PS-00486-2024

(1200)y tras pasar la Política de seguridad recabar el número de ticket aportado por dicho Servicio. 2) Acudir el titular presencialmente a uno de nuestros stands para, tras identificarse adecuadamente mediante DNI o documentación análoga, aportar aquel número de ticket. 2. Informe detallado sobre los hechos descritos en la reclamación: I. El reclamante, o una persona que se identifica como él se presentó el 7/1/2022 ante el stand de nuestro dealer (...), indicando que le habían robado el móvil y aportando documentación acreditativa de su identidad y una denuncia. II. El dealer le indicó que sin disponer de ticket facilitado por el servicio de atención telefónica tras haber superado la política de seguridad, no se le podía facilitar el duplicado. (…) IV. Una vez queda verificada la identidad del solicitante al superar el desafío de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/54 seguridad telefónico y aprobada la solicitud de duplicado SIM, el cliente debe acudir a un punto de venta para obtener la tarjeta SIM presencialmente. Para poder hacer entrega de dicha tarjeta, la identidad del cliente queda verificada adicionalmente in situ mediante la comprobación de su documento de identidad original en el punto de venta. En el presente caso, se añadió la aportación de un documento de denuncia relativo al robo. Finalmente, el duplicado se validó el 8/1/2022 a las 13:31h. El reclamante, el día 9 de enero contactó con DIGI… pudo concluir que se le había realizado un duplicado de su tarjeta y solicitar uno nuevo y la desactivación del primero… el mismo día 9 se procedió a la suspensión de la línea objeto de duplicado. El día 10 se recibió la denuncia. El día 21/01/2022, se facilitó al reclamante la dirección donde se realizó el duplicado SIM inicial. Contextualizada la situación, se podría deducir que los presuntos defraudadores podrían haber obtenido la información necesaria para iniciar la superación de las políticas de seguridad de la entidad bancaria y de DIGI a través del desafortunado fraude mediante phishing que el mismo reclamante reporta. Asimismo, para la culminación del fraude, los usurpadores se han valido de documentos públicos manipulados o presuntamente falsificados, utilizados con ánimo de suplantar la identidad del reclamante frente a DIGI. 3. Documentación y datos aportados por la persona que solicitó la tarjeta SIM para acreditar su identidad: (…) 4. Descripción del protocolo de seguridad aplicado para acreditar la identidad del solicitante y gestionar la emisión y envío del duplicado e la tarjeta SIM (…) El Procedimiento de Suplantación de Identidad vigente en el momento de los hechos señalaba las siguientes pautas que fueron seguidas y ejecutadas por nuestros agentes. (…) (…) 5. Protocolo de actuación cuando se detecta la emisión de un duplicado SIM fraudulento. (…) 6. Acciones emprendidas para evitar que casos de este tipo se vuelvan a producir. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/54 (…) Como muestra de la proactividad de DIGI, esta compañía se encuentra siempre en continua búsqueda de las mejores prácticas y estándares de seguridad. Así, este mismo 11 de julio de 2023, el regulador norteamericano- Comisión Federal de Comunicaciones norteamericana (FCC)- ha publicado las futuras mejoras exigibles en materia de seguridad frente al SIM Swapping. Las mejoras apuntan a un aumento de los mensajes de preaviso: https://docs.fcc.gov/public/attachments/DOC-395019A1.pdf, en línea con lo que DIGI ya tenía planificado y acaba de implantar el pasado 13 de julio. Fruto de las costumbres y del propio sistema español de identificación donde el DNI juega un papel fundamental (no así en EEUU), se puede concluir sin duda que, en todo momento - incluido en el momento de los hechos-, el sistema de seguridad implantado por DIGI ha ido por delante de los estándares del mercado y de los reguladores. Esta calificación se mantiene respecto de nuestro procedimiento actual que sigue muy por delante de las exigencias de reguladores de referencia internacional como es la FCC (Comisión Federal de Comunicaciones norteamericana). Decisión adoptada a propósito de esta reclamación y acciones emprendidas: (…) Cualquier otra cosa que considere relevante. De los propios documentos compartidos por el reclamante, se puede deducir que los perjuicios que indican haber sufrido provienen de su relación con una entidad bancaria y una tarjeta de crédito asociada. Tal y como relata el reclamante, fue víctima de phishing, por lo que él mismo facilitó la información clave para burlar las medidas de seguridad de su banco. Este tipo de entidades son las que unilateralmente señalan a terceros (o sus servicios) como instrumentos o factores de autenticación de sus propios mecanismos de seguridad: a unos -como los operadores de telecomunicaciones, mediante el envío de SMS o de llamadas de teléfono-; a otros -como, por ejemplo, proveedores de cuentas de correo electrónico, les remite los códigos de verificación/órdenes de aceptación de operaciones-. Los operadores de telecomunicaciones como DIGI son también victimas circunstanciales de este tipo de actividades fraudulentas, utilizadas para, en último término, violentar las medidas de seguridad de aquellas otras entidades que nada tienen que ver con DIGI. Por el contrario, se nos imponen sanciones vinculadas a tratamientos de datos que son totalmente ajenos a DIGI, o por circunstancias relativas a nuestras medidas de seguridad. Medidas que, recordemos, son las apropiadas y adecuadas para nuestra actividad. Que los presuntos defraudadores han mostrado un alto grado de sofisticación, al haber generado una plataforma de phishing suficientemente robusta como para que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/54 reclamante cayera en el engaño y facilitase toda la información. Igualmente, la utilización de los que, presuntamente, eran un documento de identidad y denuncia de robo falsificados.” TERCERO: Con fecha 18 de septiembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: La parte reclamada contesta al traslado y al requerimiento de información aportando la siguiente documentación: (…) En respuesta al requerimiento de información que le fue realizado por los Servicios de Inspección, DIGI informa lo siguiente: ─ Confirma que no dispone de copia de la documentación acreditativa de la identidad exhibida por la persona que recogió en tienda el duplicado SIM el día 8/01/2022 a las 13.31h, ni copia de la denuncia por robo de móvil alegado por el supuesto suplantador. A este respecto alega que, de acuerdo con los protocolos vigentes en aquel momento y atendiendo a los criterios restrictivos de esta Agencia respecto del tratamiento de datos necesarios para la identificación de los interesados, el dealer cumplió con dichos protocolos no guardando copia de la documentación facilitada. ─ (…) ─ Aporta evidencias con cronología de las medidas de reacción al conocimiento de la suplantación reclamada: Detalla los contactos realizados por el reclamante el 09/01/2022, a las 14:14, 14:22 y 14:57. En ellos se indica, respectivamente: “Quiere saber si se le hizo un duplicado, indico que sí”; “quiere duplicado de SIM, por robo, pol ok,”; “Indica que desea bloquear el terminal que le han robado toda su información (le han suplantado la identidad) inf debe enviar denuncia al email atencional cliente, bloqueamos la línea”. Aporta evidencias con cronología de todos los contactos mantenidos con el reclamante en relación con los hechos reclamados y documentación aportada por éste. La reclamada aporta copia de pantalla de las comunicaciones intercambiadas con la parte reclamante entre 12 y 27/1/22: . Comunicación del día 12 de enero de 2022 a las 19:34 desde el correo ***EMAIL.1 solicitando información sobre el presunto duplicado fraudulento. . Comunicación del 14 de enero de 2022 a las 17:30, del servicio de Atención al Cliente al reclamante solicitándole la Política de Seguridad (PS). . n.º de teléfono, nombre y apellidos, documento de identidad, últimos 4 dígitos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/54 de la cuenta bancaria. . Aportación por parte del reclamante de los datos de la PS, a las 11:31 del día 15 de enero de 2022, y la subsiguiente comunicación de recepción. . Requerimiento por parte de la reclamante sobre el origen del presunto duplicado fraudulento del día 20 de enero de 2022 a las 13:24; y respuesta completa del 21 de enero de 2022 a las 13:38 por parte del Servicio de Atención al Cliente. . Comunicación del reclamante dando de baja la línea objeto del duplicado en fecha 27 de enero 2022 a las 16:53 y comunicación subsiguiente de recepción. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad DIGI es una empresa constituida en el año 2006, y con un volumen de negocios de 644.000.000 € euros en el año 2023. SEXTO: Con fecha 19 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

1. a)del RGPD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería de 300.000 euros (trescientos mil euros). SÉPTIMO: Notificado el citado acuerdo de inicio, el día 23/12/2024, conforme a las normas establecidas en la LPACAP, la parte reclamada solicitó ampliación del plazo que le fue concedido y, con fecha 16/01/2025, presenta escrito de alegaciones en el que se reitera en las alegaciones y argumentaciones jurídicas de sus anteriores escritos y, en síntesis, manifiesta: 1. Sobre el supuesto de hecho La reclamada identifica la relación de hechos que considera relevantes destacando que la suplantación de identidad y el acceso a los datos personales de quien reclama tuvo lugar de forma previa a cualquier contacto con DIGI ya que el presunto suplantador contaba con los datos necesarios para solicitar el duplicado: Documento Nacional de Identidad original con los datos de la parte reclamante, número de teléfono, cuatro últimos dígitos de su cuenta bancaria y una denuncia, presuntamente falsa, por robo de su dispositivo móvil. Aporta el extracto de la conversación mantenida mediante WhatsApp el día 7 de enero, donde se verifica el cumplimiento del protocolo de seguridad de DIGI en la que el solicitante facilita los datos personales del reclamante, inclusive los bancarios. Además, afirma que el suplantador cuenta incluso con un DNI original con los datos del reclamante y una denuncia por robo de su dispositivo móvil, también, con los datos de quien reclama. A este respecto subraya que “Esta información y documentación supuestamente falsa (que genera un engaño suficiente en los agentes de las Fuerzas y Cuerpos de Seguridad, además de al Distribuidor de DIGI), obtenida de forma previa a dirigirse a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/54 DIGI, es la que ha permitido que el suplantador consiguiese tener acceso a un duplicado de la tarjeta SIM titularidad de la Reclamante”. Por tal motivo DIGI considera que “no resulta posible asociar a esta entidad grado alguno de culpa o negligencia, ya que ha quedado acreditado el cumplimiento del protocolo establecido para las solicitudes de duplicados de tarjeta SIM”. Añade que ningún procedimiento, ni medida de seguridad es, ni puede ser, completamente infalible, por lo que no se puede exigir a DIGI que los procedimientos y medidas que tienen implantados lo sean; y que es imprescindible que los particulares, como titulares de sus datos personales, tengan también diligencia a la hora de custodiarlos, sin ponerlos a disposición de terceros o descuidarlos, permitiendo a personas ajenas hacerse con su información personal, de modo que faciliten su suplantación. Por otro lado, destaca que “el propio Reclamante fue víctima de un phishing recibido en su dispositivo móvil mediante SMS el día 6 de enero de 2022, que contenía un enlace a una web simulando ser su banco y, en la cual, el Reclamante introdujo toda su información personal, perdiendo de esta forma la confidencialidad de sus datos personales”. 