AEPD (Spain) - EXP202307361

1/44

 Expediente N.º: EXP202307361

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 17 de abril de 2023
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra la marca O2 de TELEFÓNICA MÓVILES ESPAÑA, S.A.
con NIF A78923125 (en adelante, la parte reclamada o TME). Los motivos en que
basa la reclamación son los siguientes:

La parte reclamante manifiesta que el día 15 de enero de 2023, un tercero realizó sin
su consentimiento un duplicado de la tarjeta SIM de su línea de teléfono
***TELÉFONO.1, sin que con ocasión de dicho trámite la parte reclamante recibiese
información o confirmación de cualquier tipo en su terminal o en alguno de los otros
números de su contrato.

Añade que el día 16 de enero de 2023, tras observar que se había quedado sin
servicios, contactó con el teléfono de atención al cliente y pudo conocer lo sucedido,
sin que en ese momento se le ofreciera solución alguna. Un día después, el 17 de
enero de 2023, acudió a una tienda física de TME en ***LOCALIDAD.1 para recuperar
su línea, donde le informaron que un tercero con correo electrónico “***EMAIL.1”, no
vinculado a su contrato, había solicitado un duplicado el día previo.

Señala que la persona que efectuó el citado duplicado cometió diversas estafas en
distintos comercios a cargo de su cuenta bancaria.

Y, aporta la siguiente documentación:

- Denuncia ante la Policía Nacional de (...) de fecha 17 de enero de 2023.
- Denuncia ante la Policía Nacional de (...) de fecha 20 de enero de 2023.
- Contrato del servicio de telecomunicaciones O2 fibra y móvil de fecha 16 de
agosto de 2022.
- Certificado emitido por WiZink Bank S.A.U. en fecha 14 de enero de 2023,
indicando las operaciones realizadas en internet los días 16 y 17 de enero de
2023 con la tarjeta que la entidad emitió a nombre del reclamante.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/44

acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 5 de junio de 2023 como
consta en el acuse de recibo que obra en el expediente.

Con fecha 4 de julio de 2023 se recibe en esta Agencia escrito de respuesta indicando:

“En relación a los hechos reclamados, Telefónica informa de que existe una solicitud
de cambio de ICC de la tarjeta SIM asociada a la línea móvil ***TELÉFONO.1, de
titularidad de D. A.A.A. a través de nuestro servicio de atención al cliente telefónica
1551, y que sí se gestiona dado que la petición sí que reunía los requisitos necesarios
conforme a la operativa establecida a tales efectos, actuando por tanto nuestro agente
de forma correcta. En este caso, la solicitud que se realizó para el duplicado es que
fuera en formato E-SIM. En este sentido, cabe destacar que, en la mencionada
operativa, para que sea posible el envío de un duplicado a través de E-SIM por correo
electrónico, el titular solicitante debe facilitar los siguientes datos: -Número de DNI
-Nombre completo y apellidos -Número de móvil del que solicita el cambio de tarjeta
-Correo electrónico que figura en la ficha del cliente -Tiene que facilitar los 4 últimos
dígitos del código de la última factura.

En este caso, dado que la solicitud reunía y cumplía con todos los requisitos antes
expuestos, se llevó a cabo el envío de la E-SIM al correo electrónico registrado. Por
tanto, si los hechos que denunciaba el reclamante hubieran sido compatibles con los
de un posible fraude o conducta delictiva, cabe destacar que el supuesto defraudador
contaba de antemano con todos los datos de la línea detallados anteriormente.

Desde Telefónica, y una vez recibida la reclamación, procedemos a realizar un análisis
exhaustivo de lo ocurrido, y lo que se detecta es que, el día 16 de enero 2023 en que
se produce la solicitud del duplicado de tarjeta SIM a través del número 1551, se
había producido previamente un cambio de correo electrónico a través de la cuenta
del cliente en O2 desde la Aplicación Móvil.

Este acceso (cambio de correo electrónico de contacto) se produce el día 13 de enero
de 2023 sin ningún tipo de incidencia. Es decir, es un acceso que se produce con total
facilidad, sin emplear ninguna fuerza bruta, lo que nos puede llevar a sospechar que el
posible defraudador conoce todos los datos de acceso a la cuenta privada del cliente.

En este caso, como decimos, el acceso a la cuenta del cliente se realiza sin ninguna
incidencia ni error, al primer intento, es decir, que las medidas de seguridad
implantadas por O2 no se han vulnerado, por ello, entendemos que el cambio de
correo electrónico que se produce a través de la cuenta de la reclamante es un
cambio lícito.

Desde Telefónica, y dadas las circunstancias que han concurrido en el caso, informar
a la Agencia que, una vez tenido conocimiento del hecho se procedió a atender la
reclamación realizada por el reclamante. A este respecto, tenemos que mencionar
que, en la factura emitida con fecha 1 de marzo de 2023, se produjo la devolución de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/44

los 14,50 euros (IVA incl.) abonados por el titular de la línea para la obtención de la
nueva tarjeta SIM”.

Con su respuesta al trámite de traslado de la reclamación, TME no aportó
documentación alguna como prueba de sus manifestaciones.

TERCERO: Con fecha 17 de julio de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

Con fecha 4 de septiembre de 2024 se recibió en esta Agencia la respuesta efectuada
por TME al requerimiento de información que le fue remitido por los Servicios de
Inspección. En esta respuesta la citada entidad manifiesta lo siguiente:

PUNTO 1. La parte reclamada indica que, revisados sus sistemas, no consta la
grabación con la solicitud del duplicado de la tarjeta SIM realizada de forma telefónica.
Indica que, no obstante, como la solicitud provenía de una petición previa por correo
electrónico en la que se derivaba la gestión al 1551 (telefónicamente), sí consta
registro del agente comercial en la ficha del cliente en el que detalla se procede a la
gestión de la solicitud, puesto que el solicitante remitió un correo electrónico con la
documentación relativa al DNI, nombre completo y el móvil para el que solicita la
gestión.

TME adjunta como Anexo 1 copia de un correo electrónico, remitido desde la dirección
“***EMAIL.1”, así como el correo de respuesta remitido por un agente de la operadora.
El contenido de ambos correos electrónicos consta reseñado en el Hecho Probado
Segundo, si bien en el documento aportado no se especifica la fecha de ninguno de
ellos.

En el procedimiento manifestado por la entidad en el marco del traslado de la
reclamación indicaba que para que sea posible el envío de un duplicado de E-SIM a
través de correo electrónico, el titular solicitante debe facilitar los siguientes datos:
-Número de DNI.
-Nombre completo y apellidos.
-Número de móvil del que solicita el cambio de tarjeta.
-Correo electrónico que figura en la ficha del cliente.
-Tiene que facilitar los 4 últimos dígitos del código de la última factura.

Manifiesta que, con respecto a la realización de la llamada de seguridad, ésta no se
produjo dado que la remisión de la documentación se habría realizado desde correo
electrónico, y que, no obstante lo anterior, el agente comercial no habría seguido la
operativa señalada a tales efectos con respecto a la llamada de seguridad, la cual

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/44

tendría que haberse efectuado puesto que la solicitud provenía de un correo
electrónico que no era el que constaba en la ficha de cliente.

PUNTO 2. Se ha solicitado a la parte reclamada información sobre si el procedimiento
incluye comprobaciones adicionales cuando se solicita un E-SIM y se ha producido
recientemente un cambio de dirección de correo electrónico del cliente. Se ha pedido
documentación acreditativa de haber realizado comprobaciones adicionales, en su
caso.

El representante de la parte reclamada indica que, en el momento de los hechos, en
los casos concretos de solicitudes de E-SIM se seguían los procedimientos de
identificación habituales como si se tratase de un caso de duplicado de SIM en formato
físico. Manifiesta que, para este tipo de solicitudes, debe comprobarse que la tarjeta
en formato E-SIM es remitida a la dirección de correo electrónico que consta en sus
sistemas en la ficha del cliente.

TME con fecha 4 de septiembre de 2023, en respuesta al requerimiento de
información de esta Agencia de fecha 17 de agosto de 2023, señala: “Sobre el caso
concreto, si bien se puede apreciar tal como se refleja en la documentación adjunta
como Anexo 1, que la remisión de la documentación se hace por correo electrónico,
no consta registro de que la E-SIM se mandase al correo electrónico que figuraba en
la ficha de cliente del reclamante”.

Destaca que actualmente la operativa se ha reforzado puesto que ya sea para cambio
de correo electrónico como para el duplicado de tarjeta SIM, si un cliente llama desde
un número distinto para el que se está solicitando la gestión o escribe desde un correo
electrónico distinto al que figura como validado, se envía a la línea en cuestión un
código OTP como doble factor de autenticación que será necesario facilitar al agente
comercial como requisito indispensable para proceder con la gestión.

Manifiesta a modo aclaratorio cabe indicar que un código OTP, o "One-Time
Password" (Contraseña de un solo uso), es una contraseña que se utiliza solo una vez
para autenticar a un usuario durante una sesión o transacción específica. Los OTP
pueden generarse de varias maneras: mediante una aplicación de autenticación móvil,
un dispositivo de hardware específico, o mediante mensajes SMS o correos
electrónicos.

PUNTO 3. Se ha requerido a la parte reclamada aporte copia de las instrucciones de
que dispone el personal que atiende las solicitudes telefónicas de duplicados de SIM y
E-SIM, para la atención de las mismas.

El representante de la entidad ha aportado la versión de las instrucciones existentes
en el momento de los hechos. Por parte del inspector de la AEPD se verifica que tales
instrucciones no citan ninguna información específica para duplicados E-SIM.

El representante de la entidad ha manifestado que en los casos concretos de
solicitudes de E-SIM se seguían los procedimientos de identificación habituales como
si se tratase de un caso de duplicado de SIM en formato físico. Indica que, de forma
adicional, para este tipo de solicitudes debe comprobarse que la tarjeta en formato E-
SIM es remitida al correo electrónico que consta en los sistemas de la entidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/44

Se verifica por parte del inspector de la AEPD que las instrucciones existentes en el
momento de los hechos citan, para emitir duplicado de SIM. Estas instrucciones,
según la documentación aportada por TME, indican lo siguiente en relación con los
duplicados de tarjeta y cambio de ICC (código que identifica la SIM):

“- El solicitante debe ser titular
- Debe facilitar:
. Nombre y apellidos
. Identificador Fiscal
. últimos dígitos del Nº de la última factura O2
. para Bajas por Defunción o incapacidad ver procedimiento
- Si llama desde el Nº de la gestión, no se le hará llamada.
- Si no llama desde el Nº de la gestión, una vez identificado, indicarle que se cuelga
para comprobaciones, y emitir Ilamada al Nº de titular (ver todo OK).
- Tanto si esta llamada es respondida como si no, se envía email al correo de contacto
de titular para aviso de cualquier cambio.
- Se finaliza comprobación y se devuelve llamada al cliente al número de su interés
para terminar la gestión”.

Aportan copia de instrucciones que denomina “de refuerzo” (nuevas instrucciones tras
los hechos denunciados), manifestando que se han establecido actualmente sobre la
citada operativa. En ellas se indica que en caso de “llamada desde teléfono
desconocido” o “contacto desde otro EMAIL”  “hay que llamar al titular / y o envío
OTP comprobación”  “El titular tiene que dar el OK a la gestión en la llamada y
confirmar con OTP”.

PUNTO 4. Se ha requerido a la parte reclamada que aporte la relación y detalle de
todos los contactos mantenidos con el cliente entre los días 12/01/2023 y 18/01/2023
incluyendo las anotaciones realizadas por los gestores de atención
telefónica/chat/email/etc., y acreditación documental de las acciones emprendidas en
cada contacto.

El representante de la parte reclamada manifiesta que el 13 de enero de 2023 se
recibió el ya referido correo electrónico solicitando un duplicado de tarjeta para la línea
afectada, al que se le dio respuesta remitiéndolo al 1551 para la gestión. Manifiesta
que posteriormente, el día 16 de enero de 2023, una persona llamó a las 14:10 horas
para solicitar el duplicado de tarjeta, en la que habría indicado al agente comercial que
habría facilitado previamente la documentación de su DNI por correo electrónico.
Hecho esto, el agente comercial, al comprobar estos hechos, habría acabado
tramitando el duplicado de E-SIM. Indica que esta llamada no fue grabada.

TME con fecha 4 de septiembre de 2023, en respuesta al requerimiento de
información de esta Agencia de fecha 17 de agosto de 2023, aporta la siguiente
anotación en la ficha del cliente, consta con fecha 16/01/2023 (14:10h) “reclama
duplicado de esim para línea […], se confirma documentación enviada […] realizo
gestión”.

El representante de la parte reclamada manifiesta que consta contacto telefónico del
cliente el mismo día 16/01/2023 a las 18:41h. porque no tenía servicio y que se activa
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/44

bloqueo por robo. Indica que dicha llamada no fue grabada, aportando un registro del
contacto.

