PS-00417-2024

1/58  Expediente N.º: EXP202306073 ANTECEDENTES..........................................................................................................3 PRIMERO: Reclamación ante la Agencia Española de Protección de Datos.............3 SEGUNDO: Traslado de la reclamación.....................................................................3 TERCERO: Admisión a trámite de la reclamación......................................................7 CUARTO: Actuaciones previas de investigación........................................................8 QUINTO: Volumen de negocios de TME..................................................................11 SEXTO: Acuerdo de inicio de procedimiento sancionador........................................11 SÉPTIMO: Alegaciones al acuerdo de inicio............................................................12 OCTAVO: Propuesta de Resolución.........................................................................20 NOVENO: Alegaciones a la propuesta de Resolución..............................................20 HECHOS PROBADOS................................................................................................21 PRIMERO. – Cambio de titularidad sin consentimiento............................................21 SEGUNDO. – Cambio de titularidad vía telefónica...................................................21 TERCERO. – Protocolo para la verificación de la identidad.....................................21 CUARTO. – Grabación de la llamada de cambio de titularidad................................21 QUINTO. – Comprobación cambio de titularidad......................................................22 SEXTO. – Duplicado de tarjeta SIM.........................................................................22 SÉPTIMO. – Solicitud del duplicado de la tarjeta SIM..............................................22 OCTAVO. – Procedimiento de identificación y verificación de duplicados SIM.........22 FUNDAMENTOS DE DERECHO.................................................................................23 I Competencia.......................................................................................................... 23 II Cuestiones previas................................................................................................23 III Contestación a las alegaciones al acuerdo de inicio............................................24 Primera: Caducidad de las actuaciones de investigación.....................................24 Segunda: Prejudicialidad penal.............................................................................24 Tercera: Licitud del tratamiento de datos personales en la acción referente al duplicado de tarjeta SIM.......................................................................................26 Cuarta: Licitud del cambio de titularidad de la línea y su tratamiento en base a la ejecución del contrato del que el reclamante es parte..........................................26 Quinta: Protocolos de seguridad de la gestión de solicitudes de cambio de titularidad y duplicado de tarjeta SIM son suficientes y razonables para garantizar una seguridad adecuada......................................................................................27 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/58 Sexto: Circunstancias que han hecho posible la superación por terceras personas de las políticas de seguridad implantadas por TME..............................................28 Séptimo: Ausencia de tipicidad.............................................................................29 Octavo: Ausencia de culpabilidad.........................................................................29 Noveno: Incumplimiento del principio de proporcionalidad en las sanciones........34 IV Contestación a las alegaciones presentadas a la Propuesta de Resolución........37 CUESTIONES PREVIAS:.....................................................................................37 1.AUSENCIA DE TIPICIDAD................................................................................41 2.VULNERACIÓN DEL PRINCIPIO DE LEGALIDAD...........................................42 3.CONDUCTA DE TME NO ES ANTIJURIDICA...................................................43 4.AUSENCIA DE CULPABILIDAD........................................................................44 5.INCUMPLIMIENTO PRINCIPIO DE PROPORCIONALIDAD.............................45 V Obligación incumplida...........................................................................................47 VI Tipificación y calificación de la infracción.............................................................50 VII Sanción de multa. Determinación del importe.....................................................50 RESUELVE:................................................................................................................. 56 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/58 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Reclamación ante la Agencia Española de Protección de Datos Con fecha 22 de marzo de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra TELEFÓNICA MÓVILES ESPAÑA, S.A. con NIF A78923125 (en adelante, la parte reclamada o TME). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, con fecha 15 de marzo de 2023, se quedó sin servicio en su móvil en la línea O2, marca comercial de TME. Afirma que siete días después tuvo conocimiento de que se debió a un cambio en la titularidad de su línea móvil. Sin embargo, señala el reclamante que él no ha prestado su consentimiento, y añade que un tercero usurpando su identidad ha hecho cargos no autorizados en su cuenta bancaria por un importe total de ***CANTIDAD.1. Aporta la parte reclamante la siguiente documentación relevante: - Denuncia ante la Policía Nacional Madrid-Retiro, con fecha 16 de marzo de 2023, en la que constan los hechos reclamados y extracto de los movimientos bancarios fraudulentos. - Reclamación efectuada ante la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales, de fecha 21 de marzo de 2023. - Reclamación ante su entidad bancaria, de fecha 21 de marzo de 2023. SEGUNDO: Traslado de la reclamación De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue notificado el 16 de mayo de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 15 de junio de 2023 se recibe en esta Agencia escrito de respuesta indicando: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/58 “1. Información sobre las vías de que disponen los clientes para solicitar un duplicado de tarjeta SIM (Teléfono, Internet, tiendas, etc.). Telefónica cuenta con una operativa adecuada y conocida por todos nuestros agentes sobre cómo actuar ante una solicitud de cambio de tarjeta SIM y que para el caso de nuestros clientes personas físicas de la marca comercial O2, a fecha de solicitud del duplicado del reclamante, eran las siguientes:

1. a)A través de nuestro número telefónico 1551: El agente que atiende al cliente le solicita los datos de titularidad, esto es, (…). Tras ese primer contacto y con los datos suministrados por el cliente, el agente comercial verifica si la información obtenida telefónicamente coincide con los datos que aparecen en la ficha de cliente que está registrada en la herramienta de gestión de clientes. Después, se solicita al cliente (…). A continuación, se realiza una llamada (…). Verificado lo anterior, el agente comercial registra los datos del pedido, indicando los datos de la dirección postal donde quiere recibir el pedido (poniendo especial hincapié en si es la dirección de entrega habitual), así como un teléfono de contacto. Por último, y a modo de confirmación de protocolo de seguridad, en el caso de envío de SIM física, tanto si la llamada de comprobación previa es respondida como si no, se envía un email al correo que tiene registrado denominado: “O2. Solicitud de duplicado. Alerta de seguridad”. Así se informa al titular de que alguien ha solicitado un duplicado de su línea para que contacte con nosotros si no ha sido él. Una vez se hayan realizado todas las comprobaciones, para la gestión del duplicado se realiza una grabación recogiendo los datos del cliente y su consentimiento. El titular debe ser la persona que realice la llamada, no pudiendo en este caso realizarse por un representante, en cuyo caso se le redirigiría a una tienda física para la gestión.
2. b)A través de nuestras tiendas físicas autorizadas: En caso de personas físicas, la persona habilitada para llevar a cabo la gestión sería o el titular de la línea sobre la que se solicita el duplicado, un representante legal o una persona autorizada por el titular. Para mayor grado de protección, en cuanto a la acreditación de la identidad del cliente, se establece un doble control: - La identificación del cliente, entendiéndose por identificar la demostración o el reconocimiento de la identidad de la persona tanto verbalmente (cuando el cliente indica su número de DNI) como visualmente (cuando el cliente presenta su documento de identidad, lo que comporta un mayor nivel de seguridad). - La validación del cliente, que se realiza de la siguiente forma: • Sistema de Verificación de Identidad de Cliente o “SVIC”, también conocido como “escáner de documentos de identidad”: implica las siguientes acciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/58 ▪ Verificar que la documentación de identidad aportada por el cliente es auténtica y está en vigor (evitar suplantación de identidad); ▪ Dejar registro de esta verificación en los sistemas (dejar constancia de que el cliente ha estado en la tienda y ha sido identificado con dicha documentación). ▪ Realización de una llamada de seguridad al número sobre el que se va a gestionar el duplicado, procediendo a su modificación si el cliente responde y autoriza el cambio o si no responde, esto último debido a que la tarjeta SIM ha podido extraviarse o deteriorarse. En caso de representante legal u otra persona autorizada, será necesario aportar la siguiente documentación según la condición que ostenta la persona física que actúa en nombre del titular (autorizado o representante legal): documento identificativo del autorizado o representante legal; autorización o acreditación documental de la condición de representante legal o poder notarial; fotocopia del documento identificativo del titular. La autorización, que puede venir impresa o ser recibida en la tienda por e-mail, debe contener la siguiente información: - Nombre completo y NIF del titular de la línea - Autorización a la persona que acude al punto de venta (indicando el nombre completo y NIF) - Mención de la operación que corresponda (de manera concreta, para que no se entienda autorizado a más de lo que se especifique) - Firma del autorizante (titular) Por último, se realiza una llamada de seguridad al número sobre el que se va a gestionar el duplicado. La operativa finaliza con la firma del “Contrato cambio de tarjeta SIM”, y la entrega de la tarjeta en mano. En dicho contrato se recoge el detalle del motivo del cambio, el punto de venta en el que se ha gestionado y los datos identificativos del cliente y de la tarjeta. Informe detallado sobre los hechos descritos en la reclamación: canal a través del cual se tramitó el duplicado de SIM y vía de identificación de la persona que lo solicitó. En el caso concreto que nos ocupa, se ha podido comprobar que antes de la solicitud del cambio de tarjeta SIM se produjo un cambio de titular de la línea a través del canal telefónico de O2. En este sentido, consta registrado en nuestros sistemas un cambio de titularidad de los datos del reclamante a nombre de una segunda persona, realizada telefónicamente. Hecho esto, ya con los datos de esta segunda persona se solicita el cambio de tarjeta SIM en una tienda física de Alicante, donde se produce el cambio siguiendo la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/58 operativa marcada por Telefónica a tales efectos descrita en el punto 1 del presente escrito. A los efectos oportunos, se adjunta como Anexo 1 copia del escaneo del DNI del nuevo titular que solicita el cambio del ICC de la tarjeta y el registro en sistemas. Por tanto, en este caso concreto el comercial en tienda siguió correctamente la operativa marcada a tales efectos. 3. Documentación y datos aportados por la persona que solicitó la tarjeta SIM para acreditar su identidad. Información sobre si la realización de los controles para la verificación de la identidad quedó reflejada en el Sistema de Información de la entidad. Documentación que lo acredite en su caso, tal como impresión de pantalla de los botones (check-box) u otra documentación según el método utilizado. Asimismo, en su caso: • Si la solicitud se tramitó por canal web, existencia o no de intentos fallidos de acceso previo, y actuación ante los mismos. • Si la solicitud se tramitó por vía telefónica, copia de la grabación de la conversación donde el solicitante supera la política de seguridad. En este caso, la solicitud de cambio se realizó en tienda física. Se adjunta como Anexo 1 al presente escrito, verificación de la identidad del cliente que consta en nuestros sistemas y escaneo del DNI. 4. Si el duplicado SIM se envió por correo, detalle de los controles y exigencias establecidos sobre la dirección de envío e identificación del destinatario. En el presente caso, no se envió el duplicado de SIM por correo postal, sino que se entregó en tienda física siguiendo la operativa establecida a tales efectos. 5. Descripción detallada del protocolo de seguridad aplicado para acreditar la identidad del solicitante y gestionar la emisión y el envío del duplicado de la tarjeta SIM. La descripción detallada de los procesos de identificación de los clientes ha quedado detallada en el punto 1 del presente escrito. 6. Protocolo de actuación cuando se detecta la emisión de un duplicado SIM fraudulento. Tras la detección de una línea afectada por fraude de SIM SWAP se analiza el estado de la misma, es decir, si ha sido recuperada por el cliente o no. En caso negativo se procede a la suspensión total de ésta con el objetivo de evitar que las personas que han cometido el fraude sigan en posesión de la línea, tal como sucedió en el presente caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/58 En caso de que así lo solicite, se procede a devolver en su caso la línea a su titular y se procede a anular cualquier tipo de cobro relacionado con la obtención del nuevo duplicado de tarjeta SIM. Por último, se estudia el mecanismo por el cual se ha procedido con el cambio de ICC y se promueven medidas preventivas para evitar que vuelva a producirse, quedando todos los datos del caso bloqueados para, en su caso, ser puestos a disposición de las autoridades competentes en el curso de posibles investigaciones de los hechos. 