2. Sobre el Protocolo de Seguridad y las medidas adoptadas Se detallan, de nuevo, las medidas implantadas por DIGI para prevenir que se produzcan situaciones similares. Se aporta anexa la documentación acreditativa de tales medidas. I. Existencia y ejecución de un plan de contingencias ante situaciones irregulares con las medidas necesarias para solventar la situación y la corrección inmediata del hecho causante. (…). I. Existencia y ejecución de un protocolo de seguridad para solicitudes de duplicado de tarjeta SIM. a. Protocolos vigentes al momento de los hechos. (…). b. Medidas implementadas tras la reevaluación de los riesgos. (…) DIGI alega que las medidas descritas evidencian que contaba, en el momento de los hechos, con medidas técnicas y organizativas para la verificación de la identidad de los clientes ante una solicitud de duplicado SIM, de cara a evitar posibles incidencias como la que ha originado la presente reclamación. Adicionalmente, añade que “puso en marcha todas las acciones que estaban en su mano para reestablecer la irregularidad detectada, conforme al procedimiento implantado, impidiendo un mayor perjuicio para el Reclamante.” Por tal motivo, concluye haber “acreditado el cumplimiento de su deber continuado de responsabilidad proactiva y revisión y mejora del procedimiento, inclusive antes de que se produjera el inicio del presente expediente administrativo.” 3. Sobre la licitud del tratamiento de los datos personales DIGI comienza alegando que “(…) no ha puesto a disposición de los presuntos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/54 delincuentes información personal de la titular de la línea distinta de la que ya tenían con anterioridad (…) porque los hechos acreditados evidencian que el presunto suplantador de identidad conocía con anterioridad a tener contacto alguno con DIGI todos los datos personales del titular de la línea.” A esto añade que “(…) la quiebra de la confidencialidad - se produce de forma previa a tener contacto con esta mercantil, como es reconocido por el propio Reclamante. Tanto es así, que el presunto suplantador de identidad incluso contaba con el documento nacional de identidad del Reclamante”. En segundo lugar, se refiere a los datos personales que la AEPD identifica como contenidos en la tarjeta SIM, el MSISDN y el IMSI. Sobre el MSISDN considera que no permite una identificación directa del titular de la línea y, además, advierte que fue facilitado por el reclamante al supuesto suplantador como consecuencia del phishing. En cuanto al IMSI indica que es información técnica que identifica al abonado en la línea, pero únicamente para su compañía telefónica, que dispone de la información suficiente para relacionarla con su titular. Recuerda que, aún en el caso del número de teléfono, la capacidad de identificación es dudosa y cita la Sentencia de la Audiencia Nacional de 17/09/2008 (recurso 353/2007) que, según DIGI, interpreta que esta capacidad de identificar ha de estar debidamente justificada. Interpretación, indica, confirmada por la STS de 18/06/2020 (recurso 1074/2019, número de Sentencia 815/2020). A este respecto destaca que “(…) parece obvio que ninguno de estos dos datos permite imputar a DIGI un tratamiento de datos sin legitimación, no siendo posible la asociación de una infracción del artículo 6.1 del RGPD (…)”. A esto añade que “(…) más allá de la conceptualización teórica de los datos incluidos en una tarjeta SIM como datos personales, no se ha acreditado que se haya producido un tratamiento no legitimado de datos personales, por cuanto no consta en el relato fáctico ni en la documentación aportada por parte de esta Agencia, que DIGI haya facilitado o puesto a disposición del suplantador datos personales del titular de la línea distintos a los que el presunto suplantador ya conocía de forma previa”. Por otro lado, alega que no hay una relación entre los hechos que la AEPD identifica como probados y la calificación jurídica que se hace de los mismos; que se imputa responsabilidad a DIGI por un tratamiento que no se ha producido o que, en caso de producirse, no sería imputable a dicha entidad; y que el hecho de que la persona que solicita el duplicado no se corresponda con el titular del contrato no supone que exista per se una falta de legitimación en su tratamiento, menos una falta de diligencia. En este sentido, considera de interés la Sentencia de la Audiencia Nacional de 9 de febrero de 2023 (recurso nº. 770/2021) así como la Sentencia de la Audiencia Nacional de 8 de febrero de 2024 (recurso nº 595/2024) por entender que confirma el criterio de aplicación del artículo 5.1.
2. f)del RGPD (y no del artículo 6.1 RGPD) y donde, a su juicio, se someten a valoración del Tribunal hechos concretos de SIM SWAPPING en los que ha acaecido una brecha de confidencialidad y no una valoración general de las medidas de seguridad. Por tal motivo, sostiene que “siguiendo el criterio de la Audiencia Nacional, habría sido de aplicación el art. 32 del RGPD, y no el art. 6.1 RGPD. Así mismo, la reciente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/54 Sentencia de la Audiencia Nacional de 24 de mayo de 2024 –recurso 794/2022ratifica este criterio jurisprudencial de sancionar por el artículo 5.1.f RGPD y no por el art. 6.1 RGPD, como pretende la presente resolución de esta Agencia, los supuestos de casos de Sim Swapping”. 4. Sobre el cumplimiento del Protocolo implantado por DIGI La entidad reclamada subraya que “la AEPD ignora la documental, la prueba y las alegaciones emitidas por DIGI y, basándose exclusivamente y de forma simplista en un resultado, considera que la superación de las medidas de seguridad por un tercero conlleva una falta de diligencia de DIGI, independientemente de los medios empleados”. A su juicio, esta Agencia omite que el solicitante contaba con los datos y un DNI presuntamente falsificado, lo que le lleva a considerar que DIGI no actuó correctamente solo porque se produce un resultado, y confunde “el hecho de que un tercero suplante la identidad del titular mediante un engaño bastante y suficiente – constitutivo de un ilícito penal- con que no se haya seguido el protocolo (verificar por parte del Distribuidor la identidad del solicitante, acto que sí se ejecutó), sin que exista una justificación fundada para ello. El hecho de que se produzca un resultado indeseado no determina que la actuación previa efectuada por DIGI no siguiera diligentemente el procedimiento que ésta tiene estipulado y que, como ya se ha definido, exige una doble verificación de identidad (telemáticamente para generar un ticket y presencialmente mediante un documento de identidad original y válido), y asimismo también exige una doble verificación documental, a la cual también se dio cumplimiento en el presente supuesto, tal y como acredita el hecho de que se solicitara el documento original de identificación fehaciente por parte del Distribuidor, y se realizara la verificación documental en segunda instancia de dicho documento por parte del Distribuidor, mediante el sistema “Dealer Care””. A este respecto, argumenta que “la Agencia no puede exigir al personal de DIGI, o en este caso a su encargado del tratamiento, el Distribuidor, una capacidad absoluta de detección de la documentación falsa, inclusive cuando dichos documentos no son advertidos ni por las propias autoridades o las Fuerzas y Cuerpos de Seguridad.” La reclamada entiende que este argumento se encuentra respaldado por la Resolución de esta Agencia en el ***REFERENCIA.1 por la que se archivó un procedimiento sancionador abierto la ***ORGANISMO.1 en un caso de suplantación de identidad del interesado y posterior fraude. En particular, se destaca que, en el citado expediente, “la AEPD considera que ***ORGANISMO.1 puede ser víctima de un engaño suficiente y que, ante el cumplimiento de sus protocolos y la aportación de documentación falsa, no tiene capacidad el funcionario para verificarlo.” Asimismo, sostiene que “la superación por un tercero de las medidas de seguridad no puede determinar por sí sola que las mismas no sean adecuadas o suficientes, muy especialmente, cuando es el propio reclamante el que ha puesto los datos a disposición de un tercero ajeno”. En apoyo de esta tesis menciona el expediente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/54 ***REFERENCIA.2 de esta Agencia cuya reclamación fue archivada tras comprobarse las medidas de seguridad implementadas. A pesar de haberse producido un acceso no autorizado, se consideró que la entidad responsable había desplegado un nivel de diligencia suficiente y adecuado. Con relación a la prueba, DIGI aduce que “la suficiencia de la prueba aportada ha sido además ratificada por la AEPD en procedimientos análogos abiertos contra DIGI por suplantación de identidad. Así en la Resolución de Archivo del Expediente AEPD nº 202302933, en la que se había producido igualmente una suplantación de identidad para la retirada de fondos ante una entidad financiera y en la que DIGI contaba con un procedimiento análogo al presente (…)”. A este respecto considera que “Esta resolución de archivo es absolutamente contradictoria con la del caso que nos ocupa, llegándose a conclusiones opuestas ante situaciones idénticas. Siendo lo lógico que en ambos expedientes se hubiese dado por probada la diligencia de DIGI, se genera una total inseguridad jurídica, puesto que, en el presente, ante supuestos de hecho iguales, se identifica una infracción administrativa.” Asimismo, indica que “la AEPD omite el hecho de que los distribuidores están contractualmente obligados a cumplir con el procedimiento de verificación de identidad y que, además, el agente ha manifestado haber cumplido con el mismo, por lo que no cabe, con base en meras especulaciones, suponer un incumplimiento de éste sin prueba alguna”. Al respecto, defiende “el hecho de que una fotocopia de ese documento no habría añadido mayor seguridad a la operativa” subrayando el criterio de esta Agencia de que no es conveniente la realización de copias del DNI en los trámites de identificación por considerarse un tratamiento excesivo. Pone como ejemplo “la Resolución AEPD del PS 00078/2021, en la cual se sanciona a un establecimiento hotelero por solicitar y escanear la imagen del documento identificativo de un cliente a la llegada de éste al hotel, aun a pesar de que, a diferencia de este caso, existe una obligación legal de hacer una verificación de identidad y anotar datos del DNI”. En este sentido, alega “siguiendo los criterios de la propia AEPD, el procedimiento establecido por DIGI exigía la exhibición del documento, pero no se conservaba imagen de este, en tanto dicho tratamiento no se consideraba imprescindible y, de hecho, había sido calificado como excesivo por la propia AEPD”. A esto añade que “este proceder supone, cuanto menos, una evidente falta de criterio en lo que respecta a los procesos de identificación en sectores no regulados expresamente por la normativa, que no hacen más que redundar en establecer un régimen de absoluta inseguridad jurídica en estos mercados, colocando a DIGI en una clarísima posición de indefensión”; y que los procesos de identificación no se regulan expresamente en la normativa del sector de las Telecomunicaciones, ni en norma de rango general aplicable a los procesos de DIGI. 5. Sobre la inadmisibilidad de la responsabilidad objetiva Por lo que se refiere a la responsabilidad objetiva, DIGI comienza insistiendo en el argumento de que “había implantado medidas adecuadas -que se llevaron a cabo- a los riegos asociados a la operación de duplicado de tarjeta SIM.” A continuación, advierte de “la inadmisibilidad en nuestro ordenamiento jurídico de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/54 responsabilidad objetiva y, consecuentemente con ello, de la exigencia en todo caso de que la Administración, a la hora de sancionar, pruebe un grado suficiente de intencionalidad en el sancionado”. Para ello, cita, en concreto, la Sentencia del Tribunal Constitucional nº 76/1990, la Sentencia de la