Yetkisiz SIM ve eSIM İşlemlerinde Veri Güvenliği

1/54

 Expediente N.º: EXP202305035

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:

ANTECEDENTES

PRIMERO: Reclamación ante la AEPD

A.A.A. (en adelante, la parte reclamante) con fecha 27 de febrero de 2023 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirige contra ORANGE ESPAGNE, S.A.U. con NIF A82009812 (en adelante, la parte
reclamada, Jazztel u Orange), ***EMPRESA.1 con NIF ***NIF.1 y ***EMPRESA.2 con
NIF ***NIF.2. Los motivos en que basa la reclamación son los siguientes:

La parte reclamante manifiesta a través de su representante que tiene contratado los
servicios de telefonía móvil e Internet con la compañía Jazztel -marca de la parte
reclamada- e indica que en fecha 4 de febrero de 2023 se produjo un intento de
duplicación de su número de teléfono ***TELÉFONO.1, así como un cambio de su
correo electrónico por otra dirección, sin que él tuviera conocimiento.

Asimismo, señala que en fecha 7 de febrero de 2023 se realizaron fraudulentamente
sin su consentimiento varias transferencias bancarias desde una cuenta en la que
figura autorizado por importe de (…) euros.

Por otra parte, manifiesta que en fecha 10 de febrero de 2023, se abrió una incidencia
interna por parte de Jazztel, la cual no le fue no comunicada, en la que quedó
registrado el intento de duplicado de su tarjeta. Afirma que en dicha incidencia se
manifestaba que Jazztel no debía de tramitar ninguna solicitud que se realizará en
relación con el número de dicha tarjeta.

Añade, que con fecha 11 de febrero de 2023, se produjo un nuevo intento de duplicado
de su tarjeta en un punto de venta de Jazztel que, según la entidad, no fue tramitado.
En esa misma fecha, afirma haberse personado en una tienda de ORANGE para
tramitar un duplicado de su tarjeta, dado que su teléfono no tenía cobertura.

Por otro lado, señala que el 13 de febrero de 2023 se produjo un tercer intento de
duplicado de tarjeta que según Jazztel tampoco fue gestionado. Sin embargo, afirma
que ese mismo día fue tramitado un duplicado E-SIM desde el área de cliente,
remitiéndose a la dirección de correo que había sido cambiada fraudulentamente, y
que en esa misma fecha se realizaron fraudulentamente varias operaciones de
transferencia bancaria de su número de cuenta por un importe total de (…) euros.

Y, que en fecha 14 de febrero de 2023 recibió comunicaciones de sus dos entidades
bancarias -***EMPRESA.1 y ***EMPRESA.2- advirtiendo de irregularidades relativas a
las transferencias fraudulentas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/54

Por lo tanto, entiende que se ha producido una vulneración de sus datos de carácter
personal por las tres reclamadas.

Y, adjunta la siguiente documentación relevante:

1. Cuadro de las operaciones bancarias fraudulentas.
2. Contrato de los servicios de telefonía e Internet de Jazztel.
3. Correos electrónicos intercambiados con sus entidades financieras, y reclamaciones
formuladas frente a ellas.
4.Reclamación contra Jazztel en relación con las irregularidades que se produjeron en
relación con la tarjeta SIM de su teléfono móvil: en concreto el cambio de correo
electrónico y el duplicado E-SIM desde el área de cliente realizado con fecha 13 de
febrero de 2023; y, las sustracciones de dinero por un importe total de (…) euros.
7. Denuncia ante la Policía Nacional dependencia Zaragoza-Centro, de fecha 17 de
febrero de 2023, en la que denuncia los hechos ocurridos el día 7 de febrero de 2023.
8. Denuncia ante la Policía Nacional dependencia Zaragoza-Centro, de fecha 20 de
febrero de 2023, en la que se hace constar quien es la titular de una de las cuentas y
los cargos que se han hecho en la misma.

SEGUNDO: Traslado de la reclamación

De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), se dio traslado de dicha reclamación a Orange, para que procediese a su
análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a
cabo para adecuarse a los requisitos previstos en la normativa de protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 25 de abril de 2023 como
consta en el acuse de recibo que obra en el expediente.

Con fecha 25 de mayo de 2023 se recibe en esta Agencia escrito de respuesta
indicando:

<<PRIMERA. – La pretensión del reclamante, como consta en el Anexo I, es
determinar la supuesta “corresponsabilidad” de JAZZTEL, ***EMPRESA.1 Y
***EMPRESA.2 en la “sustracción de las cuentas bancarias, en las que el
compareciente es autorizado o titular”. Sustracciones que se adelanta, como consta
en la reclamación y en la documentación adjunta, comenzaron el 7 de febrero de
2023, días antes de que con fecha 13 de febrero de 2023 el usurpador consiguiera la
activación de duplicado de eSIM suplantando la identidad del titular, con el modus
operandi que se explicará a lo largo del presente escrito. Duplicado que de inmediato
fue detectado, cancelado y bloqueado por el Departamento de Análisis de Riesgo,
Fraude y Prevención del Fraude, así como se boqueó el IMEI. Lo anterior, junto el
despliegue del resto de medidas que se exponen a lo largo del presente escrito, tanto
como respecto al caso que nos ocupa, como para prevenir supuestos similares.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/54

Por otro lado, en cuanto a las vías de que disponen los clientes para solicitar un
duplicado de tarjeta SIM en Jazztel -que como es sabido es una de las marcas de
servicios de telecomunicaciones bajo las que opera ORANGE ESPAÑA SAU-, se
precisa que es un servicio para cancelar o desactivar la tarjeta que tiene el cliente
para conseguir una nueva manteniendo el mismo número, tarifa y condiciones, siendo
las vías de solicitud las siguientes, como consta en la siguiente web:

Resolvemos tus dudas sobre tu SIM - Ayuda Jazztel

 (…).

A mayor abundamiento, en cuanto a la eSIM o tarjeta SIM virtual, y como igualmente
consta en la siguiente web:

Todo lo que necesitas saber sobre las tarjetas eSIM
- Ayuda Jazztel actualmente, las vías de solicitud son los siguientes:
 (…)

En cualquier caso, se ha de tener en cuenta que no es lo mismo solicitar un duplicado
de tarjeta sim o eSIM, que solicitar su activación, consistiendo el procedimiento para
activar la eSIM en que es necesario escanear un código QR desde el dispositivo
móvil. De tal forma que, superado el proceso de verificación de identidad, el cliente
elige cómo quiere que le llegue la información para acceder al QR que se deberá
escanear en el dispositivo pudiendo elegir entre un email o un sms o ambos. Dicho
SMS contiene un enlace al “Área Privada” de Cliente, donde deberá logarse con sus
credenciales para poder acceder al código QR. Una vez se realice satisfactoriamente
el escaneo del Código QR, es cuando se activará la ESIM y por ende, se desactivará
la eSIM física.

(…)

SEGUNDA. - Sobre los hechos descritos en la reclamación y las medidas y decisiones
adoptadas por esta mercantil Se informa en este punto que, tan pronto como esta
mercantil recibió la presente reclamación y solicitud de información, se llevaron a cabo
las comprobaciones pertinentes, llegándose a las siguientes conclusiones que se
informan en los siguientes puntos:

(…)

En ese momento, desde el citado punto de venta de Madrid, siguiendo el protocolo
establecido, se dio comunicación inmediata y directa al Departamento de Análisis de
Riesgos, Fraude y prevención del Fraude, que de inmediato revisó el caso y confirmó
que se trataba de un DNI manipulado, informando que no tramitaran la solicitud.

Además, de conformidad con el Protocolo establecido, tal y como se ha expuesto,
desde el citado Departamento se revisó la posibilidad de otros intentos de duplicados
irregulares, detectando lo siguiente: i) por un lado, que hubo una solicitud previa
duplicado eSIM vía telefónica unos días antes, que se encontraba pendiente de
validación por el sistema del envío del Código QR citado, por lo que desde el citado
Departamento informaron de inmediato para que no se tramitara. Aunque no se logró
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/54

activar el duplicado de eSIM, el usurpador suplantando la identidad del titular,
mediante la utilización de su DNI manipulado y su información personal, así como
superando la Política de seguridad establecida, logró el cambio de la dirección de
contacto de correo electrónico.

Respecto a esta posibilidad de cambio de dirección de correo, se informa con carácter
general, que para que un cliente pueda cambiar la dirección de correo o número de
teléfono de contacto, primero, debe identificarse con su información personal, su
nombre, apellidos y DNI; y adicionalmente, se autentica su identidad con la Política de
seguridad establecida.

En particular, respecto a la modificación citada, se ha constatado que fue solicitada en
la citada llamada telefónica por el usurpador, en la que consta que el agente, tras
validar los datos personales y la Política de seguridad en la modalidad de realización
de batería de preguntas confidenciales, no advirtió ninguna irregularidad y procedió a
realizar el cambio de dirección.

Sin embargo, NO logró el usurpador el citado duplicado de eSIM pues no superó la
Política de seguridad por token, puesto al inicio informó al agente que había “dejado la
tarjeta en otro lado”, tratando de persuadirlo, lo que no consiguió puesto que
finalmente, y para darle solución, decidió utilizar las preguntas aleatorias
confidenciales, que como se quedaron pendiente de validación no se llegaron a
tramitar, finalizando la llamada.

Como se ha expuesto, esta solicitud de duplicado nunca llegó a activarse, pues se
anuló de forma definitiva, tan pronto como con fecha 10 de febrero de 2023 desde el
punto de venta de Madrid al que acudió el usurpador con el DNI manipulado para
solicitar una SIM, lo comunicó al Departamento de Análisis de Riesgos, Fraude y
Prevención del Fraude, que detectaron la solicitud fraudulenta.

ii) por otro lado, se detectó en el análisis por el Departamento de Fraude mencionado
que también hubo otro intento de duplicado SIM, también vía telefónica, que tampoco
se consiguió por la eficacia de los Protocolos de seguridad establecidos.

En este caso, consta que el solicitante (usurpador) se comunicó haciéndose pasar por
el titular, suplantando su identidad, indicando que tenía el teléfono roto y necesitaba el
duplicado de la tarjeta SIM, a lo que el agente le pidió el dato del DNI y su información
personal; sin embargo, no superó la Política de Seguridad. A continuación, le pidió
pasar la Política de seguridad, mediante token, pero el agente (cambiando el
“speech”) indicó que su teléfono estaba roto y necesitaba el duplicado, tratando de
persuadir al agente, ante lo que el agente le solicitó que por medidas de seguridad se
tenía que dirigir a una tienda.

Dicho esto, y volviendo al relato de hechos que nos ocupa, se informa que, con igual
fecha, 10 de febrero de 2023, por el Departamento de Análisis de Riesgos, Fraude y
Prevención del Fraude, (…).

Se ha constatado que detectado el intento de duplicado fraudulenta, a partir del día 10
de febrero de 2023 se intentó contactar con el titular para informarle del intento de
duplicado y de las acciones tomadas en consecuencia, pero no se logró, intentándose
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/54

de nuevo los días siguientes hasta que, como reconoce el reclamante, al fin se logró
contactar con su pareja el 14 de febrero de 2023.
(…) Al respecto, en el punto 6 de la reclamación consta la manifestación de que no
tenía cobertura y que acudió a una tienda física para solicitar un duplicado físico de la
SIM, donde se lo tramitaron, reconociendo que a partir de ese día le funcionaba
correctamente. (…).

4º El 14 de febrero de 2023 se logró contactar por esta mercantil con la pareja del
titular, quien confirmó que no habían solicitado eSIM, que el titular tenía fallos de
cobertura con la SIM y, ante la advertencia del agente de las suplantaciones de
identidad que pudieran haber tenido otras consecuencias, confirmó que no tenía
información de movimientos bancarios.

En dicha llamada, el agente le indicó que se había detectado las operaciones
fraudulentas y tomado de inmediato y de forma directa todas las medidas. También, se
le solicitó que por motivos de seguridad resetearan las claves de acceso e indicó que
tenía que remitirles la denuncia policial.

(…)

Es decir, consta en la denuncia que el afectado, a pesar de haber estado recibiendo
las citadas comunicaciones, declara que no se percató de nada hasta “que pasó todo
lo denunciado”, esto es, hasta que lamentablemente se produjeron las sustracciones
bancarias; pero tal y como se ha puesto de manifiesto por esta parte se cumplió con
las cautelas y los protocolos establecidos relativos a informar al afectado, aunque por
causas ajenas, no se logró hasta el citado día 14 de febrero de 2023.

5º Las transferencias bancarias reclamadas que el cliente desconoce comenzaron con
carácter previo a que se activara el duplicado de tarjeta eSIM el 13 de febrero de
2023, que se reitera fue detectado internamente de inmediato y bloqueado por el
Departamento de Análisis de Riesgo, Fraude y Presunción del Fraude. Tal y como
consta en la reclamación y documentación anexa. El usurpador tenía anteriormente en
su poder el DNI del titular del afectado, que manipuló con otra fotografía con intención
de realizar operaciones fraudulentas, siendo esta mercantil una víctima más de sus
artimañas e ingeniería social. Se puede concluir que no existe una relación causal
entre el mencionado duplicado eSIM del 13 de febrero de 2023 y las transferencias
bancarias del día 7 de febrero de 2023 y de 13 de febrero de 2023.

(…)

Por todo ello, queda acreditada en primer lugar, la robustez y eficacia de los
protocolos de identificación y de seguridad, puesto que el usurpador intentó solicitar y
activar duplicados de tarjetas en varias ocasiones con carácter previo, pero al no
superar la verificación de identidad y la política de seguridad no se activaron;
destacándose notablemente la diligente actuación del agente en el punto de venta de
Jazztel en Madrid con fecha 10 de febrero de 2023, que de conformidad con el
Protocolo establecido alertó al Departamento de Análisis de Riesgos, Fraude y
Prevención del Fraude, que actuó con agilidad, inmediatez y de forma diligente, de
conformidad con el Protocolo establecido, tanto en la detección del intento de
suplantación fraudulenta con el DNI manipulado, como para tomar todas las medidas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/54

desplegadas de conformidad con el Protocolo establecido para casos de fraude por
suplantación de identidad.

(…)

No obstante, como se ha informado, de forma inmediata a su activación, se detectó de
forma interna por los avisos de suplantación, se tomaron las medidas expresadas en
las conclusiones anteriores y se trató de establecer comunicación el afectado para
alertarle de lo sucedido. Comunicación que fue imposible por causas ajenas a esta
mercantil hasta el 14 de febrero de 2023 que se logró contactar a su pareja, quien
expresó que no tenían constancia ni de la solicitud de sim ni tampoco de la realización
de transferencias bancarias, que se habían realizado (según la documentación adjunta
los días 7 de febrero de 2023 y 13 de febrero de 2023. Al respecto, se informa que
debido a la naturaleza de este tipo de actos comerciales que implican solicitudes de
duplicado de tarjeta SIM o de cambios de datos de contacto, los protocolos
establecidos para la atención por parte del personal, especialmente en las primeras
líneas, para este tipo de gestiones son muy estrictos y requieren de medidas de
carácter formal.

Así, el relato fáctico y la documentación que obra en el expediente y que se ha
aportado, permite concluir que Jazztel llevó a cabo un tratamiento de datos lícito con
plena apariencia de legalidad, acorde a los protocolos establecidos y al procedimiento
actual. Así como que una vez el suplantador consiguió superar la identificación puesto
que disponía del DNI del titular que manipuló en la fotografía, así como la política de
seguridad, se detectó el fraude internamente, desplegándose las medidas que fueron
efectivas y diligentes, así como interoperables con el resto de Departamentos, incluida
Comunicación a los puntos de venta de Madrid para evitar casos similares.

También, se concluye la inexistencia de relación de causalidad entre las
irregularidades en relación con la SIM (siendo el 13 de febrero de 2023, cuando se
activó el duplicado eSIM, que fue desactivado y bloqueado de inmediato por Fraude) y
las transferencias entre los días 7 y 13 de febrero de 2023.

Como se ha indicado, el suplantador de identidad tenía en su poder los datos
personales del titular legítimo necesarios, e incluso su DNI, que manipuló. Ya tenía
conocimiento de los datos personales del afectado, a los cuales no accedió a través
de esta mercantil, sino que disponía de ellos. Por último, se informa que pese a que
Jazztel establezca medidas de seguridad y las someta a revisión y mejora continua, es
inevitable que los particulares, como propietarios de sus datos, tengan cierta
responsabilidad en mantener sus credenciales de acceso de forma confidencial, su
DNI y resto de información personal, - así en como revisar notificaciones sobre
posibles operaciones que pudiera desconocer o alarmarle-, sin facilitarlas a terceros,
especialmente cuando éstas dan acceso a portales, como en el presente caso, desde
donde pueden realizar ciertas contrataciones e incluso transferencias bancarias.

