PS-00504-2022

1/17  Expediente N.º: EXP202203635 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 25 de febrero de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra DIGI SPAIN TELECOM, S.L. con NIF B84919760 (en adelante, la parte reclamada o DIGI). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, el día 22 de septiembre de 2021, un tercero llamó a la entidad reclamada y suplantando su identidad, solicitó un duplicado de su tarjeta SIM, duplicado que le fue facilitado sin solicitarle la aportación física del DNI para comprobar su identidad y dicho tercero valiéndose de la información contenida en su móvil (App bancaria), accedió a su cuenta bancaria realizando una transferencia no autorizada, con el consiguiente perjuicio económico. Tras lo sucedido, ha presentado reclamación ante la entidad reclamada, sin éxito. Asimismo, manifiesta que, para recuperar la línea telefónica, ha tenido que solicitar una nueva tarjeta SIM y que, en la tienda física a la que acudió, no le requirieron el DNI físico a la hora de la entrega. Y, aporta la siguiente documentación relevante: - Certificado bancario en el que se reflejan los movimientos no autorizados. - Denuncia ante la Policía Nacional Madrid-Arganzuela, del 23 de septiembre de 2021. - SMS y correo electrónico de DIGI, de fecha 28 de septiembre de 2021, en el que figura punto de venta donde se activó el duplicado de la tarjeta SIM de la línea ***TELÉFONO.1, nombre del distribuidor, dirección y fecha 22 de septiembre de 2021 a las 17:29 horas. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 4 de abril de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 4 de mayo de 2022 se recibe en esta Agencia escrito de respuesta indicando: “que de las comprobaciones que han sido efectuadas por DIGI, se ha podido determinar que la causa que ha motivado la presente reclamación es la emisión irregular de un duplicado de tarjeta SIM, tras haberse usurpado la identidad del reclamante por parte de un individuo que previamente pudo haber tenido acceso a su información personal y era conocedor de la misma. Por este motivo, tan pronto el reclamante informa de tales hechos, DIGI procedió a la adopción de las siguientes medidas encaminadas a solventar la situación y minimizar cualquier posible riesgo que se pudiese originar:

1. a)Rectificación inmediata del elemento causante de la incidencia: emitiendo un nuevo duplicado y procediendo a la desactivación del anterior. Conviene señalar a estos efectos que la línea de móvil estuvo activada en la SIM presuntamente fraudulenta desde las 17:29 h. hasta las 20:43 h. del mismo día, cuando se procede a suspender el servicio móvil de la línea activada de forma irregular. Conviene señalar igualmente que DIGI procedió a reestablecer cualquier perjuicio que pudiese haber sido ocasionado al reclamante, procediendo consecuentemente a la devolución de los importes facturados por el consumo realizado mientras la línea de móvil estuvo activada presuntamente de forma irregular. Como medida establecida para reforzar la seguridad del proceso, se dejó constancia en los sistemas de esta compañía de que el titular había sido víctima de una suplantación de identidad y se había podido emitir un duplicado de SIM sin su consentimiento. DIGI procedió de forma interna a la investigación de los hechos acaecidos a efectos de detectar el origen del incidente. se procedió a la imposición de medidas respecto al Distribuidor implicado por un posible incumplimiento por parte de este de las políticas establecidas por esta compañía para la identificación de clientes. Por este motivo, en fechas 27/09/2021, DIGI contactó con el Distribuidor para esclarecer los hechos acontecidos, así como para recordar y reiterar la importancia de cumplir con los procedimientos establecidos.
