SIM Kart Kopyasında Kimlik Doğrulama

1/52

 Expediente nº.: EXP202310345

RESOLUCIÓN DE RECURSO DE REPOSICIÓN

Examinado el recurso de reposición interpuesto por DIGI SPAIN TELECOM, S.L.U. (en
lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la
Agencia Española de Protección de Datos de fecha 23 de noviembre de 2025, y en
base a los siguientes:

HECHOS

PRIMERO: Con fecha 23 de noviembre de 2025, se dictó resolución por la Presidencia
de la Agencia Española de Protección de Datos en el expediente EXP202310345, en
virtud de la cual se imponía a DIGI SPAIN TELECOM, S.L.U., por una infracción del
artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD, una multa de
140.000 euros (ciento cuarenta mil euros).

Dicha resolución, que fue notificada a la parte recurrente en fecha 1 de diciembre de
2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador,
de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y
supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de
tramitación de procedimientos sancionadores.

SEGUNDO: Como hechos probados del citado procedimiento sancionador,
PS/00499/2024, quedó constancia de los siguientes:

PRIMERO. - El reclamante, con residencia en ***LOCALIDAD.1, es cliente de la
entidad DIGI. Entre los servicios contratados figura la línea de telefonía móvil número
***TELÉFONO.1.

SEGUNDO. - En fecha 27 de diciembre de 2022 un tercero solicitó un duplicado de la
tarjeta SIM para la línea de móvil del reclamante número ***TELÉFONO.1, de forma
presencial, ante el distribuidor o dealer de DIGI Locutorio (...), ubicado en la dirección
***DIRECCIÓN.1, ***PROVINCIA.2. Siguiendo los protocolos de seguridad, se recabó
por parte del distribuidor el documento identidad del tercero solicitante, realizando la
siguiente copia del mismo. Dicho duplicado de tarjeta SIM fue activado el 28 de
diciembre de 2022, quedando el reclamante sin servicio.

TERCERO. – Queda acreditado por parte de DIGI que los protocolos de seguridad en
la fecha de solicitud del duplicado de la tarjeta SIM, eran de fecha 7 de febrero de
2022, y consistía en lo siguiente: “Estos protocolos y medidas de seguridad
aseguraban la verificación de la identidad del solicitante del duplicado SIM como titular
de la línea. En el momento de los hechos, los protocolos y medidas de seguridad se
concretaban en la obligación de (…).

CUARTO. – Se constata, al comparar los datos de la copia del DNI por ambas caras
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/52

aportado en la solicitud de duplicado SIM con los datos aportados por la parte
reclamante en la denuncia policial de fecha 28 de diciembre de 2022 y sus
ampliaciones, que coinciden los siguientes datos: número de DNI, nombre y apellidos,
nacionalidad, lugar y fecha de nacimiento y domicilio completo. No coincide el nombre
de los padres.

QUINTO. – En las capturas de pantalla aportadas por DIGI, se constata que con fecha
28 de diciembre de 2022 DIGI procedió a la validación del duplicado de la tarjeta SIM
enviando SMS de confirmación de disponibilidad del duplicado al número
***TELÉFONO.2 y correo electrónico a la dirección ***EMAIL.1. DIGI ha informado
que el número ***TELÉFONO.2 fue facilitado por el tercero que solicitó el duplicado de
tarjeta SIM.

SEXTO. – El reclamante, con posterioridad a la activación del duplicado de tarjeta SIM
reseñado en el Hecho Probado Segundo, y habiéndose quedado sin servicio en su
línea de telefonía móvil, contactó en diversas ocasiones con DIGI para solventar la
incidencia, tanto telefónicamente como a través de correo electrónico desde la
dirección “***EMAIL.2”. Consta incorporada a las actuaciones la grabación de una
llamada telefónica del reclamante al servicio de atención al cliente de DIGI, de fecha
28/12/22, a las 16:59 h., donde el reclamante dice no tener red y solicita suspender la
línea por sospechar que esté clonada. El interlocutor le recomienda asistir a un
distribuidor para solucionar el problema. El reclamante solicita el bloqueo de la SIM.

Posteriormente, el mismo día 28/12/2022, a las 18:33 h., el reclamante solicitó a través
de un dealer de DIGI una línea nueva a su nombre. Asimismo, en contacto telefónico
solicitó la baja de la línea ***TELÉFONO.1 por problemas en el duplicado.

SÉPTIMO. – En los sistemas de información de DIGI constan anotaciones con las
siguientes fechas y detalles:

- 29/12/22 15:50hs. Se hace efectiva la baja de la línea afectada.
- 30/12/22 18:39h. El cliente pide reclamar ya que el día 28/12 se suspendió otra
línea y no la afectada. Solicita justificante del duplicado SIM. Se abre ticket.
- 1/1/23 19:42h. Contacto por canal MAIL informando sobre su usurpación. Se
abre Ticket de descuento comercial.
- 2/1/23 09:01h. Se cierra el ticket Descuento gesto comercial y se abre el ticket
posible fraude. Desde Reclamaciones se consulta con VENTAS. El cliente
aporta correo ***EMAIL.2
- 3/1/23 11:00h. Se le envía el justificante del duplicado y se cierra ticket.
- 4/01/23 12:31h. Se deja anotación de seguridad por Fraude/Sospecha de
Fraude
- 5/01/23 11:16 h. El cliente quiere que se indique la tienda donde se hizo el
duplicado ya que ha sido víctima de fraude. Se indica que debe escribir por
[email protected].
- 10/01/23 13:33h. Se contacta con cliente para añadir palabra clave e informar
enviarnos denuncia para poder facilitar los datos del DEALER:
- 11/01/23 10:51hs. Cliente envía denuncia y DNI. Abrimos el ticket Usurpación
de identidad. Le enviamos datos del DEALER y cerramos el ticket.
- 11/01/23 22:07h. Contacta por canal MAIL. Cliente envía denuncia, se ha
validado en ticket.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/52

- 12.01.23 12:36 hs. - Quiere saber dónde se ha realizo Duplicado SIM
fraudulento, se deja nota ticket.
- 16.01.23 - 11:19 hs - Desde RECLAMACIONES - Se envía correo al cliente con
datos del punto de venta. Se cierra ticket.

TERCERO: La parte recurrente ha presentado en fecha 2 de enero de 2026, en esta
Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo,
básicamente, en lo siguiente:

PRIMERO. - DE LA NO CONFORMIDAD A DERECHO DE LA RESOLUCIÓN

1º De la omisión de hechos acreditados en la Resolución.

Señala DIGI que de los hechos probados se evidencia que la suplantación de
identidad y el acceso a los datos personales tiene lugar de forma previa a cualquier
contacto con DIGI, ya que el presunto suplantador cuenta incluso con el DNI del
Reclamante, presuntamente falsificado además de con todos los datos necesarios
para solicitar el duplicado.

Afirma que pese a que DIGI establezca medidas de seguridad, tanto técnicas, como
organizativas; y las someta a revisión y mejora continua, ningún procedimiento, ni
medida de seguridad es, ni puede ser, completamente infalible, no pudiéndose exigir a
DIGI que los procedimientos y medidas que tiene implantados lo sean; y es
imprescindible que los particulares, como titulares de sus datos personales, tengan
también diligencia a la hora de custodiarlos, sin ponerlos a disposición de terceros o
descuidarlos, permitiendo a terceros hacerse con su información personal, de modo
que faciliten su suplantación, como ha acontecido en el presente caso, donde se
evidencia que los suplantadores de identidad contaban con los datos de la parte
reclamante, lo que les permitió intentar suplantarle por distintas vías.

Indica, que no puede atribuírsele responsabilidad alguna por los hechos objeto de la
reclamación, cuya causa reside en una previa obtención indebida de los datos
personales de la parte reclamante por parte de terceros ajenos a DIGI, y no en un
incumplimiento de los protocolos aplicados, los cuales han demostrado ser adecuados,
proporcionados y eficaces para la detección, bloqueo y mitigación de los intentos de
fraude.

2º.- Sobre la licitud del tratamiento de datos realizado por DIGI.

Sostiene, que a pesar de que DIGI emitió un duplicado de la tarjeta SIM de la parte
reclamante, esta acción no es suficiente para tener acceso y realizar operaciones
bancarias en su nombre que es necesario que un tercero “suplante la identidad” del
titular de los datos ante la entidad financiera sin base legal alguna y de forma
fraudulenta.

Señala, que exigir a DIGI una capacidad de detección más allá de lo humanamente
verificable mediante DNI y verificación presencial sería exigir una obligación de
resultado —cuasi imposible— que no tiene cobertura legal ni jurisprudencial.

Afirma, que es necesario tener en cuenta la interpretación de la Sentencia del Tribunal
General de la Unión Europea (Sala Octava ampliada) de 26 de abril de 2023, en la que
se determina que la consideración como dato personal de un código alfanumérico no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/52

puede presuponerse, sino que compete a la Autoridad de Control justificar la
capacidad de relacionar los datos personales con una persona concreta, no bastando
con presuponerlo por el mero hecho de que potencialmente pudiera llegar a permitir
una identificación.

Sostiene, que atendiendo a la sentencia del Tribunal General, no estaríamos en este
caso ante un supuesto de tratamiento ilícito de datos personales.

Señala, que en este sentido, inclusive aunque un duplicado de tarjeta SIM sea puesto
a disposición de un tercero que suplanta la identidad de su legítimo titular, en la
medida en la que la tarjeta constituye un dispositivo en el que sólo constan códigos
numéricos cuya vinculación con la identidad del titular es posible identificar sólo para
su operadora de telefonía, la tarjeta SIM no podría considerarse un dato personal en
los términos en los que la AEPD lo realiza, donde obvia la capacidad efectiva de
identificación de cada interviniente, y aplica un criterio teórico y absoluto que no refleja
la información real a la que accede el tercero, y que en este sentido se ha pronunciado
también el Tribunal Supremo de lo Contencioso administrativo de Polonia, en su
Sentencia III OSK 2595/22 de 16 de octubre de 20252.

Indica, que no se le puede imputar a DIGI un tratamiento de datos ilícito cuando no
llevarlo a cabo supondría una infracción del RGPD. Finalmente, cabe traer aquí que
como muestra de la proactividad de DIGI, que esta Compañía se encuentra siempre
en continua búsqueda de las mejores prácticas y estándares de seguridad.

3º.- De la no acreditación de culpa o negligencia por parte de DIGI.

Afirma, que la AEPD se basa únicamente en el resultado, omitiendo la prueba
documental aportada, para concluir que DIGI no ha cumplido el procedimiento. En
ningún momento se entra a valorar el grado de diligencia atendido.

Señala, que resulta difícil considerar el protocolo exigido por DIGI como insuficiente, al
incorporar una verificación presencial de la identidad, la conservación de una copia del
DNI – medida que, en muchas ocasiones, de hecho, fue considerada por la propia
AEPD como excesiva, según el contexto, pese a que ahora la califica de mínima – y su
posterior validación, de forma reforzada, por el departamento de Back Office de DIGI.
Resulta evidente que el protocolo de DIGI y su implementación resulta reforzado e
incorpora elementos que exceden a los que pueden considerarse básicos, empleando
como método de identificación el Documento Nacional de Identidad, documento que
cuenta con la capacidad (atribuida legalmente por la norma), para identificar por sí
solo.

Con base en el razonamiento que incorpora la Resolución, la AEPD parece confundir
el concepto de responsabilidad proactiva con la obligación de resultado que impone la
responsabilidad objetiva. Como se indica por la Sección 1º de la Sala de lo
Contencioso de la Audiencia Nacional en su Sentencia 1066/2023, de 9 de febrero de
2023: “El principio de culpabilidad derivado del artículo 25 CE, según señaló la STC
246/1991, de 19 de diciembre, constituye un principio estructural básico del Derecho
administrativo sancionador, y aparece reconocido en el artículo 28 .1 de la Ley
40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público al disponer que:
"Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/52

personas físicas o jurídicas (...) que resulten responsables de los mismos a título de
dolo o culpa". Por eso, como señala la STS de 18 marzo 2005, Rec. 7707/2000, es
evidente, "que no podría estimarse cometida una infracción administrativa, si no
concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta
típicamente constitutiva de infracción administrativa no fuera imputable a dolo o a
culpa". En el supuesto de la referida Sentencia, la Sala considera acreditada la
culpabilidad de la operadora de telecomunicaciones, en tanto la Agencia ha entrado,
efectivamente, a valorar el procedimiento establecido.

Afirma, que el procedimiento que DIGI tenía implantado en la fecha de los hechos
(diciembre 2022), los requisitos identificados por la Audiencia Nacional en febrero de
2023, y en línea con la propia Ley Orgánica 4/2015 de protección de la seguridad
ciudadana, siendo estos requisitos acreditativos del despliegue de diligencia suficiente
en la solicitud de duplicados de tarjetas SIM.

En relación con este punto, pone DIGI de relieve que el diseño del proceso se realizó
de conformidad con los criterios hechos públicos por la propia AEPD, por lo que se N.º
EXP202310345 requería de la identificación del solicitante mediante su DNI y su
posterior introducción para su verificación por el sistema de Dealer Care (lo cual se
realizó de forma correcta, ya que de otro modo sería técnicamente imposible realizar el
duplicado), que, posteriormente, tras la correspondiente fotocopia del mismo, se
comprobó de forma manual por el equipo de Back Office de DIGI.

4º.- Sobre la inadmisibilidad de una responsabilidad objetiva.

El Tribunal Constitucional, desde su Sentencia nº 76/1990, ha venido advirtiendo de la
inadmisibilidad en nuestro ordenamiento jurídico de la responsabilidad objetiva y,
consecuentemente con ello, de la exigencia en todo caso de que la Administración, a
la hora de sancionar, pruebe un grado suficiente de intencionalidad en el sancionado.

En este sentido, menciona DIGI, lo dispuesto en la Sentencia de la Audiencia
Nacional, Sala de lo Contencioso-Administrativo, Sección 1ª, de 23 de diciembre de
2013, Rec. 341/2012, sobre la responsabilidad objetiva.

La AEPD, en el presente caso, no reconoce la diligencia desplegada por DIGI en su
actuación, sino que impone inequívocamente a DIGI una responsabilidad objetiva, en
la cual, independientemente de la diligencia y medidas desplegadas, se declara la
culpabilidad de la entidad.

Señala, que en el presente supuesto, se evidencia la existencia de un estricto control,
previo y posterior a la solicitud del duplicado, el establecimiento de medidas previas y
a posteriori, así como la existencia de medidas concretas encaminadas a evitar de
forma previa estas prácticas.

DIGI, menciona la Sentencia del Tribunal Supremo 543/2022, de 15 de febrero, indica
que en la misma se establece en su Fundamento Jurídico 3º que: “La obligación de
adoptar las medidas necesarias para garantizar la seguridad de los datos personales
no puede considerarse una obligación de resultado, que implique que producida una
filtración de datos personales a un tercero exista responsabilidad con independencia
de las medidas adoptadas y de la actividad desplegada por el responsable del fichero
o del tratamiento”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/52

Y, el Tribunal Supremo configura dicha obligación como una de medios, en las que
(Fundamento Jurídico 3º): “el compromiso que se adquiere es el de adoptar los
medios técnicos y organizativos, así como desplegar una actividad diligente en su
implantación y utilización que tienda a conseguir el resultado esperado con medios
que razonablemente puedan calificarse de idóneos y suficientes para su consecución,
por ello se las denomina obligaciones "de diligencia " o "de comportamiento".

