REPOSICION-PS-00046-2021

1/40  Procedimiento N.º: PS/00046/2021 Recurso de reposición N.º RR/00777/2021 Examinado el recurso de reposición interpuesto por ORANGE ESPAÑA VIRTUAL, S.L, rebautizada como SIMYO ESPAÑA VIRTUAL, S.L (en adelante, la parte recurrente o SIMYO) contra la resolución dictada por la directora de la Agencia Española de Protección de Datos (en lo sucesivo, AEPD) en el procedimiento sancionador PS/00046/2021, y en base a los siguientes HECHOS PRIMERO: Con fecha 11 de noviembre de 2021, se dictó resolución por la directora de la AEPD en el procedimiento sancionador PS/00046/2021, en virtud de la cual se imponía a una sanción de 70.000’00 euros (setenta mil euros), por la vulneración de lo dispuesto en artículo 5.1.

1. f)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), tipificada en el artículo 83.5.
2. a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
3. a)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). Dicha resolución, que fue notificada a la parte recurrente en fecha 15 de noviembre de 2021, a través de Carpeta Ciudadana, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDGDD, y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00046/2021, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO: SIMYO es la responsable de los tratamientos de datos referidos en la presente Resolución, toda vez que conforme a la definición del artículo 4.7 del RGPD es quién determina la finalidad y medios de los tratamientos realizados con las finalidades señaladas en su Política de Privacidad, entre otras: Para el cumplimiento de la relación comercial o institucional: aquellas necesarias para llevar a cabo la prestación de los servicios de telecomunicaciones, el mantenimiento y la gestión de la relación a efectos de dar cumplimiento a lo dispuesto en el contrato firmado entre las partes: gestionar el registro del Usuario y permitir el acceso a las actividades y herramientas disponibles a través del Sitio Web www.simyo.es; llevar a cabo el alta de Usuario, así como el mantenimiento y la gestión de la relación contractual con SIMYO; gestionar, tramitar y dar respuesta a peticiones, solicitudes, incidencias o consultas del Usuario, cuando éste facilite sus datos a través de los formularios habilitados al efecto en el Sitio Web www.simyo.es, etc. SEGUNDO: SIMYO es parte integrante del Grupo ORANGE (ORANGE, JAZZC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/40 TEL, REPÚBLICA MÓVIL, AMENA y SIMYO). TERCERO: Con fecha 2 de septiembre de 2019, tiene entrada en esta Agencia una reclamación formulada por la parte reclamante uno (expediente con núm. de referencia E/10534/2019), dirigida contra SIMYO, tras expedirse en fecha 14 de agosto de 2019, un duplicado de la tarjeta SIM de la línea ***TELEFONO.1, a favor de una tercera persona distinta a la titular de la línea -la parte reclamante unoy quedarse sin servicio. A las 21.35 horas del día 14 de agosto de 2019, (…) recibe en su correo electrónico particular un email de ING DIRECT, donde se lee: “DOCUMENTACIÓN PRÉSTAMO NARANJA”, “Estimado A.A.A., gracias por elegirnos para la contratación de tu préstamo (…) te adjuntamos la documentación legal relativa al préstamo naranja número ***PRÉSTAMO.1, así como tres documentos en formato pdf, información normalizada europea, asistencia previa al contrato, y contrato de préstamos naranja”. El préstamo asciende a 43.000’00 euros con una cuota mensual de 586’09 euros, en 84 cuotas y fecha de vencimiento 36/8/2026, al 3,95% de interés. A las 21.43 horas del día 14 de agosto de 2019 (…) recibe en su correo electrónico (…) un email del banco ING DIRECT, donde se lee: “Estimado Señor A.A.A., (…) adjuntamos una copia de la documentación relativa a su contratación (…) producto contratado cuenta nómina número ***CUENTA.1, donde igualmente se consignan todos los datos personales de esta parte (…)”. Desde esta cuenta nómina se realiza una transferencia por importe de 10.000’00 euros en favor de un tercero. También se realiza una transferencia bancaria, por importe de 10.000’00 euros, desde la cuenta corriente de la parte reclamante uno ***CUENTA.2 (ING) a la cuenta ***CUENTA.3 (BBVA) -de la que es titular su esposa-, sin su consentimiento. Consta una llamada telefónica desde la línea ***TELEFONO.1 al número 912518375 a las 22:36:22 del día 14 de agosto de 2019, al Servicio de Atención al cliente del BBVA. Por estos hechos, la parte reclamante uno, presenta una denuncia ante la Unidad Orgánica de la Policía Judicial de la Guardia Civil, Comandancia de Huelva, en fecha 15 de agosto de 2019, con número de diligencias XXX/XXXX, que es objeto de ampliación, en fecha 21 de agosto de 2019, en la que añade: “(…) Que se advierte la creación en las posiciones del que suscribe de la entidad bancaria ING, Tarjeta de Débito a nombre de A.A.A. ***CUENTA.4 Tarjeta de Débito a nombre de A.A.A. ***CUENTA.5 Tarjeta de Crédito a nombre de A.A.A. ***CUENTA.6” La parte reclamante uno, en fecha 15 de agosto de 2019, se pone en contacto con SIMYO, mediante el Servicio de Atención al Cliente, indicando que no reconoce ni el duplicado de la tarjeta SIM ni la modificación de datos de contacto (correo elecC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/40 trónico) realizada. SIMYO confirma que la tarjeta SIM fue entregada en fecha 14/08/2019 en un Punto de Venta de Barcelona y que la activación se produce a través del (…) mediante la opción existente en aquel momento de “(…)” a las 21:15:40. La activación se realiza con posterioridad a (…) SIMYO, con fecha 23 de agosto de 2019, elimina la posibilidad de (…). SIMYO, con fecha 30 de agosto de 2019, deshabilita la posibilidad de (…). SIMYO reconoce que (…). CUARTO: Con fecha 6 de noviembre de 2019, tiene entrada en esta Agencia una reclamación formulada por la parte reclamante dos (expediente con núm. de referencia E/00220/2020), dirigida contra SIMYO, tras expedirse en fecha 23 de agosto de 2019, un duplicado de la tarjeta SIM de la línea ***TELEFONO.2, a favor de una tercera persona distinta a la titular de la línea -la parte reclamante dos- y quedarse sin servicio. Con fecha 23 de agosto de 2019 a las 17:02, la parte reclamante dos, remite un correo electrónico a “soporte@simyo.es” con el siguiente tenor: “Buenas tardes, Necesito saber los datos del teléfono que me ha llamado con número oculto haciéndose pasar por operador de SIMYO para obtener mis datos personales. Última llamada recibida: Día: 23/08/2019 Hora: 16:12 Duración: 1 Min 13 seg Adjunto mi DNI, tal y como me indicó el operador de atención al cliente para obtener esta información. Gracias de antemano. B.B.B.” Con fecha 24 de agosto de 2019, la parte reclamante dos, accede al Área Personal de cliente y observa el siguiente mensaje: “Aquí tienes el histórico de todas las operaciones realizadas con tus líneas (portabilidad, alta, envío…) 23/08/2019 17:48:43 ¡Misión cumplida! Ya te hemos entregado tu duplicado de sim, recuerda que para activarlo ve al apartado DUPLICADO/ACTIVAR SIM del menú. LÍNEA: ***TELEFONO.2.” Por estos hechos, la parte reclamante dos, presenta una denuncia ante el Puesto P. de Rincón de la Victoria, de la Comandancia de la Guardia Civil de Málaga, en fecha 24 de agosto de 2019, con número de atestado ***ATESTADO.1 en la que manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/40 “ (…) que es titular, de una cuenta bancaria en la entidad Banco Santander con número de cuenta ***CUENTA.7, en la cual consta como personas autorizadas el padre del denunciante D. C.C.C., su madre D.D.D.y el hermano del denunciante D. E.E.E. Que el día 23 de agosto de 2019, sobre las 22:45 aproximadamente el denunciante accede a la aplicación de consulta de cuenta de la entidad Banco Santander, y puede comprobar cómo se ha retirado de la cuenta la cantidad de 30.000-- euros, que inmediatamente efectúa llamada telefónica a sus padres para saber el motivo de dicha retirada, y que sus padres le informan de que no han hecho ningún movimiento de esa cantidad. (…) Que el denunciante recibe una llamada en su terminal móvil con número ***TELEFONO.2, el cual opera con la compañía SYMIO, con número oculto y privado, sobre las 13:35 horas aproximadamente, en el cual le pregunta un interlocutor hombre, varias preguntas sin que estuvieran relacionadas con el denunciante, como que facilite su DNI, fecha de nacimiento, etc, que el interlocutor tenía acento español, al parecer del norte de España. Que el denunciante recibe una segunda llamada con número oculto y privado en el terminal antes reseñado, a las 16:12 horas, día 23 de agosto de 2019, en el cual el interlocutor hombre, le dice: Buenas, le llamo de SIMYO, (ofertándole una oferta de datos y llamadas), solicitándole al denunciante su fecha de nacimiento, facilitándole al interlocutor su fecha, informándole el interlocutor al denunciante que si quería verificar la oferta que llamase al número 1644, número de atención al cliente de la compañía SIMYO. Que el denunciante efectúa llamada a 1644 para comprobar la veracidad de la oferta y es informado de que desde la compañía no se le ha ofertado nada. (…) Que el denunciante le envía un correo electrónico a la citada compañía para avisar de lo sucedido. Que el denunciante comprueba como su terminal móvil se queda sin cobertura, volviendo a contactar con la compañía SIMYO para saber el motivo de esta incidencia, siendo informado por la compañía, que no tenía cobertura por temas de seguridad, y que el lunes se resolvería el problema. Que a través del área personal (…), puede observar un mensaje, a las 04:57 horas día 24-08-2019, en el que consta que se ha producido un duplicado de la tarjeta SIM, el cual se ha producido a las 17:48 horas día 23-08-2019, siendo de especial interés ya que este duplicado se efectúa una hora aproximadamente, de que el denunciante informase a la compañía de las llamadas recibidas con número oculto y privado. PREGUNTADO para que diga o aporte los datos de que disponga de la extracción de la cantidad de 30.000 euros. MANIFIESTA que se ha producido a través de transferencia bancaria, la cual no ha sido autorizada por el denunciante, ni ha procedido a ingresar códigos de confirmación, ni realizar la firma electrónica, desconociendo como se ha podido producir dicha transferencia, que la cuenta donde se ha transferido el dinero es la siguiente ***CUENTA.8 donde consta como beneficiario Hhh (sic), C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/40 no puede aportar extracto del movimiento, por estar la entidad cerrada por ser fin de semana, y no pudiendo acceder a su cuenta corriente a través de aplicación de la entidad por tener el teléfono móvil bloqueado”. En relación con esta reclamación SIMYO verifica a esta Agencia que, en fecha 23 de agosto de 2019, (…). En fecha 23/08/2019 a las 18:24:34, SIMYO procede (…). A las 19:47:04 de ese mismo día, se produce una nueva modificación del email sustituyéndose el valor ***EMAIL.3 por este otro: ***EMAIL.4. SIMYO confirma que la ICC activada correspondía a un punto de venta que no dejó rastro respecto a esta solicitud en los sistemas de la operadora. SIMYO confirma hasta un total de (…) ***TELEFONO.3 y ***TELEFONO.4 y confirma que la persona que (…). También confirma la recepción -en esa misma fecha- (…) desde los números ***TELEFONO.5 y ***TELEFONO.3. QUINTO: En diciembre de 2019, SIMYO comunica a la AEPD la política de seguridad aplicable a las solicitudes de duplicados de tarjetas SIM y distingue (…). SEXTO: SIMYO dispone de una Política de Seguridad (…) SÉPTIMO: SIMYO cuenta con unas medidas de seguridad que aplica al proceso de expedición del duplicado SIM recogidas en el (…). OCTAVO: SIMYO ha definido un nuevo (…), que dispone las siguientes instrucciones: (…) NOVENO: SIMYO cuenta con unas medidas de seguridad que aplica al proceso de “(…)” que incluye las siguientes instrucciones: (…) DÉCIMO: SIMYO dispone de un sistema (…). UNDÉCIMO: (…) DUODÉCIMO: SIMYO es parte integrante del grupo ORANGE, que forma parte de la Asociación Española para la Digitalización y participa en el proyecto “Identidad Digital Segura (IDS)” que tiene por objeto -entre otros, proteger frente al fraude y los ciberataques y la defensa de la privacidad de los datos. Participa activamente en la propuesta de distintos proyectos tractores y en el desarrollo de aplicaciones que garanticen la IDS. (…) DÉCIMO TERCERO: SIMYO ha adoptado una serie de acciones para prevenir el SIM Swapping: (…) DÉCIMO CUARTO: SIMYO reporta (…) ***TELEFONO.6 y ***TELEFONO.7 respectivamente, cancelados en ambos casos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/40 Consta una grabación relativa a la activación de una tarjeta SIM sobre la línea ***TELEFONO.6 en la que (…). TERCERO: La parte recurrente ha presentado, en fecha 15 de diciembre de 2021, ante el Registro General de la AEPD, recurso potestativo de reposición en el que muestra su disconformidad con la resolución impugnada e invoca una serie de argumentos expuestos a continuación, a través de los cuales discrepa del contenido de la resolución y de las conclusiones alcanzadas: PREVIA: REITERACIÓN DE LAS ALEGACIONES PREVIAMENTE PRESENTADAS: de sus anteriores escritos, por no haber sido refutadas en la resolución de la AEPD. PRIMERA: ANTECEDENTES: considera que la Agencia esquiva de forma claramente interesada aquellos hechos y argumentos que no puede refutar, o que sencillamente no tiene argumento jurídico alguno con el que poder hacerlo. SEGUNDA: SOBRE EL FUNDAMENTO TERCERO Y LA RESPONSABILIDAD OBJETIVA: la Agencia insiste en una argumentación basada en el resultado, considerando que la superación de las medidas de seguridad por un tercero conlleva la automática consideración de las mismas como insuficientes y por tanto, a juicio de la AEPD, surge automáticamente la responsabilidad directa por parte de SIMYO, como si estuviera en su poder (o de cualquier otra entidad) anular el riesgo inherente asociado a cualquier tipo de operación de tratamiento de datos y en particular, de evitar que sea posible, que mafias organizadas y profesionales de la delincuencia, puedan llevar a cabo procesos de suplantación de identidad en los procesos que nos ocupan. TERCERA: SOBRE EL FUNDAMENTO CUARTO Y EL TRATAMIENTO DE DATOS PERSONALES: la AEPD no justifica que se haya visto afectada la confidencialidad de ningún dato personal durante estos procesos. CUARTA: SOBRE EL FUNDAMENTO QUINTO Y EL OBJETO DEL PROCEDIMIENTO SANCIONADOR: la AEPD continua sin justificar o acreditar que se ha producido el acceso por parte de los suplantadores de identidad a datos personales, y se limita a explicar el concepto de doble autenticación y cómo se lleva a cabo el proceso de verificación. QUINTA: SOBRE LA INDEFENSIÓN Y LA FALTA DE SEGURIDAD JURÍDICA: deriva de una falta de concreción en los motivos constitutivos de la infracción que se le imputa a SIMYO, así como las diversas justificaciones utilizadas por la Agencia. SEXTA: SOBRE LA CUANTÍA DE LA SANCIÓN: la justificación de la cuantía de la sanción como medida disuasoria no se sostiene en este caso. SÉPTIMA.