REPOSICION-PS-00097-2024

1/20  Expediente nº.: EXP202311911 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por DIGI SPAIN TELECOM, S.L.U. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 8 de noviembre de 2024, y en base a los siguientes: HECHOS PRIMERO: Con fecha 8 de noviembre de 2024, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202311911, en virtud de la cual se imponía a DIGI SPAIN TELECOM, S.L.U., por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa por un importe de 200.000 euros (doscientos mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 11 de noviembre de 2024, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado procedimiento sancionador quedó constancia de los siguientes: PRIMERO. – El día 6 de abril de 2021, un tercero se personó ante un punto de venta de DIGI para la realización de un duplicado de la tarjeta SIM del reclamante, SEGUNDO. – De los dos pantallazos del sistema de DIGI aportados el día 11 de octubre de 2023 en contestación a la solicitud de información de esta Agencia a la parte reclamada y que consta en el expediente se desprende la emisión de dos duplicados de tarjeta SIM del reclamante. - En el primero de ellos, consta que el duplicado de la tarjeta SIM se realizó el día 6 de abril de 2021 a las 14:21 en un punto de venta de DIGI, quedando el reclamante sin línea. - En el segundo de ellos, consta que se realizó un nuevo duplicado de SIM de forma que el inicial duplicado quedó inactivo, el día 6 de abril de 2021 a las 16:47 horas, recuperando la línea el reclamante. TERCERO. – De las impresiones de pantalla aportadas por DIGI, con fecha 11 de octubre de 2023, consta que el proceso de verificación de la identidad del solicitante aplicado al presente caso vigente al momento de los hechos, para la obtención de un duplicado de tarjeta SIM, era el siguiente: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 TERCERO: La parte recurrente ha presentado en fecha 11 de diciembre de 2024, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en que la parte recurrente considera que de los hechos acreditados resulta posible concluir que DIGI contaba con un procedimiento al efecto, el cual se siguió escrupulosamente, y que le permitió realizar, conforme sus obligaciones, un tratamiento de datos lícito. Por otra parte, DIGI manifiesta que extrema sus esfuerzos por identificar y mitigar los intentos de fraude, y no puede imponérsele una responsabilidad absoluta en la detección del mismo; ante un tercero que dispone de los datos telefónicos, identificativos y de los datos bancarios del reclamante, que cumple el protocolo. Además, señala que la AEPD se basa únicamente en el resultado. Asimismo, DIGI alega que la AEPD le impone inequívocamente una responsabilidad objetiva, en la cual, independientemente de la diligencia y medidas desplegadas, se declara la culpabilidad de la entidad. Sobre la falta de proporcionalidad de la sanción propuesta y que previos los trámites oportunos se dicte resolución por medio de la cuál señale el archivo del procedimiento EXP202311911, y reseña sanciones impuestas a otras empresas del sector telecomunicaciones con motivo de la concurrencia de los fraudes de tipología Sim Swapping. Digi solicita que se aprecien las siguientes circunstancias atenuantes: Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (art. 83.2 c RGPD). Que en ningún momento se han tratado categorías especiales de datos (Art.83.2g) RGPD). El grado de cooperación de DIGI con la AEPD. El inexistente beneficio obtenido por parte de DIGI (art. 83.2

1. k)RGPD). Subsidiariamente, en el caso de que la AEPD resuelva en contra de la fundamentación jurídica que sostiene DIGI, se solicita a la AEPD que culmine el procedimiento mediante un apercibimiento y, en última instancia, se modere o module la sanción recogida en la Resolución notificada a DIGI. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho II al V, de la Resolución recurrida, tal como se transcribe a continuación: <<II Contestación a las alegaciones presentadas En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: La intervención fraudulenta de un tercero, lo que ha revelado es el deficiente análisis de los riesgos, así como la insuficiente implantación, revisión y control de las medidas de seguridad por parte de la operadora. Tercero ajeno al titular de los datos ha superado las medidas de seguridad establecidas por DIGI. Esto nos muestra que la identificación del titular de los datos no se producía con las suficientes garantías, independientemente de que la identificación se realizara por el propio titular o por un tercero de forma fraudulenta. En suma, una falta de medidas de seguridad apropiadas y un incumplimiento de las obligaciones derivadas de la responsabilidad proactiva, máxime cuando los “errores” persisten en el tiempo. Al respecto hay que señalar que precisamente el que nos encontremos ante el fraude de un tercero hace que sea necesario asegurarse que la persona a la que se expide el duplicado de la tarjeta SIM es quien realmente dice ser y deben adoptarse las medidas necesarias de prevención adecuadas para verificar la identidad de una persona cuyos datos van a ser objeto de tratamiento tal y como se reconoce en el Fundamento Jurídico Séptimo de la SAN, SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012) -: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento..."). A lo largo del presente procedimiento DIGI ha manifestado reiteradamente que los duplicados fraudulentos de las tarjetas se han producido tras haber superado los defraudadores su política de seguridad. Considera que es inevitable que a pesar de la existencia de la política de seguridad pueda haber casos en los que a través de ciertos mecanismos dicha política de seguridad pueda ser sobrepasada de forma fraudulenta sin que por ello pueda existir reproche a DIGI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 Sin embargo, ha quedado probado que la política de seguridad de DIGI ha resultado insuficiente para la adecuada protección de los derechos fundamentales de la parte reclamante cuya tarjeta SIM ha sido fraudulentamente duplicada. En cuanto a que DIGI no ha puesto a disposición de los presuntos delincuentes información personal de la parte reclamante distinta de la que ya tenían aquellos con anterioridad y que, en consecuencia, no se ha producido un tratamiento no legitimado de datos personales. Efectivamente, la emisión de duplicado no es suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad financiera. No obstante, para poder realizar dichas operaciones a través del teléfono móvil, resulta necesario poder tener acceso al mismo y uno de los medios es, precisamente la obtención de un duplicado de tarjeta. Cuando dicho duplicado se expide a un tercero distinto del de su titular conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que el tratamiento de datos sea conforme al RGPD. En el presente caso, cabe colegir que DIGI ha facilitado un duplicado de tarjeta SIM a un tercero distinto del legitimo titular de la línea móvil, tras la superación por tercera persona de la política de seguridad existente. Negar la concurrencia de una actuación negligente por parte de DIGI equivaldría a reconocer que su conducta -por acción u omisión- ha sido diligente. Obviamente, no compartimos esta perspectiva de los hechos, puesto que ha quedado acreditada la falta de diligencia debida. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". En cuanto a que los delincuentes no han conseguido obtener datos personales a través de DIGI, por lo que no puede hablarse de incumplimiento de medidas de protección, no puede considerarse cierto. Resulta necesario señalar que el acceso al duplicado de una tarjeta SIM que hace identificable a su titular, responde a la definición de dato personal del artículo 4.1) del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 Por lo que respecta a la responsabilidad de DIGI, debe indicarse que, con carácter general DIGI trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
2. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
3. e)y
4. f)del RGPD. Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. Recordemos que, con carácter general las operadoras tratan los datos de sus clientes al amparo de lo previsto en el artículo 6.1
5. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte (…). En este sentido, DIGI cuenta con una red de comerciales, puntos de venta y distribuidores homologados a través de un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 contrato de distribución para ofrecer los servicios de DIGI. Entre estos servicios ofrecidos desde sus puntos de venta, está la realización de duplicados de tarjetas SIM correspondientes a una línea de telefonía móvil. En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual, cuya concurrencia fue debidamente motivada en el acuerdo de inicio del presente procedimiento. En cuanto a la imposición de una advertencia, apercibimiento, o la adopción de medidas correctivas conforme al artículo 58 del RGPD, una multa disuasoria es aquella que tiene un efecto disuasorio genuino. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice: “ 94.Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor disuasorio se valora tomando en consideración una multitud de elementos y no sólo la situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio puede tener por objeto no sólo una «disuasión general», definida como una acción para desincentivar a todas las empresas, en general, de que cometan la infracción de que se trate, sino también una «disuasión específica», consistente en disuadir al demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no estaba obligada a limitar su valoración a los factores relacionados únicamente con la situación particular de la empresa en cuestión.” “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).” Hemos de atender a la circunstancia singular de la reclamación presentada, a través de la cual puede constatarse que, desde el momento en el que la persona suplantadora realiza la sustitución de la SIM, el teléfono de la víctima se queda sin servicio pasando el control de la línea a las personas suplantadoras. En consecuencia, ven afectados sus poderes de disposición y control sobre sus datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos según ha señalado el Tribunal Constitucional en la Sentencia 292/2000, de 30 de noviembre de 2000 (FJ 7). De manera que, al conseguir un duplicado de la tarjeta SIM, se posibilita bajo determinadas circunstancias, el acceso a los contactos o a las aplicaciones y servicios que tengan como procedimiento de recuperación de clave el envío de un SMS con un código para poder modificar las contraseñas. En definitiva, podrán suplantar la identidad de los afectados, pudiendo acceder y controlar, por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 ejemplo: las cuentas de correo electrónico; cuentas bancarias; aplicaciones como WhatsApp; redes sociales, como Facebook o Twitter, y un largo etc. En resumidas cuentas, una vez modificada la clave de acceso por parte de los suplantadores pierden el control de sus cuentas, aplicaciones y servicios, lo que supone una gran amenaza. En definitiva, es el responsable del tratamiento el que tiene la obligación de integrar las garantías necesarias en el tratamiento, con la finalidad de, en virtud del principio de responsabilidad proactiva, cumplir y ser capaz de demostrar el cumplimiento, al mismo tiempo que respeta el derecho fundamental a la protección de datos. III Obligación Incumplida Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
8. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
9. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
10. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
11. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
12. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. La emisión de un duplicado de tarjeta SIM implica necesariamente un tratamiento de datos personales, ya que se realiza sobre la línea y la identidad del titular. Dicho tratamiento debe cumplir con una base jurídica que lo legitime, tal como exige el citado artículo 6.1 del RGPD. En este caso, la emisión del duplicado SIM a solicitud de un tercero sin la intervención o consentimiento del titular constituye una falta de base jurídica válida para dicho tratamiento de datos. Aunque DIGI alega seguir sus propios protocolos, esto no es suficiente para justificar la licitud del tratamiento bajo el RGPD, ya que dichos protocolos no suplen la necesidad de la concurrencia de una base legítima. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 El procedimiento de verificación de identidad descrito por DIGI, que se basa únicamente en la coincidencia de ciertos datos en su base de datos, no garantiza adecuadamente el cumplimiento del RGPD en tanto:  No acredita la intervención efectiva del titular de los datos en el proceso.  La mera coincidencia de los datos no asegura el consentimiento ni ninguna otra base jurídica del artículo 6.1 que legitime el tratamiento. Por lo tanto, la emisión del duplicado SIM en estas condiciones constituye un tratamiento de datos personales sin base jurídica y, en consecuencia, una infracción del artículo 6.1 del RGPD, dado que se ha realizado sin cumplir con ninguna de las bases legitimadoras para dicho tratamiento. La responsabilidad no reside en la falta de cumplimiento de un protocolo interno de DIGI, sino en la ausencia de una base jurídica válida conforme a las disposiciones del RGPD. De conformidad con las evidencias de las que se dispone, se estima que la conducta de la parte reclamada vulnera el artículo 6.1 del RGPD lo que constituye una infracción tipificada en el artículo 83.5.
13. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: “