A modo de conclusión, el inspector de la AEPD, en su informe de actuaciones previas
de fecha 26 de marzo de 2023 indica:

Se ha evidenciado que el duplicado SIM objeto de reclamación era un E-SIM (SIM
electrónico).

Se ha evidenciado que el duplicado E-SIM se emitió y activó a pesar de haber sido
solicitado desde una dirección de correo distinta a la que constaba del cliente en los
sistemas de la entidad, sin efectuar comprobaciones de seguridad adicionales, tales
como una llamada de comprobación al titular. El código QR se remitió a ese correo
electrónico distinto del que constaba del cliente. Los representantes de la parte
reclamada manifiestan que estaba estipulada una llamada de comprobación adicional
en la política de seguridad de la entidad y que se incumplió por parte del agente que
tramitó la solicitud. No obstante, se ha evidenciado que esta llamada de comprobación
solo se citaba en la política de seguridad para el caso de que el solicitante llamara
desde otro número, no especificándose explícitamente cómo proceder en el caso de
recepción de correos electrónicos desde otra dirección.

En la actualidad han modificado su política de seguridad, incluyendo la llamada de
comprobación (o comprobación mediante envío de OTP al cliente) también el caso de
que se reciba un correo electrónico desde otra dirección.

QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
TELEFÓNICA MÓVILES ESPAÑA, S.A.U. es una gran empresa constituida en el año
1988, y con un volumen de negocios de (...) euros en el año 2022.

SEXTO: Con fecha 21 de mayo de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en
el Artículo 83.5 del RGPD.

SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas
en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones el 17 de junio de 2024, manifestando lo siguiente:

CUESTIÓN PREVIA. - PREJUDICIALIDAD PENAL

En primer lugar, Telefónica indica que el Reclamante al interponer una denuncia ante
los Cuerpos y Fuerzas de Seguridad del Estado en fecha de 17 de enero de 2023, así
como en fecha 20 de enero de 2023 en relación con los mismos hechos que se están
tratando en el presente procedimiento. Por ello, solicita a la Agencia “que suspenda el
procedimiento sancionador y requiera al Reclamante a fin de que aporte información
acerca del estado en el que se encuentra la denuncia interpuesta, así como el
contenido del procedimiento penal que en su caso se encuentre en marcha, pudiendo,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/44

llegado el caso, acordar la suspensión de este procedimiento por prejudicialidad penal
dada la íntima relación que, como esta parte ya adelanta, es probable que exista entre
el procedimiento penal y el administrativo”.

I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

PRIMERA. - INEXISTENCIA DE COMISIÓN DE INFRACCIÓN. DISCONFORMIDAD
CON EL ACUERDO DE INICIO DEL EXPEDIENTE SANCIONADOR

Manifiesta Telefónica su total disconformidad con la incoación del presente expediente
sancionador y con lo establecido en los supuestos hechos probados que se recogen
en la fundamentación del Acuerdo, indicando que, de las contestaciones realizadas por
la parte reclamada a los requerimientos de información realizados por la Agencia, en
ningún caso se puede inferir que supongan admitir, presuponer o verificar por parte de
la Agencia que el agente comercial no siguió la operativa relativa a la identificación del
cliente.

Señala Telefónica que no consta una prueba de cargo, con entidad suficiente, como
para destruir la presunción de inocencia de Telefónica que acredite la ausencia de
verificación de la identidad de quien solicitó el duplicado de la tarjeta E-SIM, ni
tampoco para acreditar la ausencia de aplicación de las cautelas previstas.

En este sentido, señala la parte reclamada las medidas técnicas y organizativas
implantadas por Telefónica que resultan apropiadas para la gestión de la que trae
causa el presente Acuerdo, esto es, duplicados de tarjeta SIM o E-SIM y, en concreto,
sobre su tramitación en la marca comercial “O2”, dado que es la marca comercial
sobre la que se prestan los servicios móviles objeto del presente procedimiento.

A este respecto, indica Telefónica que, conforme a la operativa, las comprobaciones de
identidad se han tenido que llevar a cabo, toda vez que cuenta con un procedimiento
consolidado y adecuado de verificación de identidad de sus clientes que reviste las
garantías suficientes para identificar al solicitante del duplicado de la tarjeta E-SIM, y la
Agencia no ha podido acreditar mediante prueba de cargo suficiente al respecto, que
esto no haya sido así. Que no exista copia del contrato no es sinónimo de que la
identificación no se realizase correctamente.

II. LAS CIRCUNSTANCIAS QUE HAN HECHO POSIBLE LA SUPERACIÓN POR
TERCERAS PERSONAS DE LAS POLÍTICAS DE SEGURIDAD IMPLANTADAS
POR TELEFÓNICA.

PRIMERO. - SOBRE LA PRESUNTA INFRACCIÓN COMETIDA POR PARTE DE
TELEFÓNICA: AUSENCIA DE TIPICIDAD, ANTIJURICIDAD Y CULPABILIDAD.

Considera que el principio de tipicidad se está vulnerando dado que la conducta
realizada por Telefónica no es subsumible en ninguno de los preceptos cuya infracción
se imputa.

Señala que la Agencia considera vulnerado el artículo 6.1 del RGPD (condiciones en
las que el tratamiento será considerado como lícito) y la infracción la tipifica conforme
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/44

al artículo 83.5 RGPD sin embargo, la Agencia no hace mención acerca de cuál de las
bases legitimadoras que se recogen el art. 6.1 sería la necesaria para llevar a cabo el
tratamiento de los datos del reclamante que ha originado el presente Acuerdo, para
que pudiera entenderse legítimo.

Señala la parte reclamada, que la base legal que legitima el tratamiento de los datos
personales del reclamante no es otra que la de la ejecución del contrato, esto es, la
base legitimadora que contempla el apartado b) del citado artículo 6.1: “el tratamiento
es necesario para la ejecución de un contrato en el que el interesado es parte o para
la aplicación a petición de este de medidas precontractuales”.

Indica, que en este caso concreto el tratamiento de datos personales se realiza con la
finalidad de gestionar un duplicado de tarjeta E-SIM para la correcta prestación de
servicio, o lo que es lo mismo, para poder ejecutar el contrato que el Reclamante tiene
suscrito con Telefónica. Por tanto, el tratamiento es en cualquier caso lícito.

“TME” considera que ha actuado en todo momento con buena fe y fundada creencia
excluyente de toda culpabilidad, y señala que la antijuricidad de la conducta es un
elemento configurador de cualquier ilícito administrativo, exige en su vertiente o
aspecto formal que exista una oposición entre el comportamiento y la norma infringida.
Por tanto, si el comportamiento viene avalado por el ordenamiento jurídico, jamás
podrá hablarse de conducta antijurídica ni, por ende, sancionable. Pues bien, “TME”
rechaza la antijuridicidad de la conducta.

SEGUNDO. –AUSENCIA DE CULPABILIDAD. ERROR DE TIPO.

“TME” señala que no concurre el requisito de culpabilidad en su actuación que los
principios inspiradores del orden penal son de aplicación al derecho administrativo
sancionador, señalando que uno de los principales componentes de la infracción
administrativa es el elemento de la culpabilidad, lo que presupone que la acción u
omisión ha de ser en todo caso imputable a su autor por malicia, imprudencia,
negligencia o ignorancia inexcusable, requisitos que no se cumplen en este caso. Por
ello, aún en el caso de que la Agencia considere que sí ha existido un tratamiento
ilícito de datos por esta parte, considerando que la acción de Telefónica es típica y
antijurídica, en ningún caso se puede afirmar que la conducta seguida por Telefónica
pueda considerarse culpable.

Asimismo, manifiesta que en la gestión del duplicado de E-SIM se habría realizado en
todo caso por el resultado de actos de engaño, manipulación y uso ilícito de datos por
parte de una tercera persona, quien habría engañado al agente comercial haciéndole
creer que se trataba de la persona titular de los datos o que contaba con su
consentimiento para efectuar la solicitud al haberse identificado de forma correcta con
los datos de cliente que figuran en sus sistemas.

Señala que, en este caso, donde conforme a operativa, el cliente se habría identificado
con los datos correctos para la solicitud del duplicado de tarjeta SIM, queda
constatado que se estaría ante un error de tipo invencible, donde se desconocía la
antijuricidad de la conducta, debiendo procederse con el archivo del procedimiento, al
no poderse determinar la culpabilidad de Telefónica.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/44

TERCERO. – SOBRE LOS CRITERIOS DE GRADUACIÓN DE LA SANCIÓN

“TME” manifiesta su disconformidad con la cuantía de la sanción propuesta en el
Acuerdo de Inicio señalando los siguientes aspectos:

La Agencia tiene en cuenta siguiente circunstancia para agravar la conducta de
Telefónica:

“La evidente vinculación entre la actividad empresarial de la reclamada y el
tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD
en relación con el artículo 76.2.b, de la LOPDGDD)”.

“TME” considera que no se ha producido un tratamiento ilegítimo de los datos del
reclamante, toda vez que su tratamiento se encuentra legitimado por el artículo 6.1 del
RGPD, siendo éste necesario para la ejecución de un contrato en el que el interesado
es parte. Por lo tanto, no puede ser considerada como agravante.

Indica además que la Agencia considera de facto que, dado que “TME” gestiona un
alto volumen de tratamiento de datos, debe de aplicarse esta agravante.

Por otra parte, señala que la circunstancia del artículo 83 2.e) RGPD, mencionando de
forma expresa la Agencia los procedimientos sancionadores EXP202207989 y
EXP202211479.

Señalando que ambas resoluciones sancionadoras devinieron firmes con posterioridad
a la acción típica enjuiciada en el presente expediente sancionador que proviene de un
acto que sucedió en fecha de 16 de enero de 2023, es decir, en un tiempo anterior a
las resoluciones sancionadoras referenciadas.

Indica que resulta del todo lógico que, si estamos hablando de un caso individual, la
sanción debe ajustarse a ese caso concreto, y no a una especie de sanción conjunta
en la que se tienen en cuenta casos similares en los que se pueda haber impuesto una
sanción a Telefónica por una supuesta infracción del artículo 6.1 del RGPD.

“TME” cita en su descargo una serie de resoluciones dictadas por la AEPD,
manifestando que el EXP20210446 se procedió al archivo del mismo al entender que
ya había un expediente sancionador en curso por los mismos hechos y que Telefónica
ya ha sido sancionada por los mismos hechos que hoy se desarrollan en el
procedimiento, la Agencia impuso la sanción a través del procedimiento con referencia
PS/00021/2021y por lo tanto incumple principio non bis ídem.

“TME” señala que en el presente caso concurren las siguientes atenuantes del art.
83.2 del RGPD, las cuales han sido obviadas por la Agencia en el Acuerdo de inicio:

b) la intencionalidad o negligencia en la infracción: como se ha señalado, no se dan en
este caso los requisitos de intencionalidad en la supuesta comisión de la infractor o
actitud negligente, toda vez que ha sido un tercero el que habría tratado los datos
personales de la Reclamante sin su consentimiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/44

c) Procedió la parte reclamada a solventar la incidencia objeto de reclamación de
forma efectiva: tal como fue señalado en las contestaciones a los requerimientos de
información, la línea objeto de la reclamación fue posteriormente recuperada por el
cliente, lo antes posible y una vez puesto en 19 conocimiento de Telefónica los
hechos, procediéndose con la devolución del importe de la tarjeta SIM.

c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar
los daños y perjuicios sufridos por los interesados: Telefónica procedió a tomar las
acciones oportunas, robusteciendo la operativa marcada a tales efectos. Además, la
operativa demuestra ser completamente robusta en base a las cifras expuestas.

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42: Telefónica ha suscrito el Código de
Conducta de Autocontrol sobre tratamiento de datos en la actividad publicitaria, el cual
es un sistema de resolución extrajudicial para resolver controversias que surjan entre
los ciudadanos y las entidades adheridas al código con motivo de tratamientos de
datos realizados en el ámbito de la actividad publicitaria.

CUARTO. - ACTOS PROPIOS Y NON BIS IN IDEM

“TME” señala que la actuación de la Agencia ante un expediente referido a hechos
sustancialmente iguales a los que son objeto de reclamación que nos ocupa, ha sido
contradictoria, pues así nos lo hizo saber la propia Agencia en el expediente con
referencia N.º EXP202104446 de fecha 26 de enero de 2022, en el que se procedió al
archivo del mismo al entender que ya había un expediente sancionador en curso por
los mismos hechos, cuyo literal fue el siguiente: “Sobre este particular, procede
resaltar que hechos similares a los que son objeto de reclamación han sido
investigados por esta Agencia y sancionados en el procedimiento sancionador
PS/00021/2021, tramitado contra la parte reclamada, por resolución de fecha
8/11/2021, por lo que no procede el inicio de un nuevo procedimiento sancionador”.