- SOLICITUD DE MEDIDAS DE CONFIDENCIALIDAD: el presente procedimiento contiene información sensible referente a múltiples procedimientos, procesos y protocolos de seguridad que tienen la condición de información confidencial y secreto empresarial y son puestas en conocimiento de la AEPD a los únicos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/40 efectos de evidenciar el cumplimiento por parte de SIMYO de sus obligaciones, en el marco de este procedimiento. OCTAVA.- MEDIDAS CAUTELARES: solicita, de igual forma, la suspensión de cualquier sanción que se pueda imponer hasta la resolución final que pueda alcanzarse ante los Tribunales. Por último, SOLICITA el archivo del PS/00046/2021. Subsidiariamente, que la AEPD tenga en cuenta las circunstancias atenuantes fundamentadas en las alegaciones y culmine el procedimiento mediante un apercibimiento. En última instancia, que modere o module la sanción acordada. Insiste en que la sanción quede en suspenso hasta la sustanciación del correspondiente recurso ante las Autoridades Judiciales pertinentes. Adicionalmente, ruega a la AEPD que se abstenga de publicar la resolución del presente procedimiento y/o hacer pública cualquier información. FUNDAMENTOS DE DERECHO PRIMERO: Competencia. Es competente para resolver el presente recurso la directora de la AEPD de conformidad con lo dispuesto en el artículo 48.1 de la LOPDGDD. SEGUNDO: Sobre el recurso potestativo de reposición interpuesto. En relación con las manifestaciones efectuadas por la parte recurrente, se reiteran básicamente las alegaciones ya presentadas a lo largo del procedimiento sancionador. Debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho (en lo sucesivo, FD) de la resolución recurrida, cuyo contenido se da por íntegramente reproducido. TERCERO: Sobre la alegación previa. Aduce que la Agencia no ha refutado las argumentaciones jurídicas de sus anteriores escritos. Debemos partir del artículo 76.1 de la LPACAP que dice: 1. Los interesados podrán, en cualquier momento del procedimiento anterior al trámite de audiencia, aducir alegaciones y aportar documentos u otros elementos de juicio. Unos y otros serán tenidos en cuenta por el órgano competente al redactar la correspondiente propuesta de resolución. Asimismo, el artículo 88.1 de la LPACAP dice: 1. La resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Cuando se trate de cuestiones conexas que no hubieran sido planteadas por los interesados, el órgano competente podrá pronunciarse sobre las mismas, poniéndolo antes de manifiesto a aquéllos por un plazo no superior a quince C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/40 días, para que formulen las alegaciones que estimen pertinentes y aporten, en su caso, los medios de prueba. Además, la exigencia de motivación de ciertos actos administrativos viene impuesta con carácter general por el artículo 35 de la LPACAP, entre ellos: “1. Serán motivados, con sucinta referencia de hechos y fundamentos de derecho: (…)
4. h)Las propuestas de resolución en los procedimientos de carácter sancionador, así como los actos que resuelvan procedimientos de carácter sancionador o de responsabilidad patrimonial (…).” Esta exigencia de motivación responde a una triple necesidad, por cuanto, en primer lugar, expresa la racionalidad de la actuación administrativa al realizar la interpretación de la voluntad de la norma; en segundo lugar, permite que los destinatarios del acto pueden conocer esas razones y eventualmente someterlas a crítica; y, por último, abre las puertas a la fiscalización por los Tribunales de lo contencioso- administrativo de los actos o disposiciones impugnados, con el alcance previsto en el artículo 106.1 de la Constitución (en lo sucesivo, CE), satisfaciendo así adecuadamente el derecho a la tutela judicial proclamado en el artículo 24.1 de la CE. En relación con la motivación de los actos administrativos el Tribunal Supremo ha declarado, como en la Sentencia de 4 de abril de 2012, que: "(…) el deber de la Administración de motivar sus actos, como señala el Tribunal Supremo, entre otras, en la Sentencia de 19 de noviembre de 2001 , tiene su engarce constitucional en el principio de legalidad proclamado en el artículo 103 de la Constitución, así como en la efectividad del control jurisdiccional de la actuación de la Administración reconocido en el artículo 106 de la misma Constitución, siendo, en el plano legal, el artículo 54 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, el precepto que concreta con amplitud los actos que han de ser motivados, con suscita (sic) referencia a los hechos y fundamentos de derecho. La exigencia de la motivación de los actos administrativos responde, según reiterada doctrina jurisprudencial, de la que es exponente la Sentencia del Tribunal Supremo de 16 de julio de 2001 , a la finalidad de que el interesado pueda conocer con exactitud y precisión el cuándo, cómo y por qué de lo establecido por la Administración, con la amplitud necesaria para la defensa de sus derechos e intereses, permitiendo también, a su vez, a los órganos jurisdiccionales el conocimiento de los datos fácticos y normativos que les permitan resolver la impugnación judicial del acto, en el juicio de su facultad de revisión y control de la actividad administrativa; de tal modo que la falta de esa motivación o su insuficiencia notoria, en la medida que impiden impugnar ese acto con seria posibilidad de criticar las bases y criterios en que se funda, integran un vicio de anulabilidad, en cuanto dejan al interesado en situación de indefensión. Todo ello sin perjuicio de la lógica discrepancia de quien obtiene una resolución desfavorable a sus intereses, lo que no constituye falta de motivación, porque su derecho no alcanza a la concesión de lo pedido, ya que nadie tiene deC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/40 recho a que le den la razón, sino a que la decisión que se le brinda ofrezca la explicación necesaria para que el administrado pueda conocer con exactitud y precisión el contenido del acto". En el FD Quinto de la Resolución de fecha 11 de noviembre de 2021 (en adelante, la Resolución) se dio respuesta a las alegaciones aducidas según el orden expuesto por SIMYO. Como sostiene el Auto del Tribunal Constitucional (ATC) 951/1986, de 12 de noviembre, “una cosa es la carencia de motivación y otra la motivación concentrada, aunque precisa y suficiente”. Por consiguiente: “no es exigible una pormenorizada respuesta a todas las alegaciones de las partes, sino que basta que la motivación cumpla la doble finalidad de exteriorizar el fundamento de la decisión adoptada y permitir su eventual control jurisdiccional” [SSTC 36/1989, de 14 de febrero, 70/1990, de 5 de abril; vid. Igualmente SSTC 14/1991, de 28 de enero, 116/1991, de 23 de mayo, 109/1992, de 14 de septiembre]. Incluso el Tribunal Constitucional ha admitido la motivación de aquellas resoluciones que, pese a mostrar lagunas en su argumentación, permitan inferir sin dudas el sentido y fundamento de la decisión. Declara en tal sentido la Sentencia del Tribunal Constitucional (en lo sucesivo, STC) 2/1992, de 13 de enero, que: “Las exigencias de motivación que el art. 24.1 C.E. impone a las resoluciones judiciales no implican necesariamente una contestación expresa a todas y cada una de las alegaciones vertidas por las partes a lo largo del proceso. Por el contrario, según doctrina de este Tribunal (por todas, STC 175/1990), el silencio del órgano judicial respecto a alguna de las cuestiones suscitadas por las partes puede resultar ajustado a las exigencias del art. 24.1 C.E. cuando, atendidas las circunstancias del caso, pueda ser razonablemente interpretado como desestimación tácita de la argumentación esgrimida por el litigante” (Vid. También STC 175/1990, de 12 de noviembre). En el presente supuesto, la resolución recurrida especifica la infracción por la que se acuerda la sanción impuesta, en este caso, por “la vulneración de lo dispuesto en artículo 5.1.
5. f)del Reglamento". Sobre dicha infracción, ha podido alegar y probar lo que ha estimado pertinente, siendo una cuestión diferente, que discrepe de la infracción imputada. No existe, por lo tanto, un derecho a una determinada extensión de la motivación, puesto que su función se limita a comprobar si existe fundamentación jurídica y, en su caso, si el razonamiento que contiene constituye, lógica y jurídicamente, suficiente motivación de la decisión adoptada, cualquiera que sea su brevedad y concisión, incluso en supuestos de motivación por remisión (por todas, SSTC 184/1998, de 28 de septiembre, FJ 2; 187/1998, de 28 de septiembre, FJ 9; 215/1998, de 11 de noviembre, FJ 3; 206/1999, de 8 de noviembre, FJ 3, 187/2000, FJ 2). El Tribunal Supremo, Sala Tercera, de lo Contencioso-administrativo, Sección 7ª, Sentencia de 5 Mar. 2012, Rec. 6515/2010, indica: “El contenido mínimo de la motivación depende del «juicio de suficiencia» exigido por el caso concreto en el que se integre. Ello implica, que bastará cualquier motivación, por sucinta que sea, que explicite los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/40 elementos fácticos y jurídicos que constituyan las premisas del acto a motivar; de tal manera que éste aparezca como la conclusión razonada y razonable de aquéllos.” En consecuencia, la alegación previa debe ser desestimada. CUARTO: Sobre los antecedentes. Aduce disconformidad con el relato de los antecedentes que realiza la Agencia en la resolución sancionadora. Alega que no son fieles a su contenido y la omisión de razonamientos jurídicos efectuados por la parte recurrente, obviados sin ninguna justificación y sin aportar argumentos para rebatirlos, centrándose exclusivamente en aquellas cuestiones subjetivas y sometidas a interpretación abierta, que le permiten una mayor capacidad para poder justificar su decisión, más que en sustentarla jurídicamente. Por una parte, el artículo 88 de la LPACAP bajo el epígrafe “Contenido-, dispone que: 1. La resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas de este. (…) 2. (…) 3. Las resoluciones contendrán la decisión, que será motivada en los casos a que se refiere el artículo 35. Expresarán, además, los recursos que contra la misma procedan, órgano administrativo o judicial ante el que hubieran de presentarse y plazo para interponerlos, sin perjuicio de que los interesados puedan ejercitar cualquier otro que estimen oportuno (…). Por otra parte, el artículo 90.1 de la LPACAP dispone las “Especialidades de la resolución en los procedimientos sancionadores”: 1. En el caso de procedimientos de carácter sancionador, además del contenido previsto en los dos artículos anteriores, la resolución incluirá la valoración de las pruebas practicadas, en especial aquellas que constituyan los fundamentos básicos de la decisión, fijarán los hechos y, en su caso, la persona o personas responsables, la infracción o infracciones cometidas y la sanción o sanciones que se imponen, o bien la declaración de no existencia de infracción o responsabilidad. La Agencia ha tenido en cuenta la prueba documental y las alegaciones que en ella descansaban. Además, ha dado respuesta concreta sobre ellas en el FD Quinto. Tanto es así, que la sanción inicialmente propuesta en el Acuerdo de inicio que ascendía a 100.000’00 de euros, se reduce en la Propuesta de Resolución y en la resolución definitiva a 70.000’00 euros. Lo mismo sucede respecto a las infracciones imputadas en el Acuerdo de Inicio, que incluía los artículos 5.1.
