PS-00027-2021

1/102 Expediente N.º: PS/00027/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte RECLAMANTE UNO), en fecha 3 de octubre de 2019, presenta un escrito en la Oficina de ***EMPRESA.1 de Granada, que es registrado en la AEPD en fecha 8 de octubre de 2019, mediante el cual interpone una reclamación dirigida contra XFERA MÓVILES, S.A. (MÁSMÓVIL), con NIF A82528548 (en adelante, XFERA), por los siguientes motivos: “(…) Primero. En fecha 25 de septiembre 2019 YOIGO generó un duplicado de tarjeta de mi teléfono ***TELEFONO.1 siendo que esta parte no lo había solicitado y siendo que se han cedido ilícitamente mis datos personales, incluidos los bancarios. Segundo. La actuación anterior es contraria a los principios reguladores del tratamiento de los datos personales previsto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales: a este efecto constan cometidas al menos, las siguientes infracciones: El irregular tratamiento de los datos personales con conculcación de los principios de consentimiento e información del artículo 6, de la Ley Orgánica 3/2018, de 5 de diciembre. El incumplimiento doloso del deber de secreto del artículo 5 de la misma norma orgánica. La vulneración de los principios básicos del tratamiento según previsión de la letra

1. a)del número 5 del art. 83 del REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales. (…)” Junto a la reclamación aporta dos denuncias presentadas ante la Dirección General de la Policía Nacional en las dependencias de Granada Centro, denunciando estos hechos. En la primera de las denuncias con número de atestado XXXX/XX, de fecha 26 de septiembre de 2019, manifiesta: “(…) Que el compareciente en el día de ayer sobre las 18:30 horas se percató que su teléfono móvil de la compañía Yoigo y con numero de terminal ***TELEFONO.1 se encontraba fuera de servicio, por lo que se puso en contacto con Atención al Cliente de dicha compañía, la cual le informó que posiblemente hubiera tenido un problema con la tarjeta SIM. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/102 --Que en el día de hoy se ha personado en su entidad bancaria Bankia para realizar unos pagos, indicándole el empleado que en la cuenta corriente de su hija, llamada B.B.B. con mismo domicilio y teléfono de contacto que el compareciente se hallaba con tal solo 5,60 euros. --Que como quiera que el denunciante estaba seguro que en dicha cuenta había más dinero, es por lo que los empleados de Bankia han comprobado que persona/s desconocidas han accedido a la banca online del teléfono móvil del compareciente y han sacado 1300 euros de la tarjeta del denunciante la han traspasado a su cuenta corriente de la entidad Bankia y a continuación le han efectuado un reintegro de 1000 euros por el procedimiento Carg.Pag amigos a la persona de C.C.C. y un reintegro de 150 euros de un cajero automático, del cual no puede aportar datos. --Que han intentado realizar otro reintegro en cajero si bien se ha bloqueado la operación. --Que el denunciante es persona autorizada en la cuenta corriente de su hija B.B.B., por lo que a través de su teléfono móvil han accedido a la cuenta de su hija y han realizado tres transferencias inmediatas por un importe de 2000 euros, 800 euros y 100 euros, siendo la destinataria D.D.D.. --Que toda esta información se la ha indicado el empleado de Bankia, ya que tanto el denunciante como su hija en ningún momento han tenido conocimiento de lo ocurrido y menos aún han autorizado las operaciones indicadas. (…)” En la segunda de las denuncias con número de atestado YYYY/YY, de fecha 26 de septiembre de 2019, manifiesta: “(…) EI día veintiséis de los corrientes, el dicente formuló denuncia en estas dependencias con número XXXX/XX, en la que daba cuenta de la extracción fraudulenta en su cuenta bancaria y en la cuenta bancaria de su hija, (B.B.B.), por la cantidad total de 4050 euros, hecho ocurrido en la fecha y lugar indicado. --Compareciendo nuevamente para comunicar, que tras realizar gestiones con la compañía telefónica de Yoigo, ha sido informado que los presuntos autores de los hechos narrados realizaron un duplicado de tarjeta SIM, con el número de teléfono del denunciante, en la oficina de Yoigo, sito en Castellón de la Plana, avenida de la Virgen del Lidón, número 19, con número de duplicidad: (ICC) ***NÚMERO.1. --Queriendo hacer constar el compareciente, que entiende que la empresa Yoigo ha facilitado sus datos personales, en este caso a la persona denunciada, así como, ha facilitado una duplicidad de su tarjeta telefónica, por lo que está completamente convencido que también ha sido víctima de un ilícito penal por parte de dicha compañía telefónica, al facilitar sus datos personales libremente. (…)” Asimismo aporta justificantes bancarios de las transacciones realizadas no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/102 autorizadas. De acuerdo con lo previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, en fecha 26 de noviembre de 2019, se dio traslado de la reclamación a XFERA para que procedieran a su análisis y dieran respuesta en el plazo de un mes. XFERA, no dio respuesta a este requerimiento, notificado en fecha 26 de noviembre de 2019, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, según certificado que figura en el expediente. Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 11 de febrero de 2020, en el expediente con núm. de referencia E/11270/2019. SEGUNDO: E.E.E. (en adelante, la parte RECLAMANTE DOS), en fecha 5 de noviembre de 2019, interpuso una reclamación ante la AEPD dirigida contra XFERA, por los siguientes motivos: “Se reclama a la empresa MÁSMÓVIL con CIF A20609459, que en el día 10/07/2019 se le hizo sin su consentimiento en alguna Tienda de móviles un duplicado de la tarjeta SIM llevando esto a un fraude bancario en el banco (ING) por lo que considero que la empresa MÁSMÓVIL ha infringido la ley de protección de datos. Por lo que aporto la documentación pertinente de los hechos ocurridos. 1) denuncia y ampliación de la denuncia. 2) importes de lo sustraído 3) email de MÁSMÓVIL como que se hizo un duplicado de la tarjeta SIM el día 10/07/2019 a la 16:46h 4) denuncia en el ministerio de economía y empresa (consumo) 5) reclamación desestimada por parte de MÁSMÓVIL de los hechos ocurridos (como que no quieren saber nada) Los importes han sido abonados (devueltos) por la entidad ING gracias a lo ocurrido en la ampliación de la denuncia. Si no llega a ser por el Mosso d’Escuadra nº ***NÚMERO.2 que se puso en contacto conmigo para explicarme como se me hizo el fraude, tanto ING como MÁSMÓVIL no me hubieran devuelto los importes sustraídos, (…) Por lo que reclamo una indemnización por vulnerar la ley de protección de datos y las molestias y trastornos ocasionados para solucionar todo este problema , así como las pertinentes sanciones a la compañía MÁSMÓVIL (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/102 Junto a la reclamación aporta dos denuncias presentadas ante la Dirección General de la Policía Nacional en las dependencias de Móstoles, denunciando estos hechos. En la primera de las denuncias con número de atestado RRRRR/RR, de fecha 11 de julio de 2019, manifiesta: “Que el denunciante manifiesta que ha observado en su número de cuenta ***CUENTA.1 de la entidad ING dos cargos que él no ha realizado ni autorizado. Que los movimientos han sido realizados con la tarjeta con número ***TARJETA.1 la cual está asociada a la cuenta arriba referida, siendo los movimientos los siguientes: El día 10/07/2019, disposición en cajero número ***CAJERO.1, por un valor de 1700 euros. El día 10/07/2019, disposición en cajero número ***CAJERO.1, por un valor de 2000 euros. Que asimismo se ha personado en la entidad bancaria con el fin de recoger el justificante bancario, el cual aporta a esta instrucción y es adjuntado a las presentes. Que el dicente refiere que nunca ha perdido su tarjeta bancaria, manifestando que nunca ha realizado compras en este establecimiento.” En la segunda de las denuncias con número de atestado SSSSS/SS, de fecha 29 de julio de 2019, manifiesta: “Que las presentes son ampliatorias del atestado número RRRRR/RR de estas dependencias. Que el diciente manifiesta que recibió una llamada el día 26/07/2019 a lo 'largo de este día sin concretar exactamente la hora. (…) Que la llamada supuestamente la realizó el caporal número ***NÚMERO.2 de los Mossos d’Esquadra, responsable de hurtos y estafas.(…) Que dicho interlocutor le preguntó al denunciante que le confirmarse la titularidad del número de teléfono del que él era abonado dado que figuraba tras una serie de investigaciones que sobre estafas con tarjetas bancarias estaba realizando, que el suyo aparecía en un listado de morosos. (…) Que su interlocutor seguidamente le solicitó la remisión de la denuncia que interpuso, para poder incluirla a las investigaciones que estaban llevando a cabo por su unidad policial (…) Que en dicha conversación telefónica aquel agente policial le aseguró que su teléfono móvil a través de las tiendas de la compañía "MÁSMÓVIL" habría sido el lugar desde el cual en algún momento dado se habría producido el duplicado de su tarjeta, hecho este que al respecto el denunciante recordaría que días previos a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/102 materialización de los cargos fraudulentos en su cuenta y por lo que interpuso con posterioridad denuncia, se percató que por breve espacio de tiempo su teléfono móvil se quedó sin línea e inutilizable, debiendo por ello cambiar su tarjeta SIM. (…)” En fecha 10 de diciembre de 2020, se dio traslado de la reclamación a XFERA, para que procediera a su análisis y diera respuesta en el plazo de un mes. En respuesta a dicho requerimiento, XFERA manifestó -como único argumento- lo siguiente: “Único.- Insuficiente información. La reclamación recibida hace referencia a presuntos hechos delictivos consistentes en duplicar una tarjeta SIM como medio para llevar a cabo un fraude bancario y que se habrían producido en “(…)”. Naturalmente este tipo de conductas caen completamente fuera de la actividad propia y de ningún modo se pueden producir desde la actuación ordinaria de los protocolos de atención y gestión establecidos en la compañía. No obstante, ante la gravedad de los hechos se ha intentado procurar alguna información al respecto, pero debido a la falta de indicaciones en la reclamación recibida no es posible aportar ninguna información complementaria fuera de manifestar el deseo de plena colaboración para el caso de que fuera posible concretar con mayor precisión lo que se solicite.” Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 23 de febrero de 2020, en el expediente con núm. de referencia E/11591/2019. Dicha resolución fue objeto de una rectificación de errores en fecha 5 de marzo de 2020. TERCERO: Con fecha 27 de noviembre de 2019, la directora de la AEPD, ante las noticias aparecidas en medios de comunicación relativas a la utilización de prácticas fraudulentas basadas en la generación de duplicados de tarjetas SIM sin el consentimiento de sus legítimos titulares con objeto de acceder a información confidencial con fines delictivos (conocidas como “SIM Swapping”), insta a la Subdirección General de Inspección de Datos (en lo sucesivo, SGID) a iniciar de oficio las Actuaciones Previas de Investigación tendentes a analizar estas prácticas y las medidas de seguridad existentes para su prevención. A saber: El timo de la SIM duplicada: si su teléfono hace cosas raras, revise la cuenta bancaria | Economía | EL PAÍS (elpais.com) https://elpais.com/economia/2019/05/21/actualidad/1558455806_935422.html La peligrosa estafa de moda: Duplicar tu número de móvil para vaciarte la cuenta del banco | Tecnología (elmundo.
