PS-00613-2022

1/16  Expediente N.º: EXP202209359 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A., en nombre y representación de Dña. B.B.B. y D. C.C.C. (en adelante, la parte reclamante) con fecha 27 de julio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Telefónica Móviles España, S.A.U. con NIF A78923125 (en adelante, la parte reclamada o “TME”). Los motivos en que basa la reclamación son los siguientes: La representación de la parte reclamante manifiesta que, en febrero de 2022, esta sufrió un intento de duplicidad fraudulenta de la tarjeta SIM de su línea telefónica, sin éxito. Hechos que la parte reclamante pone en conocimiento de la parte reclamada, recibiendo contestación, el 9 de marzo de 2022, pidiendo disculpas y exponiendo todas las medidas de seguridad que adoptan ante peticiones de duplicidad de las tarjetas SIM. Así las cosas, con fecha 21 de mayo de 2022, la parte reclamante constata que no les funciona bien el teléfono. Se ponen en contacto con la compañía “O2” (“TME”) quienes les informan que se había realizado un duplicado de la tarjeta SIM de dicha línea telefónica ***TELÉFONO.1 y, por tanto, la tarjeta antigua había quedado anulada y sólo funciona la nueva. Deduce que pueden estar sufriendo un “phishing”, o estafa bancaria, mediante el robo o duplicidad de tarjeta SIM. Ese mismo día, al comprobar su cuenta bancaria vinculada a esa línea móvil, observaron que se habían realizado cinco movimientos fraudulentos que en ningún caso autorizaron el día 21 de mayo de 2022: Y, aporta la siguiente documentación relevante: - Documentación que acredita la titularidad de la línea. - Contrato de la cuenta bancaria que sufre los movimientos fraudulentos. - Denuncia formulada ante las dependencias policiales el día 22 de mayo de

1. - Comunicación remitida a la reclamada exponiendo los hechos acaecidos y solicitando las grabaciones de las conversaciones que se hubieran mantenido para efectuar la duplicidad de la tarjeta de manera fraudulenta, así como cualquier información de utilidad para emprender acciones legales contra los terceros suplantadores de la identidad de la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 - Contestación de la reclamada, solicitando la denuncia policial e informando sobre la necesidad de solicitar las grabaciones referidas por vía judicial. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 3 de octubre de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 3 de noviembre de 2022 se recibe en esta Agencia escrito de respuesta manifestando: “En relación a los hechos reclamados, TME informa de que existe una solicitud de cambio de ICC de la tarjeta SIM asociada a la línea ***TELÉFONO.1, titularidad de D. C.C.C. y que según indica en su escrito de reclamación usa su mujer Dª B.B.B., el día 21 de mayo de 2022 a las 18:41 horas a través de nuestro servicio de atención al cliente telefónico 1551, que no se gestiona porque no reunía los requisitos necesarios conforme a la operativa establecida a tales efectos, actuando por tanto nuestro agente de forma correcta. No obstante, lo anterior, dos horas más tarde de esa grabación sí se realiza el cambio de ICC de la tarjeta SIM sin que conste la citada grabación en nuestros sistemas. Por tanto, podemos determinar que, pese a que TME cuenta con una operativa adecuada y conocida por todos nuestros agentes sobre cómo actuar ante una solicitud de cambio de tarjeta SIM, en este caso en concreto se ha podido determinar que en esta segunda ocasión el agente comercial no siguió correctamente dicha operativa, al no figurar en nuestro soporte documental la grabación de solicitud de cambio de SIM. Al día siguiente, y tras contactar con nosotros el propio cliente, desde O2 se procede inmediatamente al bloqueo de la línea hasta que éste acude el día 24 de mayo a una tienda física a por la nueva SIM, en el que se sigue correctamente la operativa establecida a tales efectos”. TERCERO: De conformidad con el artículo 65 de la LOPDGDD, cuando se presentase ante la Agencia Española de Protección de Datos (en adelante, AEPD) una reclamación, ésta deberá evaluar su admisibilidad a trámite, debiendo notificar a la parte reclamante la decisión sobre la admisión o inadmisión a trámite, en el plazo de tres meses desde que la reclamación tuvo entrada