SIM Kart Çoğaltmada Kimlik Doğrulama ve Güvenlik

1/36

 Expediente N.º: EXP202312279

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:

ANTECEDENTES

PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 18 de julio de 2023
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra DIGI SPAIN TELECOM, S.L. con NIF B84919760 (en
adelante, la parte reclamada o DIGI). Los motivos en que basa la reclamación son los
siguientes:

La parte reclamante manifiesta que, en octubre 2022 era titular de una línea telefónica
del teléfono móvil ***TELÉFONO.1 contratada con la operadora de telefonía DIGI y
que, con fecha 16 de octubre de 2022, en un establecimiento distribuidor de la parte
reclamada se facilitó a un tercero un duplicado de la tarjeta SIM de la citada línea, sin
su autorización. Añade la parte reclamante que el tercero utilizó un DNI no original.

Añade que con el duplicado de la tarjeta SIM, la tercera persona tuvo acceso a datos
reservados como agenda de direcciones, teléfonos de contactos y mensajes,
facilitando de esta forma la suplantación de identidad, lo que conllevó el acceso a sus
datos bancarios. Afirma que ello permitió que con la tarjeta SIM duplicada, el
suplantador pudiera realizar, diecisiete transferencias bancarias entre los días 16, 17 y
18 de octubre de 2022 y tres Bizum, sustrayendo un total de ***CANTIDAD.1 euros.

Expone que no se verificó por parte de la operadora, la identidad de la persona que
realizó el duplicado de la tarjeta SIM, con el resultado de que se sustrajeran
ilícitamente las cantidades mencionadas.

Y, junto a su escrito la parte reclamante, aporta la siguiente documentación relevante:

-Contrato de servicios pospago de DIGI de fecha 4 de agosto de 2021.

-Facturas emitidas por DIGI.

-Reclamación realizada por la parte reclamante a DIGI y contestación de esta última.
En uno de los correos remitidos por DIGI a la parte reclamante con motivo de su
reclamación, de fecha 27 de octubre de 2022, dicha entidad confirma que el tercero al
que se entregó el duplicado de la tarjeta SIM de la parte reclamante se sirvió de un
DNI manipulado. En el mismo correo se identifica al distribuidor en el que se tramitó
dicho duplicado de tarjeta, con domicilio en Tarragona.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/36

-Denuncia ante la Policía Nacional ***ATESTADO.1 Dependencia ***LOCALIDAD.1 de
fecha 19 de octubre de 2022.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido electrónicamente en fecha 25 de
septiembre de 2023 como consta en el acuse de recibo que obra en el expediente.

Con fecha 25 de octubre de 2023, solicitó DIGI ampliación de plazo para su
contestación, que le fue concedido.

Con fecha 27 de noviembre de 2023 se recibe en esta Agencia escrito de respuesta de
la parte reclamada indicando que: “las únicas vías que DIGI pone a disposición para
que sus clientes personas físicas puedan solicitar un duplicado de la tarjeta SIM, son
exclusivamente presenciales, pudiendo realizarse el trámite:

- A través de nuestras tiendas físicas propias, donde el solicitante tiene que
identificarse presencialmente con un documento de identidad original.

- A través de nuestros distribuidores (Dealers), donde el solicitante tiene que
identificarse presencialmente con un documento de identidad original.

1º) En fecha 15 de octubre de 2022, se persona ante nuestro distribuidor
***DISTRIBUIDOR.1 un individuo que se identifica como el reclamante (de hecho, es
portador de un DNI con los datos del reclamante), y solicita un duplicado SIM de la
línea ***TELÉFONO.1.

2º) De acuerdo con el procedimiento establecido, (…).

3º) El día 16 de octubre a las 10:30 se procede a la validación del duplicado por el
departamento Backoffice y, de acuerdo con el protocolo de seguridad, se remiten
sendos avisos automáticos al teléfono de contacto de la solicitud y al email que
históricamente estaba registrado para comunicarnos con el titular.

4º) El mismo día 16 se reciben en el Servicio de Atención al Cliente de DIGI dos
llamadas por parte de una persona que de nuevo se identifica como el reclamante
relativas a un problema técnico por el que no tenía línea y que, de acuerdo también
con la propia declaración del reclamante en la denuncia que consta en el expediente,
su origen se orientaría hacia los problemas técnicos que llevaron a la reparación del
móvil realizada por el reclamante en julio del mismo año.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/36

5º) En la mañana del día 17 de octubre se recibe solicitud de duplicado SIM por parte
de una persona que se identifica como el reclamante, aportando exhibiendo su DNI en
nuestro distribuidor ***DISTRIBUIDOR.2. Adjuntamos el frontal del DNI aportado.

6º) Ese mismo día 17 procede a la validación del duplicado por el departamento
Backoffice y, de acuerdo con el protocolo de seguridad, se remite sendos avisos
automáticos al teléfono de contacto de la solicitud y al email que históricamente
estaba registrado para comunicarnos con el titular.

7º) A las pocas horas del mismo día 17 se recibe una nueva solicitud de duplicado SIM
realizada por una persona que se identifica como el reclamante, ante distribuidor
***DISTRIBUIDOR.1, y aporta para su identificación la misma documentación
facilitada en el punto 2º).

8º) Ese mismo día 17 se procede a la validación del duplicado por el departamento
Backoffice y, de acuerdo con el protocolo de seguridad, se remite sendos avisos
automáticos al teléfono de contacto de la solicitud y al email que históricamente
estaba registrado para comunicarnos con el titular.

9º) Unas horas después, el reclamante se pone en contacto telefónico con DIGI y
comunica que vuelve a tener el mismo problema de no funcionamiento de la línea.
Tras las comprobaciones del asesor de DIGI (incluida la realización de una llamada
oculta para verificar que la línea da señal), se identifica que la causa puede provenir
de un duplicado SIM.

10º) Aún en el día 17 se recibe nueva solicitud de duplicado SIM por parte de una
persona que se identifica como el reclamante exhibiendo su DNI en nuestro
distribuidor ***DISTRIBUIDOR.2. La documentación aportada es la misma que en el
punto 5º).

11º) El día 18 de octubre se procede a la validación del duplicado por el departamento
Backoffice y, de acuerdo con el protocolo de seguridad, se remite sendos avisos
automáticos al teléfono de contacto de la solicitud y al email que históricamente
estaba registrado para comunicarnos con el titular.

12º) En la tarde del día 18, una persona que se identifica como el reclamante nos
contacta para referir distintas cuestiones técnicas y para señalarnos que habría sufrido
una estafa bancaria por la que se le habría sustraído dinero de su cuenta bancaria. Se
recomienda al reclamante la realización de la correspondiente denuncia y se abre
ticket por posible fraude con el código ***NÚMERO.1.

Así mismo, el cliente solicita una nueva alta del número.

En el momento de hechos, se encontraba en funcionamiento un nuevo procedimiento
de duplicado SIM basado en (…).

Dado que las causas de la situación provienen (…):

1º) (…).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/36

2º) (…)”.

TERCERO: Con fecha 18 de octubre de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
DIGI SPAIN TELECOM, S.L. es una gran empresa constituida en el año 2006, y con
un volumen de negocios de 644.000.000 euros en el año 2023.

QUINTO: Con fecha 16 de mayo de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en
el Artículo 83.5.a) del RGPD.

SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones el día 3 de junio de 2024 en el que, en síntesis, la reclamada comienza
su defensa reiterando los argumentos expuestos en alegaciones anteriores, los cuales,
a su juicio, no han sido refutados por la AEPD. Considera que sus argumentos siguen
siendo válidos y solicita que sean tomados en cuenta. Aclara que, en este escrito, hará
hincapié en aquellos puntos que considera más cruciales para desmontar los
fundamentos sobre los que la AEPD pretende justificar la sanción.

Primera alegación: Relato y análisis del supuesto de hecho.

La defensa procede a una descripción cronológica detallada de los hechos, situando el
incidente respecto a una suplantación de identidad que permitió que un tercero
obtuviera fraudulentamente un duplicado de la tarjeta SIM del reclamante. Afirma que
el proceso se realizó en varias ocasiones de manera presencial, y siempre se presentó
el Documento Nacional de Identidad del reclamante.

