İspanya Veri Koruma Otoritesi (AEPD) — gdprhub/aepd-spain-exp202306073

1/58

 Expediente N.º: EXP202306073

ANTECEDENTES..........................................................................................................3
PRIMERO: Reclamación ante la Agencia Española de Protección de Datos.............3
SEGUNDO: Traslado de la reclamación.....................................................................3
TERCERO: Admisión a trámite de la reclamación......................................................7
CUARTO: Actuaciones previas de investigación........................................................8
QUINTO: Volumen de negocios de TME..................................................................11
SEXTO: Acuerdo de inicio de procedimiento sancionador........................................11
SÉPTIMO: Alegaciones al acuerdo de inicio............................................................12
OCTAVO: Propuesta de Resolución.........................................................................20
NOVENO: Alegaciones a la propuesta de Resolución..............................................20
HECHOS PROBADOS................................................................................................21
PRIMERO. – Cambio de titularidad sin consentimiento............................................21
SEGUNDO. – Cambio de titularidad vía telefónica...................................................21
TERCERO. – Protocolo para la verificación de la identidad.....................................21
CUARTO. – Grabación de la llamada de cambio de titularidad................................21
QUINTO. – Comprobación cambio de titularidad......................................................22
SEXTO. – Duplicado de tarjeta SIM.........................................................................22
SÉPTIMO. – Solicitud del duplicado de la tarjeta SIM..............................................22
OCTAVO. – Procedimiento de identificación y verificación de duplicados SIM.........22
FUNDAMENTOS DE DERECHO.................................................................................23
I Competencia.......................................................................................................... 23
II Cuestiones previas................................................................................................23
III Contestación a las alegaciones al acuerdo de inicio............................................24
Primera: Caducidad de las actuaciones de investigación.....................................24
Segunda: Prejudicialidad penal.............................................................................24
Tercera: Licitud del tratamiento de datos personales en la acción referente al
duplicado de tarjeta SIM.......................................................................................26
Cuarta: Licitud del cambio de titularidad de la línea y su tratamiento en base a la
ejecución del contrato del que el reclamante es parte..........................................26
Quinta: Protocolos de seguridad de la gestión de solicitudes de cambio de
titularidad y duplicado de tarjeta SIM son suficientes y razonables para garantizar
una seguridad adecuada......................................................................................27
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/58

Sexto: Circunstancias que han hecho posible la superación por terceras personas
de las políticas de seguridad implantadas por TME..............................................28
Séptimo: Ausencia de tipicidad.............................................................................29
Octavo: Ausencia de culpabilidad.........................................................................29
Noveno: Incumplimiento del principio de proporcionalidad en las sanciones........34
IV Contestación a las alegaciones presentadas a la Propuesta de Resolución........37
CUESTIONES PREVIAS:.....................................................................................37
1.AUSENCIA DE TIPICIDAD................................................................................41
2.VULNERACIÓN DEL PRINCIPIO DE LEGALIDAD...........................................42
3.CONDUCTA DE TME NO ES ANTIJURIDICA...................................................43
4.AUSENCIA DE CULPABILIDAD........................................................................44
5.INCUMPLIMIENTO PRINCIPIO DE PROPORCIONALIDAD.............................45
V Obligación incumplida...........................................................................................47
VI Tipificación y calificación de la infracción.............................................................50
VII Sanción de multa. Determinación del importe.....................................................50
RESUELVE:................................................................................................................. 56

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/58

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:

ANTECEDENTES

PRIMERO: Reclamación ante la Agencia Española de Protección de Datos

Con fecha 22 de marzo de 2023 se interpuso reclamación ante la Agencia Española de
Protección de Datos. La reclamación se dirige contra TELEFÓNICA MÓVILES
ESPAÑA, S.A. con NIF A78923125 (en adelante, la parte reclamada o TME). Los
motivos en que basa la reclamación son los siguientes:

La parte reclamante manifiesta que, con fecha 15 de marzo de 2023, se quedó sin
servicio en su móvil en la línea O2, marca comercial de TME. Afirma que siete días
después tuvo conocimiento de que se debió a un cambio en la titularidad de su línea
móvil. Sin embargo, señala el reclamante que él no ha prestado su consentimiento, y
añade que un tercero usurpando su identidad ha hecho cargos no autorizados en su
cuenta bancaria por un importe total de ***CANTIDAD.1.

Aporta la parte reclamante la siguiente documentación relevante:

- Denuncia ante la Policía Nacional Madrid-Retiro, con fecha 16 de marzo de 2023, en
la que constan los hechos reclamados y extracto de los movimientos bancarios
fraudulentos.
- Reclamación efectuada ante la Secretaría de Estado de Telecomunicaciones e
Infraestructuras Digitales, de fecha 21 de marzo de 2023.
- Reclamación ante su entidad bancaria, de fecha 21 de marzo de 2023.

SEGUNDO: Traslado de la reclamación

De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue notificado el 16 de mayo de 2023 como consta
en el acuse de recibo que obra en el expediente.

Con fecha 15 de junio de 2023 se recibe en esta Agencia escrito de respuesta
indicando:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/58

“1. Información sobre las vías de que disponen los clientes para solicitar un duplicado
de tarjeta SIM (Teléfono, Internet, tiendas, etc.).

Telefónica cuenta con una operativa adecuada y conocida por todos nuestros agentes
sobre cómo actuar ante una solicitud de cambio de tarjeta SIM y que para el caso de
nuestros clientes personas físicas de la marca comercial O2, a fecha de solicitud del
duplicado del reclamante, eran las siguientes:

a) A través de nuestro número telefónico 1551:

El agente que atiende al cliente le solicita los datos de titularidad, esto es, (…). Tras
ese primer contacto y con los datos suministrados por el cliente, el agente comercial
verifica si la información obtenida telefónicamente coincide con los datos que
aparecen en la ficha de cliente que está registrada en la herramienta de gestión de
clientes. Después, se solicita al cliente (…).

A continuación, se realiza una llamada (…). Verificado lo anterior, el agente comercial
registra los datos del pedido, indicando los datos de la dirección postal donde quiere
recibir el pedido (poniendo especial hincapié en si es la dirección de entrega habitual),
así como un teléfono de contacto.

Por último, y a modo de confirmación de protocolo de seguridad, en el caso de envío
de SIM física, tanto si la llamada de comprobación previa es respondida como si no,
se envía un email al correo que tiene registrado denominado: “O2. Solicitud de
duplicado. Alerta de seguridad”.

Así se informa al titular de que alguien ha solicitado un duplicado de su línea para que
contacte con nosotros si no ha sido él. Una vez se hayan realizado todas las
comprobaciones, para la gestión del duplicado se realiza una grabación recogiendo
los datos del cliente y su consentimiento. El titular debe ser la persona que realice la
llamada, no pudiendo en este caso realizarse por un representante, en cuyo caso se le
redirigiría a una tienda física para la gestión.

b) A través de nuestras tiendas físicas autorizadas:

En caso de personas físicas, la persona habilitada para llevar a cabo la gestión sería o
el titular de la línea sobre la que se solicita el duplicado, un representante legal o una
persona autorizada por el titular. Para mayor grado de protección, en cuanto a la
acreditación de la identidad del cliente, se establece un doble control:

- La identificación del cliente, entendiéndose por identificar la demostración o el
reconocimiento de la identidad de la persona tanto verbalmente (cuando el cliente
indica su número de DNI) como visualmente (cuando el cliente presenta su documento
de identidad, lo que comporta un mayor nivel de seguridad).

- La validación del cliente, que se realiza de la siguiente forma:

• Sistema de Verificación de Identidad de Cliente o “SVIC”, también conocido como
“escáner de documentos de identidad”: implica las siguientes acciones:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/58

▪ Verificar que la documentación de identidad aportada por el cliente es auténtica y
está en vigor (evitar suplantación de identidad);

▪ Dejar registro de esta verificación en los sistemas (dejar constancia de que el cliente
ha estado en la tienda y ha sido identificado con dicha documentación).

▪ Realización de una llamada de seguridad al número sobre el que se va a gestionar el
duplicado, procediendo a su modificación si el cliente responde y autoriza el cambio o
si no responde, esto último debido a que la tarjeta SIM ha podido extraviarse o
deteriorarse.

En caso de representante legal u otra persona autorizada, será necesario aportar la
siguiente documentación según la condición que ostenta la persona física que actúa
en nombre del titular (autorizado o representante legal): documento identificativo del
autorizado o representante legal; autorización o acreditación documental de la
condición de representante legal o poder notarial; fotocopia del documento
identificativo del titular.

La autorización, que puede venir impresa o ser recibida en la tienda por e-mail, debe
contener la siguiente información:

- Nombre completo y NIF del titular de la línea
- Autorización a la persona que acude al punto de venta (indicando el nombre
completo y NIF)
- Mención de la operación que corresponda (de manera concreta, para que no se
entienda autorizado a más de lo que se especifique)
- Firma del autorizante (titular)

Por último, se realiza una llamada de seguridad al número sobre el que se va a
gestionar el duplicado.

La operativa finaliza con la firma del “Contrato cambio de tarjeta SIM”, y la entrega de
la tarjeta en mano. En dicho contrato se recoge el detalle del motivo del cambio, el
punto de venta en el que se ha gestionado y los datos identificativos del cliente y de la
tarjeta.

Informe detallado sobre los hechos descritos en la reclamación: canal a través del cual
se tramitó el duplicado de SIM y vía de identificación de la persona que lo solicitó.

En el caso concreto que nos ocupa, se ha podido comprobar que antes de la solicitud
del cambio de tarjeta SIM se produjo un cambio de titular de la línea a través del canal
telefónico de O2.

En este sentido, consta registrado en nuestros sistemas un cambio de titularidad de
los datos del reclamante a nombre de una segunda persona, realizada
telefónicamente.

Hecho esto, ya con los datos de esta segunda persona se solicita el cambio de tarjeta
SIM en una tienda física de Alicante, donde se produce el cambio siguiendo la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/58

operativa marcada por Telefónica a tales efectos descrita en el punto 1 del presente
escrito.

A los efectos oportunos, se adjunta como Anexo 1 copia del escaneo del DNI del
nuevo titular que solicita el cambio del ICC de la tarjeta y el registro en sistemas.

Por tanto, en este caso concreto el comercial en tienda siguió correctamente la
operativa marcada a tales efectos.

3. Documentación y datos aportados por la persona que solicitó la tarjeta SIM para
acreditar su identidad.

Información sobre si la realización de los controles para la verificación de la identidad
quedó reflejada en el Sistema de Información de la entidad. Documentación que lo
acredite en su caso, tal como impresión de pantalla de los botones (check-box) u otra
documentación según el método utilizado. Asimismo, en su caso:

• Si la solicitud se tramitó por canal web, existencia o no de intentos fallidos de acceso
previo, y actuación ante los mismos.

• Si la solicitud se tramitó por vía telefónica, copia de la grabación de la conversación
donde el solicitante supera la política de seguridad.

En este caso, la solicitud de cambio se realizó en tienda física. Se adjunta como
Anexo 1 al presente escrito, verificación de la identidad del cliente que consta en
nuestros sistemas y escaneo del DNI.

4. Si el duplicado SIM se envió por correo, detalle de los controles y exigencias
establecidos sobre la dirección de envío e identificación del destinatario.

En el presente caso, no se envió el duplicado de SIM por correo postal, sino que se
entregó en tienda física siguiendo la operativa establecida a tales efectos.

5. Descripción detallada del protocolo de seguridad aplicado para acreditar la
identidad del solicitante y gestionar la emisión y el envío del duplicado de la tarjeta
SIM.

La descripción detallada de los procesos de identificación de los clientes ha quedado
detallada en el punto 1 del presente escrito.

6. Protocolo de actuación cuando se detecta la emisión de un duplicado SIM
fraudulento.

Tras la detección de una línea afectada por fraude de SIM SWAP se analiza el estado
de la misma, es decir, si ha sido recuperada por el cliente o no. En caso negativo se
procede a la suspensión total de ésta con el objetivo de evitar que las personas que
han cometido el fraude sigan en posesión de la línea, tal como sucedió en el presente
caso.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/58

En caso de que así lo solicite, se procede a devolver en su caso la línea a su titular y
se procede a anular cualquier tipo de cobro relacionado con la obtención del nuevo
duplicado de tarjeta SIM.

Por último, se estudia el mecanismo por el cual se ha procedido con el cambio de ICC
y se promueven medidas preventivas para evitar que vuelva a producirse, quedando
todos los datos del caso bloqueados para, en su caso, ser puestos a disposición de
las autoridades competentes en el curso de posibles investigaciones de los hechos.

7. Acciones emprendidas para evitar que casos de este tipo se vuelvan a producir.

En concreto, cambios que se hayan podido realizar sobre el procedimiento para
mejorar la seguridad, fechas de implantación y controles efectuados para comprobar
su eficacia.

Para este caso concreto, se ha procedido a marcar los datos tanto del antiguo como
del nuevo titular desde nuestro equipo de Prevención del Fraude, para evitar que
cualquier área o cliente final pueda levantar el bloqueo sin su autorización, lo cual sólo
podrá llevarse a cabo mediante la acreditación fehaciente de envío de determinada
documentación a un buzón gestionado directamente por esta unidad.

Adicionalmente, se realizaron campañas de concienciación a todos los canales
avisando del nuevo modus operandi detectado de fraude y reforzando las operativas
tanto de cambios de titular como de gestión de duplicados de tarjeta SIM.

De otro lado, se han reforzado las medidas operativas de identificación del cliente, de
forma que, si un cliente llama desde una línea diferente a la que se quiere modificar la
titularidad, se llama al titular original a su línea o se le envía un SMS con un factor de
autenticación a la línea de la que solicita el cambio. De no contestarse esta llamada o
no indicar el factor de autenticación, no se procederá a realizar el cambio de titular.

8. La decisión adoptada a propósito de esta reclamación y acciones emprendidas,
incluyendo acreditación documental de los siguientes aspectos:

• Si se ha marcado como víctima de fraude a la parte reclamante para evitar posibles
intentos de suplantación de identidad futuros
• Si se han realizado investigaciones internas para esclarecer los hechos con el punto
de venta y si se ha realizado alguna actuación con el distribuidor o tienda, en su caso.
• Si se ha contactado con la parte reclamante para alertarle de lo sucedido y sobre la
resolución de su caso.

En el presente caso, se ha procedido a marcar los datos tanto del antiguo como del
nuevo titular desde nuestro equipo de Prevención del Fraude, para evitar que
cualquier área o cliente final pueda levantar el bloqueo sin su autorización, lo cual sólo
podrá llevarse a cabo mediante la acreditación fehaciente de envío de determinada
documentación a un buzón gestionado directamente por esta unidad. Además, se
están realizando las investigaciones internas necesarias para saber qué ha podido
ocurrir.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/58

Por último, desde nuestro servicio de atención al cliente para O2, se ha procedido a
contactar con el cliente para rehabilitar su línea e informarle de que este hecho no
volverá a ocurrir, al estar su línea marcada por nuestro equipo de Prevención del
Fraude”.

TERCERO: Admisión a trámite de la reclamación

Con fecha 22 de junio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se
admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: Actuaciones previas de investigación

La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, requiriendo información a TME y teniendo conocimiento de los siguientes
extremos:

 Para el cambio de titularidad por vía telefónica al número 1551, se graba la
solicitud y el agente debe requerir según sus protocolos la siguiente información
para la verificación de la identidad:
o (…).
o En caso de que el número sobre el que se va a realizar la gestión no
coincida con el número desde es el que se está haciendo la llamada para
solicitud, se realizará adicionalmente una llamada de verificación a la citada
línea para consentir el cambio o se enviará de un código temporal de
verificación: “Excepcionalmente, en aquellos casos en los que el cliente no
llame desde la línea objeto de modificación, se realizará una llamada a la
citada línea para que el antiguo titular consienta el cambio o se envía un
OTP que deberá facilitar al agente para proceder con la gestión”.

 Para los duplicados de SIM a través de tiendas físicas autorizadas:
o “Se realiza la identificación del cliente con el DNI y se valida su
documentación mediante el sistema interno SVIC. Se deja registro en los
sistemas de esta verificación.
o Adicionalmente, se realizará comprobación de seguridad a la línea objeto
de la gestión: “Realización de una llamada de seguridad al número sobre el
que se va a gestionar el duplicado, procediendo a su modificación si el
cliente responde y autoriza el cambio o si no responde, esto último debido
a que la tarjeta SIM ha podido extraviarse o deteriorarse.” y “conforme a
operativa actual, desde el 2 de marzo de 2023, en caso de que el cliente
haya realizado la identificación digital (onboarding digital), se le remitirá un
código OTP como doble factor de autenticación que deberá facilitar al

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/58

comercial para realizar la gestión en lugar de la llamada de seguridad
anteriormente mencionada”.

Instrucciones remitidas al personal.
Se ha requerido información sobre las instrucciones remitidas al personal que atiende
este tipo de solicitudes y acreditación de su difusión de los protocolos. Asimismo, se
ha requerido información relativa al contrato suscrito con los proveedores que prestan
este servicio para la entidad reclamada, al tratarse de servicios subcontratados.

