PS-00332-2023

1/120  ÍNDICE DE CONTENIDOS ANTECEDENTES.......................................................................................................... 1 PRIMERO: ................................................................................................................ 1 SEGUNDO: ............................................................................................................... 1 TERCERO: ................................................................................................................ 2 CUARTO:................................................................................................................... 2 QUINTO: ................................................................................................................... 5 SEXTO: ..................................................................................................................... 5 SEPTIMO: ................................................................................................................. 5 OCTAVO: ................................................................................................................... 5 NOVENO: .................................................................................................................. 5 Previa: Reiteración de las alegaciones previamente presentadas.......................... 5 Primera: Existencia de prejudicialidad penal........................................................... 6 Segunda: Sobre el supuesto de hecho................................................................... 6 Tercera: Del rol de víctima de ORANGE. Sobre el Modus Operandi...................... 8 Cuarta: De la inexistencia de falta de legitimación en el tratamiento de datos personales de ORANGE......................................................................................... 9 Quinta: De la correcta implementación de la privacidad desde el diseño y por defecto.................................................................................................................. 12 Sexto: Concurso de infracciones.......................................................................... 15 Séptima: Sobre la inadmisibilidad de la responsabilidad objetiva......................... 16 Octava: Acerca de las medidas adoptadas e implementadas por ORANGE........18 Novena: Falta de proporcionalidad de la sanción impuesta.................................. 20 DÉCIMO:.................................................................................................................. 23 DÉCIMO PRIMERO: ............................................................................................... 23 DÉCIMO SEGUNDO: .............................................................................................. 23 Primera.- De la existencia de prejudicialidad penal............................................... 23 Segunda. Sobre el supuesto de hecho................................................................. 24 Tercera. Sobre la actuación delictiva de los agentes............................................ 26 Cuarta. De la inexistencia de falta de legitimación en el tratamiento de datos personales de ORANGE....................................................................................... 28 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/120 Quinto. De la correcta implementación de la privacidad desde el diseño y por defecto.................................................................................................................. 29 Sexta. Sobre la existencia de un concurso de infracciones.................................. 33 Séptima. Sobre la inadmisibilidad de la responsabilidad objetiva......................... 33 Octava. Sobre las medidas adoptadas e implementadas por ORANGE...............34 HECHOS PROBADOS............................................................................................. 37 PRIMERO: ........................................................................................................... 38 SEGUNDO: ............................................................................................................. 39 TERCERO: .............................................................................................................. 39 CUARTO.................................................................................................................. 39 QUINTO: ................................................................................................................. 40 SEXTO: ................................................................................................................... 40 SÉPTIMO: ............................................................................................................... 40 OCTAVO: ................................................................................................................. 41 NOVENO: ................................................................................................................ 41 DÉCIMO: ................................................................................................................. 42 DÉCIMO PRIMERO:................................................................................................ 42 DÉCIMO SEGUNDO: .............................................................................................. 42 DÉCIMO TERCERO: ............................................................................................... 47 DECIMO CUARTO:.................................................................................................. 51 FUNDAMENTOS DE DERECHO................................................................................. 56 I Competencia.......................................................................................................... 56 II Cuestiones previas................................................................................................ 56 III Respuesta a las alegaciones al acuerdo de inicio................................................ 57 Primera: Existencia de prejudicialidad penal......................................................... 57 Segunda: Sobre el supuesto de hecho................................................................. 59 Tercera: Del rol de víctima de ORANGE. Sobre el Modus Operandi.................... 64 Cuarta: De la inexistencia de falta de legitimación en el tratamiento de datos personales de ORANGE....................................................................................... 68 Quinta: De la correcta implementación de la privacidad desde el diseño y por defecto.................................................................................................................. 70 Sexto: Concurso de infracciones.......................................................................... 76 Séptima: Sobre la inadmisibilidad de la responsabilidad objetiva......................... 84 Octava: Acerca de las medidas adoptadas e implementadas por ORANGE........88 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/120 Novena: falta de proporcionalidad de la sanción impuesta................................... 88 IV Respuesta a las alegaciones a la propuesta de resolución del procedimiento sancionador.............................................................................................................. 96 Primero. De la existencia de prejudicialidad penal................................................ 96 Segunda. Sobre el supuesto de hecho................................................................. 98 Tercera. Sobre la actuación delictiva de los agentes.......................................... 103 Cuarta. De la inexistencia de falta de legitimación en el tratamiento de datos personales de ORANGE..................................................................................... 104 Quinto. De la correcta implementación de la privacidad desde el diseño y por defecto................................................................................................................ 105 Sexta. Sobre la existencia de un concurso de infracciones................................ 109 Séptima. Sobre la inadmisibilidad de la responsabilidad objetiva........................ 110 Octava. Sobre las medidas adoptadas e implementadas por ORANGE.............112 9. Sobre la falta de proporcionalidad de la sanción propuesta............................ 115 V Obligación incumplida......................................................................................... 117 VI Tipificación y calificación de la infracción........................................................... 119 VII Sanción por la infracción del artículo 6.1 del RGPD.......................................... 119 VIII Protección de datos desde el diseño y por defecto.......................................... 120 IX Tipificación de la infracción del artículo 25......................................................... 126 X Sanción por la infracción del artículo 25 del RGPD............................................. 126 XI Adopción de medidas......................................................................................... 128 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/120 Expediente N.º: EXP202213023 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 23 de noviembre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ORANGE ESPAGNE, S.A.U. con NIF A82009812 (en adelante, ORANGE). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que se ha realizado un duplicado de su tarjeta SIM sin comprobar adecuadamente su identidad, y sin contar con su DNI, suplantando su identidad. El duplicado se realizó en un establecimiento de la entidad el 15 de noviembre de 2022. Señala la parte reclamante que como consecuencia del duplicado se ha sustraído dinero de sus cuentas bancarias por importe de 9.000 euros. Documentación relevante aportada por la parte reclamante: - Hoja de reclamación oficial de la Comunidad de Madrid. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ORANGE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 29/12/2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 31/01/2023 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: "Habiéndose, pues, constatado la irregularidad en la solicitud del duplicado, el equipo de Análisis de Riesgos confirmó que, dos agentes del Punto de Venta de la tienda de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/120 ORANGE MADRID ***DIRECCIÓN.1 habían actuado irregularmente, usando sus credenciales de los sistemas internos de esta mercantil para activar el duplicado de tarjeta SIM. Así las cosas, se pudo comprobar que, en el momento de la contratación se siguió el protocolo establecido por esta mercantil pasando (…) […]. Este sistema permite identificar que (…). No obstante, a pesar de que se siguieron las instrucciones indicadas a los distribuidores, debido a que fueron los agentes los que actuaron irregularmente, (…)." Indicaban además que: “[…] esta mercantil ha tomado las medidas legales oportunas que están en su mano, comunicando al distribuidor la necesidad de interponer una denuncia contra los agentes de los que son responsables. Adicionalmente, en aras a evitar al máximo que el incidente expuesto pueda ocurrir de nuevo, desde la compañía se ha procedido a rastrear (…). Asimismo, con fecha 28 de diciembre de 2022, y con anterioridad a la notificación del presente requerimiento, se dio traslado desde la Escuela de Comerciales a todo el canal de distribución a los Puntos de Venta una píldora formativa obligatoria con el fin de ayudar y concienciar a los equipos comerciales del riesgo de captar a comerciales para realizar duplicados físicamente desde los Puntos de Venta. Por último, esta mercantil procedió a la devolución de los importes cobrados por cambio de SIM en la factura de enero de 2023.” TERCERO: Con fecha 3 de febrero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En las presentes actuaciones de inspección se ha requerido a ORANGE para que aporte una descripción detallada del Sistema de verificación de la identidad, la operativa que se sigue con este sistema e información detallada de las comprobaciones que realiza sobre los documentos de identidad. Se pedía confirmación de que este sistema (…). ORANGE ha contestado a este respecto lo siguiente: Ante la solicitud de un acto comercial en un punto de venta, el agente recoge el documento de identidad del solicitante (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/120 Por regla general el sistema sí (…). No obstante, (…). Fue esta circunstancia, en el caso que nos ocupa, la que permitió a los agentes (…) y realizar el duplicado de SIM de forma fraudulenta usurpando la identidad de la parte reclamante y no procediendo por tanto a realizar la pertinente (…), motivo por el cual consiguieron realizar la operación. Se ha requerido también a ORANGE para que aporte copia del contrato suscrito con el distribuidor en cuestión, así como copia de todas las instrucciones de que disponía con relación a la (…) de los clientes en el marco de la realización de duplicados SIM. Se pedía, así mismo, copia de las instrucciones con relación a la utilización del (…). Aportan copia de las instrucciones, publicadas según la documentación aportada en “Descubre Orange”, apartado “Residencial”, “Documentación necesaria para el alta y otros actos comerciales de un cliente V26” “Especial referencia al fraude en cambios de SIM no consentidos”, para el punto de venta se especifica “la SIM de reemplazo jamás será entregada a una persona distinta del titular, ni aunque lleve la autorización firmada”. Indica asimismo que “el documento del cliente siempre será validado en (…)” “sí en ese momento (…) se abrirá incidencia y se emplazará al cliente a que vuelva al día siguiente”. Se indica lo mismo para la obtención de la SIM que para un cambio de SIM. Aportan también pantallazo que muestra la herramienta utilizada en el punto de venta que para las tarjetas SIM incluye un botón de “Documentación”, que según se especifica invoca (…). Manifiestan que, de forma excepcional, (…). Aporta copia del contrato con la franquiciada en cuestión. En el Objeto del contrato consta entre otras actividades “Recambio tarjetas SIM”. Contiene un punto, el vigésimo segundo, de tratamiento de datos personales y el vigésimo tercero, de confidencialidad. Sobre las razones por las que los agentes actuaron irregularmente los representantes de la parte reclamada manifiestan que se ha podido constatar que durante los primeros meses del 2023 se han incrementado los ataques en puntos de venta captando comerciales para realizar actos delictivos a cambio de grandes recompensas económicas (CAT, Comité Antifraude Telco). En el presente caso, se comunicó al distribuidor la necesidad de tomar medidas legales oportunas interponiendo denuncia contra los agentes de los que son responsables. El distribuidor la interpuso habiéndose abierto diligencias previas nº XXX/20XX en el juzgado de instrucción nº 53 de Madrid. Sobre otras medidas tomadas para evitar que estos hechos se vuelvan a producir ORANGE indica que desde los equipos de prevención de fraude, seguridad y oficina del DPD se ha impulsado la difusión a todo el canal de distribución de una píldora formativa con el objetivo de concienciar a los trabajadores de la problemática existente y de la obligatoriedad de cumplir con todos los procedimientos y políticas de identificación de clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/120 Aportan la URL donde se encuentra publicada la píldora informativa, verificándose que contiene un apartado de contexto/antecedentes, donde se indica entre otras circunstancias el riesgo elevado del SIM swapping y la necesidad de cumplir rigurosamente todos los procedimientos y la política de identificación de clientes utilizando la herramienta de verificación de identidad. En el apartado Acciones jurídicas se mencionan las actuaciones jurídicas y consecuencias que puede tener el incumplimiento de las pautas prescritas por la compañía, con sanciones disciplinarias para el empleado que haya llevado a cabo una conducta irregular, así como que las autoridades judiciales pueden considerar que el empleado que ha incumplido las pautas establecidas por la compañía es partícipe a título de colaborador necesario en la comisión de un ilícito penal, lo que puede acarrear penas de prisión y el resarcimiento económico del cliente que se ha visto perjudicado por la acción del SIM swapping. En el apartado “Casos de uso” de la píldora informativa se específica, entre otros casos, (…). Se accede a 13 casos de uso. Por último, se ha requerido a ORANGE para que aporte los contactos mantenidos con la parte reclamante, verificándose que existe un contacto de fecha 16 de noviembre de 2022 en el que el operador registra la queja del cliente sobre el duplicado SIM, así como que consta realizado cambio de SIM con fecha el día anterior. Recomiendan al cliente cambiar la contraseña del área de clientes. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ORANGE ESPAGNE, S.A.U. es una gran empresa con un volumen de ventas de (…) y 3.068 empleados. SEXTO: Con fecha 28 de noviembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 6 del RGPD y Artículo 25 del RGPD, tipificada en el Artículo 83.4 del RGPD y Artículo 83.5 del RGPD. Este acuerdo de inicio, que se notificó a ORANGE conforme a las normas establecidas en la LPACAP, fue recogido en fecha 28 de noviembre de 2023, como consta en el acuse de recibo que obra en el expediente. SEPTIMO: Con fecha 30 de noviembre de 2023, ORANGE presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones y que se le facilite copia del expediente. OCTAVO: Con fecha 4 de diciembre de 2023, el órgano instructor del procedimiento acuerda la ampliación de plazo instada hasta un máximo de 5 días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP, y que se le remita a ORANGE copia del expediente. El citado acuerdo se notifica a ORANGE en fecha 11 de diciembre de 2023, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/120 NOVENO: Con fecha 21 de diciembre de 2023, se recibe en esta Agencia, en tiempo y forma, escrito de ORANGE en el que aduce alegaciones al acuerdo de inicio. En estas alegaciones, en síntesis, manifestaba: Previa: reiteración de las alegaciones previamente presentadas. ORANGE manifiesta su disconformidad con el contenido del acuerdo de inicio y se ratifica y da por reproducidas las alegaciones y argumentaciones presentadas en sus anteriores escritos, sin perjuicio de la facultad que tiene para incidir, en estas alegaciones presentadas, en los puntos que considere más relevantes y añada elementos para impugnar las fundamentaciones recogida en el acuerdo de inicio del presente expediente sancionador. Primera: existencia de prejudicialidad penal. ORANGE manifiesta que los hechos objeto del acuerdo de inicio son, a su vez la base de una investigación penal en la que figura como parte perjudicada, estando, por tanto, sujetos al principio de prejudicialidad penal previsto en el artículo 10 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial. En consecuencia, manifiesta que debería resolverse el asunto en la vía penal, antes de realizarse un pronunciamiento en vía administrativa, y para ello, cita el artículo 22.1.

