Yetkisiz SIM Kart Değişiminde Hukuki Dayanak

1/46

 Expediente N.º: EXP202315096

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:

ANTECEDENTES

PRIMERO: La Unión de Consumidores de Asturias, en nombre y representación de
A.A.A. (en adelante, la parte reclamante) con fecha 4 de octubre de 2023 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirige contra TELEFÓNICA MÓVILES ESPAÑA, S.A. con NIF A78923125 (en adelante,
la parte reclamada; TELEFÓNICA; TME u O2). Los motivos en que basa la
reclamación son los siguientes:

La parte reclamante, manifiesta que en el mes de enero del año 2023 y sin motivo
aparente, su línea de teléfono móvil ***TELÉFONO.1 quedó inoperativa, por lo que
solicitó un duplicado de la tarjeta SIM, acudiendo a recogerla a un punto de venta de
TME.

Posteriormente, se percata que ha sido objeto de una suplantación de identidad para
realizar operaciones fraudulentas en la cuenta que tiene con su esposa, por valor de
***CANTIDAD.1 euros, utilizando el duplicado de la tarjeta SIM.

El reclamante se pone en contacto con O2, donde le informan que anteriormente se
había solicitado un duplicado, señalando el reclamante no haber sido él y requiriendo
las grabaciones y los documentos firmados por el tercero que solicitó la tarjeta SIM.
Manifiesta no entender cómo O2 facilitó un duplicado sin su consentimiento, ni su DNI,
sin seguir los canales de seguridad adecuados para comprobar la identidad del
solicitante del duplicado.

La parte reclamante expresa que, con esa tarjeta SIM expedida fraudulentamente, ha
sido objeto de un fraude de ***CANTIDAD.1 euros, mediante (…) en su cuenta
bancaria, sin su consentimiento y (…).

Y aporta, entre otra, la siguiente documentación relevante:

- Autorización a la Unión de Consumidores de Asturias y DNI de la parte reclamante.
- Justificantes de dos cargos en cuenta bancaria por importes de ***CANTIDAD.2 y
***CANTIDAD.3 euros.
- “Contrato de cambio de tarjeta SIM” suscrito por el reclamante con TME en fecha
19/01/2023, correspondiente a la línea ***TELÉFONO.1.
- Reclamación a O2 de fecha 21 de junio de 2023, donde se manifiesta que se quedó
sin línea y que se produjo una solicitud fraudulenta.
- Contestación de O2 a la reclamación en donde se indica: “que el duplicado fue
solicitado en una tienda el día 17/01/2023 a las 14:18h, por lo que pudieran hacer el
duplicado del mismo tuvieron que presentar en tienda el DNI del titular”.
- Correos electrónicos del reclamante dirigidos a O2, solicitando información sobre el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/46

duplicado fraudulento.
- Contestación de Telefónica, de 23/06/2023, indicándole que consta en sus sistemas
solicitud de duplicado de tarjeta SIM asociados a su línea realizados en fecha 17 y 19
de enero de 2023 y que no pueden hacerse cargo de un posible fraude bancario, y
que procedió a devolverle el importe abonado por la expedición de una nueva tarjeta
SIM. Añade TME que “el resto de información sobre dichas solicitudes se almacena y
será puesta a disposición de las autoridades competentes en el curso de la
investigación, a través de los canales establecidos por Movistar a tales efectos”.
- Correo de O2, indicando que el duplicado fraudulento de la tarjeta fue anulado.
- Reclamación ante la entidad financiera de fecha 20 de junio de 2023.
- Contestación de la entidad financiera de la parte reclamante de fecha 21 de abril de
2023, sobre la incidencia padecida con su banca online, indicándole que no acceden
a la petición de reintegro de la cantidad reclamada.
-Justificantes de los fraudes bancarios.
- Denuncia ante la Policía Nacional de ***LOCALIDAD..1 de fecha 20 de enero de
2023, presentada por la esposa del reclamante por los dos cargos fraudulentos
realizados en su cuenta bancaria. En esta denuncia se realizan las siguientes
manifestaciones en relación con la línea de telefonía móvil en cuestión:
“. Que la denunciante quiere manifestar que el día 17/01/2023 se quedó sin línea
telefónica.
. Que puesta en contacto con la compañía O2 le dicen que puede ser un
problema de la tarjeta SIM.
. Que una vez comprada otra tarjeta sigue sin línea y puesta nuevamente en
contacto con la compañía, ésta le dice que la línea está bloqueada por un posible
fraude.
. Que a fecha de hoy les envió un e-mail solicitando información de ese bloqueo
sin tener respuesta todavía.
. Que el número de teléfono bloqueado es el ***TELÉFONO.1 estando en este
momento en funcionamiento con normalidad”.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 31 de octubre de 2023 como
consta en el acuse de recibo que obra en el expediente.

