PS-00022-2021

1/99 Expediente N.º: PS/00022/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante uno) con fecha 6 de agosto de 2019 interpone una reclamación ante la AEPD. La reclamación se dirige -entre otroscontra ORANGE ESPAGNE, S.A.U. con NIF A82009812 (en adelante, ORANGE) por los siguientes motivos: “Quiero denunciar el tratamiento de mis datos por parte de Orange y del Banco Santander, que ha permitido que me hayan realizado un fraude en mis cuentas bancarias de casi 15.000 euros. Respecto a Orange, alguien suplantó mi identidad frente a un operador y consiguió cambiar mi email de contacto, sin que la llamada se realizara de mi móvil. Y después, consiguieron un duplicado de mi tarjeta SIM, paso imprescindible para conseguir los datos de acceso a mi banca online. Tras darme cuenta, a pesar de haber puesto una palabra de seguridad para cualquier trámite con operadores de Orange, no siempre me la han preguntado (sobre todo los primeros días), por lo que no puedo estar segura de que pueda volver a pasar. Respecto al Banco Santander, a través de varias llamadas a la línea telefónica y acceso a mis claves online con el duplicado de la tarjeta SIM, consiguieron cambiar mi firma electrónica y realizar dos tarjetas a mi nombre y varias operaciones (traspaso del crédito de dichas tarjetas y transferencias de mis cuentas a otras de desconocidos), todo esto en un breve lapso de tiempo (del 22 de julio al 23 de julio, se cree que desde las 19.30h a las 13h en que me doy cuenta), sin que el Banco se pusiera en contacto conmigo al detectar tantos movimientos (sobre 7 movimientos en 3 cuentas). Aparte de las reclamaciones interpuestas, tanto al Banco como a Orange, y de las medidas judiciales que pueda llevar a cabo, desearía esta Agencia tomara las medidas precisas y oportunas. (…)” Junto a la reclamación aporta la denuncia presentada ante la Guardia Civil de Baiona (Pontevedra), en fecha 24 de julio de 2019, con número de atestado ***ATESTADO.1 en la que manifiesta: ‘Que la dicente en el día de hoy, sobre las 09:00 horas comprobó que su teléfono móvil XIAOMI Mi A1-con número ***TELÉFONO.1 de la compañía ORANGE, con número de IMEI’s ***IMEI.1 y ***IMEI.2, dejó de funcionar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/99 Se dirigió a la tienda de ORANGE para preguntar que habla sucedido, comprobando en la tienda que la tarjeta SIM ***SIM.1 que tenía instalada en el teléfono móvil no le funcionaba, por lo que le realizaron una nueva tarjeta SIM ***SIM.2. La empleada de la tienda se percató que la tarjeta SIM que tenía instalada en su teléfono no correspondía con la que figuraba en la base de datos de ORANGE. Que la tarjeta SIM que constaba en la base de datos de ORANGE es ***SIM.3. Que en el momento que la dicente instaló la nueva tarjeta SIM ***SIM.2 recibió dos mensajes de texto (SMS) de SANTEVIÓS, con un código SMS para transferencias de 5000 euros y un SMS de INFOSNET con un código SMS para transferencia de 5000 euros. Que Ia manifestante, una vez le entregan el formulario de solicitud de cambios observa que el correo electrónico ***CUENTA DE CORREO.1 no corresponde con el correo facilitado a ORANGE. Que el correo que les facilitó es ***CUENTA DE CORREO.2(…) Que la manifestante se pone en contacto telefónico con ORANGE a través del 1470 y le informan que a ORANGE se realizaron dos llamadas, una para cambiar el correo electrónico y otra para solicitar el duplicado de la tarjeta SIM, llamadas que se realizaron el 22/07/20219, una a las 14:00 horas y la otra a las 19:15 horas constando el número de esta última ***NÚMERO.1. Que desde la tienda de ORANGE entran en el perfil de usuario y se observa que figuran cinco llamadas al número de teléfono ***TELÉFONO.2 que corresponde a la banca online del Santander (…) Que la manifestante examina los movimientos de sus tres cuentas bancarias y de sus dos tarjetas y observa: Que autor/es desconocidos habían realizado un traspaso de la tarjeta VISA ***VISA.1 por las cantidades de 700 y 500 euros a la ***CUENTA.1 (Banco Popular) siendo la cuenta espejo de la cuenta ***CUENTA.2 (B. Santander). La manifestante se percata que el 22 de julio de 2019 autores desconocidos dieron de alta una nueva tarjeta de crédito VISA con numeración ***VISA.2. Que autor/es desconocidos realizan un traspaso de la tarjeta ***VISA.2 de 5000 euros a la cuenta bancaria numeración ***CUENTA.3(Banco Popular) siendo la cuenta espejo de la cuenta ***CUENTA.4 (B. Santander). Que autor/es desconocidos realizan tres transferencias de su cuenta bancaria ***CUENTA.5, (…) fueron de 1000 euros cada una, enviadas a las cuentas ***CUENTA.6 (EVO BANCO); ***CUENTA.7 (EVO BANCO) y ***CUENTA.8 (OPEN BANK) que por cada una de estas transferencias le cobran la cantidad de 6 euros. Que autor/es desconocidos realizan una transferencia de la cuenta ***CUENTA.3(…) a la cuenta ***CUENTA.8 (OPEN BANK) por la cantidad de 250 euros constando un cargo de 6 euros en concepto de gastos. Que autor/es desconocidos de la cuenta con numeración ***CUENTA.1 (…) reaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/99 lizaron tres transferencias, siendo la primera por la cantidad de 5000 euros a la cuenta ***CUENTA.6 (EVO BANCO). Una segunda transferencia de 250 euros a la cuenta ***CUENTA.8 (OPEN BANK), una tercera transferencia de 250 euros a la cuenta ***CUENTA.8 (OPEN BANK). (…) Asimismo, aporta justificante del resguardo de “Solicitud de cambios en el servicio Pospago de comunicaciones móviles” de fecha 23 de julio de 2019, que incluye el email de la persona suplantadora y el nuevo número de tarjeta SIM asignado. También aporta el listado de llamadas desde dicha SIM a la línea telefónica del Santander (***TELÉFONO.2), y un resumen de las transferencias e ingresos realizados sin su consentimiento. De acuerdo con lo previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, en fecha 30 de septiembre de 2019, se dio traslado de la reclamación a ORANGE, para que procediera a su análisis y diera respuesta en el plazo de un mes. En respuesta a dicho requerimiento, ORANGE manifestó -entre otros argumentos- lo siguiente: “(…) Los mencionados hechos ya habían sido puestos en conocimiento de Orange por parte de la reclamante, procediendo esta compañía al análisis de los hechos y a la consecución de una solución a favor de la reclamante con anterioridad a la notificación del requerimiento de información que nos ocupa, dando satisfacción así a su reclamación. Pues bien, tras realizar el análisis y las comprobaciones oportunas sobre el caso, se verificó que tras la adquisición de una tarjeta SIM (…) que habitualmente cuenta con una alta afluencia de público para agilizar ciertos trámites, como el pago de facturas impagadas, las recargas de tarjetas de prepago, etc.), se procedió (…) el día 22 de julio de 2019 a las 18:52 horas. Interesa destacar que (…) se realizó (…) incumpliendo las directrices establecidas por esta mercantil (…). (…). Segunda. - Informe sobre las medidas adoptadas para evitar que se produzcan Incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. En el presente supuesto, tan pronto como Orange ha tenido constancia (…), ha reforzado y robustecido los Protocolos implantados para la tramitación de determinados actos (entre los que se encuentran los de duplicado de tarjetas SIM) estableciendo para ello mayores controles y sistemas de verificación de la identidad con el objetivo de que esta situación no vuelva a repetirse. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/99 En efecto, se viene a manifestar que, en primer lugar, Orange ha eliminado la posibilidad de (…), limitando así las operaciones permitidas en los citados (…) desde el 29 de julio de 2019. En segundo lugar, y como medida adicional, Orange ha adoptado la decisión, con fecha de implantación 20 de septiembre de 2019, de que, (…) (entre las que se halla, (…), por los riesgos asociados inherentes a la misma), no puedan ser tramitadas a través (…), sino que el usuario está obligado para su activación (…) (tras autenticarse satisfactoriamente). Este nuevo modelo de gestión ha sido implantado con la finalidad de evitar que se repitan situaciones similares a la que nos ocupa. Acompañamos como documento anexo nº 1 el citado nuevo modelo. En este sentido, para mejor entendimiento por parte de la Agencia a la que tenemos el honor de dirigirnos, conviene aportar un mayor detalle en la explicación de este nuevo modelo de gestión de la solicitud y activación de duplicados de tarjetas SIM. En orden a lograr mayor claridad expositiva, es importante diferenciar dos momentos o actuaciones diferenciadas en las solicitudes de duplicados de tarjetas SIM:

1. a)(…). La solicitud debe realizarse: - (…). - (…).
2. b)(…) debe realizarse: - (…). - (…). (…). Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 26 de febrero de 2020, en el expediente con núm. de referencia E/08994/2019. SEGUNDO: Con fecha 27 de noviembre de 2019, la directora de la AEPD, ante las noticias aparecidas en medios de comunicación relativas a la utilización de prácticas fraudulentas basadas en la generación de duplicados de tarjetas SIM sin el consentimiento de sus legítimos titulares con objeto de acceder a información confidencial con fines delictivos (conocidas como “SIM Swapping”), insta a la Subdirección General de Inspección de Datos (en lo sucesivo, SGID) a iniciar de oficio las Actuaciones Previas de Investigación tendentes a analizar estas prácticas y las medidas de seguridad existentes para su prevención. A saber: El timo de la SIM duplicada: si su teléfono hace cosas raras, revise la cuenta bancaria | Economía | EL PAÍS (elpais.com) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/99 https://elpais.com/economia/2019/05/21/actualidad/1558455806_935422.html La peligrosa estafa de moda: Duplicar tu número de móvil para vaciarte la cuenta del banco | Tecnología (elmundo.