1. g)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, para solicitar la suspensión de este procedimiento sancionador, según el cual, el transcurso del plazo máximo legal para resolver un procedimiento y notificar la resolución se podrá suspender cuando para la resolución del procedimiento sea indispensable la obtención de un pronunciamiento previo por parte de un órgano jurisdiccional. ORANGE fundamenta la solicitud de suspensión en lo dispuesto en el artículo 77.4 de la citada Ley 39/2015, según el cual, en los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien. Asimismo, pone de manifiesto que la prejudicialidad penal requiere una triple identidad de sujeto, hecho y fundamento, para que el principio de non bis in ídem incardinado en el artículo 25 de la Constitución pueda ser considerado válido y aplicable al caso concreto. De este modo, ORANGE manifiesta que: - en cuanto al sujeto, se constata la autoría de los hechos en ambos procedimientos por parte de los agentes comerciales. -en cuanto al hecho, existe coincidencia al tratarse de la emisión fraudulenta de un duplicado de tarjeta SIM. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/120 -en cuanto al fundamento, se estaría sancionando en dos ocasiones por la conducta ilegítima y fraudulenta de los agentes, contraria a los protocolos y procedimientos establecidos por ORANGE. Por último, manifiesta que aporta, como documento 1 la denuncia interpuesta por el distribuidor contra los agentes implicados, y como documento 2 el escrito de personación de ORANGE en la causa penal como parte perjudicada. Segunda: sobre el supuesto de hecho. ORANGE hace un relato de los hechos, que se puede resumir de la siguiente manera: -el día 15 de noviembre de 2022 la parte reclamante se dio cuenta de que no tenía línea en su teléfono móvil, acudiendo a un establecimiento de ORANGE para solventar la incidencia. En este momento, se constata que se ha producido, de manera fraudulenta, un duplicado de su tarjeta SIM, procediéndose a su desactivación, solventándose así la incidencia objeto de la reclamación. -cuando se tuvo conocimiento de la incidencia, se dio traslado al Grupo de Análisis de Riesgos, confirmándose el duplicado de la tarjeta SIM, que fue activada por un agente comercial de la tienda de ORANGE el día 15 de diciembre de 2022. El equipo de análisis de riesgos concluyó que los dos agentes del punto de venta habían actuado de forma delictiva con intención fraudulenta, usando sus conocimientos y los sistemas internos para activar el duplicado. -en el presente supuesto, (…). El protocolo de ORANGE establece que, si bien se debe generar un aviso al Grupo de Análisis de Riesgos, se permite a los agentes comerciales para casos tasados continuar el proceso (…). Esto se permite en los casos de (…). Por eso, ORANGE considera que los agentes se aprovecharon de su conocimiento del sistema para cometer el acto delictivo. -ORANGE quiere señalar que antes de haber recibido el primer requerimiento de información remitido por esta AEPD en este supuesto, ya había trasladado, a través del Grupo de Análisis de Riesgos y a través de la Escuela de Comerciales, una píldora de refuerzo obligatorio para todos los puntos de venta, en la que se concienciaba y se remitía información tendente a fomentar la colaboración por parte de los equipos comerciales. -el 16 de enero de 2023 la mercantil TOWER PHONE, S.L., en la que se encuentra la empresa distribuidora a la que pertenece el punto de venta, ha interpuesto denuncia ante el Juzgado de Instrucción de Madrid contra los dos comerciales que participaron en el duplicado de la tarjeta SIM. ORANGE quiere manifestar que la emisión de un duplicado de tarjeta SIM implica a emisión de una tarjeta SIM sin información personal, y que por sí sola no permite el acceso a información bancaria o financiera. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/120 ORANGE hace esta manifestación porque entiende que esta AEPD utiliza en el acuerdo de inicio asociaciones erróneas para agravar el supuesto de hecho que nos ocupa, otorgando al duplicado de la tarjeta SIM la facultad de permitir la comisión de operaciones bancarias, omitiendo un paso previo, según el cual, los malhechores deberán obtener y poder utilizar las credenciales bancarias de la parte reclamante para poder identificarse y, en primer lugar, realizar la suplantación de identidad ante su entidad financiera. Añade que esta AEPD no menciona el rol que desempeñan las entidades financieras en estos supuestos, ni consta que, pese al perjuicio económico a la parte reclamante, se hayan iniciado procedimientos sancionadores contra las mismas. Considera que esta AEPD no puede sostener la imputación de culpa a esta mercantil en meras manifestaciones ausentes de prueba, sobre las que, en cualquier caso, sería necesario evaluar la intervención y responsabilidad de las entidades afectadas. Añade que la AEPD pretende sancionar los fraudes Sim Swapping sin atender ni analizar el concreto supuesto de hecho, el perjuicio asociado, ni las responsabilidades derivadas, sin tener en cuenta la diligencia desplegada por ORANGE en su actuación y en la adopción de medidas de seguridad. En este sentido, quiere mencionar la sentencia de la Audiencia Nacional 6460/2022, de 23 de diciembre de 2022, que ha anulado, por no ser conforme a Derecho, la resolución PS/00070/2019, y en la que se recoge: “La AEPD no examina dichas reclamaciones que se refieren a unos determinados hechos ni en los fundamentos de derecho hace una valoración de las pruebas practicadas en relación con las mismas, ni se conectan con el documento de privacidad, sino que se vale de las mismas para abrir una especie de causa general contra la política de privacidad”. ORANGE quiere manifestar que, al igual que en este procedimiento, esta AEPD no alude al supuesto de hecho concreto, y omite valorar la documental aportada, estableciendo un discurso genérico para legitimar una infracción a la normativa de protección de datos. Añade que esta AEPD ha impuesto diversas sanciones a ORANGE por denuncias relacionadas con el Sim Swapping en las que se reproducen los mismos razonamientos jurídicos sin importar hechos o circunstancias concurrentes en cada caso. Añade que este proceder es contrario a lo que se recoge en la sentencia de la Audiencia Nacional citada, que incide en la necesidad de que la AEPD examine con rigor el cumplimiento de los principios del procedimiento administrativo sancionador en sus resoluciones. Tercera: del rol de víctima de ORANGE. Sobre el Modus Operandi. ORANGE hace un resumen de los antecedentes de fraudes con características similares al “Sim Swap”, señalando que en un primer momento las suplantaciones de identidad solicitaban duplicados de tarjetas SIM de forma presencial, mientras que en la actualidad se concentran en la solicitud de duplicados y activación de tarjetas SIM por canales no presenciales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/120 En el presente expediente sancionador el duplicado de la tarjeta SIM se realiza por dos comerciales del punto de venta de la compañía, que actuaban, consiguientemente, en nombre de ORANGE. Por ello, ORANGE manifiesta que cuando son los agentes los que deciden cometer el delito, aprovechándose de los medios y sistemas de ORANGE, frustrando sus procedimientos y medidas de seguridad, el rol de ORANGE es el de perjudicada, ya que la comisión del delito se produce por sus agentes, y con ello la quiebra de sus obligaciones contractuales para con ORANGE y sus distribuidores. Por ello entiende que no resulta posible exigir a esta mercantil, la capacidad total de detección y frustración de tales actos delictivos. En este punto, ORANGE quiere citar el Auto 35/2023, de la Sala Penal, Sección 3º de la AN, de 30 de enero de 2023 que desestima un recurso de apelación formulado por el Ministerio Fiscal, confirmando el sobreseimiento y archivo de la pieza de investigación respecto de la responsabilidad de dos personas jurídicas. Así, en su Fundamento Jurídico 2º, con relación a los modelos de prevención de delitos y la responsabilidad asociada de la persona jurídica, especifica: “SEGUNDO. – Rechazamos los motivos de recurso alegados por el Ministerio Fiscal, aceptando y dando por reproducidos los razonamientos del auto recurrido y la jurisprudencia citada sobre la responsabilidad penal de las personas jurídicas en el auto de 29.07.2021, al que en algunos aspectos se remite el de 02.06.2022. En el momento en que se produjeron las contrataciones con (...) a que se refiere este procedimiento, (...) contaba con un Modelo de Prevención de delitos que cumplía con los requisitos previstos en el artículo 31 bis CP. Ningún modelo es infalible, y si un delito se comete por alguno de los sujetos que contempla el precepto citado, no implica necesariamente que el modelo de prevención de delitos adoptado por la persona jurídica sea inadecuado, incumpla la normativa vigente o falle, pues bastaría con adoptar un modelo que cumpliera todas las normas para impedir la comisión de delitos, lo que no se ajusta a la realidad y precisamente por eso los modelos de prevención de delitos están sujetos a revisiones periódicas” Con este fundamento, ORANGE quiere manifestar que los Tribunales vienen reconociendo que la comisión de un delito, incluso cuando se cometen en el seno de una persona jurídica, no determina de forma automática, culpabilidad o falta de diligencia. Asimismo, manifiesta que ORANGE ha acreditado documentalmente la implantación de medidas concretas y adecuadas, así como un procedimiento de solicitud de duplicados de tarjetas SIM, por lo que no cabe presumir una actuación negligente. Por ello quiere reiterar que ORANGE es víctima de un ataque criminal instrumentado a través de sus propios sistemas y desde uno de sus puntos de venta. Además, es la primera vez que se habría producido, siendo totalmente novedoso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/120 Cuarta: de la inexistencia de falta de legitimación en el tratamiento de datos personales de ORANGE. ORANGE pone de manifiesto que, durante el proceso de duplicado de la tarjeta SIM que ha motivado la apertura de este procedimiento sancionador, ORANGE no facilitó ningún dato personal de la parte reclamante a ningún tercero, no produciéndose revelación alguna ni acceso no autorizado a sus datos personales. Añade que en el expediente sancionador no consta ningún otro tratamiento de datos que pueda calificarse de ilícito, no habiendo relación entre los hechos que la AEPD identifica como probados y la calificación jurídica que se hace de los mismos. Entiende que la comisión de los actos delictivos se hace por los agentes de forma individual, y en oposición a las obligaciones impuestas por ORANGE, sus procedimientos y protocolos, y por tanto, no se puede achacar, de forma automática, a una actuación de ORANGE. En este sentido, aportan como documento 3 y 4 el contrato firmado con la franquiciada, encargada del tratamiento, así como la adenda de la novación del mismo, para ejemplificar las obligaciones contractuales asumidas por los agentes. Por otro lado, ORANGE pone de manifiesto que en el acuerdo de inicio se indica, en la página 6: “Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular, ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C-101/2001 (Lindqvist) de 6,11,2003, apartado 24, Rec, 2003 p.I-12971: El concepto de “datos personales” que emplea el artículo 3, apartado 1 de la Directiva 95/46 comprende, con arreglo a la definición que figura en el Artículo 2, letra a), de dicha Directiva, “toda información sobre una persona física identificada o identificable”. Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o sus aficiones. En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Suscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos”. A este respecto, hace referencia a la Sentencia del Tribunal General de la Unión Europea (Sala Octava ampliada) de 26 de abril de 2023, en el que se determina que no puede presuponerse la consideración como dato personal de un código alfanumérico, sino que compete a la autoridad de control justificar la capacidad de relacionar los datos personales con una persona concreta, no bastando con presuponerlo por el mero hecho de que potencialmente pudiera llegar a permitir una identificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/120 En este sentido, en esta sentencia se recoge que corresponde a la autoridad de control “determinar si la posibilidad de combinar la información que se había transmitido a (...) con la información adicional en poder de la (...) constituía un medio que (...) podía razonablemente utilizar para identificar a los autores de los comentarios”. A lo que añade que: “Por lo tanto, al no haber investigado el (...) si (...) disponía de medios legales y factibles en la práctica para poder acceder a la información adicional para volver a identificar a los autores de los comentarios, el (...) no podía concluir que la información transmitida a (...) constituía información sobre una persona física identificable, en el sentido del artículo 3, punto 1, del Reglamento 2018/1725.” ORANGE quiere manifestar que desde esta AEPD no se ha desplegado actividad probatoria ninguna en este sentido, sino que directamente presupone que los códigos contenidos en la tarjeta SIM permiten la identificación de su titular. Añade que el hecho de que los códigos permitan diferenciar técnicamente a un usuario de la red de otros para la correcta gestión de las comunicaciones no implica que los intervinientes en el proceso tengan la posibilidad de asociar esa información con una persona concreta, y, teniendo en cuenta la sentencia del Tribunal General, no estaríamos ante un supuesto de tratamiento