante esta Agencia, manifestó lo siguiente:  Expediente E/00560/2020: El primer duplicado, de la línea ***TELÉFONO.2, nunca llegó a efectuarse al completo, ya que el distribuidor no llegó a entregar la tarjeta SIM al suplantador. El agente comercial que atendió la solicitud detectó que la documentación aportada por el suplantador no pasaba los (…) y, la tarjeta SIM que se utilizó para hacer el duplicado continua en la tienda del distribuidor. Aportan fotografía de la tarjeta SIM, indicando que su numeración ICC (XXXXXXXXXXXXXXX) coincide con la asignada a la línea. Aportan impresión de pantalla con la ICC asignada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/106 Según manifestaciones de los representantes de TME en el segundo caso (duplicado de la línea ***TELÉFONO.1), el duplicado fue posible por la concurrencia de las siguientes circunstancias: (…). Sobre el motivo por el cual fueron posibles dos duplicados de SIM consecutivos para este cliente. Información sobre el tipo de contrato del cliente, los representantes de la entidad han manifestado que (…). Posteriormente el caso se deriva al (…), quien investiga el supuesto para aclarar lo sucedido y trasladar las conclusiones de su estudio al (…). En este caso no se implementaron estas medidas porque (…). Los representantes de TME indican que en caso (…). Los estudios de investigación de Prevención del Fraude nos ayudan a definir nuevos modelos o escenarios de fraude, a fin de reforzar nuestras operativas y mejor de manera constante las medidas de seguridad implantadas y los procesos de identificación de clientes. (…). Indican respecto a las investigaciones internas para esclarecer los hechos que cuando se ha tenido constancia del caso, internamente se ha consultado en todos los sistemas de TME las distintas actuaciones sobre las líneas del cliente para esclarecer lo ocurrido. Asimismo, se ha contactado con los interlocutores territoriales habituales para ponerles sobre aviso, recabar más información y reforzar la operativa con las tiendas implicadas. En cuanto a la realización de alguna actuación con el distribuidor o tienda, manifiestan con carácter general que con toda la red de tiendas se han realizado diversos refuerzos sobre (…), así como de (…). Cuando tienen constancia de algún caso de SIM SWAPPING (…). En relación con los cambios realizados en el procedimiento para evitar casos futuros, indican que (…). Por último, respondiendo a la cuestión de si han contactado con el cliente, indican que, (…).  Expediente E/03543/2020: No aportan DNI ni documento de solicitud de cambio de SIM. Los representantes de TME han manifestado que, revisado el caso y pese a que TME cuenta con una operativa adecuada y conocida por todos los agentes sobre cómo actuar ante una solicitud de cambio de tarjeta SIM, en este caso en concreto se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/106 ha podido determinar que (…). En el mismo día, el reclamante solicita otro cambio de ICC para recuperar su línea. Esta solicitud se hace en (…), y en este caso sí se siguió la operativa de TME (…), que adjuntan. Indican que a todo el personal de la marca Movistar (…). SÉPTIMO: D.D.D. (en adelante, la parte reclamante tres), en fecha 23 de octubre de 2020, interpone una reclamación ante la AEPD dirigida contra TME, por los siguientes motivos: “El 25/09/2020 a las 14:40h recibo un correo electrónico de Movistar indicándome que mi servicio de Movistar Cloud había sido dado de baja a lo que respondí a las 14:53 diciendo que yo no había cancelado nada y que era un error o un uso no autorizado. (…) El 25/09/2020 a las 14:58h llamo al 1004 de Movistar para intentar aclara la baja, pero como suele ser habitual no logro contactar con nadie y la llamada se corta. Dicha llamada duró 4m 17seg y todos estos datos quedaron registrados en mi móvil. Ese mismo día y ya por la tarde noté cosas extrañas en mi móvil, tenía un mensaje de que “el móvil estaba perdido" y pasadas las 20:00h ya no tenía señal y no podía efectuar ni recibir llamadas. Entré literalmente en pánico ya que sospeché con fundamento que mi móvil había sido secuestrado (hackeado) o similar. Ayudado por mi esposa con su móvil (que no es de Movistar) y el fijo empezamos una serie de llamadas angustiosas a mis entidades bancarias para bloquear todo. En paralelo y desde el fijo llamé al XXXX y aunque me costó varios minutos logré explicar lo que ocurría y solicité a la desespera que anulasen mi nº de móvil ante la confirmación del Banco Santander que ya mi cuenta había sido asaltada y me habían hecho cargos fraudulentos con la tarjeta de crédito. Mi sorpresa e indignación fue indescriptible cuando me dijeron que no podían hacer nada ya que ese número, el mío ***TELÉFONO.5 (y todo el resto del contrato) estaban a nombre de otra persona. Cuando conseguí bloquear todas las cuentas bancarias volví a llamar a Movistar y me dijeron igualmente que no podían hacer nada y que para aclarar lo sucedido y recuperar mi señal (desactivar el SIM del impostor y activar el mío) tendría que ir a una tienda de Movistar. (…) A las 10:00h del 26/09/2020 me presenté en la tienda de Movistar de las Rozas cercana a mi domicilio y aunque me conocían perfectamente como cliente habitual me dijeron que no podían hacer nada ya que mi móvil (y demás servicios) estaba a nombre de otra persona y me proporcionaron un documento como prueba. Me remitieron a la central de Telefónica en Gran Vía para desbloquear la situación (…) Estuve en las dependencias de Gran Vía desde las 11:00 hasta las 13:00 aproxiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/106 madamente y aporté el documento fraudulento mencionado, mis recibos mensuales de Telefónica Movistar en pdf en una llave USB desde 1998, así como copia en papel del último recibo de Movistar. Ante la evidencia de pruebas Movistar decidió anular el SIM fraudulento y activó el mío. La conclusión de la propia Movistar fue muy clara: el impostor cambió fraudulentamente el contrato a su nombre (posiblemente vía telefónica según Movistar aunque sin confirmar) y después fue a una tienda de Movistar donde pidió un duplicado del SIM. No encontró problemas ya que en el ordenador de la tienda estaba a su nombre y posteriormente anuló el otro, el mío, y ya entró en mis cuentas bancarias. El procedimiento fue relativamente simple: entró en mi cuenta con mi DNI (posiblemente lo obtuvo del contrato mío) pulsó “contraseña perdida u olvidada” y en esos casos el banco envía SMS con códigos de seguridad que una vez introducidos correctamente dan acceso a contraseñas, etc. (…) Conclusión: Movistar cambió mi contrato de Movistar Fusión (fijo, móvil y televisión) a nombre de otra persona (…) sin proteger mis datos lo que además dio origen a una estafa de XXXXX euros.” Junto a la reclamación aporta el correo electrónico recibido en fecha 25 de septiembre de 2020 y el de respuesta; copia de la orden de reparación de fecha 26/09/2020; y dos denuncias presentada ante el Puesto P. de las Rozas de la Comandancia de la Guardia Civil de Madrid, en fecha 28 de septiembre de 2020, con número de atestado XXXXXXXXXXX y en fecha 2 de octubre de 2020, con número de atestado XXXXXXXXXXXX. En la primera de ellas denuncia que: “En la tarjeta de debido le han sido realizados un total de tres cargos, sustrayendo un total de XXXX euros. En la tarjeta de débito le han realizado un total de seis cargos, sustrayendo un total de XXXX euros. También le han realizado una transferencia a través de BIZUM de 500 euros, destinado a un tal E.E.E. con número de teléfono ***TELÉFONO.6 y una recarga bancaria de XXXX euros. Todo esto hace un total de XXXX euros. El denunciante manifiesta el posible modus operandi del autor: Que a través de un de un cambio de nombre del titular en su contrato, para la línea perteneciente al número ***TELÉFONO.5, con MOVISTAR vía telefónica, sin su consentimiento, el posible autor realizó el cambio, solicitando una tarjeta SIM a dicha empresa. Anulando la tarjeta SIM del denunciante. Que tras obtener dicha tarjeta SIM el autor realizó los movimientos bancarios a través de un teléfono móvil, debido a que tras realizar cualquier operación con la entidad bancaria, necesita la aprobación vía SMS del número de teléfono que realiza la operación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/106 Tras esto el posible autor se metió en la aplicación de la entidad bancaria Santander y a través de HE OLVIDADO MI CONTRASEÑA, dicho banco le envía SMS al número de teléfono asociado a la cuenta bancaria. Que el cambio de titular de la cuenta de MOVISTAR, el denunciante aporta datos del posible autor: F.F.F. ***NIE.1. Además aporta una transferencia bancaria de XXXX euros que se anuló, la cual iba dirigida a un tal G.G.G.(…). Que el denunciante aporta el contrato fraudulento de MOVISTAR con nombre y apellidos del presunto autor, copia de la última factura del contrato legal del denunciante, datos de la transferencia abortada y los cargos realizados.” En la segunda de ellas denuncia que: “(…) Que el día 01-10-2020 jueves el denunciante se personó en su oficina del Banco Sabadell sita en (…) para recuperar las claves previamente bloqueadas para poder operar. Que el Banco Sabadell informó que lamentablemente se había emitido una transferencia fraudulenta por importe de 7.003’00 euros a nombre de H.H.H. a la cuenta ES00 0000 0000 0000 0000 0000 de la entidad bancaria ING motivo por el que se ve obligado a denunciar los hechos para poder recuperar la cantidad defraudada. El denunciante manifiesta el posible modus operandi del autor”, donde reproduce las mismas manifestaciones informadas en la denuncia anterior. En fecha 25 de noviembre de 2020, se dio traslado de la reclamación a TME, para que procediera a su análisis y diera respuesta en el plazo de un mes. En respuesta a dicho requerimiento, TME manifestó -entre otros argumentos- lo siguiente: “(…) 3. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. El Sr. D.D.D. en el escrito presentado ante esta Agencia indica que, es cliente de la marca comercial Movistar con la que mantiene contratadas tres líneas, una fija y dos líneas móviles que son ***TELÉFONO.6, ***TELÉFONO.5, ***TELÉFONO.7. Así mismo indica que con fecha 25 de septiembre de 2020, notó que su línea ***TELÉFONO.5 se encontraba sin servicio, tras esto, contactó con nuestro servicio de atención al cliente en el número 1004, donde le indicaron que todas sus líneas se encontraban a nombre de otra persona. Posteriormente, con fecha 26 de septiembre de 2020, el cliente se personó en una de nuestras tiendas físicas, donde le explicaron que era posible que una tercera persona hubiera cambiado la titularidad de sus líneas solicitando a su vez un dupliC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/106 cado de su tarjeta SIM para las líneas móviles. En este sentido, tenemos que decir que, en este caso concreto, el 25 de septiembre de 2020 se produjo un cambio de titularidad en las tres líneas mencionadas anteriormente a través (…); ese mismo día, el suplantador solicita un duplicado de tarjeta SIM para las líneas móviles, pero solo hace efectivo el cambio en la línea ***TELÉFONO.5. En cuanto a la causa que ha producido la reclamación, tenemos que indicar que (…). A este respecto, informamos de que Telefónica cuenta con un procedimiento consolidado y adecuado de verificación de la identidad de nuestros clientes que reviste de las garantías suficientes para identificar al solicitante del cambio de titular antes de proceder a la tramitación del mismo. En este procedimiento de verificación de identidad se solicitan, además de (…). No obstante, lo anterior, Telefónica trabaja continuamente en la mejora de las medidas de las que dispone con el objetivo de evitar la suplantación de identidad en los distintos procesos de contratación y posteriores gestiones que soliciten los titulares de los servicios a través de los distintos canales de los que dispone. De este modo, se han reforzado los diferentes procesos, que detallaremos en el siguiente punto. En relación con los hechos descritos, esta compañía informa de que los hechos denunciados ya han sido tratados y solucionados con anterioridad a la entrada de la denuncia ante la Agencia de Protección de Datos. En cuanto a las actuaciones llevadas a cabo por Telefónica en la resolución de la reclamación planteada, confirmamos que:  A fecha de este escrito, las líneas se encuentran regularizadas a nombre del titular original, hoy reclamante, el Sr. D.D.D.  La línea afectada ***TELÉFONO.5, cuenta con una nueva tarjeta SIM asociada correctamente al titular de la línea.  Nuestro equipo de prevención del Fraude ha contactado con el titular para informarle sobre el cambio de tarjeta SIM de la línea ***TELÉFONO.7 que resulta necesario llevar a cabo para regularizarla igualmente. 4. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. Durante el año 2020 se han implementado las siguientes medidas específicas que afectan a las operativas de los canales: (…). Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 25 de enero de 2021, en el expediente con núm. de referencia E/09638/2020. OCTAVO: Con fecha 27 de agosto de 2020, se obtiene información de la Comisión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/106 Nacional de los Mercados y la Competencia sobre las líneas de telefonía móvil de voz por tipo de contrato y por segmento siendo los resultados: OPERADOR PREPAGO Movistar Residencial 1.215.667 POSPAGO Negocios 0 Residencial 10.048.727 Negocios 5.102.197 NOVENO: Con fecha 27 de enero de 2021, se obtiene información comercial sobre el volumen de ventas de TME durante el año 2019 siendo los resultados de 4.340.283.000,00 euros. El capital social asciende a 209.404.687,00 euros. DÉCIMO: Con fecha 11 de febrero de 2021, la directora de la AEPD acuerda iniciar un procedimiento sancionador contra TME, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por presunta infracción del artículo 5.1.
