REPOSICION-PS-00022-2021

1/44  Procedimiento N.º: PS/00022/2021 Recurso de reposición N.º RR/00767/2021 Examinado el recurso de reposición interpuesto por ORANGE ESPAGNE, S.A.U (en adelante, la parte recurrente u ORANGE) contra la resolución dictada por la directora de la Agencia Española de Protección de Datos (en lo sucesivo, AEPD), en el procedimiento sancionador PS/00022/2021, y en base a los siguientes HECHOS PRIMERO: Con fecha 10 de noviembre de 2021, se dictó resolución por la directora de la AEPD en el procedimiento sancionador PS/00022/2021, en virtud de la cual se imponía a una sanción de 700.000’00 euros (setecientos mil euros), por la vulneración de lo dispuesto en artículo 5.1.

1. f)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), tipificada en el artículo 83.5.
2. a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
3. a)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). Dicha resolución, que fue notificada a la parte recurrente en fecha 10 de noviembre de 2021, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDGDD, y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/ 00022/2021, quedó constancia de los siguientes: PRIMERO: ORANGE es la responsable de los tratamientos de datos referidos en la presente Resolución, toda vez que conforme a la definición del artículo 4.7 del RGPD es quién determina la finalidad y medios de los tratamientos realizados con las finalidades señaladas en su Política de Privacidad, entre otras: la prestación de los servicios de telecomunicaciones, el mantenimiento y la gestión de la relación a efectos de dar cumplimiento a lo dispuesto en el contrato firmado entre las partes (Gestionar el registro del Usuario y permitir el acceso a las actividades y herramientas disponibles a través del Sitio Web www.orange.es; llevar a cabo el alta de Usuario, así como el mantenimiento y la gestión de la relación contractual con ORANGE; gestionar, tramitar y dar respuesta a peticiones, solicitudes, incidencias o consultas del Usuario, cuando éste facilite sus datos a través de los formularios habilitados al efecto en el Sitio Web www.orange.es, etc.) SEGUNDO: ORANGE presta sus servicios de telefonía móvil a través de tres marcas comerciales que son: ORANGE, AMENA y JAZZTEL. Cada una de ellas dispone de distintas operativas de funcionamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/44 TERCERO: Con fecha 6 de agosto de 2019, tuvo entrada en esta Agencia una reclamación formulada por la parte reclamante uno (expediente con núm. de referencia E/08994/2019), dirigida -entre otros- contra ORANGE, tras expedirse en fecha 22 de julio de 2019, un duplicado de la tarjeta SIM de la línea ***TELÉFONO.1, a favor de una tercera persona distinta a la titular de la línea -la parte reclamante uno-. Estos hechos fueron denunciados ante la Guardia Civil de Baiona (Pontevedra), en fecha 24 de julio de 2019, con número de atestado ***ATESTADO.1 en la que la parte reclamante uno manifestó lo siguiente: ‘Que la dicente en el día de hoy, sobre las 09:00 horas comprobó que su teléfono móvil XIAOMI Mi A1-con número ***TELÉFONO.1 de la compañía ORANGE, con número de IMEI’s ***IMEI.1 y ***IMEI.2, dejó de funcionar. Se dirigió a la tienda de ORANGE para preguntar que habla sucedido, comprobando en la tienda que la tarjeta SIM ***SIM.1 que tenía instalada en el teléfono móvil no le funcionaba, por lo que le realizaron una nueva tarjeta SIM ***SIM.2. La empleada de la tienda se percató que la tarjeta SIM que tenía instalada en su teléfono no correspondía con la que figuraba en la base de datos de ORANGE. Que la tarjeta SIM que constaba en la base de datos de ORANGE es ***SIM.3. Que en el momento que la dicente instaló la nueva tarjeta SIM ***SIM.2 recibió dos mensajes de texto (SMS) de SANTEVIÓS, con un código SMS para transferencias de 5000 euros y un SMS de INFOSNET con un código SMS para transferencia de 5000 euros. Que Ia manifestante, una vez le entregan el formulario de solicitud de cambios observa que el correo electrónico ***CORREO.1 no corresponde con el correo facilitado a ORANGE. Que el correo que les facilitó es ***CORREO.2 (…) Que la manifestante se pone en contacto telefónico con ORANGE a través del 1470 y le informan que a ORANGE se realizaron dos llamadas, una para cambiar el correo electrónico y otra para solicitar el duplicado de la tarjeta SIM, llamadas que se realizaron el 22/07/20219, una a las 14:00 horas y la otra a las 19:15 horas constando el número de esta última ***NÚMERO.1. Que desde la tienda de ORANGE entran en el perfil de usuario y se observa que figuran cinco llamadas al número de teléfono ***TELÉFONO.2 que corresponde a la banca online del Santander (…) Que la manifestante examina los movimientos de sus tres cuentas bancarias y de sus dos tarjetas y observa: Que autor/es desconocidos habían realizado un traspaso de la tarjeta VISA ***VISA.1 por las cantidades de 700 y 500 euros a la cuenta ***CUENTA.1(Banco Popular) siendo la cuenta espejo de la cuenta ***CUENTA.2 (B. Santander). La manifestante se percata que el 22 de julio de 2019 autores desconocidos dieron de alta una nueva tarjeta de crédito VISA con numeración ***VISA.2. Que autor/es desconocidos realizan un traspaso de la tarjeta ***VISA.2 de 5000 euros a la cuenta bancaria numeración ***CUENTA.3 (Banco Popular) siendo la cuenta espejo de la cuenta ***CUENTA.4 (B. Santander). Que autor/es desconocidos realizan tres transferencias de su cuenta bancaria C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/44 ***CUENTA.5, (…) fueron de 1000 euros cada una, enviadas a las cuentas ***CUENTA.6 (EVO BANCO); ***CUENTA.7 (EVO BANCO) y ***CUENTA.8 (OPEN BANK) que por cada una de estas transferencias le cobran la cantidad de 6 euros. Que autor/es desconocidos realizan una transferencia de la cuenta ***CUENTA.3 (…) a la cuenta ***CUENTA.8 (OPEN BANK) por la cantidad de 250 euros constando un cargo de 6 euros en concepto de gastos. Que autor/es desconocidos de la cuenta con numeración ***CUENTA.1(…) realizaron tres transferencias, siendo la primera por la cantidad de 5000 euros a la cuenta ***CUENTA.6 (EVO BANCO). Una segunda transferencia de 250 euros a la cuenta ***CUENTA.8 (OPEN BANK), una tercera transferencia de 250 euros a la cuenta ***CUENTA.8 (OPEN BANK). (…) Consta una “Solicitud de cambios en el servicio Pospago de comunicaciones móviles” con fecha de contacto de 23 de julio de 2019, en la que aparece en los “Datos del Cliente”, el “email de la persona suplantadora” ***CUENTA DE CORREO.1 y en los “Datos de los Servicios contratados” el nuevo número de tarjeta SIM asignado ***SIM.2. Consta listado de llamadas efectuadas desde dicha SIM a la línea telefónica del Santander ***TELÉFONO.2, y un resumen de las transferencias e ingresos realizados sin su consentimiento. C.C.C.: (…) Concepto Fecha Importe Transferencia inmediata a favor de Juan 22/07/2019 1.006,00 Transferencia inmediata a favor de Juan 23/07/2019 1.006,00 Transferencia inmediata a favor de Juan 23/07/2019 1.006,00 Concepto Fecha Importe Ingreso en cuenta desde tarjetas 23/07/2019 5.000,00 Transferencia inmediata a favor de Lil 23/07/2019 256,00 Concepto Fecha Importe Transferencia inmediata a favor de Juan 22/07/2019 5.006,00 Transferencia inmediata a favor de 23/07/2019 256,00 C.C.C.: (…) C.C.C.: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/44 Hugo Transferencia inmediata a favor de Hugo 23/07/2019 256,00 Ingreso en cuenta desde tarjetas 23/07/2019 700,00 Ingreso en cuenta desde tarjetas 23/07/2019 500,00 En relación con esta reclamación, ORANGE, confirmó a esta Agencia que, la tarjeta SIM fue adquirida en (…) y se procedió a su activación a través de (…) el 22 de julio de 2019 a las 18:52 horas. La activación, afirma, se realiza (…) incumpliendo las directrices establecidas por ORANGE para verificar la identidad del cliente. CUARTO: Con fecha 5 de junio de 2020, tuvo entrada en esta Agencia una reclamación formulada por la parte reclamante dos (expediente con núm. de referencia E/05031/2020), dirigida contra ORANGE, tras expedirse en fecha 8 de enero de 2020, un duplicado de la tarjeta SIM de la línea ***TELÉFONO.3, a favor de una tercera persona distinta a la titular de la línea -la parte reclamante dos-. Los hechos fueron denunciados ante la Dirección General de la Policía Nacional en las dependencias de San Andrés (Murcia), en fecha 9 de enero de 2020, con número de atestado XXX/YY, con el siguiente tenor: “Que en el día de la fecha la mujer del denunciante recibe un SMS el cual le informa de que a través del número del dicente ha solicitado un duplicado de tarjeta de su número de teléfono. Que el dicente manifiesta que no ha autorizado tal operación con su número por lo que se pone en contacto con su compañía de teléfono, ORANGE, confirmándole este la tramitación del duplicado, alegando que puede haber sido un error por parte de ORANGE. Que el dicente en ese momento se percata de que no dispone de cobertura en su teléfono móvil. Que decide comprobar sus cuentas bancarias percatándose de que le han sustraído 300 euros desde un cajero automático sito en el lugar del hecho sin autorización. (…)” En relación con esta reclamación, ORANGE, confirmó a esta Agencia que, el duplicado de tarjeta SIM fue realizado en 08/01/2020 desde (…) y se obtuvo mediante la aportación de documentación manipulada entre la que se encontraba (…). Fue detectado el mismo día de su activación, 08/01/2020, al asociarse la activación de la línea ***TELÉFONO.3 al IMEI ***IMEI.3, el cual constaba incluido (…) empleada por el Grupo de Análisis de Riesgos. Consta aportado (…) con el que la persona suplantadora se identificó como la parte reclamante dos, y se observa (…) en distintos campos: - (…). - (…). Se verifica que faltan algunos documentos a entregar según el protocolo de ORANGE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/44 - (…). - (…). QUINTO: Las dos reclamaciones presentadas afectan a clientes de la marca ORANGE. SEXTO: ORANGE cuenta para esta marca con un modelo de gestión de solicitud y activación de duplicados de tarjetas SIM que presta a través (…). (…): - (…). (…). - (…). - (…). - (…). (…): - (…). - (…). - (…). (…). (…). SÉPTIMO: ORANGE dispone de un sistema (…). (…): (…) (…) (…) (…) (…) (…) (…) (…) (…) (…) (…): - (…). - (…). - (…): o (…). o (…). - (…). - (…). (…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/44 - (…): o (…). o (…). o (…). o (…). o (…). o (…). o (…). - (…): o (…). o (…). o (…). o (…). - (…) (…): o (…) o (…) o (…) (…). OCTAVO: (…): o (…) o (…) (…). Como (…) informa los siguientes: (…) (…) (…) (…). En lo relativo a la (…) informa: (…). NOVENO: (…), ORANGE recoge la siguiente información: (…) (…). En el punto 1 (…) constan las siguientes especificaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/44 - (…). - (…). - (…): - (…): - (…) - (…) - (…) - (…): - (…) - (…) (…) - (…). - (…), - (…). - (…). - (…) - (…). - (…). - (…). En cuanto a los (…) ORANGE recoge las siguientes especificaciones: • (…) • (…). DÉCIMO: (…) (…). (…). Se constata que no consta incluida la imagen del primer DNIe (expedido desde 2006 hasta finales de 2015) disponible en la página de la Dirección General de la Policía: https://www.dnielectronico.es/PortalDNIe/PRF1_Cons02.action? pag=REF_3004&id_menu=51 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/44 Se constata que entre los documentos identificativos no consta incluido el nuevo DNIe 4.0, operativo desde la entrada en vigor del Reglamento UE 2019/1157 del Parlamento Europeo y del Consejo de 20 de junio de 2019, sobre el refuerzo de la seguridad de los documentos de identidad de los ciudadanos de la Unión y de los documentos de residencia expedidos a