PS-00422-2024

1/54  Expediente N.º: EXP202305035 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Reclamación ante la AEPD A.A.A. (en adelante, la parte reclamante) con fecha 27 de febrero de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ORANGE ESPAGNE, S.A.U. con NIF A82009812 (en adelante, la parte reclamada, Jazztel u Orange), ***EMPRESA.1 con NIF ***NIF.1 y ***EMPRESA.2 con NIF ***NIF.2. Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta a través de su representante que tiene contratado los servicios de telefonía móvil e Internet con la compañía Jazztel -marca de la parte reclamada- e indica que en fecha 4 de febrero de 2023 se produjo un intento de duplicación de su número de teléfono ***TELÉFONO.1, así como un cambio de su correo electrónico por otra dirección, sin que él tuviera conocimiento. Asimismo, señala que en fecha 7 de febrero de 2023 se realizaron fraudulentamente sin su consentimiento varias transferencias bancarias desde una cuenta en la que figura autorizado por importe de (…) euros. Por otra parte, manifiesta que en fecha 10 de febrero de 2023, se abrió una incidencia interna por parte de Jazztel, la cual no le fue no comunicada, en la que quedó registrado el intento de duplicado de su tarjeta. Afirma que en dicha incidencia se manifestaba que Jazztel no debía de tramitar ninguna solicitud que se realizará en relación con el número de dicha tarjeta. Añade, que con fecha 11 de febrero de 2023, se produjo un nuevo intento de duplicado de su tarjeta en un punto de venta de Jazztel que, según la entidad, no fue tramitado. En esa misma fecha, afirma haberse personado en una tienda de ORANGE para tramitar un duplicado de su tarjeta, dado que su teléfono no tenía cobertura. Por otro lado, señala que el 13 de febrero de 2023 se produjo un tercer intento de duplicado de tarjeta que según Jazztel tampoco fue gestionado. Sin embargo, afirma que ese mismo día fue tramitado un duplicado E-SIM desde el área de cliente, remitiéndose a la dirección de correo que había sido cambiada fraudulentamente, y que en esa misma fecha se realizaron fraudulentamente varias operaciones de transferencia bancaria de su número de cuenta por un importe total de (…) euros. Y, que en fecha 14 de febrero de 2023 recibió comunicaciones de sus dos entidades bancarias -***EMPRESA.1 y ***EMPRESA.2- advirtiendo de irregularidades relativas a las transferencias fraudulentas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/54 Por lo tanto, entiende que se ha producido una vulneración de sus datos de carácter personal por las tres reclamadas. Y, adjunta la siguiente documentación relevante: 1. Cuadro de las operaciones bancarias fraudulentas. 2. Contrato de los servicios de telefonía e Internet de Jazztel. 3. Correos electrónicos intercambiados con sus entidades financieras, y reclamaciones formuladas frente a ellas. 4.Reclamación contra Jazztel en relación con las irregularidades que se produjeron en relación con la tarjeta SIM de su teléfono móvil: en concreto el cambio de correo electrónico y el duplicado E-SIM desde el área de cliente realizado con fecha 13 de febrero de 2023; y, las sustracciones de dinero por un importe total de (…) euros. 7. Denuncia ante la Policía Nacional dependencia Zaragoza-Centro, de fecha 17 de febrero de 2023, en la que denuncia los hechos ocurridos el día 7 de febrero de 2023. 8. Denuncia ante la Policía Nacional dependencia Zaragoza-Centro, de fecha 20 de febrero de 2023, en la que se hace constar quien es la titular de una de las cuentas y los cargos que se han hecho en la misma. SEGUNDO: Traslado de la reclamación De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a Orange, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 25 de abril de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 25 de mayo de 2023 se recibe en esta Agencia escrito de respuesta indicando: <<PRIMERA. – La pretensión del reclamante, como consta en el Anexo I, es determinar la supuesta “corresponsabilidad” de JAZZTEL, ***EMPRESA.1 Y ***EMPRESA.2 en la “sustracción de las cuentas bancarias, en las que el compareciente es autorizado o titular”. Sustracciones que se adelanta, como consta en la reclamación y en la documentación adjunta, comenzaron el 7 de febrero de 2023, días antes de que con fecha 13 de febrero de 2023 el usurpador consiguiera la activación de duplicado de eSIM suplantando la identidad del titular, con el modus operandi que se explicará a lo largo del presente escrito. Duplicado que de inmediato fue detectado, cancelado y bloqueado por el Departamento de Análisis de Riesgo, Fraude y Prevención del Fraude, así como se boqueó el IMEI. Lo anterior, junto el despliegue del resto de medidas que se exponen a lo largo del presente escrito, tanto como respecto al caso que nos ocupa, como para prevenir supuestos similares. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/54 Por otro lado, en cuanto a las vías de que disponen los clientes para solicitar un duplicado de tarjeta SIM en Jazztel -que como es sabido es una de las marcas de servicios de telecomunicaciones bajo las que opera ORANGE ESPAÑA SAU-, se precisa que es un servicio para cancelar o desactivar la tarjeta que tiene el cliente para conseguir una nueva manteniendo el mismo número, tarifa y condiciones, siendo las vías de solicitud las siguientes, como consta en la siguiente web: Resolvemos tus dudas sobre tu SIM - Ayuda Jazztel  (…). A mayor abundamiento, en cuanto a la eSIM o tarjeta SIM virtual, y como igualmente consta en la siguiente web: Todo lo que necesitas saber sobre las tarjetas eSIM - Ayuda Jazztel actualmente, las vías de solicitud son los siguientes:  (…) En cualquier caso, se ha de tener en cuenta que no es lo mismo solicitar un duplicado de tarjeta sim o eSIM, que solicitar su activación, consistiendo el procedimiento para activar la eSIM en que es necesario escanear un código QR desde el dispositivo móvil. De tal forma que, superado el proceso de verificación de identidad, el cliente elige cómo quiere que le llegue la información para acceder al QR que se deberá escanear en el dispositivo pudiendo elegir entre un email o un sms o ambos. Dicho SMS contiene un enlace al “Área Privada” de Cliente, donde deberá logarse con sus credenciales para poder acceder al código QR. Una vez se realice satisfactoriamente el escaneo del Código QR, es cuando se activará la ESIM y por ende, se desactivará la eSIM física. (…) SEGUNDA. - Sobre los hechos descritos en la reclamación y las medidas y decisiones adoptadas por esta mercantil Se informa en este punto que, tan pronto como esta mercantil recibió la presente reclamación y solicitud de información, se llevaron a cabo las comprobaciones pertinentes, llegándose a las siguientes conclusiones que se informan en los siguientes puntos: (…) En ese momento, desde el citado punto de venta de Madrid, siguiendo el protocolo establecido, se dio comunicación inmediata y directa al Departamento de Análisis de Riesgos, Fraude y prevención del Fraude, que de inmediato revisó el caso y confirmó que se trataba de un DNI manipulado, informando que no tramitaran la solicitud. Además, de conformidad con el Protocolo establecido, tal y como se ha expuesto, desde el citado Departamento se revisó la posibilidad de otros intentos de duplicados irregulares, detectando lo siguiente:

1. i)por un lado, que hubo una solicitud previa duplicado eSIM vía telefónica unos días antes, que se encontraba pendiente de validación por el sistema del envío del Código QR citado, por lo que desde el citado Departamento informaron de inmediato para que no se tramitara. Aunque no se logró C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/54 activar el duplicado de eSIM, el usurpador suplantando la identidad del titular, mediante la utilización de su DNI manipulado y su información personal, así como superando la Política de seguridad establecida, logró el cambio de la dirección de contacto de correo electrónico. Respecto a esta posibilidad de cambio de dirección de correo, se informa con carácter general, que para que un cliente pueda cambiar la dirección de correo o número de teléfono de contacto, primero, debe identificarse con su información personal, su nombre, apellidos y DNI; y adicionalmente, se autentica su identidad con la Política de seguridad establecida. En particular, respecto a la modificación citada, se ha constatado que fue solicitada en la citada llamada telefónica por el usurpador, en la que consta que el agente, tras validar los datos personales y la Política de seguridad en la modalidad de realización de batería de preguntas confidenciales, no advirtió ninguna irregularidad y procedió a realizar el cambio de dirección. Sin embargo, NO logró el usurpador el citado duplicado de eSIM pues no superó la Política de seguridad por token, puesto al inicio informó al agente que había “dejado la tarjeta en otro lado”, tratando de persuadirlo, lo que no consiguió puesto que finalmente, y para darle solución, decidió utilizar las preguntas aleatorias confidenciales, que como se quedaron pendiente de validación no se llegaron a tramitar, finalizando la llamada. Como se ha expuesto, esta solicitud de duplicado nunca llegó a activarse, pues se anuló de forma definitiva, tan pronto como con fecha 10 de febrero de 2023 desde el punto de venta de Madrid al que acudió el usurpador con el DNI manipulado para solicitar una SIM, lo comunicó al Departamento de Análisis de Riesgos, Fraude y Prevención del Fraude, que detectaron la solicitud fraudulenta.