Indica que en todos los procedimientos sancionadores incoados frente a Telefónica por
hechos similares, como por ejemplo en los procedimientos sancionadores
EXP202209359, EXP202207989, EXP202211479 o EXP202206971, la Agencia ha
apreciado siempre, y en cualquier caso, la atenuante referida a haber solventado la
incidencia objeto de la reclamación de forma efectiva, algo que concurre en este caso
y es obviado (por ej. Resolución sancionadora del EXP202206971: “En calidad de
atenuantes: Procedió la parte reclamada a bloquear la línea en cuanto tuvo
conocimiento de los hechos (art. 83.2 c)”

Afirma que la discrepancia de la actuación administrativa entre un expediente y otro
supondría la clara vulneración de la doctrina de los actos propios. Además, señala que
Telefónica ya ha sido sancionada por los mismos hechos que hoy se desarrollan en
este procedimiento, y que la Agencia le impuso la sanción a través del procedimiento
con referencia PS/00021/2021.

Considera “TME” que el iniciar un nuevo procedimiento sancionador, de forma
sucesiva, sin que haya un pronunciamiento por parte de los Tribunales de Justicia, y
sobre los mismos hechos, incumple el principio non bis in idem.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/44

Indica que conforme la doctrina consolidada del Tribunal Constitucional, la
Constitución Española prohíbe la imposición de más de un castigo por el mismo ilícito.
Esta prohibición constituye la vertiente material de la garantía non bis in idem, y el
Tribunal Constitucional ha entendido que, sin estar expresamente recogida en el texto
constitucional, debe considerarse implícita en el art. 25.1 CE por su estrecha
vinculación con el principio de legalidad punitiva, según proclamó tempranamente la
STC 2/1981, de 30 de enero, y que vienen asumiendo todos los Tribunales
Contencioso-Administrativos: - STC 2/1981, de 30 de enero: “si bien no se encuentra
el principio non bis in idem recogido expresamente en los artículos 14 a 30 de la
Constitución, que reconocen los derechos y libertades susceptibles de amparo, no por
ello cabe silenciar que, como entendieron los parlamentarios en la Comisión de
Asuntos Constitucionales y Libertades Públicas del Congreso al prescindir de él en la
redacción del art. 9.1 del Anteproyecto 21 de Constitución, va íntimamente unido a los
principios de legalidad y tipicidad de las infracciones recogidos principalmente en el
artículo 25 de la Constitución”.

- SSTC 2/2003, de 16 de enero, y 48/2007, de 12 de marzo: “el principio non bis in
idem integra el derecho fundamental al principio de legalidad en materia penal y
sancionadora (artículo 25.1 CE) a pesar de su falta de mención expresa en dicho
precepto constitucional, dada su conexión con las garantías de tipicidad y legalidad de
las infracciones”.

Indica que en el ámbito de la legislación ordinaria aplicable, cabe mencionar que,
conforme al artículo 31 de la Ley 40/2015, de 1 de octubre del Régimen Jurídico del
Sector Público: “No podrán sancionarse los hechos que lo hayan sido penal o
administrativamente, en los casos en que se aprecie identidad del sujeto, hecho y
fundamento”. Por ello, considera que debería procederse con el archivo del presente
expediente sancionador o, al menos, suspenderlo, y esperar al dictamen de los
Tribunales de Justicia al respecto.

Por todo lo expuesto, “TME” solicita:

i. Se declare la inexistencia de responsabilidad por parte de Telefónica por la presunta
infracción que se le imputa en este procedimiento, ordenando el archivo del presente
expediente sancionador.
ii. Subsidiariamente y para el caso de que no se proceda al archivo del presente
expediente sancionador, se suspenda el presente procedimiento y se requiera al
reclamante a fin de que aporte en qué punto está la denuncia interpuesta, así como el
contenido del procedimiento penal que en su caso se encuentre en marcha, con el fin
de determinar si existe prejudicialidad penal.
iii. Por último, en caso de que no se estimasen ninguna de las pretensiones
anteriores, que se minore la sanción inicialmente propuesta en virtud de las
atenuantes estipuladas en el art. 83 del RGPD.

OCTAVO: Con fecha 12 de febrero de 2025, se emitió por el instructor del expediente
la propuesta de resolución y fue notificada electrónicamente el día 17 del mismo mes y
año y en la misma se proponía: “Que por la Presidencia de la Agencia Española de
Protección de Datos se sancione a TELEFÓNICA MÓVILES ESPAÑA, S.A.U., con NIF
A78923125, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5
del RGPD, con una multa por un importe de 200.000 euros (doscientos mil euros)”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/44

NOVENO: Con fecha 18 de febrero de 2025, solicitó TME ampliación de plazo para
formular alegaciones a la propuesta de resolución y el día 24 del mismo mes y año le
fue concedido y el día 5 de marzo de 2025 presentó escrito en el que reproduce,
básicamente las mismas alegaciones formuladas al acuerdo de apertura del
procedimiento. El contenido de dicho escrito se reseña en el Fundamento de Derecho
IV, de “Contestación a las alegaciones presentadas a la Propuesta de Resolución”.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

Primero. - La parte reclamante es cliente de la entidad TME, siendo titular, entre otros
servicios, de la línea de telefonía móvil ***TELÉFONO.1.

Segundo. - Consta en las actuaciones, aportado por TME, copia de un correo
electrónico, remitido desde la dirección “***EMAIL.1”, con el texto siguiente:

“Esim para mi línea ***TELÉFONO.1
Mi nombre es… (nombre y apellidos de la parte reclamante)
Con DNI… (número de DNI de la parte reclamante)
Factura… (número completo de una factura)
Adjunto DNI”.

Este correo incluye dos archivos en formato pdf. con el nombre “***ARCHIVO.1” y
“***ARCHIVO.2”, cuyo contenido se desconoce al no haber sido aportado a las
actuaciones por TME.

Se aporta, asimismo, la respuesta a este correo, en la que un agente de la operadora
indica lo siguiente:

“Si necesitas una nueva eSIM, por favor, ponte en contacto con el 1551, número
gratuito de O2, y realizaremos esta gestión.
Si necesitas un duplicado con urgencia, también puedes solicitarlo en cualquier tienda
Movistar…
El equipo de O2”.

En el documento aportado por TME no se especifica la fecha de ninguno de estos
correos electrónicos.

Tercero. - Con fecha 16/01/2023, a través de su servicio telefónico de atención al
cliente 1551, TME recibió una solicitud de duplicado de la tarjeta SIM asociada a la
línea móvil ***TELÉFONO.1, en formato E-SIM. Dicha solicitud fue gestionada por
dicha entidad.

En los sistemas de información de TME, asociada a la ficha de cliente de la parte
reclamante, consta la siguiente anotación con fecha 16/01/2023 (14:10 horas):
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/44

“reclama duplicado de esim para línea… se confirma documentación enviada… realizo
gestión”.

TME ha manifestado al respecto que “como la solicitud provenía de una petición
previa por correo electrónico en la que se deriva la gestión al 1551, sí consta registro
del agente comercial en ficha del cliente en el que detalla se procede a la gestión de la
solicitud puesto que el cliente remitió un correo electrónico con la documentación
relativa al DNI, nombre completo y el móvil para el que solicita la gestión”.

Cuarto. - La parte reclamante ha manifestado que, con fecha 16/01/2023, se quedó sin
servicio de telefonía, por lo que contactó telefónicamente con el servicio de atención al
cliente, que le informó sobre la emisión del duplicado de tarjeta SIM realizado.

TME ha manifestado, asimismo, que en sus sistemas de información consta un
contacto telefónico de la parte reclamante, de fecha 16/01/2023, a las 18:41h, porque
no tenía servicio y que se activó bloqueo por robo.

Quinto. - La parte reclamante ha manifestado que, con fecha 17/01/2023, acudió a una
tienda física de TME en ***LOCALIDAD.1 para recuperar su línea, donde le
informaron que un tercero con correo electrónico “***EMAIL.1”, no vinculado a su
contrato, había solicitado un duplicado el día previo.

Sexto. - En relación con el envío de la tarjeta E-SIM gestionada el 16/01/2023, a la que
se refiere el Hecho Probado Tercero, TME, en respuesta al requerimiento de
información de los Servicio de Inspección de esta Agencia, ha manifestado “que la
remisión de la documentación se hace por correo electrónico, no consta registro de
que la E-SIM se mandase al correo electrónico que figura en la ficha de cliente del
reclamante”.

Séptimo. - Según la información aportada por TME, en la fecha de emisión del
duplicado de tarjeta reseñado en el Hecho Probado Tercero, el procedimiento de
identificación del solicitante incluía las verificaciones y acciones siguientes:

“- El solicitante debe ser titular
- Debe facilitar:
. Nombre y apellidos
. Identificador Fiscal
. últimos dígitos del Nº de la última factura O2
. Para Bajas por Defunción o incapacidad ver procedimiento
- Si llama desde el Nº de la gestión, no se le hará llamada.
- Si no llama desde el Nº de la gestión, una vez identificado, indicarle que se cuelga
para comprobaciones, y emitir llamada al Nº de titular (ver todo OK).
- Tanto si esta llamada es respondida como si no, se envía email al correo de contacto
de titular para aviso de cualquier cambio.
- Se finaliza comprobación y se devuelve llamada al cliente al número de su interés
para terminar la gestión”.

Octavo. - TME ha manifestado que, en la fecha de emisión del duplicado de tarjeta
reseñado en el Hecho Probado Tercero, “en los casos concretos de solicitudes de E-
SIM se seguían los procedimientos de identificación habituales como si se tratase de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/44

un caso de duplicado de SIM en formato físico. Manifiestan que, para este tipo de
solicitudes, debe comprobarse que la tarjeta en formato E-SIM es remitida a la
dirección de correo electrónico que consta en sus sistemas en la ficha del cliente”.

Noveno. - TME ha manifestado “que revisados sus sistemas, no consta la grabación
con la solicitud del duplicado de la tarjeta sim realizada de forma telefónica… De otro
lado, y con respecto a la realización de la llamada de seguridad, ésta no se habría
producido dado que la remisión de la documentación se habría realizado desde el
correo electrónico. No obstante lo anterior, el agente comercial no habría seguido la
operativa señalada a tales efectos con respecto a la llamada de seguridad, la cual
tendría que haberse efectuado puesto que la solicitud provenía de un correo
electrónico que no era el que constaba en la ficha de cliente”.

Décimo. -TME ha informado sobre los cambios introducidos tras los hechos
denunciados en sus protocolos de identificación del solicitante de duplicados de tarjeta
SIM. En el documento denominado “Refuerzo protocolo operaciones. Gestiones
vulnerables” se indica que en caso de “llamada desde teléfono desconocido” o
“contacto desde otro EMAIL”  “hay que llamar al titular / y o envío OTP
comprobación”  “El titular tiene que dar el OK a la gestión en la llamada y confirmar
con OTP”.

FUNDAMENTOS DE DERECHO

I

Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”

II

Cuestiones previas

El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/44

un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.

Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier
operación o conjunto de operaciones realizadas sobre datos personales o conjuntos
de datos personales, ya sea por procedimientos automatizados o no, como la
recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación,
supresión o destrucción;

Además, el artículo 4.7 del RGPD establece que el «responsable del tratamiento» o
«responsable» es: la persona física o jurídica, autoridad pública, servicio u otro
organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si
el Derecho de la Unión o de los Estados miembros determina los fines y medios del
tratamiento, el responsable del tratamiento o los criterios específicos para su
nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros.

Una tarjeta SIM es una tarjeta inteligente que contiene un chip en el que se almacena
el número de línea telefónica móvil del cliente, así como el número de identificación
personal, pero que también puede proporcionar otro tipo de datos como la información
sobre el listado telefónico o el de llamadas y mensajes. Por tanto, a los efectos de los
artículos 4.1 y 4.2 del RGPD la emisión de duplicados de tarjetas SIM supone un
tratamiento de datos personales.

TME realiza esta actividad en su condición de responsable del tratamiento dado que
es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.

III

Contestación a las alegaciones al acuerdo de inicio

Se procede a dar respuesta a las mismas según el orden expuesto por TME.

CUESTIÓN PREVIA. - PREJUDICIALIDAD PENAL

“TME” manifiesta que estos hechos están siendo actualmente objeto de una
investigación penal, y por lo tanto considera que, por ello, en aplicación del principio de
prejudicialidad penal recogido en el artículo 10 de la Ley Orgánica del Poder Judicial,
no debe resolverse el asunto en vía administrativa en tanto en cuanto no se resuelva
por la vía penal. Ello, manifiesta, dado que los hechos declarados probados vincularán
a la Agencia respecto a un posible procedimiento sancionador, conforme a lo previsto
en el artículo 77.4 de la Ley 39/2015.