2. es)https://www.elmundo.es/tecnologia/2020/10/15/5f8700b321efa0c9118b462c.html C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/102 CUARTO: A la vista de los hechos denunciados por las partes RECLAMANTES UNO y DOS, de los documentos aportados y de la Nota Interior acordada por la directora de la Agencia, la SGID procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de las actuaciones previas de investigación se practicaron tres requerimientos de información dirigidos a XFERA, en distintas fechas: Requerimiento Código Seguro de Verificación Fecha requerimiento Primero ***CSV.1 13/01/2020 Fecha notificación requerimiento 16/01/2020 Segundo ***CSV.2 18/06/2020 19/06/2020 Tercero ***CSV.3 18/09/2020 18/09/2020 En el primero de los requerimientos, de fecha 13 de enero de 2020, se solicitaba la siguiente información: 1. Información sobre las vías de que disponen los clientes para solicitar un duplicado de tarjeta SIM. (Teléfono, Internet, tiendas, etc.). 2. Para cada una de las vías de que se disponga, se pide información detallada del procedimiento establecido para la atención de las solicitudes, incluyendo los controles para la verificación de la identidad del solicitante incluyendo los datos y documentos que se requieren al solicitante, así como el detalle de las verificaciones que se realizan sobre los mismos. En caso de envío de tarjeta SIM por correo, detalle de los controles y exigencias establecidas sobre la dirección de envío. 3. Instrucciones giradas al respecto al personal que atiende las solicitudes para la atención de las mismas. Documentación que acredite su difusión entre los empleados dedicados a dichas tareas, internos o externos a la entidad. 4. Información sobre si la realización de los controles para la verificación de la identidad queda reflejada, para cada solicitud atendida, en el Sistema de Información de la entidad. Documentación que lo acredite en su caso, tal como impresión de pantalla de los botones (check-box) u otra documentación según el método utilizado. 5. Motivos por los cuales ha sido posible en algunos casos la suplantación de la identidad de clientes para la emisión de duplicados de SIM. Razones por las cuales las medidas y controles de seguridad implementados no han surgido efecto. 6. Acciones emprendidas por la entidad cuando se detecta uno de estos casos. Información sobre la existencia de un procedimiento escrito y copia del mismo en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/102 caso afirmativo. Acciones emprendidas para evitar que casos de este tipo se vuelvan a producir, en concreto, cambios que se hayan podido realizar sobre el procedimiento para mejorar la seguridad. 7. Número de casos de solicitudes fraudulentas de duplicados de SIM detectados durante todo el año 2019. 8. Número de clientes de telefonía móvil total de la entidad. En el segundo de los requerimientos, de fecha 18 de junio de 2020, se solicitaba la siguiente información: PUNTO 1 Se solicita aclaración sobre los siguientes aspectos con relación a la contestación de nuestro requerimiento de fecha 16 de enero de 2020, en el marco de este mismo expediente: A) En el caso de la marca YOIGO se indica que (…). Se pide copia del procedimiento por escrito donde consten todos los casos que se tramitan (…), incluyendo todos los supuestos o circunstancias aludidas. Se pide copia de las instrucciones concretas dadas a los operadores con información detallada de cómo valora el operador todos los supuestos, incluyendo cómo debe valorar las circunstancias del cliente para acceder a la tramitación telefónica. B) En los casos de las marcas LLAMAYA y LEBARA se indica que (…). Se pide igualmente copia del procedimiento por escrito donde consten todos los casos que se tramitan (…), incluyendo todos los supuestos, y copia de las instrucciones concretas dadas a los operadores con información detallada de cómo valora el operador que el cliente no pueda acudir a un punto de venta. C) En el caso de la marca MÁSMÓVIL confirmación de (…). D) En su escrito de contestación se alude a la política de seguridad que debe pasar el cliente en las solicitudes telefónicas. Se pide copia de las políticas de seguridad de todas las marcas, donde consten claramente los datos que se solicitan según los diferentes casos, incluyendo todos los supuestos. Se pide copia de las instrucciones concretas dadas a los operadores para ello con información detallada de los datos que deben pedir en cada caso. C2) Sobre el proceso de solicitud (…) de LLAMAYA: Se pide información sobre si se remite a (…). Información sobre si el cliente puede fijar una dirección de entrega distinta de la habitual, como parece desprenderse de la información facilitada. Para todas las marcas, en las tramitaciones (…), se pide información sobre si es posible cambiar la dirección de entrega de la SIM y bajo qué circunstancias. D2) Comprobaciones que se realizan en la entrega a domicilio de la tarjeta SIM para la identificación del destinatario. Copia de la documentación contractual con las empresas de logística/mensajería que realizan el reparto, donde consten las comprobaciones de identidad que debe realizar el repartidor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/102 PUNTO 2 Listado de 20 casos de duplicados de SIM denunciados/reclamados como suplantación de identidad o fraudulentos por los clientes. El listado incluirá los duplicados de SIM solicitados desde el 1 de enero de 2020, es decir, todos los reclamados que sucedieron a partir del 1 de enero, desde el primero, consecutivos hasta llegar a 20. Se pide indicar en el listado la fecha, el número de línea y el canal de la solicitud. PUNTO 3 Sobre casos presentados ante esta Agencia que se resumen en la tabla: Ref. EXPEDIENTE E/11270/2019 y E/ 1422/2020 FECHA HECHOS 25/09/201 9 HECHOS DATOS CLIENTE Duplicado SIM En oficina YOIGO - E/11591/2019 10/07/201 9 Duplicado SIM Oficina MÁSMÓVIL - - A.A.A. DNI ***NIF.1 Tel. ***TELEFONO.2 E.E.E. DNI ***NIF.2 Tel. ***TELEFONO.3 Se pide: A) Copias de los DNI recabados en la solicitud de duplicado de SIM. En caso de que no exista copia recabada, reflejo que conste en los sistemas de la solicitud y comprobación de la identidad del solicitante mediante exhibición de su DNI. B) Información sobre si se tiene como requisito para la entrega que la ciudad donde se solicita la SIM sea la ciudad de residencia del cliente. Información sobre si existe algún control adicional en caso de ciudades distintas. C) Acciones emprendidas por XFERA en cada caso, incluyendo acreditación documental de los siguientes aspectos:  Si se ha marcado como víctima de fraude al cliente para evitar posibles intentos de suplantación de identidad futuros.  Si se han realizado investigaciones internas para esclarecer los hechos con el punto de venta.  Si se ha contactado con el cliente para alertarle de lo sucedido y sobre la resolución de su caso. En el tercero y último de los requerimientos, de fecha 18 de septiembre de 2020, se solicitaba la siguiente información: PUNTO 1 Sobre el listado de 20 casos de duplicados de SIM denunciados/reclamados facilitados en la contestación anterior: FECHA 05/01/2020 C/ Jorge Juan, 6 28001 – Madrid MSISDN MARCA CANAL ***TELEFONO.4 MásMóvil Telefónico www.aepd.es sedeagpd.gob.es 9/102 14/01/2020 ***TELEFONO.5 Yoigo Tienda 15/01/2020 ***TELEFONO.6 MásMovil Telefónico 20/01/2020 ***TELEFONO.7 MásMóvil Telefónico 25/01/2020 ***TELEFONO.8 Yoigo Telefónico 27/01/2020 ***TELEFONO.9 MásMóvil Telefónico 27/01/2020 ***TELEFONO.10 Yoigo Tienda 28/01/2020 ***TELEFONO.11 Yoigo Tienda 04/02/2020 ***TELEFONO.12 Yoigo Telefónico 25/02/2020 ***TELEFONO.13 Yoigo Telefónico 27/02/2020 ***TELEFONO.14 Yoigo Telefónico 29/02/2020 ***TELEFONO.15 Yoigo Telefónico 03/03/2020 ***TELEFONO.15 Yoigo Telefónico 05/03/2020 ***TELEFONO.16 Yoigo Telefónico 05/03/2020 ***TELEFONO.12 Yoigo Telefónico 11/03/2020 ***TELEFONO.17 Yoigo Tienda 13/03/2020 ***TELEFONO.18 Yoigo Telefónico 03/04/2020 ***TELEFONO.19 MásMóvil Telefónico 04/04/2020 ***TELEFONO.20 MásMóvil Telefónico 08/04/2020 ***TELEFONO.21 Yoigo Tienda 12/04/2020 ***TELEFONO.22 Yoigo Telefónico A. Se pide, en los casos de (…): - Copia de los DNI o documentos identificativos aportados por los solicitantes del cambio de SIM. - Para los clientes de YOIGO, copia del documento firmado por el solicitante para el nuevo SIM. B. Para los casos de (…): - Copia de la grabación de la