3. es)https://www.elmundo.es/tecnologia/2020/10/15/5f8700b321efa0c9118b462c.html TERCERO: B.B.B. (en adelante, la parte reclamante dos), en fecha 12 de marzo de 2020, presenta una reclamación ante el Registro del Ayuntamiento de Murcia, que es registrada en la AEPD en fecha 5 de junio de 2020, dirigida contra ORANGE, por los siguientes motivos: “El día 8 de enero de 2020 me hicieron un duplicado de la tarjeta SIM sin mi conocimiento ni consentimiento. Se hicieron con mi línea del teléfono. Pidieron claves a Bankia y me hicieron reintegro de 300 euros desde Barcelona, Plaza de Cataluña 1, Sant Boi de Llobregat. Me han hecho suplantación de identidad.” Junto a la reclamación aporta una denuncia con número de atestado XXX/YY de fecha 9 de enero de 2020, presentada ante la Dirección General de la Policía Nacional en las dependencias de San Andrés (Murcia), en la que manifiesta: “Que en el día de la fecha la mujer del denunciante recibe un SMS el cual le informa de que a través del número del dicente ha solicitado un duplicado de tarjeta de su número de teléfono. Que el dicente manifiesta que no ha autorizado tal operación con su número por lo que se pone en contacto con su compañía de teléfono, ORANGE, confirmándole este la tramitación del duplicado, alegando que puede haber sido un error por parte de ORANGE. Que el dicente en ese momento se percata de que no dispone de cobertura en su teléfono móvil. Que decide comprobar sus cuentas bancarias percatándose de que le han sustraído 300 euros desde un cajero automático sito en el lugar del hecho sin autorización. (…)” Asimismo, también aporta la carta de respuesta de ORANGE de fecha 20 de enero de 2020, en la que le confirman la correcta activación del servicio de voz, una compensación por las molestias ocasionadas equivalente a un mes completo de la tarifa contratada, y trasladan las disculpas por las molestias ocasionadas. En fecha 26 de junio de 2020, se dio traslado de la reclamación a ORANGE, para que procediera a su análisis y diera respuesta en el plazo de un mes. En respuesta a dicho requerimiento, ORANGE manifestó -entre otros argumentos- lo siguiente: “En primer lugar cumple destacar que, el duplicado de tarjeta SIM expuesto en el requerimiento que nos ocupa, fue detectado por Orange el mismo día de su activación, 08/01/2020, al asociarse la activación de la línea (…) al IMEI (…). En relación a lo anterior, los mencionados hechos ya habían sido puestos en coC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/99 nocimiento de Orange por parte de la reclamante, procediendo esta compañía al análisis de los hechos y a la consecución de una solución a favor de la reclamante con anterioridad a la notificación del requerimiento de información que nos ocupa, dando satisfacción así a su reclamación. En este sentido, Orange procedió a dar respuesta a la Reclamación Oficial notificada, (…). En este sentido, tras realizar el análisis y las comprobaciones oportunas sobre el caso, se verificó que la activación del duplicado de tarjeta SIM de la línea ***TELÉFONO.3, fue realizada con fecha 08/01/2020 (…). El duplicado de tarjeta (…). En ese sentido, tras un exhaustivo estudio de las circunstancias del caso que nos ocupa, Orange procedió a (…). Por todo lo anterior, esta compañía desconoce las razones que han llevado a reclamar ante la Agencia a la que tenemos el honor de dirigirnos los hechos que traen causa del presente requerimiento, al ser los mimos depurados e informados al afectado hace meses. Segunda. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. En el presente supuesto, tan pronto como Orange ha tenido constancia (…), se ha reforzado y robustecido los Protocolos implantados para la tramitación de determinados actos (entre los que se encuentran los de duplicado de tarjetas SIM) estableciendo para ello mayores controles y sistemas de verificación de la identidad con el objetivo de que esta situación no vuelva a repetirse. En este sentido, para mejor entendimiento por parte de la Agencia a la que tenemos el honor de dirigirnos, conviene aportar un mayor detalle en la explicación de las tecnologías empleadas por mi representada en los procesos de identificación de la identidad del titular. (…) Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 31 de agosto de 2020, en el expediente con núm. de referencia E/05031/2020. CUARTO: A la vista de los hechos denunciados por las partes reclamantes uno y dos, de los documentos aportados y de la Nota Interior acordada por la directora de la Agencia, la SGID procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de las actuaciones previas de investigación se practicaron tres requerimientos de información dirigidos a ORANGE, en distintas fechas: Requerimiento Código Seguro de Verificación Fecha requerimiento Fecha notificación requerimiento Primero ***CÓDIGO.1 13/01/2020 13/01/2020 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/99 Segundo ***CÓDIGO.2 23/06/2020 25/06/2020 Tercero ***CÓDIGO.3 16/09/2020 17/09/2020 En el primero de los requerimientos, de fecha 13 de enero de 2020, se solicitaba la siguiente información: 1. Información sobre las vías de que disponen los clientes para solicitar un duplicado de tarjeta SIM. (Teléfono, Internet, tiendas, etc.). 2. Para cada una de las vías de que se disponga, se pide información detallada del procedimiento establecido para la atención de las solicitudes, incluyendo los controles para la verificación de la identidad del solicitante incluyendo los datos y documentos que se requieren al solicitante, así como el detalle de las verificaciones que se realizan sobre los mismos. En caso de envío de tarjeta SIM por correo, detalle de los controles y exigencias establecidas sobre la dirección de envío. 3. Instrucciones giradas al respecto al personal que atiende las solicitudes para la atención de las mismas. Documentación que acredite su difusión entre los empleados dedicados a dichas tareas, internos o externos a la entidad. 4. Información sobre si la realización de los controles para la verificación de la identidad queda reflejada, para cada solicitud atendida, en el Sistema de Información de la entidad. Documentación que lo acredite en su caso, tal como impresión de pantalla de los botones (check-box) u otra documentación según el método utilizado. 5. Motivos por los cuales ha sido posible en algunos casos la suplantación de la identidad de clientes para la emisión de duplicados de SIM. Razones por las cuales las medidas y controles de seguridad implementados no han surgido efecto. 6. Acciones emprendidas por la entidad cuando se detecta uno de estos casos. Información sobre la existencia de un procedimiento escrito y copia del mismo en caso afirmativo. Acciones emprendidas para evitar que casos de este tipo se vuelvan a producir, en concreto, cambios que se hayan podido realizar sobre el procedimiento para mejorar la seguridad. 7. Número de casos de solicitudes fraudulentas de duplicados de SIM detectados durante todo el año 2019. Número de clientes de telefonía móvil total de la entidad. En el segundo de los requerimientos, de fecha 23 de junio de 2020, se solicitaba la siguiente información: PUNTO 1 Se solicita aclaración sobre los siguientes aspectos con relación a la contestación de nuestro requerimiento de fecha 16 de enero de 2020, en el marco de este mismo expediente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/99 A). En el caso de la marca ORANGE se indica que (…) Se pide copia del procedimiento por escrito donde consten todos los casos que se tramitan (…), incluyendo todos los supuestos o circunstancias aludidas. Se pide copia de las instrucciones concretas dadas a los operadores con información detallada de cómo valora el operador todos los supuestos, incluyendo cómo debe valorar las circunstancias del cliente para acceder a la tramitación (…). B). Se pide copia del procedimiento establecido donde consten los controles en el caso de la tramitación de solicitudes (…) para la marca ORANGE. (En la información aportada no se describen, indicando en la tabla de controles “No disponible”). Se pide copia de las políticas de seguridad (Solicitud de SIM) para la marca ORANGE, donde consten claramente los datos que se solicitan según los diferentes casos, incluyendo todos los supuestos. Se pide copia de las instrucciones concretas dadas a los operadores para ello con información detallada de los datos que deben pedir en cada caso. C) Se pide copia de las políticas de seguridad (solicitud de SIM y activación) para las marcas JAZZTEL y AMENA donde consten claramente los datos que se solicitan según los diferentes casos, incluyendo todos los supuestos. Se pide copia de las instrucciones concretas dadas a los operadores para ello con información detallada de los datos que deben pedir en cada caso. D). Información sobre los controles establecidos para tramitar el cambio de dirección de correo electrónico de un usuario. Implicaciones de un cambio de dirección de correo electrónico en la activación de un nuevo duplicado de SIM. Forma en la que los supuestos suplantadores han podido activar una nueva SIM cambiando previamente este dato del usuario. E) Para todas las marcas, en las entregas a domicilio, se pide información sobre si es posible cambiar la dirección de entrega de la SIM y bajo qué circunstancias y controles. F). En la tabla de controles aportada se menciona, en los casos de empresas de mensajería: “Entrega sin validación de Documento de Identidad”. Se pide las comprobaciones que se realizan en la entrega a domicilio de la tarjeta SIM para la identificación del destinatario. Copia de la documentación contractual con las empresas de mensajería que realizan el reparto, donde consten las comprobaciones de identidad que debe realizar el repartidor. PUNTO 2 Listado de 20 casos de duplicados de SIM reclamados como suplantación de identidad o fraudulentos por los clientes, de la marca ORANGE. El listado incluirá los duplicados de SIM solicitados desde el 1 de enero de 2020, es decir, todos los reclamados que sucedieron a partir del 1 de enero, desde el primero, consecutivos hasta llegar a 20. Se pide indicar en el listado únicamente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/99 - la fecha del cambio de SIM, - el número de línea, - canal de la solicitud, - canal de entrega. PUNTO 3 Sobre casos presentados ante esta Agencia que se resumen en la tabla: (que se da por íntegramente reproducida en este acto de trámite): Se pide: A) Circunstancias por las cuales se tramitó (…). Información si se comprobó (…). Se pide aportar acreditación documental. B) Motivo por el cual fue posible el duplicado de SIM en este caso. Acreditación de los controles que se pasaron sobre la identidad del solicitante tanto en la propia solicitud (…) como en la activación del SIM. C) En este caso se cambió la dirección de correo electrónico de forma previa a la solicitud. Se pide información de cómo cambiaron la dirección de correo del cliente y acreditación documental de los controles que se pasaron para la identificación del cliente. D) Acciones emprendidas por la entidad en cada caso, incluyendo acreditación documental de los siguientes aspectos: - Si se ha marcado como víctima de fraude al cliente para evitar posibles intentos de suplantación de identidad futuros. - Si se han realizado investigaciones internas para esclarecer los hechos con el punto de venta. - Si se han realizado cambios en el procedimiento para evitar casos futuros similares. - Si se ha contactado con el cliente para alertarle de lo sucedido y sobre la resolución de su caso. En el tercero y último de los requerimientos, de fecha 16 de septiembre de 2020, se solicitaba la siguiente información: PUNTO 1 Sobre el listado de 20 casos de duplicados de SIM denunciados/reclamados facilitados en la contestación anterior: (cuyo contenido se da por íntegramente reproducido en este acto de trámite): A. Se pide, en los casos de solicitud y entrega en punto de venta, copia de los DNIs o documentos identificativos aportados por los solicitantes del cambio de SIM. B. Para el caso de solicitud (…): - Copia de la grabación de la conversación donde el solicitante supera la poC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/99 lítica de seguridad. Si la autenticación se realizó mediante (…), aportar documentación acreditativa. - Detalle de las circunstancias que concurrieron para para acceder a la tramitación de la solicitud telefónica. C. Para cada uno de los casos de solicitud (…): - Información sobre si de forma previa (menos de 2 días) a la solicitud de los SIM se ha procedido al cambio/solicitud de contraseña de acceso app para la cuenta del cliente. Aportar documentación acreditativa. - Información sobre si en los casos de solicitud o modificación previa de la contraseña, se ha seguido el procedimiento de seguridad del sistema “(…)”. Aportar documentación acreditativa. Si se ha modificado la contraseña por otros medios informar de cuales han sido y aportar documentación acreditativa de ello. D. Activación de la SIM. Para cada uno de los casos de entrega por mensajería: - Información sobre la vía de activación de la tarjeta. - En caso de activación presencial en punto de venta, se pide copia del documento identificativo presentado. En caso de activación telefónica, grabación de la llamada durante la cual el solicitante supere la política de seguridad. En caso de activación mediante (…), se solicita con carácter general si se solicita alguna acreditación de identidad adicional al cliente para activar la tarjeta, además de las credenciales de entrada a (…). PUNTO 2 Sobre el siguiente caso presentado ante esta Agencia: (cuya tabla se da por íntegramente reproducida en este acto de trámite): Se pide copia del DNI o documentación identificativa aportada, así como resto de documentación asociada, aportada por el solicitante. Se pide información detallada sobre el tipo de alerta que se generó en el sistema y chequeo de IMEI, según manifestaciones en la carta dirigida al afectado “(…)”. Tiempo transcurrido entre el duplicado del SIM y la restricción de la línea. Acciones emprendidas por la entidad en cada caso, incluyendo acreditación documental de los siguientes aspectos: - Si se ha marcado como víctima de fraude al cliente para evitar posibles intentos de suplantación de identidad futuros. - Si se han realizado investigaciones internas para esclarecer los hechos con el punto de venta. - Si se han realizado cambios en el procedimiento para evitar casos futuros similares. - Si se ha contactado con el cliente para alertarle de lo sucedido y sobre la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/99 resolución de su caso. QUINTO: Con fecha 28 de enero, 1 de julio y 24 de septiembre de 2020, ORANGE solicita la ampliación del plazo legal conferido para contestar dichos requerimientos. Con fecha 31 de enero y 15 de julio de 2020, la Subdirectora General de Inspección de Datos acuerda la ampliación del plazo para responder por un periodo de cinco días, que deberán computarse a partir del día siguiente a aquel en el que finalice el primer plazo otorgado. SEXTO: En respuesta a los tres requerimientos formulados, ORANGE aportó la siguiente información que fue objeto de análisis por esta Agencia: Respecto al primero de los requerimientos se especifica la información conforme a los apartados requeridos según el orden de numeración: 1.- Información sobre las vías de que disponen los clientes: - (…). - (…). - (…). 2.- Información detallada del procedimiento: Las medidas de control en la solicitud y activación del duplicado de SIM son distintas en función de la marca y del canal utilizado para solicitar el duplicado de la SIM: Marca ORANGE: - (…): (…) - (…): (…) - (…): (…). - (…). Marca JAZZTEL: - (..). - (…). (…) - (…): - (…). - (…): - (…). Marca AMENA: - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/99 - (…). - (…). - (…): (…). - (…): - (…) - (…): -(…). - (…): -(…). (…) 3.- Información sobre las instrucciones giradas a los operadores: (…) 4.- Información sobre la realización de los controles: (…) 5.- Motivos por los cuales ha sido posible en algunos casos la suplantación de la identidad de clientes: (…) 6.- Acciones emprendidas por la entidad: (…): -. (…). -. (…). -. (…). -. (…). -. (…). -. (…). -. (…). Medidas generales implementadas en distintas marcas. -. (…). -. (…). -. (…): -. (…). 7.- Sobre el número de casos de solicitudes fraudulentas de duplicados de SIM detectados durante todo el año 2019, la entidad ha manifestado: “(…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/99 Respecto a los casos presentados ante la agencia: RECLAMANTE UNO: -. Acciones previas: se cambió la dirección de correo electrónico de forma previa a la solicitud de SIM. Se ha pedido información de cómo cambiaron la dirección de correo del cliente y acreditación documental de los controles que se pasaron para la identificación del cliente, indicando los representantes de ORANGE(…) .- Solicitud de cambio: Duplicado facilitado (..) (ya retiradas). .- Activación (…). En el fragmento de llamada que quedó grabada, (…). El agente quiso enviar a través de (…). Posteriormente, el agente (…) definidas en los procesos de ORANGE. . - Perjuicios: Se denuncian operaciones bancarias fraudulentas utilizando la copia del SIM. . - Acciones emprendidas por la entidad, incluyendo acreditación documental de los siguientes aspectos: < Si se ha marcado como víctima de fraude al cliente para evitar posibles intentos de suplantación de identidad futuros. (…). < Si se han realizado investigaciones internas para esclarecer los hechos con el punto de venta. (…). < Si se han realizado cambios en el procedimiento para evitar casos futuros similares. Las acciones tomadas para evitar casos de “cambios de tarjetas SIM no consentidas” son: - Tal y como se ha expuesto anteriormente, (…). - En los supuestos de cambio de SIM no consentido que se han producido (…), se ha podido constatar que el comercial que atendió al defraudador (…). Como medida reactiva ante esta falta de diligencia, ORANGE aplica en estos casos una penalización de XXX € al punto de venta que no observe la política de validación de documentos. - Además, hasta el 20 de septiembre del año 2019 cabía la posibilidad en Orange de que (…). A partir de la fecha indicada, y ante los numerosos casos de cambio de SIM no autorizados realizados a través (…), se elimina esta posibilidad en la marca Orange, con la única excepción del periodo comprendido entre el 16 marzo a 28 de junio con motivo de las medidas extraordinarias adoptadas por el COVID19. - Se han suprimido (…). En este sentido se pretende que la política de autenticación sea cada vez más estricta y dificulte la comisión de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/99 fraude. - Se han implementado nuevas medidas de autenticación de clientes (…) como la relativa a (…), que se usa como dato seguro y cierto para pasar política de seguridad estricta al cliente. < Si se ha contactado con el cliente para alertarle de lo sucedido y sobre la resolución de su caso. Tras reiterados intentos de contactar con la afectada, finalmente se pudo localizar y se le informó de los pasos a seguir. (…) Se intenta contestar a cuantas preguntas y otras gestiones puedan surgirle al cliente afectado y se abona el coste que le haya supuesto realizar el cambio de tarjeta SIM para recuperar su línea tras ese cambio no consentido. Aportan impresión de pantalla (…) de una interacción con el cliente donde quedan reflejados los contactos mantenidos con cliente. RECLAMANTE DOS: -. Solicitud de cambio de SIM: (…). Aportan copia del DNI aportado así como de una denuncia por robo de DNI. Los representantes de la entidad han manifestado que (…). (…). Se hace notar que faltan algunos documentos a entregar según el protocolo de ORANGE. (…): - (…). - (…). -. Perjuicios: Se denuncian operaciones bancarias fraudulentas utilizando la copia del SIM. -. Controles: (…) ORANGE dispone de una (…), empleada como medida de seguridad en la prevención y detección de fraude. (…). En el caso concreto de duplicados de tarjetas SIM, el sistema funciona de la siguiente forma: - (…). - (…). (…). Sobre el tiempo transcurrido entre el duplicado del SIM y la restricción de la línea los representantes de ORANGE manifiestan únicamente que en el mismo día. Sobre otros casos no presentados ante la agencia: Aportado el listado el desglose de los 20 casos es el siguiente: - (…). - (…) - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/99 Requerida (…) para las solicitudes/recogidas presenciales en tienda, los representantes de ORANGE aportan 4 (…) para 4 de los casos. Se verifica que dos (…). En otro caso se aporta (…). Indican que para dos de los casos no ha sido posible obtener la información requerida por parte del punto de venta pero faltan en total 5 (…) de los 9 requeridos. (…): - (…). - (…). Requerida la grabación de la conversación para el caso telefónico, así como documentación acreditativa de la aplicación (…) en su caso, los representantes de la entidad indican que aportan copia de la grabación de la activación de la tarjeta correspondiente, manifestando que: “(…). (…).” Se ha solicitado a ORANGE el detalle de las circunstancias que concurrieron para para acceder a la tramitación (…), indicando los representantes de la entidad que la solicitud de duplicado fue realizada en fecha 22/04/2019 y durante el periodo comprendido del 16 marzo al 28 de junio de 2020, debido a las medidas excepcionales adoptadas como consecuencia del Covid-19, se procedió a habilitar (…) como como medida de contingencia, para gestionar la solicitud de cambio y duplicado de tarjeta SIM. Sobre los casos de activación mediante (…), se ha solicitado con carácter general, si se solicita alguna (…) al cliente para activar la tarjeta, además de (…). Ante ello, los representantes de la entidad han manifestado: “(…). (…).” SÉPTIMO: Con fecha 27 de agosto de 2020, se obtiene información comercial sobre el volumen de ventas de ORANGE durante el año 2019 siendo los resultados de 4.779.670.000 euros. El capital social asciende a 1.097.665.000 euros. OCTAVO: Con fecha 27 de enero de 2021, se obtiene información de la Comisión Nacional de los Mercados y la Competencia sobre las líneas de telefonía móvil de voz por tipo de contrato y por segmento siendo los resultados: OPERADOR ORANGE PREPAGO POSPAGO Residencial Negocios Residencial Negocios 2.569.156 0 8.953.958 2.204.408 NOVENO: Con fecha 11 de febrero de 2021, la directora de la AEPD acuerda iniciar un procedimiento sancionador contra ORANGE, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por presunta infracción del artículo 5.1.
