PS-00159-2024

1/44  Expediente N.º: EXP202307361 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 17 de abril de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la marca O2 de TELEFÓNICA MÓVILES ESPAÑA, S.A. con NIF A78923125 (en adelante, la parte reclamada o TME). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el día 15 de enero de 2023, un tercero realizó sin su consentimiento un duplicado de la tarjeta SIM de su línea de teléfono ***TELÉFONO.1, sin que con ocasión de dicho trámite la parte reclamante recibiese información o confirmación de cualquier tipo en su terminal o en alguno de los otros números de su contrato. Añade que el día 16 de enero de 2023, tras observar que se había quedado sin servicios, contactó con el teléfono de atención al cliente y pudo conocer lo sucedido, sin que en ese momento se le ofreciera solución alguna. Un día después, el 17 de enero de 2023, acudió a una tienda física de TME en ***LOCALIDAD.1 para recuperar su línea, donde le informaron que un tercero con correo electrónico “***EMAIL.1”, no vinculado a su contrato, había solicitado un duplicado el día previo. Señala que la persona que efectuó el citado duplicado cometió diversas estafas en distintos comercios a cargo de su cuenta bancaria. Y, aporta la siguiente documentación: - Denuncia ante la Policía Nacional de (...) de fecha 17 de enero de 2023. Denuncia ante la Policía Nacional de (...) de fecha 20 de enero de 2023. Contrato del servicio de telecomunicaciones O2 fibra y móvil de fecha 16 de agosto de 2022. Certificado emitido por WiZink Bank S.A.U. en fecha 14 de enero de 2023, indicando las operaciones realizadas en internet los días 16 y 17 de enero de 2023 con la tarjeta que la entidad emitió a nombre del reclamante. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/44 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 5 de junio de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 4 de julio de 2023 se recibe en esta Agencia escrito de respuesta indicando: “En relación a los hechos reclamados, Telefónica informa de que existe una solicitud de cambio de ICC de la tarjeta SIM asociada a la línea móvil ***TELÉFONO.1, de titularidad de D. A.A.A. a través de nuestro servicio de atención al cliente telefónica 1551, y que sí se gestiona dado que la petición sí que reunía los requisitos necesarios conforme a la operativa establecida a tales efectos, actuando por tanto nuestro agente de forma correcta. En este caso, la solicitud que se realizó para el duplicado es que fuera en formato E-SIM. En este sentido, cabe destacar que, en la mencionada operativa, para que sea posible el envío de un duplicado a través de E-SIM por correo electrónico, el titular solicitante debe facilitar los siguientes datos: -Número de DNI -Nombre completo y apellidos -Número de móvil del que solicita el cambio de tarjeta -Correo electrónico que figura en la ficha del cliente -Tiene que facilitar los 4 últimos dígitos del código de la última factura. En este caso, dado que la solicitud reunía y cumplía con todos los requisitos antes expuestos, se llevó a cabo el envío de la E-SIM al correo electrónico registrado. Por tanto, si los hechos que denunciaba el reclamante hubieran sido compatibles con los de un posible fraude o conducta delictiva, cabe destacar que el supuesto defraudador contaba de antemano con todos los datos de la línea detallados anteriormente. Desde Telefónica, y una vez recibida la reclamación, procedemos a realizar un análisis exhaustivo de lo ocurrido, y lo que se detecta es que, el día 16 de enero 2023 en que se produce la solicitud del duplicado de tarjeta SIM a través del número 1551, se había producido previamente un cambio de correo electrónico a través de la cuenta del cliente en O2 desde la Aplicación Móvil. Este acceso (cambio de correo electrónico de contacto) se produce el día 13 de enero de 2023 sin ningún tipo de incidencia. Es decir, es un acceso que se produce con total facilidad, sin emplear ninguna fuerza bruta, lo que nos puede llevar a sospechar que el posible defraudador conoce todos los datos de acceso a la cuenta privada del cliente. En este caso, como decimos, el acceso a la cuenta del cliente se realiza sin ninguna incidencia ni error, al primer intento, es decir, que las medidas de seguridad implantadas por O2 no se han vulnerado, por ello, entendemos que el cambio de correo electrónico que se produce a través de la cuenta de la reclamante es un cambio lícito. Desde Telefónica, y dadas las circunstancias que han concurrido en el caso, informar a la Agencia que, una vez tenido conocimiento del hecho se procedió a atender la reclamación realizada por el reclamante. A este respecto, tenemos que mencionar que, en la factura emitida con fecha 1 de marzo de 2023, se produjo la devolución de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/44 los 14,50 euros (IVA incl.) abonados por el titular de la línea para la obtención de la nueva tarjeta SIM”. Con su respuesta al trámite de traslado de la reclamación, TME no aportó documentación alguna como prueba de sus manifestaciones. TERCERO: Con fecha 17 de julio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 4 de septiembre de 2024 se recibió en esta Agencia la respuesta efectuada por TME al requerimiento de información que le fue remitido por los Servicios de Inspección. En esta respuesta la citada entidad manifiesta lo siguiente: PUNTO 1. La parte reclamada indica que, revisados sus sistemas, no consta la grabación con la solicitud del duplicado de la tarjeta SIM realizada de forma telefónica. Indica que, no obstante, como la solicitud provenía de una petición previa por correo electrónico en la que se derivaba la gestión al 1551 (telefónicamente), sí consta registro del agente comercial en la ficha del cliente en el que detalla se procede a la gestión de la solicitud, puesto que el solicitante remitió un correo electrónico con la documentación relativa al DNI, nombre completo y el móvil para el que solicita la gestión. TME adjunta como Anexo 1 copia de un correo electrónico, remitido desde la dirección “***EMAIL.1”, así como el correo de respuesta remitido por un agente de la operadora. El contenido de ambos correos electrónicos consta reseñado en el Hecho Probado Segundo, si bien en el documento aportado no se especifica la fecha de ninguno de ellos. En el procedimiento manifestado por la entidad en el marco del traslado de la reclamación indicaba que para que sea posible el envío de un duplicado de E-SIM a través de correo electrónico, el titular solicitante debe facilitar los siguientes datos: -Número de DNI. -Nombre completo y apellidos. -Número de móvil del que solicita el cambio de tarjeta. -Correo electrónico que figura en la ficha del cliente. -Tiene que facilitar los 4 últimos dígitos del código de la última factura. Manifiesta que, con respecto a la realización de la llamada de seguridad, ésta no se produjo dado que la remisión de la documentación se habría realizado desde correo electrónico, y que, no obstante lo anterior, el agente comercial no habría seguido la operativa señalada a tales efectos con respecto a la llamada de seguridad, la cual C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/44 tendría que haberse efectuado puesto que la solicitud provenía de un correo electrónico que no era el que constaba en la ficha de cliente. PUNTO 2. Se ha solicitado a la parte reclamada información sobre si el procedimiento incluye comprobaciones adicionales cuando se solicita un E-SIM y se ha producido recientemente un cambio de dirección de correo electrónico del cliente. Se ha pedido documentación acreditativa de haber realizado comprobaciones adicionales, en su caso. El representante de la parte reclamada indica que, en el momento de los hechos, en los casos concretos de solicitudes de E-SIM se seguían los procedimientos de identificación habituales como si se tratase de un caso de duplicado de SIM en formato físico. Manifiesta que, para este tipo de solicitudes, debe comprobarse que la tarjeta en formato E-SIM es remitida a la dirección de correo electrónico que consta en sus sistemas en la ficha del cliente. TME con fecha 4 de septiembre de 2023, en respuesta al requerimiento de información de esta Agencia de fecha 17 de agosto de 2023, señala: “Sobre el caso concreto, si bien se puede apreciar tal como se refleja en la documentación adjunta como Anexo 1, que la remisión de la documentación se hace por correo electrónico, no consta registro de que la E-SIM se mandase al correo electrónico que figuraba en la ficha de cliente del reclamante”. Destaca que actualmente la operativa se ha reforzado puesto que ya sea para cambio de correo electrónico como para el duplicado de tarjeta SIM, si un cliente llama desde un número distinto para el que se está solicitando la gestión o escribe desde un correo electrónico distinto al que figura como validado, se envía a la línea en cuestión un código OTP como doble factor de autenticación que será necesario facilitar al agente comercial como requisito indispensable para proceder con la gestión. Manifiesta a modo aclaratorio cabe indicar que un código OTP, o "One-Time Password" (Contraseña de un solo uso), es una contraseña que se utiliza solo una vez para autenticar a un usuario durante una sesión o transacción específica. Los OTP pueden generarse de varias maneras: mediante una aplicación de autenticación móvil, un dispositivo de hardware específico, o mediante mensajes SMS o correos electrónicos. PUNTO 3. Se ha requerido a la parte reclamada aporte copia de las instrucciones de que dispone el personal que atiende las solicitudes telefónicas de duplicados de SIM y E-SIM, para la atención de las mismas. El representante de la entidad ha aportado la versión de las instrucciones existentes en el momento de los hechos. Por parte del inspector de la AEPD se verifica que tales instrucciones no citan ninguna información específica para duplicados E-SIM. El representante de la entidad ha manifestado que en los casos concretos de solicitudes de E-SIM se seguían los procedimientos de identificación habituales como si se tratase de un caso de duplicado de SIM en formato físico. Indica que, de forma adicional, para este tipo de solicitudes debe comprobarse que la tarjeta en formato ESIM es remitida al correo electrónico que consta en los sistemas de la entidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/44 Se verifica por parte del inspector de la AEPD que las instrucciones existentes en el momento de los hechos citan, para emitir duplicado de SIM. Estas instrucciones, según la documentación aportada por TME, indican lo siguiente en relación con los duplicados de tarjeta y cambio de ICC (código que identifica la SIM): “- El solicitante debe ser titular - Debe facilitar: . Nombre y apellidos . Identificador Fiscal . últimos dígitos del Nº de la última factura O2 . para Bajas por Defunción o incapacidad ver procedimiento - Si llama desde el Nº de la gestión, no se le hará llamada. - Si no llama desde el Nº de la gestión, una vez identificado, indicarle que se cuelga para comprobaciones, y emitir Ilamada al Nº de titular (ver todo OK). - Tanto si esta llamada es respondida como si no, se envía email al correo de contacto de titular para aviso de cualquier cambio. - Se finaliza comprobación y se devuelve llamada al cliente al número de su interés para terminar