PS-00097-2024

1/19  Expediente N.º: EXP202311911 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 12 de julio de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra DIGI SPAIN TELECOM, S.L. con NIF B84919760 (en adelante, la parte reclamada o DIGI). Los motivos en que basa la reclamación son los siguientes: - Que el pasado 6 de abril de 2021 fue víctima de una suplantación de identidad, realizándose una transferencia a través de su cuenta bancaria que no fue autorizada. - Que es titular de la línea telefónica ***TELÉFONO.1 con la parte reclamada. - Que a las 14: 21 horas se realizó el duplicado de su tarjeta, permaneciendo bloqueada hasta las 17:30 horas en la que fue desbloqueada desde la tienda DIGI de ***LOCALIDAD.1. - Que la contratación de ese duplicado de tarjeta no fue solicitada por su parte, ni tampoco recibió ningún tipo de comunicación previa por SMS, correo electrónico o llamada telefónica. Afirma que tampoco utilizo ningún tipo de sistema de firma electrónica para verificar su identidad pese a venir obligado. - Que DIGI no verificó la identidad de la persona que realizó el duplicado de su tarjeta SIM infringiendo el artículo 6.1 del RGPD. Y, aporta la siguiente documentación relevante: - Atestado de denuncia ante la Guardia Civil-Puesto de ***LOCALIDAD.1, donde consta las siguientes manifestaciones del reclamante: “(…). - (…).” - Justificante de la transferencia no autorizada por el reclamante por importe de (...) euros de fecha 6 de abril de 2021 y de la entidad IBERCAJA directo. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 11 de septiembre de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 11 de octubre de 2023 se recibe en esta Agencia escrito de respuesta indicando: << que la única vía para iniciar el procedimiento de solicitud de un duplicado de la tarjeta SIM que DIGI ponía a disposición de sus clientes personas físicas en el momento de los hechos era exclusivamente la personación ante uno de nuestros distribuidores (dealers) e identificarse como titular de la línea mediante la presentación de su documento de identidad original. (…). (…). (…). (…). (…). (…). (…). (…). (…). (…). (…). TERCERO: Con fecha 12 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad DIGI SPAIN TELECOM, S.L. es una gran empresa constituida en el año 2006, y con un volumen de negocios de 496.444.000 euros en el año 2022. QUINTO: Con fecha 19 de marzo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio, el día 25 de marzo de 2024, conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones el día 10 de abril de 2024 en el que, en síntesis, se aduce que se reitera en las manifestaciones previamente presentadas en el traslado, señalando primeramente de manera cronológica como ocurrieron los hechos, indicando el protocolo de seguridad y las medidas adoptadas por estos hechos, manifestando que DIGI no ha puesto a disposición de los presuntos delincuentes información personal del reclamante distinta de la que ya tenían aquellos con anterioridad, tras haberlos obtenido a través del correo electrónico. Afirma que, en consecuencia, no resulta posible asociar a DIGI la realización de un tratamiento no legitimado de datos personales, dado que su actuación se reduce al cumplimiento de sus procesos y obligaciones. Es decir, durante el proceso de solicitud y entrega del duplicado se produce un tratamiento de los datos personales que se facilitan a DIGI con el objeto de que este verifique la identidad del interlocutor de forma presencial. Además, DIGI manifiesta que queda acreditado que la suplantación de identidad y el acceso a los datos del reclamante de forma ilegitima se produce de forma previa a tener contacto con DIGI, pues el supuesto suplantador tenía en su poder los datos personales del reclamante. Por otra parte, señala que la AEPD impone inequívocamente a DIGI una responsabilidad objetiva, en la cual, independientemente de la diligencia y medidas desplegadas, se declara la culpabilidad de la entidad. Sostiene que la AEPD parece confundir el concepto de responsabilidad proactiva con la obligación de resultado que impone la responsabilidad objetiva. A su juicio, en el presente supuesto, se evidencia la existencia de un estricto control, previo y posterior a la solicitud del duplicado, el establecimiento de medidas previas y a posteriori, así como la existencia de medidas encaminadas a evitar de forma previa estas prácticas. Es por ello que la parte reclamada considera que el acuerdo de inicio no es ajustado a derecho, pues impone a DIGI una obligación de resultado, basándose únicamente en el resultado lesivo que se produce por la actividad fraudulenta de un tercero, sin atender a la diligencia utilizada y sin considerar el despliegue de medidas técnicamente adecuadas e implantadas. Además, manifiesta una falta de proporcionalidad en la imposición de la sanción dado que, a su juicio, ha demostrado haber