Además, hace referencia a la Sentencia de la Sala Tercera del Tribunal de Justicia de
la Unión Europea (en adelante, “TJUE”), del 14 de diciembre de 2023, en el asunto C-
340/21, con ECLI:EU:C:2023:986, que tiene por objeto la resolución de la cuestión
prejudicial del Tribunal Supremo de lo Contencioso-Administrativo de Bulgaria de 14
de mayo de 2021.

Indica, que los artículos 24 y 32 del RGPD no pueden entenderse en el sentido de que
una comunicación no autorizada de datos personales o un acceso no autorizado a
dichos datos por parte de un tercero basten para concluir que las medidas adoptadas
por el responsable del tratamiento no eran apropiadas, en el sentido de esas
disposiciones, sin siquiera permitir a este último aportar la prueba en contrario.

Afirma, que la presente Resolución no es ajustada a derecho, pues impone a DIGI una
obligación de resultado, basándose únicamente en el resultado lesivo que se produce
por la actividad fraudulenta de un tercero, sin atender a la diligencia utilizada y sin
considerar el despliegue de medidas técnicamente adecuadas e implantadas.

5º.- Sobre la no valoración de los medios de prueba y la vulneración del derecho de
defensa.

Sostiene, que no han sido valoradas las pruebas aportadas por DIGI, y que la Agencia
no ha valorado el cumplimiento del procedimiento establecido al efecto, sino que niega
tal cumplimiento pese a la acreditación documental existente, señala que la AEPD
tiene la obligación de analizar y valorar la prueba documental de acuerdo con los
criterios de enjuiciamiento civil (artículo 90.1. de la Ley 39/2015).

Señala, la Sentencia del Tribunal Constitucional 145/2004, de 13 de septiembre, el
derecho a la defensa, que proscribe cualquier indefensión, incluye la denegación
inmotivada de medios de prueba (por todas, STC 7/1998, de 13 de enero; 3/1999, de
26 de enero; 14/1999, de 22 de febrero; 276/2000, de 16 de noviembre, y 117/2002, de
20 de mayo). Indica, que la AEPD vulnera el derecho de esta parte a utilizar los
medios de prueba adecuados para la defensa, de lo que se deriva una vulneración del
artículo 24.2 de la Constitución Española.

SEGUNDO. - DE LA PETICIÓN SUBSIDIARIA DE REDUCCIÓN DE LA SANCIÓN
POR FALTA DE PROPORCIONALIDAD

Señala, que los siguientes puntos que son calificados de agravantes, no concurren las
circunstancias para su consideración en relación con los hechos analizados:

• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/52

número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido
(Artículo 83.2.a) del RGPD)

Sostiene, que la Resolución recurrida considera como agravante la “naturaleza,
gravedad y duración de la infracción”, conforme al artículo 83.2.a) del RGPD. Sin
embargo, no concurren las circunstancias que justificarían su aplicación en el presente
supuesto, por los siguientes motivos:

“1. Origen fraudulento y ajeno a DIGI.

Los hechos que motivan este procedimiento derivan de una conducta fraudulenta de
un tercero, que, utilizando documentación, a priori original y legítima, consiguió
aparentar ser el titular legítimo de la línea. No puede imputarse a DIGI responsabilidad
por la acción inicial del suplantador, máxime cuando se aplicaron los controles
previstos en el protocolo interno y no existía una denuncia previa de pérdida o
sustracción del documento que permitiera a DIGI detectar el engaño. En ningún caso
debería derivarse una responsabilidad que, además, afecte a la agravación de la
infracción por su naturaleza.

2. Duración limitada del incidente.

Tan pronto como la Reclamante comunicó la sospecha de suplantación (pese a
emplear para ello las redes sociales), DIGI actuó de forma inmediata y diligente,
suspendiendo la línea, abriendo el tique de fraude correspondiente y activando las
medidas correctoras disponibles, por lo que la incidencia quedó resuelta en un plazo
muy breve. Es decir, lejos de existir una omisión o pasividad, lo que se evidencia es
una reacción inmediata y responsable ante la sospecha de una irregularidad.

3. Ausencia de perjuicios imputables a DIGI.

El supuesto daño sufrido por la Reclamante, que figuraba como deudora ante DIGI, es
eliminado y mitigado por esta parte, que asume el importe generado por el presunto
suplantador. DIGI realizó la rectificación de los datos según la información disponible,
procedió a bloquear la deuda y canceló cualquier información que relacionara a la
Reclamante con un fraude a DIGI, por lo que no cabe aludir a la existencia de un
perjuicio por la Reclamante.

4. Número de afectados: un caso aislado.

El procedimiento se refiere a una única interesada dentro del conjunto de la clientela
de DIGI, lo cual evidencia un suceso puntual y aislado, y no una práctica generalizada
o de alcance masivo que permitiese agravar la infracción.

En conclusión, no concurren los presupuestos exigidos por el RGPD para aplicar el
agravante de la naturaleza, gravedad y duración de la infracción. Por el contrario, tal y
como se ha acreditado, DIGI desplegó un comportamiento proactivo y diligente,
conforme a los estándares de seguridad vigentes, reaccionando de inmediato ante la
sospecha de fraude y adoptando medidas correctoras eficaces”.

• La intencionalidad o negligencia en la infracción (artículo 83.2. b) del RGPD).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/52

Considera que la supuesta negligencia grave no consta debidamente acreditada en el
expediente, y que aún en el supuesto de que se entendiera concurrente una conducta
negligente, debe señalarse que dicha calificación ya ha sido considerada
expresamente por la propia AEPD como elemento sustancial para declarar la
existencia de la infracción y determinar la procedencia de imponer la sanción.

• Las categorías de los datos de carácter personal afectados por la infracción. (artículo
83.2. g) del RGPD).

Señala, que la imputación de este agravante carece de base objetiva, ya que el tipo de
datos tratados no se corresponde con las categorías especialmente protegidas por el
RGPD, ni se ha acreditado que DIGI haya accedido o procesado directamente
información sensible que justifique la agravación de la infracción conforme a este
criterio.

En todo caso, los perjuicios derivados del acceso fraudulento a otros servicios son
atribuibles a los mecanismos de seguridad de tales servicios y no al tratamiento
efectuado por DIGI en el marco de su actividad ordinaria y legítima.

• El grado de responsabilidad del responsable o del encargado del tratamiento, habida
cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los
artículos 25 y 32. (artículo 83.2. d) del RGPD).

Considera improcedente la aplicación de este agravante, al no haberse acreditado que
DIGI haya incumplido las obligaciones establecidas en los artículos 25 y 32 del RGPD.

Señala, que DIGI disponía de un procedimiento interno estructurado, consistente y
actualizado para la gestión de altas de líneas pospago.

Y, además manifiesta que no puede ignorarse que el mismo hecho —esto es, la
superación del procedimiento de seguridad por parte de un tercero mediante
documentación falsificada— ya ha sido valorado por la Agencia en el agravante
previsto en el artículo 83.2.b) del RGPD (intencionalidad o negligencia). Por tanto,
utilizar esa misma circunstancia para fundamentar el agravante del artículo 83.2.d), sin
diferenciación sustancial entre ambos, constituye una duplicidad no admisible en el
contexto administrativo sancionador.

• Toda infracción anterior cometida por el responsable o el encargado del tratamiento
(Artículo 83.2.e) RGPD.

La AEPD justifica la aplicación de la agravante del artículo 83.2.e) RGPD invocando la
existencia de anteriores procedimientos sancionadores, en los que se apreció una
vulneración del artículo 6.1 del RGPD por comisión de fraudes SIM Swapping.

Sostiene, que el presente expediente es consecuencia de la actuación ilícita de un
tercero profesionalizado.

El considerando 148 del RGPD establece que, al valorar las infracciones
administrativas, deben tenerse en cuenta “las circunstancias agravantes o atenuantes
aplicables al caso como, por ejemplo, las infracciones anteriores relevantes cometidas
por el responsable”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/52

Esta referencia expresa la necesidad de una relación directa y relevante entre los
hechos previos y los actualmente analizados. En este caso no existe tal relación de
relevancia ni conexión material entre los antecedentes citados y el presente
expediente, lo que impide válidamente aplicar la agravante pretendida.

• La vinculación entre la actividad empresarial de la reclamada y el tratamiento de
datos personales de clientes o de terceros (artículo 83.2k, del RGPD en relación con el
artículo 76.2.b, de la LOPDGDD).

Indica que, si bien es cierto que la actividad de DIGI hace necesario el tratamiento de
datos personales de sus clientes, lo cierto es que este factor es ambiguo en su
valoración para incluirlo como agravante, ya que dicha vinculación no supone ni
mucho menos una relación directa con la supuesta infracción. El artículo 83.2 k) exige
que dicho agravante sea puesto en relación con el supuesto de hecho concreto. En
este sentido, el tratamiento de datos no nace de una intención de la entidad, sino que
tiene lugar con motivo de la comisión de un delito del que DIGI es parte perjudicada.
Por todo ello, considera que no cabe interpretar este aspecto como agravante.

Y, señala que concurren en el presente las siguientes circunstancias atenuantes que
no han sido consideradas en la adecuada graduación de la sanción:

• Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma
efectiva (art. 83.2 c RGPD);

Manifiesta que DIGI tomó medidas rápidas y efectivas, suspendiendo el servicio móvil
sobre la línea activada de forma irregular y devolviendo el control al Reclamante, y que
esta actuación demuestra una diligencia significativa por parte de DIGI: permite
subsanar la situación y minimizar el impacto sobre el Reclamante, lo cual debe ser
valorado positivamente.

• En ningún momento se han tratado categorías especiales de datos (Art. 83.2 g)
RGPD).

Manifiesta, que los datos tratados por DIGI no se encuadra dentro de las “categorías
especiales de datos” previstas en el artículo 9 del RGPD. Dicho precepto establece de
forma clara y tasada que solo serán considerados datos de categoría especial aquellos
que: “revelen el origen étnico o racial, las opiniones políticas, las convicciones
religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos,
datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos
relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una
persona física.” Ni el nombre, ni los apellidos, ni el número del DNI —aunque se trate
de un identificador robusto— cumplen con estos criterios. El hecho de que puedan ser
utilizados fraudulentamente por terceros no altera su naturaleza jurídica como datos
identificativos ordinarios.

• El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a una
supuesta infracción y mitigar sus posibles efectos adversos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/52

Indica, que la parte reclamada ha contestado en tiempo y forma a todos los
requerimientos de información solicitados por esta Agencia. Es más, DIGI aportó, en la
respuesta al requerimiento de información la documental relativa al presente supuesto
de hecho, por propia voluntad, manifestando de forma expresa su buena fe e intención
de colaboración con la autoridad (art. 83.2 f) RGPD).

• El inexistente beneficio obtenido por parte de DIGI como resultado al tratamiento de
datos que ocupa este procedimiento.

Señala, que DIGI se ha visto perjudicada, al verse afectada por la comisión de fraude
por un tercero, lo que le ha obligado a reparar la situación causada y llevar a cabo
investigaciones, con el consiguiente coste asociado (Art. 83.2 k) RGPD)y quiere dejar
constancia y demostrar que las medidas vigente en el momento de los hechos
cumplían con las más rigurosas normas, pautas, estándares y recomendaciones
(incluyendo los emitidos por la propia AEPD) para poder hacer frente a los riesgos y
que eran las adecuadas e idóneas teniendo en cuenta el estado de la técnica, los
costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento,
así como los riesgos para los derechos y libertades de las personas físicas.

DIGI: SOLICITA, se dicte resolución por medio de la cual se señale el archivo del
Expediente N.º: EXP202310345.

Y, subsidiariamente, solicita a la AEPD que tenga en cuenta las circunstancias
atenuantes fundamentadas en las anteriores alegaciones y, consecuentemente,
culmine el procedimiento mediante un apercibimiento y, en última instancia, si
considera que procede la imposición de una sanción, modere o module la sanción
impuesta en la Resolución notificada a DIGI.

FUNDAMENTOS DE DERECHO

I
Competencia

Es competente para resolver el presente recurso la Presidencia de la Agencia
Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123
de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo, LOPDGDD).

II
Fundamentos de la resolución recurrida
En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose
básicamente en las alegaciones ya presentadas a lo largo del procedimiento
sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en
los Fundamentos de Derecho III al VII, de la Resolución recurrida, en los que se
describen suficientemente las circunstancias de hecho que han determinado la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/52

infracción y su correcta calificación jurídica, así como aquellas que fueron
consideradas para graduar la sanción tal como se transcribe a continuación:

“III
Contestación a las alegaciones presentadas al acuerdo de inicio

En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:

1. Establecimiento de medidas y principio de culpabilidad. Tratamiento ilícito de los
datos personales.

DIGI manifiesta que la incidencia se produce porque un tercero, que disponía de los
datos personales y del documento de identidad original del reclamante, consigue
superar su política de seguridad mediante engaño, suplantando la identidad de aquel.

Hace referencia DIGI, para su descargo, al conjunto de medidas de seguridad que ha
adoptado y defiende que cumplió con todos los protocolos de seguridad establecidos,
por lo que considera que la AEPD ha llegado a conclusiones erróneas al considerar
que el simple hecho de que se produjera una suplantación es indicativo de una falta
de diligencia por parte de la empresa.

En base a ello, termina argumentando que no cabe imponer una responsabilidad
objetiva, es decir, sancionar a la empresa simplemente por el resultado del incidente,
sin demostrar que existió culpa o negligencia.

Atendiendo a las características y al contexto del tratamiento, resulta conveniente
precisar que el fenómeno del SIM Swapping constituye un riesgo ampliamente
documentado y de concurrencia frecuente en el sector de las telecomunicaciones. En
consecuencia, siendo un riesgo inherente a la actividad, resulta jurídicamente exigible
que en el proceso de solicitud de duplicados de tarjetas SIM se adopten medidas
técnicas y organizativas adecuadas para garantizar que la persona que solicita el
duplicado de la tarjeta SIM es realmente quien dice ser, es decir la titular del número
de teléfono, y que estás medidas se cumplen, con el fin de evitar el tratamiento ilícito
de datos personales. Así las cosas, la verificación adecuada y rigurosa de la identidad
del titular de la línea resulta determinante para que el proceder del operador pueda ser
calificado como diligente y acorde con las obligaciones que le impone el RGPD.

En este sentido, contrariamente a lo alegado, esta Agencia no ha limitado su análisis
únicamente al resultado material, esto es, la emisión fraudulenta del duplicado SIM,
sino que se han valorado de manera exhaustiva tanto la conducta de DIGI como las
medidas implementadas, identificándose deficiencias o irregularidades en la actuación
de DIGI que ponen en entredicho la diligencia de esta entidad en el presente caso.

En primer término, conviene señalar que en el presente caso se imputa una infracción
por falta de licitud en el tratamiento de los datos personales que conlleva la emisión de
un duplicado de tarjeta y su entrega a un tercero no autorizado, sin que el titular de la
misma tuviera si quiera conocimiento de tales tratamientos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/52

El artículo 6.1 establece que el tratamiento de datos personales solo es lícito si se
cumple al menos una de las condiciones previstas en el mencionado artículo. En este
caso, la vulneración del principio de licitud se manifiesta en el tratamiento indebido de
los datos personales del reclamante, que no fue el solicitante real del duplicado de
tarjeta.