Con fecha 21 de diciembre de 2023 se recibe en esta Agencia escrito de respuesta
manifestando:

“(…)

2.- Sobre el canal a través del cual se tramitó el duplicado de SIM y vía de
identificación de la persona que lo solicitó.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/46

Telefónica informa de que existe una solicitud de cambio de ICC de la tarjeta SIM del
Reclamante el día 17 de enero de 2023 a través de uno de nuestros Puntos de Venta
autorizados.

El día 19 de enero de 2023, se solicita otro cambio de ICC a través de otro Punto de
Venta autorizados.

3.- Sobre la documentación y datos aportados por la persona que solicitó la tarjeta
SIM para acreditar su identidad y el registro en sus sistemas de la realización de los
controles para la verificación de la identidad:

A Telefónica, revisados sus sistemas, no le consta información adicional al respecto.

(…)

TERCERO: Con fecha 28 de diciembre de 2023, de conformidad con el artículo 65 de
la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

En primer lugar, respecto de la solicitud de cambio de SIM de fecha 17 de enero de
2023, Telefónica no dispone de más información a la ya aportada en el escrito dirigido
a esta Agencia de fecha 18 de diciembre de 2024.

En segundo lugar, y respecto de la solicitud de cambio de SIM de fecha 19 de enero
de 2023, confirmamos que dicha solicitud se hizo a través de una de nuestras tiendas
físicas autorizadas en la cual, siguiendo la operativa ya informada a esta Agencia a la
hora de verificar la identidad del cliente, y ésta se realizó a través de “***SISTEMA.1”
(…). Adjuntan como Documento N.º 1 las imágenes recabadas de su sistema en el
que consta el mencionado (…).

QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
TELEFÓNICA MÓVILES ESPAÑA, S.A. gran empresa constituida en el año 1988, y
con un volumen de negocios de ***CANTIDAD.4 euros en el año 2024.

SEXTO: Con fecha 23 de diciembre de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en
el Artículo 83.5 del RGPD.

En el acuerdo de apertura se determinó que la sanción que pudiera corresponder por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/46

la infracción imputada, sin perjuicio de lo que resulte de la instrucción, sería de
300.000 euros (trescientos mil euros).

SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas
en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada solicitó
ampliación del plazo, siéndole otorgado el plazo adicional y con fecha 28 de enero de
2025 presentó escrito de alegaciones manifestando lo siguiente:

CUESTIÓN PREVIA. - PREJUDICIALIDAD PENAL

En primer lugar, Telefónica solicita a la Agencia que suspenda el procedimiento y
requiera al Reclamante a fin de que aporte en qué punto se encuentra la denuncia
interpuesta, así como el contenido del procedimiento penal que en su caso se
encuentre en marcha, acordando mientras tanto la suspensión de este procedimiento
por prejudicialidad penal dada la íntima relación que existe entre los procedimientos
penales y el administrativo.

I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
PRIMERA. - INEXISTENCIA DE COMISIÓN DE INFRACCIÓN. DISCONFORMIDAD
CON EL ACUERDO DE INICIO DEL EXPEDIENTE SANCIONADOR

Manifiesta Telefónica su total disconformidad con la incoación del presente expediente
sancionador y con lo establecido en los supuestos hechos probados que se recogen
en la fundamentación del Acuerdo, indicando que, de las contestaciones realizadas por
la parte reclamada a los requerimientos de información realizados por la Agencia, en
ningún caso se puede inferir que supongan admitir, presuponer o verificar por parte de
la Agencia que el agente comercial no siguió la operativa relativa a la identificación del
cliente.

Señala Telefónica que no consta una prueba de cargo, con entidad suficiente, como
para destruir la presunción de inocencia de Telefónica que acredite la ausencia de
verificación de la identidad de quien solicitó el duplicado de la tarjeta E-SIM, ni
tampoco para acreditar la ausencia de aplicación de las cautelas previstas.

En este sentido, señala la parte reclamada las medidas técnicas y organizativas
implantadas por Telefónica que resultan apropiadas para la gestión de la que trae
causa el presente Acuerdo, esto es, duplicados de tarjeta SIM o E-SIM y, en concreto,
sobre su tramitación en la marca comercial “O2”, dado que es la marca comercial
sobre la que se prestan los servicios móviles objeto del presente procedimiento.

A este respecto, indica Telefónica que, conforme a la operativa, las comprobaciones de
identidad se han tenido que llevar a cabo, toda vez que cuenta con un procedimiento
consolidado y adecuado de verificación de identidad de sus clientes que reviste las
garantías suficientes para identificar al solicitante del duplicado de la tarjeta E-SIM, y la
Agencia no ha podido acreditar mediante prueba de cargo suficiente al respecto, que
esto no haya sido así. Que no exista copia del contrato no es sinónimo de que la
identificación no se realizase correctamente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/46

II. LAS CIRCUNSTANCIAS QUE HAN HECHO POSIBLE LA SUPERACIÓN POR
TERCERAS PERSONAS DE LAS POLÍTICAS DE SEGURIDAD IMPLANTADAS POR
TELEFÓNICA.
PRIMERO. - SOBRE LA PRESUNTA INFRACCIÓN COMETIDA POR PARTE DE
TELEFÓNICA: AUSENCIA DE TIPICIDAD, ANTIJURICIDAD Y CULPABILIDAD.