Finalmente, de todo ello se informa que ha sido puesto en conocimiento del
reclamante, como consta en el documento que se aporta como documento nº dos.

TERCERO.- De las decisiones y medidas propósito de la presente reclamación para
evitar que se produzcan incidencias similares. Además de todas medidas de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/54

aplicación en el caso en concreto y que fueron informadas al reclamante tan pronto
como se logró localizar a través de su pareja, se han tomado con carácter posterior
otras medidas de garantía y prevención adicionales tendentes a evitar que vuelvan
producirse similares casos en el futuro.

Esto es, desde el envío del citado Comunicado que se aportaba como documento nº
uno, hasta otros proyectos para reforzar la verificación de identidad y el Protocolo de
actuación cuando se detecta la emisión de un duplicado SIM fraudulento, puesto que
como se ha indicado en otras ocasiones a la AEPD, en Jazztel se está trabajando de
forma continua por reforzar de cara a prevenir los nuevos métodos de ingeniería social
y artimañas de los agentes maliciosos que cometen este tipo de fraude, del que esta
entidad también es otra víctima.

En este sentido y dado el riesgo de suplantaciones de identidad, se informa que esta
mercantil está en constante actualización de Planes de Acción de mitigación de
riesgos en altas fraudulentas por usurpación de identidad (sim swap y otras
tipologías), para tratar de reforzar Protocolos de seguridad y medidas implantados, así
como tratar de prevenir y adelantarse a las artimañas de la ingeniería social y/o de los
agentes maliciosos.

En particular, se informa que además de penalizar al agente ante el que el usurpador
consiguió la activación del duplicado, que recibió medidas disciplinarias por mala
praxis; se llevó a cabo una formación y pautas de refuerzo con carácter general a los
agentes de primera línea para que sigan los protocolos y las políticas de seguridad
establecidas para los distintos actos comerciales, tanto en las solicitudes en forma
presencial, como no presencial.

(…).

TERCERO: Admisión a trámite de la reclamación

Con fecha 27 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se
admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: Actuaciones previas de investigación de la AEPD

La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

1. El día 4 de febrero de 2023, según manifiesta Orange, se registró una solicitud de
duplicado eSIM pendiente de validación, articulado por el agente malicioso
mediante llamada al teléfono 1565. El agente que le atendió confirmó la identidad
del llamante mediante una batería de preguntas comprobando la coincidencia de
sus datos básicos (nombre y DNI, dirección, entidad bancaria, a lo que la persona
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/54

llamante indicó “***EMPRESA.3”, evidenciándose que en ese momento ya
disponía este dato del Banco en el que se produjeron las sustracciones.

Se supone que es un error de transcripción de la parte reclamada y se refiere más
bien a ***EMPRESA.1 como banco.

Orange aporta grabación de la llamada.

Se ha comprobado el contenido de la grabación de la llamada respecto de las
afirmaciones siguientes de Orange.

(…).

Adicionalmente, Orange adjunta impresión de pantalla de la solicitud del duplicado
el 4//2/23, y su cancelación el 10/2/23, tras la detección del duplicado irregular por
parte del equipo de Análisis de Riesgos, Fraude y Prevención del Fraude.

Orange manifiesta que esta solicitud se encontraba pendiente de validación, lo que
nunca llegó a ocurrir porque el Departamento de Análisis de Riesgos, Fraude y
Prevención del Fraude solicitó su anulación tan pronto como se catalogó una
nueva solicitud de duplicado SIM en punto de venta de 10 de febrero de 2023
como fraudulenta y revisó las posibles contrataciones con carácter preventivo.
Desde el citado Departamento de Análisis, concluyeron que presumiblemente, el
agente malicioso tenía en su poder, desconociéndose el motivo, una copia del DNI
físico del afectado y conocimiento de sus datos básicos e incluso entidad
financiera.

Tanto por el agente del punto de venta como por el equipo de Análisis de Riesgos,
Fraude y Prevención del Fraude se actuó conforme el protocolo establecido estos
casos, cancelando la solicitud tan pronto como se detectó el intento de duplicado
fraudulento con fecha 10 de febrero de 2023, revisando otras posibles y
anulándolas de inmediato, junto con el resto de las medidas ya informadas.

Orange concluye que el usurpador no logró su propósito de conseguir el duplicado
eSIM al no superar la citada política para lograr la validación efectiva (como se
explicó, se quedó pendiente de validación la solicitud por el sistema del envío del
Código QR el cual la persona indicaba que no lo recibía tratando de persuadir al
agente), si bien dado que disponía de los datos personales del ahora reclamante
superó la política de seguridad para actualización de correo electrónico y facilitó
una nueva dirección que fue actualizada en sistemas por parte del agente.

Orange indica que, respecto a esta posibilidad de cambio de dirección de correo,
para que un cliente pueda cambiar la dirección de correo o número de teléfono de
contacto, primero, (…).

Orange manifiesta que, sin embargo, no logró el usurpador el citado duplicado de
eSIM pues no superó la Política de seguridad por token, puesto que al inicio
informó al agente que había “dejado la tarjeta en otro lado”, tratando de
persuadirlo, lo que no consiguió puesto que finalmente, y para darle solución,
decidió utilizar las preguntas aleatorias confidenciales, que como se quedaron
pendiente de validación no se llegaron a tramitar, finalizando la llamada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/54

2. El día 7 de febrero de 2023 la parte reclamante manifiesta que recibe SMS de
***EMPRESA.2 que no vio hasta pasar los hechos, de transferencia fraudulenta
desde ***EMPRESA.2 (titular (…) y el reclamante como autorizado), detectado el
14/2/23.

3. El día 7 de febrero de 2023 la parte reclamante manifiesta que se realiza apertura
de cuenta en ***EMPRESA.2 a su nombre sin consentimiento, con transferencia a
ella y solicitud de préstamo.

4. El día 8 de febrero de 2023 la parte reclamante manifiesta que envía un email a
***EMPRESA.1 desde su dirección ***EMAIL.4 como titular de la cuenta,
informando que recibió dos abonos por transferencias de céntimos de
***EMPRESA.2 y ***EMPRESA.4, respectivamente, que según el reclamante,
indicaba que un tercero era conocedor de sus datos bancarios sin su autorización.

5. El día 10 de febrero de 2023 Orange (Jazztel) manifiesta que internamente abre
incidencia de intento de duplicado SIM de la línea ***TELÉFONO.1 por parte del
usurpador, intento que no se tramitó gracias a la diligencia del agente del
punto de venta de tienda propia sita en Madrid, quien, al verificar la identidad del
solicitante observó que se aportaba de forma física un DNI manipulado. Aunque
era el mismo y coincidía con el registrado en sistemas, variaba la fotografía
perteneciendo a otra persona distinta del titular, advirtiendo que constaba
manipulada.

Orange indica que, en ese momento, desde el citado punto de venta de Madrid,
siguiendo el protocolo establecido, se dio comunicación inmediata y directa al
Departamento de Análisis de Riesgos, Fraude y prevención del Fraude, que
de inmediato revisó el caso y confirmó que se trataba de un DNI manipulado,
informando que no tramitaran la solicitud.

Además, de conformidad con el Protocolo establecido, desde el citado
Departamento se revisó la posibilidad de otros intentos de duplicados irregulares,
detectando lo siguiente:

i) por un lado, que hubo una solicitud previa duplicado eSIM vía telefónica de
4/2/23, que se encontraba pendiente de validación por el sistema del envío del
Código QR citado, por lo que desde el citado Departamento informaron de
inmediato para que no se tramitara el 10/2/23.

ii) por otro lado, se detectó en el análisis por el Departamento de Fraude
mencionado que también hubo otro intento de duplicado SIM, también vía
telefónica, que tampoco se consiguió por la eficacia de los Protocolos de
seguridad establecidos. En este caso, consta que el solicitante (usurpador) se
comunicó haciéndose pasar por el titular, suplantando su identidad, indicando que
tenía el teléfono roto y necesitaba el duplicado de la tarjeta SIM, a lo que el agente
le pidió el dato del DNI y su información personal; sin embargo, no superó la
Política de Seguridad. A continuación, le pidió pasar la Política de seguridad,
mediante token, pero el solicitante (usurpador) (cambiando el “speech”) indicó que
su teléfono estaba roto y necesitaba el duplicado, tratando de persuadir al agente,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/54

ante lo que el agente le solicitó que por medidas de seguridad se tenía que dirigir
a una tienda.

Con igual fecha, 10 de febrero de 2023, por el Departamento de Análisis de
Riesgos, Fraude y Prevención del Fraude, se insertó una NOTA DE AVISO claro en
todos los sistemas en mayúscula y de lectura obligatoria con carácter previo a
acceder al mismo: “¡¡¡MUY IMPORTANTE!!! EL CLIENTE HA SIDO VÍCTIMA DE
USURPACIÓN DE SU IDENTIDAD CON DUPLICADO DE SIM, NO TRAMITAR
PEDIDOS Y REMITIR AL CLIENTE CAMBIO DE CONTRASEÑAS DE AREA
CLIENTE”.

Orange aporta la captura de pantalla de sistemas de fecha 10/2/2023 con la nota
de aviso indicada anteriormente.

Orange manifiesta que ha constatado que detectado el intento de duplicado
fraudulento, a partir del día 10 de febrero de 2023 se intentó contactar con el titular
a las tres numeraciones de contacto, para informarle del intento de duplicado y de
las acciones tomadas en consecuencia, pero no se logró, intentándose de nuevo
los días siguientes hasta que, como reconoce el reclamante, al fin se logró
contactar (…) el 14 de febrero de 2023, un día después de que con fecha 13 de
febrero de 2023 se solicitara vía llamada en el 1565 el duplicado eSIM en la que
haciéndose pasar por el titular y con uso de los datos de su DNI manipulado y de
toda su información personal, consiguió que el agente creara expediente de
activación de duplicado eSIM y se validó al superar la política de seguridad.

Orange aporta las comunicaciones con el reclamante registradas desde el 10 de
febrero de 2023 a la actualidad. (Entrada 23e00061618202 de Orange de 14/9/23,
documento1).

Se comprueba en este documento que:
- el 10/2/2023 consta la nota de aviso del Dpto. de Fraude citada anteriormente;
- el 11/2/2023 cuatro SMS a la numeración del reclamante ***TELÉFONO.1 con el
mensaje (…).
- el 11/2/2023 un SMS a la numeración de contacto del reclamante y contratada
con Jazztel ***TELÉFONO.2 con el mensaje “(…),
- el 13/2/2023 un SMS a la numeración afectada del reclamante ***TELÉFONO.1
con el mensaje “(…)”
- el 13/2/2023 consta desde la numeración 1565 “Acción realizada correctamente”

2. 11/2/2023, Orange manifiesta que consta la activación sin irregularidades de
duplicado de SIM en punto de venta de Zaragoza, superando las medidas de
verificación de identidad y el protocolo de seguridad, que fue tramitado por el titular
legítimo. Al respecto, en el punto 6 de la reclamación consta la manifestación de
que no tenía cobertura y que acudió a una tienda física para solicitar un duplicado
físico de la SIM, donde se lo tramitaron, reconociendo que a partir de ese día le
funcionaba correctamente. A pesar de ello, llama la atención que estaba
ilocalizable a pesar de los intentos para contactar con él, hasta que con fecha 14
de febrero de 2023 se consiguió.

3. 13/2/23 OE manifiesta que se solicitó duplicado eSIM vía llamada en el 1565 en la
que un usurpador, haciéndose pasar por el legítimo titular y suplantando su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/54

identidad con uso de los datos de su DNI manipulado y de su información personal,
que presumiblemente tenía en su poder y consta que la tenía desde tiempo
atrás, logró que el agente comercial creara un expediente de activación de
duplicado eSIM, superando las medidas de identificación y la Política de Seguridad
por medio de preguntas confidenciales.

Orange indica que, en ese mismo momento en el que el usurpador superó las
Políticas de seguridad, saltó el aviso al Departamento de Análisis de Riesgos,
Fraude y Prevención el Fraude, detectándose de manera interna que se trataba
de la activación de un duplicado eSIM con posible suplantación de identidad, tras
lo que se analizó y se catalogó de fraude, por lo que se bloqueó el duplicado de
eSim, el número ***TELÉFONO.1. También, se subió el denominado ANI a una
Lista Interna particular para prevenir futuros casos. Este último, el ANI, se
informa a efectos informativos que es un aviso de la numeración desde el que
llama el usurpador para hacer la solicitud con suplantación de identidad, en el
caso, desde el que llamaron el 13 de febrero de 2023 al 1565 para solicitar la
activación del duplicado eSIM.

Se ha indicado más arriba que se ha comprobado en la grabación facilitada por
Orange de la llamada al 1565 en el intento fallido de duplicado eSIM de 4/2/2023
que la política de seguridad de esta gestión consiste en validación de datos
personales: (…).

Orange aporta impresiones de pantalla de sistemas de Jazztel, donde manifiesta
que se observa la tramitación, así como que de inmediato ese mismo día, horas
después, fue bloqueada la numeración y el duplicado, tratándose de contactar con
el afectado, lo que se logró al día siguiente a través de su pareja.

Se comprueba, que en la captura de pantalla de estas gestiones de bloqueo
consta la fecha 14/2/23 y hora 15:32 y 15:41, es decir, al día siguiente del
13/2/2023.

Orange aclara que, además de las anteriores medidas tomadas por el
Departamento de Análisis de Riesgos, Fraude y Prevención del Fraude y de
conformidad con el Protocolo interno establecido, se envió COMUNICACIÓN a los
Puntos de Venta de Madrid, en concreto para los Departamentos Territoriales de
Ventas, Estrategia de Ventas, Seguridad Autorizaciones, Activaciones, Atención al
Cliente, Logística, comunicando y advirtiendo sobre la detección del sujeto
que está acudiendo a varios puntos de venta de Madrid usurpando la
identidad del cliente para realizar duplicado SIM. El citado Comunicado incluye
también un recordatorio claro y explícito de que la SIM de reemplazo JAMAS será
entregada a una persona distinta del titular, aunque lleve la autorización firmada.
También, se les recordó que el documento de identidad SIEMPRE será validado en
KYC/Firma Digital y se tramitará únicamente cuando la respuesta sea OK”,
adjuntando la foto del actor o agente malicioso y DNI manipulado.

Orange incluye al final de mismo en formato resaltado el recordatorio del
Procedimiento interno en caso de detectar clientes con estas características:
envío de email a los buzones del Departamento de Fraude y plataforma gestión
tráfico; con el documento identificativo y toda la documentación aportada e
información relevante; todo ello más llamada informativa a un teléfono a tal efecto.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/54

Orange aporta como documento nº uno (docunocomunicacojazztel), copia del
citado Comunicado remitido a los puntos de venta de Madrid el 13 de febrero de
2023 para evitar casos similares, y que contiene el DNI manipulado, en que si se
hace la comparativa con el DNI original se observa la irregularidad.

Se comprueba que el contenido del documento contiene lo indicado por Orange.

Según Orange, el aviso en sistemas de lectura obligatoria se insertó con fecha 10
de febrero de 2023 por el Departamento de Análisis de Riesgos, Fraude y
Prevención del Fraude, siendo probable y tras las oportuna comprobaciones, a la
vista de la presente reclamación, que el agente del punto de venta en que se
tramitó el duplicado SIM al titular legítimo realizó la validación respecto al cliente y
la línea, pero no detectó el aviso en sistemas incluido por el citado Departamento,
habiendo sido reprendido por ello y habiéndose realizado un refuerzo respecto a
este tipo de avisos de lectura obligatoria para evitar vuelva a suceder.

Orange aporta el documento 1 con las comunicaciones con el reclamante
registradas desde el 10/2/023 a la actualidad, que sigue siendo cliente actual de
Orange.

Se comprueba en el citado documento que constan los siguientes envíos, de forma
resumida, al teléfono del reclamante:

- 10/2/23 aviso de riesgo de usurpación de identidad con duplicado sim.- 11/2/23
cuatro sms de 14:30 a 14:40h para finalizar el registro en el área privada de Jazztel
enviados al nº de móvil objeto de la reclamación.- 11/2/23 14:40h un sms de
recordatorio de acceso al área privada de cliente con enlace para la descarga de la
app de Jazztel enviado al nº de móvil ***TELÉFONO.2 que es uno de los
contratados por el reclamante.- 13/2/23 8:04h un sms de información de Jazztel
para activar Depósito de megas y un enlace para más información enviado al nº de
móvil objeto de la reclamación.- 13/2/23 14:26h acción realizada correctamente.