Audiencia Nacional de 23 de diciembre de 2013 (Rec. 341/2012) y la Sentencia de la Audiencia Nacional de 25 de febrero de 2010, referida a un supuesto similar al presente. Con respecto a esta última, remarca: “se trata de intrusiones cometidas de manera ilegal, por terceros organizados y con altos conocimientos informáticos, dirigidos a una actividad delictiva muy elaborada”. Siguiendo con este argumento, alega que “la AEPD ignora la diligencia desplegada por DIGI a la hora de imputar la infracción, considerando que la emisión del duplicado de tarjeta SIM a un tercero impide la posibilidad de que la entidad que sufre la comisión del fraude pueda ser víctima de un engaño suficiente por parte del presunto suplantador de identidad, como sí ha aceptado, en el caso contra la DGT, extractado previamente.” A juicio de DIGI, “la AEPD parece confundir el concepto de responsabilidad proactiva con la obligación de resultado que impone la responsabilidad objetiva”. Continúa diciendo que la responsabilidad proactiva, del artículo 5.2 del RGPD, implica “la implantación de un modelo de cumplimiento y gestión del riesgo y éste, obviamente, ha de ser adecuado; pero esto no debe confundirse con la con la exigencia o garantía total de que el sistema implantado sea infalible, hasta el extremo de exigir a un operador de telecomunicaciones que detecte una falsificación documental.” Por último, afirma que “en el presente supuesto, se evidencia la existencia de un estricto control, previo y posterior a la solicitud del duplicado, el establecimiento de medidas previas y a posteriori, así como la existencia de medidas concretas encaminadas a evitar de forma previa estas prácticas.” Como jurisprudencia cita la Sentencia del Tribunal Supremo 543/2022, de 15 de febrero de 2022 destacando lo que se establece en su Fundamento Jurídico 3º: “La obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado, que implique que producida una filtración de datos personales a un tercero exista responsabilidad con independencia de las medidas adoptadas y de la actividad desplegada por el responsable del fichero o del tratamiento”. Partiendo que el Tribunal Supremo califica a esta obligación como una obligación de medios, DIGI discrepa de lo recogido en el Acuerdo de Inicio de este procedimiento sancionador por entender que le impone una obligación de resultados “pese a que las medidas establecidas se ajustan al mandato de suficiencia del DNI que por sí solo resulta válido para correcta identificación personal a todos los efectos (art. 8.1 L.O. 4/2015 de protección de la seguridad ciudadana).” En esta línea considera que “(…), el examen de diligencia del Responsable del Tratamiento y la suficiencia de las medidas que éste estipula, no puede basarse en la única consideración del resultado, tal y como realiza la AEPD en el Acuerdo de Inicio. Con relación al artículo 83, apartado 2, del RGPD, DIGI cita, también, las Sentencias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/54 del Tribunal de Justicia de la Unión Europea dictadas en los asuntos C-683/21 y C807/21 para subrayar que “ninguno de los factores enumerados en dicha disposición menciona la posibilidad de que el responsable del tratamiento sea considerado responsable en ausencia de conducta culpable por su parte”. En este sentido, sostiene que “al no haberse acreditado la concurrencia de una actuación culpable, intencionada o negligente por parte de DIGI no procede la identificación en la conducta de esta parte de una infracción de la normativa de protección de datos personales y, consecuentemente, no procede la imposición ningún tipo de sanción”. Insiste, además, en el hecho de que la comisión del fraude se ejecutó “a raíz de la propia intervención del Reclamante, quien falla en la custodia de sus datos personales y, debido al engaño al que es sometido, los facilita al propio suplantador de identidad”. A este respecto se apoya en la Sentencia 112/2023, de 21 de abril de 2023, de la Audiencia Provincial de A Coruña y en la Sentencia 289/2024, de 28 de mayo de 2024, de la Audiencia Provincial de Oviedo. DIGI, acaba concluyendo que “No habiéndose probado una falta de diligencia de DIGI, no cabe la imposición de sanción alguna. Sólo es posible sancionar administrativamente con base en el RGPD cuando haya quedado debidamente acreditada por parte de la autoridad administrativa competente la concurrencia de una actuación culpable, intencionada (dolosa) o negligente por parte de responsable de tratamiento, algo que no ha sucedido en el presente procedimiento. Es por ello que esta parte considera que el presente Acuerdo de Inicio no es ajustado a derecho, pues impone a DIGI una obligación de resultado, basándose únicamente en un resultado lesivo que se produce por la actividad fraudulenta de un tercero, sin atender a la diligencia utilizada y sin considerar el despliegue de medidas técnicamente adecuadas e implantadas, que han permitido la frustración de otros intentos de comisión de fraude; contradiciendo abiertamente la reciente jurisprudencia del Tribunal Supremo”. 6. Sobre la falta de proporcionalidad de la sanción propuesta La entidad reclamada discrepa de los criterios considerados en el Acuerdo de Inicio para calcular el importe de la multa atendiendo a las circunstancias y contenido de la supuesta infracción.  La intencionalidad o negligencia en la infracción [artículo 83.2.
3. b)del RGPD]. DIGI discrepa de la incorporación de esta agravante por entender que no se relaciona ni señala su aplicación al presente supuesto de hecho. Además, indica que “la imposición del presente agravante debe estar reservado a aquellos casos donde la intencionalidad o negligencia de la infracción sea evidente y grave”. Por tanto, alega que “Tratándose, el presente supuesto, de un hecho causado por la comisión de un acto delictivo de un tercero no imputable a DIGI – el cual genera un engaño suficiente en el propio Reclamante, y en los agentes, mediante el uso incluso de documentos falsos-, no parece permisible, cuando esta mercantil ostenta el rol de víctima y perjudicada, que se le impute tal agravante, sin ni siquiera establecerse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/54 razonamiento alguno al respecto”.  La circunstancia del artículo 83.2.
4. e)RGPD: “Toda infracción anterior cometida por el responsable o el encargado del tratamiento”. Después de señalar que el presente caso tiene lugar hace tres años, cuando DIGI empezó a sufrir este tipo de intentos de comisión de fraude, con relación a los tres procedimientos sancionadores recogidos en el Acuerdo de inicio, DIGI manifiesta los siguiente: “Considerando que uno de los supuestos de hecho mencionados como antecedentes tuvo lugar con posterioridad a los hechos objeto del presente Acuerdo de inicio, otro apenas unos días antes y el último tan solo unas semanas antes, no cabe imputar los mismos como antecedentes, en la medida en la que su realización – así como la actuación de DIGI contra este tipo prácticas – resulta prácticamente coetánea y simultánea. Como consecuencia, no se puede imputar a DIGI una falta de diligencia en la adopción de medidas preventivas”. En esta línea alega que “el agravante de la reincidencia hace alusión a un período temporal amplio, generalmente de carácter anual, y no puede tener en cuenta una sucesión de hechos, como son los supuestos de comisión de fraude Sim Swapping que nos ocupan, en algunos casos, coetáneos a nivel temporal”.  La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD). DIGI sostiene que “El artículo 83.2
5. k)exige que dicho agravante sea puesto en relación con el supuesto de hecho concreto”. Por otro lado, aduce falta de proporcionalidad y para ejemplificarla se refiere a las sanciones impuestas a otras empresas del sector telecomunicaciones en casos de SIM SWAPPING por entender que existe un agravio comparativo ya que su cuota de mercado y facturación es menor. En concreto, DIGI reseña “la sanción impuesta a la mercantil XFERA MÓVILES, S.A., con NIF A82528548, en el procedimiento sancionador de la AEPD PS/000027/2021, que es análogo y versa sobre supuestos de hecho idénticos a los que son objeto presente procedimiento (comisión de fraudes SIM SWAPPING)”. Finalmente, alude a los procedimientos sancionadores por emisión de duplicados de tarjeta SIM que esta Agencia tiene abiertos a DIGI “11 procedimientos sancionadores, con una sanción propuesta asociada de 70,000 euros; 5 con una sanción propuesta de 200.000 euros; además del presente que asciende a 300.000 euros, por cada supuesto de suplantación de identidad en los duplicados de tarjetas SIM”. A este respecto señala que “la AEPD impone a DIGI un conjunto de sanciones mucho mayor proporcionalmente, que asciende a dos millones de euros, pese a que, si se comparan ambas resoluciones, resulta posible apreciar supuestos de hecho análogos”. DIGI acaba concluyendo que “La AEPD no justifica esta diferenciación en la graduación de las sanciones, sin que esta parte pueda conocer el motivo o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/54 justificación que legitima tal cuantificación. No consta, a lo largo del procedimiento sancionador, razonamiento o fundamentación jurídica alguna que permita a esta parte conocer el criterio que subyace a la cuantificación de tal sanción”.  Adicionalmente, DIGI considera que “según lo establecido en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, concurren en el presente las siguientes circunstancias atenuantes que no han sido consideradas en la adecuada graduación de la sanción: o Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (art. 83.2 c RGPD); DIGI neutralizó el primer intento de SIM Swapping en el caso que nos ocupa, al no darse el cumplimiento íntegro del 38 protocolo de seguridad establecido en el momento de los hechos. Así mismo, procedió a revertir la situación una vez emitido el duplicado supuestamente fraudulento. o En ningún momento se han tratado categorías especiales de datos (art. 83.2
6. g)RGPD). o El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos: ha quedado acreditado que se ha contestado en tiempo y forma a todos los requerimientos de información solicitados por esta Agencia. Es más, DIGI aportó, en el primer requerimiento de información, de forma previa a que fuese requerido por la AEPD, toda la documentación contractual y acreditativa relativa al presente supuesto de hecho, por propia voluntad, manifestando de forma expresa su buena fe e intención de colaboración con la autoridad (Art. 83.2
7. f)RGPD). o El inexistente beneficio obtenido por parte de DIGI como resultado al tratamiento de datos que ocupa este procedimiento. En todo caso, DIGI se ha visto perjudicada, como ya se ha señalado, al verse afectada por la comisión de fraude por un tercero, lo que le ha obligado a reparar la situación causada y llevar a cabo investigaciones, con el consiguiente coste asociado (Art. 83.2
8. k)RGPD). Se ha de resaltar que no solo no supone un beneficio económico, sino que DIGI se ha visto perjudicado por la actuación de su proveedor, a pesar de haber contado con todas las medidas y garantías. Por todo lo anterior, la cuantificación de la posible sanción a imponer a DIGI en relación con el supuesto incumplimiento de las obligaciones del artículo 6.1 del RGPD considera esta parte debería limitarse a un apercibimiento y, en cualquier caso, el importe de la sanción propuesta supone una cuantía desproporcionada para este caso concreto y, de ser considerada una sanción económica en lugar de apercebimiento, debería reducirse la misma, en atención a las medidas de seguridad desplegadas por DIGI y el resto de circunstancias atenuantes no tomadas en cuenta por la AEPD”. Para finalizar solicita el archivo del presente procedimiento, y subsidiariamente, que se tenga en cuenta las circunstancias atenuantes y finalice el procedimiento con un apercibimiento, o que si considera que procede la imposición de una sanción, que modere o module la propuesta recogida en el Acuerdo de Inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/54 OCTAVO: Con fecha 2 de octubre de 2025 se formuló propuesta de resolución, proponiendo que se sancionara a DIGI SPAIN TELECOM, S.L.U., con NIF B84919760, por una infracción del artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
