PS-00134-2024

1/36  Expediente N.º: EXP202312279 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 18 de julio de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra DIGI SPAIN TELECOM, S.L. con NIF B84919760 (en adelante, la parte reclamada o DIGI). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, en octubre 2022 era titular de una línea telefónica del teléfono móvil ***TELÉFONO.1 contratada con la operadora de telefonía DIGI y que, con fecha 16 de octubre de 2022, en un establecimiento distribuidor de la parte reclamada se facilitó a un tercero un duplicado de la tarjeta SIM de la citada línea, sin su autorización. Añade la parte reclamante que el tercero utilizó un DNI no original. Añade que con el duplicado de la tarjeta SIM, la tercera persona tuvo acceso a datos reservados como agenda de direcciones, teléfonos de contactos y mensajes, facilitando de esta forma la suplantación de identidad, lo que conllevó el acceso a sus datos bancarios. Afirma que ello permitió que con la tarjeta SIM duplicada, el suplantador pudiera realizar, diecisiete transferencias bancarias entre los días 16, 17 y 18 de octubre de 2022 y tres Bizum, sustrayendo un total de ***CANTIDAD.1 euros. Expone que no se verificó por parte de la operadora, la identidad de la persona que realizó el duplicado de la tarjeta SIM, con el resultado de que se sustrajeran ilícitamente las cantidades mencionadas. Y, junto a su escrito la parte reclamante, aporta la siguiente documentación relevante: -Contrato de servicios pospago de DIGI de fecha 4 de agosto de 2021. -Facturas emitidas por DIGI. -Reclamación realizada por la parte reclamante a DIGI y contestación de esta última. En uno de los correos remitidos por DIGI a la parte reclamante con motivo de su reclamación, de fecha 27 de octubre de 2022, dicha entidad confirma que el tercero al que se entregó el duplicado de la tarjeta SIM de la parte reclamante se sirvió de un DNI manipulado. En el mismo correo se identifica al distribuidor en el que se tramitó dicho duplicado de tarjeta, con domicilio en Tarragona. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/36 -Denuncia ante la Policía Nacional ***ATESTADO.1 Dependencia ***LOCALIDAD.1 de fecha 19 de octubre de 2022. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido electrónicamente en fecha 25 de septiembre de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 25 de octubre de 2023, solicitó DIGI ampliación de plazo para su contestación, que le fue concedido. Con fecha 27 de noviembre de 2023 se recibe en esta Agencia escrito de respuesta de la parte reclamada indicando que: “las únicas vías que DIGI pone a disposición para que sus clientes personas físicas puedan solicitar un duplicado de la tarjeta SIM, son exclusivamente presenciales, pudiendo realizarse el trámite: - A través de nuestras tiendas físicas propias, donde el solicitante tiene que identificarse presencialmente con un documento de identidad original. - A través de nuestros distribuidores (Dealers), donde el solicitante tiene que identificarse presencialmente con un documento de identidad original. 1º) En fecha 15 de octubre de 2022, se persona ante nuestro distribuidor ***DISTRIBUIDOR.1 un individuo que se identifica como el reclamante (de hecho, es portador de un DNI con los datos del reclamante), y solicita un duplicado SIM de la línea ***TELÉFONO.1. 2º) De acuerdo con el procedimiento establecido, (…). 3º) El día 16 de octubre a las 10:30 se procede a la validación del duplicado por el departamento Backoffice y, de acuerdo con el protocolo de seguridad, se remiten sendos avisos automáticos al teléfono de contacto de la solicitud y al email que históricamente estaba registrado para comunicarnos con el titular. 4º) El mismo día 16 se reciben en el Servicio de Atención al Cliente de DIGI dos llamadas por parte de una persona que de nuevo se identifica como el reclamante relativas a un problema técnico por el que no tenía línea y que, de acuerdo también con la propia declaración del reclamante en la denuncia que consta en el expediente, su origen se orientaría hacia los problemas técnicos que llevaron a la reparación del móvil realizada por el reclamante en julio del mismo año. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/36 5º) En la mañana del día 17 de octubre se recibe solicitud de duplicado SIM por parte de una persona que se identifica como el reclamante, aportando exhibiendo su DNI en nuestro distribuidor ***DISTRIBUIDOR.2. Adjuntamos el frontal del DNI aportado. 6º) Ese mismo día 17 procede a la validación del duplicado por el departamento Backoffice y, de acuerdo con el protocolo de seguridad, se remite sendos avisos automáticos al teléfono de contacto de la solicitud y al email que históricamente estaba registrado para comunicarnos con el titular. 7º) A las pocas horas del mismo día 17 se recibe una nueva solicitud de duplicado SIM realizada por una persona que se identifica como el reclamante, ante distribuidor ***DISTRIBUIDOR.1, y aporta para su identificación la misma documentación facilitada en el punto 2º). 8º) Ese mismo día 17 se procede a la validación del duplicado por el departamento Backoffice y, de acuerdo con el protocolo de seguridad, se remite sendos avisos automáticos al teléfono de contacto de la solicitud y al email que históricamente estaba registrado para comunicarnos con el titular. 9º) Unas horas después, el reclamante se pone en contacto telefónico con DIGI y comunica que vuelve a tener el mismo problema de no funcionamiento de la línea. Tras las comprobaciones del asesor de DIGI (incluida la realización de una llamada oculta para verificar que la línea da señal), se identifica que la causa puede provenir de un duplicado SIM. 10º) Aún en el día 17 se recibe nueva solicitud de duplicado SIM por parte de una persona que se identifica como el reclamante exhibiendo su DNI en nuestro distribuidor ***DISTRIBUIDOR.2. La documentación aportada es la misma que en el punto 5º). 11º) El día 18 de octubre se procede a la validación del duplicado por el departamento Backoffice y, de acuerdo con el protocolo de seguridad, se remite sendos avisos automáticos al teléfono de contacto de la solicitud y al email que históricamente estaba registrado para comunicarnos con el titular. 12º) En la tarde del día 18, una persona que se identifica como el reclamante nos contacta para referir distintas cuestiones técnicas y para señalarnos que habría sufrido una estafa bancaria por la que se le habría sustraído dinero de su cuenta bancaria. Se recomienda al reclamante la realización de la correspondiente denuncia y se abre ticket por posible fraude con el código ***NÚMERO.1. Así mismo, el cliente solicita una nueva alta del número. En el momento de hechos, se encontraba en funcionamiento un nuevo procedimiento de duplicado SIM basado en (…). Dado que las causas de la situación provienen (…): 1º) (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/36 2º) (…)”. TERCERO: Con fecha 18 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad DIGI SPAIN TELECOM, S.L. es una gran empresa constituida en el año 2006, y con un volumen de negocios de 644.000.000 euros en el año 2023. QUINTO: Con fecha 16 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.