2. ii)por otro lado, se detectó en el análisis por el Departamento de Fraude mencionado que también hubo otro intento de duplicado SIM, también vía telefónica, que tampoco se consiguió por la eficacia de los Protocolos de seguridad establecidos. En este caso, consta que el solicitante (usurpador) se comunicó haciéndose pasar por el titular, suplantando su identidad, indicando que tenía el teléfono roto y necesitaba el duplicado de la tarjeta SIM, a lo que el agente le pidió el dato del DNI y su información personal; sin embargo, no superó la Política de Seguridad. A continuación, le pidió pasar la Política de seguridad, mediante token, pero el agente (cambiando el “speech”) indicó que su teléfono estaba roto y necesitaba el duplicado, tratando de persuadir al agente, ante lo que el agente le solicitó que por medidas de seguridad se tenía que dirigir a una tienda. Dicho esto, y volviendo al relato de hechos que nos ocupa, se informa que, con igual fecha, 10 de febrero de 2023, por el Departamento de Análisis de Riesgos, Fraude y Prevención del Fraude, (…). Se ha constatado que detectado el intento de duplicado fraudulenta, a partir del día 10 de febrero de 2023 se intentó contactar con el titular para informarle del intento de duplicado y de las acciones tomadas en consecuencia, pero no se logró, intentándose C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/54 de nuevo los días siguientes hasta que, como reconoce el reclamante, al fin se logró contactar con su pareja el 14 de febrero de 2023. (…) Al respecto, en el punto 6 de la reclamación consta la manifestación de que no tenía cobertura y que acudió a una tienda física para solicitar un duplicado físico de la SIM, donde se lo tramitaron, reconociendo que a partir de ese día le funcionaba correctamente. (…). 4º El 14 de febrero de 2023 se logró contactar por esta mercantil con la pareja del titular, quien confirmó que no habían solicitado eSIM, que el titular tenía fallos de cobertura con la SIM y, ante la advertencia del agente de las suplantaciones de identidad que pudieran haber tenido otras consecuencias, confirmó que no tenía información de movimientos bancarios. En dicha llamada, el agente le indicó que se había detectado las operaciones fraudulentas y tomado de inmediato y de forma directa todas las medidas. También, se le solicitó que por motivos de seguridad resetearan las claves de acceso e indicó que tenía que remitirles la denuncia policial. (…) Es decir, consta en la denuncia que el afectado, a pesar de haber estado recibiendo las citadas comunicaciones, declara que no se percató de nada hasta “que pasó todo lo denunciado”, esto es, hasta que lamentablemente se produjeron las sustracciones bancarias; pero tal y como se ha puesto de manifiesto por esta parte se cumplió con las cautelas y los protocolos establecidos relativos a informar al afectado, aunque por causas ajenas, no se logró hasta el citado día 14 de febrero de 2023. 5º Las transferencias bancarias reclamadas que el cliente desconoce comenzaron con carácter previo a que se activara el duplicado de tarjeta eSIM el 13 de febrero de 2023, que se reitera fue detectado internamente de inmediato y bloqueado por el Departamento de Análisis de Riesgo, Fraude y Presunción del Fraude. Tal y como consta en la reclamación y documentación anexa. El usurpador tenía anteriormente en su poder el DNI del titular del afectado, que manipuló con otra fotografía con intención de realizar operaciones fraudulentas, siendo esta mercantil una víctima más de sus artimañas e ingeniería social. Se puede concluir que no existe una relación causal entre el mencionado duplicado eSIM del 13 de febrero de 2023 y las transferencias bancarias del día 7 de febrero de 2023 y de 13 de febrero de 2023. (…) Por todo ello, queda acreditada en primer lugar, la robustez y eficacia de los protocolos de identificación y de seguridad, puesto que el usurpador intentó solicitar y activar duplicados de tarjetas en varias ocasiones con carácter previo, pero al no superar la verificación de identidad y la política de seguridad no se activaron; destacándose notablemente la diligente actuación del agente en el punto de venta de Jazztel en Madrid con fecha 10 de febrero de 2023, que de conformidad con el Protocolo establecido alertó al Departamento de Análisis de Riesgos, Fraude y Prevención del Fraude, que actuó con agilidad, inmediatez y de forma diligente, de conformidad con el Protocolo establecido, tanto en la detección del intento de suplantación fraudulenta con el DNI manipulado, como para tomar todas las medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/54 desplegadas de conformidad con el Protocolo establecido para casos de fraude por suplantación de identidad. (…) No obstante, como se ha informado, de forma inmediata a su activación, se detectó de forma interna por los avisos de suplantación, se tomaron las medidas expresadas en las conclusiones anteriores y se trató de establecer comunicación el afectado para alertarle de lo sucedido. Comunicación que fue imposible por causas ajenas a esta mercantil hasta el 14 de febrero de 2023 que se logró contactar a su pareja, quien expresó que no tenían constancia ni de la solicitud de sim ni tampoco de la realización de transferencias bancarias, que se habían realizado (según la documentación adjunta los días 7 de febrero de 2023 y 13 de febrero de 2023. Al respecto, se informa que debido a la naturaleza de este tipo de actos comerciales que implican solicitudes de duplicado de tarjeta SIM o de cambios de datos de contacto, los protocolos establecidos para la atención por parte del personal, especialmente en las primeras líneas, para este tipo de gestiones son muy estrictos y requieren de medidas de carácter formal. Así, el relato fáctico y la documentación que obra en el expediente y que se ha aportado, permite concluir que Jazztel llevó a cabo un tratamiento de datos lícito con plena apariencia de legalidad, acorde a los protocolos establecidos y al procedimiento actual. Así como que una vez el suplantador consiguió superar la identificación puesto que disponía del DNI del titular que manipuló en la fotografía, así como la política de seguridad, se detectó el fraude internamente, desplegándose las medidas que fueron efectivas y diligentes, así como interoperables con el resto de Departamentos, incluida Comunicación a los puntos de venta de Madrid para evitar casos similares. También, se concluye la inexistencia de relación de causalidad entre las irregularidades en relación con la SIM (siendo el 13 de febrero de 2023, cuando se activó el duplicado eSIM, que fue desactivado y bloqueado de inmediato por Fraude) y las transferencias entre los días 7 y 13 de febrero de 2023. Como se ha indicado, el suplantador de identidad tenía en su poder los datos personales del titular legítimo necesarios, e incluso su DNI, que manipuló. Ya tenía conocimiento de los datos personales del afectado, a los cuales no accedió a través de esta mercantil, sino que disponía de ellos. Por último, se informa que pese a que Jazztel establezca medidas de seguridad y las someta a revisión y mejora continua, es inevitable que los particulares, como propietarios de sus datos, tengan cierta responsabilidad en mantener sus credenciales de acceso de forma confidencial, su DNI y resto de información personal, - así en como revisar notificaciones sobre posibles operaciones que pudiera desconocer o alarmarle-, sin facilitarlas a terceros, especialmente cuando éstas dan acceso a portales, como en el presente caso, desde donde pueden realizar ciertas contrataciones e incluso transferencias bancarias. Finalmente, de todo ello se informa que ha sido puesto en conocimiento del reclamante, como consta en el documento que se aporta como documento nº dos. TERCERO.