PS-00499-2024

1/49  Expediente N.º: EXP202310345 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 20 de junio de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra DIGI SPAIN TELECOM, S.L. con NIF B84919760 (en adelante, la parte reclamada o DIGI). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el día 28 de diciembre de 2022 DIGI vulneró el acceso a sus datos permitiendo que terceras personas duplicaran su tarjeta SIM, pudiendo acceder a sus cuentas bancarias. Señala que a pesar de residir en ***LOCALIDAD.1 el duplicado de su tarjeta telefónica se produjo en el distribuidor de DIGI Locutorio ***DIRECCIÓN.1, de ***LOCALIDAD.2. Junto a su escrito aporta la siguiente documentación: Denuncia ante la Policía Nacional, dependencia de ***LOCALIDAD.1, presentada el 28/12/2022 y ampliada en fechas 29/12/2022 y 01/01/2023. En dicha denuncia relata los hechos y manifiesta que, el 28/12/2022 su línea de móvil dejó de funcionar por lo que, tras contactar con el operador reclamado (su compañía telefónica) el mismo día, sobre las 16:00 horas, le indicaron que se había duplicado su tarjeta SIM. El reclamante canceló la línea y dio de alta una nueva línea. En estas denuncias, el reclamante detalla los cargos realizados en sus cuentas bancarias, préstamos solicitados y transferencias bancarias no autorizadas. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 31 de julio de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 31 de agosto de 2023 se recibe en esta Agencia escrito de respuesta, cuya contestación se indica en el hecho cuarto de este acto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/49 TERCERO: Con fecha 20 de septiembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Teniendo en cuenta las respuestas remitidas por DIGI al trámite de traslado de la reclamación formalizado por esta AEPD y a los dos requerimientos de información que le fueron remitidos por los Servicios de Inspección, así como la documentación aportada, dichos Servicios informaron sobre los siguientes extremos: 1. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. En fecha 27 de diciembre de 2022 se recibe una solicitud de duplicado SIM de la línea ***TELÉFONO.1 ante el distribuidor/dealer sito en Locutorio R.R.R., ***DIRECCIÓN.1. Siguiendo los protocolos de seguridad, se recabó por parte del distribuidor el Documento Identidad del solicitante-titular, realizando la siguiente copia del mismo. Se aporta copia de dicho DNI. La parte reclamada manifiesta que “Estos protocolos y medidas de seguridad aseguraban la verificación de la identidad del solicitante del duplicado SIM como titular de la línea. En el momento de los hechos, los protocolos y medidas de seguridad se concretaban en la obligación de (…) En este caso particular, el dealer identificó al solicitante (…). Una vez verificada (…), se procedió a validar la solicitud de duplicado SIM. Así pues, salvo prueba en contrario, el duplicado de tarjeta SIM se solicitó por el titular y se entregó a una persona que, a todas luces, se identificó (con su documento de identidad) como el propio titular de la línea. (La inspectora actuante compara los datos de la copia del DNI por ambas caras aportado en la solicitud de duplicado SIM con los datos aportados por la parte reclamante en la denuncia policial de 28/12/2022 y sus ampliaciones, y comprueba que coinciden los siguientes datos: nº de DNI, nombre y apellidos, nacionalidad, lugar y fecha de nacimiento y domicilio completo, pero no coincide el nombre de los padres). La parte reclamada manifiesta que tanto el distribuidor como el personal de back-office encargado de la revisión de la documentación aportada, no observaron indicio de fraude en dicha documentación, procediendo a la validación del duplicado el día 28 de diciembre de 2022 y enviándose SMS de confirmación de disponibilidad del duplicado al número aportado en la solicitud ***TELÉFONO.2. Toda la actuación es presencial no produciéndose una solicitud escrita por parte del titular. Tras verificar la identidad el agente del punto de venta introduce manualmente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/49 el nº de DNI y el nº DIGI en el sistema. Por tanto, la causa del presunto fraude de SIM Swapping fue la aportación por parte de los presuntos defraudadores de un documento de identidad supuestamente falsificado como documento legal de identificación. (La inspectora actuante ha comprobado que el nº de móvil ***TELÉFONO.2 al que se envió el SMS de confirmación es distinto del nº de móvil del reclamante sobre el que se solicitó el duplicado SIM ***TELÉFONO.1). - La parte reclamada aporta captura de pantalla de la solicitud de duplicado SIM de fecha 27/12/22 a las 19:39h desde un distribuidor, donde el tercero indica que no le funciona el duplicado SIM. - La parte reclamada, adjunta grabación de la primera llamada de fecha 27/12/22 20:27h del tercero, que tras identificarse con nombre, apellidos, n.º de DNI y n.º de línea duplicada, solicita agilidad en la obtención del duplicado, la interlocutora le indica que se realizará en 20-30 minutos con el envío de un SMS al n.º de contacto facilitado. - La parte reclamada aporta grabación de 2ª llamada de 28/12/22 10:02 h. donde el tercero consulta estado de duplicado SIM y pasa la política de seguridad. El tercero aporta n.º de línea a duplicar, nombre completo, n.º de DNI, la interlocutora le indica que hay un plazo de 24h para la activación del duplicado, y recibirá un SMS. La parte reclamada manifiesta que el 28/12/22 a las 12:50h, se remitió SMS al número ***TELÉFONO.2, y así mismo email a ***EMAIL.1, confirmando la validación del duplicado SIM solicitado. Y aporta captura de pantalla del SMS y el email enviado. - La parte reclamada aporta grabación de 3ª llamada de 28/12/22 16:59h. donde el llamante identificado como la parte reclamante dice no tener red y solicita suspender la línea por sospechar que esté clonada. El interlocutor le recomienda asistir a un distribuidor para solucionar el problema. El llamante solicita el bloqueo de la SIM para ello, se identifica con nombre completo, nº de DNI, nº fijo de contacto, 4 últimos dígitos de la cuenta bancaria. La parte reclamada indica que el 28/12/22 a 18:33h se recibe solicitud de contratación desde DEALER de línea nueva a nombre del mismo titular. El cliente contacta vía telefónica. Solicita baja de la línea ***TELÉFONO.1. Aporta captura de pantalla del trámite telefónico y grabación de 4ª llamada de 28/12/22 18:33 h, en la que el llamante aporta n.º de línea a anular por problemas en el duplicado y haber contratado presencialmente una nueva línea, se identifica con nombre completo, n.º de DNI, 4 últimos dígitos de la cuenta bancaria. La parte reclamada aporta captura de pantalla de las siguientes gestiones entre 29/12/22 y 11/4/23: - 29/12/22 15:50hs. Se hace efectiva la baja de la línea afectada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/49 - 29/12/22 20:46h. Consulta si su línea está de baja, se informa que la gestión de baja de la línea afectada está realizada. 30/12/22 10:31h. El cliente pregunta si la línea afectada está bloqueada, se verifica que inicialmente se suspendió otra línea de su titularidad por error y no la afectada. No obstante, la línea estaba ya inactiva por haber sido dada baja. 30/12/22 18:39h. El cliente pide reclamar ya que el día 28/12 se suspendió otra línea y no la afectada. Solicita justificante del duplicado SIM. Se abre ticket. 1/1/23 19:42h. Contacto por canal MAIL informando sobre su usurpación. Se abre Ticket de descuento comercial. 2/1/23 09:01h. Se cierra el ticket Descuento gesto comercial y se abre el ticket posible fraude. Desde Reclamaciones se consulta con VENTAS. El cliente aporta correo ***EMAIL.2 3/1/23 11:00h. Se le envía el justificante del duplicado y se cierra ticket. 4/01/23 12:31h. Se deja anotación de seguridad por Fraude/Sospecha de Fraude 5/01/23 11:16 h. El cliente quiere que se indique la tienda donde se hizo el duplicado ya que ha sido víctima de fraude. Se indica que debe escribir por atencionalcliente@digimobil.es. 10/01/23 13:33h. Se contacta con cliente para añadir palabra clave e informar enviarnos denuncia para poder facilitar los datos del DEALER: 11/01/23 10:51hs. Cliente envía denuncia y DNI. Abrimos el ticket Usurpación de identidad. Le enviamos datos del DEALER y cerramos el ticket. 11/01/23 22:07h. Contacta por canal MAIL. Cliente envía denuncia, se ha validado en ticket. 12.01.23 12:36 hs. - Quiere saber dónde se ha realizo Duplicado SIM fraudulento, se deja nota ticket. 16.01.23 - 11:19 hs - Desde RECLAMACIONES - Se envía correo al cliente con datos del punto de venta. Se cierra ticket. 18.01.23 - 22:21 hs. - Contacto por canal MAIL - Reclama nuevamente la usurpación, se abre de nuevo ticket de Usurpación identidad. 19.01.23 - 08:02 hs. - Desde Reclamaciones cerramos el ticket ya que la gestión ya fue realizada. 05.04.23 - 11:47 hs. - Contacto por canal MAIL - Reclama nuevamente la usurpación. Se le informa que la gestión ya fue realizada. El 07.04.23 - 20:18 hs. - Contacto por canal MAIL - Se informa a cliente que los distribuidores tienen la obligación de solicitar el documento de identidad del titular para hacer el duplicado de tarjeta SIM. 11.04.23 - 08:39 hs. - Contacto por canal MAIL - Reclama nuevamente la usurpación, se pide la denuncia y el DNI. La parte reclamada adjunta además el documento 20240724 DOC 5 Contactos.pdf incluyendo copia de los contactos mantenidos por el reclamante entre los días 30/12/2022 y 1/1/2023, y posteriores, en relación a los hechos reclamados. 2. La decisión adoptada a propósito de esta reclamación. 1ª) Procurar el duplicado para recuperar la línea, y posteriormente, realizar la definitiva baja de la línea telefónica de acuerdo con la petición del cliente. 2ª) Recomendarle al cliente la presentación de la correspondiente denuncia penal ante los organismos competentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/49 3ª) Iniciar la ejecución del protocolo de gestión de casos de fraude y de la investigación de los hechos. 4ª) Se contactó con el dealer que recibió la solicitud presuntamente fraudulenta, recibiendo la confirmación de que siguió los protocolos establecidos. Así mismo, pudo confirmar que no advirtió comportamiento sospechoso en la persona solicitante ni en la documentación mostrada y aportada para solicitar el duplicado. 5ª) Igualmente se verificó que el teléfono de contacto aportado en la solicitud presuntamente fraudulenta no estaba previamente vinculado a otros posibles fraudes. 6ª) Recibida la copia del documento de denuncia, se remitió al reclamante los datos sobre el punto de venta dónde se realizó el duplicado inicial presuntamente fraudulento. 7ª) Se introdujo en el perfil de usuario del reclamante la necesidad de indicar una palabra clave y se resaltó en color rojo las advertencias de posible fraude para asegurar el requerimiento de la misma y la prudencia en la gestión de cualesquiera solicitudes concernientes a este reclamante. 8ª) Se implementaron, con los detalles mostrados en el punto 1, los nuevos protocolos de prevención contra fraude y atención a situación de fraude. Los mismos han sido compartidos con los agentes involucrados junto con el recordatorio de la importancia de su seguimiento y cumplimiento. (La inspectora actuante ha comprobado que tras la fecha de los hechos 28/12/2022, la denuncia policial del reclamante es de 28/12/2022, 29/12/2022 y 1/1/2023 y este disponía de la información del distribuidor donde se emitió el duplicado SIM fraudulento). 3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. Las medidas de seguridad incluidas en el protocolo de duplicado SIM vigente en el momento de los hechos son de 1/9/2021. (…) Como muestra de la proactividad de DIGI, que esta Compañía se encuentra siempre en continua búsqueda de las mejores prácticas y estándares de seguridad. Así, este mismo 11 de julio, el regulador norteamericano- Comisión Federal de Comunicaciones norteamericana (FCC)- ha publicado las futuras mejoras exigibles en materia de seguridad frente al SIM Swapping. (…). Fruto de las costumbres y del propio sistema español de identificación donde el DNI juega un papel fundamental (no así en EEUU), se puede concluir sin duda que, en todo momento - incluido en el momento de los hechos-, el sistema de seguridad implantado por DIGI ha ido por delante de los estándares del mercado y de los reguladores. Esta calificación se mantiene respecto de nuestro procedimiento actual que sigue muy por delante de las exigencias de reguladores de referencia internacional como es la FCC. Por último, señala DIGI que los perjuicios provienen de la relación de la parte reclamante con sus entidades bancarias, que los defraudadores disponían de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/49 datos del interesado e instrumentos de falsificación documental, que posibilitaron el engaño suficiente para burlar las medidas de seguridad dado su alto grado de sofisticación. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad DIGI SPAIN TELECOM, S.L. es una gran empresa constituida en el año 2006, y con un volumen de negocios de 644.000.000 euros en el año 2023. SEXTO: Con fecha 11 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6.1, tipificada en el Artículo 83.5.

