← España

REPOSICION-PS-00343-2024

1/43  Expediente nº.: EXP202316996 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por DIGI SPAIN TELECOM, S.L.U. (en lo sucesivo, la parte recurrente, parte reclamada o DIGI) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 17 de septiembre de 2025, y en base a los siguientes: HECHOS PRIMERO: Con fecha 17 de septiembre de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202316996, en virtud de la cual se imponía a DIGI SPAIN TELECOM, S.L.U., por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

  1. a)del RGPD, una multa de 150.000 euros (ciento cincuenta mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 22 de septiembre de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00343/2024, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO. – Resulta acreditado por DIGI en las manifestaciones realizadas en el escrito de alegaciones a esta Agencia de fecha 31 de octubre de 2024 lo siguiente: 1.- En fecha de 14 de octubre de 2021, a las 20:35 horas, un tercero realizó la contratación de un alta nueva de línea pospago con el número móvil ***TELÉFONO.1, a través del canal web de DIGI, facilitando para ello los datos personales de la parte reclamante relativos a nombre, apellidos y número de DNI. 2.- El tercero firmó electrónicamente el contrato por medio de un prestador de servicios de confianza, Logalty, Prueba por Interposición S.L., quien valida la firma digital a través de un número de teléfono de contacto configurado sobre el sistema Logalty, facilitado por el propio tercero. De esta forma, se acredita y atestigua la contratación realizada. 4.- DIGI ha manifestado que la tarjeta SIM asociada a la línea contratada se envía al domicilio facilitado por el tercero, mediante los servicios de Correos Express Paquetería Urgente, S.A. bajo la modalidad “Entrega exclusiva de destinatario”, verificando su identidad de forma presencial, tal y como se describe detalladamente en el contrato vigente entre DIGI y Correos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/43 5.- El día 29 de mayo de 2023, la reclamante se dirige al servicio de atención al cliente de DIGI vía la red social X, alegando que desde DIGI no se ha procedido a darle de alta en un servicio que pretende contratar, al aparecer en el sistema como deudora de una línea contratada ante DIGI el 14 de octubre de 2021. 6.- DIGI, tras la correspondiente comprobación de sus datos y de la contratación efectuada en 2021, así como de la denuncia aportada, se estimó la posibilidad de que se hubiera producido un fraude, con lo que se procedió, sin dilación indebida, en fecha de 15 de junio de 2023:
  2. i)La rectificación de los datos según la información disponible.
  3. ii)El bloqueo de la deuda. iii) La cancelación de los datos relativos al presunto fraude. SEGUNDO. - Consta en el expediente que en el momento de producirse los hechos DIGI contaba con un procedimiento de seguridad, basado: 1 (…) TERCERO. - DIGI ha aportado la siguiente documentación: 1.- Certificado de contratación electrónica certificada por (…). 2.- Novación del contrato de prestación de servicios de Correos Express y DIGI, de fecha 6 de agosto de 2019, en cuya cláusula tercera se establece que Correo Express garantiza que la entrega del envío se realizaría únicamente y exclusivamente al destinatario, previa identificación del mismo mediante el cotejo de su documento de identidad. 3.- Contestación remitida desde DIGI a la Guardia Civil, indicando que el titular de la línea telefónica (…). 4.- Resolución de la Secretaría del Estado de Telecomunicaciones e Infraestructuras Digitales de fecha 15 de febrero de 2024, en donde se dispone: “(…)”. 5.- Certificado de Correo Express de entrega del envío: (…) CUARTO. - Contrato de fecha 14 de octubre de 2021 suscrito por el tercero con DIGI, donde figura un domicilio de ***LOCALIDAD.1, fecha de nacimiento y cuenta bancaría distinta a la de la reclamante”. TERCERO: La parte recurrente ha presentado en fecha 22 de octubre de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en lo siguiente: 1º De la omisión de hechos relevantes sobre la diligencia de DIGI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/43 Señala que DIGI cuenta con un procedimiento de seguridad aplicable a las altas de nuevas contrataciones, que exige la firma electrónica del contrato mediante un prestador cualificado (Logalty) y una verificación presencial del documento de identidad en el momento de entrega de la tarjeta SIM, bajo modalidad de entrega exclusiva al destinatario. Señala, que la Agencia no puede afirmar que no se verifica la veracidad de los datos cuando un solicitante introduce sus datos de forma aparentemente legítima, firma electrónicamente el contrato y posteriormente se verifica presencialmente su identidad. Indica que la Cláusula Tercera del Contrato de prestación de servicios firmado entre DIGI y Correos, recoge, de forma expresa, que, a la hora de ejecutar la entrega de los productos de DIGI, Correos se obliga a cotejar, de forma presencial, el documento de identidad original del destinatario y contratante, sin que se admita, en ningún caso, la entrega a un tercero o autorizado. Afirma, que la Agencia no sólo debe considerar válido y adecuado el procedimiento de entrega implementado por DIGI, sino que debe otorgar reconocimiento y validez a la visualización del DNI como método de comprobación de la identidad. 2º. Sobre la diligencia y la responsabilidad de DIGI En lo que respecta a la responsabilidad sancionadora, DIGI, manifiesta que esta Agencia hace referencia a la Sentencia del Tribunal Constitucional nº 246/1991 de 19 de diciembre de 1991, en lo relativo a que la mera inobservancia del deber de cuidado puede derivar en responsabilidad por parte de la persona jurídica. Sin embargo, destaca que la propia Sentencia referida no desarrolla el criterio para determinar una potencial falta de deber de cuidado ni es ese su fundamento, sino que el supuesto de hecho de la Sentencia parte de una negligencia derivada de la no aplicación de medidas de seguridad expresamente tipificadas por ley, tal y como desarrolla el F.J. Tercero de la referida Sentencia. Indica, que el legislador no ha tipificado las medidas que se deben llevar a cabo para la verificación de la identidad de los interesados en supuestos como el que nos ocupa. A ello se suma que la propia AEPD ni siquiera ha llegado a establecer ningún tipo de recomendación de tipo general de acuerdo con la habilitación a estos efectos contemplada por el artículo 60.1 de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones. Afirma, que conviene incidir en el hecho de que el proceso de firma del alta del contrato de pospago se realiza a través de LOGALTY, un servicio que actúa como tercero de confianza que, de acuerdo con la Ley 6/2020, de 11 de noviembre, regula aspectos de los servicios electrónicos de confianza en España, complementando el Reglamento (UE) n.º 910/2014. Señala, que LOGALTY es un proveedor de servicios de confianza consolidado en el sector, que presta multitud de servicios cualificados, habiendo por tanto superado un proceso de evaluación técnica y de seguridad especialmente estricto supervisado por el Ministerio de Asuntos Económicos y Transformación Digital, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/43 En el presente supuesto, al tratarse de una línea nueva, no hay ningún dato perteneciente a la Reclamante que DIGI ponga a disposición del supuesto suplantador. Señala, que el único tratamiento de datos que se realiza con los datos de la Reclamante es el proceso de identificación y los datos son proporcionados por el supuesto suplantador de identidad. Los hechos acreditados evidencian que el presunto suplantador de identidad conocía con anterioridad los datos personales de la Reclamante: nombre y apellidos, nº de documento de identidad, nacionalidad, fecha de nacimiento, teléfono de contacto y correo electrónico. 3º Sobre la licitud del tratamiento de datos llevado a cabo por DIGI Sostiene, que ninguno de los hechos acaecidos en el presente supuesto permite imputar a DIGI un tratamiento de datos sin legitimación, no siendo posible la asociación de una infracción del Artículo 6.1 del RGPD. El hecho de que la persona que realiza los trámites no se corresponda, supuestamente, con el titular del contrato no supone per se que exista ninguna falta de legitimación en su tratamiento y, mucho menos, no supone per se que exista una falta de diligencia en la actuación de la mercantil de forma automática. Afirma, que la licitud de dichos tratamientos es incuestionable y claramente conforme a la normativa de protección de datos, por cuanto son necesarios para el correcto control de la identidad de la persona que realiza la solicitud. Indica, dos sentencias del Tribunal de Justicia de la Unión Europea: C-683/21 3y C807/21 4, donde se reitera que, para la imposición de multas administrativas se requiere que se haya actuado de forma culpable, es decir, de forma intencionada o negligente. Manifiesta, que el artículo 83 del RGPD no permite imponer una multa administrativa por una infracción contemplada en sus apartados 4 a 6 sin que se demuestre que dicha infracción fue cometida de forma intencionada o negligente por el responsable del tratamiento y que, por lo tanto, la culpabilidad en la comisión de la infracción constituye un requisito para la imposición de la multa y que al no haberse acreditado la concurrencia de una actuación culpable, intencionada o negligente por parte de DIGI, no procede la identificación en la conducta de esta parte de una infracción de la normativa de protección de datos personales por el mero hecho de haber sido víctima de una suplantación de identidad y, consecuentemente, no procede la imposición de ningún tipo de sanción. 