REPOSICION-PS-00134-2024

1/38  Expediente nº.: EXP202312279 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por DIGI SPAIN TELECOM, S.L.U. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 16 de abril de 2025, y en base a los siguientes: HECHOS PRIMERO: Con fecha 16 de abril de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202312279, en virtud de la cual se imponía a DIGI SPAIN TELECOM, S.L.U. por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

1. a)del RGPD, una multa de doscientos mil euros (200.000 euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 21 de abril de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00134/2024, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO. – Resulta acreditado por DIGI en las manifestaciones realizadas en el escrito de respuesta a esta Agencia de fecha 27 de noviembre de 2023 lo siguiente: 1º) La parte reclamante es titular de la línea móvil de DIGI ***TELÉFONO.1, con domicilio en Zaragoza. Un tercero se persona en fecha 15 de octubre de 2022, ante el distribuidor ***DISTRIBUIDOR.1 de DIGI de la ciudad de Tarragona un individuo que se identifica como el reclamante portando un DNI con los datos del reclamante, y solicita un duplicado SIM de la línea ***TELÉFONO.1, y el citado distribuidor guarda una copia del mismo para su envío al servicio backoffice de validación del duplicado, procediendo a su validación por dicho servicio de DIGI. 2º) El día 16 de octubre de 2022, el reclamante contacta con el Servicio de Atención al Cliente de DIGI para comunicar que no tenía línea, y al día siguiente el reclamante se persona en un punto de venta de Zaragoza y solicita un duplicado de SIM. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/38 3º) El día siguiente 17 de octubre un tercero se persona en el mismo punto de venta de Tarragona (***DISTRIBUIDOR.1) y obtiene nuevamente un duplicado de SIM. 4º) Unas horas después del día 17, el reclamante se pone en contacto telefónico con DIGI y comunica que vuelve a tener el mismo problema de no funcionamiento de la línea. 5º) El mismo día, el reclamante se persona en el mismo punto de venta en Zaragoza y solicita otro duplicado de SIM (el cuarto para la misma línea en tres días). 6º) El día 18 de octubre de 2022, el reclamante avisa a DIGI que habría sufrido una estafa bancaria (casi ***CANTIDAD.1 euros). SEGUNDO. – Consta en el expediente que en el momento de producirse los hechos DIGI contaba con un procedimiento de seguridad, basado (…). TERCERO. – Se constata en las impresiones de pantalla aportada por DIGI el día 3 de junio de 2024, sobre el proceso de verificación de la identidad del solicitante aplicado al presente caso vigente en el momento de los hechos, para la obtención de un duplicado de tarjeta SIM, el cuál era el siguiente: (…) CUARTO. –DIGI reconoce en su escrito de respuesta a esta Agencia de fecha 17 de noviembre de 2023: “(…)”. TERCERO: La parte recurrente ha presentado en fecha 21 de mayo de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en lo siguiente: 1. Primera alegación: de la omisión de los hechos acreditados en la resolución: - Asegura DIGI que los hechos probados de la resolución han omitido que contaba con un procedimiento de solicitud de duplicados de tarjetas SIM, que fue seguido escrupulosamente, consistente en la verificación del DNI aportado por el solicitante, del que se guarda copia. Asegura, además, que DIGI detectaba rápidamente los intentos de comisión de fraude. 2. Segunda alegación: sobre la licitud del tratamiento realizado por DIGI. -- Considera DIGI que el tratamiento de datos personales realizó sin legitimación y que debería ser objeto de sanción no es imputable a DIGI, sino a un tercero que realiza la suplantación de identidad. Así, señala que no puede imponérsele una responsabilidad absoluta en la detección del mismo ante una persona que se identifica como el titular de forma presencial. Por tanto, asegura DIGI que no puede exigírsele una capacidad de detección absoluta frente a este tipo de fraudes elaborados. Concluye, por tanto, que actuó con la debida diligencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/38 - Señala que el MSISDN y el IMSI no son datos de carácter personal, a cuyos efectos cita, entre otras, la Sentencia del Tribunal General de la Unión Europea (Sala Octava ampliada) de 26 de abril de 2023, “en la que se determina que la consideración como dato personal de un código alfanumérico no puede presuponerse, sino que compete a la Autoridad de Control justificar la capacidad de relacionar los datos personales con una persona concreta, no bastando con presuponerlo por el mero hecho de que potencialmente pudiera llegar a permitir una identificación”. Asegura, además, que “por tanto, incluso en el caso del número de teléfono, su capacidad para ser considerado un dato personal ha de ser debidamente justificada, no puede suponerse tal condición a los citados códigos, cuya capacidad para ser relacionado con el titular de la línea reside exclusivamente en la operadora de telefonía que tenga contratada”. - Insiste, asimismo, en que el tratamiento de verificación de la identidad realizado “no sólo es necesario para cumplir con las medidas de seguridad, sino que, de no llevarse a cabo, sería considerado una falta de diligencia por la propia AEPD”. 3. Tercera alegación y cuarta alegación: de la no acreditación de culpa o negligencia por parte de DIGI y sobre la inadmisibilidad de una responsabilidad objetiva. - Además, señala que la AEPD se basa únicamente en el resultado, sin entrar a valorar el grado de diligencia o las medidas de seguridad establecidas por DIGI y que existía un protocolo que fue seguido. Asimismo, DIGI alega que la AEPD le impone inequívocamente una responsabilidad objetiva, en la cual, independientemente de la diligencia y medidas desplegadas, se declara la culpabilidad de la entidad, aun cuando no existiera ni dolo ni culpa. - Por otra parte, señala que la AEPD es la única de las autoridades de control que sanciona por hechos de estas características. Subraya, por otra parte, que la responsabilidad proactiva no puede implicar la exigencia de una obligación de resultados, solo de medios, a cuyos efectos cita la Sentencia del Tribunal Supremo 543/2022, de 15 de febrero. 