ciudadanos de la Unión y a los miembros de sus familias que ejerzan su derecho a la libre circulación, es decir, desde el 2 de agosto de 2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/44 UNDÉCIMO: ORANGE forma parte de la Asociación Española para la Digitalización y participa en el proyecto “Identidad Digital Segura (IDS)” que tiene por objeto -entre otros, proteger frente al fraude y los ciberataques y la defensa de la privacidad de los datos. Participa activamente en la propuesta de distintos proyectos tractores y en el desarrollo de aplicaciones que garanticen la IDS. (…). DUODÉCIMO: ORANGE ha adoptado una serie de acciones para prevenir el SIM Swapping: o (…). o (…). o (…). o (…). o (…). o (…). o (…). o (…). o (…). o (…). o (…). DÉCIMO TERCERO: Consta la difusión de varios “Memorandos internos” emitidos por el Departamento de Fraude: Fecha Contenido 11/09/2019 (…) 11/09/2019 (…) 12/09/2019 (…) 9/10/2019 (…) 19/12/2019 (…) DÉCIMO CUARTO: Consta una grabación relativa a la activación de una solicitud de duplicado de tarjeta SIM sobre la línea ***TELÉFONO.4 realizada en fecha 22/04/2019. La activación de la tarjeta SIM se solicita (…) sin que el agente comercial aplique de forma debida el protocolo (…). No existe constancia del envío del correspondiente (…). TERCERO: La parte recurrente ha presentado, en fecha 10 de diciembre de 2021, ante el Registro General de la AEPD, recurso potestativo de reposición en el que muestra su disconformidad con la resolución impugnada e invoca una serie de argumentos expuestos a continuación, a través de los cuales discrepa del contenido de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/44 resolución y de las conclusiones alcanzadas: PREVIA: REITERACIÓN DE LAS ALEGACIONES PREVIAMENTE PRESENTADAS: de sus anteriores escritos, por no haber sido refutadas en la resolución de la AEPD. PRIMERA: ANTECEDENTES: considera que la Agencia esquiva de forma claramente interesada aquellos hechos y argumentos que no puede refutar, o que sencillamente no tiene argumento jurídico alguno con el que poder hacerlo. SEGUNDA: SOBRE EL FUNDAMENTO TERCERO Y LA RESPONSABILIDAD OBJETIVA: la Agencia insiste en una argumentación basada en el resultado, considerando que la superación de las medidas de seguridad por un tercero conlleva la automática consideración de las mismas como insuficientes y por tanto, a juicio de la AEPD, surge automáticamente la responsabilidad directa por parte de ORANGE, como si estuviera en su poder (o de cualquier otra entidad) anular el riesgo inherente asociado a cualquier tipo de operación de tratamiento de datos y en particular, de evitar que sea posible, que mafias organizadas y profesionales de la delincuencia, puedan llevar a cabo procesos de suplantación de identidad en los procesos que nos ocupan. TERCERA: SOBRE EL FUNDAMENTO CUARTO Y EL TRATAMIENTO DE DATOS PERSONALES: la AEPD no justifica que se haya visto afectada la confidencialidad de ningún dato personal durante estos procesos. CUARTA: SOBRE EL FUNDAMENTO QUINTO Y EL OBJETO DEL PROCEDIMIENTO SANCIONADOR: la AEPD continua sin justificar o acreditar que se ha producido el acceso por parte de los suplantadores de identidad a datos personales, y se limita a explicar el concepto de doble autenticación y cómo se lleva a cabo el proceso de verificación. QUINTA: SOBRE LA INDEFENSIÓN Y LA FALTA DE SEGURIDAD JURÍDICA: deriva de una falta de concreción en los motivos constitutivos de la infracción que se le imputa a ORANGE, así como las diversas justificaciones utilizadas por la Agencia. SEXTA: SOBRE LA CUANTÍA DE LA SANCIÓN: la justificación de la cuantía de la sanción como medida disuasoria no se sostiene en este caso. SÉPTIMA.- SOLICITUD DE MEDIDAS DE CONFIDENCIALIDAD: el presente procedimiento contiene información sensible referente a múltiples procedimientos, procesos y protocolos de seguridad que tienen la condición de información confidencial y secreto empresarial y son puestas en conocimiento de la AEPD a los únicos efectos de evidenciar el cumplimiento por parte de ORANGE de sus obligaciones, en el marco de este procedimiento. OCTAVA.- MEDIDAS CAUTELARES: solicita, de igual forma, la suspensión de cualquier sanción que se pueda imponer hasta la resolución final que pueda alcanzarse ante los Tribunales. Por último, SOLICITA el archivo del PS/00022/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/44 Subsidiariamente, que la AEPD tenga en cuenta las circunstancias atenuantes fundamentadas en las alegaciones y culmine el procedimiento mediante un apercibimiento. En última instancia, que modere o module la sanción acordada. Insiste en que la sanción quede en suspenso hasta la sustanciación del correspondiente recurso ante las Autoridades Judiciales pertinentes. Adicionalmente, ruega a la AEPD que se abstenga de publicar la resolución del presente procedimiento y/o hacer pública cualquier información. FUNDAMENTOS DE DERECHO PRIMERO: Competencia. Es competente para resolver el presente recurso la directora de la AEPD de conformidad con lo dispuesto en el artículo 48.1 de la LOPDGDD. SEGUNDO: Sobre el recurso potestativo de reposición interpuesto. En relación con las manifestaciones efectuadas por la parte recurrente, se reiteran básicamente las alegaciones ya presentadas a lo largo del procedimiento sancionador. Debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho (en lo sucesivo, FD) de la resolución recurrida, cuyo contenido se da por íntegramente reproducido. TERCERO: Sobre la alegación previa. Aduce que la Agencia no ha refutado las argumentaciones jurídicas de sus anteriores escritos. Debemos partir del artículo 76.1 de la LPACAP que dice: 1. Los interesados podrán, en cualquier momento del procedimiento anterior al trámite de audiencia, aducir alegaciones y aportar documentos u otros elementos de juicio. Unos y otros serán tenidos en cuenta por el órgano competente al redactar la correspondiente propuesta de resolución. Asimismo, el artículo 88.1 de la LPACAP dice: 1. La resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Cuando se trate de cuestiones conexas que no hubieran sido planteadas por los interesados, el órgano competente podrá pronunciarse sobre las mismas, poniéndolo antes de manifiesto a aquéllos por un plazo no superior a quince días, para que formulen las alegaciones que estimen pertinentes y aporten, en su caso, los medios de prueba. Además, la exigencia de motivación de ciertos actos administrativos viene impuesta con carácter general por el artículo 35 de la LPACAP, entre ellos: “1. Serán motivados, con sucinta referencia de hechos y fundamentos de dereC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/44 cho: (…)
4. h)Las propuestas de resolución en los procedimientos de carácter sancionador, así como los actos que resuelvan procedimientos de carácter sancionador o de responsabilidad patrimonial (…).” Esta exigencia de motivación responde a una triple necesidad, por cuanto, en primer lugar, expresa la racionalidad de la actuación administrativa al realizar la interpretación de la voluntad de la norma; en segundo lugar, permite que los destinatarios del acto pueden conocer esas razones y eventualmente someterlas a crítica; y, por último, abre las puertas a la fiscalización por los Tribunales de lo contencioso- administrativo de los actos o disposiciones impugnados, con el alcance previsto en el artículo 106.1 de la Constitución (en lo sucesivo, CE), satisfaciendo así adecuadamente el derecho a la tutela judicial proclamado en el artículo 24.1 de la CE. En relación con la motivación de los actos administrativos el Tribunal Supremo ha declarado, como en la Sentencia de 4 de abril de 2012, que: "(…) el deber de la Administración de motivar sus actos, como señala el Tribunal Supremo, entre otras, en la Sentencia de 19 de noviembre de 2001 , tiene su engarce constitucional en el principio de legalidad proclamado en el artículo 103 de la Constitución, así como en la efectividad del control jurisdiccional de la actuación de la Administración reconocido en el artículo 106 de la misma Constitución, siendo, en el plano legal, el artículo 54 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, el precepto que concreta con amplitud los actos que han de ser motivados, con suscita (sic) referencia a los hechos y fundamentos de derecho. La exigencia de la motivación de los actos administrativos responde, según reiterada doctrina jurisprudencial, de la que es exponente la Sentencia del Tribunal Supremo de 16 de julio de 2001 , a la finalidad de que el interesado pueda conocer con exactitud y precisión el cuándo, cómo y por qué de lo establecido por la Administración, con la amplitud necesaria para la defensa de sus derechos e intereses, permitiendo también, a su vez, a los órganos jurisdiccionales el conocimiento de los datos fácticos y normativos que les permitan resolver la impugnación judicial del acto, en el juicio de su facultad de revisión y control de la actividad administrativa; de tal modo que la falta de esa motivación o su insuficiencia notoria, en la medida que impiden impugnar ese acto con seria posibilidad de criticar las bases y criterios en que se funda, integran un vicio de anulabilidad, en cuanto dejan al interesado en situación de indefensión. Todo ello sin perjuicio de la lógica discrepancia de quien obtiene una resolución desfavorable a sus intereses, lo que no constituye falta de motivación, porque su derecho no alcanza a la concesión de lo pedido, ya que nadie tiene derecho a que le den la razón, sino a que la decisión que se le brinda ofrezca la explicación necesaria para que el administrado pueda conocer con exactitud y precisión el contenido del acto". En el FD Quinto de la Resolución de fecha 10 de noviembre de 2021 (en adelante, la Resolución) se dio respuesta a las alegaciones aducidas según el orden expuesto por ORANGE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/44 Como sostiene el Auto del Tribunal Constitucional (ATC) 951/1986, de 12 de noviembre, “una cosa es la carencia de motivación y otra la motivación concentrada, aunque precisa y suficiente”. Por consiguiente: “no es exigible una pormenorizada respuesta a todas las alegaciones de las partes, sino que basta que la motivación cumpla la doble finalidad de exteriorizar el fundamento de la decisión adoptada y permitir su eventual control jurisdiccional” [SSTC 36/1989, de 14 de febrero, 70/1990, de 5 de abril; vid. Igualmente SSTC 14/1991, de 28 de enero, 116/1991, de 23 de mayo, 109/1992, de 14 de septiembre]. Incluso el Tribunal Constitucional ha admitido la motivación de aquellas resoluciones que, pese a mostrar lagunas en su argumentación, permitan inferir sin dudas el sentido y fundamento de la decisión. Declara en tal sentido la Sentencia del Tribunal Constitucional (en lo sucesivo, STC) 2/1992, de 13 de enero, que: “Las exigencias de motivación que el art. 24.1 C.E. impone a las resoluciones judiciales no implican necesariamente una contestación expresa a todas y cada una de las alegaciones vertidas por las partes a lo largo del proceso. Por el contrario, según doctrina de este Tribunal (por todas, STC 175/1990), el silencio del órgano judicial respecto a alguna de las cuestiones suscitadas por las partes puede resultar ajustado a las exigencias del art. 24.1 C.E. cuando, atendidas las circunstancias del caso, pueda ser razonablemente interpretado como desestimación tácita de la argumentación esgrimida por el litigante” (Vid. También STC 175/1990, de 12 de noviembre). En el presente supuesto, la resolución recurrida especifica la infracción por la que se acuerda la sanción impuesta, en este caso, por “la vulneración de lo dispuesto en artículo 5.1.