1. a)del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones el día 3 de junio de 2024 en el que, en síntesis, la reclamada comienza su defensa reiterando los argumentos expuestos en alegaciones anteriores, los cuales, a su juicio, no han sido refutados por la AEPD. Considera que sus argumentos siguen siendo válidos y solicita que sean tomados en cuenta. Aclara que, en este escrito, hará hincapié en aquellos puntos que considera más cruciales para desmontar los fundamentos sobre los que la AEPD pretende justificar la sanción. Primera alegación: Relato y análisis del supuesto de hecho. La defensa procede a una descripción cronológica detallada de los hechos, situando el incidente respecto a una suplantación de identidad que permitió que un tercero obtuviera fraudulentamente un duplicado de la tarjeta SIM del reclamante. Afirma que el proceso se realizó en varias ocasiones de manera presencial, y siempre se presentó el Documento Nacional de Identidad del reclamante. Asimismo, asegura que cuenta con procedimientos de seguridad robustos para la emisión de duplicados de SIM, como la verificación presencial del DNI y la validación manual de los documentos por el departamento de BackOffice. Sin embargo, sostiene que el suplantador utilizó un DNI falsificado, lo que permitió superar las medidas de seguridad. Por tanto, a su juicio, el suplantador ya disponía de los datos personales del reclamante antes de dirigirse a la empresa y que fue lo que facilitó la obtención del duplicado. Segunda alegación: Protocolo de seguridad y medidas adoptadas. La parte reclamada recalca que, ante la situación, se aplicaron todas las medidas de seguridad vigentes. Entre ellas, destaca el procedimiento de verificación de identidad, que exige la presentación física del DNI y su posterior validación manual. Tras el incidente, afirma haber reforzado estas medidas introduciendo nuevas previsiones como la doble verificación por teléfono y en persona. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/36 Además, confirma la existencia de un plan de contingencia que le permitió actuar con celeridad para mitigar los efectos de la suplantación, garantizando que el reclamante recuperara el control de su línea. Menciona que, a pesar de sus esfuerzos por mejorar continuamente sus protocolos, no existe un sistema de seguridad completamente infalible y que la suplantación de identidad cometida fue lo suficientemente sofisticada para engañar a los agentes encargados de la validación. Tercera alegación: Licitud del tratamiento de datos personales. La defensa insiste en que la empresa no ha realizado un tratamiento ilícito de los datos personales del reclamante, puesto que los datos ya estaban en manos del suplantador antes de que este solicitara el duplicado SIM. A este respecto, se menciona que el número de teléfono (MSISDN) y el IMSI son datos técnicos que, por sí mismos, no permiten identificar al titular sin acceso a los sistemas internos de la empresa. Se hace referencia a la Sentencia de la Audiencia Nacional de 17 de septiembre de 2008 (recurso número 353/2007). A su juicio, según dicha sentencia, el número de teléfono solo puede considerarse un dato personal si es posible identificar al titular a partir de ese número, lo cual afirma no haberse demostrado en este caso. También cita la Sentencia del Tribunal Supremo de 18 de junio de 2020 (Recurso 1074/2019, N.º de Sentencia 815/2020), que refuerza la interpretación de que los datos personales no incluyen automáticamente el número de teléfono si no se asocia a una persona identificada de manera directa. Cuarta alegación: Cumplimiento del protocolo. La parte reclamada defiende que cumplió con todos los protocolos de seguridad establecidos y la AEPD no ha logrado acreditar que la empresa incumpliera sus propios procedimientos de seguridad. Por el contrario, considera que la AEPD ha llegado a conclusiones erróneas al considerar que el simple hecho de que se produjera una suplantación es indicativo de una falta de diligencia por parte de la empresa. En este sentido, alega como precedente la resolución de archivo del expediente E/05168/2021 de la AEPD, según la cual la AEPD concluyó que la superación de las medidas de seguridad por parte de un tercero no implica necesariamente que estas medidas sean inadecuadas. Afirma que, en dicho expediente, a pesar de que se produjo un acceso no autorizado a datos personales, la AEPD decidió no imponer sanción alguna porque la empresa había desplegado un nivel suficiente de diligencia. Quinta alegación: Inadmisibilidad de la responsabilidad objetiva. La defensa rechaza cualquier intento por parte de la AEPD de imponer una responsabilidad objetiva, es decir, sancionar a la empresa simplemente por el resultado del incidente, sin demostrar que existió culpa o negligencia. La parte reclamada argumenta que, conforme a la Sentencia del Tribunal Constitucional n.º 76/1990, el principio de culpabilidad exige la concurrencia de dolo o culpa, y la mera existencia de un error no justifica la imposición de una sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/36 Asimismo, se cita la Sentencia de la Audiencia Nacional de 25 de febrero de 2010 según la cual la superación de medidas de seguridad por parte de terceros organizados no es motivo suficiente para sancionar a la empresa afectada, especialmente cuando se han implementado medidas de protección adecuadas. Sexta alegación: Desproporcionalidad de la sanción. En cuanto a la sanción, la parte reclamada señala que esta es desproporcionada en relación con los hechos, pues no se ha demostrado intencionalidad o negligencia grave en su actuación. En apoyo de dicha alegación, menciona la Sentencia del Tribunal Supremo 543/2022, de 15 de febrero, que establece que las obligaciones impuestas a las empresas en materia de seguridad de los datos no son obligaciones de resultado, sino de medios. Sostiene que la empresa solo está obligada a implementar las medidas adecuadas para mitigar los riesgos, pero no puede garantizar que no ocurrirán incidentes como el que acaeció. Asimismo, se destaca que la AEPD ha impuesto sanciones menos severas en casos similares. De forma concreta, compara este supuesto con el expediente PS/000027/2021, en el que la AEPD sancionó a otra operadora de telecomunicaciones (XFERA MÓVILES, S.A.) con una multa de 200.000 euros por varios casos de suplantación de identidad mediante el uso de duplicados de SIM. Afirma que, a pesar de que la situación era similar, la sanción impuesta a la parte reclamada en este caso resulta mucho más elevada de manera proporcional, lo cual considera injustificado. Por otra parte, señala que según lo establecido en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, concurren en el presente las siguientes circunstancias atenuantes que no han sido consideradas en la adecuada graduación de la sanción: Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (art. 83.2 c); En ningún momento se han tratado categorías especiales de datos (Art. 83.2
2. g)RGPD). El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos: ha quedado acreditado que se ha contestado en tiempo y forma a todos los requerimientos de información solicitados por esta Agencia. Es más, DIGI aportó, en el primer requerimiento de información, de forma previa a que fuese requerido por la AEPD, toda la documentación contractual y acreditativa relativa al presente supuesto de hecho, por propia voluntad, manifestando de forma expresa su buena fe e intención de colaboración con la autoridad (Art. 83.2
3. f)RGPD). El inexistente beneficio obtenido por parte de DIGI como resultado al tratamiento de datos que ocupa este procedimiento. En todo caso, DIGI se ha visto perjudicada, como ya se ha señalado, al verse afectada por la comisión de fraude por un tercero, lo que le ha obligado a reparar la situación causada y llevar a cabo investigaciones, con el consiguiente coste asociado (Art. 83.2