La parte reclamada aporta las instrucciones operativas que manifiesta que emplea el
canal telefónico 1551 (documento: “Operativa atención 1551”). Se aprecia que para la
gestión de cambio de titularidad no coincide la información aportada con el escrito
presentado, ya que en dichas instrucciones del canal telefónico no figura la necesidad
de una llamada de comprobación o envío de código temporal, mientras que en el
mencionado escrito y en otra documentación sí (documento: “Anexo 4 copia del email
remitido al proveedor sobre la necesidad del refuerzo de las operativas vigentes”).

La parte reclamada aporta las instrucciones operativas que manifiesta que emplean
las tiendas físicas para la gestión de duplicados de SIM. En dichas instrucciones se
profundiza sobre diferentes casuísticas posibles, requiriendo en todos casos una
confirmación adicional mediante código temporal o llamada de verificación. También se
detalla la particularidad de que en caso de que dicha comprobación adicional no haya
sido llevada a cabo (por ejemplo, por no atender la llamada), en el supuesto de que
haya habido un cambio de titular en los últimos 5 días no se tramitaría el duplicado.

Adicionalmente, se aporta copia del modelo de contrato suscrito con los distribuidores
de tiendas físicas, donde constan las cláusulas relativas a la diligencia en la
verificación de la identidad de los solicitantes.

La parte reclamada manifiesta que, en el marco contractual con los proveedores que
gestionan la atención del canal telefónico, estos deberán seguir sus instrucciones
marcadas, entre las que figuran los protocolos anteriormente mencionados: “En
relación con el contrato suscrito con canal telefónico, indicar que esta parte no cuenta
con un modelo de contrato único al tener pocos proveedores del servicio. A este
respecto, indicar que el contrato contiene la siguiente cláusula en la que se indica que,
para el caso de identificación de clientes, el proveedor deberá seguir las instrucciones
marcadas por Telefónica a tales efectos”. Aportan un extracto del contrato que aplica al
canal telefónico del servicio aplicable a este caso, si bien no hay mención explícita del
protocolo en él.

Solicitud.
Se ha requerido a la parte reclamada el detalle sobre este caso concreto, aportando la
solicitud del cambio de titularidad y del duplicado de SIM, con toda la información
recabada posible, para esclarecer los hechos y verificar la aplicación de las medidas
previamente desarrolladas.

El cambio de titularidad se realizó mediante llamada telefónica el 14 de marzo de
2023, a las 12:30 de la mañana. Se aporta grabación de la llamada, en ella se acredita
que el control realizado por el agente del canal telefónico 1551 omite algunos puntos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/58

de la verificación: (…). La titularidad se modificó pasando a ser el nuevo titular A.A.A.,
en cuyo nombre se realizaron gestiones posteriores como se detallará a continuación.

Se acredita que la llamada no se realizó desde el número que estaba siendo objeto de
la modificación, ni tampoco pertenecía a la parte reclamante, por lo que su titular les
era desconocido: “podemos confirmar que la llamada entrante a nuestro servicio de
atención al cliente que se empleó para la solicitud de cambio de titularidad es la línea
***TELÉFONO.1”, “podemos confirmar que la citada línea no pertenece a Telefónica
Móviles España, S.A.U.”.

En base a lo expuesto, la comprobación de doble verificación se consideraría
necesaria según se establece en sus procedimientos, para garantizar un nivel de
seguridad adecuado. La parte reclamada confirma que no se realizó dicha
comprobación: “No consta en nuestros sistemas que se haya realizado una llamada
de comprobación o un envío de OTP a la línea ***TELÉFONO.2 en la franja de tiempo
de realización de la gestión.”. De haberse realizado esa comprobación,
previsiblemente además de que la parte reclamante hubiera detectado al momento el
intento de suplantación, hubiera imposibilitado la realización de este cambio
fraudulento y, por tanto, tampoco el duplicado de SIM posterior.

La parte reclamada indica lo siguiente, aceptando la mala praxis de la gestión: “En el
presente caso, el cambio de titularidad de la línea se produjo de forma telefónica.
Revisados nuestros sistemas, se adjunta como Anexo 5 copia de la grabación.

La solicitud se produjo el día 14 de marzo de 2023 para la línea ***TELÉFONO.2 y
puede apreciarse que no se siguió la operativa marcada a tales efectos.”.

El duplicado de SIM se realizó en tienda física al día siguiente al cambio de titularidad,
el día 15 de marzo de 2023 a las 13:30. Tal como manifiesta la parte reclamada:
“consta registrado en nuestros sistemas un cambio de titularidad de los datos de
B.B.B. a nombre de una segunda persona, realizada telefónicamente. Hecho esto, ya
con los datos de esta segunda persona se solicita el cambio de tarjeta SIM en una
tienda física de Alicante.”

Se aporta solicitud en la que consta el DNI escaneado y verificado mediante la
herramienta interna SVIC. Pero, al haberse realizado previamente el cambio de
titularidad, la línea figuraba en ese momento a nombre de A.A.A., como se ha
indicado, y no atañería a la parte reclamante.

Sí cabe mencionar que tampoco en este caso se realizó la comprobación indicada en
sus protocolos de envío de un código temporal de verificación o llamada de
comprobación a la línea, que nuevamente hubiera permitido poder detectar el fraude a
tiempo e imposibilitar la tramitación del duplicado.

Contactos mantenidos.
Se ha requerido adicionalmente la relación y detalle de los contactos mantenidos con
la parte reclamante.

Se aporta la información y fecha de las comunicaciones. Tal como manifiesta la parte
reclamante, se acredita que el día 15 de marzo de 2023 se puso en contacto con la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/58

parte reclamada informando de los hechos. Se le indicó que se abriría una
reclamación y atendería su caso en un plazo de 7 a 15 días. Finalmente, se indica que
la suspensión de la línea se realizó el 5 de abril de 2023 (“en fecha 5 de abril y tras las
investigaciones internas oportunas, se procedió con la suspensión de la línea”).

Medidas correctivas.
Se ha requerido a la entidad información relativa a las medidas que se hayan realizado
para evitar que este tipo de hechos vuelvan a producirse en un futuro.

Manifiestan haber realizado posteriores comunicaciones reforzando en ellas la
necesidad de aplicar los protocolos de seguridad. Aportan la reiteración al proveedor
que tramita este tipo de solicitudes haciendo hincapié en el refuerzo de las medidas de
verificación de identidad, especialmente la comprobación mediante envío de un código
temporal o llamada de verificación a la línea afectada, acciones que no se realizaron
en este caso concreto. Dicha reiteración fue realizada el 22 de marzo de 2023.

Adicionalmente, en el traslado manifiestan que realizaron campañas de concienciación
a todos los canales avisando del nuevo modus operandi detectado de fraude y
reforzando las operativas tanto de cambios de titular como de gestión de duplicados
de tarjeta SIM. También indica la parte reclamada: “se han reforzado las medidas
operativas de identificación del cliente, de forma que, si un cliente llama desde una
línea diferente a la que se quiere modificar la titularidad, se llama al titular original a su
línea o se le envía un SMS con un factor de autenticación a la línea de la que solicita
el cambio. De no contestarse esta llamada o no indicar el factor de autenticación, no
se procederá a realizar el cambio de titular”.

Por último, indican que están realizando investigaciones internas y valoran emprender
las acciones legales que estimen oportunas en la defensa de sus intereses frente al
tercero responsable de los hechos. Asimismo, manifiestan: “En el presente caso, se ha
procedido a marcar los datos tanto del antiguo como del nuevo titular desde nuestro
equipo de Prevención del Fraude”.

QUINTO: Volumen de negocios de TME

De acuerdo con el informe recogido de la herramienta AXESOR, la entidad TME es
una gran empresa constituida el 11 de octubre de 1998, y con un volumen de negocios
de ***CANTIDAD.2 en el año 2023.

SEXTO: Acuerdo de inicio de procedimiento sancionador

Con fecha 5 de diciembre de 2024 la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a
lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por las presuntas infracciones del artículo 6.1 del RGPD, tipificadas en el
artículo 83.5 del RGPD, la sanción que correspondería sería:

a). - Por la infracción cometida por cambio de titularidad de la línea del móvil de la
parte reclamante, sin legitimación para ello, una sanción inicial de 200.000€

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/58

(doscientos mil euros) por la presunta infracción del artículo 6.1 tipificada en el
artículo 83.5.a) del citado RGPD.

b). - Por la infracción cometida por realizar un duplicado de la tarjeta SIM de la línea
del móvil de la parte reclamante, una sanción inicial de 200.000€ (doscientos mil
euros) por la presunta infracción del artículo 6.1 tipificada en el artículo 83.5.a) del
citado RGPD.

SÉPTIMO: Alegaciones al acuerdo de inicio

Notificado el citado acuerdo de inicio conforme a las normas establecidas en la
LPACAP, la parte reclamada presentó escrito de alegaciones el 30 de diciembre de
2024, manifestando lo siguiente:

PRIMERA: CADUCIDAD DE LAS ACTUACIONES DE INVESTIGACIÓN

Afirma la parte reclamada que si la fecha de entrada de la reclamación en la Agencia
fue el 22 de marzo de 2023 (como consta en el traslado de la reclamación notificada a
esta parte del 16 de mayo 2023), y su admisión se produjo a los tres meses de su
presentación, en fecha 22 de junio de 2023, las actuaciones previas de investigación y
la adopción del Acuerdo de inicio tendrían que haberse producido con fecha límite el
22 de junio de 2024, fecha a partir de la cual, y conforme a lo estipulado en el art. 67.2
de la LOPDGDD, se debería haber declarado la caducidad de las actuaciones previas
de investigación.

A este respecto señala la parte reclamada que si bien en fecha 10 de junio de 2023
entró en vigor una modificación normativa que afectó, entre otras cuestiones, al plazo
del que dispone la Agencia para realizar sus investigaciones previas de investigación,
elevándolo a dieciocho meses, no es menos cierto que en la Ley 11/2023, de 8 de
mayo, de trasposición de Directivas de la Unión Europea en materia de accesibilidad
de determinados productos y servicios, migración de personas altamente cualificadas,
tributaria y digitalización de actuaciones notariales y registrales (en adelante, Ley
11/2023); y por la que se modifica la Ley 12/2011, de 27 de mayo, sobre
responsabilidad civil por daños nucleares o producidos por materiales radiactivos, y en
las que se acuerda la modificación de la LOPDGDD comentada, no contiene ninguna
Disposición Transitoria que indique cómo se deben proseguir las reclamaciones
presentadas con anterioridad a la entrada en vigor de dichas normas.

Es por ello que TME señala que, ante una ausencia absoluta del procedimiento a
seguir, debe acudirse, tal como se establece en el art. 45 de la LOPDGDD, a las
normas supletorias establecidas en el art. 110.1 de la Ley 40/2015, de 1 de octubre, de
Régimen Jurídico del Sector Público (en adelante, la “Ley 40/2015”). Este es el
sistema de la Ley de Procedimiento Administrativo cuya disposición transitoria
establece que «los expedientes ya iniciados antes de la vigencia de esta Ley se
tramitarán y resolverán con arreglo a las disposiciones hasta ahora en vigor».

Señala TME que, atendiendo al principio de unidad del procedimiento, el plazo máximo
para realizar las investigaciones previas sería de doce meses, y no de dieciocho,
considera que se habría producido la caducidad el 22 de junio de 2024.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/58

SEGUNDA: PREJUDICIALIDAD PENAL

TME indica que el reclamante en su reclamación señala que ha puesto en
conocimiento de las autoridades policiales mediante una denuncia los hechos
acaecidos y es por ello que TME solicita la suspensión de este procedimiento por
prejudicialidad penal dada la íntima relación que existe entre los procedimientos
penales y administrativos.

TERCERO: LICITUD DEL TRATAMIENTO DE DATOS PERSONALES EN LA ACCIÓN
REFERENTE AL DUPLICADO DE TARJETA SIM

Manifiesta TME que la acción del duplicado de tarjeta SIM no puede subsumirse en el
presente caso en el tipo infractor del art. 83.5.a) del RGPD, referente a una falta de
licitud en el tratamiento de datos personales del reclamante, toda vez que en ningún
caso se han tratado los datos personales del indicado reclamante, sino los de un
tercero que era el titular de la línea en el momento de la gestión.

Es por ello que la Agencia debe proceder a declarar que no se ha producido un
tratamiento de datos ilícito en este caso en concreto en la acción referente al duplicado
de la tarjeta SIM y, por tanto, proceder con la retirada de propuesta de esta sanción en
concreto.

CUARTO: LICITUD DEL CAMBIO DE TITULARIDAD DE LA LÍNEA Y SU
TRATAMIENTO EN BASE A LA EJECUCIÓN DEL CONTRATO DEL QUE EL
RECLAMANTE ES PARTE

Sostiene TME en lo referente a la infracción por tratamiento ilícito de datos por el
cambio de titularidad previo que, si bien TME puede concordar con la Agencia en que
no se habría seguido el protocolo establecido en lo tocante a la segunda llamada de
seguridad y la solicitud de los datos de la última factura, no es menos cierto que la
tercera persona suplantadora se habría identificado con los datos correctos del titular
de la cuenta e incluso habría facilitado su cuenta bancaría, datos que el tercero
suplantador conocía de forma previa a la solicitud y fuera de la esfera de
responsabilidad de TME.

Señala TME que a su juicio la infracción impuesta sería incorrecta, pues TME cuenta
con una base legitimadora de las estipuladas en el artículo 6 del RGPD, siendo ésta la
ejecución del contrato del que el interesado es parte, por lo tanto, señala que debería
también anularse la propuesta de sanción por esta acción, debiendo por tanto
procederse con el archivo íntegro del expediente sancionador.

QUINTO: LOS PROTOCOLOS DE SEGURIDAD DE LA GESTIÓN DE SOLICITUDES
DE CAMBIO DE TITULARIDAD Y DUPLICADO DE TARJETA SIM SON
SUFICIENTES Y RAZONABLES PARA GARANTIZAR UNA SEGURIDAD ADECUADA

TME hace referencia nuevamente a las medidas de seguridad ya trasladadas a esta
Agencia, indicando la operativa relativa a la gestión del duplicado de tarjeta SIM y a la
operativa relativa a la gestión del cambio de titularidad, y señala que no puede
imponerse a TME dos infracciones por una supuesta falta de licitud en el tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/58

porque un determinado comercial o distribuidor descuide de forma puntual en un caso
concreto la aplicación de todas las medidas definidas en la operativa, imponiéndose
así una responsabilidad objetiva en la cual, independiente de la diligencia y medidas
generales que tiene implementadas (máxime en el caso de la acción referente al
duplicado de SIM, donde el cliente se habría identificado con su DNI y así consta
reflejado en sus sistemas), se declare la culpabilidad de TME.

Continúa señalando que lo contrario sería suponer que TME debe proporcionar unas
medidas de seguridad que atiendan al principio de resultados, lo que iría en contra de
la obligación de medios establecida en los artículos 25 y 32 del RGPD y de la doctrina
del Tribunal Supremo.

SEXTO: LAS CIRCUNSTANCIAS QUE HAN HECHO POSIBLE LA SUPERACIÓN
POR TERCERAS PERSONAS DE LAS POLÍTICAS DE SEGURIDAD IMPLANTADAS
POR TME

Expone TME que cuenta para la prestación de servicios con varios proveedores de
confianza, a los cuales les impone una serie de obligaciones que rigen la relación
entre TME y éstos y que TME no puede ser considerada responsable de los
incumplimientos puntuales y excepcionales de la operativa que se hayan podido llevar
a cabo por parte del personal contratado por los encargados del tratamiento que
intervienen en este tipo de procesos, tal como ha sucedido en el presente caso.

TME señala que en el presente caso el comercial desconociendo el carácter
antijurídico de la conducta, gestionó el cambio de titularidad de la línea bajo la
creencia de estar realizando un tratamiento de datos lícito. Y en el caso del duplicado
de SIM el nuevo titular se identificó y facilitó su documento de identificación, queda
constatado que TME habría sido víctima de un engaño, haciéndole incurrir en un error
de tipo invencible, hecho que excluiría la culpabilidad de la conducta seguida por TME,
debiendo archivarse el presente expediente sancionador.

SÉPTIMO: AUSENCIA DE TIPICIDAD

Considera que el principio de tipicidad se está vulnerando dado que la conducta
realizada por TME no es subsumible en ninguno de los preceptos cuya infracción se
imputa.

1. Con respecto a la conducta relativa a la falta de licitud relativa a la gestión del
duplicado de la tarjeta SIM:

TME reitera los argumentos ya expuestos en el sentido de que en el momento del
duplicado de la tarjeta SIM el reclamante ya no era titular de la línea y por lo tanto en
ningún caso se han tratado los datos del reclamante y que contaría con una base legal
que legítima el tratamiento de los datos personales del reclamante, que no es otra que
la de ejecución del contrato

2. Con respecto a la falta de licitud en el tratamiento de datos en la acción referente al
cambio de titular:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/58

Indica que el cambio de titular también se realizó en apariencia de buen derecho, al
amparo de la base legitimadora de ejecución del contrato.