5. f)del Reglamento". Sobre dicha infracción, ha podido alegar y probar lo que ha estimado pertinente, siendo una cuestión diferente, que discrepe de la infracción imputada. No existe, por lo tanto, un derecho a una determinada extensión de la motivación, puesto que su función se limita a comprobar si existe fundamentación jurídica y, en su caso, si el razonamiento que contiene constituye, lógica y jurídicamente, suficiente motivación de la decisión adoptada, cualquiera que sea su brevedad y concisión, incluso en supuestos de motivación por remisión (por todas, SSTC 184/1998, de 28 de septiembre, FJ 2; 187/1998, de 28 de septiembre, FJ 9; 215/1998, de 11 de noviembre, FJ 3; 206/1999, de 8 de noviembre, FJ 3, 187/2000, FJ 2). El Tribunal Supremo, Sala Tercera, de lo Contencioso-administrativo, Sección 7ª, Sentencia de 5 Mar. 2012, Rec. 6515/2010, indica: “El contenido mínimo de la motivación depende del «juicio de suficiencia» exigido por el caso concreto en el que se integre. Ello implica, que bastará cualquier motivación, por sucinta que sea, que explicite los elementos fácticos y jurídicos que constituyan las premisas del acto a motivar; de tal manera que éste aparezca como la conclusión razonada y razonable de aquéllos.” En consecuencia, la alegación previa debe ser desestimada. CUARTO: Sobre los antecedentes. Aduce disconformidad con el relato de los antecedentes que realiza la Agencia en la resolución sancionadora. Alega que no son fieles a su contenido y la omisión de razonamientos jurídicos efectuados por la parte recurrente, obviados sin ninguna justificaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/44 ción y sin aportar argumentos para rebatirlos, centrándose exclusivamente en aquellas cuestiones subjetivas y sometidas a interpretación abierta, que le permiten una mayor capacidad para poder justificar su decisión, más que en sustentarla jurídicamente. Por una parte, el artículo 88 de la LPACAP bajo el epígrafe “Contenido-, dispone que: 1. La resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas de este. (…) 2. (…) 3. Las resoluciones contendrán la decisión, que será motivada en los casos a que se refiere el artículo 35. Expresarán, además, los recursos que contra la misma procedan, órgano administrativo o judicial ante el que hubieran de presentarse y plazo para interponerlos, sin perjuicio de que los interesados puedan ejercitar cualquier otro que estimen oportuno (…). Por otra parte, el artículo 90.1 de la LPACAP dispone las “Especialidades de la resolución en los procedimientos sancionadores”: 1. En el caso de procedimientos de carácter sancionador, además del contenido previsto en los dos artículos anteriores, la resolución incluirá la valoración de las pruebas practicadas, en especial aquellas que constituyan los fundamentos básicos de la decisión, fijarán los hechos y, en su caso, la persona o personas responsables, la infracción o infracciones cometidas y la sanción o sanciones que se imponen, o bien la declaración de no existencia de infracción o responsabilidad. La Agencia ha tenido en cuenta la prueba documental y las alegaciones que en ella descansaban. Además, ha dado respuesta concreta sobre ellas en el FD Quinto. Tanto es así, que la sanción inicialmente propuesta en el Acuerdo de inicio que ascendía a 2.000.000’00 de euros, se reduce en la Propuesta de Resolución a 800.000’00 euros, y finalmente, la sanción en la Resolución definitiva del procedimiento se fija en 700.000’00 euros. Lo mismo sucede respecto a las infracciones imputadas en el Acuerdo de Inicio, que incluía los artículos 5.1.
6. f)y 5.2 del RGPD, y en la Propuesta de Resolución y en la Resolución, se alude únicamente a una infracción del artículo 5.1.
7. f)del RGPD. Tampoco se han esquivado en los Antecedentes determinados hechos o argumentos, sino que en la Resolución se han incluido parte de los expuestos en las alegaciones presentadas en fecha 26 de octubre de 202, recogidos en un total de 36 páginas. En definitiva, la alegación sobre los antecedentes debe ser desestimada. QUINTO: Sobre el Fundamento Tercero y la responsabilidad objetiva. Sobre lo aducido en cuanto a que la Agencia ha reconocido que ORANGE dispone de una política de seguridad, es evidente, que la operadora contaba con una política de seguridad aplicable a la expedición de los duplicados SIM. Cuestión distinta es que esta fuera la oportuna (artículo 24.2 del RGPD). El principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, LRJSP), dispone que: Sólo podrán ser sancionadas por hechos constitutivos de infracción administraC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/44 tiva las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa. No es que la Agencia insista en una argumentación basada en el resultado, sino que tal y como razona la Sentencia de la Audiencia Nacional (SAN) de 21 de enero de 2010 (JUR 2010, 60135), rec. 719/2008 , en su FJ 3º: "...No basta con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva. Así, de nada sirve que se aprueben unas instrucciones detalladas sobre el modo de proceder para la recogida y destrucción de documentos que contengan datos personales si luego no se exige a los empleados (...) la observancia de aquellas instrucciones. Hemos considerado, en consecuencia, que se impone una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros . Y ello porque toda responsable de un fichero (o encargada de tratamiento) es, por disposición legal, una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos personales han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues también es responsable de que las mismas se cumplan y se ejecuten con rigor. En definitiva, toda responsable de un fichero debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica sin que, bajo ningún concepto, datos bancarios, o cualesquiera otros datos de carácter personal, puedan llegar a manos de terceras personas.” La Sentencia del Tribunal Supremo (STS) 5298/1994, de 9 de julio de 1994, indica: “…la potestad sancionadora de la Administración goza de la misma naturaleza que la potestad penal, por lo que en consecuencia, las directrices estructurales del ilícito administrativo tienden también, como en el ilícito penal, a conseguir la individualización de la responsabilidad, vedando cualquier intento de construir una responsabilidad objetiva o basada en la simple relación con una cosa, por consiguiente en el ámbito de la responsabilidad administrativa no basta con que la conducta sea antijurídica y típica, sino que también es necesario que sea culpable, esto es, consecuencia de una acción u omisión imputable a su autor por malicia o imprudencia, negligencia o ignorancia inexcusable (STC, Sala del artículo 61 de la Ley Orgánica del Poder Judicial, de 6 de noviembre de 1990)” Por una parte, ORANGE cuenta con una red de comerciales, puntos de venta y distribuidores homologados a través de un contrato de distribución para ofrecer los servicios de ORANGE. Entre estos servicios ofrecidos desde sus puntos de venta, está la realización de duplicados de tarjetas SIM correspondientes a una línea de telefonía móvil. Según la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo, LGTEL), los servicios de comunicaciones electrónicas tienen la consideración de “serC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/44 vicios de interés general”. No olvidemos que mediante estos servicios se garantiza la conectividad a servicios tan importantes como la telefonía fija, móvil o el acceso a Internet (artículo 2.1 LGTEL). Es de obligada referencia el artículo 41 de la LGTEL, que establece con carácter general el deber de protección de los datos de carácter personal que corresponde a los operadores de comunicación en los siguientes términos: 41.1. Los operadores que exploten redes públicas de comunicaciones electrónicas o que presten servicios de comunicaciones electrónicas disponibles al público, incluidas las redes públicas de comunicaciones que den soporte a dispositivos de identificación y recopilación de datos, deberán adoptar las medidas técnicas y de gestión adecuadas para preservar la seguridad en la explotación de su red o en la prestación de sus servicios, con el fin de garantizar la protección de los datos de carácter personal. Dichas medidas incluirán, como mínimo:
8. a)La garantía de que sólo el personal autorizado tenga acceso a los datos personales para fines autorizados por la Ley.
9. b)La protección de los datos personales almacenados o transmitidos de la destrucción accidental o ilícita, la pérdida o alteración accidentales o el almacenamiento, tratamiento, acceso o revelación no autorizados o ilícitos.
10. c)La garantía de la aplicación efectiva de una política de seguridad con respecto al tratamiento de datos personales. La Agencia Española de Protección de Datos, en el ejercicio de su competencia de garantía de la seguridad en el tratamiento de datos de carácter personal, podrá examinar las medidas adoptadas por los operadores que exploten redes públicas de comunicaciones electrónicas o que presten servicios de comunicaciones electrónicas disponibles al público y podrá formular recomendaciones sobre las mejores prácticas con respecto al nivel de seguridad que debería conseguirse con estas medidas. (…) Por otra parte, los clientes -personas físicas o jurídicas- suscriben contratos privados con ORANGE para la prestación de determinados servicios que se someten a unas cláusulas de privacidad recogidas en el Anexo de Privacidad conforme dispone la cláusula 13.1 de las “Condiciones Generales de los Servicios de ORANGE”. La cláusula 8 de la vigente Política de Privacidad dice: “8. Medidas de seguridad La seguridad de la información es uno de nuestros firmes compromisos y en cumplimiento de la legislación vigente ORANGE tratará los datos del Usuario en todo momento de forma absolutamente confidencial y guardando el preceptivo deber de secreto respecto de los mismos, adoptando al efecto las medidas de seguridad de índole técnica y organizativas necesarias que garanticen la seguridad de sus datos y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos.” Por lo tanto, ORANGE está obligada por la LGTEL y por las cláusulas suscritas a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/44 cumplir con las obligaciones que en materia de seguridad y confidencialidad le competen. Invoca la SAN 733/2013, de 23 de diciembre de 2013 y las STC 76/1990, 246/1991 y 15/1999. Considera que la Agencia parece confundir el concepto de responsabilidad proactiva, con la obligación de resultado que impone la responsabilidad objetiva. Aduce que el sistema implantado ha demostrado ser eficaz en la práctica totalidad de los casos. En modo alguno confunde esta Agencia ambos conceptos. En el FD Tercero de la Resolución ya se analizó el concepto de responsabilidad proactiva y se manifestó que: Sentado lo anterior, puede afirmarse que, de la instrucción del procedimiento, tal y como se infiere de los Hechos Probados y considerado el contexto del artículo 24 del RGPD en relación con ORANGE, se constató, entre otras, la implementación de un modelo más eficaz de evitación del riesgo de suplantación de identidad, la revisión, refuerzo y mejora de las medidas de seguridad aplicadas en los distintos canales tendentes a asegurar el procedimiento de identificación y entrega de la tarjeta SIM, con el fin de evitar la materialización de los fraudes. También, la reacción inmediata frente a los hechos descritos y la capacidad de la operadora para demostrar su cumplimiento. Por todo lo expuesto, centramos los hechos en la infracción derivada del artículo 5.1.
11. f)del RGPD. Así, no se imputa a ORANGE una vulneración del artículo 5.2 del RGPD. También se analizó bajo el epígrafe “Actuación diligencia de Orange” en la Alegación Cuarta, que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991: "(...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). Por otro lado, la culpabilidad de la parte recurrente no puede considerarse excluida ni atenuada por el hecho de que haya mediado la posible actuación fraudulenta de un tercero, pues su responsabilidad no deriva de la actuación de éste, sino de la suya propia. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que: “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/44 y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". Por lo tanto, cabe apreciar falta de diligencia en la actuación de ORANGE, sin que quepa apreciar falta de culpabilidad. No nos encontramos con una responsabilidad objetiva, tal y como asevera la recurrente, sino con un resultado objetivo producido de suplantación de identidad al no haberse garantizado una seguridad adecuada en el tratamiento de los datos personales. ORANGE pretende justificar los hechos producidos basándose en un “error humano”, cuando los errores acreditados han sido varios. En el expediente E/8994/2019, que afectó a la parte reclamante uno, no consta acreditación documental de los controles que se pasaron para la identificación del cliente, indicando ORANGE que no se reflejaron evidencias en sus sistemas de gestión para el cambio de la dirección de correo electrónico del cliente. (…). (…). En el expediente E/5031/2020, que afectó a la parte reclamante dos, (…). También faltan algunos documentos a entregar según el protocolo definido, que requiere (…). No nos encontramos, por lo tanto, ante un error humano aislado, sino ante una serie de errores concatenados. Adjunta como Documento nº 1 el certificado emitido por (…), por el que acredita que tiene aprobado desde el 21 de julio de 2017 un Sistema de Cumplimiento Normativo que cumple con todos los requisitos del artículo 31 bis del Código Penal, así como el resto de los estándares de cumplimiento en materia de prevención de delitos. Alude que dicho modelo se encuentra actualmente sometido a (…), por lo que todos sus elementos son sometidos a revisión periódica. Pues bien, el artículo 118.1 de la LPACAP, dispone: 1. (…) No se tendrán en cuenta en la resolución de los recursos, hechos, documentos o alegaciones del recurrente, cuando habiendo podido aportarlos en el trámite de alegaciones no lo haya hecho. Tampoco podrá solicitarse la práctica de pruebas cuando su falta de realización en el procedimiento en el que se dictó la resolución recurrida fuera imputable al interesado. De modo que, siguiendo este precepto, el certificado aportado ni afecta a la tipificación de los Hechos ni a los factores atenuantes ya valorados. Aduce que el sistema implantado ha permitido la trazabilidad de las acciones y la identificación de los errores cometidos por los agentes específicamente implicados, acreditando que la materialización del riesgo no viene derivada de una deficiente configuración de los controles existentes, sino del error humano puntual, provocado como consecuencia de la actuación intencionada y altamente sofisticada, de los suplantadores de identidad, centrada exclusivamente en este objetivo. En este sentido, razona la SAN, Sala de lo Contencioso-administrativo, Sección 1ª, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/44 5 Mayo 2021, Rec. 1437/2020: Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012): "Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento...". (…). Este procedimiento se habilita porque, de no hacerlo, se agravaría el perjuicio de aquellos clientes que han sufrido un hurto o robo que se verían privados de la posibilidad de comunicarse y realizar gestiones para evitar el agravamiento de los efectos de estos actos delictivos. Precisamente, en estos casos de solicitud de duplicado por presunto robo o hurto, la autenticación del cliente debería disponer de otras garantías adicionales con el único fin de asegurar la identidad del cliente (por ejemplo, demandando algún documento original). Aduce, también, que las diferencias entre los procedimientos y protocolos que la Agencia señala entre los de 2017, 2019 y 2020 responden al proceso continuo de actualización y revisión que realiza ORANGE. En este sentido, el artículo 24 del RGPD establece que las medidas para la gestión del riesgo “se revisarán y actualizarán cuando sea necesario”. A su vez, el artículo 25 del RGPD, donde se establece la protección de datos desde el diseño y por defecto, establece que estas medidas se aplicarán “en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento”. El artículo 32 del RGPD, sobre medidas de seguridad, en su apartado 1.d, establece la obligación de “un proceso de verificación, evaluación y valoración regulares”. A este respecto, las Directrices WP248 señalan: En la práctica, esto significa que los responsables deben evaluar continuamente los riesgos creados por sus actividades de tratamiento a fin de identificar cuando es probable que un tipo de tratamiento entrañe «un alto riesgo para los derechos y libertades de las personas físicas». En la nota 6 de las mismas Directrices WP248 se expone: Cabe señalar que, a fin de gestionar los riesgos para los derechos y libertades de las personas físicas, dichos riesgos deben identificarse, analizarse, estimarse, evaluarse, tratarse (p. ej., mitigarse) y revisarse con regularidad. Los procedimientos, protocolos e instrucciones, independientemente de la fecha en que se adopten y fruto de la revisión y actualización expuesta, deben ser coherentes sin que subsistan contradicciones que dificulten su entendimiento. En relación con las condiciones de expedición y entrega de duplicados de tarjeta SIM a domicilio, alude a la falta de criterio por parte de la AEPD a la hora de analizar su adecuación. Así, por ejemplo, en el procedimiento PS/00452/2019, cuya resolución tiene fecha de 23 de junio de 2020, la Agencia sancionaba a Orange por no haber obtenido copia del DNI del cliente a la hora de realizar una entrega y llevar a cabo la identificación. No obstante, este criterio de la Agencia ha sido abiertamente contradicho por la propia AEPD, ya que el 17 de septiembre de 2021, ORANGE recibía Propuesta de Resolución de la AEPD en el marco del procedimiento PS/00413/2021, donde se propone sancionarla por haber conservado la copia del DNI del cliente en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/44 marco de una entrega y consiguiente proceso de identificación. Esta situación, con resoluciones administrativas abiertamente contradictorias entre sí, atenta directamente contra la seguridad jurídica y genera una evidente incertidumbre e indefensión para ORANGE. Hay que aclarar, que, el procedimiento sancionador PS/00413/2021, actualmente está en trámite. El Acuerdo de Inicio es de fecha 17/09/2021 e imputa una infracción del artículo 5.1.