la gestión”. Aportan copia de instrucciones que denomina “de refuerzo” (nuevas instrucciones tras los hechos denunciados), manifestando que se han establecido actualmente sobre la citada operativa. En ellas se indica que en caso de “llamada desde teléfono desconocido” o “contacto desde otro EMAIL”  “hay que llamar al titular / y o envío OTP comprobación”  “El titular tiene que dar el OK a la gestión en la llamada y confirmar con OTP”. PUNTO 4. Se ha requerido a la parte reclamada que aporte la relación y detalle de todos los contactos mantenidos con el cliente entre los días 12/01/2023 y 18/01/2023 incluyendo las anotaciones realizadas por los gestores de atención telefónica/chat/email/etc., y acreditación documental de las acciones emprendidas en cada contacto. El representante de la parte reclamada manifiesta que el 13 de enero de 2023 se recibió el ya referido correo electrónico solicitando un duplicado de tarjeta para la línea afectada, al que se le dio respuesta remitiéndolo al 1551 para la gestión. Manifiesta que posteriormente, el día 16 de enero de 2023, una persona llamó a las 14:10 horas para solicitar el duplicado de tarjeta, en la que habría indicado al agente comercial que habría facilitado previamente la documentación de su DNI por correo electrónico. Hecho esto, el agente comercial, al comprobar estos hechos, habría acabado tramitando el duplicado de E-SIM. Indica que esta llamada no fue grabada. TME con fecha 4 de septiembre de 2023, en respuesta al requerimiento de información de esta Agencia de fecha 17 de agosto de 2023, aporta la siguiente anotación en la ficha del cliente, consta con fecha 16/01/2023 (14:10h) “reclama duplicado de esim para línea […], se confirma documentación enviada […] realizo gestión”. El representante de la parte reclamada manifiesta que consta contacto telefónico del cliente el mismo día 16/01/2023 a las 18:41h. porque no tenía servicio y que se activa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/44 bloqueo por robo. Indica que dicha llamada no fue grabada, aportando un registro del contacto. A modo de conclusión, el inspector de la AEPD, en su informe de actuaciones previas de fecha 26 de marzo de 2023 indica: Se ha evidenciado que el duplicado SIM objeto de reclamación era un E-SIM (SIM electrónico). Se ha evidenciado que el duplicado E-SIM se emitió y activó a pesar de haber sido solicitado desde una dirección de correo distinta a la que constaba del cliente en los sistemas de la entidad, sin efectuar comprobaciones de seguridad adicionales, tales como una llamada de comprobación al titular. El código QR se remitió a ese correo electrónico distinto del que constaba del cliente. Los representantes de la parte reclamada manifiestan que estaba estipulada una llamada de comprobación adicional en la política de seguridad de la entidad y que se incumplió por parte del agente que tramitó la solicitud. No obstante, se ha evidenciado que esta llamada de comprobación solo se citaba en la política de seguridad para el caso de que el solicitante llamara desde otro número, no especificándose explícitamente cómo proceder en el caso de recepción de correos electrónicos desde otra dirección. En la actualidad han modificado su política de seguridad, incluyendo la llamada de comprobación (o comprobación mediante envío de OTP al cliente) también el caso de que se reciba un correo electrónico desde otra dirección. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad TELEFÓNICA MÓVILES ESPAÑA, S.A.U. es una gran empresa constituida en el año 1988, y con un volumen de negocios de (...) euros en el año 2022. SEXTO: Con fecha 21 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones el 17 de junio de 2024, manifestando lo siguiente: CUESTIÓN PREVIA. - PREJUDICIALIDAD PENAL En primer lugar, Telefónica indica que el Reclamante al interponer una denuncia ante los Cuerpos y Fuerzas de Seguridad del Estado en fecha de 17 de enero de 2023, así como en fecha 20 de enero de 2023 en relación con los mismos hechos que se están tratando en el presente procedimiento. Por ello, solicita a la Agencia “que suspenda el procedimiento sancionador y requiera al Reclamante a fin de que aporte información acerca del estado en el que se encuentra la denuncia interpuesta, así como el contenido del procedimiento penal que en su caso se encuentre en marcha, pudiendo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/44 llegado el caso, acordar la suspensión de este procedimiento por prejudicialidad penal dada la íntima relación que, como esta parte ya adelanta, es probable que exista entre el procedimiento penal y el administrativo”. I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR PRIMERA. - INEXISTENCIA DE COMISIÓN DE INFRACCIÓN. DISCONFORMIDAD CON EL ACUERDO DE INICIO DEL EXPEDIENTE SANCIONADOR Manifiesta Telefónica su total disconformidad con la incoación del presente expediente sancionador y con lo establecido en los supuestos hechos probados que se recogen en la fundamentación del Acuerdo, indicando que, de las contestaciones realizadas por la parte reclamada a los requerimientos de información realizados por la Agencia, en ningún caso se puede inferir que supongan admitir, presuponer o verificar por parte de la Agencia que el agente comercial no siguió la operativa relativa a la identificación del cliente. Señala Telefónica que no consta una prueba de cargo, con entidad suficiente, como para destruir la presunción de inocencia de Telefónica que acredite la ausencia de verificación de la identidad de quien solicitó el duplicado de la tarjeta E-SIM, ni tampoco para acreditar la ausencia de aplicación de las cautelas previstas. En este sentido, señala la parte reclamada las medidas técnicas y organizativas implantadas por Telefónica que resultan apropiadas para la gestión de la que trae causa el presente Acuerdo, esto es, duplicados de tarjeta SIM o E-SIM y, en concreto, sobre su tramitación en la marca comercial “O2”, dado que es la marca comercial sobre la que se prestan los servicios móviles objeto del presente procedimiento. A este respecto, indica Telefónica que, conforme a la operativa, las comprobaciones de identidad se han tenido que llevar a cabo, toda vez que cuenta con un procedimiento consolidado y adecuado de verificación de identidad de sus clientes que reviste las garantías suficientes para identificar al solicitante del duplicado de la tarjeta E-SIM, y la Agencia no ha podido acreditar mediante prueba de cargo suficiente al respecto, que esto no haya sido así. Que no exista copia del contrato no es sinónimo de que la identificación no se realizase correctamente. II. LAS CIRCUNSTANCIAS QUE HAN HECHO POSIBLE LA SUPERACIÓN POR TERCERAS PERSONAS DE LAS POLÍTICAS DE SEGURIDAD IMPLANTADAS POR TELEFÓNICA. PRIMERO. - SOBRE LA PRESUNTA INFRACCIÓN COMETIDA POR PARTE DE TELEFÓNICA: AUSENCIA DE TIPICIDAD, ANTIJURICIDAD Y CULPABILIDAD. Considera que el principio de tipicidad se está vulnerando dado que la conducta realizada por Telefónica no es subsumible en ninguno de los preceptos cuya infracción se imputa. Señala que la Agencia considera vulnerado el artículo 6.1 del RGPD (condiciones en las que el tratamiento será considerado como lícito) y la infracción la tipifica conforme C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/44 al artículo 83.5 RGPD sin embargo, la Agencia no hace mención acerca de cuál de las bases legitimadoras que se recogen el art. 6.1 sería la necesaria para llevar a cabo el tratamiento de los datos del reclamante que ha originado el presente Acuerdo, para que pudiera entenderse legítimo. Señala la parte reclamada, que la base legal que legitima el tratamiento de los datos personales del reclamante no es otra que la de la ejecución del contrato, esto es, la base legitimadora que contempla el apartado

1. b)del citado artículo 6.1: “el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales”. Indica, que en este caso concreto el tratamiento de datos personales se realiza con la finalidad de gestionar un duplicado de tarjeta E-SIM para la correcta prestación de servicio, o lo que es lo mismo, para poder ejecutar el contrato que el Reclamante tiene suscrito con Telefónica. Por tanto, el tratamiento es en cualquier caso lícito. “TME” considera que ha actuado en todo momento con buena fe y fundada creencia excluyente de toda culpabilidad, y señala que la antijuricidad de la conducta es un elemento configurador de cualquier ilícito administrativo, exige en su vertiente o aspecto formal que exista una oposición entre el comportamiento y la norma infringida. Por tanto, si el comportamiento viene avalado por el ordenamiento jurídico, jamás podrá hablarse de conducta antijurídica ni, por ende, sancionable. Pues bien, “TME” rechaza la antijuridicidad de la conducta. SEGUNDO. –AUSENCIA DE CULPABILIDAD. ERROR DE TIPO. “TME” señala que no concurre el requisito de culpabilidad en su actuación que los principios inspiradores del orden penal son de aplicación al derecho administrativo sancionador, señalando que uno de los principales componentes de la infracción administrativa es el elemento de la culpabilidad, lo que presupone que la acción u omisión ha de ser en todo caso imputable a su autor por malicia, imprudencia, negligencia o ignorancia inexcusable, requisitos que no se cumplen en este caso. Por ello, aún en el caso de que la Agencia considere que sí ha existido un tratamiento ilícito de datos por esta parte, considerando que la acción de Telefónica es típica y antijurídica, en ningún caso se puede afirmar que la conducta seguida por Telefónica pueda considerarse culpable. Asimismo, manifiesta que en la gestión del duplicado de E-SIM se habría realizado en todo caso por el resultado de actos de engaño, manipulación y uso ilícito de datos por parte de una tercera persona, quien habría engañado al agente comercial haciéndole creer que se trataba de la persona titular de los datos o que contaba con su consentimiento para efectuar la solicitud al haberse identificado de forma correcta con los datos de cliente que figuran en sus sistemas. Señala que, en este caso, donde conforme a operativa, el cliente se habría identificado con los datos correctos para la solicitud del duplicado de tarjeta SIM, queda constatado que se estaría ante un error de tipo invencible, donde se desconocía la antijuricidad de la conducta, debiendo procederse con el archivo del procedimiento, al no poderse determinar la culpabilidad de Telefónica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/44 TERCERO. – SOBRE LOS CRITERIOS DE GRADUACIÓN DE LA SANCIÓN “TME” manifiesta su disconformidad con la cuantía de la sanción propuesta en el Acuerdo de Inicio señalando los siguientes aspectos: La Agencia tiene en cuenta siguiente circunstancia para agravar la conducta de Telefónica: “La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD)”. “TME” considera que no se ha producido un tratamiento ilegítimo de los datos del reclamante, toda vez que su tratamiento se encuentra legitimado por el artículo 6.1 del RGPD, siendo éste necesario para la ejecución de un contrato en el que el interesado es parte. Por lo tanto, no puede ser considerada como agravante. Indica además que la Agencia considera de facto que, dado que “TME” gestiona un alto volumen de tratamiento de datos, debe de aplicarse esta agravante. Por otra parte, señala que la circunstancia del artículo 83 2.