2. f)y 5.2 del RGPD, tipificada en el artículo 83.5 del RGPD y en el artículo 72.1.
3. a)de la LOPDGDD como muy grave, pudiendo ser sancionada con una multa administrativa de 2.000.000,00 de euros (dos millones de euros), sin perjuicio de lo que resultase de la instrucción. Con fecha 15 de febrero de 2021, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, se notifica el Acuerdo de Iniciación. UNDÉCIMO: Con fecha 17 de febrero de 2021, TME solicita la ampliación del plazo para aducir alegaciones y aportar documentos u otros elementos de juicio, y, la remisión del expediente PS/00021/2021 y del resto de expedientes referenciados. DUODÉCIMO: Con fecha 17 de febrero de 2021, la instructora del procedimiento acuerda la ampliación de plazo instada hasta un máximo de cinco días y con fecha 23 de febrero de 2021, la remisión de la copia del expediente, de acuerdo con lo dispuesto en los artículos 32.1 y 53.1
4. a)de la LPACAP. DÉCIMO TERCERO: Con fecha 22 de febrero de 2021, TME comunica la modificación de la dirección postal para la remisión del expediente sancionador PS/00021/2021 y del resto de expedientes referenciados. DÉCIMO CUARTO: Con fecha 22 de febrero de 2021, se notifica a TME el Acuerdo de ampliación de plazo y con fecha 25 de febrero de 2021, la remisión de la copia del expediente. DÉCIMO QUINTO: Con fecha 8 de marzo de 2021, se recibe en esta Agencia, en tiempo y forma, escrito del representante de TME, por el que se procede a formular alegaciones y en el que, tras manifestar lo que a su derecho conviene, solicita: “i. Se suspenda el presente procedimiento y se requiera a los reclamantes a fin de que aporten en qué punto están las denuncias interpuestas, así como el contenido de los procedimientos penales que en su caso se encuentren en marcha, con el fin de determinar si existe prejudicialidad penal. ii. Subsidiariamente y para el caso de que no se estimase la solicitud de suspenC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/106 sión, se declare la inexistencia de responsabilidad por parte de TME por las presuntas infracciones que se le imputan en este procedimiento, ordenando el archivo del presente expediente sancionador. iii. Por último, en caso de que no se estimasen ninguna de las pretensiones anteriores, que se minore la sanción inicialmente propuesta en virtud del art. 83 del RGPD.” En síntesis, en las alegaciones manifestó que: PREVIA: SOBRE LA INCOACIÓN DEL EXPEDIENTE SANCIONADOR. Considera que la sanción es desproporcionada en relación con los hechos afectados, lo que vulnera el principio de buena fe y confianza legítima que debe regir la actividad y el ejercicio de las funciones de cualquier entidad pública, según lo estipulado en el artículo 3.1.
5. e)de la Ley 40/2015. La AEPD convocó el 20 de enero de 2020 un grupo de trabajo (GT) con distintos operadores, así como con otros representantes, con el objetivo de “analizar los problemas de la duplicidad de las tarjetas SIM y estudiar vías y procedimientos para evitar que se produzcan”, convocándose la primera reunión el 4 de diciembre de 2020. No obstante, la AEPD decide incoar un expediente sancionador con una propuesta de sanción sin precedentes. Además cambia el tipo infractor que habitualmente venía imputando en los casos en los que, quebrantando las medidas técnicas y organizativas establecidas por TME, los defraudadores conseguían suplantar la identidad de los clientes con distintas finalidades (art. 6.1, falta de legitimidad en el tratamiento de los datos de los interesados), y que era el reproche que en todo caso había puesto de manifiesto hasta el momento en relación con el SIM Swapping, sino que, además, imputa a TME la responsabilidad del resultado del fraude realizado por un tercero, es decir, el resultado del robo del dinero de las cuentas bancarias de dichos clientes, así como la alarma social causada por este tipo de prácticas. I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN. Cuestión de prejudicialidad penal. Las tres partes reclamantes interpusieron sendas denuncias ante los Cuerpos y Fuerzas de Seguridad del Estado en relación con los mismos hechos que se están tratando en el presente procedimiento. Es indispensable constatar si las denuncias han avanzado llegando a sede de instrucción judicial, lo que supondría que no se podría continuar la vía administrativa hasta saber el resultado final de la vía penal, tal y como establece el art. 77.4 de la LPACAP. PRIMERA. De la operativa de identificación de clientes: Las medidas de seguridad son el resultado de un minucioso y continuo proceC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/106 so de estudio que abarca múltiples disciplinas y áreas del conocimiento (entre otras, asesoría jurídica, seguridad, prevención del fraude) que ha sido llevado a cabo desde un primer momento con todas las garantías y con el máximo respeto y observancia de los principios del artículo 5 del RGPD. El eje central de estas medidas de seguridad está constituido por la (…) que resulte aplicable en función del tipo de gestión solicitada por el cliente. 1.1.- Las medidas técnicas y organizativas implantadas resultan apropiadas en función de las características que reviste cada uno de los tipos de gestión afectados por el fraude: Las gestiones de las que se valen los suplantadores para perpetrar los fraudes de tipo SIM Swapping son básicamente dos: las solicitudes de duplicado de tarjeta SIM y las solicitudes de cambio de titularidad. 1.1.1.- Garantías que reviste el procedimiento de solicitud de duplicado de tarjeta SIM (…): (…). 1.1.2.- Garantías que reviste el procedimiento de cambio de titular en el (…): (…). 1.2.- Las medidas técnicas y organizativas implementadas se revisan y actualizan de manera continua de conformidad al principio de privacidad desde el diseño y por defecto:  Medidas adoptadas en el corto plazo (...).  Medidas adoptadas en el largo plazo  Durante el año 2020 TME ha trabajado en el desarrollo (…).  Adicionalmente y para el año 2021 (…). 1.3.- Aclaraciones sobre el funcionamiento de los duplicados de Tarjeta: NO es cierto que: (…). SEGUNDA. Las circunstancias que han hecho posible la superación por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/106 terceras personas de las políticas de seguridad implantadas y la consecuente suplantación de identidad de los reclamantes uno, dos y tres superan la esfera de responsabilidad de TME. Los agentes comerciales del (…) han sido engañados e inducidos a cometer errores humanos a la hora de aplicar la operativa de identificación diseñada y exigida por TME. 2.1.- Del incumplimiento de la operativa por parte de los empleados de distribuidores y otros proveedores: Aportan los contratos firmados por THADER, CATPHONE y (… 2.2.- De la diligencia debida demostrada por TME a la hora de hacer cumplir la operativa de Identificación: Demostrada en todo momento, incrementando aún más sus esfuerzos desde que es conocedora de la existencia de esta modalidad de fraude. Insiste en la gran cantidad de (…) en el sentido de hacer llegar el detalle de la operativa de identificación a todos los canales. Ha desarrollado numerosas acciones de (…). En este sentido, con objeto de reforzar el cumplimiento de la operativa diseñada por Movistar, el protocolo incluye (…) y de (…). 2.3.- De la continua innovación de las técnicas de fraude y la sofisticación de los suplantadores a la hora de perpetrar y evolucionar este tipo de fraude: Debe tenerse presente que dichos comerciales se enfrentan a la (…), se vale de ellos para tramitar una gestión en particular conforme a los trámites establecidos para ello en TME. 2.4.- De la concurrencia de otras operativas bancarias no conocidas por TME necesarias para perpetrar el fraude bancario: Las obligaciones de autenticación y acceso de terceros impuestas por la Directiva PSD2 no resultan de aplicación a TME y, además, no entraron en vigor hasta el 14 de septiembre de 2019. En consecuencia, TME no es responsable de los resultados de suplantación de identidad. TERCERA. Las medidas de seguridad implantadas se han demostrado adecuadas, oportunas y eficaces en atención al volumen de contratación y a las obligaciones impuestas por la normativa sectorial aplicable para asegurar la conectividad de sus clientes de forma rápida y sostenible en el tiempo. 3.1.- Adecuación, oportunidad y eficacia de las medidas de seguridad implantadas por TME: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/106 La AEPD únicamente ha identificado tres casos de fraude bancario (partes reclamantes uno, dos y tres). Las solicitudes fraudulentas identificadas por TME son mínimas y completamente excepcionales si las comparamos con el volumen de operaciones de este tipo gestionadas por TME.  Porcentaje de solicitudes fraudulentas detectadas en duplicados de tarjeta: Es del X,XXXX %. La imposición de restricciones supondría una rigidez y una carga excesiva que, en última instancia, podría poner en riesgo:  La conectividad de los clientes de forma rápida y sostenible en el tiempo conforme a la normativa sectorial que impone a las operadoras un estándar de calidad y de nivel de servicio exigentes en aras de asegurar la conectividad.  El cumplimiento de otros principios consagrados en el RGPD, como el principio de minimización de datos. Por otra parte, el porcentaje general de solicitudes fraudulentas de las que se valen los suplantadores para cometer los fraudes bancarios (…). 3.2.- Efectividad de determinados procesos señalados por la agencia: 3.2.1.- La efectividad del check “víctima de fraude” No existe como tal un procedimiento de este tipo. • Restricción por robo: Que consiste en (…). • Acciones llevadas a cabo por el departamento de fraude: Detectado un posible fraude, (…). 3.2.2.- La efectividad del (…). No existe ningún (…). 3.2.3.- La efectividad (…) Entre sus obligaciones como empresa prestadora de servicios de comunicaciones electrónicas se incluye la necesidad de garantizar la accesibilidad a sus servicios de atención al cliente. La (…) responde al conjunto de obligaciones expuestas y, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/106 atención a estas, considera que no se puede poner en duda su eficacia. II. SOBRE LOS FUNDAMENTOS DE DERECHO. PRIMERA. Sobre las presuntas infracciones cometidas por parte de TME: vulneración del principio de tipicidad. 1.1.- Sobre la conducta de TME: en ningún caso podría considerarse subsumible en ninguno de los preceptos que se consideran vulnerados La conducta realizada no es subsumible en ninguno de los preceptos cuya infracción se imputa, para ello sería necesario que:  No se aplicasen unas “medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo”.  En general, no se garantizase una “seguridad adecuada” en el tratamiento de datos personales.  No se fuese capaz de demostrar todo lo anterior.  Sobre la presunta infracción de los artículos 5.1
