PS-00298-2024

1/55  Expediente N.º: EXP202307437 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 21 de abril de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra DIGI SPAIN TELECOM, S.L. con NIF B84919760 (en adelante, la parte reclamada o DIGI). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el día 10 de enero de 2023, recibe un correo electrónico de DIGI en el cual le informan que se ha duplicado su tarjeta SIM desde un establecimiento de ***LOCALIDAD.1, sin su consentimiento. Tras contactar con DIGI le informan que se ha suplantado su identidad, procediendo a bloquear la tarjeta. Señala que se realizaron varios cargos fraudulentos en su cuenta bancaria y que la persona que obtuvo el duplicado de tarjeta usurpó su identidad en otras áreas. Documentación relevante aportada por la parte reclamante: - Denuncias policiales de 11 y 12 de enero de 2023, ante la dependencia de la Policía Nacional de ***LOCALIDAD.2, Atestado (…), en la que consta que la reclamante reside en un municipio de la provincia de (…). En esta denuncia, la reclamante manifiesta que una vez recibido el correo que DIGI le remitió para comunicar la activación de un duplicado de tarjeta SIM de su línea de telefonía, a las 21:43 horas del mismo día 10 de enero de 2023 contactó con el Servicio de Atención al Cliente de dicha entidad, al teléfono 1200, que le informó sobre esa activación de tarjeta, la posible suplantación de su identidad y que procedían desde ese momento al bloqueo de la tarjeta SIM. Añade que el día siguiente, 11 de enero de 2023, recibió varios correos de la entidad “Amazon” relativos a varias compras que se habían realizado con su tarjeta y sobre varios inicios de sesión en su cuenta realizados desde Madrid y Panamá. “Por ese motivo la denunciante llamó nuevamente a su compañía DIGI, la cual le informó que su tarjeta SIM no estaba bloqueada, ya que alguien había llamado diciendo que su teléfono no iba y no podía realizar llamadas ni enviar mensajes. Así mismo, la denunciante recibió una llamada de su banco a las 10:40 horas del día 11/01/2023, donde le informan que se habían detectado movimientos extraños en su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/55 cuenta… La denunciante se personó a continuación en la oficina de su entidad bancaria… donde le facilitaron un listado con los últimos movimientos que se había producido en su cuenta y en la de su marido, siendo que ambos aparecen como titulares autorizados de dichas cuentas. Al revisar los movimientos, la denunciante se percató de que sobre la cuenta de su marido… se habían realizado desde el día 10/01/2022 un total de 11 movimientos no autorizados, siendo el primero de ellos y más importante una transferencia por valor de 25.000 euros a la cuenta de la denunciante. En la cuenta de la denunciante se habían recibido esos 25.000 euros y se había producido un cargo no autorizado de 300 euros. Además, en el banco le informaron que desde la cuenta de… (su marido) se había realizado una transferencia a nombre de la denunciante, a una cuenta nueva que se había creado recientemente a nombre de la denunciante, por valor de 5000 euros”. Según se indica en el propio documento de denuncia, la reclamante acompañó la documentación siguiente: - Relación de movimientos bancarios. - Mensaje de texto recibido por la reclamante de la realización de un duplicado de su tarjeta SIM en un punto de venta de DIGI. Este mensaje tiene como asunto “Digi. Activación de tarjeta SIM” y el texto: “Te confirmamos que el duplicado de tarjeta SIM que has solicitado en nuestro punto de venta se ha activado correctamente. Puedes incluir la SIM en tu móvil y utilizar tu línea con normalidad. Si tienes alguna duda o necesitas más detalle, puedes llamar nuestros asesores en el 1200 desde tu número Digi o al 642642642 desde cualquier operador”. - Correo electrónico de 17 de enero de 2023 de la parte reclamada informando del establecimiento de ***LOCALIDAD.1 donde se activó el duplicado SIM. En este correo, remitido desde la dirección “atenciónalcliente@digimobil.es”, se informa a la reclamante lo siguiente: “A continuación, le indicamos los datos del punto de venta donde se activó el duplicado de SIM de tu línea el 10/01/2023 a las 20:28 horas, según consta en nuestros sistemas: Nombre del Distribuidor: ***ESTABLECIMIENTO.1 Dirección: calle…, ***LOCALIDAD.1 Te informamos que los distribuidores tienen la obligación de solicitar el documento de identidad del titular para hacer un duplicado de tarjeta SIM”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/55 Públicas (en adelante, LPACAP), fue recogido en fecha 5 de junio de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 19 de julio de 2023 se recibe en esta Agencia escrito de respuesta indicando: “1. Las únicas vías para iniciar el procedimiento de solicitud de un duplicado de la tarjeta SIM que DIGI pone a disposición de sus clientes personas físicas son: - A través de nuestras tiendas físicas propias, donde el solicitante tiene que identificarse presencialmente con un documento de identidad original. - A través de nuestros distribuidores (Dealers), donde el solicitante tiene que identificarse presencialmente con un documento de identidad original. 2. La causa que ha motivado la presente incidencia es que el reclamante, titular de la línea móvil, ha sido objeto de una actuación claramente coordinada e insistente, orquestada y planificada para conseguir hacerse con el control de la citada línea móvil de la reclamante, entendemos que con fines presuntamente delictivos. Para ello, los usurpadores se han valido de documentos públicos manipulados o presuntamente falsificados, utilizados con ánimo de suplantar la identidad del reclamante frente a DIGI. Consta registrado en los sistemas de DIGI, a las 19:27 del día 10 de enero de 2023, que se recibió una solicitud de duplicado de SIM para la línea móvil finalizada en ***TELÉFONO.1 a través del Dealer de la provincia de ***LOCALIDAD.1: (...) (…) Para la tramitación de esta solicitud, el solicitante facilitó la documentación descrita en el siguiente punto. La vía de identificación por tanto fue presencialmente en el local del citado Dealer. La citada solicitud de duplicado, junto con la documentación que la acompañaba (incluyendo una copia del DNI utilizado para la identificación), fue remitida al equipo de BackOffice de DIGI, conforme al procedimiento en vigor, y que exigía, no solo la propia identificación del solicitante y la obtención de una copia del documento de identidad como muestra de ello, sino también la revisión de la solicitud y de la documentación por parte de dicho equipo. Así pues, en vista de que, presumiblemente, la solicitud y la documentación asociada a la misma habían sido correctamente recepcionadas, se validó por parte del equipo de BackOffice de DIGI, y se procedió a la activación del duplicado de SIM el día 10 de enero a las 20:28 horas. En el momento en que el duplicado se encontró activo, se envió un e-mail informativo al correo que constaba en el registro del cliente informándole de la activación exitosa del duplicado solicitado. Comunicación que, de acuerdo a una de sus funciones, permitió a la reclamante contactar ese mismo día para repudiar el duplicado. 3. Sobre la documentación y datos aportados por la persona que solicitó la tarjeta SIM C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/55 para acreditar su identidad y la información sobre si la realización de los controles para la verificación de la identidad quedó reflejada en el Sistema de Información de la entidad, se aporta: - la copia del DNI involucrada en la solicitud. - captura del aviso previo a la finalización del proceso de Duplicado SIM tal y como aparecía en ese momento en la aplicación puesta disposición de los Dealers de DIGI, incluido del Dealer que tramitó el Duplicado SIM en este caso. 4. Sobre el protocolo de seguridad aplicado para acreditar la identidad del solicitante y gestionar la emisión y el envío del duplicado de la tarjeta SIM, a falta de, al menos, unas recomendaciones o directrices claras por parte de los Órganos Supervisores de la actividad mercantil de DIGI que permitan establecer las medidas de seguridad que se consideran necesarias o adecuadas para evitar situaciones como la presente, cabe señalar, sin lugar a dudas, que los protocolos y medidas de seguridad implantados por DIGI seguían, y siguen los mejores estándares de seguridad de la industria en cada momento. (…). (…): 1º) (…): . (…); . (…). . (…). 2º) (…): . (…). . (…). (…): . (…). . (…). (…). (…): . “(…). . (…): . (…). . (…). . (…). . (…).” 5. El Protocolo de actuación cuando se detecta la emisión de un duplicado SIM fraudulento, y aplicable (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/55 6. Acciones emprendidas para evitar que casos de este tipo se vuelvan a producir. En concreto, cambios que se hayan podido realizar sobre el procedimiento para mejorar la seguridad, fechas de implantación y controles efectuados para comprobar su eficacia. (…): 1ª) (…): Aporta captura de pantalla con el pop-up que recoge: (…). 2ª) (…): 1º) (…). 2º) (…). 3º) (…). 3ª) (…): 1º) (…). 2º) (…). 4º) (…). 5ª) (…) 6º) (…). (…). (…). (…). . (…) . (…) (…). Como muestra de la proactividad de DIGI, manifiesta que esta Compañía se encuentra siempre en continua búsqueda de las mejores prácticas y estándares de seguridad. Así, este mismo 11 de julio de 2023, el regulador norteamericano- Comisión Federal de Comunicaciones norteamericana (FCC)- ha publicado las futuras mejoras exigibles en materia de seguridad frente al SIM Swapping. Las mejoras apuntan a un aumento de los mensajes de preaviso: https://docs.fcc.gov/public/attachments/DOC395019A1.pdf, en línea con lo que DIGI ya tenía planificado y acaba de implantar el pasado 13 de julio. Fruto de las costumbres y del propio sistema español de identificación donde el DNI juega un papel fundamental (no así en EEUU), se puede concluir sin duda que, en todo momento - incluido en el momento de los hechos-, el sistema de seguridad implantado por DIGI ha ido por delante de los estándares del mercado y de los reguladores. Esta calificación se mantiene respecto de nuestro procedimiento actual que sigue muy por delante de las exigencias de reguladores de referencia internacional como es la FCC. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/55 7. La decisión adoptada a propósito de esta reclamación y acciones emprendidas: Tan pronto DIGI tuvo conocimiento de la situación, la Compañía procedió a la adopción de las siguientes medidas encaminadas a solventar dicha situación:

1. a)Rectificación del elemento causante de la incidencia: (…).
2. b)Apertura de ticket por fraude: (…).
3. c)Solicitud de denuncia y documentación al cliente: (…).
4. d)Establecimiento de (…).
5. e)Colaboración con los puntos de venta: (…).
6. f)Cambio de titularidad de la línea: (…).
7. g)Medidas disciplinarias y refuerzo de la formación al asesor involucrado: se procedió a amonestar al distribuidor que, incumpliendo sus obligaciones y el procedimiento establecido para la validación de duplicados, no aplicó las medidas de seguridad establecidas por DIGI.