4. Sobre la no valoración de los medios de prueba y la vulneración del derecho de defensa. - Insiste DIGI en que la AEPD, pese al despliegue de diligencia de la empresa y al conjunto de medidas y protocolos establecidos, implementados y revisados con relación a la emisión de duplicados de tarjeta SIM, limita a declararlos insuficientes por un resultado concreto. Por lo que la AEPD no ha realización una valoración de las pruebas, incumpliendo lo previsto en los artículos 76 y 77 de la LPACAP. Por tanto, considera DIGI que se ha producido indefensión en la medida en que se ha incumplido lo previsto en el artículo 90 de la LPACAP puesto que la resolución no se pronuncia sobre la valoración de las pruebas practicadas. 5. Quinta alegación: de la petición subsidiaria de reducción de la sanción por falta de proporcionalidad. - Alega DIGI la falta de proporcionalidad de la sanción impuesta y que previos los trámites oportunos se dicte resolución por medio de la cual se señale el archivo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/38 - - - procedimiento EXP202312279. Asegura en este sentido, que, en otros procedimientos sancionadores por hechos parecidos a otros operadores, la AEPD ha impuesto sanciones menores. Considera que la valoración de la circunstancia prevista en el artículo 83.2
2. b)del RGPD (intencionalidad o negligencia de la infracción) no ha sido debidamente acreditada. Además, asegura que la negligencia ya ha debido ser valorada previamente a los solos efectos de determinar la existencia de una infracción, lo que supondría la vulneración del principio “ne bis in idem”. En consecuencia, asegura, no puede ser considerado tal elemento como agravante. En cuanto a la valoración de la circunstancia 83.2
3. e)del RGPD a la hora de imponer una sanción, DIGI considera que no pueden tomarse en consideración como agravantes procedimientos sancionadores por hechos producidos en un corto espacio de tiempo, sin que le haya dado tiempo a modificar su forma de actuación. Por otra parte, en cuanto a la valoración de la circunstancia prevista en el artículo 76.2 b), considera que no es de aplicación a la luz de las Directrices del CEPD 04/2022. Asimismo, DIGI considera que no se han tenido en cuenta las siguientes circunstancias atenuantes:  Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (art. 83.2
4. c)RGPD).  Que en ningún momento se han tratado categorías especiales de datos (Art.83.2g) RGPD).  El grado de cooperación de DIGI con la AEPD (art. 83.2
5. f)del RGPD).  El inexistente beneficio obtenido por parte de DIGI (art. 83.2
6. k)RGPD). Subsidiariamente, en el caso de que la AEPD resuelva en contra de la fundamentación jurídica que sostiene DIGI, se solicita a la AEPD que culmine el procedimiento mediante un apercibimiento y, en última instancia, se modere o module la sanción recogida en la Resolución notificada a DIGI. Solicita, de igual forma y en virtud del artículo 90.3 de la LPACAP la suspensión de la ejecutividad de la Resolución de Procedimiento Sancionador en el marco del EXP202312279, hasta eventual pronunciamiento que pueda alcanzarse en los tribunales. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/38 Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho II a VII, de la Resolución recurrida, tal como se transcribe a continuación: <<II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; Además, el artículo 4.7 del RGPD establece que el «responsable del tratamiento» o «responsable» es: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. Una tarjeta SIM es una tarjeta inteligente que contiene un chip en el que se almacena el número de línea telefónica móvil del cliente, así como el número de identificación personal, pero que también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por tanto, a los efectos de los artículos 4.1 y 4.2 del RGPD la emisión de duplicados de tarjetas SIM supone un tratamiento de datos personales. DIGI realiza esta actividad en su condición de responsable del tratamiento dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones al Acuerdo de Inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/38 Primera y Segunda alegación: Protocolo de seguridad y medidas adoptadas. Hace referencia DIGI, para su descargo, al conjunto de medidas de seguridad que ha adoptado, que, las medidas implantadas son las mínimas exigibles a cualquier organización con las características y en el contexto en el que actúa una operadora de telecomunicaciones. Tal y como se ha probado, la parte reclamada ha incumplido con su propia política de seguridad, DIGI reconoce en su escrito de respuesta a esta Agencia de fecha 17 de noviembre de 2023: “(…)”. Al respecto hay que señalar que precisamente el que nos encontremos ante el fraude de un tercero hace que sea necesario asegurarse que la persona a la que se expide el duplicado de la tarjeta SIM es quien realmente dice ser y deben adoptarse las medidas necesarias de prevención adecuadas para verificar la identidad de una persona cuyos datos van a ser objeto de tratamiento tal y como se reconoce en el Fundamento Jurídico Séptimo de la SAN, SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012) -: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento..."). A lo largo del presente procedimiento DIGI ha manifestado reiteradamente que los duplicados fraudulentos de las tarjetas se han producido tras haber superado los defraudadores su política de seguridad. Considera que es inevitable que a pesar de la existencia de la política de seguridad pueda haber casos en los que a través de ciertos mecanismos dicha política de seguridad pueda ser sobrepasada de forma fraudulenta sin que por ello pueda existir reproche a DIGI. Sin embargo, la mera existencia de una política de seguridad no puede justificar una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y el responsable del tratamiento debe de garantizar que se cumplan estrictamente en todo momento. En caso contrario, las medidas adoptadas no cumplen su misión y puede conllevar tratamientos ilícitos como ocurre en el presente caso. Por lo tanto, la cuestión aquí no radica en el nivel de sofisticación del ataque delictivo del tercero, sino en el incumplimiento de las propias medidas de seguridad que permitieron el tratamiento ilícito de datos personales. La parte reclamada no puede exonerar su responsabilidad apelando a la existencia de medidas mínimas cuando el fallo estuvo en la aplicación de esas medidas, permitiendo una infracción de la licitud del tratamiento. Es preciso destacar a este respecto que la emisión de un duplicado fraudulento de la tarjeta SIM de la línea móvil de la parte reclamante se produjo en dos ocasiones con un solo día de diferencia. A esto debe añadirse (