conversación donde el solicitante del SIM supera la política de seguridad. - Copia de la grabación de la conversación donde el solicitante de la activación del SIM supera la política de seguridad. - Detalle de las circunstancias que concurrieron para para acceder a la tramitación de la solicitud telefónica. PUNTO 2 Sobre el caso ref E/11591/2019, relativo a E.E.E., DNI ***NIF.2, línea ***TELEFONO.3, se pide: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/102 - Canal por el que se solicitó y se tramito el 10/07/2019 un cambio de SIM. - Si el canal fue (…) aportar misma documentación que la que se requiere en el PUNTO 1. A del presente escrito, si fue (…), documentación requerida en el PUNTO 2. B. PUNTO 3 A. Información sobre si es posible adquirir SIM sin asociarlos a ninguna línea o cliente. Información sobre si se permite que un cliente obtenga un SIM sin activar y sin asociar a una línea determinada, que posteriormente pueda activar telefónicamente y asociar a una línea. Información si existe esta posibilidad, sin fraude de SIM swapping, consistente en la activación de un SIM que esté en posesión de un cliente, sin haber sido asociado previamente en los sistemas de la entidad a una línea de su titularidad. B. Política de seguridad que se pasa al solicitante en la recogida del SIM cuando no se asocia a una línea o cliente durante su recogida (en caso de que sea posible). PUNTO 4 Información sobre si se han detectado casos de duplicación de SIM fraudulentos en los que de forma previa se produzca un cambio de titularidad suplantando la identidad del antiguo titular, para, posteriormente realizar el nuevo titular el cambio de SIM. Se pide aportar: A. Política de seguridad que se pasa al solicitante en los cambios de titularidad vía (…). B. Copia de las instrucciones concretas que al respecto disponen los operadores. C. Procedimiento de cambio de titularidad y requisitos pedidos a los solicitantes para ello. QUINTO: Con fecha 29 de enero de 2020, XFERA solicita la ampliación del plazo para aducir alegaciones y aportar documentos u otros elementos de juicio. Con fecha 31 de enero de 2020, por el inspector se acuerda la ampliación de plazo instada. SEXTO: En respuesta a los tres requerimientos formulados, XFERA aportó la siguiente información que fue objeto de análisis por esta Agencia: Respecto al primero de los requerimientos se especifica la información conforme a los apartados requeridos según el orden de numeración: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/102 1.- Información sobre las vías de que disponen los clientes: “(…)” 2.- Información detallada del procedimiento: Procedimiento de solicitud de duplicado SIM para la marca YOIGO CANAL PRESENCIAL (…) CANAL NO PRESENCIAL (…) Procedimiento de solicitud de duplicado SIM para la marca MÁSMÓVIL CANAL PRESENCIAL (…) CANAL NO PRESENCIAL (…) Procedimiento de solicitud de duplicado SIM para la marca LLAMAYA CANAL PRESENCIAL (…) CANAL NO PRESENCIAL (…) Procedimiento de solicitud de duplicado de la tarjeta SIM para la marca LEBARA CANAL PRESENCIAL (…) CANAL NO PRESENCIAL (…) 3.- Información sobre las instrucciones giradas a los operadores: consiste en pasar la política de seguridad tanto para solicitud como activación de SIM. Se verifica que dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/102 política es: (…) Los representantes de XFERA manifiestan que a través de la herramienta ***HERRAMIENTA.1 se ha remitido a todos los agentes internos y externos los nuevos protocolos a seguir en el caso de que se solicite el duplicado de una tarjeta SIM. Aportan los siguientes documentos:  Captura de pantalla de la comunicación remitida a todos los agentes internos y externos sobre la existencia de estas políticas, indicando que esta comunicación se remitió a todos los proveedores externos con la finalidad de que lo transmitieran a sus empleados.  Casos en que debe solicitarse por parte de los operadores telefónicos o a tra- vés de los canales presenciales la aprobación de la política de seguridad de todas las empresas del Grupo MÁSMÓVIL para el duplicado de las Tarjetas SIM.  Procedimiento de MÁSMÓVIL para solicitar un duplicado de Tarjeta SIM.  Procedimiento de YOIGO para solicitar un duplicado de Tarjeta SIM. Todos estos procedimientos tienen en común la necesidad de que el usuario facilite la misma información que se dio a XFERA en el momento de la contratación o de la venta de la Tarjeta SIM prepago. En ningún caso se facilita al cliente información, limitándose los operadores de XFERA a realizar dicha comprobación. Aportan copia de dos recordatorios remitidos sobre la política y procedimientos a seguir. 4.- Información sobre la realización de los controles: Controles y exigencias establecidas sobre la dirección de envío para la remisión de tarjetas SIM por correo. Al margen de las especialidades que ya se han detallado para cada marca, con carácter general se cumplen los siguientes aspectos: (…) Aportan copia de ejemplos de los Albaranes de Entrega. (…) Durante el año 2019 se ha reforzado en diferentes momentos el protocolo a seguir en el caso de Duplicado de SIM en el canal presencial para las distintas marcas. Las actuaciones, tendentes a asegurar los derechos de los clientes, más relevantes durante el año 2019 han sido las siguientes realizadas por cada una de las marcas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/102 (…) Aportan grabación “(…)” como un ejemplo de grabación de solicitud de duplicado de SIM de MÁSMÓVIL para acreditar los controles que se han implantado. 5.- Motivos por los cuales ha sido posible en algunos casos la suplantación de la identidad de clientes: Los casos en que se ha podido producir este tipo de actuaciones pese a los controles establecidos son los siguientes: (…) 6.- Acciones emprendidas por la entidad: Aportan impresión de procedimiento distribuido entre los equipos de Atención al cliente. En él se especifica el seguimiento que se realiza cuando el departamento de fraude detecta una posible suplantación de identidad. (…). En septiembre 2019 se comenzó a diseñar unas nuevas reglas en la herramienta de monitorización de tráfico fraudulento para la detección de posibles duplicados fraudulentos, (…). Durante el mes de noviembre de 2019 la herramienta fue configurada y se estuvo validando el funcionamiento además de realizar una vigilancia activa en horario de oficina. Indican que el 28 de noviembre de 2019 se abrió el servicio en 24x7 en la plataforma Control de Servicio. Aportan el manual de procedimiento actual. En él se aprecian diversas actuaciones, (…). También se analizan los últimos (…), y si no la hay se contacta con el cliente para confirmar. Manifiestan que con la finalidad de demostrar el establecimiento de los controles, aportan tres grabaciones de las conversaciones telefónicas con el cliente durante el proceso de monitorización para verificación:  Llamada de verificación tras alarma: con el resultado de falso positivo.  Llamada de verificación tras alarma: con el resultado positivo y fraude confirmado.  Llamada recibida para restablecimiento de servicio tras bloqueo preventivo, motivado por análisis de alerta sin haber podido verificar con el cliente. También se exponen en el procedimiento algunos rasgos identificativos de un posible cambio de SIM fraudulento, tales como el cambio a formato electrónico de la factura, cambio de cuenta de correo electrónico, eventos previos al cambio de SIM con llamadas entrantes a la línea de lugares sospechosos, y llamadas posteriores al cambio de SIM a servicios de atención al cliente de entidades financieras. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/102 7.