2. d)Adicionalmente, DIGI ha estimado los hechos reclamados por el reclamante, facilitándole a estos efectos la información necesaria en relación con la emisión del duplicado de tarjeta SIM no reconocido. En primer lugar, interesa a DIGI señalar que la contratación irregular en los servicios de telecomunicaciones mediante suplantación de identidad es una problemática actual que afecta tanto a los clientes de forma directa, como a los propios operadores de telecomunicaciones, en quienes recaen las obligaciones impuestas por la regulación sectorial de telecomunicaciones sobre conservación de datos como la normativa aplicable sobre protección de datos de carácter personal, además de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 consecuencias colaterales que ello puede generar, como es la posible pérdida de clientes. Así pues, en el último año DIGI ha cambiado y reforzado sus procesos internos para la emisión de duplicados de tarjeta SIM en varias ocasiones, atendiendo a su eficacia y a los riesgos detectados, siempre con el objetivo de mitigar la contingencia existente con la solicitud de duplicados de tarjeta SIM realizados bajo suplantación de identidad. En este sentido, interesa a DIGI poner de manifiesto que, con motivo de los posibles riesgos colaterales que la emisión del duplicado de tarjeta SIM puede implicar para sus clientes, en fecha 07/02/2022, se procedió a establecer e implantar un nuevo procedimiento y medidas necesarias de seguridad. Teniendo en cuenta lo expuesto anteriormente, se puede evidenciar que DIGI contaba con medidas técnicas y organizativas suficientes para la verificación de la identidad de los clientes ante una solicitud de duplicado SIM, de cara a evitar posibles incidencias como la que ha originado la presente reclamación, de forma que razonablemente podían calificarse de idóneos y suficientes, no habiéndose detectado de forma fehaciente un fallo en dichas medidas, sino que el supuesto resultado pernicioso se ha producido como consecuencia de una pérdida de confidencialidad de los datos personales del reclamante con anterioridad y por causas totalmente ajenas a DIGI. Adicionalmente, en relación con el caso que nos ocupa, DIGI ha podido confirmar que una vez se tuvo constancia de la emisión del duplicado de la tarjeta SIM no autorizado por el reclamante, se pusieron en marcha todas las acciones necesarias para reestablecer la irregularidad detectada, así como para frenar posibles emisiones de duplicados de tarjeta SIM no autorizados. En cualquier caso, y sin perjuicio de lo expuesto, DIGI lamenta los hechos acontecidos, y confía en que, la aplicación del nuevo procedimiento de obtención de duplicado SIM se consiga el resultado de evitar las ya mencionadas suplantaciones de identidad fraudulentas, evitando los perjuicios colaterales que con ello se puedan producir y reduciendo exponencialmente el impacto potencial que puedan tener sobre los derechos y libertades de los interesados”. TERCERO: Con fecha 12 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 QUINTO: Con fecha 14 de diciembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Con fecha 27 de diciembre de 2023, DIGI solicita la ampliación del plazo legal conferido para contestar dicho requerimiento y copia del expediente. SEPTIMO: Con fecha 18 de enero de 2023, se recibe en esta Agencia, en tiempo y forma, escrito del representante de DIGI en el que en síntesis, se aduce que se reiteran en las alegaciones previamente presentadas, señalando primeramente de manera cronológica como ocurrieron los hechos, indicando el protocolo de seguridad y las medidas adoptadas por estos hechos, manifestando que DIGI no ha puesto a disposición de los presuntos delincuentes información personal de la reclamante distinta de la que ya tenían aquellos con anterioridad, tras haberlos obtenido a través del correo electrónico. En consecuencia, señalan, que no resulta posible asociar a DIGI la realización de un tratamiento no legitimado de datos personales, dado que su actuación se reduce al cumplimiento de sus procesos y obligaciones. Es decir, durante el proceso de solicitud y entrega del duplicado se produce un tratamiento de los datos personales que se facilitan a DIGI con el objeto de que este verifique la identidad del interlocutor, primero por medios telefónicos y posteriormente de forma presencial. Además, DIGI manifiesta que queda acreditado que la suplantación de identidad y el acceso a los datos de la parte reclamante de forma ilegitima se produce mediante una llamada telefónica al servicio de atención al cliente, de forma previa a tener contacto