6. f)y 32 del RGPD: TME cuenta con unas medidas técnicas y organizativas apropiadas:  Resultado de un minucioso y continuado proceso de estudio que abarca múltiples disciplinas y áreas del conocimiento (asesoría jurídica, seguridad, prevención del fraude) que se revisan y actualizan cuando es necesario.  En relación con la evaluación de riesgos, debe tenerse en cuenta que la emisión de un duplicado de tarjeta puede resultar necesaria para que un cliente siga disfrutando de su servicio de comunicaciones móviles conforme al artículo 47 de la Ley 9/2014, de 9 de mayo (LGTEL) y el Real Decreto 899/2009, de 22 de mayo.  Sobre la presunta infracción del artículo 5.2 RGPD: La norma exige demostrar el cumplimiento de la implantación de unas medidas de seguridad apropiadas, no su infalibilidad. Infalibilidad que sí parece estar exigiéndose a TME, atendiéndose tan solo al resultado producido en el caso de tres reclamantes, y asumiendo de esa forma la existencia de una responsabilidad objetiva.  Sobre la presunta infracción del artículo 25 RGPD: Se está imputando a TME la infracción de un artículo que protege la privacidad en una doble vertiente: privacidad desde el diseño y por deC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/106 fecto, sin ni siquiera referirse a su alcance total en el Acuerdo de Inicio.  Sobre la tipificación de la presunta conducta en otros procedimientos san- cionadores incoados a TME y Telefónica de España, S.A.U. La actuación de la Agencia es arbitraria por cuanto en otros expedientes administrativos la tipificación de la conducta ha sido diferente (PS/ 00114/2019; PS/00453/2019; PS/00235/2020). En todos ellos se ha tipificado la conducta como contraria al artículo 6.1 RGPD. Con este proceder, la AEPD propicia una proscrita inseguridad jurídica y dificulta una adecuada defensa de TME, vulnerando en consecuencia las previsiones del artículo 9.3 CE. 1.2.- Sobre la redacción de la normativa que resulta de aplicación: conceptos jurídicos indeterminados que contribuyen a incrementar la inseguridad jurídica e indefensión de TME: Invoca varias sentencias: STS de 26 de junio de 2001 (RJ 2001, 5740); STC 104/2009, de 4 de mayo (RTC 2009, 104); y la STC 145/2013 de 11 julio (RTC 2013\145). La Agencia colabora con dicha indeterminación de conceptos al hacer referencia a un supuesto “principio de seguridad de los datos” de ahora nueva formulación en varias ocasiones mencionado, pero no recogido en el RGPD. 1.3.- Subsidiariamente: sobre la interpretación y aplicación de la normativa realizada por la agencia. Riesgo de vulneración del principio “non bin in idem” y de especialidad: El (…) exige la prioridad en la aplicación del precepto específico sobre el general. Por lo que, no resultaría aplicable a este caso ni el artículo 5.1
7. f)ni el 5.2 del RGPD, cuya redacción es genérica y procede la aplicación del artículo 32 del RGPD. Dicha especialidad se encuentra también recogida en la LOPDGDD, que en su artículo 73 f), a diferencia del artículo 72.1 a), prevé como infracción grave “
8. f)La (…) que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por (…)”. SEGUNDA. La conducta de TME no es antijurídica. La operativa de identificación de clientes de TME contempla medidas técnicas y organizativas diseñadas para garantizar una seguridad adecuada de los datos personales de sus clientes, incluida la protección contra el tratamiento no autorizado o ilícito. La norma (…). Las medidas de seguridad implantadas por TME se han demostrado (…) al volumen de contratación y del resto de gestiones, y (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/106 En relación con la (…), dichos contratos responden a la realidad mercantil e incluyen todas aquellas previsiones que son necesarias con el objetivo de garantizar su cumplimiento. TERCERO. Ausencia de culpabilidad. No existe el elemento subjetivo de culpa requerido para la imposición de sanciones administrativas. TME revela una inequívoca voluntad de proceder conforme a Derecho sin existir en modo alguno intencionalidad de infringir la norma y teniendo en todo caso voluntad de cumplimiento. Invoca la STS de 16 de diciembre de 2015. Las conductas en ningún caso son imputables a TME. 3.1.- La actuación diligente, de buena fe y confianza legítima de TME: Ha actuado con toda la diligencia exigible a la hora de implantar unas medidas técnicas y organizativas (conforme al estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, la probabilidad y gravedad de los riesgos) que resultan apropiadas para garantizar una seguridad adecuada. Como operador de telecomunicaciones y prestador de servicios de comunicaciones electrónicas tiene la obligación de prestar dichos servicios de manera continuada y atendiendo a las obligaciones derivadas de la normativa que resulta de aplicación. Invoca el seguimiento del “Plan de inspección de oficio sobre contratación a distancia en operadores de telecomunicaciones y comercializadores de energía” y la participación en el GT. Alega haber actuado conforme al principio de confianza legítima e invoca la STS núm. 64/2017 de 22 de mayo. 3.2.- Circunstancias excepcionales y ajenas a TME:  Incumplimiento de las operativas establecidas por TME: responsabilidad de los empleados de los distribuidores y proveedores La AEPD está exigiendo una (…) basándose simplemente en el resultado, sin tener en cuenta que (…) de los distribuidores, que en su caso estarían incumpliendo las operativas. Invoca la STS 1468/2017 de 28 septiembre.  Posible negligencia en el cuidado de los datos personales por parte de los usuarios: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/106 TME informa a sus clientes en el marco de su relación contractual, lo siguiente: Condiciones de Movistar Internet: “Uso y custodia. El CLIENTE se compromete a hacer un (…)”. Condiciones particulares de la aplicación móvil Mi Movistar: “2.7. Movistar no se responsabilizará por la pérdida, sustracción y/o uso no autorizado por terceros de tus credenciales o de la tarjeta SIM de tu/s línea/s vinculada/s, por lo que (…). De igual manera, (…). Movistar no se responsabiliza por el uso que terceros puedan hacer de Mi Movistar en tu dispositivo”. Invoca tres Sentencias: de la Audiencia Provincial (AP) de Sevilla, de 26 de mayo de 2014; de la AP de las Palmas de Gran Canaria, de 20 de diciembre de 2012; y de la AP de Valladolid de 10 de marzo.  Probable responsabilidad de terceros ajenos a TME, como las entidades bancarias: Corresponde al banco (o resto de proveedores de las aplicaciones mencionadas), (…), el establecer las medidas que en su caso correspondan, atendiendo a lo establecido en la normativa que resulta de aplicación a las entidades bancarias; y decidir sobre la idoneidad de utilizar determinados mecanismos para autorizar y finalizar la transacción bancaria (en este caso el SMS). Alude a la SAP de Alicante núm. 107/2018, de 12 marzo (AC 2018\818).  Acciones intencionadas de terceros para la comisión de un delito Como indica la propia Agencia, se trata de “prácticas fraudulentas” realizadas por terceros, de las que TME es una víctima más. Por otro lado, también debemos hacer referencia en este punto al engaño previo por parte del suplantador a los comerciales de TME para conseguir realizar determinadas gestiones. Incluso podría considerarse que nos encontramos ante un supuesto de fuerza mayor, por encajar las circunstancias descritas en dicho concepto, que determina la falta de responsabilidad o culpabilidad en la conducta infractora. Nos encontramos ante la responsabilidad de los empleados de los distribuidores y proveedores de TME que han incumplido las operativas establecidas, pese a la más que evidente y probada actuación diligente de TME en el marco de dicha relación contractual. La suplantación de identidad puede producirse por multitud de factores ajenos a la voluntad y capacidad de actuación de TME, tales como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/106 que: i).- Hay terceros que tienen la voluntad de cometer un delito, acción que resulta inevitable para Telefónica. ii).- Los datos que permiten la suplantación de identidad no son obtenidos de TME. Los suplantadores deben tener en su poder otros datos (en concreto los bancos con los que operan estas personas y las credenciales de acceso a la banca on-line) ya que el acceso a los mensajes SMS por sí solo no permite la ejecución de operaciones bancarias. iii).- Las entidades bancarias son las responsables de determinar las medidas de seguridad necesarias para garantizar el consentimiento del titular de la cuenta ante cualquier operación bancaria, y la acreditación de su identidad. Por lo tanto, resulta de extraordinario interés reiterar que no hay nexo causal por acción u omisión, entre TME y el resultado final, debido a la intervención de terceros con entidad suficiente para alterarlo. CUARTO. Incumplimiento del principio de proporcionalidad. En el hipotético caso de que la AEPD, carente del adecuado soporte legal y con el único objetivo de imponer una multa, considere idóneo e indispensable sancionar económicamente a TME, el importe de tal sanción deberá ser estimado atendiendo en todo caso al principio de proporcionalidad. Invoca la STS de 2 de junio de 2003 y los Considerandos 4, 129 y 148 y artículo 83 del RGPD. La sanción económica que correspondería resulta de todo punto ineficaz y desproporcionada. No se han tenido en consideración las previsiones de los artículos 83.1 y 83.2 del RGPD. 4.1.- De las agravantes apreciadas: 1. Gravedad de la infracción Alude a la Sentencia de la Audiencia Nacional (SAN) 00496/2017, en la que no se considera justificada ni motivada la valoración de la conducta como grave por parte de la SESIAD, en la medida en que no se apreciaba que el incumplimiento fuese generalizado. En consecuencia, no se puede considerar que la naturaleza de la infracción sea grave. 2. Duración de los hechos. La duración del tratamiento supuestamente irregular no podría exceC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/106 der del momento en el que se perfeccionó el duplicado de tarjeta SIM de los tres reclamantes. No deja de sorprender que la Agencia aprecie la agravante de duración, al entender que los hechos abarcan un periodo superior al año, y al mismo tiempo se estime como atenuante la falta de carácter continuado de la infracción. 3. Número de interesados afectados Falta de congruencia debida en relación entre el ilícito cometido y la sanción propuesta -solo 3 casos-. 4. Nivel de daños y perjuicios sufridos En modo alguno se puede atribuir a TME responsabilidad sobre la materialización del fraude bancario, ya que su responsabilidad termina con el resultado del duplicado de tarjeta, pero no es responsable de las políticas de identificación de clientes establecidas por las entidades bancarias. La apreciación de la agravante contemplada en el artículo 83.2.