- Sobre el número de casos de solicitudes fraudulentas de duplicados de SIM detectados durante todo el año 2019, la entidad ha manifestado: Casos totales (…). (…) Sobre el número de clientes de telefonía móvil total de la entidad han manifestado: POSTPAGO: 4.739.191 Clientes. PREPAGO: 1.758.708 Clientes Respecto a los casos presentados ante la agencia: PARTE RECLAMANTE UNO: Aportan copia denuncia de robo de DNI ante la policía así como copia de DNI (el solicitante del duplicado de SIM aportaría una fotocopia del DNI y no el original ya que declara que le había sido robado). Los representantes de XFERA indican que su departamento de fraude ve indicios de que la denuncia y su documento adjunto (DNI) están falsificados. PARTE RECLAMANTE DOS: Los representantes de XFERA indican que la solicitud fue por canal telefónico, no presencial como el reclamante ha manifestado. Aportan grabación de la llamada. Escuchada la grabación se verifica que el operador pregunta (…). Sobre otros casos no presentados ante la agencia: Aportado el listado requerido se verifica que constan 20 casos (…). Los representantes de XFERA indican que de los 20 casos solo 2 han sido reclamados, manifestando que el grupo cuenta con una herramienta de detección de fraude y la mayoría de los casos de SIM swapping son detectados por esta vía no por reclamación. Se verifica lo siguiente: (…) Se ha requerido también a XFERA para que, de los quince casos de (…), aporte copia de la grabación de la llamada donde el solicitante pase la política de seguridad, (…). Se verifica, realizando las escuchas de las diez llamadas aportadas, que todas se refieren a la activación de la tarjeta, ya en poder del solicitante, que suele mencionar que la ha recibido por mensajería. Se verifica caso a caso lo siguiente: CASO 1. (…). El solicitante pregunta también por núm. cuenta bancaria, menC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/102 ciona que empieza por cuatro determinados dígitos y la operadora contesta afirmativamente. CASO 2. El operador pregunta el nombre y el solicitante lo dice sin apellidos. (…). La operadora menciona que la tarjeta se suele mandar activada. CASO 3. El operador pregunta (…). CASO 4. El operador pregunta (…). CASO 5. El operador pregunta (…). CASO 6. El solicitante dice DNI, nombre y apellidos y número de línea. CASO 7. Pregunta núm. Línea. En ningún momento le pide (…). El operador llama por su nombre de pila al solicitante. El operador le dice el PIN nuevo de la tarjeta sin preguntarlo el solicitante. CASO 8. Pregunta (…). CASO 9. Pregunta (…). El solicitante pregunta por importe de factura de 51,33 euros y dirección postal a la que fue enviada. El operador le indica la dirección de envío de la factura. CASO 10. Pregunta (…). De los cinco casos restantes no se aportan grabaciones. De los diez casos aportados, en tres ocasiones el operador no pasa la política de seguridad completa (…). Todos los casos son de las marcas MÁSMÓVIL y YOIGO. En dos casos los agentes facilitan datos. Se observa que los operadores en ocasiones facilitan datos al interlocutor a pesar de constar en la política de seguridad que no se debe de facilitar datos personales en ningún caso, incluso superada la política. Se observa que los operadores en ocasiones (…), refiriendo el solicitante de la activación que estaba con otro operador activando la SIM y se cortó la llamada, o que le han enviado por mensajería la SIM y le dijeron que tenía que llamar para dar el ICC, u otras circunstancias. En ningún caso el operador dice que la SIM no valga o sea incorrecta al no tener la numeración ICC o no estar registrada para ese cliente o línea, simplemente asocia en el sistema el nuevo número de ICC a la línea del cliente. Se ha preguntado a XFERA por la posibilidad de adquirir SIM sin asociar a ninguna línea o cliente, e información sobre si se permite que un cliente obtenga un SIM sin activar y sin asociar a una línea determinada, que posteriormente pueda activar telefónicamente y asociar a una línea, así como si existe la posibilidad, sin fraude de SIM swapping, de la activación de un SIM que esté en posesión de un cliente, sin haber sido asociado previamente en los sistemas de la entidad a una línea de su titularidad. Los representantes de XFERA han manifestado al respecto que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/102 (…) SÉPTIMO: Con fecha 27 de agosto de 2020, se obtiene información de la Comisión Nacional de los Mercados y la Competencia sobre las líneas de telefonía móvil de voz por tipo de contrato y por segmento siendo los resultados: OPERADOR Grupo MÁSMÓVIL PREPAGO Residencial 1.761.276 Negocios 0 POSPAGO Residencial 5.565.794 Negocios 19.416 OCTAVO: Con fecha 27 de enero de 2021, se obtiene información comercial sobre el volumen de ventas de XFERA durante el año 2019 siendo los resultados de 1.598.873.000 euros. El capital social asciende a 1.000.000 euros. NOVENO: Con fecha 11 de febrero de 2021, la directora de la AEPD acuerda iniciar un procedimiento sancionador contra XFERA, por presunta infracción del artículo 5.1.
3. f)y 5.2 del RGPD, tipificada en el artículo 83.5.
4. a)del RGPD y en el artículo 72.1.
5. a)de la LOPDGDD como muy grave, pudiendo ser sancionada con una multa administrativa de 500.000,00 de euros (quinientos mil euros), sin perjuicio de lo que resultase de la instrucción. DÉCIMO: Con fecha 12 de febrero de 2021, la AEPD, en cumplimiento de lo establecido en el artículo 77.2 del RGPD comunica a las partes RECLAMANTES UNO y DOS la incoación del expediente sancionador PS/00027/2021. UNDÉCIMO: El Acuerdo de Inicio se notifica a XFERA, en fecha 15 de febrero de 2021, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, según certificado que figura en el expediente. DUODÉCIMO: Con fecha 22 de febrero de 2021, XFERA solicita la ampliación del plazo para aducir alegaciones. DÉCIMO TERCERO: Con fecha 1 de marzo de 2021, la instructora del procedimiento acuerda la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El Acuerdo de ampliación se notifica a XFERA en fecha 1 de marzo de 2021. DÉCIMO CUARTO: Con fecha 8 de marzo de 2021, se recibe en esta Agencia, en tiempo y forma, escrito del representante de XFERA en el que aduce alegaciones y tras manifestar lo que a su derecho conviene, termina solicitando el archivo de las actuaciones, sin que sea necesaria la formulación de la Propuesta de Resolución, debido a que los Hechos Probados no constituyen, de modo manifiesto, infracción administrativa; subsidiariamente, se proponga el archivo de las actuaciones, debido a la ausencia de culpabilidad por parte de XFERA; y subsidiariamente, se proponga una sanción más leve que la incluida en el Acuerdo de Inicio. En síntesis aduce que: PREVIA.- ASPECTOS PRELIMINARES. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/102
6. a)NECESARIA SUSPENSIÓN DEL PROCEDIMIENTO POR PREJUDICIALIDAD PENAL. En el marco de la investigación, le fue requerida a XFERA la presentación de un “listado de 20 casos de duplicados de SIM denunciados/reclamados como suplantación de identidad o fraudulentos por los clientes”. Este listado fue tenido en cuenta por la Agencia, tanto a efectos probatorios (a efectos de “verificar el cumplimiento de los procedimientos por parte de los gestores de las solicitudes”, página 35 del Acuerdo) como para determinar la gravedad de la infracción y su consiguiente sanción pecuniaria (se considera que los hechos acontecen “hasta el 12 de abril de 2020 [último de los casos presentados ante la agencia]”, página 45 del Acuerdo). Entre los casos que integran este listado se encuentra el relativo al número de línea ***TELEFONO.5, ocurrido el 14 de enero de 2020 y relacionado con el DNI ***NIF.3. Este caso está siendo investigado por la vía penal, y en concreto, por el Juzgado de Instrucción n.º 9 de Alicante, en el marco de las diligencias previas ÑÑÑÑÑ/ÑÑÑÑ. Se acompaña, como Documento 1, oficio del citado juzgado dirigido a nuestra empresa que acredita este hecho. El modus operandi de este supuesto es idéntico al identificado en el caso de la parte RECLAMANTE UNO: persona que acude a una tienda de Yoigo para solicitar un duplicado de una tarjeta SIM, aportando un DNI supuestamente falsificado para identificarse. Es opinión de XFERA que resulta decisivo para resolver el expediente acreditar si efectivamente los hechos se produjeron de la forma descrita, pues de confirmarse este extremo, la ausencia de culpabilidad de XFERA sería evidente, lo que necesariamente conllevaría el archivo del expediente. Se alega que encontrándose pendiente un procedimiento penal para la averiguación de tales hechos, debe suspenderse cualquier actuación administrativa sancionadora en tanto no se determine la responsabilidad penal dilucidada. Todo ello a la espera de resolución judicial firme, cuyos hechos declarados probados vincularán a esta Agencia respecto del presente procedimiento sancionador, conforme a lo previsto en el artículo 77.4 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). Por lo que se solicita la suspensión del plazo de resolución del expediente hasta que recaiga una sentencia en el indicado procedimiento penal.