4º Sobre la inadmisibilidad de la responsabilidad objetiva Señala, que la presente Resolución se basa exclusivamente en el resultado, que toma como base unos fundamentos equívocos, que no tienen lugar en el presente supuesto de hecho. Indica, que la Agencia argumenta que la superación de las medidas de seguridad por un tercero conlleva la automática consideración de que no se verificó la personalidad del contrato y, por tanto, a juicio de la AEPD, surge automáticamente la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/43 responsabilidad directa por parte de DIGI. Dicha afirmación no sólo carece de cualquier fundamentación jurídica, sino que supone la imposición a DIGI de una responsabilidad objetiva. Manifiesta, que el Tribunal Constitucional, desde su Sentencia nº 76/1990, ha venido advirtiendo de la inadmisibilidad en nuestro ordenamiento jurídico de la responsabilidad objetiva y, consecuentemente, de la exigencia en todo caso de que la Administración, a la hora de sancionar, pruebe un grado suficiente de intencionalidad en el sancionado. Señala que, en la Resolución, la AEPD impone a DIGI una responsabilidad objetiva, en la cual, independientemente de la diligencia y medidas desplegadas, se declara la culpabilidad de la entidad. Indica, que la Sentencia del Tribunal Supremo 543/2022, de 15 de febrero, la cual establece en su Fundamento Jurídico Tercero, que: “La obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado, que implique que producida una filtración de datos personales a un tercero existe responsabilidad con independencia de las medidas adoptadas y de la actividad desplegada por el responsable del fichero o del tratamiento.” Así, el Tribunal Supremo configura dicha obligación como una de medios, en las que (Fundamento Jurídico 3º): “el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones “de diligencia” o “de comportamiento””. Afirma, que la diferencia radica en la responsabilidad en uno y otro caso, pues mientras que en la obligación de resultado se responde ante un resultado lesivo por el fallo del sistema de seguridad, cualquiera que sea su causa y la diligencia utilizada, “en la obligación de medios basta con establecer medidas técnicamente adecuadas e implantarlas y utilizarlas con una diligencia razonable”, y señala la Sentencia de la Sala Tercera del Tribunal de Justicia de la Unión Europea (en adelante, “TJUE”), del 14 de diciembre de 2023, en el asunto C-340/21, con ECLI: EU:C:2023:986, que tiene por objeto la resolución de la cuestión prejudicial del Tribunal Supremo de lo ContenciosoAdministrativo de Bulgaria de 14 de mayo de 2021. En esta Sentencia, se indica lo siguiente: “29. La referencia que figura en el artículo 32, apartados 1 y 2 del RGPD, a «un nivel de seguridad adecuado al riesgo» y a un «nivel de seguridad adecuado» pone de manifiesto que este Reglamento instaura un régimen de gestión de riesgos y que en modo alguno pretende eliminar los riesgos de violación en la seguridad de los datos personales. Así, del tenor de los artículos 24 y 32 del RGPD se desprende que estas disposiciones se limitan a obligar al responsable del tratamiento a adoptar medidas técnicas y organizativas destinadas a evitar, en la medida de lo posible, cualquier violación de la seguridad de los datos personales. El carácter apropiado de tales medidas debe evaluarse en cada caso concreto, examinando si el responsable ha adoptado esas medidas teniendo en cuenta los diferentes criterios establecidos en los mencionados artículos y las necesidades de protección de datos específicamente inherentes al tratamiento de que se trate y a los riesgos que conlleva. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/43 Por consiguiente, los artículos 24 y 32 del RGPD no pueden entenderse en el sentido de que una comunicación no autorizada de datos personales o un acceso no autorizado a dichos datos por parte de un tercero basten para concluir que las medidas adoptadas por el responsable del tratamiento no eran apropiadas, en el sentido de esas disposiciones, sin siquiera permitir a este último aportar la prueba en contrario. Tal interpretación se impone tanto más cuanto que el artículo 24 del RGPD establece expresamente que el responsable del tratamiento debe poder demostrar la conformidad con dicho Reglamento de las medidas que ha adoptado, posibilidad de la que se vería privado si se admitiera una presunción iuris et de iure. Sostiene, que al no haberse acreditado la concurrencia de una actuación culpable, intencionada o negligente por parte de DIGI no procede la identificación en la conducta de esta parte de una infracción de la normativa de protección de datos personales y, consecuentemente, no procede la imposición de ningún tipo de sanción. 5º Sobre la falta de proporcionalidad de la sanción propuesta Señala, que los siguientes puntos que son calificados de agravantes, no concurren las circunstancias para su consideración en relación con los hechos analizados: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (Artículo 83.2.
  4. a)del RGPD) Sostiene, que la Resolución recurrida considera como agravante la “naturaleza, gravedad y duración de la infracción”, conforme al artículo 83.2.
  5. a)del RGPD. Sin embargo, no concurren las circunstancias que justificarían su aplicación en el presente supuesto, por los siguientes motivos: “1. Origen fraudulento y ajeno a DIGI. Los hechos que motivan este procedimiento derivan de una conducta fraudulenta de un tercero, que, utilizando documentación, a priori original y legítima, consiguió aparentar ser la titular legítima de la línea. No puede imputarse a DIGI responsabilidad por la acción inicial del suplantador, máxime cuando se aplicaron los controles previstos en el protocolo interno y no existía una denuncia previa de pérdida o sustracción del documento que permitiera a DIGI detectar el engaño. En ningún caso debería derivarse una responsabilidad que, además, afecte a la agravación de la infracción por su naturaleza. 2. Duración limitada del incidente. Tan pronto como la Reclamante comunicó la sospecha de suplantación (pese a emplear para ello las redes sociales), DIGI actuó de forma inmediata y diligente, suspendiendo la línea, abriendo el tique de fraude correspondiente y activando las medidas correctoras disponibles, por lo que la incidencia quedó resuelta en un plazo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/43 muy breve. Es decir, lejos de existir una omisión o pasividad, lo que se evidencia es una reacción inmediata y responsable ante la sospecha de una irregularidad. 3. Ausencia de perjuicios imputables a DIGI. El supuesto daño sufrido por la Reclamante, que figuraba como deudora ante DIGI, es eliminado y mitigado por esta parte, que asume el importe generado por el presunto suplantador. DIGI realizó la rectificación de los datos según la información disponible, procedió a bloquear la deuda y canceló cualquier información que relacionara a la Reclamante con un fraude a DIGI, por lo que no cabe aludir a la existencia de un perjuicio por la Reclamante. 4. Número de afectados: un caso aislado. El procedimiento se refiere a una única interesada dentro del conjunto de la clientela de DIGI, lo cual evidencia un suceso puntual y aislado, y no una práctica generalizada o de alcance masivo que permitiese agravar la infracción. En conclusión, no concurren los presupuestos exigidos por el RGPD para aplicar el agravante de la naturaleza, gravedad y duración de la infracción. Por el contrario, tal y como se ha acreditado, DIGI desplegó un comportamiento proactivo y diligente, conforme a los estándares de seguridad vigentes, reaccionando de inmediato ante la sospecha de fraude y adoptando medidas correctoras eficaces”. • La intencionalidad o negligencia en la infracción (artículo 83.2.
  6. b)del RGPD) Indica, que la Agencia incorpora este agravante en la Resolución, pero la imposición de sanciones coercitivas por la autoridad administrativa sólo resulta admisible en aquellos casos donde se aprecie una conducta culpable por el responsable o encargado del tratamiento. Siendo éste un requisito indispensable para la imposición de una multa por la autoridad de control, la imposición de tal agravante debe estar reservado a aquellos casos donde la intencionalidad o negligencia de la infracción sea evidente y grave. Tratándose, el presente supuesto, de un hecho causado por la comisión de un acto delictivo de un tercero no imputable a DIGI, no parece permisible, cuando esta mercantil ostenta el rol de víctima y perjudicada, que se le impute tal agravante, sin ni siquiera establecerse razonamiento alguno al respecto. • La circunstancia del artículo 83.2.
  7. d)junto con la del 83.2.
  8. e)RGPD: “el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas y organizativas que hayan aplicado en virtud de los artículos 25 y 32” Considera improcedente la aplicación de este agravante, al no haberse acreditado que DIGI haya incumplido las obligaciones establecidas en los artículos 25 y 32 del RGPD. Señala, que DIGI disponía de un procedimiento interno estructurado, consistente y actualizado para la gestión de altas de líneas pospago. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/43 Y, además manifiesta que no puede ignorarse que el mismo hecho —esto es, la superación del procedimiento de seguridad por parte de un tercero mediante documentación falsificada— ya ha sido valorado por la Agencia en el agravante previsto en el artículo 83.2.
  9. b)del RGPD (intencionalidad o negligencia). Por tanto, utilizar esa misma circunstancia para fundamentar el agravante del artículo 83.2.d), sin diferenciación sustancial entre ambos, constituye una duplicidad no admisible en el contexto administrativo sancionador. • Toda infracción anterior cometida por el responsable o el encargado del tratamiento (Artículo 83.2.
  10. e)RGPD. La AEPD justifica la aplicación de la agravante del artículo 83.2.
  11. e)RGPD invocando la existencia de anteriores procedimientos sancionadores, en los que se apreció una vulneración del artículo 6.1 del RGPD por comisión de fraudes SIM Swapping. Sostiene, que esta invocación resulta errónea e improcedente, ya que no existe coincidencia ni equivalencia material entre los hechos anteriores y el actual. Mientras que aquellos casos se referían a un fraude ejecutado a través de la emisión no autorizada de duplicados de SIM, el presente expediente trae causa de una solicitud de alta online de una línea móvil, con un modus operandi y riesgos completamente distintos. Esta diferencia sustancial impide considerar que exista reincidencia. El considerando 148 del RGPD establece que, al valorar las infracciones administrativas, deben tenerse en cuenta “las circunstancias agravantes o atenuantes aplicables al caso, como por ejemplo, las infracciones anteriores relevantes cometidas por el responsable”. Esta referencia expresa la necesidad de una relación directa y relevante entre los hechos previos y los actualmente analizados. En este caso no existe tal relación de relevancia ni conexión material entre los antecedentes citados y el presente expediente, lo que impide válidamente aplicar la agravante pretendida. • La vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD). Indica que, si bien es cierto que la actividad de DIGI hace necesario el tratamiento de datos personales de sus clientes, lo cierto es que este factor es ambiguo en su valoración para incluirlo como agravante, ya que dicha vinculación no supone ni mucho menos una relación directa con la supuesta infracción. El artículo 83.2
  12. k)exige que dicho agravante sea puesto en relación con el supuesto de hecho concreto. En este sentido, el tratamiento de datos no nace de una intención de la entidad, sino que tiene lugar con motivo de la comisión de un delito del que DIGI es parte perjudicada. Por todo ello, considera que no cabe interpretar este aspecto como agravante. Y, señala que concurren en el presente las siguientes circunstancias atenuantes que no han sido consideradas en la adecuada graduación de la sanción: Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (art. 83.2 c). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/43 Indica, que DIGI procedió, sin dilación indebida, en fecha 15 de junio de 2023, a:
  13. i)La rectificación de los datos según la información disponible.