Asimismo, asegura que cuenta con procedimientos de seguridad robustos para la
emisión de duplicados de SIM, como la verificación presencial del DNI y la validación
manual de los documentos por el departamento de BackOffice. Sin embargo, sostiene
que el suplantador utilizó un DNI falsificado, lo que permitió superar las medidas de
seguridad. Por tanto, a su juicio, el suplantador ya disponía de los datos personales
del reclamante antes de dirigirse a la empresa y que fue lo que facilitó la obtención del
duplicado.

Segunda alegación: Protocolo de seguridad y medidas adoptadas.

La parte reclamada recalca que, ante la situación, se aplicaron todas las medidas de
seguridad vigentes. Entre ellas, destaca el procedimiento de verificación de identidad,
que exige la presentación física del DNI y su posterior validación manual. Tras el
incidente, afirma haber reforzado estas medidas introduciendo nuevas previsiones
como la doble verificación por teléfono y en persona.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/36

Además, confirma la existencia de un plan de contingencia que le permitió actuar con
celeridad para mitigar los efectos de la suplantación, garantizando que el reclamante
recuperara el control de su línea. Menciona que, a pesar de sus esfuerzos por mejorar
continuamente sus protocolos, no existe un sistema de seguridad completamente
infalible y que la suplantación de identidad cometida fue lo suficientemente sofisticada
para engañar a los agentes encargados de la validación.

Tercera alegación: Licitud del tratamiento de datos personales.

La defensa insiste en que la empresa no ha realizado un tratamiento ilícito de los datos
personales del reclamante, puesto que los datos ya estaban en manos del suplantador
antes de que este solicitara el duplicado SIM. A este respecto, se menciona que el
número de teléfono (MSISDN) y el IMSI son datos técnicos que, por sí mismos, no
permiten identificar al titular sin acceso a los sistemas internos de la empresa.

Se hace referencia a la Sentencia de la Audiencia Nacional de 17 de septiembre de
2008 (recurso número 353/2007). A su juicio, según dicha sentencia, el número de
teléfono solo puede considerarse un dato personal si es posible identificar al titular a
partir de ese número, lo cual afirma no haberse demostrado en este caso. También
cita la Sentencia del Tribunal Supremo de 18 de junio de 2020 (Recurso 1074/2019,
N.º de Sentencia 815/2020), que refuerza la interpretación de que los datos personales
no incluyen automáticamente el número de teléfono si no se asocia a una persona
identificada de manera directa.

Cuarta alegación: Cumplimiento del protocolo.

La parte reclamada defiende que cumplió con todos los protocolos de seguridad
establecidos y la AEPD no ha logrado acreditar que la empresa incumpliera sus
propios procedimientos de seguridad. Por el contrario, considera que la AEPD ha
llegado a conclusiones erróneas al considerar que el simple hecho de que se
produjera una suplantación es indicativo de una falta de diligencia por parte de la
empresa.

En este sentido, alega como precedente la resolución de archivo del expediente
E/05168/2021 de la AEPD, según la cual la AEPD concluyó que la superación de las
medidas de seguridad por parte de un tercero no implica necesariamente que estas
medidas sean inadecuadas. Afirma que, en dicho expediente, a pesar de que se
produjo un acceso no autorizado a datos personales, la AEPD decidió no imponer
sanción alguna porque la empresa había desplegado un nivel suficiente de diligencia.

Quinta alegación: Inadmisibilidad de la responsabilidad objetiva.

La defensa rechaza cualquier intento por parte de la AEPD de imponer una
responsabilidad objetiva, es decir, sancionar a la empresa simplemente por el
resultado del incidente, sin demostrar que existió culpa o negligencia. La parte
reclamada argumenta que, conforme a la Sentencia del Tribunal Constitucional n.º
76/1990, el principio de culpabilidad exige la concurrencia de dolo o culpa, y la mera
existencia de un error no justifica la imposición de una sanción.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/36

Asimismo, se cita la Sentencia de la Audiencia Nacional de 25 de febrero de 2010
según la cual la superación de medidas de seguridad por parte de terceros
organizados no es motivo suficiente para sancionar a la empresa afectada,
especialmente cuando se han implementado medidas de protección adecuadas.

Sexta alegación: Desproporcionalidad de la sanción.

En cuanto a la sanción, la parte reclamada señala que esta es desproporcionada en
relación con los hechos, pues no se ha demostrado intencionalidad o negligencia
grave en su actuación. En apoyo de dicha alegación, menciona la Sentencia del
Tribunal Supremo 543/2022, de 15 de febrero, que establece que las obligaciones
impuestas a las empresas en materia de seguridad de los datos no son obligaciones
de resultado, sino de medios. Sostiene que la empresa solo está obligada a
implementar las medidas adecuadas para mitigar los riesgos, pero no puede garantizar
que no ocurrirán incidentes como el que acaeció.

Asimismo, se destaca que la AEPD ha impuesto sanciones menos severas en casos
similares. De forma concreta, compara este supuesto con el expediente
PS/000027/2021, en el que la AEPD sancionó a otra operadora de telecomunicaciones
(XFERA MÓVILES, S.A.) con una multa de 200.000 euros por varios casos de
suplantación de identidad mediante el uso de duplicados de SIM. Afirma que, a pesar
de que la situación era similar, la sanción impuesta a la parte reclamada en este caso
resulta mucho más elevada de manera proporcional, lo cual considera injustificado.

Por otra parte, señala que según lo establecido en el artículo 83.2 del RGPD y el
artículo 76.2 de la LOPDGDD, concurren en el presente las siguientes circunstancias
atenuantes que no han sido consideradas en la adecuada graduación de la sanción:

Procedió la parte reclamada a solventar la incidencia objeto de reclamación de forma
efectiva (art. 83.2 c);

En ningún momento se han tratado categorías especiales de datos (Art. 83.2 g)
RGPD).

El grado de cooperación de DIGI con la AEPD con el fin de poner remedio a una
supuesta infracción y mitigar sus posibles efectos adversos: ha quedado acreditado
que se ha contestado en tiempo y forma a todos los requerimientos de información
solicitados por esta Agencia. Es más, DIGI aportó, en el primer requerimiento de
información, de forma previa a que fuese requerido por la AEPD, toda la
documentación contractual y acreditativa relativa al presente supuesto de hecho, por
propia voluntad, manifestando de forma expresa su buena fe e intención de
colaboración con la autoridad (Art. 83.2 f) RGPD).

El inexistente beneficio obtenido por parte de DIGI como resultado al tratamiento de
datos que ocupa este procedimiento. En todo caso, DIGI se ha visto perjudicada, como
ya se ha señalado, al verse afectada por la comisión de fraude por un tercero, lo que le
ha obligado a reparar la situación causada y llevar a cabo investigaciones, con el
consiguiente coste asociado (Art. 83.2 k) 24 RGPD). Se ha de resaltar que no solo no
supone un beneficio económico, sino que DIGI se ha visto perjudicado por el error

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/36

cometido por su proveedor, a pesar de haber contado con todas las medidas y
garantías.

Por todo lo anterior, la cuantificación de la posible sanción a imponer a DIGI en
relación con el supuesto incumplimiento de las obligaciones del artículo 6.1 del RGPD,
señala que debería limitarse a un apercibimiento y, en última instancia, se modere o
module la propuesta recogida en el Acuerdo de Inicio notificado a DIGI, atendiendo a
sus argumentos.

SÉPTIMO: Con fecha 22 de noviembre de 2024 se formuló propuesta de resolución,
proponiendo que por la Directora de la Agencia Española de Protección de Datos se
sancione a DIGI SPAIN TELECOM, S.L. con NIF B84919760 por una infracción del
Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 a) del RGPD, con una multa de
200.000 euros (doscientos mil euros).

OCTAVO: Notificada la propuesta de resolución, el día 25 de noviembre de 2024, la
parte reclamada solicitó copia del expediente y ampliación del plazo que le fue
concedido y presentó escrito de alegaciones el día 17 de diciembre de 2024 en el que,
en síntesis, se aduce que se reitera en las alegaciones previamente presentadas.

Primera alegación: Sobre el supuesto de hecho y la documentación acreditativa
al respecto.

DIGI insiste en que el presente suplantador de identidad conocía y tenía bajo su
control de forma previa a cualquier contacto con DIGI un DNI con los datos personales
del reclamante. Esta documentación, obtenida de forma previa a dirigirse a DIGI, es la
que ha permitido que consiguiese realizar los duplicados SIM.