- 13/2/23 14:28h modificación del email a ***EMAIL.1.- 13/2/23 15:56h activado
bloqueo datos, llamadas y sms/mms salientes.
- 13/2/23 19:08h pérdida de cobertura, emite duplicado, sigue el fallo y se envía a
tienda para garantía.
- 14/2/23 10:28h modificación del email a ***EMAIL.2.
- 14/2/23 15:32h Numeración bloqueada (del reclamante) por robo/pérdida.
- 14/2/23 15:41h Afectado por fraude tarjeta eSIM 13/2/23.
- 18/2/23 10:46h envío factura a email ***EMAIL.3.
- De 18/2/23 a 23/5/23 gestiones con el reclamante de resolución de la reclamación
y otras consultas.

4. 13/2/23 el reclamante manifiesta que recibe sms de Jazztel de éxito en activación
de eSIM, que el reclamante no vio hasta pasados los hechos.
Se comprueba que esta afirmación corresponde con lo recogido en el arriba
mencionado documento 1 de la entrada 23e00061618202, donde aparece la
comunicación de 13/2/23 a 14:26h de “Acción realizada correctamente”.

5. 13/2/23 el reclamante manifiesta que se personó en tienda Jazztel por problemas
de cobertura sin darle solución.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/54

6. 13/2/23 el reclamante manifiesta que se realiza transferencia fraudulenta desde
***EMPRESA.1 como titular y fue comunicado el 14/2/23 por el banco.

7. 14/2/23 el reclamante manifiesta que recibe sms de aviso de ***EMPRESA.1 que
no vio hasta pasados los hechos.

8. 14/2/23 el reclamante manifiesta que Jazztel contactó con B.B.B. como contacto
de recuperación del teléfono del reclamante para resetear la cuenta. El reclamante
manifiesta que contactó con Jazztel y le dijeron que todo era OK, en concreto, ella
confirmó que no habían solicitado eSIM, que el titular tenía fallos de cobertura con
la SIM y, ante la advertencia del agente de las suplantaciones de identidad que
pudieran haber tenido otras consecuencias, confirmó que no tenía información de
movimientos bancarios. En dicha llamada, el agente le indicó que se había
detectado las operaciones fraudulentas y tomado de inmediato y de forma directa
todas las medidas. También, se le solicitó que por motivos de seguridad
resetearan las claves de acceso e indicó que tenía que remitirles la denuncia
policial.

9. 14/2/23 el reclamante manifiesta que recibe sms y email de ***EMPRESA.1 a 2
direcciones electrónicas ***EMAIL.4 y ***EMAIL.5 comunicando irregularidades
bancarias de 13/2/23.

10. 14/2/23 el reclamante manifiesta que recibe comunicación verbal en oficina de
***EMPRESA.2 de irregularidades bancarias de 7/2/23.

11. 14/2/23 el reclamante manifiesta que presenta reclamación en tienda de Orange
en Zaragoza.

12. 17 y 20/2/23 el reclamante presenta y aporta denuncia policial.

13. 20/2/23 el reclamante presenta y aporta reclamación ante ***EMPRESA.1.

14. 21 y 29/2/23 el reclamante presenta y aporta reclamación ante ***EMPRESA.2.

15. 24/2/23 OE manifiesta que el reclamante le presenta reclamación con la denuncia
ante la DGP adjunta, notificada el 1 de marzo de 2023 a Orange.

Orange manifiesta que consta en la reclamación presentada ante la Agencia, en el
apartado Alegaciones, Cuestiones Previas, que la sustracción de las cuentas
bancarias de ***EMPRESA.1 y ***EMPRESA.2 “fue advertida por el compareciente
con fecha 14 de febrero de 2023”. En la denuncia policial de 17/2/23 y en la
documentación aportada por el reclamante, consta que hubo trasferencias bancarias
de 7/2/23 y que recibió sms de aviso bancario desde esa misma fecha, y que el
reclamante declaró no haberlos visto “hasta después de haber acaecido los hechos
debido a los problemas de cobertura del teléfono móvil, personándose el 11 de febrero
de 2023 en tienda Orange en Zaragoza a fin de solicitar duplicado de tarjeta SIM,
siéndole entregado duplicado de dicha tarjeta, funcionado correctamente”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/54

Orange ha aportado registros de sus sistemas y pone de manifiesto que no constan
incidencias en ese sentido por fallos de cobertura anteriores y hasta que el mismo 11
de febrero de 2023 acudió a tienda en Zaragoza para pedir un duplicado.

Orange, declara que los SMS informativos del Banco se enviaron desde el 7 de
febrero de 2023. Al respecto, según la denuncia policial, el afectado declaró que “el
mismo día 13 de febrero de 2023 el dicente recibió un SMS proveniente de Jazztel EN
EL QUE CONSTA “SE HA TRAMITADO CON ÉXITO LA ACTIVACIÓN DE TU
TARJETA ESIM. PUEDES CONSULTAR LAS INSTRUCCIONES DE ACTIVACIÓN EN
`INFO”, a pesar de lo que declaró que “no habiéndose percatado dicente de dicho
SMS hasta que pasó todo lo denunciado”.

Orange, señala que en el punto 3 de la reclamación que ese día (7 de febrero de
2023) se “realizaron fraudulentamente…varias operaciones de transferencia bancaria
desde la cuenta bancaria de ***EMPRESA.2 por importe de (…) euros”, de lo que
manifiesta como era autorizado no se dio cuenta hasta el 14 de febrero de 2023,
una semana después cuando fue informado por Jazztel y recibió las notificaciones de
las Entidades Bancarias. Añade el afectado además, que ese mismo día, por tanto,
antes del duplicado de tarjeta e sim fraudulento detectado el 13 de febrero de 2023,
“se abrió sin su consentimiento, …en ***EMPRESA.2… (…) …”. Al respecto de lo que,
en el punto 8 de la reclamación expresa que “con fecha 13 de febrero de 2023…se
realizaron fraudulentamente…varias operaciones bancarias desde la cuenta de
***EMPRESA.1”… y finalmente, que “el 14 de febrero recibió comunicaciones, a su
vez, por dos entidades bancarias advirtiendo de irregularidades”.

Orange manifiesta que, consta en la denuncia que el afectado, a pesar de haber
estado recibiendo las citadas comunicaciones, declara que no se percató de nada
hasta “que pasó todo lo denunciado”, esto es, hasta que lamentablemente se
produjeron las sustracciones bancarias; pero tal y como se ha puesto de manifiesto
por esta parte se cumplió con las cautelas y los protocolos establecidos relativos a
informar al afectado, aunque por causas ajenas, no se logró hasta el citado día 14 de
febrero de 2023.

Orange manifiesta que las transferencias bancarias reclamadas que el cliente
desconoce comenzaron con carácter previo a que se activara el duplicado de tarjeta
eSIM el 13 de febrero de 2023, que fue detectado internamente de inmediato y
bloqueado por el Departamento de Análisis de Riesgo, Fraude y Presunción del
Fraude.

Orange manifiesta que el usurpador tenía anteriormente en su poder el DNI del titular
del afectado, que manipuló con otra fotografía con intención de realizar operaciones
fraudulentas, siendo esta mercantil una víctima más de sus artimañas e ingeniería
social. Se puede concluir que no existe una relación causal entre el mencionado
duplicado eSIM del 13 de febrero de 2023 y las transferencias bancarias del día 7 de
febrero de 2023 y de 13 de febrero de 2023.

Orange manifiesta que debido a la naturaleza de este tipo de actos comerciales que
implican solicitudes de duplicado de tarjeta SIM o de cambios de datos de contacto,
los protocolos establecidos para la atención por parte del personal, especialmente en

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/54

las primeras líneas, para este tipo de gestiones son muy estrictos y requieren de
medidas de carácter formal.

Orange continúa con que, así, el relato fáctico y la documentación que obra en el
expediente y que se ha aportado, permite concluir que Jazztel llevó a cabo un
tratamiento de datos lícito con plena apariencia de legalidad, acorde a los protocolos
establecidos y al procedimiento actual. Así como que una vez el suplantador consiguió
superar la identificación puesto que disponía del DNI del titular que manipuló en la
fotografía, así como la política de seguridad, se detectó el fraude internamente,
desplegándose las medidas que fueron efectivas y diligentes, así como interoperables
con el resto de los Departamentos, incluida Comunicación a los puntos de venta de
Madrid para evitar casos similares.

Orange también concluye la inexistencia de relación de causalidad entre las
irregularidades en relación con la SIM (siendo el 13 de febrero de 2023, cuando se
activó el duplicado eSIM, que fue desactivado y bloqueado de inmediato por Fraude) y
las transferencias entre los días 7 y 13 de febrero de 2023. Como se ha indicado, el
suplantador de identidad tenía en su poder los datos personales del titular legítimo
necesarios, e incluso su DNI, que manipuló. Ya tenía conocimiento de los datos
personales del afectado, a los cuales no accedió a través de esta mercantil, sino que
disponía de ellos.

Orange por último, informa que pese a que Jazztel establezca medidas de seguridad y
las someta a revisión y mejora continua, es inevitable que los particulares, como
propietarios de sus datos, tengan cierta responsabilidad en mantener sus credenciales
de acceso de forma confidencial, su DNI y resto de información personal, - así en
como revisar notificaciones sobre posibles operaciones que pudiera desconocer o
alarmarle-, sin facilitarlas a terceros, especialmente cuando éstas dan acceso a
portales, como en el presente caso, desde donde pueden realizar ciertas
contrataciones e incluso transferencias bancarias.

Orange finalmente, de todo ello, informa que ha sido puesto en conocimiento del
reclamante, como consta en el documento nº dos, en fecha 20/5/2023.

Orange manifiesta que “sobre las decisiones y medidas para evitar que se produzcan
incidencias similares, además de todas medidas de aplicación en el caso en concreto
y que fueron informadas al reclamante tan pronto como se logró localizarlo, se han
tomado con carácter posterior otras medidas de garantía y prevención adicionales
tendentes a evitar que vuelvan a producirse similares casos en el futuro. Esto es,
desde el envío del citado Comunicado que se aportaba como documento nº uno, hasta
otros proyectos para reforzar la verificación de identidad y el Protocolo de actuación
cuando se detecta la emisión de un duplicado SIM fraudulento, puesto que en Jazztel
se está trabajando de forma continua por reforzar de cara a prevenir los nuevos
métodos de ingeniería social y artimañas de los agentes maliciosos que cometen este
tipo de fraude, del que esta entidad también es otra víctima.

En este sentido y dado el riesgo de suplantaciones de identidad, se informa que esta
mercantil está en constante actualización de Planes de Acción de mitigación de
riesgos en altas fraudulentas por usurpación de identidad (sim swap y otras
tipologías), para tratar de reforzar Protocolos de seguridad y medidas implantados, así
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/54

como tratar de prevenir y adelantarse a las artimañas de la ingeniería social y/o de los
agentes maliciosos. En particular, se informa que además de penalizar al agente ante
el que el usurpador consiguió la activación del duplicado, que recibió medidas
disciplinarias por mala praxis; se llevó a cabo una formación y pautas de refuerzo con
carácter general a los agentes de primera línea para que sigan los protocolos y las
políticas de seguridad establecidas para los distintos actos comerciales, tanto en las
solicitudes en forma presencial, como no presencial.

Adicionalmente a lo anterior, se informa que mercantil se encuentra trabajando en la
implementación total de medidas de optimización y refuerzo de la solución CIAM
(Gestión de identidad y acceso de clientes), para lo que se lanzó el Proyecto
denominado “Identity”, cuyo objeto es evolucionar las funcionalidades proporcionadas
por nuevas herramientas CIAM.

Esta mejora permitirá sustituir o evolucionar la solución actual para cubrir los GAP´s
identificados. Las funcionalidades que se espera cubrir con la nueva solución son:
• (…)

Finalmente, se informa que dicho proyecto, se tiene planificado finalizar las fases de
evaluación, toma de decisiones y planificación de implantación para el tercer trimestre
de este año, por las implicaciones que conlleva a nivel técnico y de desarrollo en
sistemas”.

QUINTO: Volumen de negocios de ORANGE

De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ORANGE
ESPAGNE, S.A.U. es una gran empresa constituida en el año 1998, y con un volumen
de negocios de 4.311.999.000 euros en el año 2023.

SEXTO: Inicio de procedimiento sancionador

Con fecha 19 de noviembre de 2024 la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 32 del RGPD, tipificada en
el Artículo 83.4 del RGPD.

SÉPTIMO: Alegaciones al acuerdo de inicio de procedimiento sancionador

Notificado el citado acuerdo de inicio conforme a las normas establecidas en la
LPACAP, la parte reclamada solicitó ampliación de pazo y copia del expediente que le
fue concedido y presentó escrito de alegaciones el día 12 de diciembre de 2024 en el
que, manifiesta su disconformidad con el contenido de los fundamentos expuestos en
el Acuerdo de Inicio y se ratifica y da por reproducidas íntegramente las alegaciones y
argumentaciones jurídicas presentadas en sus anteriores escritos:

Primera. – DE LA EXISTENCIA DE PREJUDICIALIDAD PENAL.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/54

Insiste que los hechos objeto del presente Acuerdo de Inicio, son, a su vez, la base de
una investigación penal, estando los mismos, supeditados por el principio de
prejudicialidad penal establecido en el artículo 10 de la Ley Orgánica 6/1985, de 1 de
julio, del Poder Judicial.

Señala que este asunto debe resolverse en primer lugar en la vía penal, con carácter
previo a cualquier pronunciamiento en la vía administrativa, que se estaría
sancionando doblemente por los mismos hechos, y que resulta imperativo suspender
este procedimiento hasta que quede resuelta la causa penal.

Segunda. – SOBRE EL SUPUESTO DE HECHO.

La defensa procede a una descripción cronológica detallada de los hechos, señalando
que se produjeron tres intentos fallidos en fechas 4, 10 y 13 de febrero de 2023 y un
intento logrado el 13 de febrero de 2023 de duplicado eSIM de la parte reclamante.

Señala que pese a la concesión de dicho duplicado de tarjeta SIM irregular, la
contratación revestía total apariencia de legalidad toda vez que el usurpador tenía en
su poder toda la información necesaria, incluso aquella confidencial (como su entidad
de pago de las facturas o el importe de su última factura), perteneciente al
Reclamante.

Asimismo, asegura la robustez y eficacia de los protocolos de identificación y de
seguridad, destacando la diligente actuación del agente en los intentos fallidos y la
diligencia en la toma de medidas frente a la activación del suplicado eSIM de 13 de
febrero de 2023.

Indica la inexistencia de relación de causalidad entre las irregularidades en relación
con la SIM (siendo el 13 de febrero de 2023, cuando se activó el duplicado eSIM, que
fue desactivado y bloqueado de inmediato por Fraude) y las transferencias efectuadas
entre los días 7 y 13 de febrero de 2023 en nombre del Reclamante.

Manifiesta, que la emisión de un duplicado de tarjeta SIM implica la emisión de una
tarjeta SIM vacía, sin ninguna información personal. La tarjeta SIM “duplicada”, es un
dispositivo materialmente nuevo, cuya configuración de fábrica no incluye ningún tipo
de información previa que pudiese haberse incluido en la tarjeta SIM anterior. En otras
palabras, la tarjeta SIM “duplicada” podría equivaler a un dispositivo móvil nuevo,
cuando se entrega en tienda, donde evidentemente no se encuentra ningún tipo de
información, sino que será, el ahora propietario, quien se encargue de configurarlo e
incluir todo aquello que necesite. Por ende, la misma no permite, por sí misma, el
acceso a ningún tipo de información bancaria o de índole financiera.

Señala que la Agencia omite en el Acuerdo de Inicio que, para ello, es necesario un
paso previo, donde los malhechores deberán obtener y poder utilizar las credenciales
bancarias del Reclamante, para poder identificarse y, en primer lugar, realizar la
suplantación de identidad ante su entidad financiera.

En este caso considera que está acreditado y es más que evidente esta circunstancia
atendiendo al hecho de que se llevaron a cabo por los delincuentes 11 transferencias

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/54

bancarias en ***EMPRESA.1 y 6 en Santander en fechas anteriores a la realización
del duplicado de tarjeta SIM.

Afirma, que las medidas de seguridad han sido efectivas en casi la totalidad de los
intentos, y que la descalificación general de la política de seguridad de Orange no está
fundamentada ni justificada.

Tercera. – DEL ROL DE VÍCTIMA DE ORANGE

La defensa procede a indicar que la solicitud de una tarjeta eSIM a través de llamada
telefónica pasando una política de seguridad y siendo necesarias para su activación el
conocimiento ya no únicamente de los datos personales del solicitante, sino, también,
las credenciales de acceso al área privada de cliente personal e intransferible del
mismo, lo que evidencia una sofisticación en las técnicas de los suplantadores de
identidad.