  14. ii)La anulación de la deuda, eliminando cualquier posible perjuicio generado a la Reclamante. iii) La cancelación de los datos relativos al presunto fraude. Desde que la Reclamante contacta con DIGI, se tomaron medidas rápidas y efectivas, demostrando una diligencia significativa por parte de DIGI: permite subsanar la situación y minimizar el impacto sobre la Reclamante, lo cual debe ser valorado positivamente, considera que negar la consideración de esta circunstancia como atenuante sería contrario al espíritu del RGPD, que busca no solo sancionar conductas ilícitas, sino también fomentar prácticas responsables y la adopción de medidas correctivas eficaces. En ningún momento se han tratado categorías especiales de datos (Art. 83.2
  15. g)RGPD). Manifiesta, que los datos tratados por DIGI no se encuadra dentro de las “categorías especiales de datos” previstas en el artículo 9 del RGPD. Dicho precepto establece de forma clara y tasada que solo serán considerados datos de categoría especial aquellos que: “revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.” Ni el nombre, ni los apellidos, ni el número del DNI —aunque se trate de un identificador robusto— cumplen con estos criterios. El hecho de que puedan ser utilizados fraudulentamente por terceros no altera su naturaleza jurídica como datos identificativos ordinarios. El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos. Indica, que la parte reclamada ha contestado en tiempo y forma a todos los requerimientos de información solicitados por esta Agencia. Es más, DIGI aportó, en la respuesta al requerimiento de información la documental relativa al presente supuesto de hecho, por propia voluntad, manifestando de forma expresa su buena fe e intención de colaboración con la autoridad (art. 83.2
  16. f)RGPD). El inexistente beneficio obtenido por parte de DIGI como resultado al tratamiento de datos que ocupa este procedimiento. Señala, que DIGI se ha visto perjudicada, al verse afectada por la comisión de fraude por un tercero, lo que le ha obligado a reparar la situación causada y llevar a cabo investigaciones, con el consiguiente coste asociado (Art. 83.2
  17. k)RGPD)y quiere dejar constancia y demostrar que las medidas vigente en el momento de los hechos cumplían con las más rigurosas normas, pautas, estándares y recomendaciones (incluyendo los emitidos por la propia AEPD) para poder hacer frente a los riesgos y que eran las adecuadas e idóneas teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/43 DIGI: SOLICITA, se dicte resolución por medio de la cual se señale el archivo del Expediente N.º: EXP202316996. Y, subsidiariamente, solicita a la AEPD que tenga en cuenta las circunstancias atenuantes fundamentadas en las anteriores alegaciones y, consecuentemente, culmine el procedimiento mediante un apercibimiento y, en última instancia, si considera que procede la imposición de una sanción, modere o module la sanción impuesta en la Resolución notificada a DIGI. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la LOPDGDD. II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho II al VI, de la Resolución recurrida, tal como se transcribe a continuación: << II Contestación a las alegaciones presentadas al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Primera alegación: Relato y análisis del supuesto de hecho. Hace referencia DIGI, para su descargo, a la cronología de los hechos y llega a la conclusión de que la suplantación de identidad y el acceso a los datos personales de la reclamante, tiene lugar de forma previa a cualquier contacto con DIGI. La documentación que obra en el expediente acredita que los datos personales de la reclamante, nombre, dos apellidos y NIF se incorporaron a los registros informáticos de DIGI vinculados a la contratación de una línea de telefonía móvil ***TELÉFONO.1 con fecha de alta 14/10/2021. El domicilio postal que se atribuye a la denunciante no es el suyo, que está ubicado en la provincia de ***LOCALIDAD.2, sino otro radicado en ***LOCALIDAD.1. Paralelamente, la reclamante ha negado la contratación de cualquier servicio con la reclamada. Ha expresado su negativa en el escrito de reclamación que presentó ante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/43 la AEPD -en la que declaró que nunca había sido cliente de DIGI-; en la denuncia que presentó el 30/05/2023 ante la Guardia Civil. Así como en la reclamación que formuló ante la operadora. Por su parte, DIGI ha manifestado en la respuesta al requerimiento informativo de la Inspección que la reclamante contrató con ella a través de la página web la línea de telefonía móvil. En relación con este argumento, es preciso señalar que de las actuaciones de investigación realizadas y de la propia documentación aportada por la parte reclamante y reclamada se desprende una presunta contratación fraudulenta por un tercero mediante la indicación de ciertos datos personales de la parte reclamante. Dicha suplantación de identidad fue posible debido al proceso de contratación que observa la parte reclamada y que permite que terceras personas malintencionadas puedan realizar contrataciones de otras. Segunda alegación: Sobre la adecuación del procedimiento de alta de contrataciones de DIGI. La parte reclamada detalla de nuevo, el procedimiento de solicitud de alta online establecido en el momento de los hechos y señala que las medidas diseñadas e implantadas con carácter previo, acreditan la existencia de medidas suficientes y diligentes por DIGI para garantizar un proceso de contratación válido y garantista y DIGI procedió tanto a la cancelación de la deuda como de los datos personales asociados al mismo. A este respecto, tras el estudio del protocolo que sigue la parte reclamada en el proceso de contratación se observa una serie de deficiencias que permiten un trato ilícito de datos personales: - Así, en primer lugar, en el proceso de contratación no se verifica la veracidad de los datos, sino únicamente se comprueba que los números que se indican corresponden a un DNI. - La identificación del titular se basa a través de una firma que se realiza a través de un operador de confianza. Sin embargo, dicha firma se recaba a través de una línea móvil que se indica en el documento y a la que se envía un SMS, medida que, sin embargo, no puede asegurar que la persona que dispone de esa línea sea efectivamente la que se ha indicado como la persona que realiza la contratación. - La parte reclamada afirma que la entrega posterior de la SIM consecuencia de la contratación se realiza por parte de Correos Express previa comprobación del DNI. Dicha afirmación, no desvirtúa el hecho de que el contrato fraudulento ya haya sido formalizado y los datos que figuran en el mismo, tratados indebidamente. Tercera alegación: Sobre la acreditación del cumplimiento del protocolo. La defensa insiste en la Cláusula Tercera del Contrato de prestación de servicios firmado entre DIGI y Correos, manifestando que DIGI acredita de forma evidente la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/43 obligación contractual de verificación del DNI que ostentaba Correos en el momento de la entrega. Asimismo, indica que se realizaba una comprobación visual del documento de identidad, y no se conserva una copia o fotografía de este, en cumplimiento, precisamente, de las directrices y criterios de esta Agencia, y que el establecimiento de dicha medida ha sido acreditado por DIGI, dado que la misma se incorpora como obligación contractual para Correos, como ejecutor y encargado del tratamiento que realiza la entrega. En relación con lo anterior, se vuelve a indicar que en el proceso de contratación no se verifica la veracidad de los datos, sino únicamente se comprueba que los números que se indican corresponden a un DNI y la identificación del titular se basa a través de una firma que se realiza a través de un operador de confianza. Sin embargo, dicha firma se recaba a través de una línea móvil que se indica en el documento y a la que se envía un SMS, medida que, sin embargo, no puede asegurar que la persona que dispone de esa línea sea efectivamente la que se ha indicado como la persona que realiza la contratación. En definitiva, partimos de un contrato fraudulento en el que no se comprueba que el titular del contrato es quien dice ser, dado que facilita unos datos que no se verifican y aporta un número de teléfono el cual está en su poder para el envío del SMS de confirmación. Cuarta alegación: Sobre la fundamentación de la presunta infracción. Indica DIGI, que el supuesto suplantador tenía en su poder los datos personales del reclamante, incluyendo un DNI. Por lo tanto, señala que ningún de los hechos acaecidos en el presente supuesto permite imputar a DIGI un tratamiento de datos sin legitimación, dado que el hecho de que la persona que realiza los trámites no se corresponda, supuestamente, con el titular del contrato no supone per se que exista ninguna falta de legitimación en su tratamiento, por cuanto no consta en el relato fáctico que se haya facilitado o puesto a disposición del suplantador, ni de ninguna otra persona por DIGI, ningún dato personal de la titular de la línea distinto a los que el presunto suplantador ya conocía de forma previa. Al respecto hay que señalar que precisamente el que nos encontremos ante el fraude de un tercero hace que sea necesario asegurarse que la persona que contrata la línea móvil a través de la web de DIGI es quien realmente dice ser y deben adoptarse las medidas necesarias de prevención adecuadas para verificar la identidad de una persona cuyos datos van a ser objeto de tratamiento tal y como se reconoce en el Fundamento Jurídico Séptimo de la SAN, SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012) -: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento..."). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/43 DIGI insiste en que la empresa no ha realizado un tratamiento ilícito de los datos personales del reclamante, puesto que los datos ya estaban en manos del suplantador antes de que este realizara la contratación de un alta nueva de línea pospago. Negar la concurrencia de una actuación negligente por parte de DIGI equivaldría a reconocer que su conducta -por acción u omisión- ha sido diligente. Obviamente, no compartimos esta perspectiva de los hechos, puesto que ha quedado acreditada la falta de diligencia debida. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". Resulta acreditado en el expediente que no se ha garantizado una seguridad adecuada en el tratamiento de los datos personales, habida cuenta del resultado que ha producido la suplantación de identidad. Es decir, un tercero ha conseguido contratar a nombre de la reclamante una nueva línea móvil. En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la diligencia empleada por parte de la reclamada para verificar la identidad de la persona que solicitó el alta de una nueva línea. En este sentido, alega como precedente el PS/00413/2021, según la cual la AEPD sancionaba a una operadora de telefonía por realizar una fotografía del DNI como condición previa para entregar un producto adquirido a través de un canal de venta no presencial. En relación con este argumento, indicar que no basta con decir que el empleado comprobó el DNI sin poder acreditar esta afirmación de ningún modo, no siendo admisible indicar que la Agencia no permite fotocopiar/escanear los DNI, pues el artículo 5.2 del RGPD señala que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (responsabilidad proactiva)” , toda vez que es el responsable, en cumplimiento de sus obligaciones de responsabilidad proactiva, quien debe implantar las medidas técnicas y organizativas necesarias, tal y como expresan los artículos 24 y 25 del RGPD. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de observar los principios que presiden el tratamiento, también la de poder demostrar dicho cumplimiento. El artículo 5.2 del RGPD se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas que sean apropiadas “para garantizar y poder demostrar” que el tratamiento ha sido conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/43 riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” Asimismo, el artículo 25.1 del RGPD establece que “Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados.” En dicho expediente, las circunstancias eran otras. Se trataba del acceso a la imagen del DNI, fotografiando tanto del reverso como del anverso del mismo, y su tratamiento para la finalidad de la entrega de un producto a través del terminal móvil del repartidor de la empresa distribuidora, se considera excesivo y no limitado a lo necesario en relación con los fines para los que son tratados. El expediente que ahora se resuelve es distinto, en el que se sanciona por el tratamiento de datos que realiza DIGI consistente en que antes de la entrega de la tarjeta SIM asociada a la línea contratada, su origen era el contrato fraudulento que ya había sido formalizado. Quinta alegación: De la ausencia de responsabilidad por la mera existencia de comisión de fraude por un tercero. La parte reclamada argumenta que, el Tribunal Constitucional, desde su sentencia n.º 76/1990, ha venido advirtiendo de la inadmisibilidad en nuestro ordenamiento jurídico de la responsabilidad objetiva y, consecuentemente, de la exigencia en todo caso de que la Administración, a la hora de sancionar pruebe un grado suficiente de intencionalidad en el sancionado. Asimismo, cita diversas sentencias, y llega a la conclusión que al no haberse acreditado la concurrencia de una actuación culpable, intencionada o negligente por parte de DIGI no procede la identificación en la conducta de DIGI de una infracción de la normativa de protección de datos personales y, consecuentemente, no procede la imposición de ningún tipo de sanción. Y, llega a la conclusión que el Acuerdo de Inicio no es ajustado a derecho, pues impone a DIGI una obligación de resultado, basándose únicamente en el resultado lesivo que se produce por la supuesta actividad fraudulenta de un tercero, sin atender C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/43 a la diligencia utilizada y sin considerar el despliegue de medidas técnicamente adecuadas e implantadas. El principio de responsabilidad previsto en el artículo 28 de la LRJSP, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. Recordemos que, con carácter general las operadoras tratan los datos de sus clientes al amparo de lo previsto en el artículo 6.1
  18. b)del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato en el que el interesado es parte (…). Sexta alegación: De la reversión y reparación de la situación por DIGI. Alega DIGI que ha acreditado actuar con la debida diligencia, también resolviendo la situación y efectos adversos para la reclamante tan pronto como tuvo conocimiento de la posible incidencia. Así señala que la mera concurrencia de un acceso no autorizado o supuesto de fraude no resulta motivo suficiente per se para imponer una cuantiosa sanción a la entidad que lo sufre, sino que la misma debe fundamentarse en una deficiente gestión de la incidencia, y, en concreto, en la ausencia de medidas de reparación suficientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/43 Por todo ello, considera que la actuación de DIGI ha sido acorde a los principios de diligencia y eficacia exigidos por la normativa de protección de datos y, en consecuencia, no procede la imposición de sanción alguna. La parte reclamada manifiesta que procedió a solventar la incidencia objeto de la reclamación de forma efectiva, pero hay que señalar que entra en el cumplimiento de sus obligaciones legales -por lo que aquí interesa del principio de licitud- la reclamada debe de actuar con la diligencia que las circunstancias del caso exigen y está obligada a cumplir su propia política de seguridad para de esta forma poder acreditar el cumplimiento de los principios de protección de datos. A propósito del grado de diligencia que el responsable del tratamiento está obligado a desplegar cabe citar la sentencia de la Audiencia Nacional, Sala de lo Contencioso Administrativo, de 17 de octubre de 2007 (Rec. 63/2006) en la que recoge que “...el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. El artículo 83.2.
  19. d)RGPD: “El grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32”. La reclamada no ha aportado ninguna prueba que demuestre que recabó de la persona que intervino en la contratación algún documento que acreditara que era efectivamente el titular de los datos que había facilitado como propios o que articuló algún mecanismo que permitiera contrastar la veracidad de los datos de identidad proporcionados. Por otra parte, el principio de proactividad supone transferir al responsable del tratamiento la obligación no solo de cumplir con la normativa, también la de poder demostrar su cumplimiento. Entre los mecanismos que el RGPD contempla para lograrlo se encuentran los previstos en el artículo 25, “protección de datos desde el diseño”, a tenor del cual el responsable debe aplicar “tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento” medidas técnicas y organizativas que garanticen que hace una efectiva aplicación de los principios del RGPD con ocasión de los tratamientos que realiza. Séptima alegación: Sobre la falta de la proporcionalidad de la sanción propuesta. En cuanto a la sanción, la parte reclamada señala que esta es desproporcionada en relación con los hechos, atendiendo a las circunstancias y el contenido de la supuesta infracción. En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/43 individual. Asimismo, señala que según lo establecido en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, concurren en el presente las siguientes circunstancias atenuantes que no han sido consideradas en la adecuada graduación de la sanción: Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma efectiva (art. 83.2 c); En ningún momento se han tratado categorías especiales de datos (Art. 83.2
  20. g)RGPD). El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos: ha quedado acreditado que se ha contestado en tiempo y forma a todos los requerimientos de información solicitados por esta Agencia. Es más, DIGI aportó, en el primer requerimiento de información, de forma previa a que fuese requerido por la AEPD, toda la documentación contractual y acreditativa relativa al presente supuesto de hecho, por propia voluntad, manifestando de forma expresa su buena fe e intención de colaboración con la autoridad (Art. 83.2
  21. f)RGPD). El inexistente beneficio obtenido por parte de DIGI como resultado al tratamiento de datos que ocupa este procedimiento. En todo caso, DIGI se ha visto perjudicada, como ya se ha señalado, al verse afectada por la comisión de fraude por un tercero, lo que le ha obligado a reparar la situación causada y llevar a cabo investigaciones, con el consiguiente coste asociado (Art. 83.2
  22. k)RGPD). Por todo lo anterior, la cuantificación de la posible sanción a imponer a DIGI en relación con el supuesto incumplimiento de las obligaciones del artículo 6.1 del RGPD, señala que debería limitarse a un apercibimiento y, en última instancia, se modere o module la propuesta recogida en el Acuerdo de Inicio notificado a DIGI, atendiendo a sus argumentos. No se admite ninguna de las atenuantes invocadas. La admisión de que opere como una atenuante que la parte reclamada ha solventado la incidencia objeto de reclamación de forma efectiva (artículo 83.2
  23. c)del RGPD), anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis de DIGI en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas. Por la entidad DIGI, respecto del artículo 83.2g) del RGPD se refiere “En ningún momento se han tratado categorías especiales de datos”. Los datos tratados por DIGI, son datos de naturaleza sensible, para identificar a sus clientes en las gestiones que realizan para la obtención del duplicado de la tarjeta SIM son el nombre, apellidos y DNI, son datos personales asociada a una línea de telefonía titular de un usuario, que se obtiene con la finalidad de suplantar su personalidad que se trata de un dato personal cuyo acceso no autorizado es particular C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/43 grave. Ello, sin perjuicio, de que para la expedición del duplicado de la citada tarjeta se han tratado datos de carácter personal tales como el nombre y apellidos y DNI del titular. El artículo 83.2.
  24. f)del RGPD se refiere al “grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;”. La respuesta de la reclamada al requerimiento informativo de la Subdirección de Inspección no cumplía esas finalidades, por lo que no es encuadrable en esa circunstancia atenuante. Sobre la aplicación del artículo 76.2.
  25. c)de la LOPDGDD, en conexión con el artículo 83.2.k), inexistencia de beneficios obtenidos, cabe señalar que tal circunstancia solo puede operar como agravante y en ningún caso como circunstancia atenuante. El artículo 83.2.
  26. k)del RGPD se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo 76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.
  27. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..]