9. a)del RGPD, con una multa de 120.000 € (ciento veinte mil euros) y otorgándole un plazo de diez días para la presentación de alegaciones. NOVENO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada solicitó ampliación de plazo que le fue concedida y con fecha 24 de octubre de 2025 presentó escrito de alegaciones en el que solicita el archivo del expediente o, subsidiariamente, la atenuación o moderación de la sanción recogida en la propuesta de resolución. DIGI, basa sus pretensiones en las consideraciones que se exponen a continuación, ratificando, en todo caso, las alegaciones y argumentaciones jurídicas de sus anteriores escritos de alegaciones. 1. Sobre el supuesto de hecho La reclamada procede a relacionar los documentos que considera más relevantes, los cuales ha aportado en el curso de este procedimiento para acreditar los hechos reclamados. A continuación, destaca que la tramitación del duplicado de tarjeta SIM por DIGI deviene de un engaño provocado por un tercero, mediante la comisión de dos delitos tipificados en el Código Penal, uno de suplantación de identidad del reclamante y otro de falsedad y uso de documento falso. Conforme al protocolo vigente en el momento de los hechos, DIGI sostiene que el solicitante fue correctamente identificado como el titular de la línea, primero; de forma telemática y, en una segunda fase, a través de la comprobación in situ de su documento de identidad. A este respecto, afirma que el DNI aportado por el solicitante revestía total apariencia de legalidad, trayendo a colación el artículo 8.1 de la Ley Orgánica 4/2015, de 30 de marzo, de Protección de la Seguridad Ciudadana en virtud del cual el DNI “es el único documento con suficiente valor por sí solo para la acreditación, a todos los efectos, de la identidad y los datos personales de su titular”. Además, estima que “no cabe imponer a esta parte la obligación absoluta de detección de un documento falso que constituye, inclusive para las autoridades y las Fuerzas y Cuerpos de Seguridad, un engaño suficiente”. Finalmente concluye que no ha habido tratamiento ilícito de datos personales por parte de DIGI por tres motivos:   La actuación de DIGI fue diligente, en cumplimiento del procedimiento establecido al efecto y atendiendo la demanda de un solicitante que se identifica como el reclamante. Los presuntos efectos indeseados están provocados por la actuación de un tercero (supuesto defraudador), que disponía de los datos y el DNI del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/54  Reclamante. Por parte de DIGI no se ha facilitado ningún dato personal del Reclamante, puesto que los códigos (incluidos los de la tarjeta SIM), no alcanzarían per se la categoría de datos personales. 2. Sobre el SIM Swapping y las responsabilidades derivadas DIGI expone que esta Agencia describe en su propuesta de resolución el fenómeno SIM Swapping de forma genérica y errónea e insiste que “un duplicado de tarjeta SIM no da acceso a ninguna aplicación o cuenta personal, almacenadas en el dispositivo móvil y no en la tarjeta SIM”. Con relación a esto, recuerda que en el presente caso el propio reclamante reconoció haber sido objeto de un ataque phishing/smishing el día 6 de enero de 2022, dos días antes de que se produjera la solicitud de duplicado de su tarjeta SIM ante DIGI, citando el Informe “CONTRA EL SIM-SWAPPING. Visión general y buenas prácticas para reducir el impacto de los ataques de SIM-Swapping” de la Agencia de Ciberseguridad de la Unión Europea (ENISA). De dicho informe DIGI resalta que “para realizar un duplicado fraudulento de SIM, el estafador necesita tener acceso a algunos de los datos personales de la víctima, cliente del operador” y la elevada probabilidad de que se empleen técnicas de ingeniería social como el “phishing” para estafar a los clientes como sucedió en el presente caso. DIGI insiste que no es responsable de un tratamiento ilícito de datos personales ya que ha mediado el fraude por parte de un tercero que el que utiliza la información ilegítimamente obtenida para fines maliciosos. A este respecto, considera relevante traer a colación la Memoria 2021 de la Fiscalía General del Estado dedicada a la “Criminalidad Informática” por entender que la misma pone de manifiesto que las operadoras de telefonía serían víctimas del fraude conocido como SIM Swapping, mientras que las entidades bancarias serían responsables de eventual perjuicio derivado de dicho fenómeno en función de las medidas de seguridad implementadas. Por ello, DIGI estima que no puede eludirse, en este supuesto, la actuación de las entidades financieras que permiten la instrumentalización de la tarjeta SIM, posibilitando el acceso a las cuentas de los particulares. Por otro lado, sostiene que la base de legitimación empleada por DIGI para llevar a cabo el duplicado de tarjeta SIM, no es el consentimiento, sino la ejecución del contrato de prestación de servicios suscrito entre la operadora y el reclamante que fue identificado “de forma fehaciente y mediante un medio válido en derecho, como es el DNI”. Por lo demás, reitera lo ya expuesto en su escrito de alegaciones al acuerdo de inicio sobre la licitud del tratamiento de datos personales, subrayando, de un lado, que no ha puesto a disposición del suplantador datos personales distintos de los que ya conocía de forma previa, y de otro, que la calificación jurídica efectuada por la AEPD no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/54 corresponde con los hechos acaecidos, ya que no le imputa una infracción del artículo 32 del RGPD. 3. Sobre la existencia de culpa o negligencia DIGI recuerda que, conforme a la jurisprudencia del Tribunal Constitucional, se excluye la posibilidad de sancionar por la mera concurrencia de un resultado lesivo, siendo necesario evaluar el procedimiento establecido y aplicado por DIGI, que incluye, la identificación presencial del Reclamante la cual se realizó de forma correcta. En este punto, la entidad reclamada cuestiona los procedimientos que la AEPD ha instruido en su contra y, en particular, pone de manifiesto que la AEPD carece de un criterio estable en materia de verificación de la identidad del interesado a través del DNI lo que, a su juicio, ha generado un efecto de percepción negativa de esta práctica. En apoyo de esta afirmación, DIGI menciona diversas noticias relacionadas con el uso del DNI como medio de identificación en materia de protección de datos, obtenidas a través de búsquedas en Internet, así como dos Informes del Gabinete Jurídico de la AEPD, con los números de referencia 0047/2021 y 48/2023. En relación con lo anterior, la reclamada alega que “la AEPD restringe las posibilidades de DIGI de defenderse, exigiéndole presentar una prueba cuya obtención restringe y negando la posibilidad de establecer medidas de protección para luego sancionar en caso de que se produzca cualquier incidencia en la seguridad”. Además, DIGI considera que la AEPD omite evaluar el nivel de diligencia empleado por su parte en este caso, diligencia que entiende ha quedado demostrada con anterioridad. Igualmente, señala que se ha ignorado que la suplantación de identidad puede producirse con facilidad mediante métodos cada vez más sofisticados, concluyendo que, en el presente caso, el engaño sufrido ha sido un engaño suficiente y que, por tanto, no existen responsabilidad atribuible a su parte. 4. Sobre la inadmisibilidad de responsabilidad objetiva, la indefensión y la falta de seguridad jurídica A este respecto, la reclamada insiste en el argumento de que la AEPD limita su argumentación al resultado lesivo que se produce por la intervención fraudulenta de un tercero que se identifica como el Reclamante, sin atender a la diligencia utilizada, y sin considerar el despliegue de medidas técnicamente adecuadas e implantadas sobre un tratamiento para el cual DIGI no decide ni la finalidad ni los medios. A juicio de DIGI “la AEPD parece confundir el concepto de responsabilidad proactiva con la obligación de resultado que impone la responsabilidad objetiva”. En apoyo de sus alegaciones, DIGI hace referencia a la jurisprudencia del Tribunal Constitucional, de la Audiencia Nacional y del Tribunal Supremo, citando respectivamente la STC nº 76/1990 de 26 de abril, la SAN de 23 de diciembre de 2013, Rec. 341/2012 y, de forma destacada, la STS 543/2022, de 15 de febrero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/54 Por otro lado, la reclamada disiente de los motivos esgrimidos por esta Agencia en la propuesta de resolución por entender que vulneran su derecho de defensa, indicando al respecto lo siguiente: - La Agencia no entra a valorar el proceso de seguridad de las operaciones bancarias. Se utiliza la realización genérica de fraudes de tipología SIM SWAPPING y su comisión por los suplantadores de identidad como fundamentación jurídica, sin relacionar tales menciones con el presente supuesto de hecho. Utiliza el rol de DIGI como responsable del tratamiento como un argumento que justifica su responsabilidad, sin establecer ningún otro elemento o nexo. Se ampara de forma exclusiva en el resultado – concurrencia de suplantación de identidad – para imponer una sanción, invalidando el reforzado procedimiento y las medidas de DIGI establecidas al efecto. Omite la existencia de un engaño suficiente y la comisión de delitos por un tercero. A continuación, DIGI afirma que “Este proceder de la Agencia, que llega incluso a introducir en los Fundamentos Jurídicos, meras suposiciones (como la posibilidad de acceder a los mensajes mediante un duplicado de tarjeta SIM, técnicamente erróneo); provoca una total falta de coherencia argumentativa que supone además un claro menoscabo de derecho de defensa de DIGI”. Asimismo, reitera que esto supone “una evidente falta de criterio jurídico en lo que respecta a los procesos de identificación en sectores no regulados expresamente por la normativa, que no hacen más que generar inseguridad jurídica en estos mercados, colocando a DIGI en una clarísima posición de indefensión”. En definitiva, DIGI concluye que la propuesta de resolución de este procedimiento no es ajustada a derecho por falta de motivación y ausencia de fundamentación jurídica causándole, por tanto, indefensión. 5. Sobre la falta de proporcionalidad de la sanción propuesta En primer lugar, DIGI considera que habiendo sido diligente en su actuación no procede la imposición de sanción alguna. En todo caso, aún en el supuesto de apreciarse infracción en su actuación, DIGI alega que la sanción propuesta resultaría desproporcionada, atendiendo a los aspectos fácticos y jurídicos que se esgrimen en la propuesta de resolución de este procedimiento. Posteriormente, la entidad reclamada expone los criterios valorados por esta Agencia como circunstancias agravantes, con los que se muestra disconforme:  La naturaleza, gravedad y duración de la infracción (art, 83.2.
10. a)RGPD). A este respecto, DIGI sostiene que no concurren los requisitos para aplicar esta agravante. En primer lugar, incide en que no puede obviarse que los hechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/54     objeto de este procedimiento tienen su origen en la actuación fraudulenta de un tercero que, valiéndose de documentación falsificada, consiguió burlar los controles establecidos. Asimismo, destaca que la duración del incidente fue sumamente limitada, que afecta a un único interesado, que los perjuicios que sufrió el reclamante son consecuencia directa de actuaciones que le son ajenas y que su reacción fue diligente, adoptando sin demora las medidas correctoras oportunas. La intencionalidad o negligencia en la infracción (artículo 83.2.