- De las decisiones y medidas propósito de la presente reclamación para evitar que se produzcan incidencias similares. Además de todas medidas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/54 aplicación en el caso en concreto y que fueron informadas al reclamante tan pronto como se logró localizar a través de su pareja, se han tomado con carácter posterior otras medidas de garantía y prevención adicionales tendentes a evitar que vuelvan producirse similares casos en el futuro. Esto es, desde el envío del citado Comunicado que se aportaba como documento nº uno, hasta otros proyectos para reforzar la verificación de identidad y el Protocolo de actuación cuando se detecta la emisión de un duplicado SIM fraudulento, puesto que como se ha indicado en otras ocasiones a la AEPD, en Jazztel se está trabajando de forma continua por reforzar de cara a prevenir los nuevos métodos de ingeniería social y artimañas de los agentes maliciosos que cometen este tipo de fraude, del que esta entidad también es otra víctima. En este sentido y dado el riesgo de suplantaciones de identidad, se informa que esta mercantil está en constante actualización de Planes de Acción de mitigación de riesgos en altas fraudulentas por usurpación de identidad (sim swap y otras tipologías), para tratar de reforzar Protocolos de seguridad y medidas implantados, así como tratar de prevenir y adelantarse a las artimañas de la ingeniería social y/o de los agentes maliciosos. En particular, se informa que además de penalizar al agente ante el que el usurpador consiguió la activación del duplicado, que recibió medidas disciplinarias por mala praxis; se llevó a cabo una formación y pautas de refuerzo con carácter general a los agentes de primera línea para que sigan los protocolos y las políticas de seguridad establecidas para los distintos actos comerciales, tanto en las solicitudes en forma presencial, como no presencial. (…). TERCERO: Admisión a trámite de la reclamación Con fecha 27 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Actuaciones previas de investigación de la AEPD La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. El día 4 de febrero de 2023, según manifiesta Orange, se registró una solicitud de duplicado eSIM pendiente de validación, articulado por el agente malicioso mediante llamada al teléfono 1565. El agente que le atendió confirmó la identidad del llamante mediante una batería de preguntas comprobando la coincidencia de sus datos básicos (nombre y DNI, dirección, entidad bancaria, a lo que la persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/54 llamante indicó “***EMPRESA.3”, evidenciándose que en ese momento ya disponía este dato del Banco en el que se produjeron las sustracciones. Se supone que es un error de transcripción de la parte reclamada y se refiere más bien a ***EMPRESA.1 como banco. Orange aporta grabación de la llamada. Se ha comprobado el contenido de la grabación de la llamada respecto de las afirmaciones siguientes de Orange. (…). Adicionalmente, Orange adjunta impresión de pantalla de la solicitud del duplicado el 4//2/23, y su cancelación el 10/2/23, tras la detección del duplicado irregular por parte del equipo de Análisis de Riesgos, Fraude y Prevención del Fraude. Orange manifiesta que esta solicitud se encontraba pendiente de validación, lo que nunca llegó a ocurrir porque el Departamento de Análisis de Riesgos, Fraude y Prevención del Fraude solicitó su anulación tan pronto como se catalogó una nueva solicitud de duplicado SIM en punto de venta de 10 de febrero de 2023 como fraudulenta y revisó las posibles contrataciones con carácter preventivo. Desde el citado Departamento de Análisis, concluyeron que presumiblemente, el agente malicioso tenía en su poder, desconociéndose el motivo, una copia del DNI físico del afectado y conocimiento de sus datos básicos e incluso entidad financiera. Tanto por el agente del punto de venta como por el equipo de Análisis de Riesgos, Fraude y Prevención del Fraude se actuó conforme el protocolo establecido estos casos, cancelando la solicitud tan pronto como se detectó el intento de duplicado fraudulento con fecha 10 de febrero de 2023, revisando otras posibles y anulándolas de inmediato, junto con el resto de las medidas ya informadas. Orange concluye que el usurpador no logró su propósito de conseguir el duplicado eSIM al no superar la citada política para lograr la validación efectiva (como se explicó, se quedó pendiente de validación la solicitud por el sistema del envío del Código QR el cual la persona indicaba que no lo recibía tratando de persuadir al agente), si bien dado que disponía de los datos personales del ahora reclamante superó la política de seguridad para actualización de correo electrónico y facilitó una nueva dirección que fue actualizada en sistemas por parte del agente. Orange indica que, respecto a esta posibilidad de cambio de dirección de correo, para que un cliente pueda cambiar la dirección de correo o número de teléfono de contacto, primero, (…). Orange manifiesta que, sin embargo, no logró el usurpador el citado duplicado de eSIM pues no superó la Política de seguridad por token, puesto que al inicio informó al agente que había “dejado la tarjeta en otro lado”, tratando de persuadirlo, lo que no consiguió puesto que finalmente, y para darle solución, decidió utilizar las preguntas aleatorias confidenciales, que como se quedaron pendiente de validación no se llegaron a tramitar, finalizando la llamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/54 2. El día 7 de febrero de 2023 la parte reclamante manifiesta que recibe SMS de ***EMPRESA.2 que no vio hasta pasar los hechos, de transferencia fraudulenta desde ***EMPRESA.2 (titular (…) y el reclamante como autorizado), detectado el 14/2/23. 3. El día 7 de febrero de 2023 la parte reclamante manifiesta que se realiza apertura de cuenta en ***EMPRESA.2 a su nombre sin consentimiento, con transferencia a ella y solicitud de préstamo. 4. El día 8 de febrero de 2023 la parte reclamante manifiesta que envía un email a ***EMPRESA.1 desde su dirección ***EMAIL.4 como titular de la cuenta, informando que recibió dos abonos por transferencias de céntimos de ***EMPRESA.2 y ***EMPRESA.4, respectivamente, que según el reclamante, indicaba que un tercero era conocedor de sus datos bancarios sin su autorización. 5. El día 10 de febrero de 2023 Orange (Jazztel) manifiesta que internamente abre incidencia de intento de duplicado SIM de la línea ***TELÉFONO.1 por parte del usurpador, intento que no se tramitó gracias a la diligencia del agente del punto de venta de tienda propia sita en Madrid, quien, al verificar la identidad del solicitante observó que se aportaba de forma física un DNI manipulado. Aunque era el mismo y coincidía con el registrado en sistemas, variaba la fotografía perteneciendo a otra persona distinta del titular, advirtiendo que constaba manipulada. Orange indica que, en ese momento, desde el citado punto de venta de Madrid, siguiendo el protocolo establecido, se dio comunicación inmediata y directa al Departamento de Análisis de Riesgos, Fraude y prevención del Fraude, que de inmediato revisó el caso y confirmó que se trataba de un DNI manipulado, informando que no tramitaran la solicitud. Además, de conformidad con el Protocolo establecido, desde el citado Departamento se revisó la posibilidad de otros intentos de duplicados irregulares, detectando lo siguiente:
3. i)por un lado, que hubo una solicitud previa duplicado eSIM vía telefónica de 4/2/23, que se encontraba pendiente de validación por el sistema del envío del Código QR citado, por lo que desde el citado Departamento informaron de inmediato para que no se tramitara el 10/2/23.