4. f)y 5.2 del RGPD, tipificada en el artículo 83.5.
5. a)del RGPD y en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/99 el artículo 72.1.
6. a)de la LOPDGDD como muy grave, pudiendo ser sancionada con una multa administrativa de 2.000.000,00 de euros (dos millones de euros), sin perjuicio de lo que resultase de la instrucción. El Acuerdo de iniciación se notifica a ORANGE, en fecha 15 de febrero de 2021, a través de Carpeta Ciudadana, según confirmación que figura en el expediente. DÉCIMO: Con fecha 16 de febrero de 2021, ORANGE solicita la ampliación del plazo para aducir alegaciones y aportar documentos u otros elementos de juicio. UNDÉCIMO: Con fecha 17 de febrero de 2021, la instructora del procedimiento acuerda la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El Acuerdo de ampliación se notifica a ORANGE en fecha 18 de febrero de 2021. DUODÉCIMO: Con fecha 8 de marzo de 2021, se recibe en esta Agencia, en tiempo y forma, escrito del representante de ORANGE en el que aduce alegaciones y tras manifestar lo que a su derecho conviene, termina solicitando el archivo del procedimiento y subsidiariamente, que la AEPD considere las circunstancias atenuantes fundamentadas y termine el procedimiento mediante un apercibimiento y con la imposición de las obligaciones de implementar medidas correctivas idóneas. En síntesis aduce que: PREVIA.- EXISTENCIA DE UN GRUPO DE TRABAJO SOBRE DUPLICIDAD DE LAS TARJETAS SIM LIDERADO POR LA AEPD. El hecho de que en el seno de dicho Grupo de Trabajo (GT) se requiera a ORANGE para compartir toda la información respecto a los procesos y múltiples controles preventivos y reactivos para la prevención y gestión de este tipo de fraudes, debería llevarnos a pensar que dicha compartición se realiza dentro del más absoluto y estricto marco de confianza y plena confidencialidad. Las colaboraciones público-privadas aportan a la Administración la ventaja de que, empresas especializadas en determinados servicios, aporten el conocimiento y las mejores soluciones en asuntos que son de interés para los consumidores y para los ciudadanos. También hay que destacar las mesas de trabajo abiertas con el Ministerio del Interior. Durante el año 2020 la colaboración con las Fuerzas y Cuerpos de Seguridad del Estado (FCSE), ha supuesto más de 40.308 solicitudes atendidas y derivadas de los Juzgados; 45.552 de solicitudes atendidas y derivadas de la Policía Judicial y 50.056 intervenciones telefónicas llevadas a cabo (entre altas, bajas y ceses). Además, el personal de ORANGE ha sido condecorado con la Cruz al mérito Civil con distintivo blanco. Asimismo, ha participado activamente en el informe de la ponencia de estudios sobre los riesgos derivados del uso de la red por parte de los menores en el Senado en la firma de un Protocolo de Alto Nivel. Por su parte, la AEPD, ha considerado que es el momento idóneo para proponer sanciones millonarias a las mismas entidades con las que está sentándose para acordar medidas comunes, precedente éste inaudito y sorpresivo. Lo apropiado sería esperar a tener unas conclusiones y, una vez conocidas y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/99 dado un plazo adecuado para lograr su implantación, sea entonces, cuando se requiera a los operadores que acrediten su cumplimiento y en caso de no haberlo hecho, sea entonces cuando se propongan sanciones. Las reuniones del GT han sufrido retrasos derivados de la pandemia COVID 19, que han ralentizado su periodicidad -retraso de la prevista el 16/03/2020 al 4/12/2020- lo que ha perjudicado el análisis de la problemática y de la propuesta e implantación de las mejoras. Parece que la Agencia no tiene ningún tipo de pretensión de dar cumplimiento a los principios de lealtad institucional que se presumen en cualquier relación de colaboración público-privada, en tanto, al mismo tiempo que solicita la colaboración, información, participación activa y efectiva en el GT, inicia un procedimiento sancionador que versa sobre la materia tratada en el GT. La AEPD, cruza los límites más elementales de la lealtad institucional que se presume a un organismo público en este marco colaborativo. La apertura de este procedimiento y otros similares dificulta sobremanera la existencia de un marco de confianza entre ORANGE y la AEPD, y, de todo el sector de las telecomunicaciones a nivel nacional. ORANGE quiere dejar constancia que esta forma de proceder afecta gravemente al principio de confianza que presumía poder depositar en la AEPD y supone un riesgo a los objetivos del GT, lo que será objeto de análisis interno y probablemente sectorial respecto al marco colaborativo con Autoridades Administrativas que persigan este bien común de los ciudadanos con planes de acción y colaboración conjunta. PRIMERA. - INCORRECCIÓN Y FALTA DE EXACTITUD EN LAS APRECIACIONES SOBRE EL FRAUDE DE DUPLICADO DE TARJETA SIM. La descripción realizada por parte de la AEPD contiene diversas afirmaciones inexactas e incorrecciones técnicas que inducen a una interpretación inadecuada de los hechos y de sus consecuencias jurídicas. Las tarjetas SIM no sirven “para identificar al abonado ante la red de telefonía móvil”, sino que identifican un número de teléfono, sin incluir ninguna información que permita a terceros, distintos del propio operador de telecomunicaciones con la que tiene contratado el servicio, identificar al abonado. El hecho de que el uso posterior de la SIM duplicada tenga como objetivo la comisión de otros delitos -realización de operaciones bancarias fraudulentas-, bajo ningún concepto puede considerarse dentro del ámbito de responsabilidad de ORANGE. Por sí mismo, este acto, no es suficiente para realizar operaciones bancarias en nombre de los titulares iniciales de las tarjetas SIM, sino que ha de producirse una actividad delictiva adicional e independiente a la anterior. El uso por parte de las entidades bancarias de un sistema de doble factor de autenticación que implica el envío por SMS de las claves de ratificación para la realización de determinadas operaciones es una operativa sobre la que ORANGE no tiene ninguna capacidad de decisión. No existe un nexo causal entre la suplantación de identidad para la consecución de un duplicado de la tarjeta y la realización de operaciones bancarias fraudulentas u otro tipo de operaciones de suplantación de identidad en otro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/99 tipo de plataformas online, sino que lo que realmente se produce es una usurpación inicial de la identidad de los afectados ante la entidad bancaria y derivada de ella y con posterioridad, se produciría la confirmación de las operaciones mediante el uso de las claves remitidas por SMS. Esta posibilidad sólo se daría cuando el medio establecido para garantizar la seguridad se correspondiese con el envío de un SMS, ya que el doble factor de seguridad (denominados de forma genérica “sistemas de autenticación con contraseña de un solo uso”, o “One Time Password”) no tiene por qué configurarse necesariamente de este modo, siendo esta una opción cuya elección compete a la entidad bancaria y/o al usuario correspondiente, dado que muchas plataformas permiten utilizar como medio para notificar el segundo factor de autenticación, el SMS, el email, o aplicaciones de generación de códigos temporales tipo Google Authenticator o semejantes. Estos hechos son perfectamente conocidos por la AEPD que incluso tiene publicada en su web una publicación denominada “Identificación en servicios de pago online”. Por lo tanto, las consideraciones plasmadas por la AEPD en el Acuerdo de inicio sobre que la consecuencia última de la suplantación de identidad ante ORANGE es la realización de operaciones bancarias no autorizadas deben ser matizadas, ya que esta posibilidad solo existe cuando éste sea el medio elegido para la confirmación de las operaciones y además, previa y necesariamente, la propia identidad bancaria o el usuario no hayan adoptado la diligencia suficiente para la protección de los medios iniciales de verificación de la identidad (primer factor) que permiten el acceso a la herramienta desde la que se gestionan la operativa bancaria. El mismo efecto podría producirse también sin necesidad de suplantación de identidad. Este sería el caso de que un abonado decidiese dar de baja su número de teléfono y posteriormente fuera objeto de una portabilidad. Si el usuario no adoptase la diligencia debida para actualizar su información ante las diferentes entidades a las que hubiera facilitado el dato de su número de teléfono como medio de autenticación, posibilitaría que el tercero que recibiese ese número pudiese recibir los mensajes de confirmación emitidos por dichas entidades. Igual efecto podría darse en el caso de robo de un terminal que el usuario no hubiese protegido adecuadamente (permitiendo acceder a su contenido sin necesidad emplear contraseñas, huella dactilar u otras medidas de seguridad). Por lo tanto, la obtención ilícita del duplicado de la tarjeta SIM no es suficiente para la realización de operaciones bancarias fraudulentas, ni tiene porqué concurrir para permitir llevar a cabo las mismas, por lo que no puede atribuírsele de forma genérica esta responsabilidad. No obstante, ORANGE no es ajena a la problemática derivada del potencial uso de las tarjetas duplicadas con fines ilícitos. Es por ello, por lo que ha implementado mecanismos de seguridad reforzada en relación con las condiciones para su solicitud. SEGUNDA. - GENERALIZACIÓN NO FUNDADA DE CONSECUENCIAS NEGATIVAS ASOCIADAS A LA EMISIÓN DEL DUPLICADO DE LA TARJETA SIM. Muchas de las afirmaciones contenidas entre los argumentos esgrimidos por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/99 AEPD son inexactos o erróneos. No es cierto que “al conseguir un duplicado de la tarjeta SIM, los suplantadores automáticamente tendrán acceso a los contactos y podrán acceder a todas aplicaciones y servicios que tengan como procedimiento de recuperación de clave el envío de un SMS con un código para poder cambiar las contraseñas”. Ha de indicarse que estos se pueden almacenar “físicamente” en las tarjetas SIM, por lo que esta información no estaría en los duplicados que puedan emitirse, sino que se mantendrían únicamente en la SIM original, bajo control de su titular, salvo que el usuario haya elegido almacenarlas en entornos asociados a Android o Apple en cuyo caso el operador tampoco tiene capacidad de actuación, por lo que, de nuevo, la AEPD vuelve a realizar una afirmación errónea cuya única finalidad es justificar la abultada sanción propuesta en base a los supuestos daños que se han provocado al titular de la numeración. En cuanto a la posibilidad de acceder a las cuentas de correo, bancarias y otras aludidas, es obvio que el duplicado de la tarjeta no permite, por sí solo, el acceso a las mismas, sino que es necesario, al menos, conocer el identificador del usuario para poder acceder a cualquiera de las cuentas. A mayor abundamiento, cabe puntualizar que cuando el suplantador se dirige a ORANGE para solicitar el duplicado cuenta ya con mucha información relativa al interesado, que es necesaria para la gestión de la solicitud. Por lo tanto, la obtención de esta información, de forma presumiblemente ilícita, es responsabilidad de terceros o del propio titular de los datos, existiendo en muchos casos un comportamiento imprudente de estos últimos en la custodia de su información personal. La responsabilidad de ORANGE no puede extenderse más allá de aquellas cuestiones que quedan bajo su ámbito de actuación. Interpretar lo contrario significa hacerla responsable de la seguridad de la información custodiada por terceros, e incluso de las posibles actuaciones negligentes de estos o del propio titular de los datos, así como del hecho de que existan auténticas mafias especializadas en cometer delitos. En lo que se refiere a la posible vulneración de los principios de seguridad, confidencialidad de los datos y de responsabilidad proactiva, si bien es cierto que existe una incidencia relacionada con la seguridad de la información, no se ha producido en puridad un acceso a datos personales de los clientes como consecuencia de esta. La única información que los suplantadores habrían conseguido es el número de teléfono y en su caso los códigos de verificación de realización de operaciones bancarias que, si bien es información confidencial, bajo ningún concepto pueden ser considerados como datos personales por sí mismos. Por tanto, si bien durante el proceso de solicitud del duplicado se tratan datos personales, esto no implica que haya un tratamiento ilícito derivado de la falta de diligencia de ORANGE, sino que ORANGE realiza estas operaciones solicitando datos a quien supuestamente es su titular y para hacer verificaciones, no habiéndose facilitado ningún tipo de información personal que no tuviese inicialmente el solicitante. A este respecto, ha de remarcarse que los datos personales tratados de forma ilícita no son obtenidos de ORANGE, sino que los suplantadores los obtienen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/99 previamente de otras fuentes (el propio interesado o terceros