6. f)y 5.2 del RGPD, y en la Propuesta de Resolución y en la Resolución, se alude únicamente a una infracción del artículo 5.1.
7. f)del RGPD. Tampoco se han esquivado en los Antecedentes determinados hechos o argumentos, sino que en la Resolución se han incluido parte de los expuestos en las alegaciones presentadas en fecha 29/10/2021 recogidos en un total de 35 páginas. En definitiva, la alegación sobre los antecedentes debe ser desestimada. QUINTO: Sobre el Fundamento Tercero y la responsabilidad objetiva. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/40 Sobre lo aducido en cuanto a que la Agencia ha reconocido que SIMYO dispone de una política de seguridad, es evidente, que la operadora contaba con una política de seguridad aplicable a la expedición de los duplicados SIM. Cuestión distinta es que esta fuera la oportuna (artículo 24.2 del RGPD). El principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, LRJSP), dispone que: Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa. No es que la Agencia insista en una argumentación basada en el resultado, sino que tal y como razona la Sentencia de la Audiencia Nacional (SAN) de 21 de enero de 2010 (JUR 2010, 60135), rec. 719/2008 , en su FJ 3º: "...No basta con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva. Así, de nada sirve que se aprueben unas instrucciones detalladas sobre el modo de proceder para la recogida y destrucción de documentos que contengan datos personales si luego no se exige a los empleados (...) la observancia de aquellas instrucciones. Hemos considerado, en consecuencia, que se impone una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros . Y ello porque toda responsable de un fichero (o encargada de tratamiento) es, por disposición legal, una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos personales han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues también es responsable de que las mismas se cumplan y se ejecuten con rigor. En definitiva, toda responsable de un fichero debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica sin que, bajo ningún concepto, datos bancarios, o cualesquiera otros datos de carácter personal, puedan llegar a manos de terceras personas.” La Sentencia del Tribunal Supremo (STS) 5298/1994, de 9 de julio de 1994, indica: “…la potestad sancionadora de la Administración goza de la misma naturaleza que la potestad penal, por lo que en consecuencia, las directrices estructurales del ilícito administrativo tienden también, como en el ilícito penal, a conseguir la individualización de la responsabilidad, vedando cualquier intento de construir una responsabilidad objetiva o basada en la simple relación con una cosa, por consiguiente en el ámbito de la responsabilidad administrativa no basta con que la conducta sea antijurídica y típica, sino que también es necesario que sea culpable, esto es, consecuencia de una acción u omisión imputable a su autor por malicia o imprudencia, negligencia o ignorancia inexcusable (STC, Sala del artículo 61 de la Ley Orgánica del Poder Judicial, de 6 de noviembre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/40 de 1990)” Por una parte, SIMYO cuenta con una red de comerciales, puntos de venta y distribuidores homologados a través de un contrato de distribución para ofrecer los servicios de SIMYO. Entre estos servicios ofrecidos desde sus puntos de venta, está la realización de duplicados de tarjetas SIM correspondientes a una línea de telefonía móvil. Según la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo, LGTEL), los servicios de comunicaciones electrónicas tienen la consideración de “servicios de interés general”. No olvidemos que mediante estos servicios se garantiza la conectividad a servicios tan importantes como la telefonía fija, móvil o el acceso a Internet (artículo 2.1 LGTEL). Es de obligada referencia el artículo 41 de la LGTEL, que establece con carácter general el deber de protección de los datos de carácter personal que corresponde a los operadores de comunicación en los siguientes términos: 41.1. Los operadores que exploten redes públicas de comunicaciones electrónicas o que presten servicios de comunicaciones electrónicas disponibles al público, incluidas las redes públicas de comunicaciones que den soporte a dispositivos de identificación y recopilación de datos, deberán adoptar las medidas técnicas y de gestión adecuadas para preservar la seguridad en la explotación de su red o en la prestación de sus servicios, con el fin de garantizar la protección de los datos de carácter personal. Dichas medidas incluirán, como mínimo:
8. a)La garantía de que sólo el personal autorizado tenga acceso a los datos personales para fines autorizados por la Ley.
9. b)La protección de los datos personales almacenados o transmitidos de la destrucción accidental o ilícita, la pérdida o alteración accidentales o el almacenamiento, tratamiento, acceso o revelación no autorizados o ilícitos.
10. c)La garantía de la aplicación efectiva de una política de seguridad con respecto al tratamiento de datos personales. La Agencia Española de Protección de Datos, en el ejercicio de su competencia de garantía de la seguridad en el tratamiento de datos de carácter personal, podrá examinar las medidas adoptadas por los operadores que exploten redes públicas de comunicaciones electrónicas o que presten servicios de comunicaciones electrónicas disponibles al público y podrá formular recomendaciones sobre las mejores prácticas con respecto al nivel de seguridad que debería conseguirse con estas medidas. (…) Por otra parte, los clientes -personas físicas o jurídicas- suscriben contratos privados con SIMYO para la prestación de determinados servicios que se someten a unas cláusulas de privacidad recogidas en las “Condiciones Generales de los Servicios de SIMYO”. La cláusula 13.3 de las Condiciones Generales dice: (
11. vi)En particular, SIMYO se compromete a cumplir las siguientes obligaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/40 a. Tratar los datos personales, únicamente, para llevar a cabo la prestación de los servicios contratados, ajustándose a las instrucciones que, en cada momento, le indique, por escrito, el Cliente (salvo que exista una normativa que obligue a tratamientos complementarios, en tal caso, SIMYO informará al Cliente de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público). b. Mantener el deber de secreto respecto a los datos de carácter personal a los que tenga acceso, incluso después de finalizada la relación contractual, así como a garantizar que las personas a su cargo se hayan comprometido por escrito a mantener la confidencialidad de los datos personales tratados. c. Garantizar la aplicación de medidas técnicas y organizativas apropiadas, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: (
12. i)la seudonimización y el cifrado de datos personales, (
13. ii)la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento (iii) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico (
14. iv)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. d. Guardar bajo su control y custodia los datos personales a los que acceda con motivo de la prestación del Servicio y a no divulgarlos, transferirlos, o de cualquier otra forma comunicarlos, ni siquiera para su conservación a otras personas ajenas al mismo y a la prestación del servicio. No obstante, el Cliente podrá autorizar de manera expresa y por escrito a SIMYO para que recurra a otro Encargado del Tratamiento (en adelante, el “Subcontratista”). SIMYO informará del mismo modo al Cliente de cualquier cambio previsto en la incorporación o sustitución de los Subcontratistas, dando así al Cliente la oportunidad de oponerse a dichos cambios. Por lo tanto, SIMYO está obligada por la LGTEL y por las cláusulas suscritas a cumplir con las obligaciones que en materia de seguridad y confidencialidad le competen. Invoca la SAN 733/2013, de 23 de diciembre de 2013 y las STC 76/1990, 246/1991 y 15/1999. Considera que la Agencia parece confundir el concepto de responsabilidad proactiva, con la obligación de resultado que impone la responsabilidad objetiva. Aduce que el sistema implantado ha demostrado ser eficaz en la práctica totalidad de los casos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/40 En modo alguno confunde esta Agencia ambos conceptos. En el FD Tercero de la Resolución ya se analizó el concepto de responsabilidad proactiva y se manifestó que: Sentado lo anterior, puede afirmarse que, de la instrucción del procedimiento, tal y como se infiere de los Hechos Probados y considerado el contexto del artículo 24 del RGPD en relación con SIMYO, se constató, entre otras, la implementación de un modelo más eficaz de evitación del riesgo de suplantación de identidad, la revisión, refuerzo y mejora de las medidas de seguridad aplicadas en los distintos canales tendentes a asegurar el procedimiento de identificación y entrega de la tarjeta SIM, con el fin de evitar la materialización de los fraudes. También, la reacción inmediata frente a los hechos descritos y la capacidad de la operadora para demostrar su cumplimiento. Así, no se imputa a SIMYO una vulneración del artículo 5.2 del RGPD. También se analizó bajo el epígrafe “Actuación diligente de SIMYO” en la Alegación Cuarta, que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991: "(...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). Por otro lado, la culpabilidad de la parte recurrente no puede considerarse excluida ni atenuada por el hecho de que haya mediado la posible actuación fraudulenta de un tercero, pues su responsabilidad no deriva de la actuación de éste, sino de la suya propia. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que: “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". Por lo tanto, cabe apreciar falta de diligencia en la actuación de SIMYO, sin que quepa apreciar falta de culpabilidad. No nos encontramos con una responsabilidad objetiva, tal y como asevera la recurrenC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/40 te, sino con un resultado objetivo producido de suplantación de identidad al no haberse garantizado una seguridad adecuada en el tratamiento de los datos personales. SIMYO pretende justificar los hechos producidos basándose en un “error humano”, cuando los errores probados han sido varios. En las dos reclamaciones interpuestas E/10534/2019 y E/00220/2020, que afectan a la parte reclamante uno y dos, respectivamente: • El duplicado se solicitó de forma presencial en un punto de venta, canal habilitado en aquel momento. Se requirió (…), así como resto de documentación asociada aportada por el solicitante. No se aportó. • SIMYO confirmó que los suplantadores adquirieron la tarjeta SIM en (…) y que la orden de compra no constaba registrada en los sistemas de la entidad. • Los suplantadores contactaron con el Servicio de atención al cliente, superaron la política de seguridad y consiguieron modificar los (…) de los legítimos titulares. • La activación de ambas tarjetas se realizó con posterioridad a la modificación de estos correos. En concreto, (…), lo cual permitió el acceso y una vez identificados, la activación de la tarjeta SIM. • Asimismo, la parte reclamante dos, con fecha 23 de agosto de 2019, contactó vía correo electrónico con “soporte@simyo.es” advirtiendo sobre una llamada recibida desde un número oculto haciéndose pasar por un operador de SIMYO para obtener sus datos personales, sin obtener respuesta alguna. No nos encontramos, por lo tanto, ante un error humano aislado, sino ante una serie de errores concatenados. Aduce que el sistema implantado ha permitido la trazabilidad de las acciones y la identificación de los errores cometidos por los agentes específicamente implicados, acreditando que la materialización del riesgo no viene derivada de una deficiente configuración de los controles existentes, sino del error humano puntual, provocado como consecuencia de la actuación intencionada y altamente sofisticada, de los suplantadores de identidad, centrada exclusivamente en este objetivo. En este sentido, razona la SAN, Sala de lo Contencioso-administrativo, Sección 1ª, de 5 Mayo 2021, Rec. 1437/2020: Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012): "Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento...". Alude a que el establecimiento de canales (como el presencial) no puede utilizarse por la Agencia como una insuficiencia de la política de seguridad. O que los cambios de información sensible siempre han exigido la identificación del cliente. Dice la parte recurrente que las pruebas con las que cuenta la AEPD, evidencian claramente que estamos ante casos excepcionales y completamente aislados derivados de incumplimientos particulares de los trabajadores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/40 Aduce, sobre