4. ii)por otro lado, se detectó en el análisis por el Departamento de Fraude mencionado que también hubo otro intento de duplicado SIM, también vía telefónica, que tampoco se consiguió por la eficacia de los Protocolos de seguridad establecidos. En este caso, consta que el solicitante (usurpador) se comunicó haciéndose pasar por el titular, suplantando su identidad, indicando que tenía el teléfono roto y necesitaba el duplicado de la tarjeta SIM, a lo que el agente le pidió el dato del DNI y su información personal; sin embargo, no superó la Política de Seguridad. A continuación, le pidió pasar la Política de seguridad, mediante token, pero el solicitante (usurpador) (cambiando el “speech”) indicó que su teléfono estaba roto y necesitaba el duplicado, tratando de persuadir al agente, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/54 ante lo que el agente le solicitó que por medidas de seguridad se tenía que dirigir a una tienda. Con igual fecha, 10 de febrero de 2023, por el Departamento de Análisis de Riesgos, Fraude y Prevención del Fraude, se insertó una NOTA DE AVISO claro en todos los sistemas en mayúscula y de lectura obligatoria con carácter previo a acceder al mismo: “¡¡¡MUY IMPORTANTE!!! EL CLIENTE HA SIDO VÍCTIMA DE USURPACIÓN DE SU IDENTIDAD CON DUPLICADO DE SIM, NO TRAMITAR PEDIDOS Y REMITIR AL CLIENTE CAMBIO DE CONTRASEÑAS DE AREA CLIENTE”. Orange aporta la captura de pantalla de sistemas de fecha 10/2/2023 con la nota de aviso indicada anteriormente. Orange manifiesta que ha constatado que detectado el intento de duplicado fraudulento, a partir del día 10 de febrero de 2023 se intentó contactar con el titular a las tres numeraciones de contacto, para informarle del intento de duplicado y de las acciones tomadas en consecuencia, pero no se logró, intentándose de nuevo los días siguientes hasta que, como reconoce el reclamante, al fin se logró contactar (…) el 14 de febrero de 2023, un día después de que con fecha 13 de febrero de 2023 se solicitara vía llamada en el 1565 el duplicado eSIM en la que haciéndose pasar por el titular y con uso de los datos de su DNI manipulado y de toda su información personal, consiguió que el agente creara expediente de activación de duplicado eSIM y se validó al superar la política de seguridad. Orange aporta las comunicaciones con el reclamante registradas desde el 10 de febrero de 2023 a la actualidad. (Entrada 23e00061618202 de Orange de 14/9/23, documento1). Se comprueba en este documento que: - el 10/2/2023 consta la nota de aviso del Dpto. de Fraude citada anteriormente; - el 11/2/2023 cuatro SMS a la numeración del reclamante ***TELÉFONO.1 con el mensaje (…). - el 11/2/2023 un SMS a la numeración de contacto del reclamante y contratada con Jazztel ***TELÉFONO.2 con el mensaje “(…), - el 13/2/2023 un SMS a la numeración afectada del reclamante ***TELÉFONO.1 con el mensaje “(…)” - el 13/2/2023 consta desde la numeración 1565 “Acción realizada correctamente” 2. 11/2/2023, Orange manifiesta que consta la activación sin irregularidades de duplicado de SIM en punto de venta de Zaragoza, superando las medidas de verificación de identidad y el protocolo de seguridad, que fue tramitado por el titular legítimo. Al respecto, en el punto 6 de la reclamación consta la manifestación de que no tenía cobertura y que acudió a una tienda física para solicitar un duplicado físico de la SIM, donde se lo tramitaron, reconociendo que a partir de ese día le funcionaba correctamente. A pesar de ello, llama la atención que estaba ilocalizable a pesar de los intentos para contactar con él, hasta que con fecha 14 de febrero de 2023 se consiguió. 3. 13/2/23 OE manifiesta que se solicitó duplicado eSIM vía llamada en el 1565 en la que un usurpador, haciéndose pasar por el legítimo titular y suplantando su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/54 identidad con uso de los datos de su DNI manipulado y de su información personal, que presumiblemente tenía en su poder y consta que la tenía desde tiempo atrás, logró que el agente comercial creara un expediente de activación de duplicado eSIM, superando las medidas de identificación y la Política de Seguridad por medio de preguntas confidenciales. Orange indica que, en ese mismo momento en el que el usurpador superó las Políticas de seguridad, saltó el aviso al Departamento de Análisis de Riesgos, Fraude y Prevención el Fraude, detectándose de manera interna que se trataba de la activación de un duplicado eSIM con posible suplantación de identidad, tras lo que se analizó y se catalogó de fraude, por lo que se bloqueó el duplicado de eSim, el número ***TELÉFONO.1. También, se subió el denominado ANI a una Lista Interna particular para prevenir futuros casos. Este último, el ANI, se informa a efectos informativos que es un aviso de la numeración desde el que llama el usurpador para hacer la solicitud con suplantación de identidad, en el caso, desde el que llamaron el 13 de febrero de 2023 al 1565 para solicitar la activación del duplicado eSIM. Se ha indicado más arriba que se ha comprobado en la grabación facilitada por Orange de la llamada al 1565 en el intento fallido de duplicado eSIM de 4/2/2023 que la política de seguridad de esta gestión consiste en validación de datos personales: (…). Orange aporta impresiones de pantalla de sistemas de Jazztel, donde manifiesta que se observa la tramitación, así como que de inmediato ese mismo día, horas después, fue bloqueada la numeración y el duplicado, tratándose de contactar con el afectado, lo que se logró al día siguiente a través de su pareja. Se comprueba, que en la captura de pantalla de estas gestiones de bloqueo consta la fecha 14/2/23 y hora 15:32 y 15:41, es decir, al día siguiente del 13/2/2023. Orange aclara que, además de las anteriores medidas tomadas por el Departamento de Análisis de Riesgos, Fraude y Prevención del Fraude y de conformidad con el Protocolo interno establecido, se envió COMUNICACIÓN a los Puntos de Venta de Madrid, en concreto para los Departamentos Territoriales de Ventas, Estrategia de Ventas, Seguridad Autorizaciones, Activaciones, Atención al Cliente, Logística, comunicando y advirtiendo sobre la detección del sujeto que está acudiendo a varios puntos de venta de Madrid usurpando la identidad del cliente para realizar duplicado SIM. El citado Comunicado incluye también un recordatorio claro y explícito de que la SIM de reemplazo JAMAS será entregada a una persona distinta del titular, aunque lleve la autorización firmada. También, se les recordó que el documento de identidad SIEMPRE será validado en KYC/Firma Digital y se tramitará únicamente cuando la respuesta sea OK”, adjuntando la foto del actor o agente malicioso y DNI manipulado. Orange incluye al final de mismo en formato resaltado el recordatorio del Procedimiento interno en caso de detectar clientes con estas características: envío de email a los buzones del Departamento de Fraude y plataforma gestión tráfico; con el documento identificativo y toda la documentación aportada e información relevante; todo ello más llamada informativa a un teléfono a tal efecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/54 Orange aporta como documento nº uno (docunocomunicacojazztel), copia del citado Comunicado remitido a los puntos de venta de Madrid el 13 de febrero de 2023 para evitar casos similares, y que contiene el DNI manipulado, en que si se hace la comparativa con el DNI original se observa la irregularidad. Se comprueba que el contenido del documento contiene lo indicado por Orange. Según Orange, el aviso en sistemas de lectura obligatoria se insertó con fecha 10 de febrero de 2023 por el Departamento de Análisis de Riesgos, Fraude y Prevención del Fraude, siendo probable y tras las oportuna comprobaciones, a la vista de la presente reclamación, que el agente del punto de venta en que se tramitó el duplicado SIM al titular legítimo realizó la validación respecto al cliente y la línea, pero no detectó el aviso en sistemas incluido por el citado Departamento, habiendo sido reprendido por ello y habiéndose realizado un refuerzo respecto a este tipo de avisos de lectura obligatoria para evitar vuelva a suceder. Orange aporta el documento 1 con las comunicaciones con el reclamante registradas desde el 10/2/023 a la actualidad, que sigue siendo cliente actual de Orange. Se comprueba en el citado documento que constan los siguientes envíos, de forma resumida, al teléfono del reclamante: - 10/2/23 aviso de riesgo de usurpación de identidad con duplicado sim.