7. i)que entre ambas emisiones de duplicado de tarjeta SIM fraudulentas se realizó una por la propia parte reclamante, motivada por la pérdida del servicio que conllevó la primera de las emisiones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/38 fraudulentas; y (
8. ii)que los tres duplicados se realizaron en tienda física, los fraudulentos en un punto de venta de Tarragona y el solicitado por la parte reclamante en un punto de venta de Zaragoza, donde tiene su domicilio. Ninguna de estas circunstancias fue considerada por DIGI al gestionar las solicitudes realizadas por el suplantador, que no adoptó ninguna cautela ni estableció alerta alguna que hubiese impedido al menos la emisión del segundo duplicado fraudulento. DIGI ha alegado, por otra parte, que su plan de contingencias garantizó que el reclamante recuperara el control de su línea. Sin embargo, según el relato de hechos probados, DIGI no adoptó ninguna medida con ese propósito, sino que fueron las acciones realizadas por la parte reclamante las que le permitieron recuperar el servicio que le fue deshabilitado al emitir los duplicados de tarjetas SIM fraudulentos. En cada ocasión que la parte reclamante se quedó sin servicio en su línea móvil con aquel motivo (dos ocasiones en dos días consecutivos), se personó en un punto de venta de Zaragoza para recuperar dicho servicio telefónico mediante la entrega de nuevos duplicados de tarjeta, cuya emisión implicaba la anulación de las emitidas fraudulentamente. Tercera alegación: Licitud del tratamiento de datos personales. DIGI insiste en que la empresa no ha realizado un tratamiento ilícito de los datos personales del reclamante, puesto que los datos ya estaban en manos del suplantador antes de que este solicitara el duplicado SIM. A este respecto, se menciona que el número de teléfono (MSISDN) y el IMSI son datos técnicos que, por sí mismos, no permiten identificar al titular sin acceso a los sistemas internos de la empresa. Se hace referencia a la Sentencia de la Audiencia Nacional de 17 de septiembre de 2008 (recurso número 353/2007). A su juicio, según dicha sentencia, el número de teléfono solo puede considerarse un dato personal si es posible identificar al titular a partir de ese número, lo cual afirma no haberse demostrado en este caso. También cita la Sentencia del Tribunal Supremo de 18 de junio de 2020 (Recurso 1074/2019, N.º de Sentencia 815/2020), que refuerza la interpretación de que los datos personales no incluyen automáticamente el número de teléfono si no se asocia a una persona identificada de manera directa. Cabe colegir que DIGI ha facilitado un duplicado de tarjeta SIM a un tercero distinto del legitimo titular de la línea móvil, tras la superación por tercera persona de la política de seguridad existente, lo que evidencia un incumplimiento del deber de proteger la información de los clientes. Negar la concurrencia de una actuación negligente por parte de DIGI equivaldría a reconocer que su conducta -por acción u omisión- ha sido diligente. Obviamente, no compartimos esta perspectiva de los hechos, puesto que ha quedado acreditada la falta de diligencia debida. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/38 actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". Resulta acreditado en el expediente que no se ha garantizado una seguridad adecuada en el tratamiento de los datos personales, habida cuenta del resultado que ha producido la suplantación de identidad. Es decir, un tercero ha conseguido acceder a los datos personales del titular de la línea. Hay que indicar que dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Es la emisión de un duplicado de tarjeta SIM lo que supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). La emisión de un duplicado de tarjeta SIM implica necesariamente un tratamiento de datos personales, ya que se realiza sobre la línea y la identidad del titular. Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C -101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. Cuarta alegación: Cumplimiento del protocolo. La parte reclamada defiende que cumplió con todos los protocolos de seguridad establecidos y la AEPD no ha logrado acreditar que la empresa incumpliera sus propios procedimientos de seguridad. Por el contrario, considera que la AEPD ha llegado a conclusiones erróneas al considerar que el simple hecho de que se produjera una suplantación es indicativo de una falta de diligencia por parte de la empresa. La parte reclamada expidió dos tarjetas SIM a un tercero que no era el titular de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/38 línea, y no siguió el procedimiento de verificación implementado por ella misma. DIGI no logra acreditar que se haya seguido el procedimiento establecido por ella misma. De hecho, DIGI manifiesta en su escrito de respuesta a la solicitud de información de esta Agencia de fecha 17 de noviembre de 2023, que fue un error humano por parte de dos agentes de backoffice. Pues bien conforme al procedimiento de identificación descrito por la parte reclamada, por parte de los dos agentes validadores de la oficina interna de DIGI, no verificaron la autenticidad, ni contrastaron la autenticidad de la copia del DNI recibida del distribuidor oficial con el original del documento identificativo, en dos ocasiones el día 15 y 17 de octubre de 2022 siendo así que, de haberse efectuado correctamente esta operación, los dos duplicados se hubieran denegado. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para verificar la identidad de la persona que solicitó un duplicado de la tarjeta SIM. En este sentido, alega como precedente la resolución de archivo del expediente ***REFERENCIA.1 de la AEPD, según la cual la AEPD concluyó que la superación de las medidas de seguridad por parte de un tercero no implica necesariamente que estas medidas sean inadecuadas. Afirma que, en dicho expediente, a pesar de que se produjo un acceso no autorizado a datos personales, la AEPD decidió no imponer sanción alguna porque la empresa había desplegado un nivel suficiente de diligencia. En dicho expediente, las circunstancias eran otras. Se trataba de un tercero que estaba realizando una serie de consultas y peticiones sobre la línea de la titular, debido a que contaba con la información personal de la reclamante por el vínculo que les había unido. Esa reclamación se archivó en aplicación del principio de presunción de inocencia, que impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción. El expediente que ahora se resuelve es distinto, en el que se sanciona por el tratamiento de datos que realiza DIGI consistente en la emisión de un duplicado de SIM. En todo caso, debe quedar claro que seguir los protocolos establecidos para estos trámites por DIGI no es suficiente para justificar la licitud del tratamiento bajo el RGPD, ya que dichos protocolos no suplen la necesidad de la concurrencia de una base legítima. Además, el procedimiento de verificación de identidad seguido por DIGI no ha garantizado adecuadamente el cumplimiento del RGPD. Quinta alegación: Inadmisibilidad de la responsabilidad objetiva. La defensa rechaza cualquier intento por parte de la AEPD de imponer una responsabilidad objetiva, es decir, sancionar a la empresa simplemente por el resultado del incidente, sin demostrar que existió culpa o negligencia. La parte reclamada argumenta que, conforme a la Sentencia del Tribunal Constitucional n.º 76/1990, el principio de culpabilidad exige la concurrencia de dolo o culpa, y la mera existencia de un error no justifica la imposición de una sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/38 Asimismo, se cita la Sentencia de la Audiencia Nacional de 25 de febrero de 2010 según la cual la superación de medidas de seguridad por parte de terceros organizados no es motivo suficiente para sancionar a la empresa afectada, especialmente cuando se han implementado medidas de protección adecuadas. En cuanto a la responsabilidad de DIGI, debe indicarse que, con carácter general DIGI trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
9. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
10. e)y
11. f)del RGPD. Por otra parte, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos, para recibir el duplicado de la tarjeta SIM. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/38 normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. Recordemos que, con carácter general las operadoras tratan los datos de sus clientes al amparo de lo previsto en el artículo 6.1
12. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte (…). En este sentido, DIGI cuenta con una red de comerciales, puntos de venta y distribuidores homologados a través de un contrato de distribución para ofrecer los servicios de DIGI. Entre estos servicios ofrecidos desde sus puntos de venta, está la realización de duplicados de tarjetas SIM correspondientes a una línea de telefonía móvil. Sexta alegación: Desproporcionalidad de la sanción. En cuanto a la sanción, la parte reclamada señala que esta es desproporcionada en relación con los hechos, pues no se ha demostrado intencionalidad o negligencia grave en su actuación. En apoyo de dicha alegación, menciona la Sentencia del Tribunal Supremo 543/2022, de 15 de febrero, que establece que las obligaciones impuestas a las empresas en materia de seguridad de los datos no son obligaciones de resultado, sino de medios. Sostiene que la empresa solo está obligada a implementar las medidas adecuadas para mitigar los riesgos, pero no puede garantizar que no ocurrirán incidentes como el que acaeció. Asimismo, se destaca que la AEPD ha impuesto sanciones menos severas en casos similares. De forma concreta, compara este supuesto con el expediente ***REFERENCIA.2, en el que la AEPD sancionó a otra operadora de telecomunicaciones (XFERA MÓVILES, S.A.) con una multa de ***CANTIDAD.2 euros por varios casos de suplantación de identidad mediante el uso de duplicados de SIM. Afirma que, a pesar de que la situación era similar, la sanción impuesta a la parte reclamada en este caso resulta mucho más elevada de manera proporcional, lo cual considera injustificado. En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual. En cuanto a la imposición de una advertencia, apercibimiento, o la adopción de medidas correctivas conforme al artículo 58 del RGPD, una multa disuasoria es aquella que tiene un efecto disuasorio genuino. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice: “ 94.Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor disuasorio se valora tomando en consideración una multitud de elementos y no sólo la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/38 situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio puede tener por objeto no sólo una «disuasión general», definida como una acción para desincentivar a todas las empresas, en general, de que cometan la infracción de que se trate, sino también una «disuasión específica», consistente en disuadir al demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no estaba obligada a limitar su valoración a los factores relacionados únicamente con la situación particular de la empresa en cuestión.” “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).” Hemos de atender a la circunstancia singular de la reclamación presentada, a través de la cual puede constatarse que, desde el momento en el que la persona suplantadora realiza la sustitución de la SIM, el teléfono de la víctima se queda sin servicio pasando el control de la línea a las personas