en esta Agencia. Si, transcurrido este plazo, no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en el Título VIII de la Ley. Dicha disposición también resulta de aplicación a los procedimientos que la AEPD hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes. En este caso, teniendo en cuenta lo anteriormente expuesto y que la reclamación se presentó en esta Agencia, en fecha 27 de julio de 2022, se comunica que su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 reclamación ha sido admitida a trámite el día 27 de octubre de 2022, al haber transcurrido tres meses desde que la misma tuvo entrada en la AEPD. CUARTO: Con fecha 13 de febrero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito solicitando la concesión de la ampliación del plazo concedido para formular alegaciones. El 13 de marzo de 2023, presentó escrito de alegaciones en el que, en síntesis, manifestaba que solicita a la Agencia que suspenda este procedimiento por prejudicialidad penal. Por otra parte, Indica que, si bien han podido determinar que no se ha seguido el protocolo establecido en lo relativo a la última de las grabaciones, esto en ningún caso supone admitir, presuponer o verificar por parte de la Agencia que el agente comercial no siguió la operativa relativa a la identificación del cliente. Por otro lado, pone de manifiesto que no pueden entender que la Agencia considere que “TME” no cuenta con una diligencia debida a la hora de adoptar una operativa de identificación de clientes adaptada a las exigencias contempladas en la normativa de protección de datos, y que lo vincule a que ello derive en un tratamiento no lícito de los datos personales del reclamante. Señala que “TME” no puede ser considerada responsable de los incumplimientos puntuales y excepcionales de la operativa que se hayan podido llevar a cabo por parte del personal contratado por los encargados del tratamiento que intervienen en este tipo de procesos. “TME” considera que el principio de tipicidad no se está vulnerando dado que la conducta realizada por “TME” no es subsumible en ninguno de los preceptos cuya infracción se imputa, que en este caso concreto el tratamiento de datos personales se realiza con la finalidad de gestionar un duplicado de tarjeta SIM para la correcta prestación de servicio, o lo que es lo mismo, para poder ejecutar el contrato que el reclamante tiene suscrito con “TME”. Por tanto, el tratamiento es en cualquier caso lícito. Que no ha lugar la imputación a “TME” de una infracción del artículo 6.1 del RGPD, ya que el tratamiento de esos datos por parte de “TME” resulta necesario para gestionar la relación contractual con el reclamante y, por lo tanto, Telefónica contaba con base legitimadora suficiente, no resultando por tanto la acción típica, debiendo procederse al archivo del presente expediente sancionador. Asimismo, manifiesta que el tratamiento de datos ilícito lo estaría realizando el tercero defraudador, quien no cuenta con base legitimadora suficiente para el tratamiento de los datos del reclamante, y no “TME”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 Señala que las medidas técnicas y organizativas implantadas son el resultado de un minucioso y continuado proceso de estudio que abarca múltiples disciplinas y áreas del conocimiento (asesoría jurídica, seguridad, prevención del fraude). Por otra parte, exponen: <<que Telefónica cuenta con unas medidas de seguridad apropiadas y que garantizan un nivel de seguridad que es adecuado al riesgo (en particular, para impedir el acceso o uso no autorizado de los datos personales de los clientes), sin desatender en ningún momento sus obligaciones como prestador de un servicio de comunicaciones electrónicas. Todo lo anterior no hace más que evidenciar que la conducta seguida por Telefónica en ningún caso puede ser considerada típica, dado que la conducta realizada por Telefónica no es subsumible en el precepto cuya infracción se imputa. Pero es que además, tampoco puede ser considerada antijurídica. Telefónica considera que ha actuado en todo momento con buena fe y fundada creencia excluyente de toda culpabilidad. Sin perjuicio de las alegaciones precedentes, sobre ausencia de tipicidad, antijuridicidad y culpabilidad, y por si la Agencia no acordase el archivo del presente expediente