PS-00303-2024

1/46  Expediente N.º: EXP202315096 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: La Unión de Consumidores de Asturias, en nombre y representación de A.A.A. (en adelante, la parte reclamante) con fecha 4 de octubre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra TELEFÓNICA MÓVILES ESPAÑA, S.A. con NIF A78923125 (en adelante, la parte reclamada; TELEFÓNICA; TME u O2). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, manifiesta que en el mes de enero del año 2023 y sin motivo aparente, su línea de teléfono móvil ***TELÉFONO.1 quedó inoperativa, por lo que solicitó un duplicado de la tarjeta SIM, acudiendo a recogerla a un punto de venta de TME. Posteriormente, se percata que ha sido objeto de una suplantación de identidad para realizar operaciones fraudulentas en la cuenta que tiene con su esposa, por valor de ***CANTIDAD.1 euros, utilizando el duplicado de la tarjeta SIM. El reclamante se pone en contacto con O2, donde le informan que anteriormente se había solicitado un duplicado, señalando el reclamante no haber sido él y requiriendo las grabaciones y los documentos firmados por el tercero que solicitó la tarjeta SIM. Manifiesta no entender cómo O2 facilitó un duplicado sin su consentimiento, ni su DNI, sin seguir los canales de seguridad adecuados para comprobar la identidad del solicitante del duplicado. La parte reclamante expresa que, con esa tarjeta SIM expedida fraudulentamente, ha sido objeto de un fraude de ***CANTIDAD.1 euros, mediante (…) en su cuenta bancaria, sin su consentimiento y (…). Y aporta, entre otra, la siguiente documentación relevante: - Autorización a la Unión de Consumidores de Asturias y DNI de la parte reclamante. - Justificantes de dos cargos en cuenta bancaria por importes de ***CANTIDAD.2 y ***CANTIDAD.3 euros. - “Contrato de cambio de tarjeta SIM” suscrito por el reclamante con TME en fecha 19/01/2023, correspondiente a la línea ***TELÉFONO.1. - Reclamación a O2 de fecha 21 de junio de 2023, donde se manifiesta que se quedó sin línea y que se produjo una solicitud fraudulenta. - Contestación de O2 a la reclamación en donde se indica: “que el duplicado fue solicitado en una tienda el día 17/01/2023 a las 14:18h, por lo que pudieran hacer el duplicado del mismo tuvieron que presentar en tienda el DNI del titular”. - Correos electrónicos del reclamante dirigidos a O2, solicitando información sobre el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/46 duplicado fraudulento. - Contestación de Telefónica, de 23/06/2023, indicándole que consta en sus sistemas solicitud de duplicado de tarjeta SIM asociados a su línea realizados en fecha 17 y 19 de enero de 2023 y que no pueden hacerse cargo de un posible fraude bancario, y que procedió a devolverle el importe abonado por la expedición de una nueva tarjeta SIM. Añade TME que “el resto de información sobre dichas solicitudes se almacena y será puesta a disposición de las autoridades competentes en el curso de la investigación, a través de los canales establecidos por Movistar a tales efectos”. - Correo de O2, indicando que el duplicado fraudulento de la tarjeta fue anulado. - Reclamación ante la entidad financiera de fecha 20 de junio de 2023. - Contestación de la entidad financiera de la parte reclamante de fecha 21 de abril de 2023, sobre la incidencia padecida con su banca online, indicándole que no acceden a la petición de reintegro de la cantidad reclamada. -Justificantes de los fraudes bancarios. - Denuncia ante la Policía Nacional de ***LOCALIDAD..1 de fecha 20 de enero de 2023, presentada por la esposa del reclamante por los dos cargos fraudulentos realizados en su cuenta bancaria. En esta denuncia se realizan las siguientes manifestaciones en relación con la línea de telefonía móvil en cuestión: “. Que la denunciante quiere manifestar que el día 17/01/2023 se quedó sin línea telefónica. . Que puesta en contacto con la compañía O2 le dicen que puede ser un problema de la tarjeta SIM. . Que una vez comprada otra tarjeta sigue sin línea y puesta nuevamente en contacto con la compañía, ésta le dice que la línea está bloqueada por un posible fraude. . Que a fecha de hoy les envió un e-mail solicitando información de ese bloqueo sin tener respuesta todavía. . Que el número de teléfono bloqueado es el ***TELÉFONO.1 estando en este momento en funcionamiento con normalidad”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 31 de octubre de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 21 de diciembre de 2023 se recibe en esta Agencia escrito de respuesta manifestando: “(…) 2.- Sobre el canal a través del cual se tramitó el duplicado de SIM y vía de identificación de la persona que lo solicitó. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/46 Telefónica informa de que existe una solicitud de cambio de ICC de la tarjeta SIM del Reclamante el día 17 de enero de 2023 a través de uno de nuestros Puntos de Venta autorizados. El día 19 de enero de 2023, se solicita otro cambio de ICC a través de otro Punto de Venta autorizados. 3.- Sobre la documentación y datos aportados por la persona que solicitó la tarjeta SIM para acreditar su identidad y el registro en sus sistemas de la realización de los controles para la verificación de la identidad: A Telefónica, revisados sus sistemas, no le consta información adicional al respecto. (…) TERCERO: Con fecha 28 de diciembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En primer lugar, respecto de la solicitud de cambio de SIM de fecha 17 de enero de 2023, Telefónica no dispone de más información a la ya aportada en el escrito dirigido a esta Agencia de fecha 18 de diciembre de 2024. En segundo lugar, y respecto de la solicitud de cambio de SIM de fecha 19 de enero de 2023, confirmamos que dicha solicitud se hizo a través de una de nuestras tiendas físicas autorizadas en la cual, siguiendo la operativa ya informada a esta Agencia a la hora de verificar la identidad del cliente, y ésta se realizó a través de “***SISTEMA.1” (…). Adjuntan como Documento N.º 1 las imágenes recabadas de su sistema en el que consta el mencionado (…). QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad TELEFÓNICA MÓVILES ESPAÑA, S.A. gran empresa constituida en el año 1988, y con un volumen de negocios de ***CANTIDAD.4 euros en el año 2024. SEXTO: Con fecha 23 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/46 la infracción imputada, sin perjuicio de lo que resulte de la instrucción, sería de 300.000 euros (trescientos mil euros). SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada solicitó ampliación del plazo, siéndole otorgado el plazo adicional y con fecha 28 de enero de 2025 presentó escrito de alegaciones manifestando lo siguiente: CUESTIÓN PREVIA. - PREJUDICIALIDAD PENAL En primer lugar, Telefónica solicita a la Agencia que suspenda el procedimiento y requiera al Reclamante a fin de que aporte en qué punto se encuentra la denuncia interpuesta, así como el contenido del procedimiento penal que en su caso se encuentre en marcha, acordando mientras tanto la suspensión de este procedimiento por prejudicialidad penal dada la íntima relación que existe entre los procedimientos penales y el administrativo. I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR PRIMERA. - INEXISTENCIA DE COMISIÓN DE INFRACCIÓN. DISCONFORMIDAD CON EL ACUERDO DE INICIO DEL EXPEDIENTE SANCIONADOR Manifiesta Telefónica su total disconformidad con la incoación del presente expediente sancionador y con lo establecido en los supuestos hechos probados que se recogen en la fundamentación del Acuerdo, indicando que, de las contestaciones realizadas por la parte reclamada a los requerimientos de información realizados por la Agencia, en ningún caso se puede inferir que supongan admitir, presuponer o verificar por parte de la Agencia que el agente comercial no siguió la operativa relativa a la identificación del cliente. Señala Telefónica que no consta una prueba de cargo, con entidad suficiente, como para destruir la presunción de inocencia de Telefónica que acredite la ausencia de verificación de la identidad de quien solicitó el duplicado de la tarjeta E-SIM, ni tampoco para acreditar la ausencia de aplicación de las cautelas previstas. En este sentido, señala la parte reclamada las medidas técnicas y organizativas implantadas por Telefónica que resultan apropiadas para la gestión de la que trae causa el presente Acuerdo, esto es, duplicados de tarjeta SIM o E-SIM y, en concreto, sobre su tramitación en la marca comercial “O2”, dado que es la marca comercial sobre la que se prestan los servicios móviles objeto del presente procedimiento. A este respecto, indica Telefónica que, conforme a la operativa, las comprobaciones de identidad se han tenido que llevar a cabo, toda vez que cuenta con un procedimiento consolidado y adecuado de verificación de identidad de sus clientes que reviste las garantías suficientes para identificar al solicitante del duplicado de la tarjeta E-SIM, y la Agencia no ha podido acreditar mediante prueba de cargo suficiente al respecto, que esto no haya sido así. Que no exista copia del contrato no es sinónimo de que la identificación no se realizase correctamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/46 II. LAS CIRCUNSTANCIAS QUE HAN HECHO POSIBLE LA SUPERACIÓN POR TERCERAS PERSONAS DE LAS POLÍTICAS DE SEGURIDAD IMPLANTADAS POR TELEFÓNICA. PRIMERO. - SOBRE LA PRESUNTA INFRACCIÓN COMETIDA POR PARTE DE TELEFÓNICA: AUSENCIA DE TIPICIDAD, ANTIJURICIDAD Y CULPABILIDAD. Considera que el principio de tipicidad se está vulnerando dado que la conducta realizada por Telefónica no es subsumible en ninguno de los preceptos cuya infracción se imputa. Señala que la Agencia considera vulnerado el artículo 6.1 del RGPD (condiciones en las que el tratamiento será considerado como lícito) y la infracción la tipifica conforme al artículo 83.5 RGPD. Sin embargo, la Agencia no hace mención acerca de cuál de las bases legitimadoras que se recogen el art. 6.1 sería la necesaria para llevar a cabo el tratamiento de los datos del reclamante que ha originado el presente Acuerdo, para que pudiera entenderse legítimo. Señala la parte reclamada, que la base legal que legitima el tratamiento de los datos personales del reclamante no es otra que la de la ejecución del contrato, esto es, la base legitimadora que contempla el apartado

1. b)del citado artículo 6.1: “el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales”. Indica, que en este caso concreto el tratamiento de datos personales se realiza con la finalidad de gestionar un duplicado de tarjeta SIM para la correcta prestación de servicio, o lo que es lo mismo, para poder ejecutar el contrato que el Reclamante tiene suscrito con Telefónica. Por tanto, el tratamiento es en cualquier caso lícito. TME considera que ha actuado en todo momento con buena fe y fundada creencia excluyente de toda culpabilidad, y señala que la antijuricidad de la conducta es un elemento configurador de cualquier ilícito administrativo, exige en su vertiente o aspecto formal que exista una oposición entre el comportamiento y la norma infringida. Por tanto, si el comportamiento viene avalado por el ordenamiento jurídico, jamás podrá hablarse de conducta antijurídica ni, por ende, sancionable. Pues bien, “TME” rechaza la antijuridicidad de la conducta. SEGUNDO. –AUSENCIA DE CULPABILIDAD. ERROR DE TIPO. “TME” señala que no concurre el requisito de culpabilidad en su actuación que los principios inspiradores del orden penal son de aplicación al derecho administrativo sancionador, señalando que uno de los principales componentes de la infracción administrativa es el elemento de la culpabilidad, lo que presupone que la acción u omisión ha de ser en todo caso imputable a su autor por malicia, imprudencia, negligencia o ignorancia inexcusable, requisitos que no se cumplen en este caso. Por ello, aún en el caso de que la Agencia considere que sí ha existido un tratamiento ilícito de datos por esta parte, considerando que la acción de Telefónica es típica y antijurídica, en ningún caso se puede afirmar que la conducta seguida por Telefónica pueda considerarse culpable. Asimismo, manifiesta que en la gestión del duplicado SIM se habría realizado en todo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/46 caso por el resultado de actos de engaño, manipulación y uso ilícito de datos por parte de una tercera persona, quien habría engañado al agente comercial haciéndole creer que se trataba de la persona titular de los datos o que contaba con su consentimiento para efectuar la solicitud al haberse identificado de forma correcta con los datos de cliente que figuran en sus sistemas. Señala que, en este caso, donde conforme a operativa, el cliente se habría identificado con los datos correctos para la solicitud del duplicado de tarjeta SIM, queda constatado que se estaría ante un error de tipo invencible, donde se desconocía la antijuricidad de la conducta, debiendo procederse con el archivo del procedimiento, al no poderse determinar la culpabilidad de Telefónica. TERCERO. – INCUMPLIMIENTO DEL PRINCIPIO DE PROPORCIONALIDAD EN LAS SANCIONES TME, manifiesta que la sanción imputada vulnera el principio de proporcionalidad que debe regir en la potestad sancionadora que tiene la Administración. Invoca, una serie de sentencias la del Tribunal Supremo de 2 de junio de 2003,” y la del 30 de octubre de 2020 del recurso contencioso-administrativo número 948/2018 de la Audiencia Nacional. Señala, las agravantes tenidas en cuenta no aplicables al caso concreto: - La circunstancia reseñada en el artículo 83.2.