suplantadoras. En consecuencia, ven afectados sus poderes de disposición y control sobre sus datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos según ha señalado el Tribunal Constitucional en la Sentencia 292/2000, de 30 de noviembre de 2000 (FJ 7). De manera que, al conseguir un duplicado de la tarjeta SIM, se posibilita bajo determinadas circunstancias, el acceso a los contactos o a las aplicaciones y servicios que tengan como procedimiento de recuperación de clave el envío de un SMS con un código para poder modificar las contraseñas. En definitiva, podrán suplantar la identidad de los afectados, pudiendo acceder y controlar, por ejemplo: las cuentas de correo electrónico; cuentas bancarias; aplicaciones como WhatsApp; redes sociales, como Facebook o Twitter, y un largo etc. En resumidas cuentas, una vez modificada la clave de acceso por parte de los suplantadores pierden el control de sus cuentas, aplicaciones y servicios, lo que supone una gran amenaza. El procedimiento sancionador ***REFERENCIA.2, tramitado contra la otra operadora se le imputó la violación del artículo 5.1f), no se le imputa el fraude, ni el tratamiento de datos sin legitimación sino una falta de garantías de las medidas de seguridad que produce una cesión de datos a un tercero. En el presente procedimiento sancionador, la sanción se impone debido a que DIGI facilitó un duplicado de la tarjeta SIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero, y por este motivo se imputa el artículo 6.1 del RGPD. En definitiva, es el responsable del tratamiento el que tiene la obligación de integrar las garantías necesarias en el tratamiento, con la finalidad de, en virtud del principio de responsabilidad proactiva, cumplir y ser capaz de demostrar el cumplimiento, al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/38 mismo tiempo que respeta el derecho fundamental a la protección de datos. En cuanto al precedente invocado por DIGI, señalado con el número PS/00027/2021, debe señalarse que, a diferencia de lo que ocurre en el caso que motiva las actuaciones, en ese precedente se valoraron varias circunstancias atenuantes que no concurren en el presente caso, en el que, por otra parte, se valora como determinante para el establecimiento de la multa la existencia de varias infracciones anteriores cometidas por DIGI, muchas de ellas por hechos similares a los analizados. IV Contestación a las alegaciones a la Propuesta de Resolución En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: (…) Tal y como se ha probado, la parte reclamada ha incumplido con su propia política de seguridad, DIGI reconoce en su escrito de respuesta a esta Agencia de fecha 17 de noviembre de 2023: “(…)”. Al respecto hay que señalar que precisamente el que nos encontremos ante el fraude de un tercero hace que sea necesario asegurarse que la persona a la que se expide el duplicado de la tarjeta SIM es quien realmente dice ser y deben adoptarse las medidas necesarias de prevención adecuadas para verificar la identidad de una persona cuyos datos van a ser objeto de tratamiento tal y como se reconoce en el Fundamento Jurídico Séptimo de la SAN, SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012) -: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento..."). A lo largo del presente procedimiento DIGI ha manifestado reiteradamente que los duplicados fraudulentos de las tarjetas se han producido tras haber superado los defraudadores su política de seguridad. Considera que es inevitable que a pesar de la existencia de la política de seguridad pueda haber casos en los que a través de ciertos mecanismos dicha política de seguridad pueda ser sobrepasada de forma fraudulenta sin que por ello pueda existir reproche a DIGI. Sin embargo, la mera existencia de una política de seguridad no puede justificar una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y el responsable del tratamiento debe de garantizar que se cumplan estrictamente en todo momento. En caso contrario, las medidas adoptadas no cumplen su misión y puede conllevar tratamientos ilícitos como ocurre en el presente caso. Por lo tanto, la cuestión aquí no radica en el nivel de sofisticación del ataque delictivo del tercero, sino en el incumplimiento de las propias medidas de seguridad que permitieron el tratamiento ilícito de datos personales. La parte reclamada no puede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/38 exonerar su responsabilidad apelando a la existencia de medidas mínimas cuando el fallo estuvo en la aplicación de esas medidas, permitiendo una infracción de la licitud del tratamiento. Es preciso destacar a este respecto que la emisión de un duplicado fraudulento de la tarjeta SIM de la línea móvil de la parte reclamante se produjo en dos ocasiones con un solo día de diferencia. A esto debe añadirse (
13. i)que entre ambas emisiones de duplicado de tarjeta SIM fraudulentas se realizó una por la propia parte reclamante, motivada por la pérdida del servicio que conllevó la primera de las emisiones fraudulentas; y (
14. ii)que los tres duplicados se realizaron en tienda física, los fraudulentos en un punto de venta de Tarragona y el solicitado por la parte reclamante en un punto de venta de Zaragoza, donde tiene su domicilio. Ninguna de estas circunstancias fue considerada por DIGI al gestionar las solicitudes realizadas por el suplantador, que no adoptó ninguna cautela ni estableció alerta alguna que hubiese impedido al menos la emisión del segundo duplicado fraudulento. DIGI ha alegado, por otra parte, que su plan de contingencias garantizó que el reclamante recuperara el control de su línea. Sin embargo, según el relato de hechos probados, DIGI no adoptó ninguna medida con ese propósito, sino que fueron las acciones realizadas por la parte reclamante las que le permitieron recuperar el servicio que le fue deshabilitado al emitir los duplicados de tarjetas SIM fraudulentos. En cada ocasión que la parte reclamante se quedó sin servicio en su línea móvil con aquel motivo (dos ocasiones en dos días consecutivos), se personó en un punto de venta de Zaragoza para recuperar dicho servicio