Considera que el principio de tipicidad se está vulnerando dado que la conducta
realizada por Telefónica no es subsumible en ninguno de los preceptos cuya infracción
se imputa.

Señala que la Agencia considera vulnerado el artículo 6.1 del RGPD (condiciones en
las que el tratamiento será considerado como lícito) y la infracción la tipifica conforme
al artículo 83.5 RGPD. Sin embargo, la Agencia no hace mención acerca de cuál de
las bases legitimadoras que se recogen el art. 6.1 sería la necesaria para llevar a cabo
el tratamiento de los datos del reclamante que ha originado el presente Acuerdo, para
que pudiera entenderse legítimo.

Señala la parte reclamada, que la base legal que legitima el tratamiento de los datos
personales del reclamante no es otra que la de la ejecución del contrato, esto es, la
base legitimadora que contempla el apartado b) del citado artículo 6.1: “el tratamiento
es necesario para la ejecución de un contrato en el que el interesado es parte o para
la aplicación a petición de este de medidas precontractuales”.

Indica, que en este caso concreto el tratamiento de datos personales se realiza con la
finalidad de gestionar un duplicado de tarjeta SIM para la correcta prestación de
servicio, o lo que es lo mismo, para poder ejecutar el contrato que el Reclamante tiene
suscrito con Telefónica. Por tanto, el tratamiento es en cualquier caso lícito.

TME considera que ha actuado en todo momento con buena fe y fundada creencia
excluyente de toda culpabilidad, y señala que la antijuricidad de la conducta es un
elemento configurador de cualquier ilícito administrativo, exige en su vertiente o
aspecto formal que exista una oposición entre el comportamiento y la norma infringida.
Por tanto, si el comportamiento viene avalado por el ordenamiento jurídico, jamás
podrá hablarse de conducta antijurídica ni, por ende, sancionable. Pues bien, “TME”
rechaza la antijuridicidad de la conducta.

SEGUNDO. –AUSENCIA DE CULPABILIDAD. ERROR DE TIPO.

“TME” señala que no concurre el requisito de culpabilidad en su actuación que los
principios inspiradores del orden penal son de aplicación al derecho administrativo
sancionador, señalando que uno de los principales componentes de la infracción
administrativa es el elemento de la culpabilidad, lo que presupone que la acción u
omisión ha de ser en todo caso imputable a su autor por malicia, imprudencia,
negligencia o ignorancia inexcusable, requisitos que no se cumplen en este caso. Por
ello, aún en el caso de que la Agencia considere que sí ha existido un tratamiento
ilícito de datos por esta parte, considerando que la acción de Telefónica es típica y
antijurídica, en ningún caso se puede afirmar que la conducta seguida por Telefónica
pueda considerarse culpable.

Asimismo, manifiesta que en la gestión del duplicado SIM se habría realizado en todo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/46

caso por el resultado de actos de engaño, manipulación y uso ilícito de datos por parte
de una tercera persona, quien habría engañado al agente comercial haciéndole creer
que se trataba de la persona titular de los datos o que contaba con su consentimiento
para efectuar la solicitud al haberse identificado de forma correcta con los datos de
cliente que figuran en sus sistemas.

Señala que, en este caso, donde conforme a operativa, el cliente se habría identificado
con los datos correctos para la solicitud del duplicado de tarjeta SIM, queda
constatado que se estaría ante un error de tipo invencible, donde se desconocía la
antijuricidad de la conducta, debiendo procederse con el archivo del procedimiento, al
no poderse determinar la culpabilidad de Telefónica.

TERCERO. – INCUMPLIMIENTO DEL PRINCIPIO DE PROPORCIONALIDAD EN
LAS SANCIONES

TME, manifiesta que la sanción imputada vulnera el principio de proporcionalidad que
debe regir en la potestad sancionadora que tiene la Administración. Invoca, una serie
de sentencias la del Tribunal Supremo de 2 de junio de 2003,” y la del 30 de octubre
de 2020 del recurso contencioso-administrativo número 948/2018 de la Audiencia
Nacional.

Señala, las agravantes tenidas en cuenta no aplicables al caso concreto:

- La circunstancia reseñada en el artículo 83.2. b) del RGPD, relativa a la
intencionalidad o negligencia de la infracción:

TME, señala que la Agencia manifiesta a este respecto que “en este caso estamos
ante una acción negligente grave, pues la reclamada no acredita la identificación del
solicitante de la tarjeta SIM en el punto de venta”.