Que Orange disponía de medidas que demostraron ser válidas, adecuadas y
suficientes ante intentos prácticamente idénticos de suplantación de identidad con la
finalidad de obtener un duplicado de tarjeta SIM, tal y como se evidencia en la
descripción de los hechos, donde se consiguieron paralizar hasta cuatro solicitudes de
duplicado. Es por todo reiterar la importancia de situar correctamente a ORANGE en
su posición de víctima de un ataque criminal instrumentado a través de su compañía.

Cuarta. - SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA.

La parte reclamada, señala que el presente Acuerdo de Inicio de la Agencia se basa
exclusivamente en un (escueto) análisis del resultado, considerando que la emisión de
un duplicado de tarjeta SIM derivado de un error puntual manual de un Agente
conlleva la automática consideración de que no se adoptaron medidas adecuadas y,
por tanto, a juicio de la AEPD, surgiendo automáticamente la responsabilidad directa
por parte de ORANGE.

Alega que la imputación de una infracción grave, con la imposición de la consiguiente
sanción, fundamentada exclusivamente en un resultado indeseado en un supuesto
aislado supone adoptar un principio de responsabilidad objetiva en el ámbito
sancionador, vetado por nuestro Ordenamiento Jurídico, indicando que el Tribunal
Constitucional (en lo sucesivo, “TC”), desde su Sentencia nº 76/1990 de 26 de abril, ha
venido advirtiendo del problema de la inadmisibilidad en nuestro ordenamiento jurídico
de la responsabilidad objetiva y, consecuente con ello, la exigencia en todo caso de
que la Administración, a la hora de sancionar, pruebe algún grado de intencionalidad
en el sancionado.

Señala, que esta interpretación extensiva de la potestad sancionadora (que otorga, en
este caso el RGPD), y que la Agencia ejecuta en su Acuerdo de Inicio, ha sido
nuevamente categorizada como no aceptable por el Tribunal Justicia de la Unión
Europea (en adelante, “TJUE”), en sus recientes Sentencias relativas a los asuntos C-
683/211 (Nacionalinis visuomenės sveikatos centras) y C-807/212 (Deutsche Wohnen).
1 Sentencia del Tribunal Justicia de la Unión Europea. Asunto C-683/21 Nacionalinis
visuomenės sveikatos centras. Disponible en el link:
https://curia.europa.eu/juris/documents.jsf?num=C-683/21 2 Sentencia del Tribunal
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/54

Europeo de Justicia. Asunto C-807/21 Deutsche Wohnen. Disponible en el link:
https://curia.europa.eu/juris/documents.jsf?num=C-807/21 EXP202305035. En el
asunto C-683/2021, en concreto, el TJUE estipula: “El Gobierno lituano y el Consejo
de la Unión Europea deducen de ello que el legislador de la Unión pretendió dejar a
los Estados miembros un cierto margen de apreciación en la aplicación del artículo 83
del RGPD, permitiéndoles prever la imposición de multas administrativas en virtud de
dicha disposición, en su caso, sin que se acredite que la infracción del RGPD
sancionada con dicha multa se haya cometido deliberadamente o por negligencia. Tal
interpretación del artículo 83 del RGPD no puede aceptarse”. Y continúa: “…nada en el
tenor literal del artículo 83, apartados 1 a 6, del RGPD indica que el legislador de la
Unión pretendiera dejar un margen de apreciación a los Estados miembros en cuanto
a los requisitos materiales que debe cumplir una autoridad de control cuando decide
imponer una multa administrativa a un responsable del tratamiento por una infracción
contemplada en los apartados 4 a 6 de dicho artículo. […] Esta constatación también
se ve corroborada por la lectura conjunta de los artículos 83 y 84 del RGPD.

Afirma que el artículo 83 del RGPD no permite la imposición de una multa
administrativa por una infracción contemplada en los apartados 4 a 6 de dicho artículo
sin que se haya demostrado que dicha infracción ha sido cometida deliberadamente o
por negligencia por el responsable del tratamiento y que, por lo tanto, la existencia de
una infracción culpable constituye un requisito para la imposición de tal multa”.

Que, la AEPD contradice frontalmente la jurisprudencia aplicable al procedimiento
administrativo sancionador: entre otras, la Sentencia del Tribunal Supremo (STS)
5298/1994, de 9 de julio de 1994, que indica: “…la potestad sancionadora de la
Administración goza de la misma naturaleza que la potestad penal, por lo que en
consecuencia, las directrices estructurales del ilícito administrativo tienden también,
como en el ilícito penal, a conseguir la individualización de la responsabilidad, vedando
cualquier intento de construir una responsabilidad objetiva o basada en la simple
relación con una cosa, por consiguiente en el ámbito de la responsabilidad
administrativa no basta con que la conducta sea antijurídica y típica, sino que también
es necesario que sea culpable, esto es, consecuencia de una acción u omisión
imputable a su autor por malicia o imprudencia, negligencia o ignorancia inexcusable
(STC, Sala del artículo 61 de la Ley Orgánica del Poder Judicial, de 6 de noviembre de
1990)”.

En virtud de lo anterior, resulta posible afirmar que este proceder de la AEPD en la
Resolución no es conforme a la legalidad vigente, como ya ha indicado esta Excma.
Sala, entre otras, en la Sentencia de la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, Sección 1ª, de 23 de diciembre de 2013, Rec. 341/2012:
“Efectivamente, en materia sancionadora rige el principio de culpabilidad
(SSTC15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre),
lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la
sentencia del Tribunal Supremo de 23 de enero de 1998, “...puede hablarse de una
decidida línea jurisprudencial que rechaza en el ámbito sancionador de la
Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o
culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril, al señalar que
el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición
de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de
Derecho. La cuestión, pues, ha de resolverse conforme a los principios propios del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/54

derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y
sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias
sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad
objetiva vedado por nuestro orden constitucional. En el ámbito de la protección de los
datos de carácter personal, para que ese error pueda resultar relevante a efectos
punitivos debe ser consecuencia -o estar posibilitado- por la ausencia de previos y
adecuados procedimientos de control encaminados a su evitación.

Sólo de esa manera aparecerá un factor de culpabilidad en la empresa, asignable a la
imprudencia (o "simple inobservancia") por aquella falta de articulación de protocolos o
de procedimientos de seguridad. Pero esas carencias deben ser objeto de indagación
y prueba por parte del órgano administrativo sancionador (al que le incumbe la carga
de su realización en destrucción de la presunción de inocencia)”.

Y, en la misma línea, procede traer aquí a colación la Sentencia de la Audiencia
Nacional, Sala de lo Contencioso, de 25 de febrero de 2010, nº de Recurso 226/2009,
que específicamente recoge: “LOPD establece una obligación de resultado,
consistente en que se adopten las medidas necesarias para evitar que los datos se
pierdan, extravíen o acaben en manos de terceros, tal obligación no es absoluta y no
puede abarcar un supuesto como el analizado. En el caso de autos, el resultado es
consecuencia de una actividad de intrusión, no amparada por ordenamiento jurídico y
en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que
rompiendo los sistemas de seguridad establecidos accede a la base de datos de
usuarios registrados en www.portalatino.com, descargándose una copia de la misma.

Y, tales hechos, no pueden imputarse a la entidad recurrente pues, de otra forma, se
vulneraría el principio de culpabilidad”.

Ha de remarcarse la similitud del presente supuesto de hecho con el recogido en la
extractada Sentencia de la Audiencia Nacional (en adelante, SAN) de 25 de febrero de
2010: se trata de intrusiones cometidas de manera ilegal, por terceros con
conocimientos informáticos y de los sistemas, dirigidos a una actividad delictiva. A
mayor abundamiento, la imposición de una obligación de resultado por la normativa de
protección de datos en el despliegue de medidas de seguridad ha sido revocada por la
Sentencia de nuestro Alto Tribunal, la STS 543/2022, de 15 de febrero, la cual
establece en su Fundamento Jurídico 3º, y sienta jurisprudencia; que: “La obligación
de adoptar las medidas necesarias para garantizar la seguridad de los datos
personales no puede considerarse una obligación de resultado, que implique que
producida una filtración de datos personales a un tercero exista responsabilidad con
independencia de las medidas adoptadas y de la actividad desplegada por el
responsable del fichero o del tratamiento”.

Así, el TS configura dicha obligación como una de medios, en las que (Fundamento
Jurídico 3º): “el compromiso que se adquiere es el de adoptar los medios técnicos y
organizativos, así como desplegar una actividad diligente en su implantación y
utilización que tienda a conseguir el resultado esperado con medios que
razonablemente puedan calificarse de idóneos y suficientes para su consecución, por
ello se las denomina obligaciones "de diligencia " o "de comportamiento". La diferencia
radica en la responsabilidad en uno y otro caso, pues mientras que en la obligación de
resultado se responde ante un resultado lesivo por el fallo del sistema de seguridad,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/54

cualquiera que sea su causa y la diligencia utilizada, “en la obligación de medios basta
con establecer medidas técnicamente adecuadas e implantarlas y utilizarlas con una
diligencia razonable”.

Es por ello por lo que esta parte considera que el presente Acuerdo de Inicio no es
ajustado a derecho, pues impone a ORANGE una obligación de resultado, consistente
en el establecimiento de medidas infalibles, al imputar una infracción del artículo 32 del
RGPD basándose únicamente en el resultado lesivo que se produce por la
intervención fraudulenta de un tercero, sin atender a la diligencia utilizada, sin
considerar el despliegue de medidas técnicamente adecuadas e implantadas, ni la
actitud negligente del propio interesado, quien recibió reiterados SMS de las entidades
bancarias informando de transferencias días antes a la realización del duplicado de
tarjeta SIM, lo que denotaba una intrusión en su banca electrónica que propició la
realización del duplicado posterior.

En este sentido, es preciso resaltar que la implementación de medidas
inquebrantables, ni es viable, puesto que toda medida por muy segura que sea, y
cuente con las garantías e incluso certificaciones de seguridad oportunas, tiene
vulnerabilidades; ni es exigible por la normativa que resulta de aplicación.

Es por ello por lo que no resulta posible apreciar culpabilidad de ORANGE en el
presente supuesto de hecho, no siendo jurídicamente válida la apreciación que realiza
la Agencia de comisión de infracción por esta mercantil.

Quinta. – DE LA CORRECTA IMPLEMENTACIÓN DE MEDIDAS DE SEGURIDAD.

5.1.- Orange, alega que no puede concluirse que existe una falta de efectividad de las
medidas adoptadas, cuando estas han funcionado correctamente paralizando intentos
de duplicados de tarjeta SIM.

En segundo lugar, a este respecto cabe incidir en el papel de los Agentes, sin los
cuales, una compañía de telecomunicaciones como es ORANGE no podría operar en
el mercado. Es necesario para ello la intervención humana, no resultando posible su
eliminación total en la gestión de los procesos. Toda vez que éstos son asimismo una
medida rotundamente eficaz y necesaria en tanto en cuanto son capaces de detectar
actividades fraudulentas. Ello puede comprobarse ejemplificativamente a través de la
alerta emitida por un agente del punto de venta de tienda propia sita en Madrid, quien,
al verificar la identidad del solicitante observó que se aportaba de forma física un DNI
manipulado. Aunque era el mismo y coincidía con el registrado en sistemas, variaba la
fotografía perteneciendo a otra persona distinta del titular, advirtiendo que constaba
manipulada. Dicha diligencia exigida a todos y cada uno de los agentes, y, que resulta
altamente efectiva, no puede eliminarse.

La AEPD no puede esperar un control o limitación total de sus capacidades de
actuación, en la medida en la que ORANGE (en la misma forma que cualquier otra
entidad) los contrata precisamente, para ejecutar acciones dentro de sus sistemas e
interactuar con sus clientes. Las medidas para controlar su actuación, en tal contexto,
lo constituye el contrato laboral, por el que están legalmente obligados a actuar
conforme las instrucciones de ORANGE, así como la trazabilidad de los sistemas, que
provoca que estén identificados en todo momento, para realizar sus funciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/54

Siguiendo con dichas medidas, en relación con el caso que nos ocupa, se penalizó al
agente ante el que el usurpador consiguió la activación del suplicado. Concretamente,
recibió medidas disciplinarias por mala praxis.

Adicionalmente, en aras de extender lo acontecido y las consecuencias de ello, se
llevó a cabo una formación y se emitieron pautas de refuerzo con carácter general a
los agentes de primera línea, reiterando la necesidad de cumplir con los protocolos y
las políticas de seguridad establecidas para los distintos actos comerciales, tanto en
las solicitudes en forma presencial, como no presencial.

Por tanto, no puede esta Agencia dirimir que un error puntual de un Agente, quien ha
recibido la correspondiente formación y conoce los protocolos, derivado de una
inobservancia esporádica y única, dé lugar a una debilidad general de la Política de
Seguridad de la compañía. Más si cabe cuando dicha política ha servido como método
eficaz en múltiples ocasiones como escudo ante los intentos de duplicados de tarjeta
SIM distintos del titular.

5.2.- De la posición de las entidades bancarias en el procedimiento y de la carencia de
medidas de seguridad establecidas por los mismos

La tarjeta SIM no contiene los datos del teléfono o terminal móvil, por lo que el acceso
a un duplicado de la misma no permite a un tercero el acceso a las aplicaciones que el
Reclamante pueda tener instaladas en el mismo, como pueden ser las
correspondientes a entidades bancarias.

Los mecanismos de dos pasos son más vulnerables y están desaconsejados, al
poderse interceptar la comunicación del segundo factor pues suele ser algo que nos
envían, generalmente por SMS.

Orange, señala que es relevante traer a colación la Memoria 2021 de la Fiscalía
General del Estado dedicada a la “Criminalidad Informática”, referenciada por la AEPD
en el procedimiento sancionador, donde se menciona en relación con el SIM Swapping
lo siguiente: “La técnica consiste en burlar las medidas de seguridad de las entidades
bancarias accediendo a los códigos alfanuméricos de confirmación, de uso único,
generados con ocasión de las transacciones electrónicas y que ordinariamente se
comunican a los/as clientes a través de mensajes SMS”. En ese mismo documento, la
Fiscalía posiciona a las operadoras de telefonía como entidades que sufren este tipo
de fraudes y que puede extenderse a otros sujetos de Derecho, como
establecimientos de reparaciones móviles.

Así, contradice cualquier lógica jurídica trasladar toda la responsabilidad a la entidad
que presta servicios de telefonía, tratándose del mero canal de comunicación
seleccionado por la propia entidad financiera y sin que a esta le conste, en modo
alguno, que los datos transmitidos a través de los mensajes remitidos contengan
claves de operaciones bancarias.

Señala que ORANGE no ofrece servicios de confianza online a operadores bancarios,
ni tampoco ofrece servicios propios de una entidad de certificación o acreditación. Las
entidades bancarias pueden no haber contratado ningún servicio de ORANGE, y, aun
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/54

así, emplear los SMS para llevar a cabo sus actuaciones con clientes. Por ello, no se
puede responsabilizar a ORANGE de la configuración del envío de SMS como
segundo factor de autenticación empleado por responsables de otros servicios, como
son los operadores bancarios.

En consecuencia, se reitera por esta parte que la responsabilidad de las operadoras
de telefonía por los supuestos de suplantación de identidad para la solicitud de copias
de tarjetas SIM no puede abarcar aquella derivada de las operaciones bancarias que
los delincuentes puedan realizar como consecuencia de que las medidas de seguridad
implementadas por las entidades financieras sean inadecuadas.

ORANGE no puede hacerse cargo de la seguridad de la operativa de terceras
entidades por el mero hecho de que usen servicios de telecomunicaciones.

Por un lado, por lo que respecta a las transferencias realizadas en el seno del
***EMPRESA.2, estas se produjeron en su totalidad el día 7 de febrero de 2023, tal y
como se refleja en la Reclamación interpuesta por el reclamante.

Por otro lado, por lo que afecta al Banco ***EMPRESA.1, se puede observar, hasta
seis (6) transferencias llevadas a cabo en nombre del Reclamante con carácter previo
a la emisión del duplicado de tarjeta SIM por ORANGE, en concreto, el día 11 de
febrero de 2023, ascendiendo éstas a un total de (…) euros:

Ello evidencia que los malhechores tenían a su disposición toda la información
necesaria en relación con el acceso a la entidad bancaria. Siendo únicamente dos de
las ocho transferencias que afectan al banco ***EMPRESA.1 las producidas tras la
emisión del duplicado de tarjeta SIM.

Pudiendo concluir que no existe vinculación alguna entre el duplicado de tarjeta eSIM
emitido con fecha 13 de febrero de 2023 y las transferencias realizadas dicho mismo
día.

Toda vez que los malhechores disponían de aquella información necesaria para
suplantar la identidad del Reclamante ante las entidades bancarias con carácter
previo.

Es decir, no era en ningún caso necesario el duplicado de tarjeta SIM para llevar a
cabo las transferencias bancarias, ya que estas se vinieron realizando anteriormente y
alcanzando cantidades por encima del total de aquellas producidas el 13 de febrero de
2023.