1. a)del citado RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada solicitó ampliación de plazo y copia del expediente que le fue concedido y presentó escrito de alegaciones el día 9 de enero de 2025 en el que, en síntesis, la reclamada comienza su defensa reiterando los argumentos expuestos en escritos anteriores, los cuales, a su juicio, no han sido refutados por la AEPD. Considera que sus argumentos siguen siendo válidos y solicita que sean tomados en cuenta. Aclara que, en este escrito, hará hincapié en aquellos puntos que considera más cruciales para desmontar los fundamentos sobre los que la AEPD pretende justificar la sanción. Primera alegación: Sobre el supuesto de hecho. La defensa procede a una descripción cronológica detallada de los hechos, situando el incidente respecto a una suplantación de identidad que permitió que un tercero realizara un duplicado de la tarjeta SIM para la línea de móvil número ***TELÉFONO.2, de forma presencial, ante el distribuidor de DIGI Locutorio R.R.R.. Afirma que dicha solicitud de duplicado se hizo con un documento de identidad que tanto para el distribuidor, como para DIGI, era válido y legítimo. De dicho documento de identidad obtuvo la correspondiente copia auténtica, que consta en el expediente por aportación de DIGI. Afirma que el tercero se presentó ante su distribuidor, exhibiendo su DNI, con el número y el resto de los datos personales del reclamante, por lo que el distribuidor de DIGI procedió, una vez verificada la originalidad y validez del documento de identificación fehaciente, a recabar copia del citado documento para su envío al servicio BackOffice de DIGI, quienes tras las oportunas comprobaciones realizadas manualmente (entre ellas, la verificación de que el documento de identidad contenía los datos personales de la parte reclamante que DIGI tenía registrados en sus sistemas en ese momento -esto es, nombre, apellidos, número de identidad y nacionalidad-), con la validación del citado documento y de la solicitud del duplicado. En este caso concreto, señala DIGI que no tenía una copia previa del citado documento para compararlo, la comprobación se realiza por el Distribuidor que tiene la obligación de solo admitir documentos originales, no aceptándose copias de ningún tipo y el servicio BackOffice de DIGI que comprueba la copia obtenida del original y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/49 chequea, como segunda línea de defensa, que el documento contine todos los datos que figuran en el sistema para dicho titular. El día 28 de diciembre de 2022 DIGI procedió a la validación del duplicado de la tarjeta SIM, avisando por correo electrónico a la parte reclamante. El mismo día 28 de diciembre a las 16:40 horas, el reclamante contactó con el servicio de atención al cliente de DIGI en dos ocasiones. En la primera llamada manifiesta los problemas técnicos que está sufriendo al bloquear la línea. En la segunda llamada, realizada a las 18:28 horas, señala haber acudido el reclamante a una tienda de DIGI y haber solicitado una nueva línea y desea dar de baja definitiva el número de teléfono que ya había sido bloqueado. Como medida de seguridad DIGI deja constancia en sus sistemas que el titular había manifestado ser víctima de una suplantación de identidad, abriendo el correspondiente ticket por posible fraude y establece una palabra clave indicada por el reclamante como medida adicional de seguridad. Segunda alegación: Sobre el protocolo de seguridad y las medidas adoptadas. La parte reclamada detalla las medidas implantadas para prevenir que se produzcan situaciones similares, la existencia y ejecución de un plan de contingencias ante situaciones irregulares, la existencia y ejecución de un protocolo de seguridad para solicitudes de duplicado de tarjeta SIM, indicando que en el presente caso para solicitar el duplicado, se exhibió y se aportó un DNI original, se obtuvo copia del mismo, y se comprobó y confirmó que los datos que figuraban en dicho documento coincidían con los que figuran respecto al titular en los sistemas de DIGI. El duplicado de la tarjeta SIM no quedará activado hasta que la identidad del solicitante no haya sido verificada (de nuevo) por el departamento de Back Office de DIGI de forma manual. Señala las medidas que ha implementado tras la reevaluación de los riesgos, indica las medidas adoptadas a partir del 1 de septiembre de 2021, las adoptadas el 7 de febrero de 2022 que son las aplicadas al presente caso y las implementadas a partir de 13 de julio de 2023, las cuales se encuentran actualmente en vigor, habiéndose registrado, a fecha actual y con dicho protocolo, solo un caso de suplantación de identidad en que la Agencia decide no admitir a trámite la reclamación. Tercera alegación: Sobre la licitud del tratamiento de los datos personales. Sostiene DIGI que no se ha acreditado que se haya producido un tratamiento no legitimado de datos personales, por cuanto no consta en el relato fáctico, ni en la documentación aportada por parte de la Agencia, que se haya facilitado o puesto a disposición del suplantador, ni de ninguna otra persona, por parte de DIGI, ningún dato personal del titular de la línea. DIGI, afirma que el hecho de que la persona que realiza los trámites no se corresponda, supuestamente con el titular del contrato no supone per se que exista una falta de diligencia en la actuación de la mercantil de forma automática, especialmente, cuando se produce un engaño suficiente y consta, como en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/49 presente, una falsedad documental del Documento Nacional de Identidad. Cuarta alegación: Sobre el cumplimiento del protocolo implantado. La defensa insiste en que ha seguido el protocolo de seguridad establecido, pero señala que esta Agencia se basa exclusivamente en el resultado y no se puede exigir al personal de DIGI una capacidad absoluta de detección de la documentación falsa Igualmente, indica que en otros expedientes abiertos a DIGI en la que sustenta la falta de diligencia y, por tanto, la sanción, en la no conservación de una copia del documento de identidad y que en el presente caso se sancione precisamente por haber aportado evidencia de la copia del documento de identificación fehaciente original solicitado inicialmente por el distribuidor, señalando el procedimiento número EXP202311258 en que se procedió por la Agencia a no admitir a trámite la reclamación presentada por el reclamante. Quinta alegación: Sobre la inadmisibilidad de la responsabilidad objetiva. La parte reclamada argumenta que, el Tribunal Constitucional, desde su sentencia n.º 76/1990, ha venido advirtiendo de la inadmisibilidad en nuestro ordenamiento jurídico de la responsabilidad objetiva y, consecuentemente, de la exigencia en todo caso de que la Administración, a la hora de sancionar pruebe un grado suficiente de intencionalidad en el sancionado. Asimismo, cita diversas sentencias, y llega a la conclusión que al no haberse acreditado la concurrencia de una actuación culpable, intencionada o negligente por parte de DIGI no procede la identificación en la conducta de DIGI de una infracción de la normativa de protección de datos personales y, consecuentemente, no procede la imposición de ningún tipo de sanción. Y, llega a la conclusión que el presente Acuerdo de Inicio no es ajustado a derecho, pues impone a DIGI una obligación de resultado, basándose únicamente en el resultado lesivo que se produce por la supuesta actividad fraudulente de un tercero, sin atender a la diligencia utilizada y sin considerar el despliegue de medidas técnicamente adecuadas e implantadas. Sexta alegación: Sobre la falta de la proporcionalidad de la sanción propuesta. En cuanto a la sanción, la parte reclamada señala que esta es desproporcionada en relación con los hechos, atendiendo a las circunstancias y el contenido de la supuesta infracción. Por otra parte, señala que según lo establecido en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, concurren en el presente las siguientes circunstancias atenuantes que no han sido consideradas en la adecuada graduación de la sanción: Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (art. 83.2 c); En ningún momento se han tratado categorías especiales de datos (Art. 83.2
2. g)C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/49 RGPD). El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos: ha quedado acreditado que se ha contestado en tiempo y forma a todos los requerimientos de información solicitados por esta Agencia. Es más, DIGI aportó, en el primer requerimiento de información, de forma previa a que fuese requerido por la AEPD, toda la documentación contractual y acreditativa relativa al presente supuesto de hecho, por propia voluntad, manifestando de forma expresa su buena fe e intención de colaboración con la autoridad (Art. 83.2
3. f)RGPD). El inexistente beneficio obtenido por parte de DIGI como resultado al tratamiento de datos que ocupa este procedimiento. En todo caso, DIGI se ha visto perjudicada, como ya se ha señalado, al verse afectada por la comisión de fraude por un tercero, lo que le ha obligado a reparar la situación causada y llevar a cabo investigaciones, con el consiguiente coste asociado (Art. 83.2
4. k)RGPD). Por todo lo anterior, la cuantificación de la posible sanción a imponer a DIGI en relación con el supuesto incumplimiento de las obligaciones del artículo 6.1 del RGPD, señala que debería limitarse a un apercibimiento y, en última instancia, se modere o module la propuesta recogida en el Acuerdo de Inicio notificado a DIGI, atendiendo a sus argumentos. OCTAVO: Con fecha 14 de octubre de 2025 se formuló propuesta de resolución, proponiendo en el sentido de que por la Presidencia de la Agencia Española de Protección de Datos se sancione a la entidad DIGI, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