8. h)Adopción de nuevas medidas organizativas: Por último, en aras de poner freno a los cada vez más habituales casos de duplicados SIM fraudulento, DIGI continúa trabajando proactivamente en ello. Fruto de ello, ha adoptado nuevas medidas organizativas (…). 8. Tras lo anterior, se ha marcado como víctima de fraude a la parte reclamante para evitar posibles intentos de suplantación de identidad futuros. Aporta notas del sistema de 10, 11 y 16/1/2023 (…). 9. Se han realizado investigaciones internas para esclarecer los hechos con el punto de venta y se ha realizado alguna actuación con el distribuidor o tienda. En aras de realizar la aproximación correcta con el distribuidor, se realizó, además de la revisión del propio caso, una revisión de otras 15 solicitudes de duplicado SIM que el distribuidor habría iniciado, verificándose que en todas esas 15 se había seguido correctamente el protocolo establecido, incluyendo el escaneado de la documentación y que en ninguna se había detectado rastro de fraude. Sin embargo, en este caso en particular se ha podido descubrir, con la investigación interna realizada a posteriori, y a partir del relato del propio distribuidor involucrado, que una empleada del mismo, de buena fe, pudo haber permitido a un tercero realizar el trámite de solicitud con la presunta documentación de identidad de la reclamante, identificándose este tercero como marido de la susodicha. Consecuentemente, en vista del histórico de tramitaciones de este distribuidor, se pudo concluir que la incorrección, en este caso concreto, fue puntual. No obstante, se recordó a los involucrados, el titular del punto de distribución y su empleada, la importancia de seguir los protocolos y los riesgos asociados al mismo. De igual forma se encuentra abierto, a expensas de lo que finalmente se dilucide en este expediente, un proceso para aplicar el régimen de penalizaciones de su contrato de distribución (a continuación) y cualesquiera otras acciones legales que pudieran deducirse. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/55 Aporta captura de pantalla de las penalizaciones aplicables. 10. DIGI manifiesta que establece las medidas de seguridad de acuerdo con los riesgos asociados a las actividades de tratamiento de las que es responsable. En este sentido, la actividad de DIGI se circunscribe a la provisión de servicios de telecomunicaciones. Cuando los riesgos –que nunca pueden ser absolutamente eliminados- se materializan en situaciones como, por ejemplo, fraudes que suponen una facturación incorrecta a nuestros clientes, DIGI actúa en consecuencia devolviendo las cantidades mal facturadas. De los propios documentos compartidos por la reclamante, se puede deducir que, lógicamente, los perjuicios que indican haber sufrido provienen de su relación con su entidad bancaria y con otras empresas. Este tipo de entidades son las que unilateralmente señalan a terceros (o sus servicios) como instrumentos o factores de autenticación de sus propios mecanismos de seguridad: a unos -como los operadores de telecomunicaciones, mediante el envío de SMS o de llamadas de teléfono-; a otros -como, por ejemplo, proveedores de cuentas de correo electrónico, les remite los códigos de verificación/órdenes de aceptación de operaciones-. Los operadores de telecomunicaciones como DIGI son también victimas circunstanciales de este tipo de actividades fraudulentas, utilizadas para, en último término, violentar las medidas de seguridad de aquellas otras entidades que nada tienen que ver con DIGI. Por el contrario, se nos imponen sanciones vinculadas a tratamientos de datos que son totalmente ajenos a DIGI, o por circunstancias relativas a nuestras medidas de seguridad. Medidas que, recordemos, son las apropiadas y adecuadas para nuestra actividad. Que las entidades objetivo final de este tipo de defraudadores (en este caso, entidades bancarias y de distribución retail) sabedoras de la necesidad de reforzar sus protocolos y factores de seguridad, han venido estableciendo mecanismos suplementarios: algoritmos de gestión de metadatos, destino de los bienes y servicios, autenticación de doble factor, etc. Que los presuntos defraudadores han mostrado un alto grado de sofisticación, por ejemplo, al realizar transferencias entre cuentas ¨limpias¨ para poder así engañar al algoritmo de seguridad lavando los metadatos asociados a la transacción. Metadatos que son los utilizados por estos algoritmos para señalar potenciales operaciones fraudulentas. Que DIGI lamenta los hechos relatados por la reclamante. Igualmente, confía en que, el refuerzo del actual procedimiento para obtención de duplicado SIM y la formación y mejora continua de nuestros empleados y distribuidores son medidas de seguridad más que suficientes de acuerdo con el alcance de nuestra responsabilidad. TERCERO: Con fecha 21 de julio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/55 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Que al comparar los datos de la copia del DNI por ambas caras aportado en la respuesta a la solicitud de información de fecha 19 de julio de 2023 con los datos aportados por la parte reclamante en la denuncia policial de 11 de enero de 2023, se comprueba que coincide el número del DNI, nombre y apellidos, sin embargo, no coinciden el resto de los datos aportados: nacionalidad, lugar y fecha de nacimiento, domicilio completo y nombre de los padres. Asimismo, se comprueba en la captura de pantalla que se requiere: (…). Por otra parte, se ha comprobado que dicho documento contiene (…) de esta gestión que describe (…). Igualmente se ha comprobado que la denuncia policial aportada por la parte reclamante es de 11 de enero de 2023, posterior a la apertura del ticket de fraude de 10 de enero de 2023, siguiendo la recomendación hecha por DIGI en el apartado 7.c de la respuesta de la solicitud de información de fecha 19 de julio de 2023. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad DIGI SPAIN TELECOM, S.L. es una gran empresa constituida en el año 2006, y con un volumen de negocios de 664.000.000 euros en el año 2023. SEXTO: Con fecha 12 de septiembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
9. a)del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio el día 12 de septiembre de 2024 consta que expiró la notificación por caducidad el día 23 de septiembre de 2024 y con fecha 13 de diciembre de 2024 fue de nuevo notificado y la fecha de acceso al contenido por parte de DIGI fue el día 16 del mismo mes y año conforme a las normas establecidas en la LPACAP. La parte reclamada presentó escrito de alegaciones el día 9 de enero siguiente en el que, en síntesis, comienza su defensa reiterando los argumentos expuestos en alegaciones anteriores, los cuales, a su juicio, no han sido refutados por la AEPD. Considera que sus argumentos siguen siendo válidos y solicita que sean tomados en cuenta. Aclara que, en este escrito, hará hincapié en aquellos puntos que considera más cruciales para desmontar los fundamentos sobre los que la AEPD pretende justificar la sanción. Primera alegación: Relato y análisis del supuesto de hecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/55 La defensa procede a una descripción cronológica detallada de los hechos, situando el incidente respecto a una suplantación de identidad que permitió que un tercero obtuviera fraudulentamente un duplicado de la tarjeta SIM del reclamante. Afirma que el proceso se realizó previa presentación del Documento Nacional de Identidad de la reclamante. Asimismo, asegura que cuenta con procedimientos de seguridad robustos para la emisión de duplicados de SIM, como la (…). Sin embargo, sostiene que el suplantador utilizó un DNI falsificado, lo que permitió superar las medidas de seguridad. Por tanto, a su juicio, el suplantador ya disponía de los datos personales del reclamante antes de dirigirse a la empresa y que fue lo que facilitó la obtención del duplicado. Segunda alegación: Protocolo de seguridad y medidas adoptadas. La parte reclamada recalca que, ante la situación, se aplicaron todas las medidas de seguridad vigentes. Entre ellas, destaca el procedimiento de verificación de identidad, que exige (…). Tras el incidente, afirma haber reforzado estas medidas introduciendo un nuevo Procedimiento de Validación, (…). Además, confirma la existencia de un plan de contingencia que le permitió actuar con celeridad para mitigar los efectos de la suplantación, garantizando que el reclamante recuperara el control de su línea. Tercera alegación: Licitud del tratamiento de datos personales. La defensa insiste en que la empresa no ha realizado un tratamiento ilícito de los datos personales del reclamante, puesto que los datos ya estaban en manos del suplantador antes de que este solicitara el duplicado SIM. A este respecto, se menciona que el número de teléfono (MSISDN) y el IMSI son datos técnicos que, por sí mismos, no permiten identificar al titular sin acceso a los sistemas internos de la empresa. Se hace referencia a la Sentencia de la Audiencia Nacional de 17 de septiembre de 2008 (recurso número 353/2007). A su juicio, según dicha sentencia, el número de teléfono solo puede considerarse un dato personal si es posible identificar al titular a partir de ese número, lo cual afirma no haberse demostrado en este caso. También cita la Sentencia del Tribunal Supremo de 18 de junio de 2020 (Recurso 1074/2019, N.º de Sentencia 815/2020), que refuerza la interpretación de que los datos personales no incluyen automáticamente el número de teléfono si no se asocia a una persona identificada de manera directa. Cuarta alegación: Cumplimiento del protocolo. La parte reclamada defiende que cumplió con todos los protocolos de seguridad establecidos y la AEPD no ha logrado acreditar que la empresa incumpliera sus propios procedimientos de seguridad. Por el contrario, considera que la AEPD ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/55 llegado a conclusiones erróneas al considerar que el simple hecho de que se produjera una suplantación es indicativo de una falta de diligencia por parte de la empresa. En este sentido, alega como precedente la resolución de archivo del expediente (…) de la AEPD, según la cual la AEPD concluyó que la superación de las medidas de seguridad por parte de un tercero no implica necesariamente que estas medidas sean inadecuadas. Afirma que, en dicho expediente, a pesar de que se produjo un acceso no autorizado a datos personales, la AEPD decidió no imponer sanción alguna porque la empresa había desplegado un nivel suficiente de diligencia. Quinta alegación: Inadmisibilidad de la responsabilidad objetiva. La defensa rechaza cualquier intento por parte de la AEPD de imponer una responsabilidad objetiva, es decir, sancionar a la empresa simplemente por el resultado del incidente, sin demostrar que existió culpa o negligencia. La parte reclamada argumenta que, conforme a la Sentencia del Tribunal Constitucional n.º 76/1990, el principio de culpabilidad exige la concurrencia de dolo o culpa, y la mera existencia de un error no justifica la imposición de una sanción. Asimismo, se cita la Sentencia de la Audiencia Nacional de 25 de febrero de 2010 según la cual la superación de medidas de seguridad por parte de terceros organizados no es motivo suficiente para sancionar a la empresa afectada, especialmente cuando se han implementado medidas de protección adecuadas. Sexta alegación: Desproporcionalidad de la sanción. En cuanto a la sanción, la parte reclamada señala que ha demostrado haber actuado con la diligencia debida en la identificación y detección del fraude, así como actuando de forma inmediata para limitar y mitigar el perjuicio ocasionado a la reclamante, y señala que la sanción resulta desproporcionada. Asimismo, se destaca que la AEPD ha impuesto sanciones menos severas en casos similares. De forma concreta, compara este supuesto con el expediente (…), en el que la AEPD sancionó a otro operador de telecomunicaciones con una multa de 200.000 euros por varios casos de suplantación de identidad mediante el uso de duplicados de SIM. Afirma que, a pesar de que la situación era similar, la sanción impuesta a la parte reclamada en este caso resulta mucho más elevada de manera proporcional, lo cual considera injustificado. En este sentido, la parte reclamada discrepa de los agravantes aplicados: - La intencionalidad o negligencia de la infracción (artículo 83.2