9. a)no puede fundarse en la perpetración de este tipo de delitos. 5. Intencionalidad o negligencia Los sucesos ocurridos con los tres reclamantes no pueden ser consi derados como una muestra representativa del nivel de compromiso demostrado por TME y, mucho menos, del grado de eficacia que revisten unas políticas de seguridad que están diseñadas para atender a un volumen de clientes que supera los 8 millones. 6. Responsabilidad del responsable Parece que la AEPD mezcla en su argumento a las entidades bancarias con los distribuidores. 7. Categoría de datos personales afectados TME trata solamente datos identificativos (Nombre, apellidos, DNI). En ese sentido, resulta evidente que la categoría de datos afectados por el fraude, no sólo no entran en la categoría de datos sensibles recogida en el art. 9 del RGPD, si no que la propia AEPD los clasifica como “datos de escaso riesgo”, según la categoría de datos personales realizada en el apartado 6.2.3 de la “Guía para la gestión y notificación de brechas de seguridad. 4.2.- De las atenuantes apreciadas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/106 La Agencia no ha tenido en cuenta algunas circunstancias que redundan en la aplicación de dichas atenuantes. Por otro lado, ha olvidado incluir en ese listado de atenuantes, otras que también aplican y que resultan fundamentales. En relación con las circunstancias no tenidas en cuenta: En relación con el artículo 83.2.
10. c)RGPD. Medidas tomadas por el responsable para paliar los daños y perjuicios sufridos por los interesados: la AEPD no hace referencia a (…). En relación con el artículo 83.2.
11. f)RGPD. Grado de cooperación con la autoridad de control: la AEPD tampoco hace referencia a la colaboración realizada por esta parte en el seno del GT. En relación con el artículo 76.2.
12. a)LOPDGDD. El carácter continuado de la infracción: la AEPD no tiene en cuenta el porcentaje ínfimo que suponen los casos de solicitudes fraudulentas de duplicado de SIM en relación con el volumen de transacciones que gestiona TME, y que apenas supera el 0%. Esta parte entiende que la atenuante que contempla el artículo 76.2.
13. d)resulta determinante a efectos de valorar una posible sanción económica. Las suplantaciones de identidad producidas en los casos de los tres reclamantes no habrían sido posibles si el suplantador no hubiese realizado una previa captación ilegítima de los datos personales de dichos clientes. (El subrayado, la cursiva y negrita es de TME). Estas alegaciones ya fueron contestadas en la Propuesta de Resolución y se reiteran, en parte, en los FD de esta Resolución. DÉCIMO SEXTO: Transcurrido el plazo de alegaciones concedido en el Acuerdo de iniciación y presentadas alegaciones, con fecha 4 de mayo de 2021, por la instructora del procedimiento se acuerda la apertura de un período de prueba en los siguientes términos: “1. Se dan por reproducidas a efectos probatorios las reclamaciones interpuestas por A.A.A., C.C.C., D.D.D. y su documentación. También los documentos obtenidos y generados por los Servicios de Inspección ante TELEFÓNICA MÓVILES ESPAÑA, S.A.U, y el Informe de actuaciones previas de la Subdirección General de Inspección de Datos que forman parte del expediente E/11418/2019. 2. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio PS/00021/2021 presentadas por TELEFÓNICA MÓVILES ESPAÑA, S.A.U, en fecha 8 de marzo de 2021 a través del Registro General de esta Agencia, y la documentación que a ellas acompaña: (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/106 3. Practicar con fecha de hoy, un requerimiento a: A.A.A., C.C.C. y D.D.D., a fin de que se facilite en un plazo de 10 días hábiles, información sobre el curso de las denuncias interpuestas por estos hechos, así como información de los procedimientos penales que en su caso se encuentren en trámite.” DÉCIMO SÉPTIMO: En respuesta a este último requerimiento: Con fecha 25 de mayo de 2021, la parte reclamante uno aporta certificado del Juzgado de Instrucción 2 de ***LOCALIDAD.3, en el que se sigue procedimiento de Diligencias Previas nº XXXXX por estafa, en el que figura en condición de perjudicada. Con fecha 7 de mayo de 2021, la parte reclamante dos manifiesta no tener conocimiento de ningún dato acerca de las posibles pesquisas que se hayan podido dar a partir de la denuncia presentada. Con fecha 21 de mayo de 2021, la parte reclamante tres manifiesta que el pasado 11 de febrero de 2021, declaró en el Juzgado de 1ª Instancia e Instrucción nº 01 de Majadahonda en el procedimiento de Diligencias Previas XXXXX en su condición de perjudicado/ofendido, en el que figura como investigado F.F.F. Añade, que amplió la denuncia inicial presentada ante la Guardia Civil en fecha 28 de septiembre de 2020. Aporta un fichero mp3, facilitado por la Oficina Municipal de Consumidores, en el que consta la grabación del cambio de titularidad del servicio a favor de este último. DÉCIMO OCTAVO: Con fecha 21 de julio de 2021, se solicita al Juzgado de Instrucción núm. 2 de ***LOCALIDAD.3, por correo electrónico, información sobre el procedimiento de Diligencias Previas nº XXXXX, y sobre el criterio del órgano judicial respecto a la concurrencia de identidad de sujeto, hecho y fundamento entre la presunta infracción administrativa y la infracción penal que pudiera corresponder, para proceder, en su caso, a la inmediata suspensión del procedimiento iniciado, en virtud de lo preceptuado en el artículo 22 de la LPACAP. DÉCIMO NOVENO: Con fecha 28 de julio de 2021, se recibe correo electrónico del Juzgado de Instrucción núm. 2 de ***LOCALIDAD.3, en el que la juez informa lo siguiente: “En relación a la petición solicitada les informo que la denuncia presentada por el Sr. A.A.A. no se interpuso contra la companyia (sic) TELEFONICA MOVILES ESPAÑA SAU a pesar que en la denuncia relató que se hizo un duplicado de su targeta (sic) SIM núm. ***TELÉFONO.2 y el no lo había solicitado. En este sentido y en contestación a la petición no hay, por este motivo, identidad de sujetos que conduzca a la suspensión del procedimiento.” VIGÉSIMO: Con fecha 16 de septiembre de 2021, la instructora del procedimiento formula Propuesta de Resolución, en la que propone que por la directora de la AEPD se sancione a TELEFÓNICA MÓVILES ESPAÑA, S.A.U., con CIF A78923125, por infracción del artículo 5.1.
14. f)del RGPD, tipificada en el artículo 83.5.
15. a)del RGPD y en el artículo 72.1.