12. c)del RGPD, al imponer ORANGE como condición en la entrega de paquetería (independientemente del contenido del paquete, que puede ser mera mercancía) la realización de una fotografía del anverso y reverso del DNI del destinatario. Esta fotografía es obtenida a través de terminal por el empleado de la empresa que realiza la entrega y posteriormente la imagen obtenida es cedida a la empresa que remitió el paquete y conservada durante cuatro años. En suma, los hechos podrían ser constitutivos de una infracción administrativa, porque el tratamiento de las imágenes del DNI resulta excesivo para la finalidad de verificación del destinatario receptor de la mercancía. Además, en el PS/00452/2019 se sancionó a ORANGE por el tratamiento de los datos personales de la parte reclamante sin que tuviese ninguna legitimación para ello, y que además, fueron incorporados a los sistemas de información de la compañía e incluidos en el fichero de información crediticia ASNEF. Por este motivo, se cuestionó la diligencia empleada por parte de ORANGE para identificar a las personas que realizaron la contratación en nombre del reclamante. Respecto al PS/00452/2019, la Audiencia Nacional, con fecha 5 de mayo de 2021, resolviendo el recurso contencioso administrativo interpuesto por ORANGE, acordó el siguiente fallo: DESESTIMAR el recurso contencioso administrativo interpuesto por la Procuradora de los Tribunales Sra. D.D.D., en nombre y representación de ORANGE ESPAGNE SAU (ORANGE), frente a la Resolución de la Directora de la Agencia Española de Protección de Datos de fecha 11 de agosto de 2020 (PS/ 00452/2019) que desestima el recurso de reposición interpuesto frente a la Resolución de 23 de junio de 2020; con imposición de costas a la actora. Por lo tanto, no estamos ante resoluciones contradictorias, sino ante un procedimiento revisado en la vía contenciosa, confirmatoria de la resolución acordada por la AEPD, y ante un procedimiento que está en trámite que ha de ser objeto de una resolución definitiva en función de los Hechos Probados que se determinen. Por último, las infracciones que se imputan en ambos procedimientos son distintas, pues en el primer caso (PS/00452/2019) se sanciona por una vulneración del artículo 6.1 del RGPD y en el segundo caso (PS/413/2021) se propone una sanción por una presunta vulneración del artículo 5.1.
13. c)del RGPD. En cuanto a que la AEPD afirma que Orange ha de implementar controles de sus empleados e, inclusive, de trabajadores de terceras entidades, que le permita impedir que estos actúen de forma distinta a la dispuesta en los protocolos comunicados y que no facilita ningún criterio o razonamiento lógico que aclare cuál es el tipo de medida adecuada a este fin, la introducción en el artículo 5.2 del RGPD del principio de responsabilidad proactiva, implica, que no sólo existe responsabilidad por una infracción, sino que la no adopción del conjunto de medidas requeridas para el perfecto cumplimiento normativo, o la falta de diligencia al hacerlo, supone también una responsabilidad punible para las organizaciones o empresas. En el texto de la resolución C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/44 se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. El considerando 74 del RGPD señala que: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas. El artículo 5.2 del RGPD establece que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»)”. Así, en este precepto, se destaca la figura que debe asumir la responsabilidad última (el responsable del tratamiento) por cualquier tratamiento de datos personales que realice él mismo o por su cuenta (considerando 74 del RGPD). Por tanto, el responsable no puede trasladar la responsabilidad a otros sujetos que intervengan en el tratamiento como los encargados del tratamiento. Compete al responsable del tratamiento, conforme al artículo 24.1 del RGPD, determinar cuáles son las medidas de seguridad a implantar, pues sólo este último es conocedor en profundidad de su organización, de los tratamientos que lleva a cabo, de los riesgos asociados a los mismos y de las medidas de seguridad que se precisan para hacer efectivo el principio de integridad y confidencialidad. A título ejemplificativo, ENISA, en el Informe denominado “Contrarrestar el intercambio de SIM” recomienda, entre otros: Controles más estrictos para la autenticación de clientes y los intercambios de SIM: Las medidas que puedan aplicarse para mitigar el ataque incluyen controles internos de aspectos como la limitación del acceso del personal a la información de los clientes y la capacidad de realizar intercambios de SIM; validaciones del sistema de back-end antes de ejecutar los cambios; aplicación de restricciones basadas en el tiempo de los cambios en las cuentas; controles, basados en la ubicación del abonado; notificación de cambios a los clientes (verificación de devolución de llamadas); y el uso de contraseñas y PIN por parte de los clientes para acceder a sus cuentas. La verificación de antecedentes del abonado utilizando un equipo de back-office también podría ser una contramedida eficaz. Estas comprobaciones de antecedentes podrían incluir la comprobación de la dirección postal facilitada más recientemente, la comprobación cruzada de la tarjeta de identificación presentada en la tienda con copias anteriores mantenidas bajo el perfil del abonado y el examen de los contactos recientes del cliente con los representantes de los clientes.(La traducción es nuestra) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/44 En suma, la alegación sobre el Fundamento Tercero y la responsabilidad objetiva debe ser desestimada. SEXTO: Sobre el Fundamento Cuarto y el tratamiento de datos personales. ORANGE reconoce que el proceso de duplicado de una tarjeta SIM supone el tratamiento de datos personales. Sin embargo, considera que la AEPD no justifica que se haya visto afectada la confidencialidad de ningún dato personal durante estos procesos. Considera que: - La información tratada durante el proceso de duplicado de una tarjeta SIM es la información identificativa del titular de la línea, no la información técnica contenida en dicha tarjeta, con excepción del MSISDN. - Dichos datos eran conocidos por los delincuentes con anterioridad a solicitar el duplicado. - No consta que se haya tratado ninguna información que pueda estar contenida en las tarjetas SIM, como el IMSI, ni mucho menos información sobre el listado telefónico o el de llamadas y mensajes. Aduce que la Agencia únicamente califica el acceso al duplicado como una quiebra de la confidencialidad de los datos, pero sin ser capaz de justificar que efectivamente se haya tenido conocimiento de esta información por parte de los delincuentes durante el proceso de duplicado. El considerando 39 del RGPD señala: “ … Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” El considerando 85 del RGPD dice: “Si no se toman a tiempo medidas adecuadas, las violaciones de la seguridad de los datos personales pueden entrañar daños y perjuicios físicos, materiales o inmateriales para las personas físicas, como pérdida de control sobre sus datos personales o restricción de sus derechos, discriminación, usurpación de identidad, pérdidas financieras, reversión no autorizada de la seudonimización, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, o cualquier otro perjuicio económico o social significativo para la persona física en cuestión. (…)” El deber de confidencialidad surge del artículo 5.1.
14. f)del RGPD cuando afirma que los datos deben ser “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. Se trata, por tanto, del principio relacionado tanto con la confidencialidad de los datos personales tratados como con la seguridad del tratamiento. Es decir, las operadoras deben estar en disposición de establecer mecanismos que impidan que se produzca la duplicación fraudulenta de las tarjetas SIM, medidas que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/44 respeten la confidencialidad de los datos y que impidan que un tercero acceda a datos que no son de su titularidad, pues precisamente compete a la operadora tratar datos de carácter personal conforme al RGPD. Por dicha razón, este es un proceso en dónde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que el tratamiento de datos es conforme al RGPD. Tomando como criterio la jurisprudencia dictada sobre la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, se diferenciaba entonces entre la vulneración del deber de secreto, asimilable hoy al deber de confidencialidad (artículo 5.1 LOPDGDD), de estas otras infracciones relativas a medidas de seguridad, a través de afirmar que, mientras la infracción del deber de secreto exige un resultado (divulgación o comunicación de datos), la relativa a medidas de seguridad es una infracción de actividad (ausencia de medidas adecuadas), sin requerir por tanto tal divulgación. En otras palabras, mientras que la infracción del principio de confidencialidad supone que los datos se hayan revelado a un tercero, la infracción de medidas de seguridad únicamente requiere que se declare probada la ausencia de los requisitos de seguridad exigidos. Resulta ilustrativa la SAN 3059/2009, de 18 de junio, que señala: “Por lo tanto, resulta que no se ha acreditado que se haya producido ninguna forma de infracción del deber de secreto pues aunque, es cierto que la documentación no estuvo correctamente custodiada y no era razonable que las historias clínicas viajaran en un camión con el resto de escombros de la demolición de un hotel, la realidad es que ninguna violación del secreto se ha producido y nadie ha llegado a tener noticia de la documentación clínica que, al parecer, sigue custodiada en las cajas en cuestión cuya fotografía ha aportado la parte recurrente. Esta Sala tiene establecido como la infracción del deber de secreto es una infracción de resultado en la que lo relevante es que se llegue a producir la divulgación de un secreto, no siendo relevante (a los efectos de la violación del deber de secreto) con la simple omisión de medidas de seguridad.” Del mismo modo, en la SAN 2285/2009, de 7 de mayo, se expuso expresamente esta diferencia del siguiente modo: “La infracción tipificada en el art. 44.3 .