En concreto, (…) euros fueron los extraídos sin haberse activado el duplicado de
tarjeta. Por tanto, no debe atribuírsele responsabilidad alguna a ORANGE en relación
con las transferencias bancarias emitidas, ya que, conforme se ha evidenciado, todas
ellas, salvo dos, se realizaron en fechas previas a la concesión del duplicado de tarjeta
eSIM.

5.3.- Medidas de seguridad adicionales implementadas por ORANGE.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/54

La parte reclamada detalla de nuevo, las medidas de seguridad que ya enumeró en el
requerimiento de información de esta Agencia

Sexta. – SOBRE LA FALTA DE DILIGENCIA DEL RECLAMANTE Y LA
RESPONSABILIDAD DE ORANGE.

Orange alega la ausencia de diligencia desplegada por parte del Reclamante. No
únicamente en la custodia de sus datos personales, sino, asimismo, por cuanto afecta
a la inobservancia relacionada con la recepción de notificaciones. Tanto aquellas
relacionadas con las solicitudes de duplicado de tarjeta SIM, remitidas por ORANGE,
como las que corresponden a los bancos. Ya que, reitera que no es hasta el día 14 de
febrero de 2024 cuando, tras comunicarse con su mujer desde esta mercantil vía
llamada telefónica, que el Reclamante advierte de lo sucedido.

Afirma que los mensajes anteriores reflejan una clara inobservancia por parte del
Reclamante, quien estuvo alertado en múltiples ocasiones por parte de las tres
entidades y, en particular, por ORANGE, quien, además, insistentemente intentó
contactar con el mismo y con su mujer vía llamada telefónica. Adicionalmente, a lo
largo del presente escrito y de los anteriores presentados ante Agencia que figuran en
el Expediente del Procedimiento Sancionador, puede apreciarse que, efectivamente, el
Reclamante no cuidó de sus datos personales debidamente, permitiendo el acceso a
los mismos por parte de terceros, quienes, fraudulentamente actuaron en su nombre.

Así pues, no puede exigírsele a Orange un nivel de diligencia inquebrantable cuando
es el propio titular de los datos quien ha permitido que malhechores dispongan a su
discreción de los mismos.

Como resultado, Orange no puede ser responsable del desgobierno llevado a cabo por
el responsable para con sus datos personales, permitiendo el acceso a los mismos a
terceros sin potestad ni legitimación alguna para tratarlos.

Indica Orange que en el presente caso: 1. Se ha acreditado que los sistemas de
ORANGE funcionaron de forma efectiva, paralizando distintos intentos de duplicados
de tarjeta SIM por parte de los supuestos suplantadores. 2. Las transacciones
bancarias realizadas se han podido evidenciar, a partir de la información
proporcionada por las mismas entidades financieras, que no se corresponden con el
tiempo en que la tarjeta eSIM pudo estar en manos de terceros. Dado que, la mayor
parte de las cantidades sustraídas al Reclamante fueron fruto de transferencias
realizadas con carácter previo a la emisión del duplicado irregular de tarjeta SIM.

Séptima. - SOBRE LA FALTA DE PROPORCIONALIDAD DE LA SANCIÓN
PROPUESTA.

En este sentido, cabe destacar los siguientes puntos que conforme a la interpretación
de la Agencia son calificados de agravantes, sin que concurran las circunstancias para
su consideración en relación con los hechos analizados:

• La naturaleza y gravedad de la infracción (Artículo 83.2 a) del RGPD). A la hora de
imponer el presente agravante, se tiene en consideración, a tenor de lo dispuesto en el
en el Expediente del Procedimiento Sancionador, el valor de las ventas realizadas por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/54

ORANGE así como los empleados que constan según el último ejercicio presentado y
procesado, del año 2023.

Por tanto, atribuyendo la supuesta infracción a todos los clientes de la compañía.
Sobre ello, indicar a la Agencia que, ni todos los clientes de ORANGE son personas
físicas (sobre cuyos datos de carácter personal resulta de aplicación la normativa que
nos atañe) ni todos los clientes de ORANGE, ni mucho menos, solicitan un duplicado
de tarjeta SIM y, menos si cabe, como en el caso que nos ocupa, un duplicado de
tarjeta eSIM.

Así, en oposición a lo que se afirma en el Acuerdo de Inicio, no todos los clientes de
ORANGE se ven afectados por el procedimiento de duplicado de tarjetas eSIM, no
pudiendo considerarse los mismos, ni siquiera, como potencialmente afectados.

Derivado de lo anterior, dicha consideración no puede ser empleada para agravar una
sanción del Artículo 32, en tanto se trata de actuaciones que en nada tienen que ver
con la diligencia y adopción de medidas de ORANGE, sino de otras entidades.

• La vinculación entre la actividad empresarial de la reclamada y el tratamiento de
datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con
el artículo 76.2.b, de la LOPDGDD).

Si bien es cierto que la actividad de ORANGE hace necesario el tratamiento de datos
personales de sus clientes, lo cierto es que este factor es ambiguo en su valoración
para incluirlo como agravante, ya que dicha vinculación no supone ni mucho menos
una relación directa con la supuesta infracción. El artículo 83.2 k) exige que dicho
agravante sea puesto en relación con el supuesto de hecho concreto.

• Intencionalidad o negligencia en la infracción. Si bien la Agencia incorpora este
agravante en el Acuerdo de Inicio, lo cierto es que no lo relaciona ni señala su
aplicación al presente supuesto de hecho. Tal y como hemos mencionado, el propio
TJUE ha aclarado que la imposición de sanciones coercitivas por la autoridad
administrativa sólo resulta admisible en aquellos casos donde se aprecie una conducta
culpable por el Responsable del Tratamiento o Encargado del Tratamiento. Siendo
éste un requisito indispensable para la imposición de una multa por la autoridad de
control, la imposición del presente agravante debe estar reservado a aquellos casos
donde la intencionalidad o negligencia de la infracción sea evidente y grave.
Tratándose, el presente supuesto, de un supuesto de hecho inédito, no parece
permisible, cuando esta mercantil ostenta el rol de víctima, que se le impute tal
agravante.

No obstante, y según lo establecido en el artículo 83.2 del RGPD y el artículo 76.2 de
la LOPDGDD, concurren en el presente las siguientes circunstancias atenuantes que
no han sido consideradas en la adecuada graduación de la sanción:

• Procedió la parte reclamada a bloquear la línea en cuanto tuvo conocimiento de los
hechos, tal y como se ha relatado en la Alegación Segunda (Art. 83.2 c).

• En ningún momento se han tratado categorías especiales de datos (Art.83.2 g).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/54

• El grado de cooperación de ORANGE con la AEPD con el fin de poner remedio a una
supuesta infracción y mitigar sus posibles efectos adversos: ha quedado acreditado
que se ha contestado en tiempo y forma a todos los requerimientos de información
solicitados por esta Agencia, en línea con la práctica habitual de esta mercantil de total
colaboración con la autoridad de protección de datos, así como la reversión de la
situación del Reclamante a su estado original (Art. 83.2 f).

• La adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42 (Art. 83.2 j). Adicionalmente a la
información que ya consta en el presente con relación a las medidas adoptadas por
ORANGE para mitigar los riesgos en los procesos de duplicados de tarjetas SIM, se
adjunta como Documento nº 3 el certificado emitido por AENOR, por el que acredita
que ORANGE tiene aprobado desde el 4 de septiembre de 2023 un Sistema de
Cumplimiento Normativo que cumple con todos los requisitos del artículo 31 bis del
Código Penal, así como el resto de los estándares de cumplimiento en materia de
prevención de delitos, como la Circular 1/2016, de 22 de enero, de la Fiscalía General
del Estado, destinado a la mitigación de cualquier riesgo de comisión de delitos en el
marco de la actuación de ORANGE.

• El inexistente beneficio obtenido por parte de ORANGE derivado del tratamiento de
datos que ocupa este procedimiento. En todo caso, ORANGE se ha visto perjudicada
(Art. 83.2 k). En este sentido, es intención de ORANGE dejar constancia y demostrar
que las medidas vigentes en el momento de la presunta infracción cumplían con las
más rigurosas normas, pautas, estándares y recomendaciones para poder hacer frente
a los riesgos y que eran las adecuadas e idóneas teniendo en cuenta el estado de la
técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del
tratamiento, así como los riesgos para los derechos y libertades de las personas
físicas.

Termina ORANGE mostrando su disposición a colaborar con la AEPD y la aceptación
de cualquier tipo de propuesta de mejora o recomendación por parte de esta Agencia
en lo relativo al cumplimiento de la normativa.

OCTAVO: Con fecha 14 de octubre de 2025, se emitió por el instructor del expediente
la propuesta de resolución y fue notificada electrónicamente el 15 de octubre de 2025
y en la misma se proponía: “Que por la Presidencia de la Agencia Española de
Protección de Datos se sancione a ORANGE ESPAGNE, S.A.U., con NIF A82009812,
por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD,
con una multa DOSCIENTOS TREINTA MIL EUROS (230.000€)”.

NOVENO: Con fecha 16 de octubre de 2025, solicitó ORANGE ampliación de plazo
para formular alegaciones a la propuesta de resolución y le fue concedido y el día 6 de
noviembre de 2025 presentó escrito en el que reproduce, básicamente las mismas
alegaciones formuladas al acuerdo de apertura del procedimiento. El contenido de
dicho escrito se reseña en el Fundamento de Derecho IV, de “Contestación a las
alegaciones presentadas a la Propuesta de Resolución”.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/54

HECHOS PROBADOS

Resulta acreditado por ORANGE en las manifestaciones realizadas en el escrito de
alegaciones a esta Agencia de fecha 12 de diciembre de 2024:

1º.- En fecha 4 de febrero de 2023, se produjo el primer intento de duplicado eSIM, se
llevó a cabo a través de una solicitud telefónica al servicio de atención al cliente de
Jazztel. El resultado fue fallido del duplicado eSIM, el tercero suplantador superó la
política de seguridad al conocer los datos (…) del reclamante, pero no superó la
validación al faltar el token y tampoco superar las preguntas aleatorias confidénciales y
quedando pendiente la validación. No obstante, aunque no se logró activar dicho
duplicado de eSIM, el usurpador, supuestamente suplantando la identidad del titular,
con carácter previo a la solicitud del duplicado sí logró el cambio de la dirección de
contacto de correo electrónico.

2º.- Consta que el tercero se comunicó de nuevo con el Servicio de Atención al Cliente
de Jazztel el día 6 de febrero de 2023, haciéndose pasar por el titular, suplantando su
identidad, indicando que tenía el teléfono roto y necesitaba el duplicado de la tarjeta
SIM, a lo que el agente le pidió el dato del DNI y su información personal; sin embargo,
no superó la Política de Seguridad. A continuación, se le pidió pasar la Política de
seguridad mediante token, pero el usurpador (cambiando su estrategia) indicó que su
teléfono estaba roto y necesitaba el duplicado, tratando de persuadir al agente, ante lo
que éste último le solicitó que, por medidas de seguridad se tenía que dirigir a una
tienda. No otorgándose tampoco este duplicado de tarjeta SIM.

3º.- Con fecha 10 de febrero de 2023 se llevó a cabo el tercer intento de duplicado SIM
de la línea ***TELÉFONO.1, intento que no se tramitó gracias a la diligencia del
agente del punto de venta de tienda propia sita en Madrid, quien, al verificar la
identidad del solicitante observó que se aportaba de forma física un DNI manipulado.
Aunque era el mismo y coincidía con el registrado en sistemas, variaba la fotografía
perteneciendo a otra persona distinta del titular, advirtiendo que constaba manipulada.

4º.- Con igual fecha, 10 de febrero de 2023, el Departamento de Análisis de Riesgos,
Fraude y Prevención del Fraude, insertó una clara NOTA DE AVISO en todos los
sistemas en mayúscula y de lectura obligatoria: “¡¡¡MUY IMPORTANTE!!! EL CLIENTE
HA SIDO VÍCTIMA DE USURPACIÓN DE SU IDENTIDAD CON DUPLICADO DE SIM,
NO TRAMITAR PEDIDOS Y REMITIR AL CLIENTE CAMBIO DE CONTRASEÑAS DE
AREA CLIENTE”.

5º.- Con fecha 13 de febrero de 2023 un tercero solicitó un nuevo duplicado eSIM a
través del servicio de atención al cliente de Jazztel, haciéndose pasar por la parte
reclamante y el agente de Jazztel activó el duplicado eSIM, superando las medidas de
identificación y la Política de Seguridad por medio de preguntas confidenciales, que
fue desactivado y bloqueado el 14 de febrero de 2023.

6º.- Constituye hecho no controvertido que el reclamante no se puso en contacto con
Orange por la activación del duplicado de su tarjeta SIM, siendo Orange quien el 14 de
febrero de 2023 contactó con su pareja.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/54

FUNDAMENTOS DE DERECHO

I Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II Cuestiones previas

El artículo 4 del RGPD, titulado “Definiciones” establece en los apartados 1, 2 y 7:

“A efectos del presente Reglamento se entenderá por:

1) «datos personales»: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre
datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;(…);

7) «responsable del tratamiento» o «responsable»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los
fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros
determina los fines y medios del tratamiento, el responsable del tratamiento o los
criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión
o de los Estados miembros (…);”.

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales por parte de ORANGE,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/54

dado que es quien determina los fines y medios de tal actividad, en virtud del artículo
4.7 del RGPD.
III Contestación a las alegaciones al acuerdo de inicio

En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:

Primera. – DE LA EXISTENCIA DE PREJUDICIALIDAD PENAL.

ORANGE manifiesta que estos hechos están siendo actualmente objeto de una
investigación penal, y por lo tanto considera que, por ello, en aplicación del principio de
prejudicialidad penal recogido en el artículo 10 de la Ley Orgánica del Poder Judicial,
no debe resolverse el asunto en vía administrativa en tanto en cuanto no se resuelva
por la vía penal. Ello, manifiesta, dado que los hechos declarados probados vincularán
a la Agencia respecto a un posible procedimiento sancionador, conforme a lo previsto
en el artículo 77.4 de la Ley 39/2015.

Debe tenerse en cuenta que el art. 77.4 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP): “En
los procedimientos de carácter sancionador, los hechos declarados probados por
resoluciones judiciales penales firmes vincularán a las Administraciones Públicas
respecto de los procedimientos sancionadores que substancien”. Sin embargo, hay
que indicar, que no existe la triple identidad necesaria para aplicar el artículo 77 de la
LPACAP (de sujeto, hecho y fundamento), entre la infracción administrativa que se
valora y la posible infracción o infracciones penales que se pudieran derivar de las
presuntas Diligencias Previas practicadas por un órgano jurisdiccional. Esto, porque el
sujeto infractor es obvio que no sería el mismo –respecto a las infracciones de la
LOPDGDD el responsable es ORANGE, en tanto que el responsable penal de un
eventual delito de usurpación de personalidad o estafa sería el tercero que se hubiera
hecho pasar por el reclamante. Tampoco el fundamento jurídico sería el mismo:
mientras el bien jurídico protegido por la LOPDGDD es el derecho fundamental a la
protección de datos personales, el bien jurídico que se protege en los tipos penales
cuya comisión investigaría, llegado el caso, el Juzgado de Instrucción sería otro (el
patrimonio).

En este sentido es muy esclarecedora la SAN 27/04/2012 (rec. 78/2010), en cuyo
Fundamento Jurídico segundo el Tribunal se pronuncia en los siguiente términos frente
al alegato de la recurrente de que la AEPD ha infringido el artículo 7 del R.D.
1398/1993 (norma que estuvo vigente hasta la entrada en vigor de la LPACAP): “En
este sentido el Art. 7 del Real Decreto 1398/1993, de 4 de agosto, del procedimiento
para el ejercicio de la potestad sancionadora, únicamente prevé la suspensión del
procedimiento administrativo cuando se verifique la existencia efectiva y real de un
procedimiento penal, si se estima que concurre identidad de sujeto, hecho y
fundamento de derecho entre la infracción administrativa y la infracción penal que
pudiera corresponder.

No obstante, y para la concurrencia de una prejudicialidad penal, se requiere que ésta
condicione directamente la decisión que haya de tomarse o que sea imprescindible
para resolver, presupuestos que no concurren en el caso examinado, en el que existe
una separación entre los hechos por los que se sanciona en la resolución ahora
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/54

recurrida y los que la recurrente invoca como posibles ilícitos penales. Así, y aun de
haberse iniciado, en el presente supuesto, y por los hechos ahora controvertidos,
también actuaciones penales frente a la empresa distribuidora, lo cierto es que tanto la
conducta sancionadora como el bien jurídico protegido son distintos en una y otra vía
(contencioso-administrativa y penal). En el ámbito penal, el bien jurídico protegido es
una posible falsedad documental y estafa, y en el ámbito administrativo, en cambio, la
facultad de disposición de sus datos personales por parte de su titular, por lo que tal
objeción de la demandada ha de ser rechazada”.