responsables de dichos datos). Incluso, como consta en el expediente, el delito de suplantación va acompañado de falsificaciones de documentos públicos, como copias de DNI o presuntas denuncias presentadas a la policía, que son aportados como medio para superar las medidas de control de ORANGE. No existe regulación específica alguna que establezca las obligaciones en relación con esta operativa, y la única que podría considerarse como referencia, por tener ciertas similitudes en cuanto a la materia, es la Circular 1/2009, de 16 de abril de 2009, de la Comisión del Mercado de las Telecomunicaciones, que regula el propio procedimiento de contratación inicial de los servicios de telecomunicaciones, y en la que no se contiene ninguna exigencia de seguridad equiparable a las que la AEPD pretende exigir en relación con un procedimiento que sería secundario respecto del regulado en dicha circular. Tampoco ha quedado acreditado ni consta en las denuncias referencia alguna a que los delincuentes hayan conseguido obtener datos personales de ORANGE, por lo que no puede hablarse de incumplimiento de medidas de protección de los datos personales. La AEPD, y en procedimientos muy recientes, no venía considerando que concurriese un incumplimiento de medidas de seguridad en relación con los supuestos en los que se producía una suplantación de identidad en casos exactamente idénticos. Así, podemos citar, por ejemplo: E-04919, PS-00144-2019, PS-00235-2020, PS-00348-2020, E-01178-2020. En ninguno de ellos se observa que exista una calificación como una infracción de las obligaciones de seguridad exigidas en el artículo 32 del RGPD. Invoca el artículo 54 de la Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (ya derogada), en su apartado primero que decía: deberán de ser motivados (…) los actos “que se separen del criterio seguido en actuaciones precedentes”. Es decir, que ante supuestos de hecho iguales la aplicación de soluciones diferentes deberá justificarse “con sucinta referencia de hechos y fundamentos de derecho” del motivo de tal disparidad a fin de no atentar frente al principio de seguridad jurídica. La fundamentación realizada se limita a hacer referencia a posibles vulnerabilidades, que en ningún caso se identifican, ni mucho menos se expone por qué las mismas pueden ser calificadas como insuficientes o inadecuadas. Es también destacable, que se la responsabilice de los efectos derivados de otras actuaciones que sí implican un acceso no autorizado a los datos personales de los afectados, víctimas de supuestos de phishing o similares, que sí permiten el acceso a información personal protegida por otros responsables del tratamiento. TERCERA. - IDONEIDAD Y CUMPLIMIENTO DE LAS MEDIDAS PREVENTIVAS IMPLEMENTADAS POR ORANGE. ORANGE ha realizado un estudio detallado de sus actividades de tratamiento de datos personales llevadas a cabo y ha adoptado las medidas pertinentes para que los mismos se realicen conforme a lo dispuesto en el RGPD. En lo referente a la seguridad del proceso ha aportado evidencias de la existenC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/99 cia de protocolos específicos adecuados a los riesgos identificados. Cuenta con medidas organizativas que han sido comunicadas a todo el personal implicado en el tratamiento de datos personales. Es importante indicar que las medidas organizativas de seguridad están soportadas por (…) que se encarga de implementar y operar la seguridad, medir (…). Con el fin de aportar confiabilidad a terceras partes sobre el adecuado funcionamiento de estas medidas, tanto técnicas como organizativas, ORANGE mantiene y certifica Sistemas de Gestión de Seguridad de la Información basados en ISO27001 y Esquema Nacional de Seguridad. Los protocolos existentes han sido comunicados a todos los implicados en la gestión de las solicitudes de los duplicados, incluyendo penalizaciones en el caso de que se detecten incumplimientos de los procedimientos establecidos. La operativa definida ha tenido en cuenta los riesgos asociados a la realización de este tipo de gestiones y los parámetros para su ejecución han sido puestos en conocimiento de las personas implicadas en su tramitación. El número de casos es ínfimo respecto al total de operaciones realizadas. Si bien se han ido aumentando los medios y controles para garantizar el estricto cumplimiento del protocolo establecido, no es posible erradicar la posibilidad de su contravención por los usuarios, puesto que, en última instancia, depende de una actuación leal por parte de la persona que tramita la solicitud, que es conocedora de las instrucciones que debe seguir en cada caso. La pretendida solución planteada por la AEPD consistente en la automatización total de los controles para evitar acciones no autorizadas, si bien hipotéticamente podría permitir un mejor control de los procedimientos, tendría un coste desorbitado ya que implicaría una monitorización sistemática de toda la actividad del usuario (a modo de ejemplo el sistema debería permitir: conocer y analizar el contenido de la conversación mantenida con los clientes, conocer y verificar el contenido de todos los posibles documentos que puedan ser puestos a disposición durante la solicitud, validando su adecuación en cada caso, conocer si la respuesta a las preguntas se corresponde con la información existente, etc.). En este sentido, la AEPD no justifica en modo alguno la proporcionalidad de la medida propuesta, ni que la misma fuera la idónea teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento. La medida supone, además, ignorar la realidad de la actuación de los usuarios encargados de la realización de estas gestiones que cumplen en la práctica totalidad de los casos con las indicaciones recibidas por parte de ORANGE. Igualmente, tampoco tiene en cuenta el escaso número de supuestos en los que se ha producido una contingencia asociada a la solicitud de un duplicado de tarjeta, que concretamente representa el (…) % de los casos. CUARTA. - ACTUACIÓN DILIGENTE DE ORANGE. ORANGE no ha implementado “medidas de seguridad estáticas”, sino que, ha procedido sistemáticamente a implementar mejoras en las medidas adoptadas en cuanto ha tenido conocimiento de la existencia de cualquier vulnerabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/99 En el caso analizado los datos personales de las víctimas son usurpados con anterioridad a que los delincuentes se dirijan a ORANGE y que, precisamente como consecuencia de tener acceso a información personal que solo debiera estar en posesión del interesado, permiten materializar la suplantación de identidad ante ORANGE. Esta circunstancia en nada obsta el hecho de que ORANGE haya cumplido con sus obligaciones conforme a lo expuesto en el considerando 83 del RGPD al que alude la AEPD. No puede hablarse en ningún caso de negligencia, ya que las circunstancias concretas en las que se producen los hechos, en la que los delincuentes bajo la apariencia de víctimas de un robo y empleando argucias y documentación fraudulenta con apariencia real (…) consiguen engañar a la persona a la que se le solicita en duplicado. (…). Por lo tanto, se trata de un engaño suficiente, por revestir éste “apariencia de realidad y seriedad suficiente para engañar a personas de mediana perspicacia y diligencia” (así considerado, entre otras muchas, en la STS 2362/2020). Concurren puntualmente ciertos incumplimientos parciales de los protocolos dispuestos por ORANGE, que en determinados casos contribuyen a la consecución del fin perseguido por los defraudadores. Sin embargo, esto no permite concluir que estos hechos pongan “de manifiesto una serie de vulnerabilidades en las medidas de seguridad implantadas y, por lo tanto, se infiere la responsabilidad de ORANGE como responsable del tratamiento en términos de negligencia, falta de supervisión y control”. Al contrario, las medidas implementadas por ORANGE son adecuadas para mitigar, de forma mayoritaria, los riesgos relacionados con este tipo de fraudes. En la práctica, tal y como consta informado, la eficiencia de estas medidas roza el 100% de los casos. Ha de recordarse que, aunque se pudiesen haber incumplido puntualmente y de forma parcial por parte de las personas encargadas de la tramitación algunas de las obligaciones de verificación, existen factores de seguridad combinados que dificultan el objetivo de los defraudadores. (…) Solo en supuestos excepcionales en los que los medios empleados para la desarrollar las estafas son especialmente sofisticados, combinado en algún supuesto con concretas omisiones de algunos de los requisitos establecidos por ORANGE por parte de los implicados en la tramitación de las solicitudes, se ha producido el resultado de suplantación de la identidad de los clientes. En este sentido, puede emplearse como referencia la Circular 1/2016 de la Fiscalía General del Estado, relativa los protocolos de Compliance penal en la que se sostiene que “el delito no invalida necesariamente el programa de prevención, que puede haber sido diseñado e implementado adecuadamente sin llegar a tener una eficacia absoluta". Según ORANGE, ha quedado acreditado que:  Ha establecido protocolos adecuados para la prevención de suplantaciones de identidad en el proceso de solicitudes de duplicados de tarjeta.  Ha comunicado debidamente el contenido de estos protocolos y las obligacioC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/99 nes que corresponden a las personas implicadas en la tramitación.  Ha realizado mejoras en los procesos cuando ha tenido conocimiento de vulnerabilidades, tales como refuerzos en las garantías y limitación de canales para la solicitud o inclusión de nuevos métodos de control más eficaces (como (…) lanzado en octubre de 2020).  Ha adoptado medidas sancionadoras frente a los incumplimientos de los protocolos.  Ha actuado de la manera más diligente posible, de forma inmediata, eficiente y ejecutiva, en los casos en los que ha tenido conocimiento de cualquier hecho.  Cuenta con sistemas para la verificación del cumplimiento de sus obligaciones por parte de las personas implicadas.  Ha presentado denuncias por las estafas cometidas y colabora para que pueda identificarse a los culpables y evitar futuros supuestos similares. En consecuencia, la actividad de ORANGE no puede ser catalogada como negligente, ni ha existido falta de supervisión o control. Invoca la STS 1232/2018 de 18 de julio de 2018, que recuerda lo que puede considerarse como "negligencia" o "culpa in vigilando" por parte de una empresa (sociedad) en relación con el comportamiento de sus empleados a colaboradores, exponiendo que: "Cabría, en efecto, contemplar en abstracto una culpa in vigilando de la sociedad, partiendo del deber -ampliamente analizado por la doctrina y la jurisprudencia civiles- que pesa sobre las empresas de velar por el comportamiento de sus dependientes, apoderados o empleados para evitar que actuaciones culposas o dolosas de éstos puedan causar daños a terceros que han confiado en la compañía en cuyo nombre o por cuya cuenta actúan." Así, de acuerdo con el criterio del Tribunal Supremo, no cabría responsabilizar a ORANGE aun cuando su empleado o colaborador hubiera sido negligente en su actuación, ya que se requerirían "actuaciones culposas o dolosas" por parte de ORANGE, que bajo ningún concepto se han producido en los casos objeto de análisis. Por otro lado, aun si fuera posible sancionar en caso de que la conducta fuera calificada de negligente, en esta misma Sentencia se recogen los requisitos necesarios sobre el contenido que ha de cumplir una acusación de este tipo en un expediente sancionador: "Una calificación amparada en la culpa in vigilando, empero, necesitaría un elemento más para permitir afirmar la responsabilidad en el ámbito sancionador (en nuestro caso, por infracciones tributarias): una justificación expresa, suficiente y pormenorizada sobre la vulneración del deber de vigilar que debería ofrecer en su resolución el órgano sancionador, analizando las circunstancias del caso y determinando cuál ha sido el concreto comportamiento de la sociedad revelador de la infracción de aquella obligación. 3. En definitiva:
7. a)No puede calificarse como dolosa una conducta como la que nos ocupa, pues -a tenor de los propios hechos que la integran- no cabe hablar de intención o de voluntad de realizar el comportamiento típico;
8. b)Solo cabría afirmar en tales supuestos la "negligencia" si se infringen los deberes de vigilancia que pesan sobre la sociedad en relación con las personas que actúan en su nombre y siempre que tal vulneración aparezca constatada y justificada expresa y pormenorizadamente en el acuerdo sancionador, que deberá analizar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/99 las circunstancias del caso y en qué medida la falta de vigilancia ha contribuido a la comisión de la infracción.” De igual forma, el TSJ de Madrid en su Sentencia 568/2020 de 10 Sep. 2020 establece: "Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple. Y no existe negligencia, ni por tanto infracción, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones tributarias" (artículo 179.2.
