REPOSICION-AI-00147-2023

1/3  Expediente nº.: EXP202302933 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por Doña A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, de fecha 11 de agosto de 2023, y en base a los siguientes: HECHOS PRIMERO: Con fecha 11 de agosto de 2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202302933, procediéndose al archivo de las actuaciones previas de investigación. Dicha resolución fue notificada al representante legal de la parte recurrente en fecha 16 de agosto de 2023, según consta en el certificado que figura en el expediente. SEGUNDO: La parte recurrente ha presentado en fecha 18 de septiembre de 2023, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo básicamente en lo siguiente: “Se motiva la decisión de archivar la reclamación presentada, porque considera que la entidad reclamada DIGI ha acompañado las medidas de seguridad que tiene implantadas para evitar la suplantación o fraude en las solicitudes de duplicado de tarjetas SIM y que fueron cumplidas en el caso objeto de reclamación: se identificó de forma completa al solicitante por teléfono y se aportó el DNI en la tienda presencial. Esta representación procesal interpreta que la resolución recurrida vulnera el principio de integridad y confidencialidad en el tratamiento de los datos de Dª A.A.A., por insuficiencia de medidas de seguridad, e incumplimiento de su obligación de informar a la misma sobre la posible brecha de seguridad. La indicada afirmación se asienta sobre la base de que el día 4 de septiembre de 2021, la Sra. A.A.A. cumpliese con la segunda medida que dice que se cumplió, acudir a una tienda de DIGI con el DNI físico y que el personal lo atendiese, cuando DIGI no informó de este duplicado hasta el 14 de diciembre de 2021, como se evidencia del documento nº1 que se aporta. DIGI falta a la verdad cuando afirma que se cumplió con esa medida de seguridad. Seguramente se procedió a clonar la tarjeta SIM sin solicitar ningún documento nacional de identidad a la persona que acudió El proceso penal se encuentra archivado de forma provisional, y recurrido, mientras se terminan las diligencias de investigación a practicar por Policía Nacional.” FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/3 Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, cabe señalar lo siguiente: La resolución ahora recurrida se concretaba en que la tarjeta del teléfono de la ahora recurrente fue clonada por parte de la mercantil DIGI SPAIN TELECOM, S.L.U. ("DIGI"), ya que el 4 de septiembre de 2021, sin ninguna medida de seguridad tendente a identificar fehacientemente a la persona que lo solicitó, una tercera persona, suplantó su identidad. La entidad reclamada enumeró las medidas de seguridad que tenía implantadas para evitar la suplantación o fraude en las solicitudes de duplicado de tarjetas SIM: se identificó de forma completa al solicitante por teléfono y se aportó el DNI en la tienda de forma presencial. III Conclusión Con la documentación aportada por el recurrente se pone de manifiesto la necesidad de que esta Agencia disponga de mayores elementos de juicio para pronunciarse sobre la regularidad de la actuación del reclamado, en concreto sobre el cumplimiento de las medidas de seguridad relativas a la presentación del DNI por parte de la reclamante en la tienda física y el conocimiento de los hechos denunciados en la vía penal; por lo que se estima el recurso para continuar las actuaciones. IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/3 Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el art. 24.3 de la misma ley. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR el recurso de reposición interpuesto por Doña A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 11 de agosto de 2023, en el expediente EXP202302933, y continuar las actuaciones de investigación. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A. y DIGI SPAIN TELECOM, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 182-111122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es