Además, señala que cuando se cambia una titularidad de un contrato, tanto los datos
del cedente como del cesionario de la línea se tratan para poder realizar las gestiones
necesarias para que el contrato pase a estar a nombre del nuevo titular pueda disfrutar
del contrato.

OCTAVO: AUSENCIA DE CULPABILIDAD

TME manifiesta que tampoco concurre el requisito de culpabilidad en su actuación,
indicando que es doctrina reiterada la que considera que los principios inspiradores del
orden penal son de aplicación al derecho administrativo sancionador, señalando que
uno de los principales componentes de la infracción administrativa es el elemento de la
culpabilidad, lo que presupone que la acción u omisión ha de ser en todo caso
imputable a su autor por malicia, imprudencia, negligencia o ignorancia inexcusable.
Es decir, es necesaria la constatación de la intervención culpable por parte de TME,
que no se ha producido. Por lo que, en tanto no exista conducta culpable, no puede
imponérsele sanción alguna.

Señala TME que, en este caso en concreto, hay que destacar que la circunstancia que
originó la actuación fraudulenta en ambas gestiones no puede atribuirse bajo ningún
concepto a una ausencia o deficiencia de previsión y control por parte de TME en la
operativa de identificación de clientes o a las medidas de seguridad que TME tiene
implementadas ni, por tanto, a un incumplimiento de las obligaciones de medios
establecidas en los artículos 25 y 32 del RGPD y confirmada jurisprudencialmente
(destacado nuestro): “La obligación de adoptar las medidas necesarias para garantizar
la seguridad de los datos personales no puede considerarse una obligación de
resultado, que implique que producida una filtración de datos personales a un tercero
exista responsabilidad con independencia de que las medidas adoptadas y de la
actividad desplegadas por el responsable del fichero o del tratamiento. […]mientras
que en la obligación de resultado se responde ante un resultado lesivo por el fallo del
sistema de seguridad, cualquier que sea su causa y la diligencia utilizada. En la
obligación de medios basta con establecer medidas técnicamente adecuadas e
implantarlas y utilizarlas con una diligencia razonable.” (STS 188/2022, de 15 de
febrero).

Expone TME que, en el caso del cambio de titular, el suplantador habría hecho creer
que contaba con su consentimiento para efectuar la solicitud al haberse identificado de
forma correcta con los datos de cliente que figuran en sus sistemas. Por ello, se
procedió con su tramitación bajo la creencia de estar actuando conforme a Derecho,
todo ello tras la acreditación de identidad mediante la facilitación de los datos del
cliente.

Si bien, señala TME, en este sentido puede decirse que el comercial no habría
seguido la operativa en su totalidad, mediante la llamada de comprobación a la línea
objeto del cambio, no es menos cierto que en la llamada inicial el suplantador ratifica
que cuenta con el consentimiento para la realizar la gestión.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/58

Y aun así, que el comercial no haya seguido la operativa establecida por TME, la cual
incluye la llamada de comprobación al número sobre la que se realiza la gestión y que
en este caso no es posible aportar por no constar registrada, no puede concluirse que
TME, como responsable del tratamiento, no haya mostrado la diligencia exigida que
debe seguirse en estos casos. TME no puede ser considerada responsable de los
incumplimientos puntuales y excepcionales de la operativa que se hayan podido llevar
a cabo por parte del personal contratado por los encargados del tratamiento que
intervienen en este tipo de procesos.

De otro lado, señala con respecto al duplicado de la tarjeta SIM, que TME habría
mostrado una diligencia debida durante su tramitación, toda vez que el nuevo titular se
habría identificado con sus datos, aportando su documentación (la cual consta
registrada en sus sistemas), y por tanto, dando una apariencia de legitimación
suficiente como para que por parte del comercial no se produjese con la llamada de
comprobación.

Por todo ello, señala que la conducta de TME nunca podría ser considerada culpable,
toda vez que conforme la jurisprudencia del Tribunal Supremo existente en la materia,
para entender que una conducta no es culpable será necesario probar “que se ha
empleado la diligencia que era exigible por quien aduce su inexistencia” (Sentencia de
23 de enero de 1998, parcialmente trascrita en las sentencias del Tribunal Supremo
-STS- de 9 de octubre de 2009, Rec. 5285/2005, y de 23 de octubre de 2010, Rec.
1067/2006). Y dicha diligencia debe estar basada en una obligación de medios, no de
resultados.

Todas las pruebas aportadas y la descripción de las medidas de seguridad,
demuestran pues que TME emplea una diligencia debida en este tipo de trámites, lo
que excluiría la culpabilidad de su conducta aún en este caso que no se ha seguido el
protocolo establecido.

Lo anterior evidencia que, con la incoación del expediente sancionador, la Agencia
está exigiendo una responsabilidad objetiva a TME, basándose simplemente en el
resultado de las operativas que deben seguir los distribuidores o comerciales, más allá
de la exigencia de medios establecida legalmente.

En relación con la mencionada responsabilidad objetiva, debe tenerse presente lo
recogido por ejemplo en la STS núm. 1468/2017 de 28 septiembre (RJ 2017\4422),
que indica que “uno de los principales componentes de la infracción administrativa es
el elemento de culpabilidad del que se desprende que la acción u omisión, calificada
de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su
autor, por dolo o imprudencia, negligencia o ignorancia inexcusable. Principio, el de la
culpabilidad, incompatible con un régimen de responsabilidad objetiva, así ha de
entenderse, señala la Sentencia 28 del Tribunal Supremo de 22 de noviembre de 2004
(RJ 2005, 20) (recurso 174/2002) al respecto de lo establecido en el artículo 130.1 de
la ley 30/1992, precepto que no exige se produzca una actitud de negligencia o
ignorancia inexcusable, no exigiéndose la existencia de dolo específico y deliberado,
siendo suficiente a tales efectos, y como requisito para la exigibilidad de dicha
responsabilidad, la omisión del deber de cuidado, tanto por una falta de previsión o
deber saber, como por una falta de cuidado o deber de evitar”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/58

Es necesario, por tanto, la constatación de la intervención culpable por parte de TME,
que no se ha producido en este caso toda vez que pone todos los medios a su alcance
para que este tipo de situaciones fraudulentas no se produzcan.

Además, en cualquier caso, en este caso específico, donde se ha tenido que dar una
suplantación de identidad, y tal como se produjeron los hechos, nos encontraríamos
ante lo que se conoce como error de tipo.

El error de tipo, regulado en el artículo 14 del Código Penal, implica que, cuando se da
un error sobre un elemento que hace que la conducta cometida sea ilícita debe
reconsiderarse la responsabilidad del presunto infractor. De hecho, de considerarse
como un error de tipo invencible, se excluiría la responsabilidad del autor.

El error de tipo invencible se presenta desde el momento en el que el comercial ha
sido engañado y cree de buena fe que está interactuando con una persona legítima,
cuando en realidad está actuando de forma indebida en nombre de un tercero. El
comercial, bajo este error invencible, desconoce que la persona con la que interactúa
no es quien aparenta ser y, por lo tanto, no puede ser considerado responsable por los
actos que realiza bajo esta falsa creencia. Para que el error de tipo sea considerado
invencible, se deben cumplir ciertos criterios.

Primero, debe tratarse de un error genuino, es decir, que TME realmente crea en la
existencia de ciertos elementos o circunstancias que, en realidad, no existen o son
diferentes a lo que percibe. Además, el error debe ser invencible, lo que significa que
no podría haberse evitado o superado incluso con un nivel razonable de diligencia y
cuidado por parte del acusado.

En este caso, queda constatado que estaríamos ante un error de tipo invencible,
donde se desconocía la antijuricidad de la conducta, por los siguientes motivos:

En el caso de la solicitud de duplicado, porque el autor del hecho se presentó con la
documentación pertinente para realizar el duplicado de SIM.

En el caso de la solicitud del cambio de titularidad, en el momento en que se engañó al
comercial indicando que contaba con el consentimiento del verdadero titular de la línea
para efectuar el cambio y facilitó sus datos, incluyendo el de la cuenta bancaria

En definitiva y por todo lo anterior, no existiendo conducta antijurídica, ni típica, ni
culpable de TME en los hechos imputados insisten en que no debería haberse incoado
el procedimiento sancionador, ni debe imponerse a TME sanción alguna.

NOVENO: INCUMPLIMIENTO DEL PRINCIPIO DE PROPORCIONALIDAD EN LAS
SANCIONES

TME entiende que las cuantías de las sanciones propuestas en el Acuerdo de inicio
vulneran el principio de proporcionalidad que debe regir en la potestad sancionadora
que tiene la Administración y manifiesta su disconformidad, señalando que existe una
unidad de acción y de resultado en las infracciones imputadas y, por tanto, la
infracción tendría que ser considerada como una y única.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/58

TME considera que, en caso de que se le considere responsable de una actuación
típica, antijurídica y culpable, en este caso estaríamos ante una y única infracción y no
ante dos. Es decir, ambas acciones forman parte de un mismo proceso y están
intrínsecamente relacionadas y la expedición del duplicado de la tarjeta SIM no habría
sido posible sin el cambio de titularidad previo.

Consecuentemente y atendiendo a lo anteriormente indicado, se solicita que en caso
de imponerse una sanción, ésta sea única de 200.000 euros, en lugar de dos
sanciones de 200.000 euros cada una.

Sobre las agravantes tenidas en cuenta no aplicables al caso concreto: En cualquier
caso, ya se considere una o dos infracciones, a juicio de TME, no concurrirían en el
presente caso ninguna de las agravantes que han sido tenidas en cuenta por la
Agencia para la determinación del importe de las sanciones, y ello en base a que:

• La circunstancia reseñada en el art. 83.2.b) del RGPD, relativa a la intencionalidad o
negligencia en la infracción:

TME señala que su actitud revela una inequívoca voluntad de proceder conforme a
Derecho, sin existir en modo alguno intencionalidad de infringir la norma y teniendo en
todo caso voluntad de cumplimiento. TME cuenta con las medidas técnicas necesarias
y adecuadas para la gestión tanto del duplicado de tarjeta SIM y para el cambio de
titular. Por tanto, no puede hablarse en este caso de intencionalidad o negligencia en
la infracción.

• La Agencia también toma en cuenta, a efectos del cálculo de la cuantía de las
sanciones, la circunstancia de reincidencia establecida en el artículo 83.2.e) del
RGPD, mencionando de forma expresa los procedimientos sancionadores
EXP202207989 y EXP202211479.

TME alega que la resolución sancionadora del EXP202211479 no habría devenido
firme en vía administrativa hasta el 19 de julio de 2023, una vez se agotó la posibilidad
de interponer recursos en vía administrativa.

Y la resolución sancionadora EXP202207989 ni siquiera devino firme en fecha de 20
de diciembre de 2023, una vez se agotó la posibilidad de interponer recursos en vía
administrativa.

Teniendo en cuenta este hecho, las acciones típicas enjuiciadas en el presente
expediente sancionador provienen de una actuación ocurrida entre el 14 y 15 de
marzo de 2023, es decir, en un tiempo anterior a las resoluciones sancionadoras
referenciadas.

Es claro, pues, que cuando se realiza el cambio de titularidad y el duplicado de tarjeta
SIM, esto es, el 14 y 15 de marzo de 2023, respectivamente, no se había dictado, y
mucho menos con carácter "firme" en vía administrativa, una resolución sancionadora
por hechos de la misma naturaleza o semejantes.

No concurría, pues, el presupuesto de sanción previa a los hechos que se exige para
la aplicación de la agravante de reincidencia, tal como es jurisprudencia del Tribunal
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/58

Supremo, quien en reiteradas ocasiones (por todas, citamos las STS de 24 de octubre
de 2000, 11 de marzo de 2003, 23 de marzo de 2005 y 30 de septiembre de 2009) ha
afirmado que la agravante de reincidencia administrativa debe referirse a hechos que
ya hubieran sido sancionados en otro procedimiento resuelto con anterioridad a la
comisión de la nueva falta.

En consecuencia, esta agravante tampoco debería ser tenida en cuenta, debiendo
minorarse el importe de la sanción o sanciones que finalmente se impongan.

• La circunstancia reseñada en el art. 83.2.k) del RGPD, relativa a la vinculación entre
la actividad empresarial de la reclamada y el tratamiento de datos personales de
clientes.

Afirma TME que el RGPD no establece que esta agravante deba ser apreciada de
facto cuando un responsable trate con carácter general un número elevado o “masivo”
de datos personales, sino con el número de posibles afectados.

Sobre las atenuantes que no han sido tenidas en cuenta por la Agencia en el Acuerdo
de inicio del art. 83.2 del RGPD:

c) Procedió la parte reclamada a solventar la incidencia objeto de reclamación de
forma efectiva: tal como fue señalado en las contestaciones a los requerimientos de
información, la línea objeto de la reclamación fue posteriormente recuperada por el
cliente, lo antes posible y una vez facilitada la documentación solicitada por nuestro
departamento de fraude.

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42: TME ha suscrito los siguientes
códigos de conducta en virtud del art. 40 de la LOPDGDD: • el Código de Conducta de
Autocontrol sobre tratamiento de datos en la actividad publicitaria: se trata de un
sistema de resolución extrajudicial para resolver controversias que surjan entre los
ciudadanos y las entidades adheridas al código con motivo de tratamientos de datos
realizados en el ámbito de la actividad publicitaria. • el Código de Conducta de
Autocontrol para la resolución de controversias de protección de datos en el sector de
las comunicaciones electrónicas: se trata de un procedimiento de mediación en las
materias cubiertas por dicho Código, como, por ejemplo, los casos de suplantación de
identidad, por lo que la cuestión de fondo está intrínsecamente relacionada con dicho
Código de Conducta, lo que debería de resultar en una apreciación de esta atenuante.

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción: TME no ha obtenido ningún beneficio
financiero, es más, se han causado pérdidas económicas directas para TME por la
acción fraudulenta de un tercero, asumiendo dinero de facturas rectificadas y tarjetas
sim, siendo TME completamente ajena a los hechos y una víctima más del engaño del
tercero suplantador.

TME solicita a esta Agencia que, teniendo por presentando en tiempo y forma, el
presente escrito de alegaciones, se sirva admitirlo, y previos los trámites oportunos, en
su virtud:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/58

i. Se declare la nulidad de pleno derecho del Acuerdo de inicio por haberse vulnerado
el procedimiento legalmente establecido, debiendo declararse así mismo la caducidad
de las actuaciones previas de investigación.

ii. Subsidiariamente a lo anterior, que se suspenda el presente procedimiento y se
requiera al Reclamante a fin de que aporte en qué punto está la denuncia interpuesta,
así como el contenido del procedimiento penal que en su caso se encuentre en curso,
con el fin de determinar si existe prejudicialidad penal.

iii. Subsidiariamente segundo, y para el caso que no se declare la nulidad de pleno
derecho del Acuerdo de inicio o su suspensión, que se proceda con el archivo del
presente sancionador por la inexistencia de responsabilidad por parte de TME en
ambas presuntas infracciones que se le imputan, o, al menos, se estimen parcialmente
las alegaciones y se proceda a retirar la propuesta de sanción referente a la ilicitud del
tratamiento en la acción consistente en la gestión del duplicado de tarjeta SIM.

iv. Subsidiariamente tercero, que, en caso de que se considere que la conducta es
típica, antijurídica y culpable, se declare que no ha lugar a considerar la conducta
infractora como dos sanciones independientes, sino como una única con una cuantía
total de 200.000 euros.

v. Subsidiariamente cuarto, y para el caso de que no hayan sido tenidas en cuenta las
peticiones anteriores, ya sea de forma íntegra o parcial mediante la imposición de una
única conducta infractora por un importe de 200.000 euros, se dejen de aplicar las
circunstancias agravantes tenidas en cuenta y se apliquen las circunstancias
atenuantes señaladas establecidas en el art. 83 del RGPD.

OCTAVO: Propuesta de Resolución

Con fecha 21 de abril de 2025 se emitió por el instructor del expediente la propuesta
de resolución y fue notificada electrónicamente en la misma fecha y en la misma se
proponía:

Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a
TME, con NIF A78923125:

a). - Por la infracción cometida por cambio de titularidad de la línea del móvil de la
parte reclamante, sin legitimación para ello, una sanción inicial de 200.000€
(doscientos mil euros) por la presunta infracción del artículo 6.1) tipificada en el
artículo 83.5.a) del citado RGPD.

b). - Por la infracción cometida por realizar un duplicado de la tarjeta SIM de la línea
del móvil de la parte reclamante, una sanción inicial de 200.000€ (doscientos mil
euros) por la presunta infracción del artículo 6.1) tipificada en el artículo 83.5.a) del
citado RGPD.