5. a)del RGPD, con una multa de 150.000 euros (ciento cuarenta mil euros). La notificación de esta propuesta de resolución fue debidamente entregada a DIGI en fecha 21 de octubre de 2025 a través del servicio de Dirección Electrónica Habilitada Única (DEHÚ), concediéndosele plazo para formular alegaciones. NOVENO: Con fecha 21 de octubre de 2025, solicitó DIGI ampliación del plazo y con fecha 12 de noviembre de 2025, se recibió escrito de alegaciones a la propuesta de resolución en el que DIGI, básicamente, reitera sus alegaciones anteriores y solicita de nuevo el archivo del expediente. De lo expuesto en este escrito cabe destacar lo siguiente: PRIMERA. - Sobre el supuesto de hecho Después de declarar reproducidas sus alegaciones anteriores, reitera que de los hechos expuestos se desprende que la tramitación del duplicado de la tarjeta SIM por DIGI deviene de un engaño provocado por este tercero de forma fraudulenta, mediante la comisión de dos delitos: la suplantación de identidad del reclamante y la falsedad documental y uso de documento falso. Afirma, DIGI que la Agencia no puede trasladar la responsabilidad derivada de la comisión de estos dos delitos por el supuesto suplantador de identidad a DIGI, el solicitante fue correctamente identificado como el titular de la línea, a través de la comprobación in situ de su documento de identidad, y una vez se realizó la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/49 correspondiente verificación visual del solicitante y su documento de identidad, el departamento de Back Office procedió a verificar en los sistemas de DIGI la solicitud recibida, y el hecho de que una solicitud de duplicado de tarjeta SIM se realice en un municipio distinto al de residencia de su titular, no es un motivo válido para su denegación, y pese a lo acontecido DIGI llevó a cabo un proceso de verificación de identidad adecuado, al emplear documentación acreditativa y una comprobación presencial. Indica, DIGI que no se ha producido un tratamiento de datos ilegítimo por tres razones: la actuación de DIGI fue diligente, los presuntos efectos indeseados están provocados por la actuación de un tercero y por parte de DIGI no se ha facilitado ningún dato personal del interesado, puesto que los códigos (incluidos los de la tarjeta SIM), no alcanzarían per se la categoría de datos personales, y que ha quedado acreditado conforme a la normativa, el cumplimiento de sus obligaciones y la verificación de la identidad del solicitante. SEGUNDA. – Sobre el “Sim Swapping” y las responsabilidades derivadas DIGI, menciona el informe emitido por la Agencia de Ciberseguridad de la Unión Europea, para señalar que para realizar un duplicado fraudulento de SIM, el estafador necesita tener acceso a algunos de los datos personales de la víctima, cliente del operador, que los ciberdelincuentes, cuentan con datos personales de sus víctimas con carácter previo a acudir ante el Operador de Red Móvil e indica que los estafadores emplean técnicas de ingeniería social en clientes (“phishing”), manifiesta que esto es lo que ocurrió en el presente supuesto, la parte reclamante perdió el control sobre sus datos personales. A este respecto, considera relevante traer a colación la Memoria 2021 de la Fiscalía General del Estado dedicada a la “Criminalidad Informática” por entender que la misma pone de manifiesto que los operadores de telefonía serían víctimas del fraude conocido como SIM Swapping, mientras que las entidades bancarias serían responsables de eventual perjuicio derivado de dicho fenómeno en función de las medidas de seguridad implementadas. Además, señala que el fraude bancario es de responsabilidad exclusiva de las entidades financieras y que en este sentido se ha pronunciado el Tribunal Supremo, en su Sentencia 571/2021 de 9 de abril. Recurso 1151/2023, en la que el Alto Tribunal señala que la responsabilidad de la entidad financiera viene atribuida por la normativa aplicable a los servicios de pago. Afirma, que la interacción y actuaciones de las entidades financieras, que posibilitan en última instancia el acceso a los datos de las víctimas y permiten la instrumentalización de la tarjeta SIM como vía de acceso a las cuentas de los particulares. TERCERA. – Sobre la inexistencia de una infracción del artículo 6.1 del RGPD. Insiste nuevamente en su alegación sobre la inexistencia de un tratamiento de datos ilegítimo y en que no se facilitó dato personal alguno a terceros no autorizados. A este respecto, indica que la suplantación de identidad se produce con carácter previo a cualquier interacción con DIGI, siendo el tercero responsable del fraude quien ya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/49 disponía, de forma previa, de los datos personales del reclamante y quien los emplea, trata e introduce en el formulario de DIGI, sin que quepa atribuirle responsabilidad. Por otro lado, sostiene que la base de legitimación empleada por DIGI para llevar a cabo el duplicado de tarjeta SIM, no es el consentimiento, sino la ejecución del contrato de prestación de servicios suscrito entre el operador y el reclamante que fue identificado “de forma fehaciente y mediante un medio válido en derecho, como es el DNI”. En cualquier caso, señala que no se imputa una infracción del artículo 32 del RGPD, relativa a deficiencias en las medidas de seguridad, por lo tanto, la Agencia se centra únicamente en la legitimación del tratamiento, indicando que el tratamiento fue lícito al estar vinculado a la ejecución del contrato. CUARTA. - Sobre la no acreditación de culpa o negligencia por parte de DIGI Señala que el propio Tribunal Constitucional el que ha venido señalando que, el mero error humano y puntual, no puede acarrear, por sí mismo, consecuencias sancionadoras, muy especialmente cuando dicho error viene provocado de forma intencionada por la actuación ilícita de un tercero, como acontece en el presente. Es por ello que excluye la posibilidad de sancionar por la mera concurrencia de un resultado, siendo necesario evaluar el procedimiento establecido y aplicado por DIGI, que incluye, comunicaciones de aviso al ejecutarse el duplicado de tarjeta SIM, la identificación del Reclamante y la verificación y dilación de la propia emisión. En este punto, la entidad reclamada cuestiona los procedimientos que la AEPD ha instruido en su contra y, en particular, pone de manifiesto que la AEPD carece de un criterio estable en materia de verificación de la identidad del interesado a través del DNI lo que, a su juicio, ha generado un efecto de percepción negativa de esta práctica. En apoyo de esta afirmación, DIGI menciona diversas noticias relacionadas con el uso del DNI como medio de identificación en materia de protección de datos, obtenidas a través de búsquedas en Internet, así como dos Informes del Gabinete Jurídico de la AEPD, con los números de referencia 0047/2021 y 48/2023. En relación con lo anterior, la reclamada alega que “la AEPD restringe las posibilidades de DIGI de defenderse, exigiéndole presentar una prueba cuya obtención restringe y negando la posibilidad de establecer medidas de protección para luego sancionar en caso de que se produzca cualquier incidencia en la seguridad y trasladando la responsabilidad de una tipología de crimen a las entidades que tienen un papel secundario en el proceso”. Sostiene, DIGI que la AEPD cuestiona la legitimidad de la implementación de medidas que permitan verificar la identidad del interesado (véase la conservación de la copia del DNI o la biometría), contrasta de forma frontal con la imposición de responsabilidad objetiva que viene imponiendo a DIGI, cuyo error en la no detección de un supuesto de fraude o suplantación de identidad implica la imposición casi automática de sanciones de elevada cuantía. QUINTA. - Sobre la inadmisibilidad de la responsabilidad objetiva. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/49 Invoca el concepto de error invencible, como una eximente de la responsabilidad en aquellos casos en que el infractor no podía prevenir ni evitar el daño, a pesar de haber actuado de manera negligente e indica que la imputación de una infracción muy grave, con la imposición de la consiguiente sanción, fundamente exclusivamente en la obtención de un resultado supone adoptar un principio de responsabilidad objetiva en el ámbito sancionador, vetado por nuestro Ordenamiento Jurídico, señalando la sentencia del Tribunal Constitucional Sentencia nº 76/1990 de 26 de abril, que excluye la posibilidad de sancionar por la mera concurrencia de un resultado y por ello destaca varias sentencias de la Audiencia Nacional y del Tribunal Supremo. Sostiene, que la Propuesta imputa una infracción del artículo 6.1 del RGPD basándose únicamente en el resultado lesivo que produce por la intervención fraudulente de un tercero que se identifica como la parte reclamante, sin atender a la diligencia utilizada, y sin considerar el despliegue de medidas técnicamente adecuadas e implantadas sobre un tratamiento para el cual DIGI no decide ni la finalidad ni los medios. SEXTA. – Sobre la indefensión y falta de seguridad jurídica. Señala, que DIGI no puede prever ni saber cuál es el deber de diligencia aplicable, en tanto la AEPD exige la obtención de un resultado y riesgo cero frente a la comisión de ciertos fraudes, mientras que, en otras ocasiones, propone sanciones por exceso de celo en la comprobación de la identidad de los clientes, ante la conservación de la copia de los documentos identificativos, por lo que ha incurrido en una falta de motivación y ausencia de fundamentación jurídica. Por otro lado, la reclamada disiente de los motivos esgrimidos por esta Agencia en la propuesta de resolución por entender que vulneran su derecho de defensa, indicando al respecto lo siguiente: - La Agencia no entra a valorar el proceso de seguridad de las operaciones bancarias. Se utiliza la realización genérica de fraudes de tipología SIM SWAPPING y su comisión por los suplantadores de identidad como fundamentación jurídica, sin relacionar tales menciones con el presente supuesto de hecho. Utiliza el rol de DIGI como responsable del tratamiento como un argumento que justifica su responsabilidad, sin establecer ningún otro elemento o nexo. Se ampara de forma exclusiva en el resultado – concurrencia de suplantación de identidad – para imponer una sanción, invalidando el reforzado procedimiento y las medidas de DIGI establecidas al efecto. Omite la existencia de un engaño suficiente y la comisión de delitos por un tercero. SÉPTIMA.-. Sobre la falta de proporcionalidad de la sanción propuesta. La Agencia no relaciona los aspectos agravantes al concreto supuesto de hecho ni considera que el hecho resulta de la actuación delictiva de un tercero, de la que DIGI también es víctima, lo que impide identificar aspectos agravantes en su conducta. A) Entre estos agravantes, DIGI cita los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/49
6. a)En cuanto a la naturaleza, gravedad y duración de la infracción, reitera (
7. i)que los hechos tienen origen en una actuación claramente fraudulenta ejecutada por un tercero que, valiéndose de los datos personales del reclamante, consiguió burlar los controles establecidos por DIGI, (
8. ii)que la duración del incidente fue sumamente limitada por la reacción inmediata y responsable de DIGI y (iii) que los perjuicios que sufrió el Reclamante se produjeron como consecuencia directa de las actuaciones posteriores realizadas a través de plataformas bancarias o comerciales completamente ajenas a DIGI, quienes validaron operaciones que dieron lugar a transferencias o accesos indebidos. Añade que el presente caso afecta a un único interesado, lo cual no debería ser tenido en cuenta como agravante, en tanto que representa un número ínfimo, que permite aludir a un suceso aislado y puntual.
9. b)Entiende DIGI que no media intencionalidad o negligencia en la infracción en un caso en que es un caso aislado y puntual en el que los mecanismos de control fueron superados por una suplantación de identidad que generó un engaño suficiente al agente de DIGI.
10. c)Las categorías de los datos de carácter personal afectados por la infracción Los datos tratados por DIGI en el marco de la gestión de duplicados de tarjeta SIM no incluyen, en ningún caso, categorías especiales de datos conforme a lo previsto en el artículo 9 RGPD. No se ha producido tratamiento alguno que implique información especialmente sensible, como podrían ser datos de salud, u orientación sexual. En ningún momento DIGI ha tratado información financiera del Reclamante ni ha tenido conocimiento o acceso a sus datos bancarios, contraseñas o claves de autenticación vinculados a servicios ajenos.