- 11/2/23 cuatro sms de 14:30 a 14:40h para finalizar el registro en el área privada de Jazztel enviados al nº de móvil objeto de la reclamación.- 11/2/23 14:40h un sms de recordatorio de acceso al área privada de cliente con enlace para la descarga de la app de Jazztel enviado al nº de móvil ***TELÉFONO.2 que es uno de los contratados por el reclamante.- 13/2/23 8:04h un sms de información de Jazztel para activar Depósito de megas y un enlace para más información enviado al nº de móvil objeto de la reclamación.- 13/2/23 14:26h acción realizada correctamente. - 13/2/23 14:28h modificación del email a ***EMAIL.1.- 13/2/23 15:56h activado bloqueo datos, llamadas y sms/mms salientes. - 13/2/23 19:08h pérdida de cobertura, emite duplicado, sigue el fallo y se envía a tienda para garantía. - 14/2/23 10:28h modificación del email a ***EMAIL.2. - 14/2/23 15:32h Numeración bloqueada (del reclamante) por robo/pérdida. - 14/2/23 15:41h Afectado por fraude tarjeta eSIM 13/2/23. - 18/2/23 10:46h envío factura a email ***EMAIL.3. - De 18/2/23 a 23/5/23 gestiones con el reclamante de resolución de la reclamación y otras consultas. 4. 13/2/23 el reclamante manifiesta que recibe sms de Jazztel de éxito en activación de eSIM, que el reclamante no vio hasta pasados los hechos. Se comprueba que esta afirmación corresponde con lo recogido en el arriba mencionado documento 1 de la entrada 23e00061618202, donde aparece la comunicación de 13/2/23 a 14:26h de “Acción realizada correctamente”. 5. 13/2/23 el reclamante manifiesta que se personó en tienda Jazztel por problemas de cobertura sin darle solución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/54 6. 13/2/23 el reclamante manifiesta que se realiza transferencia fraudulenta desde ***EMPRESA.1 como titular y fue comunicado el 14/2/23 por el banco. 7. 14/2/23 el reclamante manifiesta que recibe sms de aviso de ***EMPRESA.1 que no vio hasta pasados los hechos. 8. 14/2/23 el reclamante manifiesta que Jazztel contactó con B.B.B. como contacto de recuperación del teléfono del reclamante para resetear la cuenta. El reclamante manifiesta que contactó con Jazztel y le dijeron que todo era OK, en concreto, ella confirmó que no habían solicitado eSIM, que el titular tenía fallos de cobertura con la SIM y, ante la advertencia del agente de las suplantaciones de identidad que pudieran haber tenido otras consecuencias, confirmó que no tenía información de movimientos bancarios. En dicha llamada, el agente le indicó que se había detectado las operaciones fraudulentas y tomado de inmediato y de forma directa todas las medidas. También, se le solicitó que por motivos de seguridad resetearan las claves de acceso e indicó que tenía que remitirles la denuncia policial. 9. 14/2/23 el reclamante manifiesta que recibe sms y email de ***EMPRESA.1 a 2 direcciones electrónicas ***EMAIL.4 y ***EMAIL.5 comunicando irregularidades bancarias de 13/2/23. 10. 14/2/23 el reclamante manifiesta que recibe comunicación verbal en oficina de ***EMPRESA.2 de irregularidades bancarias de 7/2/23. 11. 14/2/23 el reclamante manifiesta que presenta reclamación en tienda de Orange en Zaragoza. 12. 17 y 20/2/23 el reclamante presenta y aporta denuncia policial. 13. 20/2/23 el reclamante presenta y aporta reclamación ante ***EMPRESA.1. 14. 21 y 29/2/23 el reclamante presenta y aporta reclamación ante ***EMPRESA.2. 15. 24/2/23 OE manifiesta que el reclamante le presenta reclamación con la denuncia ante la DGP adjunta, notificada el 1 de marzo de 2023 a Orange. Orange manifiesta que consta en la reclamación presentada ante la Agencia, en el apartado Alegaciones, Cuestiones Previas, que la sustracción de las cuentas bancarias de ***EMPRESA.1 y ***EMPRESA.2 “fue advertida por el compareciente con fecha 14 de febrero de 2023”. En la denuncia policial de 17/2/23 y en la documentación aportada por el reclamante, consta que hubo trasferencias bancarias de 7/2/23 y que recibió sms de aviso bancario desde esa misma fecha, y que el reclamante declaró no haberlos visto “hasta después de haber acaecido los hechos debido a los problemas de cobertura del teléfono móvil, personándose el 11 de febrero de 2023 en tienda Orange en Zaragoza a fin de solicitar duplicado de tarjeta SIM, siéndole entregado duplicado de dicha tarjeta, funcionado correctamente”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/54 Orange ha aportado registros de sus sistemas y pone de manifiesto que no constan incidencias en ese sentido por fallos de cobertura anteriores y hasta que el mismo 11 de febrero de 2023 acudió a tienda en Zaragoza para pedir un duplicado. Orange, declara que los SMS informativos del Banco se enviaron desde el 7 de febrero de 2023. Al respecto, según la denuncia policial, el afectado declaró que “el mismo día 13 de febrero de 2023 el dicente recibió un SMS proveniente de Jazztel EN EL QUE CONSTA “SE HA TRAMITADO CON ÉXITO LA ACTIVACIÓN DE TU TARJETA ESIM. PUEDES CONSULTAR LAS INSTRUCCIONES DE ACTIVACIÓN EN `INFO”, a pesar de lo que declaró que “no habiéndose percatado dicente de dicho SMS hasta que pasó todo lo denunciado”. Orange, señala que en el punto 3 de la reclamación que ese día (7 de febrero de 2023) se “realizaron fraudulentamente…varias operaciones de transferencia bancaria desde la cuenta bancaria de ***EMPRESA.2 por importe de (…) euros”, de lo que manifiesta como era autorizado no se dio cuenta hasta el 14 de febrero de 2023, una semana después cuando fue informado por Jazztel y recibió las notificaciones de las Entidades Bancarias. Añade el afectado además, que ese mismo día, por tanto, antes del duplicado de tarjeta e sim fraudulento detectado el 13 de febrero de 2023, “se abrió sin su consentimiento, …en ***EMPRESA.2… (…) …”. Al respecto de lo que, en el punto 8 de la reclamación expresa que “con fecha 13 de febrero de 2023…se realizaron fraudulentamente…varias operaciones bancarias desde la cuenta de ***EMPRESA.1”… y finalmente, que “el 14 de febrero recibió comunicaciones, a su vez, por dos entidades bancarias advirtiendo de irregularidades”. Orange manifiesta que, consta en la denuncia que el afectado, a pesar de haber estado recibiendo las citadas comunicaciones, declara que no se percató de nada hasta “que pasó todo lo denunciado”, esto es, hasta que lamentablemente se produjeron las sustracciones bancarias; pero tal y como se ha puesto de manifiesto por esta parte se cumplió con las cautelas y los protocolos establecidos relativos a informar al afectado, aunque por causas ajenas, no se logró hasta el citado día 14 de febrero de 2023. Orange manifiesta que las transferencias bancarias reclamadas que el cliente desconoce comenzaron con carácter previo a que se activara el duplicado de tarjeta eSIM el 13 de febrero de 2023, que fue detectado internamente de inmediato y bloqueado por el Departamento de Análisis de Riesgo, Fraude y Presunción del Fraude. Orange manifiesta que el usurpador tenía anteriormente en su poder el DNI del titular del afectado, que manipuló con otra fotografía con intención de realizar operaciones fraudulentas, siendo esta mercantil una víctima más de sus artimañas e ingeniería social. Se puede concluir que no existe una relación causal entre el mencionado duplicado eSIM del 13 de febrero de 2023 y las transferencias bancarias del día 7 de febrero de 2023 y de 13 de febrero de 2023. Orange manifiesta que debido a la naturaleza de este tipo de actos comerciales que implican solicitudes de duplicado de tarjeta SIM o de cambios de datos de contacto, los protocolos establecidos para la atención por parte del personal, especialmente en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/54 las primeras líneas, para este tipo de gestiones son muy estrictos y requieren de medidas de carácter formal. Orange continúa con que, así, el relato fáctico y la documentación que obra en el expediente y que se ha aportado, permite concluir que Jazztel llevó a cabo un tratamiento de datos lícito con plena apariencia de legalidad, acorde a los protocolos establecidos y al procedimiento actual. Así como que una vez el suplantador consiguió superar la identificación puesto que disponía del DNI del titular que manipuló en la fotografía, así como la política de seguridad, se detectó el fraude internamente, desplegándose las medidas que fueron efectivas y