actuado con la diligencia debida en la identificación y detección del fraude, actuando de forma inmediata para limitar y mitigar el perjuicio ocasionado al Reclamante. Considera que la sanción incluida en el acuerdo de inicio resulta, en todo caso, desproporcionada, atendiendo a las circunstancias y contenido de las supuestas infracciones, que niega rotundamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 También, manifiesta que no se dan ninguna de las circunstancias señaladas como agravantes en el acuerdo de inicio. Por otra parte, señala que según lo establecido en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, concurren en el presente las siguientes circunstancias atenuantes que no han sido consideradas en la adecuada graduación de la sanción: - Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (art. 83.2 c); - En ningún momento se han tratado categorías especiales de datos (Art. 83.2

1. g)RGPD). - El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos: ha quedado acreditado que se ha contestado en tiempo y forma a todos los requerimientos de información solicitados por esta Agencia. Es más, DIGI aportó, en el primer requerimiento de información, de forma previa a que fuese requerido por la AEPD, toda la documentación contractual y acreditativa relativa al presente supuesto de hecho, por propia voluntad, manifestando de forma expresa su buena fe e intención de colaboración con la autoridad (Art. 83.2
2. f)RGPD). - El inexistente beneficio obtenido por parte de DIGI como resultado al tratamiento de datos que ocupa este procedimiento. En todo caso, DIGI se ha visto perjudicada, como ya se ha señalado, al verse afectada por la comisión de fraude por un tercero, lo que le ha obligado a reparar la situación causada y llevar a cabo investigaciones, con el consiguiente coste asociado (Art. 83.2
3. k)24 RGPD). Se ha de resaltar que no solo no supone un beneficio económico, sino que DIGI se ha visto perjudicado por el error cometido por su proveedor, a pesar de haber contado con todas las medidas y garantías. Por todo lo anterior, la cuantificación de la posible sanción a imponer a DIGI en relación con el supuesto incumplimiento de las obligaciones del artículo 6.1 del RGPD, señala que debería limitarse a un apercibimiento y, en última instancia, se modere o module la propuesta recogida en el Acuerdo de Inicio notificado a DIGI, atendiendo a sus argumentos. SEXTO: Con fecha 11 de abril de 2024, el instructor del procedimiento acordó practicar las siguientes pruebas: <<1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, que forman parte del procedimiento AT/04498/2023. 2.Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por DIGI SPAIN TELECOM, S.L., y la documentación que a ellas acompaña>>. SÉPTIMO: Con fecha 2 de agosto de 2024 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 sancione a DIGI SPAIN TELECOM, S.L. con NIF B84919760 por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5
4. a)del RGPD, con una multa de 200.000 euros (doscientos mil euros). OCTAVO: Notificada la propuesta de resolución, el día 12 de agosto de 2024, la parte reclamada presentó escrito de alegaciones el día 27 de agosto de 2024 en el que, en síntesis, se aduce que se reitera en las alegaciones previamente presentadas. Señala que no se ha producido un tratamiento de datos ilegítimo, dado que su actuación fue diligente, en cumplimiento del procedimiento establecido al efecto, y que los efectos están provocados por la actuación de un tercero, y que por parte de DIGI no se ha facilitado ningún dato personal del interesado. Manifiesta, que la comisión de este tipo de fraudes proviene de una primera quiebra de la confidencialidad de los datos personales del interesado ante su entidad financiera, normalmente, por medio de un “phishing” mediante el que se consiguen sus credenciales bancarias. Además, señala que en el informe emitido por la Agencia de Ciberseguridad de la Unión Europea ratifica que, para realizar un duplicado fraudulento de SIM, el estafador necesita tener acceso a algunos de los datos personales de la víctima, cliente del operador. Es decir, que los ciberdelincuentes, cuentan con datos personales de sus víctimas con carácter previo a acudir ante el Operador de Red Móvil. Señala, que esto es lo que ocurrió en el presente supuesto, la victima perdió el control sobre sus datos personales y su documentación de identidad en favor del suplantador de forma previa a que éste contactase con DIGI. Es decir, es a través del ataque de “phishing” donde la víctima pierde el control sobre sus datos de carácter personal, y es este hecho el que desencadena y posibilita la comisión del fraude. La parte reclamada sostiene que ha venido enumerando en sus escritos a la AEPD las medidas con relación a los procedimientos de obtención de duplicados de tarjetas SIM, sin embargo, la AEPD no ha valorado dichas medidas. Por otra