Este tipo de tratamientos requiere verificar adecuadamente la identidad del solicitante
y para ello resulta necesario establecer medidas que aseguren esa correcta
identificación. El establecimiento de estas medidas o protocolos, así como su
seguimiento y atención por la propia entidad responsable, sirve para valorar la
conducta y el grado de diligencia empleado por la misma.

DIGI emitió un duplicado de tarjeta SIM sin contar con el consentimiento del titular de
la línea y lo entrego a un tercero sin una base jurídica válida. Dicho hecho se traduce
en un tratamiento ilícito de datos, al haberse realizado sin cumplir con los requisitos
establecidos en el artículo 6.1 del RGPD. La infracción de este artículo confirma que
DIGI realizó un tratamiento no autorizado de los datos, vulnerando de esta forma los
derechos del reclamante.

En este sentido, la mera existencia de una política de seguridad no puede justificar
una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de
existir, estas medidas deben resultar efectivas y posibilitar que el responsable del
tratamiento esté en condiciones de demostrar el cumplimiento de los principios
relativos al tratamiento de los datos personales. En caso contrario, las medidas
adoptadas carecen de virtualidad y pueden conllevar tratamientos ilícitos, como ocurre
en el presente caso.

Por lo tanto, DIGI no puede pretender quedar exonerada de su responsabilidad
apelando a la existencia de tales medidas de seguridad.

Lo cierto es que la simple emisión de una tarjeta SIM y su entrega a un tercero no
autorizado implica ya de por si una vulneración del principio de licitud, en cuanto
tienen la consideración de tratamientos de datos personales.

Es preciso señalar, asimismo, que es un hecho no controvertido que la emisión del
duplicado de tarjeta SIM y su entrega a un tercero no autorizado se llevó a cabo sin la
intervención del reclamante y titular de la línea telefónica. La propia entidad DIGI
calificó el caso como fraudulento, según consta reseñado en los hechos probados.

Por otra parte, acreditada la existencia de una conducta antijurídica de DIGI (el
tratamiento de los datos de la parte reclamante sin base jurídica), la cuestión se centra
en determinar si de tal conducta puede nacer responsabilidad administrativa
sancionadora.

Rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28
de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el
elemento subjetivo o culpabilístico es una condición indispensable para que surja la
responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/52

“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa
las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de
obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los mismos a
título de dolo o culpa.”

A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de
dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de
cuidado.

El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las
sanciones administrativas participan de la misma naturaleza que las penales, al ser
una de las manifestaciones del ius puniendi del Estado, y que, como exigencia
derivada de los principios de seguridad jurídica y legalidad penal consagrados en los
artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas.

A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19
de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el
elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a
como se hace respecto de las personas físicas y añade que “Esta construcción distinta
de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia
naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el
elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las
que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que
deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que
dicha protección sea realmente eficaz [...]”.

Así, la decisión de archivar un expediente sancionador podrá fundarse en la ausencia
del elemento de la culpabilidad cuando el responsable de la conducta antijurídica
hubiera obrado con toda la diligencia que las circunstancias del caso exigen.

Llegados a este punto, conviene recordar nuevamente lo que la STC 246/1991 ha
dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la
“capacidad de infringir las normas a las que están sometidos”. “Capacidad de
infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la
necesidad de que dicha protección sea realmente eficaz [...]”.

En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de
responsabilidad proactiva), conforme al cual el responsable del tratamiento será
responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí
interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de
demostrar su cumplimiento. El principio de proactividad transfiere al responsable del
tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder
demostrar dicho cumplimiento.

El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido
durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son
aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es
la obligación del responsable del tratamiento de aplicar medidas que, en
circunstancias normales, garanticen que en el contexto de las operaciones de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/52

tratamiento se cumplen las normas en materia de protección de datos y en tener
disponibles documentos que demuestren a los interesados y a las Autoridades de
control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en
materia de protección de datos.

El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a
adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder
demostrar” que el tratamiento es conforme con el RGPD. El precepto establece:

“Responsabilidad del responsable del tratamiento”
“1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento,
así como los riesgos de diversa probabilidad y gravedad para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará medidas
técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el
tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y
actualizarán cuando sea necesario.
2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre
las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del
responsable del tratamiento, de las oportunas políticas de protección de datos.
3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados
como elementos para demostrar el cumplimiento de las obligaciones por parte del
responsable del tratamiento.”

El artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”,
establece:

“1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza,
ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y
gravedad que entraña el tratamiento para los derechos y libertades de las personas
físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los
medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y
organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma
efectiva los principios de protección de datos, como la minimización de datos, e
integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del
presente Reglamento y proteger los derechos de los interesados.
2.[...]”.

En el presente caso, contra de lo dispuesto en estas normas, DIGI no ha podido
demostrar el cumplimiento de la normativa respecto de la licitud de los tratamientos de
datos personales por los que se sanciona.

Cabe preguntarse cuáles son los parámetros de la diligencia debida que DIGI debía
haber observado en relación con la conducta examinada. La respuesta es que la
diligencia que debió observar es la que era precisa para cumplir las obligaciones que
le imponen los artículos 5.2, 24 y 25 del RGPD, a la luz de la doctrina de la Audiencia
Nacional y la jurisprudencia del Tribunal Supremo.

Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que,
después de referirse a que las entidades en las que el desarrollo de su actividad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/52

conlleva un continuo tratamiento de datos de clientes y terceros han de observar un
adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que
existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir,
cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del
grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto,
y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la
recurrente es de constante y abundante manejo de datos de carácter personal ha de
insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al
respecto”.

Es plenamente aplicable al caso, también, la SAN de 19 de septiembre de 2023 (rec.
403/2021), que dice:” contrató la póliza de seguro con un tercero sin control ni
supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona
que estaba manifestando su voluntad de contratar, no era quien decía ser. De haberse
tomado las necesarias precauciones, a fin de asegurar la identidad la persona
contratante (para lo que hubiera sido bastante atender a la incorrecta contestación a
las preguntas de identificación y verificación del cliente)”.

La reclamada ha invocado distintos argumentos para justificar la ausencia de
culpabilidad de su conducta. Básicamente, el disponer de una política de seguridad
dirigida a garantizar que los duplicados de tarjetas SIM se entregan a los titulares de
las líneas telefónicas, que fue seguida por DIGI y que no falló, sino que se vio
superada mediante acciones cometidas por un tercero que disponía de los datos
personales y el documento de identidad del reclamante. Entiende DIGI que su
conducta no puede calificarse como no diligente, que el simple hecho de que se
produjera una suplantación de identidad no es indicativo de una falta de diligencia.

Sin embargo, existen numerosas circunstancias de hecho en el presente caso que
llevan a calificar la conducta de DIGI como imprudente y culposa a la hora de detectar
preventivamente el fraude, de tal forma que le hubiese permitido denegar la solicitud
de emisión de un duplicado de tarjeta SIM que recibió de un tercero no autorizado y,
con ello, abstenerse de realizar los tratamientos de datos personales de la parte
reclamante que conlleva la emisión de dicha tarjeta y su entrega a una persona
distinta a su titular.

Son numerosas las circunstancias de hecho que debieron alertar a DIGI sobre el
fraude o, lo que es lo mismo, que dan muestra de la negligencia de su conducta.

El duplicado de tarjeta se tramitó desde una tienda física, (…)

En primer término, entiende esta Agencia que una muestra de alerta viene
determinada por el hecho de que una persona con residencia en un municipio de
***PROVINCIA.1 solicite un duplicado de tarjeta SIM en una tienda ubicada en una
Comunidad Autónoma distinta, en un municipio de la provincia de ***PROVINCIA.2.
No es una cuestión determinante, por no improbable, pero sí para tomarla en
consideración a la hora de iniciar el proceso y la aplicación de las cautelas necesarias.

Por otra parte, se estima oportuno destacar que (…).

A este respecto, es significativo que (…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/52

Tampoco puede calificarse de diligente la verificación de la identidad del solicitante por
parte el punto de venta. En relación con la forma de identificación de los clientes que
solicitan un duplicado de tarjeta SIM, DIGI tampoco acredita la existencia de previsión
específica alguna, (…). Sobre esta cuestión interesa destacar que en este caso consta
probado que el tercero se sirvió de un DNI falsificado.

Así, puede concluirse que el tratamiento de los datos personales se realiza (i) sin que
DIGI aporte ninguna garantía de que el solicitante del duplicado de tarjeta SIM fuera el
verdadero titular de la línea y, por consiguiente, de los datos personales; (ii) sin
conocer el motivo para emitir el duplicado de tarjeta; y (iii) sin haber realizado ninguna
comprobación para verificar que la emisión de ese duplicado era necesaria para la
prestación de los servicios contratados por la parte reclamante, que ya disponía de
una tarjeta activa y en correcto funcionamiento.

Por tanto, resulta que DIGI no verificó correctamente la identidad de quien solicitó el
duplicado de tarjeta SIM que motiva las actuaciones, siendo así que, de haberse
efectuado correctamente esta operación, el duplicado se hubiera denegado, quedando
en entredicho la diligencia empleada por parte dicha entidad para verificar la identidad
de la persona que solicitó un duplicado de la tarjeta SIM.

Resulta significativo, particularmente en lo relativo a los protocolos aplicables, que el
responsable del tratamiento no analiza con la debida profundidad la diligencia exigible,
trasladando la responsabilidad al agente, cuando el control sobre la veracidad de la
solicitud de duplicado de tarjeta SIM, esencial para la prevención eficaz del fraude,
corresponde a la propia entidad DIGI.

En definitiva, no ha existido una conducta proactiva para aplicar de forma efectiva los
principios de protección de datos.

Resulta, por tanto, que la actuación desarrollada por DIGI ha resultado claramente
ineficaz e insuficiente, está muy por debajo de las posibilidades que el desarrollo
técnico actual ofrece y no toma en consideración el evidente riesgo que la contratación
de los servicios que comercializa representa para los derechos y libertades de las
personas, por lo que debe responder a título de culpa por la infracción cometida por la
falta de diligencia mostrada.

Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada
o dedicada específicamente a la gestión de los datos de carácter personal de los
clientes, debe ser especialmente diligente y cuidadosa en su tratamiento.

Es el considerando 74 del RGPD el que dice: Debe quedar establecida la
responsabilidad del responsable del tratamiento por cualquier tratamiento de datos
personales realizado por él mismo o por su cuenta. En particular, el responsable debe
estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la
conformidad de las actividades de tratamiento con el presente Reglamento, incluida la
eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el
ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y
libertades de las personas físicas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/52

Por otra parte, atendidas todas las circunstancias de hecho que conforman el presente
supuesto, no puede decirse que la incidencia producida en el tratamiento de los datos
personales de la parte reclamante responda a un ataque sofisticado, como señala
DIGI en su escrito de respuesta al trámite de traslado.

En otro orden, en relación con la alegación formulada por DIGI, según la cual el
defraudador disponía de los datos y documento de la reclamante con anterioridad,
cabe precisar que ninguna responsabilidad se está imputando en el presente
procedimiento sancionador por la conducta del tercero que solicitó el duplicado de
tarjeta SIM, ni por las conductas previas de este estafador para obtener los datos del
reclamante o las posteriores, como las cometidas para acceder a las cuentas
bancarias, ya tengan que ver con la obtención de los datos personales de la
reclamante que fueron facilitados a DIGI o con el uso posterior de los mismos
realizados por el tercero una vez obtuvo el duplicado de tarjeta. Ello sin perjuicio de
que pueda tenerse en cuenta la repercusión que para el interesado puede tener que
un tercero obtenga un duplicado de la tarjeta correspondiente a su línea de telefonía
móvil, que obliga a la entidad responsable a establecer todas las cautelas necesarias
para evitarlo.

Precisamente el que nos encontremos ante el fraude de un tercero hace que sea
necesario asegurarse que la persona a la que se expide el duplicado de la tarjeta SIM
es quien realmente dice ser y deben adoptarse las medidas necesarias de prevención
adecuadas para verificar la identidad de una persona cuyos datos van a ser objeto de
tratamiento, tal y como se reconoce en el Fundamento Jurídico Séptimo de la SAN,
SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al hecho de que nos
encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de
2013 (Rec. 54/2012): "Precisamente por eso, es necesario asegurarse que la persona
que contrata es quien realmente dice ser y deben adoptarse las medidas de
prevención adecuadas para verificar la identidad de una persona cuyos datos
personales van a ser objeto de tratamiento...").

La única infracción que se atribuye a la reclamada se fundamenta en la falta de licitud
en el tratamiento de los datos personales del reclamante. En relación con esta
calificación de los hechos, se podría citar la Sentencia 4660/2021, de 13 de diciembre
de 2021, en la que se dice que “la intervención fraudulenta de un tercero, que suplanta
la identidad de otra persona en una contratación en línea, no excluye que la empresa
contratante, que lleva a cabo el tratamiento de los datos personales, haya podido
incurrir en infracción por falta del necesario consentimiento inequívoco que exige el
art. 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues aquella intervención
fraudulenta de un tercero no implica por sí misma que la empresa contratante haya
actuado con diligencia suficiente.

Lo anterior no significa que se haga recaer sobre la empresa contratante la
responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la
utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible
a dicha empresa contratante, como diligencia necesaria para que no se le pueda
reprochar el incumplimiento de sus obligaciones en materia de protección de datos de
carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del
interesado como en lo relativo al principio de veracidad y exactitud de los datos- la
implantación de medidas de control y verificación tendentes a asegurar que la persona
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/52

que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI
aportado”.

Es la emisión de un duplicado de tarjeta SIM y su entrega a un tercero lo que supone
el tratamiento de los datos personales de su titular ya que se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). La
emisión de un duplicado de tarjeta SIM implica necesariamente un tratamiento de
datos personales, ya que se realiza sobre la línea y la identidad del titular. Como
puede apreciarse en las actuaciones, el tratamiento de datos que se analiza ha
conllevado la utilización de los datos de la reclamante relativos a nombre, apellidos,
DNI y línea de telefonía móvil, entre otros.

La referencia al fenómeno del denominado SIM Swapping y a sus eventuales
consecuencias se efectúa con el fin de valorar el alcance y naturaleza de la infracción
imputada, atendiendo a las repercusiones que tales prácticas pueden generar sobre
los derechos del titular de los datos personales afectados.

En este sentido, la Audiencia Nacional en la sentencia de 13/05/2024, Rec.
0002336/2021, establece que “(…) en la primera fase de este tipo de estafas el
suplantador consigue, de manera fraudulenta, los datos de acceso o las credenciales
de la banca online del cliente, pero le falta por conocer el código de verificación,
segundo factor de autentificación, para poder ejecutar cualquier operación. En el
momento en el que logra la tarjeta SIM duplicada ya tiene también acceso a este
segundo factor de autentificación y, por tanto, desde ese momento puede realizar los
actos de disposición patrimonial que desee”.