diligentes, así como interoperables con el resto de los Departamentos, incluida Comunicación a los puntos de venta de Madrid para evitar casos similares. Orange también concluye la inexistencia de relación de causalidad entre las irregularidades en relación con la SIM (siendo el 13 de febrero de 2023, cuando se activó el duplicado eSIM, que fue desactivado y bloqueado de inmediato por Fraude) y las transferencias entre los días 7 y 13 de febrero de 2023. Como se ha indicado, el suplantador de identidad tenía en su poder los datos personales del titular legítimo necesarios, e incluso su DNI, que manipuló. Ya tenía conocimiento de los datos personales del afectado, a los cuales no accedió a través de esta mercantil, sino que disponía de ellos. Orange por último, informa que pese a que Jazztel establezca medidas de seguridad y las someta a revisión y mejora continua, es inevitable que los particulares, como propietarios de sus datos, tengan cierta responsabilidad en mantener sus credenciales de acceso de forma confidencial, su DNI y resto de información personal, - así en como revisar notificaciones sobre posibles operaciones que pudiera desconocer o alarmarle-, sin facilitarlas a terceros, especialmente cuando éstas dan acceso a portales, como en el presente caso, desde donde pueden realizar ciertas contrataciones e incluso transferencias bancarias. Orange finalmente, de todo ello, informa que ha sido puesto en conocimiento del reclamante, como consta en el documento nº dos, en fecha 20/5/2023. Orange manifiesta que “sobre las decisiones y medidas para evitar que se produzcan incidencias similares, además de todas medidas de aplicación en el caso en concreto y que fueron informadas al reclamante tan pronto como se logró localizarlo, se han tomado con carácter posterior otras medidas de garantía y prevención adicionales tendentes a evitar que vuelvan a producirse similares casos en el futuro. Esto es, desde el envío del citado Comunicado que se aportaba como documento nº uno, hasta otros proyectos para reforzar la verificación de identidad y el Protocolo de actuación cuando se detecta la emisión de un duplicado SIM fraudulento, puesto que en Jazztel se está trabajando de forma continua por reforzar de cara a prevenir los nuevos métodos de ingeniería social y artimañas de los agentes maliciosos que cometen este tipo de fraude, del que esta entidad también es otra víctima. En este sentido y dado el riesgo de suplantaciones de identidad, se informa que esta mercantil está en constante actualización de Planes de Acción de mitigación de riesgos en altas fraudulentas por usurpación de identidad (sim swap y otras tipologías), para tratar de reforzar Protocolos de seguridad y medidas implantados, así C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/54 como tratar de prevenir y adelantarse a las artimañas de la ingeniería social y/o de los agentes maliciosos. En particular, se informa que además de penalizar al agente ante el que el usurpador consiguió la activación del duplicado, que recibió medidas disciplinarias por mala praxis; se llevó a cabo una formación y pautas de refuerzo con carácter general a los agentes de primera línea para que sigan los protocolos y las políticas de seguridad establecidas para los distintos actos comerciales, tanto en las solicitudes en forma presencial, como no presencial. Adicionalmente a lo anterior, se informa que mercantil se encuentra trabajando en la implementación total de medidas de optimización y refuerzo de la solución CIAM (Gestión de identidad y acceso de clientes), para lo que se lanzó el Proyecto denominado “Identity”, cuyo objeto es evolucionar las funcionalidades proporcionadas por nuevas herramientas CIAM. Esta mejora permitirá sustituir o evolucionar la solución actual para cubrir los GAP´s identificados. Las funcionalidades que se espera cubrir con la nueva solución son: • (…) Finalmente, se informa que dicho proyecto, se tiene planificado finalizar las fases de evaluación, toma de decisiones y planificación de implantación para el tercer trimestre de este año, por las implicaciones que conlleva a nivel técnico y de desarrollo en sistemas”. QUINTO: Volumen de negocios de ORANGE De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ORANGE ESPAGNE, S.A.U. es una gran empresa constituida en el año 1998, y con un volumen de negocios de 4.311.999.000 euros en el año 2023. SEXTO: Inicio de procedimiento sancionador Con fecha 19 de noviembre de 2024 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. SÉPTIMO: Alegaciones al acuerdo de inicio de procedimiento sancionador Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada solicitó ampliación de pazo y copia del expediente que le fue concedido y presentó escrito de alegaciones el día 12 de diciembre de 2024 en el que, manifiesta su disconformidad con el contenido de los fundamentos expuestos en el Acuerdo de Inicio y se ratifica y da por reproducidas íntegramente las alegaciones y argumentaciones jurídicas presentadas en sus anteriores escritos: Primera. – DE LA EXISTENCIA DE PREJUDICIALIDAD PENAL. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/54 Insiste que los hechos objeto del presente Acuerdo de Inicio, son, a su vez, la base de una investigación penal, estando los mismos, supeditados por el principio de prejudicialidad penal establecido en el artículo 10 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial. Señala que este asunto debe resolverse en primer lugar en la vía penal, con carácter previo a cualquier pronunciamiento en la vía administrativa, que se estaría sancionando doblemente por los mismos hechos, y que resulta imperativo suspender este procedimiento hasta que quede resuelta la causa penal. Segunda. – SOBRE EL SUPUESTO DE HECHO. La defensa procede a una descripción cronológica detallada de los hechos, señalando que se produjeron tres intentos fallidos en fechas 4, 10 y 13 de febrero de 2023 y un intento logrado el 13 de febrero de 2023 de duplicado eSIM de la parte reclamante. Señala que pese a la concesión de dicho duplicado de tarjeta SIM irregular, la contratación revestía total apariencia de legalidad toda vez que el usurpador tenía en su poder toda la información necesaria, incluso aquella confidencial (como su entidad de pago de las facturas o el importe de su última factura), perteneciente al Reclamante. Asimismo, asegura la robustez y eficacia de los protocolos de identificación y de seguridad, destacando la diligente actuación del agente en los intentos fallidos y la diligencia en la toma de medidas frente a la activación del suplicado eSIM de 13 de febrero de 2023. Indica la inexistencia de relación de causalidad entre las irregularidades en relación con la SIM (siendo el 13 de febrero de 2023, cuando se activó el duplicado eSIM, que fue desactivado y bloqueado de inmediato por Fraude) y las transferencias efectuadas entre los días 7 y 13 de febrero de 2023 en nombre del Reclamante. Manifiesta, que la emisión de un duplicado de tarjeta SIM implica la emisión de una tarjeta SIM vacía, sin ninguna información personal. La tarjeta SIM “duplicada”, es un dispositivo materialmente nuevo, cuya configuración de fábrica no incluye ningún tipo de información previa que pudiese haberse incluido en la tarjeta SIM anterior. En otras palabras, la tarjeta SIM “duplicada” podría equivaler a un dispositivo móvil nuevo, cuando se entrega en tienda, donde evidentemente no se encuentra ningún tipo de información, sino que será, el ahora propietario, quien se encargue de configurarlo e incluir todo aquello que necesite. Por ende, la misma no permite, por sí misma, el acceso a ningún tipo de información bancaria o de índole financiera. Señala que la Agencia omite en el Acuerdo de Inicio que, para ello, es necesario un paso previo, donde los malhechores deberán obtener y poder utilizar las credenciales bancarias del Reclamante, para poder identificarse y, en primer lugar, realizar la suplantación de identidad ante su entidad financiera. En este caso considera que está acreditado y es más que evidente esta circunstancia atendiendo al hecho de que se llevaron a cabo por los delincuentes 11 transferencias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/54 bancarias en ***EMPRESA.1 y 6 en Santander en fechas anteriores a la realización del duplicado de tarjeta SIM. Afirma, que las medidas de seguridad han sido efectivas en casi la totalidad de los intentos, y que