10. b)del RGPD. Señala que tratándose de un hecho causado por la comisión de un acto delictivo de un tercero no imputable a DIGI, no parece permisible, que se le impute este agravante. - Toda infracción anterior cometida por el responsable o el encargado del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/55 Manifiesta que el agravante de la reincidencia hace alusión a un período temporal amplio, generalmente de carácter anual, y no puede tener en cuenta una sucesión de hechos, como son los supuestos de comisión de fraude Sim Swapping que nos ocupan, en algunos casos, totalmente coetáneos a nivel temporal. Indica que los suplantadores modifican sus técnicas e incorporan nuevos modus operandi, por lo que no cabe asimilar los supuestos actuales a aquellos cometidos dos años antes. - Vinculación entre su actividad y el tratamiento de datos personales de clientes o de terceros (artículo 83.2K, del RGPD en relación con el artículo 76.2 b, de la LOPDGDD). Señala que dicho agravante debe ser puesto en contexto con el despliegue de medidas efectuado por DIGI. En este sentido, indica que el tratamiento de datos no nace de una intención de la entidad, sino que tiene lugar la comisión de un delito del que DIGI es parte perjudicada. Por todo ello, no cabe interpretar este aspecto como agravante. Y, señala que en el presente caso concurren las siguientes circunstancias atenuantes que no han sido consideradas en la adecuada graduación de la sanción: - Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (art. 83.2 c); - En ningún momento se han tratado categorías especiales de datos (Art. 83.2
11. g)RGPD). - El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos: ha quedado acreditado que se ha contestado en tiempo y forma a todos los requerimientos de información solicitados por esta Agencia. Es más, DIGI aportó, en el primer requerimiento de información, de forma previa a que fuese requerido por la AEPD, toda la documentación contractual y acreditativa relativa al presente supuesto de hecho, por propia voluntad, manifestando de forma expresa su buena fe e intención de colaboración con la autoridad (Art. 83.2
12. f)RGPD). - El inexistente beneficio obtenido por parte de DIGI como resultado al tratamiento de datos que ocupa este procedimiento. En todo caso, DIGI se ha visto perjudicada, como ya se ha señalado, al verse afectada por la comisión de fraude por un tercero, lo que le ha obligado a reparar la situación causada y llevar a cabo investigaciones, con el consiguiente coste asociado (Art. 83.2
13. k)24 RGPD). Se ha de resaltar que no solo no supone un beneficio económico, sino que DIGI se ha visto perjudicado por el error cometido por su proveedor, a pesar de haber contado con todas las medidas y garantías. Por todo lo anterior, la cuantificación de la posible sanción a imponer a DIGI en relación con el supuesto incumplimiento de las obligaciones del artículo 6.1 del RGPD, señala que debería limitarse a un apercibimiento y, en última instancia, se modere o module la propuesta recogida en el Acuerdo de Inicio notificado a DIGI, atendiendo a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/55 sus argumentos. OCTAVO: Con fecha 11/07/2025, se formuló propuesta de resolución en el sentido de que por la Presidencia de la Agencia Española de Protección de Datos se sancione a la entidad DIGI, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
14. a)del RGPD, con una multa de 130.000 euros (ciento treinta mil euros). La notificación de esta propuesta de resolución fue debidamente entregada a DIGI en fecha 14/07/2025 a través del servicio de Dirección Electrónica Habilitada Única (DEHÚ), concediéndosele plazo para formular alegaciones. NOVENO: Con fecha 05/08/2025, se recibió escrito de alegaciones a la propuesta de resolución en el que DIGI, básicamente, reitera sus alegaciones anteriores y solicita de nuevo el sobreseimiento del expediente. De lo expuesto en este escrito cabe destacar lo siguiente: 1. Sobre el supuesto de hecho Después de declarar reproducidas sus alegaciones anteriores, reitera que únicamente se tiene en cuenta el resultado, sin considerar la diligencia desplegada por su parte y que dicho resultado se produce por la actuación ilícita de un tercero que comete actos delictivos, suplantando la identidad de la reclamante y haciendo uso de un documento de identidad falso que revestía total apariencia de legalidad, al incluir el nombre y número correctos, no siendo exigible la obligación absoluta de detección de un documento falso. Entiende que fundamentar la imposición de una sanción exclusivamente en la obtención de un resultado supone adoptar un principio de responsabilidad objetiva y obviar la necesaria concurrencia de la culpabilidad. En cuanto al procedimiento seguido y medidas implantadas, (…). 2. Sobre el ‘SIM SWAPPING’ y las responsabilidades derivadas. Se refiere al “SIM Swapping” señalando que proviene de una primera quiebra de confidencialidad de los datos personales del interesado ante su entidad financiera, normalmente por medio de un “phishing”, por la que no puede atribuirse responsabilidad a DIGI como hace la AEPD al no ser “garante de la seguridad bancaria”, la cual se califica como una infracción relativa a la ilicitud del tratamiento y no una infracción en materia de seguridad de los datos, como ocurrió en casos análogos de otros operadores en los que se imputó una infracción del artículo 5.1
15. f)del RGPD. A este respecto, advierte que la Fiscalía General del Estado, en su Memoria de 2021, posiciona a las operadoras de telefonía como entidades que sufren este tipo de fraudes y únicamente se pronuncia sobre la responsabilidad y las medidas de seguridad implementadas por las entidades bancarias, razonando que sobre las mismas recae la responsabilidad del perjuicio producido por el fraude SIM Swapping. Argumentación que, según DIGI, ha sido recogida por las propias entidades bancarias. 3. Inexistencia de infracción del artículo 6 del RGPD. Insiste nuevamente en su alegación sobre la inexistencia de un tratamiento de datos ilegítimo y en que no se facilitaron datos personales del interesado, puesto que los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/55 códigos (incluidos los de la tarjeta SIM), no alcanzarían per se la categoría de datos personales (se pone a disposición del solicitante una tarjeta vacía que no da acceso a ninguna información personal ni aplicación o cuenta personal). A este respecto, indica que el tratamiento en cuestión se lleva a cabo para la ejecución del contrato de prestación de servicios como base de legitimación, no en base al consentimiento, sin que constituya una falta de legitimación el hecho de que la persona que solicita el duplicado de tarjeta SIM no sea la titular del contrato. Opina que el error puntual y aislado de un agente en la (…) no invalida los procesos y sistemas que DIGI ha establecido, que permiten detectar e impedir la comisión de fraude en la práctica totalidad de los supuestos. En cualquier caso, no se imputa una infracción del artículo 32 del RGPD, relativa a la inadecuación o insuficiencia de las medidas de seguridad, derivado del incumplimiento por parte del agente del punto de venta del protocolo. 4. Sobre la no acreditación de la culpa o negligencia por parte de DIGI. Señala que el Tribunal Constitucional considera que el mero error humano y puntual no puede acarrear, por sí mismo, consecuencias sancionadoras, especialmente si viene provocado por la actuación ilícita e intencionada de un tercero, y entiende DIGI que ello excluye la posibilidad de sancionar por la mera concurrencia de un resultado, sin evaluar el procedimiento, su revisión o mejoras implementadas, y debe hacerlo partiendo de los pocos criterios hechos públicos por la propia AEPD. Indica que, dados los procedimientos instruidos contra DIGI, para acreditar el cumplimiento del protocolo optó por (…), tal como concurre en este caso. En cuanto a la identificación del solicitante de un duplicado de tarjeta SIM mediante su DNI, considera que la AEPD ha mantenido un criterio inestable, por lo que carece de medidas amparadas por la autoridad que le permita garantizar un despliegue de diligencia suficiente en la verificación de la identidad. Pese a imponerles una obligación de detección absoluta, la AEPD cuestiona tanto la no obtención de copias del DNI, como la obtención y uso de copias del DNI y también el uso de tecnologías como la biometría, haciendo responsable a esta empresa, sea cual sea el protocolo y medidas de seguridad implantados, habiendo generado un efecto de percepción negativa de estas prácticas, como, por ejemplo, la solicitud de la copia del DNI. Para ello basta con realizar una mera búsqueda en internet para ver noticias relacionadas. La Agencia insta a las empresas a considerar alternativas menos invasivas, que no requieran la copia del DNI (Informe del Gabinete Jurídico 48/2023) y viene considerando excesivo el realizar análisis adicionales a una inspección ocular del documento entregado, como el uso complementario de comprobaciones biométricas (Informe del Gabinete Jurídico 47/2021), dificultando la adopción de medidas adicionales más efectivas para el control de la identidad, para posteriormente exigir evidencias o la infalibilidad de un sistema de comprobación ocular y sancionar en caso de que se produzca cualquier incidencia en la seguridad, trasladando la responsabilidad de una tipología de crimen a las entidades que tienen un papel secundario en el proceso. Todo ello en un contexto en el que las posibilidades de suplantación de identidad se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/55 amplían de forma exponencial entre la delincuencia organizada, con la irrupción de nuevas tecnologías desarrolladas para lograr documentos de identidad falsos que superan las principales medidas de seguridad físicas (como acontece, precisamente, en el caso que nos ocupa), agravado por el uso inadecuado de su DNI que realizan en internet los interesados, la proliferación de técnicas como el morphing, que interpola imágenes, que pueden incluso burlar los sistemas biométricos de seguridad de la policía aduanera, o la existencia de webs que permiten la adquisición de un DNI falso con unas características excepcionales, haciendo uso de la inteligencia artificial. A mayor abundamiento, la Agencia, lejos de guiar y aclarar las dudas, omite evaluar el nivel de diligencia empleado por la entidad, tanto de forma previa, con el establecimiento de los protocolos y medidas de actuación, como en el momento de comisión de los hechos al seguir su proceso de identificación, y tras los mismos, con la mejora de los protocolos y la reversión de la situación. Insiste en que la creación de documentos nacionales de identidad falsos es tan minuciosa que la AEPD no puede exigir la detección infalible de los mismos, que se trata de un engaño suficiente, el cual, en ningún caso puede imputarse a DIGI. DIGI llevó a cabo un proceso de verificación de la identidad adecuado y válido, (…), si bien, no cabe imponerle a DIGI la capacidad de detección de falsificaciones avanzadas, inapreciables incluso para un aeropuerto o las Fuerzas y Cuerpos de Seguridad. 