4. k)24 RGPD). Se ha de resaltar que no solo no supone un beneficio económico, sino que DIGI se ha visto perjudicado por el error C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/36 cometido por su proveedor, a pesar de haber contado con todas las medidas y garantías. Por todo lo anterior, la cuantificación de la posible sanción a imponer a DIGI en relación con el supuesto incumplimiento de las obligaciones del artículo 6.1 del RGPD, señala que debería limitarse a un apercibimiento y, en última instancia, se modere o module la propuesta recogida en el Acuerdo de Inicio notificado a DIGI, atendiendo a sus argumentos. SÉPTIMO: Con fecha 22 de noviembre de 2024 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a DIGI SPAIN TELECOM, S.L. con NIF B84919760 por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5
5. a)del RGPD, con una multa de 200.000 euros (doscientos mil euros). OCTAVO: Notificada la propuesta de resolución, el día 25 de noviembre de 2024, la parte reclamada solicitó copia del expediente y ampliación del plazo que le fue concedido y presentó escrito de alegaciones el día 17 de diciembre de 2024 en el que, en síntesis, se aduce que se reitera en las alegaciones previamente presentadas. Primera alegación: Sobre el supuesto de hecho y la documentación acreditativa al respecto. DIGI insiste en que el presente suplantador de identidad conocía y tenía bajo su control de forma previa a cualquier contacto con DIGI un DNI con los datos personales del reclamante. Esta documentación, obtenida de forma previa a dirigirse a DIGI, es la que ha permitido que consiguiese realizar los duplicados SIM. Señala que no se ha producido un tratamiento de datos ilegítimo por parte de DIGI por parte de tres razones: - La actuación de DIGI fue diligente, en cumplimiento del procedimiento establecido al efecto, atendiendo la demanda del solicitante que se identifica como cliente de DIGI. - Los presuntos efectos indeseados están provocados por la actuación de un tercero (supuesto defraudador), que disponía de los datos y el DNI del reclamante. - Por parte de DIGI no se ha facilitado ningún dato personal del interesado, puesto que los códigos (incluidos los de la tarjeta SIM), no alcanzarían per se la categoría de datos personales. Segunda alegación: Sobre el “SIM SWAPPING”, y las responsabilidades derivadas Manifiesta, que la comisión de este tipo de fraudes proviene de una primera quiebra de la confidencialidad de los datos personales del interesado ante su entidad financiera, normalmente, por medio de un “phishing” mediante el que se consiguen sus credenciales bancarias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/36 Además, señala que en el informe emitido por la Agencia de Ciberseguridad de la Unión Europea ratifica que, para realizar un duplicado fraudulento de SIM, el estafador necesita tener acceso a algunos de los datos personales de la víctima, cliente del operador. Es decir, que los ciberdelincuentes, cuentan con datos personales de sus víctimas con carácter previo a acudir ante el Operador de Red Móvil. Señala, que esto es lo que ocurrió en el presente supuesto, la victima perdió el control sobre sus datos personales y su documentación de identidad en favor del suplantador de forma previa a que éste contactase con DIGI. Es decir, es a través del ataque de “phishing” donde la víctima pierde el control sobre sus datos de carácter personal, y es este hecho el que desencadena y posibilita la comisión del fraude. Tercera alegación: Sobre la no valoración de los medios de prueba. La parte reclamada sostiene que ha venido enumerando en sus escritos a la AEPD las medidas con relación a los procedimientos de obtención de duplicados de tarjetas SIM, sin embargo la AEPD no ha valorado dichas medidas. Por otra parte, indica que, pese a la comisión de un resultado indeseado, la Agencia debe evaluar el procedimiento establecido al efecto, así como su revisión e implementación de mejoras. Cuarta alegación: Sobre la no acreditación de culpa o negligencia por parte de DIGI. La parte reclamada insiste en que, pese a la comisión de un resultado indeseado, la Agencia debe evaluar el procedimiento establecido al efecto, así como su revisión e implementación de mejoras. Así, se ha demostrado la diligencia de DIGI de forma previa, con el establecimiento de los protocolos y medidas de actuación, en el momento de comisión de los hechos al seguir su proceso de identificación, y tras los mismos, con la mejora de los protocolos y la reversión de la situación que ya se han aportado en el presente expediente. DIGI llevó a cabo un proceso de verificación de la identidad adecuado y válido, al emplear documentación acreditativa y comprobación presencial, si bien, no cabe imponerle a DIGI la capacidad de detección de falsificaciones avanzadas, inapreciables incluso para un aeropuerto o las Fuerzas y Cuerpos de Seguridad. Quinta alegación: Sobre la inadmisibilidad de la responsabilidad objetiva. Considera que la Propuesta no es ajustada a derecho, pues impone a DIGI una obligación de resultado, consistente en el establecimiento de medidas infalibles sobre unos riesgos que le son impuestos por terceros que, de manera unilateral, han decidido externalizar, sin la aquiescencia de DIGI, sus propias obligaciones de seguridad como responsables del tratamiento. Llegando a imputar una infracción del artículo 6.1 del RGPD basándose únicamente en el resultado lesivo que se produce por la intervención fraudulenta de un tercero que supera las medidas de seguridad, sin atender a la diligencia utilizada, y sin considerar el despliegue de medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/36 técnicamente adecuadas e implantadas sobre un tratamiento para el cual DIGI no decide ni la finalidad ni los medios. Sexta alegación: Sobre la indefensión y falta de seguridad jurídica. La parte reclamada señala que no puede prever ni saber cuál es el deber de diligencia aplicable, en tanto la AEPD exige la obtención de un resultado y riesgo cero. Séptima alegación: Sobre la falta de proporcionalidad de la sanción propuesta En este sentido, la parte reclamada discrepa de los agravantes aplicados: La intencionalidad o negligencia de la infracción (artículo 83.2
6. b)del RGPD. Señala que tratándose de un hecho causado por la comisión de un acto delictivo de un tercero no imputable a DIGI, no parece permisible, que se le impute este agravante. Toda infracción anterior cometida por el responsable o el encargado del tratamiento. Manifiesta que no debe confundirse la generalización de la catalogación de este tipo de delitos como SIM Swapping como la existencia de un modus operandi o tipo delictivo común entre todos ellos., no es posible exigir una efectividad absoluta de las medidas diseñadas para la prevención del fraude, puesto que no es posible predecir, aunque se dediquen abundantes medios a ello, cuál será la posible siguiente actividad que requerirá de un nuevo despliegue de medidas por parte de DIGI. Vinculación entre su actividad y el tratamiento de datos personales de clientes o de terceros (artículo 83.2K, del RGPD en relación con el artículo 76.2 b, de la LOPDGDD). Señala que dicho agravante debe ser puesto en contexto con el despliegue de medidas efectuado por DIGI. En este sentido, indica que el tratamiento de datos no nace de una intención de la entidad, sino que tiene lugar la comisión de un delito del que DIGI es parte perjudicada. Por todo ello, no cabe interpretar este aspecto como agravante. Sobre los atenuantes no aplicados por la Agencia a la hora de evaluar la sanción, la parte reclamada entiende que deberían tomarse en consideración las siguientes: - En ningún momento se han tratado categorías especiales de datos (Art. 83.2 g RGPD). La parte reclamada expone que DIGI no ha tratado datos de categoría especial, que el nombre, apellidos y DNI no forman parte de las categorías especiales (art. 9 del RGPD). - El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/36 Igualmente, señala que ha contestado en tiempo y forma a tos los requerimientos de información solicitados por esta Agencia (art. 83.2