9. d)de la LGT 58/2003)". En vista de lo anterior, la jurisprudencia ampara el comportamiento de ORANGE, al haber establecido un protocolo de actuación elaborado teniendo en cuenta los riesgos existentes, que fue puesto a disposición de todos los implicados y que, si se hubiera seguido por estos, no se habría accedido a la entrega de la copia ilícita de la tarjeta. Además, con respecto a la responsabilidad in vigilando de la sociedad, resulta incuestionable que únicamente se puede achacar cuando se trate de actuaciones culposas o dolosas, no así negligentes como ha sido identificada la actuación de ORANGE por la propia AEPD, a pesar de que dista mucho de serlo. QUINTA. – FALTA DE PROPORCIONALIDAD DE LA SANCIÓN PROPUESTA. No se ha producido un incumplimiento de la normativa de protección de datos, ya que, ORANGE ha tomado todas las medidas técnicas y organizativas necesarias para evitar el fraude en la solicitud de los duplicados de las tarjetas SIM. En cuanto a la duración de la infracción no se trata de situaciones que se perpetúan en el tiempo, sino que son hechos independientes. En cuanto al número de interesados afectados no cabe considerar el número de supuestos totales como una causa de agravación sin haber determinado la concurrencia de culpabilidad de ORANGE en cada uno de ellos. En cuanto al nivel de los daños y perjuicios sufridos no es factible tratar de responsabilizar a ORANGE respecto de situaciones relativas al uso de los duplicados de la tarjeta que derivan de incidentes de seguridad de la información con los que ORANGE no tiene relación alguna. La duplicación de la tarjeta no deriva directamente, ni necesariamente, en operaciones bancarias fraudulentas, ya que las medidas de seguridad y los accesos a los que se tienen para realiza las operaciones bancarias son totalmente ajenos a la duplicación de la tarjeta SIM. Tampoco cabe interpretar intencionalidad o negligencia en su actuación. En todo caso, ha de ser considerada diligente y actuar este hecho como atenuante. Sobre el grado de responsabilidad: lejos de suponer este criterio un agravante, debería interpretarse en su favor. Destacan iniciativas como el uso de tecnologías como (…). Categorías de datos personales afectados por la infracción: la tarjeta SIM no permite la suplantación de la identidad, sino que sirve solamente para la recepción de las claves de confirmación de operaciones bancarias en determinados supuestos. Pero esto no significa que el suplantador pueda operar en nombre del afectado, a menos que se haya saltado las medidas de seguridad de otras entidades, como las de la entidad bancaria. En este sentido y teniendo en cuenta las circunstancias concurrentes y la nula C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/99 culpabilidad de ORANGE, en el caso de que se considere que existe algún tipo de infracción del RGPD, la propuesta de sanción económica debería ser sustituida por la adopción de las medidas correctivas contempladas en el referido artículo 58 RGPD, consistentes en la advertencia o apercibimiento al responsable del tratamiento y la imposición de la obligación de la adopción de medidas para realizar los tratamientos “de una determinada manera y dentro de un plazo especificado”. DÉCIMO TERCERO: Con fecha 27 de abril de 2021, se recibe en esta Agencia escrito del representante de ORANGE por el que formula alegaciones complementarias a las anteriores. Adjunta la siguiente documentación: DE CARÁCTER GENERAL: - Documento 1: (…). - Documento 2: (…) a seguir ante casos SimSwap. - Documento 3: Comunicado emitido por Fraude del riesgo de SimSwap. - Documento 4: Contenido publicado (…) sobre SimSwap. DE CARÁCTER TÉCNICO - Documento 5: (…). - Documento 6: (…). Estas alegaciones y las anteriores ya fueron contestadas en la Propuesta de Resolución y se reiteran, en parte, en los Fundamentos de Derecho (en adelante, FD) de esta Resolución. DÉCIMO CUARTO: Transcurrido el plazo de alegaciones concedido en el Acuerdo de iniciación y presentadas alegaciones, con fecha 30 de abril de 2021, por la instructora del procedimiento se acuerda la apertura de un período de prueba en los siguientes términos: “Se dan por reproducidas a efectos probatorios las reclamaciones interpuestas por A.A.A. y B.B.B., su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ORANGE ESPAGNE, S.A.U, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/11418/2019. 2. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio PS/00022/2021 presentadas por ORANGE ESPAGNE, S.A.U, en fecha 8 de marzo de 2021, a través del Registro General de esta Agencia, y la documentación que a ellas acompaña:  Documento 1 (acta)  Documento 2 (denuncias) 3. También, se dan por reproducidas a efectos probatorios, las alegaciones “complementarias” al acuerdo de inicio PS/00022/2021 presentadas por ORANGE ESPAGNE, S.A.U, en fecha 27 de abril de 2021, a través del RegisC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/99 tro General de esta Agencia, y la documentación que a ellas se acompaña:  Documento 1: (…).  Documento 2: (…) a seguir ante casos SimSwap.  Documento 3: Comunicado emitido por Fraude del riesgo de SimSwap.  Documento 4: Contenido publicado (…) sobre SimSwap.  Documento 5: (…).  Documento 6: (…). (…)” DÉCIMO QUINTO: Con fecha 30 de septiembre de 2021, la instructora del procedimiento fórmula Propuesta de Resolución, en la que propone que por la directora de la AEPD se sancione a ORANGE ESPAGNE, S.A.U., con NIF A82009812, por infracción del artículo 5.1.
10. f)del RGPD, tipificada en el artículo 83.5.
11. a)del RGPD y en el artículo 72.1.
12. a)de la LOPDGDD, con una multa administrativa de 800.000’00 (ochocientos mil euros). Con fecha 4 de octubre de 2021, a través de Carpeta Ciudadana, se notifica la Propuesta de Resolución. DÉCIMO SEXTO: Con fecha 7 de octubre de 2021, ORANGE solicita la ampliación del plazo para formular alegaciones a la Propuesta de resolución. DÉCIMO SÉPTIMO: Con fecha 7 de octubre de 2021, la Agencia concede la ampliación instada. DÉCIMO OCTAVO: Con fecha 26 de octubre de 2021, ORANGE, formula alegaciones a la Propuesta de Resolución en las que se ratifica y da por reproducidas las alegaciones y argumentaciones jurídicas realizadas al Acuerdo de Inicio (antecedentes DUODÉCIMO y DÉCIMO TERCERO) y además, añade otras: PRIMERA: INFRACCIÓN. Es de destacar que en los FD se declara inmediatamente la comisión por parte de ORANGE de una infracción del artículo 5.1.
13. f)del RGPD en base a los hechos tenidos por probados por parte de la Agencia. Ello, con anterioridad siquiera a tratar de justificar el motivo. Este proceder, aunque solo sea a afectos formales, resulta jurídicamente poco apropiado y podría considerarse cierta predisposición de la AEPD para sancionarla, con independencia de las alegaciones que pueda hacer en su defensa, habida cuenta que no se ha producido tal infracción. SEGUNDA: TRATAMIENTO DE DATOS PERSONALES Y RESPONSABLE DEL TRATAMIENTO. Se requieren una serie de matizaciones en relación con que el proceso de duplicado de una tarjeta SIM supone el tratamiento de datos personales. La información tratada durante el proceso de duplicado de una tarjeta SIM es la información identificativa del titular de la línea, no la información técnica contenida en dicha tarjeta, con excepción del MSISDN, dado que su contenido no es otro que el propio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/99 número de teléfono (precedido del prefijo nacional). Estos y no otros son los datos objeto de tratamiento realizado por ORANGE en calidad de responsable. Toda esta información ya era conocida por los delincuentes con anterioridad a solicitar el duplicado, tras haberlos obtenido previamente de forma ilícita por medio de técnicas de ingeniería social como “phishing” o “spoofing”. Por lo tanto, no es cierta la afirmación sobre que “ORANGE, es la responsable de los tratamientos de datos referidos en los antecedentes expuestos”, ya que en los mismos se hace referencia a otros tratamientos que no son de su responsabilidad. No consta que se haya tratado por los clientes ninguna información que pueda estar contenida en las tarjetas SIM, como el IMSI, ni mucho menos información sobre el listado telefónico o el de llamadas y mensajes. En cuanto al IMSI, no hay ninguna prueba o indicio de que este dato haya sido tratado con ningún fin. Tampoco es sostenible la afirmación realizada por la AEPD de que la tarjeta SIM es, en sí misma, un dato personal. La tarjeta puede contener información personal, pero no es un dato y aunque pudiera considerarse esta información como dato personal por hacer potencialmente identificable al titular de la línea, lo cierto es que la posibilidad de identificación por parte de terceros distintos de la operadora requeriría de información adicional que no está disponible, por lo que aun en caso de calificarlos como datos personales, tendrían la consideración de dato seudoanonimizado. TERCERA: ALEGACIONES ADUCIDAS. 1. ALEGACIÓN PREVIA.- EXISTENCIA DE UN GT SOBRE DUPLICIDAD DE LAS TARJETAS SIM LIDERADO POR LA AEPD. La quiebra de la confianza legítima no se debe a las afirmaciones que pudo haber realizado la Agencia validando la actuación de ORANGE. El menoscabo de este principio se debe a que la apertura del expediente sancionador se produce en el marco de una colaboración en el que se constituye un GT específico para abordar una actividad delictiva (“SIM Swapping”), en cuyo seno se integran tanto las operadoras de telecomunicaciones como la banca, así como otras Administraciones y Autoridades implicadas, creado con la intención de proteger a los afectados, y que tiene por objeto analizar de forma conjunta las amenazas y los mecanismos de defensa, con el objetivo de clarificar posibles acciones que ayuden a mitigar los riesgos de suplantación de identidad. En este sentido, si bien la participación de la AEPD en el GT no implica la validación de la actuación de ORANGE, sí evidencia el reconocimiento de la problemática existente y la dificultad que plantea su prevención: se trata de una problemática generalizada y recurrente, que afecta a múltiples entidades y operadores de telecomunicaciones cuya solución es altamente compleja y, si bien se ha mostrado la voluntad conjunta de acabar con dichos supuestos, erradicarlos, resulta un objetivo complicado, habida cuenta de la capacidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/99 los delincuentes para actualizar sus técnicas y desplegar medios cada vez más sofisticados para conseguir sus objetivos . En este contexto, no parece lógico exigir a las operadoras, y en concreto a ORANGE, el despliegue de una diligencia de eficacia absoluta. Sin embargo, es dentro de este marco en el que la AEPD decide abrir un expediente, empleando como pretexto la existencia de determinadas noticias en prensa cuando tiene conocimiento de primera mano, por parte de las operadoras, de la existencia y características de estos delitos. Es más, dicha información se puso en su conocimiento en la confianza de que todas las entidades presentes emplearan la información de buena fe y no para fines distintos de aquéllos para los que se constituía el GT. La Agencia usa este conocimiento para emplearlo con el objetivo de sancionar tratando de hacerlas responsables por unos delitos de los que son víctimas, el que dista mucho de ser leal y el que quiebra de forma obvia la confianza en una Autoridad que prefiere emprender la vía sancionadora ante entidades que, le consta fehacientemente, están trabajando de forma proactiva para la mejora de la seguridad. Por otro lado, es obvio que la AEPD está vinculada por el principio de legalidad, pero no es cierto, como pretende, que sea este principio el que la avoca a sancionar. La normativa prevé mecanismos alternativos para situaciones en las que el objetivo debiera ser mejorar la seguridad de las operaciones de tratamiento realizadas. La función de la AEPD es, conforme al Real Decreto 389/2021, de 1 de junio, por el que se aprueba su Estatuto, la de “supervisar la aplicación de la normativa vigente en materia de protección de datos personales con el fin de proteger los derechos y libertades de las personas físicas”. Para dicho objetivo, sus facultades no se limitan a la actividad sancionadora, sino que el artículo 58 del RGPD dispone de alternativas correctivas, tales como la advertencia, el apercibimiento o, incluso, ordenar cuando proceda que las operaciones de tratamiento se realicen de una determinada manera y dentro de un plazo especificado. En este sentido, como la propia AEPD recuerda, las sanciones tienen una finalidad disuasoria y es más que evidente que, no necesitan el acicate de una sanción para proteger los datos de sus clientes. 2. ALEGACIÓN PRIMERA.