5. Sobre la inadmisibilidad de la responsabilidad objetiva. En su fundamentación, la Agencia considera que la tramitación del duplicado de tarjeta SIM, independientemente de las circunstancias concurrentes, constituye motivo suficiente para imponer una sanción de considerable cuantía, asumiendo unos elementos volitivos y cognoscitivos inexistentes y no probados e incurriendo, con ello, en la imposición de una responsabilidad objetiva, al sancionar de manera casi automática por un error en la no detección de un supuesto de fraude o suplantación de identidad. La AEPD no valora la diligencia desplegada por DIGI, obviando la necesaria concurrencia de la culpabilidad, y limita su argumentación al resultado que impone la responsabilidad objetiva, confundiendo esta obligación de resultado con el concepto de responsabilidad proactiva, que implica la implantación de un modelo de cumplimiento y gestión del riesgo adecuado, aunque no infalible por la imposibilidad de un riesgo cero. Se trata de reducir el riesgo inherente al mínimo riesgo residual posible, de tal modo que una materialización del riesgo en un porcentaje como el que nos encontramos en el presente supuesto no puede ser calificado como una falta de diligencia del responsable en el despliegue de medidas de seguridad. Invoca lo establecido en el artículo 28 de la LRJSP y diferentes Sentencias del Tribunal Constitucional, Tribunal Supremo y Audiencia Nacional, entre ellas, la SAN de 23/12/2013, Rec. 341/2012, STS 542/2022, de 15 de febrero, que configura la obligación de adoptar medidas como una obligación de medios, las cuales fueron expuestas previamente y cuya aplicación al presente caso es omitida por la Agencia. Cita, además, la reciente STS 543/2022 que, según DIGI, determina los criterios de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/55 valoración a los que debe someterse su responsabilidad. Así, la Propuesta imputa una infracción del artículo 6.1 del RGPD basándose únicamente en el resultado lesivo que se produce por la intervención fraudulenta de un tercero que se identifica como la reclamante, sin atender a la diligencia utilizada, y sin considerar el despliegue de medidas técnicamente adecuadas e implantadas sobre un tratamiento para el cual DIGI no decide ni la finalidad ni los medios. 6. Sobre la indefensión y falta de seguridad jurídica. La inconsistencia en los motivos constitutivos de infracción y de la fundamentación jurídica, que deriva en una indefensión para DIGI, se acentúa por la inopinada interpretación del funcionamiento del fraude no permitiendo que DIGI pueda acogerse a la comprensión de víctima, sino discriminando a esta entidad respecto de casos análogos de SIM SWAPPING. Según DIGI, esta falta de coherencia argumentativa se pone de manifiesto: . La Agencia no entra a valorar el proceso de seguridad de las operaciones bancarias y se mencionan posibles usos y consecuencias, como el acceso a redes sociales, que no han tenido lugar. . Se utiliza la realización genérica de fraudes de tipología SIM SWAPPING y su comisión por los suplantadores de identidad como fundamentación jurídica, sin relacionar tales menciones con el presente supuesto de hecho. . Utiliza el rol de DIGI como responsable del tratamiento como un argumento que justifica su responsabilidad, sin establecer ningún otro elemento o nexo. Los propios hechos probados demuestran que DIGI carece de elemento volitivo alguno en generar un nuevo tratamiento que se separe del tratamiento lícito de proveer un duplicado de tarjeta SIM: ni decide que se use la telefonía para uso de seguridad, ni establece contramedidas ni, por supuesto, interviene en la voluntad de fraude, fraude del que no deja de ser una víctima. . Se ampara de forma exclusiva en el resultado -concurrencia de suplantación de identidad- para imponer una sanción, invalidando el reforzado procedimiento y las medidas de DIGI establecidos al efecto. . Omite la existencia de un engaño suficiente y la comisión de delitos por un tercero que provocan la actuación de DIGI: la Agencia omite que la solicitante empleó un DNI falso, que contenía los datos de la reclamante, con apariencia de autenticidad, lo que evidencia no una ausencia del deber de identificación de DIGI, sino la comisión de un acto delictivo por parte del tercero. La Agencia llega incluso a introducir en los Fundamentos Jurídicos meras suposiciones, como la posibilidad de acceder a los mensajes mediante un duplicado de tarjeta SIM, técnicamente erróneo. En base a ello, invoca el principio de seguridad jurídica regulado en el artículo 9 de la CE y artículo 35 de la LPACAP sobre la motivación de los actos administrativos, así como la doctrina jurisprudencial al respecto, para terminar indicando que, en este estadio, DIGI no puede prever ni saber cuál es el deber de diligencia aplicable, en tanto la AEPD exige la obtención de un resultado y riesgo cero frente a la comisión de ciertos fraudes, mientras que, en otras ocasiones, propone sanciones por exceso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/55 celo en la comprobación de la identidad de los clientes, ante la conservación de la copia de los documentos identificativos. Las circunstancias expresadas anteriormente por DIGI en relación con la identificación de los interesados mediante su DNI son consideradas por esta entidad para invocar, igualmente, el principio de seguridad jurídica, por la evidente falta de criterio jurídico y de coherencia por parte de la Agencia en lo que respecta a los procesos de identificación en sectores no regulados expresamente por la normativa, que no hacen más que redundar en establecer un régimen de absoluta inseguridad jurídica en estos mercados, colocando a DIGI en una clarísima posición de indefensión. Inseguridad jurídica que se ve aumentada cuando, en lugar de haberse propuesto, en su caso, una sanción coherente por las valoraciones relacionadas con la seguridad sobre las que gira toda la posición de la Agencia se hace sobre una cuestión totalmente ajena a la voluntad de DIGI referida a un tratamiento ilegítimo de los datos personales. 7. Sobre la falta de proporcionalidad de la sanción propuesta. La Agencia no relaciona los aspectos agravantes al concreto supuesto de hecho ni considera que el hecho resulta de la actuación delictiva de un tercero, de la que DIGI también es víctima, o que el perjuicio a la reclamante se genera por su entidad bancaria, lo que impide identificar aspectos agravantes en su conducta. A) Entre estos agravantes, DIGI cita los siguientes:
16. a)En cuanto a la naturaleza, gravedad y duración de la infracción, reitera (
17. i)que los hechos tienen origen en una actuación claramente fraudulenta ejecutada por un tercero que, valiéndose de documentación falsificada, consiguió burlar los controles establecidos, (
18. ii)que la duración del incidente fue sumamente limitada por la reacción inmediata y responsable de DIGI ante la sospecha de una irregularidad, y (iii) que los perjuicios que sufrió la Reclamante se produjeron a través de plataformas bancarias o comerciales. Añade que el presente caso afecta a una única interesada, lo cual no debería ser tenido en cuenta como agravante, en tanto que suceso aislado y puntual.
19. b)Entiende DIGI que no media intencionalidad o negligencia en la infracción en un caso en que los mecanismos de control fueron superados por una suplantación de identidad que generó un engaño suficiente al agente de DIGI, ni puede aludirse a la inexistencia de contacto previo con la reclamante, en la medida en la que DIGI recibió una solicitud de una persona que se identificó como la reclamante por un método (el uso del DNI) legalmente válido, generando un engaño suficiente en el agente del punto de venta. Recuerda que fue precisamente el procedimiento dispuesto por DIGI el que permitió que la reclamante recibiera una notificación inmediata de la activación del duplicado, propiciando su pronta denuncia y la reacción de DIGI para revertir la situación. Del mismo modo, carece de lógica que una solicitud de un cliente de DIGI no puede tramitarse por estar éste en un municipio distinto al de su residencia, de lo contrario cualquier trámite ejecutado por un cliente en un viaje o desplazamiento resultaría C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/55 inválido, con las obvias consecuencias y perjuicio para los propios clientes.
20. c)Las categorías de los datos de carácter personal afectados por la infracción Los datos tratados por DIGI en el marco de la gestión de duplicados de tarjeta SIM no incluyen categorías especiales de datos y los riesgos valorados por la AEPD no forman parte del tratamiento realizado ni son consecuencia del mismo. DIGI no trata información financiera ni tiene conocimiento o acceso a sus datos bancarios, contraseñas o claves de autenticación vinculadas a servicios ajenos ni estos datos se prevén dentro del artículo 9 RGPD. Se limita a tratar datos identificativos básicos y técnicos necesarios para la provisión del servicio de comunicaciones electrónicas, entre ellos el número de teléfono, el ICCID de la tarjeta SIM o la documentación identificativa del titular.
21. d)El grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 Considera que no se ha acreditado un incumplimiento de las obligaciones establecidas en los artículos 25 y 32 del RGPD y que disponía para estas gestiones de un procedimiento interno estructurado, consistente y actualizado, teniendo en cuenta los riesgos, el cual incorporaba (…). Añade que reaccionó de manera inmediata (…). Además, considera que no puede ignorarse que la superación del procedimiento de seguridad por parte de un tercero mediante documentación falsificada ya ha sido valorada en el marco del agravante previsto en el artículo 83.2.
22. b)del RGPD (intencionalidad o negligencia). La Agencia no aporta elementos adicionales que justifiquen esta duplicidad no admisible en el contexto de un procedimiento administrativo sancionador, al reprochar dos veces los mismos hechos bajo fundamentos jurídicos distintos si su contenido y base fáctica coinciden.
23. e)En relación con las infracciones anteriores valoradas para graduar la sanción, señala que, de las tres infracciones del artículo 6 por emisión de duplicados de tarjeta SIM identificadas, los hechos en dos de ellas se sucedieron con un día de diferencia (…), y que esta valoración de la reincidencia no considera la complejidad que supone detectar este tipo de fraudes cometidos por terceros organizados, que desarrollan diferentes técnicas para evitar los controles, en continua innovación, obligando a una actualización constante de las amenazas para la implantación de nuevas medidas, con gran cantidad de medios y recursos y cuya implantación en una entidad de este tamaño requiere de un tiempo considerable para su completo despliegue, que además ha de ser compatible con los procesos de negocio. En este marco, no es posible exigir una efectividad absoluta de las medidas diseñadas para la prevención del fraude, puesto que no es posible predecir, aunque se dediquen abundantes medios a ello, cuál será la posible siguiente actividad que requerirá de un nuevo despliegue de medidas por parte de DIGI. Defender lo contrario implica materializar, de facto, la existencia de la responsabilidad objetiva. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/55 Alega, por otra parte, que la cuantificación del agravante y su impacto en la sanción propuesta difiere cuantitativamente a otras resoluciones y pronunciamientos de esta Agencia, desconociendo qué elementos fácticos justifican la presente cuantificación.
24. f)Entiende DIGI que la vinculación entre su actividad empresarial y el tratamiento de datos personales de clientes o de terceros no puede considerarse de manera genérica como agravante, por cuanto se aplicaría a todo procedimiento por el mero hecho de pertenecer al sector de telecomunicaciones, sino que debe ser puesto en el contexto con el despliegue de medidas efectuado y relacionado con el supuesto de hecho concreto. Lo contrario imposibilitaría su defensa. En este sentido, añade que las Guidelines 04/2022 on the calculation of administrative fines under the GDPR del EDPB, adoptadas el 24 de mayo de este mismo año, excluye la actividad y sector empresarial concreto del infractor como criterio a considerar en la imposición y cuantificación de sanciones. En este caso, el tratamiento de datos no nace de una intención de la entidad, sino que tiene lugar la comisión de un delito del que DIGI es parte perjudicada. B) Por otro lado, concurren en el presente las siguientes circunstancias atenuantes que no han sido consideradas:
25. a)En ningún momento se han tratado categorías especiales de datos (Art. 83.2
26. g)RGPD), por cuanto el nombre, apellidos y DNI no forman parte de dichas categorías.
27. b)El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos: ha contestado en tiempo y forma a todos los requerimientos de información de la Agencia (Art. 83.2
28. f)RGPD), describiendo el procedimiento seguido en este caso y explicando cómo se revirtió la situación, devolviendo el control de la línea a la reclamante. Se enumeran, así mismo, las medidas implantadas para reforzar los procedimientos de seguridad.