ilícito de datos personales. En este punto, ORANGE cita la Sentencia del Tribunal Supremo de 18 de junio de 2020 (número de recurso 1074/2019, nº de Sentencia 815/2020) que expone, para el caso de un número de teléfono, que su consideración como dato personal es dudosa, en el siguiente sentido: “Pues bien, en el caso que nos ocupa, aparte del número de teléfono de los denunciantes afectados, que si bien por sí sólo podría no ser considerado dato personal conforme la Sentencia de esta Sala de 17 de septiembre de 2008 (Rec. 353/2007), DIRECCION001 procede a registrar también la voz de los denunciantes a través de la oportuna grabación de la broma, susceptible de ser difundida” De este modo, según esta sentencia, incluso en el caso del número de teléfono, debe justificarse su consideración como dato personal, no pudiendo presuponerse a los códigos, cuya capacidad para ser relacionados con el titular de la línea depende de la disposición o acceso a otros datos del mismo. En este sentido, ORANGE entiende que los códigos (MSISDN e IMSI) no son una información directamente accesible, sino que implica la realización de actividades concretas con el dispositivo móvil, por lo que no cabría imputar un tratamiento de datos no legitimado por la mera tenencia de la tarjeta, y sin que pueda ser considerada, según lo recogido anteriormente, como un dato personal. Además, añade que, aun cuando se interpretase que la información técnica contenida en la tarjeta SIM pudiera considerarse un dato personal, no hay constancia de su conocimiento por parte de los autores del acto delictivo, por lo que no hay fundamento para concluir que ha existido un tratamiento ilícito de esos datos. ORANGE pone de manifiesto que la afirmación recogida en el acuerdo de inicio “En el presente caso, resulta acreditado que se ha producido un duplicado de la tarjeta SIM por parte de la parte reclamante a un tercero, sin su consentimiento, y sin contar con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/120 su DNI”, no reflejaría los hechos concretos, ya que, según manifiesta ORANGE no consta la intervención de ningún tercero, sino que son los propios agentes de ORANGE los que acceden, en virtud de los permisos que tienen concedidos, para el desempeño de sus obligaciones laborales, a la herramienta con normalidad, como usuarios autorizados, y conociendo la herramienta (…), hicieron un uso fraudulento y delictivo de la misma. ORANGE manifiesta que no resulta posible la eliminación total del factor humano en la gestión de los procesos de ORANGE, pues en ocasiones es necesario validar documentos que pueden no estar automatizados. Considera además que adoptar medidas de control para los empleados o llevar un control exhaustivo de su actividad o sancionar la inobservancia de los protocolos establecidos no es compatible con la regulación laboral, y que no es posible exigir una efectividad absoluta de las medidas diseñadas para la prevención del fraude, o dicho en términos de análisis de riesgos, no cabe exigir la existencia de medidas eficaces que garanticen un “riesgo cero”, ya que esto implicaría materializar, de facto, la existencia de responsabilidad objetiva. Asimismo, ORANGE manifiesta que no considera proporcional asumir que, por el mero hecho de realizarse un duplicado de la tarjeta SIM pueda conllevar “la producción de una sensible pérdida patrimonial” tal y como se señala en la página 6 del acuerdo de inicio. Entiende que los agentes de ORANGE no accedieron al teléfono móvil de la parte reclamante ni a la información que contiene, e insiste en que la tarjeta SIM no contiene los datos del terminal móvil ni de las aplicaciones instaladas, y para acceder a dichas aplicaciones, hay que conocer las credenciales bancarias. Por eso, entienden que el acuerdo de inicio no puede sostener su imputación con base en manifestaciones ausentes de prueba, que mencionan hechos que no tienen lugar en este supuesto. Manifiestan que esta afirmación no se deriva de ningún hecho probado, y quebranta el principio de tipicidad y la presunción de inocencia de ORANGE, al imputarle culpa sin prueba de cargo suficiente. Por último, quiere manifestar que no es posible imputar a ORANGE la realización de un tratamiento de datos sin legitimación, teniendo el tratamiento realizado por ORANGE base en la relación contractual existente con la parte reclamante, tal y como se recoge en el Considerando 40 de la fundamentación. Por ello, entienden que no se produce un tratamiento ilegítimo de los datos de la parte reclamante, no siendo imputable por tanto una infracción del artículo 6.1 del RGPD. Quinta: de la correcta implementación de la privacidad desde el diseño y por defecto. ORANGE aporta los siguientes documentos en relación con esta cuestión: -documento nº 5, relativo al “Privacy Management Dashboard” que se comparte anualmente con la compañía. -documento nº 6, informe que contiene la opinión de auditoría correspondiente a la aplicación de principios de privacidad desde el diseño y por defecto por parte de ORANGE. -documento nº 7, procedimiento de protección de datos desde el diseño y por defecto de la compañía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/120 Por otro lado, entiende que la fundamentación que se recoge en el acuerdo de inicio acerca de este incumplimiento es escasa, teniendo en cuenta la extensa reproducción normativa y los considerandos relativos a dicho principio y las Guías de la AEPD sobre esta materia. Insiste en que esta Agencia no tiene en cuenta, en el acuerdo de inicio, que los agentes de la tienda son personas contratadas por ORANGE o por los distribuidores y franquicias, y que tienen como labor llevar a cabo procesos de contratación, y otros complementarios, diseñados por la compañía, y que en estos si se tiene en cuenta la privacidad y la seguridad de la información, incluyendo la intervención de los propios agentes. Añade que los agentes tienen como labor ejecutar los procesos verificando que se realizan de manera correcta, según las instrucciones facilitadas por ORANGE, y que no hacerlo supondría un incumplimiento de las obligaciones contractuales, de las instrucciones y protocolos internos de la compañía. ORANGE manifiesta que la automatización de medidas para apoyar esta labor con medios digitales la facilitan y complementan, pero no puede ser interpretado como un requisito indispensable, sino como un refuerzo. Además, entiende que hay que tener en cuenta la posibilidad legitima de ORANGE de delegar tareas de supervisión en usuarios designados para ello, sin que esto suponga un incumplimiento normativo, y que prohibir de forma generalizada la toma de decisiones por parte de los empleados sería contrario a lo que propone el RGPD. ORANGE manifiesta que el hecho de que intervenga una persona en el proceso no tiene que implicar necesariamente que no existe seguridad, o que sea una incitación a los empleados para delinquir, o presumir que la generalidad de los trabajadores está más dispuesto a cometer delitos de fraude que a realizar sus funciones. Y añade que es la primera vez que ocurre. Además, entiende que es contrario al criterio recogido en la Guía sobre tratamientos de control de presencia mediante sistemas biométricos, de 23 de noviembre de 2023, donde se afirma: “No es obligatorio, ni recomendable, que la implementación de un tratamiento, se limite exclusivamente a la selección de recursos tecnológicos. En las opciones de implementar un tratamiento hay que considerar, entre otros, la utilización de recursos humanos, las garantías jurídicas y los procedimientos organizativos” Por ello, entiende que, en el caso que ha motivado la apertura de este procedimiento sancionador, en el que, tras identificarse un error técnico que impide la realización de una gestión ordinaria, se habilitan (…) para llevar a cabo la operativa, medios que deben ser considerados como complementarios, de tal manera que el agente que interviene en la operación verifica (…). ORANGE quiere señalar también que, en ocasiones son los propios clientes los que demandan agilidad en la realización de los tramites que solicitan, y es por ello, que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/120 habilitan medios de comprobación alternativos, que están sometidos previamente a los correspondientes análisis de riesgos. ORANGE pone de manifiesto que la prevención del fraude está encomendada a un departamento especifico de la compañía, que es quien evalúa los riesgos conforme a un protocolo y metodología específica, aportando parta acreditarlo los siguientes documentos: - documento 8, relativo a la Group Risk Management Policy -documento 9, Política de Control y Gestión de Riesgos -documento 10, que describe el funcionamiento del Comité de Riesgos Locales -documento 11, que enumera la Política de Control Interno de Orange. -documento 12, Fraudulent Use of Data- 3rd Parties, donde hay una presentación que se llevó al Comité de Riesgos Local, en la que se hace referencia expresa al análisis de la evolución de este riesgo. Con ello, ORANGE quiere manifestar que es incorrecto afirmar que este tipo de riesgo no ha sido objeto de análisis, sino que ha ido incrementándose en fechas recientes, debido al caso que ha motivado la apertura de este procedimiento sancionador, y quiere poner de manifiesto que el riesgo se había calificado como bajo, y por ello no se necesitaba implementar medidas adicionales a las ya existentes, sin que ello suponga que actuaba de forma correctiva y no preventiva. Y como medidas preventivas adoptadas quiere señalar: -medidas jurídicas: contrato con el franquiciado, incluyendo un compromiso de confidencialidad (documentos nº 3 y documento nº 4. -medidas organizativas: - comunicación de instrucciones tales proporcionada a los Agentes de Orange, como la píldora informativa -control de acceso y registro de acciones ejecutadas por los usuarios, que requiere el uso de credenciales personales intransferibles, asignadas por ORANGE, y que permiten la identificación del agente y la monitorización de su actividad. -protocolo de gestión de errores, (…). ORANGE añade que, en este caso, las personas fueron despedidas y en la actualidad se encuentran encausadas penalmente, y que estas medidas son consecuencia de unas medidas disuasorias implementadas con anterioridad para mitigar el riesgo a la realización de este tipo de actuaciones. Insiste en que no puede aceptarse que el hecho de permitir que sea el agente el que supervise la corrección de un proceso implique que no exista un control sobre el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/120 proceso o que esta medida no sea conforme con el RGPD, y que esta afirmación supone que todo proceso realizado por una persona sin un control digital es inadecuado, algo que ORANGE entiende insostenible. Añade que el control digital es susceptible de ser incorrecto o fallar, resultando necesario un control humano. ORANGE menciona en este punto el artículo 22 RGPD, relativo a decisiones individuales automatizadas, que recoge el derecho de todo a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, así como el derecho a obtener intervención humana por parte del responsable, y entiende que la interpretación que se realiza por esta AEPD de que permitir la adopción de decisiones por parte de una persona supone un incumplimiento del RGPD, es contraria al espíritu de la norma, que pretende fomentar la intervención de las personas en los procesos para evitar sesgos, incorrecciones o errores derivados de los procesos plenamente automatizados. De esta manera, entiende que contemplarse intervención humana antes determinados errores de la máquina sería conforme al RGPD y es además una buena práctica. Todo ello porque considera que nunca es completamente evitable que un usuario malintencionado pueda realizar una acción ilícita, pudiendo memorizar información personal de clientes para hacer un uso ilícito de los mismos. ORANGE recuerda que, en este caso, se habría tratado de una acción dolosa, intencionada y con el ánimo de beneficiarse personal y económicamente, y que, con independencia de que, tras tener conocimiento del hecho se ha actualizado el riesgo asignado a este potencial fraude y de que se han adoptado las medidas convenientes para limitarlo, esta actuación requirió identificación voluntaria antes de la comisión y dejar constancia del hecho. ORANGE manifiesta su disconformidad con el hecho de que se justifique la sanción de un millón de euros por el incumplimiento general del principio de privacidad por diseño y por defecto de la compañía, aunque no se hubieran analizado los riesgos a la gestión no automatizada de una solicitud. Añade que no es cierto que no se haya tenido en cuenta el riesgo referido, pero que ello no puede servir como base para afirmar que se está incumpliendo un principio general del RGPD. Considera que se trata de un precepto genérico y ambiguo y que no deja de ser un recurso para tratar de tipificar un hecho que, en puridad, no supondría el incumplimiento de una obligación concreta, y que el hecho de no haber considerado una amenaza no podría invalidar todo el sistema de cumplimiento normativo implantado por ORANGE. Sexto: concurso de infracciones. ORANGE entiende que en este expediente sancionador se dan las circunstancias para considerar que tiene lugar una concurrencia entre las dos infracciones imputadas, al imponerse con base en un único hecho acometido por los agentes de ORANGE. De este modo, ORANGE entiende que en el acuerdo de inicio se hace referencia a un único hecho, sujeto y fundamento, que sería la adopción de medidas en el procedimiento de duplicado de la tarjeta SIM en los supuestos tasados de intervención manual, lo que constituiría un supuesto de concurso medial en la vía penal o una concurrencia