16. a)de la LOPDGDD, con una multa administrativa de 1.000.000’00 (un millón de euros). Con fecha 20 de septiembre de 2021, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, se notifica la Propuesta de Resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/106 VIGÉSIMO PRIMERO: Con fecha 22 de septiembre de 2021, TME solicita la ampliación del plazo para formular alegaciones a la Propuesta de Resolución. VIGÉSIMO SEGUNDO: Con fecha 23 de septiembre de 2021, la Agencia concede la ampliación instada. VIGÉSIMO TERCERO: Con fecha 11 de octubre de 2021, TME, formula alegaciones a la Propuesta de Resolución en las que se reitera en todas y cada una de las alegaciones realizadas al Acuerdo de inicio (antecedente DÉCIMO QUINTO) y añade otras: PREVIA: SOBRE LA INCOACIÓN DEL EXPEDIENTE SANCIONADOR. La AEPD estaba realizando una investigación independiente de la que, al menos los Operadores que participaban en el GT, y concretamente, TME, no estaba al tanto. Efectivamente la normativa aplicable establece que la autoridad de control tendrá una serie de competencias, a cuyos efectos otorga hasta 22 tipos de funciones y hasta 10 poderes correctivos, pero todos ellos deben ejercerse siguiendo los principios del ordenamiento jurídico, y en ese sentido, la pretensión de estar utilizando alguna de esas otras herramientas previstas en la ley, cuando en realidad lo que estaba era investigando para dirimir la responsabilidad de los operadores y sancionarlos con multas económicas sin precedentes, no puede ser interpretado de otra manera que como falta de transparencia y discrecionalidad. Las imputaciones que realiza la AEPD convierten a TME en una suerte de cooperador necesario para la consecución de este tipo de fraudes, cuando en realidad es otra víctima de los defraudadores. La garantía de un resultado de fraude cero no es exigible a la vista de los principios establecidos en el RGPD, ni de las obligaciones correspondientes al Responsable del tratamiento. I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN. Se solicitó que se suspendiera el procedimiento y la AEPD se ha limitado a indicar que tales procedimientos no están dirigidos contra TME, aludiendo a que no existe identidad de sujeto para desestimar la alegación de prejudicialidad penal. Ha ignorado el contenido de las investigaciones que se hayan realizado hasta ahora, lo cual, es relevante para determinar si lo que se estaba tratando en los procedimientos penales son cuestiones similares o trascendentes para este procedimiento, de tal forma que este no pudiese continuar hasta saber el resultado final de la vía penal. Invoca las Sentencias nº 2249/2016 y núm. 1907/2017 de la Sala de lo Contencioso-Administrativo del Tribunal Supremo de fechas 18 de octubre de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/106 2016 y 5 de diciembre de 2017, respectivamente y aduce que existe prejudicialidad penal cuando "la decisión a dictar en el proceso penal condiciona la sentencia del recurso contencioso-administrativo, de suerte que no puede pronunciarse éste sin conocer el resultado de aquél", que es precisamente lo que podría ocurrir en este caso al ser ambos procedimientos una extensión el uno del otro. Y, si bien no hay identidad de sujetos, los resultados de las actuaciones de investigación de los procesos penales afectan directamente al procedimiento sancionador, no solo para determinar qué ocurrió realmente a la hora de cometerse el fraude, sino también para el caso de que finalmente se impusiese una sanción, determinar el importe adecuado. Por ello, se solicita que se requiera directamente a los diferentes Juzgados a fin de que aporten en qué punto están las denuncias interpuestas, así como el contenido de los procedimientos penales, para poder, acordar la suspensión de este procedimiento por prejudicialidad penal. PRIMERA. DE LA CONDICIÓN DE TME COMO RESPONSABLE DEL TRATAMIENTO Y DELIMITACIÓN DE LAS OPERACIONES DE TRATAMIENTO OBJETO DEL PROCEDIMIENTO SANCIONADOR. En ningún momento ha delimitado la AEPD a qué operaciones o actividades de tratamiento de datos está haciendo referencia concretamente, remitiéndose a éste con carácter general y de manera absolutamente arbitraria y partidista. No identifica cuáles son los procesos o actividades responsabilidad de TME, de tal manera que se puedan separar de los que entran en el ámbito de responsabilidad de terceros (las entidades bancarias). Es necesario aclarar que los procesos o actividades de tratamiento que se cuestionan no son otros que el tratamiento de los datos identificativos (nombre, apellidos, DNI), con la finalidad de identificar al cliente como paso previo a la gestión de una determinada solicitud (en este caso dos solicitudes concretas, el duplicado de tarjeta SIM y el cambio de titularidad), siendo la base legitimadora de dicho tratamiento el de la ejecución del contrato existente entre TME y su cliente. Es decir, las operaciones de tratamiento de datos consistirían en contrastar la información que nos proporciona el solicitante con la información que consta en nuestros sistemas. Alude a las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD), en concreto: “(…) En la práctica, esto puede significar que el control ejercido por una entidad en particular puede extenderse a la totalidad del procesamiento en cuestión, pero también puede estar limitado a una etapa particular del procesamiento” y a la Sentencia del TJUE de 29 de julio de 2019: “(…) Por el contrario, [...] esa persona física o jurídica no puede considerarse responsable del tratamiento, en el sentido de dicha disposición, en el contexto de operaciones que preceden o son posteriores en la cadena general de tratamiento para las que esa persona no deC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/106 termina los fines o los medios”. Considera que la Agencia vincula erróneamente a TME con una serie de operaciones o actividades de tratamiento que deberían quedar fuera del objeto del procedimiento. La Agencia intenta responsabilizarla de unas operaciones o actividades de tratamiento efectuadas por terceros, aunque ciertamente vinculadas con otras operaciones de tratamiento que sí son responsabilidad de TME. No se puede responsabilizar a TME de que se haya cometido un determinado tipo de fraude bancario porque, si esto fuese así, se la podría responsabilizar de todos los accesos ilegítimos acaecidos en el marco de la prestación de servicios de cualquier empresa que verificase la identidad de sus clientes a través del teléfono móvil. Lo que la Agencia cuestiona no es el cumplimiento de los principios del RGPD o la diligencia de TME a la hora de ejecutar el duplicado de tarjeta. Lo que se ha puesto en tela de juicio es si las políticas de identificación que TME tiene implantadas son lo suficientemente robustas como para acreditar que el solicitante de una determinada gestión sea quien dice ser. TME es el primer interesado en que dicho proceso de identificación se lleve a cabo sin fisuras y con las mayores garantías posibles y ha implementado medidas de seguridad adecuadas en atención a los riesgos derivados de la actividad de tratamiento de la que es responsable. SEGUNDA. DE LA ADOPCIÓN DE MEDIDAS TÉCNICAS Y ORGANIZATIVAS APROPIADAS. 2.1 MEDIDAS TÉCNICAS Y ORGANIZATIVAS IMPLEMENTADAS Adjunta como Anexo 1 el documento “(…)”, que contiene la última versión del documento que (…). El eje central de estas medidas está constituido por la (…) que resulte aplicable en función del tipo de gestión solicitada por el cliente. En relación con (…): Se realiza exclusivamente a través (…). TME ha adoptado la medida de seguridad más efectiva y la que más garantías ofrece de cara a identificar a un cliente, que no es otra que la de verificar presencialmente que alguien es quien dice ser. La Agencia no ha aclarado en ningún momento en qué sentido considera que dicha operativa es contraria al Reglamento ni tampoco menciona qué elementos de la política de identificación tendrían que haberse adaptado. Las medidas no solo se adecuan a los estándares que han venido aplicando los principales actores del sector de las telecomunicaciones, sino que en determinados aspectos los superan. Ya se puso de manifiesto que el sistema de validación de identidades que se contempla en la “(…)” cuenta con las mismas garantías que el sistema de autenticación reforzada establecido por la Directiva 2015/2366. La Agencia no ha analizado en ningún moC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/106 mento si las medidas dispuestas por TME en su operativa, son o no co herentes con PSD2. Ya se puso de manifiesto que la “(…)” está alineada con las recomendaciones establecidas por la propia Agencia en el informe “Plan de inspección de oficio sobre contratación a distancia en operadores de telecomunicaciones y comercializadores de energía”, tampoco se ha pronunciado la AEPD en su Propuesta de Resolución a este respecto. En relación con (…): La (…) obliga a los agentes de (…). Además, actualmente este tipo de gestiones se derivan y se tramitan por un (…). La forma en la que gestiona el (…) adjuntado como Anexo 2. En suma, (…). Como hace constar en su informe “Plan de inspección de oficio (…)”, esta forma de identificar a los clientes se puede considerar un estándar dentro de las empresas del sector de telecomunicaciones. TME está en desacuerdo con una de las afirmaciones de la Agencia, en concreto, la contenida en la página 93 de la propuesta, aduce que: 1.- TME no permite ni solicitar ni gestionar un cambio de tarjeta SIM en el (…), solo es posible solicitarlo presencialmente en tienda. 2.- La (…) son equivalentes. Ahora bien, aun siendo equivalentes, es evidente que no pueden en ningún caso ser las mismas. TME no puede adoptar las medidas técnicas y organizativas relativas al tratamiento de identificación sin tener en cuenta el canal, el tipo de gestión para el que se realiza el tratamiento, y el cumplimiento de las obligaciones que tiene como operadora. 3.- En ningún caso se ha dicho que sea posible obtener un duplicado de tarjeta SIM sin acudir de forma presencial a una tienda. No es lo que ha sucedido en los casos de los RECLAMANTES UNO, DOS y TRES. 2.2 REVISIÓN Y ACTUALIZACIÓN DE LAS MEDIDAS TÉCNICAS Y ORGANIZATIVAS IMPLEMENTADAS TME ha probado sobradamente haber llevado a cabo esfuerzos de revisión y refuerzo de la operativa. Los esfuerzos han sido encauzados en tres ejes:
17. a)Refuerzo de las operativas existentes: •(…). Adjunta como Anexo 3 el documento “(…)” que contiene: -. Extractos de publicaciones realizadas en el (…), entre los años 2019 al 2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/106 .- Extractos de noticias publicadas en (…) del que forman parte también los (…) entre 2020 y 2021. .- Implantación en octubre de 2020 de la nueva (…) (Anexo 2). (…) (Anexo 4).
18. b)Implantación de proyectos transversales a largo plazo: TME ha trabajado en el desarrollo de (…).