7. Acciones emprendidas para evitar que casos de este tipo se vuelvan a producir. En concreto, cambios que se hayan podido realizar sobre el procedimiento para mejorar la seguridad, fechas de implantación y controles efectuados para comprobar su eficacia. Para este caso concreto, se ha procedido a marcar los datos tanto del antiguo como del nuevo titular desde nuestro equipo de Prevención del Fraude, para evitar que cualquier área o cliente final pueda levantar el bloqueo sin su autorización, lo cual sólo podrá llevarse a cabo mediante la acreditación fehaciente de envío de determinada documentación a un buzón gestionado directamente por esta unidad. Adicionalmente, se realizaron campañas de concienciación a todos los canales avisando del nuevo modus operandi detectado de fraude y reforzando las operativas tanto de cambios de titular como de gestión de duplicados de tarjeta SIM. De otro lado, se han reforzado las medidas operativas de identificación del cliente, de forma que, si un cliente llama desde una línea diferente a la que se quiere modificar la titularidad, se llama al titular original a su línea o se le envía un SMS con un factor de autenticación a la línea de la que solicita el cambio. De no contestarse esta llamada o no indicar el factor de autenticación, no se procederá a realizar el cambio de titular. 8. La decisión adoptada a propósito de esta reclamación y acciones emprendidas, incluyendo acreditación documental de los siguientes aspectos: • Si se ha marcado como víctima de fraude a la parte reclamante para evitar posibles intentos de suplantación de identidad futuros • Si se han realizado investigaciones internas para esclarecer los hechos con el punto de venta y si se ha realizado alguna actuación con el distribuidor o tienda, en su caso. • Si se ha contactado con la parte reclamante para alertarle de lo sucedido y sobre la resolución de su caso. En el presente caso, se ha procedido a marcar los datos tanto del antiguo como del nuevo titular desde nuestro equipo de Prevención del Fraude, para evitar que cualquier área o cliente final pueda levantar el bloqueo sin su autorización, lo cual sólo podrá llevarse a cabo mediante la acreditación fehaciente de envío de determinada documentación a un buzón gestionado directamente por esta unidad. Además, se están realizando las investigaciones internas necesarias para saber qué ha podido ocurrir. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/58 Por último, desde nuestro servicio de atención al cliente para O2, se ha procedido a contactar con el cliente para rehabilitar su línea e informarle de que este hecho no volverá a ocurrir, al estar su línea marcada por nuestro equipo de Prevención del Fraude”. TERCERO: Admisión a trámite de la reclamación Con fecha 22 de junio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Actuaciones previas de investigación La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, requiriendo información a TME y teniendo conocimiento de los siguientes extremos:  Para el cambio de titularidad por vía telefónica al número 1551, se graba la solicitud y el agente debe requerir según sus protocolos la siguiente información para la verificación de la identidad: o (…). o En caso de que el número sobre el que se va a realizar la gestión no coincida con el número desde es el que se está haciendo la llamada para solicitud, se realizará adicionalmente una llamada de verificación a la citada línea para consentir el cambio o se enviará de un código temporal de verificación: “Excepcionalmente, en aquellos casos en los que el cliente no llame desde la línea objeto de modificación, se realizará una llamada a la citada línea para que el antiguo titular consienta el cambio o se envía un OTP que deberá facilitar al agente para proceder con la gestión”.  Para los duplicados de SIM a través de tiendas físicas autorizadas: o “Se realiza la identificación del cliente con el DNI y se valida su documentación mediante el sistema interno SVIC. Se deja registro en los sistemas de esta verificación. o Adicionalmente, se realizará comprobación de seguridad a la línea objeto de la gestión: “Realización de una llamada de seguridad al número sobre el que se va a gestionar el duplicado, procediendo a su modificación si el cliente responde y autoriza el cambio o si no responde, esto último debido a que la tarjeta SIM ha podido extraviarse o deteriorarse.” y “conforme a operativa actual, desde el 2 de marzo de 2023, en caso de que el cliente haya realizado la identificación digital (onboarding digital), se le remitirá un código OTP como doble factor de autenticación que deberá facilitar al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/58 comercial para realizar la gestión en lugar de la llamada de seguridad anteriormente mencionada”. Instrucciones remitidas al personal. Se ha requerido información sobre las instrucciones remitidas al personal que atiende este tipo de solicitudes y acreditación de su difusión de los protocolos. Asimismo, se ha requerido información relativa al contrato suscrito con los proveedores que prestan este servicio para la entidad reclamada, al tratarse de servicios subcontratados. La parte reclamada aporta las instrucciones operativas que manifiesta que emplea el canal telefónico 1551 (documento: “Operativa atención 1551”). Se aprecia que para la gestión de cambio de titularidad no coincide la información aportada con el escrito presentado, ya que en dichas instrucciones del canal telefónico no figura la necesidad de una llamada de comprobación o envío de código temporal, mientras que en el mencionado escrito y en otra documentación sí (documento: “Anexo 4 copia del email remitido al proveedor sobre la necesidad del refuerzo de las operativas vigentes”). La parte reclamada aporta las instrucciones operativas que manifiesta que emplean las tiendas físicas para la gestión de duplicados de SIM. En dichas instrucciones se profundiza sobre diferentes casuísticas posibles, requiriendo en todos casos una confirmación adicional mediante código temporal o llamada de verificación. También se detalla la particularidad de que en caso de que dicha comprobación adicional no haya sido llevada a cabo (por ejemplo, por no atender la llamada), en el supuesto de que haya habido un cambio de titular en los últimos 5 días no se tramitaría el duplicado. Adicionalmente, se aporta copia del modelo de contrato suscrito con los distribuidores de tiendas físicas, donde constan las cláusulas relativas a la diligencia en la verificación de la identidad de los solicitantes. La parte reclamada manifiesta que, en el marco contractual con los proveedores que gestionan la atención del canal telefónico, estos deberán seguir sus instrucciones marcadas, entre las que figuran los protocolos anteriormente mencionados: “En relación con el contrato suscrito con canal telefónico, indicar que esta parte no cuenta con un modelo de contrato único al tener pocos proveedores del servicio. A este respecto, indicar que el contrato contiene la siguiente cláusula en la que se indica que, para el caso de identificación de clientes, el proveedor deberá seguir las instrucciones marcadas por Telefónica a tales efectos”. Aportan un extracto del contrato que aplica al canal telefónico del servicio aplicable a este caso, si bien no hay mención explícita del protocolo en él. Solicitud. Se ha requerido a la parte reclamada el detalle sobre este caso concreto, aportando la solicitud del cambio de titularidad y del duplicado de SIM, con toda la información recabada posible, para esclarecer los hechos y verificar la aplicación de las medidas previamente desarrolladas. El cambio de titularidad se realizó mediante llamada telefónica el 14 de marzo de 2023, a las 12:30 de la mañana. Se aporta grabación de la llamada, en ella se acredita que el control realizado por el agente del canal telefónico 1551 omite algunos puntos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/58 de la verificación: (…). La titularidad se modificó pasando a ser el nuevo titular A.A.A., en cuyo nombre se realizaron gestiones posteriores como se detallará a continuación. Se acredita que la llamada no se realizó desde el número que estaba siendo objeto de la modificación, ni tampoco pertenecía a la parte reclamante, por lo que su titular les era desconocido: “podemos confirmar que la llamada entrante a nuestro servicio de atención al cliente que se empleó para la solicitud de cambio de titularidad es la línea ***TELÉFONO.1”, “podemos confirmar que la citada línea no pertenece a Telefónica Móviles España, S.A.U.”. En base a lo expuesto, la comprobación de doble verificación se consideraría necesaria según se establece en sus procedimientos, para garantizar un nivel de seguridad adecuado. La parte reclamada confirma que no se realizó dicha comprobación: “No consta en nuestros sistemas que se haya realizado una llamada de comprobación o un envío de OTP a la línea ***TELÉFONO.2 en la franja de tiempo de realización de la gestión.”. De haberse realizado esa comprobación, previsiblemente además de que la parte reclamante hubiera detectado al momento el intento de suplantación, hubiera imposibilitado la realización de este cambio fraudulento y, por tanto, tampoco el duplicado de SIM posterior. La parte reclamada indica lo siguiente, aceptando la mala praxis de la gestión: “En el presente caso, el cambio de titularidad de la línea se produjo de forma telefónica. Revisados nuestros sistemas, se adjunta como Anexo 5 copia de la grabación. La solicitud se produjo el día 14 de marzo de 2023 para la línea ***TELÉFONO.2 y puede apreciarse que no se siguió la operativa marcada a tales efectos.”. El duplicado de SIM se realizó en tienda física al día siguiente al cambio de titularidad, el día 15 de marzo de 2023 a las 13:30. Tal como manifiesta la parte reclamada: “consta registrado en nuestros sistemas un cambio de titularidad de los datos de B.B.B. a nombre de una segunda persona, realizada telefónicamente. Hecho esto, ya con los datos de esta segunda persona se solicita el cambio de tarjeta SIM en una tienda física de Alicante.” Se aporta solicitud en la que consta el DNI escaneado y verificado mediante la herramienta interna SVIC. Pero, al haberse realizado previamente el cambio de titularidad, la línea figuraba en ese momento a nombre de A.A.A., como se ha indicado, y no atañería a la parte reclamante. Sí cabe mencionar que tampoco en este caso se realizó la comprobación indicada en sus protocolos de envío de un código temporal de verificación o llamada de comprobación a la línea, que nuevamente hubiera permitido poder detectar el fraude a tiempo e imposibilitar la tramitación del duplicado. Contactos mantenidos. Se ha requerido adicionalmente la relación y detalle de los contactos mantenidos con la parte reclamante. Se aporta la información y fecha de las comunicaciones. Tal como manifiesta la parte reclamante, se acredita que el día 15 de marzo de 2023 se puso en contacto con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/58 parte reclamada informando de los hechos. Se le indicó que se abriría una reclamación y atendería su caso en un plazo de 7 a 15 días. Finalmente, se indica que la suspensión de la línea se realizó el 5 de abril de 2023 (“en fecha 5 de abril y tras las investigaciones internas oportunas, se procedió con la suspensión de la línea”). Medidas correctivas. Se ha requerido a la entidad información relativa a las medidas que se hayan realizado para evitar que este tipo de hechos vuelvan a producirse en un futuro. Manifiestan haber realizado posteriores comunicaciones reforzando en ellas la necesidad de aplicar los protocolos de seguridad. Aportan la reiteración al proveedor que tramita este tipo de solicitudes haciendo hincapié en el refuerzo de las medidas de verificación de identidad, especialmente la comprobación mediante envío de un código temporal o llamada de verificación a la línea afectada, acciones que no se realizaron en este caso concreto. Dicha reiteración fue realizada el 22 de marzo de 2023. Adicionalmente, en el traslado manifiestan que realizaron campañas de concienciación a todos los canales avisando del nuevo modus operandi detectado de fraude y reforzando las operativas tanto de cambios de titular como de gestión de duplicados de tarjeta SIM. También indica la parte reclamada: “se han reforzado las medidas operativas de identificación del cliente, de forma que, si un cliente llama desde una línea diferente a la que se quiere modificar la titularidad, se llama al titular original a su línea o se le envía un SMS con un factor de autenticación a la línea de la que solicita el cambio. De no contestarse esta llamada o no indicar el factor de autenticación, no se procederá a realizar el cambio de titular”. Por último, indican que están realizando investigaciones internas y valoran emprender las acciones legales que estimen oportunas en la defensa de sus intereses frente al tercero responsable de los hechos. Asimismo, manifiestan: “En el presente caso, se ha procedido a marcar los datos tanto del antiguo como del nuevo titular desde nuestro equipo de Prevención del Fraude”. QUINTO: Volumen de negocios de TME De acuerdo con el informe recogido de la herramienta AXESOR, la entidad TME es una gran empresa constituida el 11 de octubre de 1998, y con un volumen de negocios de ***CANTIDAD.2 en el año 2023. SEXTO: Acuerdo de inicio de procedimiento sancionador Con fecha 5 de diciembre de 2024 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por las presuntas infracciones del artículo 6.1 del RGPD, tipificadas en el artículo 83.5 del RGPD, la sanción que correspondería sería: a). - Por la infracción cometida por cambio de titularidad de la línea del móvil de la parte reclamante, sin legitimación para ello, una sanción inicial de 200.000€ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/58 (doscientos mil euros) por la presunta infracción del artículo 6.1 tipificada en el artículo 83.5.