Señala que la actitud de Telefónica revela una inequívoca voluntad de proceder
conforme a Derecho, sin existir en modo alguno intencionalidad de infringir la norma y
teniendo en todo caso voluntad de cumplimiento. Telefónica cuenta con las medidas
técnicas necesarias y adecuadas para la gestión del duplicado de tarjeta SIM.

Por tanto, no puede hablarse en este caso de intencionalidad o negligencia en la
infracción.

Además, señala que en cualquier caso, TME entiende que el tipo infractor imputado
ya asumiría, por sí mismo el elemento culpabilístico de la negligencia enjuiciada, por lo
que, dado que no existe un plus o mayor intensidad del sancionado en su conducta, no
debería haberse tenido en cuenta como agravante a los efectos de imponer la sanción.

A este respecto cita los criterios seguidos por la Sección Primera de la Sala de lo
Contencioso-Administrativo de la Audiencia Nacional, que vendría a avalar esta
postura, en concreto, en su reciente Sentencia de 1 de julio de 2024 (Rec. 900/2022):

“En la demanda se alega que se han tenido en cuenta dos circunstancias de
agravación que consisten en la negligencia de la actora al modificar el contrato sin
tener la certeza de que la persona que llamó solicitando el cambio de potencia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/46

actuase en representación del titular del contrato (art.83.2.b RGPD (EDL
2016/48900)). Y la vinculación de la actividad del infractor con la realización del
tratamiento de datos personales (art,76.2.b de la LO 3/2018 (EDL 2018/128249)).

En cuanto a la proporcionalidad sancionadora la misma se entiende como la
adecuación, según criterios de justicia y equidad, entre los hechos objeto del tipo
infractor y la determinación de la sanción aplicable, teniendo en cuenta la intensidad
de la culpa interviniente, esto es el grado de intencionalidad, descuido o negligencia
que revele la conducta. Y desde luego, se exige una motivación sobre el juicio de
intensidad de la culpa interviniente. Con lo que enlazamos con la primera de las
agravaciones discutidas.

Es evidente que estas sanciones que nos ocupan solo se pueden imponer si existe
culpa o negligencia, de esta manera sin la existencia del elemento culpabilístico no
puede apreciarse la existencia de infracción de tipo alguno. Lo cual nos lleva a
considerar que dicho elemento culpabilístico se encuentra inmerso en el tipo de la
infracción, por ello este Tribunal entiende que en tanto no se demuestre, acredite y se
justifique la existencia de un dolo excesivo, de un plus de culpa en la conducta del
sancionado, la culpa o negligencia debe considerarse como integrante del tipo
infractor sin elevarla a la categoría de agravación de la sanción. No existe en este
caso prueba alguna de una intencionalidad o negligencia mayor o superior a la del tipo
que pueda tomarse en consideración para aumentar la gravedad del hecho
sancionado en ninguna de las dos infracciones, por lo que se excluye dicha agravante
con el resultado de una disminución de la sanción pecuniaria”.

Todo lo referenciado aporta motivos más que fundados para que, de forma subsidiaria,
la Agencia resuelva minorar la sanción o sanciones que finalmente imponga.

- La circunstancia reseñada en el art. 83.2.e) del RGPD, relativa a toda infracción
cometida por el responsable o el encargado del tratamiento:

La Agencia también toma en cuenta, a efectos del cálculo de la cuantía de las
sanciones, la circunstancia del artículo 83 2.e) RGPD, mencionando de forma expresa
los procedimientos sancionadores:

- EXP202206971 Resolución dictada el 9 de marzo de 2023 en la que se impuso una
sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM
fraudulento sin legitimación.
- EXP 202207989 Resolución dictada el 13 de noviembre de 2023 en la que se
impuso una sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la
tarjeta SIM fraudulento sin legitimación
- EXP202211479. Resolución dictada el 13 de junio de 2023 en la que se impuso una
sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM
fraudulento sin legitimación.
- EXP202209359 Resolución dictada el 16 de junio de 2023 en la que se impuso una
sanción de 70.000 euros. Los hechos versaron sobre un duplicado de la tarjeta SIM
fraudulento sin legitimación.

A este respecto, hay que destacar que:
- La resolución sancionadora EXP202206971 devino firme en fecha 13 de mayo de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/46

2023, una vez se agotó la posibilidad de interponer recursos en vía administrativa.
- La resolución sancionadora EXP202207989 ni siquiera devino firme en fecha de 20
de diciembre de 2023, una vez se agotó la posibilidad de interponer recursos en vía
administrativa.
- La resolución sancionadora EXP202211479 no habría devenido firme en vía
administrativa hasta el día 19 de julio de 2023, una vez se agotó la posibilidad de
interponer recursos en vía administrativa.
-La resolución sancionadora EXP202209359 no habría devenido firme en vía
administrativa hasta el 19 de agosto de 2023, una vez se agotó la posibilidad de
interponer recursos en vía administrativa.