7. b)DISCONFORMIDAD CON LA ACUMULACIÓN DE HECHOS EN EL PRESENTE EXPEDIENTE. XFERA manifiesta su disconformidad con la acumulación de los hechos de los que trae causa este expediente en un único procedimiento administrativo, toda vez que considera que no se cumplen los requisitos previstos en el artículo 57 de la LPACAP. Dicho artículo reza lo siguiente: “El órgano administrativo que inicie o tramite un procedimiento, cualquiera que haya sido la forma de su iniciación, podrá disponer, de oficio o a instancia de parte, su acumulación a otros con los que guarde identidad sustancial o íntima conexión, siempre que sea el mismo órgano quien deba tramitar y resolver el procedimiento. Contra el acuerdo de acumulación no procederá recurso alguno”. XFERA considera que los hechos aquí analizados no guardan “identidad sustancial”, porque traen causa de dos situaciones muy diferentes que, se pueden resumir en que, en uno de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/102 los casos, XFERA fue víctima de presuntos delitos de falsedad en documento oficial y usurpación de identidad, toda vez que los empleados de una de sus tiendas fueron engañados por una persona que exhibió una denuncia y un Documento Nacional de Identidad manipulados, lo que incide decisivamente sobre la antijuridicidad y la culpabilidad de XFERA en relación con la infracción que se le atribuye, mientras que, en el otro caso, el engaño se produjo por teléfono, debido a que el solicitante contaba con una tarjeta SIM no activada y recitó correctamente todos los dígitos de su ICCID, por lo que no hubo una desviación del procedimiento establecido en cuanto al cambio de SIM telefónico en ese momento. El artículo 85 de la LPAC reconoce al infractor el derecho a reconocer su responsabilidad y a proceder al pago voluntario de la sanción pecuniaria propuesta, con las reducciones legalmente previstas. Al respecto, XFERA no puede ni debe reconocer su responsabilidad en el primero de los casos expuestos, porque es evidente que carece de toda culpabilidad en relación con la infracción a ella atribuida. Sin embargo, al acumular las actuaciones, se ha conculcado su derecho a reconocer la responsabilidad y proceder al pago voluntario sobre el segundo de los hechos expuestos. Toda vez que contra la acumulación de hechos infractores en un único procedimiento no cabe recurso, se deja constancia de esta disconformidad desde el momento inicial del procedimiento administrativo, así como de la indefensión y conculcación de derechos que causa a XFERA, a efectos de poder utilizar este argumento en la posible impugnación de la resolución que dicte esta digna Agencia para poner fin a su tramitación. PRIMERA.- ¿QUÉ ES EL SIM SWAPPING? La expresión inglesa “SIM swapping” se utiliza en nuestro país para designar un tipo de ciberestafa, que es descrito por la Policía Nacional como sigue: “El método utilizado para la estafa consta de varias fases; en una primera fase, los investigados se apoderaban de las claves de acceso a los portales de banca online de las diferentes entidades mediante técnicas de “phishing”, “malware” o “pharming”. Conseguidas las claves, los autores solicitaban un duplicado de las tarjetas SIM de las diferentes víctimas, aportando a las empresas de telefonía móvil documentación falsa -en algunos casos, incluso de personajes públicos- con intención de recibir los códigos de confirmación de las transferencias fraudulentas que posteriormente realizaban. Obtenidos esos códigos, realizaban las transferencias fraudulentas desde las cuentas de las víctimas a cuentas de terceras personas, que les servían para canalizar el dinero. En otras ocasiones, también solicitaban préstamos preconcedidos o microcréditos a las entidades bancarias, con el fin de obtener mayor beneficio económico. Todo ello se realizaba en un corto periodo de tiempo, entre una y dos horas; tiempo máximo en el que la víctima se percataba de que su teléfono había dejado de funcionar -ya que su tarjeta SIM estaba inactiva-debido a que ya se estaba operando con la nueva tarjeta duplicada” (https://www.policia.es/_es/comunicacion_prensa_detalle.php?ID=8081). Como se ve, la comisión de este delito conlleva la realización de toda una serie de conductas delictivas, que comienzan con el acceso por el delincuente a la información personal y las claves de bancarias de las víctimas, pasan por la usurpación de la identidad de la víctima para lograr una copia de su tarjeta SIM, y terminan con la recepción en un dispositivo móvil de los códigos de confirmación necesarios para autorizar la realización de transferencias. Se trata de una modalidad de estafa que, como recoge C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/102 la memoria del año 2020 de la Fiscalía, referida al año 2019, “está generando justificada preocupación por su incremento en el último periodo anual”( https://www.fiscal.es/memorias/memoria2020/FISCALIA_SITE/recursos/pdf/ capitulo_III/cap_III_8_2.pdf, pág. 1011). XFERA considera importante clarificar que la obtención por los perpetradores del duplicado de la tarjeta SIM es un medio para la comisión del delito, que se produce únicamente tras haber obtenido las claves e información personal de la víctima. Y que la práctica se extendió en el año 2019, a raíz de la implementación precipitada por las entidades financieras de las llamadas “obligaciones de autenticación reforzada” previstas en la Directiva (UE) 2015/2366 (conocida como PSD2), que entraba en vigor el 14 de septiembre de dicho año. Esto fue así dado que el método elegido por los bancos, en contra del criterio de organismos públicos de ciberseguridad como Incibe, fue la llamada “autenticación en dos pasos” mediante el envío de claves por SMS; una técnica claramente vulnerable, como se ha demostrado en la práctica.
8. a)LAS TARJETAS SIM SON DUPLICADAS MEDIANTE FALSIFICACIONES. Debe partirse de la base de que el ciberdelincuente ya tenía en su poder los datos personales del afectado necesarios para duplicar la tarjeta SIM y así lo reconoce el propio Acuerdo (página 31): “Hay que señalar que para que los suplantadores puedan efectuar operaciones bancarias fraudulentas, además de duplicar la tarjeta SIM de las personas afectadas, deben tener en su poder otros datos, en concreto los bancos con los que operan estas personas y las credenciales de acceso a la banca on-line, ya que el acceso a los mensajes SMS por sí solo no permite la ejecución de operaciones bancarias”. De este modo, para que un estafador pueda obtener un duplicado de la SIM, debe generar elementos suficientes de presunción de identidad del afectado, aportando datos como una copia de su DNI, su propio teléfono o los datos identificativos relativos a la víctima que superen las medidas de control implantadas para este proceso. Tal es así que, de no disponer previamente de estos datos, el llamado “procedimiento de seguridad” bloquearía cualquier intento de acceso. En definitiva, la confidencialidad de los datos no se ha comprometido por ninguna causa imputable a XFERA, pues ya estaba previamente comprometida.