parte, indica que, pese a la comisión de un resultado indeseado, la Agencia debe evaluar el procedimiento establecido al efecto, así como su revisión e implementación de mejoras. Asimismo, considera que la Propuesta no es ajustada a derecho, pues impone a DIGI una obligación de resultado, consistente en el establecimiento de medidas infalibles sobre unos riesgos que le son impuestos por terceros que, de manera unilateral, han decidido externalizar, sin la aquiescencia de DIGI, sus propias obligaciones de seguridad como responsables del tratamiento. Llegando a imputar una infracción del artículo 6.1 del RGPD basándose únicamente en el resultado lesivo que se produce por la intervención fraudulenta de un tercero que supera las medidas de seguridad, sin atender a la diligencia utilizada, y sin considerar el despliegue de medidas técnicamente adecuadas e implantadas sobre un tratamiento para el cual DIGI no decide ni la finalidad ni los medios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 La parte reclamada señala que no puede prever ni saber cuál es el deber de diligencia aplicable, en tanto la AEPD exige la obtención de un resultado y riesgo cero. Por otro lado, manifiesta sobre la falta de proporcionalidad de la sanción propuesta. En este sentido, la parte reclamada discrepa del agravante aplicado: Vinculación entre su actividad y el tratamiento de datos personales de clientes o de terceros (artículo 83.2K, del RGPD en relación con el artículo 76.2 b, de la LOPDGDD). Señala que dicho agravante debe ser puesto en contexto con el despliegue de medidas efectuado por DIGI. En este sentido, indica que el tratamiento de datos no nace de una intención de la entidad, sino que tiene lugar la comisión de un delito del que DIGI es parte perjudicada. Por todo ello, no cabe interpretar este aspecto como agravante. Sobre los atenuantes no aplicados por la Agencia a la hora de evaluar la sanción, la parte reclamada entiende que deberían tomarse en consideración las siguientes: - Que procedió a solventar la incidencia objeto de reclamación de forma efectiva en cuanto tuvo conocimiento de los hechos. Por otro lado, indica que la línea móvil del reclamante estuvo activa en la SIM presuntamente fraudulenta durante menos de tres horas. En ese breve lapso, DIGI tomó medidas rápidas y efectivas, suspendiendo el servicio móvil sobre la línea activada presuntamente de forma irregular y devolviendo el control al reclamante. Esta actuación demuestra una diligencia significativa por parte de DIGI. - En ningún momento se han tratado categorías especiales de datos (Art. 83.2 g RGPD). La parte reclamada expone que DIGI no ha tratado datos de categoría especial, que el nombre, apellidos y DNI no forman parte de las categorías especiales (art. 9 del RGPD). - El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. Igualmente, señala que ha contestado en tiempo y forma a tos los requerimientos de información solicitados por esta Agencia (art. 83.2
5. f)RGPD). - El inexistente beneficio obtenido. Además, manifiesta que se ha visto perjudicada, al verse afectada por la comisión de fraude por un tercero, lo que le ha obligado a reparar la situación causada y llevar a cabo investigaciones, con el consiguiente asociado (art. 83.2k RGPD). Por todo lo anterior, la parte reclamada solicita que se dicte resolución por medio de la cuál señale el archivo del Procedimiento o subsidiariamente culmine el procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 mediante un apercibimiento y, en última instancia, si considera que procede la imposición de una sanción, modere o module la sanción. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. – El día 6 de abril de 2021, un tercero se personó ante un punto de venta de DIGI para la realización de un duplicado de la tarjeta SIM del reclamante, SEGUNDO. – De los dos pantallazos del sistema de DIGI aportados el día 11 de octubre de 2023 en contestación a la solicitud de información de esta Agencia a la parte reclamada y que consta en el expediente se desprende la emisión de dos duplicados de tarjeta SIM del reclamante. - En el primero de ellos, consta que el duplicado de la tarjeta SIM se realizó el día 6 de abril de 2021 a las 14:21 en un punto de venta de DIGI, quedando el reclamante sin línea. - En el segundo de ellos, consta que se realizó un nuevo duplicado de SIM de forma que el inicial duplicado quedó inactivo, el día 6 de abril de 2021 a las 16:47 horas, recuperando la línea el reclamante. TERCERO. – De las impresiones de pantalla aportadas por DIGI, con fecha 11 de octubre de 2023, consta que el proceso de verificación de la identidad del solicitante aplicado al presente caso vigente al momento de los hechos, para la obtención de un duplicado de tarjeta SIM, era el siguiente: • (…). • (…). • (…). • (…). • (…). • (…). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones presentadas En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: La intervención fraudulenta de un tercero, lo que ha revelado es el deficiente análisis de los riesgos, así como la insuficiente implantación, revisión y control de las medidas de seguridad por parte de la operadora. Tercero ajeno al titular de los datos ha superado las medidas de seguridad establecidas por DIGI. Esto nos muestra que la identificación del titular de los datos no se producía con las suficientes garantías, independientemente de que la identificación se realizara por el propio titular o por un tercero de forma fraudulenta. En suma, una falta de medidas de seguridad apropiadas y un incumplimiento de las obligaciones derivadas de la responsabilidad proactiva, máxime cuando los “errores” persisten en el tiempo. Al respecto hay que señalar que precisamente el que nos encontremos ante el fraude de un tercero hace que sea necesario asegurarse que la persona a la que se expide el duplicado de la tarjeta SIM es quien realmente dice ser y deben adoptarse las medidas necesarias de prevención adecuadas para verificar la identidad de una persona cuyos datos van a ser objeto de tratamiento tal y como se reconoce en el Fundamento Jurídico Séptimo de la SAN, SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012) -: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento..."). A lo largo del presente procedimiento DIGI ha manifestado reiteradamente que los duplicados fraudulentos de las tarjetas se han producido tras haber superado los defraudadores su política de seguridad. Considera que es inevitable que a pesar de la existencia de la política de seguridad pueda haber casos en los que a través de ciertos mecanismos dicha política de seguridad pueda ser sobrepasada de forma fraudulenta sin que por ello pueda existir reproche a DIGI. Sin embargo, ha quedado probado que la política de seguridad de DIGI ha resultado insuficiente para la adecuada protección de los derechos fundamentales de la parte reclamante cuya tarjeta SIM ha sido fraudulentamente duplicada. En cuanto a que DIGI no ha puesto a disposición de los presuntos delincuentes información personal de la parte reclamante distinta de la que ya tenían aquellos con anterioridad y que, en consecuencia, no se ha producido un tratamiento no legitimado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 de datos personales. Efectivamente, la emisión de duplicado no es suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad financiera. No obstante, para poder realizar dichas operaciones a través del teléfono móvil, resulta necesario poder tener acceso al mismo y uno de los medios es, precisamente la obtención de un duplicado de tarjeta. Cuando dicho duplicado se expide a un tercero distinto del de su titular conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que el tratamiento de datos sea conforme al RGPD. En el presente caso, cabe colegir que DIGI ha facilitado un duplicado de tarjeta SIM a un tercero distinto del legitimo titular de la línea móvil, tras la superación por tercera persona de la política de seguridad existente. Negar la concurrencia de una actuación negligente por parte de DIGI equivaldría a reconocer que su conducta -por acción u omisión- ha sido diligente. Obviamente, no compartimos esta perspectiva de los hechos, puesto que ha quedado acreditada la falta de diligencia debida. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". En cuanto a que los delincuentes no han conseguido obtener datos personales a través de DIGI, por lo que no puede hablarse de incumplimiento de medidas de protección, no puede considerarse cierto. Resulta necesario señalar que el acceso al duplicado de una tarjeta SIM que hace identificable a su titular, responde a la definición de dato personal del artículo 4.1) del RGPD. Por lo que respecta a la responsabilidad de DIGI, debe indicarse que, con carácter general DIGI trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
6. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
7. e)y
8. f)del RGPD. Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. Recordemos que, con carácter general las operadoras tratan los datos de sus clientes al amparo de lo previsto en el artículo 6.1
9. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte (…). En este sentido, DIGI cuenta con una red de comerciales, puntos de venta y distribuidores homologados a través de un contrato de distribución para ofrecer los servicios de DIGI. Entre estos servicios ofrecidos desde sus puntos de venta, está la realización de duplicados de tarjetas SIM correspondientes a una línea de telefonía móvil. En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual, cuya concurrencia fue debidamente motivada en el acuerdo de inicio del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 presente procedimiento. En cuanto a la imposición de una advertencia, apercibimiento, o la adopción de medidas correctivas conforme al artículo 58 del RGPD, una multa disuasoria es aquella que tiene un efecto disuasorio genuino. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice: “ 94.Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor disuasorio se valora tomando en consideración una multitud de elementos y no sólo la situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio puede tener por objeto no sólo una «disuasión general», definida como una acción para desincentivar a todas las empresas, en general, de que cometan la infracción de que se trate, sino también una «disuasión específica», consistente en disuadir al demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no estaba obligada a limitar su valoración a los factores relacionados únicamente con la situación particular de la empresa en cuestión.” “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).” Hemos de atender a la circunstancia singular de la reclamación presentada, a través de la cual puede constatarse que, desde el momento en el que la persona suplantadora realiza la sustitución de la SIM, el teléfono de la víctima se queda sin servicio pasando el control de la línea a las personas suplantadoras. En consecuencia, ven afectados sus poderes de disposición y control sobre sus datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos según ha señalado el Tribunal Constitucional en la Sentencia 292/2000, de 30 de noviembre de 2000 (FJ 7). De manera que, al conseguir un duplicado de la tarjeta SIM, se posibilita bajo determinadas circunstancias, el acceso a los contactos o a las aplicaciones y servicios que tengan como procedimiento de recuperación de clave el envío de un SMS con un código para poder modificar las contraseñas. En definitiva, podrán suplantar la identidad de los afectados, pudiendo acceder y controlar, por ejemplo: las cuentas de correo electrónico; cuentas bancarias; aplicaciones como WhatsApp; redes sociales, como Facebook o Twitter, y un largo etc. En resumidas cuentas, una vez modificada la clave de acceso por parte de los suplantadores pierden el control de sus cuentas, aplicaciones y servicios, lo que supone una gran amenaza. En definitiva, es el responsable del tratamiento el que tiene la obligación de integrar las garantías necesarias en el tratamiento, con la finalidad de, en virtud del principio de responsabilidad proactiva, cumplir y ser capaz de demostrar el cumplimiento, al mismo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 tiempo que respeta el derecho fundamental a la protección de datos. III Obligación Incumplida Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
10. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
11. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
12. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
13. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
14. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
15. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
16. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. La emisión de un duplicado de tarjeta SIM implica necesariamente un tratamiento de datos personales, ya que se realiza sobre la línea y la identidad del titular. Dicho tratamiento debe cumplir con una base jurídica que lo legitime, tal como exige el citado artículo 6.1 del RGPD. En este caso, la emisión del duplicado SIM a solicitud de un tercero sin la intervención o consentimiento del titular constituye una falta de base jurídica válida para dicho tratamiento de datos. Aunque DIGI alega seguir sus propios protocolos, esto no es suficiente para justificar la licitud del tratamiento bajo el RGPD, ya que dichos protocolos no suplen la necesidad de la concurrencia de una base legítima. El procedimiento de verificación de identidad descrito por DIGI, que se basa únicamente en la coincidencia de ciertos datos en su base de datos, no garantiza adecuadamente el cumplimiento del RGPD en tanto:  No acredita la intervención efectiva del titular de los datos en el proceso.  La mera coincidencia de los datos no asegura el consentimiento ni ninguna otra base jurídica del artículo 6.1 que legitime el tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 Por lo tanto, la emisión del duplicado SIM en estas condiciones constituye un tratamiento de datos personales sin base jurídica y, en consecuencia, una infracción del artículo 6.1 del RGPD, dado que se ha realizado sin cumplir con ninguna de las bases legitimadoras para dicho tratamiento. La responsabilidad no reside en la falta de cumplimiento de un protocolo interno de DIGI, sino en la ausencia de una base jurídica válida conforme a las disposiciones del RGPD. De conformidad con las evidencias de las que se dispone, se estima que la conducta de la parte reclamada vulnera el artículo 6.1 del RGPD lo que constituye una infracción tipificada en el artículo 83.5.
17. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: “