con DIGI, el supuesto suplantador tenía en su poder los datos personales del reclamante, incluyendo su cuenta bancaria (lo que le permitió, así mismo, acceder a ella). Por otra parte, señala que la AEPD impone inequívocamente a DIGI una responsabilidad objetiva, en la cual, independientemente de la diligencia y medidas desplegadas, se declara la culpabilidad de la entidad. La AEPD parece confundir el concepto de responsabilidad proactiva con la obligación de resultado que impone la responsabilidad objetiva. En el presente supuesto, se evidencia la existencia de un estricto control, previo y posterior a la solicitud del duplicado, el establecimiento de medidas previas y a posteriori, así como la existencia de medidas encaminadas a evitar de forma previa estas prácticas. Es por ello que la parte reclamada considera que el presente Acuerdo de inicio no es ajustado a derecho, pues impone a DIGI una obligación de resultado, basándose únicamente en el resultado lesivo que se produce por la actividad fraudulenta de un tercero, sin atender a la diligencia utilizada y sin considerar el despliegue de medidas técnicamente adecuadas e implantadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 Además, señala que concurren en el presente las siguientes circunstancias atenuantes que no han sido consideradas en la adecuada graduación de la sanción: La inexistencia de infracciones previas cometidas por DIGI (art. 83.2
3. e)RGPD). En ningún momento se han tratado categorías especiales de datos (Art. 83.2
4. g)RGPD) El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos (art. 83.2
5. f)RGPD). El inexistente beneficio obtenido (Art. 83.2 k). Solicita que se dicte resolución por medio de la cual señale el archivo del procedimiento. Subsidiariamente apercibimiento y, en última instancia, se modere o module la propuesta recogida en el Acuerdo de Inicio OCTAVO: Con fecha 19 de enero de 2023, el instructor del procedimiento acordó practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por DIGI SPAIN TELECOM, S.L., y la documentación que a ellas acompaña. NOVENO: Con fecha 14 de febrero de 2023 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a DIGI SPAIN TELECOM, S.L., con NIF B84919760, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5
6. a)del RGPD, la sanción que correspondería sería una multa por un importe de 70.000 euros (setenta mil euros). DÉCIMO: Notificada la propuesta de resolución, la parte reclamada solicitó ampliación de plazo para formular alegaciones que le fue concedido, presentó escrito de alegaciones el 13 de marzo de 2023 en el que, en síntesis, se aduce que se reitera en las alegaciones previamente presentadas, y que en el informe emitido por la Agencia de Ciberseguridad de la Unión Europea ratifica que, para realizar un duplicado fraudulento de SIM, el estafador necesita tener acceso a algunos de los datos personales de la víctima, cliente del operador. Es decir, que los ciberdelincuentes, cuentan con datos personales de sus víctimas con carácter previo a acudir ante el Operador de Red Móvil. Señala, que esto es lo que ocurrió en el presente supuesto, la víctima perdió el control sobre sus datos personales en favor del suplantador de forma previa a que éste contactase con DIGI. Es decir, es a través del ataque de “phishing” donde la víctima pierde el control sobre sus datos de carácter personal, y es este hecho el que desencadena y posibilita la comisión del fraude. Asimismo, manifiesta que ha de tenerse en cuenta que DIGI no participa del proceso de identificación de un usuario ante su banco, sino que éste quien determina el modo en que quiere llevar a cabo esta comprobación, por lo que no cabe trasladar la responsabilidad ante las operadoras de telefonía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 Igualmente, indican que es por ello que la parte reclamada considera que la Propuesta no es ajustada a derecho, pues impone a DIGI una obligación de resultado, consistente en el establecimiento de medidas infalibles, al imputar una infracción del artículo 6.1 del RGPD basándose únicamente en el resultado lesivo que se produce por la intervención fraudulenta de un tercero, sin atender a la diligencia utilizada y sin considerar el despliegue de medidas técnicamente adecuadas e implantadas. DIGI no puede prever ni saber cuál es el deber de diligencia aplicable. Sobre la falta de proporcionalidad de la sanción propuesta y que previos los trámites oportunos se dicte resolución por medio de la cuál señale el archivo del procedimiento nº EXP202203635. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. - El reclamante formuló reclamación ante esta Agencia en fecha 25 de febrero de 2022, en la que se hace constar que la parte reclamada facilitó el día 22 de septiembre de 2021 a un tercero un duplicado de su tarjeta SIM sin solicitar el DNI para comprobar la identidad del solicitante in situ, lo que le ocasionó un grave perjuicio económico, ya que se realizaron transferencias desde su cuenta bancaria. SEGUNDO. - DIGI acredita que, con fecha 22 de septiembre de 2021, un tercero contacta con el servicio de atención al cliente, se identifica como el titular de la línea y solicita la emisión de un duplicado de tarjeta SIM, proceden a emitir un código de solicitud de duplicado de tarjeta SIM, ese mismo día la persona solicitante se presenta en un punto de distribución de DIGI. Allí proceden a expedir la tarjeta SIM a dicho tercero que no era el titular de la línea. TERCERO. - La línea estuvo activada de forma irregular desde las 17:29 horas hasta las 20:43 horas del mismo día 22 de septiembre de 2021, momento en el que el agente de DIGI procede a la suspensión del servicio. CUARTO. - DIGI procedió a la imposición de medidas respecto al punto de distribución implicado. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Obligación Incumplida Se imputa a la parte reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
9. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
10. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
12. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
13. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. III Tipificación y calificación de la infracción La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
14. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “
15. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”. En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: En cuanto a que DIGI no ha puesto a disposición de los presuntos delincuentes información personal de la parte reclamante distinta de la que ya tenían aquellos con anterioridad. En consecuencia, no se ha producido un tratamiento no legitimado de datos personales. Efectivamente, la emisión de duplicado no es suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad financiera. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que el tratamiento de datos sea conforme al RGPD. Idénticas consideraciones merece la actuación de las entidades bancarias que proporcionan servicios de pago, en cuyo ámbito se inicia este tipo de estafas, ya que el tercero tiene acceso a las credenciales del usuario afectado y se hace pasar por este. En tanto que estas entidades son responsables del tratamiento de los datos de sus clientes, les competen idénticas obligaciones que las señaladas hasta ahora para las operadoras referidas al cumplimiento del RGPD y la LOPDGDD, y además las derivadas del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera. Cabe colegir que DIGI ha facilitado un duplicado de tarjeta SIM a un tercero distinto del legitimo titular de la línea móvil, tras la superación por tercera persona de la política de seguridad existente, lo que evidencia un incumplimiento del deber de proteger la información de los clientes. Negar la concurrencia de una actuación negligente por parte de DIGI equivaldría a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 reconocer que su conducta -por acción u omisión- ha sido diligente. Obviamente, no compartimos esta perspectiva de los hechos, puesto que ha quedado acreditada la falta de diligencia debida. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". Resulta acreditado en el expediente que no se ha garantizado una seguridad adecuada en el tratamiento de los datos personales, habida cuenta del resultado que ha producido la suplantación de identidad. Es decir, un tercero ha conseguido acceder a los datos personales del titular de la línea. En cuanto a que los delincuentes no han conseguido obtener datos personales de DIGI, por lo que no puede hablarse de incumplimiento de medidas de protección, señalar que el acceso al duplicado de una tarjeta SIM que hace identificable a su titular, responde a la definición de dato personal del artículo 4.1) del RGPD. En cuanto a la responsabilidad de DIGI, debe indicarse que, con carácter general DIGI trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
16. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
17. e)y
18. f)del RGPD. Por otra parte, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos, para recibir el duplicado de la tarjeta SIM. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. Recordemos que, con carácter general las operadoras tratan los datos de sus clientes al amparo de lo previsto en el artículo 6.1
19. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte (…). En este sentido, DIGI cuenta con una red de comerciales, puntos de venta y distribuidores homologados a través de un contrato de distribución para ofrecer los servicios de DIGI. Entre estos servicios ofrecidos desde sus puntos de venta, está la realización de duplicados de tarjetas SIM correspondientes a una línea de telefonía móvil. En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual. En cuanto a la imposición de una advertencia, apercibimiento, o la adopción de medidas correctivas conforme al artículo 58 del RGPD, una multa disuasoria es aquella que tiene un efecto disuasorio genuino. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice: “ 94.Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor disuasorio se valora tomando en consideración una multitud de elementos y no sólo la situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio puede tener por objeto no sólo una «disuasión general», definida como una acción para desincentivar a todas las empresas, en general, de que cometan la infracción de que se trate, sino también una «disuasión específica», consistente en disuadir al demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no estaba obligada a limitar su valoración a los factores relacionados únicamente con la situación particular de la empresa en cuestión.” “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).” Hemos de atender a las circunstancia singular de la reclamación presentada, a través de la cual puede constatarse que, desde el momento en el que la persona suplantadora realiza la sustitución de la SIM, el teléfono de la víctima se queda sin servicio pasando el control de la línea a las personas suplantadoras. En consecuencia, ven afectados sus poderes de disposición y control sobre sus datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos según ha señalado el Tribunal Constitucional en la Sentencia 292/2000, de 30 de noviembre de 2000 (FJ 7). De manera que, al conseguir un duplicado de la tarjeta SIM, se posibilita bajo determinadas circunstancias, el acceso a los contactos o a las aplicaciones y servicios que tengan como procedimiento de recuperación de clave el envío de un SMS con un código para poder modificar las contraseñas. En definitiva, podrán suplantar la identidad de los afectados, pudiendo acceder y controlar, por ejemplo: las cuentas de correo electrónico; cuentas bancarias; aplicaciones como WhatsApp; redes sociales, como Facebook o Twitter, y un largo etc. En resumidas cuentas, una vez modificada la clave de acceso por parte de los suplantadores pierden el control de sus cuentas, aplicaciones y servicios, lo que supone una gran amenaza. En definitiva, es el responsable del tratamiento el que tiene la obligación de integrar las garantías necesarias en el tratamiento, con la finalidad de, en virtud del principio de responsabilidad proactiva, cumplir y ser capaz de demostrar el cumplimiento, al mismo tiempo que respeta el derecho fundamental a la protección de datos. En el presente caso, resulta acreditado que el día 22 de septiembre de 2021 DIGI tramitó la emisión de un duplicado de la tarjeta SIM de la línea ***TELÉFONO.1, perteneciente a la parte reclamante. Pues bien, el resultado fue que la reclamada expidió la tarjeta SIM a un solicitante que no era el titular de la línea. Hay que señalar, que en el establecimiento en que se expidió el duplicado de la tarjeta SIM debió haberse comprobado el original del documento identificativo, siendo así que, de haberse efectuado correctamente esta operación, el duplicado debió haber sido denegado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 En la explicación aportada por la parte reclamada, que manifiesta en sus alegaciones de fecha 18 de enero de 2023: (…), no se apunta a cuál pudo haber sido la causa concreta que desembocó en la emisión del duplicado, más allá de unas explicaciones genéricas sobre incumplimiento por parte de los colaboradores de DIGI MOBIL en el Punto de Venta, manifestando que procedió a la imposición de medidas respecto al punto de distribución implicado. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. De conformidad con las evidencias de las que se dispone en este momento procesal y sin perjuicio de lo que resulte de la instrucción del procedimiento, se estima que la conducta de la parte reclamada podría vulnerar el artículo 6.1 del RGPD pudiendo ser constitutiva de la infracción tipificada en el artículo 83.5.
20. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: “