Señala que no se ha producido un tratamiento de datos ilegítimo por parte de DIGI por
parte de tres razones:
- La actuación de DIGI fue diligente, en cumplimiento del procedimiento
establecido al efecto, atendiendo la demanda del solicitante que se identifica
como cliente de DIGI.
- Los presuntos efectos indeseados están provocados por la actuación de un
tercero (supuesto defraudador), que disponía de los datos y el DNI del
reclamante.
- Por parte de DIGI no se ha facilitado ningún dato personal del interesado,
puesto que los códigos (incluidos los de la tarjeta SIM), no alcanzarían per se
la categoría de datos personales.

Segunda alegación: Sobre el “SIM SWAPPING”, y las responsabilidades
derivadas

Manifiesta, que la comisión de este tipo de fraudes proviene de una primera quiebra de
la confidencialidad de los datos personales del interesado ante su entidad financiera,
normalmente, por medio de un “phishing” mediante el que se consiguen sus
credenciales bancarias.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/36

Además, señala que en el informe emitido por la Agencia de Ciberseguridad de la
Unión Europea ratifica que, para realizar un duplicado fraudulento de SIM, el estafador
necesita tener acceso a algunos de los datos personales de la víctima, cliente del
operador. Es decir, que los ciberdelincuentes, cuentan con datos personales de sus
víctimas con carácter previo a acudir ante el Operador de Red Móvil.

Señala, que esto es lo que ocurrió en el presente supuesto, la victima perdió el control
sobre sus datos personales y su documentación de identidad en favor del suplantador
de forma previa a que éste contactase con DIGI. Es decir, es a través del ataque de
“phishing” donde la víctima pierde el control sobre sus datos de carácter personal, y es
este hecho el que desencadena y posibilita la comisión del fraude.

Tercera alegación: Sobre la no valoración de los medios de prueba.

La parte reclamada sostiene que ha venido enumerando en sus escritos a la AEPD las
medidas con relación a los procedimientos de obtención de duplicados de tarjetas SIM,
sin embargo la AEPD no ha valorado dichas medidas.

Por otra parte, indica que, pese a la comisión de un resultado indeseado, la Agencia
debe evaluar el procedimiento establecido al efecto, así como su revisión e
implementación de mejoras.

Cuarta alegación: Sobre la no acreditación de culpa o negligencia por parte de
DIGI.

La parte reclamada insiste en que, pese a la comisión de un resultado indeseado, la
Agencia debe evaluar el procedimiento establecido al efecto, así como su revisión e
implementación de mejoras.

Así, se ha demostrado la diligencia de DIGI de forma previa, con el establecimiento de
los protocolos y medidas de actuación, en el momento de comisión de los hechos al
seguir su proceso de identificación, y tras los mismos, con la mejora de los protocolos
y la reversión de la situación que ya se han aportado en el presente expediente.

DIGI llevó a cabo un proceso de verificación de la identidad adecuado y válido, al
emplear documentación acreditativa y comprobación presencial, si bien, no cabe
imponerle a DIGI la capacidad de detección de falsificaciones avanzadas,
inapreciables incluso para un aeropuerto o las Fuerzas y Cuerpos de Seguridad.

Quinta alegación: Sobre la inadmisibilidad de la responsabilidad objetiva.

Considera que la Propuesta no es ajustada a derecho, pues impone a DIGI una
obligación de resultado, consistente en el establecimiento de medidas infalibles sobre
unos riesgos que le son impuestos por terceros que, de manera unilateral, han
decidido externalizar, sin la aquiescencia de DIGI, sus propias obligaciones de
seguridad como responsables del tratamiento. Llegando a imputar una infracción del
artículo 6.1 del RGPD basándose únicamente en el resultado lesivo que se produce
por la intervención fraudulenta de un tercero que supera las medidas de seguridad, sin
atender a la diligencia utilizada, y sin considerar el despliegue de medidas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/36

técnicamente adecuadas e implantadas sobre un tratamiento para el cual DIGI no
decide ni la finalidad ni los medios.

Sexta alegación: Sobre la indefensión y falta de seguridad jurídica.

La parte reclamada señala que no puede prever ni saber cuál es el deber de diligencia
aplicable, en tanto la AEPD exige la obtención de un resultado y riesgo cero.

Séptima alegación: Sobre la falta de proporcionalidad de la sanción propuesta

En este sentido, la parte reclamada discrepa de los agravantes aplicados:

La intencionalidad o negligencia de la infracción (artículo 83.2 b) del RGPD.

Señala que tratándose de un hecho causado por la comisión de un acto delictivo de un
tercero no imputable a DIGI, no parece permisible, que se le impute este agravante.

Toda infracción anterior cometida por el responsable o el encargado del tratamiento.

Manifiesta que no debe confundirse la generalización de la catalogación de este tipo
de delitos como SIM Swapping como la existencia de un modus operandi o tipo
delictivo común entre todos ellos., no es posible exigir una efectividad absoluta de las
medidas diseñadas para la prevención del fraude, puesto que no es posible predecir,
aunque se dediquen abundantes medios a ello, cuál será la posible siguiente actividad
que requerirá de un nuevo despliegue de medidas por parte de DIGI.

Vinculación entre su actividad y el tratamiento de datos personales de clientes o de
terceros (artículo 83.2K, del RGPD en relación con el artículo 76.2 b, de la
LOPDGDD).

Señala que dicho agravante debe ser puesto en contexto con el despliegue de
medidas efectuado por DIGI. En este sentido, indica que el tratamiento de datos no
nace de una intención de la entidad, sino que tiene lugar la comisión de un delito del
que DIGI es parte perjudicada. Por todo ello, no cabe interpretar este aspecto como
agravante.

Sobre los atenuantes no aplicados por la Agencia a la hora de evaluar la sanción, la
parte reclamada entiende que deberían tomarse en consideración las siguientes:

- En ningún momento se han tratado categorías especiales de datos (Art. 83.2 g
RGPD).

La parte reclamada expone que DIGI no ha tratado datos de categoría especial, que el
nombre, apellidos y DNI no forman parte de las categorías especiales (art. 9 del
RGPD).

- El grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos de la infracción.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/36

Igualmente, señala que ha contestado en tiempo y forma a tos los requerimientos de
información solicitados por esta Agencia (art. 83.2 f) RGPD).

- El inexistente beneficio obtenido.

Además, manifiesta que se ha visto perjudicada, al verse afectada por la comisión de
fraude por un tercero, lo que le ha obligado a reparar la situación causada y llevar a
cabo investigaciones, con el consiguiente asociado (art. 83.2k RGPD).

Por todo lo anterior, la parte reclamada solicita que se dicte resolución por medio de la
cuál señale el archivo del Procedimiento o subsidiariamente culmine el procedimiento
mediante un apercibimiento y, en última instancia, si considera que procede la
imposición de una sanción, modere o module la sanción.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO. – Resulta acreditado por DIGI en las manifestaciones realizadas en el
escrito de respuesta a esta Agencia de fecha 27 de noviembre de 2023 lo siguiente:

1º) La parte reclamante es titular de la línea móvil de DIGI ***TELÉFONO.1, con
domicilio en ***LOCALIDAD.1. Un tercero se persona en fecha 15 de octubre de 2022,
ante el distribuidor ***DISTRIBUIDOR.1 de DIGI de la ciudad de Tarragona un
individuo que se identifica como el reclamante portando un DNI con los datos del
reclamante, y solicita un duplicado SIM de la línea ***TELÉFONO.1, y el citado
distribuidor guarda una copia del mismo para su envío al servicio backoffice de
validación del duplicado, procediendo a su validación por dicho servicio de DIGI.

2º) El día 16 de octubre de 2022, el reclamante contacta con el Servicio de Atención al
Cliente de DIGI para comunicar que no tenía línea, y al día siguiente el reclamante se
persona en un punto de venta de ***LOCALIDAD.1 y solicita un duplicado de SIM.

3º) El día siguiente 17 de octubre un tercero se persona en el mismo punto de venta
de Tarragona (***DISTRIBUIDOR.1) y obtiene nuevamente un duplicado de SIM.

4º) Unas horas después del día 17, el reclamante se pone en contacto telefónico con
DIGI y comunica que vuelve a tener el mismo problema de no funcionamiento de la
línea.

5º) El mismo día, el reclamante se persona en el mismo punto de venta en
***LOCALIDAD.1 y solicita otro duplicado de SIM (el cuarto para la misma línea en tres
días).