11. d)El grado de responsabilidad del responsable o el encargado del tratamiento habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 (art.82.2.
12. d)del RGPD) Considera improcedente la aplicación de esta agravante, al no haber acreditado que DIGI haya incumplido las obligaciones establecidas en los artículos 25 y 32 del RGPD, DIGI disponía de un procedimiento interno estructurado, consistente y actualizado para la gestión de duplicados de las tarjetas SIM, y que, una vez detectada la incidencia, reacción de manera inmediata suspendiendo la línea, abriendo un ticket de fraude y reforzando posteriormente sus protocolos, incluyendo medias, adicionales. Señala, que no cabe reprochar dos veces por los mismos hechos bajo fundamentos jurídicos distintos. En este caso, el supuesto “incumplimiento del deber de diligencia” que motiva el agravante de la letra
13. b)se sustenta en la misma critica a las medidas técnicas y organizativas que pretende activar el agravante de la letra d), sin aportar elementos adicionales que justifiquen su autonomía. Por tanto, el doble uso de esta valoración resulta improcedente.
14. e)La circunstancia del artículo 83.2
15. e)RGPD: “Toda infracción anterior cometida por el responsable o el encargado del tratamiento” En relación con las infracciones anteriores valoradas para graduar la sanción, señala que no debe confundirse la generalización de la catalogación de este tipo de delitos como SIM Swapping con la existencia de un modus operandi o tipo delictivo común C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/49 entre ellos. Señala que los delincuentes innovan de forma constante y desarrollan diferentes técnicas para saltarse los controles establecidos (inclusive aquellos presenciales), de modo que defenderse frente a este tipo de acciones no es una cuestión estática, sino que requiere de una actualización constante de las amenazas a las que se enfrenta la seguridad, sin que exista un catálogo cerra de tipos de ataque, por lo que no resulta posible exigir una efectividad absoluta de las medidas diseñadas para la prevención del fraude.
16. f)La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.
17. k)del RGPD en relación con el artículo 76.2.b, de la LOPDGDD). Entiende DIGI que no puede considerar la actividad desempeñada por DIGI, de manera genérica, como elemento agravante, por cuanto se aplicaría siempre dicho agravante, dado que se está considerando que la gravedad de una posible infracción aumenta por el mero hecho de pertenecer DIGI al sector de telecomunicaciones, sino que debe ser puesto en el contexto con el despliegue de medidas efectuado y relacionado con el supuesto de hecho concreto. Lo contrario imposibilitaría su defensa. En este sentido, añade que las Guidelines 04/2022 on the calculation of administrative fines under the GDPR del EDPB, adoptadas el 24 de mayo de este mismo año, excluye la actividad y sector empresarial concreto del infractor como criterio a considerar en la imposición y cuantificación de sanciones. En este caso, el tratamiento de datos no nace de una intención de la entidad, sino que tiene lugar la comisión de un delito del que DIGI es parte perjudicada. A) Por otro lado, concurren en el presente las siguientes circunstancias atenuantes que no han sido consideradas:
18. a)En ningún momento se han tratado categorías especiales de datos (Art. 83.2
19. g)RGPD), por cuanto el nombre, apellidos y DNI no forman parte de dichas categorías.
20. b)El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos: ha contestado en tiempo y forma a todos los requerimientos de información de la Agencia (Art. 83.2
21. f)RGPD), describiendo el procedimiento seguido en este caso y explicando cómo se revirtió la situación, devolviendo el control de la línea a la reclamante. Se enumeran, así mismo, las medidas implantadas para reforzar los procedimientos de seguridad.
22. c)El inexistente beneficio obtenido por parte de DIGI como resultado del tratamiento de datos que ocupa este procedimiento. En todo caso, DIGI se ha visto perjudicada por el fraude cometido por un tercero, que le ha obligado a reparar la situación causada y llevar a cabo investigaciones, con el consiguiente coste asociado (Art. 83.2
23. k)RGPD). La AEPD señala que tan sólo se puede considerar dicho elemento como elemento agravante, sin embargo, el artículo 83.2
24. k)del RGPD especifica el posible carácter agravante o atenuante: “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/49 Si bien DIGI comparte la necesidad de que la imposición de una posible sanción sea individualizada y proporcionada, desconoce a qué “espíritu del artículo 83.1 del RGPD” (página 19 de la Propuesta) al que alude la Agencia impide la consideración de la ausencia de beneficios como atenuante, especialmente, cuando es el propio RGPD el que señala tal posibilidad. Termina DIGI reiterando que sus medidas eran adecuadas al riesgo y mostrando su disposición a aceptar cualquier tipo de propuesta de mejora o recomendación por parte de esta Agencia en lo relativo al cumplimiento de la normativa.
25. d)Procedió la parte reclamada a solventar la incidencia objeto de la reclamación de forma efectiva (art. 83.2 c.). Indica DIGI que este hecho ha quedado evidenciado con las actuaciones realizadas el 28 de diciembre de 2022 y días posteriores, que, diligentemente, DIGI llevó a cabo, rectificación del elemento causante de la incidencia, abrió ticket por usurpación de identidad, estableció una palabra clave e instó al Reclamante a presentar denuncia y remitir una copia de la misma a DIGI. Por último, indica que si bien la Agencia reconoce como elemento atenuante la actitud proactiva mostrada por DIGI respecto al artículo 83.2
26. k)REGPD, DIGI considera que la sanción de 140.000 € resulta completamente desproporcionada, dado que el conjunto de medidas establecidas por DIGI y la actuación fraudulenta del tercero que consigue generar un engaño suficiente mediante la utilización de un documento falso. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. - El reclamante, con residencia en ***LOCALIDAD.1, es cliente de la entidad DIGI. Entre los servicios contratados figura la línea de telefonía móvil número ***TELÉFONO.1. SEGUNDO. - En fecha 27 de diciembre de 2022 un tercero solicitó un duplicado de la tarjeta SIM para la línea de móvil del reclamante número ***TELÉFONO.1, de forma presencial, ante el distribuidor o dealer de DIGI Locutorio R.R.R., ubicado en la dirección ***DIRECCIÓN.1. Siguiendo los protocolos de seguridad, se recabó por parte del distribuidor el documento identidad del tercero solicitante, realizando la siguiente copia del mismo. Dicho duplicado de tarjeta SIM fue activado el 28 de diciembre de 2022, quedando el reclamante sin servicio. TERCERO. – Queda acreditado por parte de DIGI que los protocolos de seguridad en la fecha de solicitud del duplicado de la tarjeta SIM, eran de fecha 7 de febrero de 2022, y consistía en lo siguiente: “Estos protocolos y medidas de seguridad aseguraban la verificación de la identidad del solicitante del duplicado SIM como titular de la línea. En el momento de los hechos, los protocolos y medidas de seguridad se concretaban en la obligación de (…). CUARTO. – Se constata, al comparar los datos de la copia del DNI por ambas caras aportado en la solicitud de duplicado SIM con los datos aportados por la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/49 reclamante en la denuncia policial de fecha 28 de diciembre de 2022 y sus ampliaciones, que coinciden los siguientes datos: número de DNI, nombre y apellidos, nacionalidad, lugar y fecha de nacimiento y domicilio completo. No coincide el nombre de los padres. QUINTO. – En las capturas de pantalla aportadas por DIGI, se constata que con fecha 28 de diciembre de 2022 DIGI procedió a la validación del duplicado de la tarjeta SIM enviando SMS de confirmación de disponibilidad del duplicado al número ***TELÉFONO.2 y correo electrónico a la dirección ***EMAIL.1. DIGI ha informado que el número ***TELÉFONO.2 fue facilitado por el tercero que solicitó el duplicado de tarjeta SIM. SEXTO. – El reclamante, con posterioridad a la activación del duplicado de tarjeta SIM reseñado en el Hecho Probado Segundo, y habiéndose quedado sin servicio en su línea de telefonía móvil, contactó en diversas ocasiones con DIGI para solventar la incidencia, tanto telefónicamente como a través de correo electrónico desde la dirección “***EMAIL.2”. Consta incorporada a las actuaciones la grabación de una llamada telefónica del reclamante el servicio de atención al cliente de DIGI, de fecha 28/12/22, a las 16:59 h., donde el reclamante dice no tener red y solicita suspender la línea por sospechar que esté clonada. El interlocutor le recomienda asistir a un distribuidor para solucionar el problema. El reclamante solicita el bloqueo de la SIM. Posteriormente, el mismo día 28/12/2022, a las 18:33 h., el reclamante solicitó a través de un dealer de DIGI una línea nueva a su nombre. Asimismo, en contacto telefónico solicitó la baja de la línea ***TELÉFONO.1 por problemas en el duplicado. SÉPTIMO. – En los sistemas de información de DIGI constan anotaciones con las siguientes fechas y detalles: - 29/12/22 15:50hs. Se hace efectiva la baja de la línea afectada. 30/12/22 18:39h. El cliente pide reclamar ya que el día 28/12 se suspendió otra línea y no la afectada. Solicita justificante del duplicado SIM. Se abre ticket. 1/1/23 19:42h. Contacto por canal MAIL informando sobre su usurpación. Se abre Ticket de descuento comercial. 2/1/23 09:01h. Se cierra el ticket Descuento gesto comercial y se abre el ticket posible fraude. Desde Reclamaciones se consulta con VENTAS. El cliente aporta correo ***EMAIL.2 3/1/23 11:00h. Se le envía el justificante del duplicado y se cierra ticket. 4/01/23 12:31h. Se deja anotación de seguridad por Fraude/Sospecha de Fraude 5/01/23 11:16 h. El cliente quiere que se indique la tienda donde se hizo el duplicado ya que ha sido víctima de fraude. Se indica que debe escribir por atencionalcliente@digimobil.es. 10/01/23 13:33h. Se contacta con cliente para añadir palabra clave e informar enviarnos denuncia para poder facilitar los datos del DEALER: 11/01/23 10:51hs. Cliente envía denuncia y DNI. Abrimos el ticket Usurpación de identidad. Le enviamos datos del DEALER y cerramos el ticket. 11/01/23 22:07h. Contacta por canal MAIL. Cliente envía denuncia, se ha validado en ticket. 12.01.23 12:36 hs. - Quiere saber dónde se ha realizo Duplicado SIM C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/49 - fraudulento, se deja nota ticket. 16.01.23 - 11:19 hs - Desde RECLAMACIONES - Se envía correo al cliente con datos del punto de venta. Se cierra ticket. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas Debemos empezar recordando que el artículo 4 del RGPD define, en sus apartados 1 y 2, los términos “dato personal” y “tratamiento” de la siguiente manera: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo, limitación, supresión o destrucción; En el presente caso, se tratan los datos del reclamante al emitir un duplicado de la tarjeta SIM, constituiría un tratamiento de datos personales conforme a lo dispuesto en el citado artículo y, por tanto, un tratamiento de datos personales sujeto a las disposiciones del RGPD. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/49 Contestación a las alegaciones presentadas al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: 1. Establecimiento de medidas y principio de culpabilidad. Tratamiento ilícito de los datos personales. DIGI manifiesta que la incidencia se produce porque un tercero, que disponía de los datos personales y del documento de identidad original del reclamante, consigue superar su política de seguridad mediante engaño, suplantando la identidad de aquel. Hace referencia DIGI, para su descargo, al conjunto de medidas de seguridad que ha adoptado y defiende que cumplió con todos los protocolos de seguridad establecidos, por lo que considera que la AEPD ha llegado a conclusiones erróneas al considerar que el simple hecho de que se produjera una suplantación es indicativo de una falta de diligencia por parte de la empresa. En base a ello, termina argumentando que no cabe imponer una responsabilidad objetiva, es decir, sancionar a la empresa simplemente por el resultado del incidente, sin demostrar que existió culpa o negligencia. Atendiendo a las características y al contexto del tratamiento, resulta conveniente precisar que el fenómeno del SIM Swapping constituye un riesgo ampliamente documentado y de concurrencia frecuente en el sector de las telecomunicaciones. En consecuencia, siendo un riesgo inherente a la actividad, resulta jurídicamente exigible que en el proceso de solicitud de duplicados de tarjetas SIM se adopten medidas técnicas y organizativas adecuadas para garantizar que la persona que solicita el duplicado de la tarjeta SIM es realmente quien dice ser, es decir la titular del número de teléfono, y que estás medidas se cumplen, con el fin de evitar el tratamiento ilícito de datos personales. Así las cosas, la verificación adecuada y rigurosa de la identidad del titular de la línea resulta determinante para que el proceder del operador pueda ser calificado como diligente y acorde con las obligaciones que le impone el RGPD. En este sentido, contrariamente a lo alegado, esta Agencia no ha limitado su análisis únicamente al resultado material, esto es, la emisión fraudulenta del duplicado SIM, sino que se han valorado de manera exhaustiva tanto la conducta de DIGI como las medidas implementadas, identificándose deficiencias o irregularidades en la actuación de DIGI que ponen en entredicho la diligencia de esta entidad en el presente caso. En primer término, conviene señalar que en el presente caso se imputa una infracción por falta de licitud en el tratamiento de los datos personales que conlleva la emisión de un duplicado de tarjeta y su entrega a un tercero no autorizado, sin que el titular de la misma tuviera si quiera conocimiento de tales tratamientos. El artículo 6.1 establece que el tratamiento de datos personales solo es lícito si se cumple al menos una de las condiciones previstas en el mencionado artículo. En este caso, la vulneración del principio de licitud se manifiesta en el tratamiento indebido de los datos personales del reclamante, que no fue el solicitante real del duplicado de tarjeta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/49 Este tipo de tratamientos requiere verificar adecuadamente la identidad del solicitante y para ello resulta necesario establecer medidas que aseguren esa correcta identificación. El establecimiento de estas medidas o protocolos, así como su seguimiento y atención por la propia entidad responsable, sirve para valorar la conducta y el grado de diligencia empleado por la misma. DIGI emitió un duplicado de tarjeta SIM sin contar con el consentimiento del titular de la línea y lo entrego a un tercero sin una base jurídica válida. Dicho hecho se traduce en un tratamiento ilícito de datos, al haberse realizado sin cumplir con los requisitos establecidos en el artículo 6.1 del RGPD. La infracción de este artículo confirma que DIGI realizó un tratamiento no autorizado de los datos, vulnerando de esta forma los derechos del reclamante. En este sentido, la mera existencia de una política de seguridad no puede justificar una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y posibilitar que el responsable del tratamiento esté en condiciones de demostrar el cumplimiento de los principios relativos al tratamiento de los datos personales. En caso contrario, las medidas adoptadas carecen de virtualidad y pueden conllevar tratamientos ilícitos, como ocurre en el presente caso. Por lo tanto, DIGI no puede pretender quedar exonerada de su responsabilidad apelando a la existencia de tales medidas de seguridad. Lo cierto es que la simple emisión de una tarjeta SIM y su entrega a un tercero no autorizado implica ya de por si una vulneración del principio de licitud, en cuanto tienen la consideración de tratamientos de datos personales. Es preciso señalar, asimismo, que es un hecho no controvertido que la emisión del duplicado de tarjeta SIM y su entrega a un tercero no autorizado se llevó a cabo sin la intervención del reclamante y titular de la línea telefónica. La propia entidad DIGI calificó el caso como fraudulento, según consta reseñado en los hechos probados. Por otra parte, acreditada la existencia de una conducta antijurídica de DIGI (el tratamiento de los datos de la parte reclamante sin base jurídica), la cuestión se centra en determinar si de tal conducta puede nacer responsabilidad administrativa sancionadora. Rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/49 A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. Así, la decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que las circunstancias del caso exigen. Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/49 adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”, establece: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.[...]”. En el presente caso, contra de lo dispuesto en estas normas, DIGI no ha podido demostrar el cumplimiento de la normativa respecto de la licitud de los tratamientos de datos personales por los que se sanciona. Cabe preguntarse cuáles son los parámetros de la diligencia debida que DIGI debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar es la que era precisa para cumplir las obligaciones que le imponen los artículos 5.2, 24 y 25 del RGPD, a la luz de la doctrina de la Audiencia Nacional y la jurisprudencia del Tribunal Supremo. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/49 recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Es plenamente aplicable al caso, también, la SAN de 19 de septiembre de 2023 (rec. 403/2021), que dice:” contrató la póliza de seguro con un tercero sin control ni supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona que estaba manifestando su voluntad de contratar, no era quien decía ser. De haberse tomado las necesarias precauciones, a fin de asegurar la identidad la persona contratante (para lo que hubiera sido bastante atender a la incorrecta contestación a las preguntas de identificación y verificación del cliente)”. La reclamada ha invocado distintos argumentos para justificar la ausencia de culpabilidad de su conducta. Básicamente, el disponer de una política de seguridad dirigida a garantizar que los duplicados de tarjetas SIM se entregan a los titulares de las líneas telefónicas, que fue seguida por DIGI y que no falló, sino que se vio superada mediante acciones cometidas por un tercero que disponía de los datos personales y el documento de identidad del reclamante. Entiende DIGI que su conducta no puede calificarse como no diligente, que el simple hecho de que se produjera una suplantación de identidad no es indicativo de una falta de diligencia. Sin embargo, existen numerosas circunstancias de hecho en el presente caso que llevan a calificar la conducta de DIGI como imprudente y culposa a la hora de detectar preventivamente el fraude, de tal forma que le hubiese permitido denegar la solicitud de emisión de un duplicado de tarjeta SIM que recibió de un tercero no autorizado y, con ello, abstenerse de realizar los tratamientos de datos personales de la parte reclamante que conlleva la emisión de dicha tarjeta y su entrega a una persona distinta a su titular. Son numerosas las circunstancias de hecho que debieron alertar a DIGI sobre el fraude o, lo que es lo mismo, que dan muestra de la negligencia de su conducta. El duplicado de tarjeta se tramitó desde una tienda física, (…). En primer término, entiende esta Agencia que una muestra de alerta viene determinada por el hecho de que una persona con residencia en un municipio de ***LOCALIDAD.2 solicite un duplicado de tarjeta SIM en una tienda ubicada en una Comunidad Autónoma distinta, en un municipio de la provincia de ***LOCALIDAD.3. No es una cuestión determinante, por no improbable, pero sí para tomarla en consideración a la hora de iniciar el proceso y la aplicación de las cautelas necesarias. Por otra parte, se estima oportuno destacar que (…) A este respecto, es significativo que (…). Tampoco puede calificarse de diligente la verificación de la identidad del solicitante por parte el punto de venta. En relación con la forma de identificación de los clientes que solicitan un duplicado de tarjeta SIM, DIGI tampoco acredita la existencia de previsión específica alguna, (…). Sobre esta cuestión interesa destacar que en este caso consta probado que el tercero se sirvió de un DNI falsificado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/49 Así, puede concluirse que el tratamiento de los datos personales se realiza (
27. i)sin que DIGI aporte ninguna garantía de que el solicitante del duplicado de tarjeta SIM fuera el verdadero titular de la línea y, por consiguiente, de los datos personales; (
28. ii)sin conocer el motivo para emitir el duplicado de tarjeta; y (iii) sin haber realizado ninguna comprobación para verificar que la emisión de ese duplicado era necesaria para la prestación de los servicios contratados por la parte reclamante, que ya disponía de una tarjeta activa y en correcto funcionamiento. Por tanto, resulta que DIGI no verificó correctamente la identidad de quien solicitó el duplicado de tarjeta SIM que motiva las actuaciones, siendo así que, de haberse efectuado correctamente esta operación, el duplicado se hubiera denegado, quedando en entredicho la diligencia empleada por parte dicha entidad para verificar la identidad de la persona que solicitó un duplicado de la tarjeta SIM. Resulta significativo, particularmente en lo relativo a los protocolos aplicables, que el responsable del tratamiento no analiza con la debida profundidad la diligencia exigible, trasladando la responsabilidad al agente, cuando el control sobre la veracidad de la solicitud de duplicado de tarjeta SIM, esencial para la prevención eficaz del fraude, corresponde a la propia entidad DIGI. En definitiva, no ha existido una conducta proactiva para aplicar de forma efectiva los principios de protección de datos. Resulta, por tanto, que la actuación desarrollada por DIGI ha resultado claramente ineficaz e insuficiente, está muy por debajo de las posibilidades que el desarrollo técnico actual ofrece y no toma en consideración el evidente riesgo que la contratación de los servicios que comercializa representa para los derechos y libertades de las personas, por lo que debe responder a título de culpa por la infracción cometida por la falta de diligencia mostrada. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Por otra parte, atendidas todas las circunstancias de hecho que conforman el presente supuesto, no puede decirse que la incidencia producida en el tratamiento de los datos personales de la parte reclamante responda a un ataque sofisticado, como señala DIGI en su escrito de respuesta al trámite de traslado. En otro orden, en relación con la alegación formulada por DIGI, según la cual el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/49 defraudador disponía de los datos y documento de la reclamante con anterioridad, cabe precisar que ninguna responsabilidad se está imputando en el presente procedimiento sancionador por la conducta del tercero que solicitó el duplicado de tarjeta SIM, ni por las conductas previas de este estafador para obtener los datos del reclamante o las posteriores, como las cometidas para acceder a las cuentas bancarias, ya tengan que ver con la obtención de los datos personales de la reclamante que fueron facilitados a DIGI o con el uso posterior de los mismos realizados por el tercero una vez obtuvo el duplicado de tarjeta. Ello sin perjuicio de que pueda tenerse en cuenta la repercusión que para el interesado puede tener que un tercero obtenga un duplicado de la tarjeta correspondiente a su línea de telefonía móvil, que obliga a la entidad responsable a establecer todas las cautelas necesarias para evitarlo. Precisamente el que nos encontremos ante el fraude de un tercero hace que sea necesario asegurarse que la persona a la que se expide el duplicado de la tarjeta SIM es quien realmente dice ser y deben adoptarse las medidas necesarias de prevención adecuadas para verificar la identidad de una persona cuyos datos van a ser objeto de tratamiento, tal y como se reconoce en el Fundamento Jurídico Séptimo de la SAN, SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012): "Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento..."). La única infracción que se atribuye a la reclamada se fundamenta en la falta de licitud en el tratamiento de los datos personales del reclamante. En relación con esta calificación de los hechos, se podría citar la Sentencia 4660/2021, de 13 de diciembre de 2021, en la que se dice que “la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación en línea, no excluye que la empresa contratante, que lleva a cabo el tratamiento de los datos personales, haya podido incurrir en infracción por falta del necesario consentimiento inequívoco que exige el art. 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues aquella intervención fraudulenta de un tercero no implica por sí misma que la empresa contratante haya actuado con diligencia suficiente. Lo anterior no significa que se haga recaer sobre la empresa contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la implantación de medidas de control y verificación tendentes a asegurar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado”. Es la emisión de un duplicado de tarjeta SIM y su entrega a un tercero lo que supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/49 indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). La emisión de un duplicado de tarjeta SIM implica necesariamente un tratamiento de datos personales, ya que se realiza sobre la línea y la identidad del titular. Como puede apreciarse en las actuaciones, el tratamiento de datos que se analiza ha conllevado la utilización de los datos de la reclamante relativos a nombre, apellidos, DNI y línea de telefonía móvil, entre otros. La referencia al fenómeno del denominado SIM Swapping y a sus eventuales consecuencias se efectúa con el fin de valorar el alcance y naturaleza de la infracción imputada, atendiendo a las repercusiones que tales prácticas pueden generar sobre los derechos del titular de los datos personales afectados. En este sentido, la Audiencia Nacional en la sentencia de 13/05/2024, Rec. 0002336/2021, establece que “(…) en la primera fase de este tipo de estafas el suplantador consigue, de manera fraudulenta, los datos de acceso o las credenciales de la banca online del cliente, pero le falta por conocer el código de verificación, segundo factor de autentificación, para poder ejecutar cualquier operación. En el momento en el que logra la tarjeta SIM duplicada ya tiene también acceso a este segundo factor de autentificación y, por tanto, desde ese momento puede realizar los actos de disposición patrimonial que desee”. En cuanto al acceso a datos personales del cliente que conlleva la entrega de la tarjeta a un tercero, resulta necesario señalar que el acceso al duplicado de una tarjeta SIM que hace identificable a su titular, responde a la definición de dato personal del artículo 4.1) del RGPD tal y como se indicaba en el Acuerdo de Inicio. En este sentido se pronuncia la Sentencia 595/2024 de la Audiencia Nacional, de 8 de febrero de 2024, cuando afirma: “Tenemos que partir, que la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que, a tenor del artículo 4.1 del RGPD, se considera persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador. Pues bien, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network-Estación Móvil de la Red Digital de Servicios Integrados-) así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity-Identidad Internacional del Abonado móvil-), pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Y como se resalta en la resolución recurrida, desde el año 2007, en España, de conformidad con la Disposición Adicional Única de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, se exige que los titulares de todas las tarjetas SIM, ya sean de prepago o de contrato, estén debidamente identificados y registrados. Por lo que a hora de obtener un duplicado de la tarjeta SIM, la persona que lo solicite haya de identificarse igualmente y que su identidad coincida con la del titular.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/49 Por tanto, la mera utilización de una tarjeta SIM por parte de un tercero no autorizado incrementa de forma significativa el riesgo para su titular, en la medida en que el suplantador puede disponer de datos adicionales que permitan la realización de actuaciones con efectos especialmente gravosos, tales como operaciones financieras no consentidas, como ha sucedido en el caso que nos ocupa. Así, facilitar un duplicado de tarjeta SIM es un proceso en el que la diligencia prestada por los operadores resulta esencial para evitar este tipo de estafas y garantizar la adecuada protección de los derechos e intereses de los clientes, diligencia que, como ya se ha expuesto, se encuentra en entredicho en el presente caso. En relación con todo cuanto antecede, resulta de especial interés la doctrina declarada por el Tribunal Supremo, Sala de lo Contencioso-Administrativo, Sección Tercera, en Sentencia de 13/12/2021 (recurso de casación núm. 6109/2020), que analiza un supuesto de suplantación de identidad para una contratación on line, en el que se cuestiona la actuación llevada a cabo por la entidad recurrente para verificar que contrataba con el verdadero titular de los datos y se sanciona por el tratamiento ilícito de los datos personales del interesado. Según el auto de admisión del citado recurso de casación, “la cuestión que presenta interés casacional objetivo para la formación de la jurisprudencia consisten en interpretar la normativa de protección de datos de carácter personal vigente a efectos de aclarar si la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, permite excluir que haya existido infracción por falta del necesario consentimiento inequívoco para el tratamiento de los datos personales que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, por entender que la empresa contratante actuó con diligencia suficiente y en la creencia de que contrataba con el verdadero titular de tales datos”. En esta Sentencia se declara lo siguiente: TERCERO.- Respuesta de la Sala a la cuestión de interés casacional señalada en el auto de admisión del recurso de casación. En respuesta a la cuestión que plantea el auto de admisión del presente recurso de casación debemos declarar que la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, no excluye que la empresa contratante, que lleva a cabo el tratamiento de los datos personales, haya podido incurrir en infracción por falta del necesario consentimiento inequívoco que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues aquella intervención fraudulenta de un tercero no implica por sí misma que la empresa contratante haya actuado con diligencia suficiente. Lo anterior no significa que se haga recaer sobre la empresa contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/49 implantación de medidas de control y verificación tendentes a asegurar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado”. No se trata, por tanto, de atribuir responsabilidad a DIGI por la mera constatación del tratamiento de datos ilícito, sino por la ausencia de diligencia en la aplicación de controles para asegurar que el tratamiento de los datos de la reclamante se realizaba con base de legitimación. En resumen, la reclamada expidió un duplicado de la tarjeta SIM a un tercero que no era el titular de la línea ni había acreditado que actuara en su representación, quedando en entredicho la diligencia empleada por DIGI a la hora de realizar las comprobaciones oportunas para verificar la identidad del cliente interesado, así como la legitimidad de la solicitud y del tratamiento de los datos. A la vista de lo expuesto, no puede decirse que se impone a DIGI una responsabilidad objetiva vulnerándose el principio culpabilista, o que no existe infracción por el tratamiento ilícito de los datos personales de la reclamante. 2. Sobre la falta de proporcionalidad de la sanción propuesta En cuanto a la sanción, la parte reclamada señala que esta es desproporcionada en relación con los hechos, atendiendo a las circunstancias y el contenido de la supuesta infracción. Por un lado, cuestiona las circunstancias consideradas para cuantificar la sanción que se indica en el acuerdo de apertura del presente procedimiento sancionador, en concreto las relativas a la negligencia apreciada en su conducta, la vinculación de su actividad con el tratamiento de datos personales y las infracciones anteriores. Estas cuestiones se analizan en el Fundamento de Derecho V, al que cabe remitirse en este momento. Por otra parte, señala que según lo establecido en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, concurren en el presente las siguientes circunstancias atenuantes que no han sido consideradas en la adecuada graduación de la sanción: ─ Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (artículo 83.2 c RGPD). La admisión de que opere como una atenuante que la parte reclamada haya solventado la incidencia objeto de reclamación de forma efectiva (artículo 83.2
29. c)del RGPD), anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis de DIGI en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas. Por otra parte, como queda reflejado en este acto, DIGI no realizó actividad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/49 alguna para solventar la situación generada con la emisión del duplicado de tarjeta SIM fraudulento, sino que fueron las acciones llevadas a cabo por la propia parte reclamante para recuperar el servicio de su línea móvil las que determinaron la anulación de la tarjeta fraudulenta. ─ En ningún momento se han tratado categorías especiales de datos (artículo 83.2
30. g)RGPD). Esta cuestión se trata en el Fundamento de Derecho V antes citado. ─ El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos (artículo 83.2
31. f)RGPD). No se puede tener en cuenta esta alegación en la medida en que contestar a los requerimientos de información enviados desde esta Agencia no es encuadrable en esta circunstancia atenuante. ─ El inexistente beneficio obtenido por parte de DIGI como resultado al tratamiento de datos que ocupa este procedimiento (Art. 83.2
32. k)RGPD). El artículo 83.2.
33. k)del RGPD se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo 76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.
34. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..]
35. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones mencionan como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que DIGI alega. Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa está presidida por los siguientes principios: deberán estar individualizadas para cada caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1 del RGPD y a los principios por los que se rige la determinación del importe de la sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis de DIGI en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas. La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el hecho de que en un supuesto concreto no estén presentes todos los elementos que integran una circunstancia modificativa de la responsabilidad que, por su naturaleza, tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su SAN de 5 de mayo de 2021 (Rec. 1437/2020) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/49 -por más que esa resolución verse sobre la circunstancia del apartado
36. e)del artículo 83.2. del RGPD, la comisión de infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”. Asimismo, señala DIGI que la cuantificación de la posible sanción a imponer a DIGI en relación con el supuesto incumplimiento de las obligaciones del artículo 6.1 del RGPD, que debería limitarse a un apercibimiento y, en última instancia, se modere o module la propuesta recogida en el Acuerdo de Inicio notificado a DIGI, atendiendo a sus argumentos. En cuanto a la imposición de una advertencia, apercibimiento, o la adopción de medidas correctivas conforme al artículo 58 del RGPD, una multa disuasoria es aquella que tiene un efecto disuasorio genuino. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice: “94. Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor disuasorio se valora tomando en consideración una multitud de elementos y no sólo la situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio puede tener por objeto no sólo una «disuasión general», definida como una acción para desincentivar a todas las empresas, en general, de que cometan la infracción de que se trate, sino también una «disuasión específica», consistente en disuadir al demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no estaba obligada a limitar su valoración a los factores relacionados únicamente con la situación particular de la empresa en cuestión.” “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).” Hemos de atender a la circunstancia singular de la reclamación presentada, a través de la cual puede constatarse que, desde el momento en el que la persona suplantadora realiza la sustitución de la SIM, el teléfono de la víctima se queda sin servicio pasando el control de la línea a las personas suplantadoras. En consecuencia, ven afectados sus poderes de disposición y control sobre sus datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos según ha señalado el Tribunal Constitucional en la Sentencia 292/2000, de 30 de noviembre de 2000 (FJ 7). De manera que, al conseguir un duplicado de la tarjeta SIM, se posibilita bajo determinadas circunstancias, el acceso a los contactos o a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/49 aplicaciones y servicios que tengan como procedimiento de recuperación de clave el envío de un SMS con un código para poder modificar las contraseñas. En definitiva, podrán suplantar la identidad de los afectados, pudiendo acceder y controlar, por ejemplo: las cuentas de correo electrónico; cuentas bancarias; aplicaciones como WhatsApp; redes sociales, como Facebook o Twitter, y un largo etc. En resumidas cuentas, una vez modificada la clave de acceso por parte de los suplantadores pierden el control de sus cuentas, aplicaciones y servicios, lo que supone una gran amenaza. IV Contestación a las alegaciones presentadas a la propuesta de resolución Las alegaciones formuladas no desvirtúan los fundamentos que justifican el acuerdo adoptado en la presente resolución. DIGI plantea en su escrito de alegaciones a la propuesta de resolución, básicamente, las mismas alegaciones que formuló con ocasión de la apertura del procedimiento, sin considerar los hechos constatados y los fundamentos que sirvieron de base a la mencionada propuesta, que esta resolución hace suyos, en los que se analizan ampliamente las circunstancias puestas de manifiesto por dicha entidad y se exponen las razones que determinaron su desestimación. Por tanto, los alegatos contenidos en su nuevo escrito de alegaciones quedan sobradamente rebatidos con los argumentos transcritos en el Fundamento de Derecho anterior y en los que siguen, que se consideran válidos y suficientes para rechazar los planteamientos de DIGI. Sin perjuicio de lo anterior, se estima oportuno ampliar esa respuesta como sigue: 1. Del principio de culpabilidad y la responsabilidad objetiva. Inexistencia de infracción del artículo 6 del RGPD. Indefensión y falta de seguridad jurídica. El Fundamento de Derecho anterior analiza ampliamente estas cuestiones atendiendo, de manera específica, a las circunstancias apreciadas en este caso. No obstante, después de declarar reproducidas sus alegaciones a la apertura del procedimiento y sin atender a los razonamientos expuestos por esta AEPD, reitera DIGI que no se tienen en cuenta las medidas implantadas y la diligencia desplegada por su parte, sino únicamente el resultado producido por la actuación ilícita de un tercero que comete actos delictivos, suplantando la identidad de la reclamante y haciendo uso de un documento de identidad falso que revestía total apariencia de legalidad, al incluir el nombre y número correctos, no siendo exigible la obligación absoluta de detección de un documento falso. Entiende que fundamentar la imposición de una sanción exclusivamente en la obtención de un resultado supone adoptar un principio de responsabilidad objetiva y obviar la necesaria concurrencia de la culpabilidad. Todo ello ha sido suficientemente respondido en el Fundamento de Derecho anterior, en el que se analiza la conducta de DIGI y las medidas implementadas, sin limitar el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/49 análisis al resultado, y se exponen las circunstancias que han determinado la calificación de su conducta como culposa o imprudente. Al contrario, es DIGI quien omite en sus alegaciones cualquier referencia a estas circunstancias y la falta de mecanismos adecuados para asegurar la realidad de la solicitud, sobre las que no aporta explicación alguna, y se aparta de la cuestión central limitándose a alegar que la problemática radica en la actuación fraudulenta de un tercero. Como ya se indicó anteriormente, DIGI (…). Ante esta situación, no puede decirse que el tratamiento de los datos personales de la parte reclamante para la emisión del duplicado de tarjeta era necesario para la ejecución del contrato. Tampoco puede calificarse de diligente la verificación de la identidad del solicitante por parte el punto de venta. En relación con la forma de identificación de los clientes que solicitan un duplicado de tarjeta SIM, DIGI tampoco acredita la existencia de previsión específica alguna, (…). Sobre esta cuestión interesa destacar que en este caso consta probado que el tercero se sirvió de un DNI falsificado. Del mismo modo, no justifica adecuadamente el hecho de no haber cuestionado que la solicitud del duplicado se realizara en una tienda física de ***LOCALIDAD.2 por una persona con residencia en un municipio de ***LOCALIDAD.1. Omite considerar que esta circunstancia debió, en todo caso, generar la sospecha o alerta procedente, en atención a los estándares y cautelas exigibles para la adecuada prevención de riesgos y fraudes. En consecuencia, no puede considerarse cumplido el principio de responsabilidad proactiva, ni tampoco que la infracción resulte de un error puntual y aislado del agente del punto de venta en la comprobación visual de un documento de identidad o que se hiciera uso de un documento de identidad falso indetectable. DIGI insiste en la idoneidad de las medidas implantadas y en que el mero error humano y puntual, no puede acarrear, por sí mismo, consecuencias sancionadoras, muy especialmente cuando dicho error viene provocado de forma intencionada por la actuación ilícita de un tercero, como acontece en el presente. De esta forma, se afirma que DIGI carece de medidas amparadas por la autoridad de control que le permitan garantizar un despliegue de diligencia. Asimismo, sostiene que la aversión o el cuestionamiento de esta Agencia a las medidas de identificación es tal que incluso se ha generado un efecto de percepción negativa de estas prácticas, como, por ejemplo, la solicitud de la copia del DNI. En sustento de la afirmación anterior, DIGI aporta una relación de noticias, obtenidas mediante búsqueda en Internet, relacionadas con el uso del DNI como medio de verificación de la identidad de los interesados, así como dos Informes del Gabinete Jurídico de la AEPD. En primer lugar, procede subrayar que corresponde a la entidad reclamada determinar el tipo de procedimientos, mecanismos o instrumentos concretos para implementar las medidas de seguridad adecuadas en materia de protección de datos personales, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/49 decidir, en base a la responsabilidad proactiva y el enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Por otro lado, la calificación del ejercicio legítimo de las potestades de control de esta Agencia como una supuesta “aversión” carece de fundamento jurídico y resulta del todo inapropiada. Los resultados de búsqueda en Internet que se recogen, así como los informes del Gabinete Jurídico citados, se refieren a ámbitos materiales distintos del que constituye el objeto específico del presente procedimiento, lo que descontextualiza el análisis y desvía la cuestión y, en consecuencia, no resulta válido por desvirtuar el sentido y alcance de la cuestión realmente debatida. En cuanto a los criterios que esta AEPD aplica respecto de la identificación de los interesados mediante el documento de identidad, cuya obtención se califica en ocasiones como excesiva, no considera DIGI que para delimitar los supuestos se tiene en cuenta la organización del responsable y el respeto al principio de responsabilidad proactiva. En ninguno de los dieciocho procedimientos sancionadores seguidos en esta AEPD contra DIGI por defectos en la identificación del titular de los datos personales, finalizados o en curso, todos ellos por infracción del artículo 6 del RGPD, se pone de manifiesto una discrepancia de criterio respecto de esta circunstancia. Esta Agencia considera que la exención de responsabilidad de DIGI, exige demostrar una actuación diligente, la cual a la luz de la valoración realizada por esta Agencia de la conducta de DIGI y de las medidas implementadas, no se acredita. Por consiguiente, no procede admitir la alegación de indefensión ya que no se sanciona por la mera concurrencia de un resultado lesivo como se pretende, y tampoco se advierte ausencia de motivación en la propuesta formulada. Por otra parte, ninguna responsabilidad se está trasladando a DIGI en el presente procedimiento sancionador por la conducta del tercero que solicitó el duplicado de tarjeta SIM, ni por las conductas previas del estafador para obtener los datos de la parte reclamante o las posteriores, como las cometidas para acceder a las cuentas bancarias, ya tengan que ver con la obtención de los datos personales de la parte reclamante que fueron facilitados a DIGI o con el uso posterior de los mismos realizados por el tercero una vez obtuvo el duplicado de la tarjeta. Ello sin perjuicio de que pueda tenerse en cuenta la repercusión que para el interesado puede tener que un tercero obtenga un duplicado de la tarjeta correspondiente a su línea de telefonía móvil, que obliga a la entidad responsable a establecer todas las cautelas necesarias para evitarlo. La única infracción que se atribuye a la parte reclamada se fundamenta en la falta de licitud en el tratamiento de los datos personales de la parte reclamante. DIGI, al proceder a la emisión de un duplicado de la tarjeta SIM del reclamante sin haber verificado de forma fehaciente la identidad del solicitante ni acreditado que la petición provenía del titular legítimo de la línea, incurre en una actuación contraria al principio de licitud establecido en el artículo 6.1 del RGPD. Dicha actuación carece de una base jurídica válida que legitime el tratamiento. DIGI invoca como base de legitimación para llevar a cabo el duplicado de tarjeta SIM, la ejecución del contrato de prestación de servicio de telecomunicaciones existente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/49 entre el reclamante y DIG, destacando que en ningún caso se emplea como base de legitimación el consentimiento. Sin embargo, en casos como este, el tratamiento de datos que conlleva la emisión de un duplicado de tarjeta SIM no resulta necesario para la ejecución de los servicios, que se venían prestando con normalidad. Es, precisamente, la emisión de ese duplicado y su entrega a un tercero el hecho que provoca la incidencia de dejar sin servicio al titular, motivando que éste se vea obligado a solicitar una nueva tarjeta para recuperarlo. La referencia al fenómeno del denominado SIM Swapping y a sus eventuales consecuencias se efectúa con el fin de valorar el alcance y naturaleza de la infracción imputada, atendiendo a las repercusiones que tales prácticas pueden generar sobre los derechos del titular de los datos personales afectados. DIGI insiste en que un duplicado de tarjeta SIM no da acceso a ninguna aplicación o cuenta personal, almacenadas en el dispositivo móvil y no en la tarjeta SIM. Asimismo, reitera, de un lado, que es a través del ataque de “phishing” donde el reclamante pierde el control sobre sus datos de carácter personal, siendo este hecho el que desencadena y posibilita la comisión del fraude y, de otro lado, que son las entidades financieras las que posibilitan, en última instancia, el acceso a los datos de las víctimas y permiten la instrumentalización de la tarjeta SIM como vía de acceso a las cuentas de los particulares. Por tales motivos, DIGI concluye que no le es imputable responsabilidad alguna por un eventual tratamiento ilícito de datos personales. En este contexto, la entidad reclamada invoca en su defensa el informe titulado “CONTRA EL SIM-SWAPPING Visión general y buenas prácticas para reducir el impacto de los ataques de SIM-Swapping” (título original en inglés: COUNTERING SIM-SWAPPING Overview and good practices to reduce the impact of SIM-Swapping