9. b)LA AUTENTICACIÓN EN DOS PASOS POR SMS ES INTRÍNSECAMENTE INSEGURA. Desde el año 2017, el Instituto Nacional de Estándares y Tecnología de los Estados Unidos (NIST) considera que el uso de las redes telefónicas públicas conmutadas para el envío de códigos de autenticación (por ejemplo, a través de SMS) debe ser restringido (ver al respecto: https://pages.nist.gov/800-63-3/sp800-63b.html#restricted). Por las mismas fechas, el Instituto Nacional de Ciberseguridad de España (Incibe) publicaba en su blog, al hablar de la autenticación de doble factor: “Los mecanismos de dos pasos son más vulnerables y están desaconsejados, al poderse interceptar la comunicación del segundo factor pues suele ser algo que nos envían, generalmente por SMS” (https://www.incibe.es/protege-tu-empresa/blog/dos-mejor-uno-doble-factoracceder-servicios-criticos). Sin embargo, y a pesar de estas alertas, las entidades financieras vienen considerando que el envío de un código de autenticación por SMS cumple con los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/102 criterios establecidos en la Directiva PSD2 para ser considerado un mecanismo de “autenticación reforzada”. Así, comenzaron hace años por ofrecer a sus clientes la posibilidad de utilizar este método de identificación, para más recientemente imponerlo a toda su clientela. La entrada en vigor de estas obligaciones de autenticación reforzada no se produjo hasta el 14 de septiembre de 2019; pero muchas entidades financieras se adelantaron a dicha fecha. Es en este contexto en el que se populariza el delito conocido como “SIM swapping”. Con la adaptación a PSD2, los delincuentes necesitaban también acceder a los SMS que los bancos enviaban a los usuarios, comenzando entonces a suplantar la identidad de dichas víctimas para tratar de obtener de las operadoras duplicados de sus tarjetas SIM. Empresas como XFERA se encontraron de golpe con una nueva operativa delictiva que hasta el momento, simplemente, desconocían; y es, precisamente, en ese contexto temporal en el que se produjeron los hechos denunciados por los reclamantes, toda vez que la denuncia de la parte RECLAMANTE DOS se refiere a hechos ocurridos el 25 de septiembre de 2019, y la presentada por la parte RECLAMANTE DOS versa sobre hechos acaecidos el 10 de julio de 2019. SEGUNDA.- XFERA GESTIONÓ ADECUADAMENTE EL RIESGO EN RELACIÓN CON EL SIM SWAPPING. XFERA alega que los hechos de los que trae causa este procedimiento deben dividirse en dos períodos claramente diferenciados: el anterior al conocimiento por parte de XFERA de la operativa criminal conocida como “SIM swapping”, y el posterior a la identificación de dicho riesgo. La realidad es que XFERA no tiene conocimiento efectivo de esta problemática hasta el 26 de septiembre de 2019, cuando recibe un requerimiento de la Subdirección General de Atención al Usuario de Telecomunicaciones, de la Secretaría de Estado para el Avance Digital (SEAD), que comienza como sigue (se acompaña copia del citado requerimiento como Documento 2): “En esta Subdirección General se han recibido consultas y reclamaciones acerca de un fraude con la siguiente operativa: con carácter previo se obtienen ciertos datos personales de un usuario (como el DNI, o número de cuenta corriente). Partiendo de esos datos, quien tiene la intención de cometer el fraude solicita al operador, con los datos personales previamente obtenidos, un duplicado de la tarjeta SIM. A partir de ahí, una vez conseguido, se pueden realizar transacciones financieras accediendo a los servicios financieros por Internet, dado que estos incluyen como mecanismo de seguridad, la consecución de una clave que es enviada al teléfono móvil (a la que se accedería mediante el duplicado de la tarjeta SIM)”. Ante estas noticias, XFEA activó un procedimiento de revisión de sus medidas de seguridad, en línea con las obligaciones de gestión de riesgos y responsabilidad activa establecidas por el RGPD. De una parte, se reforzaron los procedimientos de identificación, recogidos en las páginas 16 y siguientes del Acuerdo; y de otra, se activaron dos capas de seguridad adicionales, que comenzaron a aplicarse el 28 de noviembre de 2019, pero a pesar de que son mencionadas en la página 24 del propio Acuerdo, todo apunta a que su eficacia y el esfuerzo realizado por la empresa para su desarrollo no han sido tenidos suficientemente en cuenta por esta Agencia. Para acreditar que la revisión de las medidas de seguridad se produjo, efectivamente, tras tener conocimiento de esta problemática, se aporta el documento de análisis de riesgos en relación con el tratamiento de identificación de usuarios de XFERA, en sus versiones anterior y posterior a la detección de esta operativa delictiva, como DocuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/102 mentos 3 y 4, respectivamente. 2.1. CAPAS DE SEGURIDAD IMPLEMENTADAS POR XFERA. El sistema de seguridad por capas implementado por XFERA desde noviembre de 2019 sigue el llamado “modelo de queso suizo” de gestión de riesgos. En este modelo, las barreras de una organización contra las amenazas se modelan en capas, representadas como lonchas de queso. Se parte de la base de que ninguna medida de seguridad es perfecta, por lo que las debilidades inherentes a cada capa se representan como agujeros en las lonchas de queso. Si las medidas implementadas en cada una de las capas son diferentes, los agujeros variarán de una capa a otra. Para que se produzca la brecha de seguridad, los agujeros de todas las lonchas deberían alinearse, de manera que un ataque las pudiese atravesar en su totalidad; pero la probabilidad de que esto ocurra, si el sistema está bien planteado, es extraordinariamente baja. La primera de las capas de seguridad implementadas por XFERA, y la única existente hasta noviembre de 2019 en relación con los duplicados de tarjetas SIM, es la llamada “política de seguridad”, que sirve para validar la identidad de los solicitantes. La Agencia aprecia en ella “posibles vulnerabilidades” (página 35 del Acuerdo), derivadas tanto del error humano como por la habilidad de los delincuentes para suplantar la identidad de las víctimas. Sin embargo, no evalúa las dos capas de seguridad adicionales implementadas por XFERA, lo que da lugar a un análisis incompleto de los hechos, hasta el punto de calificarla injustamente como “negligente”. La segunda de las capas implementadas se basa en el llamado principio de “protección de datos desde el diseño”, y consiste en una herramienta informática denominada “***HERRAMIENTA.2”. (…). En caso de que una solicitud sea detectada como potencialmente fraudulenta, el sistema lanza una alarma, a efectos de que un técnico pueda revisar si el caso es efectivamente fraudulento y aplicar el protocolo pertinente. El sistema se activa en función de factores como los siguientes: (…) Este sistema se aplica aun habiéndose rebasado la primera capa de seguridad por parte de los delincuentes solicitantes (esto es, una vez superadas las políticas de identificación establecidas en tiendas y en el servicio de atención al cliente), y tiene una elevadísima eficacia. Las alertas son monitorizadas por un equipo técnico, en modo 24x7 y con SLA establecido de 5 minutos. La tercera capa de seguridad, es la revisión aleatoria de aquellas solicitudes de duplicado de tarjeta no detectadas como sospechosas por el sistema “***HERRAMIENTA.2”. Esta revisión se realiza por las noches, por parte del departamento de control de servicio, y tiene en cuenta factores como los siguientes: (…) La principal acción, en caso de sospecha, es el inmediato bloqueo en el envío y recepción de mensajes SMS; además de tratar de contactar con el titular de la línea para verificar que, efectivamente, ha solicitado un duplicado de su tarjeta SIM (se acompaña la política en aplicación como Documento 5). En cuanto a la eficacia de las medidas, los números hablan por sí solos, y demuestran su rotundo éxito. Estas son las estadísticas de 2020: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/102 Concepto Cantidad Porcentaje Duplicados de tarjeta SIM realizados ***CANTIDAD.1 ***PORCENTAJE.1 Intentos de activación potencialmente fraudulentos detectados ***CANTIDAD.2 ***PORCENTAJE.2 Intentos fraudulentos que superaron la política de seguridad (1ª capa) ***CANTIDAD.3 ***PORCENTAJE.3 Intentos fraudulentos que superaron la ***HERRAMIENTA.2 (2ª capa) ***CANTIDAD.4 ***PORCENTAJE.4 Intentos fraudulentos que superaron la revisión aleatoria (3ª capa) ***CANTIDAD.5 ***PORCENTAJE.5 Las conclusiones que se pueden extraer de esta estadística son las siguientes:  Si bien la cantidad total de intentos fraudulentos de duplicación de tarjetas SIM es elevada, supone un porcentaje muy pequeño del inmenso volumen de solicitudes legítimas que recibe anualmente en XFERA.  La política de seguridad aplicada por la compañía, en líneas generales, es muy eficaz: (…). La eficacia de esta medida fue, por tanto, del ***PORCENTAJE.6.  El sistema ***HERRAMIENTA.2 también ha demostrado su eficacia: (…) por este segundo filtro. Su concreta eficacia fue, por tanto, del ***PORCENTAJE.7.  En cuanto a las revisiones aleatorias realizadas por parte del departamento de control de servicio, (…), con una eficacia del ***PORCENTAJE.8. Como se aprecia, y en resumen, la implementación de la estrategia de queso suizo funcionó con una eficacia acumulada del ***PORCENTAJE.9; y supuso una reducción efectiva del ***PORCENTAJE.10 en los casos en los que los delincuentes lograron sus ilícitos objetivos. Evidentemente, el objetivo de XFERA es detectar el 100% de los intentos de fraude, y en esa línea seguimos trabajando... pero no puede negarse que los resultados obtenidos son verdaderamente espectaculares, y que XFERA ha volcado todos sus esfuerzos en hacer esta cifra incluso menor, con cada una de las medidas que ha venido implantando. Se aporta, como Documento 6, una tabla con los ***CANTIDAD.3 casos que superaron la primera barrera. 