3. a)del citado RGPD. b). - Por la infracción cometida por realizar un duplicado de la tarjeta SIM de la línea del móvil de la parte reclamante, una sanción inicial de 200.000€ (doscientos mil euros) por la presunta infracción del artículo 6.1 tipificada en el artículo 83.5.
4. a)del citado RGPD. SÉPTIMO: Alegaciones al acuerdo de inicio Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones el 30 de diciembre de 2024, manifestando lo siguiente: PRIMERA: CADUCIDAD DE LAS ACTUACIONES DE INVESTIGACIÓN Afirma la parte reclamada que si la fecha de entrada de la reclamación en la Agencia fue el 22 de marzo de 2023 (como consta en el traslado de la reclamación notificada a esta parte del 16 de mayo 2023), y su admisión se produjo a los tres meses de su presentación, en fecha 22 de junio de 2023, las actuaciones previas de investigación y la adopción del Acuerdo de inicio tendrían que haberse producido con fecha límite el 22 de junio de 2024, fecha a partir de la cual, y conforme a lo estipulado en el art. 67.2 de la LOPDGDD, se debería haber declarado la caducidad de las actuaciones previas de investigación. A este respecto señala la parte reclamada que si bien en fecha 10 de junio de 2023 entró en vigor una modificación normativa que afectó, entre otras cuestiones, al plazo del que dispone la Agencia para realizar sus investigaciones previas de investigación, elevándolo a dieciocho meses, no es menos cierto que en la Ley 11/2023, de 8 de mayo, de trasposición de Directivas de la Unión Europea en materia de accesibilidad de determinados productos y servicios, migración de personas altamente cualificadas, tributaria y digitalización de actuaciones notariales y registrales (en adelante, Ley 11/2023); y por la que se modifica la Ley 12/2011, de 27 de mayo, sobre responsabilidad civil por daños nucleares o producidos por materiales radiactivos, y en las que se acuerda la modificación de la LOPDGDD comentada, no contiene ninguna Disposición Transitoria que indique cómo se deben proseguir las reclamaciones presentadas con anterioridad a la entrada en vigor de dichas normas. Es por ello que TME señala que, ante una ausencia absoluta del procedimiento a seguir, debe acudirse, tal como se establece en el art. 45 de la LOPDGDD, a las normas supletorias establecidas en el art. 110.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, la “Ley 40/2015”). Este es el sistema de la Ley de Procedimiento Administrativo cuya disposición transitoria establece que «los expedientes ya iniciados antes de la vigencia de esta Ley se tramitarán y resolverán con arreglo a las disposiciones hasta ahora en vigor». Señala TME que, atendiendo al principio de unidad del procedimiento, el plazo máximo para realizar las investigaciones previas sería de doce meses, y no de dieciocho, considera que se habría producido la caducidad el 22 de junio de 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/58 SEGUNDA: PREJUDICIALIDAD PENAL TME indica que el reclamante en su reclamación señala que ha puesto en conocimiento de las autoridades policiales mediante una denuncia los hechos acaecidos y es por ello que TME solicita la suspensión de este procedimiento por prejudicialidad penal dada la íntima relación que existe entre los procedimientos penales y administrativos. TERCERO: LICITUD DEL TRATAMIENTO DE DATOS PERSONALES EN LA ACCIÓN REFERENTE AL DUPLICADO DE TARJETA SIM Manifiesta TME que la acción del duplicado de tarjeta SIM no puede subsumirse en el presente caso en el tipo infractor del art. 83.5.
5. a)del RGPD, referente a una falta de licitud en el tratamiento de datos personales del reclamante, toda vez que en ningún caso se han tratado los datos personales del indicado reclamante, sino los de un tercero que era el titular de la línea en el momento de la gestión. Es por ello que la Agencia debe proceder a declarar que no se ha producido un tratamiento de datos ilícito en este caso en concreto en la acción referente al duplicado de la tarjeta SIM y, por tanto, proceder con la retirada de propuesta de esta sanción en concreto. CUARTO: LICITUD DEL CAMBIO DE TITULARIDAD DE LA LÍNEA Y SU TRATAMIENTO EN BASE A LA EJECUCIÓN DEL CONTRATO DEL QUE EL RECLAMANTE ES PARTE Sostiene TME en lo referente a la infracción por tratamiento ilícito de datos por el cambio de titularidad previo que, si bien TME puede concordar con la Agencia en que no se habría seguido el protocolo establecido en lo tocante a la segunda llamada de seguridad y la solicitud de los datos de la última factura, no es menos cierto que la tercera persona suplantadora se habría identificado con los datos correctos del titular de la cuenta e incluso habría facilitado su cuenta bancaría, datos que el tercero suplantador conocía de forma previa a la solicitud y fuera de la esfera de responsabilidad de TME. Señala TME que a su juicio la infracción impuesta sería incorrecta, pues TME cuenta con una base legitimadora de las estipuladas en el artículo 6 del RGPD, siendo ésta la ejecución del contrato del que el interesado es parte, por lo tanto, señala que debería también anularse la propuesta de sanción por esta acción, debiendo por tanto procederse con el archivo íntegro del expediente sancionador. QUINTO: LOS PROTOCOLOS DE SEGURIDAD DE LA GESTIÓN DE SOLICITUDES DE CAMBIO DE TITULARIDAD Y DUPLICADO DE TARJETA SIM SON SUFICIENTES Y RAZONABLES PARA GARANTIZAR UNA SEGURIDAD ADECUADA TME hace referencia nuevamente a las medidas de seguridad ya trasladadas a esta Agencia, indicando la operativa relativa a la gestión del duplicado de tarjeta SIM y a la operativa relativa a la gestión del cambio de titularidad, y señala que no puede imponerse a TME dos infracciones por una supuesta falta de licitud en el tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/58 porque un determinado comercial o distribuidor descuide de forma puntual en un caso concreto la aplicación de todas las medidas definidas en la operativa, imponiéndose así una responsabilidad objetiva en la cual, independiente de la diligencia y medidas generales que tiene implementadas (máxime en el caso de la acción referente al duplicado de SIM, donde el cliente se habría identificado con su DNI y así consta reflejado en sus sistemas), se declare la culpabilidad de TME. Continúa señalando que lo contrario sería suponer que TME debe proporcionar unas medidas de seguridad que atiendan al principio de resultados, lo que iría en contra de la obligación de medios establecida en los artículos 25 y 32 del RGPD y de la doctrina del Tribunal Supremo. SEXTO: LAS CIRCUNSTANCIAS QUE HAN HECHO POSIBLE LA SUPERACIÓN POR TERCERAS PERSONAS DE LAS POLÍTICAS DE SEGURIDAD IMPLANTADAS POR TME Expone TME que cuenta para la prestación de servicios con varios proveedores de confianza, a los cuales les impone una serie de obligaciones que rigen la relación entre TME y éstos y que TME no puede ser considerada responsable de los incumplimientos puntuales y excepcionales de la operativa que se hayan podido llevar a cabo por parte del personal contratado por los encargados del tratamiento que intervienen en este tipo de procesos, tal como ha sucedido en el presente caso. TME señala que en el presente caso el comercial desconociendo el carácter antijurídico de la conducta, gestionó el cambio de titularidad de la línea bajo la creencia de estar realizando un tratamiento de datos lícito. Y en el caso del duplicado de SIM el nuevo titular se identificó y facilitó su documento de identificación, queda constatado que TME habría sido víctima de un engaño, haciéndole incurrir en un error de tipo invencible, hecho que excluiría la culpabilidad de la conducta seguida por TME, debiendo archivarse el presente expediente sancionador. SÉPTIMO: AUSENCIA DE TIPICIDAD Considera que el principio de tipicidad se está vulnerando dado que la conducta realizada por TME no es subsumible en ninguno de los preceptos cuya infracción se imputa. 1. Con respecto a la conducta relativa a la falta de licitud relativa a la gestión del duplicado de la tarjeta SIM: TME reitera los argumentos ya expuestos en el sentido de que en el momento del duplicado de la tarjeta SIM el reclamante ya no era titular de la línea y por lo tanto en ningún caso se han tratado los datos del reclamante y que contaría con una base legal que legítima el tratamiento de los datos personales del reclamante, que no es otra que la de ejecución del contrato 2. Con respecto a la falta de licitud en el tratamiento de datos en la acción referente al cambio de titular: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/58 Indica que el cambio de titular también se realizó en apariencia de buen derecho, al amparo de la base legitimadora de ejecución del contrato. Además, señala que cuando se cambia una titularidad de un contrato, tanto los datos del cedente como del cesionario de la línea se tratan para poder realizar las gestiones necesarias para que el contrato pase a estar a nombre del nuevo titular pueda disfrutar del contrato. OCTAVO: AUSENCIA DE CULPABILIDAD TME manifiesta que tampoco concurre el requisito de culpabilidad en su actuación, indicando que es doctrina reiterada la que considera que los principios inspiradores del orden penal son de aplicación al derecho administrativo sancionador, señalando que uno de los principales componentes de la infracción administrativa es el elemento de la culpabilidad, lo que presupone que la acción u omisión ha de ser en todo caso imputable a su autor por malicia, imprudencia, negligencia o ignorancia inexcusable. Es decir, es necesaria la constatación de la intervención culpable por parte de TME, que no se ha producido. Por lo que, en tanto no exista conducta culpable, no puede imponérsele sanción alguna. Señala TME que, en este caso en concreto, hay que destacar que la