Teniendo en cuenta este hecho, las acciones típicas enjuiciadas en el presente
expediente sancionador provienen de una actuación ocurrida el 19 de enero de 2023,
es decir, en un tiempo anterior a las resoluciones sancionadoras referenciadas. Es
claro, pues, que cuando se realiza el duplicado de tarjeta SIM, esto es, el 19 de enero
de 2023, no se había dictado, y mucho menos con carácter "firme" en vía
administrativa, una resolución sancionadora por hechos de la misma naturaleza o
semejantes.

No concurría, pues, el presupuesto de sanción previa a los hechos que se exige para
la aplicación de la agravante de reincidencia, tal como es jurisprudencia del Tribunal
Supremo, quien en reiteradas ocasiones (por todas, citamos las sentencias de 24 de
octubre de 2000 , 11 de marzo de 2003, 23 de marzo de 2005 y 30 de septiembre de
2009) ha afirmado que la agravante de reincidencia administrativa debe referirse a
hechos que ya hubieran sido sancionados en otro procedimiento resuelto con
anterioridad a la comisión de la nueva falta.

Además, en cualquier caso y como bien conoce la Agencia, todos los procedimientos
sancionadores han sido recurridos por esta parte ante la Audiencia Nacional puesto
que considera que las resoluciones que conducen a la imputación de la sanción
resultan nulas de pleno de derecho, al no concurrir el principio de tipicidad en ninguna
de ellas.

En este sentido, y en tanto en cuanto los Tribunales de Justicia están resolviendo
sobre ello y no existe un pronunciamiento definitivo sobre los mismos, esta parte
considera que no debería de apreciarse esta agravante.

De lo contrario y de estimarse los recursos contenciosos presentados, se causarían
enormes perjuicios a esta parte. En consecuencia, esta agravante tampoco debería
ser tenida en cuenta, debiendo minorarse el importe de la sanción o sanciones que
finalmente se impongan.

- Cuando dispone como circunstancia para agravar la sanción la vinculación entre la
actividad empresarial de la reclamada y el tratamiento de datos personales de clientes
o de terceros:

Toma en cuenta la Agencia la siguiente circunstancia para agravar la conducta de
Telefónica:

“La evidente vinculación entre la actividad empresarial de la reclamada y el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/46

tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD
en relación con el artículo 76.2.b, de la LOPDGDD)”.

“TME” considera que no se ha producido un tratamiento ilegítimo de los datos del
reclamante, toda vez que su tratamiento se encuentra legitimado por el artículo 6.1 del
RGPD, siendo éste necesario para la ejecución de un contrato en el que el interesado
es parte. Por lo tanto, no puede ser considerada como agravante.

Indica además que la Agencia considera de facto que, dado que “TME” gestiona un
alto volumen de tratamiento de datos, debe de aplicarse esta agravante.

“TME” señala que en el presente caso concurren las siguientes atenuantes del art.
83.2 del RGPD, las cuales han sido obviadas por la Agencia en el Acuerdo de inicio:

b) la intencionalidad o negligencia en la infracción: Señala “TME” que no se dan en
este caso los requisitos de intencionalidad en la supuesta comisión de la infractor o
actitud negligente, toda vez que ha sido un tercero el que habría tratado los datos
personales de la Reclamante sin su consentimiento.

c) Procedió la parte reclamada a solventar la incidencia objeto de reclamación de
forma efectiva: tal como fue señalado en las contestaciones a los requerimientos de
información, la línea objeto de la reclamación fue posteriormente recuperada por el
cliente, lo antes posible y una vez puesto en conocimiento de Telefónica los hechos,
procediéndose con la devolución del importe de la tarjeta SIM.

c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar
los daños y perjuicios sufridos por los interesados: Telefónica procedió a tomar las
acciones oportunas, robusteciendo la operativa marcada a tales efectos. Además, la
operativa demuestra ser completamente robusta en base a las cifras expuestas.

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42: Telefónica ha suscrito el Código de
Conducta de Autocontrol sobre tratamiento de datos en la actividad publicitaria, el cual
es un sistema de resolución extrajudicial para resolver controversias que surjan entre
los ciudadanos y las entidades adheridas al código con motivo de tratamientos de
datos realizados en el ámbito de la actividad publicitaria.