- INCORRECCIÓN Y FALTA DE EXACTITUD EN LAS APRECIACIONES SOBRE EL FRAUDE DE DUPLICADO. La AEPD introduce una exposición teórica para tratar de justificar que, como consecuencia del acceso al duplicado de la tarjeta SIM, se produjo un acceso a datos personales contenidos en la propia tarjeta. En primer lugar, ha de aclarase que la SIM no permite el acceso al IMEI. En lo que se refiere al IMSI, no hay ninguna prueba o indicio de que este dato C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/99 haya sido tratado por los delincuentes con ningún fin, por lo que, no se ha acreditado que su confidencialidad haya sido afectada. Adicionalmente, tampoco se ha acreditado que se accediera a ninguna otra información personal custodiada por ORANGE distinta de la que aportan los propios delincuentes obtenida mediante técnicas de ingeniería social como “spoofing” y “phishing”, por lo que, ORANGE no ha permitido el acceso por terceros no autorizados a información personal a la que éstos no tuvieran acceso de forma previa y, consecuentemente, no ha habido quiebra de la confidencialidad. La AEPD entremezcla en sus consideraciones el concepto de acceso a datos personales como consecuencia de la duplicación de la tarjeta SIM con la realización de las operaciones bancarias. Cualquier responsabilidad derivada de la duplicación de las tarjetas, se restringiría, desde el punto de vista de la protección de datos, al tratamiento de información relacionada con los servicios que presta (consumos asociados al contrato, acceso a área privada, contrataciones, etc.) y sobre la que no existe constancia alguna que se haya producido. Sin embargo, la AEPD trata de hacer responsable y sancionar a ORANGE por las consecuencias de las operaciones realizadas por las entidades bancarias. Confunde las obligaciones de diligencia en el tratamiento de datos personales con una supuesta obligación de dotar de seguridad las operaciones bancarias en relación con la identidad de los clientes de estas terceras entidades. Es decir, traslada la responsabilidad en la identificación por parte de las entidades bancarias hacia las operadoras de telecomunicaciones. Las entidades bancarias son las únicas responsables de la seguridad de sus operaciones. Así lo confirma además la Autoridad Bancaria Europea (EBA), que en su “Opinión sobre la implementación de métodos de autenticación reforzada”, en su apartado relativo a quién decide sobre los medios a emplear para dicha autenticación (puntos 37 y 38), dictamina que las credenciales de seguridad utilizadas para realizar la autenticación segura de los usuarios de los servicios de pago son responsabilidad de la entidad gestora de servicios de cuenta (los bancos). Que los bancos se decanten habitualmente por el sistema de confirmación mediante el envío de un SMS es una decisión de su exclusiva responsabilidad. Es un método muy extendido y no es especialmente seguro. Remite a la Digital Identity Guidelines: Authentication and Lifecycle Management, del “National Institute of Standards Department”, que dictamina que el SMS no se debería utilizar en la autenticación de dos factores, por la cantidad de riesgos de seguridad a las que está sometida en la entrega de un SMS. Por su parte, la Autoridad Bancaria Europea (EBA), en una de sus respuestas a las preguntas planteadas desde el sector (Qualification of SMS OTP as an C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/99 authentication factor | European Banking Authority (europa.eu)) si bien contempla el SMS como factor de confirmación admisible, recuerda que el uso de SMS ordinarios no es factible para la confirmación de operaciones bancarias, por no ser suficientemente seguros conforme a los estándares de la Directiva PSD2. Adicionalmente, señala, que este tipo de informaciones son de dominio público y remite a tres enlaces. Por este motivo, el hecho de que el modus operandi para la realización fraudulenta de operaciones bancarias pueda realizarse mediante un SIM SWAP no puede considerarse en modo alguno una admisión de responsabilidad sobre la seguridad de estas operaciones. De hecho, la diligencia de las operadoras está obligando a los delincuentes a buscar métodos alternativos para obtener el contenido de los SMS. Remite a noticias e información difundida por la Policía Nacional a través de redes sociales. Reitera que, la responsabilidad de las operadoras no puede abarcar las operaciones bancarias que los delincuentes puedan realizar como consecuencia de que las medidas de seguridad implementadas por las entidades bancarias sean inadecuadas. No puede hacerse cargo de la seguridad de la información de terceras entidades por el mero hecho de que usen servicios de telecomunicaciones. Aduce que la Agencia exige una responsabilidad objetiva, en la que a partir de un resultado se deduce una culpa, sin que medie ningún tipo de valoración sobre la diligencia desplegada, interpretación proscrita por el Derecho español. 3. ALEGACIÓN SEGUNDA.- GENERALIZACIÓN NO FUNDADA DE CONSECUENCIAS NEGATIVAS ASOCIADAS A LA EMISIÓN DEL DUPLICADO. La AEPD no ha aportado ningún hecho o fundamento que sostenga su interpretación. Admite que para la ejecución de operaciones bancarias el delincuente necesita, además del duplicado de la SIM, acceder adicionalmente a la información personal que obtiene de forma ilícita de la entidad bancaria o del usuario, por lo que no son una consecuencia de la obtención del duplicado. Y en lo que se refiere a las modalidades delictivas que pretenden “otras finalidades”, las argumentaciones utilizadas para justificar la presunta responsabilidad de ORANGE son meras elucubraciones, que se refieren a riesgos potenciales, que ni se han materializado ni son objeto del presente procedimiento y, desde un punto de vista técnico, distan mucho de ser correctas. Pretender que el acceso a una tarjeta SIM permite por sí solo determinados accesos, implica un desconocimiento interesado del funcionamiento de los mecanismos de seguridad asociados a la mayor parte, por no decir la totalidad, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/99 los servicios a los que se hace referencia. La posibilidad de acceder a las cuentas de un usuario requiere de información adicional no disponible en la tarjeta SIM. Las afirmaciones sobre la facilidad de su obtención carecen de todo fundamento y, lo que es más importante, no se ha materializado ni es objeto del presente procedimiento ninguno de los riesgos a los que la AEPD hace referencia, por lo que su inclusión en este fundamento es totalmente improcedente. La AEPD hace referencia a 20 casos de duplicados de tarjetas SIM cuando solo forman parte de este expediente las denuncias relacionadas con dos de ellos. Tratar de engrosar este número haciendo referencia a situaciones cuyas circunstancias no constan ni son objeto del presente procedimiento no es procedente y supone un aprovechamiento inadecuado de información que fue facilitada por ORANGE en el marco de una solicitud dirigida por la AEPD y sobre la que no ha sido evidenciado ningún incumplimiento relacionado con el tratamiento de datos personales. En relación con las dos reclamaciones que sí son objeto de este procedimiento, se deben a una inadecuada aplicación de los protocolos establecidos, que según la estadística son adecuados y eficientes y sólo de manera absolutamente residual han podido ser superados por los delincuentes en su objetivo de obtener un duplicado de tarjeta SIM de forma ilícita. Ha de tenerse en cuenta que las circunstancias en las que se producen estas suplantaciones no son irrelevantes. En el supuesto de la parte reclamante dos, la solicitud del duplicado se acompaña de documentos con apariencia de autenticidad destinados a engañar al empleado de la tienda, a quien además se le ofrece un relato creíble en el que se le informa de que la documentación original había sido sustraída, junto con su cartera. Al tratarse de una copia del DNI, no es factible procesarlo con el software de verificación Mitek, ya que el mismo analiza características físicas y de seguridad que sólo están presentes en el original del documento. En estas circunstancias, el empleado opta por ayudar a la persona, supuestamente víctima de un robo, cuyas circunstancias podrían agravarse precisamente por la imposibilidad de ponerse en contacto y realizar las gestiones pertinentes para evitar males mayores. En definitiva, el dependiente optó, incumpliendo el protocolo establecido por ORANGE, por no requerir el documento acreditativo de cita para renovación del DNI o el recibo bancario acreditativo del cobro de la última factura. Por tanto, aunque es cierto que existe un incumplimiento del protocolo (que ha sido objeto de la correspondiente sanción), el mismo es inducido por el delincuente, que generó una situación en la que consiguió aprovecharse de la buena fe del dependiente, al creerlo víctima de un delito, empleando para ello un sofisticado y elaborado plan preconcebido para este fin. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/99 Igualmente, en el supuesto de la primera denuncia, el gestor incumple el protocolo de seguridad para la verificación de los datos, y esto posibilita que pueda llevar a cabo la solicitud de la tarjeta sin seguir todos los controles establecidos. Sin embargo, esto no hace que las medidas no sean adecuadas, ya que han demostrado su efectividad en prácticamente la totalidad de los casos. En este sentido, que el protocolo sea susceptible de mejora, es una afirmación que ha de ser puesta en contexto, ya que su eficiencia estadística indica que han sido apropiados en un (…) % de los casos. En cuanto a la mejora de los controles de cumplimiento de los protocolos, si bien son deseables, no pueden obviar la presencia del factor humano. ORANGE ha dado instrucciones e información adecuada a todos los implicados pero no es factible anular la posibilidad de que las personas realicen acciones en contra de las indicaciones recibidas. Ante estos riesgos, solo cabe la formación y concienciación de los implicados y la exigencia de responsabilidades en caso de incumplimiento, tal y como ha hecho ORANGE, salvo que la AEPD sugiera que la contratación de empleados con acceso a datos personales sea un riesgo inasumible y todos ellos deban ser sustituidos por procesos automatizados. 4. ALEGACIÓN TERCERA. – IDONEIDAD Y CUMPLIMIENTO DE LAS MEDIDAS PREVENTIVAS IMPLEMENTADAS. La AEPD pone en duda los protocolos que ORANGE utiliza. Sin embargo, los argumentos que emplea para realizar esta afirmación son contradictorios. ORANGE ha realizado un total de aproximadamente (…) cambios de SIM en 2019 sin que se haya producido ninguna incidencia en el (…) de los casos. Por lo tanto, siguiendo el criterio de efectividad apuntado por la propia AEPD y aunque lo deseable es siempre conseguir la anulación del riesgo, no cabe calificarlos como inapropiados. Una materialización del riesgo en un porcentaje como el que nos encontramos no puede ser calificado como una falta de diligencia en el despliegue de medidas de seguridad. Imponer una sanción porque en dos supuestos aislados entre más de 800.000 se haya producido un resultado indeseado supone adoptar un principio de responsabilidad objetiva en el ámbito sancionador, vetado por nuestro Ordenamiento Jurídico, como ha sido reiterado repetidamente por el Tribunal Constitucional. El artículo 28 de la LRJSP, anuda la responsabilidad a la concurrencia de dolo o culpa, ya no recoge el último inciso del artículo 130 de la Ley 30/1992, es decir, la posibilidad de que se responda "... aún a título de simple inobservancia". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/99 El Tribunal Constitucional, desde su Sentencia 76/1990, ha venido advirtiendo sobre la responsabilidad objetiva y, la exigencia en todo caso de que la Administración, a la hora de sancionar, pruebe algún grado de intencionalidad. Exige la concurrencia de culpabilidad en los grados de dolo y culpa o negligencia grave, no siendo suficiente la mera negligencia. Por lo tanto, la superación por un tercero de las medidas de seguridad no puede determinar por sí sola que las mismas no sean adecuadas o suficientes. Se remite a los expedientes E/05168/2021, E/00536/2016, E/02237/2020 E/ 02723/2020, E/06963/2020, E/00722/2020, E/09882/2020 y argumentaciones de la Agencia, exponentes de una dualidad de criterios que le causa una evidente indefensión, no sabe con certeza a qué atenerse, ni qué medidas cabe implementar, cuando las mismas son consideradas adecuadas en ciertas ocasiones, y, en otras, constitutivas de una infracción de carácter muy grave. Asimismo, se remite a los expedientes E/05272/2018, E/07129/2014, E/ 08205/2019, E/5441/2018. No es entendible que, a pesar del volumen de datos afectados por las brechas aludidas, se aprecie un nivel de diligencia adecuado y, sin embargo, en el presente procedimiento, donde únicamente dos interesados se han visto afectados, no se valore como adecuado el nivel de diligencia mostrado, a través de las medidas de seguridad, detección y corrección, teniendo en cuenta el número de procesos de duplicado de SIM realizados. Orange también es víctima de un “ataque” dirigido por organizaciones criminales que cuenta con técnicas digitales y de ingeniería social dirigidas exclusivamente a vencer las medidas de seguridad implantadas. En lo que se refiere a las consideraciones de la AEPD sobre la mayor seguridad de los canales habilitados, cualquier vía es susceptible de ser objeto de intentos de fraude. ORANGE ha eliminado la posibilidad de (…) (que cuenta con medidas reforzadas de seguridad en la autenticación). El incumplimiento puntual y en casos absolutamente aislados por parte de un gestor de las instrucciones de verificación de la identidad no implica en absoluto que el protocolo de seguridad dependa de la voluntad del gestor interviniente, sino que supone un incumplimiento de sus obligaciones que, como se ha informado, ha dado lugar a la imposición de penalizaciones. Así, las medidas apuntadas por la AEPD relativas a “la inclusión de estas en el sistema de información, (…), incluso con controles en las pantallas del sistema de información (…)” no garantizan ninguna mejora en el control de estas actividades. Cualquier agente podría aceptar los botones para continuar el proceso pese a no haber llevado a cabo la medida de seguridad concreta. Las opciones de monitorización total de los empleados, además de no ser proC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/99 porcionadas conforme a la normativa de protección de datos, tendrían un coste desproporcionado, considerando que debería controlarse exhaustivamente a todos los agentes potencialmente intervinientes en una operación de este tipo (máxime teniendo en cuenta que el control debería llevarse a cabo en tiempo real), cuando la estadística demuestra que las incidencias relacionadas son ínfimas. Por otro lado, ha quedado acreditado que todos los agentes han recibido la formación necesaria y que la información y la gestión se realiza sin ninguna incidencia en la práctica totalidad de los casos. Adicionalmente, es posible la verificación de cumplimiento de las obligaciones, ya que la actividad de los usuarios queda registrada. Todo lo anterior, sin perjuicio de que, en su proceso de mejora continua de la seguridad, ORANGE sigue analizando posibles mejoras en todos sus procesos. En relación con la información detallada en la “Guía rápida”, tiene fecha de 2017 y se aporta a efectos de verificar las medidas implementadas de manera previa a que tengan lugar los hechos objeto del presente procedimiento y su progresiva mejora, revisión y refuerzo. Sobre la documentación contractual con las empresas de entrega, hay que señalar que en los dos supuestos que nos conciernen, no interviene ninguna empresa o proveedor de servicios de entrega. Los certificados que ORANGE ostenta, reconocidos por el Esquema Nacional de Seguridad (ENS), tienen un alcance amplio, que no engloba únicamente los sistemas de información, sino que existen una serie de controles que aplican a toda la organización, en atención a diferentes aspectos, inclusive: protección de datos, seguridad en redes, uso de sistemas de información, formación y concienciación y seguridad en el proceso de recursos humanos. Estos controles son transversales a toda la organización. Lejos de querer eludir la responsabilidad, lo que se solicita es, precisamente, que tal responsabilidad se ciña al tratamiento