11. b)del RGPD). DIGI estima que “no puede aludirse a que medie intencionalidad de DIGI en la suplantación de identidad acaecida” ya que se trata de un caso aislado y excepcional en el que el solicitante generó un engaño suficiente en el agente del punto de venta. Además, considera irrelevante el hecho de que el duplicado se solicite en un municipio distinto al de la residencia del titular de la línea. Las categorías de los datos de carácter personal afectados (art.83.2.
12. g)RGPD). DIGI discrepa de la aplicación de este agravante por entender que “los perjuicios derivados del acceso fraudulento a otros servicios son atribuibles a los mecanismos de seguridad de tales servicios y no al tratamiento efectuado por DIGI en el marco de su actividad ordinaria y legítima”. El grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 (art. 82.2.
13. d)RGPD). DIGI considera “improcedente la aplicación de este agravante, al no haberse acreditado (ni se ha imputado por la AEPD en la Propuesta) que DIGI haya incumplido las obligaciones establecidas en los artículos 25 y 32 del RGPD”. Asimismo, argumenta que este hecho ya ha sido valorado por la Agencia en el marco del agravante previsto en el artículo 83.2.
14. b)del RGPD, por cuanto el supuesto “incumplimiento del deber de diligencia” que motiva el agravante de la letra
15. b)se sustenta en la misma crítica a las medidas técnicas y organizativas que pretende activar el agravante de la letra d), sin aportar elementos adicionales que justifiquen su autonomía. Toda infracción anterior cometida por el responsable o el encargado del tratamiento (art. 83.2.e). La entidad reclamada manifiesta que, en relación con los dos expedientes mencionados en la propuesta de resolución en lo que se sanciona a DIGI por la infracción del artículo 6.1 del RGPD, se aprecia una omisión relevante por cuanto esta Agencia obvia que el incidente es consecuencia de la actuación ilícita de un tercero que genera un engaño suficiente. Al respecto, explica que no existe un catálogo cerrado de modalidades de SIM Swapping, toda vez que dicho ataque puede llevarse a cabo a través de procedimientos y métodos muy diversos lo que requiere de una actualización constante de las medidas de seguridad. En una estructura organizativa como la de DIGI, dicha actualización no puede ser inmediata. En otro orden de cosas, DIGI alega que la mera pertenencia a un sector económico no puede derivar, de forma automática, en un agravante en la graduación de una sanción, pues no posibilitaría defensa alguna para esta parte, generándole indefensión. En este sentido, afirma que las Directrices 04/2022, sobre el cálculo de las multas administrativas contempladas en el RGPD, adoptadas por el Comité Europeo de Protección de Datos el 24 de mayo de 2023, “excluyen la actividad y sector empresarial del infractor como criterio a considerar en la imposición y cuantificación de sanciones derivadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/54 de una infracción de la normativa en materia de protección de datos”. Según DIGI, dicho agravante no guarda relación con la supuesta infracción que resulta de la comisión de un delito del que DIGI es parte perjudicada. Por otra parte, DIGI defiende la concurrencia de las siguientes circunstancias atenuantes:     En ningún momento se han tratado categorías especiales de datos (Art. 83.2
16. g)RGPD). El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos, respondiendo en tiempo y forma a todos los requerimientos de información formulados por esta. El inexistente beneficio obtenido por parte de DIGI como resultado al tratamiento de datos que ocupa este procedimiento. Sobre este particular, señala que desconoce a qué interpretación del artículo 83.1 del RGPD se refiere la AEPD al afirmar que el espíritu de dicho precepto impide la considerar la ausencia de beneficios como atenuante, máxime cuando es el propio Reglamento el que contempla tal posibilidad. Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (art. 83.2 c RGPD). Por último, DIGI considera que “la sanción de 120.000 € resulta completamente desproporcionada, dadas las múltiples medidas adoptadas, la cooperación proactiva con la AEPD y la rápida reacción ante el incidente”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El reclamante, con residencia en ***LOCALIDAD.1, es cliente de la entidad DIGI. Entre los servicios contratados figura la línea de telefonía móvil número ***TELÉFONO.1. SEGUNDO: Con fecha 8 de enero de 2022, a petición de un tercero no autorizado, DIGI emitió un duplicado de tarjeta SIM para la línea ***TELÉFONO.1, el cual fue activado a las 13:31 horas, quedando el reclamante sin servicio. TERCERO: En relación con el duplicado de tarjeta SIM reseñado en el Hecho Probado Segundo, DIGI ha manifestado lo siguiente: Que en fecha 7 de enero de 2022, un tercero, que se identifica como el reclamante, se personó ante el stand del distribuidor de DIGI ***EMPRESA.1, con ID=(...), sito en ***LOCALIDAD.2, para solicitar dicho duplicado de la tarjeta SIM titularidad de quien reclama. Según DIGI, el distribuidor no le facilitó el duplicado por no disponer del ticket que, al efecto, facilita el servicio de atención telefónica de DIGI una vez superada su política de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/54 Ese mismo día, el tercero contacta con el servicio de atención telefónica a través de WhatsApp, y tras superar la política de seguridad establecida por DIGI para esta vía, se procede a la apertura del ticket de emisión de duplicado de tarjeta SIM. Según la transcripción de la conversación de WhatsApp, aportada por DIGI el 09/08/2023, el interlocutor conocía los datos personales del titular de la línea para superar la citada política de seguridad: nombre y apellidos, número de teléfono, número del documento de identidad del reclamante y los cuatro últimos dígitos de su cuenta bancaria. Consecuentemente, se procedió a la apertura de ticket para la posterior obtención del duplicado en un punto de venta de DIGI. Tras la previa gestión, el tercero se presentó en el indicado punto de venta de DIGI para obtener el duplicado SIM solicitado, aportando denuncia de robo de móvil y carnet de identidad del reclamante. CUARTO: Con fecha 9 de enero, el reclamante contactó con DIG para advertir sobre lo ocurrido. En la información aportada por DIGI constan los contactos realizados por el reclamante el 09/01/2022, a las 14:14, 14:22 y 14:57. En ellos se indica, respectivamente: “Quiere saber si se le hizo un duplicado, indico que sí”; “quiere duplicado de SIM, por robo, pol ok,”; “Indica que desea bloquear el terminal que le han robado toda su información (le han suplantado la identidad) inf debe enviar denuncia al email atencionalcliente, bloqueamos la línea”. QUINTO: Con fecha 9 de enero de 2022, el reclamante interpuso denuncia ante la Policía Nacional, cuyo contenido se declara reproducido, a efectos probatorio. En este atestado consta que el reclamante tiene domicilio en ***LOCALIDAD.1. De las manifestaciones realizadas por el reclamante cabe destacar las siguientes: “Que en la fecha del día 8 del presente mes, aproximadamente a las 16:00 horas… comenzaron a recibir diversos SMS al teléfono móvil de su mujer…, siendo los mismos de su entidad bancaria notificando diversos cargos realizados en su cuenta… ambos como titulares”. “Que el denunciante no recibió ningún SMS… debido a que tenía bloqueada su tarjeta SIM, al parecer en la fecha del día 7 del presente mes, una tercera persona ha solicitado un duplicado de la tarjeta SIM del denunciante, concediendo la misma la compañía telefónica, desconociendo el denunciante si la compañía telefónica he realizado todas las medidas de seguridad para acreditar que el solicitante del duplicado de tarjeta SIM era el propio denunciante, debido a que el mismo manifiesta que en ningún momento se ha puesto en contacto con la citada compañía para realizar un duplicado de su tarjeta SIM”. “Que en la fecha del día 8 del presente mes, el duplicado de la tarjeta SIM fue concedido, bloqueando la tarjeta del denunciante y por este motivo no recibió ningún mensaje ni llamada de seguridad de su entidad bancaria”. “Que preguntado si ha accedido a la página web de su entidad bancaria a través de enlace recibido por correo electrónico o redes sociales, responde que: sí, accedieron a su entidad bancaria a través de SMS recibido en su terminal móvil en la fecha del 06/01/2022, aproximadamente a las 17:30, no apareciendo un número de contacto en dicho SMS”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/54 SEXTO: Con fecha 9 de enero de 2022, la mujer del reclamante remitió un correo electrónico al servicio de atención al cliente de DIGI adjuntando la denuncia policial y solicitud de información urgente. SÉPTIMO: En fecha 9 de enero de 2022, DIGI abrió el correspondiente tique por usurpación de identidad de la parte reclamante. OCTAVO: Con fecha 21 de enero de 2023, DIGI remitió un correo electrónico a la parte reclamante desde la dirección “atenciónalcliente@digimobil.es” con el siguiente texto: “A continuación, le indicamos los datos del punto de venta donde se activó el duplicado de SIM de tu línea el 10/01/2023 de la línea ***TELÉFONO.1 el día 08/01/2022 a las 13:31 horas, según consta en nuestros sistemas: Nombre del local: ***EMPRESA.2 Dirección: …, ***LOCALIDAD.2 Te informamos que los distribuidores tienen la obligación de solicitar el documento de identidad del titular para hacer un duplicado de tarjeta SIM”. NOVENO: la Política de Seguridad de DIGI aplicable a duplicados SIM en el momento de los hechos, fue implementada el 1 de septiembre de 2021 y exigía dos pasos: ─ (…) DÉCIMO: En sus escritos de respuesta a requerimientos de información de esta Agencia con fecha de entrada 9 de octubre de 2023 y 22 de julio de 2024, DIGI confirma que no dispone de copia de la documentación acreditativa de la identidad exhibida por la persona que recogió en tienda el duplicado SIM, el día 08/01/2022, ni copia de la denuncia por robo de móvil alegado por el supuesto suplantador. Según DIGI, el dealer no guardó copia de la documentación facilitada por no exigirlo los protocolos de DIGI vigentes en aquel momento. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Contestación a las alegaciones al acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/54 1. Establecimiento de medidas y principio de culpabilidad. Tratamiento ilícito de los datos personales. DIGI manifiesta que la incidencia se produce porque un tercero, que disponía de los datos personales y del documento de identidad original del reclamante, consigue superar su política de seguridad suplantando la identidad de aquel. Hace referencia DIGI, para su descargo, al conjunto de medidas de seguridad que ha adoptado y añade que es inevitable que esta política de seguridad pueda ser sobrepasada de forma fraudulenta a través de ciertos mecanismos, sin que por ello pueda existir reproche a DIGI. Defiende que cumplió con todos los protocolos de seguridad establecidos y considera que la AEPD ha llegado a conclusiones erróneas al considerar que el simple hecho de que se produjera una suplantación es indicativo de una falta de diligencia por parte de la empresa. En base a ello, termina invocando el principio de culpabilidad, argumentando que no cabe imponer una responsabilidad objetiva, es decir, sancionar a la empresa simplemente por el resultado del incidente, sin demostrar que existió culpa o negligencia. La parte reclamada argumenta que, conforme a la Sentencia del Tribunal Constitucional n.