2. b)del RGPD, relativa a la intencionalidad o negligencia de la infracción: TME, señala que la Agencia manifiesta a este respecto que “en este caso estamos ante una acción negligente grave, pues la reclamada no acredita la identificación del solicitante de la tarjeta SIM en el punto de venta”. Señala que la actitud de Telefónica revela una inequívoca voluntad de proceder conforme a Derecho, sin existir en modo alguno intencionalidad de infringir la norma y teniendo en todo caso voluntad de cumplimiento. Telefónica cuenta con las medidas técnicas necesarias y adecuadas para la gestión del duplicado de tarjeta SIM. Por tanto, no puede hablarse en este caso de intencionalidad o negligencia en la infracción. Además, señala que en cualquier caso, TME entiende que el tipo infractor imputado ya asumiría, por sí mismo el elemento culpabilístico de la negligencia enjuiciada, por lo que, dado que no existe un plus o mayor intensidad del sancionado en su conducta, no debería haberse tenido en cuenta como agravante a los efectos de imponer la sanción. A este respecto cita los criterios seguidos por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, que vendría a avalar esta postura, en concreto, en su reciente Sentencia de 1 de julio de 2024 (Rec. 900/2022): “En la demanda se alega que se han tenido en cuenta dos circunstancias de agravación que consisten en la negligencia de la actora al modificar el contrato sin tener la certeza de que la persona que llamó solicitando el cambio de potencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/46 actuase en representación del titular del contrato (art.83.2.b RGPD (EDL 2016/48900)). Y la vinculación de la actividad del infractor con la realización del tratamiento de datos personales (art,76.2.b de la LO 3/2018 (EDL 2018/128249)). En cuanto a la proporcionalidad sancionadora la misma se entiende como la adecuación, según criterios de justicia y equidad, entre los hechos objeto del tipo infractor y la determinación de la sanción aplicable, teniendo en cuenta la intensidad de la culpa interviniente, esto es el grado de intencionalidad, descuido o negligencia que revele la conducta. Y desde luego, se exige una motivación sobre el juicio de intensidad de la culpa interviniente. Con lo que enlazamos con la primera de las agravaciones discutidas. Es evidente que estas sanciones que nos ocupan solo se pueden imponer si existe culpa o negligencia, de esta manera sin la existencia del elemento culpabilístico no puede apreciarse la existencia de infracción de tipo alguno. Lo cual nos lleva a considerar que dicho elemento culpabilístico se encuentra inmerso en el tipo de la infracción, por ello este Tribunal entiende que en tanto no se demuestre, acredite y se justifique la existencia de un dolo excesivo, de un plus de culpa en la conducta del sancionado, la culpa o negligencia debe considerarse como integrante del tipo infractor sin elevarla a la categoría de agravación de la sanción. No existe en este caso prueba alguna de una intencionalidad o negligencia mayor o superior a la del tipo que pueda tomarse en consideración para aumentar la gravedad del hecho sancionado en ninguna de las dos infracciones, por lo que se excluye dicha agravante con el resultado de una disminución de la sanción pecuniaria”. Todo lo referenciado aporta motivos más que fundados para que, de forma subsidiaria, la Agencia resuelva minorar la sanción o sanciones que finalmente imponga. - La circunstancia reseñada en el art. 83.2.
3. e)del RGPD, relativa a toda infracción cometida por el responsable o el encargado del tratamiento: La Agencia también toma en cuenta, a efectos del cálculo de la cuantía de las sanciones, la circunstancia del artículo 83 2.
4. e)RGPD, mencionando de forma expresa los procedimientos sancionadores: - EXP202206971 Resolución dictada el 9 de marzo de 2023 en la que se impuso una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM fraudulento sin legitimación. - EXP 202207989 Resolución dictada el 13 de noviembre de 2023 en la que se impuso una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM fraudulento sin legitimación - EXP202211479. Resolución dictada el 13 de junio de 2023 en la que se impuso una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM fraudulento sin legitimación. - EXP202209359 Resolución dictada el 16 de junio de 2023 en la que se impuso una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM fraudulento sin legitimación. A este respecto, hay que destacar que: - La resolución sancionadora EXP202206971 devino firme en fecha 13 de mayo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/46 2023, una vez se agotó la posibilidad de interponer recursos en vía administrativa. - La resolución sancionadora EXP202207989 ni siquiera devino firme en fecha de 20 de diciembre de 2023, una vez se agotó la posibilidad de interponer recursos en vía administrativa. - La resolución sancionadora EXP202211479 no habría devenido firme en vía administrativa hasta el día 19 de julio de 2023, una vez se agotó la posibilidad de interponer recursos en vía administrativa. -La resolución sancionadora EXP202209359 no habría devenido firme en vía administrativa hasta el 19 de agosto de 2023, una vez se agotó la posibilidad de interponer recursos en vía administrativa. Teniendo en cuenta este hecho, las acciones típicas enjuiciadas en el presente expediente sancionador provienen de una actuación ocurrida el 19 de enero de 2023, es decir, en un tiempo anterior a las resoluciones sancionadoras referenciadas. Es claro, pues, que cuando se realiza el duplicado de tarjeta SIM, esto es, el 19 de enero de 2023, no se había dictado, y mucho menos con carácter "firme" en vía administrativa, una resolución sancionadora por hechos de la misma naturaleza o semejantes. No concurría, pues, el presupuesto de sanción previa a los hechos que se exige para la aplicación de la agravante de reincidencia, tal como es jurisprudencia del Tribunal Supremo, quien en reiteradas ocasiones (por todas, citamos las sentencias de 24 de octubre de 2000 , 11 de marzo de 2003, 23 de marzo de 2005 y 30 de septiembre de 2009) ha afirmado que la agravante de reincidencia administrativa debe referirse a hechos que ya hubieran sido sancionados en otro procedimiento resuelto con anterioridad a la comisión de la nueva falta. Además, en cualquier caso y como bien conoce la Agencia, todos los procedimientos sancionadores han sido recurridos por esta parte ante la Audiencia Nacional puesto que considera que las resoluciones que conducen a la imputación de la sanción resultan nulas de pleno de derecho, al no concurrir el principio de tipicidad en ninguna de ellas. En este sentido, y en tanto en cuanto los Tribunales de Justicia están resolviendo sobre ello y no existe un pronunciamiento definitivo sobre los mismos, esta parte considera que no debería de apreciarse esta agravante. De lo contrario y de estimarse los recursos contenciosos presentados, se causarían enormes perjuicios a esta parte. En consecuencia, esta agravante tampoco debería ser tenida en cuenta, debiendo minorarse el importe de la sanción o sanciones que finalmente se impongan. - Cuando dispone como circunstancia para agravar la sanción la vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros: Toma en cuenta la Agencia la siguiente circunstancia para agravar la conducta de Telefónica: “La evidente vinculación entre la actividad empresarial de la reclamada y el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/46 tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD)”. “TME” considera que no se ha producido un tratamiento ilegítimo de los datos del reclamante, toda vez que su tratamiento se encuentra legitimado por el artículo 6.1 del RGPD, siendo éste necesario para la ejecución de un contrato en el que el interesado es parte. Por lo tanto, no puede ser considerada como agravante. Indica además que la Agencia considera de facto que, dado que “TME” gestiona un alto volumen de tratamiento de datos, debe de aplicarse esta agravante. “TME” señala que en el presente caso concurren las siguientes atenuantes del art. 83.2 del RGPD, las cuales han sido obviadas por la Agencia en el Acuerdo de inicio:
5. b)la intencionalidad o negligencia en la infracción: Señala “TME” que no se dan en este caso los requisitos de intencionalidad en la supuesta comisión de la infractor o actitud negligente, toda vez que ha sido un tercero el que habría tratado los datos personales de la Reclamante sin su consentimiento.