2. e)RGPD, mencionando de forma expresa la Agencia los procedimientos sancionadores EXP202207989 y EXP202211479. Señalando que ambas resoluciones sancionadoras devinieron firmes con posterioridad a la acción típica enjuiciada en el presente expediente sancionador que proviene de un acto que sucedió en fecha de 16 de enero de 2023, es decir, en un tiempo anterior a las resoluciones sancionadoras referenciadas. Indica que resulta del todo lógico que, si estamos hablando de un caso individual, la sanción debe ajustarse a ese caso concreto, y no a una especie de sanción conjunta en la que se tienen en cuenta casos similares en los que se pueda haber impuesto una sanción a Telefónica por una supuesta infracción del artículo 6.1 del RGPD. “TME” cita en su descargo una serie de resoluciones dictadas por la AEPD, manifestando que el EXP20210446 se procedió al archivo del mismo al entender que ya había un expediente sancionador en curso por los mismos hechos y que Telefónica ya ha sido sancionada por los mismos hechos que hoy se desarrollan en el procedimiento, la Agencia impuso la sanción a través del procedimiento con referencia PS/00021/2021y por lo tanto incumple principio non bis ídem. “TME” señala que en el presente caso concurren las siguientes atenuantes del art. 83.2 del RGPD, las cuales han sido obviadas por la Agencia en el Acuerdo de inicio:
3. b)la intencionalidad o negligencia en la infracción: como se ha señalado, no se dan en este caso los requisitos de intencionalidad en la supuesta comisión de la infractor o actitud negligente, toda vez que ha sido un tercero el que habría tratado los datos personales de la Reclamante sin su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/44
4. c)Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva: tal como fue señalado en las contestaciones a los requerimientos de información, la línea objeto de la reclamación fue posteriormente recuperada por el cliente, lo antes posible y una vez puesto en 19 conocimiento de Telefónica los hechos, procediéndose con la devolución del importe de la tarjeta SIM.
5. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados: Telefónica procedió a tomar las acciones oportunas, robusteciendo la operativa marcada a tales efectos. Además, la operativa demuestra ser completamente robusta en base a las cifras expuestas.
6. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42: Telefónica ha suscrito el Código de Conducta de Autocontrol sobre tratamiento de datos en la actividad publicitaria, el cual es un sistema de resolución extrajudicial para resolver controversias que surjan entre los ciudadanos y las entidades adheridas al código con motivo de tratamientos de datos realizados en el ámbito de la actividad publicitaria. CUARTO. - ACTOS PROPIOS Y NON BIS IN IDEM “TME” señala que la actuación de la Agencia ante un expediente referido a hechos sustancialmente iguales a los que son objeto de reclamación que nos ocupa, ha sido contradictoria, pues así nos lo hizo saber la propia Agencia en el expediente con referencia N.º EXP202104446 de fecha 26 de enero de 2022, en el que se procedió al archivo del mismo al entender que ya había un expediente sancionador en curso por los mismos hechos, cuyo literal fue el siguiente: “Sobre este particular, procede resaltar que hechos similares a los que son objeto de reclamación han sido investigados por esta Agencia y sancionados en el procedimiento sancionador PS/00021/2021, tramitado contra la parte reclamada, por resolución de fecha 8/11/2021, por lo que no procede el inicio de un nuevo procedimiento sancionador”. Indica que en todos los procedimientos sancionadores incoados frente a Telefónica por hechos similares, como por ejemplo en los procedimientos sancionadores EXP202209359, EXP202207989, EXP202211479 o EXP202206971, la Agencia ha apreciado siempre, y en cualquier caso, la atenuante referida a haber solventado la incidencia objeto de la reclamación de forma efectiva, algo que concurre en este caso y es obviado (por ej. Resolución sancionadora del EXP202206971: “En calidad de atenuantes: Procedió la parte reclamada a bloquear la línea en cuanto tuvo conocimiento de los hechos (art. 83.2 c)” Afirma que la discrepancia de la actuación administrativa entre un expediente y otro supondría la clara vulneración de la doctrina de los actos propios. Además, señala que Telefónica ya ha sido sancionada por los mismos hechos que hoy se desarrollan en este procedimiento, y que la Agencia le impuso la sanción a través del procedimiento con referencia PS/00021/2021. Considera “TME” que el iniciar un nuevo procedimiento sancionador, de forma sucesiva, sin que haya un pronunciamiento por parte de los Tribunales de Justicia, y sobre los mismos hechos, incumple el principio non bis in idem. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/44 Indica que conforme la doctrina consolidada del Tribunal Constitucional, la Constitución Española prohíbe la imposición de más de un castigo por el mismo ilícito. Esta prohibición constituye la vertiente material de la garantía non bis in idem, y el Tribunal Constitucional ha entendido que, sin estar expresamente recogida en el texto constitucional, debe considerarse implícita en el art. 25.1 CE por su estrecha vinculación con el principio de legalidad punitiva, según proclamó tempranamente la STC 2/1981, de 30 de enero, y que vienen asumiendo todos los Tribunales Contencioso-Administrativos: - STC 2/1981, de 30 de enero: “si bien no se encuentra el principio non bis in idem recogido expresamente en los artículos 14 a 30 de la Constitución, que reconocen los derechos y libertades susceptibles de amparo, no por ello cabe silenciar que, como entendieron los parlamentarios en la Comisión de Asuntos Constitucionales y Libertades Públicas del Congreso al prescindir de él en la redacción del art. 9.1 del Anteproyecto 21 de Constitución, va íntimamente unido a los principios de legalidad y tipicidad de las infracciones recogidos principalmente en el artículo 25 de la Constitución”. - SSTC 2/2003, de 16 de enero, y 48/2007, de 12 de marzo: “el principio non bis in idem integra el derecho fundamental al principio de legalidad en materia penal y sancionadora (artículo 25.1 CE) a pesar de su falta de mención expresa en dicho precepto constitucional, dada su conexión con las garantías de tipicidad y legalidad de las infracciones”. Indica que en el ámbito de la legislación ordinaria aplicable, cabe mencionar que, conforme al artículo 31 de la Ley 40/2015, de 1 de octubre del Régimen Jurídico del Sector Público: “No podrán sancionarse los hechos que lo hayan sido penal o administrativamente, en los casos en que se aprecie identidad del sujeto, hecho y fundamento”. Por ello, considera que debería procederse con el archivo del presente expediente sancionador o, al menos, suspenderlo, y esperar al dictamen de los Tribunales de Justicia al respecto. Por todo lo expuesto, “TME” solicita: i. Se declare la inexistencia de responsabilidad por parte de Telefónica por la presunta infracción que se le imputa en este procedimiento, ordenando el archivo del presente expediente sancionador. ii. Subsidiariamente y para el caso de que no se proceda al archivo del presente expediente sancionador, se suspenda el presente procedimiento y se requiera al reclamante a fin de que aporte en qué punto está la denuncia interpuesta, así como el contenido del procedimiento penal que en su caso se encuentre en marcha, con el fin de determinar si existe prejudicialidad penal. iii. Por último, en caso de que no se estimasen ninguna de las pretensiones anteriores, que se minore la sanción inicialmente propuesta en virtud de las atenuantes estipuladas en el art. 83 del RGPD. OCTAVO: Con fecha 12 de febrero de 2025, se emitió por el instructor del expediente la propuesta de resolución y fue notificada electrónicamente el día 17 del mismo mes y año y en la misma se proponía: “Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a TELEFÓNICA MÓVILES ESPAÑA, S.A.U., con NIF A78923125, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa por un importe de 200.000 euros (doscientos mil euros)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/44 NOVENO: Con fecha 18 de febrero de 2025, solicitó TME ampliación de plazo para formular alegaciones a la propuesta de resolución y el día 24 del mismo mes y año le fue concedido y el día 5 de marzo de 2025 presentó escrito en el que reproduce, básicamente las mismas alegaciones formuladas al acuerdo de apertura del procedimiento. El contenido de dicho escrito se reseña en el Fundamento de Derecho IV, de “Contestación a las alegaciones presentadas a la Propuesta de Resolución”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. - La parte reclamante es cliente de la entidad TME, siendo titular, entre otros servicios, de la línea de telefonía móvil ***TELÉFONO.1. Segundo. - Consta en las actuaciones, aportado por TME, copia de un correo electrónico, remitido desde la dirección “***EMAIL.1”, con el texto siguiente: “Esim para mi línea ***TELÉFONO.1 Mi nombre es… (nombre y apellidos de la parte reclamante) Con DNI… (número de DNI de la parte reclamante) Factura… (número completo de una factura) Adjunto DNI”. Este correo incluye dos archivos en formato pdf. con el nombre “***ARCHIVO.1” y “***ARCHIVO.2”, cuyo contenido se desconoce al no haber sido aportado a las actuaciones por TME. Se aporta, asimismo, la respuesta a este correo, en la que un agente de la operadora indica lo siguiente: “Si necesitas una nueva eSIM, por favor, ponte en contacto con el 1551, número gratuito de O2, y realizaremos esta gestión. Si necesitas un duplicado con urgencia, también puedes solicitarlo en cualquier tienda Movistar… El equipo de O2”. En el documento aportado por TME no se especifica la fecha de ninguno de estos correos electrónicos. Tercero. - Con fecha 16/01/2023, a través de su servicio telefónico de atención al cliente 1551, TME recibió una solicitud de duplicado de la tarjeta SIM asociada a la línea móvil ***TELÉFONO.1, en formato E-SIM. Dicha solicitud fue gestionada por dicha entidad. En los sistemas de información de TME, asociada a la ficha de cliente de la parte reclamante, consta la siguiente anotación con fecha 16/01/2023 (14:10 horas): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/44 “reclama duplicado de esim para línea… se confirma documentación enviada… realizo gestión”. TME ha manifestado al respecto que “como la solicitud provenía de una petición previa por correo electrónico en la que se deriva la gestión al 1551, sí consta registro del agente comercial en ficha del cliente en el que detalla se procede a la gestión de la solicitud puesto que el cliente remitió un correo electrónico con la documentación relativa al DNI, nombre completo y el móvil para el que solicita la gestión”. Cuarto. - La parte reclamante ha manifestado que, con fecha 16/01/2023, se quedó sin servicio de telefonía, por lo que contactó telefónicamente con el servicio de atención al cliente, que le informó sobre la emisión del duplicado de tarjeta SIM realizado. TME ha manifestado, asimismo, que en sus sistemas de información consta un contacto telefónico de la parte reclamante, de fecha 16/01/2023, a las 18:41h, porque no tenía servicio y que se activó bloqueo por robo. Quinto. - La parte reclamante ha manifestado que, con fecha 17/01/2023, acudió a una tienda física de TME en ***LOCALIDAD.1 para recuperar su línea, donde le informaron que un tercero con correo electrónico “***EMAIL.1”, no vinculado a su contrato, había solicitado un duplicado el día previo. Sexto. - En relación con el envío de la tarjeta E-SIM gestionada el 16/01/2023, a la que se refiere el Hecho Probado Tercero, TME, en respuesta al requerimiento de información de los Servicio de Inspección de esta Agencia, ha manifestado “que la remisión de la documentación se hace por correo electrónico, no consta registro de que la E-SIM se mandase al correo electrónico que figura en la ficha de cliente del reclamante”. Séptimo. - Según la información aportada por TME, en la fecha de emisión del duplicado de tarjeta reseñado en el Hecho Probado Tercero, el procedimiento de identificación del solicitante incluía las verificaciones y acciones siguientes: “- El solicitante debe ser titular - Debe facilitar: . Nombre y apellidos . Identificador Fiscal . últimos dígitos del Nº de la última factura O2 . Para Bajas por Defunción o incapacidad ver procedimiento - Si llama desde el Nº de la gestión, no se le hará llamada. - Si no llama desde el Nº de la gestión, una vez identificado, indicarle que se cuelga para comprobaciones, y emitir llamada al Nº de titular (ver todo OK). - Tanto si esta llamada es respondida como si no, se envía email al correo de contacto de titular para aviso de cualquier cambio. - Se finaliza comprobación y se devuelve llamada al cliente al número de su interés para terminar la gestión”. Octavo. - TME ha manifestado que, en la fecha de emisión del duplicado de tarjeta reseñado en el Hecho Probado Tercero, “en los casos concretos de solicitudes de ESIM se seguían los procedimientos de identificación habituales como si se tratase de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/44 un caso de duplicado de SIM en formato físico. Manifiestan que, para este tipo de solicitudes, debe comprobarse que la tarjeta en formato E-SIM es remitida a la dirección de correo electrónico que consta en sus sistemas en la ficha del cliente”. Noveno. - TME ha manifestado “que revisados sus sistemas, no consta la grabación con la solicitud del duplicado de la tarjeta sim realizada de forma telefónica… De otro lado, y con respecto a la realización de la llamada de seguridad, ésta no se habría producido dado que la remisión de la documentación se habría realizado desde el correo electrónico. No obstante lo anterior, el agente comercial no habría seguido la operativa señalada a tales efectos con respecto a la llamada de seguridad, la cual tendría que haberse efectuado puesto que la solicitud provenía de un correo electrónico que no era el que constaba en la ficha de cliente”. Décimo. -TME ha informado sobre los cambios introducidos tras los hechos denunciados en sus protocolos de identificación del solicitante de duplicados de tarjeta SIM. En el documento denominado “Refuerzo protocolo operaciones. Gestiones vulnerables” se indica que en caso de “llamada desde teléfono desconocido” o “contacto desde otro EMAIL”  “hay que llamar al titular / y o envío OTP comprobación”  “El titular tiene que dar el OK a la gestión en la llamada y confirmar con OTP”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/44 un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; Además, el artículo 4.7 del RGPD establece que el «responsable del tratamiento» o «responsable» es: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. Una tarjeta SIM es una tarjeta inteligente que contiene un chip en el que se almacena el número de línea telefónica móvil del cliente, así como el número de identificación personal, pero que también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por tanto, a los efectos de los artículos 4.1 y 4.2 del RGPD la emisión de duplicados de tarjetas SIM supone un tratamiento de datos personales. TME realiza esta actividad en su condición de responsable del tratamiento dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones al acuerdo de inicio Se procede a dar respuesta a las mismas según el orden expuesto por TME. CUESTIÓN PREVIA. - PREJUDICIALIDAD PENAL “TME” manifiesta que estos hechos están siendo actualmente objeto de una investigación penal, y por lo tanto considera que, por ello, en aplicación del principio de prejudicialidad penal recogido en el artículo 10 de la Ley Orgánica del Poder Judicial, no debe resolverse el asunto en vía administrativa en tanto en cuanto no se resuelva por la vía penal. Ello, manifiesta, dado que los hechos declarados probados vincularán a la Agencia respecto a un posible procedimiento sancionador, conforme a lo previsto en el artículo 77.4 de la Ley 39/2015. Debe tenerse en cuenta que el art. 77.4 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP): “En los procedimientos de carácter sancionador, los hechos declarados probados por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/44 resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien”. Sin embargo, hay que indicar, que no existe la triple identidad necesaria para aplicar el artículo 77 de la LPACAP, (de sujeto, hecho y fundamento), entre la infracción administrativa que se valora y la posible infracción o infracciones penales que se pudieran derivar de las presuntas Diligencias Previas practicadas por un órgano jurisdiccional. Esto, porque el sujeto infractor es obvio que no sería el mismo –respecto a las infracciones de la LOPDGDD el responsable es Telefónica, en tanto que el responsable penal de un eventual delito de usurpación de personalidad o estafa sería el tercero que se hubiera hecho pasar por el reclamante. Tampoco el fundamento jurídico sería el mismo: mientras el bien jurídico protegido por la LOPDGDD es el derecho fundamental a la protección de datos personales, el bien jurídico que se protege en los tipos penales cuya comisión investigaría, llegado el caso, el Juzgado de Instrucción serían el estado civil, el patrimonio, etc. En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de 27/04/2012 (rec. 78/2010), en cuyo Fundamento Jurídico segundo el Tribunal se pronuncia en los siguiente términos frente al alegato de la recurrente de que la AEPD ha infringido el artículo 7 del R.D. 1398/1993 (norma que estuvo vigente hasta la entrada en vigor de la LPACAP): “En este sentido el Art. 7 del Real Decreto 1398/1993, de 4 de agosto, del procedimiento para el ejercicio de la potestad sancionadora, únicamente prevé la suspensión del procedimiento administrativo cuando se verifique la existencia efectiva y real de un procedimiento penal, si se estima que concurre identidad de sujeto, hecho y fundamento de derecho entre la infracción administrativa y la infracción penal que pudiera corresponder. No obstante, y para la concurrencia de una prejudicialidad penal, se requiere que ésta condicione directamente la decisión que haya de tomarse o que sea imprescindible para resolver, presupuestos que no concurren en el caso examinado, en el que existe una separación entre los hechos por los que se sanciona en la resolución ahora recurrida y los que la recurrente invoca como posibles ilícitos penales. Así, y aun de haberse iniciado, en el presente supuesto, y por los hechos ahora controvertidos, también actuaciones penales frente a la empresa distribuidora, lo cierto es que tanto la conducta sancionadora como el bien jurídico protegido son distintos en una y otra vía (contencioso-administrativa y penal). En el ámbito penal, el bien jurídico protegido es una posible falsedad documental y estafa, y en el ámbito administrativo, en cambio, la facultad de disposición de sus datos personales por parte de su titular, por lo que tal objeción de la demandada ha de ser rechazada”. En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte reclamada y debe ser rechazada. I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR PRIMERA. - INEXISTENCIA DE COMISIÓN DE INFRACCIÓN. DISCONFORMIDAD CON EL ACUERDO DE INICIO DEL EXPEDIENTE SANCIONADOR Manifiesta “TME” su total disconformidad con la incoación del presente expediente sancionador y con lo establecido en los supuestos hechos probados que se recogen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/44 en la fundamentación del Acuerdo, indicando que, de las contestaciones realizadas por la parte reclamada a los requerimientos de información realizados por la Agencia, en ningún caso se puede inferir que supongan admitir, presuponer o verificar por parte de la Agencia que el agente comercial no siguió la operativa relativa a la identificación del cliente. Afirma que las medidas técnicas y organizativas implantadas por “TME” resultan apropiadas para la gestión de la que trae causa el Acuerdo de inicio, esto es, duplicados de tarjeta SIM o E-SIM y, en concreto, sobre su tramitación en la marca comercial “O2”, dado que es la marca comercial sobre la que se prestan los servicios móviles objeto del presente procedimiento. Como consecuencia de este hecho se ha llevado a cabo un tratamiento de datos personales con la emisión de un duplicado de la tarjeta SIM de la parte reclamante sin que la misma lo hubiese solicitado, es decir sin su intervención ni conocimiento. En definitiva, desde el momento que se entrega un duplicado a una persona distinta al titular de la línea o persona autorizada, el cliente pierde el control de la línea y los riesgos, daños y perjuicios, se multiplican. Además, los hechos acontecen con una inmediatez abrumadora. El grado de responsabilidad cae dentro de su ámbito, debiendo señalar que la SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento”. Por lo tanto, el no cumplimiento de su propia política de seguridad por parte de TME ha conllevado el tratamiento ilícito. SEGUNDA. - LAS CIRCUNSTANCIAS QUE HAN HECHO POSIBLE LA SUPERACIÓN POR TERCERAS PERSONAS DE LAS POLÍTICAS DE SEGURIDAD IMPLANTADAS POR TELEFÓNICA. PRIMERO. - SOBRE LA PRESUNTA INFRACCIÓN COMETIDA POR PARTE DE TELEFÓNICA: AUSENCIA DE TIPICIDAD, ANTIJURICIDAD Y CULPABILIDAD. En el presente caso, resulta notoria la existencia de tipicidad, antijuridicidad y culpabilidad en la conducta infractora de la entidad responsable del tratamiento de los datos personales, “TME”, quien como responsable del tratamiento de datos de emisión de duplicados de tarjetas SIM, que decide sobre la finalidad, contenido y uso de los datos personales incluidos en el tratamiento, tiene la obligación de obrar con mayor diligencia a la hora de tramitar la emisión de duplicados, asegurándose de contar con el consentimiento de su titular, a fin de no incurrir en el tratamiento no consentido de sus datos personales. Dicha condición impone un deber especial de diligencia a la hora de llevar a cabo el uso o tratamiento de los datos personales, en lo que atañe al cumplimiento de los deberes que la legislación sobre protección de datos establece para garantizar los derechos fundamentales y las libertades públicas de las personas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/44 físicas, y especialmente su honor e intimidad personal y familiar, cuya intensidad se encuentra potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro en el mercado de datos; en este sentido se ha pronunciado también la SAN 392/2015, de 17 de noviembre. Al respecto, resulta significativo que la operadora responsable del tratamiento no justifique debidamente la concurrencia en su conducta de la diligencia que le era exigible ni acredite la adopción de las cautelas exigibles para evitar el tratamiento no consentido del dato de carácter personal que nos ocupa (la emisión de duplicado de tarjeta E-SIM de forma fraudulenta), que debe atribuirse a la conducta negligente de “TME”, utilizándose por un tercero los datos personales del reclamante pasando las medidas de seguridad para realizar el duplicado de la tarjeta E-SIM. En cuanto a la responsabilidad de “TME”, debe indicarse que, con carácter general la operadora trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
7. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
8. e)y