Attacks) publicado por la Agencia de Ciberseguridad de la Unión Europea (ENISA) en diciembre de 2021 y la Memoria de la Fiscalía General del Estado (FGE) de 2021 en materia de Criminalidad Informática. En lo que aquí interesa, basta señalar que el proceso de emisión de una tarjeta SIM constituye un acto que se realiza bajo el control directo del operador o de sus distribuidores autorizados, y su correcta ejecución forma parte del deber de diligencia profesional impuesto por la normativa en materia de seguridad y protección de datos personales de los abonados. En particular, los operadores de telecomunicaciones mantienen un deber propio de diligencia en la gestión de los datos de sus abonados y en la prevención de accesos no autorizados, obligación que no puede eludirse por la participación de otros sujetos en el fraude. Por otra parte, si bien el informe “Countering SIM Swapping” de ENISA reconoce que, para la materialización del fraude mediante duplicado de tarjeta SIM, el autor debe disponer previamente de determinados datos personales de la víctima, dicha circunstancia no exime de responsabilidad al operador de red móvil. La existencia de un acceso previo indebido a los datos no interrumpe el deber de verificación, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/49 autenticación y custodia que corresponde al operador en el proceso de duplicado. Por el contrario, precisamente por tratarse de un factor de riesgo conocido y documentado, el operador está obligado a implementar controles reforzados de identificación y validación, conforme a los principios de diligencia profesional, seguridad por diseño y prevención del fraude. Así las cosas, el citado informe recoge, en su punto 4.1, las orientaciones específicas dirigidas a los operadores de telefonía móvil con objeto de reforzar las medidas de prevención y detección de este tipo de ilícitos. Entre tales orientaciones figura la de establecer controles más estrictos para la autenticación de clientes y el intercambio (duplicado) de tarjetas SIM: “Measures that can be applied to mitigate the attack include internal checks on aspects such as limiting staff access to customer information and the ability to perform SIM swaps; back-end system validations before executing changes; enforcement of timebased restrictions on account changes; checks, based on location of subscriber; notification of changes to customers (call-back verification); and the use of passwords and PINs by customers to access their accounts. Performing background checks on the subscriber using a back-office team could also prove to be an effective countermeasure. Such background checks could include checking the most recently provided postal address, cross-checking the ID card presented in store with previous copies maintained under the subscriber’s profile and examining the customer’s recent contacts with customer representatives”. “Las medidas que se pueden aplicar para mitigar el ataque incluyen controles internos sobre aspectos como la limitación del acceso del personal a la información de los clientes y la capacidad de realizar cambios de SIM; validaciones del sistema back-end antes de ejecutar cambios; aplicación de restricciones temporales a los cambios en las cuentas; controles basados en la ubicación del suscriptor; notificación de cambios a los clientes (verificación mediante devolución de llamada); y el uso de contraseñas y PIN por parte de los clientes para acceder a sus cuentas. La realización de comprobaciones de antecedentes del abonado por parte de un equipo administrativo también podría resultar una contramedida eficaz. Dichas comprobaciones de antecedentes podrían incluir la verificación de la dirección postal facilitada más recientemente, la comprobación cruzada del documento de identidad presentado en la tienda con las copias anteriores conservadas en el perfil del abonado y el examen de los contactos recientes del cliente con los representantes de atención al cliente”. (Traducción no oficial) Dichas recomendaciones, si bien carecen de carácter normativo vinculante, constituyen parámetros de diligencia y estándares técnicos relevantes para la interpretación del deber de seguridad de las comunicaciones. Sobre los controles basados en la ubicación del suscriptor mencionados en el informe de ENISA “Countering SIM Swapping” y a propósito de las alegaciones formuladas por DIGI al efecto, debe señalarse que, atendidas las actuales dinámicas de fraude digital y suplantación de identidad, el hecho de que el titular de la línea telefónica se encuentre en un municipio distinto del de su residencia, sin ser determinante por sí C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/49 mismo, pudiera razonablemente servir como indicador adicional para requerir una verificación más rigurosa por parte del operador. La divergencia entre el domicilio asociado a la línea y el lugar desde el que se solicita el duplicado constituye un dato objetivo que, sin ser concluyente, puede considerarse un factor de riesgo operativo. En tales supuestos, resultaría razonablemente recomendable activar mecanismos adicionales de autenticación o verificación del titular. En cuanto a la Memoria de la FGE 2021 (ejercicio 2020), esta Agencia no comparte la interpretación que hace DIGI del documento. Por el contrario, entiende que del mismo se desprende un razonamiento diferente, en el que, lejos de atribuir a los operadores de telefonía móvil la condición de víctimas frente a este al fraude del SIM Swapping, se pone de manifiesto, por una parte, las medidas específicas de seguridad que dichas entidades se han visto obligadas a implementar con el fin de reforzar los procedimientos de emisión y duplicado de tarjetas SIM, como respuesta a la eficacia y facilidad con que los autores lograban consumar sus propósitos ilícitos. Asimismo, destaca su participación en dos Grupos de Trabajo orientados a buscar soluciones frente a los problemas generados por la modalidad de fraude conocida como SIM Swapping, subrayando en especial la importancia de establecer una efectiva cooperación entre todos los organismos involucrados. Por su parte, el Instituto Nacional de Ciberseguridad (INCIBE) incluye en su web “incibe.es” la siguiente información sobre el SIM Swapping: “Recordemos que ante un SIM swapping, los ciberdelincuentes intentan duplicar de forma fraudulenta la tarjeta SIM del dispositivo móvil de una persona. Para ello suplanta su identidad a fin de conseguir un duplicado de la misma. Posteriormente, una vez que la víctima se queda sin servicio telefónico, accede a su información personal y toma el control de sus aplicaciones, suplantándole en sus redes sociales, cuentas de correo electrónico o banca digital, utilizando los SMS de verificación que llegan al número de teléfono. De esta forma el ciberdelincuente puede recuperar los mensajes de texto de confirmación con las claves y realizar algún ciberdelito con estas credenciales, como puede ser realizar una operación bancaria y suplantaciones de identidad”. Por tanto, la mera utilización de una tarjeta SIM por parte de un tercero no autorizado incrementa de forma significativa el riesgo para su titular, en la medida en que el suplantador puede disponer de datos adicionales que permitan la realización de actuaciones con efectos especialmente gravosos, tales como operaciones financieras no consentidas, como ha sucedido en el caso que nos ocupa. Así, facilitar un duplicado de tarjeta SIM es un proceso en el que la diligencia prestada por los operadores resulta esencial para evitar este tipo de estafas y garantizar la adecuada protección de los derechos e intereses de los clientes, diligencia que, como ya se ha expuesto, se encuentra en entredicho en el presente caso. 2. Proporcionalidad de la sanción La parte reclamada discrepa de los factores considerados para determinar la gravedad de la infracción y las agravantes aplicadas por la Agencia a la hora de valorar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/49 sanción. Sin embargo, las alegaciones formuladas por la parte reclamada no resultan suficientes para desvirtuar los argumentos planteados, por lo que deben ser desestimadas remitiéndonos, al efecto, a lo manifestado en los Fundamentos de Derecho de la presente resolución señalados con los números II, que recoge la respuesta a las alegaciones formuladas por DIGI a la apertura del procedimiento, y VI, en el que se detallan los factores de graduación de la sanción impuesta. No obstante, interesa destacar que para la determinación del importe de la multa administrativa se ha considerado prevalente que la infracción afecta de forma directa a un único interesado, la parte reclamante, sin perjuicio de valorar las debilidades ya descritas en las medidas y política de seguridad dispuestas por la reclamada y la posibilidad de que ello pudiera dar lugar a hechos similares con otros afectados. Así, resulta que la multa impuesta en este caso (140.000 euros) se sitúa en un rango muy inferior respecto del intervalo de sanción que cabría imponer que, como ya se indicó en la propuesta de resolución, se establece entre 0,00 euros y 25.760.000 euros, para una empresa cuyo volumen de negocio ascendió en el año 2023 a 644.000.000 euros. Del mismo modo, se desestiman las atenuantes invocadas por la parte reclamada, sobre la categoría de los datos personales tratados, el grado de cooperación mostrado por DIGI, la no obtención de beneficios derivados de la comisión de la infracción y procedió la parte reclamada a solventar la incidencia objeto de la reclamación de forma efectiva (art. 83.2
37. c)en tanto que reiteran las ya recogidas en su escrito de alegaciones al acuerdo de inicio, por los motivos descritos en el citado Fundamento de Derecho III. No obstante, se estima oportuno precisar lo siguiente:
38. a)Respecto de la intervención de un tercero, que hizo uso de documentación falsificada, y de la negligencia apreciada en la conducta de DIGI, no cabe sino declarar reproducidos todos los argumentos expuestos en este acto.
39. b)Entiende DIGI que la consideración por esta AEPD de las medidas técnicas y organizativas para valorar los factores de graduación de las letras
40. b)y
41. d)del artículo 83.2 del RGPD. Sin embargo, no comparte esta Agencia dicho criterio, por cuanto la negligencia apreciada en la concreta conducta de DIGI en este caso concreto y el desarrollo de un procedimiento general eficaz para evitar situaciones similares son cuestiones que pueden apreciarse separadamente en orden a la cuantificación de la multa.
42. c)En relación con la aplicación del criterio agravante previsto en el artículo 83.2.
43. k)del RGPD en combinación con el artículo 76.2.
44. b)de la LOPDGDD, la afirmación realizada por DIGI de que las Directrices 04/2022 sobre el cálculo de las multas administrativas contempladas en el RGPD, adoptadas el 24 de mayo de 2023 por el Comité Europeo de Protección de Datos (CEPD), excluyen la actividad y sector empresarial del infractor como criterio a considerar en la imposición y cuantificación de sanciones derivadas de una infracción de la normativa en materia de protección de datos, no se corresponde con el texto de las citadas Directrices. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/49 Por el contrario, el artículo 83.2.
45. k)del RGPD tiene un carácter abierto y ha posibilitado que el legislador español considere la vinculación de la actividad del responsable con el tratamiento de datos personales como elemento a considerar en la cuantificación de la multa, siendo esta concreta circunstancia la que se valora en el Fundamento de Derecho dedicado a la graduación de la multa y no la actividad en sí o el sector empresarial al que pertenece el infractor. V Obligación Incumplida Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
46. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
47. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
48. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
49. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
50. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
51. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
52. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Resulta preciso señalar que el artículo 4.1 del RGPD define: “datos personales” como “toda información sobre una persona física identificada o identificable (“el interesado”); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional de Abonado móvil-) pero también puede proporcionar otro tipo de datos como la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/49 información sobre el listado telefónico o el de llamadas y mensajes. Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). Tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. En el presente caso, resulta acreditado que, con fecha 28 de diciembre de 2022, DIGI entregó un duplicado de la tarjeta SIM de la parte reclamante a un tercero no autorizado sin su consentimiento. El duplicado se entregó a un supuesto suplantador tras superar éste los protocolos establecidos para verificar la identidad del solicitante, para lo que el tercero aportó documentos manipulados o falsificados, a saber, el documento de identidad del reclamante. Sin embargo, DIGI no realizó las comprobaciones oportunas para verificar si el solicitante del duplicado era realmente el titular de los datos personales y de los servicios contratados con el operador, según los detalles expuestos en los Fundamentos de Derecho que preceden. El resultado fue que la parte reclamada expidió la tarjeta SIM a un tercero que no era el titular de la línea, por lo que en el caso analizado queda en entredicho la diligencia empleada por parte de la reclamada para verificar la identidad de la persona que solicitó un duplicado de la tarjeta SIM, así como la legitimidad de la solicitud. En definitiva, la emisión de un duplicado de tarjeta SIM implica necesariamente un tratamiento de datos personales, ya que se realiza sobre la línea y la identidad del titular. Dicho tratamiento debe cumplir con una base jurídica que lo legitime, tal como exige el citado artículo 6.1 del RGPD, al igual que cualquier comunicación de datos personales a un tercero, que constituye igualmente un tratamiento de datos y que en este caso se produce con la entrega de la tarjeta a un tercero no autorizado. En este caso, la emisión del duplicado SIM a solicitud de un tercero sin la intervención o consentimiento del titular constituye una falta de base jurídica válida para dicho tratamiento de datos. Por lo tanto, la emisión del duplicado SIM en estas condiciones y su entrega a una persona distinta al