19. c)Puesta en común de la problemática con esta Agencia y otros interesados: .- A fin de estudiar posibles vías de mejora sin haber recibido por parte de la AEPD, ni una sola propuesta de aquellas medidas adicionales que pudiera estar pasando por alto. .- Ha tratado esta problemática con (…)”, con el objetivo de conocer y adaptar, en su caso, medidas efectivas que contribuyan a reducir este tipo de fraudes (Anexo 5 “(…)”). .- Ha creado un (…) cuyo primer encuentro ha tenido lugar en el mes de septiembre de 2021. (…). No puede decirse, que no haya realizado una labor de adaptación constante en función de los nuevos riesgos identificados. 2.3 VALORACIÓN DE LA ADECUACIÓN, OPORTUNIDAD Y EFICACIA DE LAS MEDIDAS TÉCNICAS Y ORGANIZATIVAS IMPLEMENTADAS Alude al FD Quinto y que la AEPD no se ha detenido en ningún momento a valorar dichos aspectos, pocos esfuerzos se han dedicado al análisis de la proporcionalidad en relación con: Conocimiento técnico: TME era desconocedora de las obligaciones de autenticación y acceso de terceros impuestas por la Directiva PSD2. Dichas obligaciones no le resultan de aplicación y no entraron en vigor hasta el 14 de septiembre de 2019. Costos de implementación: son altísimos y también el tiempo de implantación que conlleva la puesta en marcha de medidas de gran calado. Naturaleza, alcance y propósitos: de verificar la identidad de los clientes en una compañía dedicada a la prestación de servicios de comunicaciones electrónicas y, como tal, tiene la obligación de prestar dichos servicios de manera continuada y atendiendo a las obligaciones derivadas de la normativa que resulta de aplicación. En los Fundamentos la Agencia solo menciona un par de las medidas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/106 seguridad implantadas por TME. Ni siquiera se ha entrado a hacer un análisis específico de la adecuación, oportunidad y eficacia de todas las medidas que tiene implantadas. TME tiene certificados y debidamente auditados los procesos y operativas que se cuestionan en este expediente. En concreto, la idoneidad y aseguramiento de las políticas de verificación de la identidad de los clientes, es objeto de análisis de la norma UNE 19601 de Sistemas de Gestión de Compliance Penal. En particular, el control C.047, relativo a la “Contratación Verificación identidad cliente”, está específicamente orientado a contrastar la adecuación de las operativas, la forma de verificar la identidad de los clientes y la existencia de mecanismos de seguimiento y control. Para garantizar el cumplimiento de esta normativa de Compliance Penal es necesario: -. La obtención del “Certificado de Sistema de Gestión de Compliance Penal” (en adelante, SGCP). Este certificado se renueva cada 3 años y está sujeto al resultado de las auditorías periódicas de seguimiento practicadas. Aportan: Como Anexo 6.1 y Anexo 6.2, los documentos “Certificación 2017 AENOR 19601” y “Certificación 2020 AENOR 19601”, que acreditan la certificación de TME en el cumplimiento de esta normativa desde el año 2017. Como Anexo 7.1, el documento “Certificación 2020 EQA 19601”, que acredita la certificación de TELEINFORMÁTICA Y COMUNICACIONES, S.A.U. (TELYCO) en el cumplimiento de esta normativa desde el año 2020. -. La celebración de auditorías periódicas de seguimiento. Aportan los documentos: “Auditoría 2021 AENOR 19601” (Anexo 6.3) y “Auditoría 2021 EQA 19601” (Anexo 7.2). En ambas se verifica el cumplimiento del control C.047. En concreto, el resultado de este proceso de auditoría demuestra que TME dispone de: 1.- OPERATIVAS. 2.- VERIFICACIÓN IDENTIDAD Y DOCUMENTACIÓN ASOCIADA. 3.- SEGUIMIENTO y CONTROL. El Modelo de Prevención de Delitos utilizado por TME también ha sido auditado por la consultora (…) a través de su Informe de Control Interno sobre el Modelo de Organización y Gestión para la Prevención de Delitos. Aporta el índice, el objeto, el alcance y las conclusiones de dicho Informe en el documento “Informe 2020 EY Control Interno Modelo Prevención Delitos”, como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/106 Anexo 8.1 y el documento “Anexo I Informe 2020 Controles analizados EY” como Anexo 8.2. Por otro lado, tampoco considera que pueda llevarse a cabo un análisis de la adecuación de las medidas si no se tiene en cuenta su efectividad en términos de volumen de gestiones afectadas: La Agencia insiste en que estamos ante un derecho fundamental protegido por la CE. Pero, no es menos cierto que, tal y como indica el RGPD “el derecho a la protección de los datos personales no es un derecho absoluto, sino que debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad.” Por último, no es admisible que la Agencia aluda en su Propuesta de Resolución a una supuesta vulneración de una política que no es aplicable a TME (Know Your Costumer (KNY)). TERCERA. DE LA RESPONSABILIDAD DE TME EN LOS CASOS DE SUPLANTACIÓN DE IDENTIDAD DE LOS TRES RECLAMANTES 3.1 RESPONSABILIDAD DEL ENCARGADO DEL TRATAMIENTO TME encarga parte de las operaciones de tratamiento de datos objeto de este procedimiento a proveedores de confianza. Los proveedores seleccionados pasan por un riguroso proceso de selección y contratación que contempla la aplicación de medidas de seguridad específicas, en función del tipo de proveedor contratado. Aporta como Anexo 9 y Anexo 10 el (…). Ambos documentos tienen por objeto, respectivamente: -. (…). -. (…). En última instancia, la aplicación de las citadas normativas internas tiene como resultado la imposición de las medidas de seguridad que se recogen en el (…), adjuntado como Anexo 11. Alude a lo afirmado por la AEPD en la página 92 y aduce que en ningún momento ha pretendido eludir las responsabilidades que le corresponden respecto a la seguridad del tratamiento, sino poner de manifiesto el cumplimiento por parte de TME de las obligaciones que la normativa de protección de datos impone al responsable, en cuanto a: -. Tener debidamente regularizadas las relaciones de encargo de tratamiento con los proveedores afectados de conformidad con lo dispuesto en el artículo 28 RGPD. -. Trasladar con la debida diligencia y de manera clara a los encargaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/106 dos de tratamiento las instrucciones que rigen las operaciones de tratamiento encargadas. Así, la AEPD considera probado en la Propuesta de Resolución que TME tiene debidamente regularizadas las relaciones con los encargados del tratamiento, he indica que “se ha constatado en las alegaciones aducidas la existencia de cláusulas contractuales que hacen referencia a “Instrucciones” documentadas por TME (…).” Teniendo en cuenta que las suplantaciones de las partes reclamantes UNO, DOS y TRES tienen en común la concurrencia de errores puntuales de la operativa diseñada por TME, y que la Agencia ha constatado la comisión de dichos incumplimientos, entiende que es muy importante remarcar la diferencia que hay entre: dos. - Que las medidas implantadas sean apropiadas. Que las medidas se hayan trasladado correctamente a los encargaQue las medidas se hayan incumplido por los encargados. Es decir, hay que diferenciar entre que las medidas implantadas sean suficientes y que éstas, aun siendo suficientes, se hayan podido incumplir puntualmente por parte de los encargados. Aduce que habiéndose probado en el presente procedimiento que, de no ser por dichos incumplimientos, no se habrían producido dichas suplantaciones, considera fundamental que se delimiten las responsabilidades que asumen cada una de las partes en relación con las operaciones del tratamiento de datos cuestionadas. Alude a las Directrices 07/2020 donde se dice: Tanto los responsables como los encargados pueden ser multados en caso de incumplimiento de las obligaciones del RGPD que son relevantes para ambos, y ambos son directamente responsables ante las autoridades de supervisión (…). En relación con este aspecto, TME también afirma que conforme al artículo 28.10 del RGPD, el encargado puede ser considerado como responsable del tratamiento en caso de “determinar los fines y medios del tratamiento”. Según indica, las mencionadas Directrices aclararían que ““Determinar los propósitos y los medios equivale a decidir respectivamente el "por qué" y el "cómo" del procesamiento” En resumen, se alega que no cabe la imputación a TME de la responsabilidad por este incumplimiento, ya que esta empresa habría actuado con toda la diligencia exigible, y que los posibles fallos de seguridad al haberse expedido los duplicados de las tarjetas SIM serían achacables al proveedor, ya que este habría incumplido sus instrucciones. 3.2 RESPONSABILIDAD DE LAS ENTIDADES BANCARIAS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/106 Parece que la AEPD quiere hacer responsable a TME de la comisión de los fraudes bancarios llevados a cabo por los defraudadores en los tres casos. Las obligaciones de autenticación y acceso de terceros impuestas por la Directiva PSD2 no resultan de aplicación a TME y, además, no entraron en vigor hasta el 14 de septiembre de 2019. Por todo ello, no se puede hacer a TME responsable de los tratamientos efectuados por otros responsables (entidades bancarias), ni puede atribuirse a TME la responsabilidad de adoptar medidas de seguridad relacionadas con operaciones de tratamiento de datos efectuados con otra finalidad distinta. II. SOBRE LOS FUNDAMENTOS DE DERECHO PRIMERA. SOBRE LA PRESUNTA INFRACCIÓN QUE CONTINÚA CONSIDERÁNDOSE COMETIDA POR PARTE DE TME: VULNERACIÓN DEL PRINCIPIO DE TIPICIDAD Ha quedado probado “que TME dispone de políticas documentadas de protección de datos en las que se establece el modo de actuar de TME y de los encargados”. 1.1 SOBRE LA CONDUCTA DE TME: EN NINGÚN CASO PODRÍA CONSIDERARSE SUBSUMIBLE EN EL ARTÍCULO 5.1 F) RGPD . La AEPD ha constatado que la conducta no es subsumible en el artículo 5.2 RGPD, es decir, reconoce que TME ha cumplido con lo dispuesto en el artículo 5.1 y ha sido capaz de demostrarlo, constatándose la aplicación de medidas técnicas y organizativas apropiadas que garantizan un nivel de seguridad que es adecuado al riesgo. Estas medidas se revisan y actualizan cuando es necesario a fin de garantizar la seguridad del tratamiento. La Agencia sí está exigiendo infalibilidad a TME, atendiendo tan solo al resultado producido en el caso de tan solo tres reclamantes, y asumiendo de nuevo la existencia de una responsabilidad objetiva (proscrita en nuestro ordenamiento jurídico) como justificación suficiente para considerar que existe una infracción, y que ésta es muy grave. Alude al CIPL (Centre for Information Policy Leadership), que en sus comentarios acerca de las directrices sobre la notificación de violaciones de datos personales del GT del Artículo 29 (“Comments by the Centre for Information Policy Leadership On the Article 29 Working Party’s “Directrices on personal data breach notification under Regulation 2016/679” Adopted on 3 October 2017”), ilustra bien la diferencia entre mitigación del riesgo e infalibilidad, al indicar que no puede ser una obligación para las organizaciones garantizar la seguridad absoluta de las operaciones de tratamiento de datos (“It cannot be an obligation for organisations to guarantee absolute security of data processing activities”). Asimismo, no se ha tenido en consideración que incluso el GT sobre protección de datos del artículo 29, en las “Directrices sobre la notificación de las violaciones de la seguridad de los datos personales de acuerdo con el ReglaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/106 mento 2016/679” reconoce que, aunque se implementen las medidas de seguridad, pueden existir riesgos, al indicar que: “(…) un elemento clave de cualquier política en materia de seguridad de los datos es poder, en la medida de lo posible, prevenir una violación y, cuando a pesar de todo se produzca, reaccionar de forma rápida”. Alude también a un artículo del INCIBE: “Para reducir la probabilidad de que este tipo de incidentes ocurran (…)” “De esta forma evitaremos en la medida de lo posible las filtraciones de información y la pérdida de imagen de nuestra compañía”. Y a la Sentencia de la AP de Valladolid (Sección 1ª) núm. 74/2010 de 10 marzo (AC 2010\368), en relación con el presunto incumplimiento de medidas de seguridad por parte de un banco, expone que: “En cualquier sistema operativo, incluso en el tradicional, existen riesgos y lo determinante para atribuir responsabilidades será si en el utilizado se daban garantías suficientes, sin que pueda llegarse a la conclusión contraria por el mero hecho de que posteriormente se hayan mejorado los sistemas de seguridad, que es de lógica que se vayan modernizando y perfeccionando ante nuevas prácticas defraudatorias que hacen ineficaces los anteriores”. TME considera que ha quedado probado que las medidas de seguridad no se han visto vulneradas, sino que se ha producido el incumplimiento de las operativas establecidas por TME y que han tenido lugar acciones de terceros ajenos a ella. Así, la legalidad o no de una medida de seguridad (es decir su adecuación) viene determinada por su contribución a la reducción de la probabilidad de ocurrencia del incidente, y sin ninguna duda, si la probabilidad de acaecimiento de una solicitud fraudulenta de duplicado SIM (por cualquiera de sus modalidades) es del X,XXXXX %, se trata de un porcentaje mínimo. En relación con la evaluación de riesgos, debería tenerse en cuenta que la emisión de un duplicado de tarjeta SIM puede resultar necesaria para que un cliente siga disfrutando de su servicio de comunicaciones móviles. Es decir, los datos tratados son identificativos del cliente, con la finalidad de acreditar la identidad del solicitante de la gestión y poder continuar prestando el servicio de telefonía móvil, conforme a lo exigido en la normativa vigente: artículo 47 de la LGTEL, artículo 3.