Debe tenerse en cuenta que el art. 77.4 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP): “En
los procedimientos de carácter sancionador, los hechos declarados probados por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/44

resoluciones judiciales penales firmes vincularán a las Administraciones Públicas
respecto de los procedimientos sancionadores que substancien”. Sin embargo, hay
que indicar, que no existe la triple identidad necesaria para aplicar el artículo 77 de la
LPACAP, (de sujeto, hecho y fundamento), entre la infracción administrativa que se
valora y la posible infracción o infracciones penales que se pudieran derivar de las
presuntas Diligencias Previas practicadas por un órgano jurisdiccional. Esto, porque el
sujeto infractor es obvio que no sería el mismo –respecto a las infracciones de la
LOPDGDD el responsable es Telefónica, en tanto que el responsable penal de un
eventual delito de usurpación de personalidad o estafa sería el tercero que se hubiera
hecho pasar por el reclamante. Tampoco el fundamento jurídico sería el mismo:
mientras el bien jurídico protegido por la LOPDGDD es el derecho fundamental a la
protección de datos personales, el bien jurídico que se protege en los tipos penales
cuya comisión investigaría, llegado el caso, el Juzgado de Instrucción serían el estado
civil, el patrimonio, etc.

En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de
27/04/2012 (rec. 78/2010), en cuyo Fundamento Jurídico segundo el Tribunal se
pronuncia en los siguiente términos frente al alegato de la recurrente de que la AEPD
ha infringido el artículo 7 del R.D. 1398/1993 (norma que estuvo vigente hasta la
entrada en vigor de la LPACAP): “En este sentido el Art. 7 del Real Decreto
1398/1993, de 4 de agosto, del procedimiento para el ejercicio de la potestad
sancionadora, únicamente prevé la suspensión del procedimiento administrativo
cuando se verifique la existencia efectiva y real de un procedimiento penal, si se
estima que concurre identidad de sujeto, hecho y fundamento de derecho entre la
infracción administrativa y la infracción penal que pudiera corresponder.

No obstante, y para la concurrencia de una prejudicialidad penal, se requiere que ésta
condicione directamente la decisión que haya de tomarse o que sea imprescindible
para resolver, presupuestos que no concurren en el caso examinado, en el que existe
una separación entre los hechos por los que se sanciona en la resolución ahora
recurrida y los que la recurrente invoca como posibles ilícitos penales. Así, y aun de
haberse iniciado, en el presente supuesto, y por los hechos ahora controvertidos,
también actuaciones penales frente a la empresa distribuidora, lo cierto es que tanto la
conducta sancionadora como el bien jurídico protegido son distintos en una y otra vía
(contencioso-administrativa y penal). En el ámbito penal, el bien jurídico protegido es
una posible falsedad documental y estafa, y en el ámbito administrativo, en cambio, la
facultad de disposición de sus datos personales por parte de su titular, por lo que tal
objeción de la demandada ha de ser rechazada”.

En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte
reclamada y debe ser rechazada.

I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

PRIMERA. - INEXISTENCIA DE COMISIÓN DE INFRACCIÓN. DISCONFORMIDAD
CON EL ACUERDO DE INICIO DEL EXPEDIENTE SANCIONADOR

Manifiesta “TME” su total disconformidad con la incoación del presente expediente
sancionador y con lo establecido en los supuestos hechos probados que se recogen
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/44

en la fundamentación del Acuerdo, indicando que, de las contestaciones realizadas por
la parte reclamada a los requerimientos de información realizados por la Agencia, en
ningún caso se puede inferir que supongan admitir, presuponer o verificar por parte de
la Agencia que el agente comercial no siguió la operativa relativa a la identificación del
cliente.

Afirma que las medidas técnicas y organizativas implantadas por “TME” resultan
apropiadas para la gestión de la que trae causa el Acuerdo de inicio, esto es,
duplicados de tarjeta SIM o E-SIM y, en concreto, sobre su tramitación en la marca
comercial “O2”, dado que es la marca comercial sobre la que se prestan los servicios
móviles objeto del presente procedimiento.

Como consecuencia de este hecho se ha llevado a cabo un tratamiento de datos
personales con la emisión de un duplicado de la tarjeta SIM de la parte reclamante sin
que la misma lo hubiese solicitado, es decir sin su intervención ni conocimiento.

En definitiva, desde el momento que se entrega un duplicado a una persona distinta al
titular de la línea o persona autorizada, el cliente pierde el control de la línea y los
riesgos, daños y perjuicios, se multiplican. Además, los hechos acontecen con una
inmediatez abrumadora.

El grado de responsabilidad cae dentro de su ámbito, debiendo señalar que la SAN
-Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro
lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como
dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso,
es necesario asegurarse que la persona que contrata es quien realmente dice ser y
deben adoptarse las medidas de prevención adecuadas para verificar la identidad de
una persona cuyos datos personales van a ser objeto de tratamiento”.

Por lo tanto, el no cumplimiento de su propia política de seguridad por parte de TME
ha conllevado el tratamiento ilícito.

SEGUNDA. - LAS CIRCUNSTANCIAS QUE HAN HECHO POSIBLE LA
SUPERACIÓN POR TERCERAS PERSONAS DE LAS POLÍTICAS DE SEGURIDAD
IMPLANTADAS POR TELEFÓNICA.

PRIMERO. - SOBRE LA PRESUNTA INFRACCIÓN COMETIDA POR PARTE DE
TELEFÓNICA: AUSENCIA DE TIPICIDAD, ANTIJURICIDAD Y CULPABILIDAD.

En el presente caso, resulta notoria la existencia de tipicidad, antijuridicidad y
culpabilidad en la conducta infractora de la entidad responsable del tratamiento de los
datos personales, “TME”, quien como responsable del tratamiento de datos de emisión
de duplicados de tarjetas SIM, que decide sobre la finalidad, contenido y uso de los
datos personales incluidos en el tratamiento, tiene la obligación de obrar con mayor
diligencia a la hora de tramitar la emisión de duplicados, asegurándose de contar con
el consentimiento de su titular, a fin de no incurrir en el tratamiento no consentido de
sus datos personales. Dicha condición impone un deber especial de diligencia a la
hora de llevar a cabo el uso o tratamiento de los datos personales, en lo que atañe al
cumplimiento de los deberes que la legislación sobre protección de datos establece
para garantizar los derechos fundamentales y las libertades públicas de las personas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/44

físicas, y especialmente su honor e intimidad personal y familiar, cuya intensidad se
encuentra potenciada por la relevancia de los bienes jurídicos protegidos por aquellas
normas y la profesionalidad de los responsables o encargados, máxime cuando
operan con ánimo de lucro en el mercado de datos; en este sentido se ha pronunciado
también la SAN 392/2015, de 17 de noviembre.

Al respecto, resulta significativo que la operadora responsable del tratamiento no
justifique debidamente la concurrencia en su conducta de la diligencia que le era
exigible ni acredite la adopción de las cautelas exigibles para evitar el tratamiento no
consentido del dato de carácter personal que nos ocupa (la emisión de duplicado de
tarjeta E-SIM de forma fraudulenta), que debe atribuirse a la conducta negligente de
“TME”, utilizándose por un tercero los datos personales del reclamante pasando las
medidas de seguridad para realizar el duplicado de la tarjeta E-SIM.

En cuanto a la responsabilidad de “TME”, debe indicarse que, con carácter general la
operadora trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1 b)
del RGPD, por considerarse un tratamiento necesario para la ejecución de un contrato
en el que el interesado es parte o para la aplicación a petición de este de medidas
precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases
previstas en el artículo 6.1.a), c), e) y f) del RGPD.

Por dicha razón, este es un proceso en donde la diligencia prestada por la operadora
es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia
que se traduce en el establecimiento de medidas adecuadas para garantizar que la
persona que contrata es quien dice ser y que se implantan y mantienen medidas
apropiadas para dar cumplimiento al principio de licitud.

El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos
encontramos ante un derecho fundamental a la protección de datos por el que se
garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y
sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la
dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de
datos se configura como una facultad del ciudadano para oponerse a que
determinados datos personales sean usados para fines distintos a aquel que justificó
su obtención.

Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un
derecho autónomo e independiente que consiste en un poder de disposición y de
control sobre los datos personales que faculta a la persona para decidir cuáles de esos
datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este
tercero recabar, y que también permite al individuo saber quién posee esos datos
personales y para qué, pudiendo oponerse a esa posesión o uso.

En cuanto a la conducta de “TME” se considera que responde al título de culpa. Como
depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o
dedicada específicamente a la gestión de los datos de carácter personal de los
clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir,
desde la óptica de la culpabilidad, estamos ante un error vencible ya que con la
aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones
de identidad se hubieran podido evitar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/44

Es el considerando 74 del RGPD el que dice: Debe quedar establecida la
responsabilidad del responsable del tratamiento por cualquier tratamiento de datos
personales realizado por él mismo o por su cuenta. En particular, el responsable debe
estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la
conformidad de las actividades de tratamiento con el presente Reglamento, incluida la
eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el
ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y
libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección
de los derechos y libertades de los interesados, así como la responsabilidad de los
responsables y encargados del tratamiento, también en lo que respecta a la
supervisión por parte de las autoridades de control y a las medidas adoptadas por
ellas, requieren una atribución clara de las responsabilidades en virtud del presente
Reglamento, incluidos los casos en los que un responsable determine los fines y
medios del tratamiento de forma conjunta con otros responsables, o en los que el
tratamiento se lleve a cabo por cuenta de un responsable.

Por otro lado, y estrictamente en cuanto a la negligencia en la actuación de “TME”,
cabe señalar que la SAN -Sala Contencioso-Administrativo- 392/2015, de 17 de
noviembre que en su Fundamento Jurídico Tercero recoge la doctrina del Tribunal
Constitucional sobre la aplicación al derecho administrativo sancionador de los
principios del orden penal, en los siguientes términos:

El Tribunal Constitucional ha declarado reiteradamente que los principios del orden
penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos
matices, al derecho administrativo sancionador, al ser ambos manifestaciones del
ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el
ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya
virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin
acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y
164/2005).

El principio de culpabilidad, garantizado por el artículo 25 de la Constitución, limita el
ejercicio del "ius puniendi" del Estado y exige, según refiere el Tribunal Constitucional
en la sentencia 129/2003, de 20 de junio, que la imposición de la sanción se sustente
en la exigencia del elemento subjetivo de culpa, para garantizar el principio de
responsabilidad y el derecho a un procedimiento sancionador con todas las garantías
(STS de 1 de marzo de 2012, Rec 1298/2009).

Ciertamente, el principio de culpabilidad, previsto en el artículo 28 de la Ley40/2015,
de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que solo pueden ser
sancionados por hechos constitutivos de infracción administrativa los responsables de
los mismos a título de dolo o culpa. Obviamente, ello supone que queda desterrada del
ámbito del derecho administrativo sancionador la llamada "responsabilidad objetiva", y
comprendiendo el titulo culposo la imprudencia, negligencia o ignorancia inexcusable.
La jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias
de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional
(después de su STC 76/1990 ), destacan que el principio de culpabilidad, aún sin
reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y
prohibición de exceso ( artículo 25.1 CE ), o de las propias exigencias inherentes a un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/44

Estado de Derecho, por lo que se requiere la existencia de dolo o culpa (en este
sentido STS de 21 de enero de 2011, Rec 598/2008 ).

No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se
corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables
a la conducta humana. De modo que en el caso de infracciones cometidas por
personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se
aplica necesariamente de forma distinta a como se hace respecto de las personas
físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de
la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción
jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido
estricto, pero no la capacidad de infringir las normas a las que están sometidos.
Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien
jurídico protegido por la norma que se infringe y la necesidad de que dicha protección
sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona
jurídica que está sujeta al cumplimiento de dicha norma " (en este sentido STS de 24
de noviembre de 2011, Rec 258/2009).

A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005 , y de 23
de octubre de 2010, Rec 1067/2006 , que "aunque la culpabilidad de la conducta debe
también ser objeto de prueba, debe considerarse en orden a la asunción de la
correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos
necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su
exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente
normativa, que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia; no basta, en suma, para la exculpación frente a un comportamiento
típicamente antijurídico la invocación de la ausencia de culpa".

Así, en el caso que nos ocupa, una vez analizadas las circunstancias concretas del
caso, se ha podido determinar que TME, no cumplió con sus propias medidas e
instrucciones de seguridad en relación con el duplicado de la tarjeta SIM, que han
conllevado un tratamiento ilícito.

SEGUNDO. –AUSENCIA DE CULPABILIDAD. ERROR DE TIPO.