de ofensas o delitos en vía administrativa, que aplica “siempre que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/120 aplicación de una disposición impida o subsuma la aplicabilidad de la otra”, y que hace que resulte contrario al ordenamiento jurídico sancionar dos veces al infractor por el mismo ilícito. ORANGE entiende que, del acuerdo de inicio se extrae que, en relación con los hechos analizados, existe una conexión directa entre las vulneraciones de los dos artículos. De esta manera, la infracción del artículo 6.1 RGPD, o la existencia de un supuesto tratamiento de datos ilícito fue necesaria e inevitable para que tuviera lugar una vulneración del principio de privacidad desde el diseño y por defecto, derivada de no existir medidas de seguridad suficientes. de este modo, si ORANGE hubiera tenido medidas que permitiesen evitar el duplicado de la tarjeta SIM no se habría podido concluir la infracción del principio de privacidad por diseño y por defecto del artículo 25 del RGPD. En consecuencia, se estaría dando un concurso de infracciones, ya que la comisión de una implicaría necesariamente la comisión de la otra. ORANGE cita la Sentencia de la Audiencia Nacional de 24 de abril de 2013, Rec. 69/2011 según la cual: ““Para enjuiciar esta según infracción deviene esencial, a juicio de la Sala, hacer referencia al concurso de infracciones cuya existencia se invoca igualmente en la demanda. A tal fin ha de traerse a colación lo dispuesto en el artículo 4.4 del Real Decreto 1398/1993, según el cual: en defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida. Precepto que ha sido interpretado por la STS de 8 de febrero de 1999 (Rec. 9/1996) en el sentido de que la aplicación del concurso medial exige una necesaria derivación de unas infracciones respecto de las demás y viceversa, por lo que es indispensable que las unas no puedan cometerse sin ejecutar las otras” Entiende ORANGE que, en caso de apreciarse una infracción de los artículos 6.1 y 25 del RGPD se trataría de infracciones concurrentes, y que la sanción aplicable sería en todo caso la correspondiente al incumplimiento del artículo 6.1 RGPD, teniendo en cuenta lo dispuesto en el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, según el cual: “cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida.” Además, hace referencia a las Directrices 4/2022 sobre el cálculo de multas administrativas bajo el RGPD, donde se estipulan los criterios que debe seguir la autoridad administrativa para evaluar, de forma previa a la imposición de la sanción, la posible concurrencia de éstas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/120 Séptima: sobre la inadmisibilidad de la responsabilidad objetiva. ORANGE pone de manifiesto que el acuerdo de inicio del presente expediente sancionador se basa en un análisis de resultado, al considerar que la emisión del duplicado de la tarjeta SIM conlleva automáticamente la consideración de que no se tomaron medidas adecuadas, surgiendo así automáticamente la responsabilidad directa por parte de ORANGE, estableciéndose una obligación de resultado. ORANGE considera que esta AEPD limita la obligación al resultado, al señalar que la superación de las medidas de seguridad por los agentes de ORANGE conlleva la consideración automática de que las medidas eran insuficientes, y que este hecho supone adoptar un principio de responsabilidad objetiva vetado por nuestro ordenamiento jurídico en numerosas ocasiones por el Tribunal Constitucional. ORANGE hace referencia al principio de responsabilidad del artículo 28 de la Ley 40/2015, de 1 de octubre, que rompe con la responsabilidad objetiva y anuda la responsabilidad a la concurrencia de dolo o culpa. De esta manera, ORANGE hace referencia a la Sentencia del Tribunal Constitucional 76/1990, de 26 de abril, en la que se exigiría que la Administración, a la hora de sancionar, pruebe la intencionalidad en el sancionado. Y añade que, en esta sentencia, se vino a señalar que la posibilidad de imponer una sanción exige la concurrencia de culpabilidad en los grados de dolo y culpa o negligencia grave, no siendo suficiente la mera negligencia, al expresarse de esta manera: “el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional”. ORANGE manifiesta que esta interpretación extensiva de la potestad sancionadora también habría sido categorizada como no aceptable por el Tribunal de Justicia de la Unión Europea en algunas sentencias, citando: -C-683/2021, referida a los requisitos materiales que deben cumplirse para imponer una multa administrativa en virtud del RGPD. De este modo, ORANGE entiende que al no haberse acreditado la concurrencia de una actuación culpable, intencionada o negligente por parte de ORANGE no se puede identificar la conducta como una infracción de la normativa de protección de datos por el hecho de haber sido víctima de un acto delictivo, y por ello no procede la imposición de una sanción. En relación con la responsabilidad objetiva, cita la Sentencia del Tribunal Supremo 5298/1994, de 9 de julio, la Sentencia de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, Sección 1ª de 23 de diciembre de 2013, Rec. 341/2012; Sentencia de la Sala de lo Contencioso de la Audiencia Nacional, de 25 de febrero de 2010, Recurso 226/2009; Sentencia del Tribunal Supremo 543/2022, de 15 de febrero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/120 En relación con la Sentencia del Tribunal Supremo 543/2022, de 15 de febrero, en la que se recogía que “la obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse como una obligación de resultado, que implique que producida una filtración de datos personales a un tercero exista responsabilidad con independencia de las medidas adoptadas y de la actividad desplegada por el responsable” y añade que “el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones de diligencia o de comportamiento.” ORANGE considera que mientras que en la obligación de resultado se responde ante un resultado lesivo por el fallo del sistema de seguridad, en la obligación de medios basta con establecer medidas técnicamente adecuadas e implantarlas y utilizarlas con la diligencia razonable. Y por ello, considera que este acuerdo de inicio no es ajustado a derecho, al imponer a ORANGE una obligación de resultado, que consistiría en establecer medidas infalibles, al imputar una infracción del artículo 6.1 y del artículo 25 del RGPD basándose en el hecho lesivo que se produce por la intervención fraudulenta de un tercero, sin atender a la diligencia utilizada y sin considerar el despliegue de medidas técnicamente adecuadas e implantadas. Añade que no sería viable implantar medidas inquebrantables, puesto que cualquier medida tiene vulnerabilidades, ni es exigible por la normativa que resulte de aplicación, y que esta Agencia emprende una causa general contra el SIM Swapping, sancionando el mero hecho de que se produzcan, sin analizar el supuesto de hecho concreto, el perjuicio asociado, ni las responsabilidades derivadas, y concluyendo la vulneración de la normativa de protección de datos por el mero hecho de haber sido víctima de una actividad delictiva, y sin tener en cuenta la diligencia desplegada por ORANGE en su actuación y en la adopción de medidas de seguridad. Octava: acerca de las medidas adoptadas e implementadas por ORANGE. ORANGE pone de manifiesto que ha adoptado las siguientes medidas, tanto de forma previa como a posteriori, en relación con el procedimiento de emisión de duplicados de tarjeta SIM. 1. Medidas implementadas para prevenir la comisión de fraudes derivados de la suplantación de identidad.
2. a)El grupo de análisis y riesgos emite periódicamente un manual de instrucciones denominado “Documentación necesaria y formatos de entrega para actos comerciales con cliente v.26”, donde se incluyen las instrucciones a seguir para analizar cualquier acto comercial, incluido el duplicado de tarjetas SIM. En relación con la solicitud de duplicado o activación de tarjeta SIM, se recogen las instrucciones que deben seguir los agentes de ORANGE, entre las que se incluye la exigencia de aportación de un documento de identidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/120 Adjuntan como documento 14, unas impresiones de pantalla de la herramienta “descubre ORANGE” con la información recogida en el documento a estos efectos.
3. b)ORANGE comunica que se emiten comunicaciones adicionales que reiteran los protocolos de actuación en los procesos de duplicados de tarjeta SIM.
4. c)Campañas de información y concienciación dirigidas a clientes, para que se tengan en cuenta la relevancia de custodiar sus credenciales y documentos de identidad de forma segura.
5. d)otras medidas y modificaciones en sus procesos comerciales y de negocio: -desde el 12 de agosto de 2022 (…). -desde el 12 de agosto de 2022 la solicitud de duplicado de tarjeta SIM (…). -desde abril de 2021 ORANGE ha limitado los canales para solicitar un duplicado de tarjeta SIM, (…).
6. e)ORANGE forma parte de la Asociación Española para la Digitalización y participa en el proyecto “identidad digital segura” que tiene por objeto, entre otras cosas, proteger frente al fraude y los ciberataques y la defensa de la privacidad de los datos. ORANGE comercializa la aplicación de “servicio de SIM Swap” que permite verificar (…). 2. Medidas implementadas por ORANGE para prevenir la comisión de fraudes derivados de la suplantación de agentes y/o empleados de ORANGE.
7. a)implantación de un doble factor de identificación, con un proyecto piloto en fase de testeo con ciertos usuarios.
8. b)proyecto (…).
9. c)herramienta de control de tráfico, empleada como medida de seguridad en la prevención y detección del fraude, que permite la generación de alertas en caso de detección de contrataciones irregulares, y que en el caso de duplicados de tarjeta SIM actuaría de la siguiente manera: - (…). -(…). 3.Medidas adoptadas por ORANGE con relación al presente supuesto, no incardinado en los apartados anteriores.
10. a)investigación interna, que ha identificado las causas y mitigar la posibilidad de que se produzcan situaciones similares. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/120
11. b)denuncia presentada por el distribuidor de ORANGE ante las Fuerzas y Cuerpos de Seguridad a los agentes responsables del Punto de Venta que acometieron el hecho delictivo, y en el que ORANGE se ha personado como parte perjudicada.
12. c)desde el 14 de diciembre de 2022, ORANGE ha procedido a suspender cautelarmente la opción que permite a los agentes de punto de venta, (…). Con estas medidas, ORANGE considera que queda acreditado tanto la voluntad en la protección de los derechos de los particulares, como el empleo de un nivel de diligencia adecuado por parte de ORANGE, y que es actualizado y revisado periódicamente conforme al estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento. Novena: falta de proporcionalidad de la sanción impuesta. ORANGE manifiesta en este momento que ha demostrado haber actuado con la diligencia debida en la implementación de medidas en los procesos de duplicados de tarjetas SIM, y que en este supuesto los agentes actuaron de manera individual y dolosa rompiendo los estándares y protocolos de la compañía. En todo caso, entiende que la sanción incluida en el acuerdo de inicio en desproporcionada atendiendo a las circunstancias y contenido de la supuesta infracción, que ORANGE niega. ORANGE quiere manifestar su disconformidad en la interpretación que realiza esta Agencia en relación con los agravantes:
13. a)la naturaleza, gravedad y duración de la infracción (artículo 83.2.
14. a)RGPD. ORANGE manifiesta que este agravante se apoya en la posible comisión de operaciones bancarias fraudulentas. Entiende que no es aceptable jurídicamente utilizar como argumento el uso de las cuentas bancarias, los perjuicios monetarios de las víctimas de los fraudes o el modo en que se llevan a cabo estas operaciones por las entidades financieras para justificar la sanción impuesta a ORANGE, en la medida en que `las entidades bancarias son las únicas responsables de la seguridad de sus operaciones, tal y como afirma la Autoridad Bancaria Europea, en “Opinion on the implementation of the RTS on SCS anf CSC” puntos 37 y 38, y donde se determina que las credenciales de seguridad utilizadas para realizar la autenticación segura de los usuarios de los servicios de pago son responsabilidad de la entidad gestora de servicios de cuenta. En relación con el agravante referido a la infracción del artículo 25 RGPD, entiende ORANGE que el acuerdo de inicio tiene en cuenta a todos los clientes de ORANGE en su totalidad, que viene cifrado en 21 millones de clientes. ORANGE quiere manifestar que no todos estos clientes son personas físicas, ni todos solicitan un duplicado de tarjeta SIM, y, por tanto, no pueden ser considerados como potencialmente afectados. Para hacer esta manifestación cita a las directrices 04/2022 del CEPD y en la que, cuando se menciona a los “interesados” potencialmente afectados, se estaría refiriendo a personas físicas, y en el sentido de interesados implicados, o interesados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/120 que, si bien no han percibido directamente el perjuicio o han sido afectados por sus efectos, se encuentran dentro del supuesto de hecho. Por ello, ORANGE entiende que, en este supuesto de hecho, hay un único implicado que sería la persona que presentado la reclamación. Además, entiende que las menciones del CEPD sobre interesados implicados no son aplicables al caso de SIM Swapping, provocados por una actuación dolosa y fraudulenta, y especialmente en un supuesto como este, en el que los agentes actuaron de manera dolosa contra los propios sistemas de ORANGE.