la descalificación general de la política de seguridad de Orange no está fundamentada ni justificada. Tercera. – DEL ROL DE VÍCTIMA DE ORANGE La defensa procede a indicar que la solicitud de una tarjeta eSIM a través de llamada telefónica pasando una política de seguridad y siendo necesarias para su activación el conocimiento ya no únicamente de los datos personales del solicitante, sino, también, las credenciales de acceso al área privada de cliente personal e intransferible del mismo, lo que evidencia una sofisticación en las técnicas de los suplantadores de identidad. Que Orange disponía de medidas que demostraron ser válidas, adecuadas y suficientes ante intentos prácticamente idénticos de suplantación de identidad con la finalidad de obtener un duplicado de tarjeta SIM, tal y como se evidencia en la descripción de los hechos, donde se consiguieron paralizar hasta cuatro solicitudes de duplicado. Es por todo reiterar la importancia de situar correctamente a ORANGE en su posición de víctima de un ataque criminal instrumentado a través de su compañía. Cuarta. - SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA. La parte reclamada, señala que el presente Acuerdo de Inicio de la Agencia se basa exclusivamente en un (escueto) análisis del resultado, considerando que la emisión de un duplicado de tarjeta SIM derivado de un error puntual manual de un Agente conlleva la automática consideración de que no se adoptaron medidas adecuadas y, por tanto, a juicio de la AEPD, surgiendo automáticamente la responsabilidad directa por parte de ORANGE. Alega que la imputación de una infracción grave, con la imposición de la consiguiente sanción, fundamentada exclusivamente en un resultado indeseado en un supuesto aislado supone adoptar un principio de responsabilidad objetiva en el ámbito sancionador, vetado por nuestro Ordenamiento Jurídico, indicando que el Tribunal Constitucional (en lo sucesivo, “TC”), desde su Sentencia nº 76/1990 de 26 de abril, ha venido advirtiendo del problema de la inadmisibilidad en nuestro ordenamiento jurídico de la responsabilidad objetiva y, consecuente con ello, la exigencia en todo caso de que la Administración, a la hora de sancionar, pruebe algún grado de intencionalidad en el sancionado. Señala, que esta interpretación extensiva de la potestad sancionadora (que otorga, en este caso el RGPD), y que la Agencia ejecuta en su Acuerdo de Inicio, ha sido nuevamente categorizada como no aceptable por el Tribunal Justicia de la Unión Europea (en adelante, “TJUE”), en sus recientes Sentencias relativas a los asuntos C683/211 (Nacionalinis visuomenės sveikatos centras) y C-807/212 (Deutsche Wohnen). 1 Sentencia del Tribunal Justicia de la Unión Europea. Asunto C-683/21 Nacionalinis visuomenės sveikatos centras. Disponible en el link: https://curia.europa.eu/juris/documents.jsf?num=C-683/21 2 Sentencia del Tribunal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/54 Europeo de Justicia. Asunto C-807/21 Deutsche Wohnen. Disponible en el link: https://curia.europa.eu/juris/documents.jsf?num=C-807/21 EXP202305035. En el asunto C-683/2021, en concreto, el TJUE estipula: “El Gobierno lituano y el Consejo de la Unión Europea deducen de ello que el legislador de la Unión pretendió dejar a los Estados miembros un cierto margen de apreciación en la aplicación del artículo 83 del RGPD, permitiéndoles prever la imposición de multas administrativas en virtud de dicha disposición, en su caso, sin que se acredite que la infracción del RGPD sancionada con dicha multa se haya cometido deliberadamente o por negligencia. Tal interpretación del artículo 83 del RGPD no puede aceptarse”. Y continúa: “…nada en el tenor literal del artículo 83, apartados 1 a 6, del RGPD indica que el legislador de la Unión pretendiera dejar un margen de apreciación a los Estados miembros en cuanto a los requisitos materiales que debe cumplir una autoridad de control cuando decide imponer una multa administrativa a un responsable del tratamiento por una infracción contemplada en los apartados 4 a 6 de dicho artículo. […] Esta constatación también se ve corroborada por la lectura conjunta de los artículos 83 y 84 del RGPD. Afirma que el artículo 83 del RGPD no permite la imposición de una multa administrativa por una infracción contemplada en los apartados 4 a 6 de dicho artículo sin que se haya demostrado que dicha infracción ha sido cometida deliberadamente o por negligencia por el responsable del tratamiento y que, por lo tanto, la existencia de una infracción culpable constituye un requisito para la imposición de tal multa”. Que, la AEPD contradice frontalmente la jurisprudencia aplicable al procedimiento administrativo sancionador: entre otras, la Sentencia del Tribunal Supremo (STS) 5298/1994, de 9 de julio de 1994, que indica: “…la potestad sancionadora de la Administración goza de la misma naturaleza que la potestad penal, por lo que en consecuencia, las directrices estructurales del ilícito administrativo tienden también, como en el ilícito penal, a conseguir la individualización de la responsabilidad, vedando cualquier intento de construir una responsabilidad objetiva o basada en la simple relación con una cosa, por consiguiente en el ámbito de la responsabilidad administrativa no basta con que la conducta sea antijurídica y típica, sino que también es necesario que sea culpable, esto es, consecuencia de una acción u omisión imputable a su autor por malicia o imprudencia, negligencia o ignorancia inexcusable (STC, Sala del artículo 61 de la Ley Orgánica del Poder Judicial, de 6 de noviembre de 1990)”. En virtud de lo anterior, resulta posible afirmar que este proceder de la AEPD en la Resolución no es conforme a la legalidad vigente, como ya ha indicado esta Excma. Sala, entre otras, en la Sentencia de la Sala de lo Contencioso-administrativo de la Audiencia Nacional, Sección 1ª, de 23 de diciembre de 2013, Rec. 341/2012: “Efectivamente, en materia sancionadora rige el principio de culpabilidad (SSTC15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998, “...puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril, al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho. La cuestión, pues, ha de resolverse conforme a los principios propios del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/54 derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional. En el ámbito de la protección de los datos de carácter personal, para que ese error pueda resultar relevante a efectos punitivos debe ser consecuencia -o estar posibilitado- por la ausencia de previos y adecuados procedimientos de control encaminados a su evitación. Sólo de esa manera aparecerá un factor de culpabilidad en la empresa, asignable a la imprudencia (o "simple inobservancia") por aquella falta de articulación de protocolos o de procedimientos de seguridad. Pero esas carencias deben ser objeto de indagación y prueba por parte del órgano administrativo sancionador (al que le incumbe la carga de su realización en destrucción de la presunción de inocencia)”. Y, en la misma línea, procede traer aquí a colación la Sentencia de la Audiencia Nacional, Sala de lo Contencioso, de 25 de febrero de 2010, nº de Recurso 226/2009, que específicamente recoge: “LOPD establece una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros, tal obligación no es absoluta y no puede abarcar un supuesto como el analizado. En el caso de autos, el resultado es consecuencia de una actividad de intrusión, no amparada por ordenamiento jurídico y en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que rompiendo los sistemas de seguridad establecidos accede a la base de datos de usuarios registrados en www.portalatino.com, descargándose una copia de la misma. Y, tales hechos, no pueden imputarse a la entidad recurrente pues, de otra forma, se vulneraría el principio de culpabilidad”. Ha de remarcarse la similitud del presente supuesto de hecho con el recogido en la extractada Sentencia de la Audiencia Nacional (en adelante, SAN) de 25 de febrero de 2010: se trata de intrusiones cometidas de manera ilegal, por terceros con conocimientos informáticos y de los sistemas, dirigidos a una actividad delictiva. A mayor abundamiento, la imposición de una obligación de resultado por la normativa de protección de datos en el despliegue de medidas de seguridad ha sido revocada por la Sentencia de nuestro Alto Tribunal, la STS 543/2022, de 15 