6º) El día 18 de octubre de 2022, el reclamante avisa a DIGI que habría sufrido una
estafa bancaria (casi ***CANTIDAD.2 euros).

SEGUNDO. – Consta en el expediente que en el momento de producirse los hechos
DIGI contaba con un procedimiento de seguridad, basado (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/36

TERCERO. – Se constata en las impresiones de pantalla aportada por DIGI el día 3 de
junio de 2024, sobre el proceso de verificación de la identidad del solicitante aplicado
al presente caso vigente en el momento de los hechos, para la obtención de un
duplicado de tarjeta SIM, el cuál era el siguiente:

(…).

CUARTO. –DIGI reconoce en su escrito de respuesta a esta Agencia de fecha 17 de
noviembre de 2023: “(…):

1º) (…).

2º) (…)”.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/36

Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier
operación o conjunto de operaciones realizadas sobre datos personales o conjuntos
de datos personales, ya sea por procedimientos automatizados o no, como la
recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación,
supresión o destrucción;

Además, el artículo 4.7 del RGPD establece que el «responsable del tratamiento» o
«responsable» es: la persona física o jurídica, autoridad pública, servicio u otro
organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si
el Derecho de la Unión o de los Estados miembros determina los fines y medios del
tratamiento, el responsable del tratamiento o los criterios específicos para su
nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros.

Una tarjeta SIM es una tarjeta inteligente que contiene un chip en el que se almacena
el número de línea telefónica móvil del cliente, así como el número de identificación
personal, pero que también puede proporcionar otro tipo de datos como la información
sobre el listado telefónico o el de llamadas y mensajes. Por tanto, a los efectos de los
artículos 4.1 y 4.2 del RGPD la emisión de duplicados de tarjetas SIM supone un
tratamiento de datos personales.

DIGI realiza esta actividad en su condición de responsable del tratamiento dado que
es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.

III
Contestación a las alegaciones al Acuerdo de Inicio

En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:

Primera y Segunda alegación: Protocolo de seguridad y medidas adoptadas.

Hace referencia DIGI, para su descargo, al conjunto de medidas de seguridad que ha
adoptado, que, las medidas implantadas son las mínimas exigibles a cualquier
organización con las características y en el contexto en el que actúa una operadora de
telecomunicaciones.

Tal y como se ha probado, la parte reclamada ha incumplido con su propia política de
seguridad, DIGI reconoce en su escrito de respuesta a esta Agencia de fecha 17 de
noviembre de 2023: “(…):

1º) (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/36

2º) (…)”.

Al respecto hay que señalar que precisamente el que nos encontremos ante el fraude
de un tercero hace que sea necesario asegurarse que la persona a la que se expide el
duplicado de la tarjeta SIM es quien realmente dice ser y deben adoptarse las medidas
necesarias de prevención adecuadas para verificar la identidad de una persona cuyos
datos van a ser objeto de tratamiento tal y como se reconoce en el Fundamento
Jurídico Séptimo de la SAN, SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al
hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN
de 3 de octubre de 2013 (Rec. 54/2012) -: " Precisamente por eso, es necesario
asegurarse que la persona que contrata es quien realmente dice ser y deben
adoptarse las medidas de prevención adecuadas para verificar la identidad de una
persona cuyos datos personales van a ser objeto de tratamiento...").

A lo largo del presente procedimiento DIGI ha manifestado reiteradamente que los
duplicados fraudulentos de las tarjetas se han producido tras haber superado los
defraudadores su política de seguridad. Considera que es inevitable que a pesar de la
existencia de la política de seguridad pueda haber casos en los que a través de ciertos
mecanismos dicha política de seguridad pueda ser sobrepasada de forma fraudulenta
sin que por ello pueda existir reproche a DIGI.

Sin embargo, la mera existencia de una política de seguridad no puede justificar una
vulneración del principio de licitud previsto del artículo 6.1 del RGPD. Además de
existir, estas medidas deben resultar efectivas y el responsable del tratamiento debe
de garantizar que se cumplan estrictamente en todo momento. En caso contrario, las
medidas adoptadas no cumplen su misión y puede conllevar tratamientos ilícitos como
ocurre en el presente caso.

Por lo tanto, la cuestión aquí no radica en el nivel de sofisticación del ataque delictivo
del tercero, sino en el incumplimiento de las propias medidas de seguridad que
permitieron el tratamiento ilícito de datos personales. La parte reclamada no puede
exonerar su responsabilidad apelando a la existencia de medidas mínimas cuando el
fallo estuvo en la aplicación de esas medidas, permitiendo una infracción de la licitud
del tratamiento.

Es preciso destacar a este respecto que la emisión de un duplicado fraudulento de la
tarjeta SIM de la línea móvil de la parte reclamante se produjo en dos ocasiones con
un solo día de diferencia. A esto debe añadirse (i) que entre ambas emisiones de
duplicado de tarjeta SIM fraudulentas se realizó una por la propia parte reclamante,
motivada por la pérdida del servicio que conllevó la primera de las emisiones
fraudulentas; y (ii) que los tres duplicados se realizaron en tienda física, los
fraudulentos en un punto de venta de Tarragona y el solicitado por la parte reclamante
en un punto de venta de ***LOCALIDAD.1, donde tiene su domicilio. Ninguna de estas
circunstancias fue considerada por DIGI al gestionar las solicitudes realizadas por el
suplantador, que no adoptó ninguna cautela ni estableció alerta alguna que hubiese
impedido al menos la emisión del segundo duplicado fraudulento.

DIGI ha alegado, por otra parte, que su plan de contingencias garantizó que el
reclamante recuperara el control de su línea. Sin embargo, según el relato de hechos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/36

probados, DIGI no adoptó ninguna medida con ese propósito, sino que fueron las
acciones realizadas por la parte reclamante las que le permitieron recuperar el servicio
que le fue deshabilitado al emitir los duplicados de tarjetas SIM fraudulentos. En cada
ocasión que la parte reclamante se quedó sin servicio en su línea móvil con aquel
motivo (dos ocasiones en dos días consecutivos), se personó en un punto de venta de
***LOCALIDAD.1 para recuperar dicho servicio telefónico mediante la entrega de
nuevos duplicados de tarjeta, cuya emisión implicaba la anulación de las emitidas
fraudulentamente.

Tercera alegación: Licitud del tratamiento de datos personales.

DIGI insiste en que la empresa no ha realizado un tratamiento ilícito de los datos
personales del reclamante, puesto que los datos ya estaban en manos del suplantador
antes de que este solicitara el duplicado SIM. A este respecto, se menciona que el
número de teléfono (MSISDN) y el IMSI son datos técnicos que, por sí mismos, no
permiten identificar al titular sin acceso a los sistemas internos de la empresa.

Cabe colegir que DIGI ha facilitado un duplicado de tarjeta SIM a un tercero distinto del
legitimo titular de la línea móvil, tras la superación por tercera persona de la política de
seguridad existente, lo que evidencia un incumplimiento del deber de proteger la
información de los clientes.

Negar la concurrencia de una actuación negligente por parte de DIGI equivaldría a
reconocer que su conducta -por acción u omisión- ha sido diligente. Obviamente, no
compartimos esta perspectiva de los hechos, puesto que ha quedado acreditada la
falta de diligencia debida. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007
(rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado
en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal de
cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la
valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad
o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la
actividad de la recurrente es de constante y abundante manejo de datos de carácter
personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las
prevenciones legales al respecto".

Resulta acreditado en el expediente que no se ha garantizado una seguridad
adecuada en el tratamiento de los datos personales, habida cuenta del resultado que
ha producido la suplantación de identidad. Es decir, un tercero ha conseguido acceder
a los datos personales del titular de la línea.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/36

Hay que indicar que dentro del terminal móvil, va insertada la tarjeta SIM. Es una
tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip
en el que se almacena la clave de servicio del suscriptor o abonado usada para
identificarse ante la red, esto es, el número de línea telefónica móvil del cliente
MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red
Digital de Servicios Integrados-), así como el número de identificación personal del
abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del
Abonado móvil-) pero también puede proporcionar otro tipo de datos como la
información sobre el listado telefónico o el de llamadas y mensajes.