las supuestas incongruencias entre la “Política de Seguridad” y la “Documentación Duplicado de la SIM”, que las mismas no son excluyentes, sino que se complementan: aunque ambos documentos van dirigidos a los agentes que tramitan peticiones en el Call Center, el documento “Documentación Duplicado de SIM” es anterior a la “Política de Seguridad”, pese a que sea únicamente por unos días. Es por ello, por lo que el documento más reciente, (“Política de Seguridad”) es el que robusteció el protocolo de seguridad e incorporó el requisito de solicitud de (…) junto con el (…), como medidas adicionales de garantía de identidad. En este sentido, el artículo 24 del RGPD establece que las medidas para la gestión del riesgo “se revisarán y actualizarán cuando sea necesario”. A su vez, el artículo 25 del RGPD, donde se establece la protección de datos desde el diseño y por defecto, establece que estas medidas se aplicarán “en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento”. El artículo 32 del RGPD, sobre medidas de seguridad, en su apartado 1.d, establece la obligación de “un proceso de verificación, evaluación y valoración regulares”. A este respecto, las Directrices WP248 señalan: En la práctica, esto significa que los responsables deben evaluar continuamente los riesgos creados por sus actividades de tratamiento a fin de identificar cuando es probable que un tipo de tratamiento entrañe «un alto riesgo para los derechos y libertades de las personas físicas». En la nota 6 de las mismas Directrices WP248 se expone: Cabe señalar que, a fin de gestionar los riesgos para los derechos y libertades de las personas físicas, dichos riesgos deben identificarse, analizarse, estimarse, evaluarse, tratarse (p. ej., mitigarse) y revisarse con regularidad. Los procedimientos, protocolos e instrucciones, independientemente de la fecha en que se adopten y fruto de la revisión y actualización expuesta, deben ser coherentes sin que subsistan contradicciones que dificulten su entendimiento. Alude al error reconocido por la Agencia en el relato de hechos de la Propuesta de Resolución, y razona que dado que se alternaron los nombres y datos erróneamente (son realmente más de seis palabras, se intercambian y confunden más datos), se dificultó a SIMYO el poder analizar el supuesto concreto y el relato de hechos completo que sustentaba la comisión de una infracción. Esta situación, donde no resulta posible identificar qué hechos pertenecen a uno y otro reclamante, causó a SIMYO una indefensión material, que ha mermado sus posibilidades de defensa efectivas a la hora de refutar los hechos constitutivos de cada uno de los supuestos. En este sentido, la STC 86/1997, de 22 Abr, FJ 1, dice: La indefensión ha de ser material, y no meramente formal, lo que implica que ese defecto formal haya supuesto un perjuicio real y efectivo para el demandado en sus posibilidades de defensa (STC 43/1989, 101/1990, 6/1992 y 105/1995, entre otras); SIMYO, en todo momento ha tenido conocimiento de los hechos que se le imputan, las posibles infracciones de los que los hechos son constitutivos, ha podido alegar cuanto a su derecho ha considerado oportuno y ha podido solicitar las pruebas y aportar los documentos que ha considerado en su defensa a lo largo de la instrucción del procedimiento sancionador, que han sido analizados y tomados en consideración C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/40 como se refleja en la Resolución contra la que ha presentado este recurso. También, la SAN (Sala de lo Contencioso-Administrativo, Sección1ª), de 7 junio 2019, dice: Ahora bien, no se produce indefensión a estos efectos, tal y como declara la Sentencia del Tribunal Supremo de 11 de octubre de 2012 (RJ 2012, 11351) -recurso nº. 408/2010 -, " si el interesado ha podido alegar y probar en el expediente cuanto ha considerado oportuno en defensa de sus derechos y postura asumida, como también recurrir en reposición, doctrina que se basa en el artículo 24.1 CE (RCL 1978, 2836) , si hizo dentro del expediente las alegaciones que estimó oportunas" ( S.TS. 27 de febrero de 1991 ), "si ejercitó, en fin, todos los recursos procedentes, tanto el administrativo como el jurisdiccional" ( S.TS. de 20 de julio de 1992 ). En este sentido, SIMYO en el marco de las Actuaciones previas de investigación E/ 11418/2019, presentó, en fecha 27 de julio de 2020, un análisis pormenorizado de los expedientes E/10534/2019 y E/00220/2020, en concreto, en la Alegación Tercera. Previamente, de acuerdo con lo previsto en el artículo 65.4 de la LOPDGDD, se le trasladaron las dos reclamaciones para que procediera a su análisis y diera respuesta en el plazo de un mes. De hecho, en el caso de la parte reclamante uno, registró las alegaciones en fecha 12 de diciembre de 2019, con el siguiente “Expone”: SE VIENEN A PRESENTAR ALEGACIONES AL REQUERIMIENTO DE INFORMACIÓN E-10534-2019 (RECLAMANTE: A.A.A.). Y en el caso de la parte reclamante dos, presentó en fecha 14 de febrero de 2020, escrito de alegaciones con el siguiente “Expone”: Notificado el requerimiento de referencia, por medio del presente formulamos alegaciones en atención del mismo. Y acompañaba varios documentos, entre ellos, un PDF denominado: ALEGACIONES E-00220-2020 B.B.B..pdf Por tanto, no cabe apreciar ninguna indefensión material ocasionada a la parte recurrente en la tramitación del procedimiento sancionador. A juicio de la parte recurrente, la incidencia de 2 casos en un total de más de 800.000 procedimientos anuales de duplicado, no permite inferir la ineficacia de los procedimientos de SIMYO que son realmente eficaces y efectivos. Cabe señalar en este sentido, que SIMYO, a raíz de las dos reclamaciones interpuestas modifica su Política de Seguridad. En su escrito, de fecha 12 de diciembre de 2019, SIMYO reconoce que: Estos hechos han puesto de manifiesto la necesidad de establecer medidas adicionales en aras a garantizar el proceso de identificación de cliente en este tipo de actos comerciales y la conveniencia de incorporar controles adicionales en caso de modificación de determinados datos, como es el de dirección de correo electrónico, como expondremos a continuación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/40 Algunas de las medidas aplicadas fueron las siguientes: • Elimina la posibilidad de (…), con fecha 23 de agosto de 2019. • (…). • Aplica un nuevo modelo de gestión (…). El considerando 74 del RGPD señala que: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas. El artículo 5.2 del RGPD establece que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»)”. Así, en este precepto, se destaca la figura que debe asumir la responsabilidad última (el responsable del tratamiento -artículo 4.7 RGPD-) por cualquier tratamiento de datos personales que realice él mismo o por su cuenta (considerando 74 del RGPD). Por tanto, el responsable no puede trasladar la responsabilidad a otros sujetos que intervengan en el tratamiento como los encargados del tratamiento. En suma, la alegación sobre el Fundamento Tercero y la responsabilidad objetiva debe ser desestimada. SEXTO: Sobre el Fundamento Cuarto y el tratamiento de datos personales. SIMYO reconoce que el proceso de duplicado de una tarjeta SIM supone el tratamiento de datos personales. Sin embargo, considera que la AEPD no justifica que se haya visto afectada la confidencialidad de ningún dato personal durante estos procesos. Considera que: - La información tratada durante el proceso de duplicado de una tarjeta SIM es la información identificativa del titular de la línea, no la información técnica contenida en dicha tarjeta, con excepción del MSISDN. - Dichos datos eran conocidos por los delincuentes con anterioridad a solicitar el duplicado. - No consta que se haya tratado ninguna información que pueda estar contenida en las tarjetas SIM, como el IMSI, ni mucho menos información sobre el listado telefónico o el de llamadas y mensajes. Aduce que la Agencia únicamente califica el acceso al duplicado como una quiebra de la confidencialidad de los datos, pero sin ser capaz de justificar que efectivamente se haya tenido conocimiento de esta información por parte de los delincuentes durante el proceso de duplicado. El considerando 39 del RGPD señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/40 “ … Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” El considerando 85 del RGPD dice: “Si no se toman a tiempo medidas adecuadas, las violaciones de la seguridad de los datos personales pueden entrañar daños y perjuicios físicos, materiales o inmateriales para las personas físicas, como pérdida de control sobre sus datos personales o restricción de sus derechos, discriminación, usurpación de identidad, pérdidas financieras, reversión no autorizada de la seudonimización, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, o cualquier otro perjuicio económico o social significativo para la persona física en cuestión. (…)” El deber de confidencialidad surge del artículo 5.1.
15. f)del RGPD cuando afirma que los datos deben ser “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. Se trata, por tanto, del principio relacionado tanto con la confidencialidad de los datos personales tratados como con la seguridad del tratamiento. Es decir, las operadoras deben estar en disposición de establecer mecanismos que impidan que se produzca la duplicación fraudulenta de las tarjetas SIM, medidas que respeten la confidencialidad de los datos y que impidan que un tercero acceda a datos que no son de su titularidad, pues precisamente compete a la operadora tratar datos de carácter personal conforme al RGPD. Por dicha razón, este es un proceso en dónde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que el tratamiento de datos es conforme al RGPD. Tomando como criterio la jurisprudencia dictada sobre la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, se diferenciaba entonces entre la vulneración del deber de secreto, asimilable hoy al deber de confidencialidad (artículo 5.1 LOPDGDD), de estas otras infracciones relativas a medidas de seguridad, a través de afirmar que, mientras la infracción del deber de secreto exige un resultado (divulgación o comunicación de datos), la relativa a medidas de seguridad es una infracción de actividad (ausencia de medidas adecuadas), sin requerir por tanto tal divulgación. En otras palabras, mientras que la infracción del principio de confidencialidad supone que los datos se hayan revelado a un tercero, la infracción de medidas de seguridad únicamente requiere que se declare probada la ausencia de los requisitos de seguridad exigidos. Resulta ilustrativa la SAN 3059/2009, de 18 de junio, que señala: “Por lo tanto, resulta que no se ha acreditado que se haya producido ninguna forma de infracción del deber de secreto pues aunque, es cierto que la documentación no estuvo correctamente custodiada y no era razonable que las historias clínicas viajaran en un camión con el resto de escombros de la demoliC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/40 ción de un hotel, la realidad es que ninguna violación del secreto se ha producido y nadie ha llegado a tener noticia de la documentación clínica que, al parecer, sigue custodiada en las cajas en cuestión cuya fotografía ha aportado la parte recurrente. Esta Sala tiene establecido como la infracción del deber de secreto es una infracción de resultado en la que lo relevante es que se llegue a producir la divulgación de un secreto, no siendo relevante (a los efectos de la violación del deber de secreto) con la simple omisión de medidas de seguridad.” Del mismo modo, en la SAN 2285/2009, de 7 de mayo, se expuso expresamente esta diferencia del siguiente modo: “La infracción tipificada en el art. 44.3 .
16. g)es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional -como aquí ocurre en relación con el número de la cuenta corriente- se hayan puesto de manifiesto a un tercero, sin que pueda presumirse que tal revelación se ha producido. Efectivamente, la Agencia Española de Protección de Datos en su resolución se limita a poner de manifiesto que el sistema de cierre, mediante ventanilla transparente, de los sobres utilizados por el Banco para realizar determinadas comunicaciones a sus clientes pudiera dar lugar a que determinados datos personales contenidos en esas comunicaciones puedan ser conocidas por terceras personas respecto de las que deba mantenerse el secreto. No prueba sin embargo que los datos fueran efectivamente conocidos por dichos terceros. Estaríamos, por tanto, como sostiene el recurrente, ante una posible infracción de medidas de seguridad -que es una infracción de actividad- pero no ante la infracción que se le imputa que exige la puesta en conocimiento de un tercero de los datos personales.” Por tanto, integrando el tipo infractor del articulo 5.1.