7. f)RGPD). - El inexistente beneficio obtenido. Además, manifiesta que se ha visto perjudicada, al verse afectada por la comisión de fraude por un tercero, lo que le ha obligado a reparar la situación causada y llevar a cabo investigaciones, con el consiguiente asociado (art. 83.2k RGPD). Por todo lo anterior, la parte reclamada solicita que se dicte resolución por medio de la cuál señale el archivo del Procedimiento o subsidiariamente culmine el procedimiento mediante un apercibimiento y, en última instancia, si considera que procede la imposición de una sanción, modere o module la sanción. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. – Resulta acreditado por DIGI en las manifestaciones realizadas en el escrito de respuesta a esta Agencia de fecha 27 de noviembre de 2023 lo siguiente: 1º) La parte reclamante es titular de la línea móvil de DIGI ***TELÉFONO.1, con domicilio en ***LOCALIDAD.1. Un tercero se persona en fecha 15 de octubre de 2022, ante el distribuidor ***DISTRIBUIDOR.1 de DIGI de la ciudad de Tarragona un individuo que se identifica como el reclamante portando un DNI con los datos del reclamante, y solicita un duplicado SIM de la línea ***TELÉFONO.1, y el citado distribuidor guarda una copia del mismo para su envío al servicio backoffice de validación del duplicado, procediendo a su validación por dicho servicio de DIGI. 2º) El día 16 de octubre de 2022, el reclamante contacta con el Servicio de Atención al Cliente de DIGI para comunicar que no tenía línea, y al día siguiente el reclamante se persona en un punto de venta de ***LOCALIDAD.1 y solicita un duplicado de SIM. 3º) El día siguiente 17 de octubre un tercero se persona en el mismo punto de venta de Tarragona (***DISTRIBUIDOR.1) y obtiene nuevamente un duplicado de SIM. 4º) Unas horas después del día 17, el reclamante se pone en contacto telefónico con DIGI y comunica que vuelve a tener el mismo problema de no funcionamiento de la línea. 5º) El mismo día, el reclamante se persona en el mismo punto de venta en ***LOCALIDAD.1 y solicita otro duplicado de SIM (el cuarto para la misma línea en tres días). 6º) El día 18 de octubre de 2022, el reclamante avisa a DIGI que habría sufrido una estafa bancaria (casi ***CANTIDAD.2 euros). SEGUNDO. – Consta en el expediente que en el momento de producirse los hechos DIGI contaba con un procedimiento de seguridad, basado (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/36 TERCERO. – Se constata en las impresiones de pantalla aportada por DIGI el día 3 de junio de 2024, sobre el proceso de verificación de la identidad del solicitante aplicado al presente caso vigente en el momento de los hechos, para la obtención de un duplicado de tarjeta SIM, el cuál era el siguiente: (…). (…). (…). CUARTO. –DIGI reconoce en su escrito de respuesta a esta Agencia de fecha 17 de noviembre de 2023: “(…): 1º) (…). 2º) (…)”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/36 Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; Además, el artículo 4.7 del RGPD establece que el «responsable del tratamiento» o «responsable» es: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. Una tarjeta SIM es una tarjeta inteligente que contiene un chip en el que se almacena el número de línea telefónica móvil del cliente, así como el número de identificación personal, pero que también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por tanto, a los efectos de los artículos 4.1 y 4.2 del RGPD la emisión de duplicados de tarjetas SIM supone un tratamiento de datos personales. DIGI realiza esta actividad en su condición de responsable del tratamiento dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones al Acuerdo de Inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Primera y Segunda alegación: Protocolo de seguridad y medidas adoptadas. Hace referencia DIGI, para su descargo, al conjunto de medidas de seguridad que ha adoptado, que, las medidas implantadas son las mínimas exigibles a cualquier organización con las características y en el contexto en el que actúa una operadora de telecomunicaciones. Tal y como se ha probado, la parte reclamada ha incumplido con su propia política de seguridad, DIGI reconoce en su escrito de respuesta a esta Agencia de fecha 17 de noviembre de 2023: “(…): 1º) (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/36 2º) (…)”. Al respecto hay que señalar que precisamente el que nos encontremos ante el fraude de un tercero hace que sea necesario asegurarse que la persona a la que se expide el duplicado de la tarjeta SIM es quien realmente dice ser y deben adoptarse las medidas necesarias de prevención adecuadas para verificar la identidad de una persona cuyos datos van a ser objeto de tratamiento tal y como se reconoce en el Fundamento Jurídico Séptimo de la SAN, SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012) -: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento..."). A lo largo del presente procedimiento DIGI ha manifestado reiteradamente que los duplicados fraudulentos de las tarjetas se han producido tras haber superado los defraudadores su política de seguridad. Considera que es inevitable que a pesar de la existencia de la política de seguridad pueda haber casos en los que a través de ciertos mecanismos dicha política de seguridad pueda ser sobrepasada de forma fraudulenta sin que por ello pueda existir reproche a DIGI. Sin embargo, la mera existencia de una política de seguridad no puede justificar una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y el responsable del tratamiento debe de garantizar que se cumplan estrictamente en todo momento. En caso contrario, las medidas adoptadas no cumplen su misión y puede conllevar tratamientos ilícitos como ocurre en el presente caso. Por lo tanto, la cuestión aquí no radica en el nivel de sofisticación del ataque delictivo del tercero, sino en el incumplimiento de las propias medidas de seguridad que permitieron el tratamiento ilícito de datos personales. La parte reclamada no puede exonerar su responsabilidad apelando a la existencia de medidas mínimas cuando el fallo estuvo en la aplicación de esas medidas, permitiendo una infracción de la licitud del tratamiento. Es preciso destacar a este respecto que la emisión de un duplicado fraudulento de la tarjeta SIM de la línea móvil de la parte reclamante se produjo en dos ocasiones con un solo día de diferencia. A esto debe añadirse (
8. i)que entre ambas emisiones de duplicado de tarjeta SIM fraudulentas se realizó una por la propia parte reclamante, motivada por la pérdida del servicio que conllevó la primera de las emisiones fraudulentas; y (
9. ii)que los tres duplicados se realizaron en tienda física, los fraudulentos en un punto de venta de Tarragona y el solicitado por la parte reclamante en un punto de venta de ***LOCALIDAD.1, donde tiene su domicilio. Ninguna de estas circunstancias fue considerada por DIGI al gestionar las solicitudes realizadas por el suplantador, que no adoptó ninguna cautela ni estableció alerta alguna que hubiese impedido al menos la emisión del segundo duplicado fraudulento. DIGI ha alegado, por otra parte, que su plan de contingencias garantizó que el reclamante recuperara el control de su línea. Sin embargo, según el relato de hechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/36 probados, DIGI no adoptó ninguna medida con ese propósito, sino que fueron las acciones realizadas por la parte reclamante las que le permitieron recuperar el servicio que le fue deshabilitado al emitir los duplicados de tarjetas SIM fraudulentos. En cada ocasión que la parte reclamante se quedó sin servicio en su línea móvil con aquel motivo (dos ocasiones en dos días consecutivos), se personó en un punto de venta de ***LOCALIDAD.1 para recuperar dicho servicio telefónico mediante la entrega de nuevos duplicados de tarjeta, cuya emisión implicaba la anulación de las emitidas fraudulentamente. Tercera alegación: Licitud del tratamiento de datos personales. DIGI insiste en que la empresa no ha realizado un tratamiento ilícito de los datos personales del reclamante, puesto que los datos ya estaban en manos del suplantador antes de que este solicitara el duplicado SIM. A este respecto, se menciona que el número de teléfono (MSISDN) y el IMSI son datos técnicos que, por sí mismos, no permiten identificar al titular sin acceso a los sistemas internos de la empresa. Se hace referencia a la Sentencia de la Audiencia Nacional de 17 de septiembre de 2008 (recurso número 353/2007). A su juicio, según dicha sentencia, el número de teléfono solo puede considerarse un dato personal si es posible identificar al titular a partir de ese número, lo cual afirma no haberse demostrado en este caso. También cita la Sentencia del Tribunal Supremo de 18 de junio de 2020 (Recurso 1074/2019, N.