Es la emisión de un duplicado de tarjeta SIM lo que supone el tratamiento de los datos
personales de su titular ya que se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador (artículo 4.1) del RGPD). La emisión de un duplicado de tarjeta SIM
implica necesariamente un tratamiento de datos personales, ya que se realiza sobre la
línea y la identidad del titular.

Por lo tanto, la tarjeta SIM identifica un número de teléfono y este número a su vez,
identifica a su titular. En este sentido la Sentencia del TJUE en el asunto C
-101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto
de "datos personales" que emplea el artículo 3, apartado 1, de la Directiva 95/46
comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha
Directiva "toda información sobre una persona física identificada o identificable". Este
concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o
a otra información relativa a sus condiciones de trabajo o a sus aficiones».

En suma, tanto los datos que se tratan para emitir un duplicado de tarjeta SIM como la
tarjeta SIM (Subscriber Identity Module) que identifica de forma inequívoca y unívoca
al abonado en la red, son datos de carácter personal, debiendo su tratamiento estar
sujeto a la normativa de protección de datos.

Cuarta alegación: Cumplimiento del protocolo.

La parte reclamada expidió dos tarjetas SIM a un tercero que no era el titular de la
línea, y no siguió el procedimiento de verificación implementado por ella misma.

DIGI no logra acreditar que se haya seguido el procedimiento establecido por ella
misma.

De hecho, DIGI manifiesta en su escrito de respuesta a la solicitud de información de
esta Agencia de fecha 17 de noviembre de 2023, que fue un error humano por parte
de dos agentes de backoffice.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/36

Pues bien, conforme al procedimiento de identificación descrito por la parte reclamada,
por parte de los dos agentes validadores de la oficina interna de DIGI, no verificaron la
autenticidad, ni contrastaron la autenticidad de la copia del DNI recibida del distribuidor
oficial con el original del documento identificativo, en dos ocasiones el día 15 y 17 de
octubre de 2022 siendo así que, de haberse efectuado correctamente esta operación,
los dos duplicados se hubieran denegado.

En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la
diligencia empleada por parte de la reclamada para verificar la identidad de la persona
que solicitó un duplicado de la tarjeta SIM.

En dicho expediente, las circunstancias eran otras. Se trataba de un tercero que
estaba realizando una serie de consultas y peticiones sobre la línea de la titular,
debido a que contaba con la información personal de la reclamante por el vínculo que
les había unido. Esa reclamación se archivó en aplicación del principio de presunción
de inocencia, que impide imputar una infracción administrativa cuando no se hayan
obtenido evidencias o indicios de los que se derive la existencia de infracción. El
expediente que ahora se resuelve es distinto, en el que se sanciona por el tratamiento
de datos que realiza DIGI consistente en la emisión de un duplicado de SIM.

En todo caso, debe quedar claro que seguir los protocolos establecidos para estos
trámites por DIGI no es suficiente para justificar la licitud del tratamiento bajo el RGPD,
ya que dichos protocolos no suplen la necesidad de la concurrencia de una base
legítima. Además, el procedimiento de verificación de identidad seguido por DIGI no ha
garantizado adecuadamente el cumplimiento del RGPD.

Quinta alegación: Inadmisibilidad de la responsabilidad objetiva.

En cuanto a la responsabilidad de DIGI, debe indicarse que, con carácter general DIGI
trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1 b) del RGPD,
por considerarse un tratamiento necesario para la ejecución de un contrato en el que
el interesado es parte o para la aplicación a petición de este de medidas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/36

precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases
previstas en el artículo 6.1.a), c), e) y f) del RGPD.

Por otra parte, para completar la estafa, es necesario que un tercero “suplante la
identidad” del titular de los datos, para recibir el duplicado de la tarjeta SIM. Lo que
conlleva a priori, un tratamiento al margen del principio de licitud pues un tercero está
tratando datos, ya que tiene acceso a ellos, sin base legal alguna, además de la
vulneración de otros principios como el de confidencialidad.

Ciertamente, el principio de responsabilidad previsto en el artículo 28 de la LRJSP,
dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin
personalidad jurídica y los patrimonios independientes o autónomos, que resulten
responsables de los mismos a título de dolo o culpa.”

No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se
corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables
a la conducta humana. De modo que, en el caso de infracciones cometidas por
personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se
aplica necesariamente de forma distinta a como se hace respecto de las personas
físicas.

Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la
autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción
jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido
estricto, pero no la capacidad de infringir las normas a las que están sometidos.

Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien
jurídico protegido por la norma que se infringe y la necesidad de que dicha protección
sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona
jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24
de noviembre de 2011, Rec 258/2009).

A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23
de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe
también ser objeto de prueba, debe considerarse en orden a la asunción de la
correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos
necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su
exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente
normativa, que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia; no basta, en suma, para la exculpación frente a un comportamiento
típicamente antijurídico la invocación de la ausencia de culpa".

18/36

contrato en el que el interesado es parte (…). En este sentido, DIGI cuenta con una
red de comerciales, puntos de venta y distribuidores homologados a través de un
contrato de distribución para ofrecer los servicios de DIGI. Entre estos servicios
ofrecidos desde sus puntos de venta, está la realización de duplicados de tarjetas SIM
correspondientes a una línea de telefonía móvil.

Sexta alegación: Desproporcionalidad de la sanción.

En cuanto al incumplimiento del principio de proporcionalidad, el RGPD prevé
expresamente la posibilidad de graduación, mediante la previsión de multas
susceptibles de modulación, en atención a una serie de circunstancias de cada caso
individual.

En cuanto a la imposición de una advertencia, apercibimiento, o la adopción de
medidas correctivas conforme al artículo 58 del RGPD, una multa disuasoria es
aquella que tiene un efecto disuasorio genuino. A este respecto, la Sentencia del
TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386,
dice:

“ 94.Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión,
antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto,
el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor
disuasorio se valora tomando en consideración una multitud de elementos y no sólo la
situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de
las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que
había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio
puede tener por objeto no sólo una «disuasión general», definida como una acción
para desincentivar a todas las empresas, en general, de que cometan la infracción de
que se trate, sino también una «disuasión específica», consistente en disuadir al
demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo
tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no
estaba obligada a limitar su valoración a los factores relacionados únicamente con la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/36

situación particular de la empresa en cuestión.”

“102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de
la consideración, en este contexto, del tamaño y de los recursos globales de la
empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la
sanción no debe ser insignificante, especialmente en relación con la capacidad
financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de
junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto
de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).”
Hemos de atender a la circunstancia singular de la reclamación presentada, a través
de la cual puede constatarse que, desde el momento en el que la persona
suplantadora realiza la sustitución de la SIM, el teléfono de la víctima se queda sin
servicio pasando el control de la línea a las personas suplantadoras. En consecuencia,
ven afectados sus poderes de disposición y control sobre sus datos personales, que
constituyen parte del contenido del derecho fundamental a la protección de datos
según ha señalado el Tribunal Constitucional en la Sentencia 292/2000, de 30 de
noviembre de 2000 (FJ 7). De manera que, al conseguir un duplicado de la tarjeta SIM,
se posibilita bajo determinadas circunstancias, el acceso a los contactos o a las
aplicaciones y servicios que tengan como procedimiento de recuperación de clave el
envío de un SMS con un código para poder modificar las contraseñas. En definitiva,
podrán suplantar la identidad de los afectados, pudiendo acceder y controlar, por
ejemplo: las cuentas de correo electrónico; cuentas bancarias; aplicaciones como
WhatsApp; redes sociales, como Facebook o Twitter, y un largo etc. En resumidas
cuentas, una vez modificada la clave de acceso por parte de los suplantadores pierden
el control de sus cuentas, aplicaciones y servicios, lo que supone una gran amenaza.

El procedimiento sancionador PS/000027/2021, tramitado contra la otra operadora se
le imputó la violación del artículo 5.1f), no se le imputa el fraude, ni el tratamiento de
datos sin legitimación sino una falta de garantías de las medidas de seguridad que
produce una cesión de datos a un tercero.

En el presente procedimiento sancionador, la sanción se impone debido a que DIGI
facilitó un duplicado de la tarjeta SIM de la parte reclamante a un tercero, sin su
consentimiento y sin verificar la identidad de dicho tercero, y por este motivo se imputa
el artículo 6.1 del RGPD.