“TME” señala que no concurre el requisito de culpabilidad en su actuación y señala
que en la gestión del duplicado de E-SIM se habría realizado en todo caso por el
resultado de actos de engaño, manipulación y uso ilícito de datos por parte de una
tercera persona, quien habría engañado al agente comercial haciéndole creer que se
trataba de la persona titular de los datos o que contaba con su consentimiento para
efectuar la solicitud al haberse identificado de forma correcta con los datos de cliente
que figuran en nuestros sistemas.

Por tanto señala que Telefónica nunca podría ser considerada culpable, al darse en
este supuesto un error de tipo invencible.

Efectivamente, rige en el Derecho Administrativo sancionador el principio de
culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público,
LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/44

indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la
LRJSP, “Responsabilidad”, dice:

“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa
las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de
obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los mismos a
título de dolo o culpa.”

A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de
dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de
cuidado.

El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las
sanciones administrativas participan de la misma naturaleza que las penales, al ser
una de las manifestaciones del ius puniendi del Estado, y que, como exigencia
derivada de los principios de seguridad jurídica y legalidad penal consagrados en los
artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas.

A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19
de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el
elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a
como se hace respecto de las personas físicas y añade que “Esta construcción distinta
de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia
naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el
elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las
que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que
deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que
dicha protección sea realmente eficaz [...]”.

Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha
dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la
“capacidad de infringir las normas a las que están sometidos”. “Capacidad de
infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la
necesidad de que dicha protección sea realmente eficaz [...]”.

En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de
responsabilidad proactiva), conforme al cual el responsable del tratamiento será
responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí
interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de
demostrar su cumplimiento. El principio de proactividad transfiere al responsable del
tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder
demostrar dicho cumplimiento.

El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido
durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son
aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es
la obligación del responsable del tratamiento de aplicar medidas que, en
circunstancias normales, garanticen que en el contexto de las operaciones de
tratamiento se cumplen las normas en materia de protección de datos y en tener
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/44

disponibles documentos que demuestren a los interesados y a las Autoridades de
control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en
materia de protección de datos.

El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a
adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder
demostrar” que el tratamiento es conforme con el RGPD. El precepto establece:

“Responsabilidad del responsable del tratamiento”
“1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento,
así como los riesgos de diversa probabilidad y gravedad para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará medidas
técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el
tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y
actualizarán cuando sea necesario.
2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre
las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del
responsable del tratamiento, de las oportunas políticas de protección de datos.
3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados
como elementos para demostrar el cumplimiento de las obligaciones por parte del
responsable del tratamiento.”

El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”,
establece:
“1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza,
ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y
gravedad que entraña el tratamiento para los derechos y libertades de las personas
físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los
medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y
organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma
efectiva los principios de protección de datos, como la minimización de datos, e
integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del
presente Reglamento y proteger los derechos de los interesados.
2.[...]”.

Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que,
después de referirse a que las entidades en las que el desarrollo de su actividad
conlleva un continuo tratamiento de datos de clientes y terceros han de observar un
adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que
existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir,
cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del
grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto,
y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la
recurrente es de constante y abundante manejo de datos de carácter personal ha de
insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al
respecto.

Por otra parte, en relación con el uso ilícito de los datos por un tercero, efectivamente
para completar la estafa, es necesario que un tercero “suplante la identidad” del titular
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/44

de los datos, para recibir el duplicado de la tarjeta E-SIM. Lo que conlleva a priori, un
tratamiento al margen del principio de licitud pues un tercero está tratando datos, ya
que tiene acceso a ellos, sin base legal alguna, además de la vulneración de otros
principios como el de confidencialidad.

Por dicha razón, este es un proceso en donde la diligencia prestada por las
operadoras es fundamental para evitar este tipo de estafas y vulneraciones del RGPD.
Diligencia que se traduce en el establecimiento de medidas adecuadas para garantizar
que se implantan y mantienen medidas de seguridad apropiadas para proteger
eficazmente la confidencialidad, integridad y disponibilidad de todos los datos
personales de los cuales son responsables, o de aquellos que tengan por encargo de
otro responsable.

TERCERO. – SOBRE LOS CRITERIOS DE GRADUACIÓN DE LA SANCIÓN

En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé
expresamente la posibilidad de graduación, mediante la previsión de multas
susceptibles de modulación, en atención a una serie de circunstancias de cada caso
individual. Estas circunstancias han sido tenidas en cuenta a la hora de fijar la sanción.

En el presente procedimiento sancionador, la sanción se impone debido a que “TME”
facilitó un duplicado de la tarjeta E-SIM de la parte reclamante a un tercero, sin su
consentimiento y sin verificar la identidad de dicho tercero, y por este motivo se imputa
el artículo 6.1 del RGPD.

“TME” solicita que se aprecien las siguientes circunstancias atenuantes:

b) la intencionalidad o negligencia en la infracción: como se ha señalado, no se dan en
este caso los requisitos de intencionalidad en la supuesta comisión de la infractor o
actitud negligente, toda vez que ha sido un tercero el que habría tratado los datos
personales de la Reclamante sin su consentimiento.

c) Procedió la parte reclamada a solventar la incidencia objeto de reclamación de
forma efectiva: tal como fue señalado en las contestaciones a los requerimientos de
información, la línea objeto de la reclamación fue posteriormente recuperada por el
cliente, lo antes posible y una vez puesto en conocimiento de Telefónica los hechos,
procediéndose con la devolución del importe de la tarjeta SIM.

c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar
los daños y perjuicios sufridos por los interesados: Telefónica procedió a tomar las
acciones oportunas, robusteciendo la operativa marcada a tales efectos. Además, la
operativa demuestra ser completamente robusta en base a las cifras expuestas.

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42: Telefónica ha suscrito el Código de
Conducta de Autocontrol sobre tratamiento de datos en la actividad publicitaria, el cual
es un sistema de resolución extrajudicial para resolver controversias que surjan entre
los ciudadanos y las entidades adheridas al código con motivo de tratamientos de
datos realizados en el ámbito de la actividad publicitaria.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/44

No se admite ninguna de las circunstancias invocadas.

Respecto a la pretendida inexistencia de intencionalidad o negligencia nos remitimos a
las consideraciones hechas acerca de la concurrencia del elemento de la culpabilidad,
concretada en una grave falta de diligencia.

La parte reclamada ha obrado con una grave falta de diligencia en el tratamiento
efectuado con ocasión del desarrollo de la actividad empresarial que le es propia. A
propósito del grado de diligencia que está obligado a desplegar en el cumplimiento de
la normativa de protección de datos, cabe citar la SAN de 17/10/2007 (rec. 63/2006),
que pese a haberse dictado bajo la vigencia de la anterior normativa resulta
plenamente aplicable. Se recoge en ella que “[...] el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal de
cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la
valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o
no del sujeto, [...].

La parte reclamada manifiesta que procedió a solventar la incidencia objeto de la
reclamación de forma efectiva, pero hay que señalar que entra en el cumplimiento de
sus obligaciones legales -por lo que aquí interesa del principio de licitud- la reclamada
debe de actuar con la diligencia que las circunstancias del caso exigen y está obligada
a adoptar las medidas técnicas y organizativa que le permitan cumplir y poder
acreditar el cumplimiento de los principios de protección de datos.

Así, como se ha señalado, en cualquier infracción de la normativa en materia de
protección de datos ha de concurrir la existencia de intencionalidad o de negligencia. Y
ello tanto a un responsable de tratamiento persona física, como persona jurídica, ya
sea una pequeña empresa con poca vinculación con el tratamiento de datos
personales, ya sea una gran empresa, una multinacional, etc, y con tratamientos de
datos personales de forma continua y a gran escala, por ejemplo.

Por tanto, una vez determinado que, como premisa, concurre este elemento subjetivo
culpabilístico de base, ello no obsta que se pueda considerar esta circunstancia como
agravante por considerar que, de conformidad con las circunstancias concretas del
caso, se considere un diferente grado de intencionalidad o de negligencia en el actuar
del sujeto infractor. Pero, en ningún caso, esta circunstancia puede considerarse como
un atenuante en el sentido que argumenta Telefónica.

En relación con que “TME” procedió a tomar las acciones oportunas, robusteciendo la
operativa marcada a tales efectos.

Pues bien, es importante resaltar que el duplicado E-SIM se emitió y activó a pesar de
haber sido solicitado desde una dirección electrónica distinta a la que constaba de la
parte reclamante en los sistemas de la marca O2 de TME, y se ha evidenciado que la
llamada de comprobación solo se citaba en la política de seguridad para el caso de
que el solicitante llamara desde otro número, no especificándose explícitamente cómo
proceder en el caso de recepción de correos electrónicos desde otra dirección, por lo
que el mecanismo que tenía establecido no fue suficiente para contrastar la veracidad
de los datos de identidad proporcionados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/44

Por otra parte, el principio de proactividad supone transferir al responsable del
tratamiento la obligación no solo de cumplir con la normativa, también la de poder
demostrar su cumplimiento. Entre los mecanismos que el RGPD contempla para
lograrlo se encuentran los previstos en el artículo 25, “protección de datos desde el
diseño”, a tenor del cual el responsable debe aplicar “tanto en el momento de
determinar los medios de tratamiento como en el momento del propio tratamiento”
medidas técnicas y organizativas que garanticen que hace una efectiva aplicación de
los principios del RGPD con ocasión de los tratamientos que realiza.

TME alega que debe ser considerada como atenuante la adhesión por parte de la
misma al sometimiento a mecanismos de resolución de conflictos.

El Código de Conducta de Tratamiento de Datos en la Actividad Publicitaria. El objetivo
principal de este Código permite que los usuarios que lo deseen cuando entiendan
infringidos sus derechos de protección de datos en el marco de una actividad
publicitaria, tales como: la recepción de publicidad no deseada, el ejercicio de
derechos relacionados con la publicidad (como el de oposición), y el tratamiento de
datos en promociones publicitarias o a través de cookies publicitarias, entre otros, que
no es el caso, por lo que no puede considerarse como atenuante.

CUARTO. - ACTOS PROPIOS Y NON BIS IN IDEM

Telefónica cita en su descargo una serie de resoluciones dictadas por la AEPD,
manifestando que el EXP20210446 se procedió al archivo del mismo al entender que
ya había un expediente sancionador en curso por los mismos hechos y que Telefónica
ya ha sido sancionada por los mismos hechos que hoy se desarrollan en este
procedimiento, la Agencia impuso la sanción a través del procedimiento con referencia
PS/00021/2021y por lo tanto incumple principio non bis ídem.

Sobre este particular, amén de que los hechos consignados en la reclamación no son
los mismos, procede resaltar que dichos procedimientos tuvieron por objeto analizar
los procedimientos seguidos para gestionar las solicitudes de cambio de SIM por parte
de Telefónica, identificando las vulnerabilidades que puedan existir en los
procedimientos operativos implantados, para detectar las causas por las cuales se
pueden estar produciendo estos casos, así como encontrar puntos de incumplimiento,
mejora o ajuste, para determinar responsabilidades, disminuir los riesgos y elevar la
seguridad en el tratamiento de los datos personales de las personas afectadas.

El procedimiento sancionador PS/00021/2021, tramitado contra la parte reclamada se
le sancionó por la infracción del artículo 5.1f), no por el tratamiento de datos sin
legitimación sino para garantizar el principio de confidencialidad, y con fecha 8 de
febrero de 2024, se dictó sentencia SAN de 8 de febrero de 2024 (rec. 2250/2021), en
cuyo fallo se desestima el recurso contencioso-administrativo interpuesto por “TME” y
“con fecha 19 de junio de 2024, la Sección Primera de la Sala de lo Contencioso
-administrativo del Tribunal Supremo acuerda la inadmisión a trámite del recurso de
casación n. º 3244/2024 preparado por la entidad Telefónica Móviles España SAU
contra la sentencia de 8 de febrero de 2024 dictada por la Sección Primera de la Sala
de lo Contencioso -administrativo de la Audiencia Nacional en el recurso contencioso
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/44

-administrativo n. º 2250/2021 interpuesto frente a la resolución de 8 de noviembre de
2021 de la Directora de la Agencia Española de Protección de Datos, recaída en el
procedimiento sancionador PS/00021/2021, por la que se impone una sanción de (…),
por una infracción del art. 5.1.f) del Reglamento (UE) 2016/679 del Parlamento
Europeo y del Consejo de 27 de abril de 2016, tipificada como muy grave en el art.
83.5.a) del citado Reglamento”.

IV

Contestación a las alegaciones presentadas a la Propuesta de Resolución

A continuación, se procede a dar respuesta a las alegaciones presentadas por TME,
que son, en líneas generales, una reiteración de las presentadas al acuerdo de inicio y
contestadas en la propuesta de resolución, según consta reproducido en el
Fundamento de Derecho anterior.

CUESTIÓN PREVIA I.- SOBRE LA INCOACIÓN DEL EXPEDIENTE
SANCIONADOR.