sancionador, de forma subsidiaria, esta parte quiere manifestar su disconformidad con el Acuerdo, cuando dispone como circunstancia para agravar la sanción la siguiente: “La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD)”. En cuanto a esta agravante planteada por la Agencia, tal y como se ha expuesto en el presente escrito, esta parte considera que no se ha producido por parte de Telefónica un tratamiento ilegítimo de los datos del reclamante, toda vez que su tratamiento se encuentra legitimado por el artículo 6.1 del RGPD, siento éste necesario para la ejecución de un contrato en el que el interesado es parte. Por tanto, en la medida en que esta parte no considera que se haya producido un tratamiento ilegítimo de los datos del reclamante, no podemos considerar así mismo que concurra la agravante planteada por la Agencia en el Acuerdo. De otro lado, interesa poner de relieve la atenuante apreciada por la Agencia, cuando indica que: “Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (art. 83.2 c)”, tal como fue señalado en las alegaciones presentadas al expediente informativo del que trae causa el presente sancionador. En este sentido, debemos recordar que los hechos que han dado lugar a la situación denunciada por el Reclamante son el engaño, la manipulación y el uso ilícito de los datos de la llevado a cabo por el suplantador. En ningún caso, se puede hablar de negligencia y mucho menos de intencionalidad en las acciones llevadas a cabo por Telefónica. Por todo lo expuesto, llegado el caso en el que la Agencia decida mantener, pese a los argumentos esgrimidos por esta parte, la sanción, estas atenuantes deberán ser tenidas en cuenta para la disminución del importe de esta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 En este sentido, interesa poner de relieve que, la actuación de la Agencia ante un expediente referido a hechos sustancialmente iguales a los que son objeto de reclamación que nos ocupa, ha sido contradictoria, pues así nos lo hizo saber la propia Agencia en el expediente con referencia N.º EXP202104446 de fecha 26 de enero de 2022, en el que se procedió al archivo del mismo al entender que ya había un expediente sancionador en curso por los mismos hechos, cuyo literal fue el siguiente: “Sobre este particular, procede resaltar que hechos similares a los que son objeto de reclamación han sido investigados por esta Agencia y sancionados en el procedimiento sancionador PS/00021/2021, tramitado contra la parte reclamada, por resolución de fecha 8/11/2021, por lo que no procede el inicio de un nuevo procedimiento sancionador”. En consecuencia, la discrepancia de la actuación administrativa entre un expediente y otro supondría la clara vulneración de la doctrina de los actos propios creando una palpable inseguridad jurídica y, por consiguiente, supondría la concurrencia de la causa de anulabilidad del Acuerdo prevista en el artículo 48.1 de la Ley 39/2015 de 1 de octubre, del procedimiento Administrativo Común de las Administraciones Públicas (en adelante, la “Ley 39/2015”). A este respecto, cabe recordar que Telefónica ya ha sido sancionada por los mismos hechos que hoy se desarrollan en este procedimiento, la Agencia impuso la sanción a través del procedimiento con referencia PS/00021/2021, y tal y como conoce la Agencia, actualmente, se ha interpuesto el correspondiente recurso ante los Tribunales de Justicia. Lo anterior nos lleva a considerar que el iniciar un nuevo procedimiento sancionador, de forma sucesiva, sin que haya un pronunciamiento por parte de los Tribunales de Justicia, y sobre los mismos hechos, incumple el principio non bis in idem. Por todo lo expuesto, SOLICITO A LA AGENCIA, que, teniendo por presentando en tiempo y forma, el presente Escrito de Alegaciones, se sirva admitirlo, y previos los trámites oportunos, en su virtud: i. Se declare la inexistencia de responsabilidad por parte de Telefónica por las presuntas infracciones que se le imputan en este procedimiento, ordenando el archivo del presente expediente sancionador. ii. Subsidiariamente y para el caso de que no se proceda al archivo del presente expediente sancionador, se suspenda el presente procedimiento y se requiera al reclamante a fin de que aporte en qué punto está la denuncia interpuesta, así como el contenido del procedimiento penal que en su caso se encuentre en marcha, con el fin de determinar si existe prejudicialidad penal. iii. Por último, en caso de que no se estimasen ninguna de las pretensiones anteriores, que se minore la sanción inicialmente propuesta en virtud del art. 83 del RGPD>>. SEXTO: Con fecha 14 de marzo de 2023, el instructor del procedimiento acordó practicar las siguientes pruebas: <<1.Se dan por reproducidos a efectos probatorios la reclamación interpuesta por D. A.A.A., en nombre y representación de Dña. B.B.B. y D. C.C.C. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación. 2.Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por TELEFÓNICA MÓVILES ESPAÑA, S.A.U., y la documentación que a ellas acompaña>>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 SÉPTIMO: Notificada la propuesta de resolución, la parte reclamada solicitó ampliación de plazo para formular alegaciones que le fue concedido, y presentó escrito de alegaciones el 17 de mayo de 2023 en el que, en síntesis, se ratifica en las realizadas en el Acuerdo de inicio, solicitando se suspenda el presente procedimiento y se requiera al reclamante a fin de que aporte en qué punto está la denuncia interpuesta, así como el contenido del procedimiento penal que en su caso se encuentre en marcha, con el fin de determinar si existe prejudicialidad penal, proponga declaración de inexistencia de responsabilidad por parte de la reclamada por presunta infracción que se le imputa en el presente procedimiento, y se dicte en su día Resolución ordenando el archivo del presente expediente sancionador, y subsidiariamente, minore la sanción inicialmente propuesta. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1º. La parte reclamante formuló reclamación ante esta Agencia el 27 de julio de 2022 en la que se hace constar que, en febrero de 2022, esta sufrió un intento de duplicidad fraudulenta de la tarjeta SIM de su línea telefónica, sin éxito. Hechos que la parte reclamante pone en conocimiento de la parte reclamada, recibiendo contestación, el 9 de marzo de 2022, pidiendo disculpas y exponiendo todas las medidas de seguridad que adoptan ante peticiones de duplicidad de las tarjetas SIM. 2º. Consta que con fecha 21 de mayo de 2022, la parte reclamante constata que no les funciona bien el teléfono. Se ponen en contacto con la compañía “O2” (“TME”) quienes les informan que se había realizado un duplicado de la tarjeta SIM de dicha línea telefónica ***TELÉFONO.1, y por tanto, la tarjeta antigua había quedado anulada, y sólo funciona la nueva. Ese mismo día, al comprobar su cuenta bancaria vinculada a esa línea móvil, observaron que se habían realizado cinco movimientos fraudulentos que en ningún caso autorizaron el día 21 de mayo de
2. 3º. “TME” manifiesta en su escrito, con fecha 3 de noviembre de 2022, que existe una solicitud de cambio de ICC de la tarjeta SIM asociada a la línea ***TELÉFONO.1, titularidad de D. C.C.C., el día 21 de mayo de 2022 a las 18:41 horas a través de su servicio de atención al cliente telefónico 1551, que no se gestionó porque no reunía los requisitos necesarios conforme a la operativa establecida a tales efectos. No obstante, lo anterior, dos horas más tarde de esa grabación sí se realiza el cambio de ICC de la tarjeta SIM sin que conste la citada grabación en sus sistemas. 4º. “TME” manifiesta en su escrito, con fecha 3 de noviembre de 2022, que en la segunda ocasión el agente comercial no siguió correctamente dicha operativa, al no figurar en su soporte documental la grabación de solicitud de cambio de SIM. 5º. Con fecha 22 de mayo de 2022, desde O2 (“TME”) se procede inmediatamente al bloqueo de la línea hasta que el reclamante acude el día 24 de mayo a una tienda física a por la nueva SIM, en el que se sigue correctamente la operativa establecida a tales efectos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Prejudicialidad penal Con carácter previo procede resolver la alegación presentada por “TME”, en base a la existencia de una prejudicialidad penal. Se manifiesta sobre estos hechos que están siendo actualmente objeto de una investigación penal. Considera que, por ello, en aplicación del principio de prejudicialidad penal recogido en el artículo 10 de la Ley Orgánica del Poder Judicial, no debe resolverse el asunto en vía administrativa en tanto en cuanto no se resuelva por la vía penal. Ello, manifiesta, dado que los hechos declarados probados vincularán a la Agencia respecto a un posible procedimiento sancionador, conforme a lo previsto en el artículo 77.4 de la Ley 39/