15. b)toda infracción anterior cometida por el responsable o encargado del tratamiento (artículo 83.2.e RGPD) ORANGE manifiesta que la valoración de esta Agencia de las infracciones previas impuestas por la vulneración del artículo 6.1 RGPD no tienen nada que ver con el presente supuesto de hecho. Además, en términos de tipificación, ORANGE tampoco ha tenido una resolución o procedimiento administrativo por la infracción del artículo 25 RGPD. Por ello, entiende que esta Agencia no puede tener en consideración, como infracciones anteriores, cualquier tipo de infracción, sin hacer distinciones en los tipos y preceptos de la norma, tratando a todos los procedimientos administrativos (que en su mayor parte están recurridos y sin resolución firme en vía judicial) como si se tratara de antecedentes penales. También quiere reiterar las particularidades que tiene el presente procedimiento sancionador, referido a la comisión de un acto delictivo por parte de los agentes de ORANGE, no teniendo lugar la puesta a disposición de datos a terceros no autorizados, ni teniendo lugar ninguna suplantación de identidad de la parte reclamante ante ORANGE. Además, insiste en que se trata de un supuesto aislado, puntual e inédito, y que esta particularidad debe ser tenida en cuenta, y que no puede asimilarse a otros supuestos donde el fraude consistía en un ataque externo, con suplantación de identidad presencial o mediante una llamada o grabación.
16. c)la vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k RGPD en relación con el artículo 76.2.
17. b)LOPDGDD.) ORANGE manifiesta que este factor es ambiguo en su valoración para incluirlo como agravante, ya que dicha vinculación no supone una relación directa con la supuesta infracción. ORANGE entiende que el artículo 83.2.
18. k)exige que dicho agravante sea puesto en relación con el supuesto de hecho concreto y, por tanto, el tratamiento de datos no nace de una intención de la entidad, sino que tiene lugar la comisión de un delito C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/120 contra los propios sistemas de ORANGE, y que por ello ORANGE es parte perjudicada, y por esta razón no cabe interpretar este aspecto como agravante.
19. d)intencionalidad o negligencia en la infracción. ORANGE manifiesta que esta Agencia no relaciona este agravante, ni señala su aplicación al presente supuesto de hecho. De este modo, entiende que, según ha manifestado el TJUE cuando manifestaba que la imposición de sanciones coercitivas por la autoridad administrativa solo es admisible en los casos en los que se aprecie una conducta culpable por el responsable o encargado del tratamiento, la imposición de este agravante debe estar reservado a los casos en los que la intencionalidad o negligencia sea evidente o grave. Por ello, en este caso, en el que el supuesto viene causado por un acto delictivo no imputable a ORANGE, entiende que no debería imputarse este agravante sin razonamiento alguno al respecto. Por otro lado, ORANGE entiende que sí deberían haberse tenido en cuenta las siguientes atenuantes: -la parte reclamada procedió a bloquear la línea en cuanto tuvo conocimiento de los hechos. (art. 83.2.
20. c)-no se han tratado categorías especiales de datos (art. 83.2.
21. g)-el grado de cooperación de ORANGE con la AEPD. De este modo, ORANGE quiere manifestar que ha quedado acreditado que se ha contestado en tiempo y forma a todos los requerimientos de información solicitados, con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos (art. 83.2.
22. f)-la adhesión a códigos de conducta en virtud del artículo 40 o mecanismos de certificación aprobados con arreglo al artículo 42 (art. 83.2.
23. j)ORANGE aporta como documento nº 15 un certificado emitido por AENOR, por el que se acredita que ORANGE tiene aprobado desde el 4 de septiembre de 2023 un sistema de cumplimiento normativo que cumple con los requisitos del artículo 31 bis del Código Penal, así como el resto de estándares de cumplimiento e materia de prevención de delitos, como la Circular 1/2016, de 22 de enero, de la Fiscalía General del Estado, destinado a la mitigación de cualquier riesgo de comisión de delitos en el marco de la actuación de ORANGE. -el inexistente beneficio obtenido por ORANGE en el tratamiento de los datos que ocupa este procedimiento sancionador, añadiendo que, en todo caso, sería perjudicada, como ya se ha señalado, siendo parte perjudicada en el procedimiento penal en el que se denuncia la comisión del delito que nos ocupa (83.2.
24. k)Por último, ORANGE quiere dejar constancia y demostrar que las medidas vigentes en el momento de la presunta infracción cumplían con las más rigurosas normas, pautas, estándares y recomendaciones para poder hacer frente a los riesgos, y que eran C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/120 adecuadas e idóneas teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto, fines del tratamiento, y los riesgos para los derechos y libertades de las personas físicas. Para finalizar solicita el archivo del presente procedimiento, y subsidiariamente, que se tenga en cuenta las circunstancias atenuantes y finalice el procedimiento con un apercibimiento, o que si considera que procede la imposición de una sanción, que modere o module la propuesta recogida en el acuerdo de inicio. DÉCIMO: Con fecha 21 de junio de 2024 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a ORANGE ESPAGNE, S.A.U., con NIF A82009812, -por una infracción del Artículo 6 del RGPD, tipificada en el artículo 83.5.
25. a)de dicha norma, multa administrativa de cuantía 200.000 euros (doscientos mil euros). - por una infracción del Artículo 25 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 1.000.000 euros (un millón de euros). Que por la Directora de la Agencia Española de Protección de Datos se ordene a ORANGE ESPAGNE, S.A.U., con NIF A82009812, que en virtud del artículo 58.2.
26. d)del RGPD, en el plazo de 6 meses, notifique a esta Agencia las medidas que ha adoptado para garantizar que la solicitud de duplicado se presenta por el titular de la línea, sea cual sea el procedimiento utilizado para su emisión. Esta propuesta de resolución, que se notificó a ORANGE conforme a las normas establecidas en la LPACAP, fue recogido en fecha 25 de junio de 2023, como consta en el acuse de recibo que obra en el expediente. DÉCIMO PRIMERO: Con fecha 26 de junio de 2024 tiene entrada en esta Agencia un escrito de ORANGE mediante el que solicita ampliación de plazo para presentar alegaciones a la propuesta de resolución, a lo que se accede en fecha 28 de junio de 2024. DÉCIMO SEGUNDO: Con fecha 17 de julio de 2024 se recibe en esta Agencia, en tiempo y forma, escrito de ORANGE en el que aduce alegaciones a la propuesta de resolución. En estas alegaciones, en síntesis, manifestaba: ORANGE se reitera en las alegaciones presentadas al acuerdo de inicio. además, quiere manifestar: Primera. - De la existencia de prejudicialidad penal. ORANGE manifiesta su disconformidad con lo expresado por esta AEPD en lo referente a esta cuestión. De este modo, manifiesta que el sujeto que ha cometido la infracción han sido los Agentes contratados por la distribuidora de la marca ORANGE. Añade que esto es especialmente relevante, porque dependiendo de lo que se determine con respecto a la actuación de los agentes y el tipo delictivo que se les aplique se condicionará la potencial imputabilidad de responsabilidad a ORANGE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/120 Con respecto al hecho, manifiesta que es evidente la coincidencia. Y con respecto al fundamento, manifiesta que existe una incompatibilidad entre la imposición de una multa administrativa a ORANGE derivada de una actuación delictiva de la que es víctima. Añade que la AEPD pretende que ORANGE responda administrativamente de un ilícito penal cometido por Agentes de sus distribuidoras, por el mero hecho de que el delito se lleva a cabo manipulando dolosamente el funcionamiento de su sistema. De este modo, señala que la distribuidora es una empresa franquiciada, perteneciente al canal de distribución, ajena a ORANGE, que actúa como encargada del tratamiento y el ilícito cometido se realiza por personal laboral de dicha franquicia, en contra de las instrucciones documentadas por mi representada. ORANGE añade que esta AEPD debe asumir que la conducta de los agentes es constitutiva de infracción penal Segunda. Sobre el supuesto de hecho. 2.1. Sobre la consideración de la SIM como dato personal. ORANGE manifiesta que esta Agencia interpreta que la tarjeta SIM no solo contiene, sino que es un dato personal en sí misma. Asimismo, insiste en que no consta que se haya tratado información alguna que pudiera estar contenida en la tarjeta SIM. Añade que un duplicado de tarjeta SIM implica la emisión de una tarjeta SIM vacía, que no permitiría per se el acceso a información bancaria o financiera. Respecto al IMSI, se trataría de un código contenido dentro de la tarjeta SIM con una finalidad técnica, y que no está directamente accesible. Además, no consta evidencia de que este dato haya sido accedido por los Agentes en la comisión del delito. A este respecto, ORANGE añade que, aunque pudiera considerarse que esta información hace potencialmente identificable al titular de la línea, la posibilidad de identificación por parte de terceros distintos de la operadora requeriría información adicional a la que no tienen acceso. 2.2. Sobre la realización de operaciones bancarias. ORANGE considera que esta Agencia utiliza estas asociaciones para agravar el supuesto de hecho origen de este procedimiento sancionador, otorgando al duplicado de tarjeta SIM la facultad de permitir la comisión de operaciones bancarias, obviando un paso previo donde los criminales deberán obtener y utilizar las credenciales bancarias, para identificarse y realizar la suplantación de identidad ante la entidad financiera. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/120 Insiste en que esta Agencia no entra a analizar la responsabilidad de las entidades bancarias afectadas por la suplantación de identidad. Además, entiende ORANGE que, desde esta Agencia se realiza una transferencia de responsabilidad de una operación bancaria hacia ORANGE, calificando como idénticas las obligaciones de las operadoras y las de las entidades bancarias. ORANGE en su escrito de alegaciones a la propuesta de resolución aporta manifestaciones en las que quiere mostrar su disconformidad con el hecho de que no se haya iniciado ninguna acción para que las entidades bancarias informen acerca del funcionamiento de sus sistemas. Prosigue manifestando que cabe preguntarse por qué los bancos implementaron en el año 2019 un sistema de autenticación reforzado considerado como inseguro, contraviniendo el artículo 32 del RGPD y porque aún no se ha solicitado información al respecto. Insiste en que esta Agencia realiza una transferencia de responsabilidad de una operación bancaria hacia ORANGE, calificando como idénticas las obligaciones de modo injustificado. Menciona en este punto pronunciamientos de la Autoridad Bancaria Europea, que harían referencia a que las entidades bancarias son las únicas responsables de la seguridad de sus operaciones. Añade que no se puede responsabilizar a ORANGE de la configuración del envío de SMS como segundo factor de autenticación empleado por los responsables de otros servicios como son los operadores bancarios. En este sentido, menciona la Sentencia 142/2024, de 21 de marzo de 2024 de la Audiencia Provincial de Oviedo, en el que la víctima había clicado en un enlace remitido a través de un SMS, produciéndose un acceso no autorizado a su área de cliente, y realizándose una transferencia de 6.000 euros desde la cuenta bancaria, y en el que la Audiencia Provincial reiteraba la culpabilidad de la entidad bancaria. 2.3. Sobre la relación de los autores del hecho delictivo con ORANGE ORANGE manifiesta que los agentes son empleados de un distribuidor de la marca ORANGE, que ostenta el rol de Encargado del Tratamiento según lo dispuesto en el artículo 28 del RGPD. Añade que es el encargado del tratamiento quien debe, al actuar por cuenta de ORANGE, disponer de los medios correspondientes que permitan detectar y prevenir actuaciones dolosas de sus empleados. En este punto se remiten a la legislación laboral, manifestando que, en virtud del artículo 20, apartados 2 y 3 del Estatuto de los Trabajadores, la potestad de control recae sobre el empresario del que depende el empleado, y por tanto, en este caso, dependería de la distribuidora de la marca ORANGE. ORANGE hace referencia a que esta AEPD habría aludido a la posibilidad de que ORANGE pudiera establecer medidas de control sobre los empleados de su franquiciada. ORANGE añade que, en virtud de lo dispuesto en el Estatuto de los Trabajadores, es la distribuidora la que debe establecer las medidas de control y no la propia ORANGE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/120 Y, por último, pone de manifiesto que no puede aducirse que se haya producido un incumplimiento del artículo 6 por parte de ORANGE ya que, la conducta dolosa corresponde a los empleados del tratamiento, quienes, contrariamente a lo dispuesto en el artículo 28 del RGPD no han seguido las instrucciones del responsable del tratamiento. Por tanto, entiende que la responsabilidad en la comisión de la infracción del artículo 6 del RGPD debería recaer en el encargado del tratamiento. Tercera. Sobre la actuación delictiva de los agentes. ORANGE manifiesta que esta AEPD hace un análisis simplista de la problemática relacionada con el SIM SWAPPING, y que no se puede pretender que la existencia de un tipo de infracciones de esta categoría implique que pueda preverse y evitarse cualquiera de las formas en las que la delincuencia organizada pueda intentar llevar a cabo esta tipología de acciones. ORANGE insiste en que la actividad delictiva evoluciona y ello obliga a adoptar medidas que no eran previsibles