1/8 Expediente nº.: EXP202211403 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por DIGI SPAIN TELECOM, S.L. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 20 de septiembre de 2023, y en base a los siguientes HECHOS PRIMERO: Con fecha 20 de septiembre de 2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202211403, en virtud de la cual se imponía a DIGI SPAIN TELECOM, S.L., con NIF B84919760, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 200.000 euros (doscientos mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 25 de septiembre de 2023, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00317/2023, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO. - La reclamante formuló reclamación ante esta Agencia en fecha 4 de abril de 2023, en la que se hace constar que DIGI facilitó un duplicado de su tarjeta SIM, a un tercero sin su consentimiento, el día 25 de diciembre de 2021 y valiéndose de la información contenida en su teléfono móvil, procediéndose en esa misma fecha a realizar diversos movimientos bancarios. SEGUNDO. - Consta que el día 25 de diciembre de 2021, un tercero que se identificó como la reclamante contacto por WhatsApp con DIGI, y a continuación DIGI generó el duplicado de la tarjeta SIM. TERCERO. - La reclamante contactó ese mismo día con DIGI, comunicando que habían suplantado su identidad para duplicar su tarjeta SIM le facilitaron otra SIM el 28 de diciembre de 2021. TERCERO: La parte recurrente ha presentado en fecha 25 de octubre de 2023, en esta Agencia Española de Protección de Datos, recurso de reposición. Como fundamento del recurso la parte recurrente considera que de los hechos acreditados resulta posible concluir que DIGI contaba con un procedimiento al efecto, el cual se siguió escrupulosamente, y que le permitió realizar, conforme sus obligaciones, un tratamiento de datos lícito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Por otra parte, DIGI manifiesta que extrema sus esfuerzos por identificar y mitigar los intentos de fraude, y no puede imponérsele una responsabilidad absoluta en la detección del mismo; ante un tercero que dispone de los datos telefónicos, identificativos y de los datos bancarios del reclamante, que cumple el protocolo, identificándose de incluso de forma presencial. Además, señala que la AEPD se basa únicamente en el resultado. Asimismo, DIGI alega que la AEPD le impone inequívocamente una responsabilidad objetiva, en la cual, independientemente de la diligencia y medidas desplegadas, se declara la culpabilidad de la entidad. Sobre la falta de proporcionalidad de la sanción propuesta y que previos los trámites oportunos se dicte resolución por medio de la cuál señale el archivo del procedimiento EXP202211403, y reseña sanciones impuestas a otras empresas del sector telecomunicaciones con motivo de la concurrencia de los fraudes de tipología Sim Swapping. Digi solicita que se aprecien las siguientes circunstancias atenuantes: Que en ningún momento se han tratado categorías especiales de datos (Art.83.2g) RGPD). El inexistente beneficio obtenido por parte de DIGI (art. 83.2
- k)RGPD). Subsidiariamente, en el caso de que la AEPD resuelva en contra de la fundamentación jurídica que sostiene DIGI, se solicita a la AEPD que culmine el procedimiento mediante un apercibimiento y, en última instancia, se modere o module la sanción recogida en la Resolución notificada a DIGI. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: En cuanto a la responsabilidad de DIGI, debe indicarse que, con carácter general DIGI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1
- b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases previstas en el artículo 6.1.a), c),
- e)y
- f)del RGPD. Por otra parte, para completar la estafa, es necesario que un tercero “suplante la identidad” del titular de los datos, para recibir el duplicado de la tarjeta SIM. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros principios como el de confidencialidad. Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991, de 19 de diciembre Rec 1274/1988 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. Recordemos que, con carácter general las operadoras tratan los datos de sus clientes al amparo de lo previsto en el artículo 6.1
- b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte (…). En este sentido, DIGI cuenta con una red de comerciales, puntos de venta y distribuidores homologados a través de un contrato de distribución para ofrecer los servicios de DIGI. Entre estos servicios ofrecidos desde sus puntos de venta, está la realización de duplicados de tarjetas SIM correspondientes a una línea de telefonía móvil. En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual. En cuanto a la imposición de una advertencia, apercibimiento, o la adopción de medidas correctivas conforme al artículo 58 del RGPD, una multa disuasoria es aquella que tiene un efecto disuasorio genuino. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice: “ 94.Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor disuasorio se valora tomando en consideración una multitud de elementos y no sólo la situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio puede tener por objeto no sólo una «disuasión general», definida como una acción para desincentivar a todas las empresas, en general, de que cometan la infracción de que se trate, sino también una «disuasión específica», consistente en disuadir al demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no estaba obligada a limitar su valoración a los factores relacionados únicamente con la situación particular de la empresa en cuestión.” “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).” Hemos de atender a la circunstancia singular de la reclamación presentada, a través de la cual puede constatarse que, desde el momento en el que la persona suplantadora realiza la sustitución de la SIM, el teléfono de la víctima se queda sin servicio pasando el control de la línea a las personas suplantadoras. En consecuencia, ven afectados sus poderes de disposición y control sobre sus datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos según ha señalado el Tribunal Constitucional en la Sentencia 292/2000, de 30 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 noviembre de 2000 (FJ 7). De manera que, al conseguir un duplicado de la tarjeta SIM, se posibilita bajo determinadas circunstancias, el acceso a los contactos o a las aplicaciones y servicios que tengan como procedimiento de recuperación de clave el envío de un SMS con un código para poder modificar las contraseñas. En definitiva, podrán suplantar la identidad de los afectados, pudiendo acceder y controlar, por ejemplo: las cuentas de correo electrónico; cuentas bancarias; aplicaciones como WhatsApp; redes sociales, como Facebook o Twitter, y un largo etc. En resumidas cuentas, una vez modificada la clave de acceso por parte de los suplantadores pierden el control de sus cuentas, aplicaciones y servicios, lo que supone una gran amenaza. En definitiva, es el responsable del tratamiento el que tiene la obligación de integrar las garantías necesarias en el tratamiento, con la finalidad de, en virtud del principio de responsabilidad proactiva, cumplir y ser capaz de demostrar el cumplimiento, al mismo tiempo que respeta el derecho fundamental a la protección de datos. Ahora bien, debe señalarse que el Sim Swapping es un fraude que permite suplantar la identidad mediante el secuestro del número de teléfono al obtener un duplicado de la tarjeta SIM. En todo caso, la operadora deberá ser capaz de acreditar que para este caso concreto haya seguido los protocolos de verificación implementados a la hora de solicitar un duplicado de la tarjeta SIM. Pues bien, el resultado fue que la reclamada expidió la tarjeta SIM a un tercero que no era el titular de la línea. A la vista de lo anterior, DIGI no logra acreditar que se haya seguido ese procedimiento. La parte reclamada no ha sido capaz de acreditar que para este supuesto se siguiera el procedimiento implantado por ella misma, ya que, de haberlo hecho, se debió haber producido la denegación del duplicado de la tarjeta SIM. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para identificar a la persona que solicitó un duplicado de la tarjeta SIM. Digi solicita que se aprecien las siguientes circunstancias atenuantes: (I) “En ningún momento se han tratado categorías especiales de datos” (art. 83.2 g). (II) “La inexistencia de beneficios obtenidos a través de la infracción”, artículo 83.2
- k)del RGPD y 76.2
- c)de la LOPDGDD. No se admite ninguna de las atenuantes invocadas. Sobre la aplicación del artículo 83.2
- g)del RGPD, cabe señalar que las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión 2.1, adoptadas el 24 de mayo de 2023, señalan que: “En cuanto al requisito de tener en cuenta las categorías de datos personales afectadas (artículo 83, apartado 2, letra
- g)del RGPD), el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por lo tanto, una respuesta más estricta en términos de multas.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 De lo expuesto podemos concluir que no tratar categorías especiales de datos no supone una circunstancia atenuante, en todo caso se trataría de una circunstancia neutra. Sobre la aplicación del artículo 76.2.
- c)de la LOPDGDD, en conexión con el artículo 83.2.k), inexistencia de beneficios obtenidos, cabe señalar que tal circunstancia solo puede operar como agravante y en ningún caso como atenuante. El artículo 83.2.
- k)del RGPD se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo 76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..]
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones mencionan como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que DIGI alega. Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa está presidida por los siguientes principios: deberán estar individualizadas para cada caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1 del RGPD y a los principios por los que se rige la determinación del importe de la sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis de DIGI en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas. La AEPD no se descuelga de ningún razonamiento ni tampoco achaca toda la responsabilidad a DIGI. Le reprocha la responsabilidad que le corresponde como responsable de ese tratamiento específico “Emisión de un duplicado de tarjeta SIM”, toda vez que conforme a la definición del artículo 4.7 del RGPD es quien determina la finalidad y medios del tratamiento realizado. DIGI en su condición de operador deber ser más exigente a la hora de proporcionar un duplicado de una tarjeta SIM. Las verificaciones de identidad deben ser exhaustivas para evitar problemas de suplantación de identidad. En el momento en el que se logra la tarjeta SIM duplicada se tiene también acceso al segundo factor de autenticación y, por tanto, desde ese instante, se podrían materializar fraudes bancarios. Por tanto, analizadas las alegaciones efectuadas en el presente recurso potestativo de reposición, se comprueba que no se han aportado en ellas nuevos argumentos jurídicos que permitan reconsiderar el sentido de la resolución sancionadora dictada en fecha 20 de septiembre de 2023. III Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por DIGI SPAIN TELECOM, S.L. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 20 de septiembre de 2023, en el expediente EXP202211403. SEGUNDO: NOTIFICAR la presente resolución a DIGI SPAIN TELECOM, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es