15. g)es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional -como aquí ocurre en relación con el número de la cuenta corriente- se hayan puesto de manifiesto a un tercero, sin que pueda presumirse que tal revelación se ha producido. Efectivamente, la Agencia Española de Protección de Datos en su resolución se limita a poner de manifiesto que el sistema de cierre, mediante ventanilla transparente, de los sobres utilizados por el Banco para realizar determinadas comunicaciones a sus clientes pudiera dar lugar a que determinados datos personales contenidos en esas comunicaciones puedan ser conocidas por terceras personas respecto de las que deba mantenerse el secreto. No prueba sin embargo que los datos fueran efectivamente conocidos por dichos terceros. Estaríamos, por tanto, como sostiene el recurrente, ante una posible infracción de medidas de seguridad -que es una infracción de actividad- pero no ante la infracción que se le imputa que exige la puesta en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/44 conocimiento de un tercero de los datos personales.” Por tanto, integrando el tipo infractor del artículo 5.1.
16. f)del RGPD se encuentra el hecho de que la información o datos personales se pongan en comunicación de terceros, circunstancia que concurre en el presente caso. Según el Informe de la Fiscalía General del Estado sobre “Identificación de terminales o dispositivos de conectividad al amparo del art. 588 Ter de la Ley Orgánica 13/2015” elaborado en el mes de julio de 2016: Según los estándares europeos relativos a sistemas de telecomunicaciones celulares digitales establecidos por el Instituto Europeo de Estándares de Telecomunicaciones, un dispositivo de comunicaciones móviles celulares plenamente operativo, denominado en el lenguaje coloquial “Teléfono Móvil” y en el técnico “Estación Móvil”, se compone materialmente de dos elementos esenciales: - En primer lugar, el terminal o equipo electrónico móvil dotado de pantalla, procesador, memoria, módem de comunicaciones y batería. - En segundo lugar, el módulo de identificación de usuario, más conocido como “tarjeta SIM” (Subscriber Identity Module). Esta tarjeta SIM es intercambiable entre los diferentes terminales móviles existentes en el mercado y contiene en su chip digital la información necesaria para identificar y autenticar al abonado, incluido el International Mobile Subscriber Identity (IMSI), el cuál identifica de forma inequívoca al abonado en la red celular. Sin un IMSI válido los servicios de telefonía móvil no serán accesibles, salvo en el caso de llamadas de emergencia. La Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, concretamente en su artículo 3.1.e.2º, establece como datos necesarios para la identificación del equipo de comunicación empleado en el ámbito de la telefonía móvil el IMSI y el IMEI, entre otros. Así, mientras que un terminal móvil puede ser suministrado a un usuario en cualquier comercio del sector electrónico o por su proveedor de servicios de telecomunicaciones, una tarjeta SIM operativa siempre habrá de ser suministrada al abonado por su compañía proveedora de servicios de telecomunicaciones, conteniendo la ya citada información que le identificará en la red, IMSI incluido, y que le dará acceso a los servicios contratados. Por este motivo, un proveedor de servicios de telecomunicaciones contará en sus bases de datos de clientes y de facturación con los datos personales del abonado, de la SIM y el IMSI suministrado y, en caso de haber suministrado también un terminal móvil, el IMEI del mismo (International Mobile Estation Equipment Identity). El IMSI es, por tanto, el código de identificación por excelencia en la red de comunicaciones móviles celulares, que da acceso al abonado a los servicios contratados y que permite la facturación correspondiente por parte del proveedor. Es por tanto fundamental para identificar al usuario del teléfono y aparece en todas las conexiones entre el terminal y la red. Esa interacción y el consiguiente trasvase de datos se produce, por supuesto, cuando se está produciendo una conversación telefónica, pero no debemos olvidar que también hay conexión desde el momento en que se enciende el terminal, y por lo tanto en situaciones ajenas a un proceso comunicativo concreto. Asimismo, el Informe 0030/2021 del Gabinete Jurídico de la AEPD indica: Conviene aclarar, en primer lugar, que el IMSI se integra en la tarjeta SIM, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/44 y sirve para identificar internacionalmente al abonado, y a partir del cual se asigna un MSISDN que se conoce como número comercial, conocido coloquialmente como el número de teléfono. Y, en segundo lugar, debe tenerse en cuenta que la tarjeta SIM contiene una programación que, una vez introducido el PIN permite la búsqueda de redes GSM y UMTS y trata de conectarse en una de ellas. Cuando se ha conectado a la red, el teléfono (IMSI y IMEI) queda registrado y estará disponible para usar los servicios contratados. Por lo tanto, si el IMSI está almacenado en la tarjeta SIM, quien tenga la tarjeta SIM (el suplantador) tiene el IMSI almacenado (almacenar un dato personal implica tratarlo). Además, en cuanto el suplantador introduzca la SIM en un terminal y lo encienda, el IMSI va a ser accedido e intercambiado con la red. Recordemos, además, la cláusula “2.1.2. Tarjeta SIM” de las condiciones generales de los servicios de ORANGE, dispone: “La Tarjeta SIM es una tarjeta que puede ser física o digital “eSIM” y que permite identificar el Servicio suscrito por el Cliente y la línea contratada para poder prestarle el Servicio Móvil. En lo sucesivo, los términos “SIM” o “Tarjeta SIM” podrán entenderse referidos indistintamente a la Tarjeta SIM física o eSIM.” Además, ORANGE en el documento (…) aportado en fecha 27 de julio de 2020, informa: (…) Por consiguiente, cuando se produce la emisión y entrega del duplicado a un tercero no autorizado, los afectados pierden el control de la tarjeta SIM (soporte físico que almacena datos personales) y el tercero no autorizado efectúa un tratamiento de los datos almacenados en la tarjeta SIM que corresponden al legítimo titular y lo hace, sin base legal alguna. De ahí que, el duplicado de la tarjeta SIM impida al legítimo titular hacer uso de su terminal telefónico, al quedar anulada la anterior tarjeta, con los consecuentes problemas a la hora de hacer uso (en su caso) de las aplicaciones como también del servicio contratado. Así, el usuario de la tarjeta SIM legítima dejará de tener cobertura en su teléfono móvil, no podrá realizar llamadas ni enviar SMS. Por lo tanto, el valor de ese dato personal, integrado en un soporte físico -tarjeta SIM-, es real e incuestionable, motivo por el cual ORANGE tiene el deber legal de garantizar su seguridad y confidencialidad, tal como haría con cualquier otro activo de la empresa. De manera que, las alegaciones al Fundamento Cuarto y sobre el tratamiento de datos personales se desestiman. SÉPTIMO: Sobre el Fundamento Quinto y el objeto del procedimiento sancionador. Insiste ORANGE en que no se ha producido el acceso por parte de los suplantadores a datos personales y que el razonamiento de la Agencia, respecto a que los tratamientos realizados por las entidades financieras no son objeto de análisis en este expediente, sirve por sí sólo para desarticular toda la argumentación jurídica de la propia AEPD en torno a la responsabilidad de Orange y la sanción que trata de imponer. Cabe traer a colación la Sentencia de la Audiencia Provincial (SAP) de Barcelona núm. 390/2019 de 30 de mayo, que dispone: “Sin embargo, la identidad del titular de la tarjeta SIM, o lo que es lo mismo, la identidad del titular del número de teléfono asociado a dicha tarjeta, no constituye un dato de tráfico derivado de las comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/44 telefónicas ni un dato que afecte a la comunicación misma. No cabe duda de que constituye un dato personal relativo a la intimidad de la persona amparada en el art. 18.1 CE.” En este sentido, tanto los datos personales (nombre, apellidos y DNI) que se tratan para emitir un duplicado de tarjeta SIM como la propia tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. La tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C -101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: “El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones”». De manera que, cuando el suplantador consigue que se active la tarjeta SIM se hace con el control del número de teléfono del abonado con el fin de realizar una serie de acciones asociadas a ese número, y desde ese instante, se produce un tratamiento de datos (artículo 4.2 RGPD) no autorizado e ilícito. En cuanto a los tratamientos realizados por las entidades financieras ya nos pronunciamos en el FD Quinto de la Resolución. Los hechos investigados se han centrado en la expedición de duplicados de tarjeta SIM fraudulentos. Recordemos que, en un primer momento, el autor de la estafa se apodera de las claves de acceso de las aplicaciones bancarias así como de otra información necesaria para continuar con la misma, tales como número de teléfono, nombre y apellidos del usuario, DNI y operador de telefonía. Una vez obtenida esta información, el autor solicita el duplicado de la tarjeta SIM de la víctima en las sucursales de las entidades de la prestación de servicios de telefonía para insertarla en otro terminal telefónico. Finalmente, mediante las claves de usuario y contraseña podrá acceder a las aplicaciones de banca online de la víctima, efectuando transacciones bancarias que podrá autorizar al obtener a través de los mensajes SMS remitidos por la entidad bancaria a la SIM duplicada, las claves de autorización de estas transacciones. Una vez obtenida esta información, el autor solicita el duplicado de la tarjeta SIM de la víctima en las sucursales de las entidades de la prestación de servicios de telefonía para insertarla en otro terminal telefónico. Finalmente, mediante las claves de usuario y contraseña podrá acceder a las aplicaciones de banca online de la víctima, efectuando transacciones bancarias que podrá autorizar al obtener a través de los mensajes SMS remitidos por la entidad bancaria a la SIM duplicada, las claves de autorización de estas transacciones. Si la operación bancaria está protegida por el sistema de autenticación 2FA -segundo factor de autenticación- no será suficiente para el ciberdelincuente conocer los datos de acceso a la banca online de la víctima puesto que necesitará saber, además, el código de verificación que se le remita por SMS al teléfono móvil asignado para confirmar y completar la operación. Por ello, una vez obtenidas las credenciales de banca online, el objetivo será lograr conocer el contenido del mensaje de autenticación de un solo uso. Ello puede hacerse de varias maneras: o bien utilizando algún malware o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/44 aplicación maliciosa que permita al ciberdelincuente acceder a la lectura de los SMS que se reciban en el dispositivo infectado o provoque el reenvío de todos los SMS que se reciban, siendo este un mecanismo todavía poco común por su complejidad técnica, o bien mediante la obtención de un duplicado ilegítimo de la tarjeta SIM a la que esté vinculado el número de teléfono móvil en el que se hayan de recibir los códigos de verificación. Esto último es precisamente lo que se conoce como SIM Swapping o intercambio de la tarjeta SIM y sería el segundo paso o fase de la estafa analizada, objeto de este procedimiento sancionador. Según el Informe denominado “Contrarrestar el intercambio de SIM” publicado en diciembre de 2021 por ENISA (Agencia de la Unión Europea para la Ciberseguridad): “Los atacantes abusan de la capacidad de los proveedores para portar rápidamente y sin problemas un número de teléfono a un dispositivo que contiene un módulo de identidad de suscriptor diferente (SIM). Como resultado, el atacante se hace cargo de la cuenta y puede recibir todos los SMS y llamadas de voz destinados al suscriptor legítimo. Los estafadores pueden realizar fraudes bancarios en línea, pero también eludir la autenticación de dos factores (2FA) utilizada para proteger las redes sociales y otras cuentas en línea.” (…) “Los operadores de redes móviles deben reforzar los mecanismos fraudulentos de detección y bloqueo de la SIM mediante la mejora de los procesos internos para proporcionar al cliente una experiencia preferentemente sin fisuras.” (…) “Del mismo modo, a muchos otros ataques contra la confidencialidad, integridad y autenticidad de las comunicaciones electrónicas de los suscriptores individuales, en los ataques de intercambio de SIM, el objetivo del atacante es obtener el control de la cuenta móvil del abonado objetivo con el fin de realizar una serie de acciones asociadas con su número de móvil. Este tipo de ataque aprovecha la capacidad del ORM -operador de red móvil- para transferir un número de teléfono móvil a una SIM diferente, un procedimiento denominado «portabilidad de número». Por lo tanto, el objetivo del atacante es hacerse cargo de la cuenta de un abonado móvil cambiando la afiliación de dicha cuenta de la tarjeta SIM original a una tarjeta SIM bajo el control del atacante. El atacante normalmente comienza un ataque de intercambio de SIM mediante la recopilación de detalles personales sobre el suscriptor objetivo, por ejemplo a través de ingeniería social, phishing, malware, la explotación de información de violaciones de datos o haciendo investigaciones en las redes sociales. Una vez que el atacante ha obtenido suficientes detalles para hacerse pasar por el suscriptor objetivo, puede ser capaz de convencer al ORM de que porte el número móvil del abonado a una nueva tarjeta SIM bajo el control del atacante. Si esta parte inicial del ataque tiene éxito, la tarjeta SIM del