9. f)del RGPD. Por dicha razón, este es un proceso en donde la diligencia prestada por la operadora es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que la persona que contrata es quien dice ser y que se implantan y mantienen medidas apropiadas para dar cumplimiento al principio de licitud. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de “TME” se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir, desde la óptica de la culpabilidad, estamos ante un error vencible ya que con la aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones de identidad se hubieran podido evitar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/44 Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. Por otro lado, y estrictamente en cuanto a la negligencia en la actuación de “TME”, cabe señalar que la SAN -Sala Contencioso-Administrativo- 392/2015, de 17 de noviembre que en su Fundamento Jurídico Tercero recoge la doctrina del Tribunal Constitucional sobre la aplicación al derecho administrativo sancionador de los principios del orden penal, en los siguientes términos: El Tribunal Constitucional ha declarado reiteradamente que los principios del orden penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos matices, al derecho administrativo sancionador, al ser ambos manifestaciones del ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y 164/2005). El principio de culpabilidad, garantizado por el artículo 25 de la Constitución, limita el ejercicio del "ius puniendi" del Estado y exige, según refiere el Tribunal Constitucional en la sentencia 129/2003, de 20 de junio, que la imposición de la sanción se sustente en la exigencia del elemento subjetivo de culpa, para garantizar el principio de responsabilidad y el derecho a un procedimiento sancionador con todas las garantías (STS de 1 de marzo de 2012, Rec 1298/2009). Ciertamente, el principio de culpabilidad, previsto en el artículo 28 de la Ley40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos a título de dolo o culpa. Obviamente, ello supone que queda desterrada del ámbito del derecho administrativo sancionador la llamada "responsabilidad objetiva", y comprendiendo el titulo culposo la imprudencia, negligencia o ignorancia inexcusable. La jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990 ), destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y prohibición de exceso ( artículo 25.1 CE ), o de las propias exigencias inherentes a un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/44 Estado de Derecho, por lo que se requiere la existencia de dolo o culpa (en este sentido STS de 21 de enero de 2011, Rec 598/2008 ). No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma " (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005 , y de 23 de octubre de 2010, Rec 1067/2006 , que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Así, en el caso que nos ocupa, una vez analizadas las circunstancias concretas del caso, se ha podido determinar que TME, no cumplió con sus propias medidas e instrucciones de seguridad en relación con el duplicado de la tarjeta SIM, que han conllevado un tratamiento ilícito. SEGUNDO. –AUSENCIA DE CULPABILIDAD. ERROR DE TIPO. “TME” señala que no concurre el requisito de culpabilidad en su actuación y señala que en la gestión del duplicado de E-SIM se habría realizado en todo caso por el resultado de actos de engaño, manipulación y uso ilícito de datos por parte de una tercera persona, quien habría engañado al agente comercial haciéndole creer que se trataba de la persona titular de los datos o que contaba con su consentimiento para efectuar la solicitud al haberse identificado de forma correcta con los datos de cliente que figuran en nuestros sistemas. Por tanto señala que Telefónica nunca podría ser considerada culpable, al darse en este supuesto un error de tipo invencible. Efectivamente, rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/44 indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/44 disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”, establece: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.[...]”. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. Por otra parte, en relación con el uso ilícito de los datos por un tercero, efectivamente para completar la estafa, es necesario que un tercero “suplante la identidad” del titular C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/44 de los datos, para recibir el duplicado de la tarjeta E-SIM. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que se implantan y mantienen medidas de seguridad apropiadas para proteger eficazmente la confidencialidad, integridad y disponibilidad de todos los datos personales de los cuales son responsables, o de aquellos que tengan por encargo de otro responsable. TERCERO. – SOBRE LOS CRITERIOS DE GRADUACIÓN DE LA SANCIÓN En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual. Estas circunstancias han sido tenidas en cuenta a la hora de fijar la sanción. En el presente procedimiento sancionador, la sanción se impone debido a que “TME” facilitó un duplicado de la tarjeta E-SIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero, y por este motivo se imputa el artículo 6.1 del RGPD. “TME” solicita que se aprecien las siguientes circunstancias atenuantes:
10. b)la intencionalidad o negligencia en la infracción: como se ha señalado, no se dan en este caso los requisitos de intencionalidad en la supuesta comisión de la infractor o actitud negligente, toda vez que ha sido un tercero el que habría tratado los datos personales de la Reclamante sin su consentimiento.
11. c)Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva: tal como fue señalado en las contestaciones a los requerimientos de información, la línea objeto de la reclamación fue posteriormente recuperada por el cliente, lo antes posible y una vez puesto en conocimiento de Telefónica los hechos, procediéndose con la devolución del importe de la tarjeta SIM.
12. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados: Telefónica procedió a tomar las acciones oportunas, robusteciendo la operativa marcada a tales efectos. Además, la operativa demuestra ser completamente robusta en base a las cifras expuestas.
13. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42: Telefónica ha suscrito el Código de Conducta de Autocontrol sobre tratamiento de datos en la actividad publicitaria, el cual es un sistema de resolución extrajudicial para resolver controversias que surjan entre los ciudadanos y las entidades adheridas al código con motivo de tratamientos de datos realizados en el ámbito de la actividad publicitaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/44 No se admite ninguna de las circunstancias invocadas. Respecto a la pretendida inexistencia de intencionalidad o negligencia nos remitimos a las consideraciones hechas acerca de la concurrencia del elemento de la culpabilidad, concretada en una grave falta de diligencia. La parte reclamada ha obrado con una grave falta de diligencia en el tratamiento efectuado con ocasión del desarrollo de la actividad empresarial que le es propia. A propósito del grado de diligencia que está obligado a desplegar en el cumplimiento de la normativa de protección de datos, cabe citar la SAN de 17/10/2007 (rec. 63/2006), que pese a haberse dictado bajo la vigencia de la anterior normativa resulta plenamente aplicable. Se recoge en ella que “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, [...]. La parte reclamada manifiesta que procedió a solventar la incidencia objeto de la reclamación de forma efectiva, pero hay que señalar que entra en el cumplimiento de sus obligaciones legales -por lo que aquí interesa del principio de licitud- la reclamada debe de actuar con la diligencia que las circunstancias del caso exigen y está obligada a adoptar las medidas técnicas y organizativa que le permitan cumplir y poder acreditar el cumplimiento de los principios de protección de datos. Así, como se ha señalado, en cualquier infracción de la normativa en materia de protección de datos ha de concurrir la existencia de intencionalidad o de negligencia. Y ello tanto a un responsable de tratamiento persona física, como persona jurídica, ya sea una pequeña empresa con poca vinculación con el tratamiento de datos personales, ya sea una gran empresa, una multinacional, etc, y con tratamientos de datos personales de forma continua y a gran escala, por ejemplo. Por tanto, una vez determinado que, como premisa, concurre este elemento subjetivo culpabilístico de base, ello no obsta que se pueda considerar esta circunstancia como agravante por considerar que, de conformidad con las circunstancias concretas del caso, se considere un diferente grado de intencionalidad o de negligencia en el actuar del sujeto infractor. Pero, en ningún caso, esta circunstancia puede considerarse como un atenuante en el sentido que argumenta Telefónica. En relación con que “TME” procedió a tomar las acciones oportunas, robusteciendo la operativa marcada a tales efectos. Pues bien, es importante resaltar que el duplicado E-SIM se emitió y activó a pesar de haber sido solicitado desde una dirección electrónica distinta a la que constaba de la parte reclamante en los sistemas de la marca O2 de TME, y se ha evidenciado que la llamada de comprobación solo se citaba en la política de seguridad para el caso de que el solicitante llamara desde otro número, no especificándose explícitamente cómo proceder en el caso de recepción de correos electrónicos desde otra dirección, por lo que el mecanismo que tenía establecido no fue suficiente para contrastar la veracidad de los datos de identidad proporcionados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/44 Por otra parte, el principio de proactividad supone transferir al responsable del tratamiento la obligación no solo de cumplir con la normativa, también la de poder demostrar su cumplimiento. Entre los mecanismos que el RGPD contempla para lograrlo se encuentran los previstos en el artículo 25, “protección de datos desde el diseño”, a tenor del cual el responsable debe aplicar “tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento” medidas técnicas y organizativas que garanticen que hace una efectiva aplicación de los principios del RGPD con ocasión de los tratamientos que realiza. TME alega que debe ser considerada como atenuante la adhesión por parte de la misma al sometimiento a mecanismos de resolución de conflictos. El Código de Conducta de Tratamiento de Datos en la Actividad Publicitaria. El objetivo principal de este Código permite que los usuarios que lo deseen cuando entiendan infringidos sus derechos de protección de datos en el marco de una actividad publicitaria, tales como: la recepción de publicidad no deseada, el ejercicio de derechos relacionados con la publicidad (como el de oposición), y el tratamiento de datos en promociones publicitarias o a través de cookies publicitarias, entre otros, que no es el caso, por lo que no puede considerarse como atenuante. CUARTO. - ACTOS PROPIOS Y NON BIS IN IDEM Telefónica cita en su descargo una serie de resoluciones dictadas por la AEPD, manifestando que el EXP20210446 se procedió al archivo del mismo al entender que ya había un expediente sancionador en curso por los mismos hechos y que Telefónica ya ha sido sancionada por los mismos hechos que hoy se desarrollan en este procedimiento, la Agencia impuso la sanción a través del procedimiento con referencia PS/00021/2021y por lo tanto incumple principio non bis ídem. Sobre este particular, amén de que los hechos consignados en la reclamación no son los mismos, procede resaltar que dichos procedimientos tuvieron por objeto analizar los procedimientos seguidos para gestionar las solicitudes de cambio de SIM por parte de Telefónica, identificando las vulnerabilidades que puedan existir en los procedimientos operativos implantados, para detectar las causas por las cuales se pueden estar produciendo estos casos, así como encontrar puntos de incumplimiento, mejora o ajuste, para determinar responsabilidades, disminuir los riesgos y elevar la seguridad en el tratamiento de los datos personales de las personas afectadas. El procedimiento sancionador PS/00021/2021, tramitado contra la parte reclamada se le sancionó por la infracción del artículo 5.1f), no por el tratamiento de datos sin legitimación sino para garantizar el principio de confidencialidad, y con fecha 8 de febrero de 2024, se dictó sentencia SAN de 8 de febrero de 2024 (rec. 2250/2021), en cuyo fallo se desestima el recurso contencioso-administrativo interpuesto por “TME” y “con fecha 19 de junio de 2024, la Sección Primera de la Sala de lo Contencioso -administrativo del Tribunal Supremo acuerda la inadmisión a trámite del recurso de casación n. º 3244/2024 preparado por la entidad Telefónica Móviles España SAU contra la sentencia de 8 de febrero de 2024 dictada por la Sección Primera de la Sala de lo Contencioso -administrativo de la Audiencia Nacional en el recurso contencioso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/44 -administrativo n. º 2250/2021 interpuesto frente a la resolución de 8 de noviembre de 2021 de la Directora de la Agencia Española de Protección de Datos, recaída en el procedimiento sancionador PS/00021/2021, por la que se impone una sanción de (…), por una infracción del art. 5.1.