Respecto a la primera alegación por la que se indica que TME pone todos los medios
necesarios para prevenir y evitar el fraude entre sus clientes, adoptando medidas
adecuadas y específicas para proteger los intereses y derechos fundamentales del
interesado en función de la finalidad del tratamiento, pero no puede garantizar, y la
Agencia no le puede exigir so pena de multa, su erradicación.

En este sentido, valorar si las medidas previamente adaptadas fueron o no adecuadas
resulta irrelevante, puesto que dichas medidas no han sido seguidas por la propia
parte reclamada.

La adopción de las medidas técnicas y organizativas presupone un cumplimiento de
las mismas, en caso contrario, pierde sentido invocar su establecimiento.

A este respecto, además, conviene señalar que la SAN de 29 de octubre de 2024, rec.
1824/2021, dispone que:

“…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no
estamos ante un requisito meramente formal, sino material. En este sentido, y en línea
con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec.
7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios
también es necesaria su correcta implantación y su utilización de forma apropiada, de
modo que también responderá por la falta de la diligencia en su utilización, entendida
como una diligencia razonable atendiendo a las circunstancias del caso", lo que no
implica que se exija una obligación de resultado”.

Asimismo, cabe citar la sentencia del Tribunal Constitucional 94/1998, de 4 de mayo,
en la que el Tribunal Constitucional señalaba que nos encontramos ante un derecho
fundamental a la protección de datos por el que se garantiza a la persona el control
sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar
el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados;
de esta forma, el derecho a la protección de datos se configura como una facultad del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/44

ciudadano para oponerse a que determinados datos personales sean usados para
fines distintos a aquel que justificó su obtención.

En el presente caso no se está sancionando la existencia o ausencia de medidas
técnicas y organizativas, sino el hecho de que, en este caso específico, el tratamiento
de los datos personales del reclamante fue llevado a cabo sin cumplir con los
requisitos de licitud establecidos en el artículo 6.1 del RGPD. La infracción de este
artículo confirma que la parte reclamada realizó un tratamiento no autorizado de los
datos, vulnerando de esta forma los derechos de la parte reclamante.

El grado de responsabilidad cae dentro de su ámbito, debiendo señalar que la SAN
-Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro
lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como
dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso,
es necesario asegurarse que la persona que contrata es quien realmente dice ser y
deben adoptarse las medidas de prevención adecuadas para verificar la identidad de
una persona cuyos datos personales van a ser objeto de tratamiento”.

Por tanto, lo determinante para concluir la existencia de infracción en este caso es el
hecho de que TME ha tratado los datos personales sin el conocimiento si
consentimiento de la parte reclamante, no el hecho de que dicha entidad disponga o
no de medios necesarios para prevenir y evitar el fraude, y tampoco el que esta
política de seguridad se respetase o no.

La necesidad de establecer protocolos que aseguren el respeto a los principios de
relativos al tratamiento, como el de licitud, está ligada a la obligación que el RGPD
impone a los responsables del tratamiento de ser capaz de demostrar el cumplimiento
de la norma. En este caso, TME no ha sido capaz de demostrar que el tratamiento de
datos personales por el que se sanciona se realizase respetando el principio de licitud
regulado en el artículo 6 del RGPD.

Es más, las gestiones realizadas por TME para acabar emitiendo el duplicado de la
tarjeta SIM de la parte reclamante ofrecía indicios suficientes para evidenciar que
dicho duplicado podía no estar siendo solicitado por su verdadero titular, poniendo de
manifiesto la actuación negligente de la operadora responsable. Nada más sencillo
que poner atención al hecho de que la petición del duplicado de tarjeta se realizó, en
un primer intento, desde una dirección de correo electrónico distinta a la que figuraba
en la ficha del cliente y, posteriormente, a través del servicio telefónico desde una línea
que tampoco correspondía a la parte reclamante.

CUESTIÓN PREVIA II.- PREJUDICIALIDAD PENAL

Con respecto a la cuestión de prejudicialidad penal, señala TME que solicitó que se
suspendiera el procedimiento con el fin de determinar en qué punto se encontraba la
denuncia interpuesta por el afectado, y, sobre todo, conocer el contenido del
procedimiento penal que en su caso se encontrase en marcha.

Telefónica cita la Sentencia nº 2249/2016 de la Sala de lo Contencioso-Administrativo
del Tribunal Supremo de fecha 18 de octubre de 2016, en la que, pese a que el

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/44

procedimiento administrativo y el procedimiento penal versaban sobre impuestos
distintos, se acordó la excepción de prejudicialidad penal.

Por ello, TME entiende que debería procederse con la suspensión del presente
procedimiento sancionador hasta que los tribunales de justicia del orden penal se
pronuncien al respecto.

En la sentencia citada por TME, existe una triple identidad de sujeto, hecho y
fundamento que no se da en el presente caso y nos reiteramos en lo manifestado en la
contestación a las alegaciones al acuerdo de inicio.

A este respecto, sirve lo expuesto en el Fundamento de Derecho anterior, de
respuesta a las alegaciones a la apertura, en el que se advertía que en este caso no
se da la triple identidad exigida para poder acordar la suspensión del procedimiento
administrativo por su vinculación con las actuaciones seguidas en el orden
jurisdiccional penal:

- El sujeto infractor es obvio que no sería el mismo –respecto a las infracciones del
RGPD el responsable es Telefónica, en tanto que el responsable penal de un eventual
delito de usurpación de personalidad o estafa sería el tercero que se hubiera hecho
pasar por el reclamante.

- Tampoco el fundamento jurídico sería el mismo: mientras el bien jurídico protegido
por la LOPDGDD es el derecho fundamental a la protección de datos personales, el
bien jurídico que se protege en los tipos penales cuya comisión investigaría, llegado el
caso, el Juzgado de Instrucción serían el estado civil, el patrimonio, etc.

En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de
27/04/2012 (rec. 78/2010), ya citada en el citado Fundamento de Derecho III.

En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte
reclamada y debe ser rechazada.

SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE ACUERDO
DE INICIO DE PROCEDIMIENTO SANCIONADOR.

PRIMERA y SEGUNDA. - INEXISTENCIA DE COMISIÓN DE INFRACCIÓN.
DISCONFORMIDAD CON EL ACUERDO DE INICIO DEL EXPEDIENTE
SANCIONADOR. VULNERACIÓN DEL PRINCIPIO DE PRESUNCIÓN DE
INOCENCIA, EL PAPEL DE TELEFÓNICA COMO PERJUDICADA

Después de cuestionar algunos de los hechos y conclusiones valoradas en la
propuesta de resolución, como el no cumplimiento de sus propios protocolos de
seguridad, la no verificación de la identidad del solicitante del duplicado de tarjeta Sim,
que se emitió teniendo en cuenta una petición cursada desde una dirección de correo
electrónico que no pertenecía al titular de la tarjeta y sin realizar ninguna llamada de
comprobación, advierte que no realizar esta llamada o no contar con la grabación no
implica que el comercial no siguiera el protocolo establecido en lo referente a la
identificación del cliente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/44

TME, señala que uno de los principios básicos que rigen en el derecho administrativo
punitivo y que a través del artículo 24.2 de la Constitución Española ha adquirido
rango de derecho fundamental es la presunción de inocencia. Presunción que, en este
caso, ha quedado entredicho a través del expediente que ha abierto la Agencia sin
atender a los principios que rigen el sistema sancionador, y todo ello porque para que
se produzca en este caso la condena al pago de una multa, ésta debe fundarse en una
prueba de cargo válidamente practicada y de la que se derive la culpabilidad de
Telefónica.

Señala que la Agencia no ha podido ni puede acreditar que Telefónica no haya sido
diligente en el presente caso, Telefónica es víctima del engaño de los defraudadores
que cuentan de forma anticipada con todos los datos necesarios para llevar a cabo
esta solicitud. Al contrario, Telefónica ha demostrado el cumplimiento de las
obligaciones que se derivan de los principios de responsabilidad proactiva y diligencia
debida a la hora de revisar y actualizar las medidas implantadas a fin de que sean
adecuadas a los nuevos riesgos que se van detectando y señala la operativa para el
duplicado de tarjeta SIM o E-SIM y vuelve aportar la documentación pertinente al
objeto de esclarecer lo sucedido, relatando los hechos acaecidos e indicando las
nuevas medidas que está adoptando.

Para ello, hace referencia TME, para su descargo, al conjunto de medidas de
seguridad que ha adoptado, las cuales son las mínimas exigibles a cualquier
organización con las características y en el contexto en el que actúa una operadora de
telecomunicaciones.

En este sentido, la mera existencia de una política de seguridad no puede justificar el
cumplimiento del principio de licitud previsto del artículo 6.1 del RGPD. Además de
existir, estas medidas deben resultar efectivas de modo que permitan al responsable
del tratamiento estar en condiciones de acreditar que el tratamiento de datos realizado
es lícito. En caso contrario, las medidas adoptadas carecen de virtualidad.

Pues bien, en este caso, TME, en su respuesta de fecha 4 de septiembre del mismo
año la parte reclamada reconoce que se produjo el duplicado fraudulento,
manifestando: “que, revisados sus sistemas, no consta la grabación con la solicitud del
duplicado de la tarjeta sim realizada de forma telefónica. No obstante, como la
solicitud provenía de una petición previa por correo electrónico en la que se deriva la
gestión al 1551, sí consta registro del agente comercial en ficha del cliente en el que
detalla se procede a la gestión de la solicitud puesto que el cliente remitió un correo
electrónico con la documentación relativa al DNI, nombre completo y el móvil para el
que solicita la gestión. Se adjunta como Anexo 1 copia de esta documentación. De
otro lado, y con respecto a la realización de la llamada de seguridad, ésta no se habría
producido dado que la remisión de la documentación se habría realizado desde el
correo electrónico. No obstante lo anterior, el agente comercial no habría seguido la
operativa señalada a tales efectos con respecto a la llamada de seguridad, la cual
tendría que haberse efectuado puesto que la solicitud provenía de un correo
electrónico que no era el que constaba en la ficha de cliente”.
(…)
“en el momento de los hechos, en los casos concretos de solicitudes de E-SIM se
seguían los procedimientos de identificación habituales como si se tratase de un caso
de duplicado de SIM en formato físico. Manifiestan que, para este tipo de solicitudes,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/44

debe comprobarse que la tarjeta en formato E-SIM es remitida a la dirección de correo
electrónico que consta en sus sistemas en la ficha del cliente.

Indican sobre el caso concreto de esta reclamación, que si bien se puede apreciar tal
como se refleja en la documentación adjunta como Anexo 1, que la remisión de la
documentación se hace por correo electrónico, no consta registro de que la E-SIM se
mandase al correo electrónico que figuraba en la ficha de cliente del reclamante”.

TME reconoce que no se siguió el procedimiento implantado por ella misma, ya que,
de haberlo hecho, se debió haber producido la denegación del duplicado de la tarjeta
formato E-SIM.

En definitiva, la parte reclamada no puede exonerar su responsabilidad apelando
simplemente a la existencia de medidas mínimas y al engaño al que se ven sometidas
las empresas y sus comerciales por parte de los suplantadores.

Por otra parte, no se entiende que TME cuestione hechos que han quedado
suficientemente probados, incluso reconocidos por la propia entidad. Hechos con
virtualidad suficiente para desvirtuar la presunción de inocencia.

Las actuaciones han acreditado tanto el tratamiento de datos realizado ilícitamente
como la responsabilidad de TME en su realización.
Tampoco se entiende que TME pretenda que esta AEPD califique como diligente una
actuación en la que se atiende una petición de duplicado de tarjeta SIM sin tener
certeza sobre el origen de la solicitud y con evidencias claras de que ese origen no
estaba relacionado con el titular de la tarjeta.
Cabe reiterar lo señalado en la SAN de 29 de octubre de 2024, rec. 1824/2021, antes
citada, en la que se declara que “…se ha de subrayar, en relación con las medidas
técnicas y organizativas, que no estamos ante un requisito meramente formal, sino
material. En este sentido, y en línea con lo expuesto más arriba, como señala la STS
de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y
organizativos necesarios también es necesaria su correcta implantación y su
utilización de forma apropiada, de modo que también responderá por la falta de la
diligencia en su utilización, entendida como una diligencia razonable atendiendo a las
circunstancias del caso", lo que no implica que se exija una obligación de resultado”.

II. SOBRE LOS FUNDAMENTOS DE DERECHO

PRIMERA. - SOBRE LA PRESUNTA INFRACCIÓN COMETIDA POR PARTE DE
TELEFÓNICA: AUSENCIA DE TIPICIDAD Y ANTIJURICIDAD.