de febrero, la cual establece en su Fundamento Jurídico 3º, y sienta jurisprudencia; que: “La obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado, que implique que producida una filtración de datos personales a un tercero exista responsabilidad con independencia de las medidas adoptadas y de la actividad desplegada por el responsable del fichero o del tratamiento”. Así, el TS configura dicha obligación como una de medios, en las que (Fundamento Jurídico 3º): “el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones "de diligencia " o "de comportamiento". La diferencia radica en la responsabilidad en uno y otro caso, pues mientras que en la obligación de resultado se responde ante un resultado lesivo por el fallo del sistema de seguridad, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/54 cualquiera que sea su causa y la diligencia utilizada, “en la obligación de medios basta con establecer medidas técnicamente adecuadas e implantarlas y utilizarlas con una diligencia razonable”. Es por ello por lo que esta parte considera que el presente Acuerdo de Inicio no es ajustado a derecho, pues impone a ORANGE una obligación de resultado, consistente en el establecimiento de medidas infalibles, al imputar una infracción del artículo 32 del RGPD basándose únicamente en el resultado lesivo que se produce por la intervención fraudulenta de un tercero, sin atender a la diligencia utilizada, sin considerar el despliegue de medidas técnicamente adecuadas e implantadas, ni la actitud negligente del propio interesado, quien recibió reiterados SMS de las entidades bancarias informando de transferencias días antes a la realización del duplicado de tarjeta SIM, lo que denotaba una intrusión en su banca electrónica que propició la realización del duplicado posterior. En este sentido, es preciso resaltar que la implementación de medidas inquebrantables, ni es viable, puesto que toda medida por muy segura que sea, y cuente con las garantías e incluso certificaciones de seguridad oportunas, tiene vulnerabilidades; ni es exigible por la normativa que resulta de aplicación. Es por ello por lo que no resulta posible apreciar culpabilidad de ORANGE en el presente supuesto de hecho, no siendo jurídicamente válida la apreciación que realiza la Agencia de comisión de infracción por esta mercantil. Quinta. – DE LA CORRECTA IMPLEMENTACIÓN DE MEDIDAS DE SEGURIDAD. 5.1.- Orange, alega que no puede concluirse que existe una falta de efectividad de las medidas adoptadas, cuando estas han funcionado correctamente paralizando intentos de duplicados de tarjeta SIM. En segundo lugar, a este respecto cabe incidir en el papel de los Agentes, sin los cuales, una compañía de telecomunicaciones como es ORANGE no podría operar en el mercado. Es necesario para ello la intervención humana, no resultando posible su eliminación total en la gestión de los procesos. Toda vez que éstos son asimismo una medida rotundamente eficaz y necesaria en tanto en cuanto son capaces de detectar actividades fraudulentas. Ello puede comprobarse ejemplificativamente a través de la alerta emitida por un agente del punto de venta de tienda propia sita en Madrid, quien, al verificar la identidad del solicitante observó que se aportaba de forma física un DNI manipulado. Aunque era el mismo y coincidía con el registrado en sistemas, variaba la fotografía perteneciendo a otra persona distinta del titular, advirtiendo que constaba manipulada. Dicha diligencia exigida a todos y cada uno de los agentes, y, que resulta altamente efectiva, no puede eliminarse. La AEPD no puede esperar un control o limitación total de sus capacidades de actuación, en la medida en la que ORANGE (en la misma forma que cualquier otra entidad) los contrata precisamente, para ejecutar acciones dentro de sus sistemas e interactuar con sus clientes. Las medidas para controlar su actuación, en tal contexto, lo constituye el contrato laboral, por el que están legalmente obligados a actuar conforme las instrucciones de ORANGE, así como la trazabilidad de los sistemas, que provoca que estén identificados en todo momento, para realizar sus funciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/54 Siguiendo con dichas medidas, en relación con el caso que nos ocupa, se penalizó al agente ante el que el usurpador consiguió la activación del suplicado. Concretamente, recibió medidas disciplinarias por mala praxis. Adicionalmente, en aras de extender lo acontecido y las consecuencias de ello, se llevó a cabo una formación y se emitieron pautas de refuerzo con carácter general a los agentes de primera línea, reiterando la necesidad de cumplir con los protocolos y las políticas de seguridad establecidas para los distintos actos comerciales, tanto en las solicitudes en forma presencial, como no presencial. Por tanto, no puede esta Agencia dirimir que un error puntual de un Agente, quien ha recibido la correspondiente formación y conoce los protocolos, derivado de una inobservancia esporádica y única, dé lugar a una debilidad general de la Política de Seguridad de la compañía. Más si cabe cuando dicha política ha servido como método eficaz en múltiples ocasiones como escudo ante los intentos de duplicados de tarjeta SIM distintos del titular. 5.2.- De la posición de las entidades bancarias en el procedimiento y de la carencia de medidas de seguridad establecidas por los mismos La tarjeta SIM no contiene los datos del teléfono o terminal móvil, por lo que el acceso a un duplicado de la misma no permite a un tercero el acceso a las aplicaciones que el Reclamante pueda tener instaladas en el mismo, como pueden ser las correspondientes a entidades bancarias. Los mecanismos de dos pasos son más vulnerables y están desaconsejados, al poderse interceptar la comunicación del segundo factor pues suele ser algo que nos envían, generalmente por SMS. Orange, señala que es relevante traer a colación la Memoria 2021 de la Fiscalía General del Estado dedicada a la “Criminalidad Informática”, referenciada por la AEPD en el procedimiento sancionador, donde se menciona en relación con el SIM Swapping lo siguiente: “La técnica consiste en burlar las medidas de seguridad de las entidades bancarias accediendo a los códigos alfanuméricos de confirmación, de uso único, generados con ocasión de las transacciones electrónicas y que ordinariamente se comunican a los/as clientes a través de mensajes SMS”. En ese mismo documento, la Fiscalía posiciona a las operadoras de telefonía como entidades que sufren este tipo de fraudes y que puede extenderse a otros sujetos de Derecho, como establecimientos de reparaciones móviles. Así, contradice cualquier lógica jurídica trasladar toda la responsabilidad a la entidad que presta servicios de telefonía, tratándose del mero canal de comunicación seleccionado por la propia entidad financiera y sin que a esta le conste, en modo alguno, que los datos transmitidos a través de los mensajes remitidos contengan claves de operaciones bancarias. Señala que ORANGE no ofrece servicios de confianza online a operadores bancarios, ni tampoco ofrece servicios propios de una entidad de certificación o acreditación. Las entidades bancarias pueden no haber contratado ningún servicio de ORANGE, y, aun C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/54 así, emplear los SMS para llevar a cabo sus actuaciones con clientes. Por ello, no se puede responsabilizar a ORANGE de la configuración del envío de SMS como segundo factor de autenticación empleado por responsables de otros servicios, como son los operadores bancarios. En consecuencia, se reitera por esta parte que la responsabilidad de las operadoras de telefonía por los supuestos de suplantación de identidad para la solicitud de copias de tarjetas SIM no puede abarcar aquella derivada de las operaciones bancarias que los delincuentes puedan realizar como consecuencia de que las medidas de seguridad implementadas por las entidades financieras sean inadecuadas. ORANGE no puede hacerse cargo de la seguridad de la operativa de terceras entidades por el mero hecho de que usen servicios de telecomunicaciones. Por un lado, por lo que respecta a las transferencias realizadas en el seno del ***EMPRESA.2, estas se produjeron en su totalidad el día 7 de febrero de 2023, tal y como se refleja en la Reclamación interpuesta por el reclamante. Por otro lado, por lo que afecta al Banco ***EMPRESA.1, se puede observar, hasta seis