circunstancia que originó la actuación fraudulenta en ambas gestiones no puede atribuirse bajo ningún concepto a una ausencia o deficiencia de previsión y control por parte de TME en la operativa de identificación de clientes o a las medidas de seguridad que TME tiene implementadas ni, por tanto, a un incumplimiento de las obligaciones de medios establecidas en los artículos 25 y 32 del RGPD y confirmada jurisprudencialmente (destacado nuestro): “La obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado, que implique que producida una filtración de datos personales a un tercero exista responsabilidad con independencia de que las medidas adoptadas y de la actividad desplegadas por el responsable del fichero o del tratamiento. […]mientras que en la obligación de resultado se responde ante un resultado lesivo por el fallo del sistema de seguridad, cualquier que sea su causa y la diligencia utilizada. En la obligación de medios basta con establecer medidas técnicamente adecuadas e implantarlas y utilizarlas con una diligencia razonable.” (STS 188/2022, de 15 de febrero). Expone TME que, en el caso del cambio de titular, el suplantador habría hecho creer que contaba con su consentimiento para efectuar la solicitud al haberse identificado de forma correcta con los datos de cliente que figuran en sus sistemas. Por ello, se procedió con su tramitación bajo la creencia de estar actuando conforme a Derecho, todo ello tras la acreditación de identidad mediante la facilitación de los datos del cliente. Si bien, señala TME, en este sentido puede decirse que el comercial no habría seguido la operativa en su totalidad, mediante la llamada de comprobación a la línea objeto del cambio, no es menos cierto que en la llamada inicial el suplantador ratifica que cuenta con el consentimiento para la realizar la gestión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/58 Y aun así, que el comercial no haya seguido la operativa establecida por TME, la cual incluye la llamada de comprobación al número sobre la que se realiza la gestión y que en este caso no es posible aportar por no constar registrada, no puede concluirse que TME, como responsable del tratamiento, no haya mostrado la diligencia exigida que debe seguirse en estos casos. TME no puede ser considerada responsable de los incumplimientos puntuales y excepcionales de la operativa que se hayan podido llevar a cabo por parte del personal contratado por los encargados del tratamiento que intervienen en este tipo de procesos. De otro lado, señala con respecto al duplicado de la tarjeta SIM, que TME habría mostrado una diligencia debida durante su tramitación, toda vez que el nuevo titular se habría identificado con sus datos, aportando su documentación (la cual consta registrada en sus sistemas), y por tanto, dando una apariencia de legitimación suficiente como para que por parte del comercial no se produjese con la llamada de comprobación. Por todo ello, señala que la conducta de TME nunca podría ser considerada culpable, toda vez que conforme la jurisprudencia del Tribunal Supremo existente en la materia, para entender que una conducta no es culpable será necesario probar “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (Sentencia de 23 de enero de 1998, parcialmente trascrita en las sentencias del Tribunal Supremo -STS- de 9 de octubre de 2009, Rec. 5285/2005, y de 23 de octubre de 2010, Rec. 1067/2006). Y dicha diligencia debe estar basada en una obligación de medios, no de resultados. Todas las pruebas aportadas y la descripción de las medidas de seguridad, demuestran pues que TME emplea una diligencia debida en este tipo de trámites, lo que excluiría la culpabilidad de su conducta aún en este caso que no se ha seguido el protocolo establecido. Lo anterior evidencia que, con la incoación del expediente sancionador, la Agencia está exigiendo una responsabilidad objetiva a TME, basándose simplemente en el resultado de las operativas que deben seguir los distribuidores o comerciales, más allá de la exigencia de medios establecida legalmente. En relación con la mencionada responsabilidad objetiva, debe tenerse presente lo recogido por ejemplo en la STS núm. 1468/2017 de 28 septiembre (RJ 2017\4422), que indica que “uno de los principales componentes de la infracción administrativa es el elemento de culpabilidad del que se desprende que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable. Principio, el de la culpabilidad, incompatible con un régimen de responsabilidad objetiva, así ha de entenderse, señala la Sentencia 28 del Tribunal Supremo de 22 de noviembre de 2004 (RJ 2005, 20) (recurso 174/2002) al respecto de lo establecido en el artículo 130.1 de la ley 30/1992, precepto que no exige se produzca una actitud de negligencia o ignorancia inexcusable, no exigiéndose la existencia de dolo específico y deliberado, siendo suficiente a tales efectos, y como requisito para la exigibilidad de dicha responsabilidad, la omisión del deber de cuidado, tanto por una falta de previsión o deber saber, como por una falta de cuidado o deber de evitar”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/58 Es necesario, por tanto, la constatación de la intervención culpable por parte de TME, que no se ha producido en este caso toda vez que pone todos los medios a su alcance para que este tipo de situaciones fraudulentas no se produzcan. Además, en cualquier caso, en este caso específico, donde se ha tenido que dar una suplantación de identidad, y tal como se produjeron los hechos, nos encontraríamos ante lo que se conoce como error de tipo. El error de tipo, regulado en el artículo 14 del Código Penal, implica que, cuando se da un error sobre un elemento que hace que la conducta cometida sea ilícita debe reconsiderarse la responsabilidad del presunto infractor. De hecho, de considerarse como un error de tipo invencible, se excluiría la responsabilidad del autor. El error de tipo invencible se presenta desde el momento en el que el comercial ha sido engañado y cree de buena fe que está interactuando con una persona legítima, cuando en realidad está actuando de forma indebida en nombre de un tercero. El comercial, bajo este error invencible, desconoce que la persona con la que interactúa no es quien aparenta ser y, por lo tanto, no puede ser considerado responsable por los actos que realiza bajo esta falsa creencia. Para que el error de tipo sea considerado invencible, se deben cumplir ciertos criterios. Primero, debe tratarse de un error genuino, es decir, que TME realmente crea en la existencia de ciertos elementos o circunstancias que, en realidad, no existen o son diferentes a lo que percibe. Además, el error debe ser invencible, lo que significa que no podría haberse evitado o superado incluso con un nivel razonable de diligencia y cuidado por parte del acusado. En este caso, queda constatado que estaríamos ante un error de tipo invencible, donde se desconocía la antijuricidad de la conducta, por los siguientes motivos: En el caso de la solicitud de duplicado, porque el autor del hecho se presentó con la documentación pertinente para realizar el duplicado de SIM. En el caso de la solicitud del cambio de titularidad, en el momento en que se engañó al comercial indicando que contaba con el consentimiento del verdadero titular de la línea para efectuar el cambio y facilitó sus datos, incluyendo el de la cuenta bancaria En definitiva y por todo lo anterior, no existiendo conducta antijurídica, ni típica, ni culpable de TME en los hechos imputados insisten en que no debería haberse incoado el procedimiento sancionador, ni debe imponerse a TME sanción alguna. NOVENO: INCUMPLIMIENTO DEL PRINCIPIO DE PROPORCIONALIDAD EN LAS SANCIONES TME entiende que las cuantías de las sanciones propuestas en el Acuerdo de inicio vulneran el principio de proporcionalidad que debe regir en la potestad sancionadora que tiene la Administración y manifiesta su disconformidad, señalando que existe una unidad de acción y de resultado en las infracciones imputadas y, por tanto, la infracción tendría que ser considerada como una y única. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/58 TME considera que, en caso de que se le considere responsable de una actuación típica, antijurídica y culpable, en este caso estaríamos ante una y única infracción y no ante dos. Es decir, ambas acciones forman parte de un mismo proceso y están intrínsecamente relacionadas y la expedición del duplicado de la tarjeta SIM no habría sido posible sin el cambio de titularidad previo. Consecuentemente y atendiendo a lo anteriormente indicado, se solicita que en caso de imponerse una sanción, ésta sea única de 200.000 euros, en lugar de dos sanciones de 200.000 euros cada una. Sobre las agravantes tenidas en cuenta no aplicables al caso concreto: En cualquier caso, ya se considere una o dos infracciones, a juicio de TME, no concurrirían en el presente caso ninguna de las agravantes que han sido tenidas en cuenta por la Agencia para la determinación del importe de las sanciones, y ello en base a que: • La circunstancia reseñada en el art. 83.2.
6. b)del RGPD, relativa a la intencionalidad o negligencia en la infracción: TME señala que su actitud revela una inequívoca voluntad de proceder conforme a Derecho, sin existir en modo alguno intencionalidad de infringir la norma y teniendo en todo caso voluntad de cumplimiento. TME cuenta con las medidas técnicas necesarias y adecuadas para la gestión tanto del duplicado de tarjeta SIM y para el cambio de titular. Por tanto, no puede hablarse en este caso de intencionalidad o negligencia en la infracción. • La Agencia también toma en cuenta, a efectos del cálculo de la cuantía de las sanciones, la circunstancia de reincidencia establecida en el artículo 83.2.