NOVENO: Alegaciones a la propuesta de Resolución

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/58

Con fecha 21 de abril de 2025, solicitó TME ampliación de plazo para formular
alegaciones a la propuesta de resolución y el 22 del mismo mes y año le fue
concedido y el 14 de mayo de 2025 presentó escrito en el que reproduce,
básicamente, las mismas alegaciones formuladas al acuerdo de apertura del
procedimiento. El contenido de dicho escrito se reseña en el Fundamento de Derecho
IV, de “Contestación a las alegaciones presentadas a la Propuesta de Resolución”.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO. – Cambio de titularidad sin consentimiento

La parte reclamante ha manifestado que, con fecha 15 de marzo de 2023, se quedó
sin servicio en su línea móvil de O2, marca comercial de TME, y que la causa ha sido
por un cambio de titularidad de su línea móvil y que él no ha prestado su
consentimiento y un tercero usurpando su identidad ha hecho cargos no autorizados
en su cuenta bancaría, por un importe total de ***CANTIDAD.1.

SEGUNDO. – Cambio de titularidad vía telefónica

Consta en las actuaciones, las manifestaciones de TME, aceptando la mala praxis de
la gestión: “En el presente caso, el cambio de titularidad de la línea se produjo de
forma telefónica. La solicitud se produjo el día 14 de marzo de 2023 para la línea
***TELÉFONO.2 y puede apreciarse que no se siguió la operativa marcada a tales
efectos.”

TERCERO. – Protocolo para la verificación de la identidad

Según la información aportada por TME, en la fecha del cambio de titularidad
reseñado en el hecho probado segundo por vía telefónica al número 1551, se graba la
solicitud y el agente debe requerir según sus protocolos la siguiente información para
la verificación de la identidad:

 Nombre completo del actual titular.
 DNI del actual titular.
 Los cuatro últimos dígitos de la última factura emitida.
 Solicitud de confirmación de que el actual titular consiente la cesión de la línea.
 En caso de que el número sobre el que se va a realizar la gestión no coincida con
el número desde es el que se está haciendo la llamada para solicitud, se realizará
adicionalmente una llamada de verificación a la citada línea para consentir el
cambio o se enviará de un código temporal de verificación: “Excepcionalmente, en
aquellos casos en los que el cliente no llame desde la línea objeto de modificación,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/58

se realizará una llamada a la citada línea para que el antiguo titular consienta el
cambio o se envía un OTP que deberá facilitar al agente para proceder con la
gestión”.

CUARTO. – Grabación de la llamada de cambio de titularidad

En la grabación de la llamada de cambio de titularidad, se acredita que el control
realizado por el agente del canal telefónico 1551 de TME omite algunos puntos de la
verificación: no se solicitaron los últimos dígitos de última factura y no se envió un
código adicional de verificación ni se hizo una llamada de comprobación a la línea para
la que se estaba realizando el cambio, tal como consta en sus protocolos. La
titularidad se modificó pasando a ser el nuevo titular A.A.A..

QUINTO. – Comprobación cambio de titularidad

Consta en las actuaciones que la parte reclamada manifiesta en relación con el
cambio de titularidad: “No consta en nuestros sistemas que se haya realizado una
llamada de comprobación o un envío de OTP a la línea ***TELÉFONO.2 en la franja
de tiempo de realización de la gestión.”

SEXTO. – Duplicado de tarjeta SIM

Consta que el 15 de marzo de 2023 a las 13:30, día siguiente del cambio de titularidad
de la línea, se expidió en una tienda física de la parte reclamada un duplicado de
tarjeta SIM perteneciente en origen a la línea de la parte reclamante. Tal como
manifiesta la parte reclamada: “consta registrado en nuestros sistemas un cambio de
titularidad de los datos del reclamante a nombre de una segunda persona, realizada
telefónicamente. Hecho esto, ya con los datos de esta segunda persona se solicita el
cambio de tarjeta SIM en una tienda física de Alicante.”

SÉPTIMO. – Solicitud del duplicado de la tarjeta SIM

Consta acreditado que en la solicitud del duplicado de la tarjeta SIM figuraba un DNI
escaneado y verificado mediante la herramienta interna SVIC, correspondiente a un
tercero distinto del reclamante

OCTAVO. – Procedimiento de identificación y verificación de duplicados SIM

Consta acreditado que, en la fecha de emisión del duplicado de tarjeta reseñado en el
Hecho Probado Sexto, se encontraba vigente el siguiente procedimiento de
identificación y verificación del en caso de expedición de duplicados SIM a través de
tiendas físicas autorizadas;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/58

“Se realiza la identificación del cliente con el DNI y se valida su documentación
mediante el sistema interno SVIC. Se deja registro en los sistemas de esta
verificación.
Adicionalmente, se realizará comprobación de seguridad a la línea objeto de la
gestión: “Realización de una llamada de seguridad al número sobre el que se
va a gestionar el duplicado, procediendo a su modificación si el cliente
responde y autoriza el cambio o si no responde, esto último debido a que la
tarjeta SIM ha podido extraviarse o deteriorarse.” y “conforme a operativa
actual, desde el 2 de marzo de 2023, en caso de que el cliente haya realizado
la identificación digital (onboarding digital), se le remitirá un código OTP como
doble factor de autenticación que deberá facilitar al comercial para realizar la
gestión en lugar de la llamada de seguridad anteriormente mencionada”.

Se constata que no se realizó la comprobación indicada en los propios protocolos de
TME de envío de un código temporal de verificación o llamada de comprobación a la
línea.

FUNDAMENTOS DE DERECHO

I Competencia

De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD,
es competente para resolver este procedimiento la Presidencia de la Agencia
Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”

II Cuestiones previas

El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.

Por su parte, el artículo 4.2) del RGPD consagra «tratamiento» como: cualquier
operación o conjunto de operaciones realizadas sobre datos personales o conjuntos
de datos personales, ya sea por procedimientos automatizados o no, como la
recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/58

cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación,
supresión o destrucción;

Además, el artículo 4.7) del RGPD establece que el «responsable del tratamiento» o
«responsable» es: la persona física o jurídica, autoridad pública, servicio u otro
organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si
el Derecho de la Unión o de los Estados miembros determina los fines y medios del
tratamiento, el responsable del tratamiento o los criterios específicos para su
nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros.

El tratamiento de los datos personales de la parte reclamante por parte de TME sin
estar legitimada para ello se ha materializado en el cambio de la titularidad de la línea
móvil y en el duplicado de la tarjeta SIM de la parte reclamante.

TME realiza esta actividad en su condición de responsable del tratamiento dado que
es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7) del
RGPD.

III Contestación a las alegaciones al acuerdo de inicio

Se procede a dar respuesta a las mismas según el orden expuesto por TME.

Primera: Caducidad de las actuaciones de investigación

Afirma la parte reclamada que si la fecha de entrada de la reclamación en la Agencia
fue en fecha de 22 de marzo de 2023 (como consta en el traslado de la reclamación
notificada a TME el 16 de mayo 2023) y su admisión se produjo a los tres meses de su
presentación, en fecha 22 de junio de 2023, las actuaciones previas de investigación y
la adopción del Acuerdo de inicio tendrían que haberse producido con fecha límite el
22 de junio de 2024, fecha a partir de la cual, y conforme a lo estipulado en el art. 67.2
de la LOPDGDD, se debería haber declarado la caducidad de las actuaciones previas
de investigación.

Respecto a dicha cuestión, conviene indicar que la Ley 11/2023, en su disposición final
9.7 modifica el apartado 2 del artículo 67 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales,
relativo a las actuaciones previas de investigación, que dice:

“67.2. Las actuaciones previas de investigación se someterán a lo dispuesto en
la sección 2.ª del capítulo I del título VII de esta ley orgánica y no podrán tener
una duración superior a dieciocho meses a contar desde la fecha del acuerdo
de admisión a trámite o de la fecha del acuerdo por el que se decida su
iniciación cuando la Agencia Española de Protección de Datos actúe por propia
iniciativa”.

En el presente caso, la admisión a trámite de la reclamación presentada se llevó a
cabo en fecha 22 de junio de 2023, en aplicación de lo dispuesto en el artículo 65.5 de
la LOPDGDD, habiendo entrado ya en vigor, con fecha 10 de mayo de 2023, la
modificación llevada a cabo por la Ley 11/2023 del artículo 67.2 de la LOPDGDD, que
establece que las actuaciones previas de investigación no podrán tener una duración
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/58

superior a dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite
o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia
Española de Protección de Datos actúe por propia iniciativa.

Consecuentemente, teniendo en cuenta dicha modificación normativa en vigor desde
el 10 de mayo de 2023, el plazo máximo de duración de las actuaciones previas de
investigación de la reclamación admitida a trámite por acuerdo de 22 de junio de 2023
no podía ser superior a los dieciocho meses. Dicho plazo en el presente supuesto se
inició a partir del 22 de junio de 2023, fecha de admisión de la reclamación presentada
mientras que su finalización tendría lugar el 22 de diciembre de 2024. Antes de la
caducidad de ésta, el acuerdo de inicio del presente procedimiento tuvo lugar en fecha
5 de diciembre de 2024por lo que dicho acuerdo se produjo dentro del citado plazo y
no se ha producido la caducidad de las actuaciones.

Segunda: Prejudicialidad penal

TME manifiesta que el reclamante señala que ha puesto en conocimiento de las
autoridades policiales mediante una denuncia los hechos acaecidos y es por ello que
TME solicita la suspensión de este procedimiento por prejudicialidad penal dada la
íntima relación que existe entre los procedimientos penales y administrativos.

Debe tenerse en cuenta que el art. 77.4 de la LPACAP establece lo siguiente:

“En los procedimientos de carácter sancionador, los hechos declarados
probados por resoluciones judiciales penales firmes vincularán a las
Administraciones Públicas respecto de los procedimientos sancionadores que
substancien”.

Sin embargo, hay que indicar, que no existe la triple identidad necesaria para aplicar el
artículo 77 de la LPACAP (de sujeto, hecho y fundamento) entre la infracción
administrativa que se valora y la posible infracción o infracciones penales que se
pudieran derivar de las presuntas Diligencias Previas practicadas por un órgano
jurisdiccional. Esto, porque el sujeto infractor es obvio que no sería el mismo –respecto
a las infracciones de la LOPDGDD el responsable es TME, en tanto que el
responsable penal de un eventual delito de usurpación de personalidad o estafa sería
el tercero que se hubiera hecho pasar por el reclamante. Tampoco el fundamento
jurídico sería el mismo: mientras el bien jurídico protegido por la LOPDGDD es el
derecho fundamental a la protección de datos personales, el bien jurídico que se
protege en los tipos penales cuya comisión investigaría, llegado el caso, el Juzgado de
Instrucción serían el estado civil, el patrimonio, etc.

En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional (SAN) de
27/04/2012 (rec. 78/2010), en cuyo Fundamento Jurídico segundo el Tribunal se
pronuncia en los siguiente términos frente al alegato de la recurrente de que la AEPD
ha infringido el artículo 7 del R.D. 1398/1993 (norma que estuvo vigente hasta la
entrada en vigor de la LPACAP): “En este sentido el Art. 7 del Real Decreto
1398/1993, de 4 de agosto, del procedimiento para el ejercicio de la potestad
sancionadora, únicamente prevé la suspensión del procedimiento administrativo
cuando se verifique la existencia efectiva y real de un procedimiento penal, si se

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/58

estima que concurre identidad de sujeto, hecho y fundamento de derecho entre la
infracción administrativa y la infracción penal que pudiera corresponder.

No obstante, y para la concurrencia de una prejudicialidad penal, se requiere que ésta
condicione directamente la decisión que haya de tomarse o que sea imprescindible
para resolver, presupuestos que no concurren en el caso examinado, en el que existe
una separación entre los hechos por los que se sanciona en la resolución ahora
recurrida y los que la recurrente invoca como posibles ilícitos penales. Así, y aun de
haberse iniciado, en el presente supuesto, y por los hechos ahora controvertidos,
también actuaciones penales frente a la empresa distribuidora, lo cierto es que tanto la
conducta sancionadora como el bien jurídico protegido son distintos en una y otra vía
(contencioso-administrativa y penal). En el ámbito penal, el bien jurídico protegido es
una posible falsedad documental y estafa, y en el ámbito administrativo, en cambio, la
facultad de disposición de sus datos personales por parte de su titular, por lo que tal
objeción de la demandada ha de ser rechazada”.

En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte
reclamada y debe ser rechazada.

Tercera: Licitud del tratamiento de datos personales en la acción referente al duplicado
de tarjeta SIM.

Cuarta: Licitud del cambio de titularidad de la línea y su tratamiento en base a la
ejecución del contrato del que el reclamante es parte

Manifiesta TME que la acción del duplicado de la tarjeta SIM no puede subsumirse en
el presente caso en el tipo infractor del art. 83.5.a) del RGPD, referente a una falta de
licitud en el tratamiento de datos personales del reclamante, toda vez que en ningún
caso se han tratado los datos personales del indicado reclamante, sino los de un
tercero que era el titular de la línea en el momento de la gestión.

Sostiene TME, en lo referente a la infracción por tratamiento ilícito de datos en lo
referente al cambio de titularidad previo que si bien TME puede concordar con la
Agencia en que no se habría seguido el protocolo establecido en lo tocante a la
segunda llamada de seguridad y la solicitud de los datos de la última factura, no es
menos cierto que la tercera persona suplantadora se habría identificado con los datos
correctos del titular de la cuenta e incluso habría facilitado su cuenta bancaría, datos
que el tercero suplantador conocía de forma previa a la solicitud y fuera de la esfera de
responsabilidad de TME.

A tal respecto, conviene señalar que en el presente caso la infracción se fundamenta
en una falta de licitud en el tratamiento de los datos personales derivado de un
incumplimiento de los protocolos internos de la propia parte reclamada. Así, tal y como
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/58

consta en el hecho probado quinto, en relación con el cambio de titularidad “No consta
en nuestros sistemas que se haya realizado una llamada de comprobación o un envío
de OTP a la línea ***TELÉFONO.2 en la franja de tiempo de realización de la gestión”,
y en relación con el duplicado de la tarjeta SIM, no se realizó la comprobación indicada
en sus protocolos de envío de un código temporal de verificación o llamada de
comprobación a la línea, lo cual supone un incumplimiento de su propia política de
seguridad y un tratamiento ilícito de los datos personales, lo que revela un
incumplimiento de sus propias medidas.

El artículo 6.1 del RGPD establece que el tratamiento de datos personales solo es
lícito si se cumple al menos una de las condiciones previstas en el mencionado
artículo. En este caso, la vulneración del principio de licitud se manifiesta en el
tratamiento indebido de los datos personales de la parte reclamada por un
incumplimiento de su propio protocolo pues, al no verificarse adecuadamente la
identidad del solicitante, la parte reclamada permitió el acceso y tratamiento de datos
personales sin una base jurídica válida. Dicho hecho se traduce en un tratamiento
ilícito de datos, ya que no se cumplieron las condiciones necesarias para garantizar
que el acceso se realizara de forma lícita y de acuerdo con la propia política de
seguridad de la parte reclamada.

Quinta: Protocolos de seguridad de la gestión de solicitudes de cambio de titularidad y
duplicado de tarjeta SIM son suficientes y razonables para garantizar una seguridad
adecuada

TME alega las medidas de seguridad ya trasladadas a esta Agencia, indicando la
operativa relativa a la gestión del duplicado de tarjeta SIM y a la operativa relativa a la
gestión del cambio de titularidad, y señala que no puede imponerse a TME dos
infracciones por una supuesta falta de licitud en el tratamiento porque un determinado
comercial o distribuidor descuide de forma puntual en un caso concreto la aplicación
de todas las medidas definidas en la operativa, imponiéndose así una responsabilidad
objetiva en la cual, independiente de la diligencia y medidas generales que tiene
implementadas (máxime en el caso de la acción referente al duplicado de SIM, donde
el cliente se habría identificado con su DNI y así consta reflejado en sus sistemas), se
declare la culpabilidad de TME.

Respecto a dicha cuestión, conviene indicar que el hecho consistente en el tratamiento
ilícito no se debió a que un tercero superase las medidas de seguridad, sino en
tratamiento consistente en el cambio de titularidad de la línea sin consentimiento de la
parte reclamante, debido al incumplimiento de los protocolos de seguridad internos por
parte de uno de sus agentes, tal y como la propia parte reclamada ha reconocido.
Como se indica en el hecho quinto, el agente no verificó adecuadamente el cambio de
titularidad de la línea móvil, ni el duplicado de la tarjeta SIM, lo cual facilitó el acceso
fraudulento y el tratamiento ilícito de los datos del reclamante.

En este sentido, la mera existencia de una política de seguridad no puede justificar
una adecuación del principio de licitud previsto del artículo 6.1 del RGPD. Además de
existir, estas medidas deben resultar efectivas y el responsable del tratamiento debe
de garantizar que se cumplan estrictamente en todo momento. En caso contrario, las
medidas adoptadas carecen de virtualidad y pueden conllevar tratamientos ilícitos
como ocurrente en el presente caso.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/58

Por lo tanto, la cuestión aquí no radica en el nivel de sofisticación del ataque delictivo
del tercero, sino en el incumplimiento de las propias medidas de seguridad que
permitieron el tratamiento ilícito de datos personales. La parte reclamada no puede
exonerar su responsabilidad apelando a la existencia de medidas cuando el fallo
estuvo en la aplicación de esas medidas, permitiendo una infracción de la licitud del
tratamiento.