17. f)del RGPD se encuentra el hecho de que la información o datos personales se pongan en comunicación de terceros, circunstancia que concurre en los casos analizados. Según el Informe de la Fiscalía General del Estado sobre “Identificación de terminales o dispositivos de conectividad al amparo del art. 588 Ter de la Ley Orgánica 13/2015” elaborado en el mes de julio de 2016: Según los estándares europeos relativos a sistemas de telecomunicaciones celulares digitales establecidos por el Instituto Europeo de Estándares de Telecomunicaciones, un dispositivo de comunicaciones móviles celulares plenamente operativo, denominado en el lenguaje coloquial “Teléfono Móvil” y en el técnico “Estación Móvil”, se compone materialmente de dos elementos esenciales: - En primer lugar, el terminal o equipo electrónico móvil dotado de pantalla, procesador, memoria, módem de comunicaciones y batería. - En segundo lugar, el módulo de identificación de usuario, más conocido como “tarjeta SIM” (Subscriber Identity Module). Esta tarjeta SIM es intercambiable entre los diferentes terminales móviles existentes en el mercado y contiene en su chip digital la información necesaria para identificar y autenticar al abonado, incluido el International Mobile Subscriber Identity (IMSI), el cuál identifica de forma inequívoca al abonado en la red celular. Sin un IMSI válido los servicios de telefonía móvil no serán accesibles, salvo en el caso de llamadas de emergencia. La Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/40 ciones electrónicas y a las redes públicas de comunicaciones, concretamente en su artículo 3.1.e.2º, establece como datos necesarios para la identificación del equipo de comunicación empleado en el ámbito de la telefonía móvil el IMSI y el IMEI, entre otros. Así, mientras que un terminal móvil puede ser suministrado a un usuario en cualquier comercio del sector electrónico o por su proveedor de servicios de telecomunicaciones, una tarjeta SIM operativa siempre habrá de ser suministrada al abonado por su compañía proveedora de servicios de telecomunicaciones, conteniendo la ya citada información que le identificará en la red, IMSI incluido, y que le dará acceso a los servicios contratados. Por este motivo, un proveedor de servicios de telecomunicaciones contará en sus bases de datos de clientes y de facturación con los datos personales del abonado, de la SIM y el IMSI suministrado y, en caso de haber suministrado también un terminal móvil, el IMEI del mismo (International Mobile Estation Equipment Identity). El IMSI es, por tanto, el código de identificación por excelencia en la red de comunicaciones móviles celulares, que da acceso al abonado a los servicios contratados y que permite la facturación correspondiente por parte del proveedor. Es por tanto fundamental para identificar al usuario del teléfono y aparece en todas las conexiones entre el terminal y la red. Esa interacción y el consiguiente trasvase de datos se produce, por supuesto, cuando se está produciendo una conversación telefónica, pero no debemos olvidar que también hay conexión desde el momento en que se enciende el terminal, y por lo tanto en situaciones ajenas a un proceso comunicativo concreto. Asimismo, el Informe 0030/2021 del Gabinete Jurídico de la AEPD indica: Conviene aclarar, en primer lugar, que el IMSI se integra en la tarjeta SIM, y sirve para identificar internacionalmente al abonado, y a partir del cual se asigna un MSISDN que se conoce como número comercial, conocido coloquialmente como el número de teléfono. Y, en segundo lugar, debe tenerse en cuenta que la tarjeta SIM contiene una programación que, una vez introducido el PIN permite la búsqueda de redes GSM y UMTS y trata de conectarse en una de ellas. Cuando se ha conectado a la red, el teléfono (IMSI y IMEI) queda registrado y estará disponible para usar los servicios contratados. Por lo tanto, si el IMSI está almacenado en la tarjeta SIM, quien tenga la tarjeta SIM (el suplantador) tiene el IMSI almacenado (almacenar un dato personal implica tratarlo). Además, en cuanto el suplantador introduzca la SIM en un terminal y lo encienda, el IMSI va a ser accedido e intercambiado con la red. Recordemos, además, la cláusula “2.1.2. Tarjeta SIM” de las condiciones generales de los servicios de SIMYO, dispone: “La Tarjeta SIM es una tarjeta que permite identificar el servicio suscrito por el Cliente y la línea contratada para poder prestarle el Servicio móvil. El Cliente deberá introducir la Tarjeta SIM en su dispositivo móvil.” Además, SIMYO en el documento “Información y gestiones de SIM” aportado en fecha 27 de julio de 2020, informa: “Una tarjeta SIM es una tarjeta de pequeño tamaño que contiene un chip donde está almacenada toda la información sobre la línea telefónica del cliente; es el elemento que soporta la línea y el número telefónico y permite el acceso del terminal a la Red.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/40 Por consiguiente, cuando se produce la emisión y entrega del duplicado a un tercero no autorizado, los afectados pierden el control de la tarjeta SIM (soporte físico que almacena datos personales) y el tercero no autorizado efectúa un tratamiento de los datos almacenados en la tarjeta SIM que corresponden al legítimo titular y lo hace, sin base legal alguna. De ahí que, el duplicado de la tarjeta SIM impida al legítimo titular hacer uso de su terminal telefónico, al quedar anulada la anterior tarjeta, con los consecuentes problemas a la hora de hacer uso (en su caso) de las aplicaciones como también del servicio contratado. Así, el usuario de la tarjeta SIM legítima dejará de tener cobertura en su teléfono móvil, no podrá realizar llamadas ni enviar SMS. Por lo tanto, el valor de ese dato personal, integrado en un soporte físico -tarjeta SIM-, es real e incuestionable, motivo por el cual SIMYO tiene el deber legal de garantizar su seguridad y confidencialidad, tal como haría con cualquier otro activo de la empresa. De manera que, las alegaciones al Fundamento Cuarto y sobre el tratamiento de datos personales se desestiman. SÉPTIMO: Sobre el Fundamento Quinto y el objeto del procedimiento sancionador. Aduce SIMYO que la Agencia con sus afirmaciones quiere asociar intencionalidad a su conducta a la hora de facilitar las suplantaciones de identidad. Alega que fue el propio reclamante quien facilitó sus propios datos en una llamada telefónica directamente a los suplantadores. Insiste en que no se ha producido el acceso por parte de los suplantadores a datos personales y que el razonamiento de la Agencia, respecto a que los tratamientos realizados por las entidades financieras no son objeto de análisis en este expediente, sirve por sí sólo para desarticular toda la argumentación jurídica de la propia AEPD en torno a la responsabilidad de SIMYO y la sanción que trata de imponer. Cabe traer a colación la Sentencia de la Audiencia Provincial (SAP) de Barcelona núm. 390/2019 de 30 de mayo, que dispone: “Sin embargo, la identidad del titular de la tarjeta SIM, o lo que es lo mismo, la identidad del titular del número de teléfono asociado a dicha tarjeta, no constituye un dato de tráfico derivado de las comunicaciones telefónicas ni un dato que afecte a la comunicación misma. No cabe duda de que constituye un dato personal relativo a la intimidad de la persona amparada en el art. 18.1 CE.” En este sentido, tanto los datos personales (nombre, apellidos y DNI) que se tratan para emitir un duplicado de tarjeta SIM como la propia tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. La tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C -101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: “El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/40 sus condiciones de trabajo o a sus aficiones”». De manera que, cuando el suplantador consigue que se active la tarjeta SIM se hace con el control del número de teléfono del abonado con el fin de realizar una serie de acciones asociadas a ese número, y desde ese instante, se produce un tratamiento de datos (artículo 4.2 RGPD) no autorizado e ilícito. En cuanto a los tratamientos realizados por las entidades financieras ya nos pronunciamos en el FD Quinto de la Resolución. Los hechos investigados se han centrado en la expedición de duplicados de tarjeta SIM fraudulentos. Recordemos que, en un primer momento, el autor de la estafa se apodera de las claves de acceso de las aplicaciones bancarias así como de otra información necesaria para continuar con la misma, tales como número de teléfono, nombre y apellidos del usuario, DNI y operador de telefonía. Una vez obtenida esta información, el autor solicita el duplicado de la tarjeta SIM de la víctima en las sucursales de las entidades de la prestación de servicios de telefonía para insertarla en otro terminal telefónico. Finalmente, mediante las claves de usuario y contraseña podrá acceder a las aplicaciones de banca online de la víctima, efectuando transacciones bancarias que podrá autorizar al obtener a través de los mensajes SMS remitidos por la entidad bancaria a la SIM duplicada, las claves de autorización de estas transacciones. Si la operación bancaria está protegida por el sistema de autenticación 2FA -segundo factor de autenticación- no será suficiente para el ciberdelincuente conocer los datos de acceso a la banca online de la víctima puesto que necesitará saber, además, el código de verificación que se le remita por SMS al teléfono móvil asignado para confirmar y completar la operación. Por ello, una vez obtenidas las credenciales de banca online, el objetivo será lograr conocer el contenido del mensaje de autenticación de un solo uso. Ello puede hacerse de varias maneras: o bien utilizando algún malware o aplicación maliciosa que permita al ciberdelincuente acceder a la lectura de los SMS que se reciban en el dispositivo infectado o provoque el reenvío de todos los SMS que se reciban, siendo este un mecanismo todavía poco común por su complejidad técnica, o bien mediante la obtención de un duplicado ilegítimo de la tarjeta SIM a la que esté vinculado el número de teléfono móvil en el que se hayan de recibir los códigos de verificación. Esto último es precisamente lo que se conoce como SIM Swapping o intercambio de la tarjeta SIM y sería el segundo paso o fase de la estafa analizada, objeto de este procedimiento sancionador. Según el Informe denominado “Contrarrestar el intercambio de SIM” publicado en diciembre de 2021 por ENISA (Agencia de la Unión Europea para la Ciberseguridad): “Los atacantes abusan de la capacidad de los proveedores para portar rápidamente y sin problemas un número de teléfono a un dispositivo que contiene un módulo de identidad de suscriptor diferente (SIM). Como resultado, el atacante se hace cargo de la cuenta y puede recibir todos los SMS y llamadas de voz destinados al suscriptor legítimo. Los estafadores pueden realizar fraudes bancarios en línea, pero también eludir la autenticación de dos factores (2FA) utilizada para proteger las redes sociales y otras cuentas en línea.” (…) “Los operadores de redes móviles deben reforzar los mecanismos fraudulentos de detección y bloqueo de la SIM mediante la mejora de los proceC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/40 sos internos para proporcionar al cliente una experiencia preferentemente sin fisuras.” (…) “Del mismo modo, a muchos otros ataques contra la confidencialidad, integridad y autenticidad de las comunicaciones electrónicas de los suscriptores individuales, en los ataques de intercambio de SIM, el objetivo del atacante es obtener el control de la cuenta móvil del abonado objetivo con el fin de realizar una serie de acciones asociadas con su número de móvil. Este tipo de ataque aprovecha la capacidad del ORM -operador de red móvil- para transferir un número de teléfono móvil a una SIM diferente, un procedimiento denominado «portabilidad de número». Por lo tanto, el objetivo del atacante es hacerse cargo de la cuenta de un abonado móvil cambiando la afiliación de dicha cuenta de la tarjeta SIM original a una tarjeta SIM bajo el control del atacante. El atacante normalmente comienza un ataque de intercambio de SIM mediante la recopilación de detalles personales sobre el suscriptor objetivo, por ejemplo a través de ingeniería social, phishing, malware, la explotación de información de violaciones de datos o haciendo investigaciones en las redes sociales. Una vez que el atacante ha obtenido suficientes detalles para hacerse pasar por el suscriptor objetivo, puede ser capaz de convencer al ORM de que porte el número móvil del abonado a una nueva tarjeta SIM bajo el control del atacante. Si esta parte inicial del ataque tiene éxito, la tarjeta SIM del suscriptor genuino perderá la conexión a la red. Esto permitirá al atacante recibir todo el tráfico SMS y de voz destinado al suscriptor objetivo, como contraseñas únicas (OTP) enviadas mediante llamadas de texto o telefónicas, por ejemplo para iniciar sesión en la banca en línea.” “(…) interceptar el SMS, incluyendo OTP (One Time Password) para transacciones financieras, es uno de los objetivos básicos de los atacantes. Mientras que los atacantes también pueden interceptar el SMS OTP utilizando métodos de ataque más elaborados (como explotar vulnerabilidades de protocolo SS7), el intercambio de SIM parece ser la forma más fácil de interceptar SMS para realizar fraudes bancarios, ya que no requiere herramientas técnicas complejas o costosas.” (La traducción es nuestra) La Agencia no se descuelga de ningún razonamiento ni tampoco achaca toda la responsabilidad a SIMYO. Le atribuye la responsabilidad que le