efectivamente realizado, sin extender la responsabilidad correspondiente a otras entidades, como las operaciones y transacciones efectuadas por diferentes entidades bancarias. Por último, hay que indicar que el carácter de derecho fundamental del derecho a la protección de datos no elimina la necesidad de examinar la diligencia desplegada por ORANGE, ni la consideración del porcentaje ínfimo de incidencias que se han producido en los procesos de duplicado de tarjeta SIM. 5. ALEGACIÓN CUARTA. – ACTUACIÓN DILIGENTE DE ORANGE. La redacción es totalmente confusa y contradictoria, de forma que cada párrafo parece afirmar lo contrario de lo que dice el anterior, para finalmente acabar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/99 proyectando una indeterminada falta de diligencia como motivo último de la sanción. La AEPD considera que ha incumplido el artículo 5.1.f), el denominado principio de integridad y confidencialidad. Recalca las contradicciones de la Agencia e invoca que le provoca total indefensión, por cuanto a pesar de que ha conseguido acreditar en el procedimiento el cumplimiento de su deber de diligencia y ser este reconocido, es objeto de una propuesta de sanción por un motivo indeterminado, ante el cual no puede presentar prueba alguna. Todo ello trae causa en que la AEPD está evaluando la responsabilidad de Orange atendiendo únicamente a un resultado, constituyendo un supuesto de responsabilidad objetiva, resultándole indiferente la diligencia desplegada en sus medidas preventivas y paliativas. Motivos por los que las mismas deben ser desechadas: C/ Jorge Juan, 6 28001 – Madrid • La AEPD reconoce que “El enfoque de riesgos y el modelo flexible al riesgo impuesto por el RGPD […] no impone en ningún caso la infalibilidad de las medidas (…)”. Sin embargo, pretende sancionar por dos supuestos puntuales entre casi un millón. • Reprocha que en uno de los supuestos (parte reclamante dos) no se haya verificado el DNI presentado a pesar de que “asegura disponer de un software específico para contrastar si los documentos identificativos son correctos (Mitek)”. Se trata de una imposibilidad técnica, no un error en el procedimiento de seguridad. • Indica que “la conducta de ORANGE se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala (…), debe ser especialmente diligente y cuidadosa en su tratamiento. (…) estamos ante un error vencible, ya que, con la aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones de identidad se hubieran podido evitar”. La culpa tiene que ver con la diligencia desplegada, no con un hecho objetivo como el número de datos tratados. • “La infracción deviene no por la carencia de una política específica de seguridad para la expedición de los duplicados SIM, sino por la necesidad de su revisión y refuerzo”. A pesar de haber reconocido que, “ORANGE ha actuado diligentemente a la hora de minimizar el impacto a los posibles afectados implantando nuevas medidas de seguridad para evitar la repetición de incidentes similares en un futuro”. • La AEPD vuelve a introducir un nuevo criterio para la responsabilidad de ORANGE en los supuestos analizados, indicando que ésta “está directamente relacionada con la generación de consecuencias en tercewww.aepd.es sedeagpd.gob.es 36/99 ros”. Traslada a ORANGE la responsabilidad sobre tratamientos sobre los que no tiene ninguna capacidad de control. • Continua la AEPD indicando que no comparte el hecho de que esos protocolos o procedimientos internos puedan considerarse como adecuados “en tanto que son susceptibles de mejora. Hay que reforzar los mecanismos de identificación y autenticación con medidas técnicas y organizativas que resulten especialmente apropiadas para evitar suplantaciones”. Ese concepto de mejora, abstracto y genérico, permitiría calificar cualquier protocolo como inadecuado, en tanto todo proceso es susceptible de mejora. • Se incluye determinada jurisprudencia relativa a la culpa, en la que se reconoce que ésta no concurre si se justifica “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” o se indica que “no existe negligencia, ni por tanto infracción, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones” • La responsabilidad de una persona jurídica ha de valorarse en función de la diligencia desplegada como entidad, manifestada a través de los procedimientos e instrucciones aprobados por esta. Sin embargo, no se plantea por la AEPD que los riesgos generados por terceros (entidades bancarias) y que son de su responsabilidad, serían mitigables de forma mucho más sencilla si estos adoptasen medidas adecuadas para mejorar la seguridad de las operaciones que realizan. Motivos por los que ORANGE no debe ser objeto de sanción: La confidencialidad de los datos tratados en el proceso de la duplicación de la tarjeta SIM se quebró previamente por parte de las entidades bancarias. ORANGE no tiene control sobre esta operativa ni puede incidir en su habilitación/procedimiento/ejecución. La sucesión de suposiciones y posibilidades no puede servir, bajo ningún concepto, como justificación, para imponer a ORANGE una infracción sin entrar a valorar, motivadamente, el nivel de diligencia desplegado y los hechos realmente acaecidos. Estas amenazas identificadas por la AEPD recaen fuera del ámbito de actuación de ORANGE. La AEPD aprecia culpa de la conducta de Orange, si bien, lejos de identificar y relatar la conducta concreta, se limita a referirse al resultado. Este proceder no es conforme a la legalidad vigente, como ha indicado la Audiencia Nacional, entre otras, en la Sentencia de la Sala de lo Contencioso-administrativo, Sección 1ª, de 23 de Diciembre de 2013, Rec. 341/2012: Ha de recordarse que la referencia a la “simple inobservancia” ha sido eliminada por la actual Ley 40/2015, por lo que sería necesaria una falta de diligencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/99 cualificada. Invoca la SAN, Sala de lo Contencioso, de 25 de febrero de 2010, nº de Recurso 226/2009”. El mero error humano no puede dar lugar, por sí mismo, a consecuencias sancionadoras. Ha de remarcarse la similitud del presente supuesto con el recogido en la SAN de 25 de febrero de 2010: se trata de intrusiones cometidas de manera ilegal, por terceros organizados y con altos conocimientos informáticos, dirigidos a una actividad delictiva muy elaborada. El hecho de que se venga considerando por parte de la AEPD y los Tribunales que en el caso de los ataques técnicos (hacking), dirigidos contra compañías, se considere que su diligencia no abarca tener capacidad para rechazar este tipo de ataques se interpreta de forma contraria en este caso, penalizando a ORANGE porque sus medidas de seguridad puedan depender de la actuación de personas concretas. No puede exigirse a ORANGE, y tampoco a sus empleados o agentes, la capacidad de identificar de forma infalible los supuestos de fraude, especialmente cuando se ofrece, una “apariencia de realidad y seriedad suficiente para engañar a personas de mediana perspicacia y diligencia” (así considerado, entre otras muchas, en la STS 2362/2020). Aporta copia sellada por la Jefatura de Policía y comunica la posterior aportación de la documentación acreditativa (parte reclamante dos), cuando sea facilitada por las correspondientes Unidades de Información de las Fuerzas y Cuerpos de Seguridad. ORANGE, dentro de las funciones recogidas en la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo, LGTEL) y en la Ley 25/2007, de 18 de octubre, participa de forma activa en la colaboración con los agentes facultados en el esclarecimiento de los delitos. ORANGE debe considerarse como un perjudicado más en este tipo de procedimientos, ya que es la propia entidad la que también sufre un perjuicio y ve “atacados” sus sistemas y activos. 6. ALEGACIÓN QUINTA. – FALTA DE PROPORCIONALIDAD DE LA SANCIÓN PROPUESTA. A pesar de que la AEPD ha modulado el importe de la sanción impuesta se considera que, habiendo sido diligente en su actuación no procede imposición de sanción alguna. Para el hipotético caso de que se considerase la existencia de un supuesto incumplimiento, no resulta proporcional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/99 Conviene incidir en que no es necesaria ninguna acción disuasoria, en tanto el supuesto objeto del presente procedimiento se ha llevado a cabo en contra de todo elemento volitivo de ORANGE. ORANGE no ha obtenido beneficio, sino que le ha supuesto un perjuicio. Por lo que, en lo que se refiere a la necesidad del efecto disuasorio, la mera comisión del delito es un perjuicio para ORANGE. Adicionalmente, participa de manera voluntaria en el GT. CUARTA. - PRINCIPIOS RELATIVOS AL TRATAMIENTO. ORANGE comparte con la Agencia la relevancia de las medidas de seguridad en aras de garantizar el derecho fundamental a la protección de datos, sin embargo, ha de hacerse una serie de matizaciones: • Ha sido reconocido el perjuicio que han sufrido ambos reclamantes: ambos recibieron una compensación por parte de ORANGE. • No pueden considerarse circunstancias particulares de las reclamaciones presentadas ni tampoco supuestos dentro del objeto del presente procedimiento, las suposiciones y posibilidades que elucubra la AEPD: acceso a aplicaciones, uso de redes sociales, etc. • En nada pueden justificar la Propuesta de Resolución de la Agencia. • ORANGE no tiene control de tales procedimientos ni influencia alguna en las medidas de seguridad que se utilizan por las entidades bancarias. • Si bien ORANGE, como responsable del tratamiento tiene la obligación de determinar sus medidas de seguridad, es el encargado del tratamiento el que asumirá la responsabilidad, configurándose como responsable, cuando no siga las instrucciones del primero e incumpla los fines y medios del tratamiento en cuestión, como así lo estipula el artículo 28.10 del RGPD. • Reiterar, que en dos ocasiones se haya podido suplantar la identidad de los reclamantes en dos procedimientos de duplicado de tarjeta SIM de un total de aproximadamente (…) procedimientos de duplicado, mediante engaño suficiente, no puede determinar automáticamente la comisión de infracción y ausencia de diligencia por parte de ORANGE. • ORANGE no “facilita duplicados de la tarjeta SIM a terceras personas”. Cuando el tercero obtuvo el duplicado de la tarjeta SIM fue porque engañó al agente. • No estamos ante la presencia de un dato personal especialmente relevante. Los códigos que contiene necesitan asociarse con otros datos personales, para permitir la identificación del titular. No consta así mismo el acceso por los suplantadores de identidad a datos personales distintos de aquellos que ya conocían de manera previa a obtener fraudulentamente el duplicado de tarjeta SIM. • Con relación a la STC 292/200 no se pone en duda la definición y consideración C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/99 del derecho a la protección de datos como derecho fundamental. Lo que no es aceptable es la intención de la Agencia de imputar dicha infracción, pese a haber llevado a cabo un despliegue de medidas de seguridad apropiado y adecuado, en los términos del artículo 32 del RGPD. QUINTA. - SEGURIDAD DEL TRATAMIENTO. La calificación jurídica que hace la Agencia de la infracción imputada a ORANGE no recoge el quebrantamiento del artículo 32 del RGPD. SEXTA. - CONDICIONES GENERALES PARA LA IMPOSICIÓN DE LA MULTA ADMINISTRATIVA. El tratamiento realizado no vulnera la normativa de protección de datos, ya que, ORANGE ha desplegado un nivel de diligencia adecuado, en la imposición de las medidas técnicas y organizativas necesarias para evitar la comisión de fraudes en las solicitudes de duplicados de tarjetas SIM. La sanción propuesta es en todo caso desproporcionada, atendiendo a las circunstancias y contenido de las supuestas infracciones. Los considerandos 11 y 13 del RGPD, que hacen referencia a garantizar la protección efectiva de los datos personales y hacerlo de manera coherente, apuntan que dicho objetivo también depende de que “las infracciones se castiguen con sanciones equivalentes”.  Agravantes: 1. Naturaleza y gravedad de la infracción: La pérdida de control y disposición de los datos personales no se inicia cuando ORANGE realiza el duplicado, sino que tiene lugar antes, en el momento en el que los individuos consiguen acceder a datos personales de los reclamantes. La referencia al rol del teléfono móvil no hace sino certificar el traslado de responsabilidad hacia ORANGE, sin tener en cuenta que la limitación de estos riesgos corresponde a los obligados por dicha normativa. No se evalúa en este apartado, la naturaleza y gravedad de la infracción imputada, sino que se vuelve a analizar la actividad posterior realizada por los individuos que suplantan la identidad. Categorizar la naturaleza y gravedad del tratamiento realizado por ORANGE, exige evaluar las medidas de seguridad establecidas en los procedimientos de duplicado de tarjeta SIM. Reiterar, que los terceros no han tenido acceso en ninguno de los dos supuestos a los teléfonos móviles de los reclamantes, y, consiguientemente, tampoco a la información que estos pudiesen almacenar, que es diferente, en cualquier caso, de la información que pueda almacenar una tarjeta SIM. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/99 2. Duración de la infracción: El presente procedimiento versa sobre las reclamaciones de dos reclamantes. En el caso de la parte reclamante uno, los hechos se suceden desde la tarde del 22 de julio de 2019, hasta la mañana del 24 de julio. En el caso de la parte reclamante dos, la duración es de apenas unas horas en el día 8 de enero de 2020, desde que se realiza fraudulentamente el duplicado hasta que el reclamante es consciente y ORANGE gestiona la suplantación de identidad. El tiempo durante el cual los reclamantes no tienen acceso a su tarjeta SIM es inferior a 48 horas en un caso e inferior a 8 horas en el otro. Por ello, no puede la Agencia considerar la duración de las supuestas infracciones un elemento agravante, en tanto las mismas han sido puntuales, localizadas, identificadas y gestionadas en mínimos períodos de tiempo. Carece de ningún sentido la referencia a los (…) casos que, junto a ORANGE VIRTUAL ESPAÑA, S.A.U (SIMYO), se contabilizaron durante el año 2019. No se ha justificado la relación de ninguno de los demás casos con la infracción imputada ni ello serviría para considerar el ámbito temporal de las mismas. 