telefónico mediante la entrega de nuevos duplicados de tarjeta, cuya emisión implicaba la anulación de las emitidas fraudulentamente. Tercera alegación: Sobre la no valoración de los medios de prueba. DIGI señala que ha venido enumerando en sus escritos a la AEPD las medidas con relación a los procedimientos de obtención de duplicados de tarjetas SIM, sin embargo la AEPD no ha valorado dichas medidas. Por otra parte, indica que pese a la comisión de un resultado indeseado, la Agencia debe evaluar el procedimiento establecido al efecto, así como su revisión e implementación de mejoras. Pues bien, en el presente caso no se sanciona por falta de medidas de seguridad sino por el incumplimiento de dicha política de seguridad, la parte reclamada ha incumplido con su propia política de seguridad, DIGI reconoce en su escrito de respuesta a esta Agencia de fecha 17 de noviembre de 2023: “(…)”. En relación con lo anterior hay que señalar que la intervención fraudulenta de un tercero, lo que ha revelado es el deficiente análisis de los riesgos, así como la insuficiente implantación, revisión y control de las medidas de seguridad por parte de la operadora. Tercero ajeno al titular de los datos ha superado las medidas de seguridad establecidas por DIGI. Esto nos muestra que la identificación del titular de los datos no se producía con las suficientes garantías, independientemente de que la identificación se realizara por el propio titular o por un tercero de forma fraudulenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/38 En suma, una falta de medidas de seguridad apropiadas y un incumplimiento de las obligaciones derivadas de la responsabilidad proactiva, máxime cuando los “errores” persisten en el tiempo. Cuarta alegación: Sobre la no acreditación de culpa o negligencia por parte de DIGI. La parte reclamada defiende que cumplió con todos los protocolos de seguridad establecidos y la AEPD no ha logrado acreditar que la empresa incumpliera sus propios procedimientos de seguridad. Por el contrario, considera que la AEPD ha llegado a conclusiones erróneas al considerar que el simple hecho de que se produjera una suplantación es indicativo de una falta de diligencia por parte de la empresa. Hay que señalar, que la parte reclamada expidió dos tarjetas SIM a un tercero que no era el titular de la línea, y no siguió el procedimiento de verificación implementado por ella misma. De aquí que DIGI no logra acreditar que se haya seguido el procedimiento establecido por ella misma. De hecho, DIGI manifiesta en su escrito de respuesta a la solicitud de información de esta Agencia de fecha 17 de noviembre de 2023, que fue un error humano por parte de dos agentes de backoffice. Pues bien conforme al procedimiento de identificación descrito por la parte reclamada, por parte de los dos agentes validadores de la oficina interna de DIGI, no verificaron la autenticidad, ni contrastaron la autenticidad de la copia del DNI recibida del distribuidor oficial con el original del documento identificativo, en dos ocasiones el día 15 y 17 de octubre de 2022 siendo así que, de haberse efectuado correctamente esta operación, los dos duplicados se hubieran denegado. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para verificar la identidad de la persona que solicitó un duplicado de la tarjeta SIM. En todo caso, debe quedar claro que seguir los protocolos establecidos para estos trámites por DIGI no es suficiente para justificar la licitud del tratamiento bajo el RGPD, ya que dichos protocolos no suplen la necesidad de la concurrencia de una base legítima. Además, el procedimiento de verificación de identidad seguido por DIGI no ha garantizado adecuadamente el cumplimiento del RGPD. Quinta alegación: Sobre la inadmisibilidad de la responsabilidad objetiva. La defensa rechaza cualquier intento por parte de la AEPD de imponer una responsabilidad objetiva, es decir, sancionar a la empresa simplemente por el resultado del incidente, sin demostrar que existió culpa o negligencia. La parte reclamada argumenta que, conforme a la Sentencia del Tribunal Constitucional n.º 76/1990, el principio de culpabilidad exige la concurrencia de dolo o culpa, y la mera existencia de un error no justifica la imposición de una sanción. Asimismo, se cita la Sentencia de la Audiencia Nacional de 25 de febrero de 2010 según la cual la superación de medidas de seguridad por parte de terceros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/38 organizados no es motivo suficiente para sancionar a la empresa afectada, especialmente cuando se han implementado medidas de protección adecuadas. En cuanto a la responsabilidad de DIGI, debe indicarse que, con carácter general DIGI trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
15. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
16. e)y
17. f)del RGPD. Por otra parte, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos, para recibir el duplicado de la tarjeta SIM. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/38 típicamente antijurídico la invocación de la ausencia de culpa". Asimismo, cabe recordar que la SAN de 1 de marzo de 2024 (RCA 0001757/2021) dispone que «En esta línea la STS de 13 de diciembre 2021 (Rec. 6109/2020) establece que “(…) es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud la implantación de medidas de control y verificación tendentes a asegurar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado” Así se impone al responsable del tratamiento que verifique la exactitud de los datos del interesado a través de la implementación de las medidas adecuadas cuando se efectúe una contratación. Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, y a ello obedece la exigencia de documentación identificativa, como viene reiterando la Sala entre otras en Sentencias de 3 de octubre 2013 (Rec. 54/2012), 21 de noviembre 2014 (Rec. 45/2014) etc.» Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. Recordemos que, con carácter general las operadoras tratan los datos de sus clientes al amparo de lo previsto en el artículo 6.1
18. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte (…). En este sentido, DIGI cuenta con una red de comerciales, puntos de venta y distribuidores homologados a través de un contrato de distribución para ofrecer los servicios de DIGI. Entre estos servicios ofrecidos desde sus puntos de venta, está la realización de duplicados de tarjetas SIM correspondientes a una línea de telefonía móvil. Sexta alegación: Sobre la indefensión y falta de seguridad jurídica. DIGI, afirma que no sólo se le ha generado una evidente inseguridad jurídica e indefensión, sino que se ha incurrido en una falta de motivación y ausencia de fundamentación jurídica. La exigencia de motivación de los actos administrativos, como señala entre otras la STS de 19 de nov 2001 (Rec. 6690/2000) tiene su engarce constitucional en el principio de legalidad que establece el artículo 103 CE, así como en la efectividad del control jurisdiccional de la actuación de la Administración reconocido en el artículo 106 CE, siendo en el plano legal, el artículo 35.1 de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas, el precepto que concreta los actos que han de ser motivados. Dicha exigencia responde, según reiterada doctrina jurisprudencial, de la que es exponente la STS 16 de julio de 2001 (Rec. 92/1994), a la finalidad de que el interesado pueda conocer el cuándo, cómo y por qué de lo establecido por la Administración, con la amplitud necesaria para la defensa de sus derechos e intereses, permitiendo también, a su vez, a los órganos jurisdiccionales el conocimiento de los datos fácticos y normativos que les permitan resolver la impugnación judicial del acto, en el juicio de su facultad de revisión y control de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/38 actividad administrativa; de tal modo que la falta de esa motivación o su insuficiencia notoria, en la medida que impiden impugnar ese acto con seria posibilidad de criticar las bases y criterios en que se funda, integran un vicio de anulabilidad, en cuanto dejan al interesado en situación de indefensión. Motivación de los actos administrativos, que como señala la STS de 29 de marzo de 2012 (Rec. 2940/2010, por todas), no exige ningún razonamiento exhaustivo y pormenorizado, debiendo expresar las razones que permitan conocer los criterios esenciales fundamentadores de la decisión “facilitando a los interesados el conocimiento necesario para valorar la corrección o incorrección jurídica del acto a los efectos de ejercitar las acciones de impugnación que el ordenamiento jurídico establece y articular adecuadamente sus medios de defensa”. Pues bien, en el presente procedimiento no cabe apreciar la falta de motivación. Cuestión distinta es que DIGI discrepe legítimamente de dicha argumentación, pero ello no implica la inexistencia de motivación suficiente, por lo que no cabe apreciar ni indefensión ni falta de seguridad jurídica por la infracción señalada en la propuesta de resolución. Por todo ello, no cabe acceder a la solicitud de DIGI respecto a la inexistencia de responsabilidad. Séptima alegación: Sobre la falta de proporcionalidad de la sanción propuesta. DIGI solicita que no se aprecien las siguientes circunstancias agravantes: La intencionalidad o negligencia de la infracción (artículo 83.2
19. b)del RGPD. Señala que tratándose de un hecho causado por la comisión de un acto delictivo de un tercero no imputable a DIGI, no parece permisible, que se le impute este agravante. Toda infracción anterior cometida por el responsable o el encargado del tratamiento. Manifiesta que no debe confundirse la generalización de la catalogación de este tipo de delitos como SIM Swapping como la existencia de un modus operandi o tipo delictivo común entre todos ellos., no es posible exigir una efectividad absoluta de las medidas diseñadas para la prevención del fraude, puesto que no es posible predecir, aunque se dediquen abundantes medios a ello, cuál será la posible siguiente actividad que requerirá de un nuevo despliegue de medidas por parte de DIGI. Vinculación entre su actividad y el tratamiento de datos personales de clientes o de terceros (artículo 83.2K, del RGPD en relación con el artículo 76.2 b, de la LOPDGDD). Señala que dicho agravante debe ser puesto en contexto con el despliegue de medidas efectuado por DIGI. En este sentido, indica que el tratamiento de datos no nace de una intención de la entidad sino que tiene lugar la comisión de un delito del que DIGI es parte perjudicada. Por todo ello, no cabe interpretar este aspecto como agravante. DIGI solicita que se aprecien las siguientes circunstancias atenuantes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/38 - En ningún momento se han tratado categorías especiales de datos (Art. 83.2 g RGPD). La parte reclamada expone que DIGI no ha tratado datos de categoría especial, que el nombre, apellidos y DNI no forman parte de las categorías especiales (art. 9 del RGPD). - El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. Igualmente, señala que ha contestado en tiempo y forma a tos los requerimientos de información solicitados por esta Agencia (art. 83.2
20. f)RGPD). - El inexistente beneficio obtenido. Además manifiesta que se ha visto perjudicada, al verse afectada por la comisión de fraude por un tercero, lo que le ha obligado a reparar la situación causada y llevar a cabo investigaciones, con el consiguiente asociado (art. 83.2k RGPD). Estas alegaciones se contestan en el apartado VII (Sanción de multa: Determinación del importe). V Obligación Incumplida Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
21. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
22. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
23. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
24. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
25. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
26. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/38 interesado sea un niño. Lo dispuesto en la letra
27. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Hay que señalar que el tratamiento de datos requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso, se imputa a la parte reclamada la vulneración del artículo 6.1 del RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo no constando acreditada ninguna de las bases de legitimación previstas en el citado artículo en relación con el tratamiento relacionado con los datos de la parte reclamante. Se considera tratamiento cualquier operación realizada sobre datos personales, incluida la comunicación de tales datos a un tercero. El RGPD, en el punto 2 de su artículo 4, define tratamiento como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. Consta acreditado en las actuaciones que DIGI trató los datos personales de la parte reclamante para la emisión de dos duplicados de tarjeta SIM de una línea de teléfono móvil de su titularidad, que posteriormente facilitó a un tercero, sin su consentimiento y sin que exista otra base jurídica que ampare dichos tratamientos de datos personales. Ello tuvo lugar porque DIGI no verificó la identidad de la persona que solicitó los duplicados de la tarjeta SIM, no tomó las cautelas necesarias para que estos hechos no se produjeran y emitió los duplicados de tarjeta sin la intervención y sin conocimiento de la parte reclamante. Ni siquiera DIGI cumplió los protocolos que tiene establecidos para realizar esa verificación de identidad para solicitudes de este tipo. En las fechas 15 y 17 de octubre de 2022, DIGI tramitó la emisión de dos duplicados de la tarjeta SIM, perteneciente a la parte reclamante, y que según DIGI, en su escrito de respuesta de fecha 17 de noviembre de 2023: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/38 “En el momento de hechos, se encontraba en funcionamiento un nuevo procedimiento de duplicado SIM basado en la identificación presencial mediante la presentación y obtención de copia de documento identidad, debiendo después la solicitud (y su documentación asociada) ser validada manualmente por el departamento de Back Office de DIGI, mediante la comprobación de la copia realizada por el Punto de Venta en la plataforma habilitada por DIGI. De esta forma, el duplicado de la tarjeta SIM no quedará activado hasta que la identidad del solicitante no haya sido verificada por el personal de DIGI”. Y, además manifiesta DIGI: “Se han tomado las medidas oportunas para evitar que los dos agentes de backoffice encargados verificar la autenticidad y contrastar la copia del DNI recibida contra la copia del DNI existente en el histórico de contratación no participen más en este tipo de tareas para DIGI”. A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-) pero también puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes. Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C -101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva "toda información sobre una persona física identificada o identificable". Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones». En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar sujeto a la normativa de protección de datos. Pues bien, el resultado fue que la reclamada expidió dos tarjetas SIM a un tercero que no era el titular de la línea, y no siguió el procedimiento de verificación implementado por ella misma. A la vista de lo anterior, DIGI no logra acreditar que se haya seguido ese procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/38 De hecho, DIGI manifiesta en su escrito de respuesta a la solicitud de información de esta Agencia de fecha 17 de noviembre de 2023, que fue un error humano por parte de dos agentes de backoffice. Pues bien conforme al procedimiento de identificación descrito por la parte reclamada, por parte de los dos agentes validadores de la oficina interna de DIGI, no verificaron la autenticidad, ni contrastaron la autenticidad de la copia del DNI recibida del distribuidor oficial con el original del documento identificativo, en dos ocasiones el día 15 y 17 de octubre de 2022 siendo así que, de haberse efectuado correctamente esta operación, los dos duplicados se hubieran denegado. Por otra parte, advierte DIGI en la información facilitada a esta AEPD que remite un correo electrónico y un SMS al titular de la línea a la que corresponde el duplicado de tarjeta emitido. Sin embargo, dichas comunicaciones se envían cuando los duplicados ya han sido validados, sin oportunidad alguna de que el titular puede reaccionar para evitarlo. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para verificar la identidad de la persona que solicitó un duplicado de la tarjeta SIM. En definitiva, la emisión de un duplicado de tarjeta SIM implica necesariamente un tratamiento de datos personales. Dicho tratamiento debe cumplir con una base jurídica que lo legitime, tal como exige el citado artículo 6.1 del RGPD, al igual que cualquier comunicación de datos personales a un tercero. En este caso, la emisión de los duplicados SIM a solicitud de un tercero sin la intervención o consentimiento del titular constituye una falta de base jurídica válida para dicho tratamiento de datos. Se estima oportuno reiterar que seguir los protocolos establecidos para estos trámites por DIGI no es suficiente para justificar la licitud del tratamiento bajo el RGPD, ya que dichos protocolos no suplen la necesidad de la concurrencia de una base legítima, y que el procedimiento de verificación de identidad seguido por DIGI no ha garantizado adecuadamente el cumplimiento del RGPD. Por lo tanto, la emisión de los duplicados SIM en estas condiciones y su entrega a una persona distinta al titular de la línea telefónica constituyen un tratamiento de datos personales sin base jurídica y, en consecuencia, una infracción del artículo 6.1 del RGPD, dado que se ha realizado sin cumplir con ninguna de las bases legitimadoras para dicho tratamiento. La responsabilidad no reside en la falta de cumplimiento de un protocolo interno, sino en la ausencia de una base jurídica válida conforme a las disposiciones del RGPD. De conformidad con las evidencias de las que se dispone, se estima que la conducta de la parte reclamada podría vulnerar el artículo 6.1 del RGPD pudiendo ser constitutiva de la infracción tipificada en el artículo 83.5.
28. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/38 “