REPOSICION-PS-00064-2023

1/16  Expediente nº.: EXP202213029 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por DIGI SPAIN TELECOM, S.L. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 20 de julio de 2023, y en base a los siguientes HECHOS PRIMERO: Con fecha 20 de julio de 2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202213029, en virtud de la cual se imponía a DIGI SPAIN TELECOM, S.L., con NIF B84919760, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 70.000 euros (setenta mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 24 de julio de 2023, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado EXP202213029, quedó constancia de los siguientes: procedimiento sancionador, 1º. El reclamante formuló reclamación ante esta Agencia en fecha 27 de octubre de 2022, en la que se hace constar que a las 10:30 de la mañana del día 26 de octubre de 2022 su teléfono móvil ***TELÉFONO.1 se quedó sin servicio tras lo cual recibió un email de DIGI explicándole que con su número había sido activada una segunda tarjeta SIM. 2º DIGI manifestó que, con fecha 25 de octubre de 2022, un tercero que se identifica como el reclamante solicitó un duplicado de tarjeta SIM para la línea móvil ***TELÉFONO.1, a través del estand de DIGI ubicado en un centro comercial, exhibiendo el DNI con el número del reclamante y el distribuidor de DIGI procedió a gestionar la solicitud del duplicado de la tarjeta. Ulteriormente, al contactar el reclamante con DIGI procedió primero a suspender la línea y posteriormente el día 26 de octubre de 2022 la recuperó. 3º DIGI manifestó que, el día 26 de octubre de 2022, el servicio de atención telefónica de DIGI recibió una nueva llamada de un tercero que se identificó como el reclamante y al tratar de confirmar su identidad finaliza la llamada. DIGI dejó registrada dicha incidencia y contactó con el reclamante, para establecer una palabra clave de seguridad para poder solicitar un duplicado de la tarjeta SIM. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 4º DIGI manifestó que, el día 26 de octubre recibió en otro establecimiento distinto del primero una tercera solicitud de duplicado de tarjeta SIM, para la línea ***TELÉFONO.1. Allí proceden a expedir la tarjeta SIM a dicho tercero que no era el titular de la línea. 5º La línea estuvo activada de forma irregular desde las 16:30 horas hasta las 17:44 horas del mismo día, momento en el que el agente de DIGI procede a la suspensión del servicio. 6º El reclamante contactó de nuevo con DIGI, le facilitaron otra SIM la cual recogió en una tienda física de su localidad al igual que la primera y en la que tuvo que identificarse con su DNI original, pero en ningún momento le pidieron el filtro que se estableció el de facilitar la clave para autorizar y facilitarle la tarjeta SIM. TERCERO: La parte recurrente ha presentado en fecha 4 de agosto de 2023, en esta Agencia Española de Protección de Datos, recurso de reposición. Como fundamento del recurso la parte recurrente reitera los argumentos expuestos a lo largo del procedimiento y considera que de los hechos acreditados resulta posible concluir que DIGI contaba con un procedimiento al efecto, el cual se siguió escrupulosamente, y que le permitió realizar, conforme sus obligaciones, un tratamiento de datos lícito. Por otra parte, DIGI manifiesta que extrema sus esfuerzos por identificar y mitigar los intentos de fraude, y no puede imponérsele una responsabilidad absoluta en la detección del mismo; ante un tercero que dispone de los datos telefónicos, identificativos y de los datos bancarios del reclamante, que cumple el protocolo, identificándose de incluso de forma presencial. Además, señala que la AEPD se basa únicamente en el resultado, existe la posibilidad de que aun siguiendo el protocolo y habiéndose pedido copia del DNI, esta fuera falsa, por lo que no puede concluirse como hace la AEPD, que de haberse efectuado correctamente esta operación, el duplicado debió haber sido denegado. Asimismo, DIGI alega que la AEPD le impone inequívocamente una responsabilidad objetiva, en la cual, independientemente de la diligencia y medidas desplegadas, se declara la culpabilidad de la entidad. Sobre la falta de proporcionalidad de la sanción propuesta y que previos los trámites oportunos se dicte resolución por medio de la cuál señale el archivo del procedimiento EXP202213029. Subsidiariamente, en el caso de que la AEPD resuelva en contra de la fundamentación jurídica que sostiene DIGI, se solicita a la AEPD que culmine el procedimiento mediante un apercibimiento y, en última instancia, se modere o module la sanción recogida en la Resolución notificada a DIGI. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho II al IV, de la Resolución recurrida, tal como se transcribe a continuación: <<II Obligación Incumplida Se imputa a la parte reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:

1. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
2. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
3. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
4. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
5. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
6. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
