PS-00443-2022

1/17  Expediente N.º: EXP202206971 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 29 de mayo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Telefónica Móviles España, S.A.U. con NIF A78923125 (en adelante, la parte reclamada o Telefónica Móviles). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, manifiesta que el día 27 de mayo de 2022 recibió un mensaje de texto de la parte reclamada agradeciéndole la contratación de un servicio que no había solicitado ni contratado y, acto seguido, su línea telefónica dejó de funcionar. Posteriormente, recibió en otra línea telefónica varios mensajes de su banco notificándole de varias transferencias realizadas a su nombre no autorizadas, por lo que su entidad bancaria tuvo que bloquear tanto el acceso a su cuenta bancaría como a su tarjeta. A raíz de lo ocurrido, presentó la correspondiente denuncia ante la Policía y se personó en una tienda de la parte reclamada para solicitar un nuevo duplicado de su tarjeta SIM y recuperar así su línea, pero no le facilitaron información acerca de quién solicitó el anterior duplicado ni a través de qué medio ni donde se realizó el mismo. Con fecha 1 de junio de 2022, la parte reclamante aporta respuesta de Telefónica Móviles a su reclamación, devolviéndole los XX,XX euros que le cobró la tienda Movistar por duplicar su tarjeta sim a fin de recuperar su línea. Junto a la reclamación se aporta la siguiente documentación relevante: Pantallazo recibido relativo a un pedido supuestamente realizado (en detalles del pedido consta: línea adicional XL). Listado de los movimientos bancarios y detalle de las transferencias controvertidas. Pantallazos del área personal de la parte reclamada. Copia de la denuncia interpuesta ante la Policía (en fecha 27 de mayo de 2022). Copia de la reclamación realizada (en fecha 28 de mayo de 2022) a través del foro Comunidad Movistar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 Copia del contrato de cambio de tarjeta SIM (de fecha 28 de mayo de 2022) y la factura correspondiente, así como transcripción de la conversación mantenida (a través del chat) con la parte reclamada, en fecha 29 de mayo de 2022, en la que un agente indica, entre otros, lo siguiente: "Para que tu solicites un duplicado de Sim debes ir a tienda con tu DNI y pagar el importe como ya lo realizaste". El reclamante indica que le duplicado anterior se realizó sin su consentimiento y el agente añade que "debió haberse tratado de algún hacker de Internet" indicando asimismo que "desde este medio no puedo revisar en que tienda se ha modificado la sim". SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 4 de julio de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 3 de agosto de 2022 se recibe en esta Agencia escrito de respuesta indicando: “Con anterioridad a la notificación de la reclamación de referencia, concretamente el 31 de mayo se recibió por parte de los canales de atención al ejercicio de derechos y en el buzón habilitado por la oficina del Delegado de Protección de Datos Movistar una consulta sobre la misma materia, presentada por el reclamante, la cual se adjunta, como documento anexo nº 1. Con el objeto de dar respuesta a la mencionada reclamación, se envió a la dirección de correo electrónico facilitada por el reclamante una solicitud de identificación. Tal solicitud de identificación fue contestada por el cliente aportando la fotocopia de su DNI. Tanto la carta de solicitud de información adicional para la identificación del cliente como la fotocopia del DNI adjunta se aportan como documento anexo nº 2. Como respuesta a la solicitud del reclamante, fue enviada una carta a la dirección de correo electrónico facilitada por el mismo, tal como acredita la documentación que se adjunta, como documento anexo nº 3. Por último, indicar que el departamento de reclamaciones de Movistar también recibió una reclamación por parte del reclamante que se resolvió favorablemente y que fue contestada con el literal que se acompaña como documento anexo nº 4. Con fecha 27/05/2022 consta que el cliente se pone en contacto con nuestro centro de atención al cliente para indicar que no le funciona el servicio móvil. Automáticamente, el mismo 27/05/2022 se aplica la restricción de la línea, respecto a la que se había producido el cambio de ICC. Con fecha 28/05/2022, constan las solicitudes de quitar la restricción a la mencionada línea, así como la del duplicado de ICC solicitado por el cliente. De este modo, se han reforzado los diferentes procesos, que detallaremos en el siguiente punto. En relación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 con los hechos descritos, esta compañía informa de que los hechos denunciados ya han sido tratados y solucionados con anterioridad a la entrada de la denuncia ante la Agencia. A este respecto, informamos de que Telefónica cuenta con un procedimiento consolidado y adecuado de verificación de la identidad de nuestros clientes que reviste de las garantías suficientes para identificar al solicitante del duplicado de tarjeta SIM antes de proceder a la tramitación del mismo. No obstante, lo anterior, Telefónica trabaja continuamente en la mejora de las medidas de las que dispone con el objetivo de evitar la suplantación de identidad en los distintos procesos de contratación y posteriores gestiones que soliciten los titulares de los servicios a través de los distintos canales de los que dispone. Con respecto a la cantidad que haya tenido que abonar por la expedición de una nueva tarjeta SIM, le informamos de que se han dado las instrucciones necesarias para devolverle dicha cantidad. 