corresponde como responsable de ese tratamiento específico “Emisión de un duplicado de tarjeta SIM”, toda vez que conforme a la definición del artículo 4.7 del RGPD es quién determina la finalidad y medios del tratamiento realizado. SIMYO en su condición de operador deber ser más exigente a la hora de proporcionar un duplicado de una tarjeta SIM. Las verificaciones de identidad deben ser exhaustivas para evitar problemas de suplantación de identidad. En el momento en el que se logra la tarjeta SIM duplicada se tiene también acceso a este segundo factor de autenticación y, por tanto, desde ese instante, se podrían materializar fraudes bancarios. Alude SIMYO al Informe 0030/2021 de la AEPD y recrimina que se traslade a las operadoras la responsabilidad de este tipo de estafa, y a ellas se les exija “establecer toC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/40 das las medidas necesarias” y a las entidades bancarias únicamente se les exija “dificultar” la comisión de estos fraudes. Al contrario de lo que afirma la parte recurrente, en el Informe 0030/2021 no se “traslada toda la responsabilidad a las operadoras de telecomunicaciones” y tampoco es cierto que en el caso de las entidades que prestan servicios de pago no se hagan similares menciones, e incluso que no se valore la operativa bancaria en lo referente al tratamiento de datos, pues consta expresamente en el citado informe en el apartado X dedicado a estas entidades que “Idénticas consideraciones merece la actuación de las entidades bancarias que proporcionan servicios de pago” y párrafos después se indica “En tanto que estas entidades son responsables del tratamiento de los datos de sus clientes, les competen idénticas obligaciones que las señaladas hasta ahora para las operadoras referidas al cumplimiento del RGPD y la LOPDGDD, y además las derivadas del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera”. En consecuencia, las alegaciones de la parte recurrente deben ser desestimadas puesto que no se ajustan a la realidad de lo indicado en el informe, dónde no se realizan diferenciaciones más allá de por razón de la materia (normativa bancaria) y se mantiene incólume la atribución de responsabilidad en el nexo que comparten y que es el que interesa a esta Agencia, es decir, en el tratamiento de datos personales y las obligaciones que tanto operadoras de telecomunicaciones como entidades prestadoras de servicios de pago son acreedoras derivado de su condición de responsable del tratamiento. Invoca también la Memoria 2021 de la Fiscalía General del Estado dedicada a la “Criminalidad informática”, en su punto 8, que indica: “La técnica consiste en burlar las medidas de seguridad de las entidades bancarias accediendo a los códigos alfanuméricos de confirmación, de uso único, generados con ocasión de las transacciones electrónicas y que ordinariamente se comunican a los/as clientes a través de mensajes SMS”. La Fiscalía también menciona a las operadoras de telefonía, que posiciona como una de las entidades que sufren este tipo de fraudes y que han tenido que acometer medidas para evitarlos. Sin embargo, SIMYO omite otra información que la Memoria también indica: Para ello, los/as delincuentes obtienen previamente un duplicado o una nueva tarjeta SIM a nombre de su víctima, ya sea solicitándola del operador correspondiente, simulando la identidad de aquella, ya sea valiéndose de una metodología más elaborada, como en el supuesto objeto de instrucción judicial en Zamora, en el que se aprovechaba con esa finalidad un establecimiento de reparación de móviles. Una vez tienen la tarjeta SIM a su disposición, los delincuentes se garantizan la recepción en su propio dispositivo del código de confirmación de la transacción fraudulenta y, en definitiva, la posibilidad de hacer efectiva la misma en su beneficio, evitando que en ese momento sea conocida por el perjudicado o perjudicada. En definitiva, el duplicado de la tarjeta SIM, es un elemento determinante para concretar el fraude. A SIMYO no se le responsabiliza de la configuración del SMS como segundo factor de autenticación o de la responsabilidad que corresponde a los responsables de otros servicios. Se la responsabiliza por la falta de diligencia a la hora garantizar una seguridad adecuada de los datos personales y la confidencialidad del tratamiento. Y estos hechos, se consideran de la suficiente relevancia y gravedad como para sanC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/40 cionarlos, precisamente, porque no se ha garantizado la seguridad de los datos de los clientes -de forma adecuada-, y en consecuencia, se ha producido un tratamiento no autorizado e ilícito que afecta a la confidencialidad de dato y que ha devenido en otras consecuencias, nada triviales, como son los perjuicios económicos, que no se hubieran producido, si SIMYO, hubiera asegurado la identidad de los clientes y autenticado correctamente a los solicitantes del duplicado. Reseña SIMYO que no reconoce por válidas las múltiples afirmaciones que realiza la Agencia. Aduce que no ha reconocido que las medidas de seguridad fuesen insuficientes y mucho menos en (…) casos. En este sentido, SIMYO es parte integrante del Grupo ORANGE (ORANGE, JAZZTEL, REPÚBLICA MÓVIL, AMENA y SIMYO) y si bien los casos denunciados han sido dos, las actuaciones previas de investigación identificaron la existencia de otros casos en la marca ORANGE, que declaró en el ejercicio 2019 un total de (…) casos e incluyen los correspondientes a SIMYO. Precisamente, por este motivo, la valoración de “el número de interesados afectados” como factor agravante únicamente se ha considerado en el PS/00022/2021 y no en el PS/00046/2021, contra SIMYO. Invoca una insuficiente fundamentación jurídica por parte de la Agencia que emite declaraciones parciales y realiza manifestaciones subjetivas. Reprocha que se considere que los procedimientos sancionadores de otros expedientes extractados responden a circunstancias diferentes y no justifique porqué en unos casos se considera infracción y en otros no. Los expedientes a los que se refirió en las alegaciones a la Propuesta de Resolución fueron analizados en el FD Quinto de la Resolución, uno por uno. De hecho, la Agencia, hasta el momento de realizar las actuaciones previas de investigación, no disponía de precedente administrativo en lo referente a tramitación de reclamaciones por expedición fraudulenta de duplicados de tarjeta SIM. De ahí que las circunstancias se consideren diferentes aunque se desarrollen en un mismo marco temporal. En cuanto a que la AEPD no sugiere o impone la implementación de ninguna medida de seguridad, en el texto de la resolución se establece cual ha sido la infracción cometida y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar. No corresponde a la AEPD en esta resolución sugerir o imponer la implementación de ninguna medida concreta de seguridad en la organización de la recurrente puesto que el establecimiento del tipo de procedimientos, mecanismos o instrumentos concretos para implementar las medidas corresponde a la parte recurrente, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. A título ejemplificativo, ENISA en el Informe denominado “Contrarrestar el intercambio de SIM” recomienda, por ejemplo: Controles más estrictos para la autenticación de clientes y los intercambios de SIM: Las medidas que puedan aplicarse para mitigar el ataque incluyen controles internos de aspectos como la limitación del acceso del personal a la información de los clientes y la capacidad de realizar intercambios de SIM; validaciones del sistema de back-end antes de ejecutar los cambios; apliC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/40 cación de restricciones basadas en el tiempo de los cambios en las cuentas; controles, basados en la ubicación del abonado; notificación de cambios a los clientes (verificación de devolución de llamadas); y el uso de contraseñas y PIN por parte de los clientes para acceder a sus cuentas. La verificación de antecedentes del abonado utilizando un equipo de backoffice también podría ser una contramedida eficaz. Estas comprobaciones de antecedentes podrían incluir la comprobación de la dirección postal facilitada más recientemente, la comprobación cruzada de la tarjeta de identificación presentada en la tienda con copias anteriores mantenidas bajo el perfil del abonado y el examen de los contactos recientes del cliente con los representantes de los clientes.(La traducción es nuestra) Por lo anteriormente expuesto, las alegaciones sobre el Fundamento Quinto y el objeto del procedimiento sancionador se desestiman. OCTAVO: Sobre la indefensión y la falta de seguridad jurídica. Alude SIMYO a la indefensión derivada de una falta de concreción en los motivos constitutivos de la infracción que se le imputa, así como las diversas justificaciones utilizadas por la Agencia. En este sentido, el artículo 25.1 de la CE dispone que “Nadie puede ser condenado o sancionado por acciones u omisiones que en el momento de producirse no constituyan delito, falta o infracción administrativa, según la legislación vigente en aquel momento.” Surge así, en primer lugar, el principio de legalidad que requiere de una ley (lex scripta), que ha de ser anterior al hecho objeto de infracción (lex previa) y que, además sea lex certa, es decir, que describa los actos o conductas en que la infracción consiste. Este último requisito, necesario para dar cumplimiento al principio de seguridad jurídica proclamado en el artículo 9.3 CE, constituye el principio de tipicidad. A su vez, la LRJSP, desarrolla el artículo 25 CE en su artículo 27, bajo la rúbrica de “Principio de tipicidad”, indicando que: “Sólo constituyen infracciones administrativas las vulneraciones del ordenamiento jurídico previstas como tales infracciones por una Ley, (…)”, añadiendo que “Únicamente por la comisión de infracciones administrativas podrán imponerse sanciones que, en todo caso, estarán delimitadas por la Ley.” El artículo 72 de la LOPDGDD lleva a cabo una enumeración de conductas que, con arreglo al artículo 83.5 del RGPD, “considera” como infracciones muy graves a los efectos de la prescripción, estableciendo un plazo de tres años, por entender que son vulneraciones sustanciales de ciertos artículos del RGPD. Pues bien, en el FD III del Acuerdo de Inicio de fecha 11 de febrero de 2021, se indicaba: Las actuaciones reseñadas en los hechos del presente acuerdo de inicio tienen como objeto analizar los procedimientos seguidos para gestionar las solicitudes de cambio de SIM por parte de SIMYO, identificando las vulnerabilidades que puedan existir en los procedimientos operativos implantados, para detectar las causas por las cuales se pueden estar produciendo estos casos, así como encontrar puntos de incumplimiento, mejora o ajuste, para determinar responsabilidades, disminuir los riesgos y elevar la seguridad en el tratamiento de los datos personales de las personas afectadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/40 También se acordaba por la directora: 1.- INICIAR PROCEDIMIENTO SANCIONADOR a ORANGE ESPAÑA VIRTUAL, S.L., con NIF B85057974, de conformidad con lo previsto en el artículo 58.2 del RGPD, por presunta infracción del artículo 5.1.
18. f)y 5.2 del RGPD, tipificada en el artículo 83.5.
19. a)del RGPD y en el artículo 72.1.
20. a)de la LOPDGDD. Asimismo, en el FD Sexto de la Propuesta de Resolución, se indicaba: Hemos de atender a las circunstancias singulares de las dos reclamaciones presentadas, a través de las cuales puede constatarse que, desde el momento en el que la persona suplantadora realiza la sustitución de la SIM, el teléfono de la víctima se queda sin servicio pasando el control de la línea a las personas suplantadoras. En consecuencia, ven afectados sus poderes de disposición y control sobre sus datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos según ha señalado el Tribunal Constitucional en la Sentencia 292/2000, de 30 de noviembre de 2000 (FJ 7). De manera que, al conseguir un duplicado de la tarjeta SIM, se posibilita bajo determinadas circunstancias, el acceso a los contactos o a las aplicaciones y servicios que tengan como procedimiento de recuperación de clave el envío de un SMS con un código para poder modificar las contraseñas. En definitiva, podrán suplantar la identidad de los afectados, pudiendo acceder y controlar, por ejemplo: las cuentas de correo electrónico; cuentas bancarias; aplicaciones como WhatsApp; redes sociales, como Facebook o Twitter, y un largo etc. En resumidas cuentas, una vez modificada la clave de acceso por parte de los suplantadores pierden el control de sus cuentas, aplicaciones y servicios, lo que supone una gran amenaza. De ahí que la seguridad y la confidencialidad de los datos personales se consideren esenciales para evitar que los interesados sufran efectos negativos. (…) Los hechos declarados anteriormente probados, son constitutivos de una vulneración del artículo 5.1.
21. f)del RGPD tras facilitar SIMYO duplicados de la tarjeta SIM a terceras personas que no son las legítimas titulares de las líneas móviles e incluso modificar los datos personales -correo electrónico- , tras la superación por las personas suplantadoras de las políticas de seguridad implantadas por la operadora, lo que evidencia un incumplimiento del deber de proteger la información de los clientes. Y se emitía la siguiente Propuesta de Resolución: Que por la directora de la AEPD se sancione a ORANGE ESPAÑA VIRTUAL, S.L., con NIF B85057974, por infracción del artículo 5.1.
22. f)del RGPD, tipificada en el artículo 83.5.
23. a)del RGPD y en el artículo 72.1.