En cuanto al acceso a datos personales del cliente que conlleva la entrega de la
tarjeta a un tercero, resulta necesario señalar que el acceso al duplicado de una
tarjeta SIM que hace identificable a su titular, responde a la definición de dato personal
del artículo 4.1) del RGPD tal y como se indicaba en el Acuerdo de Inicio. En este
sentido se pronuncia la Sentencia 595/2024 de la Audiencia Nacional, de 8 de febrero
de 2024, cuando afirma:

“Tenemos que partir, que la emisión de un duplicado de tarjeta SIM supone el
tratamiento de los datos personales de su titular ya que, a tenor del artículo 4.1 del
RGPD, se considera persona física identificable toda persona cuya identidad pueda
determinarse, directa o indirectamente, en particular mediante un identificador. Pues
bien, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente en
formato físico y de reducidas dimensiones, que contiene un chip en el que se
almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la
red, esto es, el número de línea móvil del cliente MSISDN (Mobile Station Integrated
Services Digital Network-Estación Móvil de la Red Digital de Servicios Integrados-) así
como el número de identificación personal del abonado IMSI (International Mobile
Subscriber Identity-Identidad Internacional del Abonado móvil-), pero también puede
proporcionar otro tipo de datos como la información sobre el listado telefónico o el de
llamadas y mensajes.

Y como se resalta en la resolución recurrida, desde el año 2007, en España, de
conformidad con la Disposición Adicional Única de la Ley 25/2007, de 18 de octubre,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/52

de conservación de datos relativos a las comunicaciones electrónicas y a las redes
públicas de comunicaciones, se exige que los titulares de todas las tarjetas SIM, ya
sean de prepago o de contrato, estén debidamente identificados y registrados. Por lo
que a hora de obtener un duplicado de la tarjeta SIM, la persona que lo solicite haya
de identificarse igualmente y que su identidad coincida con la del titular.”

Por tanto, la mera utilización de una tarjeta SIM por parte de un tercero no autorizado
incrementa de forma significativa el riesgo para su titular, en la medida en que el
suplantador puede disponer de datos adicionales que permitan la realización de
actuaciones con efectos especialmente gravosos, tales como operaciones financieras
no consentidas, como ha sucedido en el caso que nos ocupa.

Así, facilitar un duplicado de tarjeta SIM es un proceso en el que la diligencia prestada
por los operadores resulta esencial para evitar este tipo de estafas y garantizar la
adecuada protección de los derechos e intereses de los clientes, diligencia que, como
ya se ha expuesto, se encuentra en entredicho en el presente caso.

En relación con todo cuanto antecede, resulta de especial interés la doctrina declarada
por el Tribunal Supremo, Sala de lo Contencioso-Administrativo, Sección Tercera, en
Sentencia de 13/12/2021 (recurso de casación núm. 6109/2020), que analiza un
supuesto de suplantación de identidad para una contratación on line, en el que se
cuestiona la actuación llevada a cabo por la entidad recurrente para verificar que
contrataba con el verdadero titular de los datos y se sanciona por el tratamiento ilícito
de los datos personales del interesado.

Según el auto de admisión del citado recurso de casación, “la cuestión que presenta
interés casacional objetivo para la formación de la jurisprudencia consisten en
interpretar la normativa de protección de datos de carácter personal vigente a efectos
de aclarar si la intervención fraudulenta de un tercero, que suplanta la identidad de
otra persona en una contratación on line, permite excluir que haya existido infracción
por falta del necesario consentimiento inequívoco para el tratamiento de los datos
personales que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, por
entender que la empresa contratante actuó con diligencia suficiente y en la creencia
de que contrataba con el verdadero titular de tales datos”.

En esta Sentencia se declara lo siguiente:

TERCERO.- Respuesta de la Sala a la cuestión de interés casacional señalada en el
auto de admisión del recurso de casación.

En respuesta a la cuestión que plantea el auto de admisión del presente recurso de
casación debemos declarar que la intervención fraudulenta de un tercero, que
suplanta la identidad de otra persona en una contratación on line, no excluye que la
empresa contratante, que lleva a cabo el tratamiento de los datos personales, haya
podido incurrir en infracción por falta del necesario consentimiento inequívoco que
exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues aquella
intervención fraudulenta de un tercero no implica por sí misma que la empresa
contratante haya actuado con diligencia suficiente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/52

Lo anterior no significa que se haga recaer sobre la empresa contratante la
responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la
utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible
a dicha empresa contratante, como diligencia necesaria para que no se le pueda
reprochar el incumplimiento de sus obligaciones en materia de protección de datos de
carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del
interesado como en lo relativo al principio de veracidad y exactitud de los datos- la
implantación de medidas de control y verificación tendentes a asegurar que la persona
que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI
aportado”.

No se trata, por tanto, de atribuir responsabilidad a DIGI por la mera constatación del
tratamiento de datos ilícito, sino por la ausencia de diligencia en la aplicación de
controles para asegurar que el tratamiento de los datos de la reclamante se realizaba
con base de legitimación.

En resumen, la reclamada expidió un duplicado de la tarjeta SIM a un tercero que no
era el titular de la línea ni había acreditado que actuara en su representación,
quedando en entredicho la diligencia empleada por DIGI a la hora de realizar las
comprobaciones oportunas para verificar la identidad del cliente interesado, así como
la legitimidad de la solicitud y del tratamiento de los datos.

A la vista de lo expuesto, no puede decirse que se impone a DIGI una responsabilidad
objetiva vulnerándose el principio culpabilista, o que no existe infracción por el
tratamiento ilícito de los datos personales de la reclamante.

2. Sobre la falta de proporcionalidad de la sanción propuesta

En cuanto a la sanción, la parte reclamada señala que esta es desproporcionada en
relación con los hechos, atendiendo a las circunstancias y el contenido de la supuesta
infracción.

Por un lado, cuestiona las circunstancias consideradas para cuantificar la sanción que
se indica en el acuerdo de apertura del presente procedimiento sancionador, en
concreto las relativas a la negligencia apreciada en su conducta, la vinculación de su
actividad con el tratamiento de datos personales y las infracciones anteriores.

Estas cuestiones se analizan en el Fundamento de Derecho V, al que cabe remitirse
en este momento.

Por otra parte, señala que según lo establecido en el artículo 83.2 del RGPD y el
artículo 76.2 de la LOPDGDD, concurren en el presente las siguientes circunstancias
atenuantes que no han sido consideradas en la adecuada graduación de la sanción:

─ Procedió la parte reclamada a solventar la incidencia objeto de reclamación de
forma efectiva (artículo 83.2 c RGPD).

La admisión de que opere como una atenuante que la parte reclamada haya
solventado la incidencia objeto de reclamación de forma efectiva (artículo 83.2 c) del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/52

RGPD), anula en parte la finalidad disuasoria que se cumple a través de la sanción.
Aceptar la tesis de DIGI en un supuesto como el que nos ocupa supondría introducir
una rebaja artificial en la sanción que verdaderamente procede imponerse; la que
resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser
valoradas.

Por otra parte, como queda reflejado en este acto, DIGI no realizó actividad alguna
para solventar la situación generada con la emisión del duplicado de tarjeta SIM
fraudulento, sino que fueron las acciones llevadas a cabo por la propia parte
reclamante para recuperar el servicio de su línea móvil las que determinaron la
anulación de la tarjeta fraudulenta.

─ En ningún momento se han tratado categorías especiales de datos (artículo
83.2 g) RGPD).

Esta cuestión se trata en el Fundamento de Derecho V antes citado.

─ El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a
una supuesta infracción y mitigar sus posibles efectos adversos (artículo 83.2 f)
RGPD).

No se puede tener en cuenta esta alegación en la medida en que contestar a los
requerimientos de información enviados desde esta Agencia no es encuadrable en
esta circunstancia atenuante.

─ El inexistente beneficio obtenido por parte de DIGI como resultado al
tratamiento de datos que ocupa este procedimiento (Art. 83.2 k) RGPD).

El artículo 83.2.k) del RGPD se refiere a “cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las
pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo
76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.k) del
Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..] c) Los beneficios
obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones
mencionan como factor que puede tenerse en cuenta en la graduación de la sanción
los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que DIGI alega.

Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa
está presidida por los siguientes principios: deberán estar individualizadas para cada
caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere
como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1
del RGPD y a los principios por los que se rige la determinación del importe de la
sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como
atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que
se cumple a través de la sanción. Aceptar la tesis de DIGI en un supuesto como el que
nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente
procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2
RGPD que sí deben de ser valoradas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/52

La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el
hecho de que en un supuesto concreto no estén presentes todos los elementos que
integran una circunstancia modificativa de la responsabilidad que, por su naturaleza,
tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable
en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su
SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse
sobre la circunstancia del apartado e) del artículo 83.2. del RGPD, la comisión de
infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la
reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así
que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”.

Asimismo, señala DIGI que la cuantificación de la posible sanción a imponer a DIGI en
relación con el supuesto incumplimiento de las obligaciones del artículo 6.1 del RGPD,
que debería limitarse a un apercibimiento y, en última instancia, se modere o module
la propuesta recogida en el Acuerdo de Inicio notificado a DIGI, atendiendo a sus
argumentos.

En cuanto a la imposición de una advertencia, apercibimiento, o la adopción de
medidas correctivas conforme al artículo 58 del RGPD, una multa disuasoria es
aquella que tiene un efecto disuasorio genuino. A este respecto, la Sentencia del
TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386,
dice:

“94. Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión,
antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto,
el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor
disuasorio se valora tomando en consideración una multitud de elementos y no sólo la
situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de
las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que
había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio
puede tener por objeto no sólo una «disuasión general», definida como una acción
para desincentivar a todas las empresas, en general, de que cometan la infracción de
que se trate, sino también una «disuasión específica», consistente en disuadir al
demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo
tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no
estaba obligada a limitar su valoración a los factores relacionados únicamente con la
situación particular de la empresa en cuestión.”

“102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de
la consideración, en este contexto, del tamaño y de los recursos globales de la
empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la
sanción no debe ser insignificante, especialmente en relación con la capacidad
financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de
junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto
de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).”

23/52

ven afectados sus poderes de disposición y control sobre sus datos personales, que
constituyen parte del contenido del derecho fundamental a la protección de datos
según ha señalado el Tribunal Constitucional en la Sentencia 292/2000, de 30 de
noviembre de 2000 (FJ 7). De manera que, al conseguir un duplicado de la tarjeta
SIM, se posibilita bajo determinadas circunstancias, el acceso a los contactos o a las
aplicaciones y servicios que tengan como procedimiento de recuperación de clave el
envío de un SMS con un código para poder modificar las contraseñas. En definitiva,
podrán suplantar la identidad de los afectados, pudiendo acceder y controlar, por
ejemplo: las cuentas de correo electrónico; cuentas bancarias; aplicaciones como
WhatsApp; redes sociales, como Facebook o Twitter, y un largo etc. En resumidas
cuentas, una vez modificada la clave de acceso por parte de los suplantadores
pierden el control de sus cuentas, aplicaciones y servicios, lo que supone una gran
amenaza.

IV
Contestación a las alegaciones presentadas a la propuesta de resolución

Las alegaciones formuladas no desvirtúan los fundamentos que justifican el acuerdo
adoptado en la presente resolución. DIGI plantea en su escrito de alegaciones a la
propuesta de resolución, básicamente, las mismas alegaciones que formuló con
ocasión de la apertura del procedimiento, sin considerar los hechos constatados y los
fundamentos que sirvieron de base a la mencionada propuesta, que esta resolución
hace suyos, en los que se analizan ampliamente las circunstancias puestas de
manifiesto por dicha entidad y se exponen las razones que determinaron su
desestimación.

Por tanto, los alegatos contenidos en su nuevo escrito de alegaciones quedan
sobradamente rebatidos con los argumentos transcritos en el Fundamento de Derecho
anterior y en los que siguen, que se consideran válidos y suficientes para rechazar los
planteamientos de DIGI.

Sin perjuicio de lo anterior, se estima oportuno ampliar esa respuesta como sigue:

1. Del principio de culpabilidad y la responsabilidad objetiva. Inexistencia de infracción
del artículo 6 del RGPD. Indefensión y falta de seguridad jurídica.

El Fundamento de Derecho anterior analiza ampliamente estas cuestiones
atendiendo, de manera específica, a las circunstancias apreciadas en este caso.

No obstante, después de declarar reproducidas sus alegaciones a la apertura del
procedimiento y sin atender a los razonamientos expuestos por esta AEPD, reitera
DIGI que no se tienen en cuenta las medidas implantadas y la diligencia desplegada
por su parte, sino únicamente el resultado producido por la actuación ilícita de un
tercero que comete actos delictivos, suplantando la identidad de la reclamante y
haciendo uso de un documento de identidad falso que revestía total apariencia de
legalidad, al incluir el nombre y número correctos, no siendo exigible la obligación
absoluta de detección de un documento falso. Entiende que fundamentar la imposición
de una sanción exclusivamente en la obtención de un resultado supone adoptar un
principio de responsabilidad objetiva y obviar la necesaria concurrencia de la
culpabilidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/52

Todo ello ha sido suficientemente respondido en el Fundamento de Derecho anterior,
en el que se analiza la conducta de DIGI y las medidas implementadas, sin limitar el
análisis al resultado, y se exponen las circunstancias que han determinado la
calificación de su conducta como culposa o imprudente. Al contrario, es DIGI quien
omite en sus alegaciones cualquier referencia a estas circunstancias y la falta de
mecanismos adecuados para asegurar la realidad de la solicitud, sobre las que no
aporta explicación alguna, y se aparta de la cuestión central limitándose a alegar que
la problemática radica en la actuación fraudulenta de un tercero.

Como ya se indicó anteriormente, DIGI (…). Ante esta situación, no puede decirse que
el tratamiento de los datos personales de la parte reclamante para la emisión del
duplicado de tarjeta era necesario para la ejecución del contrato.

Del mismo modo, no justifica adecuadamente el hecho de no haber cuestionado que
la solicitud del duplicado se realizara en una tienda física de ***LOCALIDAD.2
(***PROVINCIA.2) por una persona con residencia en un municipio de
***LOCALIDAD.1. Omite considerar que esta circunstancia debió, en todo caso,
generar la sospecha o alerta procedente, en atención a los estándares y cautelas
exigibles para la adecuada prevención de riesgos y fraudes.

En consecuencia, no puede considerarse cumplido el principio de responsabilidad
proactiva, ni tampoco que la infracción resulte de un error puntual y aislado del agente
del punto de venta en la comprobación visual de un documento de identidad o que se
hiciera uso de un documento de identidad falso indetectable.

DIGI insiste en la idoneidad de las medidas implantadas y en que el mero error
humano y puntual, no puede acarrear, por sí mismo, consecuencias sancionadoras,
muy especialmente cuando dicho error viene provocado de forma intencionada por la
actuación ilícita de un tercero, como acontece en el presente.

De esta forma, se afirma que DIGI carece de medidas amparadas por la autoridad de
control que le permitan garantizar un despliegue de diligencia.

Asimismo, sostiene que la aversión o el cuestionamiento de esta Agencia a las
medidas de identificación es tal que incluso se ha generado un efecto de percepción
negativa de estas prácticas, como, por ejemplo, la solicitud de la copia del DNI.

En sustento de la afirmación anterior, DIGI aporta una relación de noticias, obtenidas
mediante búsqueda en Internet, relacionadas con el uso del DNI como medio de
verificación de la identidad de los interesados, así como dos Informes del Gabinete
Jurídico de la AEPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/52

En primer lugar, procede subrayar que corresponde a la entidad reclamada determinar
el tipo de procedimientos, mecanismos o instrumentos concretos para implementar las
medidas de seguridad adecuadas en materia de protección de datos personales, pues
es el responsable del tratamiento quien conoce plenamente su organización y ha de
decidir, en base a la responsabilidad proactiva y el enfoque de riesgos, cómo cumplir
con el RGPD y la LOPDGDD.