º de Sentencia 815/2020), que refuerza la interpretación de que los datos personales no incluyen automáticamente el número de teléfono si no se asocia a una persona identificada de manera directa. Cabe colegir que DIGI ha facilitado un duplicado de tarjeta SIM a un tercero distinto del legitimo titular de la línea móvil, tras la superación por tercera persona de la política de seguridad existente, lo que evidencia un incumplimiento del deber de proteger la información de los clientes. Negar la concurrencia de una actuación negligente por parte de DIGI equivaldría a reconocer que su conducta -por acción u omisión- ha sido diligente. Obviamente, no compartimos esta perspectiva de los hechos, puesto que ha quedado acreditada la falta de diligencia debida. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". Resulta acreditado en el expediente que no se ha garantizado una seguridad adecuada en el tratamiento de los datos personales, habida cuenta del resultado que ha producido la suplantación de identidad. Es decir, un tercero ha conseguido acceder a los datos personales del titular de la línea. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/36 Hay que indicar que dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Es la emisión de un duplicado de tarjeta SIM lo que supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). La emisión de un duplicado de tarjeta SIM implica necesariamente un tratamiento de datos personales, ya que se realiza sobre la línea y la identidad del titular. Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C -101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. Cuarta alegación: Cumplimiento del protocolo. La parte reclamada defiende que cumplió con todos los protocolos de seguridad establecidos y la AEPD no ha logrado acreditar que la empresa incumpliera sus propios procedimientos de seguridad. Por el contrario, considera que la AEPD ha llegado a conclusiones erróneas al considerar que el simple hecho de que se produjera una suplantación es indicativo de una falta de diligencia por parte de la empresa. La parte reclamada expidió dos tarjetas SIM a un tercero que no era el titular de la línea, y no siguió el procedimiento de verificación implementado por ella misma. DIGI no logra acreditar que se haya seguido el procedimiento establecido por ella misma. De hecho, DIGI manifiesta en su escrito de respuesta a la solicitud de información de esta Agencia de fecha 17 de noviembre de 2023, que fue un error humano por parte de dos agentes de backoffice. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/36 Pues bien, conforme al procedimiento de identificación descrito por la parte reclamada, por parte de los dos agentes validadores de la oficina interna de DIGI, no verificaron la autenticidad, ni contrastaron la autenticidad de la copia del DNI recibida del distribuidor oficial con el original del documento identificativo, en dos ocasiones el día 15 y 17 de octubre de 2022 siendo así que, de haberse efectuado correctamente esta operación, los dos duplicados se hubieran denegado. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para verificar la identidad de la persona que solicitó un duplicado de la tarjeta SIM. En este sentido, alega como precedente la resolución de archivo del expediente E/05168/2021 de la AEPD, según la cual la AEPD concluyó que la superación de las medidas de seguridad por parte de un tercero no implica necesariamente que estas medidas sean inadecuadas. Afirma que, en dicho expediente, a pesar de que se produjo un acceso no autorizado a datos personales, la AEPD decidió no imponer sanción alguna porque la empresa había desplegado un nivel suficiente de diligencia. En dicho expediente, las circunstancias eran otras. Se trataba de un tercero que estaba realizando una serie de consultas y peticiones sobre la línea de la titular, debido a que contaba con la información personal de la reclamante por el vínculo que les había unido. Esa reclamación se archivó en aplicación del principio de presunción de inocencia, que impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción. El expediente que ahora se resuelve es distinto, en el que se sanciona por el tratamiento de datos que realiza DIGI consistente en la emisión de un duplicado de SIM. En todo caso, debe quedar claro que seguir los protocolos establecidos para estos trámites por DIGI no es suficiente para justificar la licitud del tratamiento bajo el RGPD, ya que dichos protocolos no suplen la necesidad de la concurrencia de una base legítima. Además, el procedimiento de verificación de identidad seguido por DIGI no ha garantizado adecuadamente el cumplimiento del RGPD. Quinta alegación: Inadmisibilidad de la responsabilidad objetiva. La defensa rechaza cualquier intento por parte de la AEPD de imponer una responsabilidad objetiva, es decir, sancionar a la empresa simplemente por el resultado del incidente, sin demostrar que existió culpa o negligencia. La parte reclamada argumenta que, conforme a la Sentencia del Tribunal Constitucional n.º 76/1990, el principio de culpabilidad exige la concurrencia de dolo o culpa, y la mera existencia de un error no justifica la imposición de una sanción. Asimismo, se cita la Sentencia de la Audiencia Nacional de 25 de febrero de 2010 según la cual la superación de medidas de seguridad por parte de terceros organizados no es motivo suficiente para sancionar a la empresa afectada, especialmente cuando se han implementado medidas de protección adecuadas. En cuanto a la responsabilidad de DIGI, debe indicarse que, con carácter general DIGI trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
10. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/36 precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
11. e)y
12. f)del RGPD. Por otra parte, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos, para recibir el duplicado de la tarjeta SIM. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. Recordemos que, con carácter general las operadoras tratan los datos de sus clientes al amparo de lo previsto en el artículo 6.1
13. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/36 contrato en el que el interesado es parte (…). En este sentido, DIGI cuenta con una red de comerciales, puntos de venta y distribuidores homologados a través de un contrato de distribución para ofrecer los servicios de DIGI. Entre estos servicios ofrecidos desde sus puntos de venta, está la realización de duplicados de tarjetas SIM correspondientes a una línea de telefonía móvil. Sexta alegación: Desproporcionalidad de la sanción. En cuanto a la sanción, la parte reclamada señala que esta es desproporcionada en relación con los hechos, pues no se ha demostrado intencionalidad o negligencia grave en su actuación. En apoyo de dicha alegación, menciona la Sentencia del Tribunal Supremo 543/2022, de 15 de febrero, que establece que las obligaciones impuestas a las empresas en materia de seguridad de los datos no son obligaciones de resultado, sino de medios. Sostiene que la empresa solo está obligada a implementar las medidas adecuadas para mitigar los riesgos, pero no puede garantizar que no ocurrirán incidentes como el que acaeció. Asimismo, se destaca que la AEPD ha impuesto sanciones menos severas en casos similares. De forma concreta, compara este supuesto con el expediente PS/000027/2021, en el que la AEPD sancionó a otra operadora de telecomunicaciones (XFERA MÓVILES, S.A.) con una multa de 200.000 euros por varios casos de suplantación de identidad mediante el uso de duplicados de SIM. Afirma que, a pesar de que la situación era similar, la sanción impuesta a la parte reclamada en este caso resulta mucho más elevada de manera proporcional, lo cual considera injustificado. En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual. En cuanto a la imposición de una advertencia, apercibimiento, o la adopción de medidas correctivas conforme al artículo 58 del RGPD, una multa disuasoria es aquella que tiene un efecto disuasorio genuino. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice: “ 94.Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor disuasorio se valora tomando en consideración una multitud de elementos y no sólo la situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio puede tener por objeto no sólo una «disuasión general», definida como una acción para desincentivar a todas las empresas, en general, de que cometan la infracción de que se trate, sino también una «disuasión específica», consistente en disuadir al demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no estaba obligada a limitar su valoración a los factores relacionados únicamente con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/36 situación particular de la empresa en cuestión.” “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).” Hemos de atender a la circunstancia singular de la reclamación presentada, a través de la cual puede constatarse que, desde el momento en el que la persona suplantadora realiza la sustitución de la SIM, el teléfono de la víctima se queda sin servicio pasando el control de la línea a las personas suplantadoras. En consecuencia, ven afectados sus poderes de disposición y control sobre sus datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos según ha señalado el Tribunal Constitucional en la Sentencia 292/2000, de 30 de noviembre de 2000 (FJ 7). De manera que, al conseguir un duplicado de la tarjeta SIM, se posibilita bajo determinadas circunstancias, el acceso a los contactos o a las aplicaciones y servicios que tengan como procedimiento de recuperación de clave el envío de un SMS con un código para poder modificar las contraseñas. En definitiva, podrán suplantar la identidad de los afectados, pudiendo acceder y controlar, por ejemplo: las cuentas de correo electrónico; cuentas bancarias; aplicaciones como WhatsApp; redes sociales, como Facebook o Twitter, y un largo etc. En resumidas cuentas, una vez modificada la clave de acceso por parte de los suplantadores pierden el control de sus cuentas, aplicaciones y servicios, lo que supone una gran amenaza. El procedimiento sancionador PS/000027/2021, tramitado contra la otra operadora se le imputó la violación del artículo 5.1f), no se le imputa el fraude, ni el tratamiento de datos sin legitimación sino una falta de garantías de las medidas de seguridad que produce una cesión de datos a un tercero. En el presente procedimiento sancionador, la sanción se impone debido a que DIGI facilitó un duplicado de la tarjeta SIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero, y por este motivo se imputa el artículo 6.1 del RGPD. En definitiva, es el responsable del tratamiento el que tiene la obligación de integrar las garantías necesarias en el tratamiento, con la finalidad de, en virtud del principio de responsabilidad proactiva, cumplir y ser capaz de demostrar el cumplimiento, al mismo tiempo que respeta el derecho fundamental a la protección de datos. En cuanto al precedente invocado por DIGI, señalado con el número PS/00027/2021, debe señalarse que, a diferencia de lo que ocurre en el caso que motiva las actuaciones, en ese precedente se valoraron varias circunstancias atenuantes que no concurren en el presente caso, en el que, por otra parte, se valora como determinante para el establecimiento de la multa la existencia de varias infracciones anteriores cometidas por DIGI, muchas de ellas por hechos similares a los analizados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/36 IV Contestación a las alegaciones a la Propuesta de Resolución En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Primera y Segunda alegación: Sobre el supuesto de hecho y la documentación acreditativa al respecto y sobre el “SIM SWAPPING y las responsabilidades derivadas. Tal y como se ha probado, la parte reclamada ha incumplido con su propia política de seguridad, DIGI reconoce en su escrito de respuesta a esta Agencia de fecha 17 de noviembre de 2023: “(…): 1º) (…). 2º) (…)”. Al respecto hay que señalar que precisamente el que nos encontremos ante el fraude de un tercero hace que sea necesario asegurarse que la persona a la que se expide el duplicado de la tarjeta SIM es quien realmente dice ser y deben adoptarse las medidas necesarias de prevención adecuadas para verificar la identidad de una persona cuyos datos van a ser objeto de tratamiento tal y como se reconoce en el Fundamento Jurídico Séptimo de la SAN, SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012) -: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento..."). A lo largo del presente procedimiento DIGI ha manifestado reiteradamente que los duplicados fraudulentos de las tarjetas se han producido tras haber superado los defraudadores su política de seguridad. Considera que es inevitable que a pesar de la existencia de la política de seguridad pueda haber casos en los que a través de ciertos mecanismos dicha política de seguridad pueda ser sobrepasada de forma fraudulenta sin que por ello pueda existir reproche a DIGI. Sin embargo, la mera existencia de una política de seguridad no puede justificar una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y el responsable del tratamiento debe de garantizar que se cumplan estrictamente en todo momento. En caso contrario, las medidas adoptadas no cumplen su misión y puede conllevar tratamientos ilícitos como ocurre en el presente caso. Por lo tanto, la cuestión aquí no radica en el nivel de sofisticación del ataque delictivo del tercero, sino en el incumplimiento de las propias medidas de seguridad que permitieron el tratamiento ilícito de datos personales. La parte reclamada no puede exonerar su responsabilidad apelando a la existencia de medidas mínimas cuando el fallo estuvo en la aplicación de esas medidas, permitiendo una infracción de la licitud del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/36 Es preciso destacar a este respecto que la emisión de un duplicado fraudulento de la tarjeta SIM de la línea móvil de la parte reclamante se produjo en dos ocasiones con un solo día de diferencia. A esto debe añadirse (
14. i)que entre ambas emisiones de duplicado de tarjeta SIM fraudulentas se realizó una por la propia parte reclamante, motivada por la pérdida del servicio que conllevó la primera de las emisiones fraudulentas; y (
15. ii)que los tres duplicados se realizaron en tienda física, los fraudulentos en un punto de venta de Tarragona y el solicitado por la parte reclamante en un punto de venta de ***LOCALIDAD.1, donde tiene su domicilio. Ninguna de estas circunstancias fue considerada por DIGI al gestionar las solicitudes realizadas por el suplantador, que no adoptó ninguna cautela ni estableció alerta alguna que hubiese impedido al menos la emisión del segundo duplicado fraudulento. DIGI ha alegado, por otra parte, que su plan de contingencias garantizó que el reclamante recuperara el control de su línea. Sin embargo, según el relato de hechos probados, DIGI no adoptó ninguna medida con ese propósito, sino que fueron las acciones realizadas por la parte reclamante las que le permitieron recuperar el servicio que le fue deshabilitado al emitir los duplicados de tarjetas SIM fraudulentos. En cada ocasión que la parte reclamante se quedó sin servicio en su línea móvil con aquel motivo (dos ocasiones en dos días consecutivos), se personó en un punto de venta de ***LOCALIDAD.1 para recuperar dicho servicio telefónico mediante la entrega de nuevos duplicados de tarjeta, cuya emisión implicaba la anulación de las emitidas fraudulentamente. Tercera alegación: Sobre la no valoración de los medios de prueba. DIGI señala que ha venido enumerando en sus escritos a la AEPD las medidas con relación a los procedimientos de obtención de duplicados de tarjetas SIM, sin embargo la AEPD no ha valorado dichas medidas. Por otra parte, indica que pese a la comisión de un resultado indeseado, la Agencia debe evaluar el procedimiento establecido al efecto, así como su revisión e implementación de mejoras. Pues bien, en el presente caso no se sanciona por falta de medidas de seguridad sino por el incumplimiento de dicha política de seguridad, la parte reclamada ha incumplido con su propia política de seguridad, DIGI reconoce en su escrito de respuesta a esta Agencia de fecha 17 de noviembre de 2023: “(…): 1º) (…). 