29. c)El inexistente beneficio obtenido por parte de DIGI como resultado del tratamiento de datos que ocupa este procedimiento. En todo caso, DIGI se ha visto perjudicada por el fraude cometido por un tercero, que le ha obligado a reparar la situación causada y llevar a cabo investigaciones, con el consiguiente coste asociado (Art. 83.2
30. k)RGPD). La AEPD señala que tan sólo se puede considerar dicho elemento como elemento agravante, sin embargo, el artículo 83.2
31. k)del RGPD especifica el posible carácter agravante o atenuante: “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas…”. Si bien esta Parte comparte la necesidad de que la imposición de una posible sanción sea individualizada y proporcionada, desconoce a qué “espíritu del artículo 83.1 del RGPD” (página 29 de la Propuesta) al que alude la Agencia impide la consideración de la ausencia de beneficios como atenuante, especialmente, cuando es el propio RGPD el que señala tal posibilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/55 Por último, considera DIGI que, si bien la Agencia reconoce como atenuante la actitud proactiva mostrada, la sanción de 130.000 € resulta completamente desproporcionada, dadas las múltiples medidas adoptadas, la cooperación activa con la AEPD y la rápida reacción ante el incidente. Termina DIGI reiterando que sus medidas eran adecuadas al riesgo y mostrando su disposición a aceptar cualquier tipo de propuesta de mejora o recomendación por parte de esta Agencia en lo relativo al cumplimiento de la normativa. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte reclamante, con residencia en un municipio de la provincia de (…), es cliente de la entidad DIGI. Entre los servicios contratados figura la línea de telefonía móvil número ***TELÉFONO.1. SEGUNDO: A las 19:27 horas del día 10 de enero de 2023, un tercero no autorizado solicitó un duplicado de la tarjeta SIM para la línea móvil de la parte reclamante a través de un distribuidor de DIGI de la provincia de ***LOCALIDAD.1. TERCERO: La solicitud del duplicado de la tarjeta SIM fue realizada acompañada de una copia del DNI, supuestamente de la reclamante, y fue remitida por el distribuidor al control de verificación de DIGI para su revisión por parte de dicho equipo, el cual validó la misma y procedió a la activación del duplicado de SIM el día 10 de enero a las 20:28 horas. CUARTO: Una vez activada la tarjeta SIM duplicada, el equipo de BackOffice de DIGI remitió un SMS a la reclamante con el asunto “Digi. Activación de tarjeta SIM” y el texto: “Te confirmamos que el duplicado de tarjeta SIM que has solicitado en nuestro punto de venta se ha activado correctamente. Puedes incluir la SIM en tu móvil y utilizar tu línea con normalidad. Si tienes alguna duda o necesitas más detalle, puedes llamar nuestros asesores en el 1200 desde tu número Digi o al 642642642 desde cualquier operador”. La reclamante ha manifestado haber recibido de DIGI, en la misma fecha del 10 de enero de 2023, un correo electrónico en el que se le informa sobre la emisión de un duplicado de tarjeta de su línea de telefonía móvil en un establecimiento de ***LOCALIDAD.1. QUINTO: En los sistemas de información de DIGI constan las siguientes anotaciones: . 10/01/2023, hora 22:02:17, correspondiente a una llamada realizada por la reclamante: “A.A.A. / suplantación de identidad / dice que no ha pedido duplicado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/55 de sim / le llega sms de validado / no le han robado la cartera / psko / suspendo sim / inf. Ir por duplicado nuevamente / abro tk… tk fraude”. . 11/01/2023, 08:06:51: “Fraude/Sospecha de fraude. Reclamaciones/Recibimos aviso de posible fraude… por duplicado de SIM que titular no reconoce / La línea ***TELÉFONO.1 se encuentra SUSPENDIDA, por favor No reconectar en llamada, titular debe ir a dealer a pedir nuevo duplicado SIM”. . 16/01/2023: 14:48:20: “Fraude/Sospecha de fraude. Reclamaciones ***TELÉFONO.2 / A.A.A. / ps pol ok / Añadimos palabra clave: B.B.B.”. / SEXTO: Se declara reproducido, a efectos probatorios, el contenido de la denuncia formulada por la reclamante ante la Policía Nacional, en fecha 11 de enero, que consta reseñada en el Antecedente Primero de este acto. Según consta en este documento, la reclamante manifestó que, inmediatamente después de recibir las comunicaciones reseñadas en el Hecho Probado Cuarto, el mismo día 10 de enero de 2023, a las 21:43 horas, contactó con el Servicio de Atención al Cliente de DIGI, en el teléfono 1200. Según la reclamante le informaron que se había producido una posible suplantación de identidad y que procedían a bloquear el duplicado de tarjeta SIM emitido. Consta, asimismo, que el día 10 de enero de 2023 se realizaron varios movimientos en las cuentas bancarias de la reclamante y en la de su marido y se abrió una nueva cuenta bancaria a nombre de la reclamante. La reclamante manifestó que el día 11 de enero de 2023 se realizaron varias compras a su cargo a través de la plataforma “Amazon”. Que con este motivo volvió a contactar con DIGI, “la cual le informó que su tarjeta SIM no estaba bloqueada, ya que alguien había llamado diciendo que su teléfono no iba y no podía realizar llamadas ni enviar mensajes”. SÉPTIMO: Con fecha 17 de enero de 2023, DIGI remitió un correo electrónico a la reclamante desde la dirección “atenciónalcliente@digimobil.es” con el siguiente texto: “A continuación, le indicamos los datos del punto de venta donde se activó el duplicado de SIM de tu línea el 10/01/2023 a las 20:28 horas, según consta en nuestros sistemas: Nombre del Distribuidor: ***ESTABLECIMIENTO.1 Dirección: calle…, ***LOCALIDAD.1 Te informamos que los distribuidores tienen la obligación de solicitar el documento de identidad del titular para hacer un duplicado de tarjeta SIM”. OCTAVO: Consta en el expediente que en el momento de producirse los hechos la solicitud de duplicados de tarjetas SIM por clientes personas físicas solo podía realizarse presencialmente, en tiendas propias o en establecimientos de distribuidores. DIGI contaba con un procedimiento de seguridad, basado (…). En su escrito de alegaciones a la apertura del procedimiento, DIGI ha manifestado que, en este caso, la (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/55 NOVENO: DIGI informó a esta AEPD, en su escrito de respuesta al trámite traslado, que realizó una investigación interna para esclarecer los hechos relacionados con el duplicado de tarjeta SIM al que se refieren las actuaciones, descubriendo, “a partir del relato del propio distribuidor involucrado, que una empleada del mismo, de buena fe, pudo haber permitido a un tercero realizar el trámite de solicitud con la presunta documentación de identidad de la reclamante, identificándose este tercero como marido de la susodicha”. DÉCIMO: Los Servicios de Inspección de esta AEPD han informado que, al comparar los datos de la copia del DNI por ambas caras aportado en la respuesta a la solicitud de información de fecha 19 de julio de 2023 con los datos aportados por la parte reclamante en la denuncia policial de 11 de enero de 2023, se comprueba que coincide el número del DNI, nombre y apellidos, sin embargo, no coinciden el resto de los datos aportados: nacionalidad, lugar y fecha de nacimiento, domicilio completo y nombre de los padres. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones presentadas al acuerdo de inicio 1. Establecimiento de medidas y principio de culpabilidad. DIGI manifiesta que la incidencia se produce porque un tercero, que disponía de los datos personales y del documento de identidad de la reclamante, consigue superar su política de seguridad suplantando la identidad de aquella. Hace referencia DIGI, para su descargo, al conjunto de medidas de seguridad que ha adoptado y añade que es inevitable que esta política de seguridad pueda ser sobrepasada de forma fraudulenta a través de ciertos mecanismos, sin que por ello C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/55 pueda existir reproche a DIGI. Defiende que cumplió con todos los protocolos de seguridad establecidos y considera que la AEPD ha llegado a conclusiones erróneas al considerar que el simple hecho de que se produjera una suplantación es indicativo de una falta de diligencia por parte de la empresa. En base a ello, termina invocando el principio de culpabilidad, argumentando que no cabe imponer una responsabilidad objetiva, es decir, sancionar a la empresa simplemente por el resultado del incidente, sin demostrar que existió culpa o negligencia. La parte reclamada argumenta que, conforme a la Sentencia del Tribunal Constitucional n.º 76/1990, el principio de culpabilidad exige la concurrencia de dolo o culpa, y la mera existencia de un error no justifica la imposición de una sanción. Asimismo, cita la Sentencia de la Audiencia Nacional de 25 de febrero de 2010 según la cual la superación de medidas de seguridad por parte de terceros organizados no es motivo suficiente para sancionar a la empresa afectada, especialmente cuando se han implementado medidas de protección adecuadas. A tal respecto, conviene señalar que en el presente caso la infracción no se fundamenta en la insuficiencia o adecuación de medidas de seguridad, sino en una falta de licitud en el tratamiento de los datos personales que conlleva la emisión de un duplicado de tarjeta y su entrega a un tercero no autorizado, sin que la titular de la misma tuviera si quiera conocimiento de tales tratamientos. El artículo 6.1 establece que el tratamiento de datos personales solo es lícito si se cumple al menos una de las condiciones previstas en el mencionado artículo. En este caso, la vulneración del principio de licitud se manifiesta en el tratamiento indebido de los datos personales de la reclamante, que no fue la solicitante real del duplicado de tarjeta. Este tipo de tratamientos requiere verificar adecuadamente la identidad del solicitante y para ello resulta necesario establecer medidas que aseguren esa correcta identificación. El establecimiento de estas medidas o protocolos, así como su seguimiento y atención por la propia entidad responsable, sirve para valorar la conducta y el grado de diligencia empleado por la misma, pero no son estos los hechos determinantes de la infracción. DIGI emitió un duplicado de tarjeta SIM sin contar con el consentimiento del titular de la línea y lo entrego a un tercero sin una base jurídica válida. Dicho hecho se traduce en un tratamiento ilícito de datos. En síntesis, en el presente caso no se está sancionado la existencia o ausencia de medidas técnicas y organizativas, sino el hecho de que, en este caso específico, el tratamiento de los datos personales de la reclamante fue llevado a cabo sin cumplir con los requisitos de licitud establecidos en el artículo 6.1 del RGPD. La infracción de este artículo confirma que DIGI realizó un tratamiento no autorizado de los datos, vulnerando de esta forma los derechos de la reclamante. En este sentido, la mera existencia de una política de seguridad no puede justificar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/55 una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y posibilitar que el responsable del tratamiento esté en condiciones de demostrar el cumplimiento de los principios relativos al tratamiento de los datos personales. En caso contrario, las medidas adoptadas carecen de virtualidad y pueden conllevar tratamientos ilícitos como ocurre en el presente caso. Por lo tanto, DIGI no puede pretender quedar exonerada de su responsabilidad apelando a la existencia de tales medidas de seguridad, menos aun cuando el fallo estuvo en la aplicación de las mismas, permitiendo una infracción de la licitud del tratamiento. Lo cierto es que la simple emisión de una tarjeta SIM y su entrega a un tercero no autorizado implica ya de por si una vulneración del principio de licitud, en cuanto tienen la consideración de tratamientos de datos personales. Es preciso señalar, asimismo, que no es un hecho controvertido que la emisión del duplicado de tarjeta SIM y su entrega a un tercero no autorizado se llevó a cabo sin la intervención de la reclamante y titular de la línea telefónica. La propia entidad DIGI calificó el caso como fraudulento, según consta reseñado en los hechos probados. Por otra parte, acreditada la existencia de una conducta antijurídica de DIGI (el tratamiento de los datos de la parte reclamante sin base jurídica), la cuestión se centra en determinar si de tal conducta puede nacer responsabilidad administrativa sancionadora. DIGI manifiesta, que no puede apreciarse la existencia de culpabilidad en la infracción que se le imputa, ni a título de dolo ni de culpa, por lo que no puede imponerse a la misma sanción alguna. Rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/55 A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. Esta AEPD comparte la posición que DIGI recoge en sus alegaciones, en las que hace referencia a la necesaria concurrencia de dolo o culpa. Así, la decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que las circunstancias del caso exigen. La AEPD ha acordado en numerosas ocasiones el archivo de procedimientos sancionadores en los que no concurría el elemento de la culpabilidad del sujeto infractor. Supuestos en los que, pese a existir un comportamiento antijurídico, había quedado acreditado que el responsable había obrado con toda la diligencia que resultaba exigible, por lo que no se apreciaba culpa alguna en su conducta. Ese ha sido el criterio mantenido por la Sala de lo Contencioso Administrativo, sección 1ª, de la Audiencia Nacional. Pueden citarse, por ser muy esclarecedoras, las siguientes sentencias: - SAN de 26 de abril de 2002 (Rec. 895/2009) que dice: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” - SAN de 29 de abril de 2010, Fundamento Jurídico sexto, que, a propósito de una contratación fraudulenta, indica que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/55 responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”, establece: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.