Por otro lado, la calificación del ejercicio legítimo de las potestades de control de esta
Agencia como una supuesta “aversión” carece de fundamento jurídico y resulta del
todo inapropiada.

Los resultados de búsqueda en Internet que se recogen, así como los informes del
Gabinete Jurídico citados, se refieren a ámbitos materiales distintos del que constituye
el objeto específico del presente procedimiento, lo que descontextualiza el análisis y
desvía la cuestión y, en consecuencia, no resulta válido por desvirtuar el sentido y
alcance de la cuestión realmente debatida.

En cuanto a los criterios que esta AEPD aplica respecto de la identificación de los
interesados mediante el documento de identidad, cuya obtención se califica en
ocasiones como excesiva, no considera DIGI que para delimitar los supuestos se tiene
en cuenta la organización del responsable y el respeto al principio de responsabilidad
proactiva. En ninguno de los dieciocho procedimientos sancionadores seguidos en
esta AEPD contra DIGI por defectos en la identificación del titular de los datos
personales, finalizados o en curso, todos ellos por infracción del artículo 6 del RGPD,
se pone de manifiesto una discrepancia de criterio respecto de esta circunstancia.
Esta Agencia considera que la exención de responsabilidad de DIGI, exige demostrar
una actuación diligente, la cual a la luz de la valoración realizada por esta Agencia de
la conducta de DIGI y de las medidas implementadas, no se acredita. Por
consiguiente, no procede admitir la alegación de indefensión ya que no se sanciona
por la mera concurrencia de un resultado lesivo como se pretende, y tampoco se
advierte ausencia de motivación en la propuesta formulada.

Por otra parte, ninguna responsabilidad se está trasladando a DIGI en el presente
procedimiento sancionador por la conducta del tercero que solicitó el duplicado de
tarjeta SIM, ni por las conductas previas del estafador para obtener los datos de la
parte reclamante o las posteriores, como las cometidas para acceder a las cuentas
bancarias, ya tengan que ver con la obtención de los datos personales de la parte
reclamante que fueron facilitados a DIGI o con el uso posterior de los mismos
realizados por el tercero una vez obtuvo el duplicado de la tarjeta. Ello sin perjuicio de
que pueda tenerse en cuenta la repercusión que para el interesado puede tener que
un tercero obtenga un duplicado de la tarjeta correspondiente a su línea de telefonía
móvil, que obliga a la entidad responsable a establecer todas las cautelas necesarias
para evitarlo.

La única infracción que se atribuye a la parte reclamada se fundamenta en la falta de
licitud en el tratamiento de los datos personales de la parte reclamante. DIGI, al
proceder a la emisión de un duplicado de la tarjeta SIM del reclamante sin haber
verificado de forma fehaciente la identidad del solicitante ni acreditado que la petición
provenía del titular legítimo de la línea, incurre en una actuación contraria al principio

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/52

de licitud establecido en el artículo 6.1 del RGPD. Dicha actuación carece de una base
jurídica válida que legitime el tratamiento.

DIGI invoca como base de legitimación para llevar a cabo el duplicado de tarjeta SIM,
la ejecución del contrato de prestación de servicio de telecomunicaciones existente
entre el reclamante y DIG, destacando que en ningún caso se emplea como base de
legitimación el consentimiento. Sin embargo, en casos como este, el tratamiento de
datos que conlleva la emisión de un duplicado de tarjeta SIM no resulta necesario para
la ejecución de los servicios, que se venían prestando con normalidad. Es,
precisamente, la emisión de ese duplicado y su entrega a un tercero el hecho que
provoca la incidencia de dejar sin servicio al titular, motivando que éste se vea
obligado a solicitar una nueva tarjeta para recuperarlo.

DIGI insiste en que un duplicado de tarjeta SIM no da acceso a ninguna aplicación o
cuenta personal, almacenadas en el dispositivo móvil y no en la tarjeta SIM.

Asimismo, reitera, de un lado, que es a través del ataque de “phishing” donde el
reclamante pierde el control sobre sus datos de carácter personal, siendo este hecho
el que desencadena y posibilita la comisión del fraude y, de otro lado, que son las
entidades financieras las que posibilitan, en última instancia, el acceso a los datos de
las víctimas y permiten la instrumentalización de la tarjeta SIM como vía de acceso a
las cuentas de los particulares.

Por tales motivos, DIGI concluye que no le es imputable responsabilidad alguna por un
eventual tratamiento ilícito de datos personales.

En este contexto, la entidad reclamada invoca en su defensa el informe titulado
“CONTRA EL SIM-SWAPPING Visión general y buenas prácticas para reducir el
impacto de los ataques de SIM-Swapping” (título original en inglés: COUNTERING
SIM-SWAPPING Overview and good practices to reduce the impact of SIM-Swapping
Attacks) publicado por la Agencia de Ciberseguridad de la Unión Europea (ENISA) en
diciembre de 2021 y la Memoria de la Fiscalía General del Estado (FGE) de 2021 en
materia de Criminalidad Informática.

En lo que aquí interesa, basta señalar que el proceso de emisión de una tarjeta SIM
constituye un acto que se realiza bajo el control directo del operador o de sus
distribuidores autorizados, y su correcta ejecución forma parte del deber de diligencia
profesional impuesto por la normativa en materia de seguridad y protección de datos
personales de los abonados.

En particular, los operadores de telecomunicaciones mantienen un deber propio de
diligencia en la gestión de los datos de sus abonados y en la prevención de accesos
no autorizados, obligación que no puede eludirse por la participación de otros sujetos
en el fraude.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/52

Por otra parte, si bien el informe “Countering SIM Swapping” de ENISA reconoce que,
para la materialización del fraude mediante duplicado de tarjeta SIM, el autor debe
disponer previamente de determinados datos personales de la víctima, dicha
circunstancia no exime de responsabilidad al operador de red móvil. La existencia de
un acceso previo indebido a los datos no interrumpe el deber de verificación,
autenticación y custodia que corresponde al operador en el proceso de duplicado. Por
el contrario, precisamente por tratarse de un factor de riesgo conocido y documentado,
el operador está obligado a implementar controles reforzados de identificación y
validación, conforme a los principios de diligencia profesional, seguridad por diseño y
prevención del fraude.

Así las cosas, el citado informe recoge, en su punto 4.1, las orientaciones específicas
dirigidas a los operadores de telefonía móvil con objeto de reforzar las medidas de
prevención y detección de este tipo de ilícitos. Entre tales orientaciones figura la de
establecer controles más estrictos para la autenticación de clientes y el intercambio
(duplicado) de tarjetas SIM:

“Measures that can be applied to mitigate the attack include internal checks on aspects
such as limiting staff access to customer information and the ability to perform SIM
swaps; back-end system validations before executing changes; enforcement of time-
based restrictions on account changes; checks, based on location of subscriber;
notification of changes to customers (call-back verification); and the use of passwords
and PINs by customers to access their accounts.

Performing background checks on the subscriber using a back-office team could also
prove to be an effective countermeasure. Such background checks could include
checking the most recently provided postal address, cross-checking the ID card
presented in store with previous copies maintained under the subscriber’s profile and
examining the customer’s recent contacts with customer representatives”.

“Las medidas que se pueden aplicar para mitigar el ataque incluyen controles internos
sobre aspectos como la limitación del acceso del personal a la información de los
clientes y la capacidad de realizar cambios de SIM; validaciones del sistema back-end
antes de ejecutar cambios; aplicación de restricciones temporales a los cambios en las
cuentas; controles basados en la ubicación del suscriptor; notificación de cambios a
los clientes (verificación mediante devolución de llamada); y el uso de contraseñas y
PIN por parte de los clientes para acceder a sus cuentas.

La realización de comprobaciones de antecedentes del abonado por parte de un
equipo administrativo también podría resultar una contramedida eficaz. Dichas
comprobaciones de antecedentes podrían incluir la verificación de la dirección postal
facilitada más recientemente, la comprobación cruzada del documento de identidad
presentado en la tienda con las copias anteriores conservadas en el perfil del abonado
y el examen de los contactos recientes del cliente con los representantes de atención
al cliente”. (Traducción no oficial)

Dichas recomendaciones, si bien carecen de carácter normativo vinculante,
constituyen parámetros de diligencia y estándares técnicos relevantes para la
interpretación del deber de seguridad de las comunicaciones.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/52

Sobre los controles basados en la ubicación del suscriptor mencionados en el informe
de ENISA “Countering SIM Swapping” y a propósito de las alegaciones formuladas por
DIGI al efecto, debe señalarse que, atendidas las actuales dinámicas de fraude digital
y suplantación de identidad, el hecho de que el titular de la línea telefónica se
encuentre en un municipio distinto del de su residencia, sin ser determinante por sí
mismo, pudiera razonablemente servir como indicador adicional para requerir una
verificación más rigurosa por parte del operador. La divergencia entre el domicilio
asociado a la línea y el lugar desde el que se solicita el duplicado constituye un dato
objetivo que, sin ser concluyente, puede considerarse un factor de riesgo operativo.
En tales supuestos, resultaría razonablemente recomendable activar mecanismos
adicionales de autenticación o verificación del titular.

En cuanto a la Memoria de la FGE 2021 (ejercicio 2020), esta Agencia no comparte la
interpretación que hace DIGI del documento. Por el contrario, entiende que del mismo
se desprende un razonamiento diferente, en el que, lejos de atribuir a los operadores
de telefonía móvil la condición de víctimas frente a este al fraude del SIM Swapping,
se pone de manifiesto, por una parte, las medidas específicas de seguridad que
dichas entidades se han visto obligadas a implementar con el fin de reforzar los
procedimientos de emisión y duplicado de tarjetas SIM, como respuesta a la eficacia y
facilidad con que los autores lograban consumar sus propósitos ilícitos.

Asimismo, destaca su participación en dos Grupos de Trabajo orientados a buscar
soluciones frente a los problemas generados por la modalidad de fraude conocida
como SIM Swapping, subrayando en especial la importancia de establecer una
efectiva cooperación entre todos los organismos involucrados.

Por su parte, el Instituto Nacional de Ciberseguridad (INCIBE) incluye en su web
“incibe.es” la siguiente información sobre el SIM Swapping:

“Recordemos que ante un SIM swapping, los ciberdelincuentes intentan duplicar de
forma fraudulenta la tarjeta SIM del dispositivo móvil de una persona. Para ello
suplanta su identidad a fin de conseguir un duplicado de la misma. Posteriormente,
una vez que la víctima se queda sin servicio telefónico, accede a su información
personal y toma el control de sus aplicaciones, suplantándole en sus redes sociales,
cuentas de correo electrónico o banca digital, utilizando los SMS de verificación que
llegan al número de teléfono. De esta forma el ciberdelincuente puede recuperar los
mensajes de texto de confirmación con las claves y realizar algún ciberdelito con estas
credenciales, como puede ser realizar una operación bancaria y suplantaciones de
identidad”.

29/52

2. Proporcionalidad de la sanción

La parte reclamada discrepa de los factores considerados para determinar la gravedad
de la infracción y las agravantes aplicadas por la Agencia a la hora de valorar la
sanción. Sin embargo, las alegaciones formuladas por la parte reclamada no resultan
suficientes para desvirtuar los argumentos planteados, por lo que deben ser
desestimadas remitiéndonos, al efecto, a lo manifestado en los Fundamentos de
Derecho de la presente resolución señalados con los números II, que recoge la
respuesta a las alegaciones formuladas por DIGI a la apertura del procedimiento, y VI,
en el que se detallan los factores de graduación de la sanción impuesta.

No obstante, interesa destacar que para la determinación del importe de la multa
administrativa se ha considerado prevalente que la infracción afecta de forma directa a
un único interesado, la parte reclamante, sin perjuicio de valorar las debilidades ya
descritas en las medidas y política de seguridad dispuestas por la reclamada y la
posibilidad de que ello pudiera dar lugar a hechos similares con otros afectados.

Así, resulta que la multa impuesta en este caso (140.000 euros) se sitúa en un rango
muy inferior respecto del intervalo de sanción que cabría imponer que, como ya se
indicó en la propuesta de resolución, se establece entre 0,00 euros y 25.760.000
euros, para una empresa cuyo volumen de negocio ascendió en el año 2023 a
644.000.000 euros.

Del mismo modo, se desestiman las atenuantes invocadas por la parte reclamada,
sobre la categoría de los datos personales tratados, el grado de cooperación mostrado
por DIGI, la no obtención de beneficios derivados de la comisión de la infracción y
procedió la parte reclamada a solventar la incidencia objeto de la reclamación de
forma efectiva (art. 83.2 c) en tanto que reiteran las ya recogidas en su escrito de
alegaciones al acuerdo de inicio, por los motivos descritos en el citado Fundamento de
Derecho III.

No obstante, se estima oportuno precisar lo siguiente:

a) Respecto de la intervención de un tercero, que hizo uso de documentación
falsificada, y de la negligencia apreciada en la conducta de DIGI, no cabe sino
declarar reproducidos todos los argumentos expuestos en este acto.

b) Entiende DIGI que la consideración por esta AEPD de las medidas técnicas y
organizativas para valorar los factores de graduación de las letras b) y d) del artículo
83.2 del RGPD. Sin embargo, no comparte esta Agencia dicho criterio, por cuanto la
negligencia apreciada en la concreta conducta de DIGI en este caso concreto y el
desarrollo de un procedimiento general eficaz para evitar situaciones similares son
cuestiones que pueden apreciarse separadamente en orden a la cuantificación de la
multa.

c) En relación con la aplicación del criterio agravante previsto en el artículo 83.2.k) del
RGPD en combinación con el artículo 76.2.b) de la LOPDGDD, la afirmación realizada
por DIGI de que las Directrices 04/2022 sobre el cálculo de las multas administrativas
contempladas en el RGPD, adoptadas el 24 de mayo de 2023 por el Comité Europeo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/52

de Protección de Datos (CEPD), excluyen la actividad y sector empresarial del
infractor como criterio a considerar en la imposición y cuantificación de sanciones
derivadas de una infracción de la normativa en materia de protección de datos, no se
corresponde con el texto de las citadas Directrices.

Por el contrario, el artículo 83.2.k) del RGPD tiene un carácter abierto y ha posibilitado
que el legislador español considere la vinculación de la actividad del responsable con
el tratamiento de datos personales como elemento a considerar en la cuantificación de
la multa, siendo esta concreta circunstancia la que se valora en el Fundamento de
Derecho dedicado a la graduación de la multa y no la actividad en sí o el sector
empresarial al que pertenece el infractor.

V
Obligación Incumplida

Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del
artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los
supuestos en los que el tratamiento de datos de terceros es considerado lícito:

“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de
aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones”.

Resulta preciso señalar que el artículo 4.1 del RGPD define: “datos personales” como
“toda información sobre una persona física identificada o identificable (“el interesado”);
se considerará persona física identificable toda persona cuya identidad pueda
determinarse, directa o indirectamente, en particular mediante un identificador, como
por ejemplo un nombre, un número de identificación, datos de localización, un
identificador en línea o uno o varios elementos propios de la identidad física,
fisiológica, genética, psíquica, económica, cultural o social de dicha persona;”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/52

A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta
SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que
contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado
usada para identificarse ante la red, esto es, el número de línea telefónica móvil del
cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de
la Red Digital de Servicios Integrados-), así como el número de identificación personal
del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional de
Abonado móvil-) pero también puede proporcionar otro tipo de datos como la
información sobre el listado telefónico o el de llamadas y mensajes.

Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los
datos personales de su titular ya que se considerará persona física identificable toda
persona cuya identidad pueda determinarse, directa o indirectamente, en particular
mediante un identificador (artículo 4.1) del RGPD).

Tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la tarjeta
SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca al
abonado en la red, son datos de carácter personal, debiendo su tratamiento estar
sujeto a la normativa de protección de datos.

En el presente caso, resulta acreditado que, con fecha 28 de diciembre de 2022, DIGI
entregó un duplicado de la tarjeta SIM de la parte reclamante a un tercero no
autorizado sin su consentimiento.

El duplicado se entregó a un supuesto suplantador tras superar éste los protocolos
establecidos para verificar la identidad del solicitante, para lo que el tercero aportó
documentos manipulados o falsificados, a saber, el documento de identidad del
reclamante. Sin embargo, DIGI no realizó las comprobaciones oportunas para verificar
si el solicitante del duplicado era realmente el titular de los datos personales y de los
servicios contratados con el operador, según los detalles expuestos en los
Fundamentos de Derecho que preceden.

El resultado fue que la parte reclamada expidió la tarjeta SIM a un tercero que no era
el titular de la línea, por lo que en el caso analizado queda en entredicho la diligencia
empleada por parte de la reclamada para verificar la identidad de la persona que
solicitó un duplicado de la tarjeta SIM, así como la legitimidad de la solicitud.

En definitiva, la emisión de un duplicado de tarjeta SIM implica necesariamente un
tratamiento de datos personales, ya que se realiza sobre la línea y la identidad del
titular. Dicho tratamiento debe cumplir con una base jurídica que lo legitime, tal como
exige el citado artículo 6.1 del RGPD, al igual que cualquier comunicación de datos
personales a un tercero, que constituye igualmente un tratamiento de datos y que en
este caso se produce con la entrega de la tarjeta a un tercero no autorizado.

En este caso, la emisión del duplicado SIM a solicitud de un tercero sin la intervención
o consentimiento del titular constituye una falta de base jurídica válida para dicho
tratamiento de datos.

Por lo tanto, la emisión del duplicado SIM en estas condiciones y su entrega a una
persona distinta al titular de la línea telefónica constituyen un tratamiento de datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/52

personales sin base jurídica y, en consecuencia, una infracción del artículo 6.1 del
RGPD, dado que se ha realizado sin cumplir con ninguna de las bases legitimadoras
para dicho tratamiento.

Por tanto, se considera que los hechos son constitutivos de una infracción, imputable
a DIGI, por vulneración del artículo 6.1 del RGPD.

En ese sentido el Considerando 40 del RGPD señala:

“(40) Para que el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión
o de los Estados miembros a que se refiera el presente Reglamento, incluida la
necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la
necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de
tomar medidas a instancia del interesado con anterioridad a la conclusión de un
contrato.”

VI
Tipificación y calificación de la infracción

La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
1. Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”

La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1
de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b)
El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”.

VII
Sanción

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”
“2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/52

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado
“Sanciones y medidas correctivas”:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.
3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de
las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento
(UE) 2016/679.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/52

En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
corresponde la imposición de multa.

Procede cuantificar la sanción que se propone, considerando para ello que la multa
que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y
disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de DIGI,
que en el ejercicio 2023 ascendió a 644.000.000 euros.

En primer término, se tiene en cuenta la categoría de la infracción cometida,
comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con
la mayor gravedad en su apartado 5, castigando la conducta con una multa máxima
de 20 millones de euros o, tratándose de una empresa, con una multa por una cuantía
equivalente al 4% como máximo de su volumen de negocio anual. Según el citado
precepto, al establecer el importe máximo aplicable debe optarse por el límite de
mayor cuantía, de los dos fijados por la norma.

En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el
año 2023 a 644.000.000 euros, el importe de la multa que procede imponer estará
necesariamente situado entre 0,00 euros y 25.760.000 euros.

De acuerdo con los preceptos transcritos, a efectos de fijar el importe final de la
sanción a imponer en el presente caso por la infracción del artículo 6.1 del RGPD de
la que se responsabiliza a DIGI, tipificada en el artículo 83.5.a) del RGPD, se estiman
concurrentes los siguientes factores:

1. Como elementos determinantes de la gravedad de la infracción, se toman en
consideración las circunstancias siguientes:

. Artículo 83.2.a) del RGPD: “la naturaleza, gravedad y duración de la infracción,
teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento
de que se trate así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido”.

. Naturaleza de la infracción:

El artículo 83.5 agrupa varios tipos de conductas diferentes. En este caso, la
disposición infringida afecta a un principio básico del derecho a la protección de datos
personales, por cuanto sustenta la legalidad del tratamiento de datos y su violación
entraña un riesgo importante para los derechos de los interesados.

En este caso, la conducta de DIGI ha provocado, de forma directa, la lesión del bien
jurídico protegido por el artículo 6 del RGPD, impidiendo su aplicación efectiva y el
objetivo que pretende proteger. El tratamiento de los datos personales se realiza (i) sin
que DIGI tenga ninguna garantía de que el solicitante del duplicado de tarjeta SIM sea
el verdadero titular de la línea y, por consiguiente, de los datos personales; y (ii) sin
haber realizado ninguna comprobación o contacto con el reclamante para verificar que
la emisión de ese duplicado era necesaria para la prestación de los servicios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/52

contratados por la parte reclamante, que ya disponía de una tarjeta activa y en
correcto funcionamiento. Como resultado de ello, los datos en cuestión han sido
tratados sin disponer de base legal alguna que lo legitime.

. Gravedad de la infracción:

. Naturaleza y propósito del tratamiento:

Evaluar la gravedad de estos aspectos del tratamiento de los datos personales
requiere considerar el contexto en el que se realiza.

El tratamiento de datos realizado en este caso tiene como finalidad la emisión de una
tarjeta SIM, necesaria para que DIGI pueda prestar los servicios contratados por su
titular. Si esa tarjeta es solicitada por un tercero y la entidad no cumple las
obligaciones que le son propias para impedir esta irregularidad, la consecuencia final
es la entrega de la tarjeta a una persona no autorizada para su uso y, con ello, la
posibilidad de que un tercero acceda a diversa información del verdadero titular de la
tarjeta, que puede ser utilizada con fines fraudulentos. Así ocurrió en el presente caso,
en el que un tercero se sirvió del duplicado de tarjeta SIM obtenido fraudulentamente
para realizar cargos en su cuenta bancaria.

Es el fenómeno denominado como “SIM swapping”, muy extendido en el contexto
actual y sobradamente conocido por DIGI. Una vez accede a la línea de telefonía de la
víctima, el tercero dispone de multitud de opciones para, suplantando su identidad,
acceder a todo tipo de cuentas personales (mensajería, correo electrónico, redes
sociales y cualquier tipo de cuenta en línea, incluidas las financieras).

En función de este contexto, el tratamiento realizado por DIGI, considerando su
naturaleza y propósito, acarrea importantes riesgos para el titular de los datos
personales. Y no puede obviarse que dicho tratamiento de datos se realiza en el
marco de la actividad empresarial principal y básica del citado operador, desarrollada
con ánimo de lucro.

. El alcance del tratamiento:

La infracción valorada se comete por el tratamiento ilícito de los datos personales de
un solo interesado, la parte reclamante, como bien se considera en los factores de
graduación que siguen.

No obstante, interesa considerar que DIGI es un operador de telecomunicaciones que
opera con alcance nacional y que la infracción es consecuencia directa de las
debilidades de los mecanismos diseñados por DIGI para la tramitación de solicitudes
de duplicados de tarjeta SIM, por lo que el riesgo que ello conlleva incrementa el
número de potenciales afectados.

La relación existente entre la infracción cometida y la asignación de recursos que cabe
exigir a DIGI para impedir este tipo de actuaciones ilícitas debe analizarse en base al
riesgo real y a aquella circunstancia relativa a su ámbito de actuación de alcance
nacional.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/52

. Número de interesados:

La infracción que se sanciona es consecuencia el tratamiento ilícito de los datos
personales de un único interesado, la parte reclamante.

. El nivel de daño sufrido por la parte reclamante:

De conformidad con el considerando 75 del RGPD, el nivel de daño sufrido se refiere
a los daños y perjuicios físicos, materiales o no materiales.

En el presente caso, el daño sufrido por la parte reclamante no puede calificarse como
marginal. Por un lado, la parte reclamante se vio privada del servicio que tenía
contratado con DIGI y, por otro, sufrió un fraude bancario consecuencia directa de la
infracción que se sanciona, la cual, como se ha dicho, no solo se comete por el
tratamiento de datos necesario para emitir el duplicado de tarjeta SIM, sino también
por el tratamiento de datos consistente en la comunicación de los datos de la parte
reclamante a un tercero, derivado de la entrega del duplicado de tarjeta SIM a dicho
tercero.

En casos como este, el interesado pierde el control de sus datos personales, por lo
que el daño podría persistir durante un tiempo indeterminado.

. Artículo 83.2.b) del RGPD: “la intencionalidad o negligencia en la infracción”.

En este caso estamos ante una acción negligente grave, pues la reclamada ha
expedido una tarjeta SIM a un tercero que no era el titular de la línea en las
circunstancias que constan reseñadas en este acto.

Se observa en la conducta de DIGI una negligencia grave, por incumplimiento del
deber de cuidado exigido por la ley, más allá de lo que puede considerarse un factor
neutro asociado al elemento subjetivo de la culpabilidad.

Esta conclusión resulta de elementos objetivos de la conducta de DIGI, obtenidos en
base a todas las circunstancias de hecho que constan detalladas en los Fundamentos
de Derecho que preceden, especialmente en el apartado 1 del Fundamento de
Derecho III, que muestran claramente todas las alertas que no fueron consideradas
por DIGI para sospechar sobre la irregularidad de la petición de duplicado de SIM que
recibió de un tercero.

Entre las circunstancias apreciadas en el presente caso, cabe destacar las siguientes:

(…)

La consecuencia final de todo ello fue que DIGI validó la petición, activó la tarjeta SIM
y la entregó a un tercero sin que consten evidencias ciertas sobre la identidad de la
persona que realizaba la petición, para asegurar que esta última se correspondía con
el titular de los servicios y de los datos personales.

Conectado también con el grado de diligencia que DIGI está obligada a desplegar en
el cumplimiento de las obligaciones que le impone la normativa de protección de datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/52

puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del
RGPD su pronunciamiento es perfectamente extrapolable al supuesto que
analizamos. La sentencia, después de aludir a que las entidades en las que el
desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y
terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el
Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con
la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso
ahora examinado, cuando la actividad de la recurrente es de constante y abundante
manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado
por ajustarse a las prevenciones legales al respecto”.

. Artículo 83.2.g) del RGPD: “las categorías de los datos de carácter personal
afectados por la infracción”.

Esta circunstancia no está prevista únicamente para aquellos casos en los que se
traten datos de categorías especiales.

En este sentido, a la hora de valorar esta circunstancia, no solo debe hacerse
referencia a los tipos de datos cubiertos por los artículos 9 y 10 del RGPD, sino
también a los datos fuera del ámbito de aplicación de estos artículos cuya difusión
causa daños o dificultades inmediatas al interesado, tal y como permite el precepto. A
este respecto, las Directrices 04/2022, relativas al cálculo de las sanciones
administrativas bajo el RGPD, dictadas por el CEPD, se dice (traducción no oficial):

“Categorías de datos personales afectados
58. En cuanto al requisito de tener en cuenta las categorías de los datos personales
afectados [artículo 83, apartado 2, letra g), del RGPD], el RGPD destaca claramente
los tipos de datos que merecen una protección especial y, por tanto, una respuesta
más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos
de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito
de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos
al interesado 26 (por ejemplo, datos de localización, datos sobre comunicaciones
privadas, números de identificación nacionales o datos financieros, como resúmenes
de operaciones o números de tarjetas de crédito).”

Por tanto, a la hora de apreciar esta circunstancia del artículo 83.2.g) del RGPD,
deben considerarse los datos de naturaleza financiera, como el número de cuenta
bancaria.

Del mismo modo, el tratamiento del número del DNI/NIF constituye un tratamiento
sobre un dato personal de especial sensibilidad, pues permite la identificación directa
e inequívoca de una persona física. Tal y como establece el Real Decreto 255/2025,
de 1 de abril por el que se regula el Documento Nacional de Identidad, el DNI es un
identificador numérico personal de carácter general, con valor suficiente para acreditar
tanto la identidad como la nacionalidad del titular, lo que lo convierte en un elemento
de especial sensibilidad dentro del ecosistema de datos personales. Además, su
utilización indebida conlleva un elevado riesgo de suplantación de identidad, daños
patrimoniales o afectación al derecho al honor, riesgos expresamente contemplados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/52

en el considerando 75 del RGPD. Por ello, una interpretación sistemática y finalista del
RGPD -conforme a los considerandos 51 y 75- permite considerar el número del DNI
como un dato particularmente sensible, atendiendo a su capacidad de provocar
perjuicios significativos en caso de uso no autorizado.

2. Se consideran los siguientes factores de graduación en calidad de agravantes:

. Artículo 83.2.d) del RGPD: “el grado de responsabilidad del responsable o del
encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que
hayan aplicado en virtud de los artículos 25 y 32”.

Los preceptos citados, tanto el artículo 25 como el 32 del RGPD, obligan a la entidad
responsable a tomar en consideración “el estado de la técnica, el coste de la
aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los
riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los
derechos y libertades de las personas físicas” a la hora de aplicar medidas técnicas y
organizativas apropiadas para garantizar la aplicación efectiva de los principios de
protección de datos, en este caso el principio de licitud del tratamiento, así como para
garantizar un nivel de seguridad adecuado al riesgo.

A la vista de dichos preceptos, la actuación desarrollada por DIGI ha resultado
claramente ineficaz e insuficiente, está muy por debajo de las posibilidades que el
desarrollo técnico actual ofrece y no toma en consideración el evidente riesgo que la
prestación de sus servicios representa para los derechos y libertades de las personas.

En este sentido, su alto volumen de negocio y cualificación técnica comporta que el
nivel de exigencia en orden a incorporar las herramientas y funcionalidades que el
estado de la técnica ofrece en cada momento sea elevado.

Las debilidades ya expresadas en cuanto al establecimiento por DIGI de una política
de seguridad que evite la suplantación de identidad de sus clientes, en garantía del
principio de licitud en el tratamiento de los datos, cuestionan la solidez de las medidas
adoptadas en virtud de los artículos 25 y 32 del RGPD, lo que agrava su conducta en
este caso concreto.

Interesa destacar que, en el momento en que tuvieron lugar los hechos que motivan
las presentes actuaciones, el contacto previsto por DIGI para comunicar la validación
de la tarjeta no se realizaba con su titular, sino con la persona que realizaba la
solicitud.

. Artículo 83.2.e) RGPD: “Toda infracción anterior cometida por el responsable o el
encargado del tratamiento”.