6. c)Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva: tal como fue señalado en las contestaciones a los requerimientos de información, la línea objeto de la reclamación fue posteriormente recuperada por el cliente, lo antes posible y una vez puesto en conocimiento de Telefónica los hechos, procediéndose con la devolución del importe de la tarjeta SIM.
7. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados: Telefónica procedió a tomar las acciones oportunas, robusteciendo la operativa marcada a tales efectos. Además, la operativa demuestra ser completamente robusta en base a las cifras expuestas.
8. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42: Telefónica ha suscrito el Código de Conducta de Autocontrol sobre tratamiento de datos en la actividad publicitaria, el cual es un sistema de resolución extrajudicial para resolver controversias que surjan entre los ciudadanos y las entidades adheridas al código con motivo de tratamientos de datos realizados en el ámbito de la actividad publicitaria. CUARTO. - ACTOS PROPIOS Y NON BIS IN ídem “TME” señala que la actuación de la Agencia ante un expediente referido a hechos sustancialmente iguales a los que son objeto de reclamación que nos ocupa, ha sido contradictoria, pues así nos lo hizo saber la propia Agencia en el expediente con referencia N.º EXP202104446 de fecha 26 de enero de 2022, en el que se procedió al archivo del mismo al entender que ya había un expediente sancionador en curso por los mismos hechos, cuyo literal fue el siguiente: “Sobre este particular, procede resaltar que hechos similares a los que son objeto de reclamación han sido investigados por esta Agencia y sancionados en el procedimiento sancionador PS/00021/2021, tramitado contra la parte reclamada, por resolución de fecha 8/11/2021, por lo que no procede el inicio de un nuevo procedimiento sancionador”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/46 Indica que en todos los procedimientos sancionadores incoados frente a Telefónica por hechos similares, como por ejemplo en los procedimientos sancionadores EXP202209359, EXP202207989, EXP202211479 o EXP202206971, la Agencia ha apreciado siempre, y en cualquier caso, la atenuante referida a haber solventado la incidencia objeto de la reclamación de forma efectiva, algo que concurre en este caso y es obviado (por ej. Resolución sancionadora del EXP202206971: “En calidad de atenuantes: Procedió la parte reclamada a bloquear la línea en cuanto tuvo conocimiento de los hechos (art. 83.2 c)” Afirma que la discrepancia de la actuación administrativa entre un expediente y otro supondría la clara vulneración de la doctrina de los actos propios. Además, señala que Telefónica ya ha sido sancionada por los mismos hechos que hoy se desarrollan en este procedimiento, y que la Agencia le impuso la sanción a través del procedimiento con referencia PS/00021/2021. Considera “TME” que el iniciar un nuevo procedimiento sancionador, de forma sucesiva, sin que haya un pronunciamiento por parte de los Tribunales de Justicia, y sobre los mismos hechos, incumple el principio non bis in ídem. Indica que conforme la doctrina consolidada del Tribunal Constitucional, la Constitución Española prohíbe la imposición de más de un castigo por el mismo ilícito. Esta prohibición constituye la vertiente material de la garantía non bis in ídem, y el Tribunal Constitucional ha entendido que, sin estar expresamente recogida en el texto constitucional, debe considerarse implícita en el art. 25.1 CE por su estrecha vinculación con el principio de legalidad punitiva, según proclamó tempranamente la STC 2/1981, de 30 de enero, y que vienen asumiendo todos los Tribunales Contencioso-Administrativos: - STC 2/1981, de 30 de enero: “si bien no se encuentra el principio non bis in ídem recogido expresamente en los artículos 14 a 30 de la Constitución, que reconocen los derechos y libertades susceptibles de amparo, no por ello cabe silenciar que, como entendieron los parlamentarios en la Comisión de Asuntos Constitucionales y Libertades Públicas del Congreso al prescindir de él en la redacción del art. 9.1 del Anteproyecto 21 de Constitución, va íntimamente unido a los principios de legalidad y tipicidad de las infracciones recogidos principalmente en el artículo 25 de la Constitución”. - SSTC 2/2003, de 16 de enero, y 48/2007, de 12 de marzo: “el principio non bis in ídem integra el derecho fundamental al principio de legalidad en materia penal y sancionadora (artículo 25.1 CE) a pesar de su falta de mención expresa en dicho precepto constitucional, dada su conexión con las garantías de tipicidad y legalidad de las infracciones”. Indica que en el ámbito de la legislación ordinaria aplicable, cabe mencionar que, conforme al artículo 31 de la Ley 40/2015, de 1 de octubre del Régimen Jurídico del Sector Público: “No podrán sancionarse los hechos que lo hayan sido penal o administrativamente, en los casos en que se aprecie identidad del sujeto, hecho y fundamento”. Por ello, considera que debería procederse con el archivo del presente expediente sancionador o, al menos, suspenderlo, y esperar al dictamen de los Tribunales de Justicia al respecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/46 Por todo lo expuesto, “TME” solicita: i. Se declare la inexistencia de responsabilidad por parte de Telefónica por la presunta infracción que se le imputa en este procedimiento, ordenando el archivo del presente expediente sancionador. ii. Subsidiariamente y para el caso de que no se proceda al archivo del presente expediente sancionador, se suspenda el presente procedimiento y se requiera al reclamante a fin de que aporte en qué punto está la denuncia interpuesta, así como el contenido del procedimiento penal que en su caso se encuentre en marcha, con el fin de determinar si existe prejudicialidad penal. iii. Por último, en caso de que no se estimasen ninguna de las pretensiones anteriores, que se minore la sanción inicialmente propuesta en virtud de las atenuantes estipuladas en el art. 83 del RGPD. OCTAVO: Con fecha 14 de octubre de 2025, se emitió por el instructor del expediente la propuesta de resolución y fue notificada electrónicamente el 20 de octubre de 2025 y en la misma se proponía: “Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a TELEFÓNICA MÓVILES ESPAÑA, S.A.U., con NIF A78923125, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa por un importe de doscientos mil euros (200.000€)”. NOVENO: Con fecha 20 de octubre de 2025, solicitó TME ampliación de plazo para formular alegaciones a la propuesta de resolución y el día 23 del mismo mes y año le fue concedido y el día 7 de noviembre de 2025 presentó escrito en el que reproduce, básicamente las mismas alegaciones formuladas al acuerdo de apertura del procedimiento. El contenido de dicho escrito se reseña en el Fundamento de Derecho IV, de “Contestación a las alegaciones presentadas a la Propuesta de Resolución”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El reclamante es cliente de la entidad TME. Entre los servicios contratados figura la línea de telefonía móvil número ***TELÉFONO.1. SEGUNDO: Con fecha 17 de enero de 2023, a petición de un tercero no autorizado, TME emitió un duplicado de tarjeta SIM para la línea ***TELÉFONO.1, que fue entregado a esa tercera persona, el cual fue activado a las 14:18 horas, quedando el reclamante sin servicio. TERCERO: El reclamante contactó repetidamente con TME solicitando información sobre la emisión del duplicado de tarjeta reseñado en el Hecho Probado Segundo. En sus respuestas, TME manifestó lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/46 “…que el duplicado fue solicitado en una tienda el día 17/01/2023 a las 14:18h, por lo que pudieran hacer el duplicado del mismo tuvieron que presentar en tienda el DNI del titular”. CUARTO: Con fecha 19 de enero de 2023, el reclamante solicitó un nuevo duplicado de tarjeta SIM para recuperar los servicios de la línea de telefonía móvil número ***TELÉFONO.1. Para la realización de este trámite, el reclamante suscribió un documento con el rótulo “Contrato de cambio de tarjeta SIM” dispuesto al efecto por TME, el cual consta en las actuaciones aportado por el propio reclamante. QUINTO: El reclamante, con fecha 21 de junio de 2023, formuló reclamación ante TME en relación con la emisión del duplicado de tarjeta reseñado en el Hecho Probado Segundo. En su respuesta, de 23 de junio de 2023, TME informó que en sus sistemas constan dos solicitudes de duplicado de tarjeta SIM asociados a la línea ***TELÉFONO.1, realizados en fecha 17 y 19 de enero de 2023; que no pueden hacerse cargo de un posible fraude bancario; y que procedió a devolverle el importe abonado por la expedición de una nueva tarjeta SIM. Añade TME que “el resto de información sobre dichas solicitudes se almacena y será puesta a disposición de las autoridades competentes en el curso de la investigación, a través de los canales establecidos por Movistar a tales efectos”. SEXTO: Con fecha 21 de diciembre de 2023, en su respuesta al trámite de traslado de la reclamación formalizado por esta Agencia, TME manifestó “que existe una solicitud de cambio de ICC de la tarjeta SIM del Reclamante el día 17 de enero de 2023 a través de uno de nuestros Puntos de Venta autorizados”. En el mismo escrito, en relación con la documentación y datos aportados por la persona que solicitó el duplicado de tarjeta SIM reseñado en el Hecho Probado Segundo para acreditar su identidad y respecto del registro en sus sistemas de información de la realización de los controles para la verificación de la identidad, TME manifestó lo siguiente: “A Telefónica, revisados sus sistemas, no le consta información adicional al respecto”. SÉPTIMO: En su escrito de fecha 13 de febrero de 2024, de respuesta al requerimiento de información que le fue realizado por esta Agencia, TME informó lo siguiente: “En primer lugar, respecto de la solicitud de cambio de SIM de fecha 17 de enero de 2023, Telefónica no dispone de más información a la ya aportada en el escrito dirigido a esta Agencia de fecha 18 de diciembre de 2024. En segundo lugar, y respecto de la solicitud de cambio de SIM de fecha 19 de enero de 2023, confirmamos que dicha solicitud se hizo a través de una de nuestras tiendas físicas autorizadas en la cual, siguiendo la operativa ya informada a esta Agencia a la hora de verificar la identidad del cliente, y ésta se realizó a través de “***SISTEMA.1” (…). OCTAVO: TME ha informado a esta Agencia que las solicitudes de duplicados de tarjeta SIM realizadas a través de las tiendas físicas o puntos de venta autorizados de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/46 TME, siguen el siguiente procedimiento: “(…)”. NOVENO: Con fecha 20 de enero de 2023, la esposa del reclamante interpuso denuncia ante la Policía Nacional, cuyo contenido se declara reproducido a efectos probatorio. Según consta en este atestado, se denuncia por los cargos realizados fraudulentamente en su cuenta bancaria. De las manifestaciones realizadas cabe destacar las siguientes: “. Que la denunciante quiere manifestar que el día 17/01/2023 se quedó sin línea telefónica. . Que puesta en contacto con la compañía O2 le dicen que puede ser un problema de la tarjeta SIM. . Que una vez comprada otra tarjeta sigue sin línea y puesta nuevamente en contacto con la compañía, ésta le dice que la línea está bloqueada por un posible fraude. . Que a fecha de hoy les envió un e-mail solicitando información de ese bloqueo sin tener respuesta todavía. . Que el número de teléfono bloqueado es el ***TELÉFONO.1 estando en este momento en funcionamiento con normalidad”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/46 varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; Además, el artículo 4.7 del RGPD establece que el «responsable del tratamiento» o «responsable» es: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. El tratamiento de los datos personales de la parte reclamante por parte de TME sin estar legitimada para ello se ha materializado en que “TME” facilitó un duplicado de la tarjeta SIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero. TME realiza esta actividad en su condición de responsable del tratamiento dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones presentadas al Acuerdo de Inicio Se procede a dar respuesta a las mismas según el orden expuesto por “TME”. CUESTIÓN PREVIA. - PREJUDICIALIDAD PENAL TME manifiesta que estos hechos están siendo actualmente objeto de una investigación penal y, por lo tanto, considera que no debe resolverse el asunto en vía administrativa en tanto en cuanto no se resuelva por la vía penal. Ello, manifiesta, dado que los hechos declarados probados vincularán a la Agencia respecto a un posible procedimiento sancionador, conforme a lo previsto en el artículo 77.4 de la LPACAP. Debe tenerse en cuenta que este artículo establece: “En los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien”. Sin embargo, hay que indicar, que no existe la triple identidad necesaria para suspender el procedimiento administrativo (de sujeto, hecho y fundamento) entre la infracción administrativa que se valora y la posible infracción o infracciones penales que se pudieran derivar de las presuntas Diligencias Previas practicadas por un órgano jurisdiccional. Esto, porque el sujeto infractor es obvio que no sería el mismo –respecto a las infracciones del RGPD y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/46 LOPDGDD el responsable es TME, en tanto que el responsable penal de un eventual delito de usurpación de personalidad o estafa sería el tercero que se hubiera hecho pasar por el reclamante. Tampoco los hechos que pueden dar lugar a una actuación en el orden penal, derivada de una denuncia contra el presunto suplantador por la realización de cargos bancarios fraudulentos, ni el fundamento jurídico protegido por el RGPD y la LOPDGDD sería el bien jurídico que se protege en los tipos penales cuya comisión investigaría, llegado el caso, el Juzgado de Instrucción. En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de 27/04/2012 (rec. 78/2010), en cuyo Fundamento Jurídico segundo el Tribunal se pronuncia en los siguiente términos frente al alegato de la recurrente de que la AEPD ha infringido el artículo 7 del R.D. 1398/1993 (norma que estuvo vigente hasta la entrada en vigor de la LPACAP): “En este sentido el Art. 7 del Real Decreto 1398/1993, de 4 de agosto, del procedimiento para el ejercicio de la potestad sancionadora, únicamente prevé la suspensión del procedimiento administrativo cuando se verifique la existencia efectiva y real de un procedimiento penal, si se estima que concurre identidad de sujeto, hecho y fundamento de derecho entre la infracción administrativa y la infracción penal que pudiera corresponder. No obstante, y para la concurrencia de una prejudicialidad penal, se requiere que ésta condicione directamente la decisión que haya de tomarse o que sea imprescindible para resolver, presupuestos que no concurren en el caso examinado, en el que existe una separación entre los hechos por los que se sanciona en la resolución ahora recurrida y los que la recurrente invoca como posibles ilícitos penales. Así, y aun de haberse iniciado, en el presente supuesto, y por los hechos ahora controvertidos, también actuaciones penales frente a la empresa distribuidora, lo cierto es que tanto la conducta sancionadora como el bien jurídico protegido son distintos en una y otra vía (contencioso-administrativa y penal). En el ámbito penal, el bien jurídico protegido es una posible falsedad documental y estafa, y en el ámbito administrativo, en cambio, la facultad de disposición de sus datos personales por parte de su titular, por lo que tal objeción de la demandada ha de ser rechazada”. En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte reclamada y debe ser rechazada. I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR - Primera. - Inexistencia de comisión de infracción. disconformidad con el acuerdo de inicio del expediente sancionador. Segunda. - Las circunstancias que han hecho posible la superación por terceras personas de las políticas de seguridad implantadas por telefónica. Manifiesta TME que los hechos que motivan la incoación del presente expediente sancionador suponen admitir que el agente comercial no siguió la operativa implantada, relativa a la identificación del cliente, la cual resulta apropiadas para la gestión de duplicados de tarjeta SIM, no existiendo prueba de cargo que acredite la ausencia de verificación de la identidad del cliente. Añade que no puede atribuirse responsabilidad a TME por los incumplimientos del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/46 personal contratado por los encargados del tratamiento que intervienen en estos procesos y, además, que estos agentes son víctimas de engaños por parte de los terceros suplantadores que obtuvieron los datos personales del interesado previamente y de forma ajena a TME. En este caso, no es un hecho controvertido que TME ha llevado a cabo un tratamiento de datos personales con la emisión de un duplicado de la tarjeta SIM de la parte reclamante sin que la misma lo hubiese solicitado, es decir sin su intervención ni conocimiento, correspondiendo a dicha entidad acreditar la licitud de dicho tratamiento de acuerdo con el principio de responsabilidad proactiva (artículo 5.2 del RGPD), que impone al responsable del tratamiento la obligación de demostrar el cumplimiento de los principios relativos al tratamiento regulados en el artículo 5.1 del RGPD, incluido el de licitud. Así, es TME la que debe estar en condiciones de acreditar que actuó con la diligencia necesaria para la correcta identificación de la persona que solicitó el duplicado de tarjeta SIM y que la misma se correspondía con la persona titular usuaria de los servicios. A tales efectos, no resulta suficiente con establecer una operativa y manifestar que la misma fue respetada. En este caso, además, se da la circunstancia de que el protocolo dispuesto por TME no fue seguido por el agente que realizó la gestión. Según ha informado la propia TME, dicho protocolo incluía: (…). Ninguno de estos extremos ha sido cumplido por TME en el presente caso. Cabe destacar que desde el momento que se entrega un duplicado a una persona distinta al titular de la línea o persona autorizada, el cliente pierde el control de la línea y los riesgos, daños y perjuicios, se multiplican y la responsabilidad por ello cae dentro del ámbito del responsable del tratamiento, debiendo señalar que la SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento”. II. SOBRE LOS FUNDAMENTOS DE DERECHO. - Primero. Sobre la presunta infracción cometida por parte de telefónica: ausencia de tipicidad, antijuricidad y culpabilidad. Segundo. Ausencia de culpabilidad. error de tipo. En el presente caso, resulta notoria la existencia de tipicidad, antijuridicidad y culpabilidad en la conducta infractora de la entidad responsable del tratamiento de los datos personales, TME, quien como responsable del tratamiento de datos de emisión de duplicados de tarjetas SIM, que decide sobre la finalidad, contenido y uso de los datos personales incluidos en el tratamiento, tiene la obligación de obrar con mayor C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/46 diligencia a la hora de tramitar la emisión de duplicados, asegurándose de contar con el consentimiento de su titular, a fin de no incurrir en el tratamiento no consentido de sus datos personales. Dicha condición impone un deber especial de diligencia a la hora de llevar a cabo el uso o tratamiento de los datos personales, en lo que atañe al cumplimiento de los deberes que la legislación sobre protección de datos establece para garantizar los derechos fundamentales y las libertades públicas de las personas físicas, cuya intensidad se encuentra potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro en el mercado de datos; en este sentido se ha pronunciado también la SAN 392/2015, de 17 de noviembre. Al respecto, resulta significativo que la operadora responsable del tratamiento no justifique debidamente la concurrencia en su conducta de la diligencia que le era exigible ni acredite la adopción de las cautelas exigibles para evitar el tratamiento no consentido del dato de carácter personal que nos ocupa (la emisión de duplicado de tarjeta SIM de forma fraudulenta), que debe atribuirse a la conducta negligente de TME, utilizándose por un tercero los datos personales del reclamante pasando las medidas de seguridad para realizar el duplicado de la tarjeta SIM. Por dicha razón, este es un proceso en donde la diligencia prestada por la operadora es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que la persona que contrata es quien dice ser y que se implantan y mantienen medidas apropiadas para dar cumplimiento al principio de licitud. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. TME señala que no concurre el requisito de culpabilidad en su actuación y señala que en la gestión del duplicado de la tarjeta SIM se habría realizado en todo caso por el resultado de actos de engaño, manipulación y uso ilícito de datos por parte de una tercera persona, quien habría engañado al agente comercial haciéndole creer que se trataba de la persona titular de los datos o que contaba con su consentimiento para efectuar la solicitud al haberse identificado de forma correcta con los datos de cliente que figuran en nuestros sistemas. Por tanto, señala que TME que nunca podría ser considerada culpable, al darse en este supuesto un error de tipo invencible. Efectivamente, rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/46 “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional ha declarado reiteradamente que los principios del orden penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos matices, al derecho administrativo sancionador, al ser ambos manifestaciones del ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y 164/2005). No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma " (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec. 5285/2005, y de 23 de octubre de 2010, Rec. 1067/2006 , que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". En conexión con lo expuesto hay que referirse nuevamente al artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/46 capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En cuanto a la conducta de TME se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir, desde la óptica de la culpabilidad, estamos ante un error vencible ya que, con la aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones de identidad se hubieran podido evitar. La reclamada ha invocado distintos argumentos para justificar la ausencia de culpabilidad de su conducta. Básicamente, el disponer de una política de seguridad dirigida a garantizar que los duplicados de tarjetas SIM se entregan a los titulares de las líneas telefónicas, que se vio superada mediante acciones cometidas por un tercero. Sin embargo, existen numerosas circunstancias en el presente caso que llevan a calificar la conducta de TME como imprudente y culposa a la hora de detectar preventivamente el fraude, de tal forma que le hubiese permitido denegar la solicitud de emisión de un duplicado de tarjeta SIM que recibió de un tercero no autorizado y, con ello, abstenerse de realizar los tratamientos de datos personales de la parte reclamante que conlleva la emisión de dicha tarjeta y su entrega a una persona distinta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/46 a su titular. El duplicado de tarjeta se tramitó desde una tienda física, (…). Superada esta comprobación, la tienda entrega el duplicado de tarjeta a la persona. TME no ha aportado ninguna evidencia sobre el seguimiento de este protocolo de seguridad, ninguna documentación (…) ni justificación sobre las anotaciones respectivas realizadas en sus sistemas de información. No ha informado a esta Agencia si quiera del punto de venta en el que se llevó a cabo la gestión. Tampoco ha justificado haber realizado (…) Tampoco puede calificarse de diligente la verificación de la identidad del solicitante por parte del punto de venta. En relación con la forma de identificación de los clientes que solicitan un duplicado de tarjeta SIM, TME tampoco acredita la existencia de previsión específica alguna, (…). TME no aporta prueba documental que permita acreditar que verificó correctamente la identidad del solicitante del duplicado de tarjeta SIM y su correspondencia con el verdadero titular de la línea de telefonía, de modo que no se acreditan las comprobaciones realizadas. No basta con decir que el agente del punto de venta (…). Como se ha indicado, el artículo 5.2 del RGPD señala que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (responsabilidad proactiva)”, toda vez que es el responsable, en cumplimiento de las obligaciones que impone esta responsabilidad proactiva, quien debe implantar las medidas técnicas y organizativas necesarias, tal y como expresan los artículos 24 y 25 del RGPD. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de observar los principios que presiden el tratamiento, también la de poder demostrar dicho cumplimiento. El artículo 5.2 del RGPD se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas que sean apropiadas “para garantizar y poder demostrar” que el tratamiento ha sido conforme con el RGPD. Así, puede concluirse que el tratamiento de los datos personales se realiza (