CUARTO. - ACTOS PROPIOS Y NON BIS IN ídem

“TME” señala que la actuación de la Agencia ante un expediente referido a hechos
sustancialmente iguales a los que son objeto de reclamación que nos ocupa, ha sido
contradictoria, pues así nos lo hizo saber la propia Agencia en el expediente con
referencia N.º EXP202104446 de fecha 26 de enero de 2022, en el que se procedió al
archivo del mismo al entender que ya había un expediente sancionador en curso por
los mismos hechos, cuyo literal fue el siguiente: “Sobre este particular, procede
resaltar que hechos similares a los que son objeto de reclamación han sido
investigados por esta Agencia y sancionados en el procedimiento sancionador
PS/00021/2021, tramitado contra la parte reclamada, por resolución de fecha
8/11/2021, por lo que no procede el inicio de un nuevo procedimiento sancionador”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/46

Indica que en todos los procedimientos sancionadores incoados frente a Telefónica por
hechos similares, como por ejemplo en los procedimientos sancionadores
EXP202209359, EXP202207989, EXP202211479 o EXP202206971, la Agencia ha
apreciado siempre, y en cualquier caso, la atenuante referida a haber solventado la
incidencia objeto de la reclamación de forma efectiva, algo que concurre en este caso
y es obviado (por ej. Resolución sancionadora del EXP202206971: “En calidad de
atenuantes: Procedió la parte reclamada a bloquear la línea en cuanto tuvo
conocimiento de los hechos (art. 83.2 c)”

Afirma que la discrepancia de la actuación administrativa entre un expediente y otro
supondría la clara vulneración de la doctrina de los actos propios. Además, señala que
Telefónica ya ha sido sancionada por los mismos hechos que hoy se desarrollan en
este procedimiento, y que la Agencia le impuso la sanción a través del procedimiento
con referencia PS/00021/2021.

Considera “TME” que el iniciar un nuevo procedimiento sancionador, de forma
sucesiva, sin que haya un pronunciamiento por parte de los Tribunales de Justicia, y
sobre los mismos hechos, incumple el principio non bis in ídem.

Indica que conforme la doctrina consolidada del Tribunal Constitucional, la
Constitución Española prohíbe la imposición de más de un castigo por el mismo ilícito.
Esta prohibición constituye la vertiente material de la garantía non bis in ídem, y el
Tribunal Constitucional ha entendido que, sin estar expresamente recogida en el texto
constitucional, debe considerarse implícita en el art. 25.1 CE por su estrecha
vinculación con el principio de legalidad punitiva, según proclamó tempranamente la
STC 2/1981, de 30 de enero, y que vienen asumiendo todos los Tribunales
Contencioso-Administrativos: - STC 2/1981, de 30 de enero: “si bien no se encuentra
el principio non bis in ídem recogido expresamente en los artículos 14 a 30 de la
Constitución, que reconocen los derechos y libertades susceptibles de amparo, no por
ello cabe silenciar que, como entendieron los parlamentarios en la Comisión de
Asuntos Constitucionales y Libertades Públicas del Congreso al prescindir de él en la
redacción del art. 9.1 del Anteproyecto 21 de Constitución, va íntimamente unido a los
principios de legalidad y tipicidad de las infracciones recogidos principalmente en el
artículo 25 de la Constitución”.

- SSTC 2/2003, de 16 de enero, y 48/2007, de 12 de marzo: “el principio non bis in
ídem integra el derecho fundamental al principio de legalidad en materia penal y
sancionadora (artículo 25.1 CE) a pesar de su falta de mención expresa en dicho
precepto constitucional, dada su conexión con las garantías de tipicidad y legalidad de
las infracciones”.

Indica que en el ámbito de la legislación ordinaria aplicable, cabe mencionar que,
conforme al artículo 31 de la Ley 40/2015, de 1 de octubre del Régimen Jurídico del
Sector Público: “No podrán sancionarse los hechos que lo hayan sido penal o
administrativamente, en los casos en que se aprecie identidad del sujeto, hecho y
fundamento”.

Por ello, considera que debería procederse con el archivo del presente expediente
sancionador o, al menos, suspenderlo, y esperar al dictamen de los Tribunales de
Justicia al respecto.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/46

Por todo lo expuesto, “TME” solicita:

i. Se declare la inexistencia de responsabilidad por parte de Telefónica por la presunta
infracción que se le imputa en este procedimiento, ordenando el archivo del presente
expediente sancionador.

ii. Subsidiariamente y para el caso de que no se proceda al archivo del presente
expediente sancionador, se suspenda el presente procedimiento y se requiera al
reclamante a fin de que aporte en qué punto está la denuncia interpuesta, así como el
contenido del procedimiento penal que en su caso se encuentre en marcha, con el fin
de determinar si existe prejudicialidad penal.

iii. Por último, en caso de que no se estimasen ninguna de las pretensiones
anteriores, que se minore la sanción inicialmente propuesta en virtud de las
atenuantes estipuladas en el art. 83 del RGPD.

OCTAVO: Con fecha 14 de octubre de 2025, se emitió por el instructor del expediente
la propuesta de resolución y fue notificada electrónicamente el 20 de octubre de 2025
y en la misma se proponía:

“Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a
TELEFÓNICA MÓVILES ESPAÑA, S.A.U., con NIF A78923125, por una infracción del
Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa por un
importe de doscientos mil euros (200.000€)”.