En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte
reclamada y debe ser rechazada.

Segunda. – SOBRE EL SUPUESTO DE HECHO.

En cuanto a que la emisión de duplicado no es suficiente para realizar operaciones
bancarias en nombre de los titulares, ciertamente, para completar la estafa, es
necesario que un tercero “suplante la identidad” del titular de los datos ante la entidad
financiera. Lo que conlleva a priori, un tratamiento al margen del principio de licitud
pues un tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna,
además de la vulneración de otros principios como el de confidencialidad.

Por dicha razón, este es un proceso en donde la diligencia prestada por las
operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD.
Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar
que el tratamiento de datos sea conforme al RGPD.

Idénticas consideraciones merece la actuación de las entidades bancarias que
proporcionan servicios de pago, en cuyo ámbito se inicia este tipo de estafas, ya que
el tercero tiene acceso a las credenciales del usuario afectado y se hace pasar por
este.

En tanto que estas entidades son responsables del tratamiento de los datos de sus
clientes, les competen idénticas obligaciones que las señaladas hasta ahora para las
operadoras referidas al cumplimiento del RGPD y la LOPDGDD, y además las
derivadas del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y
otras medidas urgentes en materia financiera.

Dentro del proceso de emisión de eSIM no se necesita una tarjeta física, sino que para
la activación de la misma se requiere que el solicitante escanee un código QR que se
remite vía electrónica (SMS o correo electrónico).

En el presente caso, resulta acreditado que ORANGE facilitó un duplicado de la tarjeta
eSIM de la parte reclamante a un tercero, sin su consentimiento, el cual, accedió a la
información contenida en el teléfono móvil, tales como datos bancarios, contraseñas,
dirección de correo electrónico y otros datos personales asociados al terminal. Así
pues, la reclamada, no tomó las cautelas necesarias para que estos hechos no se
produjeran.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/54

Pues bien, resulta acreditado que un tercero accedió al área privada web de Cliente
del Reclamante, y procedió al cambio de su dirección de correo electrónico e iniciando
posteriormente una conversación con el Canal digital asistido y solicitando a través de
este medio el duplicado de eSIM.

De los Hechos Probados, se deduce que ORANGE ha facilitado duplicado de tarjeta
eSIM a un tercero distinto del legítimo titular de la línea móvil, tras la superación por
tercera persona de la política de seguridad existente, lo que evidencia un
incumplimiento del deber de proteger la información de los clientes.

TERCERA. – DEL ROL DE VÍCTIMA DE ORANGE

La defensa procede a indicar que la solicitud de una tarjeta eSIM a través de llamada
telefónica pasando una política de seguridad y siendo necesarias para su activación el
conocimiento ya no únicamente de los datos personales del solicitante, sino, también,
las credenciales de acceso al área privada de cliente personal e intransferible del
mismo, lo que evidencia una sofisticación en las técnicas de los suplantadores de
identidad.

Que Orange disponía de medidas que demostraron ser válidas, adecuadas y
suficientes ante intentos prácticamente idénticos de suplantación de identidad con la
finalidad de obtener un duplicado de tarjeta SIM, tal y como se evidencia en la
descripción de los hechos, donde se consiguieron paralizar hasta tres solicitudes de
duplicado. Es por todo reiterar la importancia de situar correctamente a ORANGE en
su posición de víctima de un ataque criminal instrumentado a través de su compañía.

Negar la concurrencia de una actuación negligente por parte de ORANGE equivaldría
a reconocer que su conducta -por acción u omisión- ha sido diligente. Obviamente, no
compartimos esta perspectiva de los hechos, puesto que ha quedado acreditada la
falta de diligencia debida. Resulta muy ilustrativa la SAN de 17 de octubre de 2007
(rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado
en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal de
cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la
valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad
o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la
actividad de la reclamante es de constante y abundante manejo de datos de carácter
personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las
prevenciones legales al respecto".

Así en este sentido la SAN de 19 de septiembre de 2023 (rec. 403/2021), indica que
“… contrató la póliza de seguro con un tercero sin control ni supervisión suficiente en
cuanto no fue capaz de detectar que realmente, la persona que estaba manifestando
su voluntad de contratar, no era quien decía ser. De haberse tomado las necesarias
precauciones, a fin de asegurar la identidad la persona contratante (para lo que
hubiera sido bastante atender a la incorrecta contestación a las preguntas de
identificación y verificación del cliente) en definitiva al no haberse actuado con la
necesaria diligencia, se trataron los datos del denunciante sin contar con su
consentimiento”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/54

Resulta acreditado en el expediente que no se ha garantizado una seguridad
adecuada en el tratamiento de los datos personales, habida cuenta del resultado que
ha producido la suplantación de identidad. Es decir, un tercero ha conseguido acceder
a los datos personales del titular de la línea sin que las medidas de seguridad que
afirma ORANGE que existen, hayan podido impedirlo. Así pues, estamos ante la
concurrencia de una conducta típica, antijuridica y culpable.

CUARTA. - SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA.

La parte reclamada señala que el Acuerdo de Inicio de la Agencia se basa
exclusivamente en un (escueto) análisis del resultado, considerando que la emisión de
un duplicado de tarjeta SIM derivado de un error puntual manual de un Agente
conlleva la automática consideración de que no se adoptaron medidas adecuadas y,
por tanto, a juicio de la AEPD, surgiendo automáticamente la responsabilidad directa
por parte de ORANGE.

En cuanto a la conducta de ORANGE se considera que responde al título de culpa.
Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada
o dedicada específicamente a la gestión de los datos de carácter personal de los
clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir,
desde la óptica de la culpabilidad, estamos ante un error vencible, ya que con la
aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones
de identidad se hubieran podido evitar.

Es el considerando 74 del RGPD el que dice: Debe quedar establecida la
responsabilidad del responsable del tratamiento por cualquier tratamiento de datos
personales realizado por él mismo o por su cuenta. En particular, el responsable debe
estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la
conformidad de las actividades de tratamiento con el presente Reglamento, incluida la
eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el
ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y
libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección
de los derechos y libertades de los interesados, así como la responsabilidad de los
responsables y encargados del tratamiento, también en lo que respecta a la
supervisión por parte de las autoridades de control y a las medidas adoptadas por
ellas, requieren una atribución clara de las responsabilidades en virtud del presente
Reglamento, incluidos los casos en los que un responsable determine los fines y
medios del tratamiento de forma conjunta con otros responsables, o en los que el
tratamiento se lleve a cabo por cuenta de un responsable.

Se ha de recordar en este sentido la STS núm. 188/2022, de 15 de febrero (rec.
7359/2020), dispone en su fundamento de derecho cuarto “El hecho de que fuese la
actuación negligente de una empleada no le exime de su responsabilidad en cuanto
encargado de la correcta utilización de las medidas de seguridad que deberían haber
garantizado la adecuada utilización del sistema de registro de datos diseñado. Como
ya sostuvimos en la STS nº 196/2020, de 15 de febrero de 2021 (rec. 1916/2020) el
encargado del tratamiento responde también por la actuación de sus empleados y no
puede excusarse en su actuación diligente, separadamente de la actuación de sus
empleados, sino que es la actuación "culpable" de éstos, consecuencia de la violación
de las medidas de seguridad existentes la que fundamenta la responsabilidad de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/54

empresa en el ámbito sancionador por actos "propios" de sus empleados o cargos, no
de terceros”.

El sistema informático y las tecnologías intervinientes deberán ser las adecuadas para
evitar la suplantación de identidad y estar correctamente configurados.

No comparte esta Agencia las afirmaciones de ORANGE en cuanto a las
circunstancias que han quedado acreditadas.

En cuanto a la diligencia debida, se reconoce que ORANGE ha actuado
diligentemente a la hora de minimizar el impacto a los posibles afectados implantando
nuevas medidas de seguridad para evitar la repetición de incidentes similares en un
futuro.

Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP,
dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin
personalidad jurídica y los patrimonios independientes o autónomos, que resulten
responsables de los mismos a título de dolo o culpa.”

No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se
corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables
a la conducta humana. De modo que, en el caso de infracciones cometidas por
personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se
aplica necesariamente de forma distinta a como se hace respecto de las personas
físicas.

Según la STC 246/1991"(...) esta construcción distinta de la imputabilidad de la autoría
de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a
la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto,
pero no la capacidad de infringir las normas a las que están sometidos.

Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien
jurídico protegido por la norma que se infringe y la necesidad de que dicha protección
sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona
jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24
de noviembre de 2011, Rec. 258/2009).

A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec. 5285/2005, y de 23
de octubre de 2010, Rec. 1067/2006, que "aunque la culpabilidad de la conducta debe
también ser objeto de prueba, debe considerarse en orden a la asunción de la
correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos
necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su
exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente
normativa, que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia; no basta, en suma, para la exculpación frente a un comportamiento
típicamente antijurídico la invocación de la ausencia de culpa".

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/54

Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última
sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la
existencia del tratamiento y su finalidad. Recordemos que, con carácter general las
operadoras tratan los datos de sus clientes al amparo de lo previsto en el artículo
6.1.b) del RGPD, por considerarse un tratamiento necesario para la ejecución de un
contrato en el que el interesado es parte.

QUINTA. – DE LA CORRECTA IMPLEMENTACIÓN DE MEDIDAS DE SEGURIDAD.

Sobre las medidas de seguridad, ORANGE se reitera en las manifestaciones
anteriores.

El sistema informático y las tecnologías intervinientes deberán ser las adecuadas para
evitar la suplantación de identidad y estar correctamente configurados.

Es cierto que existen protocolos para prevenir las suplantaciones de identidad en estos
procesos; que se han trasladado a los implicados en la tramitación; que se han
introducido mejoras tras conocer ciertas vulnerabilidades; que existen penalizaciones
por su incumplimiento. Sin embargo, no compartimos el hecho de que esos protocolos
o procedimientos internos puedan considerarse como adecuados en tanto que son
susceptibles de mejora. Hay que reforzar los mecanismos de identificación y
autenticación con medidas técnicas y organizativas que resulten especialmente
apropiadas para evitar suplantaciones.

Por otra parte, para completar la estafa, es necesario que un tercero “suplante la
identidad” del titular de los datos, para recibir el duplicado de la tarjeta eSIM. Lo que
conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está
tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la
vulneración de otros principios como el de confidencialidad.

Por dicha razón, este es un proceso en donde la diligencia prestada por las
operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD.
Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar
que se implantan y mantienen medidas de seguridad apropiadas para proteger
eficazmente la confidencialidad, integridad y disponibilidad de todos los datos
personales de los cuales son responsables, o de aquellos que tengan por encargo de
otro responsable.

El TC señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un
derecho fundamental a la protección de datos por el que se garantiza a la persona el
control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para
evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los
afectados; de esta forma, el derecho a la protección de datos se configura como una
facultad del ciudadano para oponerse a que determinados datos personales sean
usados para fines distintos a aquel que justificó su obtención.

Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un
derecho autónomo e independiente que consiste en un poder de disposición y de
control sobre los datos personales que faculta a la persona para decidir cuáles de esos
datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/54

tercero recabar, y que también permite al individuo saber quién posee esos datos
personales y para qué, pudiendo oponerse a esa posesión o uso.

SEXTA. – SOBRE LA FALTA DE DILIGENCIA DEL RECLAMANTE Y LA
RESPONSABILIDAD DE ORANGE.

ORANGE alega la ausencia de diligencia desplegada por parte del Reclamante y
alega que en el presente caso: 1. Se ha acreditado que los sistemas de ORANGE
funcionaron de forma efectiva, paralizando distintos intentos de duplicados de tarjeta
SIM por parte de los supuestos suplantadores. 2. Las transacciones bancarias
realizadas se han podido evidenciar, a partir de la información proporcionada por las
mismas entidades financieras, que no se corresponden con el tiempo en que la tarjeta
eSIM pudo estar en manos de terceros. Dado que, la mayor parte de las cantidades
sustraídas al Reclamante fueron fruto de transferencias realizadas con carácter previo
a la emisión del duplicado irregular de tarjeta SIM.

En el presente caso, resulta acreditado que Orange facilitó un duplicado de la tarjeta
eSIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la
identidad de dicho tercero, el cual, ha accedido a información contenida en el teléfono
móvil, tales como datos bancarios, contraseñas, dirección de correo electrónico y otros
datos personales asociados al terminal. Así pues, la reclamada, no verificó la
personalidad del que solicitó el duplicado de la tarjeta eSIM, no tomó las cautelas
necesarias para que estos hechos no se produjeran.

En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la
diligencia empleada por parte de la reclamada para identificar a la persona que solicitó
un duplicado de la tarjeta eSIM.

Pues bien, resulta acreditado tal como reconoce la parte reclamada en su escrito de
contestación a esta Agencia, y en las alegaciones presentadas:<<(…)>>.

En definitiva, la rigurosidad de la operadora a la hora de vigilar quién es el titular de la
tarjeta eSIM o persona por éste autorizada que peticiona el duplicado, debería
responder a unos requisitos estrictos. No se trata de que la información a la que se
refiere no esté contenida en la tarjeta eSIM, sino de que, si en el proceso de
expedición de un duplicado de tarjeta eSIM no se verifica adecuadamente la identidad
del solicitante, la operadora estaría facilitando la suplantación de identidad.

En cuanto a que los terceros no han conseguido obtener datos personales de
ORANGE, por lo que no puede hablarse de incumplimiento de medidas de protección,
señalar que el acceso al duplicado de una tarjeta eSIM que hace identificable a su
titular, responde a la definición de dato personal del artículo 4.1) del RGPD.

SÉPTIMA. - SOBRE LA FALTA DE PROPORCIONALIDAD DE LA SANCIÓN
PROPUESTA.

La parte reclamada discrepa de los factores considerados para determinar la gravedad
de la infracción y las agravantes aplicadas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/54

Sin embargo, las alegaciones formuladas por la parte reclamada no resultan
suficientes para desvirtuar los argumentos planteados, por lo que deben ser
desestimadas.

En cuanto a la sanción, la parte reclamada señala que ésta es desproporcionada en
relación con los hechos, atendiendo a las circunstancias y el contenido de la supuesta
infracción.

En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé
expresamente la posibilidad de graduación, mediante la previsión de multas
susceptibles de modulación, en atención a una serie de circunstancias de cada caso
individual.

Manifiesta Orange que no pueden ser tenidas en cuenta en calidad de agravantes las
circunstancias que recoge el art. 83.2 del RGPD, en sus letras a) y b). Pues bien,
estas circunstancias se tienen en cuenta como elementos determinantes del nivel de
gravedad de la infracción, es decir se toman en consideración para evaluar la
gravedad de la infracción a efectos de determinar el importe de la multa, pero no como
circunstancias agravantes.

Ahora bien, en este caso no se aprecia que las medidas implantadas por Orange para
evitar y detectar la emisión fraudulenta de una copia de la tarjeta SIM carezcan de una
absoluta falta de diligencia, pues permitieron a Orange impedir distintos intentos de
fraude y cuando el suplantador consiguió superar la política de seguridad, las medidas
detectivas aplicadas alertaron del posible fraude y la entidad contactó con la pareja del
reclamante, lo que merece ser considerado para evaluar la gravedad de la infracción y
fijar el importe de la sanción.

Por tanto, se estiman las alegaciones de ORANGE en este sentido.

Asimismo, señala que según lo establecido en el artículo 83.2 del RGPD y el artículo
76.2 de la LOPDGDD, concurren en el presente las siguientes circunstancias
atenuantes que no han sido consideradas en la adecuada graduación de la sanción:

- Procedió la parte reclamada a bloquear la línea en cuanto tuvo conocimiento
de los hechos (art. 83.2.c) del RGPD);

- En ningún momento se han tratado categorías especiales de datos (Art. 83.2.g)
del RGPD).

- El grado de cooperación de ORANGE con la AEPD (Art. 83.2.f) del RGPD) con
el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos
adversos: ha quedado acreditado que se ha contestado en tiempo y forma a
todos los requerimientos de información solicitados por esta Agencia.

- La adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42 (artículo 83.2.j) del RGPD).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/54

- El inexistente beneficio obtenido por parte de ORANGE como resultado al
tratamiento de datos que ocupa este procedimiento. En todo caso, ORANGE
se ha visto perjudicada (Art. 83.2.k) del RGPD).

Por todo lo anterior, solicita el archivo del procedimiento, o un apercibimiento y en
última instancia, se modere o module la sanción.

No se admite ninguna de las atenuantes invocadas.