14. f)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, tipificada como muy grave en el art. 83.5.
15. a)del citado Reglamento”. IV Contestación a las alegaciones presentadas a la Propuesta de Resolución A continuación, se procede a dar respuesta a las alegaciones presentadas por TME, que son, en líneas generales, una reiteración de las presentadas al acuerdo de inicio y contestadas en la propuesta de resolución, según consta reproducido en el Fundamento de Derecho anterior. CUESTIÓN PREVIA SANCIONADOR. I.- SOBRE LA INCOACIÓN DEL EXPEDIENTE Respecto a la primera alegación por la que se indica que TME pone todos los medios necesarios para prevenir y evitar el fraude entre sus clientes, adoptando medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado en función de la finalidad del tratamiento, pero no puede garantizar, y la Agencia no le puede exigir so pena de multa, su erradicación. En este sentido, valorar si las medidas previamente adaptadas fueron o no adecuadas resulta irrelevante, puesto que dichas medidas no han sido seguidas por la propia parte reclamada. La adopción de las medidas técnicas y organizativas presupone un cumplimiento de las mismas, en caso contrario, pierde sentido invocar su establecimiento. A este respecto, además, conviene señalar que la SAN de 29 de octubre de 2024, rec. 1824/2021, dispone que: “…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no estamos ante un requisito meramente formal, sino material. En este sentido, y en línea con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso", lo que no implica que se exija una obligación de resultado”. Asimismo, cabe citar la sentencia del Tribunal Constitucional 94/1998, de 4 de mayo, en la que el Tribunal Constitucional señalaba que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/44 ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. En el presente caso no se está sancionando la existencia o ausencia de medidas técnicas y organizativas, sino el hecho de que, en este caso específico, el tratamiento de los datos personales del reclamante fue llevado a cabo sin cumplir con los requisitos de licitud establecidos en el artículo 6.1 del RGPD. La infracción de este artículo confirma que la parte reclamada realizó un tratamiento no autorizado de los datos, vulnerando de esta forma los derechos de la parte reclamante. El grado de responsabilidad cae dentro de su ámbito, debiendo señalar que la SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento”. Por tanto, lo determinante para concluir la existencia de infracción en este caso es el hecho de que TME ha tratado los datos personales sin el conocimiento si consentimiento de la parte reclamante, no el hecho de que dicha entidad disponga o no de medios necesarios para prevenir y evitar el fraude, y tampoco el que esta política de seguridad se respetase o no. La necesidad de establecer protocolos que aseguren el respeto a los principios de relativos al tratamiento, como el de licitud, está ligada a la obligación que el RGPD impone a los responsables del tratamiento de ser capaz de demostrar el cumplimiento de la norma. En este caso, TME no ha sido capaz de demostrar que el tratamiento de datos personales por el que se sanciona se realizase respetando el principio de licitud regulado en el artículo 6 del RGPD. Es más, las gestiones realizadas por TME para acabar emitiendo el duplicado de la tarjeta SIM de la parte reclamante ofrecía indicios suficientes para evidenciar que dicho duplicado podía no estar siendo solicitado por su verdadero titular, poniendo de manifiesto la actuación negligente de la operadora responsable. Nada más sencillo que poner atención al hecho de que la petición del duplicado de tarjeta se realizó, en un primer intento, desde una dirección de correo electrónico distinta a la que figuraba en la ficha del cliente y, posteriormente, a través del servicio telefónico desde una línea que tampoco correspondía a la parte reclamante. CUESTIÓN PREVIA II.- PREJUDICIALIDAD PENAL Con respecto a la cuestión de prejudicialidad penal, señala TME que solicitó que se suspendiera el procedimiento con el fin de determinar en qué punto se encontraba la denuncia interpuesta por el afectado, y, sobre todo, conocer el contenido del procedimiento penal que en su caso se encontrase en marcha. Telefónica cita la Sentencia nº 2249/2016 de la Sala de lo Contencioso-Administrativo del Tribunal Supremo de fecha 18 de octubre de 2016, en la que, pese a que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/44 procedimiento administrativo y el procedimiento penal versaban sobre impuestos distintos, se acordó la excepción de prejudicialidad penal. Por ello, TME entiende que debería procederse con la suspensión del presente procedimiento sancionador hasta que los tribunales de justicia del orden penal se pronuncien al respecto. En la sentencia citada por TME, existe una triple identidad de sujeto, hecho y fundamento que no se da en el presente caso y nos reiteramos en lo manifestado en la contestación a las alegaciones al acuerdo de inicio. A este respecto, sirve lo expuesto en el Fundamento de Derecho anterior, de respuesta a las alegaciones a la apertura, en el que se advertía que en este caso no se da la triple identidad exigida para poder acordar la suspensión del procedimiento administrativo por su vinculación con las actuaciones seguidas en el orden jurisdiccional penal: - El sujeto infractor es obvio que no sería el mismo –respecto a las infracciones del RGPD el responsable es Telefónica, en tanto que el responsable penal de un eventual delito de usurpación de personalidad o estafa sería el tercero que se hubiera hecho pasar por el reclamante. - Tampoco el fundamento jurídico sería el mismo: mientras el bien jurídico protegido por la LOPDGDD es el derecho fundamental a la protección de datos personales, el bien jurídico que se protege en los tipos penales cuya comisión investigaría, llegado el caso, el Juzgado de Instrucción serían el estado civil, el patrimonio, etc. En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de 27/04/2012 (rec. 78/2010), ya citada en el citado Fundamento de Derecho III. En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte reclamada y debe ser rechazada. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR. PRIMERA y SEGUNDA. - INEXISTENCIA DE COMISIÓN DE INFRACCIÓN. DISCONFORMIDAD CON EL ACUERDO DE INICIO DEL EXPEDIENTE SANCIONADOR. VULNERACIÓN DEL PRINCIPIO DE PRESUNCIÓN DE INOCENCIA, EL PAPEL DE TELEFÓNICA COMO PERJUDICADA Después de cuestionar algunos de los hechos y conclusiones valoradas en la propuesta de resolución, como el no cumplimiento de sus propios protocolos de seguridad, la no verificación de la identidad del solicitante del duplicado de tarjeta Sim, que se emitió teniendo en cuenta una petición cursada desde una dirección de correo electrónico que no pertenecía al titular de la tarjeta y sin realizar ninguna llamada de comprobación, advierte que no realizar esta llamada o no contar con la grabación no implica que el comercial no siguiera el protocolo establecido en lo referente a la identificación del cliente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/44 TME, señala que uno de los principios básicos que rigen en el derecho administrativo punitivo y que a través del artículo 24.2 de la Constitución Española ha adquirido rango de derecho fundamental es la presunción de inocencia. Presunción que, en este caso, ha quedado entredicho a través del expediente que ha abierto la Agencia sin atender a los principios que rigen el sistema sancionador, y todo ello porque para que se produzca en este caso la condena al pago de una multa, ésta debe fundarse en una prueba de cargo válidamente practicada y de la que se derive la culpabilidad de Telefónica. Señala que la Agencia no ha podido ni puede acreditar que Telefónica no haya sido diligente en el presente caso, Telefónica es víctima del engaño de los defraudadores que cuentan de forma anticipada con todos los datos necesarios para llevar a cabo esta solicitud. Al contrario, Telefónica ha demostrado el cumplimiento de las obligaciones que se derivan de los principios de responsabilidad proactiva y diligencia debida a la hora de revisar y actualizar las medidas implantadas a fin de que sean adecuadas a los nuevos riesgos que se van detectando y señala la operativa para el duplicado de tarjeta SIM o E-SIM y vuelve aportar la documentación pertinente al objeto de esclarecer lo sucedido, relatando los hechos acaecidos e indicando las nuevas medidas que está adoptando. Para ello, hace referencia TME, para su descargo, al conjunto de medidas de seguridad que ha adoptado, las cuales son las mínimas exigibles a cualquier organización con las características y en el contexto en el que actúa una operadora de telecomunicaciones. En este sentido, la mera existencia de una política de seguridad no puede justificar el cumplimiento del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas de modo que permitan al responsable del tratamiento estar en condiciones de acreditar que el tratamiento de datos realizado es lícito. En caso contrario, las medidas adoptadas carecen de virtualidad. Pues bien, en este caso, TME, en su respuesta de fecha 4 de septiembre del mismo año la parte reclamada reconoce que se produjo el duplicado fraudulento, manifestando: “que, revisados sus sistemas, no consta la grabación con la solicitud del duplicado de la tarjeta sim realizada de forma telefónica. No obstante, como la solicitud provenía de una petición previa por correo electrónico en la que se deriva la gestión al 1551, sí consta registro del agente comercial en ficha del cliente en el que detalla se procede a la gestión de la solicitud puesto que el cliente remitió un correo electrónico con la documentación relativa al DNI, nombre completo y el móvil para el que solicita la gestión. Se adjunta como Anexo 1 copia de esta documentación. De otro lado, y con respecto a la realización de la llamada de seguridad, ésta no se habría producido dado que la remisión de la documentación se habría realizado desde el correo electrónico. No obstante lo anterior, el agente comercial no habría seguido la operativa señalada a tales efectos con respecto a la llamada de seguridad, la cual tendría que haberse efectuado puesto que la solicitud provenía de un correo electrónico que