de forma previa. De este modo, en el caso que ha motivado la apertura de este procedimiento sancionador, ORANGE manifiesta que se trata de una variante delictiva nueva, que implica que quien debe cumplir un rol de garante de la seguridad, no solo no cumple con su función de forma adecuada, sino que ataca de forma intencionada dicha seguridad, no tratándose de la amenaza previamente detectada. ORANGE manifiesta que esta Agencia sanciona el mero hecho de que se produzca un supuesto de fraude SIM SWAPPING, sin atender ni analizar la tipología del fraude cometido en el concreto supuesto de hecho, el perjuicio ocasionado, ni las responsabilidades derivadas, sino que, independientemente de lo anterior, y sin tener en cuenta la diligencia desplegada por ORANGE en su actuación y continua adopción de medidas de seguridad, se concluye la existencia de una vulneración de la normativa de protección de datos, por el mero hecho de haber sido víctima de una actividad delictiva. ORANGE quiere recordar que, como consecuencia de las medidas y procedimientos de seguridad diligente que ha implantado, los delincuentes han ido modificando sus técnicas criminales, lo que constituiría una prueba de que existe un procedimiento de solicitud de duplicados SIM de ORANGE que ha sido diseñado teniendo en cuenta la privacidad, y que conlleva un despliegue de medidas de seguridad adecuados. Asimismo, añade que la aparición de estas prácticas ya se había puesto de manifiesto en el “Comité Antifraude Teleco” celebrado en el mes de marzo de 2023, unos meses después de que la comisión del presente supuesto de hecho, confirmándose que en los meses previos se detectaron ataques para captar a comerciales en puntos de venta. Añade que como consecuencia de la posibilidad de que los Agentes de tienda sean corrompidos y puedan ejercer actividades delictivas como las que se han producido, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/120 ha realizado una nueva evaluación del riesgo atribuido a esta amenaza, y aporta como Documento nº 1 dicha valoración. Además, insiste en que no puede interpretarse que permitir a un agente de tienda tomar decisiones sobre algunas cuestiones operativas puede asimilarse al incumplimiento del RGPD. Manifiesta que, como ya se ha informado, se ha paralizado la intervención manual de los agentes, pero quiere señalar que se trata de una medida preventiva mientras determina las más idóneas para mitigar el riesgo asociado a esta amenaza, ya que esta medida impacta considerablemente y de forma negativa en la experiencia del usuario, no es sostenible económicamente y no es defendible jurídicamente. Insiste en que la interpretación tan restrictiva en relación con la intervención de un empleado para tomar decisiones choca con la regulación del RGPD que, al contrario de lo pretendido por la AEPD, considera que el riesgo reside en la adopción de decisiones automatizadas sin intervención humana. Añade que la finalidad de la intervención del agente es evitar que, en supuestos específicos y debidamente tasados, un potencial error del sistema impida al interesado el acceso a un servicio contratado, permitiéndose la validación del agente. Sin embargo, ORANGE considera que esta AEPD categoriza la parametrización de un procedimiento manual para ciertas situaciones como una vulneración del artículo 25 del RGPD desde la óptica de la privacidad y en atención a las manifestaciones de esta Agencia para frenar la posibilidad de que se produzca una suplantación de identidad en duplicados de tarjeta SIM. ORANGE insiste en que tiene diseñados procedimientos internos, teniendo en cuenta la privacidad, que sirven para determinar los medios del tratamiento y que se aplican de manera efectiva. Entiende que lo que ha permitido la comisión del fraude SIM SWAPPING no ha sido la flexibilidad tasada y controlada del procedimiento por ORANGE, necesaria para supuestos tasados y bajo garantías adecuadas, sino la comisión deliberada de una acción ilícita y dolosa por parte de los agentes contratados por el encargado del tratamiento de ORANGE. ORANGE menciona en este punto el Auto 35/2023 de la Sala de lo Penal Sección 3ª de la Audiencia Nacional, de 30 de enero de 2023, que desestima un recurso de apelación formulado por el Ministerio Fiscal, confirmando el sobreseimiento y archivo de la pieza de investigación respecto de la responsabilidad de dos personas jurídicas. En su fundamente Jurídico 2º, con relación a los modelos de prevención de delitos y responsabilidad asociada de la persona jurídica especifica: “SEGUNDO. – Rechazamos los motivos de recurso alegados por el Ministerio Fiscal, aceptando y dando por reproducidos los razonamientos del auto recurrido y la jurisprudencia citada sobre la responsabilidad penal de las personas jurídicas en el auto de 29.07.2021, al que en algunos aspectos se remite el de 02.06.2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/120 En el momento en que se produjeron las contrataciones con (...) a que se refiere este procedimiento, (...) contaba con un Modelo de Prevención de delitos que cumplía con los requisitos previstos en el artículo 31 bis CP. Ningún modelo es infalible, y si un delito se comete por alguno de los sujetos que contempla el precepto citado, no implica necesariamente que el modelo de prevención de delitos adoptado por la persona jurídica sea inadecuado, incumpla la normativa vigente o falle, pues bastaría con adoptar un modelo que cumpliera todas las normas para impedir la comisión de delitos, lo que no se ajusta a la realidad y precisamente por eso los modelos de prevención de delitos están sujetos a revisiones periódicas”. Con esto, ORANGE quiere manifestar que los Tribunales vienen reconociendo que cuando un delito se comete en el seno de una persona jurídica, no determina de forma automática, culpabilidad o una falta de diligencia de ésta. Y añade que ha acreditado documentalmente la implantación de medidas concretas y adecuadas, así como de un procedimiento securizado de duplicados de tarjeta SIM, entendiendo así que no se habría producido una actuación negligente por su parte. Cuarta. De la inexistencia de falta de legitimación en el tratamiento de datos personales de ORANGE. ORANGE quiere manifestar que los hechos se produjeron por empleados de uno de sus encargados de tratamiento. Por ello, cuando en la propuesta de resolución se afirma “En relación con esta cuestión, es necesario señala que no es objeto del presente procedimiento sancionador el proceder de los empleados de ORANGE, sino que más bien se trata de comprobar si la actuación de ORANGE cumple con la normativa de protección de datos personales” ORANGE entiende que esta Agencia reconoce expresamente que pretende responsabilizar a ORANGE del proceder de estos agentes, sin importar que este proceder constituye un ilícito penal. ORANGE entiende que este planteamiento es incoherente, en la medida en que se estaría obviando que una empresa actúa a través de personas, y lo que se está enjuiciando es precisamente si la actuación de una persona ajena a la organización, de forma contraria a las instrucciones de ORANGE y manifiestamente dirigida a provocarle un daño. ORANGE entiende que la emisión de un duplicado fraudulento de manera dolosa por los Agentes no constituiría una acción imputable a la mercantil, en la medida en que los agentes empleados por el distribuidor de ORANGE buscaban cometer un delito. Entiende que esta actuación no es asignable a ORANGE, ya que supondría atribuirle una acción delictiva dirigida contra sí misma. ORANGE se reafirma en que los hechos producidos en este supuesto son los que deben analizarse para identificar una posible vulneración de la normativa, y no potenciales infracciones. Añade que los hechos sobre los que se fundamente esta posible vulneración de la normativa tienen que ser hechos probados y ciertos, y entiende que no es cierto que el duplicado de la tarjeta SIM lo hiciera un empleado de ORANGE, sino que lo hizo un empleado de una tercera empresa, ajena a ORANGE, que actuaba como encargado del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/120 De este modo, no cabe atribuir a ORANGE una falta de legitimación en el tratamiento de datos personales por parte de ORANGE, porque lo que ocurrió, es que a través de sus sistemas ORANGE se limitó a realizar un proceso de tramitación de una solicitud de duplicado de tarjeta SIM, sin que tuviera capacidad de reconocer que el origen de dicha solicitud derivaba de una actuación ilícita de los agentes de la tienda, que solo deben iniciar el proceso a demanda de los clientes, y cuya función es precisamente velar por el cumplimiento del proceso en su integridad, conforma a las instrucciones recibidas y bajo las medidas de seguridad y garantía de verificación de identidad ordenadas por ORANGE. Adicionalmente, en el presente caso, durante el proceso de duplicado los datos personales fueron insertados por los agentes, y no por ORANGE, desconociéndose el origen de estos. Insiste en que no es posible considerar a la tarjeta SIM como un dato personal, ni ha sido justificado por esta Agencia. Y que, en el caso de que pudiera mantenerse tal consideración, el tratamiento de datos no sería achacable a ORANGE, sino que se habría realizado por un delincuente que trabajaba para un encargado del tratamiento de ORANGE, actuando en contra de las instrucciones e intereses de ORANGE. Quiere recordar que los agentes no accedieron al teléfono móvil de la parte reclamante, ni a la información que pueda contener, en tanto en cuanto el teléfono móvil estuvo en posesión de la parte reclamante. ORANGE insiste en que la tarjeta SIM no contiene los datos del teléfono móvil, y que un duplicado de la tarjeta SIM no permite a un tercero el acceso a las aplicaciones del titular. Por tanto, no cabría afirmar que se haya producido un tratamiento ilegítimo de los datos de la parte reclamante por parte de ORANGE, por ausencia de dolo o culpa, y, por tanto, no habría infracción del artículo 6.1 del RGPD. Quinto. De la correcta implementación de la privacidad desde el diseño y por defecto. ORANGE quiere manifestar que, en base a las manifestaciones recogidas en la propuesta de resolución, sí se habría tenido en cuenta la privacidad desde el diseño, en función de la documentación remitida, el diseño de protocolos y el establecimiento de medidas en aras a garantizar el cumplimiento de los principios de protección de datos. En este sentido, el proceso para la emisión de duplicados de tarjeta SIM lleva aparejados unos controles y medidas de seguridad destinadas a garantizar que las SIM sean emitidas a solicitud de los clientes y una vez verificada su identidad, habiéndose tenido en cuenta la protección de la privacidad de los interesados. Sin embargo, ORANGE considera que esta Agencia trata de descalificar la prueba documental bajo la única premisa del resultado que se ha producción en un supuesto concreto, en la que media la comisión de un delito, para poner en duda la validez del sistema, infiriendo que el conjunto de las medidas implantadas no es conforme al principio de privacidad desde el diseño, como si su cumplimiento dependiese, exclusivamente, de que fuese perfecto e infalible, y haciendo observaciones subjetivas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/120 En este punto enumera lo que se ha mencionado en la propuesta de resolución con respecto a los documentos 5, 6 y 7. Añade que ORANGE si dispone de políticas encaminadas a garantizar la aplicación de los principios de protección de datos en sus procesos de negocio, independientemente de que no se identifique en cada uno de ellos la referencia específica a las garantías en materia de privacidad, ya que, si bien abordan los riesgos asociados en esta materia, no es la única que se tiene en cuenta, del mismo modo que no se especifican en cada uno de ellos los riesgos penales analizados, o los riesgos económicos o los reputacionales. Asimismo, manifiesta que no hay una contraposición entre los intereses de la compañía y la protección de datos personales, y que la privacidad desde el diseño está garantizada en todos los casos, no solo desde un punto de vista formal, sino como un propósito inherente a su actividad diaria. En este sentido, habría proporcionado la información inicial que se facilita para cualquier proyecto en el que se traten datos personales en aras a comenzar a regular las distintas actividades siempre desde una perspectiva que vele por la privacidad y la protección de datos personales. Sin embargo, para cada caso particular se aplican las medidas que se consideren correspondientes, como puede ser la formación de personal encargado de controlar los procesos. Además, quiere recordar que tanto las medidas técnicas y organizativas como las garantías previstas por el artículo 25 del RGPD no están tasadas, ni exigen la implantación de medidas concretas. 