2º) (…)”. En relación con lo anterior hay que señalar que la intervención fraudulenta de un tercero, lo que ha revelado es el deficiente análisis de los riesgos, así como la insuficiente implantación, revisión y control de las medidas de seguridad por parte de la operadora. Tercero ajeno al titular de los datos ha superado las medidas de seguridad establecidas por DIGI. Esto nos muestra que la identificación del titular de los datos no se producía con las suficientes garantías, independientemente de que la identificación se realizara por el propio titular o por un tercero de forma fraudulenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/36 En suma, una falta de medidas de seguridad apropiadas y un incumplimiento de las obligaciones derivadas de la responsabilidad proactiva, máxime cuando los “errores” persisten en el tiempo. Cuarta alegación: Sobre la no acreditación de culpa o negligencia por parte de DIGI. La parte reclamada defiende que cumplió con todos los protocolos de seguridad establecidos y la AEPD no ha logrado acreditar que la empresa incumpliera sus propios procedimientos de seguridad. Por el contrario, considera que la AEPD ha llegado a conclusiones erróneas al considerar que el simple hecho de que se produjera una suplantación es indicativo de una falta de diligencia por parte de la empresa. Hay que señalar, que la parte reclamada expidió dos tarjetas SIM a un tercero que no era el titular de la línea, y no siguió el procedimiento de verificación implementado por ella misma. De aquí que DIGI no logra acreditar que se haya seguido el procedimiento establecido por ella misma. De hecho, DIGI manifiesta en su escrito de respuesta a la solicitud de información de esta Agencia de fecha 17 de noviembre de 2023, que fue un error humano por parte de dos agentes de backoffice. Pues bien conforme al procedimiento de identificación descrito por la parte reclamada, por parte de los dos agentes validadores de la oficina interna de DIGI, no verificaron la autenticidad, ni contrastaron la autenticidad de la copia del DNI recibida del distribuidor oficial con el original del documento identificativo, en dos ocasiones el día 15 y 17 de octubre de 2022 siendo así que, de haberse efectuado correctamente esta operación, los dos duplicados se hubieran denegado. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para verificar la identidad de la persona que solicitó un duplicado de la tarjeta SIM. En todo caso, debe quedar claro que seguir los protocolos establecidos para estos trámites por DIGI no es suficiente para justificar la licitud del tratamiento bajo el RGPD, ya que dichos protocolos no suplen la necesidad de la concurrencia de una base legítima. Además, el procedimiento de verificación de identidad seguido por DIGI no ha garantizado adecuadamente el cumplimiento del RGPD. Quinta alegación: Sobre la inadmisibilidad de la responsabilidad objetiva. La defensa rechaza cualquier intento por parte de la AEPD de imponer una responsabilidad objetiva, es decir, sancionar a la empresa simplemente por el resultado del incidente, sin demostrar que existió culpa o negligencia. La parte reclamada argumenta que, conforme a la Sentencia del Tribunal Constitucional n.º 76/1990, el principio de culpabilidad exige la concurrencia de dolo o culpa, y la mera existencia de un error no justifica la imposición de una sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/36 Asimismo, se cita la Sentencia de la Audiencia Nacional de 25 de febrero de 2010 según la cual la superación de medidas de seguridad por parte de terceros organizados no es motivo suficiente para sancionar a la empresa afectada, especialmente cuando se han implementado medidas de protección adecuadas. En cuanto a la responsabilidad de DIGI, debe indicarse que, con carácter general DIGI trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
16. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
17. e)y
18. f)del RGPD. Por otra parte, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos, para recibir el duplicado de la tarjeta SIM. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/36 normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Asimismo, cabe recordar que la SAN de 1 de marzo de 2024 (RCA 0001757/2021) dispone que «En esta línea la STS de 13 de diciembre 2021 (Rec. 6109/2020) establece que “(…) es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud la implantación de medidas de control y verificación tendentes a asegurar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado” Así se impone al responsable del tratamiento que verifique la exactitud de los datos del interesado a través de la implementación de las medidas adecuadas cuando se efectúe una contratación. Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, y a ello obedece la exigencia de documentación identificativa, como viene reiterando la Sala entre otras en Sentencias de 3 de octubre 2013 (Rec. 54/2012), 21 de noviembre 2014 (Rec. 45/2014) etc.» Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. Recordemos que, con carácter general las operadoras tratan los datos de sus clientes al amparo de lo previsto en el artículo 6.1
19. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte (…). En este sentido, DIGI cuenta con una red de comerciales, puntos de venta y distribuidores homologados a través de un contrato de distribución para ofrecer los servicios de DIGI. Entre estos servicios ofrecidos desde sus puntos de venta, está la realización de duplicados de tarjetas SIM correspondientes a una línea de telefonía móvil. Sexta alegación: Sobre la indefensión y falta de seguridad jurídica. DIGI, afirma que no sólo se le ha generado una evidente inseguridad jurídica e indefensión, sino que se ha incurrido en una falta de motivación y ausencia de fundamentación jurídica. La exigencia de motivación de los actos administrativos, como señala entre otras la STS de 19 de nov 2001 (Rec. 6690/2000) tiene su engarce constitucional en el principio de legalidad que establece el artículo 103 CE, así como en la efectividad del control jurisdiccional de la actuación de la Administración reconocido en el artículo 106 CE, siendo en el plano legal, el artículo 35.1 de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas, el precepto que concreta los actos que han de ser motivados. Dicha exigencia responde, según reiterada doctrina jurisprudencial, de la que es exponente la STS 16 de julio de 2001 (Rec. 92/1994), a la finalidad de que el interesado pueda conocer el cuándo, cómo y por qué de lo establecido por la Administración, con la amplitud necesaria para la defensa de sus derechos e intereses, permitiendo también, a su vez, a los órganos jurisdiccionales el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/36 conocimiento de los datos fácticos y normativos que les permitan resolver la impugnación judicial del acto, en el juicio de su facultad de revisión y control de la actividad administrativa; de tal modo que la falta de esa motivación o su insuficiencia notoria, en la medida que impiden impugnar ese acto con seria posibilidad de criticar las bases y criterios en que se funda, integran un vicio de anulabilidad, en cuanto dejan al interesado en situación de indefensión. Motivación de los actos administrativos, que como señala la STS de 29 de marzo de 2012 (Rec. 2940/2010, por todas), no exige ningún razonamiento exhaustivo y pormenorizado, debiendo expresar las razones que permitan conocer los criterios esenciales fundamentadores de la decisión “facilitando a los interesados el conocimiento necesario para valorar la corrección o incorrección jurídica del acto a los efectos de ejercitar las acciones de impugnación que el ordenamiento jurídico establece y articular adecuadamente sus medios de defensa”. Pues bien, en el presente procedimiento no cabe apreciar la falta de motivación. Cuestión distinta es que DIGI discrepe legítimamente de dicha argumentación, pero ello no implica la inexistencia de motivación suficiente, por lo que no cabe apreciar ni indefensión ni falta de seguridad jurídica por la infracción señalada en la propuesta de resolución. Por todo ello, no cabe acceder a la solicitud de DIGI respecto a la inexistencia de responsabilidad. Séptima alegación: Sobre la falta de proporcionalidad de la sanción propuesta. DIGI solicita que no se aprecien las siguientes circunstancias agravantes: La intencionalidad o negligencia de la infracción (artículo 83.2