3. Debe tenerse en cuenta que el art. 77.4 de la LPACAP, señala que: “En los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien”. Sin embargo, hay que indicar, que no existe la triple identidad necesaria para aplicar el artículo 77 de la LPACAP, (de sujeto, hecho y fundamento), entre la infracción administrativa que se valora y la posible infracción o infracciones penales que se pudieran derivar de las presuntas Diligencias Previas practicadas por un órgano jurisdiccional. Esto, porque el sujeto infractor es obvio que no sería el mismo –respecto a las infracciones de la LOPDGDD el responsable es Telefónica, en tanto que el responsable penal de un eventual delito de usurpación de personalidad o estafa sería el tercero que se hubiera hecho pasar por el reclamante. Tampoco el fundamento jurídico sería el mismo: mientras el bien jurídico protegido por la LOPDGDD es el derecho fundamental a la protección de datos personales, el bien jurídico que se protege en los tipos penales cuya comisión investigaría, llegado el caso, el Juzgado de Instrucción serían el estado civil, el patrimonio, etc. En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 27/04/2012 (rec. 78/2010), en cuyo Fundamento Jurídico segundo el Tribunal se pronuncia en los siguiente términos frente al alegato de la recurrente de que la AEPD ha infringido el artículo 7 del R.D. 1398/1993 (norma que estuvo vigente hasta la entrada en vigor de la LPACAP): “En este sentido el Art. 7 del Real Decreto 1398/1993, de 4 de agosto, del procedimiento para el ejercicio de la potestad sancionadora, únicamente prevé la suspensión del procedimiento administrativo cuando se verifique la existencia efectiva y real de un procedimiento penal, si se estima que concurre identidad de sujeto, hecho y fundamento de derecho entre la infracción administrativa y la infracción penal que pudiera corresponder. No obstante, y para la concurrencia de una prejudicialidad penal, se requiere que ésta condicione directamente la decisión que haya de tomarse o que sea imprescindible para resolver, presupuestos que no concurren en el caso examinado, en el que existe una separación entre los hechos por los que se sanciona en la resolución ahora recurrida y los que la recurrente invoca como posibles ilícitos penales. Así, y aun de haberse iniciado, en el presente supuesto, y por los hechos ahora controvertidos, también actuaciones penales frente a la empresa distribuidora, lo cierto es que tanto la conducta sancionadora como el bien jurídico protegido son distintos en una y otra vía (contencioso-administrativa y penal). En el ámbito penal, el bien jurídico protegido es una posible falsedad documental y estafa, y en el ámbito administrativo, en cambio, la facultad de disposición de sus datos personales por parte de su titular, por lo que tal objeción de la demandada ha de ser rechazada”. En consideración a lo expuesto no puede prosperar la cuestión planteada por Telefónica y debe ser rechazada. III Obligación Incumplida Con carácter previo resulta preciso señalar que el artículo 4.1 del RGPD define: «datos personales» como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” La emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C 101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “
4. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. A su vez, el artículo 6.1 de la LOPDGDD, indica, sobre el tratamiento de los datos personales basado en el consentimiento del afectado que: “
5. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen (…)”. IV Tipificación de la infracción del artículo 6 del RGPD La infracción del artículo 6 de la que se responsabiliza a la parte reclamada en la presente resolución se encuentra tipificada en el artículo 83 del RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”. “
6. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”. En el presente caso, resulta acreditado que “TME” facilitó un duplicado de la tarjeta SIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero, el cual, ha accedido a la información contenida en el teléfono móvil, tales como datos bancarios, contraseñas, dirección de correo electrónico y otros datos personales asociados al terminal. Así pues, la reclamada, no verificó la personalidad del que solicitó el duplicado de la tarjeta SIM, no tomó las cautelas necesarias para que estos hechos no se produjeran. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. En su respuesta de fecha 3 de noviembre de 2022, la parte reclamada reconoce que se produjo el duplicado fraudulento, manifestando que el día 21 de mayo de 2022 a las 18:41 horas hubo un primer intento de solicitud de cambio tarjeta SIM, que no se tramitó porque no reunía los requisitos necesarios conforme a la operativa establecida por “TME”. Ahora bien, dos horas más tarde sí se realizó el cambio de ICC de la tarjeta SIM sin que conste la citada grabación en los sistemas de “TME”, y según reconoce “en este caso en concreto se ha podido determinar que en esta segunda ocasión el agente comercial no siguió correctamente dicha operativa, al no figurar en nuestro soporte documental la grabación de solicitud de cambio de SIM”. En todo caso, la operadora reconoce que no se siguió el procedimiento implantado por ella misma, ya que, de haberlo hecho, se debió haber producido la denegación del duplicado de la tarjeta SIM. A la vista de lo anterior, la parte reclamada no logra acreditar que se haya seguido ese procedimiento. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. Telefónica cita en su descargo una serie de resoluciones dictadas por la AEPD, manifestando que el EXP20210446 se procedió al archivo del mismo al entender que ya había un expediente sancionador en curso por los mismos hechos y que Telefónica ya ha sido sancionada por los mismos hechos que hoy se desarrollan en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 procedimiento, la Agencia impuso la sanción a través del procedimiento con referencia PS/00021/2021y por lo tanto incumple principio non bis ídem. Sobre este particular, amén de que los hechos consignados en la reclamación no son los mismos, procede resaltar que dichos procedimientos tuvieron por objeto analizar los procedimientos seguidos para gestionar las solicitudes de cambio de SIM por parte de Telefónica, identificando las vulnerabilidades que puedan existir en los procedimientos operativos implantados, para detectar las causas por las cuales se pueden estar produciendo estos casos, así como encontrar puntos de incumplimiento, mejora o ajuste, para determinar responsabilidades, disminuir los riesgos y elevar la seguridad en el tratamiento de los datos personales de las personas afectadas. En el procedimiento sancionador PS/00021/2021, tramitado contra la parte reclamada se le sancionó por la infracción del artículo 5.1.f) del RGPD no por el tratamiento de datos sin legitimación sino por no garantizar el principio de confidencialidad. En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual. Estas circunstancias han sido tenidas en cuenta a la hora de fijar la sanción. En el presente procedimiento sancionador, la sanción se impone debido a que “TME” facilitó un duplicado de la tarjeta SIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero, y por este motivo se imputa el artículo 6.1 del RGPD. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que se implantan y mantienen medidas de seguridad apropiadas para proteger eficazmente la confidencialidad, integridad y disponibilidad de todos los datos personales de los cuales son responsables, o de aquellos que tengan por encargo de otro responsable. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de Telefónica se considera que responde al título de culpa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir, desde la óptica de la culpabilidad, estamos ante un error vencible, ya que, con la aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones de identidad se hubieran podido evitar. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. De conformidad con las evidencias de las que se dispone, se estima que la conducta de la parte reclamada vulnera el artículo 6.1 del RGPD siendo constitutiva de la infracción tipificada en el artículo 83.5.a) del citado Reglamento 2016/
7. En ese sentido el Considerando 40 del RGPD señala: “