7. e)del RGPD, mencionando de forma expresa los procedimientos sancionadores EXP202207989 y EXP202211479. TME alega que la resolución sancionadora del EXP202211479 no habría devenido firme en vía administrativa hasta el 19 de julio de 2023, una vez se agotó la posibilidad de interponer recursos en vía administrativa. Y la resolución sancionadora EXP202207989 ni siquiera devino firme en fecha de 20 de diciembre de 2023, una vez se agotó la posibilidad de interponer recursos en vía administrativa. Teniendo en cuenta este hecho, las acciones típicas enjuiciadas en el presente expediente sancionador provienen de una actuación ocurrida entre el 14 y 15 de marzo de 2023, es decir, en un tiempo anterior a las resoluciones sancionadoras referenciadas. Es claro, pues, que cuando se realiza el cambio de titularidad y el duplicado de tarjeta SIM, esto es, el 14 y 15 de marzo de 2023, respectivamente, no se había dictado, y mucho menos con carácter "firme" en vía administrativa, una resolución sancionadora por hechos de la misma naturaleza o semejantes. No concurría, pues, el presupuesto de sanción previa a los hechos que se exige para la aplicación de la agravante de reincidencia, tal como es jurisprudencia del Tribunal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/58 Supremo, quien en reiteradas ocasiones (por todas, citamos las STS de 24 de octubre de 2000, 11 de marzo de 2003, 23 de marzo de 2005 y 30 de septiembre de 2009) ha afirmado que la agravante de reincidencia administrativa debe referirse a hechos que ya hubieran sido sancionados en otro procedimiento resuelto con anterioridad a la comisión de la nueva falta. En consecuencia, esta agravante tampoco debería ser tenida en cuenta, debiendo minorarse el importe de la sanción o sanciones que finalmente se impongan. • La circunstancia reseñada en el art. 83.2.
8. k)del RGPD, relativa a la vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes. Afirma TME que el RGPD no establece que esta agravante deba ser apreciada de facto cuando un responsable trate con carácter general un número elevado o “masivo” de datos personales, sino con el número de posibles afectados. Sobre las atenuantes que no han sido tenidas en cuenta por la Agencia en el Acuerdo de inicio del art. 83.2 del RGPD:
9. c)Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva: tal como fue señalado en las contestaciones a los requerimientos de información, la línea objeto de la reclamación fue posteriormente recuperada por el cliente, lo antes posible y una vez facilitada la documentación solicitada por nuestro departamento de fraude.
10. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42: TME ha suscrito los siguientes códigos de conducta en virtud del art. 40 de la LOPDGDD: • el Código de Conducta de Autocontrol sobre tratamiento de datos en la actividad publicitaria: se trata de un sistema de resolución extrajudicial para resolver controversias que surjan entre los ciudadanos y las entidades adheridas al código con motivo de tratamientos de datos realizados en el ámbito de la actividad publicitaria. • el Código de Conducta de Autocontrol para la resolución de controversias de protección de datos en el sector de las comunicaciones electrónicas: se trata de un procedimiento de mediación en las materias cubiertas por dicho Código, como, por ejemplo, los casos de suplantación de identidad, por lo que la cuestión de fondo está intrínsecamente relacionada con dicho Código de Conducta, lo que debería de resultar en una apreciación de esta atenuante.
11. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción: TME no ha obtenido ningún beneficio financiero, es más, se han causado pérdidas económicas directas para TME por la acción fraudulenta de un tercero, asumiendo dinero de facturas rectificadas y tarjetas sim, siendo TME completamente ajena a los hechos y una víctima más del engaño del tercero suplantador. TME solicita a esta Agencia que, teniendo por presentando en tiempo y forma, el presente escrito de alegaciones, se sirva admitirlo, y previos los trámites oportunos, en su virtud: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/58 i. Se declare la nulidad de pleno derecho del Acuerdo de inicio por haberse vulnerado el procedimiento legalmente establecido, debiendo declararse así mismo la caducidad de las actuaciones previas de investigación. ii. Subsidiariamente a lo anterior, que se suspenda el presente procedimiento y se requiera al Reclamante a fin de que aporte en qué punto está la denuncia interpuesta, así como el contenido del procedimiento penal que en su caso se encuentre en curso, con el fin de determinar si existe prejudicialidad penal. iii. Subsidiariamente segundo, y para el caso que no se declare la nulidad de pleno derecho del Acuerdo de inicio o su suspensión, que se proceda con el archivo del presente sancionador por la inexistencia de responsabilidad por parte de TME en ambas presuntas infracciones que se le imputan, o, al menos, se estimen parcialmente las alegaciones y se proceda a retirar la propuesta de sanción referente a la ilicitud del tratamiento en la acción consistente en la gestión del duplicado de tarjeta SIM. iv. Subsidiariamente tercero, que, en caso de que se considere que la conducta es típica, antijurídica y culpable, se declare que no ha lugar a considerar la conducta infractora como dos sanciones independientes, sino como una única con una cuantía total de 200.000 euros. v. Subsidiariamente cuarto, y para el caso de que no hayan sido tenidas en cuenta las peticiones anteriores, ya sea de forma íntegra o parcial mediante la imposición de una única conducta infractora por un importe de 200.000 euros, se dejen de aplicar las circunstancias agravantes tenidas en cuenta y se apliquen las circunstancias atenuantes señaladas establecidas en el art. 83 del RGPD. OCTAVO: Propuesta de Resolución Con fecha 21 de abril de 2025 se emitió por el instructor del expediente la propuesta de resolución y fue notificada electrónicamente en la misma fecha y en la misma se proponía: Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a TME, con NIF A78923125: a). - Por la infracción cometida por cambio de titularidad de la línea del móvil de la parte reclamante, sin legitimación para ello, una sanción inicial de 200.000€ (doscientos mil euros) por la presunta infracción del artículo 6.1) tipificada en el artículo 83.5.
12. a)del citado RGPD. b). - Por la infracción cometida por realizar un duplicado de la tarjeta SIM de la línea del móvil de la parte reclamante, una sanción inicial de 200.000€ (doscientos mil euros) por la presunta infracción del artículo 6.1) tipificada en el artículo 83.5.
13. a)del citado RGPD. NOVENO: Alegaciones a la propuesta de Resolución C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/58 Con fecha 21 de abril de 2025, solicitó TME ampliación de plazo para formular alegaciones a la propuesta de resolución y el 22 del mismo mes y año le fue concedido y el 14 de mayo de 2025 presentó escrito en el que reproduce, básicamente, las mismas alegaciones formuladas al acuerdo de apertura del procedimiento. El contenido de dicho escrito se reseña en el Fundamento de Derecho IV, de “Contestación a las alegaciones presentadas a la Propuesta de Resolución”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. – Cambio de titularidad sin consentimiento La parte reclamante ha manifestado que, con fecha 15 de marzo de 2023, se quedó sin servicio en su línea móvil de O2, marca comercial de TME, y que la causa ha sido por un cambio de titularidad de su línea móvil y que él no ha prestado su consentimiento y un tercero usurpando su identidad ha hecho cargos no autorizados en su cuenta bancaría, por un importe total de ***CANTIDAD.1. SEGUNDO. – Cambio de titularidad vía telefónica Consta en las actuaciones, las manifestaciones de TME, aceptando la mala praxis de la gestión: “En el presente caso, el cambio de titularidad de la línea se produjo de forma telefónica. La solicitud se produjo el día 14 de marzo de 2023 para la línea ***TELÉFONO.2 y puede apreciarse que no se siguió la operativa marcada a tales efectos.” TERCERO. – Protocolo para la verificación de la identidad Según la información aportada por TME, en la fecha del cambio de titularidad reseñado en el hecho probado segundo por vía telefónica al número 1551, se graba la solicitud y el agente debe requerir según sus protocolos la siguiente información para la verificación de la identidad:      Nombre completo del actual titular. DNI del actual titular. Los cuatro últimos dígitos de la última factura emitida. Solicitud de confirmación de que el actual titular consiente la cesión de la línea. En caso de que el número sobre el que se va a realizar la gestión no coincida con el número desde es el que se está haciendo la llamada para solicitud, se realizará adicionalmente una llamada de verificación a la citada línea para consentir el cambio o se enviará de un código temporal de verificación: “Excepcionalmente, en aquellos casos en los que el cliente no llame desde la línea objeto de modificación, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/58 se realizará una llamada a la citada línea para que el antiguo titular consienta el cambio o se envía un OTP que deberá facilitar al agente para proceder con la gestión”. CUARTO. – Grabación de la llamada de cambio de titularidad En la grabación de la llamada de cambio de titularidad, se acredita que el control realizado por el agente del canal telefónico 1551 de TME omite algunos puntos de la verificación: no se solicitaron los últimos dígitos de última factura y no se envió un código adicional de verificación ni se hizo una llamada de comprobación a la línea para la que se estaba realizando el cambio, tal como consta en sus protocolos. La titularidad se modificó pasando a ser el nuevo titular A.A.A.. Se acredita que la llamada no se realizó desde el número que estaba siendo objeto de la modificación, ni tampoco pertenecía a la parte reclamante, por lo que su titular les era desconocido: “podemos confirmar que la llamada entrante a nuestro servicio de atención al cliente que se empleó para la solicitud de cambio de titularidad es la línea ***TELÉFONO.1”, “podemos confirmar que la citada línea no pertenece a Telefónica Móviles España, S.A.U.”. QUINTO. – Comprobación cambio de titularidad Consta en las actuaciones que la parte reclamada manifiesta en relación con el cambio de titularidad: “No consta en nuestros sistemas que se haya realizado una llamada de comprobación o un envío de OTP a la línea ***TELÉFONO.2 en la franja de tiempo de realización de la gestión.” SEXTO. – Duplicado de tarjeta SIM Consta que el 15 de marzo de 2023 a las 13:30, día siguiente del cambio de titularidad de la línea, se expidió en una tienda física de la parte reclamada un duplicado de tarjeta SIM perteneciente en origen a la línea de la parte reclamante. Tal como manifiesta la parte reclamada: “consta registrado en nuestros sistemas un cambio de titularidad de los datos del reclamante a nombre de una segunda persona, realizada telefónicamente. Hecho esto, ya con los datos de esta segunda persona se solicita el cambio de tarjeta SIM en una tienda física de Alicante.” SÉPTIMO. – Solicitud del duplicado de la tarjeta SIM Consta acreditado que en la solicitud del duplicado de la tarjeta SIM figuraba un DNI escaneado y verificado mediante la herramienta interna SVIC, correspondiente a un tercero distinto del reclamante OCTAVO. – Procedimiento de identificación y verificación de duplicados SIM Consta acreditado que, en la fecha de emisión del duplicado de tarjeta reseñado en el Hecho Probado Sexto, se encontraba vigente el siguiente procedimiento de identificación y verificación del en caso de expedición de duplicados SIM a través de tiendas físicas autorizadas; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/58 “Se realiza la identificación del cliente con el DNI y se valida su documentación mediante el sistema interno SVIC. Se deja registro en los sistemas de esta verificación. Adicionalmente, se realizará comprobación de seguridad a la línea objeto de la gestión: “Realización de una llamada de seguridad al número sobre el que se va a gestionar el duplicado, procediendo a su modificación si el cliente responde y autoriza el cambio o si no responde, esto último debido a que la tarjeta SIM ha podido extraviarse o deteriorarse.” y “conforme a operativa actual, desde el 2 de marzo de 2023, en caso de que el cliente haya realizado la identificación digital (onboarding digital), se le remitirá un código OTP como doble factor de autenticación que deberá facilitar al comercial para realizar la gestión en lugar de la llamada de seguridad anteriormente mencionada”. Se constata que no se realizó la comprobación indicada en los propios protocolos de TME de envío de un código temporal de verificación o llamada de comprobación a la línea. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Por su parte, el artículo 4.2) del RGPD consagra «tratamiento» como: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/58 cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; Además, el artículo 4.7) del RGPD establece que el «responsable del tratamiento» o «responsable» es: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. El tratamiento de los datos personales de la parte reclamante por parte de TME sin estar legitimada para ello se ha materializado en el cambio de la titularidad de la línea móvil y en el duplicado de la tarjeta SIM de la parte reclamante. TME realiza esta actividad en su condición de responsable del tratamiento dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7) del RGPD. III Contestación a las alegaciones al acuerdo de inicio Se procede a dar respuesta a las mismas según el orden expuesto por TME. Primera: Caducidad de las actuaciones de investigación Afirma la parte reclamada que si la fecha de entrada de la reclamación en la Agencia fue en fecha de 22 de marzo de 2023 (como consta en el traslado de la reclamación notificada a TME el 16 de mayo 2023) y su admisión se produjo a los tres meses de su presentación, en fecha 22 de junio de 2023, las actuaciones previas de investigación y la adopción del Acuerdo de inicio tendrían que haberse producido con fecha límite el 22 de junio de 2024, fecha a partir de la cual, y conforme a lo estipulado en el art. 67.2 de la LOPDGDD, se debería haber declarado la caducidad de las actuaciones previas de investigación. Respecto a dicha cuestión, conviene indicar que la Ley 11/2023, en su disposición final 9.7 modifica el apartado 2 del artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, relativo a las actuaciones previas de investigación, que dice: “67.2. Las actuaciones previas de investigación se someterán a lo dispuesto en la sección 2.ª del capítulo I del título VII de esta ley orgánica y no podrán tener una duración superior a dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa”. En el presente caso, la admisión a trámite de la reclamación presentada se llevó a cabo en fecha 22 de junio de 2023, en aplicación de lo dispuesto en el artículo 65.5 de la LOPDGDD, habiendo entrado ya en vigor, con fecha 10 de mayo de 2023, la modificación llevada a cabo por la Ley 11/2023 del artículo 67.2 de la LOPDGDD, que establece que las actuaciones previas de investigación no podrán tener una duración C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/58 superior a dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa. Consecuentemente, teniendo en cuenta dicha modificación normativa en vigor desde el 10 de mayo de 2023, el plazo máximo de duración de las actuaciones previas de investigación de la reclamación admitida a trámite por acuerdo de 22 de junio de 2023 no podía ser superior a los dieciocho meses. Dicho plazo en el presente supuesto se inició a partir del 22 de junio de 2023, fecha de admisión de la reclamación presentada mientras que su finalización tendría lugar el 22 de diciembre de 2024. Antes de la caducidad de ésta, el acuerdo de inicio del presente procedimiento tuvo lugar en fecha 5 de diciembre de 2024por lo que dicho acuerdo se produjo dentro del citado plazo y no se ha producido la caducidad de las actuaciones. Segunda: Prejudicialidad penal TME manifiesta que el reclamante señala que ha puesto en conocimiento de las autoridades policiales mediante una denuncia los hechos acaecidos y es por ello que TME solicita la suspensión de este procedimiento por prejudicialidad penal dada la íntima relación que existe entre los procedimientos penales y administrativos. Debe tenerse en cuenta que el art. 77.4 de la LPACAP establece lo siguiente: “En los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien”. Sin embargo, hay que indicar, que no existe la triple identidad necesaria para aplicar el artículo 77 de la LPACAP (de sujeto, hecho y fundamento) entre la infracción administrativa que se valora y la posible infracción o infracciones penales que se pudieran derivar de las presuntas Diligencias Previas practicadas por un órgano jurisdiccional. Esto, porque el sujeto infractor es obvio que no sería el mismo –respecto a las infracciones de la LOPDGDD el responsable es TME, en tanto que el responsable penal de un eventual delito de usurpación de personalidad o estafa sería el tercero que se hubiera hecho pasar por el reclamante. Tampoco el fundamento jurídico sería el mismo: mientras el bien jurídico protegido por la LOPDGDD es el derecho fundamental a la protección de datos personales, el bien jurídico que se protege en los tipos penales cuya comisión investigaría, llegado el caso, el Juzgado de Instrucción serían el estado civil, el patrimonio, etc. En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional (SAN) de 27/04/2012 (rec. 78/2010), en cuyo Fundamento Jurídico segundo el Tribunal se pronuncia en los siguiente términos frente al alegato de la recurrente de que la AEPD ha infringido el artículo 7 del R.D. 1398/1993 (norma que estuvo vigente hasta la entrada en vigor de la LPACAP): “En este sentido el Art. 7 del Real Decreto 1398/1993, de 4 de agosto, del procedimiento para el ejercicio de la potestad sancionadora, únicamente prevé la suspensión del procedimiento administrativo cuando se verifique la existencia efectiva y real de un procedimiento penal, si se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/58 estima que concurre identidad de sujeto, hecho y fundamento de derecho entre la infracción administrativa y la infracción penal que pudiera corresponder. No obstante, y para la concurrencia de una prejudicialidad penal, se requiere que ésta condicione directamente la decisión que haya de tomarse o que sea imprescindible para resolver, presupuestos que no concurren en el caso examinado, en el que existe una separación entre los hechos por los que se sanciona en la resolución ahora recurrida y los que la recurrente invoca como posibles ilícitos penales. Así, y aun de haberse iniciado, en el presente supuesto, y por los hechos ahora controvertidos, también actuaciones penales frente a la empresa distribuidora, lo cierto es que tanto la conducta sancionadora como el bien jurídico protegido son distintos en una y otra vía (contencioso-administrativa y penal). En el ámbito penal, el bien jurídico protegido es una posible falsedad documental y estafa, y en el ámbito administrativo, en cambio, la facultad de disposición de sus datos personales por parte de su titular, por lo que tal objeción de la demandada ha de ser rechazada”. En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte reclamada y debe ser rechazada. Tercera: Licitud del tratamiento de datos personales en la acción referente al duplicado de tarjeta SIM. Cuarta: Licitud del cambio de titularidad de la línea y su tratamiento en base a la ejecución del contrato del que el reclamante es parte Manifiesta TME que la acción del duplicado de la tarjeta SIM no puede subsumirse en el presente caso en el tipo infractor del art. 83.5.
14. a)del RGPD, referente a una falta de licitud en el tratamiento de datos personales del reclamante, toda vez que en ningún caso se han tratado los datos personales del indicado reclamante, sino los de un tercero que era el titular de la línea en el momento de la gestión. Sostiene TME, en lo referente a la infracción por tratamiento ilícito de datos en lo referente al cambio de titularidad previo que si bien TME puede concordar con la Agencia en que no se habría seguido el protocolo establecido en lo tocante a la segunda llamada de seguridad y la solicitud de los datos de la última factura, no es menos cierto que la tercera persona suplantadora se habría identificado con los datos correctos del titular de la cuenta e incluso habría facilitado su cuenta bancaría, datos que el tercero suplantador conocía de forma previa a la solicitud y fuera de la esfera de responsabilidad de TME. Señala TME que a su juicio la infracción impuesta sería incorrecta, pues TME cuenta con una base legitimadora de las estipuladas en el artículo 6 del RGPD, siendo ésta la ejecución del contrato del que el interesado es parte. A tal respecto, conviene señalar que en el presente caso la infracción se fundamenta en una falta de licitud en el tratamiento de los datos personales derivado de un incumplimiento de los protocolos internos de la propia parte reclamada. Así, tal y como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/58 consta en el hecho probado quinto, en relación con el cambio de titularidad “No consta en nuestros sistemas que se haya realizado una llamada de comprobación o un envío de OTP a la línea ***TELÉFONO.2 en la franja de tiempo de realización de la gestión”, y en relación con el duplicado de la tarjeta SIM, no se realizó la comprobación indicada en sus protocolos de envío de un código temporal de verificación o llamada de comprobación a la línea, lo cual supone un incumplimiento de su propia política de seguridad y un tratamiento ilícito de los datos personales, lo que revela un incumplimiento de sus propias medidas. El artículo 6.1 del RGPD establece que el tratamiento de datos personales solo es lícito si se cumple al menos una de las condiciones previstas en el mencionado artículo. En este caso, la vulneración del principio de licitud se manifiesta en el tratamiento indebido de los datos personales de la parte reclamada por un incumplimiento de su propio protocolo pues, al no verificarse adecuadamente la identidad del solicitante, la parte reclamada permitió el acceso y tratamiento de datos personales sin una base jurídica válida. Dicho hecho se traduce en un tratamiento ilícito de datos, ya que no se cumplieron las condiciones necesarias para garantizar que el acceso se realizara de forma lícita y de acuerdo con la propia política de seguridad de la parte reclamada. Quinta: Protocolos de seguridad de la gestión de solicitudes de cambio de titularidad y duplicado de tarjeta SIM son suficientes y razonables para garantizar una seguridad adecuada TME alega las medidas de seguridad ya trasladadas a esta Agencia, indicando la operativa relativa a la gestión del duplicado de tarjeta SIM y a la operativa relativa a la gestión del cambio de titularidad, y señala que no puede imponerse a TME dos infracciones por una supuesta falta de licitud en el tratamiento porque un determinado comercial o distribuidor descuide de forma puntual en un caso concreto la aplicación de todas las medidas definidas en la operativa, imponiéndose así una responsabilidad objetiva en la cual, independiente de la diligencia y medidas generales que tiene implementadas (máxime en el caso de la acción referente al duplicado de SIM, donde el cliente se habría identificado con su DNI y así consta reflejado en sus sistemas), se declare la culpabilidad de TME. Respecto a dicha cuestión, conviene indicar que el hecho consistente en el tratamiento ilícito no se debió a que un tercero superase las medidas de seguridad, sino en tratamiento consistente en el cambio de titularidad de la línea sin consentimiento de la parte reclamante, debido al incumplimiento de los protocolos de seguridad internos por parte de uno de sus agentes, tal y como la propia parte reclamada ha reconocido. Como se indica en el hecho quinto, el agente no verificó adecuadamente el cambio de titularidad de la línea móvil, ni el duplicado de la tarjeta SIM, lo cual facilitó el acceso fraudulento y el tratamiento ilícito de los datos del reclamante. En este sentido, la mera existencia de una política de seguridad no puede justificar una adecuación del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y el responsable del tratamiento debe de garantizar que se cumplan estrictamente en todo momento. En caso contrario, las medidas adoptadas carecen de virtualidad y pueden conllevar tratamientos ilícitos como ocurrente en el presente caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/58 Por lo tanto, la cuestión aquí no radica en el nivel de sofisticación del ataque delictivo del tercero, sino en el incumplimiento de las propias medidas de seguridad que permitieron el tratamiento ilícito de datos personales. La parte reclamada no puede exonerar su responsabilidad apelando a la existencia de medidas cuando el fallo estuvo en la aplicación de esas medidas, permitiendo una infracción de la licitud del tratamiento. El grado de responsabilidad cae dentro de su ámbito y no de terceros, debiendo señalar que la SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento”. La actuación de sus agentes no escapa a su control, ya que éstos actúan en nombre de la parte reclamada y, por tanto, son responsables de cumplir con las políticas de seguridad. La propia parte reclamada ha reconocido que no se verificó adecuadamente la solicitud tanto del cambio de titularidad como el duplicado de la tarjeta SIM, lo que facilitó el acceso no autorizado a los datos personales del reclamante, lo cual demuestra que la infracción no depende de un tercero, sino de una falta de cumplimiento dentro de la organización. Por tanto, la responsabilidad no puede ser desplazada hacia elementos externos. La parte reclamada es directamente responsable del comportamiento de su personal y de asegurar que los protocolos de seguridad se apliquen correctamente en cada caso, sin excepción. Sexto: Circunstancias que han hecho posible la superación por terceras personas de las políticas de seguridad implantadas por TME Expone TME que cuenta para la prestación de servicios con varios proveedores de confianza, a los cuales les impone una serie de obligaciones que rigen la relación entre TME y éstos y que TME no puede ser considerada responsable de los incumplimientos puntuales y excepcionales de la operativa que se hayan podido llevar a cabo por parte del personal contratado por los encargados del tratamiento que intervienen en este tipo de procesos, tal como ha sucedido en el presente caso. TME señala que, en el presente caso, el comercial, desconociendo el carácter antijurídico de la conducta, gestionó el cambio de titularidad de la línea bajo la creencia de estar realizando un tratamiento de datos lícito. Y en el caso del duplicado de SIM el nuevo titular se identificó y facilitó su documento de identificación, queda constatado que TME habría sido víctima de un engaño, haciéndole incurrir en un error de tipo invencible, hecho excluiría la culpabilidad de la conducta seguida por TME, debiendo archivarse el presente expediente sancionador. En relación con esta alegación, amén de lo ya indicado anteriormente, el grado de responsabilidad cae dentro de su ámbito y no de terceros, debiendo señalar que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/58 SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento”. En este sentido, conviene señalar que en el presente caso no se trata de valorar la actuación de cualquier entidad externa, sino de examinar cómo la parte reclamada permitió un tratamiento de datos personales sin seguir los procedimientos establecidos. La actuación de sus agentes no escapa a su control, ya que estos actúan en nombre de la parte reclamada y, por tanto, son responsables de cumplir con las políticas de seguridad. La propia parte reclamada ha reconocido que el agente no verificó adecuadamente la solicitud, lo que facilitó el acceso no autorizado a los datos personales del reclamante, lo cual demuestra que la infracción no depende de un tercero, sino de una falta de cumplimiento dentro de la organización. Por tanto, la responsabilidad no puede ser desplazada hacia elementos externos. La parte reclamada es directamente responsable del comportamiento de su personal y de asegurar que los protocolos de seguridad se apliquen correctamente en cada caso, sin excepción. Séptimo: Ausencia de tipicidad Considera que el principio de tipicidad se está vulnerando dado que la conducta realizada por TME no es subsumible en ninguno de los preceptos cuya infracción se imputa. 