suscriptor genuino perderá la conexión a la red. Esto permitirá al atacante recibir todo el tráfico SMS y de voz destinado al suscriptor objetivo, como contraseñas únicas (OTP) enviadas mediante llamadas de texto o telefónicas, por ejemplo para iniciar sesión en la banca en línea.” “(…) interceptar el SMS, incluyendo OTP (One Time Password) para tranC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/44 sacciones financieras, es uno de los objetivos básicos de los atacantes. Mientras que los atacantes también pueden interceptar el SMS OTP utilizando métodos de ataque más elaborados (como explotar vulnerabilidades de protocolo SS7), el intercambio de SIM parece ser la forma más fácil de interceptar SMS para realizar fraudes bancarios, ya que no requiere herramientas técnicas complejas o costosas.” (La traducción es nuestra) La Agencia no se descuelga de ningún razonamiento ni tampoco achaca toda la responsabilidad a ORANGE. Le reprocha la responsabilidad que le corresponde como responsable de ese tratamiento específico “Emisión de un duplicado de tarjeta SIM”, toda vez que conforme a la definición del artículo 4.7 del RGPD es quien determina la finalidad y medios del tratamiento realizado. ORANGE en su condición de operador deber ser más exigente a la hora de proporcionar un duplicado de una tarjeta SIM. Las verificaciones de identidad deben ser exhaustivas para evitar problemas de suplantación de identidad. En el momento en el que se logra la tarjeta SIM duplicada se tiene también acceso a este segundo factor de autenticación y, por tanto, desde ese instante, se podrían materializar fraudes bancarios. Alude ORANGE al Informe 0030/2021 de la AEPD y recrimina que se traslade a las operadoras la responsabilidad de este tipo de estafa, y a ellas se les exija “establecer todas las medidas necesarias” y a las entidades bancarias únicamente se les exija “dificultar” la comisión de estos fraudes. Al contrario de lo que afirma la parte recurrente, en el Informe 0030/2021 no se “traslada toda la responsabilidad a las operadoras de telecomunicaciones” y tampoco es cierto que en el caso de las entidades que prestan servicios de pago no se hagan similares menciones, e incluso que no se valore la operativa bancaria en lo referente al tratamiento de datos, pues consta expresamente en el citado informe en el apartado X dedicado a estas entidades que “Idénticas consideraciones merece la actuación de las entidades bancarias que proporcionan servicios de pago” y párrafos después se indica “En tanto que estas entidades son responsables del tratamiento de los datos de sus clientes, les competen idénticas obligaciones que las señaladas hasta ahora para las operadoras referidas al cumplimiento del RGPD y la LOPDGDD, y además las derivadas del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera”. En consecuencia, las alegaciones de la parte recurrente deben ser desestimadas puesto que no se ajustan a la realidad de lo indicado en el informe, dónde no se realizan diferenciaciones más allá de por razón de la materia (normativa bancaria) y se mantiene incólume la atribución de responsabilidad en el nexo que comparten y que es el que interesa a esta Agencia, es decir, en el tratamiento de datos personales y las obligaciones que tanto operadoras de telecomunicaciones como entidades prestadoras de servicios de pago son acreedoras derivado de su condición de responsable del tratamiento. Invoca también la Memoria 2021 de la Fiscalía General del Estado dedicada a la “Criminalidad informática”, en su punto 8, que indica: “La técnica consiste en burlar las medidas de seguridad de las entidades bancarias accediendo a los códigos alfanuméricos de confirmación, de uso único, generados con ocasión de las transacciones electrónicas y que ordinariamente se comunican a los/as clientes a través de mensajes SMS”. La Fiscalía también menciona a las operadoras de telefonía, que posiciona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/44 como una de las entidades que sufren este tipo de fraudes y que han tenido que acometer medidas para evitarlos. Sin embargo, ORANGE omite otra información que la Memoria también indica: Para ello, los/as delincuentes obtienen previamente un duplicado o una nueva tarjeta SIM a nombre de su víctima, ya sea solicitándola del operador correspondiente, simulando la identidad de aquella, ya sea valiéndose de una metodología más elaborada, como en el supuesto objeto de instrucción judicial en Zamora, en el que se aprovechaba con esa finalidad un establecimiento de reparación de móviles. Una vez tienen la tarjeta SIM a su disposición, los delincuentes se garantizan la recepción en su propio dispositivo del código de confirmación de la transacción fraudulenta y, en definitiva, la posibilidad de hacer efectiva la misma en su beneficio, evitando que en ese momento sea conocida por el perjudicado o perjudicada. En definitiva, el duplicado de la tarjeta SIM, es un elemento determinante para concretar el fraude. A ORANGE no se le responsabiliza de la configuración del SMS como segundo factor de autenticación o de la responsabilidad que corresponde a los responsables de otros servicios. Se le responsabiliza por la falta de diligencia a la hora garantizar una seguridad adecuada de los datos personales y la confidencialidad del tratamiento. Alega que los 20 casos por ella informados no pueden utilizarse como pretexto para calificar de deficiente la aplicación de la política de seguridad, en tanto no se ha analizado a qué se debe la incidencia o si responde ésta a una falta de diligencia de Orange, del cliente o a un mero fallo técnico, ni así tampoco las consecuencias o la existencia o ausencia de perjuicio. En este sentido, los requerimientos practicados por la Agencia tuvieron como objetivo investigar los procedimientos establecidos por ORANGE y verificar las posibles vulnerabilidades, en concreto, durante la fase de validación de la identidad de los solicitantes de los duplicados de SIM, así como en otras operativas relacionadas que pudieran influir en este procedimiento. Además, se ha tratado de verificar el cumplimiento de los procedimientos por parte de los gestores de las solicitudes de duplicado, así como la claridad y completitud de las instrucciones que les son puestas a disposición por ORANGE, entre otros aspectos. Y si bien los casos denunciados han sido dos, las actuaciones previas de investigación identificaron la existencia de otros casos (ORANGE declaró en el ejercicio 2019 un total de (…) casos que también incluyen los correspondientes a ORANGE VIRTUAL ESPAÑA, S.A.U y aportó un listado de 20 casos adicionales correspondientes al ejercicio 2020). Continuando con los 20 casos adicionales investigados, en estos se constató lo siguiente:  5 solicitudes (…).  14 solicitudes (…).  1 solicitud (…). Se requirió la copia de los DNI (…) y ORANGE aportó 4 documentos de identidad para 4 de los casos. De estos 4, se verificó que 2 de los DNI (o sus copias) se encontraban manipulados al coincidir la foto y no la numeración y el nombre. En otro caso se aportó (…). Indicaron que para dos de los casos no había sido posible obtener la información requerida (…) y faltaron en total 5 documentos de identidad de los 9 requeridos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/44 No se aportaron otros documentos requeridos para el caso de robo de DNI, como son: (…). Requerida la grabación de la conversación para el caso telefónico, así como documentación acreditativa de la aplicación (…) en su caso, ORANGE indicó que aportaban copia de la grabación de la activación de la tarjeta correspondiente, manifestando que: (…) En suma, se constató la existencia vulnerabilidades en el procedimiento para la expedición de los duplicados de tarjeta SIM. Y estos hechos, se consideran de la suficiente relevancia y gravedad como para sancionarlos, precisamente, porque no se ha garantizado la seguridad de los datos de los clientes -de forma adecuada-, y en consecuencia, se ha producido un tratamiento no autorizado e ilícito que afecta a la confidencialidad de dato y que ha devenido en otras consecuencias, nada triviales, como son los perjuicios económicos, que no se hubieran producido, si ORANGE, hubiera asegurado la identidad y autenticación correcta de sus clientes. En cuanto a las insinuaciones que dice formula la Agencia respecto a que ORANGE “disponía de vías de acceso a la obtención de duplicados que favorecían las suplantaciones de identidad”, por ejemplo, ORANGE tiene incluido en su procedimiento la posibilidad de acceder a la tramitación cuando el cliente (…). Un suplantador siempre puede declarar una de estas situaciones para instar al gestor a tramitarle el cambio, ya que estas circunstancias no se comprueban, y, aunque siempre deberá superar la política de privacidad del canal habilitado, es posible que prefiera esta vía por haberse hecho conocedor de los datos que se solicitan. Si un operador establece una determinada medida como la expuesta, de prevalencia de un determinado canal, las circunstancias para esquivar la medida deberían ser controladas, ya que en caso contrario se está desvirtuando la política de seguridad implementada. Debe considerarse que el número de solicitudes de cambio de SIM anual es muy elevado. Según los datos declarados por ORANGE ascienden a (…), por ello, es la responsable de que las medidas de seguridad se cumplan y ejecuten con rigor. Por lo anteriormente expuesto, las alegaciones sobre el Fundamento Quinto y el objeto del procedimiento sancionador se desestiman. OCTAVO: Sobre la indefensión y la falta de seguridad jurídica. Alude ORANGE a la indefensión derivada de una falta de concreción en los motivos constitutivos de la infracción que se le imputa, así como las diversas justificaciones utilizadas por la Agencia. En este sentido, el artículo 25.1 de la CE dispone que “Nadie puede ser condenado o sancionado por acciones u omisiones que en el momento de producirse no constituyan delito, falta o infracción administrativa, según la legislación vigente en aquel momento.” Surge así, en primer lugar, el principio de legalidad que requiere de una ley (lex scripta), que ha de ser anterior al hecho objeto de infracción (lex previa) y que, además sea lex certa, es decir, que describa los actos o conductas en que la infracción consiste. Este último requisito, necesario para dar cumplimiento al principio de seguridad jurídica proclamado en el artículo 9.3 CE, constituye el principio de tipicidad. A su vez, la LRJSP, desarrolla el artículo 25 CE en su artículo 27, bajo la rúbrica de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/44 “Principio de tipicidad”, indicando que: “Sólo constituyen infracciones administrativas las vulneraciones del ordenamiento jurídico previstas como tales infracciones por una Ley, (…)”, añadiendo que “Únicamente por la comisión de infracciones administrativas podrán imponerse sanciones que, en todo caso, estarán delimitadas por la Ley.” El artículo 72 de la LOPDGDD lleva a cabo una enumeración de conductas que, con arreglo al artículo 83.5 del RGPD, “considera” como infracciones muy graves a los efectos de la prescripción, estableciendo un plazo de tres años, por entender que son vulneraciones sustanciales de ciertos artículos del RGPD. Pues bien, en el FD III del Acuerdo de Inicio de fecha 11/02/2021, se indicaba: Las actuaciones reseñadas en los hechos del presente acuerdo de inicio tienen como objeto analizar los procedimientos seguidos para gestionar las solicitudes de cambio de SIM por parte de ORANGE, identificando las vulnerabilidades que puedan existir en los procedimientos operativos implantados, para detectar las causas por las cuales se pueden estar produciendo estos casos, así como encontrar puntos de incumplimiento, mejora o ajuste, para determinar responsabilidades, disminuir los riesgos y elevar la seguridad en el tratamiento de los datos personales de las personas afectadas. También se acordaba por la directora: 1.- INICIAR PROCEDIMIENTO SANCIONADOR a ORANGE ESPAGNE, S.A.U., con NIF A82009812, de conformidad con lo previsto en el artículo 58.2 del RGPD, por presunta infracción del artículo 5.1.
17. f)y 5.2 del RGPD, tipificada en el artículo 83.5.
18. a)del RGPD y en el artículo 72.1.
19. a)de la LOPDGDD. Asimismo, en el FD Sexto de la Propuesta de Resolución, se indicaba: Hemos de atender a las circunstancias singulares de las dos reclamaciones presentadas, a través de las cuales puede constatarse que, desde el momento en el que la persona suplantadora realiza la sustitución de la SIM, el teléfono de la víctima se queda sin servicio pasando el control de la línea a las personas suplantadoras. En consecuencia, ven afectados sus poderes de disposición y control sobre sus datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos según ha señalado el Tribunal Constitucional en la Sentencia 292/2000, de 30 de noviembre de 2000 (FJ 7). De manera que, al conseguir un duplicado de la tarjeta SIM, se posibilita bajo determinadas circunstancias, el acceso a los contactos o a las aplicaciones y servicios que tengan como procedimiento de recuperación de clave el envío de un SMS con un código para poder modificar las contraseñas. En definitiva, podrán suplantar la identidad de los afectados, pudiendo acceder y controlar, por ejemplo: las cuentas de correo electrónico; cuentas bancarias; aplicaciones como WhatsApp; redes sociales, como Facebook o Twitter, y un largo etc. En resumidas cuentas, una vez modificada la clave de acceso por parte de los suplantadores pierden el control de sus cuentas, aplicaciones y servicios, lo que supone una gran amenaza. De ahí que la seguridad y la confidencialidad de los datos personales se consideren esenciales para evitar que los interesados sufran efectos negativos. (…) Los hechos declarados anteriormente probados, son constitutivos de una vulneración del artículo 5.1.