El grado de responsabilidad cae dentro de su ámbito y no de terceros, debiendo
señalar que la SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021,
establece que: “Por otro lado, en cuanto al hecho de que nos encontramos ante el
fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec.
54/2012)-: " Precisamente por eso, es necesario asegurarse que la persona que
contrata es quien realmente dice ser y deben adoptarse las medidas de prevención
adecuadas para verificar la identidad de una persona cuyos datos personales van a
ser objeto de tratamiento”.

La actuación de sus agentes no escapa a su control, ya que éstos actúan en nombre
de la parte reclamada y, por tanto, son responsables de cumplir con las políticas de
seguridad. La propia parte reclamada ha reconocido que no se verificó
adecuadamente la solicitud tanto del cambio de titularidad como el duplicado de la
tarjeta SIM, lo que facilitó el acceso no autorizado a los datos personales del
reclamante, lo cual demuestra que la infracción no depende de un tercero, sino de una
falta de cumplimiento dentro de la organización.

Por tanto, la responsabilidad no puede ser desplazada hacia elementos externos. La
parte reclamada es directamente responsable del comportamiento de su personal y de
asegurar que los protocolos de seguridad se apliquen correctamente en cada caso, sin
excepción.

Sexto: Circunstancias que han hecho posible la superación por terceras personas de
las políticas de seguridad implantadas por TME

TME señala que, en el presente caso, el comercial, desconociendo el carácter
antijurídico de la conducta, gestionó el cambio de titularidad de la línea bajo la
creencia de estar realizando un tratamiento de datos lícito. Y en el caso del duplicado
de SIM el nuevo titular se identificó y facilitó su documento de identificación, queda
constatado que TME habría sido víctima de un engaño, haciéndole incurrir en un error
de tipo invencible, hecho excluiría la culpabilidad de la conducta seguida por TME,
debiendo archivarse el presente expediente sancionador.

En relación con esta alegación, amén de lo ya indicado anteriormente, el grado de
responsabilidad cae dentro de su ámbito y no de terceros, debiendo señalar que la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/58

SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por
otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero,
como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por
eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser
y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de
una persona cuyos datos personales van a ser objeto de tratamiento”.

En este sentido, conviene señalar que en el presente caso no se trata de valorar la
actuación de cualquier entidad externa, sino de examinar cómo la parte reclamada
permitió un tratamiento de datos personales sin seguir los procedimientos
establecidos.

La actuación de sus agentes no escapa a su control, ya que estos actúan en nombre
de la parte reclamada y, por tanto, son responsables de cumplir con las políticas de
seguridad. La propia parte reclamada ha reconocido que el agente no verificó
adecuadamente la solicitud, lo que facilitó el acceso no autorizado a los datos
personales del reclamante, lo cual demuestra que la infracción no depende de un
tercero, sino de una falta de cumplimiento dentro de la organización.

Séptimo: Ausencia de tipicidad

Considera que el principio de tipicidad se está vulnerando dado que la conducta
realizada por TME no es subsumible en ninguno de los preceptos cuya infracción se
imputa.

1. Con respecto a la conducta relativa a la falta de licitud relativa a la gestión del
duplicado de la tarjeta SIM y
2. Con respecto a la falta de licitud en el tratamiento de datos en la acción referente al
cambio de titular.

TME se reitera nuevamente en los argumentos ya expuestos, que ya han sido
contestados.

Octavo: Ausencia de culpabilidad

TME alega que tampoco concurre el requisito de culpabilidad en su actuación,
indicando que es doctrina reiterada la que considera que los principios inspiradores del
orden penal son de aplicación al derecho administrativo sancionador, señalando que
uno de los principales componentes de la infracción administrativa es el elemento de la
culpabilidad, lo que presupone que la acción u omisión ha de ser en todo caso
imputable a su autor por malicia, imprudencia, negligencia o ignorancia inexcusable.
Es decir, es necesaria la constatación de la intervención culpable por parte de TME,
que no se ha producido. Por lo que, en tanto no exista conducta culpable, no puede
imponérsele sanción alguna.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/58

Al respecto, resulta significativo que la operadora responsable del tratamiento no
justifique debidamente la concurrencia en su conducta de la diligencia que le era
exigible ni acredite la adopción de las cautelas exigibles para evitar el tratamiento no
consentido del dato de carácter personal que nos ocupa, que debe atribuirse a la
conducta negligente de TME, utilizándose por un tercero los datos personales del
reclamante pasando las medidas de seguridad para realizar el cambio de titularidad de
la línea móvil y el duplicado de la tarjeta E-SIM.

En cuanto a la responsabilidad de TME, debe indicarse que, con carácter general la
operadora trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1.b)
del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato
en el que el interesado es parte o para la aplicación a petición de este de medidas
precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases
previstas en el artículo 6.1.a), c), e) y f) del RGPD.

Por dicha razón, este es un proceso en donde la diligencia prestada por la operadora
es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia
que se traduce en el establecimiento de medidas adecuadas para garantizar que la
persona que contrata es quien dice ser y que se implantan y mantienen medidas
apropiadas para dar cumplimiento al principio de licitud.

El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos
encontramos ante un derecho fundamental a la protección de datos por el que se
garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y
sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la
dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de
datos se configura como una facultad del ciudadano para oponerse a que
determinados datos personales sean usados para fines distintos a aquel que justificó
su obtención.

Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un
derecho autónomo e independiente que consiste en un poder de disposición y de
control sobre los datos personales que faculta a la persona para decidir cuáles de esos
datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este
tercero recabar, y que también permite al individuo saber quién posee esos datos
personales y para qué, pudiendo oponerse a esa posesión o uso.

En cuanto a la conducta de TME se considera que responde al título de culpa. Como
depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o
dedicada específicamente a la gestión de los datos de carácter personal de los
clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir,
desde la óptica de la culpabilidad, estamos ante un error vencible ya que con la
aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones
de identidad se hubieran podido evitar.

Es el considerando 74 del RGPD el que dice: Debe quedar establecida la
responsabilidad del responsable del tratamiento por cualquier tratamiento de datos
personales realizado por él mismo o por su cuenta. En particular, el responsable debe
estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la
conformidad de las actividades de tratamiento con el presente Reglamento, incluida la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/58

eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el
ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y
libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección
de los derechos y libertades de los interesados, así como la responsabilidad de los
responsables y encargados del tratamiento, también en lo que respecta a la
supervisión por parte de las autoridades de control y a las medidas adoptadas por
ellas, requieren una atribución clara de las responsabilidades en virtud del presente
Reglamento, incluidos los casos en los que un responsable determine los fines y
medios del tratamiento de forma conjunta con otros responsables, o en los que el
tratamiento se lleve a cabo por cuenta de un responsable.

Por otro lado, y estrictamente en cuanto a la negligencia en la actuación de TME, cabe
señalar que la SAN -Sala Contencioso-Administrativo- 392/2015, de 17 de noviembre,
que en su Fundamento Jurídico Tercero recoge la doctrina del Tribunal Constitucional
sobre la aplicación al derecho administrativo sancionador de los principios del orden
penal, en los siguientes términos:

El Tribunal Constitucional ha declarado reiteradamente que los principios del orden
penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos
matices, al derecho administrativo sancionador, al ser ambos manifestaciones del
ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el
ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya
virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin
acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y
164/2005).

El principio de culpabilidad, garantizado por el artículo 25 de la Constitución, limita el
ejercicio del "ius puniendi" del Estado y exige, según refiere el Tribunal Constitucional
en la sentencia 129/2003, de 20 de junio, que la imposición de la sanción se sustente
en la exigencia del elemento subjetivo de culpa, para garantizar el principio de
responsabilidad y el derecho a un procedimiento sancionador con todas las garantías
(STS de 1 de marzo de 2012, Rec. 1298/2009).

Ciertamente, el principio de culpabilidad, previsto en el artículo 130.1 de la Ley
30/1992, de 26 noviembre, de Régimen Jurídico de las Administraciones Públicas y del
Procedimiento Administrativo Común, dispone que solo pueden ser sancionados por
hechos constitutivos de infracción administrativa los responsables de los mismos, aún
a título de simple inobservancia. Obviamente, ello supone que dicha responsabilidad
sólo puede ser exigida a título de dolo o culpa, quedando desterrada del ámbito del
derecho administrativo sancionador la llamada "responsabilidad objetiva", y
comprendiendo el titulo culposo la imprudencia, negligencia o ignorancia inexcusable.
Esta "simple inobservancia" no puede ser entendida, por tanto, como la admisión en el
derecho administrativo sancionador de la responsabilidad objetiva, pues la
jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus STS de 24 y
25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después
de su STC 76/1990 ), destacan que el principio de culpabilidad, aún sin reconocimiento
explícito en la Constitución, se infiere de los principios de legalidad y prohibición de
exceso ( artículo 25.1 CE ), o de las propias exigencias inherentes a un Estado de
Derecho, por lo que se requiere la existencia de dolo o culpa (en este sentido STS de
21 de enero de 2011, Rec. 598/2008).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/58

No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se
corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables
a la conducta humana. De modo que, en el caso de infracciones cometidas por
personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se
aplica necesariamente de forma distinta a como se hace respecto de las personas
físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de
la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción
jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido
estricto, pero no la capacidad de infringir las normas a las que están sometidos.
Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien
jurídico protegido por la norma que se infringe y la necesidad de que dicha protección
sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona
jurídica que está sujeta al cumplimiento de dicha norma " (en este sentido STS de 24
de noviembre de 2011, Rec. 258/2009).

A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en las STS de 9 de octubre de 2009, Rec. 5285/2005 , y de 23
de octubre de 2010, Rec. 1067/2006 , que "aunque la culpabilidad de la conducta
debe también ser objeto de prueba, debe considerarse en orden a la asunción de la
correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos
necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su
exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente
normativa, que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia; no basta, en suma, para la exculpación frente a un comportamiento
típicamente antijurídico la invocación de la ausencia de culpa".

Así, en el caso que nos ocupa, una vez analizadas las circunstancias concretas del
caso, se ha podido determinar que TME no cumplió con sus propias medidas e
instrucciones de seguridad en relación con el duplicado de la tarjeta SIM, que han
conllevado un tratamiento ilícito.

Efectivamente, rige en el Derecho Administrativo sancionador el principio de
culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público,
LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición
indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la
LRJSP, “Responsabilidad”, dice:

“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa
las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de
obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los mismos a
título de dolo o culpa.”

A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de
dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de
cuidado.

El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las
sanciones administrativas participan de la misma naturaleza que las penales, al ser
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/58

una de las manifestaciones del ius puniendi del Estado, y que, como exigencia
derivada de los principios de seguridad jurídica y legalidad penal consagrados en los
artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas.

A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19
de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el
elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a
como se hace respecto de las personas físicas y añade que “Esta construcción distinta
de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia
naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el
elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las
que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que
deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que
dicha protección sea realmente eficaz [...]”.

Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha
dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la
“capacidad de infringir las normas a las que están sometidos”. “Capacidad de
infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la
necesidad de que dicha protección sea realmente eficaz [...]”.

En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de
responsabilidad proactiva), conforme al cual el responsable del tratamiento será
responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí
interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de
demostrar su cumplimiento. El principio de proactividad transfiere al responsable del
tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder
demostrar dicho cumplimiento.

El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido
durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son
aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es
la obligación del responsable del tratamiento de aplicar medidas que, en
circunstancias normales, garanticen que en el contexto de las operaciones de
tratamiento se cumplen las normas en materia de protección de datos y en tener
disponibles documentos que demuestren a los interesados y a las Autoridades de
control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en
materia de protección de datos.

El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a
adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder
demostrar” que el tratamiento es conforme con el RGPD. El precepto establece:

“Responsabilidad del responsable del tratamiento”
“1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento,
así como los riesgos de diversa probabilidad y gravedad para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará medidas
técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el
tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y
actualizarán cuando sea necesario.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/58

2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre
las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del
responsable del tratamiento, de las oportunas políticas de protección de datos.
3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados
como elementos para demostrar el cumplimiento de las obligaciones por parte del
responsable del tratamiento.”

El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”,
establece:
“1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza,
ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y
gravedad que entraña el tratamiento para los derechos y libertades de las personas
físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los
medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y
organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma
efectiva los principios de protección de datos, como la minimización de datos, e
integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del
presente Reglamento y proteger los derechos de los interesados.
2.[...]”.

Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que,
después de referirse a que las entidades en las que el desarrollo de su actividad
conlleva un continuo tratamiento de datos de clientes y terceros han de observar un
adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que
existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir,
cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del
grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto,
y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la
recurrente es de constante y abundante manejo de datos de carácter personal ha de
insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al
respecto.

Por otra parte, en relación con el uso ilícito de los datos por un tercero, efectivamente
para completar la estafa, es necesario que un tercero “suplante la identidad” del titular
de los datos, para el cambio de titularidad de la línea móvil y el duplicado de la tarjeta
SIM. Lo que conlleva a priori, un tratamiento al margen del principio de licitud pues un
tercero está tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además
de la vulneración de otros principios como el de confidencialidad.

Por dicha razón, este es un proceso en donde la diligencia prestada por las
operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD.
Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar
que se implantan y mantienen medidas de seguridad apropiadas para proteger
eficazmente la confidencialidad, integridad y disponibilidad de todos los datos
personales de los cuales son responsables, o de aquellos que tengan por encargo de
otro responsable.

Noveno: Incumplimiento del principio de proporcionalidad en las sanciones

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/58

TME entiende que las sanciones establecidas en el Acuerdo de inicio vulneran el
principio de proporcionalidad que debe regir en la potestad sancionadora que tiene la
Administración y manifiesta su disconformidad con la cuantía de las sanciones
propuestas en el Acuerdo de inicio, señalando que existe una unidad de acción y de
resultado en las infracciones imputadas y, por tanto, la infracción tendría que ser
considerada como una y única.

Consecuentemente y atendiendo a lo anteriormente indicado, se solicita que en caso
de imponerse una sanción, ésta sea única de 200.000 euros, en lugar de dos
sanciones de 200.000 euros cada una.

Sobre las agravantes tenidas en cuenta no aplicables al caso concreto: En cualquier
caso, ya se considere una o dos infracciones, a juicio de TEM, no concurrirían en el
presente caso ninguna de las agravantes que han sido tenidas en cuenta por la
Agencia para la determinación del importe de las sanciones.

En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé
expresamente la posibilidad de graduación, mediante la previsión de multas
susceptibles de modulación, en atención a una serie de circunstancias de cada caso
individual. Estas circunstancias han sido tenidas en cuenta a la hora de fijar la sanción.

En el presente procedimiento sancionador, la sanción se impone debido a que TME
modificó la titularidad de la línea móvil del reclamante a un tercero, sin haber seguido
el procedimiento de verificación implementado por ella misma y hecho esto se solicita
el cambio de tarjeta SIM por dicho tercero, sin el consentimiento del reclamante y sin
verificar la identidad de dicho tercero, y por este motivo se imputa el artículo 6.1 del
RGPD.

TME solicita que se aprecien circunstancias atenuantes del artículo 83.2 del RGPD.

No se admite ninguna de las circunstancias invocadas.

La parte reclamada manifiesta que procedió a solventar la incidencia objeto de la
reclamación de forma efectiva, pero hay que señalar que entra en el cumplimiento de
sus obligaciones legales -por lo que aquí interesa del principio de licitud- la reclamada
debe de actuar con la diligencia que las circunstancias del caso exigen y está obligada
a adoptar las medidas técnicas y organizativa que le permitan cumplir y poder
acreditar el cumplimiento de los principios de protección de datos.

Así, en cualquier infracción de la normativa en materia de protección de datos ha de
concurrir la existencia de intencionalidad o de negligencia. Y ello tanto a un
responsable de tratamiento persona física, como persona jurídica, ya sea una pequeña
empresa con poca vinculación con el tratamiento de datos personales, ya sea una

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/58

gran empresa, una multinacional, etc, y con tratamientos de datos personales de forma
continua y a gran escala, por ejemplo.

Por tanto, una vez determinado que, como premisa, concurre este elemento subjetivo
culpabilístico de base, ello no obsta que se pueda considerar esta circunstancia como
agravante por considerar que, de conformidad con las circunstancias concretas del
caso, se considere un diferente grado de intencionalidad o de negligencia en el actuar
del sujeto infractor. Pero, en ningún caso, esta circunstancia puede considerarse como
un atenuante en el sentido que argumenta TME por cuanto, como se ha dicho,
supondría.

A propósito del grado de diligencia que el responsable del tratamiento está obligado a
desplegar cabe citar la sentencia de la Audiencia Nacional, Sala de lo Contencioso
Administrativo, de 17 de octubre de 2007 (Rec. 63/2006) en la que recoge que “...el
Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con
la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso
ahora examinado, cuando la actividad de la recurrente es de constante y abundante
manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado
por ajustarse a las prevenciones legales al respecto”.