TME considera que el principio de tipicidad se está vulnerando dado que la conducta
realizada por Telefónica no es subsumible en la acción típica que se le imputa, siendo
ésta una supuesta ilicitud en el tratamiento de datos del cliente por no contar con base
legitimadora para ello. TME confirma que la base legal que legitima el tratamiento de
los datos personales del reclamante no es otra que la de la ejecución del contrato, esto
es, la base legitimadora que contempla el apartado b) del citado artículo 6.1: “el
tratamiento es necesario para la ejecución de un contrato en el que el interesado es
parte o para la aplicación a petición de este de medidas precontractuales”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/44

Es decir, en este caso concreto el tratamiento de datos personales se realiza con la
finalidad de gestionar un cambio de duplicado de tarjeta E-SIM, para poder ejecutar
correctamente el contrato que el Reclamante tiene suscrito con Telefónica.

Por ello, en cualquier caso, de haberse cometido una infracción, ésta la habría
cometido el suplantador y no Telefónica, puesto que éste habría tratado los datos del
cliente sin contar con base legitimadora para ello.

TME, señala que teniendo en cuenta tanto las alegaciones de Telefónica como los
propios argumentos de la Agencia, el tratamiento realizado por esta parte es lícito y se
debe proceder por tanto al archivo del expediente sancionador al no ser la acción
típica.

Igualmente, manifiesta que la conducta realizada por Telefónica no es subsumible en
el precepto cuya infracción se imputa y tampoco puede ser considerada antijurídica.

Telefónica considera que ha actuado en todo momento con buena fe y fundada
creencia excluyente de toda culpabilidad, pues recordamos nuevamente que, en la
solicitud recibida se aportaban tanto los datos de identificación del titular de la línea
como el propio documento de identidad.

Pero es que, en cualquier caso, aún en el caso de que la Agencia considere que sí ha
existido un tratamiento ilícito de datos por esta parte, considerando que la acción de
Telefónica es típica y antijurídica, en ningún caso se puede afirmar que la conducta
seguida por Telefónica pueda considerarse culpable.

Según TME, en este caso, donde conforme a la operativa, el cliente se habría
identificado con los datos correctos para la solicitud del duplicado, queda constatado
que estaríamos ante un error de tipo invencible, donde se desconocía la antijuricidad
de la conducta, debiendo procederse con el archivo del procedimiento, al no poderse
determinar la culpabilidad de Telefónica.

Sobre estas cuestiones no cabe sino remitirnos a lo argumentado en el fundamento de
derecho anterior, de respuesta a las alegaciones a la apertura del procedimiento,
similares a las expuestas anteriormente.

Por otra parte, indicar que en modo alguno puede considerarse que el error que alega
haber cometido excluya su responsabilidad, puesto que, según reiterada
jurisprudencia, no puede estimarse la existencia de tal error cuando éste es imputable
a quien lo padece o pudo ser evitado con el empleo de una mayor diligencia.

SEGUNDO. – PROPORCIONALIDAD DE LA SANCIÓN

TME señala que de no acordase el archivo del presente expediente sancionador, de
forma subsidiaria, quiere manifestar su disconformidad con la Propuesta de sanción, al
considerarla contraria al principio de proporcionalidad y porque además se han tenido
en consideración una serie de agravantes que no aplicarían a este caso concreto, así
como las atenuantes ya manifestadas por esta parte, sin que hayan sido tomadas en
cuenta por la Agencia.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/44

1.-Sobre las agravantes tenidas en cuenta no aplicables al caso concreto:

a) “La evidente vinculación entre la actividad empresarial de la reclamada y el
tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD
en relación con el artículo 76.2.b, de la LOPDGDD)”.

En cuanto a esta agravante planteada, señala TME que tendría que haber un número
elevado de interesados afectados por la posible infracción. Es decir, el RGPD no
establece que esta agravante deba ser apreciada de facto cuando un Responsable
trate con carácter general un número elevado o “masivo” de datos personales, sino
con el número de posibles afectados. Y esta postura que mantenemos, viene
corroborada por el Comité Europeo de Protección de Datos, que hizo suyo y por tanto
asumió el contenido de las Directrices sobre la aplicación y la fijación de multas
administrativas a efectos del Reglamento 2016/679 adoptadas por el Grupo de Trabajo
del Artículo 29 el 3 de octubre de 2017, que con claridad disponen que los factores que
prevé el artículo 83.2 del RGPD deben evaluarse de manera combinada, es decir, en
lo que ahora nos interesa, el número de interesados junto con el posible impacto sobre
ellos.

En el mismo sentido, el Considerando 75 del RGPD, dispone que para determinar el
grado de daños y perjuicios que pueda producir una posible infracción en materia de
protección de datos debe tenerse en cuenta, entre otros aspectos “que el tratamiento
implique una gran cantidad de datos personales y afecte a un gran número de
interesados”.

Quiere ello decir, en contra de la interpretación que hace la Agencia de forma
recurrente, que la agravante sólo debe aplicarse si la infracción afecta a muchos
interesados.

b) La circunstancia reseñada en el art. 83.2.e) del RGPD, relativa a toda infracción
cometida por el responsable o el encargado del tratamiento.

A este respecto, hay que destacar que:

- La resolución sancionadora EXP202211479 no habría devenido firme en vía
administrativa hasta el día 19 de julio de 2023, una vez se agotó la posibilidad de
interponer recursos en vía administrativa. 22

- La resolución sancionadora EXP202207989 ni siquiera devino firme en fecha de 20
de diciembre de 2023, una vez se agotó la posibilidad de interponer recursos en vía
administrativa. Teniendo en cuenta este hecho, la acción típica enjuiciada en el
presente expediente sancionador provienen de una actuación ocurrida entre el 13 y 17
de enero de 2023, es decir, en un tiempo anterior a las resoluciones sancionadoras
referenciadas.

Es claro, pues, que cuando se realiza el cambio de tarjeta E-SIM, esto es, el 16 de
enero de 2023, no se había dictado, y mucho menos con carácter “firme” en vía
administrativa, una resolución sancionadora por hechos de la misma naturaleza o
semejantes.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/44

No concurría, pues, el presupuesto de sanción previa a los hechos que se exige para
la aplicación de la agravante de reincidencia, tal como es jurisprudencia del Tribunal
Supremo, quien en reiteradas ocasiones (por todas, citamos las sentencias de 24 de
octubre de 2000 , 11 de marzo de 2003, 23 de marzo de 2005 y 30 de septiembre de
2009) ha afirmado que la agravante de reincidencia administrativa debe referirse a
hechos que ya hubieran sido sancionados en otro procedimiento resuelto con
anterioridad a la comisión de la nueva falta.

Además, en cualquier caso y como bien conoce la Agencia, ambos procedimientos
sancionadores han sido recurridos por esta parte ante la Audiencia Nacional puesto
que considera que las resoluciones que conducen a la imputación de la sanción
resultan nulas de pleno de derecho, al no concurrir el principio de tipicidad en ninguna
de ellas.

En consecuencia, esta agravante tampoco debería ser tenida en cuenta, debiendo
minorarse el importe de la sanción o sanciones que finalmente se impongan.

2.- Sobre las atenuantes que no han sido tenidas en cuenta por la Agencia en la
propuesta de resolución. si la Agencia considera que la acción es típica, antijurídica y
culpable y por tanto, debe procederse a sancionar a TME, interesa poner de relieve de
forma subsidiaria, que deberían tenerse en cuenta las siguientes atenuantes del art.
83.2 del RGPD:

b) la intencionalidad o negligencia en la infracción: como se ha señalado, no se dan en
este caso los requisitos de intencionalidad en la supuesta comisión de la infractor o
actitud negligente, toda vez que ha sido un tercero el que habría tratado los datos
personales del Reclamante sin su consentimiento tras obtenerlos de manera ilícita.

c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar
los daños y perjuicios sufridos por los interesados: Telefónica procedió a tomar las
acciones oportunas, robusteciendo la operativa marcada a tales efectos.

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42: Telefónica ha suscrito el Código de
Conducta de Autocontrol sobre tratamiento de datos en la actividad publicitaria, el cual
es un sistema de resolución extrajudicial para resolver controversias que surjan entre
los ciudadanos y las entidades adheridas al código con motivo de tratamientos de
datos realizados en el ámbito de la actividad publicitaria.

Por todo lo expuesto, llegado el caso en el que la Agencia decida mantener la sanción,
según TME estas atenuantes deberán ser tenidas en cuenta para la disminución del
importe de esta.

TME cuestiona que pueda tenerse en cuenta al determinar la multa la vinculación de
su actividad con el tratamiento de datos personales, señalando que esta circunstancia
de graduación está relacionada con el número de interesados afectados por la
infracción y con el grado de daños y perjuicios que pueda haber producido. Sin
embargo, nada en la letra de la norma permite obtener esta conclusión. La norma
aplicable es clara cuando establece que al decidir la imposición de una multa y su
cuantía se tendrá en cuenta “la vinculación de la actividad del infractor con la
realización de tratamientos de datos personales”, tal y como viene haciendo esta
AEPD cuando el sujeto infractor desarrolla una actividad que conlleva un elevado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/44

volumen de tratamientos de datos y la infracción está relacionada con su actividad
principal.

Así lo ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024
cuando declara lo siguiente:

“En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra de
negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no
pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las
circunstancias concurrentes, tomando en consideración su volumen de negocio y su
vinculación con el tratamiento de datos personales atendiendo el número de personas
que prestan servicio como empleados en UST y su actividad”.

En cuanto a las infracciones anteriores cometidas por TME, también considerada para
determinar la multa que se impone, entiende dicha entidad que los precedentes
señalados por esta AEPD no habían devenido firmes en el momento en que se
cometieron los hechos objeto del procedimiento. Sin embargo, no es este el criterio
que determina la aplicación de este factor de graduación, sirviendo a tal efecto
cualquier infracción cometida por la entidad responsable que haya sido constatada
antes de dictarse la resolución en la que se valoren esas infracciones precedentes.

Así lo entiende también el CEPD, que en sus Directrices 4/2022, sobre el cálculo de
multas bajo el RGPD, declara al respecto:

“5.4 — Infracciones anteriores por parte del responsable o encargado del tratamiento
82. Las infracciones anteriores son infracciones ya constatadas antes de la adopción
de la decisión. En caso de cooperación en virtud del capítulo VII del RGPD, las
infracciones anteriores son las ya establecidas antes de que se emita el borrador de
decisión (en el sentido del artículo 60 del RGPD)”.

En cuanto a las circunstancias atenuantes invocadas por TME de reiterarse que ya
han sido rechazadas en el Fundamento de Derecho anterior, al que cabe remitirse
nuevamente.
III
Obligación incumplida

Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6
del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los
que el tratamiento de datos de terceros es considerado lícito:
“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/44

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de
aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones”.
Resulta preciso señalar que el artículo 4.1 del RGPD define: «datos personales» como
“toda información sobre una persona física identificada o identificable («el
interesado»); se considerará persona física identificable toda persona cuya identidad
pueda determinarse, directa o indirectamente, en particular mediante un identificador,
como por ejemplo un nombre, un número de identificación, datos de localización, un
identificador en línea o uno o varios elementos propios de la identidad física,
fisiológica, genética, psíquica, económica, cultural o social de dicha persona;”

Hay que señalar que el tratamiento de datos requiere la existencia de una base legal
que lo legitime.

De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen
otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con
la autorización de su titular, en particular, cuando sea necesario para la ejecución de
un contrato en el que el afectado es parte o para la aplicación, a petición de este, de
medidas precontractuales, o cuando sea necesario para la satisfacción de intereses
legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del afectado que requieran la protección de tales datos. El tratamiento
también se considera lícito cuando sea necesario para el cumplimiento de una
obligación legal aplicable al responsable del tratamiento, para proteger intereses
vitales del afectado o de otra persona física o para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento.

En el presente caso, se imputa al reclamado la vulneración del artículo 6.1 del RGPD
al evidenciarse la ilicitud del tratamiento llevado a cabo, no constando acreditada
ninguna de las bases de legitimación previstas en el citado artículo en relación con el
tratamiento relacionado con los datos de la parte reclamante.

Se considera tratamiento cualquier operación realizada sobre datos personales,
incluida la comunicación de tales datos a un tercero. El RGPD, en el punto 2 de su
artículo 4, define tratamiento como “cualquier operación o conjunto de operaciones
realizadas sobre datos personales o conjuntos de datos personales, ya sea por
procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.

Consta acreditado en las actuaciones que “TME” trató los datos personales de la parte
reclamante para la emisión de un duplicado de tarjeta SIM de una línea de teléfono
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/44

móvil de su titularidad, en formato E-SIM (SIM virtual), que posteriormente facilitó a un
tercero, sin su consentimiento y sin que exista otra base jurídica que ampare dichos
tratamientos de datos personales.

Por otro lado, la emisión de un duplicado de tarjeta E-SIM supone el tratamiento de los
datos personales de su titular ya que se considerará persona física identificable toda
persona cuya identidad pueda determinarse, directa o indirectamente, en particular
mediante un identificador (artículo 4.1) del RGPD).