20. f)del RGPD tras facilitar ORANGE duplicados de la tarjeta SIM a terceras personas que no son las legítimas titulares de las líneas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/44 móviles e incluso modificar los datos personales -correo electrónico o el número de SIM- (parte reclamante uno), tras la superación por las personas suplantadoras de las políticas de seguridad implantadas por la operadora, lo que evidencia un incumplimiento del deber de proteger la información de los clientes. Y se emitía la siguiente Propuesta: Que por la directora de la AEPD se sancione a ORANGE ESPAGNE, S.A.U., con NIF A82009812, por infracción del artículo 5.1.
21. f)del RGPD, tipificada en el artículo 83.5.
22. a)del RGPD y en el artículo 72.1.
23. a)de la LOPDGDD, con una multa administrativa de OCHOCIENTOS MIL EUROS (800.000,00). Y por último, en los FD Primero y Tercero de la Resolución, se indicaba: Primero. En el supuesto examinado, las investigaciones realizadas en aras de determinar la comisión de unos hechos y el alcance de estos pusieron de manifiesto una eventual falta de medidas de seguridad que ha afectado directamente al deber de mantener la confidencialidad de los datos de los clientes. Tercero. Las actuaciones reseñadas en los Antecedentes tuvieron como objeto analizar los procedimientos seguidos para gestionar las solicitudes de cambio de SIM por parte de ORANGE, identificando las vulnerabilidades que pudieran existir en los procedimientos operativos implantados, para detectar las causas por las cuales se podrían estar produciendo estos casos, así como encontrar puntos de incumplimiento, mejora o ajuste, para determinar responsabilidades, disminuir los riesgos y elevar la seguridad en el tratamiento de los datos personales de las personas afectadas. Los hechos declarados anteriormente probados, vulneran el artículo 5.1.
24. f)del RGPD y son constitutivos de la infracción prevista en el artículo 83.5.
25. a)del RGPD que considera infracción muy grave la vulneración de: “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9,” Asimismo, consta tipificada con sanción de multa administrativa de 20.000.000,00 euros como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. También son constitutivos de la infracción tipificada en el artículo 72.1.
26. a)de la LOPDGDD que considera infracción muy grave a los efectos de la prescripción: “El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. Y por la directora de la Agencia, finalmente, se acordaba: PRIMERO: IMPONER a ORANGE ESPAGNE, S.A.U., con NIF A82009812, por una infracción del artículo 5.1.
27. f)del RGPD, tipificada en el artículo 83.5.
28. a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
29. a)de la LOPDGDD, una multa administrativa por importe de 700.000’00 euros (setecientos mil euros). Asimismo, la AEPD ha garantizado los derechos previstos en el artículo 64.2.
30. f)y 89.2 de la LPACAP, entre los que se encuentra el derecho a formular alegaciones, sin que, por tanto, pueda estimarse la indefensión invocada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/44 ORANGE ha podido alegar y aportar al procedimiento todo lo que a su derecho ha convenido, sin limitación alguna por parte de la AEPD y todas las alegaciones formuladas al efecto han sido consideradas y contestadas. Aduce, que la Agencia pretende convertir el presente procedimiento en una revisión general de todos los procedimientos de duplicado de tarjeta SIM, pero sin realizar una revisión de estos. La función primordial de la AEPD se refiere a la defensa efectiva del derecho fundamental a la protección de datos de carácter personal de la ciudadanía. Razona la parte reclamante la ausencia de justificación jurídica, unida a la variación de los motivos por los cuáles se infiere una infracción por parte de Orange en base a las siguientes afirmaciones: • Se habla de procedimientos susceptibles de mejora, después se reconocen las medidas adoptadas como adecuadas, en otro fundamento son insuficientes atendiendo al resultado; A este respecto, en ningún FD de la Resolución se indica que las medidas adoptadas por ORANGE sean las adecuadas. A modo de ejemplo, se exponen algunos de los argumentos utilizados por la Agencia: C/ Jorge Juan, 6 28001 – Madrid o Sin embargo, también resultó acreditado que no se había garantizado una seguridad adecuada en el tratamiento de los datos personales, habida cuenta del resultado que produjo la suplantación de identidad. o En definitiva, la rigurosidad de la operadora a la hora de vigilar quién es el titular de la tarjeta SIM o persona por éste autorizada que peticiona el duplicado, debería responder a unos requisitos estrictos. No se trata de que la información a la que se refiere no esté contenida en la tarjeta SIM, sino de que, si en el proceso de expedición de un duplicado de tarjeta SIM no se verifica adecuadamente la identidad del solicitante, la operadora estaría facilitando la suplantación de identidad. o Los errores humanos se combaten desde el enfoque de riesgos, el análisis, la planificación, implantación y control de las medidas técnicas y organizativas adecuadas y suficientes. o Un criminal puede intentar engañar y provocar un error humano, pero son las medidas de seguridad adecuadas quienes actúan de freno. o Se considera que está más que demostrado que la práctica de este tipo de fraudes, como el aquí analizado, es una práctica frecuente y que, por tanto, las operadoras deben contar con medidas apropiadas que garanticen que no se facilite indebidamente una tarjeta SIM a quien no sea el legítimo titular. De ahí que, del análisis de la documentación, se concluya que las medidas adoptadas no han sido las adecuadas a tal fin. o ORANGE debe evaluar la posibilidad (real) de que tal situación se produzca y es su obligación implementar medidas que eviten este tipo de situaciones o, al menos, las detecten rápidamente. Considerar todas estas supuestas desviaciones de los protocolos establecidos por ORANGE como meros hechos puntuales ante los cuales no se realizan actuaciones adicionales para evitarlos, supone no actuar con la debida www.aepd.es sedeagpd.gob.es 34/44 diligencia y es por ello, por lo que se considera que ORANGE ha infringido la obligación de asegurar la confidencialidad de los datos personales en el supuesto aquí analizado, como consecuencia de carecer, precisamente, de las medidas de seguridad adecuadas para tal fin. o Por tanto, amén de las medidas de seguridad implementadas con posterioridad a la comisión de los Hechos Probados y que se valoran de forma positiva por la Agencia, la infracción se considera probada. Por todo lo expuesto, la infracción que se imputa es la prevista en el artículo 5.1.
31. f)del RGPD. • En un fundamento se indica que hay culpabilidad, en otro se indica que no y posteriormente se insinúa que Orange facilita la suplantación de identidad; Con relación a esta afirmación, en ningún FD se concluye que no concurra responsabilidad administrativa. De los Hechos Probados se extrae que el acceso no autorizado a un duplicado de tarjeta SIM consuma la estafa SIM Swapping. A modo de ejemplo, se exponen algunos de los argumentos utilizados para rebatir la falta de culpabilidad: C/ Jorge Juan, 6 28001 – Madrid o La falta de diligencia a la hora de implementar en origen las medidas de seguridad adecuadas constituye el elemento de la culpabilidad. o No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. o Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. o Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). o A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculwww.aepd.es sedeagpd.gob.es 35/44 pación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". o Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. o La Agencia considera el acceso no autorizado a un duplicado de tarjeta SIM particularmente grave ya que posibilita la suplantación de identidad. De ahí que consideremos los datos sustraídos como de naturaleza sensible. • Se señala que se sanciona por las medidas previas, luego por no adoptar medidas adicionales por considerar las incidencias como puntuales, aunque previamente se reconoce que se han adoptado medidas correctivas adecuadas; Nos remitimos a lo indicado en el punto primero de los razonamientos. • Se refiere una quiebra de confidencialidad, pero no se identifican ni se justifica que datos han sido accedidos; Este aspecto ha sido objeto de análisis en el FD Sexto de esta resolución. • Se consideran como agravantes las consecuencias económicas, pero no se entra a valorar el proceso de securización de las operaciones bancarias, además se incluyen referencias a potenciales consecuencias cuya existencia no consta. Este aspecto fue analizado en el FD Quinto de la Resolución. • Se analizan dos supuestos de suplantación, pero se computan otros que no son objeto de análisis. Este aspecto fue analizado como factor agravante en la Resolución, con el siguiente tenor: La Resolución recoge las reclamaciones formuladas por las dos partes reclamantes. Además, ORANGE informa un porcentaje de casos declarados en el ejercicio 2019 (…) respecto al número total de clientes (…) que alcanza un (…) %. Informa sobre la realización de aproximadamente (…) cambios de SIM, alcanzando los casos de fraude un (…) % del total de cambios de tarjetas SIM realizados. Dado que, tal y como se ha explicitado, el objeto del procedimiento sancionador no se circunscribe a las dos reclamaciones presentadas, sino a la ausencia de garantías de seguridad y al acceso no autorizado o ilícito de los datos, se considera la cifra global referida. Así, de conformidad con las evidencias de las que se dispone, se considera que los Hechos Probados vulneran lo dispuesto en el artículo 5.1.
32. f)del RGPD, con el alcance expresado en los FD de la Resolución. En consecuencia, esta alegación debe ser desestimada. NOVENO: Sobre la cuantía de la sanción. ORANGE considera que ha puesto los medios materiales y personales necesarios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/44 para desplegar medidas que permitan impedir este tipo de supuestos de forma proactiva, sin necesidad de ningún estimulo externo, ni mucho menos una sanción. En el FD Quinto de la Resolución se analizó la proporcionalidad de la sanción. Debe traerse a colación lo dispuesto en el considerando 11 del RGPD: La protección efectiva de los datos personales en la Unión exige que se refuercen y especifiquen los derechos de los interesados y las obligaciones de quienes tratan y determinan el tratamiento de los datos de carácter personal, y que en los Estados miembros se reconozcan poderes equivalentes para supervisar y garantizar el cumplimiento de las normas relativas a la protección de los datos de carácter personal y las infracciones se castiguen con sanciones equivalentes. En el considerando 148 del RGPD: A fin de reforzar la aplicación de las normas del presente Reglamento, cualquier infracción de este debe ser castigada con sanciones, incluidas multas administrativas, con carácter adicional a medidas adecuadas impuestas por la autoridad de control en virtud del presente Reglamento, o en sustitución de estas. En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante. La imposición de sanciones, incluidas las multas administrativas, debe estar sujeta a garantías procesales suficientes conforme a los principios generales del Derecho de la Unión y de la Carta, entre ellas el derecho a la tutela judicial efectiva y a un proceso con todas las garantías. Y el considerando 150 del RGPD que señala: A fin de reforzar y armonizar las sanciones administrativas por infracción del presente Reglamento, cada autoridad de control debe estar facultada para imponer multas administrativas. El presente Reglamento debe indicar las infracciones así como el límite máximo y los criterios para fijar las correspondientes multas administrativas, que la autoridad de control competente debe determinar en cada caso individual teniendo en cuenta todas las circunstancias concurrentes en él, atendiendo en particular a la naturaleza, gravedad y duración de la infracción y sus consecuencias y a las medidas tomadas para garantizar el cumplimiento de las obligaciones impuestas por el presente Reglamento e impedir o mitigar las consecuencias de la infracción. Si las multas administrativas se imponen a una empresa, por tal debe entenderse una empresa con arreglo a los artículos 101 y 102 del TFUE. (…). A mayor abundamiento, el artículo 29.2 de la LRJSP también configura la función desalentadora o disuasoria de las multas al indicar que “El establecimiento de sanciones pecuniarias deberá prever que la comisión de las infracciones tipificadas no resulte más beneficioso para el infractor que el cumplimiento de las normas infringidas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/44 Hay que destacar el artículo 83.1 del RGPD donde se establece el ejercicio de la potestad sancionadora al señalar que: Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. En similar sentido se pronuncia el artículo 58.2.