El artículo 83.2 del RGPD y artículo 76 de la LOPDGDD permiten la evaluación de las
circunstancias atenuantes y agravantes no solo en relación con los hechos
determinantes de la infracción, sino también en relación con el comportamiento
pasado o presente de la entidad responsable, incluidas las consideraciones que
resulten pertinentes y que puedan obtenerse de anteriores procedimientos
sancionadores tramitados por esta autoridad de control con resultado de multa. Es
decir, se posibilita evaluar el registro de seguimiento del responsable cuando proceda
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/52

o, lo que es lo mismo, su perfil de comportamiento o actitud general con respecto al
cumplimiento del RGPD, y considerar cualquier infracción anterior pertinente
(Considerando 148 del RGPD) o su respuesta ante los incumplimientos anteriores en
orden a evitar infracciones del mismo nivel y características y procurar el cumplimiento
del RGPD, en general.

El considerando 148 del RGPD señala que “A fin de reforzar la aplicación de las
normas del presente Reglamento […]” e indica a ese respecto que “Debe no obstante,
prestarse especial atención a […] o a cualquier infracción anterior pertinente […]”.

El peso que deba atribuirse a estos criterios de graduación dependerá de las
circunstancias específicas del caso en cuestión. Obviamente, cuando la entidad
infractora persista en la infracción, agravando su perfil de comportamiento en las
condiciones expresadas, la cuantía de la sanción a imponer podrá ser muy superior,
especialmente si consideramos el nivel de gravedad que se atribuye al tipo de
infracción cometida.

Así pues, conforme al apartado e) del artículo 83.2. RGPD, en la determinación del
importe de la sanción de multa administrativa no podrán dejar de valorarse todas
aquellas infracciones anteriores del responsable o del encargado de tratamiento en
aras a calibrar la antijuricidad de la conducta analizada o la culpabilidad del sujeto
infractor.

Además, una correcta interpretación de la disposición del artículo 83.2.e) RGPD no
puede obviar la finalidad perseguida por la norma: decidir la cuantía de la sanción de
multa administrativa en el caso individual planteado atendiendo siempre a que la
sanción sea proporcional, efectiva y disuasoria.

Son numerosos los procedimientos sancionadores tramitados por la AEPD en los que
la reclamada ha sido sancionada por la infracción del artículo 6.1 RGPD, todos ellos
consecuencia de la emisión de duplicados de tarjetas SIM, en los que DIGI no actuó
correctamente a la hora de identificar a la persona que formulaba la solicitud:

i. EXP202104009 Resolución dictada el 15 de marzo de 2023 en la que se impuso una
sanción de 70.000 euros, por hechos cometidos en fecha 28/08/2021.

ii. EXP202201226. Resolución dictada el 14 de marzo de 2023 en la que se impuso
una sanción de 70.000 euros, por hechos cometidos en fecha 13/11/2021.

iii. EXP202204881. Resolución dictada el 2 de junio de 2023 en la que se impuso una
sanción de 70.000 euros, por hechos cometidos en fecha 01/04/2021.

iv. EXP202213029. Resolución dictada el 20 de julio de 2023 en el que se impuso una
sanción de 70.000 euros, por hechos cometidos en fecha 26/10/2022.

v. EXP202211403. Resolución dictada el 20 de septiembre de 2023 en el que se
impuso una sanción de 200.000 euros, por hechos cometidos en fecha 25/12/2021.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/52

. Artículo 83.2.k, del RGPD en relación con el artículo 76.2, letra b) de la LOPDGDD:
“La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales”.

La parte reclamada presta servicios de telecomunicaciones, por lo que en el desarrollo
de la actividad que le es propia necesita de manera habitual tratar datos de carácter
personal, lo que incide en la diligencia que le es exigible para el cumplimiento de los
principios que presiden el tratamiento de datos de carácter personal y la calidad y
efectividad de las medidas técnicas y organizativas que debe tener implementadas
para garantizar el respecto de este derecho.

Así, la transcendencia de la conducta objeto de la presente reclamación es innegable.
Además, el tratamiento de datos por el que se sanciona se lleva a cabo en el
desarrollo de la actividad principal de la parte reclamada.

Esta circunstancia, con carácter general, tiene transcendencia como agravante. Así lo
ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024 cuando
declara: “En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra
de negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no
pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las
circunstancias concurrentes, tomando en consideración su volumen de negocio y su
vinculación con el tratamiento de datos personales atendiendo el número de personas
que prestan servicio como empleados en… y su actividad”.

3. Se consideran los siguientes factores de graduación en calidad de atenuantes:

. Artículo 83.2.k) del RGPD: “cualquier otro factor agravante o atenuante aplicable a
las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas
evitadas, directa o indirectamente, a través de la infracción”.

La valoración del comportamiento de DIGI, en este caso, exige considerar las
acciones llevadas a cabo por dicha entidad dirigidas al cumplimiento de lo establecido
en el RGPD y LOPDGDD, en consideración al principio de mejora continua.

Sin obviar que esa mejora continua es una obligación exigible a los responsables del
tratamiento, se estima oportuno considerar la actitud proactiva mostrada por DIGI, que
a lo largo de las actuaciones ha dispuesto la implantación de medidas en su política
de seguridad dirigidas a evitar situaciones futuras similares, sin perjuicio de otras
medidas que pudieran corresponder para la efectiva identificación de las personas
solicitantes de duplicados de tarjeta SIM, cuya implantación es decisión de DIGI en
virtud del principio de responsabilidad proactiva.

En base a todo cuanto antecede, atendiendo a la exigencia de que la multa sea
efectiva, proporcionada y disuasoria, y con el objetivo de procurar el cumplimiento
efectivo del RGPD y la LOPDGDD, el balance de las circunstancias contempladas en
el artículo 83.2 del RGPD y 76.2 de la LOPDGDD consideradas en su conjunto, con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 6 del RGPD,
permite fijar la sanción de multa administrativa en una cuantía de 140.000,00 euros
(ciento cuarenta mil euros)”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/52

III
Contestación a las alegaciones formuladas en el recurso

A) Sobre la infracción imputada

La parte recurrente reitera en su escrito de recurso las mismas alegaciones que ya
fueron formuladas durante la tramitación de procedimiento que culminó con la
resolución impugnada. En efecto, el recurso se limita a reproducir los argumentos
recogidos en los escritos de alegaciones presentados con anterioridad, sin aportar
elementos de hecho o de derecho nuevos que puedan desvirtuar los fundamentos en
que se sustenta el acto recurrido.

Dichos fundamentos, en los que se analizan las circunstancias concurrentes y se
exponen las razones que motivaron la desestimación de las pretensiones de la parte
recurrente, se consideran plenamente válidos y suficientes para confirmar la resolución
adoptada.

No obstante, cabe reiterar lo siguiente:

En primer lugar, conviene dejar claro que la infracción imputada a DIGI se fundamenta
en la falta de licitud en el tratamiento de los datos personales, en los términos
previstos en el artículo 6.1 del RGPD, al emitir y entregar un duplicado de la tarjeta
SIM, correspondiente a la línea de telefonía móvil de la parte reclamante, a un tercero
no autorizado, todo ello sin el conocimiento ni consentimiento del titular legítimo y sin
que exista otra base jurídica que ampare dichos tratamientos de datos personales.

El artículo 6.1 establece que el tratamiento de datos personales solo es lícito si se
cumple al menos una de las condiciones previstas en el mencionado artículo. En este
caso, la vulneración del principio de licitud se manifiesta en el tratamiento indebido de
los datos personales de la parte reclamante, que no fue la solicitante real del duplicado
de tarjeta.

Este tipo de tratamiento requiere verificar adecuadamente la identidad del solicitante y
para ello resulta necesario establecer medidas que aseguren esa correcta
identificación. La implantación, seguimiento y observancia de dichas medidas
constituyen elementos relevantes para valorar el grado de diligencia desplegado por el
responsable del tratamiento y, en consecuencia, para apreciar su nivel de
responsabilidad en relación con los hechos objeto de reclamación.

A este respecto, el artículo 5.2 del RGPD, impone al responsable del tratamiento el
principio de responsabilidad proactiva, que le obliga no solo a cumplir con las
disposiciones del Reglamento, sino también a poder demostrar dicho cumplimiento.

El duplicado se entregó a un tercero suplantador tras superar éste los protocolos
establecidos para verificar la identidad del solicitante, para lo que el tercero aportó
documentos manipulados o falsificados, a saber, el documento de identidad del
reclamante. Sin embargo, DIGI no realizó las comprobaciones oportunas para verificar
si el solicitante del duplicado era realmente el titular de los datos personales y de los
servicios contratados con el operador, según los detalles expuestos en los
Fundamentos de Derecho que preceden.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/52

En síntesis, en este caso específico, el tratamiento de los datos personales del
reclamante fue llevado a cabo sin cumplir con los requisitos de licitud establecidos en
el artículo 6.1 del RGPD. La infracción de este artículo confirma que la parte
reclamada permitió un tratamiento no autorizado de los datos, vulnerando de esta
forma los derechos de la parte reclamante.

La tarjeta SIM es una tarjeta que va insertada dentro del terminal móvil. Se trata de
una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un
chip en el que se almacena la clave de servicio del suscriptor o abonado usada para
identificarse ante la red, esto es, el número de línea telefónica móvil del cliente
MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red
Digital de Servicios Integrados-), así como el número de identificación personal del
abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del
Abonado móvil-) pero también puede proporcionar otro tipo de datos como la
información sobre el listado telefónico o el de llamadas y mensajes.

La emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos
personales de su titular ya que se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador (artículo 4.1) del RGPD).

En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la
tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca
al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar
sujeto
a la normativa de protección de datos.

En este sentido se pronuncia la Sentencia de la Audiencia Nacional de 8 de febrero de
2024, cuando afirma:

Y como se resalta en la resolución recurrida, desde el año 2007, en España, de
conformidad con la Disposición Adicional Única de la Ley 25/2007, de 18 de octubre,
de conservación de datos relativos a las comunicaciones electrónicas y a las redes
públicas de comunicaciones, se exige que los titulares de todas las tarjetas SIM, ya
sean de prepago o de contrato, estén debidamente identificados y registrados. Por lo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/52

que a hora de obtener un duplicado de la tarjeta SIM, la persona que lo solicite haya
de identificarse igualmente y que su identidad coincida con la del titular.”

Asimismo, la Sentencia de la Audiencia Nacional de fecha 9 de febrero de 2023,
también recoge lo siguiente:

“Pues bien, la tarjeta Sim es una tarjeta inteligente que se inserta dentro del terminal
móvil, que contiene un chip en el que se almacena la clave del servicio de suscriptor o
abonado usado para identificarse ante la red.

Así, señala la Fiscalía General del Estado, en informe de julio de 2016, citado por la
resolución recurrida: “según los estándares europeos relativos a sistemas de
telecomunicaciones celulares digitales, establecidos por el Instituto Europeo de
Estándares de Telecomunicaciones (ETSI), un dispositivo de comunicaciones móviles
celulares plenamente operativo, denominado en lenguaje coloquial “Teléfono Móvil” se
compone materialmente de dos elementos esenciales. En primer lugar, el terminal
(…). En segundo lugar, el módulo de identificación de usuario, más conocido como
“tarjeta SIM” (Subscriber Identity Module). Esta tarjeta SIM es intercambiable entre los
diferentes terminales móviles existentes en el mercado y contiene su chip digital la
información necesaria para identificar y autenticar al abonado, incluido en International
Mobile Subscriber Identity (IMSI), el cual identifica de forma inequívoca al abonado en
la red celular. Sin un IMSI válido los servicios de telefonía no serán accesibles, salvo
en el caso de llamada de emergencia.”

Por tanto, el IMSI es el código de identificación en la red de comunicaciones celulares
y es fundamental para identificar al abonado, y como está almacenado en la tarjeta
SIM, quien tenga dicha tarjeta (el suplantador) tiene el IMSI almacenado. Además, en
cuanto el suplantador introduzca la SIM en un terminal y lo encienda, el IMSI va a ser
accedido e intercambiado con la red.

Así las cosas, en la medida en que el IMSI instalado en la tarjeta SIM permite
singularizar a un individuo y por tanto identificarle, ha de ser considerado como dato
personal, según el artículo 4 del RGPD, que conceptúa como tal “toda información
sobre una persona física identificada o identificable (el interesado); se considerará
persona física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona.”

Es decir, la expedición inadecuada de la tarjeta SIM del teléfono móvil de una persona
a un tercero que suplanta su identidad permite a dicho tercero acceder a la
información confidencial almacenada en dicha tarjeta y a la línea del legitimo titular de
la tarjeta SIM existiendo una clara pérdida de confidencialidad pues los datos son
transmitidos a un tercero ilegítimamente.

Téngase en cuenta que en España desde 2007, en virtud de la Disposición Única de
la Ley 25/2007, de 18 de octubre, se exige que los titulares de todas las tarjetas SIM
estén debidamente identificados y registrados. Esto es importante por cuanto la
identificación del abonado será imprescindible para dar de alta la tarjeta SIM, lo que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/52

conllevará que a la hora de obtener un duplicado de ésta la persona que lo solicite
haya de identificarse y que su identidad coincida con la del titular.

En suma, tanto los datos personales (nombre, apellidos y DNI) que se tratan para
emitir un duplicado de la tarjeta SIM, como la propia tarjeta SIM que identifica de
forma inequívoca al abonado en la red, son datos de carácter personal…”

En el presente caso, resulta acreditado que DIGI facilitó un duplicado de la tarjeta SIM
de la parte reclamante a un tercero, sin su consentimiento, el cual, accedió a la
información contenida en el teléfono móvil, tales como datos bancarios, contraseñas,
dirección de correo electrónico y otros datos personales asociados al terminal. Así
pues, la reclamada, no tomó las cautelas necesarias para que estos hechos no se
produjeran.

Con respecto al contexto específico referido, resulta relevante destacar que el
denominado “SIM Swapping” constituye un fenómeno recurrente en el ámbito de las
operadoras de telecomunicaciones. Por definición, cuando se habla de este fenómeno,
el duplicado se realiza de forma fraudulenta con el fin de suplantar la identidad del
usuario para obtener acceso a sus redes sociales, aplicaciones de mensajería
instantánea, aplicaciones bancarias o comercio electrónico, con la finalidad de
interactuar y realizar operaciones en su nombre, autenticándose mediante un usuario y
contraseña previamente arrebatados a ese usuario, así como con la autentificación de
doble factor al recibir el SMS de confirmación en su propio terminal móvil donde
tendrán insertada la tarjeta SIM duplicada.

Como indica la Agencia de la Unión Europea para la Ciberseguridad (ENISA), en su
nota de prensa “Beware of the Sim Swapping Fraud!” (¡Cuidado con el fraude de
intercambio de tarjetas SIM!), publicada en su página web en fecha 6 de diciembre de
2021:

“SIM swapping attacks have been reported in the media since 2017. Such attacks
usually target banking transactions but not only. These attacks are also perpetrated
against the cryptocurrency community, social media and email accounts.”