En definitiva, es el responsable del tratamiento el que tiene la obligación de integrar las
garantías necesarias en el tratamiento, con la finalidad de, en virtud del principio de
responsabilidad proactiva, cumplir y ser capaz de demostrar el cumplimiento, al mismo
tiempo que respeta el derecho fundamental a la protección de datos.

En cuanto al precedente invocado por DIGI, señalado con el número PS/00027/2021,
debe señalarse que, a diferencia de lo que ocurre en el caso que motiva las
actuaciones, en ese precedente se valoraron varias circunstancias atenuantes que no
concurren en el presente caso, en el que, por otra parte, se valora como determinante
para el establecimiento de la multa la existencia de varias infracciones anteriores
cometidas por DIGI, muchas de ellas por hechos similares a los analizados.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/36

IV
Contestación a las alegaciones a la Propuesta de Resolución

En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:

Primera y Segunda alegación: Sobre el supuesto de hecho y la documentación
acreditativa al respecto y sobre el “SIM SWAPPING y las responsabilidades
derivadas.

Tal y como se ha probado, la parte reclamada ha incumplido con su propia política de
seguridad, DIGI reconoce en su escrito de respuesta a esta Agencia de fecha 17 de
noviembre de 2023: “(…):

1º) (…).

2º) (…)”.

21/36

DIGI ha alegado, por otra parte, que su plan de contingencias garantizó que el
reclamante recuperara el control de su línea. Sin embargo, según el relato de hechos
probados, DIGI no adoptó ninguna medida con ese propósito, sino que fueron las
acciones realizadas por la parte reclamante las que le permitieron recuperar el servicio
que le fue deshabilitado al emitir los duplicados de tarjetas SIM fraudulentos. En cada
ocasión que la parte reclamante se quedó sin servicio en su línea móvil con aquel
motivo (dos ocasiones en dos días consecutivos), se personó en un punto de venta de
***LOCALIDAD.1 para recuperar dicho servicio telefónico mediante la entrega de
nuevos duplicados de tarjeta, cuya emisión implicaba la anulación de las emitidas
fraudulentamente.

Tercera alegación: Sobre la no valoración de los medios de prueba.

DIGI señala que ha venido enumerando en sus escritos a la AEPD las medidas con
relación a los procedimientos de obtención de duplicados de tarjetas SIM, sin embargo
la AEPD no ha valorado dichas medidas.

Por otra parte, indica que pese a la comisión de un resultado indeseado, la Agencia
debe evaluar el procedimiento establecido al efecto, así como su revisión e
implementación de mejoras.

Pues bien, en el presente caso no se sanciona por falta de medidas de seguridad sino
por el incumplimiento de dicha política de seguridad, la parte reclamada ha incumplido
con su propia política de seguridad, DIGI reconoce en su escrito de respuesta a esta
Agencia de fecha 17 de noviembre de 2023: “(…):

1º) (…).

2º) (…)”.

En relación con lo anterior hay que señalar que la intervención fraudulenta de un
tercero, lo que ha revelado es el deficiente análisis de los riesgos, así como la
insuficiente implantación, revisión y control de las medidas de seguridad por parte de
la operadora. Tercero ajeno al titular de los datos ha superado las medidas de
seguridad establecidas por DIGI. Esto nos muestra que la identificación del titular de
los datos no se producía con las suficientes garantías, independientemente de que la
identificación se realizara por el propio titular o por un tercero de forma fraudulenta.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/36

En suma, una falta de medidas de seguridad apropiadas y un incumplimiento de las
obligaciones derivadas de la responsabilidad proactiva, máxime cuando los “errores”
persisten en el tiempo.

Cuarta alegación: Sobre la no acreditación de culpa o negligencia por parte de
DIGI.

Hay que señalar, que la parte reclamada expidió dos tarjetas SIM a un tercero que no
era el titular de la línea, y no siguió el procedimiento de verificación implementado por
ella misma. De aquí que DIGI no logra acreditar que se haya seguido el procedimiento
establecido por ella misma.

De hecho, DIGI manifiesta en su escrito de respuesta a la solicitud de información de
esta Agencia de fecha 17 de noviembre de 2023, que fue un error humano por parte
de dos agentes de backoffice.

Pues bien conforme al procedimiento de identificación descrito por la parte reclamada,
por parte de los dos agentes validadores de la oficina interna de DIGI, no verificaron la
autenticidad, ni contrastaron la autenticidad de la copia del DNI recibida del distribuidor
oficial con el original del documento identificativo, en dos ocasiones el día 15 y 17 de
octubre de 2022 siendo así que, de haberse efectuado correctamente esta operación,
los dos duplicados se hubieran denegado.

Quinta alegación: Sobre la inadmisibilidad de la responsabilidad objetiva.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/36

En cuanto a la responsabilidad de DIGI, debe indicarse que, con carácter general DIGI
trata los datos de sus clientes al amparo de lo previsto en el artículo 6.1 b) del RGPD,
por considerarse un tratamiento necesario para la ejecución de un contrato en el que
el interesado es parte o para la aplicación a petición de este de medidas
precontractuales. En otros casos, fundamenta la licitud del tratamiento en las bases
previstas en el artículo 6.1.a), c), e) y f) del RGPD.

A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23
de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe
también ser objeto de prueba, debe considerarse en orden a la asunción de la
correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos
necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su
exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/36

normativa, que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia; no basta, en suma, para la exculpación frente a un comportamiento
típicamente antijurídico la invocación de la ausencia de culpa".

Asimismo, cabe recordar que la SAN de 1 de marzo de 2024 (RCA 0001757/2021)
dispone que «En esta línea la STS de 13 de diciembre 2021 (Rec. 6109/2020)
establece que “(…) es exigible a dicha empresa contratante, como diligencia necesaria
para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia
de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia
de consentimiento del interesado como en lo relativo al principio de veracidad y
exactitud la implantación de medidas de control y verificación tendentes a asegurar
que la persona que pretende contratar es quien dice ser, esto es, que coincide con el
titular del DNI aportado”
Así se impone al responsable del tratamiento que verifique la exactitud de los datos
del interesado a través de la implementación de las medidas adecuadas cuando se
efectúe una contratación. Precisamente por eso, es necesario asegurarse que la
persona que contrata es quien realmente dice ser y deben adoptarse las medidas de
prevención adecuadas para verificar la identidad de una persona cuyos datos
personales van a ser objeto de tratamiento, y a ello obedece la exigencia de
documentación identificativa, como viene reiterando la Sala entre otras en Sentencias
de 3 de octubre 2013 (Rec. 54/2012), 21 de noviembre 2014 (Rec. 45/2014) etc.»

Por consiguiente, se desestima la falta de culpabilidad. La responsabilidad última
sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la
existencia del tratamiento y su finalidad. Recordemos que, con carácter general las
operadoras tratan los datos de sus clientes al amparo de lo previsto en el artículo 6.1
b) del RGPD, por considerarse un tratamiento necesario para la ejecución de un
contrato en el que el interesado es parte (…). En este sentido, DIGI cuenta con una
red de comerciales, puntos de venta y distribuidores homologados a través de un
contrato de distribución para ofrecer los servicios de DIGI. Entre estos servicios
ofrecidos desde sus puntos de venta, está la realización de duplicados de tarjetas SIM
correspondientes a una línea de telefonía móvil.

Sexta alegación: Sobre la indefensión y falta de seguridad jurídica.

DIGI, afirma que no sólo se le ha generado una evidente inseguridad jurídica e
indefensión, sino que se ha incurrido en una falta de motivación y ausencia de
fundamentación jurídica.