9. i)sin que TME aporte ninguna garantía de que el solicitante del duplicado de tarjeta SIM fuera el verdadero titular de la línea y, por consiguiente, de los datos personales; (
10. ii)sin conocer el motivo para emitir el duplicado de tarjeta; y (iii) sin haber realizado ninguna comprobación para verificar que la emisión de ese duplicado era necesaria para la prestación de los servicios contratados por la parte reclamante, que ya disponía de una tarjeta activa y en correcto funcionamiento. Por tanto, resulta que TME no acredita haber verificado la identidad de la persona que solicitó el duplicado de tarjeta SIM que motiva las actuaciones, quedando en entredicho la diligencia empleada por parte dicha entidad para realizar esa verificación. Resulta significativo, particularmente en lo relativo a los protocolos aplicables, que el responsable del tratamiento no analiza con la debida profundidad la diligencia exigible, trasladando la responsabilidad al agente, cuando el control sobre la veracidad de la solicitud de duplicado de tarjeta SIM, esencial para la prevención eficaz del fraude, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/46 corresponde a la propia entidad TME. En definitiva, no ha existido una conducta proactiva para aplicar de forma efectiva los principios de protección de datos. Es significativo que, respecto del duplicado de tarjeta SIM solicitado por el reclamante después de activado el duplicado fraudulento, para así recuperar los servicios, TME aporte toda la documentación que no aportó respecto del duplicado solicitado por el tercero. Además, conocido el fraude con ocasión de los contactos realizados por el reclamante con este operador para alertar sobre la incidencia, no consta que TME realizara ningún tipo de investigación sobre la actuación del punto de venta para determinar la causas. Resulta, por tanto, que la actuación desarrollada por TME resulta claramente ineficaz e insuficiente, está muy por debajo de las posibilidades que el desarrollo técnico actual ofrece y no toma en consideración el evidente riesgo que la contratación de los servicios que comercializa representa para los derechos y libertades de las personas, por lo que debe responder a título de culpa por la infracción cometida por la falta de diligencia mostrada. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Por otra parte, atendidas todas las circunstancias de hecho que conforman el presente supuesto, no puede decirse que la incidencia producida en el tratamiento de los datos personales de la parte reclamante responda a un ataque llevado a cabo por parte de un tercero o que el fraude fuera indetectable. Precisamente el que nos encontremos ante el fraude de un tercero hace que sea necesario asegurarse que la persona a la que se expide el duplicado de la tarjeta SIM es quien realmente dice ser y deben adoptarse las medidas necesarias de prevención adecuadas para verificar la identidad de una persona cuyos datos van a ser objeto de tratamiento, tal y como se reconoce en el Fundamento Jurídico Séptimo de la SAN, SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012): "Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento..."). Por otro lado, señalar que la infracción que se atribuye a la reclamada se fundamenta en la falta de licitud en el tratamiento de los datos personales del reclamante. En relación con esta calificación de los hechos, se podría citar la Sentencia 4660/2021, de 13 de diciembre de 2021, en la que se dice que “la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación en línea, no excluye que la empresa contratante, que lleva a cabo el tratamiento de los datos personales, haya podido incurrir en infracción por falta del necesario consentimiento inequívoco que exige el art. 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/46 aquella intervención fraudulenta de un tercero no implica por sí misma que la empresa contratante haya actuado con diligencia suficiente. Lo anterior no significa que se haga recaer sobre la empresa contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la implantación de medidas de control y verificación tendentes a asegurar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado”. Es la emisión de un duplicado de tarjeta SIM y su entrega a un tercero lo que supone el tratamiento de los datos personales de su titular, en tanto que se trata de una persona física identificada e identificable. Así, facilitar un duplicado de tarjeta SIM es un proceso en el que la diligencia prestada por los operadores resulta esencial para evitar este tipo de estafas y garantizar la adecuada protección de los derechos e intereses de los clientes, diligencia que, como ya se ha expuesto, se encuentra en entredicho en el presente caso. En relación con todo cuanto antecede, resulta de especial interés la doctrina declarada por el Tribunal Supremo, Sala de lo Contencioso-Administrativo, Sección Tercera, en Sentencia de 13/12/2021 (recurso de casación núm. 6109/2020), que analiza un supuesto de suplantación de identidad para una contratación on line, en el que se cuestiona la actuación llevada a cabo por la entidad recurrente para verificar que contrataba con el verdadero titular de los datos y se sanciona por el tratamiento ilícito de los datos personales del interesado. Según el auto de admisión del citado recurso de casación, “la cuestión que presenta interés casacional objetivo para la formación de la jurisprudencia consisten en interpretar la normativa de protección de datos de carácter personal vigente a efectos de aclarar si la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, permite excluir que haya existido infracción por falta del necesario consentimiento inequívoco para el tratamiento de los datos personales que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, por entender que la empresa contratante actuó con diligencia suficiente y en la creencia de que contrataba con el verdadero titular de tales datos”. En esta Sentencia se declara lo siguiente: TERCERO.- Respuesta de la Sala a la cuestión de interés casacional señalada en el auto de admisión del recurso de casación. En respuesta a la cuestión que plantea el auto de admisión del presente recurso de casación debemos declarar que la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, no excluye que la empresa contratante, que lleva a cabo el tratamiento de los datos personales, haya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/46 podido incurrir en infracción por falta del necesario consentimiento inequívoco que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues aquella intervención fraudulenta de un tercero no implica por sí misma que la empresa contratante haya actuado con diligencia suficiente. Lo anterior no significa que se haga recaer sobre la empresa contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la implantación de medidas de control y verificación tendentes a asegurar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado”. No se trata, por tanto, de atribuir responsabilidad a TME por la mera constatación del tratamiento de datos ilícito, sino por la ausencia de diligencia en la aplicación de controles para asegurar que el tratamiento de los datos de la reclamante se realizaba con base de legitimación. En resumen, la reclamada expidió un duplicado de la tarjeta SIM a un tercero que no era el titular de la línea ni había acreditado que actuara en su representación, quedando en entredicho la diligencia empleada a la hora de realizar las comprobaciones oportunas para verificar la identidad del cliente interesado, así como la legitimidad de la solicitud y del tratamiento de los datos. A la vista de lo expuesto, no puede decirse que se impone a TME una responsabilidad objetiva vulnerándose el principio culpabilista, o que no existe infracción por el tratamiento ilícito de los datos personales de la reclamante. - Tercero. – Incumplimiento del principio de proporcionalidad en las sanciones. En cuanto a las alegaciones sobre la graduación de la sanción, conviene hacer referencia en primer término a alegación relativa a la falta de proporcionalidad del importe de multa propuesto. Conforme a lo establecido en el artículo 83.1 del RGPD, la multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de TME, que en el ejercicio 2024 ascendió a ***CANTIDAD.4 euros. Asimismo, se tiene en cuenta la categoría de la infracción cometida, comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con la mayor gravedad en su apartado 5, castigando la conducta con una multa máxima de 20 millones de euros o, tratándose de una empresa, con una multa por una cuantía equivalente al 4% como máximo de su volumen de negocio anual. Según el citado precepto, al establecer el importe máximo aplicable debe optarse por el límite de mayor cuantía, de los dos fijados por la norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/46 En este caso, tratándose de una empresa cuyo volumen de negocio ascendió en el año 2024 ascendió a ***CANTIDAD.4 euros, el importe de la multa que procede imponer estará necesariamente situado entre 0,00 euros y 176.476.480 euros. Siendo así, la multa que se propone en el presente acto se sitúa en el rango más bajo de ese intervalo. La sanción propuesta cumple con la función disuasoria exigida por el RGPD, cuyo objetivo es garantizar que las infracciones no se repitan y procurar que el cumplimiento normativo sea una prioridad efectiva y no meramente declarativa para el responsable del tratamiento. Por tanto, la sanción es proporcional, adecuada y necesaria, cumpliendo con los objetivos del artículo 83 del RGPD y garantizando un efecto disuasorio frente a futuras infracciones Asimismo, se refiere TME a las circunstancias consideradas por esta AEPD para cuantificar la sanción, en concreto a la negligencia apreciada en su conducta, las infracciones cometidas por la entidad con anterioridad y la vinculación de su actividad con el tratamiento de datos personales. Respecto de la negligencia apreciada en su conducta, nos remitimos a lo indicado en el punto anterior del presente Fundamento de Derecho y a lo indicado en el Fundamento de Derecho V, dedicado la determinación de la cuantía de la multa que se propone. Lo mismo respecto de la consideración de las infracciones anteriores y la vinculación de la actividad de TME con la realización de tratamientos de datos personales, que se valoran igualmente en el Fundamento de Derecho V. Por otra parte, TME solicita que se aprecien las siguientes circunstancias atenuantes: . Procedió a solventar la incidencia objeto de reclamación de forma efectiva: la línea objeto de la reclamación fue posteriormente recuperada por el cliente una vez tuvo conocimiento de los hechos, procediéndose con la devolución del importe de la tarjeta SIM. . Cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados: procedió a tomar las acciones oportunas, robusteciendo la operativa marcada a tales efectos. Además, la operativa demuestra ser completamente robusta en base a las cifras expuestas. . La adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42: ha suscrito el Código de Conducta de Autocontrol sobre tratamiento de datos en la actividad publicitaria, que establece un sistema de resolución extrajudicial para resolver controversias. No se admite ninguna de las circunstancias invocadas. La parte reclamada manifiesta que procedió a solventar la incidencia objeto de la reclamación de forma efectiva, posibilitando la recuperación de los servicios por el reclamante, cuestión esta que entra en el cumplimiento de sus obligaciones legales. La admisión de que opere como una atenuante que la parte reclamada haya solventado la incidencia objeto de reclamación de forma efectiva (artículo 83.2