24. a)de la LOPDGDD, con una multa administrativa de SETENTA MIL EUROS (70.000,00). Y por último, en los FD Primero y Tercero de la Resolución, se indicaba: Primero. En el supuesto examinado, las investigaciones realizadas en aras de determinar la comisión de unos hechos y el alcance de estos pusieron de manifiesto una eventual falta de medidas de seguridad que ha afectado directamente al deber de mantener la confidencialidad de los datos de los clientes. Tercero. Las actuaciones reseñadas en los Antecedentes tuvieron como objeto analizar los procedimientos seguidos para gestionar las solicitudes de cambio de SIM por parte de SIMYO, identificando las vulnerabilidades que pudieran existir en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/40 los procedimientos operativos implantados, para detectar las causas por las cuales se podrían estar produciendo estos casos, así como encontrar puntos de incumplimiento, mejora o ajuste, para determinar responsabilidades, disminuir los riesgos y elevar la seguridad en el tratamiento de los datos personales de las personas afectadas. Los hechos declarados anteriormente probados, vulneran el artículo 5.1.
25. f)del RGPD y son constitutivos de la infracción prevista en el artículo 83.5.
26. a)del RGPD que considera infracción muy grave la vulneración de: “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9,” Asimismo, consta tipificada con sanción de multa administrativa de 20.000.000,00 euros como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. También son constitutivos de la infracción tipificada en el artículo 72.1.
27. a)de la LOPDGDD que considera infracción muy grave a los efectos de la prescripción: “El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. Y por la directora de la Agencia, finalmente, se acordaba: PRIMERO: IMPONER a ORANGE ESPAÑA VIRTUAL, S.L., con NIF B85057974, por una infracción del artículo 5.1.
28. f)del RGPD, tipificada en el artículo 83.5.
29. a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
30. a)de la LOPDGDD, una multa administrativa por importe de 70.000’00 euros (setenta mil euros). Asimismo, la AEPD ha garantizado los derechos previstos en el artículo 64.2.
31. f)y 89.2 de la LPACAP, entre los que se encuentra el derecho a formular alegaciones, sin que, por tanto, pueda estimarse la indefensión invocada. SIMYO ha podido alegar y aportar al procedimiento todo lo que a su derecho ha convenido, sin limitación alguna por parte de la AEPD y todas las alegaciones formuladas al efecto han sido consideradas y contestadas. Aduce, que la Agencia pretende convertir el presente procedimiento en una revisión general de todos los procedimientos de duplicado de tarjeta SIM, pero sin realizar una revisión de estos. La AEPD tiene la obligación de garantizar el derecho fundamental a la protección de datos y tratar las reclamaciones presentadas en relación con dichos tratamientos. Razona la parte reclamante la ausencia de justificación jurídica, unida a la variación de los motivos por los cuáles se infiere una infracción por parte de SIMYO en base a las siguientes afirmaciones: • Se habla de procedimientos susceptibles de mejora, después se reconocen las medidas adoptadas como adecuadas, en otro fundamento son insuficientes atendiendo al resultado; A este respecto, en ningún FD de la Resolución se indica que las medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/40 adoptadas por SIMYO sean las adecuadas. A modo de ejemplo, se exponen algunos de los argumentos utilizados por la Agencia: C/ Jorge Juan, 6 28001 – Madrid o Sin embargo, también resultó acreditado que no se había garantizado una seguridad adecuada en el tratamiento de los datos personales, habida cuenta del resultado que produjo la suplantación de identidad. o En definitiva, la rigurosidad de la operadora a la hora de vigilar quién es el titular de la tarjeta SIM o persona por éste autorizada, que peticiona el duplicado, debería responder a unos requisitos estrictos. No se trata de que la información a la que se refiere no esté contenida en la tarjeta SIM, sino de que, si en el proceso de expedición de un duplicado de tarjeta SIM no se verifica adecuadamente la identidad del solicitante, la operadora estaría facilitando la suplantación de identidad. o Los errores humanos se combaten desde el enfoque de riesgos, el análisis, la planificación, implantación y control de las medidas técnicas y organizativas adecuadas y suficientes. o Un criminal puede intentar engañar y provocar un error humano, pero son las medidas de seguridad adecuadas quienes actúan de freno. o Se considera que está más que demostrado que la práctica de este tipo de fraudes, como el aquí analizado, es una práctica frecuente y que, por tanto, las operadoras deben contar con medidas apropiadas que garanticen que no se facilite indebidamente una tarjeta SIM a quien no sea el legítimo titular. De ahí que, del análisis de la documentación, se concluya que las medidas adoptadas no han sido las adecuadas a tal fin. o Al respecto, esta Agencia quiere señalar que el supuesto de hecho es considerablemente distinto al analizado en este procedimiento sancionador. Y que, el hecho de que en dicho expediente no se hubieran obtenido indicios razonables de la existencia de una brecha de seguridad en el tratamiento que realizada el responsable de tratamiento respecto de los datos de sus clientes, ello no obsta a que en este procedimiento sancionador se hubiera comprobado que SIMYO ha facilitado el acceso a unos duplicados de tarjeta SIM solicitados de forma fraudulenta, como consecuencia de contar con unas medidas de seguridad que no resultan adecuadas a tal fin. o Ello es así, porque esta afirmación ha de ponerse en su contexto: en una vulneración del principio de confidencialidad como consecuencia de una negligencia a la hora de implementar las medidas adecuadas a que hace referencia el artículo 5.1.
32. f)del RGPD para garantizar esa confidencialidad. Es innegable, que el acceso no autorizado o ilícito de los datos personales del afectado se ha producido, derivado, en este caso por una ausencia de medidas de seguridad adecuadas. o Por tanto, amén de las medidas de seguridad implementadas con posterioridad a la comisión de los Hechos Probados y que se valoran de forma positiva por la Agencia, la infracción se considera probada. Por todo lo expuesto, la infracción que se imputa es la prevista en el artículo www.aepd.es sedeagpd.gob.es 31/40 5.1.
33. f)del RGPD. • En un fundamento se indica que hay culpabilidad, en otro se indica que no y posteriormente se insinúa que SIMYO facilita la suplantación de identidad; Con relación a esta afirmación, en ningún FD se concluye que no concurra responsabilidad administrativa. De los Hechos Probados se extrae que el acceso no autorizado a un duplicado de tarjeta SIM consuma la estafa SIM Swapping. A modo de ejemplo, se exponen algunos de los argumentos utilizados para rebatir la falta de culpabilidad: C/ Jorge Juan, 6 28001 – Madrid o La falta de diligencia a la hora de implementar en origen las medidas de seguridad adecuadas constituye el elemento de la culpabilidad. o No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. o Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. o Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). o A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". o Por consiguiente, se desestiman las alegaciones aducidas, incluida la falta de culpabilidad. o La Agencia considera el acceso no autorizado a un duplicado de tarjeta SIM se considera particularmente grave ya que posibilita la suplantación de identidad. De ahí que consideremos los datos sustraídos como www.aepd.es sedeagpd.gob.es 32/40 de naturaleza sensible. • Se señala que se sanciona por las medidas previas, luego por no adoptar medidas adicionales por considerar las incidencias como puntuales, aunque previamente se reconoce que se han adoptado medidas correctivas adecuadas; Nos remitimos a lo indicado en el punto primero de los razonamientos. • Se refiere una quiebra de confidencialidad, pero no se identifican ni se justifica que datos han sido accedidos; Este aspecto ha sido objeto de análisis en el FD Sexto de esta resolución. • Se consideran como agravantes las consecuencias económicas, pero no se entra a valorar el proceso de securización de las operaciones bancarias, además se incluyen referencias a potenciales consecuencias cuya existencia no consta. Este aspecto fue analizado en el FD Quinto de la Resolución. • Se analizan dos supuestos de suplantación, pero se computan otros que no son objeto de análisis. En ningún momento se computa como factor agravante los (…) casos reconocidos por la marca ORANGE ya considerados en el PS/00022/2021. En consecuencia, esta alegación debe ser desestimada. NOVENO: Sobre la cuantía de la sanción. SIMYO considera que ha puesto los medios materiales y personales necesarios para desplegar medidas que permitan impedir este tipo de supuestos de forma proactiva, sin necesidad de ningún estimulo externo, ni mucho menos una sanción. En el FD Quinto de la Resolución se analizó la proporcionalidad de la sanción. Debe traerse a colación lo dispuesto en el considerando 11 del RGPD: La protección efectiva de los datos personales en la Unión exige que se refuercen y especifiquen los derechos de los interesados y las obligaciones de quienes tratan y determinan el tratamiento de los datos de carácter personal, y que en los Estados miembros se reconozcan poderes equivalentes para supervisar y garantizar el cumplimiento de las normas relativas a la protección de los datos de carácter personal y las infracciones se castiguen con sanciones equivalentes. En el considerando 148 del RGPD: A fin de reforzar la aplicación de las normas del presente Reglamento, cualquier infracción de este debe ser castigada con sanciones, incluidas multas administrativas, con carácter adicional a medidas adecuadas impuestas por la autoridad de control en virtud del presente Reglamento, o en sustitución de estas. En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/40 cimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante. La imposición de sanciones, incluidas las multas administrativas, debe estar sujeta a garantías procesales suficientes conforme a los principios generales del Derecho de la Unión y de la Carta, entre ellas el derecho a la tutela judicial efectiva y a un proceso con todas las garantías. Y el considerando 150 del RGPD que señala: A fin de reforzar y armonizar las sanciones administrativas por infracción del presente Reglamento, cada autoridad de control debe estar facultada para imponer multas administrativas. El presente Reglamento debe indicar las infracciones así como el límite máximo y los criterios para fijar las correspondientes multas administrativas, que la autoridad de control competente debe determinar en cada caso individual teniendo en cuenta todas las circunstancias concurrentes en él, atendiendo en particular a la naturaleza, gravedad y duración de la infracción y sus consecuencias y a las medidas tomadas para garantizar el cumplimiento de las obligaciones impuestas por el presente Reglamento e impedir o mitigar las consecuencias de la infracción. Si las multas administrativas se imponen a una empresa, por tal debe entenderse una empresa con arreglo a los artículos 101 y 102 del TFUE. (…). A mayor abundamiento, el artículo 29.2 de la LRJSP también configura la función desalentadora o disuasoria de las multas al indicar que “El establecimiento de sanciones pecuniarias deberá prever que la comisión de las infracciones tipificadas no resulte más beneficioso para el infractor que el cumplimiento de las normas infringidas”. Hay que destacar el artículo 83.1 del RGPD donde se establece el ejercicio de la potestad sancionadora al señalar que: Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. En similar sentido se pronuncia el artículo 58.2.