º 76/1990, el principio de culpabilidad exige la concurrencia de dolo o culpa, y la mera existencia de un error no justifica la imposición de una sanción. Asimismo, cita la Sentencia de la Audiencia Nacional de 25 de febrero de 2010 según la cual la superación de medidas de seguridad por parte de terceros organizados no es motivo suficiente para sancionar a la empresa afectada, especialmente cuando se han implementado medidas de protección adecuadas. Atendiendo a las características y al contexto del tratamiento, resulta conveniente precisar que el fenómeno del SIM Swapping constituye un riesgo ampliamente documentado y de concurrencia frecuente en el sector de las telecomunicaciones. En consecuencia, siendo un riesgo inherente a la actividad, resulta jurídicamente exigible que en el proceso de solicitud de duplicados de tarjetas SIM se adopten medidas técnicas y organizativas adecuadas para garantizar que la persona que solicita el duplicado de la tarjeta SIM es realmente quien dice ser, es decir la titular del número de teléfono, y que estás medidas se cumplen, con el fin de evitar el tratamiento ilícito de datos personales. Así las cosas, la verificación adecuada y rigurosa de la identidad del titular de la línea resulta determinante para que el proceder del operador pueda ser calificado como diligente y acorde con las obligaciones que le impone el RGPD. En este sentido, contrariamente a lo alegado, esta Agencia no ha limitado su análisis únicamente al resultado material, esto es, la emisión fraudulenta del duplicado SIM, sino que se han valorado de manera exhaustiva tanto la conducta de DIGI como las medidas implementadas, identificándose deficiencias o irregularidades en la actuación de DIGI que ponen en entredicho la diligencia de esta entidad en el presente caso. En primer término, conviene señalar que en el presente caso se imputa una infracción por falta de licitud en el tratamiento de los datos personales que conlleva la emisión de un duplicado de tarjeta y su entrega a un tercero no autorizado, sin que el titular de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/54 misma tuviera si quiera conocimiento de tales tratamientos. El artículo 6.1 establece que el tratamiento de datos personales solo es lícito si se cumple al menos una de las condiciones previstas en el mencionado artículo. En este caso, la vulneración del principio de licitud se manifiesta en el tratamiento indebido de los datos personales del reclamante, que no fue el solicitante real del duplicado de tarjeta. Este tipo de tratamientos requiere verificar adecuadamente la identidad del solicitante y para ello resulta necesario establecer medidas que aseguren esa correcta identificación. El establecimiento de estas medidas o protocolos, así como su seguimiento y atención por la propia entidad responsable, sirve para valorar la conducta y el grado de diligencia empleado por la misma. DIGI emitió un duplicado de tarjeta SIM sin contar con el consentimiento del titular de la línea y lo entrego a un tercero sin una base jurídica válida. Dicho hecho se traduce en un tratamiento ilícito de datos, al haberse realizado sin cumplir con los requisitos establecidos en el artículo 6.1 del RGPD. La infracción de este artículo confirma que DIGI realizó un tratamiento no autorizado de los datos, vulnerando de esta forma los derechos del reclamante. En este sentido, la mera existencia de una política de seguridad no puede justificar una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y posibilitar que el responsable del tratamiento esté en condiciones de demostrar el cumplimiento de los principios relativos al tratamiento de los datos personales. En caso contrario, las medidas adoptadas carecen de virtualidad y pueden conllevar tratamientos ilícitos como ocurre en el presente caso. Por lo tanto, DIGI no puede pretender quedar exonerada de su responsabilidad apelando a la existencia de tales medidas de seguridad. Lo cierto es que la simple emisión de una tarjeta SIM y su entrega a un tercero no autorizado implica ya de por si una vulneración del principio de licitud, en cuanto tienen la consideración de tratamientos de datos personales. Es preciso señalar, asimismo, que no es un hecho controvertido que la emisión del duplicado de tarjeta SIM y su entrega a un tercero no autorizado se llevó a cabo sin la intervención del reclamante y titular de la línea telefónica. La propia entidad DIGI calificó el caso como fraudulento, según consta reseñado en los hechos probados. Por otra parte, acreditada la existencia de una conducta antijurídica de DIGI (el tratamiento de los datos de la parte reclamante sin base jurídica), la cuestión se centra en determinar si de tal conducta puede nacer responsabilidad administrativa sancionadora. DIGI manifiesta, que no puede apreciarse la existencia de culpabilidad en la infracción que se le imputa, ni a título de dolo ni de culpa, por lo que no puede imponerse a la misma sanción alguna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/54 Rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. Esta AEPD comparte la posición que DIGI recoge en sus alegaciones, en las que hace referencia a la necesaria concurrencia de dolo o culpa. Así, la decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que las circunstancias del caso exigen. Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/54 demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”, establece: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.[...]”. En el presente caso, contra de lo dispuesto en estas normas, DIGI no ha podido demostrar el cumplimiento de la normativa respecto de la licitud de los tratamientos de datos personales por los que se sanciona. Cabe preguntarse cuáles son los parámetros de la diligencia debida que DIGI debía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/54 haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar es la que era precisa para cumplir las obligaciones que le imponen los artículos 5.2, 24 y 25 del RGPD, a la luz de la doctrina de la Audiencia Nacional y la jurisprudencia del Tribunal Supremo. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Es plenamente aplicable al caso, también, la SAN de 19 de septiembre de 2023 (rec. 403/2021), que dice:” contrató la póliza de seguro con un tercero sin control ni supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona que estaba manifestando su voluntad de contratar, no era quien decía ser. De haberse tomado las necesarias precauciones, a fin de asegurar la identidad la persona contratante (para lo que hubiera sido bastante atender a la incorrecta contestación a las preguntas de identificación y verificación del cliente)”. La reclamada ha invocado distintos argumentos para justificar la ausencia de culpabilidad de su conducta. Básicamente, el disponer de una política de seguridad dirigida a garantizar que los duplicados de tarjetas SIM se entregan a los titulares de las líneas telefónicas, que fue seguida por DIGI y que no falló, sino que se vio superada mediante acciones cometidas por un tercero que disponía de los datos personales y el documento de identidad del reclamante. Entiende DIGI que su conducta no puede calificarse como no diligente, que el simple hecho de que se produjera una suplantación de identidad no es indicativo de una falta de diligencia. Sin embargo, existen numerosas circunstancias de hecho en el presente caso que llevan a calificar la conducta de DIGI como imprudente y culposa a la hora de detectar preventivamente el fraude, de tal forma que le hubiese permitido denegar la solicitud de emisión de un duplicado de tarjeta SIM que recibió de un tercero no autorizado y, con ello, abstenerse de realizar los tratamientos de datos personales de la parte reclamante que conlleva la emisión de dicha tarjeta y su entrega a una persona distinta a su titular. Son numerosas las circunstancias de hecho que debieron alertar a DIGI sobre el fraude o, lo que es lo mismo, que dan muestra de la negligencia de su conducta. El duplicado de tarjeta se tramitó desde una tienda física, (…). En primer término, entiende esta Agencia que una muestra de alerta viene determinada por el hecho de que una persona con residencia en un municipio de ***LOCALIDAD.1 solicite un duplicado de tarjeta SIM en una tienda ubicada en una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/54 Comunidad Autónoma distinta, en la ciudad de ***LOCALIDAD.2. No es una cuestión determinante, por no improbable, pero sí para tomarla en consideración a la hora de iniciar el proceso y la aplicación de las cautelas necesarias. Por otra parte, se estima oportuno destacar que (…). Tampoco puede calificarse de diligente la verificación de la identidad del solicitante por parte el punto de venta. En relación con la forma de identificación de los clientes que solicitan un duplicado de tarjeta SIM, DIGI tampoco acredita la existencia de previsión específica alguna, (…). DIGI no aporta prueba documental que permita acreditar que verificó correctamente la identidad del solicitante del duplicado de tarjeta SIM y su correspondencia con el verdadero titular de la línea de telefonía. Como se ha indicado, (…). Sin embargo, no conserva esta documentación para poder acreditar las comprobaciones realizadas, como tampoco ha aportado la supuesta denuncia por robo del terminal móvil que, según ha manifestado, fue aportada por la persona que se personó en el punto de venta para obtener el duplicado en cuestión. Esta falta de prueba no puede salvarse con la simple afirmación de que al agente del punto de venta la documentación le pareció correcta. No basta con decir que el empleado comprobó el DNI original, sin poder acreditar esta afirmación de ningún modo, ni resulta admisible indicar que la Agencia no permite obtener copia de los documentos de identidad, pues el artículo 5.2 del RGPD señala que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (responsabilidad proactiva)”, toda vez que es el responsable, en cumplimiento de las obligaciones que impone esta responsabilidad proactiva, quien debe implantar las medidas técnicas y organizativas necesarias, tal y como expresan los artículos 24 y 25 del RGPD. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de observar los principios que presiden el tratamiento, también la de poder demostrar dicho cumplimiento. El artículo 5.2 del RGPD se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas que sean apropiadas “para garantizar y poder demostrar” que el tratamiento ha sido conforme con el RGPD. En cuanto a los criterios que esta AEPD aplica respecto de la identificación de los interesados mediante el documento de identidad, cuya obtención se califica en ocasiones como excesiva, no considera DIGI que para delimitar los supuestos se tiene en cuenta la organización del responsable y el respeto al principio de responsabilidad proactiva. En ninguno de los dieciocho procedimientos sancionadores seguidos en esta AEPD contra DIGI por defectos en la identificación del titular de los datos personales, finalizados o en curso, todos ellos por infracción del artículo 6 del RGPD, se pone de manifiesto una discrepancia de criterio respecto de esta circunstancia. Por tanto, resulta que DIGI no verificó la identidad de quien solicitó el duplicado de tarjeta SIM que motiva las actuaciones, siendo así que, de haberse efectuado correctamente esta operación, el duplicado se hubiera denegado, quedando en entredicho la diligencia empleada por parte dicha entidad para verificar la identidad de la persona que solicitó un duplicado de la tarjeta SIM. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/54 Resulta significativo, particularmente en lo relativo a los protocolos aplicables, que el responsable del tratamiento no analiza con la debida profundidad la diligencia exigible, trasladando la responsabilidad al agente, cuando el control sobre la veracidad de la solicitud de duplicado de tarjeta SIM, esencial para la prevención eficaz del fraude, corresponde a la propia entidad DIGI. En definitiva, no ha existido una conducta proactiva para aplicar de forma efectiva los principios de protección de datos. Resulta, por tanto, que la actuación desarrollada por DIGI ha resultado claramente ineficaz e insuficiente, está muy por debajo de las posibilidades que el desarrollo técnico actual ofrece y no toma en consideración el evidente riesgo que la contratación de los servicios que comercializa representa para los derechos y libertades de las personas, por lo que debe responder a título de culpa por la infracción cometida por la falta de diligencia mostrada. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. Por otra parte, atendidas todas las circunstancias de hecho que conforman el presente supuesto, no puede decirse que la incidencia producida en el tratamiento de los datos personales de la parte reclamante responda a un ataque sofisticado, como señala DIGI en su escrito de respuesta al trámite de traslado. En otro orden, en relación con la alegación formulada por DIGI, según la cual el defraudador disponía de los datos y documento de la reclamante con anterioridad, cabe precisar que ninguna responsabilidad se está imputando en el presente procedimiento sancionador por la conducta del tercero que solicitó el duplicado de tarjeta SIM, ni por las conductas previas de este estafador para obtener los datos del reclamante o las posteriores, como las cometidas para acceder a las cuentas bancarias, ya tengan que ver con la obtención de los datos personales de la reclamante que fueron facilitados a DIGI o con el uso posterior de los mismos realizados por el tercero una vez obtuvo el duplicado de tarjeta. Ello sin perjuicio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/54 que pueda tenerse en cuenta la repercusión que para el interesado puede tener que un tercero obtenga un duplicado de la tarjeta correspondiente a su línea de telefonía móvil, que obliga a la entidad responsable a establecer todas las cautelas necesarias para evitarlo. Precisamente el que nos encontremos ante el fraude de un tercero hace que sea necesario asegurarse que la persona a la que se expide el duplicado de la tarjeta SIM es quien realmente dice ser y deben adoptarse las medidas necesarias de prevención adecuadas para verificar la identidad de una persona cuyos datos van a ser objeto de tratamiento, tal y como se reconoce en el Fundamento Jurídico Séptimo de la SAN, SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012): "Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento..."). La única infracción que se atribuye a la reclamada se fundamenta en la falta de licitud en el tratamiento de los datos personales del reclamante. En relación con esta calificación de los hechos, se podría citar la Sentencia 4660/2021, de 13 de diciembre de 2021, en la que se dice que “la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación en línea, no excluye que la empresa contratante, que lleva a cabo el tratamiento de los datos personales, haya podido incurrir en infracción por falta del necesario consentimiento inequívoco que exige el art. 