4. Durante el año 2020 se han implementado las siguientes medidas específicas que afectan a las operativas de los canales: -Medidas adoptadas en el canal telefónico: Derivación al canal presencial de aquellas operativas sensibles que aconsejan una identificación adicional del cliente (por ejemplo, Alta, Portabilidad de Móviles y Duplicados de tarjeta SIM). Adicionalmente, se derivan al canal On line las operativas de modificación de datos personales como email y teléfono de contacto, y a un Back Office especializado las solicitudes de cambio de titular y de cambio de medio de contacto para las credenciales de movistar.es. -Medidas adoptadas en el canal presencial: Se derivan a este canal aquellas operativas sensibles que aconsejan una identificación adicional del cliente, y a los efectos de garantizar el cumplimiento de esa operativa, se ha establecido para todo el canal presencial una penalización adicional para cada gestión realizada y documentada incorrectamente por parte de un comercial. Además, se está llevando a cabo la publicación semanal de un informe en el que se detallan, tienda a tienda, determinadas operaciones sensibles para comprobar si se realiza correctamente o no la identificación de cliente. Asimismo, se ha incluido la “llamada de comprobación” para autorizados, que consiste en realizar una llamada previa de control a la línea sobre la que se solicitan determinadas operativas sensibles, de manera que el cliente titular pueda autorizar o no dicha operación antes de su ejecución. Como refuerzo, y en apoyo de las iniciativas anteriores, se han realizado para toda la red de ventas refuerzos formativos, sesiones de dudas, publicación de infografías y recordatorios de operativas. En ese proceso de revisión y mejora continua, con carácter general también en el año 2020 se ha trabajado en el desarrollo de un sistema de autenticación de clientes vía OTP que sirva para reforzar el nivel de identificación de nuestros clientes. Dicho sistema se está implementando progresivamente en las distintas operativas y en los distintos canales en función de la criticidad de los mismos. Adicionalmente y desde el año 2021 estamos trabajando en el desarrollo de un Onboarding digital de nuestros clientes que nos permita tener registrada su identidad digital verificada y autenticación biométrica, el cual se implementará en la medida de su disponibilidad para los distintos canales y operativas sensibles”. TERCERO: Con fecha 19 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 CUARTO: Con fecha 26 de octubre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Con fecha 4 de noviembre de 2022, Telefónica Móviles solicita la ampliación del plazo legal concedido para formular alegaciones, siendo concedido. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifiesta, primeramente, “cuestión previa de prejudicialidad penal, en base a que la situación que describe la parte reclamante es consecuencia de una actuación delictiva de quien aparentemente, con la voluntad manifiesta de engañar a Telefónica, suplantó la identidad del reclamante, con el objetivo final de perjudicar al cliente final. Además, señala que tanto el cliente como Telefónica somos perjudicados en este tipo de situaciones. Telefónica lo padece entre otras, a través del engaño al que se ven sometidos nuestros comerciales por parte de los suplantadores, y de igual modo el cliente, puesto que a él además de “quitarle la línea” para hacerse con el control, en un momento previo, estos suplantadores deben disponer también de los datos bancarios o financieros del afectado por el fraude. Como ya conoce la Agencia, la detección de este tipo de prácticas se pone lo antes posible en conocimiento de los distribuidores afectados para que tomen las medidas adecuadas y extremen las precauciones. Sin embargo, debe tenerse presente que dichos comerciales se enfrentan a la acción ilícita del suplantador quien, tras obtener una serie de datos personales, se vale de ellos para tramitar puntualmente una gestión en particular conforme a los trámites establecidos para ello en Telefónica. Para que una conducta pueda ser reprochada se exige que esta sea típica, antijurídica y culpable, por ello, y una vez analizados los hechos, esta parte considera que el principio de tipicidad se está