La admisión de que opere como una atenuante que la parte reclamada ha bloqueado
la línea en cuanto tuvo conocimiento de los hechos (artículo 83.2.c) del RGPD), anula
en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis
de ORANGE en un supuesto como el que nos ocupa supondría introducir una rebaja
artificial en la sanción que verdaderamente procede imponerse; la que resulta de
considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas.

Por la entidad ORANGE, respecto del artículo 83.2.g) del RGPD se refiere “En ningún
momento se han tratado categorías especiales de datos”.

Los datos tratados por ORANGE son datos de naturaleza sensible, para identificar a
sus clientes en las gestiones que realizan para la obtención del duplicado e-SIM son el
nombre, apellidos y DNI, son datos personales asociada a una línea de telefonía titular
de un usuario, que se obtiene con la finalidad de suplantar su personalidad que se
trata de un dato personal cuyo acceso no autorizado es particular grave. Ello, sin
perjuicio, de que para la expedición del duplicado e-SIM se han tratado datos de
carácter personal tales como el nombre y apellidos y DNI del titular.

El artículo 83.2.f) del RGPD se refiere al “grado de cooperación con la autoridad de
control con el fin de poner remedio a la infracción y mitigar los posibles efectos
adversos de la infracción”.

La respuesta de la reclamada al requerimiento informativo de la Subdirección de
Inspección no cumplía esas finalidades, por lo que no es encuadrable en esa
circunstancia atenuante.

Sobre la aplicación del artículo 76.2.c) de la LOPDGDD, en conexión con el artículo
83.2.k), inexistencia de beneficios obtenidos, cabe señalar que tal circunstancia solo
puede operar como agravante y en ningún caso como circunstancia atenuante.

El artículo 83.2.k) del RGPD se refiere a “cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las
pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo
76.2.c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.k) del
Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..] c) Los beneficios
obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones
mencionan como factor que puede tenerse en cuenta en la graduación de la sanción
los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que ORANGE
alega.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/54

Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa
está presidida por los siguientes principios: deberán estar individualizadas para cada
caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere
como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1
del RGPD y a los principios por los que se rige la determinación del importe de la
sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como
atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que
se cumple a través de la sanción. Aceptar la tesis de ORANGE en un supuesto como
el que nos ocupa supondría introducir una rebaja artificial en la sanción que
verdaderamente procede imponerse; la que resulta de considerar las circunstancias
del artículo 83.2 RGPD que sí deben de ser valoradas.

La Sala de lo Contencioso Administrativo de la AN ha advertido que, el hecho de que
en un supuesto concreto no estén presentes todos los elementos que integran una
circunstancia modificativa de la responsabilidad que, por su naturaleza, tiene carácter
agravante, no puede llevar a concluir que tal circunstancia es aplicable en calidad de
atenuante. El pronunciamiento que hace la AN en su Sentencia de 5 de mayo de 2021
(Rec. 1437/2020) -por más que esa resolución verse sobre la circunstancia del
apartado e) del artículo 83.2. del RGPD, la comisión de infracciones anteriores- es
extrapolable a la cuestión planteada, la pretensión de la reclamada de que se acepte
como atenuante la “ausencia” de beneficios siendo así que tanto el RGPD como la
LOPDGDD se refieren solo a “los beneficios obtenidos”.

Así, resulta que la multa propuesta en este caso (230.000 euros) se sitúa en un rango
muy inferior respecto del intervalo de sanción que cabría imponer que, se establece
entre 0,00 euros y 172.479.960 euros, para una empresa cuyo volumen de negocio
ascendió en el año 2023 a 4.311.999.000 euros.

IV Contestación a las alegaciones presentadas a la Propuesta de Resolución

A continuación, se procede a dar respuesta a las alegaciones presentadas por TME,
que son, en líneas generales, una reiteración de las presentadas al acuerdo de inicio y
contestadas en la propuesta de resolución, según consta reproducido en el
Fundamento de Derecho anterior.

PREVIA.- REITERACIÓN DE LAS ALEGACIONES PREVIAMENTE PRESENTADAS

La parte reclamada da por reproducidas íntegramente las alegaciones y
argumentaciones jurídicas presentadas en sus anteriores escritos.

En relación con las anteriores alegaciones planteadas por Telefónica, es importante
resaltar que las mismas ya fueron contestadas en el Fundamento de Derecho anterior.

PRIMERA.- DE LA EXISTENCIA DE UN PROCEDIMIENTO PENAL EN CURSO

Con respecto a la cuestión de prejudicialidad penal, ORANGE entiende que debería
procederse con la suspensión del presente procedimiento sancionador hasta que los
tribunales de justicia del orden penal se pronuncien al respecto.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/54

A este respecto, sirve lo expuesto en el Fundamento de Derecho anterior, de
respuesta a las alegaciones a la apertura, en el que se advertía que en este caso no
se da la triple identidad exigida para poder acordar la suspensión del procedimiento
administrativo por su vinculación con las actuaciones seguidas en el orden
jurisdiccional penal:

- El sujeto infractor es obvio que no sería el mismo –respecto a las infracciones del
RGPD el responsable es ORANGE, en tanto que el responsable penal de un eventual
delito de usurpación de personalidad o estafa sería el tercero que se hubiera hecho
pasar por el reclamante.

- Tampoco el fundamento jurídico sería el mismo: mientras el bien jurídico protegido
por la LOPDGDD es el derecho fundamental a la protección de datos personales, el
bien jurídico que se protege en los tipos penales cuya comisión investigaría, llegado el
caso, el Juzgado de Instrucción serían el estado civil, el patrimonio, etc.

En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de
27/04/2012 (rec. 78/2010), ya citada en el citado Fundamento de Derecho III.

En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte
reclamada y debe ser rechazada.

SEGUNDA.- SOBRE EL SUPUESTO DE HECHO

En su segunda alegación, la parte reclamada reproduce nuevamente las alegaciones y
argumentaciones jurídicas presentadas en sus anteriores escritos.

Esta Agencia, se reitera al respecto en lo ya dicho en la propuesta de resolución y
reproducido en el fundamento de derecho anterior.

TERCERA.- DEL ROL DE VÍCTIMA DE ORANGE

En su tercera alegación, la parte reclamada reproduce nuevamente las alegaciones y
argumentaciones jurídicas presentadas en sus anteriores escritos.

Esta Agencia, se reitera al respecto en lo ya dicho en la propuesta de resolución y
reproducido en el fundamento de derecho anterior.

CUARTA.- SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA

La parte reclamada señala que el Acuerdo de Inicio de la Agencia se basa
exclusivamente en un (escueto) análisis del resultado, considerando que la emisión de
un duplicado de tarjeta SIM derivado de un error puntual manual de un Agente
conlleva la automática consideración de que no se adoptaron medidas adecuadas y,
por tanto, a juicio de la AEPD, surgiendo automáticamente la responsabilidad directa
por parte de ORANGE.

En cuanto a la conducta de ORANGE se considera que responde al título de culpa.
Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/54

o dedicada específicamente a la gestión de los datos de carácter personal de los
clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir,
desde la óptica de la culpabilidad, estamos ante un error vencible, ya que con la
aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones
de identidad se hubieran podido evitar.

Es el considerando 74 del RGPD el que dice: Debe quedar establecida la
responsabilidad del responsable del tratamiento por cualquier tratamiento de datos
personales realizado por él mismo o por su cuenta. En particular, el responsable debe
estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la
conformidad de las actividades de tratamiento con el presente Reglamento, incluida la
eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el
ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y
libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección
de los derechos y libertades de los interesados, así como la responsabilidad de los
responsables y encargados del tratamiento, también en lo que respecta a la
supervisión por parte de las autoridades de control y a las medidas adoptadas por
ellas, requieren una atribución clara de las responsabilidades en virtud del presente
Reglamento, incluidos los casos en los que un responsable determine los fines y
medios del tratamiento de forma conjunta con otros responsables, o en los que el
tratamiento se lleve a cabo por cuenta de un responsable.

Se ha de recordar en este sentido la STS núm. 188/2022, de 15 de febrero (rec.
7359/2020), dispone en su fundamento de derecho cuarto “El hecho de que fuese la
actuación negligente de una empleada no le exime de su responsabilidad en cuanto
encargado de la correcta utilización de las medidas de seguridad que deberían haber
garantizado la adecuada utilización del sistema de registro de datos diseñado. Como
ya sostuvimos en la STS nº 196/2020, de 15 de febrero de 2021 (rec. 1916/2020) el
encargado del tratamiento responde también por la actuación de sus empleados y no
puede excusarse en su actuación diligente, separadamente de la actuación de sus
empleados, sino que es la actuación "culpable" de éstos, consecuencia de la violación
de las medidas de seguridad existentes la que fundamenta la responsabilidad de la
empresa en el ámbito sancionador por actos "propios" de sus empleados o cargos, no
de terceros”.

El sistema informático y las tecnologías intervinientes deberán ser las adecuadas para
evitar la suplantación de identidad y estar correctamente configurados.

No comparte esta Agencia las afirmaciones de ORANGE en cuanto a las
circunstancias que han quedado acreditadas.

En cuanto a la diligencia debida, se reconoce que ORANGE ha actuado
diligentemente a la hora de minimizar el impacto a los posibles afectados implantando
nuevas medidas de seguridad para evitar la repetición de incidentes similares en un
futuro.

Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP,
dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/54

personalidad jurídica y los patrimonios independientes o autónomos, que resulten
responsables de los mismos a título de dolo o culpa.”

No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se
corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables
a la conducta humana. De modo que, en el caso de infracciones cometidas por
personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se
aplica necesariamente de forma distinta a como se hace respecto de las personas
físicas.

Según la STC 246/1991"(...) esta construcción distinta de la imputabilidad de la autoría
de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a
la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto,
pero no la capacidad de infringir las normas a las que están sometidos.

Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien
jurídico protegido por la norma que se infringe y la necesidad de que dicha protección
sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona
jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24
de noviembre de 2011, Rec. 258/2009).

A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec. 5285/2005, y de 23
de octubre de 2010, Rec. 1067/2006, que "aunque la culpabilidad de la conducta debe
también ser objeto de prueba, debe considerarse en orden a la asunción de la
correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos
necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su
exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente
normativa, que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia; no basta, en suma, para la exculpación frente a un comportamiento
típicamente antijurídico la invocación de la ausencia de culpa".

Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última
sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la
existencia del tratamiento y su finalidad. Recordemos que, con carácter general las
operadoras tratan los datos de sus clientes al amparo de lo previsto en el artículo
6.1.b) del RGPD, por considerarse un tratamiento necesario para la ejecución de un
contrato en el que el interesado es parte.

QUINTA.- DE LA CORRECTA IMPLEMENTACIÓN DE LAS MEDIDAS DE
SEGURIDAD
5.1.- De la correcta implementación de la Política de Seguridad de ORANGE
5.2.- De la posición de las entidades bancarias en el procedimiento y de la carencia de
medidas de seguridad establecidas por los mismos
5.3.- Medidas de seguridad adicionales implementadas por ORANGE
I. Medidas implementadas por ORANGE prevenir la comisión de fraudes
derivados de la suplantación de identidad de su cliente.
II. Medidas implementadas por ORANGE para prevenir la comisión de fraudes
derivados de la suplantación de identidad.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/54

SEXTA.- SOBRE LA FALTA DE DILIGENCIA DEL RECLAMANTE Y LA
RESPONSABILIDAD DE ORANGE

En relación con las anteriores alegaciones planteadas por ORANGE, es importante
resaltar que las mismas ya fueron contestadas en el Fundamento de Derecho anterior.

Después de cuestionar algunos de los hechos y conclusiones valoradas en la
propuesta de resolución, como el no cumplimiento de sus propios protocolos de
seguridad.

De las actuaciones previas de investigación se desprende una presunta expedición de
un duplicado de tarjeta a una persona distinta de su titular, habiéndose producido tres
intentos fallidos en fechas 4,10 y 13 de febrero de febrero de 2023 y un rechazo
también de la solicitud realizada en un punto de venta de Jaztell; no obstante lo
anterior, como se ha indicado, se termina consiguiendo que prospere dicha solicitud
vía telefónica de duplicado eSIM por un tercero superando la política de seguridad a
través del servicio de atención al cliente de Jazztel, haciéndose pasar por la parte
reclamante, resultando que el agente de Jazztel activó el duplicado eSIM, superando
las medidas de identificación y la Política de Seguridad por medio de preguntas
confidenciales. Sin embargo, el agente que facilitó la tarjeta no detectó inicialmente el
aviso en los sistemas de Jazztell sobre los intentos previos de obtener el duplicado, tal
como reconoce Orange en su escrito de contestación a esta Agencia incluido el día 10
de febrero de 2023 por el Departamento de Fraude.

Pues bien, el resultado fue que el agente no detectó el aviso en el sistema y por lo
tanto deviene insuficiente para evitar la posibilidad de obtener un duplicado después
de haber identificado varios intentos fraudulentos.

Señala que la Agencia no ha podido ni puede acreditar que ORANGE no haya sido
diligente en el presente caso.

Para ello, hace referencia ORANGE, para su descargo, al conjunto de medidas de
seguridad que ha adoptado, las cuales son las mínimas exigibles a cualquier
organización con las características y en el contexto en el que actúa una operadora de
telecomunicaciones.

En definitiva, la parte reclamada no puede exonerar su responsabilidad apelando
simplemente a la existencia de medidas mínimas y al engaño al que se ven sometidas
las empresas y sus comerciales por parte de los suplantadores.

Por otra parte, no se entiende que ORANGE cuestione hechos que han quedado
suficientemente probados, incluso reconocidos por la propia entidad. Hechos con
virtualidad suficiente para desvirtuar la presunción de inocencia.

Las actuaciones han acreditado tanto el tratamiento de datos realizado ilícitamente
como la responsabilidad de ORANGE en su realización.

Cabe reiterar lo señalado en la SAN de 29 de octubre de 2024, rec. 1824/2021, antes
citada, en la que se declara que “…se ha de subrayar, en relación con las medidas
técnicas y organizativas, que no estamos ante un requisito meramente formal, sino
material. En este sentido, y en línea con lo expuesto más arriba, como señala la STS
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/54

de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y
organizativos necesarios también es necesaria su correcta implantación y su
utilización de forma apropiada, de modo que también responderá por la falta de la
diligencia en su utilización, entendida como una diligencia razonable atendiendo a las
circunstancias del caso", lo que no implica que se exija una obligación de resultado”.

Sobre estas cuestiones no cabe sino remitirnos a lo argumentado en el fundamento de
derecho anterior, de respuesta a las alegaciones a la apertura del procedimiento,
similares a las expuestas anteriormente.

Por otra parte, indicar que en modo alguno puede considerarse que el error que alega
haber cometido excluya su responsabilidad, puesto que, según reiterada
jurisprudencia, no puede estimarse la existencia de tal error cuando éste es imputable
a quien lo padece o pudo ser evitado con el empleo de una mayor diligencia.

SÉPTIMA.- SOBRE LA FALTA DE PROPORCIONALIDAD DE LA SANCIÓN
PROPUESTA

A este respecto ORANGE, señala:

En este sentido, cabe destacar los siguientes puntos que conforme a la interpretación
de la Agencia son calificados de agravantes, sin que concurran las circunstancias para
su consideración en relación con los hechos analizados:

• La naturaleza y gravedad de la infracción (Artículo 83.2 a) del RGPD). A la hora de
imponer el presente agravante, se tiene en consideración, a tenor de lo dispuesto en
el en la Propuesta de Resolución, el hecho de que las medidas implantadas no eran
supuestamente las idóneas para garantizar un nivel de seguridad adecuado al riesgo.

La infracción que se materializó fue puntual, contenida y no prolongada, además de
gestionarse con una diligencia y una celeridad destacables. El hecho de que se hayan
frustrado varios intentos de suplantación demuestra que las medidas y políticas de
seguridad implantadas sí que eran suficientes para hacer frente a tentativas de fraude.

• Intencionalidad o negligencia en la infracción. Respecto al agravante relativo a la
intencionalidad o negligencia, debe destacarse que la infracción no responde a una
falta de diligencia estructural, sino a una incidencia operativa puntual.

• La vinculación entre la actividad empresarial de la reclamada y el tratamiento de
datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con
el artículo 76.2.b, de la LOPDGDD).

Si bien es cierto que la actividad de ORANGE hace necesario el tratamiento de datos
personales de sus clientes, lo cierto es que este factor es ambiguo en su valoración
para incluirlo como agravante, ya que dicha vinculación no supone ni mucho menos
una relación directa con la supuesta infracción. El artículo 83.2 k) exige que dicho
agravante sea puesto en relación con el supuesto de hecho concreto.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/54

Sobre estas cuestiones, nuevamente, no cabe sino remitirnos a lo argumentado en el
fundamento de derecho anterior, siendo desestimadas al no resultar suficientes para
desvirtuar los argumentos planteados.