NOVENO: Con fecha 20 de octubre de 2025, solicitó TME ampliación de plazo para
formular alegaciones a la propuesta de resolución y el día 23 del mismo mes y año le
fue concedido y el día 7 de noviembre de 2025 presentó escrito en el que reproduce,
básicamente las mismas alegaciones formuladas al acuerdo de apertura del
procedimiento. El contenido de dicho escrito se reseña en el Fundamento de Derecho
IV, de “Contestación a las alegaciones presentadas a la Propuesta de Resolución”.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO: El reclamante es cliente de la entidad TME. Entre los servicios contratados
figura la línea de telefonía móvil número ***TELÉFONO.1.

SEGUNDO: Con fecha 17 de enero de 2023, a petición de un tercero no autorizado,
TME emitió un duplicado de tarjeta SIM para la línea ***TELÉFONO.1, que fue
entregado a esa tercera persona, el cual fue activado a las 14:18 horas, quedando el
reclamante sin servicio.

TERCERO: El reclamante contactó repetidamente con TME solicitando información
sobre la emisión del duplicado de tarjeta reseñado en el Hecho Probado Segundo. En
sus respuestas, TME manifestó lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/46

“…que el duplicado fue solicitado en una tienda el día 17/01/2023 a las 14:18h, por lo
que pudieran hacer el duplicado del mismo tuvieron que presentar en tienda el DNI del
titular”.

CUARTO: Con fecha 19 de enero de 2023, el reclamante solicitó un nuevo duplicado
de tarjeta SIM para recuperar los servicios de la línea de telefonía móvil número
***TELÉFONO.1. Para la realización de este trámite, el reclamante suscribió un
documento con el rótulo “Contrato de cambio de tarjeta SIM” dispuesto al efecto por
TME, el cual consta en las actuaciones aportado por el propio reclamante.

QUINTO: El reclamante, con fecha 21 de junio de 2023, formuló reclamación ante TME
en relación con la emisión del duplicado de tarjeta reseñado en el Hecho Probado
Segundo. En su respuesta, de 23 de junio de 2023, TME informó que en sus sistemas
constan dos solicitudes de duplicado de tarjeta SIM asociados a la línea
***TELÉFONO.1, realizados en fecha 17 y 19 de enero de 2023; que no pueden
hacerse cargo de un posible fraude bancario; y que procedió a devolverle el importe
abonado por la expedición de una nueva tarjeta SIM. Añade TME que “el resto de
información sobre dichas solicitudes se almacena y será puesta a disposición de las
autoridades competentes en el curso de la investigación, a través de los canales
establecidos por Movistar a tales efectos”.

SEXTO: Con fecha 21 de diciembre de 2023, en su respuesta al trámite de traslado de
la reclamación formalizado por esta Agencia, TME manifestó “que existe una solicitud
de cambio de ICC de la tarjeta SIM del Reclamante el día 17 de enero de 2023 a
través de uno de nuestros Puntos de Venta autorizados”.

En el mismo escrito, en relación con la documentación y datos aportados por la
persona que solicitó el duplicado de tarjeta SIM reseñado en el Hecho Probado
Segundo para acreditar su identidad y respecto del registro en sus sistemas de
información de la realización de los controles para la verificación de la identidad, TME
manifestó lo siguiente:

“A Telefónica, revisados sus sistemas, no le consta información adicional al respecto”.

SÉPTIMO: En su escrito de fecha 13 de febrero de 2024, de respuesta al
requerimiento de información que le fue realizado por esta Agencia, TME informó lo
siguiente:

“En primer lugar, respecto de la solicitud de cambio de SIM de fecha 17 de enero de
2023, Telefónica no dispone de más información a la ya aportada en el escrito dirigido
a esta Agencia de fecha 18 de diciembre de 2024.
En segundo lugar, y respecto de la solicitud de cambio de SIM de fecha 19 de enero
de 2023, confirmamos que dicha solicitud se hizo a través de una de nuestras tiendas
físicas autorizadas en la cual, siguiendo la operativa ya informada a esta Agencia a la
hora de verificar la identidad del cliente, y ésta se realizó a través de “***SISTEMA.1”
(…).

OCTAVO: TME ha informado a esta Agencia que las solicitudes de duplicados de
tarjeta SIM realizadas a través de las tiendas físicas o puntos de venta autorizados de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/46

TME, siguen el siguiente procedimiento:

“(…)”.

NOVENO: Con fecha 20 de enero de 2023, la esposa del reclamante interpuso
denuncia ante la Policía Nacional, cuyo contenido se declara reproducido a efectos
probatorio. Según consta en este atestado, se denuncia por los cargos realizados
fraudulentamente en su cuenta bancaria. De las manifestaciones realizadas cabe
destacar las siguientes:

“. Que la denunciante quiere manifestar que el día 17/01/2023 se quedó sin línea
telefónica.
. Que puesta en contacto con la compañía O2 le dicen que puede ser un problema de
la tarjeta SIM.
. Que una vez comprada otra tarjeta sigue sin línea y puesta nuevamente en contacto
con la compañía, ésta le dice que la línea está bloqueada por un posible fraude.
. Que a fecha de hoy les envió un e-mail solicitando información de ese bloqueo sin
tener respuesta todavía.
. Que el número de teléfono bloqueado es el ***TELÉFONO.1 estando en este
momento en funcionamiento con normalidad”.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”

II
Cuestiones previas

El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/46

varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.