  28. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones mencionan como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que DIGI alega. Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa está presidida por los siguientes principios: deberán estar individualizadas para cada caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1 del RGPD y a los principios por los que se rige la determinación del importe de la sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis de DIGI en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas. La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el hecho de que en un supuesto concreto no estén presentes todos los elementos que integran una circunstancia modificativa de la responsabilidad que, por su naturaleza, tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse sobre la circunstancia del apartado
  29. e)del artículo 83.2. del RGPD, la comisión de infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/43 Contestación a las alegaciones presentadas a la propuesta de resolución Las alegaciones formuladas no desvirtúan los fundamentos que justifican el acuerdo adoptado en la presente resolución. DIGI plantea en su escrito de alegaciones a la propuesta de resolución, básicamente, las mismas alegaciones que formuló con ocasión de la apertura del procedimiento, sin considerar los hechos constatados y los fundamentos que sirvieron de base a la mencionada propuesta, que esta resolución hace suyos, en los que se analizan ampliamente las circunstancias puestas de manifiesto por dicha entidad y se exponen las razones que determinaron su desestimación. Por tanto, los alegatos contenidos en su nuevo escrito de alegaciones quedan sobradamente rebatidos con los argumentos transcritos en el Fundamento de Derecho anterior y en los que siguen, que se consideran válidos y suficientes para rechazar los planteamientos de DIGI. Sin perjuicio de lo anterior, se estima oportuno ampliar esa respuesta como sigue: 1. Inexistencia de infracción del artículo 6 del RGPD. Sobre la diligencia desplegada por DIGI. Sobre la inadmisibilidad de la responsabilidad objetiva El Fundamento de Derecho anterior analiza ampliamente estas cuestiones atendiendo, de manera específica, a las circunstancias apreciadas en este caso. No obstante, después de declarar reproducidas sus alegaciones a la apertura del procedimiento y sin atender a los razonamientos expuestos por esta AEPD, reitera DIGI que no se tienen en cuenta las medidas implantadas y la diligencia desplegada por su parte, sino únicamente el resultado producido por la actuación ilícita de un tercero que comete actos delictivos, siendo el tercero responsable del fraude quien ya disponía, de forma previa, de los datos personales del reclamante y quien los emplea, trata e introduce en el formulario de DIGI, sin que quepa atribuirle responsabilidad. Entiende que fundamentar la imposición de una sanción exclusivamente en la obtención de un resultado supone adoptar un principio de responsabilidad objetiva y obviar la necesaria concurrencia de la culpabilidad. Pues bien, siendo un riesgo inherente a la actividad, resulta jurídicamente exigible que en el proceso de contratación se adopten medidas técnicas y organizativas adecuadas para garantizar que la persona que formaliza el nuevo contrato es realmente quien dice ser, y que estás medidas se cumplen, con el fin de evitar el tratamiento ilícito de datos personales. Así las cosas, la verificación adecuada y rigurosa de la identidad del titular de la línea resulta determinante para que el proceder del operador pueda ser calificado como diligente y acorde con las obligaciones que le impone el RGPD. En este sentido, contrariamente a lo alegado, esta Agencia no ha limitado su análisis únicamente al resultado material, esto es, la contratación fraudulenta de una línea de telefonía móvil, sino que se han valorado de manera exhaustiva tanto la conducta de DIGI como las medidas implementadas, identificándose deficiencias o irregularidades en la actuación de DIGI que ponen en entredicho la diligencia de esta entidad en el presente caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/43 Asimismo, la parte reclamada, en fecha 8 de mayo de 2024 en respuesta al trámite de audiencia del recurso potestativo de reposición, ha puesto de manifiesto que la fecha de nacimiento no es objeto de verificación por parte del operador más que para confirmar que la parte contratante es mayor de edad y, por tanto, tiene capacidad para contratar. Pues bien, de las actuaciones de investigación se desprende que la contratación se efectúo el día 14 de octubre de 2021 a través de internet, y Digi señala que la verificación de la contratación se hizo a través de un tercero (Logalty). Al respecto facilita el certificado de Logalty que acredita que el 14/10/2021 se verificó (a través de “PIN” por SMS desde el número ***TELÉFONO.2) la contratación. A tal respecto, cabe recordar que la parte reclamada afirma que en dicha contratación presuntamente fraudulenta solo coincidían su nombre y apellidos y DNI. Sin embargo, del análisis del certificado de Logalty aportado por DIGI, se desprende que el mismo no garantiza la correcta identificación de la persona firmante, ya que el proceso se basa únicamente en la posesión del número de teléfono y la aceptación de un PIN enviado por SMS. Ello autentifica que la persona tiene acceso al número de teléfono, pero no asegura que la identidad proporcionada (nombre y apellidos) sea la de la persona real que acepta el contrato. Resulta obvio que la posesión del número de teléfono no es suficiente para verificar la identidad, especialmente si los datos introducidos son incorrectos o falsos. Por lo expuesto, el proceso de validación que aporta la parte reclamante pierde la finalidad en términos de identificación personal y no garantiza que la persona que firma sea quien dice ser. Si una persona utiliza datos falsos y aun así firma el contrato, existe un riesgo evidente de suplantación de identidad, lo cual es responsabilidad de DIGI prever y evitar. Es por ello, que dicho proceso debe contemplarse con otro tipo de verificación, como la comprobación de la recepción material de la entrega de la tarjeta SIM a su destinatario, respecto a lo cual se hace referencia a continuación. En este sentido, la parte reclamada señala que la contratación realizada involucraba el envío postal de la tarjeta SIM vinculada a la contratación efectuada. Al respecto manifiesta que la entrega física de la SIM se realizaba mediante el servicio de Correos Express de entrega con exigencia de muestra del DNI por parte del titular. Añade que la entrega se produjo correctamente y sin incidencia alguna. Sobre este proceso de envío y entrega el reclamante no ha facilitado evidencias de la contratación con Correos Express que permitan verificar que efectivamente incluían la exigencia de mostrar el DNI por parte del titular o que esta comprobación se llevó a cabo satisfactoriamente. A la vista de lo anterior, queda en entredicho la diligencia empleada por parte de la reclamada para verificar la identidad de la persona que realizó la contratación, lo cual conllevó a un acto fraudulento y, en consecuencia, a un trato ilícito de los datos personales de la parte reclamante. Como ya se expuso concurren en este caso numerosas circunstancias de hecho que llevan a calificar la conducta de DIGI como imprudente y culposa a la hora de detectar preventivamente el fraude. Sobre tales circunstancias, ya expuestas, DIGI se limita a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/43 reiterar las alegaciones previas, sin atender de forma específica los argumentos valorados en la propuesta de resolución. Asimismo, indica que se realizaba una comprobación visual del documento de identidad, y no se conserva una copia o fotografía de este, en cumplimiento, precisamente, de las directrices y criterios de esta Agencia, y que el establecimiento de dicha medida ha sido acreditado por DIGI, dado que la misma se incorpora como obligación contractual para Correos, como ejecutor y encargado del tratamiento que realiza la entrega, circunstancia esta que no es suficiente para acreditar su ejecución conforme a lo estipulado. No puede obviarse, a este respecto, que la dirección facilitada para la contratación, en la que supuestamente se entregó la tarjeta SIM de la línea contratada, corresponde a una población a aquella en que tiene su residencia la reclamante. En relación con lo anterior, se vuelve a indicar que en el proceso de contratación no se verifica la veracidad de los datos, sino únicamente se comprueba que los números que se indican corresponden a un DNI y la identificación del titular se basa a través de una firma que se realiza a través de un operador de confianza. Sin embargo, dicha firma se recaba a través de una línea móvil que se indica en el documento y a la que se envía un SMS, medida que, sin embargo, no puede asegurar que la persona que dispone de esa línea sea efectivamente la que se ha indicado como la persona que realiza la contratación. En definitiva, partimos de un contrato fraudulento en el que no se comprueba que el titular del contrato es quien dice ser, dado que facilita unos datos que no se verifican y aporta un número de teléfono el cual está en su poder para el envío del SMS de confirmación. En relación con este argumento, no basta con decir que el agente de Correos Express comprobó el DNI original, sin poder acreditar esta afirmación de ningún modo, ni resulta admisible indicar que la Agencia no permite obtener copia de los documentos de identidad, pues el artículo 5.2 del RGPD señala que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (responsabilidad proactiva)”, toda vez que es el responsable, en cumplimiento de las obligaciones que impone esta responsabilidad proactiva, quien debe implantar las medidas técnicas y organizativas necesarias, tal y como expresan los artículos 24 y 25 del RGPD. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de observar los principios que presiden el tratamiento, también la de poder demostrar dicho cumplimiento. El artículo 5.2 del RGPD se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas que sean apropiadas “para garantizar y poder demostrar” que el tratamiento ha sido conforme con el RGPD. En cuanto a los criterios que esta AEPD aplica respecto de la identificación de los interesados mediante el documento de identidad, cuya obtención se califica en ocasiones como excesiva, no considera DIGI que para delimitar los supuestos se tiene en cuenta la organización del responsable y el respeto al principio de responsabilidad proactiva. En ninguno de los dieciocho procedimientos sancionadores seguidos en esta AEPD contra DIGI por defectos en la identificación del titular de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/43 personales, finalizados o en curso, todos ellos por infracción del artículo 6 del RGPD, se pone de manifiesto una discrepancia de criterio respecto de esta circunstancia. Por otra parte, a mayor abundamiento, en relación con la específica falta de mecanismos adicionales para asegurar la realidad de la solicitud, la citada entidad se aparta de la cuestión central limitándose a alegar que la problemática radica en la actuación fraudulenta de un tercero que logró superar los controles internos establecidos. A la luz de lo expuesto, tanto en la propuesta de resolución como en la presente contestación, ni las evidencias aportadas ni las argumentaciones presentadas resultan suficientes para demostrar que el responsable del tratamiento aplicó la diligencia exigible en el contexto específico en el que opera a fin de garantizar la conformidad del tratamiento con la normativa en materia de protección de datos. Como tampoco informa sobre el establecimiento de controles para verificar que sus protocolos se cumplen efectivamente. En consecuencia, no puede considerarse cumplido el principio de responsabilidad proactiva. La culpabilidad de DIGI resulta de la falta de diligencia desplegada para asegurar que la persona que solicitó la contratación era la verdadera titular de los datos proporcionados, lo que hubiera exigido que DIGI comprobara y pudiera demostrar, al menos, que el tercero contaba con la representación de la reclamante y que el DNI que aportaba era el original. A la vista de cuanto antecede, no puede decirse que esta AEPD no haya analizado las medidas dispuestas por DIGI y su conducta en el caso concreto, ni tampoco que la infracción resulte de un error puntual y aislado. Por otra parte, ninguna responsabilidad se está trasladando a DIGI en el presente procedimiento sancionador por la conducta del tercero que solicitó el alta de línea. La única infracción que se atribuye a la reclamada se fundamenta en la falta de licitud en el tratamiento de los datos personales de la reclamante. La referencia al fenómeno de contratación fraudulenta y a sus eventuales consecuencias se efectúa con el fin de valorar el alcance y naturaleza de la infracción imputada, atendiendo a las repercusiones que tales prácticas pueden generar sobre los derechos del titular de los datos personales afectados. En este sentido, la Audiencia Nacional en la sentencia de 13/05/2024, Rec. 0002336/2021, establece que “(…) en la primera fase de este tipo de estafas el suplantador consigue, de manera fraudulenta, los datos de acceso o las credenciales de la banca online del cliente, pero le falta por conocer el código de verificación, segundo factor de autentificación, para poder ejecutar cualquier operación. En el momento en el que logra la tarjeta SIM duplicada ya tiene también acceso a este segundo factor de autentificación y, por tanto, desde ese momento puede realizar los actos de disposición patrimonial que desee”. En relación con todo cuanto antecede, resulta de especial interés la doctrina declarada por el Tribunal Supremo, Sala de lo Contencioso-Administrativo, Sección Tercera, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/43 Sentencia de 13/12/2021 (recurso de casación núm. 6109/2020), que analiza un supuesto de suplantación de identidad para una contratación on line, en el que se cuestiona la actuación llevada a cabo por la entidad recurrente para verificar que contrataba con el verdadero titular de los datos y se sanciona por el tratamiento ilícito de los datos personales del interesado. Según el auto de admisión del citado recurso de casación, “la cuestión que presenta interés casacional objetivo para la formación de la jurisprudencia consisten en interpretar la normativa de protección de datos de carácter personal vigente a efectos de aclarar si la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, permite excluir que haya existido infracción por falta del necesario consentimiento inequívoco para el tratamiento de los datos personales que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, por entender que la empresa contratante actuó con diligencia suficiente y en la creencia de que contrataba con el verdadero titular de tales datos”. En esta Sentencia se declara lo siguiente: TERCERO.