[...]”. Cabe preguntarse cuáles son los parámetros de la diligencia debida que DIGI debía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/55 haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar es la que era precisa para cumplir las obligaciones que le imponen los artículos 5.2, 24 y 25 del RGPD, a la luz de la doctrina de la Audiencia Nacional y la jurisprudencia del Tribunal Supremo. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Es plenamente aplicable al caso, también, la SAN de 19 de septiembre de 2023 (rec. 403/2021), que dice:” contrató la póliza de seguro con un tercero sin control ni supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona que estaba manifestando su voluntad de contratar, no era quien decía ser. De haberse tomado las necesarias precauciones, a fin de asegurar la identidad la persona contratante (para lo que hubiera sido bastante atender a la incorrecta contestación a las preguntas de identificación y verificación del cliente)”. La reclamada ha invocado distintos argumentos para justificar la ausencia de culpabilidad de su conducta. Básicamente, el disponer de una política de seguridad dirigida a garantizar que los duplicados de tarjetas SIM se entregan a los titulares de las líneas telefónicas, que fue seguida por DIGI y que no falló, sino que se vio superada mediante acciones cometidas por un tercero que disponía de los datos personales y el documento de identidad de la reclamante. Entiende DIGI que su conducta no puede calificarse como no diligente, que el simple hecho de que se produjera una suplantación de identidad no es indicativo de una falta de diligencia. Sin embargo, existen numerosas circunstancias de hecho en el presente caso que llevan a calificar la conducta de DIGI como imprudente y culposa a la hora de detectar preventivamente el fraude, de tal forma que le hubiese permitido denegar la solicitud de emisión de un duplicado de tarjeta SIM que recibió de un tercero no autorizado y, con ello, abstenerse de realizar los tratamientos de datos personales de la parte reclamante que conlleva la emisión de dicha tarjeta y su entrega a una persona distinta a su titular. Son numerosas las circunstancias de hecho que debieron alertar a DIGI sobre el fraude o, lo que es lo mismo, que dan muestra de la negligencia de su conducta. El duplicado de tarjeta se tramitó desde una tienda física, (…). (…). En primer término, entiende esta Agencia que una muestra de alerta viene C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/55 determinada por el hecho de que una persona con residencia en un municipio de (…) solicite un duplicado de tarjeta SIM en una tienda ubicada en una Comunidad Autónoma distinta, en la ciudad de ***LOCALIDAD.1. No es una cuestión determinante, por no improbable, pero sí para tomarla en consideración a la hora de iniciar el proceso y la aplicación de las cautelas necesarias. Por otra parte, se estima oportuno destacar que no consta que DIGI realizara ninguna actuación dirigida ante la parte reclamante para asegurar la realidad de la solicitud que estaba recibiendo, ni para conocer el motivo por el que se solicitó el duplicado de tarjeta. Ello hubiese permitido a DIGI comprobar que la tarjeta que venía siendo utilizada por la parte reclamada se encontraba activa, sin incidencia alguna, y comprobar que el cliente no había realizado petición alguna. (…). Prueba de ello es que, en este caso, la reclamante contactó de inmediato con el servicio de atención al cliente de DIGI para advertir sobre el fraude, solo una hora y media después de la activación de la tarjeta, y, a pesar de ello, no pudo evitar el daño producido. La negligencia mostrada por DIGI y su calificación como grave es aún más concluyente si consideramos que la tienda conoció que la persona que realizaba la solicitud no era la reclamante, titular de la línea de telefonía móvil. La propia entidad DIGI ha reconocido que una empleada de la tienda “pudo haber permitido a un tercero realizar el trámite de solicitud con la presunta documentación de identidad de la reclamante, identificándose este tercero como marido de la susodicha”. A pesar de ello, la solicitud se admitió sin que el tercero hubiese acreditado representación alguna. Tampoco puede calificarse de diligente la verificación de la identidad del solicitante por parte del departamento de Backoffice, (…). A este respecto, DIGI ha manifestado que (…). Sin embargo, los Servicios de Inspección de esta AEPD han podido comprobar, al comparar los datos de la copia del DNI por ambas caras aportada por DIGI con los datos aportados por la parte reclamante en la denuncia policial de 11 de enero de 2023, que coincide el número del DNI, nombre y apellidos, pero no el resto de los datos aportados, como la nacionalidad. Por tanto, resulta que DIGI no verificó la identidad de quien solicitó el duplicado de tarjeta SIM que motiva las actuaciones, siendo así que, de haberse efectuado correctamente esta operación, el duplicado se hubiera denegado, quedando en entredicho la diligencia empleada por parte dicha entidad para verificar la identidad de la persona que solicitó un duplicado de la tarjeta SIM. En definitiva, no ha existido una conducta proactiva para aplicar de forma efectiva los principios de protección de datos. Resulta, por tanto, que la actuación desarrollada por DIGI ha resultado claramente ineficaz e insuficiente, está muy por debajo de las posibilidades que el desarrollo técnico actual ofrece y no toma en consideración el evidente riesgo que la contratación de los servicios que comercializa representa para los derechos y libertades de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/55 personas, por lo que debe responder a título de culpa por la infracción cometida por la falta de diligencia mostrada. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. Por otra parte, atendidas todas las circunstancias de hecho que conforman el presente supuesto, no puede decirse que la incidencia producida en el tratamiento de los datos personales de la parte reclamante responda a un ataque sofisticado, como señala DIGI en su escrito de respuesta al trámite de traslado. En otro orden, en relación con la alegación formulada por DIGI, según la cual el defraudador disponía de los datos y documento de la reclamante con anterioridad, cabe precisar que ninguna responsabilidad se está imputando en el presente procedimiento sancionador por tales conductas del tercero. Precisamente el que nos encontremos ante el fraude de un tercero hace que sea necesario asegurarse que la persona a la que se expide el duplicado de la tarjeta SIM es quien realmente dice ser y deben adoptarse las medidas necesarias de prevención adecuadas para verificar la identidad de una persona cuyos datos van a ser objeto de tratamiento, tal y como se reconoce en el Fundamento Jurídico Séptimo de la SAN, SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012): "Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento..."). Asimismo, DIGI alega como precedente la resolución de archivo del expediente (…) de la AEPD, según la cual la AEPD concluyó que la superación de las medidas de seguridad por parte de un tercero no implica necesariamente que estas medidas sean inadecuadas. Afirma que, en dicho expediente, a pesar de que se produjo un acceso no autorizado a datos personales, la AEPD decidió no imponer sanción alguna porque C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/55 la empresa había desplegado un nivel suficiente de diligencia. En dicho expediente, las circunstancias eran otras. Se trataba de un tercero que estaba realizando una serie de consultas y peticiones sobre la línea de la titular, debido a que contaba con la información personal de la reclamante por el vínculo que les había unido. Esa reclamación se archivó en aplicación del principio de presunción de inocencia, que impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción. El expediente que ahora se resuelve es distinto, en el que se sanciona a DIGI por los tratamientos de datos que conlleva la emisión de un duplicado de tarjeta SIM y su entrega a un tercero. 2. Licitud del tratamiento de datos personales. DIGI insiste en que la empresa no ha realizado un tratamiento ilícito de los datos personales del reclamante, puesto que los datos ya estaban en manos del suplantador antes de que este solicitara el duplicado SIM. A este respecto, se menciona que el número de teléfono (MSISDN) y el IMSI son datos técnicos que, por sí mismos, no permiten identificar al titular sin acceso a los sistemas internos de la empresa. Se hace referencia a la Sentencia de la Audiencia Nacional de 17 de septiembre de 2008 (recurso número 353/2007). A su juicio, según dicha sentencia, el número de teléfono solo puede considerarse un dato personal si es posible identificar al titular a partir de ese número, lo cual afirma no haberse demostrado en este caso. También cita la Sentencia del Tribunal Supremo de 18 de junio de 2020 (Recurso 1074/2019, N.º de Sentencia 815/2020), que refuerza la interpretación de que los datos personales no incluyen automáticamente el número de teléfono si no se asocia a una persona identificada de manera directa. Es la emisión de un duplicado de tarjeta SIM lo que supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). La emisión de un duplicado de tarjeta SIM implica necesariamente un tratamiento de datos personales, ya que se realiza sobre la línea y la identidad del titular. Como puede apreciarse en las actuaciones, el tratamiento de datos que se analiza ha conllevado la utilización de los datos de la reclamante relativos a nombre, apellidos, DNI y línea de telefonía móvil, entre otros. Hay que indicar que, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/55 En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. 3. Desproporcionalidad de la sanción. En cuanto a la sanción, la parte reclamada señala que ha demostrado haber actuado con la diligencia debida en la identificación y detección del fraude, así como actuando de forma inmediata para limitar y mitigar el perjuicio ocasionado a la reclamante, y señala que la sanción resulta desproporcionada. Asimismo, se destaca que la AEPD ha impuesto sanciones menos severas en casos similares. De forma concreta, compara este supuesto con el expediente (…), en el que la AEPD sancionó a otro operador de telecomunicaciones con una multa de (…) euros por varios casos de suplantación de identidad mediante el uso de duplicados de SIM. Afirma que, a pesar de que la situación era similar, la sanción impuesta a la parte reclamada en este caso resulta mucho más elevada de manera proporcional, lo cual considera injustificado. En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual. El procedimiento sancionador (…), tramitado contra otro operador se le imputó la violación del artículo 5.1f), no se le imputa el fraude, ni el tratamiento de datos sin legitimación sino una falta de garantías de las medidas de seguridad que produce una cesión de datos a un tercero. En el presente procedimiento sancionador, la sanción se impone debido a que DIGI facilitó un duplicado de la tarjeta SIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero, y por este motivo se imputa el artículo 6.1 del RGPD. En definitiva, es el responsable del tratamiento el que tiene la obligación de integrar las garantías necesarias en el tratamiento, con la finalidad de, en virtud del principio de responsabilidad proactiva, cumplir y ser capaz de demostrar el cumplimiento, al mismo tiempo que respeta el derecho fundamental a la protección de datos. En cuanto al precedente invocado por DIGI, señalado con el número (…), debe señalarse que, a diferencia de lo que ocurre en el caso que motiva las actuaciones, en ese precedente se valoraron varias circunstancias atenuantes que no concurren en el presente caso, en el que, por otra parte, se valora como determinante para el establecimiento de la multa la existencia de varias infracciones anteriores cometidas por DIGI, muchas de ellas por hechos similares a los analizados. La parte reclamada discrepa de los agravantes aplicados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/55 - La intencionalidad o negligencia de la infracción (artículo 83.2