5.1. Sobre el análisis de riesgos para los derechos y libertades. En este punto, ORANGE manifiesta que ya se aportó como documento nº 12, en las alegaciones al acuerdo de inicio, y que fue valorado por esta Agencia, en la propuesta de resolución. Por ello, ORANGE manifiesta que no se puede negar desde esta Agencia que no se tuviera identificado el riesgo, si bien se presenta por el Comité de Riesgos agregando lo aportado por diversas áreas. Además, insiste en que la consideración de dicho nivel de riesgo no se realizó en el año 2023, sino que también se hizo en los años 2021 y 2022, aportando para acreditarlo el Documento Anexo 1, relativo al comité de riesgos, que tuvo lugar en el año 2022, y donde se puede visualizar: - el nivel de riesgos agregado para el riesgo “Fraudulent use of Data-3rd parties” era bajo. - se proporciona una segunda diapositiva con la comparativa con el año anterior, donde ese riesgo ya fue evaluado concluyéndose que era bajo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/120 Añade que esta misma información para el año 2023 se aportó como documento nº 12, para resaltar que se trata del mismo análisis en años diferentes, y en todos se calificó como bajo. Aportan como documento anexo 2 el Acta del comité de Riesgos Local del año 2022 para evidenciar que el riesgo era también calificado como bajo. Desde el punto de vista del riesgo desde la óptica de los derechos y libertades de los interesados, aportan como Documento Anexo 3 el Análisis de Riesgos para los Derechos y libertades de los interesados del riesgo correspondiente al año 2022, cuando acontecieron los hechos, donde se identificaba el riesgo como bajo, y que, según manifiesta ORANGE, fue elevado al Comité de Riesgos ORANGE insiste en que, en el marco de probabilidad de materialización del riesgo era improbable, porque no había constancia de materialización del mismo en ORANGE, con la apertura de este procedimiento sancionador el riesgo pasó a calificarse como medio, y en la actualidad se encuentra calificado como alto, y se trata con nuevas medidas para volver a reducir el riesgo. Por ello quiere manifestar que es incorrecto afirmar que este tipo de riesgo no ha sido objeto de análisis por parte de ORANGE. Y la evolución de la consideración de este tipo de riesgo ha ido incrementándose en fechas recientes, debido a la detección del primer caso de este tipo que se correspondería con este procedimiento. ORANGE quiere manifestar que esto no significa que actúe de manera correctiva y no preventiva, sino que el riesgo se había calificado como bajo, y, por lo tanto, no se había considerado necesario implantar medidas adicionales a las ya existentes, dado que su efectividad venía avalada por la inexistencia de contingencias relacionadas con las gestiones realizadas por los agentes en las que se hiciese un uso inadecuado de sus credenciales y permisos con fines ilícitos. Añade que este sigue siendo un incidente aislado. Añade que se pueden identificar medidas preventivas que esta Agencia no tuvo en cuenta en la propuesta de resolución y que son: -medidas jurídicas: contrato con el franquiciado que incluye un compromiso de confidencialidad. -medidas organizativas. -comunicación de instrucciones, como la píldora informativa proporcionada a los Agentes de ORANGE. -Control de acceso y registro de acciones ejecutadas por los usuarios. -protocolo de gestión de errores. ORANGE insiste en que el riesgo estaba identificado, había sido evaluado y se habían implementado medidas proporcionales para su mitigación, partiendo de que el riesgo era bajo, en consonancia con las directrices del EDPB. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/120 De este modo, en consonancia con el riesgo identificado, en relación con el duplicado de la tarjeta SIM se elaboró el procedimiento ya analizado en el presente procedimiento sancionador, y, en prevención de posibles circunstancias en las que el (…). En el caso que nos ocupa, prosigue ORANGE, no se produjo un fallo en las medidas de seguridad, sino que el personal encargado de ejecutar el proceso decide atentar contra el mismo. Por tanto, insiste en que esta Agencia no puede equiparar la comisión de un delito por parte de agentes de la propia mercantil con una supuesta carencia de la implementación de la privacidad desde el diseño de esta compañía. ORANGE insiste en que esta Agencia no tiene en cuenta esta situación en la propuesta de resolución. Además, ORANGE añade que, en el caso de un duplicado de tarjeta SIM, existen dos riesgos contrapuestos: -falsos positivos, situación en la que un tercero malicioso ha solicitado el duplicado de la tarjeta SIM -falso negativo, un documento de identidad válido que es rechazado, y en la que el cliente pierde el acceso a su servicio telefónico móvil. Por tanto, añade ORANGE, el análisis de riesgos en el que se ponderó establecer esta medida, no se fundamentaba únicamente en el negocio, como manifestaba esta Agencia, sino que ponderó los dos riesgos antes citados, decidiéndose esta medida desde la privacidad desde el diseño. ORANGE hace referencia en este punto al EDPB que ha considerado, en sus directrices 5/2022 sobre el uso de tecnología de reconocimiento facial en el ámbito de aplicación de la ley, a la agilidad en la gestión como uno con impacto positivo para los propios interesados, debiendo ser tenido en consideración. Manifiesta su disconformidad con la afirmación que se realiza en la propuesta referida a que no se había previsto el riesgo, porque ya se ha manifestado que sí se había catalogado como un riesgo bajo, y, además, había una comprobación visual y presencial por el propio agente, y además hay un control posterior por el Grupo de Análisis y Riesgos de la compañía para evaluar si se estaba haciendo un uso inadecuado de esta posibilidad. ORANGE manifiesta que, por más controles que se establezcan, nunca es completamente evitable que un usuario malintencionado pueda realizar una acción ilícita con respecto a la información a la que tiene acceso. ORANGE manifiesta su disconformidad con el hecho de que un suceso aislado pueda tener entidad suficiente para decretar sin más el incumplimiento general del principio de privacidad por diseño y por defecto de la compañía, y justificar la sanción. Manifiesta que se trata de un precepto genérico y ambiguo, que no supondría el incumplimiento de ninguna obligación concreta, e insiste en que no haber considerado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/120 una amenaza no puede invalidar todo el sistema de cumplimiento normativo implantado. Por último, quiere manifestar que, en relación con la “suspensión” del procedimiento para la emisión de duplicados de tarjeta SIM, ésta debe entenderse como un cambio en la configuración del proceso que se genera (…), y que se ha producido de manera cautelar hasta que concluya este procedimiento para que no condicionase el desarrollo de éste. En este sentido, se está realizando una prueba de peritaje para evaluar la herramienta, que se aportará con posterioridad, cosa que no se ha producido. Sexta. Sobre la existencia de un concurso de infracciones. ORANGE manifiesta que las dos infracciones tienen como base la conducta delictiva de los agentes, lo cual constituye un supuesto de concurrencia de infracciones en vía administrativa. En este sentido, ORANGE entiende que lo decisivo para determinar si efectivamente se ha producido este incumplimiento es la adecuación o no de las medidas implementadas. Manifiesta que, según lo argumentado por esta Agencia, se extraería que existe una conexión directa entre las vulneraciones de ambos artículos. Considera que, la infracción del artículo 6 del RGPD, esto es, la existencia de un (supuesto) tratamiento de datos ilícito fue necesaria e inevitable para que tuviera lugar una vulneración del principio de privacidad desde el diseño y por defecto, derivada de no existir (indicado en términos de defensa, supuestamente) medidas de seguridad suficientes. Séptima. Sobre la inadmisibilidad de la responsabilidad objetiva. ORANGE insiste en que la propuesta de resolución se basa exclusivamente en el resultado, sin tener en cuenta que el hecho se produce por la actuación delictiva y dolosa de los agentes de la distribuidora de ORANGE, que actuaba en calidad de encargado del tratamiento, corrompiendo el proceso y las medidas estipuladas por ésta. ORANGE entiende que la actuación delictiva de los agentes ha determinado de manera automática que no se adoptaron medidas adecuadas, surgiendo automáticamente la responsabilidad directa de ORANGE. Además, entiende que esta Agencia ha determinado que se ha producido una tipología genérica de fraude sin entrar a valorar las circunstancias específicas de este caso. Entiende ORANGE que esta Agencia ha errado al tener en cuenta las siguientes consideraciones: -en primer lugar, los delincuentes eran agentes comerciales de un punto de venta de un distribuidor, y no ciberdelincuentes. (pag 77 de la propuesta de resolución) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/120 -en segundo lugar, esta Agencia no tienen en cuenta la evolución del fraude SIM SWAPPING, considerando que, ante la producción de un supuesto fraude, la entidad resulta responsable, con independencia de la actuación de los agentes del punto de venta. Insiste en que tenían identificado el riesgo, pero estaba considerado como de bajo riesgo, puesto que no se había producido con anterioridad. ORANGE considera que, respecto a la normativa de servicios de pagos, se estaría calificando como idénticas las obligaciones tanto para las operadoras como para las entidades bancarias de un modo injustificado, ya que ORANGE no puede responder de las deficiencias y decisiones tomadas por los bancos. ORANGE manifiesta que, según esta Agencia, los riesgos deben basarse en aquello que es razonable y técnicamente posible, y considera que, en este caso, ORANGE había depositado su confianza en sus distribuidores. Considera además que la intervención humana resulta inevitable. Añade que esta Agencia pretende que ORANGE prevea todas y cada una de las amenazas que puedan tener lugar, esperando un resultado en que las medidas sean indefectibles, pasando por alto amenazas que difícilmente pueden ser previstas, como sería este caso. Es por ello por lo que entiende que esta Agencia establecería una obligación de resultado, al señalar que la comisión de un acto delictivo en el entorno de ORANGE conlleva automáticamente su responsabilidad, con independencia del dolo empleado por el autor, y el nivel de diligencia empleado por ORANGE. ORANGE manifiesta que esta Agencia no ha entrado a valorar la jurisprudencia expuesta con relación a la inadmisión de la responsabilidad objetiva en el ámbito del procedimiento administrativo sancionador. Por ello, entiende que, al no haberse acreditado la concurrencia de una actuación culpable, intencionada o negligente por parte de ORANGE, no procede determinar que ha cometido una infracción de la normativa de protección de datos. Octava. Sobre las medidas adoptadas e implementadas por ORANGE. ORANGE considera que ya ha enumerado las medidas que había desplegado, tanto de manera previa, como a posteriori, y procede a enumerarlas nuevamente, para que, desde esta Agencia se pueda apreciar la constante evaluación y análisis de riesgos, así como las medidas aplicadas, que se fueron modificando a medida que se han ido identificando distintas tipologías de fraude SIM SWAPPING: 1. medidas implementadas por ORANGE para prevenir la comisión de fraudes derivados de la suplantación de identidad de su cliente. -documentación ya aportada que se pone a disposición de los agentes y demás personal con capacidad para llevar a cabo actuaciones en ORANGE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/120 -comunicaciones adicionales que reiteran los protocolos de actuación para la emisión de duplicados de tarjeta SIM. -(…). -ORANGE forma parte de la Asociación Española para la Digitalización y participa en el proyecto “Identidad Digital Segura”, que tiene por objeto, entre otros, proteger frente al fraude y los ciberataques y la defensa de la privacidad de los datos. -“servicio de SIM Swap” (…). 2. Medidas implementadas por ORANGE para prevenir la comisión de fraudes derivados de la suplantación de agentes y/o empleados de ORANGE. -implantación de un doble factor de identificación, que se encontraría en fase de testeo con ciertos usuarios. -proyecto (…). -herramientas de control de tráfico, que es utilizada por el Grupo de Análisis de Riesgos de ORANGE, y que puede generar alertas en caso de posibles detecciones de contrataciones irregulares, y que funciona de la siguiente manera en el caso de duplicados de tarjeta SIM: - (…). -(…). 3. medidas adoptadas con relación al presente supuesto, no recogidas en los apartados anteriores. -se ha modificado el riesgo asociado a este tipo de supuestos, ostentando un impacto mayor en los protocolos y actuaciones de la compañía. -se ha suspendido cautelarmente (…) que tiene lugar en los supuestos como el caso que ha motivado la apertura de este procedimiento sancionador, para poder determinar las medidas adecuadas para mitigar los riesgos identificados. En cualquier caso, ORANGE quiere manifestar que lleva a cabo un constante control y revisión de los riesgos existentes en materia de duplicados de tarjeta SIM, que los protocolos se actualizan y que se adoptan medidas acordes a los riesgos identificados, sin que ello permita imponer a las mismas la garantía o exigencia de infalibilidad. ORANGE manifiesta que esta Agencia no ha revisado este desglose que, entiende que es imprescindible para comprender la amenaza y poder prevenir y mitigar su comisión. Añade que esta Agencia ha archivado con anterioridad procedimientos relacionados con el SIM Swapping, enumerando alguno de estos procedimientos. Por ello, ORANGE considera que habría quedado acreditado tanto su voluntad de protección de los derechos de los particulares, como el empleo de un nivel de diligencia adecuado, con el que la existencia de un riesgo cero es actualizado y revisado periódicamente conforme al estado de la técnica, los costes de aplicación, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/120 naturaleza, el alcance, el contexto y los fines del tratamiento, no siendo posible la identificación de una vulneración del artículo 25 del RGPD. Novena. Sobre la falta de proporcionalidad de la sanción propuesta. ORANGE manifiesta haber actuado con la diligencia debida en la implementación de medidas en los procesos de duplicados de tarjeta SIM, pero, para el caso de que esta Agencia considere que existe dicho incumplimiento, entiende que la sanción es desproporcionada, atendiendo a las circunstancias y contenido de la infracción, en la medida en que ha sido cometida de manera dolosa por agentes de la distribuidora. En este sentido, entiende que los siguientes agravantes utilizados por esta Agencia, se ha realizado sin que concurran las circunstancias para su consideración: -Naturaleza, gravedad y duración de la infracción (art. 83.2.