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues aquella intervención fraudulenta de un tercero no implica por sí misma que la empresa contratante haya actuado con diligencia suficiente. Lo anterior no significa que se haga recaer sobre la empresa contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la implantación de medidas de control y verificación tendentes a asegurar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado”. Es la emisión de un duplicado de tarjeta SIM y su entrega a un tercero lo que supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). La emisión de un duplicado de tarjeta SIM implica necesariamente un tratamiento de datos personales, ya que se realiza sobre la línea y la identidad del titular. Como puede apreciarse en las actuaciones, el tratamiento de datos que se analiza ha conllevado la utilización de los datos de la reclamante relativos a nombre, apellidos, DNI y línea de telefonía móvil, entre otros. La referencia al fenómeno del denominado SIM Swapping y a sus eventuales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/54 consecuencias se efectúa con el fin de valorar el alcance y naturaleza de la infracción imputada, atendiendo a las repercusiones que tales prácticas pueden generar sobre los derechos del titular de los datos personales afectados. En este sentido, la Audiencia Nacional en la sentencia de 13/05/2024, Rec. 0002336/2021, establece que “(…) en la primera fase de este tipo de estafas el suplantador consigue, de manera fraudulenta, los datos de acceso o las credenciales de la banca online del cliente, pero le falta por conocer el código de verificación, segundo factor de autentificación, para poder ejecutar cualquier operación. En el momento en el que logra la tarjeta SIM duplicada ya tiene también acceso a este segundo factor de autentificación y, por tanto, desde ese momento puede realizar los actos de disposición patrimonial que desee”. En cuanto al acceso a datos personales del cliente que conlleva la entrega de la tarjeta a un tercero, resulta necesario señalar que el acceso al duplicado de una tarjeta SIM que hace identificable a su titular, responde a la definición de dato personal del artículo 4.1) del RGPD tal y como se indicaba en el Acuerdo de Inicio. En este sentido se pronuncia la Sentencia 595/2024 de la Audiencia Nacional, de 8 de febrero de 2024, cuando afirma: “Tenemos que partir, que la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que, a tenor del artículo 4.1 del RGPD, se considera persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador. Pues bien, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network-Estación Móvil de la Red Digital de Servicios Integrados-) así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity-Identidad Internacional del Abonado móvil-), pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Y como se resalta en la resolución recurrida, desde el año 2007, en España, de conformidad con la Disposición Adicional Única de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, se exige que los titulares de todas las tarjetas SIM, ya sean de prepago o de contrato, estén debidamente identificados y registrados. Por lo que a hora de obtener un duplicado de la tarjeta SIM, la persona que lo solicite haya de identificarse igualmente y que su identidad coincida con la del titular.” Por su parte, el Instituto Nacional de Ciberseguridad (INCIBE) incluye en su web “incibe.es” la siguiente información sobre el SIM Swapping: “Recordemos que ante un SIM swapping, los ciberdelincuentes intentan duplicar de forma fraudulenta la tarjeta SIM del dispositivo móvil de una persona. Para ello suplanta su identidad a fin de conseguir un duplicado de la misma. Posteriormente, una vez que la víctima se queda sin servicio telefónico, accede a su información personal y toma el control de sus aplicaciones, suplantándole en sus redes sociales, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/54 cuentas de correo electrónico o banca digital, utilizando los SMS de verificación que llegan al número de teléfono. De esta forma el ciberdelincuente puede recuperar los mensajes de texto de confirmación con las claves y realizar algún ciberdelito con estas credenciales, como puede ser realizar una operación bancaria y suplantaciones de identidad”. Por tanto, la mera utilización de una tarjeta SIM por parte de un tercero no autorizado incrementa de forma significativa el riesgo para su titular, en la medida en que el suplantador puede disponer de datos adicionales que permitan la realización de actuaciones con efectos especialmente gravosos, tales como operaciones financieras no consentidas, como ha sucedido en el caso que nos ocupa. Así, facilitar un duplicado de tarjeta SIM es un proceso en el que la diligencia prestada por los operadores resulta esencial para evitar este tipo de estafas y garantizar la adecuada protección de los derechos e intereses de los clientes, diligencia que, como ya se ha expuesto, se encuentra en entredicho en el presente caso. En relación con todo cuanto antecede, resulta de especial interés la doctrina declarada por el Tribunal Supremo, Sala de lo Contencioso-Administrativo, Sección Tercera, en Sentencia de 13/12/2021 (recurso de casación núm. 6109/2020), que analiza un supuesto de suplantación de identidad para una contratación on line, en el que se cuestiona la actuación llevada a cabo por la entidad recurrente para verificar que contrataba con el verdadero titular de los datos y se sanciona por el tratamiento ilícito de los datos personales del interesado. Según el auto de admisión del citado recurso de casación, “la cuestión que presenta interés casacional objetivo para la formación de la jurisprudencia consisten en interpretar la normativa de protección de datos de carácter personal vigente a efectos de aclarar si la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, permite excluir que haya existido infracción por falta del necesario consentimiento inequívoco para el tratamiento de los datos personales que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, por entender que la empresa contratante actuó con diligencia suficiente y en la creencia de que contrataba con el verdadero titular de tales datos”. En esta Sentencia se declara lo siguiente: TERCERO.- Respuesta de la Sala a la cuestión de interés casacional señalada en el auto de admisión del recurso de casación. En respuesta a la cuestión que plantea el auto de admisión del presente recurso de casación debemos declarar que la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, no excluye que la empresa contratante, que lleva a cabo el tratamiento de los datos personales, haya podido incurrir en infracción por falta del necesario consentimiento inequívoco que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues aquella intervención fraudulenta de un tercero no implica por sí misma que la empresa contratante haya actuado con diligencia suficiente. Lo anterior no significa que se haga recaer sobre la empresa contratante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/54 responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la implantación de medidas de control y verificación tendentes a asegurar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado”. No se trata, por tanto, de atribuir responsabilidad a DIGI por la mera constatación del tratamiento de datos ilícito, sino por la ausencia de diligencia en la aplicación de controles para asegurar que el tratamiento de los datos de la reclamante se realizaba con base de legitimación. En resumen, la reclamada expidió un duplicado de la tarjeta SIM a un tercero que no era el titular de la línea ni había acreditado que actuara en su representación, quedando en entredicho la diligencia empleada por DIGI a la hora de realizar las comprobaciones oportunas para verificar la identidad del cliente interesado, así como la legitimidad de la solicitud y del tratamiento de los datos. A la vista de lo expuesto, no puede decirse que se impone a DIGI una responsabilidad objetiva vulnerándose el principio culpabilista, o que no existe infracción por el tratamiento ilícito de los datos personales de la reclamante. Finalmente, DIGI invoca varias actuaciones en las que, a su juicio, esta AERPD resolvió el archivo de actuaciones considerando que se había producido una suplantación de identidad. En concreto, se refiere al expediente señalado con el número ***REFERENCIA.1, (…). Sin embargo, a diferencia del presente caso, en este precedente el ***ORGANISMO.1 formaliza el cambio de titularidad después de haber recibido la documentación completa dispuesta en la normativa de aplicación (…), incluido el documento de identidad del reclamante, que le había sido previamente sustraído. Según se señala en la resolución de esta AEPD, la inscripción (…) se efectúa en cumplimiento de una obligación legal, sin que sea necesario que el comprador y el vendedor se personen en el mismo momento (…). Asimismo, DIGI alega como precedente la resolución de archivo del expediente ***REFERENCIA.2 de la AEPD, según la cual la AEPD concluyó que la superación de las medidas de seguridad por parte de un tercero no implica necesariamente que estas medidas sean inadecuadas. Afirma que, en dicho expediente, a pesar de que se produjo un acceso no autorizado a datos personales, la AEPD decidió no imponer sanción alguna porque la empresa había desplegado un nivel suficiente de diligencia. En dicho expediente, las circunstancias eran otras. Se trataba de un tercero que estaba realizando una serie de consultas y peticiones sobre la línea de la titular, debido a que contaba con la información personal de la reclamante por el vínculo que les había unido. Esa reclamación se archivó en aplicación del principio de presunción de inocencia, que impide imputar una infracción administrativa cuando no se hayan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/54 obtenido evidencias o indicios de los que se derive la existencia de infracción. El expediente que ahora se resuelve es distinto, en el que se sanciona a DIGI por los tratamientos de datos que conlleva la emisión de un duplicado de tarjeta SIM y su entrega a un tercero. Asimismo, entiende DIGI que la prueba aportada en el presente caso fue considerada suficiente para resolver el archivo de actuaciones en el expediente número ***REFERENCIA.3. Sin embargo, omite que contra dicha resolución de archivo la parte reclamante interpuso recurso de reposición, que fue estimado por resolución de esta AEPD de fecha 13/11/2023, notificada a DIGI el día 20 de noviembre siguiente. 2. Sobre la falta de proporcionalidad de la sanción propuesta DIGI entiende que la sanción incluida en el Acuerdo de Inicio es desproporcionada atendiendo a las circunstancias y contenido de la supuesta infracción. Por un lado, cuestiona las circunstancias consideradas para cuantificar la sanción que se indica en el acuerdo de apertura del presente procedimiento sancionador, en concreto las relativas a la negligencia apreciada en su conducta, la vinculación de su actividad con el tratamiento de datos personales y las infracciones anteriores, todas ellas analizadas en el Fundamento de Derecho V, al que cabe remitirse en este momento. Por otro lado, DIGI señala que en el presente caso concurren las siguientes circunstancias atenuantes que no han sido consideradas en la adecuada graduación de la sanción: ─ Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (artículo 83.2 c RGPD). La admisión de que opere como una atenuante que la parte reclamada haya solventado la incidencia objeto de reclamación de forma efectiva (artículo 83.2
17. c)del RGPD), anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis de DIGI en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas. Por otra parte, como queda reflejado en este acto, DIGI no realizó actividad alguna para solventar la situación generada con la emisión del duplicado de tarjeta SIM fraudulento, sino que fueron las acciones llevadas a cabo por la propia parte reclamante para recuperar el servicio de su línea móvil las que determinaron la anulación de la tarjeta fraudulenta. ─ En ningún momento se han tratado categorías especiales de datos (artículo 83.2
18. g)RGPD). Esta cuestión se trata en el Fundamento de Derecho V antes citado. ─ El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/54 una supuesta infracción y mitigar sus posibles efectos adversos (artículo 83.2
19. f)RGPD). No se puede tener en cuenta esta alegación en la medida en que contestar a los requerimientos de información enviados desde esta Agencia no es encuadrable en esta circunstancia atenuante. ─ El inexistente beneficio obtenido por parte de DIGI como resultado al tratamiento de datos que ocupa este procedimiento (Art. 83.2
20. k)RGPD). El artículo 83.2.