vulnerando dado que la conducta realizada por Telefónica no es subsumible en ninguno de los preceptos cuya infracción se imputa. Recordamos que, en este caso, la Agencia considera vulnerado el artículo 6.1 del RGPD (condiciones en las que el tratamiento será considerado como lícito) y la infracción la tipifica conforme al artículo 83.5 RGPD. Sin embargo, la Agencia no hace mención acerca de cuál de las bases legitimadoras que se recogen el art. 6.1 sería la necesaria para llevar a cabo el tratamiento de los datos del reclamante que ha originado el presente Acuerdo, para que pudiera entenderse legítimo. Esta parte entiende que la base legal que legitima el tratamiento de los datos personales del reclamante no puede ser es otra que la de la ejecución del contrato, esto es, la base legitimadora que contempla el apartado

1. b)del citado artículo 6.1: “el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales”. En este sentido la Agencia no ha considerado que el tratamiento se encuentra amparado en nuestra Política de Privacidad como parte de los tratamientos de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 personales que mi representada realiza al amparo de la base legitimadora de ejecución del contrato. Por lo expuesto, entendemos que no ha lugar la imputación a mi representada de una infracción del artículo 6.1 del RGPD, ya que el tratamiento de esos datos por parte de Telefónica resulta necesario para gestionar la relación contractual con el reclamante y, por lo tanto, Telefónica contaba con base legitimadora suficiente. Por último, interesa a esta parte señalar que la consideración de los hechos objeto del procedimiento como ilícitos supone la cualificación de los mismos por el resultado de los actos de engaño, manipulación y uso ilícito de los datos, llevado a cabo por el posible defraudador bancario que haya podido suplantar la identidad del reclamante, no por las acciones de mi representada. Sobre los criterios de graduación de la sanción, esta parte pretende manifestar su disconformidad con el Acuerdo, cuando dispone como circunstancia para agravar la sanción la siguiente: “La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD)”. En cuanto a esta agravante planteada por la Agencia, tal y como se ha expuesto en el presente escrito, esta parte considera que no se ha producido por parte de Telefónica un tratamiento ilegítimo de los datos del reclamante, toda vez que su tratamiento se encuentra legitimado por el artículo 6.1 del RGPD, siento éste necesario para la ejecución de un contrato en el que el interesado es parte. Por tanto, en la medida en que esta parte no considera que se haya producido un tratamiento ilegítimo de los datos del reclamante, no podemos considerar así mismo que concurra la agravante planteada por la Agencia en el Acuerdo. Asimismo, interesa poner de relieve la atenuante apreciada por la Agencia, cuando indica que: “Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (art. 83.2 c)”, y así lo indicamos en las alegaciones presentadas al expediente informativo del que trae causa el presente sancionador. Esta reclamación fue tratada con anterioridad a la notificación del mencionado expediente. Una de las acciones tomadas por Telefónica antes de recibir la reclamación fue la devolución realizada por un importe de XX,XX€ en concepto de cambio de tarjeta SIM. Telefónica ha procedido al tratamiento de los datos del reclamante con la diligencia debida, toda vez que el tratamiento de los datos del reclamante se ha llevado a cabo con la base legitimadora suficiente y con las medidas de seguridad necesarias que se materializan en el protocolo de identificación seguido por esta parte. La doctrina de los actos propios empleada ya por los Tribunales, en síntesis, acoge la idea de que, las palabras y los gestos nos vinculan, es decir, establece la inadmisibilidad de actuar contra los propios actos hechos con anterioridad; prohíbe que una persona pueda ir contra su propio comportamiento mostrado con anterioridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 para limitar los derechos de otra, que había actuado de esa manera movido por la buena fe de la primera. En este sentido, interesa poner de relieve que, la actuación de la Agencia ante un expediente referido a hechos sustancialmente iguales a los que son objeto de reclamación que nos ocupa, ha sido contradictoria, pues así nos lo hizo saber la propia Agencia en el expediente con referencia N.