27. a)RGPD) ORANGE entiende que este agravante se apoya en la posible comisión de operaciones bancarias fraudulentas, no resultando aceptable que se utilice como argumento para justificar la sanción el uso de las cuentas bancarias, los perjuicios monetarios que han sufrido las víctimas de fraude, o el modo en que se llevan a cabo estas operaciones por las entidades bancarias. Además, en relación con la imposición del agravante en la infracción del artículo 25 se tiene en consideración a la totalidad de los clientes de ORANGE. ORANGE entiende que no se puede tener en consideración supuestos de hecho no analizados ni documentados, sin que se pueda extrapolar esta comisión de un delito a todos los procesos de duplicados de tarjeta SIM de esta mercantil. Asimismo, considera que no se puede calificar como agravante la “alarma social” generada para este tipo de prácticas, al tratarse de una actividad delictiva de grupos organizados que captan empleados de empresas de telecomunicaciones. -toda infracción cometida por el responsable o encargado del tratamiento (art. 83.2.
28. e)RGPD) ORANGE reitera su disconformidad con el hecho de que se utilice este agravante, ya que los hechos que motivaron dichos procedimientos no tienen nada que ver con el presente supuesto de hecho. -la vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (art. 83.2.k del RGPD en relación con el artículo 76.2.
29. b)de la LOPDGDD) ORANGE entiende que, por su actividad, el tratamiento de datos personales es necesario, pero que, según el artículo 83.2.
30. k)este agravante se tendría que aplicar teniendo en cuenta el caso concreto. Así, en ningún caso ha sido voluntad de ORANGE que ocurriera este caso, y reitera que la operadora también se ha visto perjudicada. Por eso, entiende que no es posible considerar la aplicación de este agravante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/120 -intencionalidad o negligencia en la infracción. ORANGE manifiesta su disconformidad con lo dispuesto en la propuesta en relación con este agravante, en la medida en que se trata de un supuesto inédito causado por la comisión de un hecho delictivo no imputable a ORANGE. Asimismo, considera que esta Agencia no ha tenido en cuenta las siguientes circunstancias atenuantes: -ORANGE procedió a bloquear la línea cuando tuvo conocimiento de los hechos. (art. 83.2.
31. c)RGPD). Entiende que no se le puede atribuir a ORANGE la responsabilidad por las pérdidas económicas que sufrió la parte reclamante. -no se han tratado categorías especiales de datos (art. 83.2.
32. g)- el grado de cooperación de ORANGE con esta Agencia. (art. 83.2.
33. f)-la adhesión a códigos de conducta en virtud del artículo 40 o mecanismos de certificación aprobados con arreglo al artículo 42 (art. 83.2.
34. j)-el inexistente beneficio obtenido por ORANGE. (art. 83.2.k), manifestando que, en todo caso, ha resultado perjudicada. Por último, ORANGE quiere dejar constancia y demostrar que las medidas vigentes en el momento de la infracción cumplían con las normas, pautas, estándares y recomendaciones para poder hacer frente a los riesgos, que eran adecuados e idóneos teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas. Además, quiere trasladar a la Agencia la aceptación de cualquier tipo de propuesta o recomendación en lo relativo al cumplimiento de la normativa. Por todo ello, solicita el archivo del presente procedimiento, y subsidiariamente que dirija un apercibimiento, y en última instancia que modere o module la propuesta de sanción prevista. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/120 PRIMERO: Consta que, en fecha 15 de diciembre de 2022 se realizó un duplicado de la tarjeta SIM titularidad de la parte reclamante, sin que lo hubiera solicitado, en el establecimiento titularidad de “TOWER PHONE, S.L.,” ubicado en la calle ***DIRECCIÓN.1 de Madrid, que actúa como franquicia de ORANGE, según consta en el contrato de franquicia de fecha 1 de abril de 2022. De este modo, en el contrato de franquicia de fecha 1 de abril de 2022 aportado por ORANGE con la entidad TOWER PHONE S.L.U., se puede observar: “Antecedentes: I. Que forma parte de la actividad y objeto social de ORANGE la prestación y comercialización de diversos servicios de telecomunicaciones, comunicaciones electrónicas y para la sociedad de la información. II. Que ORANGE ESPAGNE S.L.U., en desarrollo de su objeto social comercializa sus servicios y ha implantado su red comercial en el tráfico mercantil bajo las marcas y demás signos distintivos que le son propios o cuyos usos de marca está legitimado a ceder, estando interesada en designar franquiciados, (…)” (…) IV. (…). V. (…). (…). Asimismo, en el objeto del contrato se puede observar: “(…). (…).” SEGUNDO: ORANGE es la responsable de los tratamientos de datos referidos en el presente procedimiento, toda vez que conforme a la definición del artículo 4.7 del RGPD es quién determina la finalidad y medios de los tratamientos realizados. En la cláusula Vigesimosegunda, relativa al tratamiento de datos personales, se aprecia: “En virtud del presente contrato, el FRANQUICIADO en su condición de encargado de tratamiento, llevará a cabo el tratamiento de datos personales necesario para la correcta prestación de los servicios objeto de este contrato.” TERCERO: Consta que, para solicitar el duplicado de la tarjeta SIM, ORANGE tiene implementado un sistema automático de validación del documento de identidad, pero que, en algunos casos (…) de la persona que solicita el duplicado de dicha tarjeta SIM, (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/120 CUARTO: ORANGE ha afirmado que, en el momento de la contratación del duplicado de tarjeta SIM de la parte reclamante, “se siguió el protocolo establecido por esta mercantil pasando un documento de identidad por el sistema de verificación (…).” “(…). En cuanto a la cuestión relativa a si el sistema de (…) comprueba la correspondencia de número de documento y nombre del titular del documento con los datos del solicitante del trámite, (…). Por ello, por regla general, el sistema (…) sí valida el nombre del titular del documento de identidad con la información del solicitante del trámite, (…).” QUINTO: (…). SEXTO: ORANGE ha reconocido que el duplicado de la tarjeta SIM de la parte reclamante se había producido por una irregularidad de agentes que trabajaban en la tienda en la que se produjo el duplicado de la tarjeta SIM, (…). SÉPTIMO: ORANGE ha manifestado, en su escrito de fecha 30 de marzo de 2023, que ha dado a sus empleados las siguientes instrucciones acerca de cómo proceder con la utilización del sistema de validación del DNI, y son las siguientes: - es de obligado cumplimiento no realizar un cambio o duplicado de tarjeta SIM a una persona distinta del titular (o administrador o autorizado de la empresa que conste en sistemas). La persona que vaya a realizar un duplicado deberá aportar un documento válido de identidad (conforme a protocolo), el cual siempre será validado. (…) -si en el momento de la solicitud no funcionara el sistema, el agente deberá abrir una incidencia y emplazar al cliente a que vuelva al día siguiente. -el agente que gestione una solicitud de duplicado deberá solicitar la documentación de identidad, (…). -en los casos en los que el documento de identidad (…)”. OCTAVO: ORANGE ha manifestado en su escrito de alegaciones de fecha 21 de diciembre de 2023, que tiene implementadas las siguientes medidas en los supuestos de solicitud de duplicados de tarjeta SIM: -Desde el 12 de agosto de 2022 (…). -Desde el 12 de agosto de 2022 (…). -Desde abril de 2021, ORANGE ha ido limitando los canales desde los cuales se puede solicitar un duplicado de tarjeta SIM (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/120 NOVENO: ORANGE ha manifestado en su escrito de contestación al traslado de la reclamación, de fecha 30 de enero de 2023, así como en su escrito de contestación al requerimiento, de fecha 30 de marzo de 2023, y de alegaciones al acuerdo de inicio del presente expediente sancionador, de fecha 21 de diciembre de 2023, que habría adoptado las siguientes medidas para prevenir la comisión de fraudes derivados de la suplantación de agentes y/o empleados de ORANGE: - con fecha 28 de diciembre de 2022, y con anterioridad a la notificación del presente requerimiento, se habría dado traslado desde la Escuela de Comerciales a todo el canal de distribución a los puntos de venta una píldora formativa obligatoria con el fin de ayudar y concienciar a los equipos comerciales del riesgo de captar a comerciales para realizar duplicados físicamente desde los puntos de venta.” -- Se habría impulsado la difusión a todo el canal de distribución de una píldora formativa con el objetivo de concienciar a los trabajadores de la problemática existente y de la obligatoriedad de cumplir con todos los procedimientos y políticas de identificación de clientes. -Se habría puesto en marcha la implantación de un doble factor de identificación, cuyo proyecto piloto ya se encuentra implantado, estando en fase de testeo. -se habría puesto en marcha un proyecto (…). -se habría puesto en marcha una herramienta del Grupo de Análisis de Riesgos, que permite que se generen alertas en caso de posible detección de contrataciones irregulares, y que en el caso de duplicados de tarjeta SIM actuarían de la siguiente manera: (…). (…). - Desde el 14 de diciembre de 2022, según manifiesta ORANGE en su escrito de alegaciones al acuerdo de inicio del presente expediente sancionador, habría procedido a la suspensión cautelar de la opción que permite a los agentes de punto de venta, (…), sin poder así atender ningún tipo de excepción. DÉCIMO: En relación con el supuesto que ha motivado este expediente sancionador, ORANGE ha manifestado, en su escrito de alegaciones al presente expediente sancionador de fecha 21 de diciembre de 2023, que habría realizado las siguientes actuaciones: -Se ha interpuesto una denuncia contra los agentes responsables. -Los agentes implicados fueron dados de baja del establecimiento. DÉCIMO PRIMERO: Consta que, en la denuncia presentada por la entidad TOWER PHONE, S.L., en fecha 12 de enero de 2023, se define el concepto de SIM SWAPPING de la siguiente manera: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/120 “El SIM Swapping es un ciberataque que consiste en suplantar la identidad de una persona ante su compañía de servicios telefónicos y pedir un duplicado de la tarjeta SIM de su teléfono móvil para con ello, acudir a su banca online y operar con la misma, recibiendo los SMS con el código de confirmación de operaciones bancarias en esa nueva SIM, procediendo a desviar el dinero de la cuenta corriente de la persona suplantada hacia otra propiedad de los delincuentes. La víctima, tal y como sucede en el presente supuesto, solo se entera de la situación cuando deja de tener cobertura en su teléfono móvil y por mucho que reinicia el dispositivo o intenta buscar cobertura no lo consigue ya que, al entrar en funcionamiento la nueva SIM duplicada que los ciberdelincuentes piden a la compañía de servicios telefónicos, la SIM que está dentro del teléfono de la víctima deja de funcionar.” DÉCIMO SEGUNDO: Consta que en la denuncia presentada por TOWER PHONE S.L., se recoge que “se interpone denuncia contra B.B.B. con NIE: (…) por posible delito de: (…) Asimismo, consta que al hablar del concepto de SIM Swapping se recoge: “En primer lugar, es importante explicar en qué consiste los hechos aquí denunciados (SIM Swapping) llevados a cabo por el denunciado C.C.C. en, al menos, los días 14, 17 y 21 de diciembre de 2022 en su centro de trabajo, el punto de venta Orange ubicado en el (…) de Madrid (***DIRECCIÓN.2)” (…) En el apartado cuarto de la denuncia, relativo a los Hechos denunciados recoge: “En fechas recientes, mi representada ha tenido conocimiento de los hechos que pasamos a detallar a continuación, los cuales, han sido debidamente verificados y contrastados con los respectivos departamentos internos de la empresa, por medio de la emisión de informe y achacados al denunciado. Se adjunta Informe Investigación interno con sus documentos adjuntos elaborado y suscrito por el Responsable de tienda situada en ***DIRECCIÓN.1 Madrid, propiedad de Tower Phone, S.L., (…). Dichos anexos del informe de investigación interna son los siguientes: Anexo 1: documentación justificativa horario laboral de B.B.B. en fecha 6 de octubre de 2022 (primera suplantación). Anexo 2: documentación justificativa horario laboral de B.B.B. en fecha 7 de octubre de 2022 (segunda suplantación). Anexo 3: documentación justificativa horario laboral de B.B.B. en fecha 13 de octubre de 2022