- Respuesta de la Sala a la cuestión de interés casacional señalada en el auto de admisión del recurso de casación. En respuesta a la cuestión que plantea el auto de admisión del presente recurso de casación debemos declarar que la intervención fraudulenta de un tercero, que suplanta la identidad de otra persona en una contratación on line, no excluye que la empresa contratante, que lleva a cabo el tratamiento de los datos personales, haya podido incurrir en infracción por falta del necesario consentimiento inequívoco que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues aquella intervención fraudulenta de un tercero no implica por sí misma que la empresa contratante haya actuado con diligencia suficiente. Lo anterior no significa que se haga recaer sobre la empresa contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la implantación de medidas de control y verificación tendentes a asegurar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado”. No se trata, por tanto, de atribuir responsabilidad a DIGI por la mera constatación del tratamiento de datos ilícito, sino por la ausencia de diligencia en la aplicación de controles para asegurar que el tratamiento de los datos de la reclamante se realizaba con base de legitimación. En resumen, la reclamada realizó la contratación de un alta nueva de línea pospago a través del canal web a un tercero que no era el titular de los datos aportados para contratar la línea móvil. Dicha suplantación de identidad fue posible debido al proceso de contratación que observa la parte reclamada y que permite que terceras personas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/43 malintencionadas puedan realizar contrataciones de otras, quedando en entredicho la diligencia empleada por su parte a la hora de realizar las comprobaciones oportunas para verificar la identidad del cliente interesado, así como la legitimidad de la solicitud y del tratamiento de los datos. A la vista de lo expuesto, no puede decirse que se impone a DIGI una responsabilidad objetiva vulnerándose el principio culpabilista, o que no existe infracción por el tratamiento ilícito de los datos personales de la reclamante. 2. Proporcionalidad de la sanción La parte reclamada discrepa de los factores considerados para determinar la gravedad de la infracción y las agravantes aplicadas por la Agencia a la hora de valorar la sanción. Sin embargo, las alegaciones formuladas por la parte reclamada no resultan suficientes para desvirtuar los argumentos planteados, por lo que deben ser desestimadas remitiéndonos, al efecto, a lo manifestado en los Fundamentos de Derecho de la presente resolución señalados con los números II, que recoge la respuesta a las alegaciones formuladas por DIGI a la apertura del procedimiento, y VI, en el que se detallan los factores de graduación de la sanción impuesta. No obstante, interesa destacar que para la determinación del importe de la multa administrativa se ha considerado prevalente que la infracción afecta de forma directa a un único interesado, la parte reclamante, sin perjuicio de valorar las debilidades ya descritas en las medidas y política de seguridad dispuestas por la reclamada y la posibilidad de que ello pudiera dar lugar a hechos similares con otros afectados. Así, resulta que la multa impuesta en este caso (150.000 euros) se sitúa en un rango muy inferior respecto del intervalo de sanción que cabría imponer que, como ya se indicó en la propuesta de resolución, se establece entre 0,00 euros y 26.560.000 euros, para una empresa cuyo volumen de negocio ascendió en el año 2023 a 664.000.000 euros. Del mismo modo, se desestiman las atenuantes invocadas por la parte reclamada, sobre la categoría de los datos personales tratados, el grado de cooperación mostrado por DIGI y la no obtención de beneficios derivados de la comisión de la infracción, en tanto que reiteran las ya recogidas en su escrito de alegaciones al acuerdo de inicio, por los motivos descritos en el citado Fundamento de Derecho II. No obstante, se estima oportuno precisar lo siguiente:
  30. a)Respecto de la intervención de un tercero, que hizo uso de documentación falsificada, y de la negligencia apreciada en la conducta de DIGI, no cabe sino declarar reproducidos todos los argumentos expuestos en este acto.
  31. b)Sobre la categoría de los datos personales tratados, señalar que dicha circunstancia no está prevista únicamente para aquellos casos en los que se traten datos de categorías especiales. En este sentido, a la hora de valorar esta circunstancia, no solo debe hacerse referencia a los tipos de datos cubiertos por los artículos 9 y 10 del RGPD, sino C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/43 también a los datos fuera del ámbito de aplicación de estos artículos cuya difusión causa daños o dificultades inmediatas al interesado, tal y como permite el precepto. A este respecto, las Directrices 04/2022, relativas al cálculo de las sanciones administrativas bajo el RGPD, dictadas por el CEPD, se dice (traducción no oficial): “Categorías de datos personales afectados 58. En cuanto al requisito de tener en cuenta las categorías de los datos personales afectados [artículo 83, apartado 2, letra g), del RGPD], el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado 26 (por ejemplo, datos de localización, datos sobre comunicaciones privadas, números de identificación nacionales o datos financieros, como resúmenes de operaciones o números de tarjetas de crédito).” Por tanto, a la hora de apreciar esta circunstancia del artículo 83.2.
  32. g)del RGPD, debe de considerarse que el tratamiento del número del DNI/NIF constituye un tratamiento sobre un dato personal de especial sensibilidad, pues permite la identificación directa e inequívoca de una persona física. Tal y como establece el Real Decreto 255/2025, de 1 de abril por el que se regula el Documento Nacional de Identidad, el DNI es un identificador numérico personal de carácter general, con valor suficiente para acreditar tanto la identidad como la nacionalidad del titular, lo que lo convierte en un elemento de especial sensibilidad dentro del ecosistema de datos personales. Además, su utilización indebida conlleva un elevado riesgo de suplantación de identidad, daños patrimoniales o afectación al derecho al honor, riesgos expresamente contemplados en el considerando 75 del RGPD. Por ello, una interpretación sistemática y finalista del RGPD -conforme a los considerandos 51 y 75- permite considerar el número del DNI como un dato particularmente sensible, atendiendo a su capacidad de provocar perjuicios significativos en caso de uso no autorizado. IV Obligación Incumplida Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
  33. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  34. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  35. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  36. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  37. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/43
  38. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  39. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Hay que señalar que el tratamiento de datos requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso, se imputa al reclamado la vulneración del artículo 6.1 del RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo no constando acreditada ninguna de las bases de legitimación previstas en el citado artículo en relación con el tratamiento relacionado con los datos de la parte reclamante. Se considera tratamiento cualquier operación realizada sobre datos personales, incluida la comunicación de tales datos a un tercero. El RGPD, en el punto 2 de su artículo 4, define tratamiento como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. Consta acreditado en las actuaciones que DIGI trató los datos personales de la parte reclamante. En el presente caso, la parte reclamada en respuesta a la actuación de traslado y solicitud de información expuso en fecha 11 de enero de 2024 que, una vez tuvo conocimiento de los hechos a través de la parte reclamante, se llevó a cabo una investigación por la existencia de un posible fraude por usurpación de identidad. Dicha investigación consideró pertinente establecer como presunción válida una situación de presunto fraude, motivo por el que se procedió a la rectificación de los datos, al bloqueo de la deuda y a la supresión de los datos relativos al presunto fraude, quedando a la espera de las actuaciones policiales. Asimismo, la parte reclamada, en fecha 8 de mayo de 2024 en respuesta al trámite de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/43 audiencia del recurso potestativo de reposición, ha puesto de manifiesto que la fecha de nacimiento no es objeto de verificación por parte del operador más que para confirmar que la parte contratante es mayor de edad y, por tanto, tiene capacidad para contratar. Pues bien, de las actuaciones de investigación se desprende que la contratación se efectúo el día 14 de octubre de 2021 a través de internet, y Digi señala que la verificación de la contratación se hizo a través de un tercero (Logalty). Al respecto facilita el certificado de Logalty que acredita que el 14/10/2021 se verificó (a través de “PIN” por SMS desde el número ***TELÉFONO.2) la contratación. A tal respecto, cabe recordar que la parte reclamada afirma que en dicha contratación presuntamente fraudulenta solo coincidían su nombre y apellidos y DNI. Sin embargo, del análisis del certificado de Logalty aportado por DIGI, se desprende que el mismo no garantiza la correcta identificación de la persona firmante, ya que el proceso se basa únicamente en la posesión del número de teléfono y la aceptación de un PIN enviado por SMS. Ello autentifica que la persona tiene acceso al número de teléfono, pero no asegura que la identidad proporcionada (nombre y apellidos) sea la de la persona real que acepta el contrato. Resulta obvio que la posesión del número de teléfono no es suficiente para verificar la identidad, especialmente si los datos introducidos son incorrectos o falsos. Por lo expuesto, el proceso de validación que aporta la parte reclamante pierde la finalidad en términos de identificación personal y no garantiza que la persona que firma sea quien dice ser. Si una persona utiliza datos falsos y aun así firma el contrato, existe un riesgo evidente de suplantación de identidad, lo cual es responsabilidad de DIGI prever y evitar. Es por ello, que dicho proceso debe contemplarse con otro tipo de verificación, como la comprobación de la recepción material de la entrega de la tarjeta SIM a su destinatario, respecto a lo cual se hace referencia a continuación. En este sentido, la parte reclamada señala que la contratación realizada involucraba el envío postal de la tarjeta SIM vinculada a la contratación efectuada. Al respecto manifiesta que la entrega física de la SIM se realizaba mediante el servicio de Correos Express de entrega con exigencia de muestra del DNI por parte del titular. Añade que la entrega se produjo correctamente y sin incidencia alguna. Dicha afirmación, no desvirtúa el hecho de que el contrato fraudulento ya haya sido formalizado y los datos que figuran en el mismo, tratados indebidamente. A la vista de lo anterior, queda en entredicho la diligencia empleada por parte de la reclamada para verificar la identidad de la persona que realizó la contratación, lo cual conllevó a un acto fraudulento y, en consecuencia, a un trato ilícito de los datos personales de la parte reclamante. Por lo expuesto, de conformidad con las evidencias de las que se dispone, se estima que la conducta de la parte reclamada vulnera el artículo 6.1 del RGPD, siendo constitutiva de la infracción tipificada en el artículo 83.5.