1. Con respecto a la conducta relativa a la falta de licitud relativa a la gestión del duplicado de la tarjeta SIM y 2. Con respecto a la falta de licitud en el tratamiento de datos en la acción referente al cambio de titular. TME se reitera nuevamente en los argumentos ya expuestos, que ya han sido contestados. Octavo: Ausencia de culpabilidad TME alega que tampoco concurre el requisito de culpabilidad en su actuación, indicando que es doctrina reiterada la que considera que los principios inspiradores del orden penal son de aplicación al derecho administrativo sancionador, señalando que uno de los principales componentes de la infracción administrativa es el elemento de la culpabilidad, lo que presupone que la acción u omisión ha de ser en todo caso imputable a su autor por malicia, imprudencia, negligencia o ignorancia inexcusable. Es decir, es necesaria la constatación de la intervención culpable por parte de TME, que no se ha producido. Por lo que, en tanto no exista conducta culpable, no puede imponérsele sanción alguna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/58 Al respecto, resulta significativo que la operadora responsable del tratamiento no justifique debidamente la concurrencia en su conducta de la diligencia que le era exigible ni acredite la adopción de las cautelas exigibles para evitar el tratamiento no consentido del dato de carácter personal que nos ocupa, que debe atribuirse a la conducta negligente de TME, utilizándose por un tercero los datos personales del reclamante pasando las medidas de seguridad para realizar el cambio de titularidad de la línea móvil y el duplicado de la tarjeta E-SIM. En cuanto a la responsabilidad de TME, debe indicarse que, con carácter general la operadora trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1.
15. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
16. e)y
17. f)del RGPD. Por dicha razón, este es un proceso en donde la diligencia prestada por la operadora es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que la persona que contrata es quien dice ser y que se implantan y mantienen medidas apropiadas para dar cumplimiento al principio de licitud. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de TME se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir, desde la óptica de la culpabilidad, estamos ante un error vencible ya que con la aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones de identidad se hubieran podido evitar. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/58 eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. Por otro lado, y estrictamente en cuanto a la negligencia en la actuación de TME, cabe señalar que la SAN -Sala Contencioso-Administrativo- 392/2015, de 17 de noviembre, que en su Fundamento Jurídico Tercero recoge la doctrina del Tribunal Constitucional sobre la aplicación al derecho administrativo sancionador de los principios del orden penal, en los siguientes términos: El Tribunal Constitucional ha declarado reiteradamente que los principios del orden penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos matices, al derecho administrativo sancionador, al ser ambos manifestaciones del ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y 164/2005). El principio de culpabilidad, garantizado por el artículo 25 de la Constitución, limita el ejercicio del "ius puniendi" del Estado y exige, según refiere el Tribunal Constitucional en la sentencia 129/2003, de 20 de junio, que la imposición de la sanción se sustente en la exigencia del elemento subjetivo de culpa, para garantizar el principio de responsabilidad y el derecho a un procedimiento sancionador con todas las garantías (STS de 1 de marzo de 2012, Rec. 1298/2009). Ciertamente, el principio de culpabilidad, previsto en el artículo 130.1 de la Ley 30/1992, de 26 noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone que solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Obviamente, ello supone que dicha responsabilidad sólo puede ser exigida a título de dolo o culpa, quedando desterrada del ámbito del derecho administrativo sancionador la llamada "responsabilidad objetiva", y comprendiendo el titulo culposo la imprudencia, negligencia o ignorancia inexcusable. Esta "simple inobservancia" no puede ser entendida, por tanto, como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, pues la jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus STS de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990 ), destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y prohibición de exceso ( artículo 25.1 CE ), o de las propias exigencias inherentes a un Estado de Derecho, por lo que se requiere la existencia de dolo o culpa (en este sentido STS de 21 de enero de 2011, Rec. 598/2008). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/58 No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma " (en este sentido STS de 24 de noviembre de 2011, Rec. 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las STS de 9 de octubre de 2009, Rec. 5285/2005 , y de 23 de octubre de 2010, Rec. 1067/2006 , que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Así, en el caso que nos ocupa, una vez analizadas las circunstancias concretas del caso, se ha podido determinar que TME no cumplió con sus propias medidas e instrucciones de seguridad en relación con el duplicado de la tarjeta SIM, que han conllevado un tratamiento ilícito. Efectivamente, rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/58 una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/58 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”, establece: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.[...]”. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. Por otra parte, en relación con el uso ilícito de los datos por un tercero, efectivamente para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos, para el cambio de titularidad de la línea móvil y el duplicado de la tarjeta SIM. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que se implantan y mantienen medidas de seguridad apropiadas para proteger eficazmente la confidencialidad, integridad y disponibilidad de todos los datos personales de los cuales son responsables, o de aquellos que tengan por encargo de otro responsable. Noveno: Incumplimiento del principio de proporcionalidad en las sanciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/58 TME entiende que las sanciones establecidas en el Acuerdo de inicio vulneran el principio de proporcionalidad que debe regir en la potestad sancionadora que tiene la Administración y manifiesta su disconformidad con la cuantía de las sanciones propuestas en el Acuerdo de inicio, señalando que existe una unidad de acción y de resultado en las infracciones imputadas y, por tanto, la infracción tendría que ser considerada como una y única. TME considera que, en caso de que se le considere responsable de una actuación típica, antijurídica y culpable, en este caso estaríamos ante una y única infracción y no ante dos. Es decir, ambas acciones forman parte de un mismo proceso y están intrínsecamente relacionadas y la expedición del duplicado de la tarjeta SIM no habría sido posible sin el cambio de titularidad previo. Consecuentemente y atendiendo a lo anteriormente indicado, se solicita que en caso de imponerse una sanción, ésta sea única de 200.000 euros, en lugar de dos sanciones de 200.000 euros cada una. Sobre las agravantes tenidas en cuenta no aplicables al caso concreto: En cualquier caso, ya se considere una o dos infracciones, a juicio de TEM, no concurrirían en el presente caso ninguna de las agravantes que han sido tenidas en cuenta por la Agencia para la determinación del importe de las sanciones. En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual. Estas circunstancias han sido tenidas en cuenta a la hora de fijar la sanción. En el presente procedimiento sancionador, la sanción se impone debido a que TME modificó la titularidad de la línea móvil del reclamante a un tercero, sin haber seguido el procedimiento de verificación implementado por ella misma y hecho esto se solicita el cambio de tarjeta SIM por dicho tercero, sin el consentimiento del reclamante y sin verificar la identidad de dicho tercero, y por este motivo se imputa el artículo 6.1 del RGPD. TME solicita que se aprecien circunstancias atenuantes del artículo 83.2 del RGPD. No se admite ninguna de las circunstancias invocadas. La parte reclamada manifiesta que procedió a solventar la incidencia objeto de la reclamación de forma efectiva, pero hay que señalar que entra en el cumplimiento de sus obligaciones legales -por lo que aquí interesa del principio de licitud- la reclamada debe de actuar con la diligencia que las circunstancias del caso exigen y está obligada a adoptar las medidas técnicas y organizativa que le permitan cumplir y poder acreditar el cumplimiento de los principios de protección de datos. Así, en cualquier infracción de la normativa en materia de protección de datos ha de concurrir la existencia de intencionalidad o de negligencia. Y ello tanto a un responsable de tratamiento persona física, como persona jurídica, ya sea una pequeña empresa con poca vinculación con el tratamiento de datos personales, ya sea una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/58 gran empresa, una multinacional, etc, y con tratamientos de datos personales de forma continua y a gran escala, por ejemplo. Por tanto, una vez determinado que, como premisa, concurre este elemento subjetivo culpabilístico de base, ello no obsta que se pueda considerar esta circunstancia como agravante por considerar que, de conformidad con las circunstancias concretas del caso, se considere un diferente grado de intencionalidad o de negligencia en el actuar del sujeto infractor. Pero, en ningún caso, esta circunstancia puede considerarse como un atenuante en el sentido que argumenta TME por cuanto, como se ha dicho, supondría. A propósito del grado de diligencia que el responsable del tratamiento está obligado a desplegar cabe citar la sentencia de la Audiencia Nacional, Sala de lo Contencioso Administrativo, de 17 de octubre de 2007 (Rec. 63/2006) en la que recoge que “...el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. TME alega que debe ser considerada como atenuante la adhesión por parte de la misma al sometimiento a mecanismos de resolución de conflictos. El Código de Conducta de Tratamiento de Datos en la Actividad Publicitaria. El objetivo principal de este Código permite que los usuarios que lo deseen cuando entiendan infringidos sus derechos de protección de datos en el marco de una actividad publicitaria, tales como: la recepción de publicidad no deseada, el ejercicio de derechos relacionados con la publicidad (como el de oposición), y el tratamiento de datos en promociones publicitarias o a través de cookies publicitarias, entre otros, que no es el caso, por lo que no puede considerarse como atenuante. El Código de Conducta de Autocontrol para la resolución de controversias de protección de datos en el sector de las comunicaciones electrónicas fue aprobado con fecha 17 de octubre de 2024, por la Agencia Española de Protección de Datos y plenamente aplicable a partir del 17 de diciembre de 2024. Hay que tener en cuenta que la reclamación se interpuso ante esta Agencia el 22 de marzo de 2023, fecha en la que todavía no era aplicable el citado código de conducta. Sobre la aplicación del artículo 76.2.