20. e)del RD 899/2009, de 22 de mayo y la Orden IET/1090/2014. 1.2 SOBRE LA REDACCIÓN DE LA NORMATIVA QUE RESULTA DE APLICACIÓN: CONCEPTOS JURÍDICOS INDETERMINADOS QUE CONTRIBUYEN A INCREMENTAR LA INSEGURIDAD JURÍDICA E INDEFENSIÓN DE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/106 TME. Invoca la Sentencia del Tribunal Supremo de 26 de junio de 2001 (RJ 2001, 5740), que recuerda la doctrina del Tribunal Constitucional. Alude a la importancia de que la norma reguladora no efectúe formulaciones vagas, abiertas o excesivamente amplias de los ilícitos y sanciones, que carezcan de la suficiente determinación, ya que “se permitiría al órgano sancionador actuar con un excesivo arbitrio y no con el prudente y razonable que permitiría una debida especificación normativa” (STC 61/1990, de 29 de marzo). La AEPD no ha tenido en cuenta las alegaciones formuladas por TME, limitándose a remitirse a los considerandos 7 y 13 del RGPD, a invocar el derecho a la protección de datos como derecho fundamental, y a las definiciones del artículo 4, entre las que reconoce que no se incluyen los conceptos jurídicos a los que hicimos referencia en las alegaciones al Acuerdo de Inicio. Por ello, vuelve a destacarse la ambigüedad e indeterminación de los conceptos recogidos en el precepto que esta AEPD considera vulnerado, tales como: “seguridad adecuada” o “medidas técnicas y organizativas apropiadas”. Invoca el artículo 9.3 de la CE, la STC 104/2009, de 4 de mayo y la STC 145/2013, de 11 de julio y aduce que la Agencia continúa propiciando inseguridad jurídica y dificultando la defensa de TME, pudiendo vulnerarse en consecuencia determinados principios que se encuentran garantizados constitucionalmente (artículo 24, 25 y 9.3 de la CE). 1.3 SUBSIDIARIAMENTE: SOBRE LA INTERPRETACIÓN Y APLICACIÓN DE LA NORMATIVA REALIZADA POR ESTA AGENCIA. RIESGO DE VULNERACIÓN DEL PRINCIPIO DE ESPECIALIDAD. En relación con el principio de especialidad, la Agencia se limita a recoger los argumentos expresados, sin llegar a pronunciarse sobre este aspecto. En la Propuesta de Resolución se “reconduce la imputación de las infracciones inicialmente consideradas. La calificación jurídica de los hechos que se imputan pasa a calificarse como una única infracción derivada de la vulneración del artículo 5.1.
21. f)del RGPD” sin tener en cuenta el principio de especialidad, y en concreto el artículo 32 del RGPD. Una vulneración del principio de especialidad, exige la prioridad en la aplicación del precepto específico sobre el general. En definitiva, de los artículos que en su momento fueron referenciados, sería el artículo 32 del RGPD también regulado en la LOPDGDD, que en su artículo 73 f), a diferencia del artículo 72.1 a), prevé como infracción grave “
22. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679”. Por lo que, en ningún caso podría calificarse la conducta de TME como muy grave. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/106 SEGUNDA. SOBRE LA TIPIFICACIÓN DE LA PRESUNTA CONDUCTA EN OTROS PROCEDIMIENTOS SANCIONADORES INCOADOS A TME Y TELEFÓNICA DE ESPAÑA, S.A.U ( TDE): ERROR EN LA CALIFICACIÓN DE LA INFRACCIÓN. Debe concretarse que esta parte sí determina cómo puede verse agravada su situación, ya que la actuación de la Agencia es arbitraria. En los PS/ 00114/2019, PS/00453/2019, PS/00235/2020, la tipificación de la conducta ha sido diferente y la sanción impuesta también. En todos ellos se ha tipificado la conducta de TME como contraria al artículo 6.1 RGPD (“licitud del tratamiento”) por presuntamente haberse tratado los datos de los denunciantes sin existir base legitimadora para ello. Sin embargo, en este caso considera la conducta como contraria al artículo 5.1
23. f)del RGPD. Asimismo, la sanción impuesta también ha distado mucho de la propuesta en el marco de este expediente, pese a resultar de aplicación el artículo 83.5 a). Es más que evidente que con este proceder, la AEPD propicia una proscrita inseguridad jurídica y dificulta una adecuada defensa de TME, vulnerando en consecuencia las previsiones del artículo 9.3 CE. TERCERA. LA CONDUCTA DE TME NO ES ANTIJURÍDICA En cuanto a la antijuricidad de la conducta por la Agencia “se considera que responde al tipo infractor y al título de culpa”, sin entrar a analizar las alegaciones realizadas por esta parte en este sentido. Insiste en rechazar la antijuridicidad de la conducta en base a los siguientes argumentos: -. La operativa de identificación de clientes contempla medidas técnicas y organizativas diseñadas para garantizar una seguridad adecuada de los datos personales de sus clientes, incluida la protección contra el tratamiento no autorizado o ilícito. Aduce que la norma no exige la infalibilidad de dichas medidas. -. Las medidas implantadas se han demostrado oportunas y eficaces en atención al volumen de contratación y del resto de gestiones, y a la obligación de asegurar la conectividad de los clientes de forma rápida y sostenible en el tiempo. La actuación de TME tampoco ha lesionado o puesto en peligro bien jurídico alguno protegido, sino que responde al necesario equilibrio entre procurar la seguridad del tratamiento de datos personales y garantizar la prestación de los servicios de comunicaciones electrónicas conforme al resto de normativa que resulta de aplicación. -. En relación con la relación contractual que existe con los distribuidores y resto de proveedores, dichos contratos responden a la realidad mercantil e incluyen todas aquellas previsiones que son necesarias con el objetivo de garantizar su cumplimiento. En este sentido, la AEPD sí “ha constatado que TME dispone de políticas documentadas de protección de datos (…)”. Sin embargo, no estima las alegaciones realizadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/106 por esta parte en ese sentido. CUARTA. AUSENCIA DE CULPABILIDAD No existe el elemento subjetivo de culpa requerido para la imposición de sanciones administrativas. Todo lo contrario, ya que la actitud de TME revela una inequívoca voluntad de proceder conforme a Derecho sin existir en modo alguno intencionalidad de infringir la norma, y teniendo en todo caso voluntad de cumplimiento. No cuestiona TME si las personas jurídicas tienen o no capacidad de infringir las normas a las que están sometidos, sino la ausencia de su culpabilidad, y en consecuencia, la ausencia de infracción de la norma. Esta falta de culpabilidad se manifiesta en torno a que: -. La conducta de TME se desempeñó con toda la diligencia profesional exigible, que actuó con buena fe, y que, por ello mismo, no cabe imputársele un actuar culposo. -. La elección y supervisión de los encargados del tratamiento se ha desempeñado con toda la diligencia profesional exigible. Asimismo, debe insistirse en la propia responsabilidad del encargado del tratamiento. -. Las conductas que han provocado las consecuencias expuestas en ningún caso son imputables a TME. 4.1 LA ACTUACIÓN DILIGENTE, DE BUENA FE Y CONFIANZA LEGÍTIMA DE TME En relación con la diligencia de TME, resulta llamativo que en la Propuesta de Resolución, por un lado, se indiquen ciertas afirmaciones que incluyan valoraciones positivas y por otra parte, en contraposición se indiquen otras negativas. En relación con dichos argumentos, conviene hacer una serie de precisiones. En primer lugar, debe señalarse que TME no se dedica específicamente a la gestión de datos personales, sino que es una compañía dedicada a la prestación de servicios de comunicaciones electrónicas. TME no se ha limitado a invocar la ausencia de culpa, sino que todo lo expuesto en las alegaciones realizadas es plenamente demostrativo del rigor y diligencia con la que ha actuado. La AEPD mantiene en la Propuesta de Resolución que “la infracción deviene no por la carencia de una política específica de seguridad para la expedición de los duplicados SIM, sino por la necesidad de su revisión y refuerzo (…) No basta con disponer de una política de seguridad, sino de adecuarla para mitigar los riesgos. (…)”. Sin embargo, ha quedado acreditado que TME traC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 45/106 baja constantemente en la mejora de las medidas de las que dispone con el objetivo de evitar la suplantación de identidad en los distintos procesos de contratación y gestiones que se soliciten, en la formación y en la adaptación de los protocolos de seguridad dentro de la organización. Es decir, ha quedado completamente probado que TME implementa unas medidas de control adecuadas, que se revisan y refuerzan. Invoca la certificación de la UNE 19601 de Sistemas de Gestión de Compliance Penal, así como tener debidamente auditado su Modelo de Organización y Gestión para la Prevención de Delitos incluido el control C.047 relativo a la “Contratación Verificación identidad cliente”. Sin embargo, la Agencia continúa centrándose tan solo en el resultado producido, sin tener en cuenta las circunstancias completamente ajenas a TME que han tenido lugar, exigiendo en consecuencia una responsabilidad objetiva. La AEPD ha reconocido que TME cuenta con cláusulas contractuales que hacen referencia a instrucciones documentadas, además, como prestador de servicios de comunicaciones electrónica, tiene la obligación de prestarlo de forma continuada y en todo momento ha actuado de buena fe y de forma proactiva y diligente (incluyendo la participación en el GT). Invoca la STS de 17 de diciembre de 1988 que dice: “no es justo sancionar a quien obra de buena fe procediendo dejar sin efecto la sanción cuando el actuar del inculpado fue debido a una determinada creencia excluyente de la culpabilidad”. 