Por lo tanto, la tarjeta E-SIM identifica un número de teléfono y este número a su vez,
identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C
-101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto
de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46
comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha
Directiva "toda información sobre una persona física identificada o identificable". Este
concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o
a otra información relativa a sus condiciones de trabajo o a sus aficiones».

En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta E-SIM como
la tarjeta E-SIM (Subscriber Identity Module) que identifica de forma inequívoca y
unívoca al abonado en la red, son datos de carácter personal, debiendo su tratamiento
estar sujeto a la normativa de protección de datos.

Dicho tratamiento tuvo lugar porque TME no verificó la identidad del que solicitó el
duplicado de la tarjeta E-SIM, no tomó las cautelas necesarias para que estos hechos
no se produjeran y emitió el duplicado de tarjeta sin la intervención y sin conocimiento
de la parte reclamante. Ni siquiera TME cumplió los protocolos que tiene establecidos
para realizar esa verificación de identidad para solicitudes de este tipo a distancia, a
pesar de que dichos tratamientos se clasifican por la misma como vulnerables.

Se ha constatado que el duplicado E-SIM se emitió y activó a pesar de haber sido
solicitado desde una dirección de correo electrónico distinta a la que constaba de la
parte reclamante en los sistemas de la marca O2 de TME, sin efectuar
comprobaciones de seguridad adicionales, tales como una llamada de comprobación
al titular. El código QR se remitió a ese correo electrónico distinto del que constaba de
la parte reclamante, que ha negado expresamente tener vinculación alguna con dicha
dirección de correo electrónico.

TME manifiesta que estaba estipulada una llamada de comprobación adicional en la
política de seguridad de la entidad y que se incumplió por parte del agente que tramitó
la solicitud. No obstante, se ha evidenciado que esta llamada de comprobación solo se
citaba en la política de seguridad para el caso de que el solicitante llamara desde otro
número, no especificándose explícitamente cómo proceder en el caso de recepción de
correos electrónicos desde otra dirección.

En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la
diligencia empleada por parte de la reclamada para identificar a la persona que solicitó
un duplicado de la tarjeta E-SIM.

La emisión de duplicados E-SIM exige una mayor diligencia en materia de protección
de datos personales en base al principio de proactividad del artículo 24 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/44

Este principio obliga a las organizaciones a actuar de forma que se anticipen y
mitiguen los riesgos para los datos personales que vayan a ser tratados. Dado que la
E-SIM contiene información sensible que identifica al titular, resulta crucial verificar la
identidad del receptor del código QR. La falta de verificación adecuada, como enviar el
código QR a un correo electrónico sin realizar comprobaciones adicionales, manifiesta
una ausencia de la aplicación de dicho principio y pone en entredicho la seguridad de
los datos personales. En consecuencia, la emisión de duplicados E-SIM debería
incorporar medidas proactivas adicionales, con el fin de garantizar la identificación de
su titular y, de esta forma, proteger los derechos de los interesados.

Hay que destacar, en primer lugar, en la respuesta al traslado de la reclamación de
fecha 4 de julio de 2023, “TME” informa que: “el día 16 de enero 2023 en que se
produce la solicitud del duplicado de tarjeta SIM a través del número 1551, se había
producido previamente un cambio de correo electrónico a través de la cuenta del
cliente en O2 desde la Aplicación Móvil”.

Y, en segundo lugar, su respuesta de fecha 4 de septiembre del mismo año la parte
reclamada reconoce que se produjo el duplicado fraudulento, manifestando: “que
revisados sus sistemas, no consta la grabación con la solicitud del duplicado de la
tarjeta sim realizada de forma telefónica. No obstante, como la solicitud provenía de
una petición previa por correo electrónico en la que se deriva la gestión al 1551, sí
consta registro del agente comercial en ficha del cliente en el que detalla se procede a
la gestión de la solicitud puesto que el cliente remitió un correo electrónico con la
documentación relativa al DNI, nombre completo y el móvil para el que solicita la
gestión. Se adjunta como Anexo 1 copia de esta documentación. De otro lado, y con
respecto a la realización de la llamada de seguridad, ésta no se habría producido dado
que la remisión de la documentación se habría realizado desde el correo electrónico.
No obstante lo anterior, el agente comercial no habría seguido la operativa señalada a
tales efectos con respecto a la llamada de seguridad, la cual tendría que haberse
efectuado puesto que la solicitud provenía de un correo electrónico que no era el que
constaba en la ficha de cliente”.
(…)
“en el momento de los hechos, en los casos concretos de solicitudes de E-SIM se
seguían los procedimientos de identificación habituales como si se tratase de un caso
de duplicado de SIM en formato físico. Manifiestan que, para este tipo de solicitudes,
debe comprobarse que la tarjeta en formato E-SIM es remitida a la dirección de correo
electrónico que consta en sus sistemas en la ficha del cliente.

Indican sobre el caso concreto de esta reclamación, que si bien se puede apreciar tal
como se refleja en la documentación adjunta como Anexo 1, que la remisión de la
documentación se hace por correo electrónico, no consta registro de que la E-SIM se
mandase al correo electrónico que figuraba en la ficha de cliente del reclamante”.

TME reconoce que no se siguió el procedimiento implantado por ella misma, ya que,
de haberlo hecho, se debió haber producido la denegación del duplicado de la tarjeta
formato E-SIM.

A la vista de lo anterior, la parte reclamada no logra acreditar que se haya seguido ese
procedimiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/44

En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la
diligencia empleada por parte de la reclamada para identificar a la persona que solicitó
un duplicado de la tarjeta en formato E-SIM.

En definitiva, la emisión de un duplicado de tarjeta SIM implica necesariamente un
tratamiento de datos personales, ya que se realiza sobre la línea y la identidad del
titular. Dicho tratamiento debe cumplir con una base jurídica que lo legitime, tal como
exige el citado artículo 6.1 del RGPD, al igual que cualquier comunicación de datos
personales a un tercero.

En este caso, la emisión del duplicado SIM a solicitud de un tercero sin la intervención
o consentimiento del titular constituye una falta de base jurídica válida para dicho
tratamiento de datos.

Debe quedar claro que seguir los protocolos establecidos para estos trámites por TME
no es suficiente para justificar la licitud del tratamiento bajo el RGPD, ya que dichos
protocolos no suplen la necesidad de la concurrencia de una base legítima. Además, el
procedimiento de verificación de identidad seguido por TME no ha garantizado
adecuadamente el cumplimiento del RGPD.

Por lo tanto, la emisión del duplicado SIM en estas condiciones y su entrega a una
persona distinta al titular de la línea telefónica constituyen un tratamiento de datos
personales sin base jurídica y, en consecuencia, una infracción del artículo 6.1 del
RGPD, dado que se ha realizado sin cumplir con ninguna de las bases legitimadoras
para dicho tratamiento. La responsabilidad no reside en la falta de cumplimiento de un
protocolo interno, sino en la ausencia de una base jurídica válida conforme a las
disposiciones del RGPD.

De conformidad con las evidencias de las que se dispone se estima que la conducta
de la parte reclamada vulnera el artículo 6.1 del RGPD, constitutiva de la infracción
tipificada en el artículo 83.5.a) del citado Reglamento 2016/679.

En ese sentido el Considerando 40 del RGPD señala:

“(40) Para que el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión
o de los Estados miembros a que se refiera el presente Reglamento, incluida la
necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la
necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de
tomar medidas a instancia del interesado con anterioridad a la conclusión de un
contrato.”

IV
Tipificación y calificación de la infracción

La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 EUR como máximo o,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/44

tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”

La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1
de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b)
El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”.

V
Sanción de multa. Determinación del importe

La determinación de la sanción que procede imponer en el presente caso exige
observar las previsiones de los artículos 83.1 y 2 del RGPD, preceptos que,
respectivamente, disponen lo siguiente:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”
“2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/44

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado
“Sanciones y medidas correctivas”:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.

3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de
las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento
(UE) 2016/679.”

En aras a graduar el importe de la sanción de multa que se propone imponer a “TME”
por la infracción del artículo 6.1 del RGPD, se estiman concurrentes en el presente
caso los siguientes factores:

- La intencionalidad o negligencia en la infracción (artículo 83.2. b) del RGPD). En este
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/44

caso estamos ante una acción negligente grave, pues la reclamada remitió el código
QR de la tarjeta E-SIM a un correo electrónico distinto al de la reclamante, sin efectuar
comprobaciones de seguridad.

En este sentido resulta muy ilustrativa la SAN de 17 de octubre de 2007(rec. 63/2006),
la cual indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia
siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no
se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de
ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que,
en el caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto”

Asimismo, la SAN de 1 de marzo de 2024 (RCA 0001757/2021) dispone que «En esta
línea la STS de 13 de diciembre 2021 (Rec. 6109/2020) establece que “(…) es exigible
a dicha empresa contratante, como diligencia necesaria para que no se le pueda
reprochar el incumplimiento de sus obligaciones en materia de protección de datos de
carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del
interesado como en lo relativo al principio de veracidad y exactitud la implantación de
medidas de control y verificación tendentes a asegurar que la persona que pretende
contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado”.

Así se impone al responsable del tratamiento que verifique la exactitud de los datos
del interesado a través de la implementación de las medidas adecuadas cuando se
efectúe una contratación. Precisamente por eso, es necesario asegurarse que la
persona que contrata es quien realmente dice ser y deben adoptarse las medidas de
prevención adecuadas para verificar la identidad de una persona cuyos datos
personales van a ser objeto de tratamiento, y a ello obedece la exigencia de
documentación identificativa, como viene reiterando la Sala entre otras en Sentencias
de 3 de octubre 2013 (Rec. 54/2012), 21 de noviembre 2014 (Rec. 45/2014) etc.»

- La circunstancia del artículo 83.2.e) RGPD: “Toda infracción anterior cometida por el
responsable o el encargado del tratamiento”.

El considerando 148 del RGPD señala “A fin de reforzar la aplicación de las normas
del presente Reglamento [...]” e indica a ese respecto que “Debe no obstante,
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional [...] o a cualquier infracción pertinente [...]”.

Así pues, conforme al apartado e) del artículo 83.2. RGPD, en la determinación del
importe de la sanción de multa administrativa no podrán dejar de valorarse todas
aquellas infracciones anteriores del responsable o del encargado de tratamiento en
aras a calibrar la antijuricidad de la conducta analizada o la culpabilidad del sujeto
infractor.

Además, una correcta interpretación de la disposición del artículo 83.2.e) RGPD no
puede obviar la finalidad perseguida por la norma: decidir la cuantía de la sanción de
multa administrativa en el caso individual planteado atendiendo siempre a que la
sanción sea proporcional, efectiva y disuasoria.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/44

Son numerosos los procedimientos sancionadores tramitados por la AEPD en los que
la reclamada ha sido sancionada por la infracción del artículo 6.1 RGPD:

i.EXP 202207989 Resolución dictada el 13 de noviembre de 2023 en la que se impuso
una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta
SIM fraudulento sin legitimación.

ii.EXP202211479. Resolución dictada el 13 de junio de 2023 en la que se impuso una
sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM
fraudulento sin legitimación.

- La evidente vinculación entre la actividad empresarial de la reclamada y el
tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD
en relación con el artículo 76.2.b, de la LOPDGDD).

En el desarrollo de la actividad que le es propia necesita de manera habitual tratar
datos de carácter personal, lo que incide en la diligencia que le es exigible para el
cumplimiento de los principios que presiden el tratamiento de datos de carácter
personal y la calidad y efectividad de las medidas técnicas y organizativas que debe
tener implementadas para garantizar el respeto de este derecho.

Puede citarse en este sentido la SAN de 17/10/2007 (Rec. 63/2006), dictada durante la
vigencia de la Ley Orgánica 15/1999, pero cuyo pronunciamiento resulta aplicable en
la actualidad, que, a propósito del grado de diligencia que el responsable está obligado
a desplegar en el cumplimiento de las obligaciones que le imponía la citada Ley
Orgánica, la Audiencia Nacional, después de referirse a que las entidades en las que
el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y
terceros han de observar un adecuado nivel de diligencia declara que “[...].el Tribunal
Supremo viene entendiendo que existe imprudencia siempre que se desatiende un
deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia
exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la
profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado,
cuando la actividad de la recurrente es de constante y abundante manejo de datos de
carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las
prevenciones legales al respecto”.

Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 200.000
€ por la por la infracción del artículo 6.1) tipificada en el artículo 83.5.a) del citado
RGPD.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, una vez probada la infracción

la Presidencia de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a TELEFÓNICA MÓVILES ESPAÑA, S.A. con NIF A78923125,
por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD,
una multa de por un importe de 200.000 euros (doscientos mil euros).

SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA MÓVILES ESPAÑA,
S.A. con NIF A78923125.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/44

TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/44

Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es