2.2) RELACIÓN DE ESTAS MEDIDAS Y LOS DOS CASOS DE LOS QUE TRAE CAUSA EL EXPEDIENTE. El modelo de seguridad “queso suizo” se implementó el 28 de noviembre de 2019, tras haber tomado conocimiento XFERA de la existencia de la práctica ilícita conocida como SIM swapping. Desgraciadamente, los hechos denunciados por los reclamantes ocurrieron antes de la aplicación de estas medidas, y antes incluso de la recepción por XFERA del requerimiento de la SEAD; y si pudieron materializarse es porque XFERA desconocía esta operativa delictiva y, por tanto, no había podido tenerla en consideración a la hora de evaluar sus riesgos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/102 establecer medidas de seguridad acordes a los mismos. En concreto, las fechas en los que se tramitaron los duplicados de tarjeta SIM fueron los siguientes:  En el caso de la parte RECLAMANTE UNO, el 25 de septiembre de 2019;  En el caso de la parte RECLAMANTE DOS, el 10 de julio de 2019. Sin embargo, se debe destacar que las circunstancias que rodean a cada uno de estos casos son bien distintas:  En el caso de la parte RECLAMANTE UNO, los delincuentes lograron engañar al personal de una tienda de la marca Yoigo mediante la entrega de documentación falsa, y en concreto, de un DNI y una denuncia de hurto manipulados mediante programas informáticos de tratamiento de imágenes. En ese sentido, la manipulación realizada recaía sobre elementos esenciales de los documentos facilitados al personal de la tienda, como son el nombre y apellidos del titular del DNI y del denunciante; y tuvo suficiente entidad como para engañar a estos trabajadores. Resulta, al respecto, irrelevante que el departamento de fraude de XFERA apreciase con posterioridad “indicios de que ambos habían sido falsificados” (página 40 del Acuerdo), porque no es exigible a los empleados de una tienda el conocimiento sobre falsedades documentales que concurre en un experto en detección de fraude: antes al contrario, el criterio a emplear es la idoneidad del engaño para inducir a error a una persona de capacidad media. Se resalta que la manipulación de dichos documentos no son burdas manipulaciones poco profesionales, sino manipulaciones realizadas con un grado de detalle más que suficiente para que una persona diligente y cuidadosa pueda tomar dichos documentos como verdaderos. En la medida en que se trata de documentos idóneos para producir un engaño, y que en la práctica lograron su objetivo, XFERA ha sido víctima de un delito de falsedad en documento oficial, previsto en el artículo 392 del Código Penal. Nótese que el bien jurídico protegido, en el caso de este delito, es la legítima confianza de los ciudadanos e instituciones fundada en la adecuación de los documentos públicos a la realidad: considerar a XFERA responsable supondría obviar el principio de culpabilidad, y generaría una evidente indefensión. De ahí que no quepa derivar responsabilidad administrativa de este supuesto.  El caso de la parte RECLAMANTE DOS, en cambio, es algo más dudoso. Todo indica que el suplantador se hizo con una tarjeta SIM “en blanco”, probablemente tras obtenerla ilícitamente (…). Así se desprende del contenido de la llamada: basta escuchar la conversación para comprobar que el solicitante contaba con el ICCID completo de la tarjeta SIM, que únicamente figura impreso en el dorso de la propia tarjeta. Conviene destacar que el caso se produjo el 10 de julio de 2019, y fue el primero de esta naturaleza que afectó a XFERA: nunca antes se había detectado un duplicado de SIM en el cual el solicitante se hubiese agenciado previa e ilícitamente de una tarjeta no activada de esta marca. Có- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/102 mo la obtuvo el delincuente, es un completo misterio para XFERA, pero probablemente fue sustraída a una tienda, o a un instalador oficial. Nótese que, en aquel momento, la empresa no efectuaba seguimientos de sus tarjetas no activadas, porque su coste económico es bajo; porque son soportes “en blanco”, que no contienen ningún tipo de información personal; y porque hasta entonces no se habían detectado fraudes similares al descrito en este procedimiento. No se había percibido, en definitiva, un riesgo relacionado con este tipo de elementos. En la práctica, en aquel entonces, solo había un método legal para obtener una SIM no activada: haberla recibido a través del servicio “***SERVICIO.1”,, tras haberla solicitado por teléfono. La forma de entrega, en sí misma, constituye una medida de seguridad, pues exige la exhibición del documento de identidad en vigor, coincidente con el número del documento de identidad del titular de la línea; y por ese motivo, hasta entonces los agentes recibían únicamente llamadas genuinas: de ahí lo laxo del trámite telefónico de activación. Fue a raíz de que se comenzasen a recibir solicitudes de este tipo cuando se modificó el procedimiento de seguridad, ampliando la necesidad de identificar adecuadamente al solicitante todo tipo de casos. Sin embargo, prever esta operativa delictiva en el momento en que se produjo esta incidencia era, sencillamente imposible para XFERA. No puede esta Agencia pretender imponer obligaciones de resultado, excluyendo de la ecuación el necesario componente subjetivo y la clara diligencia mostrada por XFERA, cuando únicamente ha sufrido un puñado de casos mientras cuenta con una base de clientes de más de 7 millones de líneas móviles. Dicho lo anterior, con el sistema implementado a finales de 2019, con total seguridad el segundo de estos dos casos no se habría producido, y muy probablemente, tampoco el primero. De ahí que se entienda que la problemática de seguridad ha sido ya corregida. 2.3) RELACIÓN ENTRE ESTAS MEDIDAS Y LOS 20 CASOS ADICIONALES, APORTADOS A LA AEPD. En su requerimiento de 18 de junio de 2020, la AEPD solicitó a XFERA que le aportase un “listado de 20 casos de duplicados de SIM denunciados/reclamados como suplantación de identidad o fraudulentos por los clientes”. Cumpliendo con el requerimiento, remitimos a la Agencia el listado de solicitado, acompañada de una explicación de mayúscula relevancia, que se obvia en el procedimiento. La transcribimos nuevamente, para que pueda ser tenida en cuenta por la Sra. Instructora: “Con carácter previo consideramos necesario aclarar la siguiente información. Aportamos lista con los 20 primeros casos de solicitud de duplicado de SIM de forma fraudulenta confirmados. XFERA cuenta con una herramienta de detección de fraude que tiene capacidad para detectar, entre otras cosas, (…), con la finalidad de evitar el fraude .Esta alerta, se traslada al servicio de atención al cliente para que se pongan en contacto con el cliente y hagan las comprobaciones necesarias, abriendo un ticket de Reclamación en ***APLICACION.1. La gran mayoría de las reclamaciones por SIM Swapping son iniciadas por esta vía y no a través de una reclamación o denuncia realizada por el cliente, de hecho, como puede comprobarse en esta lista, solo dos de los casos que reportamos han sido reclamados o denunciados directamente por el cliente”. Como se puede apreciar, el escrito es claro al informar a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/102 Agencia de que se le estaban facilitando los veinte primeros casos detectados por XFERA, pero que únicamente dos de ellos se correspondían con casos denunciados o reclamados por los clientes, porque los dieciocho restantes fueron detectados de forma casi inmediata por la herramienta de detección de fraude ***HERRAMIENTA.2, que como hemos expuesto anteriormente, fue desarrollada por nuestra empresa, e implementada el 28 de noviembre de 2019. Se reproduce, a continuación, una tabla donde figuran nuevamente las veinte reclamaciones aportadas en su momento a esta digna Agencia, pero incorporando a las mismas la fecha y hora en que se recibió la solicitud ilícita y el momento de bloqueo de la tarjeta SIM. Es digno de mención que tres de los números están repetidos, porque la operativa fraudulenta fue interceptada en dos ocasiones por el sistema de seguridad: MSISDN MARCA CANAL Solicitud Bloqueo ***TELEFONO.4 MásMóvil Telefónico 05/01/2020 22:12 05/01/2020 22:24 ***TELEFONO.5 Yoigo Tienda 14/01/2020 20:18 15/01/2020 21:43 ***TELEFONO.6 MásMovil Telefónico 15/01/2020 12:43 15/01/2020 13:20 ***TELEFONO.7 MásMóvil Telefónico 20/01/2020 21:01 20/01/2020 22:51 ***TELEFONO.8 Yoigo Telefónico 25/01/2020 16:48 25/01/2020 17:50 ***TELEFONO.9 MásMóvil Telefónico 27/01/2020 14:20 27/01/2020 17:50 ***TELEFONO.10 Yoigo Tienda 27/01/2020 17:07 27/01/2020 17:28 ***TELEFONO.10 Yoigo Tienda 27/01/2020 19:56 27/01/2020 21:50 ***TELEFONO.11 Yoigo Tienda 28/01/2020 12:29 28/01/2020 12:59 ***TELEFONO.12 Yoigo Telefónico 04/02/2020 16:08 04/02/2020 16:26 ***TELEFONO.13 Yoigo Telefónico 25/02/2020 23:05 25/02/2020 23:12 ***TELEFONO.14 Yoigo Telefónico 27/02/2020 18:31 27/02/2020 19:19 ***TELEFONO.15 Yoigo Telefónico 29/02/2020 21:38 29/02/2020 21:51 ***TELEFONO.15 Yoigo Telefónico 03/03/2020 7:37 03/03/2020 7:48 ***TELEFONO.16 Yoigo Telefónico 05/03/2020 17:07 05/03/2020 22:23 ***TELEFONO.12 Yoigo Telefónico 05/03/2020 21:07 05/03/2020 21:37 ***TELEFONO.17 Yoigo Tienda 11/03/2020 11/03/2020 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/102 13:59 14:42 ***TELEFONO.18 Yoigo Telefónico 13/03/2020 12:51 13/03/2020 13:24 ***TELEFONO.19 MásMóvil Telefónico 03/04/2020 15:11 03/04/2020 15:22 ***TELEFONO.20 MásMóvil Telefónico 04/04/2020 13:45 04/04/2020 14:04 ***TELEFONO.21 Yoigo Tienda 08/04/2020 21:03 08/04/2020 22:04 ***TELEFONO.22 Yoigo Telefónico 12/04/2020 15:39 12/04/2020 15:54 Como se puede apreciar, la eficacia de la segunda capa de seguridad es muy elevada (superior al 90%, según nuestros cálculos), y se resume a continuación:  En los siguientes casos (un total de 10 sobre los 22 listados anteriormente), el sistema ***HERRAMIENTA.2 detectó el posible fraude y el personal de XFERA logró contactar con el titular de la línea, bloqueando la tarjeta duplicada antes de que los delincuentes lograsen su objetivo, hasta donde sabemos: ***TELEFONO.4, ***TELEFONO.8, ***TELEFONO.10 (en dos ocasiones), ***TELEFONO.11, ***TELEFONO.14, ***TELEFONO.18, ***TELEFONO.19, ***TELEFONO.21, ***TELEFONO.22. El tiempo medio de bloqueo, en los casos listados, fue de 40 minutos; y su mediana, de 31 minutos.  