º EXP202104446 de fecha 26 de enero de 2022, en el que se procedió al archivo del mismo al entender que ya había un expediente sancionador en curso por los mismos hechos, cuyo literal fue el siguiente: “Sobre este particular, procede resaltar que hechos similares a los que son objeto de reclamación han sido investigados por esta Agencia y sancionados en el procedimiento sancionador PS/00021/2021, tramitado contra la parte reclamada, por resolución de fecha 8/11/2021, por lo que no procede el inicio de un nuevo procedimiento sancionador”. En consecuencia, la discrepancia de la actuación administrativa entre un expediente y otro supondría la clara vulneración de la doctrina de los actos propios y, crearía una palpable inseguridad jurídica y, por consiguiente, supondría la concurrencia de la causa de anulabilidad del Acuerdo prevista en el artículo 48.1 de la Ley 39/2015 de 1 de octubre, del procedimiento Administrativo Común de las Administraciones Públicas, en adelante Ley 39/2015. Telefónica ya ha sido sancionada por los mismos hechos que hoy se desarrollan en este procedimiento, la Agencia impuso la sanción a través del procedimiento con referencia PS/00021/2021, y tal y como conoce la Agencia, actualmente, se ha interpuesto el correspondiente recurso ante los Tribunales de Justicia. Lo anterior nos lleva a considerar que el iniciar un nuevo procedimiento sancionador, de forma sucesiva, sin que haya un pronunciamiento por parte de los Tribunales de Justicia, y sobre los mismos hechos, incumple el principio non bis in ídem. Como es sabido, el principio de non bis in ídem prohíbe sancionar dos veces un mismo hecho ilícito, pues hacerlo supondría enjuiciar y valorar desde un punto de vista jurídico lo mismo. A juicio de esta parte, esto es lo que pretende la Agencia en el Acuerdo, donde se viene a castigar “lo mismo”: el castigo recae sobre el mismo sujeto, por el mismo y para proteger supuestamente el mismo bien jurídico. Conforme a doctrina consolidada del Tribunal Constitucional, la Constitución Española prohíbe la imposición de más de un castigo por el mismo ilícito. Por todo lo expuesto, solicito a la Agencia, que, teniendo por presentando en tiempo y forma, el presente escrito de alegaciones, se sirva admitirlo, y previos los trámites oportunos, en su virtud: i. Se declare la inexistencia de responsabilidad por parte de Telefónica por las presuntas infracciones que se le imputan en este procedimiento, ordenando el archivo del presente expediente sancionador. ii. Subsidiariamente y para el caso de que no se proceda al archivo del presente expediente sancionador, se suspenda el presente procedimiento y se requiera al reclamante a fin de que aporte en qué punto está la denuncia interpuesta, así como el contenido del procedimiento penal que en su caso se encuentre en marcha, con el fin de determinar si existe prejudicialidad penal. iii. Por último, en caso de que no se estimasen ninguna de las pretensiones anteriores, que se minore la sanción inicialmente propuesta en virtud del art. 83 del RGPD”. SÉPTIMO: Con fecha 22 de noviembre de 2022, el instructor del procedimiento acordó practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 reclamación interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación. 2.Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por TELEFÓNICA MÓVILES ESPAÑA, S.A.U., y la documentación que a ellas acompaña. OCTAVO: Con fecha 24 de enero de 2023 se formuló la propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a la reclamada, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 70.000 euros. OCTAVO: Notificada la propuesta de resolución, el 1 de febrero de 2023, solicitó ampliación de plazo para formular alegaciones, siendo concedido. La parte reclamada presentó escrito de alegaciones ratificándose en las realizadas al Acuerdo de Inicio, solicitando se suspenda el presente procedimiento y se requiera al reclamante a fin de que aporte en qué punto está la denuncia interpuesta, así como el contenido del procedimiento penal que en su caso se encuentre en marcha, con el fin de determinar si existe prejudicialidad penal, proponga declaración de inexistencia de responsabilidad por parte de la reclamada por presunta infracción que se le imputa en el presente procedimiento, y se dicte en su día Resolución ordenando el archivo del presente expediente sancionador al margen referenciado, y subsidiariamente, minore la sanción inicialmente propuesta del art. 83 del RGPD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. - La parte reclamante formuló reclamación ante esta Agencia el 29 de mayo de 2022 en la que se hace constar haber sufrido una suplantación de identidad el 27 de mayo de 2022, en relación con la obtención por parte de un tercero de un duplicado de su tarjeta SIM, lo que le ocasionó un perjuicio económico, ya que se realizaron numerosas transferencias desde su cuenta bancaria. SEGUNDO. - Consta que el reclamante el 27 de mayo de 2022, a las 17:50 recibió un SMS de Movistar comunicándole que un pedido se había realizado con éxito. Era el pedido número ***NUMERO.1. Este pedido nunca lo realizó. TERCERO. - Telefónica acredita, que constan en sus sistemas dos cambios de tarjeta SIM realizados a través de un distribuidor asociado: el 27 de mayo de 2022 ***NUMERO.1 Cambio de ICC Línea Móvil Contrato ***TELEFONO.1 ***CONTRATO.1, y el día 28 del mismo mes y año ***NUMERO.2 Cambio de ICC Línea Móvil Contrato ***TELEFONO.1 ***CONTRATO.2. CUARTO. - Telefónica acredita, que con fecha 27 de mayo de 2022 el reclamante se puso en contacto con su centro de atención al cliente para indicar que no le funciona el servicio móvil. Automáticamente, el mismo día aplicaron la restricción de la línea, respecto a la que se había producido el cambio de ICC. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 QUINTO. - Consta que con fecha 28 de mayo de 2022, Telefónica quitó la restricción de la mencionada línea, así como la del duplicado de ICC solicitado por el cliente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Prejudicialidad penal Con carácter previo procede resolver la alegación presentada por Telefónica, en base a la existencia de una prejudicialidad penal. Se manifiesta sobre estos hechos que están siendo actualmente objeto de una investigación penal. Considera que, por ello, en aplicación del principio de prejudicialidad penal recogido en el artículo 10 de la Ley Orgánica del Poder Judicial, no debe resolverse el asunto en vía administrativa en tanto en cuanto no se resuelva por la vía penal. Ello, manifiesta, dado que los hechos declarados probados vincularán a la Agencia respecto a un posible procedimiento sancionador, conforme a lo previsto en el artículo 77.4 de la Ley 39/2015. Debe tenerse en cuenta que el art. 77.4 de la LPACAP, señala que: “En los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien”. Sin embargo, hay que indicar, que no existe la triple identidad necesaria para aplicar el artículo 77 de la LPACAP, (de sujeto, hecho y fundamento), entre la infracción administrativa que se valora y la posible infracción o infracciones penales que se pudieran derivar de las presuntas Diligencias Previas practicadas por un órgano jurisdiccional. Esto, porque el sujeto infractor es obvio que no sería el mismo –respecto a las infracciones de la LOPDGDD el responsable es Telefónica, en tanto que el responsable penal de un eventual delito de usurpación de personalidad o estafa sería el tercero que se hubiera hecho pasar por el reclamante. Tampoco el fundamento jurídico sería el mismo: mientras el bien jurídico protegido por la LOPDGDD es el derecho fundamental a la protección de datos personales, el bien jurídico que se protege en los tipos penales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 cuya comisión investigaría, llegado el caso, el Juzgado de Instrucción serían el estado civil, el patrimonio, etc. En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de 27/04/2012 (rec. 78/2010), en cuyo Fundamento Jurídico segundo el Tribunal se pronuncia en los siguiente términos frente al alegato de la recurrente de que la AEPD ha infringido el artículo 7 del R.D. 1398/1993 (norma que estuvo vigente hasta la entrada en vigor de la LPACAP): “En este sentido el Art. 7 del Real Decreto 1398/1993, de 4 de agosto, del procedimiento para el ejercicio de la potestad sancionadora, únicamente prevé la suspensión del procedimiento administrativo cuando se verifique la existencia efectiva y real de un procedimiento penal, si se estima que concurre identidad de sujeto, hecho y fundamento de derecho entre la infracción administrativa y la infracción penal que pudiera corresponder. No obstante, y para la concurrencia de una prejudicialidad penal, se requiere que ésta condicione directamente la decisión que haya de tomarse o que sea imprescindible para resolver, presupuestos que no concurren en el caso examinado, en el que existe una separación entre los hechos por los que se sanciona en la resolución ahora recurrida y los que la recurrente invoca como posibles ilícitos penales. Así, y aun de haberse iniciado, en el presente supuesto, y por los hechos ahora controvertidos, también actuaciones penales frente a la empresa distribuidora, lo cierto es que tanto la conducta sancionadora como el bien jurídico protegido son distintos en una y otra vía (contencioso-administrativa y penal). En el ámbito penal, el bien jurídico protegido es una posible falsedad documental y estafa, y en el ámbito administrativo, en cambio, la facultad de disposición de sus datos personales por parte de su titular, por lo que tal objeción de la demandada ha de ser rechazada”. En consideración a lo expuesto no puede prosperar la cuestión planteada por Telefónica y debe ser rechazada. III Obligación Incumplida Con carácter previo resulta preciso señalar que el artículo 4.1 del RGPD define: «datos personales» como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” La emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C 101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
4. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
5. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
6. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
7. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
8. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. A su vez, el artículo 6.1 de la LOPDGDD, indica, sobre el tratamiento de los datos personales basado en el consentimiento del afectado que: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen (…)”. IV Tipificación de la infracción del artículo 6 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 La infracción del artículo 6 de la que se responsabiliza a la parte reclamada en la presente resolución se encuentra tipificada en el artículo 83 del RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”. “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
9. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “
10. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”. En el presente caso, resulta acreditado que Telefónica Móviles facilitó un duplicado de la tarjeta SIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero, el cual, ha accedido a información contenida en el teléfono móvil, tales como datos bancarios, contraseñas, dirección de correo electrónico y otros datos personales asociados al terminal. Así pues, la reclamada, no verificó la personalidad del que solicitó el duplicado de la tarjeta SIM, no tomó las cautelas necesarias para que estos hechos no se produjeran. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. En su respuesta, la parte reclamada reconoce que se produjo el duplicado fraudulento en un establecimiento físico, pero no aporta ninguna evidencia de cómo se verificó la identidad del solicitante. Pues bien, el resultado fue que la reclamada expidió la tarjeta SIM a un tercero que no era el titular de la línea. En la explicación aportada por la parte reclamada, no se apunta a cuál pudo haber sido la causa concreta que desembocó en la emisión del duplicado, más allá de unas explicaciones genéricas. En todo caso, Telefónica Móviles no ha sido capaz de acreditar que para este supuesto se siguiera el procedimiento implantado por ella misma, ya que, de haberlo hecho, se debió haber producido la denegación del duplicado de la tarjeta SIM. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. Telefónica cita en su descargo una serie de resoluciones dictadas por la AEPD, manifestando que el EXP20210446 se procedió al archivo del mismo al entender que ya había un expediente sancionador en curso por los mismos hechos y que Telefónica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 ya ha sido sancionada por los mismos hechos que hoy se desarrollan en este procedimiento, la Agencia impuso la sanción a través del procedimiento con referencia PS/00021/2021y por lo tanto incumple principio non bis ídem. Sobre este particular, procede resaltar que dichos procedimientos tuvieron por objeto analizar los procedimientos seguidos para gestionar las solicitudes de cambio de SIM por parte de Telefónica, identificando las vulnerabilidades que puedan existir en los procedimientos operativos implantados, para detectar las causas por las cuales se pueden estar produciendo estos casos, así como encontrar puntos de incumplimiento, mejora o ajuste, para determinar responsabilidades, disminuir los riesgos y elevar la seguridad en el tratamiento de los datos personales de las personas afectadas. El procedimiento sancionador PS/00021/2021, tramitado contra la parte reclamada se le imputó la violación del artículo 5.1f), no se le imputa el fraude, ni el tratamiento de datos sin legitimación sino una falta de garantías de las medidas de seguridad que produce una cesión de datos a un tercero. En el presente procedimiento sancionador, la sanción se impone debido a que Telefónica facilitó un duplicado de la tarjeta SIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero, y por este motivo se imputa el artículo 6.1 del RGPD. En cuanto a la responsabilidad de Telefónica, debe indicarse que, con carácter general Telefónica trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
11. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
12. e)y
13. f)del RGPD. Por otra parte, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos, para recibir el duplicado de la tarjeta SIM. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que se implantan y mantienen medidas de seguridad apropiadas para proteger eficazmente la confidencialidad, integridad y disponibilidad de todos los datos personales de los cuales son responsables, o de aquellos que tengan por encargo de otro responsable. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de Telefónica se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir, desde la óptica de la culpabilidad, estamos ante un error vencible, ya que, con la aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones de identidad se hubieran podido evitar. Es el considerando 74 del RGPD el que dice: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable”. De conformidad con las evidencias de las que se dispone, se estima que la conducta de la parte reclamada vulnera el artículo 6.1 del RGPD siendo constitutiva de la infracción tipificada en el artículo 83.5.
14. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: “