Asimismo, ORANGE se reitera en la alegación presentada frente al acuerdo de inicio
del presente procedimiento referente a la concurrencia de circunstancias atenuantes
que no han sido consideradas en la graduación de la sanción y a las que ya se dio
respuesta en la propuesta de resolución. Así, considera que:

• Procedió la parte reclamada a bloquear la línea en cuanto tuvo conocimiento de los
hechos, y advirtió de lo sucedido al Reclamante (Art. 83.2 c).

• En ningún momento se han tratado categorías especiales de datos (Art.83.2 g).

• El grado de cooperación de ORANGE con la AEPD con el fin de poner remedio a una
supuesta infracción y mitigar sus posibles efectos adversos: ha quedado acreditado
que se ha contestado en tiempo y forma a todos los requerimientos de información
solicitados por esta Agencia, en línea con la práctica habitual de esta mercantil de total
colaboración con la autoridad de protección de datos, así como la reversión de la
situación del Reclamante a su estado original (Art. 83.2 f).

• La adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42 (Art. 83.2 j). Adicionalmente a la
información que ya consta en el presente con relación a las medidas adoptadas por
ORANGE para mitigar los riesgos en los procesos de duplicados de tarjetas SIM, se
adjunta como Documento nº 3 el certificado emitido por AENOR, por el que acredita
que ORANGE tiene aprobado desde el 4 de septiembre de 2023 un Sistema de
Cumplimiento Normativo que cumple con todos los requisitos del artículo 31 bis del
Código Penal, así como el resto de los estándares de cumplimiento en materia de
prevención de delitos, como la Circular 1/2016, de 22 de enero, de la Fiscalía General
del Estado, destinado a la mitigación de cualquier riesgo de comisión de delitos en el
marco de la actuación de ORANGE.

• El inexistente beneficio obtenido por parte de ORANGE derivado del tratamiento de
datos que ocupa este procedimiento. En todo caso, ORANGE se ha visto perjudicada
(Art. 83.2 k). En este caso, como factor contextual para tener en cuenta, resulta
importante destacar la ausencia de beneficio económico por parte de ORANGE, pues
demuestra que la infracción no fue lucrativa y no generó ventaja competitiva; por el
contrario ha sido parte perjudicada como consecuencia directa de una acción delictiva
cometida por un tercero.

En cuanto a las circunstancias atenuantes invocadas por ORANGE de reiterarse que
ya han sido rechazadas en el Fundamento de Derecho anterior, al que cabe remitirse
nuevamente.

Solicita a la Agencia que se suspenda el presente procedimiento, subsidiariamente se
señale el archivo del procedimiento, o culmine el procedimiento mediante un
apercibimiento, y en última instancia, se module o modere la sanción recogida en la
propuesta de resolución.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

45/54

V Obligación incumplida: Vulneración artículo 32 RGPD

Se imputa a la parte reclamada la comisión de una infracción por vulneración del
artículo 32 del RGPD, “seguridad del tratamiento”, que establece:

“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.

El Considerando 74 del RGPD establece:

“Debe quedar establecida la responsabilidad del responsable del tratamiento
por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta.
En particular, el responsable debe estar obligado a aplicar medidas oportunas y
eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con
el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben
tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así
como el riesgo para los derechos y libertades de las personas físicas.”

Hay que señalar que el RGPD en el citado precepto no establece un listado de las
medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto
de tratamiento, sino que establece que el responsable y el encargado del tratamiento
aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

46/54

el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la
naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad
y gravedad para los derechos y libertades de las personas interesadas.

Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al
riesgo detectado, señalando que la determinación de las medidas técnicas y
organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la
capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la
capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso
de verificación (que no auditoría), evaluación y valoración de la eficacia de las
medidas.

En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán
particularmente en cuenta los riesgos que presente el tratamiento de datos, como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios
físicos, materiales o inmateriales.

En este mismo sentido el considerando 83 del RGPD señala que:

“(83) A fin de mantener la seguridad y evitar que el tratamiento infrinja lo
dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar
los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el
cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la
confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación
con respecto a los riesgos y la naturaleza de los datos personales que deban
protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben
tener en cuenta los riesgos que se derivan del tratamiento de los datos personales,
como la destrucción, pérdida o alteración accidental o ilícita de datos personales
transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios
físicos, materiales o inmateriales”.

En el presente caso, tal y como consta de las actuaciones de investigación, se
desprende que se produjeron tres intentos fallidos en fechas 4, 10 y 13 de febrero de
2023 y un intento logrado el 13 de febrero de 2023 de duplicado eSIM de la parte
reclamante.

Así las cosas, el primer intento de duplicado eSIM se produjo el día 4 de febrero de
2023 a través de una solicitud telefónica al servicio de atención al cliente de Jazztel. El
resultado fue fallido del duplicado eSIM, el tercero suplantador superó la política de
seguridad al conocer los datos (…) del reclamante, pero no superó la validación al
faltar el token y tampoco superar las preguntas aleatorias confidenciales y quedando
pendiente de validación.

El segundo intento de duplicado se produjo el día 10 de febrero de 2023, catalogada
como fraudulenta por usarse un DNI con la foto manipulada. Aunque el usurpador
conocía los datos básicos y la entidad financiera del reclamante, Jazztel abrió

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

47/54

incidencia por fraude, inserta nota de aviso en sus sistemas, detecta la solicitud
pendiente de validación de 4 de febrero de 2023 y no la tramita.

El tercer intento se produjo el día 13 de febrero de 2023, en la cual se rechaza
asimismo la solicitud realizada en un punto de venta de Jazztel.

No obstante, en la misma fecha, 13 de febrero, a las 14:26h, se realizó una solicitud
telefónica de duplicado eSIM por un tercero, superando la política de seguridad (…)
con cambio de dirección electrónica a las 14:28h y envío de eSIM a 19:08h.

Posteriormente, Jazztel detectó el aviso de Fraude y bloqueo la eSIM y el número
llamante el día 14 de febrero de 2023 a 15:32h por robo/pérdida, insertando un aviso
en una lista interna para prevenir futuros casos horas después, con imagen del DNI
manipulado.

Sin embargo, el agente que facilitó la tarjeta no detectó inicialmente el aviso en los
sistemas de Jazztel incluido el del día 10 de febrero de 2023 por el Departamento de
Fraude, habiendo sido reprendido por ello. En consecuencia, se procedió a realizar un
refuerzo respecto a este tipo de avisos de lectura obligatoria para evitar que vuelva a
suceder; se llevó a cabo una formación y pautas de refuerzo general a los agentes de
primera línea para seguir los protocolos y las políticas de seguridad en las solicitudes
en forma presencial y no presencial.

Por lo tanto, tal como reconoce Orange en su escrito de contestación a esta Agencia
hay que destacar que Jazztel abrió una incidencia por fraude, e insertó una nota de
aviso en sus sistemas el día 10 de febrero de 2023, pero el agente de atención al
cliente de Jazztel no detectó la citada advertencia incluida en relación con el teléfono
del reclamante. En este sentido, puede observarse que un mero aviso en el sistema
deviene insuficiente para evitar la posibilidad de obtener un duplicado después de
haber identificado varios intentos fraudulentos. En tales casos, debería garantizarse de
forma efectiva la imposibilidad de obtenerlo, si es preciso incluso bloqueando la
posibilidad de emitir un duplicado.

Hay que tener en cuenta que esto no es una incidencia específica ocurrida respecto a
la parte reclamante, sino que es debilidad general de la política de seguridad de
Orange. Resulta necesario implantar medidas adicionales que vayan más allá del
control de la identidad del solicitante de la tarjeta SIM. Este tipo de tratamientos
requiere verificar adecuadamente la identidad del solicitante y para ello resulta
necesario establecer medidas que aseguren esa correcta identificación, lo que también
incluye la adopción de medidas que en situaciones de riesgo constado permitan
garantizar la seguridad de los datos, debiendo ser estas medidas efectivas y posibilitar
que el responsable del tratamiento esté en condiciones de hacerlas cumplir.

La emisión de duplicados E-SIM exige una mayor diligencia en materia de protección
de datos personales en base al principio de proactividad del artículo 24 del RGPD.
Este principio obliga a las organizaciones a actuar de forma que se anticipen y
mitiguen los riesgos para los datos personales que vayan a ser tratados. Dado que la
E-SIM contiene información sensible que identifica al titular, resulta crucial verificar la
identidad del receptor del código QR. La falta de verificación adecuada, como enviar el
código QR a un correo electrónico sin realizar comprobaciones adicionales, manifiesta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

48/54

una ausencia de la aplicación de dicho principio y pone en entredicho la seguridad de
los datos personales. En consecuencia, la emisión de duplicados E-SIM debería
incorporar medidas proactivas adicionales, con el fin de garantizar la identificación de
su titular y, de esta forma, proteger los derechos de los interesados.

El incumplimiento del artículo 32 del RGPD se evidencia asimismo en el hecho de que,
a pesar de los varios intentos previos de suplantación fallidos, se terminó emitiendo un
duplicado de la eSIM en perjuicio del reclamante. Este hecho manifestaría una
deficiencia en la implementación de las medidas de seguridad adoptadas e
implementadas por la parte reclamada

El artículo 32 dispone que el responsable del tratamiento debe adoptar medidas de
seguridad adecuadas al riesgo. Sin embargo, en este caso, el sistema permitió que,
tras múltiples intentos de fraude (los días 4, 10 y 13 de febrero de 2023), el tercero
lograra finalmente superar la política de seguridad el 13 de febrero. A pesar de que los
intentos iniciales fueron detectados y clasificados como fraudulentos y de que se
insertaron notas de aviso en el sistema, estas no resultaron suficientes para detener el
último intento exitoso, lo que sugiere una falta de efectividad en las medidas
adoptadas.

Tales hechos exponen una presunta vulnerabilidad en el sistema de seguridad, ya que
la parte reclamada no logró anticiparse adecuadamente ni reforzar sus mecanismos de
validación a pesar de los primeros intentos de suplantación. La emisión de un
duplicado de la eSIM a pesar de las alertas previas reflejaría o bien una ausencia de
controles efectivos o una falta de respuesta rápida y diligente tras los intentos fallidos.
Ello demostraría que las medidas de seguridad no son suficientemente adecuadas al
riesgo como los accesos no autorizados, comprometiendo de esta forma la protección
de los datos personales de sus usuarios.

En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la
medida de seguridad establecida por Orange para que estos hechos no ocurran,
siendo la misma insuficiente.

En ese sentido el Considerando 40 del RGPD señala:
“(40) Para que el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión
o de los Estados miembros a que se refiera el presente Reglamento, incluida la
necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la
necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de
tomar medidas a instancia del interesado con anterioridad a la conclusión de un
contrato.”

VI Tipificación de la infracción del artículo 32 del RGPD y calificación de la infracción a
efectos de prescripción

La infracción del artículo 32 se tipifica en el artículo 83.4 del RGPD, que considera
como tal:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

49/54

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10.000.000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a
39, 42 y 43; (…).”

La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 73 de
infracción grave, siendo en este caso el plazo de prescripción de dos años, “f) La falta
de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas
para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los
términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679”.

VII Sanción de multa. Determinación del importe

La determinación de la sanción que procede imponer en el presente caso exige
observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que,
respectivamente, disponen lo siguiente:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”

“2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

50/54

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado
“Sanciones y medidas correctivas”:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.
3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de
las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento
(UE) 2016/679.”

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción a
imponer en el presente caso por la infracción tipificada en el artículo 32.1 del RGPD,
tipificada en el artículo 83.4.a) del RGPD de la que se responsabiliza a la parte
reclamada, se estiman concurrentes los siguientes factores:
- La naturaleza y gravedad de la infracción; los hechos puestos de manifiesto
afectan a un elemento esencial del tratamiento de los datos de carácter
personal, como es el de la seguridad de los mismos; hay que considerar que
las medidas implantadas no eran las idóneas para garantizar un nivel de
seguridad adecuado al riesgo, lo que provocó la perdida de la confidencialidad,
integridad y disposición sobre los datos de carácter personal; medidas que no
eran apropiadas,; medidas que son claves a la hora de garantizar el derecho
fundamental a la protección de datos y cuya infracción la norma sanciona con
gravedad; a lo anterior habría que añadir tanto el nivel de los daños y perjuicios
sufridos, puesto que el quebrantamiento de las medidas implantadas posibilito
el acceso a los datos de carácter personal de un cliente de la entidad (artículo
83.2.a) del RGPD).

- La intencionalidad o negligencia en la infracción. Aunque no se puede
considerar que actuara con intencionalidad o dolo, se observa falta de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

51/54

diligencia en el cumplimiento de las obligaciones que le impone la normativa en
materia de protección de datos, como es el cumplimiento y puesta en práctica
de las medidas técnicas y organizativas apropiadas para garantizar un nivel de
seguridad adecuado al riesgo en los tratamientos que lleva a cabo; a este
respecto se puede citar la SAN de 17/10/2007 que si bien fue dictada antes de
la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al
supuesto que analizamos. La sentencia, después de aludir a que las entidades
en las que el desarrollo de su actividad conlleva un continuo tratamiento de
datos de clientes y terceros han de observar un adecuado nivel de diligencia,
precisaba que “(...) el Tribunal Supremo viene entendiendo que existe
imprudencia siempre que se desatiende un deber legal de cuidado, es decir,
cuando el infractor no se comporta con la diligencia exigible. Y en la valoración
del grado de diligencia ha de ponderarse especialmente la profesionalidad o no
del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la
actividad de la recurrente es de constante y abundante manejo de datos de
carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse
a las prevenciones legales al respecto.” (artículo 83.2. b) del RGPD).

No obstante, no cabe apreciar en la conducta infractora una grave falta de
diligencia, toda vez que no fue hasta después de varios intentos cuando el
usurpador consiguió superar la política de seguridad y una vez emitido el
duplicado de la tarjeta SIM los controles implantados por Orange alertaron del
posible fraude, circunstancias que deben ser tenidas en cuenta para graduar la
sanción.

Asimismo, se tiene en cuenta en condición de agravante la siguiente circunstancia:

- La actividad de la entidad presuntamente infractora se encuentra vinculada con
el tratamiento de datos de carácter personal tanto de clientes como de terceros.
En la actividad de la entidad reclamada es imprescindible el tratamiento de
datos de carácter personal por lo que, dado su objeto y volumen de negocio la
transcendencia de la conducta objeto de la presente reclamación es innegable
(artículo 76.2.b) de la LOPDGDD en relación con el artículo 83.2.k).

A efectos de decidir sobre la imposición de la multa y su cuantía, de conformidad con
las evidencias de que se dispone teniendo en cuenta los criterios del artículo 83.2 del
RGPD con respecto a la infracción cometida, vulneración del artículo 32.1 del RGPD,
se considera fijar una sanción de 230.000 euros.

VII Medidas correctivas

Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se
relacionan en su artículo 58.2, apartados a) a j).

De confirmarse la infracción cometida, procedería acordar imponer al responsable la
adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada
en este acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD,
según el cual cada autoridad de control podrá “ordenar al responsable o encargado
del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

52/54

plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Por tanto, se consideraría procedente ordenar que la parte reclamada en el plazo de
seis meses a partir de la firmeza de la resolución sancionadora que, en todo caso, se
dicte adecuar los tratamientos objeto del presente procedimiento a la normativa
aplicable. En el texto de este acuerdo se establecen cuáles son los hechos que
supuestamente han dado lugar a la vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles serían las medidas a adoptar, sin
perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte reclamada, pues es quien conoce plenamente
su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque
de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en el presente
caso se señala entre otras como medidas a adoptar aquellas de carácter técnico y
organizativas para evitar incidentes como el producido que garanticen el principio de
confidencialidad y de seguridad en el tratamiento de los datos de conformidad con lo
señalado en el artículo 32.1 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a
la parte reclamada por la vulneración del Artículo 32 del RGPD tipificada en el Artículo
83.4 del RGPD. La sanción que corresponde imponer es de multa administrativa por
un importe de 230.000 euros.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a ORANGE ESPAGNE, S.A.U., con NIF A82009812, por una
infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una multa
de 230.000 euros (doscientos treinta mil euros).

SEGUNDO: ORDENAR a ORANGE ESPAGNE, S.A.U., con NIF A82009812, que en
virtud del artículo 58.2.d) del RGPD, en el plazo máximo de seis meses desde que la
presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de
entre otras como medidas a adoptar aquellas de carácter técnico y organizativas para
evitar incidentes como el producido que garanticen el principio de confidencialidad y de
seguridad en el tratamiento de los datos de conformidad con lo señalado en el artículo
32.1 del RGPD.

SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U..

TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

53/54

Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez haya sido notificada a
los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

Lorenzo Cotino Hueso
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

54/54

Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es