7. f)del párrafo primero no será de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. En respuesta a las alegaciones presentadas por DIGI se debe señalar lo siguiente: En cuanto a que la suplantación de identidad y el acceso a los datos del titular de forma ilegítima se produce forma previa a tener contacto con DIGI y es la causa que provoca la incidencia y la emisión del duplicado de la tarjeta SIM. En consecuencia, no resulta posible asociar a DIGI la realización de un tratamiento no legitimado de datos personales, dado que su actuación se reduce al cumplimiento de sus procesos y obligaciones. Efectivamente, la emisión de duplicado no es suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad financiera. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que el tratamiento de datos sea conforme al RGPD. Idénticas consideraciones merece la actuación de las entidades bancarias que proporcionan servicios de pago, en cuyo ámbito se inicia este tipo de estafas, ya que el tercero tiene acceso a las credenciales del usuario afectado y se hace pasar por este. En tanto que estas entidades son responsables del tratamiento de los datos de sus clientes, les competen idénticas obligaciones que las señaladas hasta ahora para las operadoras referidas al cumplimiento del RGPD y la LOPDGDD, y además las derivadas del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera. Pues bien, DIGI ha facilitado un duplicado de la tarjeta SIM a un tercero distinto del legitimo titular de la línea móvil, tras la superación por terceras personas de la política de seguridad existente, lo que evidencia un incumplimiento del deber de proteger la información de los clientes. Negar la concurrencia de una actuación negligente por parte de DIGI equivaldría a reconocer que su conducta -por acción u omisión- ha sido diligente. Obviamente, no compartimos esta perspectiva de los hechos, puesto que ha quedado acreditada la falta de diligencia debida. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". Resulta acreditado en el expediente que no se ha garantizado una seguridad adecuada en el tratamiento de los datos personales, habida cuenta del resultado que ha producido la suplantación de identidad. Es decir, un tercero ha conseguido acceder a los datos personales del titular de la línea. En cuanto a la responsabilidad de DIGI, debe indicarse que, con carácter general DIGI trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
8. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
9. e)y
10. f)del RGPD. Por otra parte, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos, para recibir el duplicado de la tarjeta SIM. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. Recordemos que, con carácter general las operadoras tratan los datos de sus clientes al amparo de lo previsto en el artículo 6.1
11. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte (…). En este sentido, DIGI cuenta con una red de comerciales, puntos de venta y distribuidores homologados a través de un contrato de distribución para ofrecer los servicios de DIGI. Entre estos servicios ofrecidos desde sus puntos de venta, está la realización de duplicados de tarjetas SIM correspondientes a una línea de telefonía móvil. En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual. En cuanto a la imposición de una advertencia, apercibimiento, o la adopción de medidas correctivas conforme al artículo 58 del RGPD, una multa disuasoria es aquella que tiene un efecto disuasorio genuino. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice: “ 94.Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor disuasorio se valora tomando en consideración una multitud de elementos y no sólo la situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio puede tener por objeto no sólo una «disuasión general», definida como una acción para desincentivar a todas las empresas, en general, de que cometan la infracción de que se trate, sino también una «disuasión específica», consistente en disuadir al demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no estaba obligada a limitar su valoración a los factores relacionados únicamente con la situación particular de la empresa en cuestión.” “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).” Hemos de atender a la circunstancia singular de la reclamación presentada, a través de la cual puede constatarse que, desde el momento en el que la persona suplantadora realiza la sustitución de la SIM, el teléfono de la víctima se queda sin servicio pasando el control de la línea a las personas suplantadoras. En consecuencia, ven afectados sus poderes de disposición y control sobre sus datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos según ha señalado el Tribunal Constitucional en la Sentencia 292/2000, de 30 de noviembre de 2000 (FJ 7). De manera que, al conseguir un duplicado de la tarjeta SIM, se posibilita bajo determinadas circunstancias, el acceso a los contactos o a las aplicaciones y servicios que tengan como procedimiento de recuperación de clave el envío de un SMS con un código para poder modificar las contraseñas. En definitiva, podrán suplantar la identidad de los afectados, pudiendo acceder y controlar, por ejemplo: las cuentas de correo electrónico; cuentas bancarias; aplicaciones como WhatsApp; redes sociales, como Facebook o Twitter, y un largo etc. En resumidas cuentas, una vez modificada la clave de acceso por parte de los suplantadores pierden el control de sus cuentas, aplicaciones y servicios, lo que supone una gran amenaza. En definitiva, es el responsable del tratamiento el que tiene la obligación de integrar las garantías necesarias en el tratamiento, con la finalidad de, en virtud del principio de responsabilidad proactiva, cumplir y ser capaz de demostrar el cumplimiento, al mismo tiempo que respeta el derecho fundamental a la protección de datos. DIGI cita en su descargo una serie de resoluciones dictadas por la AEPD, manifestando que en contraposición a la sanción impuesta a DIGI, se le impone a otra operadora de telecomunicaciones, por una infracción del artículo 5.1.