32. b)del RGPD. Señala que tratándose de un hecho causado por la comisión de un acto delictivo de un tercero no imputable a DIGI, no parece permisible, que se le impute este agravante. - Toda infracción anterior cometida por el responsable o el encargado del tratamiento. Manifiesta que el agravante de la reincidencia hace alusión a un período temporal amplio, generalmente de carácter anual, y no puede tener en cuenta una sucesión de hechos, como son los supuestos de comisión de fraude Sim Swapping que nos ocupan, en algunos casos, totalmente coetáneos a nivel temporal. Indica que los suplantadores modifican sus técnicas e incorporan nuevos modus operandi, por lo que no cabe asimilar los supuestos actuales a aquellos cometidos dos años antes. - Vinculación entre su actividad y el tratamiento de datos personales de clientes o de terceros (artículo 83.2K, del RGPD en relación con el artículo 76.2 b, de la LOPDGDD). Señala que dicho agravante debe ser puesto en contexto con el despliegue de medidas efectuado por DIGI. En este sentido, indica que el tratamiento de datos no nace de una intención de la entidad, sino que tiene lugar la comisión de un delito del que DIGI es parte perjudicada. Por todo ello, no cabe interpretar este aspecto como agravante. Respecto de las cuestiones anteriores, nos remitimos a lo indicado en el Fundamento de Derecho dedicado a la graduación de la sanción. Y, señala que en el presente caso concurren las siguientes circunstancias atenuantes que no han sido consideradas en la adecuada graduación de la sanción: - Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (art. 83.2 c); - En ningún momento se han tratado categorías especiales de datos (Art. 83.2
33. g)RGPD). - El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos: ha quedado acreditado que se ha contestado en tiempo y forma a todos los requerimientos de información solicitados por esta Agencia. Es más, DIGI aportó, en el primer requerimiento de información, de forma previa a que fuese requerido por la AEPD, toda la documentación contractual y acreditativa relativa al presente supuesto de hecho, por propia voluntad, manifestando de forma expresa su buena fe e intención de colaboración con la autoridad (Art. 83.2
34. f)RGPD). - El inexistente beneficio obtenido por parte de DIGI como resultado al tratamiento de datos que ocupa este procedimiento. En todo caso, DIGI se ha visto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/55 perjudicada, como ya se ha señalado, al verse afectada por la comisión de fraude por un tercero, lo que le ha obligado a reparar la situación causada y llevar a cabo investigaciones, con el consiguiente coste asociado (Art. 83.2
35. k)24 RGPD). Se ha de resaltar que no solo no supone un beneficio económico, sino que DIGI se ha visto perjudicado por el error cometido por su proveedor, a pesar de haber contado con todas las medidas y garantías. No se admite ninguna de las atenuantes invocadas. La admisión de que opere como una atenuante que la parte reclamada ha solventado la incidencia objeto de reclamación de forma efectiva (artículo 83.2
36. c)del RGPD), anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis de DIGI en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas. Por la entidad DIGI, respecto del artículo 83.2g) del RGPD se refiere “En ningún momento se han tratado categorías especiales de datos”. Los datos tratados por DIGI, son datos de naturaleza sensible, para identificar a sus clientes en las gestiones que realizan para la obtención del duplicado de la tarjeta SIM son el nombre, apellidos y DNI, son datos personales asociada a una línea de telefonía titular de un usuario, que se obtiene con la finalidad de suplantar su personalidad que se trata de un dato personal cuyo acceso no autorizado es particular grave. Ello, sin perjuicio, de que para la expedición del duplicado de la citada tarjeta se han tratado datos de carácter personal tales como el nombre y apellidos y DNI del titular. El artículo 83.2.
37. f)del RGPD se refiere al “grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;”. La respuesta de la reclamada al requerimiento informativo de la Subdirección de Inspección no cumplía esas finalidades, por lo que no es encuadrable en esa circunstancia atenuante. Sobre la aplicación del artículo 76.2.
38. c)de la LOPDGDD, en conexión con el artículo 83.2.k), inexistencia de beneficios obtenidos, cabe señalar que tal circunstancia solo puede operar como agravante y en ningún caso como circunstancia atenuante. El artículo 83.2.
39. k)del RGPD se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo 76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.
40. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..]
41. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones mencionan como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que DIGI alega. Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/55 está presidida por los siguientes principios: deberán estar individualizadas para cada caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1 del RGPD y a los principios por los que se rige la determinación del importe de la sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis de DIGI en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas. La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el hecho de que en un supuesto concreto no estén presentes todos los elementos que integran una circunstancia modificativa de la responsabilidad que, por su naturaleza, tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse sobre la circunstancia del apartado
42. e)del artículo 83.2. del RGPD, la comisión de infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”. Asimismo, señala DIGI que la cuantificación de la posible sanción a imponer a DIGI en relación con el supuesto incumplimiento de las obligaciones del artículo 6.1 del RGPD, que debería limitarse a un apercibimiento y, en última instancia, se modere o module la propuesta recogida en el Acuerdo de Inicio notificado a DIGI, atendiendo a sus argumentos. En cuanto a la imposición de una advertencia, apercibimiento, o la adopción de medidas correctivas conforme al artículo 58 del RGPD, una multa disuasoria es aquella que tiene un efecto disuasorio genuino. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice: “94. Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor disuasorio se valora tomando en consideración una multitud de elementos y no sólo la situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio puede tener por objeto no sólo una «disuasión general», definida como una acción para desincentivar a todas las empresas, en general, de que cometan la infracción de que se trate, sino también una «disuasión específica», consistente en disuadir al demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no estaba obligada a limitar su valoración a los factores relacionados únicamente con la situación particular de la empresa en cuestión.” “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/55 la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).” Hemos de atender a la circunstancia singular de la reclamación presentada, a través de la cual puede constatarse que, desde el momento en el que la persona suplantadora realiza la sustitución de la SIM, el teléfono de la víctima se queda sin servicio pasando el control de la línea a las personas suplantadoras. En consecuencia, ven afectados sus poderes de disposición y control sobre sus datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos según ha señalado el Tribunal Constitucional en la Sentencia 292/2000, de 30 de noviembre de 2000 (FJ 7). De manera que, al conseguir un duplicado de la tarjeta SIM, se posibilita bajo determinadas circunstancias, el acceso a los contactos o a las aplicaciones y servicios que tengan como procedimiento de recuperación de clave el envío de un SMS con un código para poder modificar las contraseñas. En definitiva, podrán suplantar la identidad de los afectados, pudiendo acceder y controlar, por ejemplo: las cuentas de correo electrónico; cuentas bancarias; aplicaciones como WhatsApp; redes sociales, como Facebook o Twitter, y un largo etc. En resumidas cuentas, una vez modificada la clave de acceso por parte de los suplantadores pierden el control de sus cuentas, aplicaciones y servicios, lo que supone una gran amenaza. III Contestación a las alegaciones presentadas a la propuesta de resolución Las alegaciones formuladas no desvirtúan los fundamentos que justifican el acuerdo adoptado en la presente resolución. DIGI plantea en su escrito de alegaciones a la propuesta de resolución, básicamente, las mismas alegaciones que formuló con ocasión de la apertura del procedimiento, sin considerar los hechos constatados y los fundamentos que sirvieron de base a la mencionada propuesta, que esta resolución hace suyos, en los que se analizan ampliamente las circunstancias puestas de manifiesto por dicha entidad y se exponen las razones que determinaron su desestimación. Por tanto, los alegatos contenidos en su nuevo escrito de alegaciones quedan sobradamente rebatidos con los argumentos transcritos en el Fundamento de Derecho anterior y en los que siguen, que se consideran válidos y suficientes para rechazar los planteamientos de DIGI. Sin perjuicio de lo anterior, se estima oportuno ampliar esa respuesta como sigue: 1. Del principio de culpabilidad y la responsabilidad objetiva. Inexistencia de infracción del artículo 6 del RGPD. Indefensión y falta de seguridad jurídica. El Fundamento de Derecho anterior analiza ampliamente estas cuestiones atendiendo, de manera específica, a las circunstancias apreciadas en este caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/55 No obstante, después de declarar reproducidas sus alegaciones a la apertura del procedimiento y sin atender a los razonamientos expuestos por esta AEPD, reitera DIGI que no se tienen en cuenta las medidas implantadas y la diligencia desplegada por su parte, sino únicamente el resultado producido por la actuación ilícita de un tercero que comete actos delictivos, suplantando la identidad de la reclamante y haciendo uso de un documento de identidad falso que revestía total apariencia de legalidad, al incluir el nombre y número correctos, no siendo exigible la obligación absoluta de detección de un documento falso. Entiende que fundamentar la imposición de una sanción exclusivamente en la obtención de un resultado supone adoptar un principio de responsabilidad objetiva y obviar la necesaria concurrencia de la culpabilidad. Atendiendo a las características y al contexto del tratamiento, resulta conveniente precisar que el fenómeno del SIM Swapping constituye un riesgo ampliamente documentado y de concurrencia frecuente en el sector de las telecomunicaciones. En consecuencia, siendo un riesgo inherente a la actividad, resulta jurídicamente exigible que en el proceso de solicitud de duplicados de tarjetas SIM se adopten medidas técnicas y organizativas adecuadas para garantizar que la persona que solicita el duplicado de la tarjeta SIM es realmente quien dice ser, es decir la titular del número de teléfono, y que estás medidas se cumplen, con el fin de evitar el tratamiento ilícito de datos personales. Así las cosas, la verificación adecuada y rigurosa de la identidad del titular de la línea resulta determinante para que el proceder del operador pueda ser calificado como diligente y acorde con las obligaciones que le impone el RGPD. En este sentido, contrariamente a lo alegado, esta Agencia no ha limitado su análisis únicamente al resultado material, esto es, la emisión fraudulenta del duplicado SIM, sino que se han valorado de manera exhaustiva tanto la conducta de DIGI como las medidas implementadas, identificándose deficiencias o irregularidades en la actuación de DIGI que ponen en entredicho la diligencia de esta entidad en el presente caso. Como ya se expuso concurren en este caso numerosas circunstancias de hecho que llevan a calificar la conducta de DIGI como imprudente y culposa a la hora de detectar preventivamente el fraude. Sobre tales circunstancias, ya expuestas, DIGI se limita a reiterar las alegaciones previas, sin atender de forma específica los argumentos valorados en la propuesta de resolución. De manera especial, es preciso destacar que la base principal sobre la que se articula todo el alegato de DIGI está constituida por un hecho falso, del que hace uso a lo largo de todo el escrito de alegaciones presentado. Así, al referirse a la política de seguridad prevista y a las acciones realizadas en este caso para seguir sus protocolos, señala que llevó a cabo la verificación in situ de la identidad de la persona que solicitó el duplicado de tarjeta SIM mediante el documento de