11. c)del RGPD), anula en parte la finalidad disuasoria que se cumple a través de la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/46 Aceptar la tesis de TME en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas. Por otra parte, como queda reflejado en este acto, TME no realizó actividad alguna para solventar la situación generada con la emisión del duplicado de tarjeta SIM fraudulento, sino que fue la propia parte reclamante la que realizó las acciones oportunas para recuperar el servicio de su línea móvil solicitando una nueva tarjeta SIM. En relación con que TME procedió a tomar las acciones oportunas, robusteciendo la operativa marcada a tales efectos, cabe señalar que dicha entidad no ha informado sobre medida alguna dirigida a evitar situaciones futuras similares. Al contrario, fue consultada expresamente sobre esta cuestión y manifestó que no detectó ninguna incidencia en la tramitación del duplicado de tarjeta SIM que ha motivado el presente procedimiento, no constando que haya adoptado ninguna medida de refuerzo, más allá del envío de recordatorios de la misma operativa. TME alega que debe ser considerada como atenuante la adhesión por parte de la misma al Código de Conducta de Tratamiento de Datos en la Actividad Publicitaria. El objetivo principal de este Código, relacionado con la recepción de publicidad no deseada, el ejercicio de derechos relacionados con la publicidad (como el de oposición), y el tratamiento de datos en promociones publicitarias o a través de considerarse como atenuante. - Cuarto. - Actos propios y non bis in ídem. Indica TME que en otros procedimientos sancionadores que le han sido incoados por hechos similares, como por ejemplo en los procedimientos sancionadores EXP202209359, EXP202207989, EXP202211479 o EXP202206971, la Agencia ha apreciado siempre, y en cualquier caso, la atenuante referida a haber solventado la incidencia objeto de la reclamación de forma efectiva, algo que concurre en este caso y es obviado (por ej. Resolución sancionadora del EXP202206971: “En calidad de atenuantes: Procedió la parte reclamada a bloquear la línea en cuanto tuvo conocimiento de los hechos (art. 83.2 c)”. En base a ello, entiende vulnerada la doctrina de los actos propios. Sin embargo, en este caso, como ya se ha indicado, fueron las acciones emprendidas por el propio reclamante las que dieron lugar a la anulación de la tarjeta SIM fraudulenta. Además, señala TME que ya ha sido sancionada por los mismos hechos que hoy se desarrollan en este procedimiento en el señalado con el número PS/00021/2021. Considera TME que el iniciar un nuevo procedimiento sancionador, de forma sucesiva, sin que haya un pronunciamiento por parte de los Tribunales de Justicia, y sobre los mismos hechos, incumple el principio non bis in ídem. Añade que así se consideró en el expediente con referencia N.º EXP202104446, de fecha 26 de enero de 2022, en el que se procedió al archivo del mismo al entender que ya había un expediente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/46 sancionador en curso por los mismos hechos, cuyo literal fue el siguiente: “Sobre este particular, procede resaltar que hechos similares a los que son objeto de reclamación han sido investigados por esta Agencia y sancionados en el procedimiento sancionador PS/00021/2021, tramitado contra la parte reclamada, por resolución de fecha 8/11/2021, por lo que no procede el inicio de un nuevo procedimiento sancionador”. Sobre este particular, amén de que los hechos consignados en la reclamación no son los mismos, procede resaltar que dichos procedimientos tuvieron por objeto analizar los procedimientos seguidos para gestionar las solicitudes de cambio de SIM por parte de TME en un período determinado, identificando las vulnerabilidades que puedan existir en los procedimientos operativos implantados, para detectar las causas por las cuales se pueden estar produciendo estos casos, así como encontrar puntos de incumplimiento, mejora o ajuste, para determinar responsabilidades, disminuir los riesgos y elevar la seguridad en el tratamiento de los datos personales de las personas afectadas. El procedimiento sancionador PS/00021/2021 fue impugnada en vía contenciosoadministrativa, dando lugar a la sentencia SAN de 8 de febrero de 2024 (rec. 2250/2021), en cuyo fallo se desestima el recurso contencioso-administrativo interpuesto por “TME” y “con fecha 19 de junio de 2024, la Sección Primera de la Sala de lo Contencioso -administrativo del Tribunal Supremo acuerda la inadmisión a trámite del recurso de casación n. º 3244/2024 preparado por la entidad Telefónica Móviles España SAU contra la sentencia de 8 de febrero de 2024 dictada por la Sección Primera de la Sala de lo Contencioso -administrativo de la Audiencia Nacional en el recurso contencioso -administrativo n. º 2250/2021 interpuesto frente a la resolución de 8 de noviembre de 2021 de la Directora de la Agencia Española de Protección de Datos, recaída en el procedimiento sancionador PS/00021/2021, por la que se impone una sanción de 900.000 euros, por una infracción del art. 5.1.
12. f)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, tipificada como muy grave en el art. 83.5.
13. a)del citado Reglamento”. IV Contestación a las alegaciones presentadas a la Propuesta de Resolución A continuación, se procede a dar respuesta a las alegaciones presentadas por TME, que son, en líneas generales, una reiteración de las presentadas al acuerdo de inicio y contestadas en la propuesta de resolución, según consta reproducido en el Fundamento de Derecho anterior. CUESTIÓN PREVIA I.- SOBRE LA INCOACIÓN DEL EXPEDIENTE SANCIONADOR Telefónica indica que se reitera en todas y cada una de las alegaciones realizadas en el Acuerdo de Inicio y señala que dispone de las medidas suficientes y adecuadas que determina el RGPD, tanto para los cambios de titularidad de línea, como para las solicitudes de cambio de tarjetas SIM y que Telefónica es otra víctima de los defraudadores y que un resultado de fraude cero no es exigible a la vista de los principios establecidos en el RGPD ni de las obligaciones correspondientes al Responsable del Tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/46 En relación con las anteriores alegaciones planteadas por Telefónica, es importante resaltar que las mismas ya fueron contestadas en el Fundamento de Derecho anterior. CUESTIÓN PREVIA II.- CUESTIÓN DE PREJUDICIALIDAD PENAL Con respecto a la cuestión de prejudicialidad penal, señala TME que solicitó que se suspendiera el procedimiento con el fin de determinar en qué punto se encontraba la denuncia interpuesta por el afectado, y, sobre todo, conocer el contenido del procedimiento penal que en su caso se encontrase en marcha. Telefónica cita la Sentencia nº 2249/2016 de la Sala de lo Contencioso-Administrativo del Tribunal Supremo de fecha 18 de octubre de 2016, en la que, pese a que el procedimiento administrativo y el procedimiento penal versaban sobre impuestos distintos, se acordó la excepción de prejudicialidad penal. Por ello, TME entiende que debería procederse con la suspensión del presente procedimiento sancionador hasta que los tribunales de justicia del orden penal se pronuncien al respecto. En la sentencia citada por TME, existe una triple identidad de sujeto, hecho y fundamento que no se da en el presente caso y nos reiteramos en lo manifestado en la contestación a las alegaciones al acuerdo de inicio. A este respecto, sirve lo expuesto en el Fundamento de Derecho anterior, de respuesta a las alegaciones a la apertura, en el que se advertía que en este caso no se da la triple identidad exigida para poder acordar la suspensión del procedimiento administrativo por su vinculación con las actuaciones seguidas en el orden jurisdiccional penal: - El sujeto infractor es obvio que no sería el mismo –respecto a las infracciones del RGPD el responsable es Telefónica, en tanto que el responsable penal de un eventual delito de usurpación de personalidad o estafa sería el tercero que se hubiera hecho pasar por el reclamante. - Tampoco el fundamento jurídico sería el mismo: mientras el bien jurídico protegido por el RGPD y la LOPDGDD es el derecho fundamental a la protección de datos personales, el bien jurídico que se protege en los tipos penales cuya comisión investigaría, llegado el caso, el Juzgado de Instrucción serían el estado civil, el patrimonio, etc. En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de 27/04/2012 (rec.. 78/2010), ya citada en el citado Fundamento de Derecho III. En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte reclamada y debe ser rechazada. I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE ACUERDO DE INICIO DEL PROCEDIMIENTO SANCIONADOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/46 PRIMERA. - INEXISTENCIA DE COMISIÓN DE INFRACCIÓN. DISCONFORMIDAD CON EL ACUERDO DE INICIO DEL EXPEDIENTE SANCIONADOR. VULNERACIÓN DEL PRINCIPIO DE PRESUNCIÓN DE INOCENCIA. Telefónica señala que el hecho de no haber realizado una llamada de comprobación y no contar con una grabación, no significa que el comercial no siguió el protocolo establecido en lo referente a la identificación del cliente. Afirma, que la Agencia no ha desvirtuado la presunción de inocencia de Telefónica, o que demuestre la culpabilidad, la responsabilidad y la antijuricidad. Para ello, hace referencia TME, para su descargo, al conjunto de medidas de seguridad que ha adoptado, las cuales son las mínimas exigibles a cualquier organización con las características y en el contexto en el que actúa una operadora de telecomunicaciones. En este sentido, la mera existencia de una política de seguridad no puede justificar el cumplimiento del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas de modo que permitan al responsable del tratamiento estar en condiciones de acreditar que el tratamiento de datos realizado es lícito. En caso contrario, las medidas adoptadas carecen de virtualidad, más aún si dichas medidas no son respetadas por la propia entidad quelas dispone. En definitiva, la parte reclamada no puede exonerar su responsabilidad apelando simplemente a la existencia de medidas mínimas y al engaño al que se ven sometidas las empresas y sus comerciales por parte de los suplantadores. Por otra parte, no se entiende que TME cuestione hechos que han quedado suficientemente probados, incluso reconocidos por la propia entidad. Hechos con virtualidad suficiente para desvirtuar la presunción de inocencia. Las actuaciones han acreditado tanto el tratamiento de datos realizado ilícitamente como la responsabilidad de TME en su realización. Tampoco se entiende que TME pretenda que esta AEPD califique como diligente una actuación en la que se facilitó un duplicado de la tarjeta SIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero. Cabe reiterar lo señalado en la SAN de 29 de octubre de 2024, rec. 1824/2021, antes citada, en la que se declara que “…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no estamos ante un requisito meramente formal, sino material. En este sentido, y en línea con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso", lo que no implica que se exija una obligación de resultado”. SEGUNDA. - EL PAPEL DE TELEFÓNICA COMO PERJUDICADA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/46 Telefónica vuelve a reproducir las alegaciones efectuadas en el acuerdo de inicio, haciendo hincapié en relación con las medidas técnicas y organizativas que son adecuadas y pertinentes y que los operadores deben enfrentarse a terceros cuya intención es la comisión de delitos de suplantación. Señala, que Telefónica no puede ser considerada responsable de los incumplimientos puntuales y excepcionales de la operativa que se hayan podido llevar a cabo por personal contratado por los encargados del tratamiento que intervienen en estos procesos. En relación con las anteriores alegaciones planteadas por Telefónica, es importante resaltar que las mismas ya fueron contestadas en el Fundamento de Derecho anterior. En este apartado, Telefónica solicita que las resoluciones sancionadoras que publica la Agencia a través de su página web que son de acceso público y a las que pueden tener acceso personas indeseadas que adquieran todo el conocimiento sobre su operativa y protocolos de seguridad que sean publicadas anonimizando su operativa y protocolos de seguridad. En cuanto a la publicación de las resoluciones, el artículo 50 de la LOPDGDD establece que “La Agencia Española de Protección de Datos publicará las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que pongan fin a los procedimientos sancionadores y de apercibimiento, las que archiven las actuaciones previas de investigación, las dictadas respecto de las entidades a que se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y las demás que disponga su Estatuto.” El artículo 11 del Estatuto de la Agencia Española de Protección de Datos, aprobado por Real Decreto 389/2021, de 1 de junio, dispone lo siguiente: “Artículo 11. Transparencia y publicidad. 