La exigencia de motivación de los actos administrativos, como señala entre otras la
STS de 19 de nov 2001 (Rec. 6690/2000) tiene su engarce constitucional en el
principio de legalidad que establece el artículo 103 CE, así como en la efectividad del
control jurisdiccional de la actuación de la Administración reconocido en el artículo 106
CE, siendo en el plano legal, el artículo 35.1 de la Ley 39/2015, del Procedimiento
Administrativo Común de las Administraciones Públicas, el precepto que concreta los
actos que han de ser motivados. Dicha exigencia responde, según reiterada doctrina
jurisprudencial, de la que es exponente la STS 16 de julio de 2001 (Rec. 92/1994), a la
finalidad de que el interesado pueda conocer el cuándo, cómo y por qué de lo
establecido por la Administración, con la amplitud necesaria para la defensa de sus
derechos e intereses, permitiendo también, a su vez, a los órganos jurisdiccionales el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/36

conocimiento de los datos fácticos y normativos que les permitan resolver la
impugnación judicial del acto, en el juicio de su facultad de revisión y control de la
actividad administrativa; de tal modo que la falta de esa motivación o su insuficiencia
notoria, en la medida que impiden impugnar ese acto con seria posibilidad de criticar
las bases y criterios en que se funda, integran un vicio de anulabilidad, en cuanto
dejan al interesado en situación de indefensión. Motivación de los actos
administrativos, que como señala la STS de 29 de marzo de 2012 (Rec. 2940/2010,
por todas), no exige ningún razonamiento exhaustivo y pormenorizado, debiendo
expresar las razones que permitan conocer los criterios esenciales fundamentadores
de la decisión “facilitando a los interesados el conocimiento necesario para valorar la
corrección o incorrección jurídica del acto a los efectos de ejercitar las acciones de
impugnación que el ordenamiento jurídico establece y articular adecuadamente sus
medios de defensa”.

Pues bien, en el presente procedimiento no cabe apreciar la falta de motivación.
Cuestión distinta es que DIGI discrepe legítimamente de dicha argumentación, pero
ello no implica la inexistencia de motivación suficiente, por lo que no cabe apreciar ni
indefensión ni falta de seguridad jurídica por la infracción señalada en la propuesta de
resolución.

Por todo ello, no cabe acceder a la solicitud de DIGI respecto a la inexistencia de
responsabilidad.

Séptima alegación: Sobre la falta de proporcionalidad de la sanción propuesta.

DIGI solicita que no se aprecien las siguientes circunstancias agravantes:

La intencionalidad o negligencia de la infracción (artículo 83.2 b) del RGPD.

Señala que tratándose de un hecho causado por la comisión de un acto delictivo de un
tercero no imputable a DIGI, no parece permisible, que se le impute este agravante.

Toda infracción anterior cometida por el responsable o el encargado del tratamiento.

Vinculación entre su actividad y el tratamiento de datos personales de clientes o de
terceros (artículo 83.2K, del RGPD en relación con el artículo 76.2 b, de la
LOPDGDD).

Señala que dicho agravante debe ser puesto en contexto con el despliegue de
medidas efectuado por DIGI. En este sentido, indica que el tratamiento de datos no
nace de una intención de la entidad sino que tiene lugar la comisión de un delito del
que DIGI es parte perjudicada. Por todo ello, no cabe interpretar este aspecto como
agravante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/36

DIGI solicita que se aprecien las siguientes circunstancias atenuantes:

- En ningún momento se han tratado categorías especiales de datos (Art. 83.2 g
RGPD).

La parte reclamada expone que DIGI no ha tratado datos de categoría especial, que el
nombre, apellidos y DNI no forman parte de las categorías especiales (art. 9 del
RGPD).

- El grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos de la infracción.

Igualmente, señala que ha contestado en tiempo y forma a tos los requerimientos de
información solicitados por esta Agencia (art. 83.2 f) RGPD).

- El inexistente beneficio obtenido.

Estas alegaciones se contestan en el apartado VII (Sanción de multa: Determinación
del importe).

V
Obligación Incumplida

Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del
artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los
supuestos en los que el tratamiento de datos de terceros es considerado lícito:

“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/36

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de
aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones”.

Hay que señalar que el tratamiento de datos requiere la existencia de una base legal
que lo legitime.

De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen
otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con
la autorización de su titular, en particular, cuando sea necesario para la ejecución de
un contrato en el que el afectado es parte o para la aplicación, a petición de este, de
medidas precontractuales, o cuando sea necesario para la satisfacción de intereses
legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del afectado que requieran la protección de tales datos. El tratamiento
también se considera lícito cuando sea necesario para el cumplimiento de una
obligación legal aplicable al responsable del tratamiento, para proteger intereses
vitales del afectado o de otra persona física o para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento.

En el presente caso, se imputa a la parte reclamada la vulneración del artículo 6.1 del
RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo no constando
acreditada ninguna de las bases de legitimación previstas en el citado artículo en
relación con el tratamiento relacionado con los datos de la parte reclamante.

Se considera tratamiento cualquier operación realizada sobre datos personales,
incluida la comunicación de tales datos a un tercero. El RGPD, en el punto 2 de su
artículo 4, define tratamiento como “cualquier operación o conjunto de operaciones
realizadas sobre datos personales o conjuntos de datos personales, ya sea por
procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.

Consta acreditado en las actuaciones que DIGI trató los datos personales de la parte
reclamante para la emisión de dos duplicados de tarjeta SIM de una línea de teléfono
móvil de su titularidad, que posteriormente facilitó a un tercero, sin su consentimiento y
sin que exista otra base jurídica que ampare dichos tratamientos de datos personales.

Ello tuvo lugar porque DIGI no verificó la identidad de la persona que solicitó los
duplicados de la tarjeta SIM, no tomó las cautelas necesarias para que estos hechos
no se produjeran y emitió los duplicados de tarjeta sin la intervención y sin
conocimiento de la parte reclamante. Ni siquiera DIGI cumplió los protocolos que tiene
establecidos para realizar esa verificación de identidad para solicitudes de este tipo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/36

En las fechas 15 y 17 de octubre de 2022, DIGI tramitó la emisión de dos duplicados
de la tarjeta SIM, perteneciente a la parte reclamante, y que según DIGI, en su escrito
de respuesta de fecha 17 de noviembre de 2023:

“En el momento de hechos, se encontraba en funcionamiento un nuevo procedimiento
de duplicado SIM (…)”.

Y, además manifiesta DIGI:

“(…)”.

A este respecto, conviene aclarar que, dentro del terminal móvil, va insertada la tarjeta
SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que
contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado
usada para identificarse ante la red, esto es, el número de línea telefónica móvil del
cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de
la Red Digital de Servicios Integrados-), así como el número de identificación personal
del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del
Abonado móvil-) pero también puede proporcionar otro tipo de datos como la
información sobre el listado telefónico o el de llamadas y mensajes.

Por otro lado, la emisión de un duplicado de tarjeta SIM supone el tratamiento de los
datos personales de su titular ya que se considerará persona física identificable toda
persona cuya identidad pueda determinarse, directa o indirectamente, en particular
mediante un identificador (artículo 4.1) del RGPD).

Pues bien, el resultado fue que la reclamada expidió dos tarjetas SIM a un tercero que
no era el titular de la línea, y no siguió el procedimiento de verificación implementado
por ella misma.

A la vista de lo anterior, DIGI no logra acreditar que se haya seguido ese
procedimiento.

De hecho, DIGI manifiesta en su escrito de respuesta a la solicitud de información de
esta Agencia de fecha 17 de noviembre de 2023, que fue un error humano por parte
de dos agentes de backoffice.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/36

Por otra parte, advierte DIGI en la información facilitada a esta AEPD que remite un
correo electrónico y un SMS al titular de la línea a la que corresponde el duplicado de
tarjeta emitido. Sin embargo, dichas comunicaciones se envían cuando los duplicados
ya han sido validados, sin oportunidad alguna de que el titular puede reaccionar para
evitarlo.

En definitiva, la emisión de un duplicado de tarjeta SIM implica necesariamente un
tratamiento de datos personales. Dicho tratamiento debe cumplir con una base jurídica
que lo legitime, tal como exige el citado artículo 6.1 del RGPD, al igual que cualquier
comunicación de datos personales a un tercero.

En este caso, la emisión de los duplicados SIM a solicitud de un tercero sin la
intervención o consentimiento del titular constituye una falta de base jurídica válida
para dicho tratamiento de datos.

Se estima oportuno reiterar que seguir los protocolos establecidos para estos trámites
por DIGI no es suficiente para justificar la licitud del tratamiento bajo el RGPD, ya que
dichos protocolos no suplen la necesidad de la concurrencia de una base legítima, y
que el procedimiento de verificación de identidad seguido por DIGI no ha garantizado
adecuadamente el cumplimiento del RGPD.

Por lo tanto, la emisión de los duplicados SIM en estas condiciones y su entrega a una
persona distinta al titular de la línea telefónica constituyen un tratamiento de datos
personales sin base jurídica y, en consecuencia, una infracción del artículo 6.1 del
RGPD, dado que se ha realizado sin cumplir con ninguna de las bases legitimadoras
para dicho tratamiento. La responsabilidad no reside en la falta de cumplimiento de un
protocolo interno, sino en la ausencia de una base jurídica válida conforme a las
disposiciones del RGPD.