  40. a)del citado Reglamento 2016/679. Por lo tanto, el alta no solicitada de la línea móvil ***TELÉFONO.1 constituye un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/43 tratamiento de datos personales sin base jurídica y, en consecuencia, una infracción del artículo 6.1 del RGPD, dado que se ha realizado sin cumplir con ninguna de las bases legitimadoras para dicho tratamiento. El citado artículo 6.1 RGPD establece que el tratamiento de datos personales únicamente será lícito si se basa en una de las bases jurídicas contempladas en dicho artículo. Estas incluyen el consentimiento del interesado, la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, el interés público o el interés legítimo del responsable, siempre y cuando se cumplan los requisitos específicos para cada caso. En consecuencia, cualquier tratamiento de datos personales que no se ampare en alguna de estas bases jurídicas debe considerarse ilícito, careciendo de legitimación para ser efectuado. Asimismo, en los casos donde se exige el consentimiento del interesado como base jurídica para el tratamiento de datos personales resulta necesario garantizar que dicho consentimiento sea otorgado de manera libre, específica, informada e inequívoca, tal como establece el artículo 4.11 del RGPD. Para cumplir con estos requisitos, no es suficiente con el establecimiento de protocolos para estos trámites pues es imprescindible que el responsable del tratamiento implemente mecanismos efectivos de verificación y que los mismos sean observados, asegurándose de esta forma de que la persona que otorga el consentimiento sea efectivamente el titular de los datos personales objeto del tratamiento. En ese sentido el Considerando 40 del RGPD señala: “

(40)Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” V Tipificación y calificación de la infracción La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: 1. Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “
  1. b)C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/43 El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”. VI Sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  2. a)a
  3. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  4. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  5. b)la intencionalidad o negligencia en la infracción;
  6. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  7. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  8. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  9. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  10. g)las categorías de los datos de carácter personal afectados por la infracción;
  11. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  12. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  13. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  14. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  15. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  16. k)del Reglamento (UE) 2016/679 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/43 también podrán tenerse en cuenta:
  17. a)El carácter continuado de la infracción.
  18. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  19. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  20. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  21. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  22. f)La afectación a los derechos de los menores.
  23. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  24. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa. Procede cuantificar la sanción considerando para ello que la multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de DIGI, que en el ejercicio 2023 ascendió a 644.000.000 euros. En primer término, se tiene en cuenta la categoría de la infracción cometida, comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con la mayor gravedad en su apartado 5, castigando la conducta con una multa máxima de 20 millones de euros o, tratándose de una empresa, con una multa por una cuantía equivalente al 4% como máximo de su volumen de negocio anual. Según el citado precepto, al establecer el importe máximo aplicable debe optarse por el límite de mayor cuantía, de los dos fijados por la norma. En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el año 2023 a 644.000.000 euros, el importe de la multa que procede imponer estará necesariamente situado entre 0,00 euros y 25.760.000 euros. De acuerdo con los preceptos transcritos, a efectos de fijar el importe final de la sanción a imponer en el presente caso por la infracción del artículo 6.1 del RGPD de la que se responsabiliza a DIGI, tipificada en el artículo 83.5.
  25. a)del RGPD, se estiman concurrentes los siguientes factores: 1. Como elementos determinantes de la gravedad de la infracción, se toman en consideración las circunstancias siguientes: . Artículo 83.2.
  26. a)del RGPD: “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/43 . Naturaleza de la infracción: El artículo 83.5 agrupa varios tipos de conductas diferentes. En este caso, la disposición infringida afecta a un principio básico del derecho a la protección de datos personales, por cuanto sustenta la legalidad del tratamiento de datos y su violación entraña un riesgo importante para los derechos de los interesados. En este caso, la conducta de DIGI ha provocado, de forma directa, la lesión del bien jurídico protegido por el artículo 6 del RGPD, impidiendo su aplicación efectiva y el objetivo que pretende proteger. El tratamiento de los datos personales se realiza sin que DIGI tenga ninguna garantía de que el solicitante de alta de línea móvil sea la persona que dice ser y, por consiguiente, el titular de los datos personales. Como resultado de ello, los datos en cuestión han sido tratados sin disponer de base legal alguna que lo legitime. . Gravedad de la infracción: . Naturaleza y propósito del tratamiento: Evaluar la gravedad de estos aspectos del tratamiento de los datos personales requiere considerar el contexto en el que se realiza. El tratamiento de datos realizado en este caso tiene como finalidad el alta de una nueva línea de telefonía móvil, que conlleva la emisión y entrega de una tarjeta SIM para poder operar. Si el alta de línea es solicitada por una persona a nombre de otra, la entidad no cumple las obligaciones que le son propias para impedir esta irregularidad. La consecuencia final es la entrega de la tarjeta a una persona no autorizada para su uso y, con ello, la posibilidad de que pueda operar con fines fraudulentos. En función de este contexto, el tratamiento realizado por DIGI, considerando su naturaleza y propósito, acarrea importantes riesgos para el titular de los datos personales. Y no puede obviarse que dicho tratamiento de datos se realiza en el marco de la actividad empresarial principal y básica del citado operador, desarrollada con ánimo de lucro. . El alcance del tratamiento: La infracción valorada se comete por el tratamiento ilícito de los datos personales de un solo interesado, la parte reclamante, como bien se considera en los factores de graduación que siguen. No obstante, interesa considerar que DIGI es un operador de telecomunicaciones que opera con alcance nacional y que la infracción es consecuencia directa de las debilidades de los mecanismos diseñados por DIGI para la tramitación de solicitudes de alta de línea de telefonía móvil, por lo que el riesgo que ello conlleva incrementa el número de potenciales afectados. La relación existente entre la infracción cometida y la asignación de recursos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/43 que cabe exigir a DIGI para impedir este tipo de actuaciones ilícitas debe analizarse en base al riesgo real y a aquella circunstancia relativa a su ámbito de actuación de alcance nacional. . Número de interesados: La infracción que se sanciona es consecuencia el tratamiento ilícito de los datos personales de un único interesado, la parte reclamante. . El nivel de daño sufrido por la parte reclamante: De conformidad con el considerando 75 del RGPD, el nivel de daño sufrido se refiere a los daños y perjuicios físicos, materiales o no materiales. En el presente caso, el daño sufrido por la parte reclamante no puede calificarse como marginal. El uso por un tercero de una línea móvil contratada a nombre de la reclamante conlleva atribuir a ésta todas las consecuencias que deriven de la contratación, incluidos los impagos y los efectos futuros que estos impagos pueden tener en el desenvolvimiento normal de la parte reclamante, como ocurrió en el presente caso, en el que se vio privada de la posibilidad de contratar con la propia DIGI como consecuencia de la anotación de una deuda pendiente registrada a su nombre. En casos como este, el interesado pierde el control de sus datos personales, por lo que el daño podría persistir durante un tiempo indeterminado. . Artículo 83.2.
  27. b)del RGPD: “la intencionalidad o negligencia en la infracción”. En este caso estamos ante una acción negligente grave, pues la reclamada aceptó el alta de una línea de telefonía móvil a nombre de la parte reclamante sin tener ninguna certeza sobre la verdadera identidad de la persona que realizó la solicitud. Se observa en la conducta de DIGI una negligencia grave, por incumplimiento del deber de cuidado exigido por la ley, más allá de lo que puede considerarse un factor neutro asociado al elemento subjetivo de la culpabilidad. Esta conclusión resulta de elementos objetivos de la conducta de DIGI, obtenidos en base a todas las circunstancias de hecho que constan en las actuaciones. A estos efectos resulta esencial considerar que el alta de línea se acepta simplemente con la confirmación recibida desde una línea de telefonía que facilita la persona que realiza la solicitud, sobre cuya titularidad DIGI no tiene ninguna información, lo que equivale a decir que DIGI realiza el tratamiento de datos personales consciente de que no tiene certeza sobre la verdadera identidad de la persona que contrata sus servicios. La consecuencia final de todo ello fue que DIGI validó la petición, activó la tarjeta SIM y la entregó a un tercero sin evidencias ciertas sobre la identidad de la persona que realizó la petición, para asegurar que esta última era quien decía ser. Conectado también con el grado de diligencia que DIGI está obligada a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/43 puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. . Artículo 83.2.
  28. g)del RGPD: “las categorías de los datos de carácter personal afectados por la infracción”. Para la contratación fraudulenta realizada se trataron los datos personales de la parte reclamante relativos a nombre, apellidos y número de DNI. 2. Se consideran los siguientes factores de graduación en calidad de agravantes: . Artículo 83.2.
  29. d)del RGPD: “el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32”. Los preceptos citados, tanto el artículo 25 como el 32 del RGPD, obligan a la entidad responsable a tomar en consideración “el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas” a la hora de aplicar medidas técnicas y organizativas apropiadas para garantizar la aplicación efectiva de los principios de protección de datos, en este caso el principio de licitud del tratamiento, así como para garantizar un nivel de seguridad adecuado al riesgo. A la vista de dichos preceptos, la actuación desarrollada por DIGI ha resultado claramente ineficaz e insuficiente, está muy por debajo de las posibilidades que el desarrollo técnico actual ofrece y no toma en consideración el evidente riesgo que la prestación de sus servicios representa para los derechos y libertades de las personas. En este sentido, su alto volumen de negocio y cualificación técnica comporta que el nivel de exigencia en orden a incorporar las herramientas y funcionalidades que el estado de la técnica ofrece en cada momento sea elevado. Las debilidades ya expresadas en cuanto al establecimiento por DIGI de una política de seguridad que evite suplantaciones de identidad de sus clientes, en garantía del principio de licitud en el tratamiento de los datos, cuestionan la solidez de las medidas adoptadas en virtud de los artículos 25 y 32 del RGPD, lo que agrava su conducta en este caso concreto. . Artículo 83.2.