no era el que constaba en la ficha de cliente”. (…) “en el momento de los hechos, en los casos concretos de solicitudes de E-SIM se seguían los procedimientos de identificación habituales como si se tratase de un caso de duplicado de SIM en formato físico. Manifiestan que, para este tipo de solicitudes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/44 debe comprobarse que la tarjeta en formato E-SIM es remitida a la dirección de correo electrónico que consta en sus sistemas en la ficha del cliente. Indican sobre el caso concreto de esta reclamación, que si bien se puede apreciar tal como se refleja en la documentación adjunta como Anexo 1, que la remisión de la documentación se hace por correo electrónico, no consta registro de que la E-SIM se mandase al correo electrónico que figuraba en la ficha de cliente del reclamante”. TME reconoce que no se siguió el procedimiento implantado por ella misma, ya que, de haberlo hecho, se debió haber producido la denegación del duplicado de la tarjeta formato E-SIM. En definitiva, la parte reclamada no puede exonerar su responsabilidad apelando simplemente a la existencia de medidas mínimas y al engaño al que se ven sometidas las empresas y sus comerciales por parte de los suplantadores. Por otra parte, no se entiende que TME cuestione hechos que han quedado suficientemente probados, incluso reconocidos por la propia entidad. Hechos con virtualidad suficiente para desvirtuar la presunción de inocencia. Las actuaciones han acreditado tanto el tratamiento de datos realizado ilícitamente como la responsabilidad de TME en su realización. Tampoco se entiende que TME pretenda que esta AEPD califique como diligente una actuación en la que se atiende una petición de duplicado de tarjeta SIM sin tener certeza sobre el origen de la solicitud y con evidencias claras de que ese origen no estaba relacionado con el titular de la tarjeta. Cabe reiterar lo señalado en la SAN de 29 de octubre de 2024, rec. 1824/2021, antes citada, en la que se declara que “…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no estamos ante un requisito meramente formal, sino material. En este sentido, y en línea con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso", lo que no implica que se exija una obligación de resultado”. II. SOBRE LOS FUNDAMENTOS DE DERECHO PRIMERA. - SOBRE LA PRESUNTA INFRACCIÓN COMETIDA POR PARTE DE TELEFÓNICA: AUSENCIA DE TIPICIDAD Y ANTIJURICIDAD. TME considera que el principio de tipicidad se está vulnerando dado que la conducta realizada por Telefónica no es subsumible en la acción típica que se le imputa, siendo ésta una supuesta ilicitud en el tratamiento de datos del cliente por no contar con base legitimadora para ello. TME confirma que la base legal que legitima el tratamiento de los datos personales del reclamante no es otra que la de la ejecución del contrato, esto es, la base legitimadora que contempla el apartado
16. b)del citado artículo 6.1: “el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/44 Es decir, en este caso concreto el tratamiento de datos personales se realiza con la finalidad de gestionar un cambio de duplicado de tarjeta E-SIM, para poder ejecutar correctamente el contrato que el Reclamante tiene suscrito con Telefónica. Por ello, en cualquier caso, de haberse cometido una infracción, ésta la habría cometido el suplantador y no Telefónica, puesto que éste habría tratado los datos del cliente sin contar con base legitimadora para ello. TME, señala que teniendo en cuenta tanto las alegaciones de Telefónica como los propios argumentos de la Agencia, el tratamiento realizado por esta parte es lícito y se debe proceder por tanto al archivo del expediente sancionador al no ser la acción típica. Igualmente, manifiesta que la conducta realizada por Telefónica no es subsumible en el precepto cuya infracción se imputa y tampoco puede ser considerada antijurídica. Telefónica considera que ha actuado en todo momento con buena fe y fundada creencia excluyente de toda culpabilidad, pues recordamos nuevamente que, en la solicitud recibida se aportaban tanto los datos de identificación del titular de la línea como el propio documento de identidad. Pero es que, en cualquier caso, aún en el caso de que la Agencia considere que sí ha existido un tratamiento ilícito de datos por esta parte, considerando que la acción de Telefónica es típica y antijurídica, en ningún caso se puede afirmar que la conducta seguida por Telefónica pueda considerarse culpable. Según TME, en este caso, donde conforme a la operativa, el cliente se habría identificado con los datos correctos para la solicitud del duplicado, queda constatado que estaríamos ante un error de tipo invencible, donde se desconocía la antijuricidad de la conducta, debiendo procederse con el archivo del procedimiento, al no poderse determinar la culpabilidad de Telefónica. Sobre estas cuestiones no cabe sino remitirnos a lo argumentado en el fundamento de derecho anterior, de respuesta a las alegaciones a la apertura del procedimiento, similares a las expuestas anteriormente. Por otra parte, indicar que en modo alguno puede considerarse que el error que alega haber cometido excluya su responsabilidad, puesto que, según reiterada jurisprudencia, no puede estimarse la existencia de tal error cuando éste es imputable a quien lo padece o pudo ser evitado con el empleo de una mayor diligencia. SEGUNDO. – PROPORCIONALIDAD DE LA SANCIÓN TME señala que de no acordase el archivo del presente expediente sancionador, de forma subsidiaria, quiere manifestar su disconformidad con la Propuesta de sanción, al considerarla contraria al principio de proporcionalidad y porque además se han tenido en consideración una serie de agravantes que no aplicarían a este caso concreto, así como las atenuantes ya manifestadas por esta parte, sin que hayan sido tomadas en cuenta por la Agencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/44 1.-Sobre las agravantes tenidas en cuenta no aplicables al caso concreto:
17. a)“La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD)”. En cuanto a esta agravante planteada, señala TME que tendría que haber un número elevado de interesados afectados por la posible infracción. Es decir, el RGPD no establece que esta agravante deba ser apreciada de facto cuando un Responsable trate con carácter general un número elevado o “masivo” de datos personales, sino con el número de posibles afectados. Y esta postura que mantenemos, viene corroborada por el Comité Europeo de Protección de Datos, que hizo suyo y por tanto asumió el contenido de las Directrices sobre la aplicación y la fijación de multas administrativas a efectos del Reglamento 2016/679 adoptadas por el Grupo de Trabajo del Artículo 29 el 3 de octubre de 2017, que con claridad disponen que los factores que prevé el artículo 83.2 del RGPD deben evaluarse de manera combinada, es decir, en lo que ahora nos interesa, el número de interesados junto con el posible impacto sobre ellos. En el mismo sentido, el Considerando 75 del RGPD, dispone que para determinar el grado de daños y perjuicios que pueda producir una posible infracción en materia de protección de datos debe tenerse en cuenta, entre otros aspectos “que el tratamiento implique una gran cantidad de datos personales y afecte a un gran número de interesados”. Quiere ello decir, en contra de la interpretación que hace la Agencia de forma recurrente, que la agravante sólo debe aplicarse si la infracción afecta a muchos interesados.
18. b)La circunstancia reseñada en el art. 83.2.
19. e)del RGPD, relativa a toda infracción cometida por el responsable o el encargado del tratamiento. A este respecto, hay que destacar que: - La resolución sancionadora EXP202211479 no habría devenido firme en vía administrativa hasta el día 19 de julio de 2023, una vez se agotó la posibilidad de interponer recursos en vía administrativa. 22 - La resolución sancionadora EXP202207989 ni siquiera devino firme en fecha de 20 de diciembre de 2023, una vez se agotó la posibilidad de interponer recursos en vía administrativa. Teniendo en cuenta este hecho, la acción típica enjuiciada en el presente expediente sancionador provienen de una actuación ocurrida entre el 13 y 17 de enero de 2023, es decir, en un tiempo anterior a las resoluciones sancionadoras referenciadas. Es claro, pues, que cuando se realiza el cambio de tarjeta E-SIM, esto es, el 16 de enero de 2023, no se había dictado, y mucho menos con carácter “firme” en vía administrativa, una resolución sancionadora por hechos de la misma naturaleza o semejantes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/44 No concurría, pues, el presupuesto de sanción previa a los hechos que se exige para la aplicación de la agravante de reincidencia, tal como es jurisprudencia del Tribunal Supremo, quien en reiteradas ocasiones (por todas, citamos las sentencias de 24 de octubre de 2000 , 11 de marzo de 2003, 23 de marzo de 2005 y 30 de septiembre de 2009) ha afirmado que la agravante de reincidencia administrativa debe referirse a hechos que ya hubieran sido sancionados en otro procedimiento resuelto con anterioridad a la comisión de la nueva falta. Además, en cualquier caso y como bien conoce la Agencia, ambos procedimientos sancionadores han sido recurridos por esta parte ante la Audiencia Nacional puesto que considera que las resoluciones que conducen a la imputación de la sanción resultan nulas de pleno de derecho, al no concurrir el principio de tipicidad en ninguna de ellas. En consecuencia, esta agravante tampoco debería ser tenida en cuenta, debiendo minorarse el importe de la sanción o sanciones que finalmente se impongan. 2.- Sobre las atenuantes que no han sido tenidas en cuenta por la Agencia en la propuesta de resolución. si la Agencia considera que la acción es típica, antijurídica y culpable y por tanto, debe procederse a sancionar a TME, interesa poner de relieve de forma subsidiaria, que deberían tenerse en cuenta las siguientes atenuantes del art. 83.2 del RGPD:
20. b)la intencionalidad o negligencia en la infracción: como se ha señalado, no se dan en este caso los requisitos de intencionalidad en la supuesta comisión de la infractor o actitud negligente, toda vez que ha sido un tercero el que habría tratado los datos personales del Reclamante sin su consentimiento tras obtenerlos de manera ilícita.
21. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados: Telefónica procedió a tomar las acciones oportunas, robusteciendo la operativa marcada a tales efectos.
22. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42: Telefónica ha suscrito el Código de Conducta de Autocontrol sobre tratamiento de datos en la actividad publicitaria, el cual es un sistema de resolución extrajudicial para resolver controversias que surjan entre los ciudadanos y las entidades adheridas al código con motivo de tratamientos de datos realizados en el ámbito de la actividad publicitaria. Por todo lo expuesto, llegado el caso en el que la Agencia decida mantener la sanción, según TME estas atenuantes deberán ser tenidas en cuenta para la disminución del importe de esta. TME cuestiona que pueda tenerse en cuenta al determinar la multa la vinculación de su actividad con el tratamiento de datos personales, señalando que esta circunstancia de graduación está relacionada con el número de interesados afectados por la infracción y con el grado de daños y perjuicios que pueda haber producido. Sin embargo, nada en la letra de la norma permite obtener esta conclusión. La norma aplicable es clara cuando establece que al decidir la imposición de una multa y su cuantía se tendrá en cuenta “la vinculación de la actividad del infractor con la realización de tratamientos de datos personales”, tal y como viene haciendo esta AEPD cuando el sujeto infractor desarrolla una actividad que conlleva un elevado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/44 volumen de tratamientos de datos y la infracción está relacionada con su actividad principal. Así lo ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024 cuando declara lo siguiente: “En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra de negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las circunstancias concurrentes, tomando en consideración su volumen de negocio y su vinculación con el tratamiento de datos personales atendiendo el número de personas que prestan servicio como empleados en UST y su actividad”. En cuanto a las infracciones anteriores cometidas por TME, también considerada para determinar la multa que se impone, entiende dicha entidad que los precedentes señalados por esta AEPD no habían devenido firmes en el momento en que se cometieron los hechos objeto del procedimiento. Sin embargo, no es este el criterio que determina la aplicación de este factor de graduación, sirviendo a tal efecto cualquier infracción cometida por la entidad responsable que haya sido constatada antes de dictarse la resolución en la que se valoren esas infracciones precedentes. Así lo entiende también el CEPD, que en sus Directrices 4/2022, sobre el cálculo de multas bajo el RGPD, declara al respecto: “5.4 — Infracciones anteriores por parte del responsable o encargado del tratamiento 82. Las infracciones anteriores son infracciones ya constatadas antes de la adopción de la decisión. En caso de cooperación en virtud del capítulo VII del RGPD, las infracciones anteriores son las ya establecidas antes de que se emita el borrador de decisión (en el sentido del artículo 60 del RGPD)”. En cuanto a las circunstancias atenuantes invocadas por TME de reiterarse que ya han sido rechazadas en el Fundamento de Derecho anterior, al que cabe remitirse nuevamente. III Obligación incumplida Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
23. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
24. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
25. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
26. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/44
27. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
28. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
29. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Resulta preciso señalar que el artículo 4.1 del RGPD define: «datos personales» como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” Hay que señalar que el tratamiento de datos requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso, se imputa al reclamado la vulneración del artículo 6.1 del RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo, no constando acreditada ninguna de las bases de legitimación previstas en el citado artículo en relación con el tratamiento relacionado con los datos de la parte reclamante. Se considera tratamiento cualquier operación realizada sobre datos personales, incluida la comunicación de tales datos a un tercero. El RGPD, en el punto 2 de su artículo 4, define tratamiento como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. Consta acreditado en las actuaciones que “TME” trató los datos personales de la parte reclamante para la emisión de un duplicado de tarjeta SIM de una línea de teléfono C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/44 móvil de su titularidad, en formato E-SIM (SIM virtual), que posteriormente facilitó a un tercero, sin su consentimiento y sin que exista otra base jurídica que ampare dichos tratamientos de datos personales. Por otro lado, la emisión de un duplicado de tarjeta E-SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). Por lo tanto, la tarjeta E-SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C -101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta E-SIM como la tarjeta E-SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. Dicho tratamiento tuvo lugar porque TME no verificó la identidad del que solicitó el duplicado de la tarjeta E-SIM, no tomó las cautelas necesarias para que estos hechos no se produjeran y emitió el duplicado de tarjeta sin la intervención y sin conocimiento de la parte reclamante. Ni siquiera TME cumplió los protocolos que tiene establecidos para realizar esa verificación de identidad para solicitudes de este tipo a distancia, a pesar de que dichos tratamientos se clasifican por la misma como vulnerables. Se ha constatado que el duplicado E-SIM se emitió y activó a pesar de haber sido solicitado desde una dirección de correo electrónico distinta a la que constaba de la parte reclamante en los sistemas de la marca O2 de TME, sin efectuar comprobaciones de seguridad adicionales, tales como una llamada de comprobación al titular. El código QR se remitió a ese correo electrónico distinto del que constaba de la parte reclamante, que ha negado expresamente tener vinculación alguna con dicha dirección de correo electrónico. TME manifiesta que estaba estipulada una llamada de comprobación adicional en la política de seguridad de la entidad y que se incumplió por parte del agente que tramitó la solicitud. No obstante, se ha evidenciado que esta llamada de comprobación solo se citaba en la política de seguridad para el caso de que el solicitante llamara desde otro número, no especificándose explícitamente cómo proceder en el caso de recepción de correos electrónicos desde otra dirección. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta E-SIM. La emisión de duplicados E-SIM exige una mayor diligencia en materia de protección de datos personales en base al principio de proactividad del artículo 24 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/44 Este principio obliga a las organizaciones a actuar de forma que se anticipen y mitiguen los riesgos para los datos personales que vayan a ser tratados. Dado que la E-SIM contiene información sensible que identifica al titular, resulta crucial verificar la identidad del receptor del código QR. La falta de verificación adecuada, como enviar el código QR a un correo electrónico sin realizar comprobaciones adicionales, manifiesta una ausencia de la aplicación de dicho principio y pone en entredicho la seguridad de los datos personales. En consecuencia, la emisión de duplicados E-SIM debería incorporar medidas proactivas adicionales, con el fin de garantizar la identificación de su titular y, de esta forma, proteger los derechos de los interesados. Hay que destacar, en primer lugar, en la respuesta al traslado de la reclamación de fecha 4 de julio de 2023, “TME” informa que: “el día 16 de enero 2023 en que se produce la solicitud del duplicado de tarjeta SIM a través del número 1551, se había producido previamente un cambio de correo electrónico a través de la cuenta del cliente en O2 desde la Aplicación Móvil”. Y, en segundo lugar, su respuesta de fecha 4 de septiembre del mismo año la parte reclamada reconoce que se produjo el duplicado fraudulento, manifestando: “que revisados sus sistemas, no consta la grabación con la solicitud del duplicado de la tarjeta sim realizada de forma telefónica. No obstante, como la solicitud provenía de una petición previa por correo electrónico en la que se deriva la gestión al 1551, sí consta registro del agente comercial en ficha del cliente en el que detalla se procede a la gestión de la solicitud puesto que el cliente remitió un correo electrónico con la documentación relativa al DNI, nombre completo y el móvil para el que solicita la gestión. Se adjunta como Anexo 1 copia de esta documentación. De otro lado, y con respecto a la realización de la llamada de seguridad, ésta no se habría producido dado que la remisión de la documentación se habría realizado desde el correo electrónico. No obstante lo anterior, el agente comercial no habría seguido la operativa señalada a tales efectos con respecto a la llamada de seguridad, la cual tendría que haberse efectuado puesto que la solicitud provenía de un correo electrónico que no era el que constaba en la ficha de cliente”. (…) “en el momento de los hechos, en los casos concretos de solicitudes de E-SIM se seguían los procedimientos de identificación habituales como si se tratase de un caso de duplicado de SIM en formato físico. Manifiestan que, para este tipo de solicitudes, debe comprobarse que la tarjeta en formato E-SIM es remitida a la dirección de correo electrónico que consta en sus sistemas en la ficha del cliente. Indican sobre el caso concreto de esta reclamación, que si bien se puede apreciar tal como se refleja en la documentación adjunta como Anexo 1, que la remisión de la documentación se hace por correo electrónico, no consta registro de que la E-SIM se mandase al correo electrónico que figuraba en la ficha de cliente del reclamante”. TME reconoce que no se siguió el procedimiento implantado por ella misma, ya que, de haberlo hecho, se debió haber producido la denegación del duplicado de la tarjeta formato E-SIM. A la vista de lo anterior, la parte reclamada no logra acreditar que se haya seguido ese procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/44 En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta en formato E-SIM. En definitiva, la emisión de un duplicado de tarjeta SIM implica necesariamente un tratamiento de datos personales, ya que se realiza sobre la línea y la identidad del titular. Dicho tratamiento debe cumplir con una base jurídica que lo legitime, tal como exige el citado artículo 6.1 del RGPD, al igual que cualquier comunicación de datos personales a un tercero. En este caso, la emisión del duplicado SIM a solicitud de un tercero sin la intervención o consentimiento del titular constituye una falta de base jurídica válida para dicho tratamiento de datos. Debe quedar claro que seguir los protocolos establecidos para estos trámites por TME no es suficiente para justificar la licitud del tratamiento bajo el RGPD, ya que dichos protocolos no suplen la necesidad de la concurrencia de una base legítima. Además, el procedimiento de verificación de identidad seguido por TME no ha garantizado adecuadamente el cumplimiento del RGPD. Por lo tanto, la emisión del duplicado SIM en estas condiciones y su entrega a una persona distinta al titular de la línea telefónica constituyen un tratamiento de datos personales sin base jurídica y, en consecuencia, una infracción del artículo 6.1 del RGPD, dado que se ha realizado sin cumplir con ninguna de las bases legitimadoras para dicho tratamiento. La responsabilidad no reside en la falta de cumplimiento de un protocolo interno, sino en la ausencia de una base jurídica válida conforme a las disposiciones del RGPD. De conformidad con las evidencias de las que se dispone se estima que la conducta de la parte reclamada vulnera el artículo 6.1 del RGPD, constitutiva de la infracción tipificada en el artículo 83.5.
30. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: “