TME alega que debe ser considerada como atenuante la adhesión por parte de la
misma al sometimiento a mecanismos de resolución de conflictos.

El Código de Conducta de Tratamiento de Datos en la Actividad Publicitaria. El objetivo
principal de este Código permite que los usuarios que lo deseen cuando entiendan
infringidos sus derechos de protección de datos en el marco de una actividad
publicitaria, tales como: la recepción de publicidad no deseada, el ejercicio de
derechos relacionados con la publicidad (como el de oposición), y el tratamiento de
datos en promociones publicitarias o a través de cookies publicitarias, entre otros, que
no es el caso, por lo que no puede considerarse como atenuante.

El Código de Conducta de Autocontrol para la resolución de controversias de
protección de datos en el sector de las comunicaciones electrónicas fue aprobado con
fecha 17 de octubre de 2024, por la Agencia Española de Protección de Datos y
plenamente aplicable a partir del 17 de diciembre de 2024. Hay que tener en cuenta
que la reclamación se interpuso ante esta Agencia el 22 de marzo de 2023, fecha en la
que todavía no era aplicable el citado código de conducta.

Sobre la aplicación del artículo 76.2.c) de la LOPDGDD, en conexión con el artículo
83.2.k), inexistencia de beneficios obtenidos, cabe señalar que tal circunstancia solo
puede operar como agravante y en ningún caso como circunstancia atenuante.

El artículo 83.2.k) del RGPD se refiere a “cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las
pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo
76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.k) del
Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..] c) Los beneficios
obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/58

mencionan como factor que puede tenerse en cuenta en la graduación de la sanción
los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que TME alega.

Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa
está presidida por los siguientes principios: deberán estar individualizadas para cada
caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere
como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1
del RGPD y a los principios por los que se rige la determinación del importe de la
sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como
atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que
se cumple a través de la sanción. Aceptar la tesis de TME en un supuesto como el que
nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente
procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2
RGPD que sí deben de ser valoradas.

La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el
hecho de que en un supuesto concreto no estén presentes todos los elementos que
integran una circunstancia modificativa de la responsabilidad que, por su naturaleza,
tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable
en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su
SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse
sobre la circunstancia del apartado e) del artículo 83.2. del RGPD, la comisión de
infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la
reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así
que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”.

IV Contestación a las alegaciones presentadas a la Propuesta de Resolución

TME comienza su escrito de alegaciones haciendo referencia a una serie de aspectos
que califica como cuestiones previas.

CUESTIONES PREVIAS:

- Nulidad de pleno derecho de la propuesta de resolución. Basa dicha afirmación
en la consideración de que la misma adolece de falta de motivación suficiente ya que
considera que no contiene todos los elementos esenciales exigibles conforme al
artículo 89 de la LPACAP. Y ello porque entiende que se ignoran por parte de esta
agencia alegaciones y pruebas aportadas por TME que son esenciales, causando
indefensión. A ello añade que no existe congruencia entre las infracciones imputadas y
los argumentos jurídicos empleados puesto que se citan fundamentos de derechos,
hechos o asuntos que no tienen que ver con el procedimiento. Asimismo, sostiene que
la propuesta de resolución se ha dictado sin tener en consideración alegaciones
previas que resultan de especial relevancia, en particular, la referente a que, en el
supuesto de que se considerara que la acción es típica, antijuridica y culpable, sería
una única infracción y no dos. Por último, se reafirma en la caducidad de las
actuaciones previas de investigación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/58

A este respecto hay que indicar, en primer lugar, que no puede considerarse que exista
una falta de motivación en la Propuesta de Resolución en tanto en cuanto en la misma
se hace una sucinta referencia de: el momento en que se detectaron los hechos
infractores, el hecho infractor en sí, la indicación del responsable; los fundamentos de
Derecho o calificación jurídica de los referidos hechos habiéndose expuesto,
pormenorizadamente, los incumplimientos a la normativa de protección de datos; una
exteriorización formalizada y motivada de las razones que han llevado al órgano
competente a proponer en ese sentido y por último y no menos importante, constan,
en el expediente los documentos en los que se funda la decisión.

La exigencia de la motivación de los actos administrativos responde, según reiterada
doctrina jurisprudencial, de la que es exponente la Sentencia del Tribunal Supremo de
16 de julio de 2001, a la finalidad de que el interesado pueda conocer con exactitud y
precisión el cuándo, cómo y por qué de lo establecido por la Administración, con la
amplitud necesaria para la defensa de sus derechos e intereses, permitiendo también,
a su vez, a los órganos jurisdiccionales el conocimiento de los datos fácticos y
normativos que les permitan resolver la impugnación judicial del acto, en el juicio de su
facultad de revisión y control de la actividad administrativa, lo que no incluye un
derecho a la concesión de lo pedido, pues como aclara la Sentencia, de 4 de abril de
2012, del Tribunal Supremo “nadie tiene derecho a que se le dé la razón, sino a que
decisión que se le brinda ofrezca la explicación necesaria para que el administrado
pueda conocer con exactitud y precisión el contenido del acto”.

La Propuesta de Resolución está motivada por cuanto ha permitido conocer
debidamente las razones de hecho y de Derecho que fundamentan la misma,
poniéndole en condiciones objetivas de alegar lo que considere oportuno.

Por tanto, no puede considerarse que se haya ocasionado indefensión, y, por tanto, no
es susceptible de ocasionar la nulidad de pleno derecho o anulabilidad.

Por otro lado, se considera que tampoco cabe entender que concurra indefensión de la
interesada por el hecho de que subjetivamente considere que la Propuesta de
resolución sancionadora no analiza ni desbroza completamente los argumentos dados
frente al Acuerdo de Inicio, cuando en su propio escrito formula una defensa de fondo
sobre la procedencia o no de la imposición de la sanción; cuando también el
expediente contiene los elementos que dan razón y explican el actuar administrativo;
cuando la actora no ejercita una pretensión anulatoria por vicios formales sino que
también reclama el pronunciamiento de reconocimiento de situación jurídica
individualizada que se concreta en que se deje sin efecto la Propuesta de resolución
sancionadora o se reduzca el importe de la multa impuesta, como pronunciamiento
expreso de la jurisdicción que se imponga a la Administración demandada; y cuando,
por último, de acogerse la nulidad por la razón formal que analizamos se perjudicaría
el principio de economía procedimental, dándose lugar a una retroacción de las
actuaciones para que en definitiva se dicte una Propuesta de resolución idéntica con
los mismos fundamentos y elementos de prueba que el expediente remitido revela.

Pues bien, para que pueda apreciarse la existencia de indefensión no resulta
suficiente con que se haya producido una infracción formal, sino que ha de haberse
producido una indefensión de carácter material, en palabras del TC, STC 290/1993,
fundamento jurídico 4 “ Para que pueda estimarse una indefensión con relevancia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/58

constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y
defender en el proceso sus derechos, no basta con una vulneración meramente
formal, siendo necesario que de esa infracción formal se derive un efecto material de
indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998,
fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los
interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989,
fundamento jurídico 2º)".

Sobre este particular también se ha pronunciado la Audiencia Nacional, en otras, en su
Sentencia, Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de junio de 2009
(rec. 638/2008), la cual señala que, “esta Sala ha reiterado en numerosísimas
ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina
del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del
acto recurrido, es preciso que no se trate de meras irregularidades procedimentales,
sino de defectos que causen una situación de indefensión de carácter material, no
meramente formal, esto es, que las mismas hayan originado al recurrente un
menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo
(SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”, lo
que no ocurre en este caso.

Asimismo, y en relación con la supuesta caducidad de las actuaciones previas de
investigación, procede, en primer lugar, reiterarse en lo ya expresado en el
fundamento jurídico anterior. Y es que, tal y como, se insiste, ya se puso de manifiesto,
en el momento en el que se produjo la admisión a trámite de la reclamación
presentada (22 de junio de 2023), el artículo 67.2 de la LOPDGDD, conforme a la
modificación recogida en la Ley 11/2023, determinaba una duración de las actuaciones
previas de investigación de 18 meses a contar desde la fecha del acuerdo de admisión
a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la
Agencia Española de Protección de Datos actúe por propia iniciativa. En este caso el
acuerdo de admisión de la reclamación se produjo el 22 de junio de 2023, fecha de
inicio de las actuaciones previas de investigación, por lo que no cabe entender
aplicable la disposición transitoria de la Ley 39/2015, pues en la fecha de entrada en
vigor de la Ley 11/2023 no existía ningún «expediente ya iniciado».
Consecuentemente, la finalización del plazo iniciado en el presente caso el día 22 de
junio de 2023, se produciría el día 22 de diciembre de 2024, habiéndose emitido el
acuerdo de inicio del presente procedimiento en fecha 5 de diciembre de 2024, antes
por tanto de producirse la caducidad.

Y es que, tal y como ya se puso de manifiesto, la modificación de la norma afecta al
cómputo de un plazo, -el de duración del trámite potestativo de actuaciones previas de
investigación-, que transcurre, en su integridad, en fecha posterior a dicha
modificación por lo que difícilmente puede entenderse que comenzara con anterioridad
a la producción de la misma.

- Prejudicialidad penal. A este respecto, insisten en la relevancia de determinar si
el contenido de las investigaciones es similar o trascendente para este procedimiento.
Reconocen la falta de identidad entre lo sujetos, pero consideran que el presente
procedimiento se podría ver directamente afectado por el resultado de las actuaciones
judiciales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/58

En relación con esta alegación, esta Agencia reitera lo ya señalado al respecto en la
propuesta de resolución y que consta reproducido en el Fundamento de Derecho
anterior. Además, esta AEPD no puede valorar la incidencia que pudiera tener en este
procedimiento un eventual pronunciamiento judicial, por cuanto ni siquiera la parte
reclamada ha aportado al procedimiento acreditación de la existencia en vía judicial de
tal procedimiento penal.

- Hechos que motivan la propuesta de resolución.

o Tratamiento de datos personales en la gestión del duplicado de la tarjeta
SIM: TME entiende que el tratamiento de datos realizado cuenta con una
base de legitimación cual es la necesidad de ejecutar el contrato que el
titular de la línea firmó tratándose para ello, exclusivamente los datos de la
persona que constaba en sus sistemas.

Respecto a la concurrencia de una base de legitimación para la realización de un
duplicado de tarjeta SIM, esta Agencia considera que el mismo no existía en el
presente caso. Y ello por cuanto resulta evidente que, para poder actuar como se hizo,
era necesario contar con la voluntad del reclamante que era el titular del contrato con
TME y al que no se informó de la tramitación de dicha solicitud hasta la finalización de
la misma y de manera indirecta. Dicha información y necesidad de verificación la
contempla la propia TME en sus protocolos de actuación cuando determina como
preceptiva la necesidad de contar con una confirmación adicional mediante código
temporal o llamada de verificación. También se detalla la particularidad de que en caso
de que dicha comprobación adicional no haya sido llevada a cabo (por ejemplo, por no
atender la llamada), en el supuesto de que haya habido un cambio de titular en los
últimos 5 días no se tramitaría el duplicado.

o Tratamiento lícito de los datos en la gestión del cambio de titularidad de
línea: a este respecto, también considera TME, tal y como puso de
manifiesto en sus alegaciones frente al acuerdo de inicio, que el tratamiento
de datos se produce bajo el paraguas de la misma base legitimadora
contemplada en el artículo 6, la ejecución del contrato. Argumenta que, toda
vez que un cliente solicita un cambio de titularidad, necesariamente se han
de tratar sus datos para gestionar dicha solicitud y que, por lo tanto, aquí
tampoco se produjo incumplimiento por su parte.

A este respecto no queda sino comenzar reiterándonos en lo ya dicho al respecto en la
propuesta de resolución. A ello hay que añadir que, aun cuando ahora se afirme que
su actuación fue conforme a derecho, esto no puede ser aceptado. Se insiste, una vez
más, en que se produjo un tratamiento inadecuado de los datos, no verificándose
correctamente la identidad del interlocutor y modificando, por tanto, los datos del
reclamante al sustituirlos por los de un tercero sin que éste llegara a poder manifestar
en momento alguno su aceptación de dicha modificación que tuvo como resultado la
supresión de sus datos como titular del contrato pasando éste a estar a favor de un
tercero.

o Medidas de seguridad implementadas se consideran acordes con la
obligación de medios establecida en el RGPD. Se reafirma una vez más
TME en que sus medidas sí que son adecuadas y que no se le puede
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/58

imputar una responsabilidad objetiva. Considera que, puesto que tanto en
los contratos firmados con los proveedores del canal presencial como en
los firmados con proveedores del canal telefónico, impone una serie de
obligaciones que rigen la relación entre TME y éstos, en las que se da
especial importancia al cumplimiento de las obligaciones establecidas en
normativa de protección de datos y, en particular, a la correcta identificación
de clientes, no puede ser considerada responsable de los incumplimientos
puntuales y excepcionales de la operativa que se hayan podido llevar a
cabo por parte del personal contratado por los encargados del tratamiento
que intervienen en este tipo de procesos.

Respecto a la afirmación hecha por TME sobre la idoneidad de las medidas
establecidas por ella para garantizar la seguridad del tratamiento y la falta de
responsabilidad a ella imputable, parece necesario reseñar que el actual
procedimiento no se fundamenta en la insuficiencia o adecuación de medidas de
seguridad, sino en una falta de licitud en el tratamiento de los datos personales que
conlleva, por un lado, el cambio de titularidad de una línea telefónica y, por otro, la
emisión de un duplicado de tarjeta y su entrega a un tercero no autorizado, sin que el
titular de la misma tuviera si quiera conocimiento de tales tratamientos. Téngase en
cuenta que en este procedimiento nada se dice sobre la debilidad de los
procedimientos implementados por TME para la identificación de los interesados, sino
en la deficiente identificación del reclamante para efectuar el cambio de titular y en la
falta de aplicación de medidas destinadas a garantizar que el duplicado de la tarjeta
SIM se entregaba al verdadero titular del número de teléfono.

El artículo 6.1 establece que el tratamiento de datos personales solo es lícito si se
cumple al menos una de las condiciones previstas en el mencionado artículo. Y el
artículo 24.1 del RGPD especifica que es el responsable del tratamiento el que debe
aplicar las medidas técnicas y organizativas apropiadas a fin de garantizar y poder
demostrar que el tratamiento es conforme con el RGPD y que dichas medidas se
revisarán y actualizarán cuando sea necesario. Es, por tanto, el responsable del
tratamiento quien ostenta la obligación de garantizar el cumplimiento de las
disposiciones normativas y, por tanto, quien debe responder de su incumplimiento, El
responsable del tratamiento no puede exonerarse de sus obligaciones trasladando la
carga a encargados o proveedores creando zonas de impunidad,

En este caso, TME manifiesta que los hechos fueron realizados por proveedores, sin
acreditar qué proveedor en concreto incurrió en tales incumplimientos ni si se trató de
distintos proveedores. La responsabilidad de TME de realizar un tratamiento de datos
lícito, conforme al art. 6 del RGPD, no puede quedar eliminada por el hecho de que
actuara a través de proveedores, pues no resulta admisible diluir la responsabilidad en
terceros.

o Existe unidad de acto que daría lugar a una única infracción. Concluye su
exposición preliminar señalando que, aun en el supuesto de que la Agencia
considerara que sí que se había producido una conducta infractora, ésta
sería única. Prosigue aduciendo que existe en los hechos una clara unidad
de acción y que, por lo tanto, en caso de ser sancionable, lo sería como
una única infracción. En apoyo de dicha tesis., cita un precedente (ref
EXP202207989) en el que la Agencia sancionó con una única infracción del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/58

artículo 6.1 RGPD la emisión de un duplicado de tarjeta SIM tras un cambio
de titularidad de la línea. Argumenta que lo contrario supondría una
vulneración del principio de non bis in idem.

En relación con la supuesta unidad de acción aducida por TME, esta agencia procede
a estimar la alegación por considerar que, si bien se produjeron dos operaciones de
tratamiento ilícitas, ambas se encuentran vinculadas entre sí y por ello se considera
que existe una única infracción del artículo 6 del RGPD, procediendo el archivo de una
de ellas. Ahora bien, lo anterior no supone una modificación de los hechos probados
que deben ser debidamente valorados a la hora de determinar la gravedad de la
infracción y graduar el importe de la multa.

A continuación, procede a desarrollar sus alegaciones en relación con los fundamentos
de derecho reproduciendo, en gran medida, lo aducido frente al acuerdo de inicio del
presente procedimiento.

1. AUSENCIA DE TIPICIDAD.

Insiste TME en que su conducta no es subsumible en el precepto cuya infracción se le
imputa. Y ello porque, por un lado, entiende que concurre una base de legitimación en
la gestión del duplicado de la tarjeta SIM puesto que en el momento de los hechos
dicha tarjeta no estaba a nombre del reclamante sino de un nuevo titular siendo los
datos tratados los de éste. Y, por otro, porque la gestión del cambio de titularidad se
realizó en apariencia de buen derecho al amparo de la base de legitimación de
ejecución del contrato.