De conformidad con las evidencias de las que se dispone, se estima que la conducta
de la parte reclamada podría vulnerar el artículo 6.1 del RGPD pudiendo ser
constitutiva de la infracción tipificada en el artículo 83.5.a) del citado Reglamento
2016/679.

En ese sentido el Considerando 40 del RGPD señala:

“(40) Para que el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión
o de los Estados miembros a que se refiera el presente Reglamento, incluida la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/36

necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la
necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de
tomar medidas a instancia del interesado con anterioridad a la conclusión de un
contrato.”

Por lo expuesto, se considera que DIGI ha vulnerado el artículo 6.1 del RGPD

VI
Tipificación y calificación de la infracción

La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”

La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1
de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b)
El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”.

VII
Sanción

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”

“Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/36

c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción,
en particular si el responsable o el encargado notificó la infracción y, en tal
caso, en qué medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.”

Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:

“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/36

datos.

h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier interesado.”

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de
multa a imponer a la reclamada, como responsable de una infracción tipificada en el
artículo 83.5.a) del RGPD, se estiman concurrentes los siguientes factores:
DIGI solicita que se aprecien las siguientes circunstancias atenuantes:

(I) “En ningún momento se han tratado categorías especiales de datos” (art. 83.2 g).
(II) “El grado de cooperación de DIGI con la AEPD”, artículo 83.2 f) del RGPD.
(III) “El inexistente beneficio obtenido por parte de DIGI”, artículo 83.2 k) del RGPD.

No se admite ninguna de las atenuantes invocadas.

El artículo 83.2g) del RGPD se refiere “En ningún momento se han tratado categorías
especiales de datos”.

Los datos tratados por DIGI, son datos de naturaleza sensible, para identificar a sus
clientes en las gestiones que realizan para la obtención del duplicado de la tarjeta SIM
son el nombre, apellidos y DNI, son datos personales asociada a una línea de
telefonía titular de un usuario, que se obtiene con la finalidad de suplantar su
personalidad que se trata de un dato personal cuyo acceso no autorizado es particular
grave. Ello, sin perjuicio, de que para la expedición del duplicado de la citada tarjeta se
han tratado datos de carácter personal tales como el nombre y apellidos y DNI del
titular.

Cabe recordar que el identificador numérico del DNI identifica a una persona física de
modo indubitado. Esta cualidad lo convierte en un dato particularmente sensible pues,
en la medida en que su tratamiento no vaya acompañado de las medidas técnicas y
organizativas necesarias para garantizar que quien se identifica con él es realmente su
titular, un tercero puede suplantar la identidad de una persona física con total facilidad,
o, con otras palabras, puede provocar un fraude de identidad, con los riesgos que ello
comporta para la privacidad, el honor y el patrimonio del suplantado. Por lo que se
tiene en cuenta esta circunstancia a la hora de graduar la sanción a imponer.

El artículo 83.2.f) del RGPD se refiere al “grado de cooperación con la autoridad de
control con el fin de poner remedio a la infracción y mitigar los posibles efectos
adversos de la infracción;”.

La respuesta de la reclamada al requerimiento informativo de la Subdirección de
Inspección no cumplía esas finalidades, por lo que no es encuadrable en esa
circunstancia atenuante.

Sobre la aplicación del artículo 76.2.c) de la LOPDGDD, en conexión con el artículo
83.2.k), inexistencia de beneficios obtenidos, cabe señalar que tal circunstancia solo
puede operar como agravante y en ningún caso como circunstancia atenuante.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/36

El artículo 83.2.k) del RGPD se refiere a “cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las
pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo
76.2c) de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.k) del
Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..] c) Los beneficios
obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones
mencionan como factor que puede tenerse en cuenta en la graduación de la sanción
los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que DIGI alega.

Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa
está presidida por los siguientes principios: deberán estar individualizadas para cada
caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere
como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1
del RGPD y a los principios por los que se rige la determinación del importe de la
sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como
atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que
se cumple a través de la sanción. Aceptar la tesis de DIGI en un supuesto como el que
nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente
procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2
RGPD que sí deben de ser valoradas.

La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el
hecho de que en un supuesto concreto no estén presentes todos los elementos que
integran una circunstancia modificativa de la responsabilidad que, por su naturaleza,
tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable
en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su
SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse
sobre la circunstancia del apartado e) del artículo 83.2. del RGPD, la comisión de
infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la
reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así
que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”.

En aras a graduar el importe de la sanción de multa que se propone imponer a DIGI
por la infracción del artículo 6.1 del RGPD, estimamos que concurren las
circunstancias a las que nos referiremos a continuación, que operan en calidad de
agravantes:

- La intencionalidad o negligencia en la infracción (artículo 83.2. b) del RGPD). En este
caso estamos ante una acción negligente grave, pues la reclamada ha expedido hasta
en dos ocasiones tarjetas SIM a un tercero que no era el titular de la línea en las
circunstancias que constan reseñadas en los hechos probados.

En este sentido resulta muy ilustrativa la SAN de 17 de octubre de 2007(rec. 63/2006),
la cual indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia
siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no
se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de
ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que,
en el caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/36

- La circunstancia del artículo 83.2 e) RGPD: “Toda infracción anterior cometida
por el responsable o el encargado del tratamiento”.
-

El considerando 148 del RGPD señala que “A fin de reforzar la aplicación de las
normas del presente Reglamento […]” e indica a ese respecto que “Debe no obstante,
prestarse especial atención a […] o a cualquier infracción anterior pertinente […]”.

Así pues, conforme al apartado e) del artículo 83.2. RGPD, en la determinación del
importe de la sanción de multa administrativa no podrán dejar de valorarse todas
aquellas infracciones anteriores del responsable o del encargado de tratamiento en
aras a calibrar la antijuricidad de la conducta analizada o la culpabilidad del sujeto
infractor.

Además, una correcta interpretación de la disposición del artículo 83.2.e) RGPD no
puede obviar la finalidad perseguida por la norma: decidir la cuantía de la sanción de
multa administrativa en el caso individual planteado atendiendo siempre a que la
sanción sea proporcional, efectiva y disuasoria.

Son numerosos los procedimientos sancionadores tramitados por la AEPD en los que
la reclamada ha sido sancionada por la infracción del artículo 6.1 RGPD:

i.EXP 202104009 Resolución dictada el 15 de marzo de 2023 en la que se impuso una
sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM
fraudulento sin legitimación.

ii.EXP202201226. Resolución dictada el 14 de marzo de 2023 en la que se impuso
una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta
SIM fraudulento sin legitimación.

iii.EXP202204881 Resolución dictada el 2 de junio de 2023 en la que se impuso una
sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM
fraudulento sin legitimación.

- La evidente vinculación entre la actividad empresarial de la reclamada y el
tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD
en relación con el artículo 76.2.b, de la LOPDGDD).

La actividad empresarial de la reclamada trata necesariamente datos personales,
siendo una compañía de telecomunicaciones muy importante en España. Esta
característica de su actividad empresarial repercute, reforzándola, en la diligencia que
debe desplegar en el cumplimiento de los principios que presiden el tratamiento de
datos de carácter personal y en la calidad y eficacia de las normas técnicas y
organizativas que debe tener implementadas para garantizar el respeto del derecho
fundamental.

La Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), en la que,
respecto de entidades cuya actividad lleva aparejado en continuo tratamiento de datos
de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/36

imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el
infractor no se comporta con la diligencia exigible. Y en la valoración del grado de
diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no
cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente
es de constante y abundante manejo de datos de carácter personal ha de insistirse en
el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto.”

Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 200.000
€ por la infracción del artículo 83.5 a) RGPD, calificada como muy grave a efectos de
la prescripción en el artículo 72.1b) de la LOPDGDD.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a DIGI SPAIN TELECOM, S.L.U., con NIF B84919760, por una
infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.a) del RGPD, una
multa de doscientos mil euros (200.000 euros).

SEGUNDO: NOTIFICAR la presente resolución a DIGI SPAIN TELECOM, S.L.U.

TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/36

contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

LORENZO COTINO HUESO
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

SIM Kart Çoğaltmada Kimlik Doğrulama ve Güvenlik

Türkçe özet

Hukuki mesele

Sonuç

Karar metni