  30. e)RGPD: “Toda infracción anterior cometida por el responsable o el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/43 encargado del tratamiento”. El artículo 83.2 del RGPD y artículo 76 de la LOPDGDD permiten la evaluación de las circunstancias atenuantes y agravantes no solo en relación con los hechos determinantes de la infracción, sino también en relación con el comportamiento pasado o presente de la entidad responsable, incluidas las consideraciones que resulten pertinentes y que puedan obtenerse de anteriores procedimientos sancionadores tramitados por esta autoridad de control con resultado de multa. Es decir, se posibilita evaluar el registro de seguimiento del responsable cuando proceda o, lo que es lo mismo, su perfil de comportamiento o actitud general con respecto al cumplimiento del RGPD, y considerar cualquier infracción anterior pertinente (Considerando 148 del RGPD) o su respuesta ante los incumplimientos anteriores en orden a evitar infracciones del mismo nivel y características y procurar el cumplimiento del RGPD, en general. El considerando 148 del RGPD señala que “A fin de reforzar la aplicación de las normas del presente Reglamento […]” e indica a ese respecto que “Debe no obstante, prestarse especial atención a […] o a cualquier infracción anterior pertinente […]”. El peso que deba atribuirse a estos criterios de graduación dependerá de las circunstancias específicas del caso en cuestión. Obviamente, cuando la entidad infractora persista en la infracción, agravando su perfil de comportamiento en las condiciones expresadas, la cuantía de la sanción a imponer podrá ser muy superior, especialmente si consideramos el nivel de gravedad que se atribuye al tipo de infracción cometida. Así pues, conforme al apartado
  31. e)del artículo 83.2. RGPD, en la determinación del importe de la sanción de multa administrativa no podrán dejar de valorarse todas aquellas infracciones anteriores del responsable o del encargado de tratamiento en aras a calibrar la antijuricidad de la conducta analizada o la culpabilidad del sujeto infractor. Además, una correcta interpretación de la disposición del artículo 83.2.
  32. e)RGPD no puede obviar la finalidad perseguida por la norma: decidir la cuantía de la sanción de multa administrativa en el caso individual planteado atendiendo siempre a que la sanción sea proporcional, efectiva y disuasoria. Existen varios procedimientos sancionadores tramitados por la AEPD en los que DIGI ha sido sancionada por la infracción del artículo 6.1 RGPD por hechos cometidos con anterioridad a los que son objeto de las presentes actuaciones. Pueden citarse los dos casos siguientes, en los que DIGI no actuó correctamente a la hora de identificar a la persona que formulaba la solicitud de sus servicios, produciéndose en ambos casos una suplantación de identidad para la emisión de duplicados de tarjeta SIM: i.EXP202104009 Resolución dictada el 15 de marzo de 2023 en la que se impuso una sanción de 70.000 euros. ii.EXP202204881 Resolución dictada el 2 de junio de 2023 en la que se impuso una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM fraudulento sin legitimación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/43 . Artículo 83.2.k, del RGPD en relación con el artículo 76.2, letra
  33. b)de la LOPDGDD: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La parte reclamada presta servicios de telecomunicaciones, por lo que en el desarrollo de la actividad que le es propia necesita de manera habitual tratar datos de carácter personal, lo que incide en la diligencia que le es exigible para el cumplimiento de los principios que presiden el tratamiento de datos personales y la calidad y efectividad de las medidas técnicas y organizativas que debe tener implementadas para garantizar el respecto de este derecho. Así, la transcendencia de la conducta objeto de la presente reclamación es innegable. Además, el tratamiento de datos por el que se sanciona se lleva a cabo en el desarrollo de la actividad principal de la parte reclamada. Esta circunstancia, con carácter general, tiene transcendencia como agravante. Así lo ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024 cuando declara: “En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra de negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las circunstancias concurrentes, tomando en consideración su volumen de negocio y su vinculación con el tratamiento de datos personales atendiendo el número de personas que prestan servicio como empleados en… y su actividad”. En base a todo cuanto antecede, atendiendo a la exigencia de que la multa sea efectiva, proporcionada y disuasoria, y con el objetivo de procurar el cumplimiento efectivo del RGPD y la LOPDGDD, el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD consideradas en su conjunto, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6 del RGPD, permite fijar la sanción de multa administrativa en una cuantía de 150.000,00 euros (ciento cincuenta mil euros).>> Señalado lo anterior, hay que manifestar lo siguiente: La infracción se fundamenta en la falta de licitud en el tratamiento de los datos personales que conlleva la contratación de un alta nueva a nombre de la parte reclamante, facilitando para ello los datos personales de la parte reclamante relativos a nombre, apellidos y número de DNI y la entrega a un tercero de la tarjeta sim, sin que el titular de los datos tuviera si quiera conocimiento de tales tratamientos. El artículo 6.1 establece que el tratamiento de datos personales solo es lícito si se cumple al menos una de las condiciones previstas en el mencionado artículo. En este caso, la vulneración del principio de licitud se manifiesta en el tratamiento indebido de los datos personales de la parte reclamada, que no fue la solicitante real de un alta nueva. Este tipo de trámites requiere verificar adecuadamente la identidad del solicitante y para ello resulta necesario establecer medidas que aseguren esa correcta identificación. El establecimiento de estas medidas o protocolos, así como su seguimiento y atención por la propia entidad responsable, sirve para valorar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/43 conducta y el grado de diligencia empleado por la misma, pero no son estos los hechos determinantes de la infracción. DIGI contrató a nombre de la parte reclamante un alta nueva sin contar con su consentimiento y entrego la nueva tarjeta SIM a un tercero sin una base jurídica válida. Dicho hecho se traduce en un tratamiento ilícito de datos. En síntesis, en este caso específico, el tratamiento de los datos personales del reclamante fue llevado a cabo sin cumplir con los requisitos de licitud establecidos en el artículo 6.1 del RGPD. La infracción de este artículo confirma que la parte reclamada permitió un tratamiento no autorizado de los datos, vulnerando de esta forma los derechos de la parte reclamante. En todo caso, las medidas implantadas por DIGI son las mínimas exigibles a cualquier organización con las características y en el contexto en el que actúa una operadora de telecomunicaciones. En este sentido, la mera existencia de una política de seguridad no puede justificar una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de existir, estas medidas deben resultar efectivas y el responsable del tratamiento debe garantizar que se cumplan estrictamente en todo momento. En caso contrario, las medidas adoptadas carecen de virtualidad y pueden conllevar tratamientos ilícitos como ocurrente en el presente caso. DIGI señala que durante el proceso de contratación de un alta nueva de línea pospago se produjo un tratamiento de datos personales que son facilitados a DIGI por el solicitante de la gestión, y que son recabados con el objeto de verificar la identidad del interlocutor como titular de la línea, y, en definitiva, como el propio Reclamante. En este sentido, dicha afirmación no exime de responsabilidad a la parte reclamada, puesto que la simple emisión de una tarjeta SIM y su entrega a un tercero no autorizado implica ya de por si una vulneración del principio de licitud, en cuanto tienen la consideración de tratamiento de datos personales. DIGI insiste respecto del grado de responsabilidad que, en su caso, pueda achacárseles, que no puede hacerse depender de una actuación de un tercero que escapa su control. En relación con esta alegación, amén de lo ya indicado anteriormente, el grado de responsabilidad cae dentro de su ámbito y no de terceros, debiendo señalar que la SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento”. Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/43 personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991, de 19 de diciembre Rec 1274/1988 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. Por otra parte, en lo referente a la supuesta obligación de resultados que, de acuerdo con DIGI, sería exigida por la AEPD debe hacerse referencia a la SAN de 29 de octubre de 2024, rec. 1824/2021, que dispone que “…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no estamos ante un requisito meramente formal, sino material. En este sentido, y en línea con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso", lo que no implica que se exija una obligación de resultado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/43 De lo anterior, no puede obviarse que el enfoque de riesgos y el modelo flexible al riesgo impuesto por el RGPD -partiendo de la doble configuración de la seguridad como un principio relativo al tratamiento y una obligación para el responsable o el encargado del tratamiento- no impone en ningún caso la infalibilidad de las medidas, sino su adecuación constante al riesgo. Asimismo, invoca DIGI en su recurso las Sentencias dictadas por la Sala de lo Contencioso-administrativo, Sección 1ª, de la Audiencia Nacional, de 10/03/2015 (Rec. 248/2013) y de 24/10/2014, Rec. 427/2014, que estiman los recursos interpuestos por otras empresas de telecomunicaciones en casos similares. Se trata, sin embargo, de casos anteriores al RGPD referidos a portabilidades de línea de telefonía formalizadas conforme a la previsto en la Circular 1/2009, de la Comisión del Mercado de las Telecomunicaciones. En cuanto al incumplimiento del principio de proporcionalidad, se remite, de nuevo, a la contestación a las alegaciones al acuerdo de inicio y a la propuesta de resolución, anteriormente reproducidas. Sin perjuicio de lo anterior, se recalca lo siguiente: El RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual. No puede olvidarse de conformidad con el artículo 63.2 de la LOPDGDD “los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. El RGPD establece, en consecuencia, su propio sistema sancionador y de determinación de la cuantía de la multa en el artículo 83. El propio artículo 83.1 del RGPD consagra, entre las condiciones generales para la imposición de multas administrativas, el mandato (habitual, por otra parte, en el ámbito del derecho administrativo sancionador) de que las multas han de resultar en cada caso individual efectivas, proporcionadas y disuasorias. En definitiva, la multa ha de imponerse atendiendo a las circunstancias concretas del caso concreto. El artículo 83.2.
  34. f)del RGPD se refiere al “grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;”. La parte reclamada se basa en la contestación a los requerimientos de la Subdirección de Inspección de la presente autoridad para considerar que concurre la mencionada circunstancia. Sin embargo, ello no puede considerarse como cooperación voluntaria que busque activamente mitigar el impacto de la infracción, sino que se enmarca dentro de su obligación legal de responder a los requerimientos de la autoridad de control. Según el RGPD, los responsables del tratamiento están obligados a cumplir con las solicitudes de información y a proporcionar la documentación requerida por las autoridades de control. Esta obligación es parte inherente de su responsabilidad y no constituye, en sí misma, una colaboración para remediar o mitigar los efectos de una infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/43 Sobre la aplicación del artículo 76.2.
  35. c)de la LOPDGDD, en conexión con el artículo 83.2.k), inexistencia de beneficios obtenidos, cabe señalar que tal circunstancia solo puede operar como agravante y en ningún caso como atenuante. El artículo 83.2.
  36. k)del RGPD se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo 76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.
  37. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..]
  38. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones mencionan como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que DIGI alega. En línea con lo anterior, se subraya que, tal y como señala la sentencia de la Audiencia Nacional, de 05/05/2021, rec. 1437/2020, no puede ser valorados como atenuantes, circunstancias que la norma prevé como agravantes. En concreto, señala: “considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.