1. La Agencia Española de Protección de Datos publicará en su página web las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de la Ley Orgánica 3/2018, de 5 de diciembre, y las que impongan medidas cautelares. 2. Sin perjuicio de lo previsto en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, será igualmente objeto de publicación en la página web toda aquella información que la Presidencia considere relevante y que contribuya al mejor cumplimiento de sus funciones.” Por consiguiente, se establece con carácter general la obligación de publicar las resoluciones que dicte esta Agencia, que se realiza en la página web de la AEPD. A este respecto, sin perjuicio de la correspondiente anonimización de los datos personales de las personas físicas que aparezcan en la resolución, no es posible C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/46 proceder a omitir cualquier remisión de la parte reclamada en la misma, por cuanto, por un lado, la misma no tiene la consideración de persona física y, por otro lado, en aras del interés público que posee la publicación de dichas publicaciones, que permite conocer los criterios utilizados por esta autoridad, además del objetivo de preservar la transparencia de la misma en su actuación. La publicación de determinadas resoluciones de la AEPD viene impuesta por lo establecido en el citado artículo 50 de la LOPDGDD. Frente a lo que sucede en otros ámbitos normativos donde se prevé expresamente la publicación de la resolución sancionadora como una sanción -por poner un ejemplo citaremos los artículos 304 y 308 del Real Decreto Legislativo 4/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Mercado de Valores-, en materia de protección de datos la norma que impone la publicación de ciertas resoluciones no configura la publicidad como una sanción. La finalidad de la publicidad no es sancionar públicamente al infractor por su conducta, sino dar transparencia y conocimiento a los ciudadanos con carácter general de la actividad desarrollada por la AEPD. Además, se comprueba con facilidad cuál es la finalidad de la publicación de las resoluciones si se tiene en cuenta que las que se publican no son únicamente aquellas en la que se puede llegar a sancionar, que son las que ponen fin a los procedimientos sancionadores, sino que se incluyen las resoluciones procedimientos de derechos, las resoluciones de los procedimientos de apercibimiento o las resoluciones que archiven actuaciones previas de investigación, además de las que fije el Estatuto. Así, es una garantía de los administrados en los términos del art. 45 de la LPACAP. Donde la Ley no configura la publicidad de forma expresa como una sanción, ni se infiere además de su naturaleza jurídica, tampoco podemos entenderlo nosotros. Es debida, por tanto, la publicación de la resolución administrativa, tal y como impone la Ley al señalar literalmente que “publicará”. Publicando la resolución en los términos del art. 50 de la LOPDGDD se consuma el interés general encomendado a la AEPD. Eso sí, siempre debidamente anonimizada y detrayendo de la resolución las cuestiones confidenciales o de secreto intelectual e industrial. Sobre esta cuestión se pronuncia el Auto de la Audiencia Nacional de 13 enero de 2022 en los siguientes términos: “Así las cosas, en el caso de autos, se publica la resolución sancionadora recurrida, al amparo del art. 50 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que dispone: “La Agencia Española de Protección de Datos publicará las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/46 las demás que disponga su Estatuto. Es decir, el citado precepto obliga a la Agencia Española de Protección de Datos (en adelante AEPD), a hacer públicas sus resoluciones una vez hayan sido notificadas a los interesados. Así las cosas, debe rechazarse la suspensión de la publicación de la resolución sancionadora en la página de la AEPD, al apreciarse un interés público en publicitar las resoluciones de la AEPD en su página web, con el objeto de preservar la transparencia de la actividad de la AEPD y, en definitiva, la tutela del derecho de protección de datos mediante el conocimiento de los criterios de aplicación de la normativa de protección de datos. Cabe recordar, como ha señalado el Auto del Tribunal Supremo, Sala 3ª, de 31 de marzo de 2015 que “la Administración Pública actúa en un régimen de publicidad de sus actos con carácter general y, de modo específico, tanto más cuanto así lo establezcan las normas reguladoras de cada sector. II. SOBRE LOS FUNDAMENTOS DE DERECHO. PRIMERA. - SOBRE LA PRESUNTA INFRACCIÓN COMETIDA POR PARTE DE TELEFÓNICA: AUSENCIA DE TIPICIDAD Y ANTIJURICIDAD. TME considera que el principio de tipicidad se está vulnerando dado que la conducta realizada por Telefónica no es subsumible en la acción típica que se le imputa, siendo ésta una supuesta ilicitud en el tratamiento de datos del cliente por no contar con base legitimadora para ello, y señala que la base legal que legitima el tratamiento de los datos personales del reclamante no es otra que la ejecución del contrato artículo 6.1
14. b)del RGPD. TME, señala que teniendo en cuenta tanto las alegaciones de Telefónica como los propios argumentos de la Agencia, el tratamiento realizado por esta parte es lícito y se debe proceder por tanto al archivo del expediente sancionador al no ser la acción típica. Igualmente, manifiesta que la conducta realizada por Telefónica no es subsumible en el precepto cuya infracción se imputa y tampoco puede ser considerada antijurídica. Telefónica considera que ha actuado en todo momento con buena fe y fundada creencia excluyente de toda culpabilidad, pues, en tanto en cuanto una persona se identifica como titular de un contrato, aportando para ello los datos de identificación y documento nacional de identidad, y solicita un duplicado SIM para poder disfrutar del servicio. Telefónica no puede hacer otra cosa que facilitarlo, puesto que en caso contrario incurría en un incumplimiento de la normativa vigente en materia de comunicaciones electrónicas. Según TME, su conducta nunca podría ser considerada culpable, al darse en este supuesto un error de tipo invencible, y señala que, en este caso específico, donde se ha tenido que dar una suplantación de identidad, el error de tipo invencible se presenta desde el momento en el que el comercial ha sido engañado y cree de buena fe que está interactuando con una persona legítima, cuando en realidad está siendo suplantada por un tercero. En este caso, afirma Telefónica, donde conforme a la operativa, el cliente se habría identificado con los datos correctos para la solicitud del duplicado, queda constatado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/46 que estaríamos ante un error de tipo invencible, donde se desconocía la antijuricidad de la conducta, debiendo procederse con el archivo del procedimiento, al no poderse determinar la culpabilidad de Telefónica. Sobre estas cuestiones no cabe sino remitirnos a lo argumentado en el fundamento de derecho anterior, de respuesta a las alegaciones a la apertura del procedimiento, similares a las expuestas anteriormente. Por otra parte, hay que indicar que en modo alguno puede considerarse que el error que alega haber cometido excluya su responsabilidad, puesto que, según reiterada jurisprudencia, no puede estimarse la existencia de tal error cuando éste es imputable a quien lo padece o pudo ser evitado con el empleo de una mayor diligencia. En otro orden, Telefónica invoca como base de legitimación para llevar a cabo el duplicado de tarjeta SIM la ejecución del contrato de prestación de servicio de telecomunicaciones existente entre el reclamante y el operador. Sin embargo, en casos como este, el tratamiento de datos que conlleva la emisión de un duplicado de tarjeta SIM no resulta necesario para la ejecución de los servicios, que se venían prestando con normalidad. Es, precisamente, la emisión de ese duplicado y su entrega a un tercero el hecho que provoca la incidencia de dejar sin servicio al titular, motivando que éste se vea obligado a solicitar una nueva tarjeta para recuperarlo. SEGUNDO. - PROPORCIONALIDAD DE LA SANCIÓN 1.- Sobre las agravantes tenidas en cuenta no aplicables al caso concreto:
15. a)“La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD)”. En cuanto a esta agravante planteada, señala TME que tendría que haber un número elevado de interesados afectados por la posible infracción. Es decir, el RGPD no establece que esta agravante deba ser apreciada de facto cuando un responsable trate con carácter general un número elevado o “masivo” de datos personales, sino con el número de posibles afectados. Y entiende que esta postura viene corroborada por el Comité Europeo de Protección de Datos, que hizo suyo y por tanto asumió el contenido de las Directrices sobre la aplicación y la fijación de multas administrativas a efectos del Reglamento 2016/679 adoptadas por el Grupo de Trabajo del Artículo 29 el 3 de octubre de 2017, que con claridad disponen que los factores que prevé el artículo 83.2 del RGPD deben evaluarse de manera combinada, es decir, en lo que ahora nos interesa, el número de interesados junto con el posible impacto sobre ellos. En el mismo sentido, el Considerando 75 del RGPD, dispone que para determinar el grado de daños y perjuicios que pueda producir una posible infracción en materia de protección de datos debe tenerse en cuenta, entre otros aspectos “que el tratamiento implique una gran cantidad de datos personales y afecte a un gran número de interesados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/46 Quiere ello decir, en contra de la interpretación que hace la Agencia de forma recurrente, que la agravante sólo debe aplicarse si la infracción afecta a muchos interesados. TME cuestiona que pueda tenerse en cuenta al determinar la multa la vinculación de su actividad con el tratamiento de datos personales, señalando que esta circunstancia de graduación está relacionada con el número de interesados afectados por la infracción y con el grado de daños y perjuicios que pueda haber producido. Sin embargo, nada en la letra de la norma permite obtener esta conclusión. La norma aplicable es clara cuando establece que al decidir la imposición de una multa y su cuantía se tendrá en cuenta “la vinculación de la actividad del infractor con la realización de tratamientos de datos personales”, tal y como viene haciendo esta AEPD cuando el sujeto infractor desarrolla una actividad que conlleva un elevado volumen de tratamientos de datos y la infracción está relacionada con su actividad principal. Así lo ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024 cuando declara lo siguiente: “En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra de negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las circunstancias concurrentes, tomando en consideración su volumen de negocio y su vinculación con el tratamiento de datos personales atendiendo el número de personas que prestan servicio como empleados en UST y su actividad”.