12. f)del RGPD. y calificada como muy grave a efectos de prescripción en el artículo 72.1
13. a)de la LOPDGDD, una multa administrativa por importe de 200.000 euros (doscientos mil euros). Sobre este particular, procede resaltar que dichos procedimientos tuvieron por objeto analizar los procedimientos seguidos para gestionar las solicitudes de cambio de SIM por parte de la operadora de telecomunicaciones, identificando las vulnerabilidades que puedan existir en los procedimientos operativos implantados, para detectar las causas por las cuales se pueden estar produciendo estos casos, así como encontrar puntos de incumplimiento, mejora o ajuste, para determinar responsabilidades, disminuir los riesgos y elevar la seguridad en el tratamiento de los datos personales de las personas afectadas. El procedimiento sancionador PS/000027/2021, tramitado contra la otra operadora se le imputó la violación del artículo 5.1f), no se le imputa el fraude, ni el tratamiento de datos sin legitimación sino una falta de garantías de las medidas de seguridad que produce una cesión de datos a un tercero. En el presente procedimiento sancionador, la sanción se impone debido a que DIGI facilitó un duplicado de la tarjeta SIM de la parte reclamante a un tercero, sin su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 consentimiento y sin verificar la identidad de dicho tercero, y por este motivo se imputa el artículo 6.1 del RGPD. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. En el presente caso, resulta acreditado que se produjeron dos duplicados fraudulentos, con fechas 25 y 26 de octubre de 2022, la operadora DIGI tramitó la emisión de dos duplicados fraudulentos de la tarjeta SIM de la línea ***TELÉFONO.1, perteneciente a la parte reclamante. El primero de los duplicados fraudulentos, se llevó a cabo el día 25 de octubre de 2022, a las 19:39 horas, con la presentación de un documento nacional de identidad que no se corresponde con el original de la parte reclamante. El 26 de octubre de 2022 el reclamante contacta con DIGI informando de la suplantación de identidad. DIGI procedió a bloquear la línea y se abrió un ticket interno por posible caso de usurpación de identidad, añadiendo al ID del reclamante la siguiente anotación: "Se ha utilizado un duplicado de SIM fraudulento para este cliente, hemos añadido DNI real al ID//Porfavor revisar DNI antes de validar duplicado" El segundo de los duplicados fraudulentos se llevó a cabo el 26 de octubre de 2022, a las 16:19 horas, con la presentación de un documento nacional de identidad que no se corresponde con el original de la parte reclamante. El asesor que tenía asignada esta validación, no llevo a cabo ninguna de las comprobaciones que correspondían y procedió a validar la nueva solicitud. Ahora bien, debe señalarse que el Sim Swapping es un fraude que permite suplantar la identidad mediante el secuestro del número de teléfono al obtener un duplicado de la tarjeta SIM. En todo caso, la operadora deberá ser capaz de acreditar que para este caso concreto haya seguido los protocolos de verificación implementados a la hora de solicitar un duplicado de la tarjeta SIM. Pues bien, el resultado fue que DIGI expidió la tarjeta SIM a un tercero que no era el titular de la línea. A la vista de lo anterior, DIGI no logra acreditar que se haya seguido ese procedimiento. De hecho, conforme al procedimiento de identificación descrito por la parte reclamada, debió haberse comprobado el original del documento identificativo, siendo así que, de haberse efectuado correctamente esta operación, el duplicado debió haber sido denegado. En definitiva, DIGI reconoce tanto en su escrito de contestación al requerimiento de esta Agencia de fecha 2 de febrero de 2023, como en el de las alegaciones al Acuerdo de Inicio de este procedimiento de fecha 26 de abril de 2023 dichos hechos, manifestando al respecto: “La mencionada suplantación de identidad, en el primer C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 duplicado de SIM presuntamente fraudulento que se ha relatado en los hechos de este caso, solo pudo producirse a partir de la elaboración y posterior uso, por parte del suplantador, de un documento de identidad con apariencia de original, pero presuntamente falsificado, que se remitió a DIGI para la validación de dicho primer duplicado. En el caso del segundo duplicado presuntamente fraudulento, el mismo solo fue posible habiéndose aprovechado el usurpador de la negligencia del asesor de DIGI que validó dicho duplicado, el cual debió cumplir, y no cumplió, con sus obligaciones, y debió haber seguido, y no lo hizo, el procedimiento que DIGI tiene implantado para la validación de duplicados”. En consecuencia, tal como reconoce DIGI: “el asesor al que se asignó la tarea no siguió el procedimiento que DIGI tiene establecido internamente (y respecto al cual todos sus asesores de BackOffice están informados y formados) para la validación de duplicados SIM conforme al procedimiento actualmente vigente en DIGI. Cabe mencionar que este procedimiento, como no puede ser de otra forma, implica, entre otras cosas, la obligación del asesor de DIGI de