identidad aportado por la misma, cuando la realidad es que la reclamante, titular de los datos sometidos a tratamiento y de los servicios contratados con este operador, en ningún momento se personó en el punto de venta para realizar aquella petición. Al contrario, según ha informado la propia DIGI, consta que la solicitud del duplicado la realiza un tercero, que manifiesta ser el cónyuge de la reclamante, aportando para ello un supuesto documento de identidad de la reclamante. Por tanto, de ningún modo pudo DIGI comprobar visualmente que el documento de identidad aportado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/55 correspondía a la persona que estaba solicitando el duplicado, (…). A pesar de la evidencia del caso, ni una sola referencia hace DIGI a que esa tercera persona acreditase por algún medio que actuaba en representación de la reclamante, como tampoco ha informado de (…). No puede basar DIGI su falta de culpabilidad en el establecimiento de un protocolo para acreditarla identidad del solicitante del duplicado de la tarjeta SIM, que exige la comparecencia física del interesado, cuando en este caso ni siquiera fue la interesada la que se personó en el punto de venta para formular la solicitud. Esta circunstancia pone de manifiesto la falta de diligencia de DIGI a lo hora de expedir y entregar el duplicado de la tarjeta SIM de la reclamante. Es más, según pudo constarse en las actuaciones previas de investigación “al comparar los datos de la copia del DNI por ambas caras aportado en la respuesta a la solicitud de información de fecha 19 de julio de 2023 con los datos aportados por la parte reclamante en la denuncia policial de 11 de enero de 2023, se comprueba que coincide el número del DNI, nombre y apellidos, sin embargo, no coinciden el resto de los datos aportados: nacionalidad, lugar y fecha de nacimiento, domicilio completo y nombre de los padres”. Por tanto, en relación con la forma de identificación de los clientes que solicitan un duplicado de tarjeta SIM, DIGI tampoco acredita la existencia de previsión específica alguna, (…), por lo que no se rebaten las observaciones efectuadas por esta Agencia. En relación con este argumento, no basta con decir que el empleado comprobó el DNI original, sin poder acreditar esta afirmación de ningún modo, ni resulta admisible indicar que la Agencia no permite obtener copia de los documentos de identidad, pues el artículo 5.2 del RGPD señala que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (responsabilidad proactiva)”, toda vez que es el responsable, en cumplimiento de las obligaciones que impone esta responsabilidad proactiva, quien debe implantar las medidas técnicas y organizativas necesarias, tal y como expresan los artículos 24 y 25 del RGPD. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de observar los principios que presiden el tratamiento, también la de poder demostrar dicho cumplimiento. El artículo 5.2 del RGPD se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas que sean apropiadas “para garantizar y poder demostrar” que el tratamiento ha sido conforme con el RGPD. En cuanto a los criterios que esta AEPD aplica respecto de la identificación de los interesados mediante el documento de identidad, cuya obtención se califica en ocasiones como excesiva, no considera DIGI que para delimitar los supuestos se tiene en cuenta la organización del responsable y el respeto al principio de responsabilidad proactiva. En ninguno de los dieciocho procedimientos sancionadores seguidos en esta AEPD contra DIGI por defectos en la identificación del titular de los datos personales, finalizados o en curso, todos ellos por infracción del artículo 6 del RGPD, se pone de manifiesto una discrepancia de criterio respecto de esta circunstancia. Por otra parte, a mayor abundamiento, en relación con la específica falta de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/55 mecanismos adicionales para asegurar la realidad de la solicitud, la citada entidad se aparta de la cuestión central limitándose a alegar que la problemática radica en la actuación fraudulenta de un tercero que logró superar los controles internos establecidos. Como ya se indicó anteriormente, a pesar de que la solicitud no la realizó la titular de la línea, DIGI (…). Ante esta situación, no puede decirse que el tratamiento de los datos personales de la reclamante era necesario para la ejecución del contrato. Además, DIGI omite cualquier referencia a otros hechos que aparecen en las actuaciones debidamente acreditados y resultan igualmente determinantes a la hora de analizar las medidas dispuestas y su conducta en este caso. En concreto, (…). Del mismo modo, no justifica adecuadamente el hecho de no haber cuestionado que la solicitud del duplicado se realizara en una tienda física de ***LOCALIDAD.1 por una persona con residencia en un municipio de (…). Omite considerar que esta circunstancia debió, en todo caso, generar la sospecha o alerta procedente, cuando ni siquiera era la titular la que había formulado la solicitud, en atención a los estándares y cautelas exigibles para la adecuada prevención de riesgos y fraudes. A la luz de lo expuesto, tanto en la propuesta de resolución como en la presente contestación, ni las evidencias aportadas ni las argumentaciones presentadas resultan suficientes para demostrar que el responsable del tratamiento aplicó la diligencia exigible en el contexto específico en el que opera a fin de garantizar la conformidad del tratamiento con la normativa en materia de protección de datos. Como tampoco informa sobre el establecimiento de controles para verificar que sus protocolos se cumplen efectivamente. En consecuencia, no puede considerarse cumplido el principio de responsabilidad proactiva. La culpabilidad de DIGI no resulta, en este caso, de la existencia o ausencia de protocolos para emitir los duplicados de tarjeta SIM, pues la mera existencia de estos no puede justificar una vulneración del principio de licitud, sino de la falta de diligencia desplegada por DIGI para no realizar un tratamiento de los datos de la reclamante sin base de legitimación, lo que hubiera exigido que DIGI comprobara y pudiera demostrar, al menos, que el tercero contaba con la representación de la reclamante y que el DNI que aportaba era el original. A la vista de cuanto antecede, no puede decirse que esta AEPD no haya analizado las medidas dispuestas por DIGI y su conducta en el caso concreto, ni tampoco que la infracción resulte de un error puntual y aislado del agente del punto de venta en la comprobación visual de un documento de identidad o que se hiciera uso de un documento de identidad falso indetectable. Resulta significativo, particularmente en lo relativo a los protocolos aplicables, que el responsable del tratamiento no analiza con la debida profundidad la diligencia exigible, trasladando la responsabilidad al agente, cuando el control sobre la veracidad de la solicitud de duplicado de tarjeta SIM, esencial para la prevención eficaz del fraude, corresponde a la propia entidad DIGI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/55 Por otra parte, ninguna responsabilidad se está trasladando a DIGI en el presente procedimiento sancionador por la conducta del tercero que solicitó el duplicado de tarjeta SIM, ni por las conductas previas del estafador para obtener los datos de la reclamante o las posteriores, como las cometidas para acceder a las cuentas bancarias, ya tengan que ver con la obtención de los datos personales de la reclamante que fueron facilitados a DIGI o con el uso posterior de los mismos realizados por el tercero una vez obtuvo el duplicado de tarjeta. Ello sin perjuicio de que pueda tenerse en cuenta la repercusión que para el interesado puede tener que un tercero obtenga un duplicado de la tarjeta correspondiente a su línea de telefonía móvil, que obliga a la entidad responsable a establecer todas las cautelas necesarias para evitarlo. La única infracción que se atribuye a la reclamada se fundamenta en la falta de licitud en el tratamiento de los datos personales de la reclamante. La referencia al fenómeno del denominado SIM Swapping y a sus eventuales consecuencias se efectúa con el fin de valorar el alcance y naturaleza de la infracción imputada, atendiendo a las repercusiones que tales prácticas pueden generar sobre los derechos del titular de los datos personales afectados. En este sentido, la Audiencia Nacional en la sentencia de 13/05/2024, Rec. 0002336/2021, establece que “(…) en la primera fase de este tipo de estafas el suplantador consigue, de manera fraudulenta, los datos de acceso o las credenciales de la banca online del cliente, pero le falta por conocer el código de verificación, segundo factor de autentificación, para poder ejecutar cualquier operación. En el momento en el que logra la tarjeta SIM duplicada ya tiene también acceso a este segundo factor de autentificación y, por tanto, desde ese momento puede realizar los actos de disposición patrimonial que desee”. Por su parte, el Instituto Nacional de Ciberseguridad (INCIBE) incluye en su web “incibe.es” la siguiente información sobre el SIM Swapping: “Recordemos que ante un SIM swapping, los ciberdelincuentes intentan duplicar de forma fraudulenta la tarjeta SIM del dispositivo móvil de una persona. Para ello suplanta su identidad a fin de conseguir un duplicado de la misma. Posteriormente, una vez que la víctima se queda sin servicio telefónico, accede a su información personal y toma el control de sus aplicaciones, suplantándole en sus redes sociales, cuentas de correo electrónico o banca digital, utilizando los SMS de verificación que llegan al número de teléfono. De esta forma el ciberdelincuente puede recuperar los mensajes de texto de confirmación con las claves y realizar algún ciberdelito con estas credenciales, como puede ser realizar una operación bancaria y suplantaciones de identidad”. Por tanto, la mera utilización de una tarjeta SIM por parte de un tercero no autorizado incrementa de forma significativa el riesgo para su titular, en la medida en que el suplantador puede disponer de datos adicionales que permitan la realización de actuaciones con efectos especialmente gravosos, tales como operaciones financieras no consentidas, como ha sucedido en el caso que nos ocupa. Así, facilitar un duplicado de tarjeta SIM es un proceso en el que la diligencia prestada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/55 por los operadores resulta esencial para evitar este tipo de estafas y garantizar la adecuada protección de los derechos e intereses de los clientes, diligencia que, como ya se ha expuesto, se encuentra en entredicho en el presente caso. Por otra parte, en relación con la ausencia del elemento volitivo al que se refiere DIGI, cabe señalar que el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". En relación con todo cuanto antecede, resulta de especial interés la doctrina declarada por el Tribunal Supremo, Sala de lo Contencioso-Administrativo, Sección Tercera, en Sentencia de 13/12/2021 (recurso de casación núm. 6109/2020), que analiza un supuesto de suplantación de identidad para una contratación on line, en el que se cuestiona la actuación llevada a cabo por la entidad recurrente para verificar que contrataba con el verdadero titular de los datos y se sanciona por el tratamiento ilícito de los datos personales del interesado. Según el auto de admisión del citado recurso de casación, “la cuestión que presenta interés casacional objetivo para la formación de la jurisprudencia consisten en interpretar la normativa de protección de datos de carácter personal vigente a efectos de aclarar si la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, permite excluir que haya existido infracción por falta del necesario consentimiento inequívoco para el tratamiento de los datos personales que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, por entender que la empresa contratante actuó con diligencia suficiente y en la creencia de que contrataba con el verdadero titular de tales datos”. En esta Sentencia se declara lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/55 TERCERO.- Respuesta de la Sala a la cuestión de interés casacional señalada en el auto de admisión del recurso de casación. En respuesta a la cuestión que plantea el auto de admisión del presente recurso de casación debemos declarar que la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, no excluye que la empresa contratante, que lleva a cabo el tratamiento de los datos personales, haya podido incurrir en infracción por falta del necesario consentimiento inequívoco que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues aquella intervención fraudulenta de un tercero no implica por sí misma que la empresa contratante haya actuado con diligencia suficiente. Lo anterior no significa que se haga recaer sobre la empresa contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la implantación de medidas de control y verificación tendentes a asegura