34. i)del RGPD, cuando dice que la autoridad de control tiene el poder de:
35. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; También el artículo 83.5 del RGPD dice: 5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…) El denominado Grupo del artículo 29, sustituido por el Comité Europeo de Protección de Datos-, en las “Directrices sobre la aplicación y la fijación de multas administrativas a efectos del Reglamento 2016/679” WP 253 dice: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/40 (…) las multas administrativas deben responder adecuadamente a la naturaleza, la gravedad y las consecuencias de la violación, y las autoridades de control deben evaluar todos los hechos del caso de una manera coherente y objetivamente justificada. La evaluación de lo que es efectivo, proporcionado y disuasorio en cada caso también deberá reflejar el objetivo perseguido por la medida correctiva seleccionada, ya sea restablecer el cumplimiento de la normativa o castigar un comportamiento ilícito (o ambos). También aclara que para lograr tal disuasión se debe utilizar la definición del concepto de empresa: Para imponer multas efectivas, proporcionadas y disuasorias, la autoridad de control debe utilizar la definición del concepto de empresa prevista por el TJUE a los efectos de la aplicación de los artículos 101 y 102 del TFUE, a saber, que el concepto de empresa debe entenderse como una unidad económica que puede estar formada por la sociedad matriz y todas las filiales participantes. De acuerdo con el Derecho y la jurisprudencia de la UE, una empresa debe ser entendida como una unidad económica que lleva a cabo actividades comerciales/económicas, con independencia de la persona jurídica de que se trate (considerando 150). En este sentido, ORANGE ESPAÑA VIRTUAL, S.L., en cuanto a “Tipo de empresa” está catalogada como “Filial de grupo” y en cuanto al “Tamaño UE” se cataloga como “Corporate” (“Corporativa” -la traducción es nuestra-) y cuenta con 11 empleados, según los datos declarados en el ejercicio 2019. Así, el establecimiento de la multa se ha basado en una evaluación de todas las circunstancias pertinentes del caso y se considera que es eficaz, proporcionada y disuasoria respecto a los Hechos Probados, teniendo en cuenta los elementos de graduación aplicados conforme al artículo 83.2 del RGPD. Alega que se ve gravemente perjudicada por este tipo de delitos y que la cuantía de la sanción como medida disuasoria no se sostiene. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice: “94. Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor disuasorio se valora tomando en consideración una multitud de elementos y no sólo la situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio puede tener por objeto no sólo una «disuasión general», definida como una acción para desincentivar a todas las empresas, en general, de que cometan la infracción de que se trate, sino también una «disuasión específica», consistente en disuadir al demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no estaba obligada a limitar su valoración a los factores relacionados únicamente con la situación particular de la empresa en cuestión.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/40 “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).” En este sentido, el volumen de ventas durante el año 2019 fue de 123.577.000’00 euros. Por añadidura, la estafa SIM Swapping sigue presente y va en aumento. Muestra de ello son los datos que se exponen en la Memoria de la Fiscalía General del Estado (ya reproducidos) y otras Memorias de las Fiscalías Territoriales, por ejemplo: - La Memoria de la Fiscalía de la Comunitat Valenciana -2021 (Ejercicio 2020)informa: Se ha comenzado a incoar procedimientos judiciales por formas novedosas de fraudes como el SIM Swapping. - Especial mención se hace en la Memoria de la Fiscalía de la Comunidad Autónoma del País Vasco -2021 (Ejercicio 2020)- que dice: Igualmente se ha constatado la existencia de cada vez más procedimiento de SIM Swapping, inexistentes hasta el momento, y que requieren cada vez más mayores medidas de control por parte de las compañías de telefonía móvil para la emisión de duplicados de tarjetas SIM. - La Memoria de la Fiscalía de la Comunidad Autónoma de Andalucía -2021 (Ejercicio 2020)- informa: Destaca la Guardia civil en su informe anual, que se está produciendo una nueva variedad de estafa llamada sim swapping, en el que los autores doblan la tarjeta sim del perjudicado, siendo esta la llave para conseguir suplantar la identidad del perjudicado. Para finalizar, el Informe 0030/2021 del Gabinete Jurídico de la AEPD dice: Y por último debe indicase que corresponde a las operadoras de telecomunicaciones y a las entidades bancarias cumplir lo dispuesto en el RGPD en tanto responsables del tratamiento de los datos de sus clientes, y en especial establecer medidas para que el tratamiento sea leal, confidencial y se impida el acceso no autorizado por terceros a información personal, de acuerdo con lo indicado en los artículos 5.1f), 24 y 32 del RGPD, y 28.2 de la LOPDGDD, sin perjuicio de lo que corresponda a las entidades bancarias como proveedores de servicios de pago derivado del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera. De lo hasta aquí expuesto, debe concluirse que la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. DÉCIMO: Sobre la solicitud de medidas de confidencialidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/40 Alega SIMYO respecto a la información que consta en la Resolución, que, en el caso de difundirse o llegar a ser conocida por terceros, supondría un alto riesgo para su seguridad, y muy especialmente en relación con los datos personales de sus clientes y los riesgos asociados a su uso ilícito. Solicita que el contenido de este procedimiento no sea público. Según lo establecido en el artículo 50 de la LOPDGDD bajo el epígrafe ”Publicidad”: La Agencia Española de Protección de Datos publicará las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y las demás que disponga su Estatuto. Así, la publicación de determinadas resoluciones de la AEPD viene impuesta por la LOPDGDD. El artículo 50 de la LOPDGDD no dispone la publicidad de la resolución como una sanción. La finalidad de esta publicidad no es sancionar públicamente al infractor, sino aplicar el principio de transparencia y facilitar el conocimiento a la ciudadanía de la actividad desarrollada por la AEPD. En este sentido, el artículo 11 del Real Decreto 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos establece, bajo el epígrafe “Transparencia y publicidad”, que: 1. La Agencia Española de Protección de Datos publicará en su página web las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de la Ley Orgánica 3/2018, de 5 de diciembre, y las que impongan medidas cautelares. 2. Sin perjuicio de lo previsto en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, será igualmente objeto de publicación en la página web toda aquella información que la Presidencia considere relevante y que contribuya al mejor cumplimiento de sus funciones. Además, se comprueba con facilidad cuál es la finalidad de la publicación de las resoluciones de la AEPD si se tiene en cuenta que las que se publican no son únicamente aquellas en las que se puede llegar a sancionar, sino que se incluyen las tutelas de derechos, cualquier otra que ponga fin a los procedimientos de reclamación (que pueden terminar o no, en la imposición de una sanción), las que archiven actuaciones previas de investigación, impongan medidas cautelares o las que fije el Estatuto. Así, es una garantía para la ciudadanía en los términos del artículo 45.1 de la LPACAP que dice: 1. Los actos administrativos serán objeto de publicación cuando así lo establezC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/40 can las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente. Es obligada, por tanto, la publicación de la resolución administrativa, tal y como impone la Ley al señalar literalmente que “publicará” (artículo 50 LOPDGDD). Al publicar la resolución en los términos del citado artículo se consuma el interés general encomendado a la AEPD. Eso sí, previa anonimización (conforme a lo solicitado) y detracción de las cuestiones confidenciales o de secreto intelectual e industrial. En cuanto a la jurisprudencia sobre solicitud de medidas cautelares y publicación de resoluciones sancionadoras, por todas, cabe citar el Auto del Tribunal Supremo de 31 de marzo de 2015, Secc. 2ª, Recurso: 73/2015, y las diversas resoluciones que en dicho auto se citan. PRIMERO.- Por la entidad mercantil "Western Union Payment Servicies Ireland Limited (WUPSIL)" se solicita en este incidente la adopción de la medida cautelar <<consistente en la suspensión de la ejecutividad de las sanciones de amonestación pública>> impuestas en la Orden del Ministerio de Economía y Competitividad de 2 de diciembre de 2014 por la comisión de una infracción grave, y en el Acuerdo del Consejo de Ministros de 12 de diciembre de 2014 por la comisión de una infracción muy grave, en materia de prevención de blanqueo de capitales. Dicha entidad recurrente constriñe su solicitud de suspensión a las sanciones de amonestación, sin que extienda su petición ni formule alegaciones respecto de la suspensión de las sanciones económicas, sobre las que nada se interesa en vía cautelar. SEGUNDO.- Limitado pues nuestro análisis a la suspensión de la publicidad de las sanciones de amonestación pública, impuestas por el Consejo de Ministros por la comisión de una infracción muy grave, afirma la entidad recurrente que procede la medida cautelar por cuanto la ejecución de la sanción haría perder su finalidad al recurso, dado el daño reputacional que sufriría la entidad -se afirma- que afectaría a sus relaciones de servicio de pago con entidades de crédito y a las relaciones con sus actuales clientes y agentes, dada la gravedad de la conductas imputadas, cuya sanción se tacha de <desproporcionada>, a lo que añade la inexistencia de perturbación de los intereses generales y de tercero, el transcurso de varios años desde las conductas sancionadas y el refuerzo del control interno para evitar situaciones similares de futuro. Pues bien, el planteamiento de la pretensión cautelar no puede ser acogida. Como hemos sostenido de modo reiterado a este respecto (entre otras, en la Sentencia de 14 de noviembre de 2002 -RC 8351/1999 - y en las que en ella se citan, y en los Autos de 17 de febrero de 2010 PMC 613/2009 con cita del Auto de 4 de mayo de 2005), la Administración Pública actúa en un régimen de publicidad de sus actos con carácter general y, de modo específico, tanto más cuanto así lo establezcan las normas reguladoras de cada sector del ordenamiento. En concreto, el Legislador ha querido mediante la Ley 19/1993, sobre medidas de prevención del blanqueo de capitales (artículo 12.2), que la publicidad de las sanciones impuestas a las entidades financieras en esta materia se atenga a lo dispuesto en la Ley 26/1988, de 29 de julio, de Disciplina e Intervención de las Entidades de Crédito. Ley cuyo artículo 27.5 dispone que las sanciones por infracciones muy graves serán publicadas en el Boletín Oficial del Estado una vez que sean firmes. La firmeza a la que se refiere el precepto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/40 legal es aquella que se produce cuando se ha agotado la vía administrativa, como en este caso ocurre. Semejante decisión legislativa corrobora que existe un indudable interés público en la citada publicación, que por lo demás no viene a descubrir ningún dato que deba mantenerse oculto, pues las sanciones impuestas a las entidades de crédito o a quienes ejerzan cargos de administración o dirección en ellas han de ser, además, objeto de comunicación a la inmediata Junta o Asamblea General que se celebre, lo que implica asimismo la publicidad general de aquéllas. La publicación de la resolución sancionadora atiende, pues, al interés público y resulta preceptiva por mandato legal. Hemos descartado en sentencias anteriores sobre esta misma cuestión que la mera publicación de los acuerdos sancionadores tenga, de suyo, el carácter irreversible que propiciaría la adopción de la medida cautelar para no privar de sentido al proceso mismo: la publicación de un eventual fallo estimatorio en el fondo, o la mención de que la sanción impuesta es susceptible aún de recurso jurisdiccional, bastan para impedir esos pretendidos efectos irreversibles. (…) La tesis no puede ser acogida pues, como ya hemos indicado en diversas ocasiones, (por todos, ATS de 17 de febrero de 2010, R. 613/2009) la transparencia en los mercados financieros y aún los intereses de los clientes actuales y potenciales no se compadecen con el ocultamiento de un hecho relevante cual es el que las autoridades supervisoras han sancionado, tras un procedimiento contradictorio, una determinada conducta en la actividad bancaria como la que se realiza. Concurre un evidente interés público en que tales hechos se pongan en conocimiento del mercado, una vez que responden a decisiones administrativas firmes en la vía administrativa precedida de un análisis de la conducta por parte de los organismos supervisores, con intervención de la entidad sancionada. De acoger la tesis de la recurrente, supondría que toda publicidad de la sanción impuesta a una entidad financiera por infracciones relacionadas con la prevención del blanqueo de capitales puede eventualmente surtir aquellos efectos. La índole de la infracción imputada y la naturaleza de la amonestación no tienen por qué afectar de forma irreversible a los intereses de la entidad amonestada. Por lo demás, y como hemos indicado en el Auto de 13 de marzo de 2009 (PMC 21/2009) a las razones expuestas puede añadirse que, en evitación de las consecuencias que teme que se produzcan, siempre podrá argüir que la sanción impuesta no es firme judicialmente, en la medida en que está sometida al presente recurso contencioso administrativo ante esta Sala, que en su momento deberá pronunciarse sobre su conformidad a derecho mediante la correspondiente sentencia definitiva. TERCERO. - Procede, en consecuencia, rechazar la petición cautelar interesada, (…) En consecuencia, no procede la suspensión cautelar de la publicación de la resolución en la web de la AEPD, dado que la obligación de publicar no viene impuesta por la propia resolución, no es un efecto jurídico derivado de ella, sino que deviene obligatoria por imposición legal y, por tanto, no tiene que verse afectada por la suspensión cautelar de los efectos de la resolución. Amén de que, como ha señalado el Tribunal Supremo (en el Auto citado), el interés público establecido por el artículo 50 LOPDGDD reclama la publicación de las resoluciones de la AEPD en los términos establecidos en dicho precepto. UNDÉCIMO: Sobre la solicitud de medidas cautelares. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/40 En cuanto a la suspensión cautelar de la ejecución de la resolución, según lo establecido en el artículo 90.3 de LPACAP, bajo el epígrafe “Especialidades de la resolución en los procedimientos sancionadores”: 3. La resolución que ponga fin al procedimiento será ejecutiva cuando no quepa contra ella ningún recurso ordinario en vía administrativa, pudiendo adoptarse en la misma las disposiciones cautelares precisas para garantizar su eficacia en tanto no sea ejecutiva y que podrán consistir en el mantenimiento de las medidas provisionales que en su caso se hubieran adoptado. Cuando la resolución sea ejecutiva, se podrá suspender cautelarmente, si el interesado manifiesta a la Administración su intención de interponer recurso contencioso-administrativo contra la resolución firme en vía administrativa. Dicha suspensión cautelar finalizará cuando:
36. a)Haya transcurrido el plazo legalmente previsto sin que el interesado haya interpuesto recurso contencioso administrativo.
37. b)Habiendo el interesado interpuesto recurso contencioso-administrativo: 1.º No se haya solicitado en el mismo trámite la suspensión cautelar de la resolución impugnada. 2.º El órgano judicial se pronuncie sobre la