En los siguientes casos (un total de 9 sobre los 22 listados anteriormente), el sistema ***HERRAMIENTA.2 detectó el posible fraude y, a pesar de que el personal de XFERA no consiguió contactar con el titular de la línea, se bloqueó la posibilidad de recibir SMS en la tarjeta duplicada antes de que los delincuentes lograsen su objetivo, hasta donde sabemos: ***TELEFONO.6, ***TELEFONO.10, ***TELEFONO.12 (en dos ocasiones), ***TELEFONO.13, ***TELEFONO.15 (en dos ocasiones), ***TELEFONO.17, ***TELEFONO.20. El tiempo promedio de bloqueo, en los casos listados, fue de 43 minutos; y su mediana, de 19 minutos.  En el caso del número ***TELEFONO.16 (1 sobre 22), el sistema de ***HERRAMIENTA.2 no detectó el posible fraude, pero sí lo hizo la auditoría de control de servicio de XFERA (tercera capa de seguridad), bloqueando la tarjeta duplicada. Resultó ser un “falso positivo”: el cliente contactó con la empresa días más tarde, para solicitar su desbloqueo.  En los siguientes casos (un total de 2 sobre 22), el sistema ***HERRAMIENTA.2 no detectó el fraude, y fueron los propios clientes los que contactaron con XFERA, tras detectar que su línea no funcionaba correctamente: ***TELEFONO.5, ***TELEFONO.7. De estos dos casos, es importante señalar que, en lo tocante al número de teléfono ***TELEFONO.5, la suplantación de identidad se produjo en una tienda de Yoigo, y que el solicitante exhibió un DNI falso, cuya copia fue aportada al expediente. Se dan por reproducidas, al respecto, las alegaciones planteadas en relación con el caso de la parte RECLA- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/102 MANTE UNO, en lo relativo a ausencia de antijuridicidad y culpabilidad en la conducta de XFERA. Esta significativa mejora en los procedimientos no ha sido analizada por la Agencia Española de Protección de Datos en su Acuerdo de Inicio, a pesar de que la existencia del sistema de detección de fraude (…). Es importante destacar que el último caso, de entre los solicitados por la Agencia, en que el solicitante logró superar las dos capas de seguridad se produjo el 20 de enero de 2020. Al respecto:  Es evidente que la “mejora” que se reclama en el Acuerdo (página 37) ya se ha producido, y la seguridad sigue incrementándose cada día que pasa, toda vez que se utilizan los errores para calibrar proactivamente el sistema ***HERRAMIENTA.2, y hacerlo cada vez más eficaz; y  Es incorrecto el período de duración de la supuesta infracción recogido en la página 45 del Acuerdo, toda vez que el último de los casos aportados en los que se corroboró fraude se produjo el 20 de enero de 2020, y no el 12 de abril, como indica la resolución. 2.4) INCONGRUENCIA DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS. Llama la atención la incongruencia de la sanción propuesta en este expediente, en relación con otras resoluciones sobre casos análogos, en los que el esfuerzo de seguridad realizado por XFERA sí fue tenido en consideración por la Agencia y llevó al archivo de las actuaciones. Sirva como ejemplo la reciente resolución de fecha 15 de febrero de 2021, en el expediente E/09594/2020, relativa a una supuesta “ausencia de medidas de seguridad con la consecuencia de emitirse un duplicado de tarjeta SIM sin consentimiento del reclamante”, que concluyó con la inadmisión de la reclamación en base a la siguiente fundamentación: “La tramitación de la reclamación conforme a lo dispuesto en el artículo 65.4 de la LOPDGDD, ha dado lugar a la solución de las cuestiones planteadas, sin necesidad de depurar responsabilidades administrativas en el marco de un procedimiento sancionador. En este sentido, conviene hacer mención al carácter excepcional del procedimiento sancionador, del que deriva que -siempre que sea posible-deberá optarse por la prevalencia de mecanismos alternativos en el caso de que tengan amparo en la normativa vigente, tal y como ocurre en este caso. En síntesis, deben traerse a colación los principios aplicables al procedimiento sancionador. La Agencia Española de Protección de Datos ejerce la potestad sancionadora de oficio. Por tanto, es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso, a la vista de las actuaciones realizadas, por lo que procede el archivo de la reclamación presentada contra XFERA MÓVILES, S.A.” No parece razonable que la Agencia entienda, por una parte, que las cuestiones planteadas en relación con las medidas de seguridad estén resueltas y que no procede abrir expediente, dado el carácter excepcional del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/102 sancionador; y por otra, que idénticas medidas sean insuficientes y deba sancionarse a XFERA. Máxime, cuando ambas resoluciones fueron notificadas el mismo día. 2.5) LAS CINCO LLAMADAS EXTRAVIADAS HAN SIDO LOCALIZADAS, Y SE APORTAN AHORA AL EXPEDIENTE. Afirma el Acuerdo, en su página 40, que “en cinco de los casos [adicionales aportados por Masmóvil] ni siquiera se han localizado las llamadas amparándose en posibles errores en la codificación (nomenclatura) de las mismas”. Los llamados “errores en la codificación” se producen cuando la llamada es realizada desde una línea diferente a aquella sobre la que versa la consulta, y el operador no hace constar esta circunstancia manualmente en los sistemas de atención al cliente de la empresa. No obstante, las llamadas en cuestión permanecen almacenadas en los servidores, y aunque localizarlas conlleva un arduo proceso de búsqueda, se ha logrado recuperarlas: se aportan ahora al expediente, en calidad de prueba adicional, como Documentos 7, 8, 9, 10 y 11. Se resume su contenido: CASO 1:Se corresponde con la línea (MSISDN) ***TELEFONO.4, y se produjo el 5 de enero de 2020. El operador pregunta por (…). El solicitante responde correctamente a las dos primeras preguntas, pero menciona que solo se acuerda de memoria de los tres últimos dígitos del número de línea. CASO 2:Se corresponde con la línea ***TELEFONO.7, y se produjo el 20 de enero de 2020. El operador pregunta por (…). El solicitante responde correctamente a las tres preguntas. CASO 3:Se corresponde con la línea ***TELEFONO.10, y se produjo el 27 de enero de 2020. La operadora pregunta por (…). El solicitante responde correctamente a las tres preguntas. La operadora duda, porque el envío del duplicado de la tarjeta no consta en el sistema y solicita instrucciones a su coordinador. Este le confirma que, si el solicitante supera la política de seguridad, se puede activar la tarjeta. CASO 4:Se corresponde con la línea ***TELEFONO.13, y se produjo el 25 de febrero de 2020. El solicitante facilita el DNI y los tres últimos dígitos del número de línea. La operadora duda, porque el envío del duplicado de la tarjeta no consta en el sistema. Tras ser preguntado, el solicitante facilita también el nombre completo del titular. CASO 5:Se corresponde con la línea ***TELEFONO.19, y se produjo el 3 de abril de 2020. El operador pregunta por (…). El solicitante responde correctamente a las tres preguntas. Como se puede apreciar, los solicitantes conocían, en todos los casos, los datos de DNI y nombre y apellidos de los titulares de la línea, superando así la política de seguridad inicial (primera capa) de la empresa. Ahora bien, de estos cinco supuestos, cuatro fueron interceptados por las capas adicionales de seguridad, y principalmente, por la ***HERRAMIENTA.2, lo que sin duda da una idea muy aproximada del foco puesto por XFERA en implantar medidas efectivas y del éxito de las mismas para reducir a la mínima expresión cualquier tipo de suplantación en el proceso de duplicado de SIM. TERCERA.- LA ACTIVACIÓN DE UN DUPLICADO DE UNA TARJETA SIM NO ES C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/102 UN “TRATAMIENTO”. Se afirma en el Acuerdo (página 32), que “con claridad meridiana resulta que los datos que se tratan para emitir un duplicado de tarjeta SIM son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos”. Sin embargo, esa “claridad meridiana” que afirma la Agencia debería aplicarse, únicamente, al proceso de verificación de identidad previo a la activación del duplicado de tarjeta SIM: la propia activación no puede ni deber ser considerada un “tratamiento”, y de hecho, el Acuerdo no justifica en ningún momento que así lo sea. Una tarjeta SIM es un mero soporte, un dispositivo cifrado destinado a almacenar en su interior un código denominado IMSI (International Mobile Subscriber Identity) y una clave criptográfica asociada. Como explica la Comisión Nacional de los Mercados y la Competencia en su blog, el IMSI es un código de quince dígitos, consistente en lo siguiente: “Los primeros tres dígitos definen el país y se llaman MCC (Mobile Country Code) o IPM (Indicativo de País para el servicio Móvil). El MCC/IPM de cada país lo asigna la ITU y el de España es el número 214. Le sigue el número que indica el operador, que en España lo asigna la CMT. Es el MNC (Mobile Network Code) o IRM (Indicativo de la Red Móvil), de hasta tres cifras (en España es de dos). Los dígitos restantes son el MSIN (Mobile Subscription Identification Number) y se reservan para que el operador los asigne a cada una de las líneas de sus clientes.” Un técnico del XFERA, internamente, asigna ese IMSI genérico a uno o varios MSISDN (el número de línea del usuario); pero