3. Número de interesados afectados: El presente procedimiento se circunscribe a dos casos. No puede incluirse, como elemento agravante, la existencia de más casos de procesos de duplicados de tarjetas SIM con incidencias, en tanto los hechos y supuestos concretos no han sido traídos a colación al presente procedimiento: no se han realizado reclamaciones por los titulares de los datos, ni se han analizados los hechos ni las responsabilidades derivadas de los mismos. Por ello, esta parte considera que, lejos de considerarse un agravante, el ínfimo número de interesados debería evaluarse como elemento atenuante. 4. Nivel de los daños y perjuicios sufridos: ORANGE no es responsable de las políticas de identificación y verificación de clientes establecidas por las entidades bancarias. Tampoco se hubiesen podido producir las operaciones bancarias si la entidad financiera utilizase otro sistema de seguridad en la verificación, por ejemplo, el uso de datos biométricos o la identificación del terminal móvil desde el que se accede a la aplicación del banco, como ya se lleva a cabo por algunas entidades financieras. La Agencia no entra a valorar el nivel de los daños y perjuicios, en tanto se limita a indicar que éstos “se multiplican” cuando se entrega el duplicado de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/99 tarjeta SIM a persona distinta al titular, sin explicar cuál es la relación entre esta afirmación y los hechos objeto de análisis en este procedimiento. Con relación a la procedencia que indica de realizar una evaluación de impacto, no puede pretender que, en una evaluación de impacto llevada a cabo por ORANGE sobre emisión de duplicados de tarjeta SIM, se evalúe las posibilidades de comisión de fraude en la realización de operaciones bancarias a través de aplicaciones y banca electrónica de terceros. Por todo lo anterior, no puede afirmarse que del proceso de duplicado deriven directamente, ni necesariamente, las operaciones bancarias fraudulentas, ya que los datos que los suplantadores precisan para realizarlas abarcan muchas más informaciones y operaciones que la duplicación de la tarjeta SIM. 5. Intencionalidad o negligencia en la infracción: La Agencia exige a Orange una obligación de resultado absoluta, en tanto el nivel de diligencia no se está evaluando en atención a las medidas y procedimientos establecidos, sino que atiende únicamente al resulta obtenido. La AEPD introduce así la responsabilidad objetiva rechazada por nuestro Tribunal Constitucional, como ya hemos indicado, en la jurisprudencia que emana de la STC 76/1990 de 26 de abril, en tanto no puede exigirse en el ámbito sancionador de la Administración. La Agencia contradice igualmente la jurisprudencia (Sentencia del TS de 23 de enero de 1998): de no haber intencionalidad o elemento volitivo de ORANGE, como se está reconociendo, y habiendo desplegado éstas medidas de seguridad, previas y posteriores a los casos que nos ocupan, así como procedimientos de mejora; no cabe imputarle a ésta nivel alguno de negligencia, en tanto, dicha calificación, exige que la persona jurídica muestre un mínimo grado de intencionalidad, manifestado a través de la falta de diligencia. Es por ello, que no puede considerarse a ésta como negligente, en tanto se han establecido procedimientos apropiados, los cuales han sido revisados y reforzados progresivamente. 6. Grado de responsabilidad del responsable: En los dos supuestos que nos ocupan, los agentes incumplieron la política de seguridad y las medidas concretas que ésta imponía. Además, cuenta con medidas preventivas, técnicas y organizativas, medidas paliativas y medidas coercitivas, por las que se sanciona a aquellos que no cumplan con las obligaciones impuestas. Así, no cabe sino interpretar, que lejos de suponer este criterio un agravante, debería interpretarse en favor de ORANGE. 7. Categorías de datos personales afectados por la infracción: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/99 Solo ha podido determinarse el tratamiento de datos personales identificativos básicos, cuyo conocimiento por los delincuentes era previo a la duplicación de la tarjeta. Como se ha tenido oportunidad de explicar, la teoría de que la tarjeta SIM es un dato personal no tiene sustento alguno, sino un contenedor de datos y códigos que solo permiten la identificación del usuario si se dispone de información adicional. El envío de SMS no tiene nada que ver con la tipología de datos tratados analizado en este punto. Por lo tanto, el tipo de datos objeto de tratamiento ha de ser considerado como un atenuante.  Atenuantes: 1. Medidas tomadas por el responsable para paliar los daños y perjuicios sufridos por los interesados: La Propuesta de Resolución recoge como atenuantes las medidas preventivas y coercitivas, pero no hace mención alguna a las medidas paliativas y compensaciones que ha implementado en los dos supuestos que nos ocupan, y que deberán ser considerados como atenuantes. 2. Los beneficios obtenidos como consecuencia de la comisión de la infracción. Pese a que en el Acuerdo de Inicio la Agencia valora la falta de beneficio de ORANGE, debemos insistir en que no sólo se produce la ausencia de beneficio, sino que ha supuesto un perjuicio, ha tenido que llevar a cabo investigaciones internas, realizar compensaciones a los reclamantes y reevaluar procedimientos y protocolos. ORANGE sufre también la suplantación de identidad por parte de los terceros no autorizados, en tanto engañan a los agentes y generan un perjuicio en su servicio. Para concluir, considera plenamente aplicable al presente caso lo dispuesto en el artículo 76.3 de la LOPDGDD relativo a sanciones y medidas correctivas: “será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679” el cual indica que las multas administrativas se impondrán “a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
14. a)a h)”. Teniendo en cuenta las circunstancias concurrentes y la nula intencionalidad o culpa de ORANGE, en el caso de que se considere que existe algún tipo de infracción del RGPD, la propuesta de sanción económica debería ser sustituida por la adopción de las medidas correctivas contempladas en el referido artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/99 58, consistentes en la advertencia o apercibimiento al responsable del tratamiento y la imposición de la obligación de adopción de medidas para realizar los tratamientos “de una determinada manera y dentro de un plazo especificado”. Sobre este particular, ORANGE entiende que la multa inicialmente estimada puede ser perfectamente sustituida por la obligatoria adopción de medidas correctoras. CONCLUSIONES 1º.- Aunque pudiera considerarse la información almacenada en la tarjeta SIM nunca la propia tarjeta en sí- como dato personal, no se ha acreditado que los mismos hayan sido objeto de tratamiento durante el tiempo en que los delincuentes tuvieron operativas las tarjetas SIM duplicadas. 2º.- Los delincuentes no obtuvieron de ORANGE ningún dato personal adicional a los que ya tenían con anterioridad a dirigirse a ORANGE, obtenidos de entidades bancarias y que son empleados para suplantar la identidad de los afectados, por lo que el tratamiento realizado no supone una infracción de la confidencialidad de los datos personales. 3º.- La responsabilidad de las teleoperadoras por supuestos de suplantación de identidad en la solicitud de copias de tarjetas SIM no puede abarcar las operaciones bancarias se puedan realizar como consecuencia de que las medidas de seguridad de las entidades bancarias sean inadecuadas. No puede hacerse cargo de la seguridad de la información de terceras entidades por el mero hecho de que usen servicios de telecomunicaciones. 4º.- Ha quedado acreditado que los dos supuestos se deben a una inadecuada aplicación de los protocolos establecidos por ORANGE que, tal y como evidencia la estadística, son adecuados y eficientes y sólo de manera absolutamente residual han podido ser superados por los delincuentes. 5º.- La superación por un tercero de las medidas de seguridad no puede determinar automáticamente que las mismas sean inadecuadas ya que supone aplicar un principio de responsabilidad objetiva en el ámbito sancionador, vetado por nuestro Ordenamiento Jurídico. 6º.- La AEPD ha declarado acreditados ciertos hechos (que dispone de una política de seguridad en la que se establece el modo de actuar para la expedición de los duplicados; que no puede colegirse una infracción del artículo 32, ni tampoco del artículo 5.2 y 25 del RGPD; que existen protocolos para prevenir las suplantaciones de identidad; que se han trasladado a los implicados en la tramitación; que se han introducido mejoras tras conocer ciertas vulnerabilidades; que existen penalizaciones por su incumplimiento o que ha actuado diligentemente a la hora de minimizar el impacto implantando nuevas medidas de seguridad). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/99 Por todo lo anterior, no procede declarar la existencia de una infracción del artículo 5.1.
15. f)del RGPD ni, en consecuencia, la imposición de sanción alguna, en tanto se ha acreditado un nivel de diligencia adecuado y no se ha acreditado ninguna quiebra del deber de confidencialidad. (El subrayado, la cursiva y negrita es de ORANGE). Estas Alegaciones serán objeto de respuesta en los FD de la presente Resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, quedan acreditados los siguientes: HECHOS PROBADOS PRIMERO: ORANGE es la responsable de los tratamientos de datos referidos en la presente Resolución, toda vez que conforme a la definición del artículo 4.7 del RGPD es quién determina la finalidad y medios de los tratamientos realizados con las finalidades señaladas en su Política de Privacidad, entre otras: la prestación de los servicios de telecomunicaciones, el mantenimiento y la gestión de la relación a efectos de dar cumplimiento a lo dispuesto en el contrato firmado entre las partes (Gestionar el registro del Usuario y permitir el acceso a las actividades y herramientas disponibles a través del Sitio Web www.orage.es; llevar a cabo el alta de Usuario, así como el mantenimiento y la gestión de la relación contractual con ORANGE; gestionar, tramitar y dar respuesta a peticiones, solicitudes, incidencias o consultas del Usuario, cuando éste facilite sus datos a través de los formularios habilitados al efecto en el Sitio Web www.orange.es, etc.) SEGUNDO: ORANGE presta sus servicios de telefonía móvil a través de tres marcas comerciales que son: ORANGE, AMENA y JAZZTEL. Cada una de ellas dispone de distintas operativas de funcionamiento. TERCERO: Con fecha 6 de agosto de 2019, tuvo entrada en esta Agencia una reclamación formulada por la parte reclamante uno (expediente con núm. de referencia E/ 08994/2019), dirigida -entre otros- contra ORANGE, tras expedirse en fecha 22 de julio de 2019, un duplicado de la tarjeta SIM de la línea ***TELÉFONO.1, a favor de una tercera persona distinta a la titular de la línea -la parte reclamante uno-. Estos hechos fueron denunciados ante la Guardia Civil de Baiona (Pontevedra), en fecha 24 de julio de 2019, con número de atestado ***ATESTADO.1 en la que la parte reclamante uno manifestó lo siguiente: ‘Que la dicente en el día de hoy, sobre las 09:00 horas comprobó que su teléfono móvil XIAOMI Mi A1-con número ***TELÉFONO.1 de la compañía ORANGE, con número de IMEI’s ***IMEI.1 y ***IMEI.2, dejó de funcionar. Se dirigió a la tienda de ORANGE para preguntar que habla sucedido, comprobando en la tienda que la tarjeta SIM ***SIM.1 que tenía instalada en el teléfono móvil no le funcionaba, por lo que le realizaron una nueva tarjeta SIM ***SIM.2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 45/99 La empleada de la tienda se percató que la tarjeta SIM que tenía instalada en su teléfono no correspondía con la que figuraba en la base de datos de ORANGE. Que la tarjeta SIM que constaba en la base de datos de ORANGE es ***SIM.3. Que en el momento que la dicente instaló la nueva tarjeta SIM ***SIM.2 recibió dos mensajes de texto (SMS) de SANTEVIÓS, con un código SMS para transferencias de 5000 euros y un SMS de INFOSNET con un código SMS para transferencia de 5000 euros. Que Ia manifestante, una vez le entregan el formulario de solicitud de cambios observa que el correo electrónico ***CUENTA DE CORREO.1no corresponde con el correo facilitado a ORANGE. Que el correo que les facilitó es ***CUENTA DE CORREO.2(…) Que la manifestante se pone en contacto telefónico con ORANGE a través del 1470 y le informan que a ORANGE se realizaron dos llamadas, una para cambiar el correo electrónico y otra para solicitar el duplicado de la tarjeta SIM, llamadas que se realizaron el 22/07/20219, una a las 14:00 horas y la otra a las 19:15 horas constando el número de esta última ***NÚMERO.1. Que desde la tienda de ORANGE entran en el perfil de usuario y se observa que figuran cinco llamadas al número de teléfono ***TELÉFONO.2 que corresponde a la banca online del Santander (…) Que la manifestante examina los movimientos de sus tres cuentas bancarias y de sus dos tarjetas y observa: Que autor/es desconocidos habían realizado un traspaso de la tarjeta VISA ***VISA.1 por las cantidades de 700 y 500 euros a la cuenta ***CUENTA.1 (Banco Popular) siendo la cuenta espejo de la cuenta ***CUENTA.2 (B. Santander). La manifestante se percata que el 22 de julio de 2019 autores desconocidos dieron de alta una nueva tarjeta de crédito VISA con numeración ***VISA.2. Que autor/es desconocidos realizan un traspaso de la tarjeta ***VISA.2 de 5000 euros a la cuenta bancaria numeración ***CUENTA.3 (Banco Popular) siendo la cuenta espejo de la cuenta ***CUENTA.4 (B. Santander). Que autor/es desconocidos realizan tres transferencias de su cuenta bancaria ***CUENTA.5, (…) fueron de 1000 euros cada una, enviadas a las cuentas ***CUENTA.6 (EVO BANCO); ***CUENTA.7 (EVO BANCO) y ***CUENTA.8 (OPEN BANK) que por cada una de estas transferencias le cobran la cantidad de 6 euros. Que autor/es desconocidos realizan una transferencia de la cuenta ***CUENTA.3(…) a la cuenta ***CUENTA.8 (OPEN BANK) por la cantidad de 250 euros constando un cargo de 6 euros en concepto de gastos. Que autor/es desconocidos de la cuenta con numeración ***CUENTA.1 (…) realizaron tres transferencias, siendo la primera por la cantidad de 5000 euros a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 46/99 cuenta ***CUENTA.6 (EVO BANCO). Una segunda transferencia de 250 euros a la cuenta ***CUENTA.8 (OPEN BANK), una tercera transferencia de 250 euros a la cuenta ***CUENTA.8 (OPEN BANK). (…) Consta una “Solicitud de cambios en el servicio Pospago de comunicaciones móviles” con fecha de contacto de 23 de julio de 2019, en la que aparece en los “Datos del Cliente”, el email de la pe