REPOSICION-PS-00307-2023

1/16  Expediente nº.: EXP202210101 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por ORANGE ESPAGNE, S.A.U. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 23 de enero de 2024, y en base a los siguientes: HECHOS PRIMERO: Con fecha 23 de enero de 2024, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202210101, en virtud de la cual se imponía a ORANGE ESPAGNE, S.A.U., por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de por un importe de 200.000 euros (doscientos mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 25 de enero de 2024, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00307/2023, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO: La parte reclamante formula reclamación el día 15 de agosto de 2022, manifestando que su teléfono móvil dejó de funcionar el día 1 de agosto de 2022 y que recibió varios correos electrónicos relativos a un aviso de consumo y otro correo electrónico indicando que se había activado con éxito su tarjeta eSIM. SEGUNDO: Obra en el expediente que la vía de solicitud de la tarjeta eSIM fue a través del Área Privada del reclamante de internet, accedieron con el usuario y clave del reclamante el día 1 de agosto de 2022, y solicitaron la generación de una tarjeta eSIM y Orange procedió a emitir el duplicado de tarjeta en la modalidad e-SIM. TERCERO: Obra en el expediente que Orange procedió a enviar un correo electrónico al reclamante con el aviso de la solicitud de la tarjeta e-SIM dentro de los contactos registrados con el cliente o su supuesto suplantador, varios de fecha 1 de agosto de 2022 que reflejan que a las 19:03 se produjo un cambio de la dirección de correo electrónico del reclamante, efectuado desde el Área de Cliente y a las 20:07 el envío de un SMS informando de que puede escanear el código de activación del eSIM. CUARTO: Obra en el expediente que el reclamante, tras recibir el SMS de Orange, contacta con la parte reclamada para solicitar la anulación del duplicado de tarjeta eSIM, indicando que no lo ha realizado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 QUINTO: Consta que con fecha 3 de agosto de 2022 se bloqueó la numeración de la línea telefónica por robo/pérdida. TERCERO: La parte recurrente ha presentado en fecha 26 de febrero de 2024, en esta Agencia Española de Protección de Datos, recurso de reposición. Como fundamento del recurso la recurrente reitera los argumentos expuestos a lo largo del procedimiento, en síntesis manifiesta que en el presente procedimiento, no se ha acreditado de forma alguna que el tercero haya tenido acceso a los datos bancarios, ni tampoco a otros datos personales asociados al terminal. Añade, pese a que Orange establezca medidas de seguridad y las someta a revisión y mejora continua, es imprescindible que los particulares, como titulares de sus datos personales, tengan cierta diligencia a la hora de custodiarlos, sin ponerlos a disposición de terceros o descuidarlos, permitiendo a terceros hacerse con su información personal, de modo que faciliten su suplantación. Por otra parte, alega que Orange no participa del proceso de identificación de un usuario ante su banco, sino que es éste quien determina el modo en que quiere llevar a cabo esta comprobación, por lo que no cabe trasladar la responsabilidad ante las operadoras de telefonía. Sobre la inadmisibilidad de la responsabilidad objetiva, señala que la AEPD limita su argumentación al resultado y solicita que se dicte resolución por medio de la cual señale el archivo del procedimiento. Subsidiariamente, culmine el procedimiento mediante un apercibimiento y, en última instancia, se modere o module la sanción. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho II al V, de la Resolución recurrida, tal como se transcribe a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 <<II Alegaciones En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: En cuanto a que la emisión de duplicado no es suficiente para realizar operaciones bancarias en nombre de los titulares, ciertamente, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad financiera. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que el tratamiento de datos sea conforme al RGPD. Idénticas consideraciones merece la actuación de las entidades bancarias que proporcionan servicios de pago, en cuyo ámbito se inicia este tipo de estafas, ya que el tercero tiene acceso a las credenciales del usuario afectado y se hace pasar por este. En tanto que estas entidades son responsables del tratamiento de los datos de sus clientes, les competen idénticas obligaciones que las señaladas hasta ahora para las operadoras referidas al cumplimiento del RGPD y la LOPDGDD, y además las derivadas del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera. Dentro del proceso de emisión de eSIM no se necesita una tarjeta física, sino que para la activación de la misma se requiere que el solicitante escanee un código QR que se remite vía electrónica (SMS o correo electrónico). En el presente caso, resulta acreditado que Orange facilitó un duplicado de la