A este respecto se procede a reiterar lo ya indicado con anterioridad, tanto en el marco
de la presente resolución como en la propuesta de resolución emitida. A ello añadir
que, el titular del contrato seguía siendo el reclamante, toda vez que se había
tramitado un cambio irregular de titularidad al no contar con el consentimiento de la
persona que había contratado el servicio. Además, TME ha establecido protocolos
para la prevención de los riesgos derivados de la expedición de un duplicado de tarjeta
SIM, sin embargo, las comprobaciones establecidas en sus protocolos, en particular, el
envío de un código temporal de verificación o llamada de comprobación a la línea, que
hubieran evitado en este caso un tratamiento sin consentimiento no se realizaron.

Es decir, la imputación en este caso no se fundamenta en la insuficiencia o adecuación
de medidas de seguridad, sino en una falta de licitud en el tratamiento de los datos
personales que conlleva la emisión de un duplicado de tarjeta y su entrega a un
tercero no autorizado, sin que el titular de la misma tuviera si quiera conocimiento de
tales tratamientos.

. TME emitió un duplicado de tarjeta SIM sin contar con el consentimiento del titular de
la línea y lo entregó a un tercero sin una base jurídica válida. Dicho hecho se traduce
en un tratamiento ilícito de datos que incumple el art. 6 del RGPD.

2. VULNERACIÓN DEL PRINCIPIO DE LEGALIDAD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/58

A este respecto, TME entiende que la Agencia hace una interpretación extensiva del
tipo que está prohibida en nuestro ordenamiento jurídico. Basa su consideración en el
hecho de considerar que todas las argumentaciones de la agencia vienen referidas a
la falta de diligencia en el seguimiento de los protocolos establecidos para la gestión lo
cual, a su entender, derivaría, en su caso, en una posible infracción relacionada con la
vulneración de los protocolos de seguridad o un quebrantamiento por la falta de
diligencia seguida en el seguimiento de las medidas de seguridad, lo que no tendría
encaje en el presupuesto típico relativo a un posible tratamiento ilícito de los datos
personales de la persona reclamante.

Respecto a una posible interpretación extensiva del tipo se procede a aclarar que en
ningún caso esta agencia fundamenta la inexistencia de una base de legitimación para
los hechos descritos en el presente procedimiento en el establecimiento y
cumplimiento por parte de TME de unas medidas de seguridad adecuadas al riesgo.
De lo contrario, la imputación sería por el incumplimiento de otros artículos del RGPD
en los que se recoge expresamente esas circunstancias.

Las referencias recogidas en el presente expediente a las medidas adoptadas y
seguidas o no por parte de TME vienen referidas a la obligación del responsable de
dar cumplimiento al art. 6 del RGPD que exige necesariamente la adopción de las
medidas previstas en el art. 24 del RGPD, esto es de aplicar medidas técnicas y
organizativas apropiadas, sean de seguridad o de otra naturaleza, para garantizar y
poder demostrar que el tratamiento se realiza con una base de legitimación. En
consecuencia, garantizar un tratamiento lícito implica la implementación de medidas
técnicas y organizativas que aseguren la validez de la base. El hecho de que TME
haya implementado protocolos de seguridad para garantizar el cumplimiento del art. 6
del RGPD en distintos escenarios, no conlleva que su deficiente aplicación suponga
una infracción del art. 32 del RGPD, sino del art. 6, por cuanto su incorrecta o
incompleta aplicación impide garantizar la licitud del tratamiento conforme al art. 6, lo
que ha derivado en las operaciones de tratamiento sin base legitimadora que ahora se
imputan.

3. CONDUCTA DE TME NO ES ANTIJURIDICA.
Afirma TME, nuevamente, que su conducta no está prohibida por el ordenamiento
jurídico puesto que no se han tratado los datos del reclamante para la gestión del
duplicado SIM, su comercial se vio engañado por un tercero suplantados en la gestión
del cambio de titularidad y en ambos casos, su actuación se produjo en apariencia de
buen derecho.

Como se indicó en comentario a la PR y ahora se reitera, la conducta descrita se
enmarca claramente dentro del tipo imputado puesto que el cambio de titularidad no
fue consentido por el que contrató el servicio y en consecuencia continúa siendo su
legítimo titular, sin que las medidas aplicadas por TME garantizaran la licitud del
tratamiento.

En cuanto al cambio de titularidad, se trae a colación por cuanto resulta de especial
interés la doctrina declarada por el Tribunal Supremo, Sala de lo Contencioso-
Administrativo, Sección Tercera, en Sentencia de 13/12/2021 (recurso de casación
núm. 6109/2020), que analiza un supuesto de suplantación de identidad para una
contratación on line, en el que se cuestiona la actuación llevada a cabo por la entidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/58

recurrente para verificar que contrataba con el verdadero titular de los datos y se
sanciona por el tratamiento ilícito de los datos personales del interesado.

Según el auto de admisión del citado recurso de casación, “la cuestión que presenta
interés casacional objetivo para la formación de la jurisprudencia consisten en
interpretar la normativa de protección de datos de carácter personal vigente a efectos
de aclarar si la intervención fraudulenta de un tercero, que suplanta la identidad de
otra persona en una contratación on line, permite excluir que haya existido infracción
por falta del necesario consentimiento inequívoco para el tratamiento de los datos
personales que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, por
entender que la empresa contratante actuó con diligencia suficiente y en la creencia de
que contrataba con el verdadero titular de tales datos”.

En esta Sentencia se declara lo siguiente:

“TERCERO.- Respuesta de la Sala a la cuestión de interés casacional señalada en el
auto de admisión del recurso de casación.

En respuesta a la cuestión que plantea el auto de admisión del presente recurso de
casación debemos declarar que la intervención fraudulenta de un tercero, que
suplanta la identidad de otra persona en una contratación on line, no excluye que la
empresa contratante, que lleva a cabo el tratamiento de los datos personales, haya
podido incurrir en infracción por falta del necesario consentimiento inequívoco que
exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues aquella
intervención fraudulenta de un tercero no implica por sí misma que la empresa
contratante haya actuado con diligencia suficiente.

Lo anterior no significa que se haga recaer sobre la empresa contratante la
responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la
utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible
a dicha empresa contratante, como diligencia necesaria para que no se le pueda
reprochar el incumplimiento de sus obligaciones en materia de protección de datos de
carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del
interesado como en lo relativo al principio de veracidad y exactitud de los datos- la
implantación de medidas de control y verificación tendentes a asegurar que la persona
que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI
aportado”.

No se trata, por tanto, de atribuir responsabilidad a TME por la mera constatación del
tratamiento de datos ilícito, sino por la ausencia de diligencia en la aplicación de
controles para asegurar que el tratamiento de los datos del reclamante se realizaba
con base de legitimación.

4. AUSENCIA DE CULPABILIDAD.

Se reitera igualmente a este respecto en la falta de culpabilidad que impediría la
imposición de sanción alguna. Insiste en haber mostrado una voluntad inequívoca de
proceder conforme a Derecho, no pudiéndose inferir intencionalidad alguna en su
comportamiento ni ser aceptable en derecho administrativo la responsabilidad objetiva.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

45/58

Ampara dichas afirmaciones en la consideración de que cuenta con medidas técnicas
y organizativas apropiadas que garantizan un nivel de seguridad adecuado al riesgo.

Respecto a esta alegación procede igualmente reiterarse en lo ya aducido en la
propuesta de resolución y reproducido en el fundamento anterior.

No se puede estar más de acuerdo en que no cabe sanción económica si no hay
concurrencia de intencionalidad o negligencia en la infracción. Pero yerra la parte
recurrente al entender que no ha habido conducta negligente por su parte.

A tal efecto, se hace necesario referirnos a la invocada Sentencia del Tribunal de
Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-
807/21 (Deutsche Wohnen), que indica:

“76 A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una
infracción se ha cometido de forma intencionada o negligente y, por ello, puede
sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un
responsable del tratamiento puede ser sancionado por un comportamiento
comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter
infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del
RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y
otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo
de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de
marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244,
apartado 97).” (el subrayado es nuestro).

En la misma línea se expresan los órganos jurisdiccionales de nuestro país. Así, la
Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone:

“La recurrente también mantiene que no concurre culpabilidad alguna en su actuación.
Es cierto que el principio de culpabilidad impide la admisión en el derecho
administrativo sancionador de la responsabilidad objetiva, también es cierto, que la
ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones
normalmente se cometen por una actuación culposa o negligente, lo que es suficiente
para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente
negligente pues… debe conocer… las obligaciones que impone la LOPD a todos
aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar
el derecho fundamental a la protección de datos personales de sus clientes e
hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”.

En definitiva, los hechos expuestos en la presente Resolución ponen de manifiesto
que TME no obró con la diligencia a la que venía obligada, que actuó con falta de
diligencia.

5. INCUMPLIMIENTO PRINCIPIO DE PROPORCIONALIDAD

TME finaliza su escrito con un pormenorizado análisis de por qué considera que las
sanciones propuestas vulneran el principio de proporcionalidad. Alude primeramente a
STS de 2 de junio de 2003 para recordar que es necesario adecuar la sanción a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

46/58

gravedad del hecho constitutivo de la infracción para a continuación citar una
sentencia de la Audiencia Nacional (SAN de 30 de octubre de 202) que se pronuncia
en este mismo sentido y la normativa de protección de datos, en particular, los
considerandos 4, 129 y 148 y el artículo 83 del RGPD. Tras ello, reitera una vez más
los argumentos ya desarrollados a lo largo de sus alegaciones relativos a la existencia
de unidad de acción y de resultado en las infracciones imputadas que deberían tener
como resultado que la infracción fuera considerada como una y única.

A continuación, alude a las circunstancias agravantes que se han tenido en cuenta
para la determinación de la cuantía y que considera que no resultan de aplicación:

.- La circunstancia reseñada en el art. 83.2.b) del RGPD, relativa a la intencionalidad o
negligencia en la infracción. Entiende TME que ha manifestado una voluntad
inequívoca de proceder conforme a derecho sin que exista intencionalidad.

A este respecto, se reitera lo ya señalado en la propuesta de resolución y que no ha
sido desvirtuado por TME. Asimismo, se insiste, no cabe identificar la voluntad de
proceder conforme a derecho, con la falta de negligencia en la actuación del sujeto
infractor, tal y como ya se ha recogido en el apartado anterior y que forma parte de la
jurisprudencia comunitaria al respecto (Sentencia del Tribunal de Justicia de la Unión
Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche
Wohnen).
.- La circunstancia reseñada en el art. 83.2.e) del RGPD, relativa a toda infracción
cometida por el responsable o el encargado del tratamiento:

Considera que las resoluciones citadas en la propuesta no pueden ser tenidas en
cuenta como agravantes puesto que no devinieron firmes en vía administrativa hasta
fecha posterior a aquella en la que tuvieron lugar los hechos objeto del presente
procedimiento y, por lo tanto, no pueden ser tomadas como elemento para entender
que concurre una reincidencia. Apoya dicha afirmación en la doctrina del Tribunal
Supremo conforme a la cual, la agravante de reincidencia administrativa debe referirse
a hechos que ya hubieran sido sancionados en otro procedimiento resuelto con
anterioridad a la comisión de la nueva falta.

. Sin embargo, no se aplica en este caso una agravante de reincidencia en el sentido
expuesto por el tribunal, sino la agravante contenida en el art. 83.2.e) del RGPD que
determina para la aplicación de este factor de graduación cualquier infracción
cometida por la entidad responsable, lo que incluye las infracciones constatadas antes
de dictarse la resolución en la que se tengan en cuenta como circunstancia de
graduación de la sanción esas infracciones precedentes.

Así lo entiende también el CEPD, que en sus Directrices 4/2022, sobre el cálculo de
multas bajo el RGPD, declara al respecto:

“5.4 — Infracciones anteriores por parte del responsable o encargado del tratamiento
82. Las infracciones anteriores son infracciones ya constatadas antes de la adopción
de la decisión. En caso de cooperación en virtud del capítulo VII del RGPD, las
infracciones anteriores son las ya establecidas antes de que se emita el borrador de
decisión (en el sentido del artículo 60 del RGPD)”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

47/58

.- La circunstancia reseñada en el art. 83.2.k) del RGPD, relativa a la vinculación entre
la actividad empresarial de la reclamada y el tratamiento de datos personales de
clientes. Considera que para la aplicación de este agravante sería necesario que
existiera un elevado número de personas afectadas.

En contestación a lo alegado, cabe señalar que nada en la letra de la norma permite
obtener esta conclusión. La norma aplicable es clara cuando establece que al decidir
la imposición de una multa y su cuantía se tendrá en cuenta “la vinculación de la
actividad del infractor con la realización de tratamientos de datos personales”, tal y
como viene haciendo esta AEPD cuando el sujeto infractor desarrolla una actividad
que conlleva un elevado volumen de tratamientos de datos y la infracción está
relacionada con su actividad principal.

La actividad de la entidad presuntamente infractora está vinculada con el tratamiento
de datos de carácter personal tanto de clientes como de terceros. En la actividad que
desarrolla la parte reclamada es imprescindible el tratamiento de datos de carácter
personal consecuencia de su objeto, por lo que la transcendencia de la conducta
objeto de la presente reclamación es innegable. Además, el tratamiento de datos por el
que se sanciona se lleva a cabo en el desarrollo de la actividad principal de la parte
reclamada. Esta circunstancia, con carácter general, tiene transcendencia como
agravante. Así lo ha considerado también la Audiencia Nacional en Sentencia de
13/09/2024 cuando declara: “En el caso que nos ocupa la recurrente en el ejercicio
2018 alcanzó una cifra de negocio superior a 46 millones de euros y cuenta con más
de 600 empleados, no pudiendo considerarse desproporcionada la sanción impuesta
atendiendo a las circunstancias concurrentes, tomando en consideración su volumen
de negocio y su vinculación con el tratamiento de datos personales atendiendo el
número de personas que prestan servicio como empleados en… y su actividad”.

Por último, insiste en lo ya alegado frente al acuerdo de inicio sobre la procedencia de
aplicar circunstancias atenuantes que, sin embargo, no han sido valoradas como tales.
TME entiende que debe ser considerada como atenuante el hecho de que se solventó
la incidencia de forma efectiva, su adhesión a códigos de conducta en virtud del
artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42; y el
hecho de que haya habido una ausencia de beneficios relacionada con los hechos
objeto del presente procedimiento.

A este respecto, esta Agencia procede a referirse a las argumentaciones ya dadas en
el fundamento jurídico anterior.

V Obligación incumplida

Pues bien, en el presente caso se imputa a la reclamada la presunta comisión de dos
infracciones por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que
señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros
es considerado lícito:

“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

48/58

a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de
aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones”.

De las actuaciones de investigación se desprende, una infracción del art. 6 del RGPD
como consecuencia del cambio de titularidad de la línea del reclamante por una
persona no autorizada y la expedición del duplicado de la tarjeta SIM sin autorización
del titular de los datos.

Tal y como consta en el informe de actuaciones, el cambio de titularidad de la línea
móvil del reclamante correspondiente al número ***TELÉFONO.2 se realizó mediante
llamada telefónica a TME el 14 de marzo de 2023, a las 12:30 de la mañana. Dicho
cambio de titularidad se habría realizado, sin el consentimiento del titular de la línea y
sin seguir la operativa marcada por TME, como se desprende en su respuesta al
traslado, y se refleja asimismo en la grabación telefónica de la mencionada llamada
aportada por la parte reclamada el día 29 de agosto de 2023.

En la citada grabación de fecha 14 de marzo de 2023 se desprende claramente que un
tercero se identificó como la parte reclamante y solicitó el cambio de la titularidad de la
línea. En dicha grabación se muestra que el control realizado por el agente de TME del
canal telefónico 1551 omite algunos puntos de la verificación que exigía su propio
protocolo de seguridad, que contenía los controles establecidos por TME para evitar
un cambio de titularidad sin consentimiento del titular del número de teléfono. Tal y
como la parte reclamada ha afirmado durante el transcurso de las actuaciones de
investigación, durante la llamada: no se solicitaron los últimos dígitos de última factura
y no se envió un código adicional de verificación ni se hizo una llamada de
comprobación a la línea para la que se estaba realizando el cambio, tal como consta
en sus protocolos. En consecuencia, la titularidad de la línea fue modificada sin base
de legitimación pasando a ser el nuevo titular A.A.A..

Tal y como afirmó la parte reclamada, cuando se solicita un cambio de titularidad de
forma telefónica se ha de seguir un protocolo de seguridad:

“El agente que atiende al cliente le solicita los datos de titularidad, esto es,
nombre completo y DNI, así como el número de teléfono para el que desea el
duplicado. Tras ese primer contacto y con los datos suministrados por el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

49/58

cliente, el agente comercial verifica si la información obtenida telefónicamente
coincide con los datos que aparecen en la ficha de cliente que está registrada
en la herramienta de gestión de clientes. Después, se solicita al cliente los
cuatro últimos dígitos del número de su última factura.