33. i)del RGPD, cuando dice que la autoridad de control tiene el poder de:
34. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; También el artículo 83.5 del RGPD dice: 5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…) El denominado Grupo del artículo 29, sustituido por el Comité Europeo de Protección de Datos-, en las “Directrices sobre la aplicación y la fijación de multas administrativas a efectos del Reglamento 2016/679” WP 253 dice: (…) las multas administrativas deben responder adecuadamente a la naturaleza, la gravedad y las consecuencias de la violación, y las autoridades de control deben evaluar todos los hechos del caso de una manera coherente y objetivamente justificada. La evaluación de lo que es efectivo, proporcionado y disuasorio en cada caso también deberá reflejar el objetivo perseguido por la medida correctiva seleccionada, ya sea restablecer el cumplimiento de la normativa o castigar un comportamiento ilícito (o ambos). También aclara que para lograr tal disuasión se debe utilizar la definición del concepto de empresa: Para imponer multas efectivas, proporcionadas y disuasorias, la autoridad de control debe utilizar la definición del concepto de empresa prevista por el TJUE a los efectos de la aplicación de los artículos 101 y 102 del TFUE, a saber, que el concepto de empresa debe entenderse como una unidad económica que puede estar formada por la sociedad matriz y todas las filiales participantes. De acuerdo con el Derecho y la jurisprudencia de la UE4 , una empresa debe ser entendida como una unidad económica que lleva a cabo actividades comerciales/económicas, con independencia de la persona jurídica de que se trate (considerando 150). En este sentido, ORANGE ESPAGNE, S.A.U, en cuanto a “Tipo de empresa” está catalogada como “Empresa matriz de grupo” y en cuanto al “Tamaño UE” se cataloga como “Corporate” (“Corporativa” -la traducción es nuestra-) y cuenta con 3070 empleados, según los datos declarados en el ejercicio 2019. Así, el establecimiento de la multa se ha basado en una evaluación de todas las circunstancias pertinentes del caso y se considera que es eficaz, proporcionada y disuasoria respecto a los Hechos Probados, teniendo en cuenta los elementos de graduaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/44 ción aplicados conforme al artículo 83.2 del RGPD. Alega que se ve gravemente perjudicada por este tipo de delitos y que la cuantía de la sanción como medida disuasoria no se sostiene. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice: “94. Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor disuasorio se valora tomando en consideración una multitud de elementos y no sólo la situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio puede tener por objeto no sólo una «disuasión general», definida como una acción para desincentivar a todas las empresas, en general, de que cometan la infracción de que se trate, sino también una «disuasión específica», consistente en disuadir al demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no estaba obligada a limitar su valoración a los factores relacionados únicamente con la situación particular de la empresa en cuestión.” “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).” En este sentido, el volumen de ventas durante el año 2019 fue de 4.779.670.000 euros. Por añadidura, la estafa SIM Swapping sigue presente y va en aumento. Muestra de ello son los datos que se exponen en la Memoria de la Fiscalía General del Estado (ya reproducidos) y otras Memorias de las Fiscalías Territoriales, por ejemplo: - La Memoria de la Fiscalía de la Comunitat Valenciana -2021 (Ejercicio 2020)informa: Se ha comenzado a incoar procedimientos judiciales por formas novedosas de fraudes como el SIM Swapping. - Especial mención se hace en la Memoria de la Fiscalía de la Comunidad Autónoma del País Vasco -2021 (Ejercicio 2020)- que dice: Igualmente se ha constatado la existencia de cada vez más procedimiento de SIM Swapping, inexistentes hasta el momento, y que requieren cada vez más mayores medidas de control por parte de las compañías de telefonía móvil para la emisión de duplicados de tarjetas SIM. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/44 - La Memoria de la Fiscalía de la Comunidad Autónoma de Andalucía -2021 (Ejercicio 2020)- informa: Destaca la Guardia civil en su informe anual, que se está produciendo una nueva variedad de estafa llamada sim swapping, en el que los autores doblan la tarjeta sim del perjudicado, siendo esta la llave para conseguir suplantar la identidad del perjudicado. Para finalizar, el Informe 0030/2021 del Gabinete Jurídico de la AEPD dice: Y por último debe indicase que corresponde a las operadoras de telecomunicaciones y a las entidades bancarias cumplir lo dispuesto en el RGPD en tanto responsables del tratamiento de los datos de sus clientes, y en especial establecer medidas para que el tratamiento sea leal, confidencial y se impida el acceso no autorizado por terceros a información personal, de acuerdo con lo indicado en los artículos 5.1f), 24 y 32 del RGPD, y 28.2 de la LOPDGDD, sin perjuicio de lo que corresponda a las entidades bancarias como proveedores de servicios de pago derivado del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera. De lo hasta aquí expuesto, debe concluirse que la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. DÉCIMO: Sobre la solicitud de medidas de confidencialidad. Alega ORANGE respecto a la información que consta en la Resolución, que, en el caso de difundirse o llegar a ser conocida por terceros, supondría un alto riesgo para su seguridad, y muy especialmente en relación con los datos personales de sus clientes y los riesgos asociados a su uso ilícito. Solicita que el contenido de este procedimiento no sea público. Según lo establecido en el artículo 50 de la LOPDGDD bajo el epígrafe ”Publicidad”: La Agencia Española de Protección de Datos publicará las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y las demás que disponga su Estatuto. Así, la publicación de determinadas resoluciones de la AEPD viene impuesta por la LOPDGDD. El artículo 50 de la LOPDGDD no dispone la publicidad de la resolución como una sanción. La finalidad de esta publicidad no es sancionar públicamente al infractor, sino aplicar el principio de transparencia y facilitar el conocimiento a la ciudadanía de la actividad desarrollada por la AEPD. En este sentido, el artículo 11 del Real Decreto 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos establece, bajo el epígrafe “Transparencia y publicidad”, que: 1. La Agencia Española de Protección de Datos publicará en su página web las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/44 resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de la Ley Orgánica 3/2018, de 5 de diciembre, y las que impongan medidas cautelares. 2. Sin perjuicio de lo previsto en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, será igualmente objeto de publicación en la página web toda aquella información que la Presidencia considere relevante y que contribuya al mejor cumplimiento de sus funciones. Además, se comprueba con facilidad cuál es la finalidad de la publicación de las resoluciones de la AEPD si se tiene en cuenta que las que se publican no son únicamente aquellas en las que se puede llegar a sancionar, sino que se incluyen las tutelas de derechos, cualquier otra que ponga fin a los procedimientos de reclamación (que pueden terminar o no, en la imposición de una sanción), las que archiven actuaciones previas de investigación, impongan medidas cautelares o las que fije el Estatuto. Así, es una garantía para la ciudadanía en los términos del artículo 45.1 de la LPACAP que dice: 1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente. Es obligada, por tanto, la publicación de la resolución administrativa, tal y como impone la Ley al señalar literalmente que “publicará” (artículo 50 LOPDGDD). Al publicar la resolución en los términos del citado artículo se consuma el interés general encomendado a la AEPD. Eso sí, previa anonimización (conforme a lo solicitado) y detracción de las cuestiones confidenciales o de secreto intelectual e industrial. En cuanto a la jurisprudencia sobre solicitud de medidas cautelares y publicación de resoluciones sancionadoras, por todas, cabe citar el Auto del Tribunal Supremo de 31 de marzo de 2015, Secc. 2ª, Recurso: 73/2015, y las diversas resoluciones que en dicho auto se citan. PRIMERO.- Por la entidad mercantil "Western Union Payment Servicies Ireland Limited (WUPSIL)" se solicita en este incidente la adopción de la medida cautelar <<consistente en la suspensión de la ejecutividad de las sanciones de amonestación pública>> impuestas en la Orden del Ministerio de Economía y Competitividad de 2 de diciembre de 2014 por la comisión de una infracción grave, y en el Acuerdo del Consejo de Ministros de 12 de diciembre de 2014 por la comisión de una infracción muy grave, en materia de prevención de blanqueo de capitales. Dicha entidad recurrente constriñe su solicitud de suspensión a las sanciones de amonestación, sin que extienda su petición ni formule alegaciones respecto de la suspensión de las sanciones económicas, sobre las que nada se interesa en vía cautelar. SEGUNDO.- Limitado pues nuestro análisis a la suspensión de la publicidad de las sanciones de amonestación pública, impuestas por el Consejo de Ministros por la comisión de una infracción muy grave, afirma la entidad recurrente que procede la medida cautelar por cuanto la ejecución de la sanción haría perder C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/44 su finalidad al recurso, dado el daño reputacional que sufriría la entidad -se afirma- que afectaría a sus relaciones de servicio de pago con entidades de crédito y a las relaciones con sus actuales clientes y agentes, dada la gravedad de la conductas imputadas, cuya sanción se tacha de <desproporcionada>, a lo que añade la inexistencia de perturbación de los intereses generales y de tercero, el transcurso de varios años desde las conductas sancionadas y el refuerzo del control interno para evitar situaciones similares de futuro. Pues bien, el planteamiento de la pretensión cautelar no puede ser acogida. Como hemos sostenido de modo reiterado a este respecto (entre otras, en la Sentencia de 14 de noviembre de 2002 -RC 8351/1999 - y en las que en ella se citan, y en los Autos de 17 de febrero de 2010 PMC 613/2009 con cita del Auto de 4 de mayo de 2005), la Administración Pública actúa en un régimen de publicidad de sus actos con carácter general y, de modo específico, tanto más cuanto así lo establezcan las normas reguladoras de cada sector del ordenamiento. En concreto, el Legislador ha querido mediante la Ley 19/1993, sobre medidas de prevención del blanqueo de capitales (artículo 12.2), que la publicidad de las sanciones impuestas a las entidades financieras en esta materia se atenga a lo dispuesto en la Ley 26/1988, de 29 de julio, de Disciplina e Intervención de las Entidades de Crédito. Ley cuyo artículo 27.5 dispone que las sanciones por infracciones muy graves serán publicadas en el Boletín Oficial del Estado una vez que sean firmes. La firmeza a la que se refiere el precepto legal es aquella que se produce cuando se ha agotado la vía administrativa, como en este caso ocurre. Semejante decisión legislativa corrobora que existe un indudable interés público en la citada publicación, que por lo demás no viene a descubrir ningún dato que deba mantenerse oculto, pues las sanciones impuestas a las entidades de crédito o a quienes ejerzan cargos de administración o dirección en ellas han de ser, además, objeto de comunicación a la inmediata Junta o Asamblea General que se celebre, lo que implica asimismo la publicidad general de aquéllas. La publicación de la resolución sancionadora atiende, pues, al interés público y resulta preceptiva por mandato legal. Hemos descartado en sentencias anteriores sobre esta misma cuestión que la mera publicación de los acuerdos sancionadores tenga, de suyo, el carácter irreversible que propiciaría la adopción de la medida cautelar para no privar de sentido al proceso mismo: la publicación de un eventual fallo estimatorio en el fondo, o la mención de que la sanción impuesta es susceptible aún de recurso jurisdiccional, bastan para impedir esos pretendidos efectos irreversibles. (…) La tesis no puede ser acogida pues, como ya hemos indicado en diversas ocasiones, (por todos, ATS de 17 de febrero de 2010, R. mobile3/2009) la transparencia en los mercados financieros y aún los intereses de los clientes actuales y potenciales no se compadecen con el ocultamiento de un hecho relevante cual es el que las autoridades supervisoras han sancionado, tras un procedimiento contradictorio, una determinada conducta en la actividad bancaria como la que se realiza. Concurre un evidente interés público en que tales hechos se pongan en conocimiento del mercado, una vez que responden a decisiones administrativas firmes en la vía administrativa precedida de un análisis de la conducta por parte de los organismos supervisores, con intervención de la entidad sancionada. De acoger la tesis de la recurrente, supondría que toda publicidad de la sanción impuesta a una entidad financiera por infracciones relacionadas con la prevención del blanqueo de capitales puede eventualmente surtir aqueC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/44 llos efectos. La índole de la infracción imputada y la naturaleza de la amonestación no tienen por qué afectar de forma irreversible a los intereses de la entidad amonestada. Por lo demás, y como hemos indicado en el Auto de 13 de marzo de 2009 (PMC 21/2009) a las razones expuestas puede añadirse que, en evitación de las consecuencias que teme que se produzcan, siempre podrá argüir que la sanción impuesta no es firme judicialmente, en la medida en que está sometida al presente recurso contencioso administrativo ante esta Sala, que en su momento deberá pronunciarse sobre su conformidad a derecho mediante la correspondiente sentencia definitiva. TERCERO. - Procede, en consecuencia, rechazar la petición cautelar interesada, (…) En consecuencia, no procede la suspensión cautelar de la publicación de la resolución en la web de la AEPD, dado que la obligación de publicar no viene impuesta por la propia resolución, no es un efecto jurídico derivado de ella, sino que deviene obligatoria por imposición legal y, por tanto, no tiene que verse