tarjeta eSIM de la parte reclamante a un tercero, sin su consentimiento, el cual, accedió a la información contenida en el teléfono móvil, tales como datos bancarios, contraseñas, dirección de correo electrónico y otros datos personales asociados al terminal. Así pues, la reclamada, no tomó las cautelas necesarias para que estos hechos no se produjeran. Pues bien, resulta acreditado que un tercero accedió al área privada web de Cliente del Reclamante, y procedió al cambio de su dirección de correo electrónico e iniciando posteriormente una conversación con el Canal digital asistido y solicitando a través de este medio el duplicado de eSIM. Hay que tener en cuenta, sin perjuicio de lo indicado anteriormente, que cuando se produjo la activación de la eSIM objeto de reclamación, el reclamante recibió un aviso de la parte reclamada, y se quedó sin línea, por lo que se puso en contacto telefónico manifestando no haber solicitado el eSIM. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 Es importante resaltar, que aun cuando la parte reclamante avisó de que no había realizado ese trámite. Orange no bloqueó el teléfono permitiendo así que se produjera la suplantación por la demora por parte de Orange en llevar a cabo el bloqueo de la numeración. Dos días después se bloqueó la numeración, y tres días después le facilitaron un nuevo SIM físico. A la vista de lo anterior, Orange no logra acreditar que se actuara diligentemente y por consiguiente hubo un tratamiento ilícito de los datos personales de la parte reclamante, contraviniendo con el ello el artículo 6 del RGPD. De los Hechos Probados, se deduce que ORANGE ha facilitado duplicado de tarjeta eSIM a un tercero distinto del legítimo titular de la línea móvil, tras la superación por tercera persona de la política de seguridad existente, lo que evidencia un incumplimiento del deber de proteger la información de los clientes. Este acceso no autorizado a los datos personales del afectado resulta determinante para las actuaciones posteriores desarrolladas por las personas suplantadoras, ya que aprovechan el espacio de tiempo que trascurre desde el 1 de agosto de 2022 fecha en que el usuario detecta el fallo en la línea y se pone en contacto con la operadora, hasta el día 3 de agosto de 2022 en que Orange bloqueó la línea para realizar operaciones bancarias fraudulentas, que sin el duplicado de la tarjeta eSIM hubiera devenido imposible su realización. Negar la concurrencia de una actuación negligente por parte de ORANGE equivaldría a reconocer que su conducta -por acción u omisión- ha sido diligente. Obviamente, no compartimos esta perspectiva de los hechos, puesto que ha quedado acreditada la falta de diligencia debida. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". Así en este sentido la sentencia de la Audiencia Nacional San de 19 de septiembre de 2023 (rec 403/2021), indica que “… contrató la póliza de seguro con un tercero sin control ni supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona que estaba manifestando su voluntad de contratar, no era quien decía ser. De haberse tomado las necesarias precauciones, a fin de asegurar la identidad la persona contratante (para lo que hubiera sido bastante atender a la incorrecta contestación a las preguntas de identificación y verificación del cliente) en definitiva al no haberse actuado con la necesaria diligencia, se trataron los datos del denunciante sin contar con su consentimiento”. Resulta acreditado en el expediente que no se ha garantizado una seguridad adecuada en el tratamiento de los datos personales, habida cuenta del resultado que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 ha producido la suplantación de identidad. Es decir, un tercero ha conseguido acceder a los datos personales del titular de la línea sin que las medidas de seguridad que afirma ORANGE que existen, hayan podido impedirlo. Así pues, estamos ante la concurrencia de una conducta típica, antijuridica y culpable. En definitiva, la rigurosidad de la operadora a la hora de vigilar quién es el titular de la tarjeta eSIM o persona por éste autorizada que peticiona el duplicado, debería responder a unos requisitos estrictos. No se trata de que la información a la que se refiere no esté contenida en la tarjeta eSIM, sino de que, si en el proceso de expedición de un duplicado de tarjeta eSIM no se verifica adecuadamente la identidad del solicitante, la operadora estaría facilitando la suplantación de identidad. En cuanto a que los delincuentes no han conseguido obtener datos personales de ORANGE, por lo que no puede hablarse de incumplimiento de medidas de protección, señalar que el acceso al duplicado de una tarjeta eSIM que hace identificable a su titular, responde a la definición de dato personal del artículo 4.1) del RGPD. En el presente procedimiento sancionador, la sanción se impone debido a que ORANGE facilitó un duplicado de la tarjeta eSIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero, y por este motivo se imputa el artículo 6.1 del RGPD. En el supuesto ahora examinado, la AEPD, tras la realización de las investigaciones oportunas, y en relación con una serie de hechos concretos que considera probados, incardina los mismos en el tipo infractor que considera adecuado, conforme a la aplicación e interpretación de la normativa, motivando de manera prolija y suficiente tal actuación. Y es que, la AEPD se encuentra vinculada por el principio de legalidad que implica la aplicación e interpretación de las normas atendiendo al supuesto de hecho específico que concurra en cada caso. En cuanto a la responsabilidad de ORANGE, debe indicarse que, con carácter general ORANGE trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1

1. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
2. e)y
3. f)del RGPD. Por otra parte, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos, para recibir el duplicado de la tarjeta eSIM. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Por dicha razón, este es un proceso en donde la diligencia prestada por las operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar que se implantan y mantienen medidas de seguridad apropiadas para proteger eficazmente la confidencialidad, integridad y disponibilidad de todos los datos personales de los cuales son responsables, o de aquellos que tengan por encargo de otro responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En cuanto a la conducta de ORANGE se considera que responde al título de culpa. Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o dedicada específicamente a la gestión de los datos de carácter personal de los clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir, desde la óptica de la culpabilidad, estamos ante un error vencible, ya que con la aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones de identidad se hubieran podido evitar. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. El sistema informático y las tecnologías intervinientes deberán ser las adecuadas para evitar la suplantación de identidad y estar correctamente configurados. No comparte esta Agencia las afirmaciones de ORANGE en cuanto a las circunstancias que han quedado acreditadas. Es cierto que existen protocolos para prevenir las suplantaciones de identidad en estos procesos; que se han trasladado a los implicados en la tramitación; que se han introducido mejoras tras conocer ciertas vulnerabilidades; que existen penalizaciones por su incumplimiento. Sin embargo, no compartimos el hecho de que esos protocolos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 o procedimientos internos puedan considerarse como adecuados en tanto que son susceptibles de mejora. Hay que reforzar los mecanismos de identificación y autenticación con medidas técnicas y organizativas que resulten especialmente apropiadas para evitar suplantaciones. En cuanto a la diligencia debida, se reconoce que ORANGE ha actuado diligentemente a la hora de minimizar el impacto a los posibles afectados implantando nuevas medidas de seguridad para evitar la repetición de incidentes similares en un futuro. Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. Recordemos que, con carácter general las operadoras tratan los datos de sus clientes al amparo de lo previsto en el artículo 6.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16
4. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte (…). En el presente caso, resulta acreditado que Orange facilitó un duplicado de la tarjeta eSIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero, el cual, ha accedido a información contenida en el teléfono móvil, tales como datos bancarios, contraseñas, dirección de correo electrónico y otros datos personales asociados al terminal. Así pues, la reclamada, no verificó la personalidad del que solicitó el duplicado de la tarjeta eSIM, no tomó las cautelas necesarias para que estos hechos no se produjeran. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta eSIM. Pues bien, resulta acreditado tal como reconoce la parte reclamada en su escrito de contestación a esta Agencia, y en las alegaciones presentadas <<, el usurpador accedió al área privada web de Cliente (en adelante, APC) del Reclamante, iniciando posteriormente una conversación con el Canal digital asistido y solicitando a través de este medio el duplicado de eSIM. Habiéndose, pues, constatado la irregularidad en la solicitud del duplicado, el equipo de Análisis de Riesgos confirmó que el Reclamante, titular de la línea ***TELÉFONO.1, ha sido, probablemente, víctima de phishing, smishing o algún otro instrumento de ingeniería social (el cual no ha podido ser identificado por esta mercantil en el curso de las investigaciones) a través de su APC desde donde se solicitó el duplicado e-SIM sin haberse solicitado un reseteo de las contraseñas, es decir, el malhechor ya la conocía previamente>>. De conformidad con las evidencias de las que se dispone en este momento procesal, se estima que la conducta de la parte reclamada vulnera el artículo 6,1 del RGPD pudiendo ser constitutiva de la infracción tipificada en el artículo 83.5.
5. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: “