21. k)del RGPD se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo 76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.
22. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..]
23. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones mencionan como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que DIGI alega. Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa está presidida por los siguientes principios: deberán estar individualizadas para cada caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1 del RGPD y a los principios por los que se rige la determinación del importe de la sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis de DIGI en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas. La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el hecho de que en un supuesto concreto no estén presentes todos los elementos que integran una circunstancia modificativa de la responsabilidad que, por su naturaleza, tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse sobre la circunstancia del apartado
24. e)del artículo 83.2. del RGPD, la comisión de infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”. Asimismo, señala DIGI que la cuantificación de la posible sanción a imponer a DIGI en relación con el supuesto incumplimiento de las obligaciones del artículo 6.1 del RGPD, que debería limitarse a un apercibimiento y, en última instancia, se modere o module la propuesta recogida en el Acuerdo de Inicio notificado a DIGI, atendiendo a sus argumentos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/54 En cuanto a la imposición de una advertencia, apercibimiento, o la adopción de medidas correctivas conforme al artículo 58 del RGPD, una multa disuasoria es aquella que tiene un efecto disuasorio genuino. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice: “94. Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor disuasorio se valora tomando en consideración una multitud de elementos y no sólo la situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio puede tener por objeto no sólo una «disuasión general», definida como una acción para desincentivar a todas las empresas, en general, de que cometan la infracción de que se trate, sino también una «disuasión específica», consistente en disuadir al demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no estaba obligada a limitar su valoración a los factores relacionados únicamente con la situación particular de la empresa en cuestión.” “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).” Hemos de atender a la circunstancia singular de la reclamación presentada, a través de la cual puede constatarse que, desde el momento en el que la persona suplantadora realiza la sustitución de la SIM, el teléfono de la víctima se queda sin servicio pasando el control de la línea a las personas suplantadoras. En consecuencia, ven afectados sus poderes de disposición y control sobre sus datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos según ha señalado el Tribunal Constitucional en la Sentencia 292/2000, de 30 de noviembre de 2000 (FJ 7). De manera que, al conseguir un duplicado de la tarjeta SIM, se posibilita bajo determinadas circunstancias, el acceso a los contactos o a las aplicaciones y servicios que tengan como procedimiento de recuperación de clave el envío de un SMS con un código para poder modificar las contraseñas. En definitiva, podrán suplantar la identidad de los afectados, pudiendo acceder y controlar, por ejemplo: las cuentas de correo electrónico; cuentas bancarias; aplicaciones como WhatsApp; redes sociales, como Facebook o Twitter, y un largo etc. En resumidas cuentas, una vez modificada la clave de acceso por parte de los suplantadores pierden el control de sus cuentas, aplicaciones y servicios, lo que supone una gran amenaza. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/54 III Contestación a las alegaciones presentadas a la propuesta de resolución Las alegaciones ahora formuladas reproducen, en lo sustancial, las ya presentadas en la fase inicial del procedimiento, las cuales fueron expresamente valoradas y contestadas en la propuesta de resolución, por lo que nos remitimos y ratificamos en lo ya manifestado. Sin perjuicio de lo anterior, se estima oportuno realizar determinadas precisiones. 1. Sobre el supuesto de hecho, el SIM Swapping y la infracción del artículo 6.1 del RGPD. DIGI se centrar nuevamente en subrayar que la AEPD identifica una infracción del artículo 6.1 del RGPD ignorando que la tramitación del duplicado de tarjeta SIM por DIGI deviene de un engaño provocado por un tercero, mediante la comisión de dos delitos, el de suplantación de identidad (la del reclamante) y el de falsedad documental y uso de documento falso. En este contexto, DIGI afirma que el solicitante fue correctamente identificado como el titular de la línea, primero; de forma telemática y, en una segunda fase, a través de la comprobación in situ de su documento de identidad que revestía total apariencia de legalidad. Asimismo, cuestiona la calificación jurídica de los hechos efectuada en la propuesta de resolución. Sobre tales cuestiones, ya se pronunció esta Agencia en la contestación a las alegaciones presentadas al acuerdo de inicio, a la que se remite íntegramente. En cuanto al fenómeno denominado SIM Swapping, DIGI insiste en que un duplicado de tarjeta SIM no da acceso a ninguna aplicación o cuenta personal, almacenadas en el dispositivo móvil y no en la tarjeta SIM. Asimismo, reitera, de una lado, que es a través del ataque de “phishing” donde el reclamante pierde el control sobre sus datos de carácter personal, siendo este hecho el que desencadena y posibilita la comisión del fraude y, de otro lado, que son las entidades financieras las que posibilitan, en última instancia, el acceso a los datos de las víctimas y permiten la instrumentalización de la tarjeta SIM como vía de acceso a las cuentas de los particulares. Por tales motivos, DIGI concluye que no le es imputable responsabilidad alguna por un eventual tratamiento ilícito de datos personales. En este contexto, la entidad reclamada invoca en su defensa el informe titulado “CONTRA EL SIM-SWAPPING Visión general y buenas prácticas para reducir el impacto de los ataques de SIM-Swapping” (título original en inglés: COUNTERING SIM-SWAPPING Overview and good practices to reduce the impact of SIM-Swapping Attacks) publicado por la Agencia de Ciberseguridad de la Unión Europea (ENISA) en diciembre de 2021 y la Memoria de la Fiscalía General del Estado (FGE) de 2021 en materia de Criminalidad Informática. En lo que aquí interesa, basta señalar que el proceso de emisión de una tarjeta SIM constituye un acto que se realiza bajo el control directo del operador o de sus distribuidores autorizados, y su correcta ejecución forma parte del deber de diligencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/54 profesional impuesto por la normativa en materia de seguridad y protección de datos personales de los abonados. En particular, los operadores de telecomunicaciones mantienen un deber propio de diligencia en la gestión de los datos de sus abonados y en la prevención de accesos no autorizados, obligación que no puede eludirse por la participación de otros sujetos en el fraude. Por otra parte, si bien el informe “Countering SIM Swapping” de ENISA reconoce que, para la materialización del fraude mediante duplicado de tarjeta SIM, el autor debe disponer previamente de determinados datos personales de la víctima, dicha circunstancia no exime de responsabilidad al operador de red móvil. La existencia de un acceso previo indebido a los datos no interrumpe el deber de verificación, autenticación y custodia que corresponde al operador en el proceso de duplicado. Por el contrario, precisamente por tratarse de un factor de riesgo conocido y documentado, el operador está obligado a implementar controles reforzados de identificación y validación, conforme a los principios de diligencia profesional, seguridad por diseño y prevención del fraude. Así las cosas, el citado informe recoge, en su punto 4.1, las orientaciones específicas dirigidas a los operadores de telefonía móvil con objeto de reforzar las medidas de prevención y detección de este tipo de ilícitos. Entre tales orientaciones figura la de establecer controles más estrictos para la autenticación de clientes y el intercambio (duplicado) de tarjetas SIM: “Measures that can be applied to mitigate the attack include internal checks on aspects such as limiting staff access to customer information and the ability to perform SIM swaps; back-end system validations before executing changes; enforcement of time-based restrictions on account changes; checks, based on location of subscriber; notification of changes to customers (call-back verification); and the use of passwords and PINs by customers to access their accounts. Performing background checks on the subscriber using a back-office team could also prove to be an effective countermeasure. Such background checks could include checking the most recently provided postal address, crosschecking the ID card presented in store with previous copies maintained under the subscriber’s profile and examining the customer’s recent contacts with customer representatives”. “Las medidas que se pueden aplicar para mitigar el ataque incluyen controles internos sobre aspectos como la limitación del acceso del personal a la información de los clientes y la capacidad de realizar cambios de SIM; validaciones del sistema back-end antes de ejecutar cambios; aplicación de restricciones temporales a los cambios en las cuentas; controles basados en la ubicación del suscriptor; notificación de cambios a los clientes (verificación mediante devolución de llamada); y el uso de contraseñas y PIN por parte de los clientes para acceder a sus cuentas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/54 La realización de comprobaciones de antecedentes del abonado por parte de un equipo administrativo también podría resultar una contramedida eficaz. Dichas comprobaciones de antecedentes podrían incluir la verificación de la dirección postal facilitada más recientemente, la comprobación cruzada del documento de identidad presentado en la tienda con las copias anteriores conservadas en el perfil del abonado y el examen de los contactos recientes del cliente con los representantes de atención al cliente”. (Traducción no oficial) Dichas recomendaciones, si bien carecen de carácter normativo vinculante, constituyen parámetros de diligencia y estándares técnicos relevantes para la interpretación del deber de seguridad de las comunicaciones. Sobre los controles basados en la ubicación del suscriptor mencionados en el informe de ENISA “Countering SIM Swapping” y a propósito de las alegaciones formuladas por DIGI al efecto, debe señalarse que, atendidas las actuales dinámicas de fraude digital y suplantación de identidad, el hecho de que el titular de la línea telefónica se encuentre en un municipio distinto del de su residencia, sin ser determinante por sí mismo, pudiera razonablemente servir como indicador adicional para requerir una verificación más rigurosa por parte del operador. La divergencia entre el domicilio asociado a la línea y el lugar desde el que se solicita el duplicado constituye un dato objetivo que, sin ser concluyente, puede considerarse un factor de riesgo operativo. En tales supuestos, resultaría razonablemente recomendable activar mecanismos adicionales de autenticación o verificación del titular. En cuanto a la Memoria de la FGE 2021 (ejercicio 2020), esta Agencia no comparte la interpretación que hace DIGI del documento. Por el contrario, entiende que del mismo se desprende un razonamiento diferente, en el que, lejos de atribuir a las operadoras de telefonía móvil la condición de víctimas frente a este al fraude del SIM Swapping, se pone de manifiesto, por una parte, las medidas específicas de seguridad que dichas entidades se han visto obligadas a implementar con el fin de reforzar los procedimientos de emisión y duplicado de ta