4.2 DILIGENCIA DEBIDA EN LA ELECCIÓN Y SUPERVISIÓN DE LOS ENCARGADOS DEL TRATAMIENTO Y RESPONSABILIDAD DE ESTE: En la Propuesta de Resolución se señala que “La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad”, y vuelve a mencionar el contenido del artículo 5 del RGPD Existe un incumplimiento de las operativas establecidas por TME: responsabilidad de los encargados de tratamiento de TME y de determinadas acciones de terceros ajenos a la esfera de actuación y de responsabilidad de TME. Invoca que la Agencia ha reconocido la existencia de cláusulas contractuales que hacen referencia a instrucciones documentadas, por lo tanto, reconoce una actuación diligente, sin embargo, desestima la alegación aducida al señalar que “los tratamientos efectuados por los encargados se harán en nombre del responsable, es decir, TME”. Invoca los artículos 1902 y 1903 del Código Civil e insiste en que su conducta ha sido diligente, ya que, por ejemplo: - Los proveedores seleccionados pasan por un riguroso proceso de selección y contratación que contempla de aplicación de medidas de seguridad específicas, en función del tipo de proveedor contratado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 46/106 - Cuenta con un procedimiento consolidado y adecuado de verificación de la identidad de los clientes, y con instrucciones debidamente documentadas a sus encargados de tratamiento. - En los contratos con los encargados se encuentran previstas determinadas medidas disciplinarias y de penalización, y, a los efectos de garantizar el cumplimiento de la operativa de identificación en tienda, se ha establecido para todo el canal presencial una penalización adicional por cada gestión realizada y documentada incorrectamente por parte de un comercial. Lleva aparejada la implantación de un proceso de certificación mensual del cumplimiento de los distribuidores. - Se ha aportado certificación de la UNE 19601 de Sistemas de Gestión de Compliance Penal y el cumplimiento, tanto por parte de TME como por el resto de las empresas del grupo, del control C.047 relativo a la “Contratación Verificación identidad cliente”. Es decir, se acredita, entre otras cosas, la existencia de “(…)”. - Se está llevando a cabo la (…). - Se ha incluido la “(…)” para autorizados. Alude a la STS 1232/2018 de 18 de julio de 2018 y a la STSJ de Madrid 568/2020 de 10 septiembre de 2020. En definitiva, en ningún caso se infringen los deberes de vigilancia que pesan sobre TME en relación con las personas que actúan en su nombre. La Agencia no ha tenido en cuenta el contenido del artículo 28.10 del RGPD. Por lo que, lo sucedido no se ha debido a vulnerabilidades en los procedimientos establecidos, ni en las instrucciones dadas a los encargados del tratamiento, sino al incumplimiento de la operativa diseñada por parte de los agentes comerciales de los canales para la atención de las solicitudes de las diferentes gestiones a las que se refiere este expediente, y en consecuencia al incumplimiento de las instrucciones dadas por TME por parte de los empleados de dichos encargados. Insiste en que, de lo anterior, puede concluirse que la AEPD está exigiendo una responsabilidad objetiva, basándose simplemente en el resultado, sin tener en cuenta que TME ha actuado con total diligencia en la relación con sus encargados de tratamiento. Aduce la STS (Sala de lo ContenciosoAdministrativo, Sección3ª) núm. 1468/2017 de 28 septiembre (RJ 2017\4422). Es necesario, por tanto, la constatación de la intervención culpable por parte de TME, que no se ha producido en este caso, sin existir tampoco “culpa in vigilando”. En tanto no se cumpla con este elemento, no puede imponerse sanción alguna y debería procederse al archivo del procedimiento sancionador. 4.3 CIRCUNSTANCIAS EXCEPCIONALES Y AJENAS A TELEFÓNICA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 47/106 • Posible negligencia en el cuidado de los datos personales por parte de los usuarios: los propios usuarios tienen la responsabilidad de custodiar debidamente sus datos personales. Al hacer uso de Internet, estos pueden compartir determinada información personal, lo que puede implicar que sea utilizada por terceros con fines ilícitos. Eso queda fuera del alcance y de la capacidad de actuación de TME, ya que los datos que en ocasiones permiten la suplantación de identidad pueden ser obtenidos de la información que en su caso haya podido divulgar el propio usuario en algún momento, o de una falta de deber de cuidado al custodiar sus contraseñas o información personal. Alude a la Guía de la AEPD “Protección de datos y prevención de delitos” y las recomendaciones sobre el Phishing. Estas circunstancias no se han tenido en cuenta por la Agencia. Asimismo, TME informa a sus clientes en el marco de su relación contractual una serie de cláusulas que exigen diligencia sobre las claves de acceso y los dispositivos. Alude a varias sentencias. La Sentencia núm. 107/2018 de la AP de ***PROVINCIA.2 de 12 marzo, que establece que “Por su parte los clientes tienen un deber de custodia respecto de sus claves de acceso (…); Sentencia de la AP de Sevilla, de fecha 26 de mayo de 2014, al haber hecho caso omiso de las advertencias y avisos de seguridad del banco; Sentencia de la AP de Las Palmas de Gran Canaria de fecha 20 de diciembre de 2012, que traslada que si el cliente incurrió en error provocado por un tercero ajeno al Banco y le facilitó, engañado, las claves a ese delincuente; y a la Sentencia núm. 74/2010 de la AP de Valladolid de 10 marzo. En definitiva, y como reproduce la Agencia, “(…)”, datos que quizá haya podido facilitar el propio afectado sin saberlo, o a los que haya permitido que se acceda, quedando claro que el acceso a los SMS por parte de los suplantadores por sí mismo no permite la ejecución de operaciones bancarias (resultado perseguido por los suplantadores). • Probable responsabilidad de terceros ajenos a TME, como las entidades bancarias La Agencia reconoce que este tipo de estafas se inician en el ámbito de las entidades bancarias y tienen como finalidad ejecutar operaciones bancarias. Sin embargo, continúa atribuyendo a TME una responsabilidad que no le corresponde, sino que corresponde a estas. TME tan solo trata los datos identificativos del cliente con la finalidad de acreditar la identidad del solicitante de la gestión y poder continuar prestando el servicio de telefonía móvil, atendiendo a las exigencias de la normativa de telecomunicaciones y de consumo). Pero la AEPD está intentando responsabilizarla de unas operaciones de tratamiento de datos personales efectuado por terceros (como son los bancos), que no son de su responsabilidad. La Agencia reconoce que la Directiva PSD2 no resulta de aplicación a TME e insiste en que el duplicado de tarjeta SIM permite a los suplantadores acceder al código de autenticación de la transacción. Insiste en que no está teniéndoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 48/106 se en cuenta que la operación o actividad de tratamiento que realiza, y de la que es responsable del tratamiento, se limita a gestionar el duplicado de una tarjeta SIM en el marco de sus obligaciones como prestador de un servicio de comunicaciones electrónicas. Nada tiene que ver con los mecanismos de autenticación utilizados por terceros. Insiste, debería la entidad bancaria establecer unas medidas de seguridad adecuadas para el acceso a su entorno privado y comprobar que efectivamente está remitiendo una clave para realizar la transacción al titular de la cuenta y alude a la SAP de Alicante 107/2018 que indica que “Constituye por tanto obligación esencial de las entidades prestadoras del servicio de banca online el dotarse de medidas suficientes que garanticen al usuario la seguridad de las operaciones (…) y a la SAP de Zaragoza que dice: salvo actuación fraudulenta o negligencia grave del titular de la cuenta, la responsabilidad de la operación es del banco al que corresponde además probar el correcto funcionamiento del sistema informático”. En conclusión, de todo lo anterior puede extraerse que esta Agencia está imponiendo a TME una serie de obligaciones que no le corresponden, exigiendo de nuevo una responsabilidad objetiva, por el mero hecho de ser la prestadora del servicio de telefonía móvil y en consecuencia ser la encargada de gestionar los duplicados de SIM. • Acciones intencionadas de terceros para la comisión de un delito En la Propuesta de Resolución, la Agencia reconoce que: - “(…) para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos, para recibir el duplicado de la tarjeta SIM”. - “el SIM Swapping es una técnica delincuencial consistente en obtener un duplicado de la tarjeta SIM asociada a una línea de telefonía titularidad de un usuario, con la finalidad de suplantar su identidad para obtener acceso a sus redes sociales, aplicaciones de mensajería instantánea, aplicaciones bancarias o comercio electrónico, con la finalidad de interactuar y realizar operaciones en su nombre, autenticándose mediante un usuario y contraseña previamente arrebatados a ese usuario, así como con la autentificación de doble factor al recibir el SMS de confirmación en su propio terminal móvil donde tendrán inserida la tarjeta SIM duplicada”. - “Hay que destacar que en la primera fase de este tipo de estafas el suplantador consigue, de manera fraudulenta, los datos de acceso o las credenciales de la banca online del cliente, pero le falta poder conocer el código de verificación, segundo factor de autentificación, para poder ejecutar cualquier operación. En el momento en el que logra la tarjeta SIM duplicada ya tiene también acceso a este segundo factor de autenticación y, por tanto, desde ese instante puede realizar los actos de disposición patrimonial que desee”. Debe tenerse en cuenta que, de la comisión de un delito, tal y como indica el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 49/106 artículo 27 del Código Penal, los responsables son los “autores y los cómplices”, siendo autores “quienes realizan el hecho por sí solos, conjuntamente o por medio de otro del que se sirven como instrumento” (artículo 28 CP). Y está claro que esos autores son terceros que nada tienen que ver con TME. Por otro lado, también debemos volver a hacer referencia en este punto al engaño previo por parte del suplantador a los comerciales de TME para conseguir realizar determinadas gestiones. Incluso afirma que podría considerarse un supuesto de fuerza mayor, por encajar las circunstancias descritas en dicho concepto, que determina la falta de responsabilidad o culpabilidad en la conducta infractora. Alude a 3 sentencias (de la AP de Málaga y de Barcelona). En resumen, no concurre en este caso el elemento esencial de culpabilidad en la conducta de TME, ya que:  Ha actuado siempre con plena y fundada creencia excluyente de toda responsabilidad y en cumplimiento de la legislación aplicable.  Nos encontramos ante la responsabilidad de los empleados de los distribuidores y proveedores de TME (encargados del tratamiento) que han incumplido las operativas establecidas por TME, pese a la más que evidente y probada actuación diligente de TME en el marco de dicha relación contractual.  En cualquier caso, y ante una suplantación de identidad, esta puede producirse por multitud de factores que son ajenos a la voluntad y capacidad de actuación de TME, tales como que:
24. i)Hay terceros que tienen la voluntad de cometer un delito, acción que resulta inevitable para Telefónica (es decir, no se trata de un error vencible como indica esta Agencia, ya que no podría haber sido evitado).
25. ii)Los datos que permiten la suplantación de identidad no son obtenidos de Telefónica. Los usuarios tienen obligación de custodiarlos, y su obtención puede venir derivada de una actuación negligente de dichos usuarios al dar acceso a dichos datos. iii) Las entidades bancarias son las responsables de determinar las medidas de seguridad necesarias para garantizar el consentimiento del titular de la cuenta ante cualquier operación bancaria, y la acreditación de su identidad. Por lo tanto, resulta de extraordinario interés reiterar que en este caso no hay nexo causal por acción u omisión, entre TME y el resultado final, debido a la intervención de terceros con entidad suficiente para alterar ese nexo. Por lo que, no existiendo conducta antijurídica, ni típica, ni culpable de TME en los hechos imputados insistimos en que debería haberse ordeC/ Jorge Juan, 6 28001 – Madr