16. b)las circunstancias reseñadas en el art. 83.2
17. e)del RGPD, relativa a toda infracción cometida por el responsable o el encargado del tratamiento: TME, afirma que este expediente sancionador se encuentra relacionado a un caso concreto, a una reclamación presentada ante la Agencia, y que no es la generalidad de que se incumpla la operativa, y que se debería considerar un caso aislado y puntual. Cuestiones estas a las que se da respuesta en el Fundamento de Derecho VII, dedicado a la graduación de la multa impuesta en este caso. La sanción propuesta cumple con la función disuasoria exigida por el RGPD, cuyo objetivo es garantizar que las infracciones no se repitan y procurar que el cumplimiento normativo sea una prioridad efectiva y no meramente declarativa para el responsable del tratamiento. Por tanto, la sanción es proporcional, adecuada y necesaria, cumpliendo con los objetivos del artículo 83 del RGPD y garantizando un efecto disuasorio frente a futuras infracciones Asimismo, se refiere TME a las circunstancias consideradas por esta AEPD para cuantificar la sanción, en concreto a la negligencia apreciada en su conducta, las infracciones cometidas por la entidad con anterioridad y la vinculación de su actividad con el tratamiento de datos personales. Respecto de la negligencia apreciada en su conducta, nos remitimos a lo indicado en el punto anterior del presente Fundamento de Derecho y a lo indicado en el Fundamento de Derecho VII, dedicado la determinación de la cuantía de la multa que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/46 se propone. Lo mismo respecto de la consideración de las infracciones anteriores y la vinculación de la actividad de TME con la realización de tratamientos de datos personales, que se valoran igualmente en el citado Fundamento de Derecho VII. 2.- Sobre las atenuantes que no han sido tenidas en cuenta por la Agencia en la propuesta de resolución: “
18. b)la intencionalidad o negligencia en la infracción: como se ha señalado, no se dan en este caso los requisitos de intencionalidad en la supuesta comisión de la infractor o actitud negligente, toda vez que ha sido un tercero el que habría tratado los datos personales del Reclamante sin su consentimiento tras obtenerlos de manera ilícita.
19. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados: Telefónica procedió. a tomar las acciones oportunas, robusteciendo la operativa marcada a tales efectos
20. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42: Telefónica ha suscrito el Código de Conducta de Autocontrol sobre tratamiento de datos en la actividad publicitaria, el cual es un sistema de resolución extrajudicial para resolver controversias que surjan entre los ciudadanos y las entidades adheridas al código con motivo de tratamientos de datos realizados en el ámbito de la actividad publicitaria”. En cuanto a las circunstancias atenuantes invocadas por TME de reiterarse que ya han sido rechazadas en el Fundamento de Derecho anterior, al que cabe remitirse nuevamente. V Obligación Incumplida La emisión de un duplicado de tarjeta SIM y su entrega a un tercero supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). La tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. La emisión de un duplicado de tarjeta SIM implica necesariamente un tratamiento de datos personales, ya que se realiza sobre la línea y la identidad del titular. Como puede apreciarse en las actuaciones, el tratamiento de datos que se analiza ha conllevado la utilización de los datos de la reclamante relativos a nombre, apellidos, DNI y línea de telefonía móvil, entre otros. La referencia al fenómeno del denominado SIM Swapping y a sus eventuales consecuencias se efectúa con el fin de valorar el alcance y naturaleza de la infracción imputada, atendiendo a las repercusiones que tales prácticas pueden generar sobre los derechos del titular de los datos personales afectados. En este sentido, la Audiencia Nacional en la sentencia de 13/05/2024, Rec. 0002336/2021, establece que “(…) en la primera fase de este tipo de estafas el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/46 suplantador consigue, de manera fraudulenta, los datos de acceso o las credenciales de la banca online del cliente, pero le falta por conocer el código de verificación, segundo factor de autentificación, para poder ejecutar cualquier operación. En el momento en el que logra la tarjeta SIM duplicada ya tiene también acceso a este segundo factor de autentificación y, por tanto, desde ese momento puede realizar los actos de disposición patrimonial que desee”. En cuanto al acceso a datos personales del cliente que conlleva la entrega de la tarjeta a un tercero, resulta necesario señalar que el acceso al duplicado de una tarjeta SIM que hace identificable a su titular, responde a la definición de dato personal del artículo 4.1) del RGPD tal y como se indicaba en el Acuerdo de Inicio. En este sentido se pronuncia la Sentencia 595/2024 de la Audiencia Nacional, de 8 de febrero de 2024, cuando afirma: “Tenemos que partir, que la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que, a tenor del artículo 4.1 del RGPD, se considera persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador. Pues bien, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network-Estación Móvil de la Red Digital de Servicios Integrados-) así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity-Identidad Internacional del Abonado móvil-), pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Y como se resalta en la resolución recurrida, desde el año 2007, en España, de conformidad con la Disposición Adicional Única de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, se exige que los titulares de todas las tarjetas SIM, ya sean de prepago o de contrato, estén debidamente identificados y registrados. Por lo que a hora de obtener un duplicado de la tarjeta SIM, la persona que lo solicite haya de identificarse igualmente y que su identidad coincida con la del titular.” Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
21. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
22. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
23. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
24. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/46
25. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
26. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
27. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. En el presente caso, resulta acreditado que TME emitió y facilitó un duplicado de la tarjeta SIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero. Así pues, la reclamada, no verificó la personalidad del que solicitó el duplicado de la tarjeta SIM, no tomó las cautelas necesarias para que estos hechos no se produjeran. TME manifiesta, con fecha 21 de diciembre de 2023 a esta Agencia, sobre el canal a través del cual se tramitó el duplicado de SIM y vía de identificación de la persona que lo solicitó, lo siguiente: “Telefónica informa de que existe una solicitud de cambio de ICC de la tarjeta SIM del Reclamante el día 17 de enero de 2023 a través de uno de sus Puntos de Venta autorizados. Sobre la documentación y datos aportados por la persona que solicitó la tarjeta SIM para acreditar su identidad y la realización de los controles para la verificación de la identidad: A Telefónica, revisados sus sistemas, no le consta información adicional al respecto”. En base a lo anteriormente expuesto, en el caso analizado, si bien la parte reclamada afirma únicamente que el duplicado se hizo de manera presencial, no acredita si siguió el procedimiento establecido por ella misma, el cual consiste según su respuesta a esta Agencia de fecha 21 de diciembre de 2023: - (…). A la vista de lo anterior, la parte reclamada no logra acreditar que se haya seguido el anterior procedimiento, no habiendo aportado ningún tipo de documentación acreditativa de la emisión del duplicado de acuerdo con el procedimiento previamente establecido, manifestando únicamente que el duplicado se realizó conforme con el mismo. No es un hecho controvertido que TME emitió un duplicado de tarjeta SIM a petición de un tercero, que da lugar a un tratamiento ilícito, y dicha ausencia de acreditación sobre la verificación de la identidad del solicitante impide que pueda apreciarse ninguna diligencia en la conducta diligente de TME. En este sentido, conviene recordar que de acuerdo con el principio de responsabilidad proactiva establecido en el artículo 5.2 del RGPD, el responsable del tratamiento no solo es responsable del cumplimiento de los principios establecidos en el artículo 5.1 sino que además debe ser capaz de demostrarlo. Al no acreditar el debido tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/46 de datos personales de la parte reclamada, no puede justificarse que el tratamiento sea lícito y ello supone, sin perjuicio de la posibilidad de acreditarlo a lo largo del presente procedimiento, una presunta vulneración del principio de licitud del tratamiento reconocido por el artículo 6.1 del RGPD, pilar básico en el ámbito de la protección de los datos personales. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. De conformidad con las evidencias de las que se dispone, se estima que la conducta de la parte reclamada vulnera el artículo 6.1 del RGPD siendo constitutiva de la infracción tipificada en el artículo 83.5.
28. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: “