18. c)de la LOPDGDD, en conexión con el artículo 83.2.k), inexistencia de beneficios obtenidos, cabe señalar que tal circunstancia solo puede operar como agravante y en ningún caso como circunstancia atenuante. El artículo 83.2.
19. k)del RGPD se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo 76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.
20. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..]
21. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/58 mencionan como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que TME alega. Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa está presidida por los siguientes principios: deberán estar individualizadas para cada caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1 del RGPD y a los principios por los que se rige la determinación del importe de la sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis de TME en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas. La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el hecho de que en un supuesto concreto no estén presentes todos los elementos que integran una circunstancia modificativa de la responsabilidad que, por su naturaleza, tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse sobre la circunstancia del apartado
22. e)del artículo 83.2. del RGPD, la comisión de infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”. IV Contestación a las alegaciones presentadas a la Propuesta de Resolución TME comienza su escrito de alegaciones haciendo referencia a una serie de aspectos que califica como cuestiones previas. CUESTIONES PREVIAS: Nulidad de pleno derecho de la propuesta de resolución. Basa dicha afirmación en la consideración de que la misma adolece de falta de motivación suficiente ya que considera que no contiene todos los elementos esenciales exigibles conforme al artículo 89 de la LPACAP. Y ello porque entiende que se ignoran por parte de esta agencia alegaciones y pruebas aportadas por TME que son esenciales, causando indefensión. A ello añade que no existe congruencia entre las infracciones imputadas y los argumentos jurídicos empleados puesto que se citan fundamentos de derechos, hechos o asuntos que no tienen que ver con el procedimiento. Asimismo, sostiene que la propuesta de resolución se ha dictado sin tener en consideración alegaciones previas que resultan de especial relevancia, en particular, la referente a que, en el supuesto de que se considerara que la acción es típica, antijuridica y culpable, sería una única infracción y no dos. Por último, se reafirma en la caducidad de las actuaciones previas de investigación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/58 A este respecto hay que indicar, en primer lugar, que no puede considerarse que exista una falta de motivación en la Propuesta de Resolución en tanto en cuanto en la misma se hace una sucinta referencia de: el momento en que se detectaron los hechos infractores, el hecho infractor en sí, la indicación del responsable; los fundamentos de Derecho o calificación jurídica de los referidos hechos habiéndose expuesto, pormenorizadamente, los incumplimientos a la normativa de protección de datos; una exteriorización formalizada y motivada de las razones que han llevado al órgano competente a proponer en ese sentido y por último y no menos importante, constan, en el expediente los documentos en los que se funda la decisión. La exigencia de la motivación de los actos administrativos responde, según reiterada doctrina jurisprudencial, de la que es exponente la Sentencia del Tribunal Supremo de 16 de julio de 2001, a la finalidad de que el interesado pueda conocer con exactitud y precisión el cuándo, cómo y por qué de lo establecido por la Administración, con la amplitud necesaria para la defensa de sus derechos e intereses, permitiendo también, a su vez, a los órganos jurisdiccionales el conocimiento de los datos fácticos y normativos que les permitan resolver la impugnación judicial del acto, en el juicio de su facultad de revisión y control de la actividad administrativa, lo que no incluye un derecho a la concesión de lo pedido, pues como aclara la Sentencia, de 4 de abril de 2012, del Tribunal Supremo “nadie tiene derecho a que se le dé la razón, sino a que decisión que se le brinda ofrezca la explicación necesaria para que el administrado pueda conocer con exactitud y precisión el contenido del acto”. La Propuesta de Resolución está motivada por cuanto ha permitido conocer debidamente las razones de hecho y de Derecho que fundamentan la misma, poniéndole en condiciones objetivas de alegar lo que considere oportuno. Por tanto, no puede considerarse que se haya ocasionado indefensión, y, por tanto, no es susceptible de ocasionar la nulidad de pleno derecho o anulabilidad. Por otro lado, se considera que tampoco cabe entender que concurra indefensión de la interesada por el hecho de que subjetivamente considere que la Propuesta de resolución sancionadora no analiza ni desbroza completamente los argumentos dados frente al Acuerdo de Inicio, cuando en su propio escrito formula una defensa de fondo sobre la procedencia o no de la imposición de la sanción; cuando también el expediente contiene los elementos que dan razón y explican el actuar administrativo; cuando la actora no ejercita una pretensión anulatoria por vicios formales sino que también reclama el pronunciamiento de reconocimiento de situación jurídica individualizada que se concreta en que se deje sin efecto la Propuesta de resolución sancionadora o se reduzca el importe de la multa impuesta, como pronunciamiento expreso de la jurisdicción que se imponga a la Administración demandada; y cuando, por último, de acogerse la nulidad por la razón formal que analizamos se perjudicaría el principio de economía procedimental, dándose lugar a una retroacción de las actuaciones para que en definitiva se dicte una Propuesta de resolución idéntica con los mismos fundamentos y elementos de prueba que el expediente remitido revela. Pues bien, para que pueda apreciarse la existencia de indefensión no resulta suficiente con que se haya producido una infracción formal, sino que ha de haberse producido una indefensión de carácter material, en palabras del TC, STC 290/1993, fundamento jurídico 4 “ Para que pueda estimarse una indefensión con relevancia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/58 constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento jurídico 2º)". Sobre este particular también se ha pronunciado la Audiencia Nacional, en otras, en su Sentencia, Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de junio de 2009 (rec. 638/2008), la cual señala que, “esta Sala ha reiterado en numerosísimas ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que las mismas hayan originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”, lo que no ocurre en este caso. Asimismo, y en relación con la supuesta caducidad de las actuaciones previas de investigación, procede, en primer lugar, reiterarse en lo ya expresado en el fundamento jurídico anterior. Y es que, tal y como, se insiste, ya se puso de manifiesto, en el momento en el que se produjo la admisión a trámite de la reclamación presentada (22 de junio de 2023), el artículo 67.2 de la LOPDGDD, conforme a la modificación recogida en la Ley 11/2023, determinaba una duración de las actuaciones previas de investigación de 18 meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa. En este caso el acuerdo de admisión de la reclamación se produjo el 22 de junio de 2023, fecha de inicio de las actuaciones previas de investigación, por lo que no cabe entender aplicable la disposición transitoria de la Ley 39/2015, pues en la fecha de entrada en vigor de la Ley 11/2023 no existía ningún «expediente ya iniciado». Consecuentemente, la finalización del plazo iniciado en el presente caso el día 22 de junio de 2023, se produciría el día 22 de diciembre de 2024, habiéndose emitido el acuerdo de inicio del presente procedimiento en fecha 5 de diciembre de 2024, antes por tanto de producirse la caducidad. Y es que, tal y como ya se puso de manifiesto, la modificación de la norma afecta al cómputo de un plazo, -el de duración del trámite potestativo de actuaciones previas de investigación-, que transcurre, en su integridad, en fecha posterior a dicha modificación por lo que difícilmente puede entenderse que comenzara con anterioridad a la producción de la misma. Prejudicialidad penal. A este respecto, insisten en la relevancia de determinar si el contenido de las investigaciones es similar o trascendente para este procedimiento. Reconocen la falta de identidad entre lo sujetos, pero consideran que el presente procedimiento se podría ver directamente afectado por el resultado de las actuaciones judiciales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/58 En relación con esta alegación, esta Agencia reitera lo ya señalado al respecto en la propuesta de resolución y que consta reproducido en el Fundamento de Derecho anterior. Además, esta AEPD no puede valorar la incidencia que pudiera tener en este procedimiento un eventual pronunciamiento judicial, por cuanto ni siquiera la parte reclamada ha aportado al procedimiento acreditación de la existencia en vía judicial de tal procedimiento penal. - Hechos que motivan la propuesta de resolución. o Tratamiento de datos personales en la gestión del duplicado de la tarjeta SIM: TME entiende que el tratamiento de datos realizado cuenta con una base de legitimación cual es la necesidad de ejecutar el contrato que el titular de la línea firmó tratándose para ello, exclusivamente los datos de la persona que constaba en sus sistemas. Respecto a la concurrencia de una base de legitimación para la realización de un duplicado de tarjeta SIM, esta Agencia considera que el mismo no existía en el presente caso. Y ello por cuanto resulta evidente que, para poder actuar como se hizo, era neces