20. b)del RGPD. Señala que tratándose de un hecho causado por la comisión de un acto delictivo de un tercero no imputable a DIGI, no parece permisible, que se le impute este agravante. Toda infracción anterior cometida por el responsable o el encargado del tratamiento. Manifiesta que no debe confundirse la generalización de la catalogación de este tipo de delitos como SIM Swapping como la existencia de un modus operandi o tipo delictivo común entre todos ellos., no es posible exigir una efectividad absoluta de las medidas diseñadas para la prevención del fraude, puesto que no es posible predecir, aunque se dediquen abundantes medios a ello, cuál será la posible siguiente actividad que requerirá de un nuevo despliegue de medidas por parte de DIGI. Vinculación entre su actividad y el tratamiento de datos personales de clientes o de terceros (artículo 83.2K, del RGPD en relación con el artículo 76.2 b, de la LOPDGDD). Señala que dicho agravante debe ser puesto en contexto con el despliegue de medidas efectuado por DIGI. En este sentido, indica que el tratamiento de datos no nace de una intención de la entidad sino que tiene lugar la comisión de un delito del que DIGI es parte perjudicada. Por todo ello, no cabe interpretar este aspecto como agravante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/36 DIGI solicita que se aprecien las siguientes circunstancias atenuantes: - En ningún momento se han tratado categorías especiales de datos (Art. 83.2 g RGPD). La parte reclamada expone que DIGI no ha tratado datos de categoría especial, que el nombre, apellidos y DNI no forman parte de las categorías especiales (art. 9 del RGPD). - El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. Igualmente, señala que ha contestado en tiempo y forma a tos los requerimientos de información solicitados por esta Agencia (art. 83.2
21. f)RGPD). - El inexistente beneficio obtenido. Además, manifiesta que se ha visto perjudicada, al verse afectada por la comisión de fraude por un tercero, lo que le ha obligado a reparar la situación causada y llevar a cabo investigaciones, con el consiguiente asociado (art. 83.2k RGPD). Estas alegaciones se contestan en el apartado VII (Sanción de multa: Determinación del importe). V Obligación Incumplida Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
22. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
23. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
24. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
25. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
26. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/36
27. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
28. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Hay que señalar que el tratamiento de datos requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso, se imputa a la parte reclamada la vulneración del artículo 6.1 del RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo no constando acreditada ninguna de las bases de legitimación previstas en el citado artículo en relación con el tratamiento relacionado con los datos de la parte reclamante. Se considera tratamiento cualquier operación realizada sobre datos personales, incluida la comunicación de tales datos a un tercero. El RGPD, en el punto 2 de su artículo 4, define tratamiento como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. Consta acreditado en las actuaciones que DIGI trató los datos personales de la parte reclamante para la emisión de dos duplicados de tarjeta SIM de una línea de teléfono móvil de su titularidad, que posteriormente facilitó a un tercero, sin su consentimiento y sin que exista otra base jurídica que ampare dichos tratamientos de datos personales. Ello tuvo lugar porque DIGI no verificó la identidad de la persona que solicitó los duplicados de la tarjeta SIM, no tomó las cautelas necesarias para que estos hechos no se produjeran y emitió los duplicados de tarjeta sin la intervención y sin conocimiento de la parte reclamante. Ni siquiera DIGI cumplió los protocolos que tiene establecidos para realizar esa verificación de identidad para solicitudes de este tipo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/36 En las fechas 15 y 17 de octubre de 2022, DIGI tramitó la emisión de dos duplicados de la tarjeta SIM, perteneciente a la parte reclamante, y que según DIGI, en su escrito de respuesta de fecha 17 de noviembre de 2023: “En el momento de hechos, se encontraba en funcionamiento un nuevo procedimiento de duplicado SIM (…)”. Y, además manifiesta DIGI: “(…)”. A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C -101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. Pues bien, el resultado fue que la reclamada expidió dos tarjetas SIM a un tercero que no era el titular de la línea, y no siguió el procedimiento de verificación implementado por ella misma. A la vista de lo anterior, DIGI no logra acreditar que se haya seguido ese procedimiento. De hecho, DIGI manifiesta en su escrito de respuesta a la solicitud de información de esta Agencia de fecha 17 de noviembre de 2023, que fue un error humano por parte de dos agentes de backoffice. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/36 Pues bien, conforme al procedimiento de identificación descrito por la parte reclamada, por parte de los dos agentes validadores de la oficina interna de DIGI, no verificaron la autenticidad, ni contrastaron la autenticidad de la copia del DNI recibida del distribuidor oficial con el original del documento identificativo, en dos ocasiones el día 15 y 17 de octubre de 2022 siendo así que, de haberse efectuado correctamente esta operación, los dos duplicados se hubieran denegado. Por otra parte, advierte DIGI en la información facilitada a esta AEPD que remite un correo electrónico y un SMS al titular de la línea a la que corresponde el duplicado de tarjeta emitido. Sin embargo, dichas comunicaciones se envían cuando los duplicados ya han sido validados, sin oportunidad alguna de que el titular puede reaccionar para evitarlo. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para verificar la identidad de la persona que solicitó un duplicado de la tarjeta SIM. En definitiva, la emisión de un duplicado de tarjeta SIM implica necesariamente un tratamiento de datos personales. Dicho tratamiento debe cumplir con una base jurídica que lo legitime, tal como exige el citado artículo 6.1 del RGPD, al igual que cualquier comunicación de datos personales a un tercero. En este caso, la emisión de los duplicados SIM a solicitud de un tercero sin la intervención o consentimiento del titular constituye una falta de base jurídica válida para dicho tratamiento de datos. Se estima oportuno reiterar que seguir los protocolos establecidos para estos trámites por DIGI no es suficiente para justificar la licitud del tratamiento bajo el RGPD, ya que dichos protocolos no suplen la necesidad de la concurrencia de una base legítima, y que el procedimiento de verificación de identidad seguido por DIGI no ha garantizado adecuadamente el cumplimiento del RGPD. Por lo tanto, la emisión de los duplicados SIM en estas condiciones y su entrega a una persona distinta al titular de la línea telefónica constituyen un tratamiento de datos personales sin base jurídica y, en consecuencia, una infracción del artículo 6.1 del RGPD, dado que se ha realizado sin cumplir con ninguna de las bases legitimadoras para dicho tratamiento. La responsabilidad no reside en la falta de cumplimiento de un protocolo interno, sino en la ausencia de una base jurídica válida conforme a las disposiciones del RGPD. De conformidad con las evidencias de las que se dispone, se estima que la conducta de la parte reclamada podría vulnerar el artículo 6.1 del RGPD pudiendo ser constitutiva de la infracción tipificada en el artículo 83.5.
29. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: “