A continuación, se realiza una llamada de seguridad al número sobre el que se
va a gestionar el duplicado, a excepción de si es desde el número sobre el que
se va a realizar la gestión, en cuyo caso no sería necesario. Verificado lo
anterior, el agente comercial registra los datos del pedido, indicando los datos
de la dirección postal donde quiere recibir el pedido (poniendo especial
hincapié en si es la dirección de entrega habitual), así como un teléfono de
contacto. “

En el caso que nos ocupa, se ha acreditado que la llamada no se realizó desde el
número que estaba siendo objeto de la modificación, ni tampoco pertenecía a la parte
reclamante, por lo que su titular le era desconocido: “podemos confirmar que la
llamada entrante a nuestro servicio de atención al cliente que se empleó para la
solicitud de cambio de titularidad es la línea ***TELÉFONO.1”, “podemos confirmar
que la citada línea no pertenece a Telefónica Móviles España, S.A.U.”. En base a lo
expuesto, la comprobación de doble verificación resultaba necesaria según se
establece en sus procedimientos, para garantizar que el cambio de titularidad se hacía
con consentimiento del titular. Sin embargo, la parte reclamada confirma que no se
realizó dicha comprobación: “No consta en nuestros sistemas que se haya realizado
una llamada de comprobación o un envío de OTP a la línea ***TELÉFONO.2 en la
franja de tiempo de realización de la gestión.”

Pues bien, el resultado fue que la reclamada modificó la titularidad de la línea móvil del
reclamante a un tercero, sin los controles necesarios de verificación implementados
por ella misma, dado que ni solicitó los últimos dígitos de la factura ni se realizó la
llamada de comprobación a la línea, a pesar de que la misma era distinta desde la que
se estaba realizando la llamada.

En definitiva,TME al realizar el cambio de titularidad del número de teléfono del
reclamante no verificó adecuadamente la identidad del solicitante y no sólo porque se
incumplieran los propios protocolos de TME, sino porque las medidas aplicadas no
fueron las adecuadas para evitar la materialización de un riesgo constatado: una
posible suplantación de identidad en la solicitud de cambio de titularidad que derivara
en un tratamiento ilícito y no consentido del número de teléfono del verdadero titular.

Además, procedió a la expedición del duplicado de la tarjeta SIM sin contar con el
consentimiento del titular de los datos.

Sobre este particular, se ha de indicar con carácter previo que el artículo 4.1 del RGPD
define: «datos personales» como “toda información sobre una persona física
identificada o identificable («el interesado»); se considerará persona física identificable
toda persona cuya identidad pueda determinarse, directa o indirectamente, en
particular mediante un identificador, como por ejemplo un nombre, un número de
identificación, datos de localización, un identificador en línea o uno o varios elementos
propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o
social de dicha persona;”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

50/58

A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta
SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que
contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado
usada para identificarse ante la red, esto es, el número de línea telefónica móvil del
cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de
la Red Digital de Servicios Integrados-), así como el número de identificación personal
del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del
Abonado móvil-) pero también puede proporcionar otro tipo de datos como la
información sobre el listado telefónico o el de llamadas y mensajes.

Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los
datos personales de su titular ya que se considerará persona física identificable toda
persona cuya identidad pueda determinarse, directa o indirectamente, en particular
mediante un identificador (artículo 4.1 del RGPD).

Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez,
identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C
-101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto
de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46
comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha
Directiva "toda información sobre una persona física identificada o identificable". Este
concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o
a otra información relativa a sus condiciones de trabajo o a sus aficiones».

En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la
tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca
al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar
sujeto a la normativa de protección de datos.

En este caso, la solicitud del duplicado se realizó en tienda física al día siguiente al
cambio de titularidad, el día 15 de marzo de 2023 a las 13:30. Tal como manifiesta la
parte reclamada en su escrito de fecha 24 de octubre de 2023: “consta registrado en
nuestros sistemas un cambio de titularidad de los datos de B.B.B. a nombre de una
segunda persona, realizada telefónicamente. Hecho esto, ya con los datos de esta
segunda persona se solicita el cambio de tarjeta SIM en una tienda física de Alicante.”

La expedición de un duplicado de tarjeta SIM implica un riesgo relevante para el titular,
en la medida en que puede facilitar el acceso indebido a sus datos personales y a
sistemas de autenticación que dependen de su número de teléfono, por ello el
responsable del tratamiento está obligado a implementar medidas que eviten un
tratamiento incontenido de los datos del titular. Tal y como indican las instrucciones
operativas aportadas por la parte reclamada durante el transcurso de las actuaciones
de investigación en todos los casos de expedición de tarjeta de forma presencial se
exige además de la identificación del solicitante una confirmación adicional mediante
código temporal o llamada de verificación.

Sin embargo, el cambio de la tarjeta SIM se realizó sin la comprobación indicada en
sus protocolos de envío de un código temporal de verificación o llamada de
comprobación a la línea, lo cual supuso una falta de garantías para la prevención de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

51/58

los riesgos derivados de la expedición de un duplicado de tarjeta SIM que derivó en un
tratamiento ilícito de los datos personales del reclamante.

Se considera que los hechos conocidos son constitutivos de una infracción, imputable
a TME, por vulneración del artículo 6.1 del RGPD estando tipificada dicha infracción en
el artículo 83.5.a) del citado Reglamento 2016/679:

VI Tipificación y calificación de la infracción

La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”

La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1
de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b)
El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”.

VII Sanción de multa. Determinación del importe

A fin de establecer la multa administrativa que procede imponer, respecto de la
infracción única que ahora se imputa al apreciarse la existencia de unidad de acción
aducida por TME respecto de las operaciones de tratamiento que en este caso se
examinan, han de observarse las previsiones contenidas en los artículos 83.1 y 83.2
del RGPD, que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

52/58

paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.

En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76,
“Sanciones y medidas correctivas”, establece que:

“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
corresponde la imposición de multa, además de la adopción de medidas.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de la parte
reclamada, que en el ejercicio 2023 ascendió a ***CANTIDAD.2.

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de las sanciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

53/58

a imponer en el presente caso por una infracción de lo establecido en el artículo 6.1
del RGPD, tipificada en el artículo 83.5.a) del RGPD, de la que se responsabiliza a
TME, se estiman concurrentes los siguientes factores:

. Artículo 83.2.a) del RGPD: “a) la naturaleza, gravedad y duración de la infracción,
teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento
de que se trate así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido”.

. La naturaleza de la infracción: los hechos puestos de manifiesto afectan a un
principio básico relativo al tratamiento de los datos de carácter personal, como es
el de legitimidad, que la norma sanciona con la mayor gravedad al tratar datos de
la parte reclamante sin que la entidad responsable haya acreditado base legal
alguna que lo legitime.

. Gravedad de la infracción, teniendo en cuenta la naturaleza, alcance o propósito
de la operación de tratamiento de que se trate y el nivel de daños y perjuicios
sufridos:

. La naturaleza del tratamiento: El tratamiento de datos realizado en este caso
tiene como finalidad, por un lado, la emisión de una tarjeta SIM, necesaria
para que TME pueda prestar los servicios contratados por su titular. Si esa
tarjeta es solicitada por un tercero y la entidad no cumple las obligaciones que
le son propias para impedir esta irregularidad, la consecuencia final es la
entrega de la tarjeta a una persona no autorizada para su uso y, con ello, la
posibilidad de que un tercero acceda a diversa información del verdadero
titular de la tarjeta, que puede ser utilizada con fines fraudulentos. Así ocurrió
en el presente caso, en el que un tercero se sirvió del duplicado de tarjeta
SIM obtenido fraudulentamente para retirar fondos de las cuentas bancarias
de la parte reclamante. Es el fenómeno denominado como “SIM swapping”,
muy extendido en el contexto actual y sobradamente conocido por TME. En
función de este contexto, el tratamiento realizado por TME, considerando su
naturaleza y propósito, acarrea importantes riesgos para el titular de los datos
personales. Y no puede obviarse que dicho tratamiento de datos se realiza en
el marco de la actividad empresarial principal y básica de la citada operadora,
desarrollada con ánimo de lucro.

Por otro, se ha producido un cambio en la titularidad de la línea sin el
conocimiento ni consentimiento del titular de la misma: TME al realizar el
cambio de titularidad del número de teléfono del reclamante no verificó
adecuadamente la identidad del solicitante y no sólo porque se incumplieran
los propios protocolos de TME, sino porque las medidas aplicadas no fueron
las adecuadas para evitar la materialización de un riesgo constatado: una
posible suplantación de identidad en la solicitud de cambio de titularidad que
derivara en un tratamiento ilícito y no consentido del número de teléfono del
verdadero titular con la consiguiente pérdida de disponibilidad de la misma
para el reclamante.

. Alcance del tratamiento: La infracción valorada se comete por el tratamiento
ilícito de los datos personales de un solo interesado, la parte reclamante,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

54/58

como bien se considera en los factores de graduación que siguen. No
obstante, interesa considerar que TME es una compañía de telefonía que
opera con alcance nacional y que la infracción es consecuencia directa tanto
de las debilidades de los mecanismos diseñados por TME para la tramitación
de solicitudes de duplicados de tarjeta SIM en línea y del incumplimiento de
los establecidos, por lo que el riesgo que ello conlleva incrementa el número
de potenciales afectados, como de las mostradas para la realización de los
cambios de titularidad de línea.

. El nivel de daño sufrido: De conformidad con el considerando 75 del RGPD,
el nivel de daño sufrido se refiere a los daños y perjuicios físicos, materiales o
no materiales. En el presente caso, el daño sufrido por la parte reclamante no
puede calificarse como marginal. Por un lado, la parte reclamante se vio
privada del servicio que tenía contratado con TME y, por otro, sufrió un fraude
bancario consecuencia directa de la infracción que se sanciona, la cual, como
se ha dicho, no solo se comete por el tratamiento de datos necesario para
emitir el duplicado de tarjeta SIM, sino también por el tratamiento de datos
consistente en la comunicación de los datos de la parte reclamante a un
tercero, derivado de la entrega del duplicado de tarjeta SIM a dicho tercero.
En casos como este, el interesado pierde el control de sus datos personales,
por lo que el daño podría persistir durante un tiempo indeterminado.

. - Artículo 83.2.g) del RGPD: La intencionalidad o negligencia en la infracción. En este
caso estamos ante una acción negligente grave, pues la reclamada cambió la
titularidad de la línea móvil del reclamante, sin realizar las comprobaciones
correspondientes, no siguiendo su operativa y facilitó un duplicado de la tarjeta SIM
solicitado en una tienda física, sin la comprobación indicada en sus protocolos de
envío de un código temporal de verificación o llamada de comprobación a la línea, que
hubiera permitido poder detectar el fraude a tiempo e imposibilitar la tramitación del
duplicado.

En este sentido resulta muy ilustrativa la SAN de 17 de octubre de 2007 (rec.
63/2006), la cual indica que “…el Tribunal Supremo viene entendiendo que existe
imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el
infractor no se comporta con la diligencia exigible. Y en la valoración del grado de
diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no
cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente
es de constante y abundante manejo de datos de carácter personal ha de insistirse en
el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”

Asimismo, la SAN de 1 de marzo de 2024 (RCA 0001757/2021) dispone que «En esta
línea la STS de 13 de diciembre 2021 (Rec. 6109/2020) establece que “(…) es exigible
a dicha empresa contratante, como diligencia necesaria para que no se le pueda
reprochar el incumplimiento de sus obligaciones en materia de protección de datos de
carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del
interesado como en lo relativo al principio de veracidad y exactitud la implantación de
medidas de control y verificación tendentes a asegurar que la persona que pretende
contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

55/58

Así se impone al responsable del tratamiento que verifique la exactitud de los datos
del interesado a través de la implementación de las medidas adecuadas cuando se
efectúe una contratación. Precisamente por eso, es necesario asegurarse que la
persona que contrata es quien realmente dice ser y deben adoptarse las medidas de
prevención adecuadas para verificar la identidad de una persona cuyos datos
personales van a ser objeto de tratamiento, y a ello obedece la exigencia de
documentación identificativa, como viene reiterando la Sala entre otras en Sentencias
de 3 de octubre 2013 (Rec. 54/2012), 21 de noviembre 2014 (Rec. 45/2014) etc.»

. Artículo 83.2.g) del RGPD: “las categorías de los datos de carácter personal
afectados por la infracción”.

Al margen de los datos personales cuyo tratamiento es necesario para el cambio de
titularidad de la línea y para la emisión del duplicado de tarjeta, no pueden obviarse los
riesgos evidentes de que la entrega de este duplicado a un tercero posibilite el acceso
por parte de éste a datos de categorías especiales u otra información de naturaleza
sensible, como la información financiera de la parte reclamante, materializados en el
presente caso.

Se consideran los siguientes factores de graduación en calidad de agravantes:

- La circunstancia del artículo 83.2.e) RGPD: “Toda infracción anterior cometida por el
responsable o el encargado del tratamiento”.

El considerando 148 del RGPD señala “A fin de reforzar la aplicación de las normas
del presente Reglamento [...]” e indica a ese respecto que “Debe no obstante,
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional [...] o a cualquier infracción pertinente [...]”.

Así pues, conforme al apartado e) del artículo 83.2. RGPD, en la determinación del
importe de la sanción de multa administrativa no podrán dejar de valorarse todas
aquellas infracciones anteriores del responsable o del encargado de tratamiento en
aras a calibrar la antijuricidad de la conducta analizada o la culpabilidad del sujeto
infractor.

Además, una correcta interpretación de la disposición del artículo 83.2.e) RGPD no
puede obviar la finalidad perseguida por la norma: decidir la cuantía de la sanción de
multa administrativa en el caso individual planteado atendiendo siempre a que la
sanción sea proporcional, efectiva y disuasoria.

Son numerosos los procedimientos sancionadores tramitados por la AEPD en los que
la reclamada ha sido sancionada por la infracción del artículo 6.1 RGPD como
consecuencia de la expedición de un duplicado de tarjeta SIM sin base de
legitimación:

i. EXP 202207989 Resolución dictada el 13 de noviembre de 2023 en la que se
impuso una sanción de 70.000 euros. Los hechos versaron sobre un cambio de
titularidad y un duplicado de la tarjeta SIM fraudulento sin legitimación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

56/58

ii.EXP202211479. Resolución dictada el 13 de junio de 2023 en la que se impuso una
sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM
fraudulento sin legitimación.

- La evidente vinculación entre la actividad empresarial de la reclamada y el
tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD
en relación con el artículo 76.2.b, de la LOPDGDD).

En el desarrollo de la actividad que le es propia necesita de manera habitual tratar
datos de carácter personal, lo que incide en la diligencia que le es exigible para el
cumplimiento de los principios que presiden el tratamiento de datos de carácter
personal y la calidad y efectividad de las medidas técnicas y organizativas que debe
tener implementadas para garantizar el respeto de este derecho.

Puede citarse en este sentido la SAN de 17/10/2007 (Rec. 63/2006), dictada durante la
vigencia de la Ley Orgánica 15/1999, pero cuyo pronunciamiento resulta aplicable en
la actualidad, que, a propósito del grado de diligencia que el responsable está obligado
a desplegar en el cumplimiento de las obligaciones que le imponía la citada Ley
Orgánica, la Audiencia Nacional, después de referirse a que las entidades en las que
el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y
terceros han de observar un adecuado nivel de diligencia declara que “[...].el Tribunal
Supremo viene entendiendo que existe imprudencia siempre que se desatiende un
deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia
exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la
profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado,
cuando la actividad de la recurrente es de constante y abundante manejo de datos de
carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las
prevenciones legales al respecto”.

En base a todo cuanto antecede y teniendo en cuenta la existencia de unidad de
acción alegada por TME, atendiendo a la exigencia de que la multa sea efectiva,
proporcionada y disuasoria, y con el objetivo de procurar el cumplimiento efectivo del
RGPD y la LOPDGDD, el balance de las circunstancias contempladas en el artículo
83.2 del RGPD y 76.2 de la LOPDGDD consideradas en su conjunto, con respecto a la
infracción única que ahora se imputa de lo establecido en el artículo 6 del RGPD,
permite fijar una sanción de multa administrativa en una cuantía de 300.000,00 euros
(trescientos mil euros).

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, una vez probada la infracción, la Presidencia de la
Agencia Española de Protección de Datos

RESUELVE:

PRIMERO: IMPONER a TELEFÓNICA MÓVILES ESPAÑA, S.A. con NIF A78923125,
por la infracción del artículo 6.1 tipificada en el artículo 83.5.a) del citado RGPD una
sanción de 300.000€ (trescientos mil euros).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

57/58

SEGUNDO: ARCHIVAR por unidad de acción la segunda infracción del art. 6 del
RGPD que se imputaba en este procedimiento a TELEFÓNICA MÓVILES ESPAÑA,
S.A. con NIF A78923125

TERCERO: NOTIFICAR la presente resolución a TELEFÓNICA MÓVILES ESPAÑA,
S.A. con NIF A78923125.

CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

58/58

web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

AEPD (Spain) - EXP202306073

Karar metni