“Los ataques de intercambio de SIM se han reportado en los medios desde 2017.
Estos ataques suelen tener como objetivo las transacciones bancarias, pero no solo
eso. También se perpetran contra la comunidad de criptomonedas, las redes sociales
y las cuentas de correo electrónico.” (traducción no oficial)

En este sentido, el INCIBE afirma en su página web, en la publicación de fecha
26/09/2019 “¿Por qué a un ciberdelincuente le interesa duplicar tu tarjeta SIM?” lo
siguiente:

“La entrada en vigor de la normativa PSD2, en la que el teléfono móvil pasa a tener un
rol muy importante para la realización de pagos online al ser necesario para la
confirmación de las transacciones, convierte a este dispositivo en objetivo claro de los
ciberdelincuentes. Conseguir el “segundo factor” de autenticación de un solo uso, que
el banco envía al teléfono del usuario, por ejemplo, en formato SMS, será vital para
todo aquel estafador que quiera confirmar un pago online. ¿Cómo conseguir ese
código? Realizando un duplicado de la tarjeta SIM.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

45/52

Por tanto, en la práctica, la constatación de la persistencia de este fenómeno evidencia
riesgos asociados al tratamiento de datos personales, que exigen del responsable un
nivel de diligencia elevado y refuerza la necesidad de acreditar la efectiva
implementación de las medidas que garanticen la licitud del tratamiento.

En virtud de lo expuesto, esta Agencia no comparte la alegación formulada en el
sentido de que la emisión de un duplicado SIM no conlleva acceso a información
bancaria, contraseñas, dirección de correo electrónico, etc., de los clientes, por cuanto
la misma se contradice con la realidad técnica y práctica de lo que implica un ataque
de SIM Swapping.

DIGI no ha aportado evidencias suficientes para demostrar que aplicó las medidas
adecuadas y proporcionadas en el contexto específico en el que opera a fin de
garantizar la conformidad del tratamiento con la normativa en materia de protección de
datos.

No obstante, conviene precisar que ninguna responsabilidad se está trasladando a
DIGI en el presente procedimiento sancionador por la conducta del tercero que solicitó
el duplicado de tarjeta SIM, ni por las conductas previas del estafador para obtener los
datos de la reclamante o las posteriores, ni tampoco por las cometidas para acceder a
las cuentas bancarias, ya tengan que ver con la obtención de los datos personales del
reclamante que fueron facilitados a DIGI o con el uso posterior de los mismos
realizados por el tercero una vez obtuvo el duplicado de tarjeta. Ello sin perjuicio de
que pueda tenerse en cuenta la repercusión que para el interesado puede tener que
un tercero obtenga un duplicado de la tarjeta correspondiente a su línea de telefonía
móvil, que obliga a la entidad responsable a establecer todas las cautelas necesarias
para evitarlo.

Como se ha indicado, la única infracción que se atribuye a la reclamada se
fundamenta en la falta de licitud en el tratamiento de los datos personales de la
reclamante. La referencia al fenómeno del denominado SIM Swapping y a sus
eventuales consecuencias se efectúa con el fin de valorar el alcance y naturaleza de la
infracción imputada, atendiendo a las repercusiones que tales prácticas pueden
generar sobre los derechos del titular de los datos personales afectados.

Por su parte, el Instituto Nacional de Ciberseguridad (INCIBE) incluye en su web
“incibe.es” la siguiente información sobre el SIM Swapping:

“Recordemos que ante un SIM swapping, los ciberdelincuentes intentan duplicar de
forma fraudulenta la tarjeta SIM del dispositivo móvil de una persona. Para ello
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

46/52

suplanta su identidad a fin de conseguir un duplicado de la misma. Posteriormente,
una vez que la víctima se queda sin servicio telefónico, accede a su información
personal y toma el control de sus aplicaciones, suplantándole en sus redes sociales,
cuentas de correo electrónico o banca digital, utilizando los SMS de verificación que
llegan al número de teléfono. De esta forma el ciberdelincuente puede recuperar los
mensajes de texto de confirmación con las claves y realizar algún ciberdelito con estas
credenciales, como puede ser realizar una operación bancaria y suplantaciones de
identidad”.

Precisamente por eso, es necesario asegurarse que la persona que contrata es quien
realmente dice ser y deben adoptarse las medidas de prevención adecuadas para
verificar la identidad de una persona cuyos datos personales van a ser objeto de
tratamiento”.

En relación con esta cuestión, debe señalarse que las medidas implantadas por DIGI
son las mínimas exigibles a cualquier organización con las características y en el
contexto en el que actúa una operadora de telecomunicaciones.

En este sentido, la mera existencia de una política de seguridad no puede justificar
una vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de
existir, estas medidas deben resultar efectivas y el responsable del tratamiento debe
garantizar que se cumplan estrictamente en todo momento. En caso contrario, las
medidas adoptadas carecen de virtualidad y pueden conllevar tratamientos ilícitos
como ocurre en el presente caso.

DIGI señala que durante el proceso de duplicado de la tarjeta SIM de la parte
reclamante a un tercero no autorizado sin su consentimiento se produjo un tratamiento
de datos personales que son facilitados a DIGI por el solicitante de la gestión. En este
sentido, dicha afirmación no exime de responsabilidad a la parte reclamada, puesto
que la simple emisión de una tarjeta SIM y su entrega a un tercero no autorizado
implica ya de por si una vulneración del principio de licitud, en cuanto tienen la
consideración de tratamiento de datos personales.

DIGI insiste respecto del grado de responsabilidad que, en su caso, pueda
achacárseles, que no puede hacerse depender de una actuación de un tercero que
escapa su control.

En relación con esta alegación, amén de lo ya indicado anteriormente, el grado de
responsabilidad cae dentro de su ámbito y no de terceros, debiendo señalar que la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

47/52

SAN -Sala Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por
otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero,
como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por
eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser
y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de
una persona cuyos datos personales van a ser objeto de tratamiento”.

Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP,
dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin
personalidad jurídica y los patrimonios independientes o autónomos, que resulten
responsables de los mismos a título de dolo o culpa.”

No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se
corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables
a la conducta humana. De modo que, en el caso de infracciones cometidas por
personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se
aplica necesariamente de forma distinta a como se hace respecto de las personas
físicas.

Según la STC 246/1991, de 19 de diciembre Rec 1274/1988 " (...) esta construcción
distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de
la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos
el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a
las que están sometidos.

Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien
jurídico protegido por la norma que se infringe y la necesidad de que dicha protección
sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona
jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24
de noviembre de 2011, Rec 258/2009).

A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23
de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe
también ser objeto de prueba, debe considerarse en orden a la asunción de la
correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos
necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su
exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente
normativa, que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia; no basta, en suma, para la exculpación frente a un comportamiento
típicamente antijurídico la invocación de la ausencia de culpa".

Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última
sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la
existencia del tratamiento y su finalidad.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

48/52

Por otra parte, en lo referente a la supuesta obligación de resultado que, de acuerdo
con DIGI, sería exigida por la AEPD debe hacerse referencia a la SAN de 29 de
octubre de 2024, rec. 1824/2021, que dispone que

“…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no
estamos ante un requisito meramente formal, sino material. En este sentido, y en línea
con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec.
7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios
también es necesaria su correcta implantación y su utilización de forma apropiada, de
modo que también responderá por la falta de la diligencia en su utilización, entendida
como una diligencia razonable atendiendo a las circunstancias del caso", lo que no
implica que se exija una obligación de resultado”.

De lo anterior, no puede obviarse que el enfoque de riesgos y el modelo flexible al
riesgo impuesto por el RGPD -partiendo de la doble configuración de la seguridad
como un principio relativo al tratamiento y una obligación para el responsable o el
encargado del tratamiento- no impone en ningún caso la infalibilidad de las medidas,
sino su adecuación constante al riesgo.

B) Sobre la multa impuesta

En cuanto al incumplimiento del principio de proporcionalidad, cabe remitirse, de
nuevo, a la contestación a las alegaciones al acuerdo de inicio y a la propuesta de
resolución, anteriormente reproducidas, así como al Fundamento de Derecho VII de la
resolución impugnada, dedicado a la determinación de la multa. Sin perjuicio de lo
anterior, se recalca lo siguiente:

. El RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de
multas susceptibles de modulación, en atención a una serie de circunstancias de cada
caso individual, estableciendo, en consecuencia, su propio sistema sancionador y de
determinación de la cuantía de la multa en el artículo 83. El propio artículo 83.1 del
RGPD consagra, entre las condiciones generales para la imposición de multas
administrativas, el mandato (habitual, por otra parte, en el ámbito del derecho
administrativo sancionador) de que las multas han de resultar en cada caso individual
efectivas, proporcionadas y disuasorias. En definitiva, la multa ha de imponerse
atendiendo a las circunstancias concretas del caso concreto.

. De acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD,
la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen
de negocios, la categorización de las infracciones según su propia naturaleza (es
decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad
de la infracción en cada caso concreto, determinado de conformidad con las
circunstancias establecidas en el artículo 83.2 del RGPD, letras a), b) y g).

. Tratándose de una empresa cuyo volumen de negocio ascendió a 644.000.000 euros
en el año 2023, el importe de la multa que procede imponer estará necesariamente
situado entre 0,00 euros y 26.000.000 euros, dado que el 4% del mencionado volumen
de negocio de DIGI es de 25.760.000 euros.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

49/52

Así, resulta que la multa impuesta en este caso (140.000 euros) se sitúa en un rango
muy inferior respecto del intervalo de sanción que cabría imponer.

. Interesa destacar que para la determinación del importe de la multa administrativa se
ha considerado prevalente que la infracción afecta de forma directa a un único
interesado, la parte reclamante, sin perjuicio de valorar las debilidades ya descritas en
las medidas y política de seguridad dispuestas por la reclamada y la posibilidad de que
ello pudiera dar lugar a hechos similares con otros afectados.

. La resolución impugnada ya tuvo en cuenta como atenuante las acciones
emprendidas por DIGI, dirigidas al cumplimiento de lo establecido en el RGPD.

. Por último, en cuanto a la posibilidad de utilizar otras figuras, como el apercibimiento,
se señala que el considerando 148 del RGPD establece:

“148. A fin de reforzar la aplicación de las normas del presente Reglamento, cualquier
infracción de este debe ser castigada con sanciones, incluidas multas administrativas,
con carácter adicional a medidas adecuadas impuestas por la autoridad de control en
virtud del presente Reglamento, o en sustitución de estas. En caso de infracción leve,
o si la multa que probablemente se impusiera constituyese una carga
desproporcionada para una persona física, en lugar de sanción mediante multa puede
imponerse un apercibimiento. Debe no obstante prestarse especial atención a la
naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las
medidas tomadas para paliar los daños y perjuicios sufridos, al grado de
responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la
autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de
medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de
conducta y a cualquier otra circunstancia agravante o atenuante (…)”.

Asimismo, la STJUE de 24 de septiembre de 2024, en el asunto C-768/2021,
determina que:

“37 A este respecto, ha de señalarse que el RGPD deja a la autoridad de control un
margen de apreciación en cuanto a la manera en que debe subsanar la deficiencia
constatada, puesto que el artículo 58, apartado 2, del mismo confiere a dicha
autoridad la facultad de adoptar diversas medidas correctoras. Así, el Tribunal de
Justicia ya ha declarado que la elección del medio adecuado y necesario corresponde
a la autoridad de control, que debe realizar tal elección tomando en consideración
todas las circunstancias del caso concreto y cumpliendo con toda la diligencia
requerida su misión consistente en velar por el pleno respeto del RGPD (véase, en
este sentido, la sentencia de 16 de julio de 2020, Facebook Ireland y Schrems,
C-311/18, EU:C:2020:559, apartado 112)
38 Sin embargo, este margen de apreciación está limitado por la necesidad de
garantizar un nivel coherente y elevado de protección de los datos personales
mediante una aplicación rigurosa de las normas, como se desprende de los
considerandos 7 y 10 del RGPD”.

En definitiva, la elección del poder correctivo a utilizar por una autoridad de control, de
entre los previstos en el artículo 58 del RGPD es una potestad atribuida a esta, a quien

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

50/52

corresponde la elección del medio más adecuado tomando en consideración las
circunstancias del caso concreto.

Las circunstancias del presente caso, ampliamente desarrolladas en la presente
resolución del recurso de reposición interpuesto por DIGI, hacen que, por parte de esta
AEPD no se haya estimado pertinente la imposición de un apercibimiento.

Hemos de atender a la circunstancia singular de la reclamación presentada, a través
de la cual puede constatarse que, desde el momento en el que la persona
suplantadora realiza la sustitución de la SIM, el teléfono de la víctima se queda sin
servicio pasando el control de la línea a las personas suplantadoras. En consecuencia,
ven afectados sus poderes de disposición y control sobre sus datos personales, que
constituyen parte del contenido del derecho fundamental a la protección de datos
según ha señalado el Tribunal Constitucional en la Sentencia 292/2000, de 30 de
noviembre de 2000 (FJ 7). De manera que, al conseguir un duplicado de la tarjeta SIM,
se posibilita bajo determinadas circunstancias, el acceso a los contactos o a las
aplicaciones y servicios que tengan como procedimiento de recuperación de clave el
envío de un SMS con un código para poder modificar las contraseñas. En definitiva,
podrán suplantar la identidad de los afectados, pudiendo acceder y controlar, por
ejemplo: las cuentas de correo electrónico; cuentas bancarias; aplicaciones como
WhatsApp; redes sociales, como Facebook o Twitter, y un largo etc. En resumidas
cuentas, una vez modificada la clave de acceso por parte de los suplantadores pierden
el control de sus cuentas, aplicaciones y servicios, lo que supone una gran amenaza.

Por tanto, analizadas las alegaciones efectuadas en el presente recurso potestativo de
reposición, se comprueba que no se han aportado en ellas nuevos argumentos
jurídicos que permitan reconsiderar el sentido de la resolución sancionadora dictada
en fecha 23 de noviembre de 2025.

III
Conclusión

En consecuencia, en el presente recurso de reposición, la parte recurrente no ha
aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la
resolución impugnada.

IV
Obligación de dictar resolución expresa

De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio
administrativo en los procedimientos de impugnación de actos y disposiciones es
desestimatorio.

No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para
resolver, la Administración mantiene la obligación de dictar resolución expresa y de
notificarla en todos los procedimientos cualquiera que sea su forma de iniciación,
incluidos los recursos administrativos que se hayan podido interponer, según dispone
el artículo 21.1 de la citada LPACAP.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

51/52

En los casos de desestimación por silencio administrativo, la resolución expresa
posterior al vencimiento del plazo se adoptará por la Administración sin vinculación
alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley.

Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución
expresa que lo finalice.

Vistos los preceptos citados y demás de general aplicación,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: DESESTIMAR el recurso de reposición interpuesto por DIGI SPAIN
TELECOM, S.L.U. contra la resolución de esta Agencia Española de Protección de
Datos dictada con fecha 23 de noviembre de 2025, en el expediente EXP202310345.

SEGUNDO: NOTIFICAR la presente resolución a DIGI SPAIN TELECOM, S.L.U.

TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva
una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el
artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el
artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto
939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000
0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco
CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período
ejecutivo.

Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos
inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes
siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de
cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes
siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1
de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas
(LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante
la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo
dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la
Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,
en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto,
según lo previsto en el artículo 46.1 de la referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

52/52

el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada
LPACAP. También deberá trasladar a la Agencia la documentación que acredite la
interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese
conocimiento de la interposición del recurso contencioso-administrativo en el plazo de
dos meses desde el día siguiente a la notificación de la presente resolución, daría por
finalizada la suspensión cautelar.

Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

SIM Kart Kopyasında Kimlik Doğrulama

Türkçe özet

Hukuki mesele

Sonuç

Karar metni