Por su parte, el artículo 4.2 del RGPD consagra «tratamiento» como: cualquier
operación o conjunto de operaciones realizadas sobre datos personales o conjuntos
de datos personales, ya sea por procedimientos automatizados o no, como la
recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación,
supresión o destrucción;

Además, el artículo 4.7 del RGPD establece que el «responsable del tratamiento» o
«responsable» es: la persona física o jurídica, autoridad pública, servicio u otro
organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si
el Derecho de la Unión o de los Estados miembros determina los fines y medios del
tratamiento, el responsable del tratamiento o los criterios específicos para su
nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros.

El tratamiento de los datos personales de la parte reclamante por parte de TME sin
estar legitimada para ello se ha materializado en que “TME” facilitó un duplicado de la
tarjeta SIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la
identidad de dicho tercero.

TME realiza esta actividad en su condición de responsable del tratamiento dado que
es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.

III
Contestación a las alegaciones presentadas al Acuerdo de Inicio

Se procede a dar respuesta a las mismas según el orden expuesto por “TME”.

CUESTIÓN PREVIA. - PREJUDICIALIDAD PENAL

TME manifiesta que estos hechos están siendo actualmente objeto de una
investigación penal y, por lo tanto, considera que no debe resolverse el asunto en vía
administrativa en tanto en cuanto no se resuelva por la vía penal. Ello, manifiesta,
dado que los hechos declarados probados vincularán a la Agencia respecto a un
posible procedimiento sancionador, conforme a lo previsto en el artículo 77.4 de la
LPACAP.

Debe tenerse en cuenta que este artículo establece: “En los procedimientos de
carácter sancionador, los hechos declarados probados por resoluciones judiciales
penales firmes vincularán a las Administraciones Públicas respecto de los
procedimientos sancionadores que substancien”. Sin embargo, hay que indicar, que no
existe la triple identidad necesaria para suspender el procedimiento administrativo (de
sujeto, hecho y fundamento) entre la infracción administrativa que se valora y la
posible infracción o infracciones penales que se pudieran derivar de las presuntas
Diligencias Previas practicadas por un órgano jurisdiccional. Esto, porque el sujeto
infractor es obvio que no sería el mismo –respecto a las infracciones del RGPD y la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/46

LOPDGDD el responsable es TME, en tanto que el responsable penal de un eventual
delito de usurpación de personalidad o estafa sería el tercero que se hubiera hecho
pasar por el reclamante. Tampoco los hechos que pueden dar lugar a una actuación
en el orden penal, derivada de una denuncia contra el presunto suplantador por la
realización de cargos bancarios fraudulentos, ni el fundamento jurídico protegido por el
RGPD y la LOPDGDD sería el bien jurídico que se protege en los tipos penales cuya
comisión investigaría, llegado el caso, el Juzgado de Instrucción.

En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de
27/04/2012 (rec. 78/2010), en cuyo Fundamento Jurídico segundo el Tribunal se
pronuncia en los siguiente términos frente al alegato de la recurrente de que la AEPD
ha infringido el artículo 7 del R.D. 1398/1993 (norma que estuvo vigente hasta la
entrada en vigor de la LPACAP): “En este sentido el Art. 7 del Real Decreto
1398/1993, de 4 de agosto, del procedimiento para el ejercicio de la potestad
sancionadora, únicamente prevé la suspensión del procedimiento administrativo
cuando se verifique la existencia efectiva y real de un procedimiento penal, si se
estima que concurre identidad de sujeto, hecho y fundamento de derecho entre la
infracción administrativa y la infracción penal que pudiera corresponder.

No obstante, y para la concurrencia de una prejudicialidad penal, se requiere que ésta
condicione directamente la decisión que haya de tomarse o que sea imprescindible
para resolver, presupuestos que no concurren en el caso examinado, en el que existe
una separación entre los hechos por los que se sanciona en la resolución ahora
recurrida y los que la recurrente invoca como posibles ilícitos penales. Así, y aun de
haberse iniciado, en el presente supuesto, y por los hechos ahora controvertidos,
también actuaciones penales frente a la empresa distribuidora, lo cierto es que tanto la
conducta sancionadora como el bien jurídico protegido son distintos en una y otra vía
(contencioso-administrativa y penal). En el ámbito penal, el bien jurídico protegido es
una posible falsedad documental y estafa, y en el ámbito administrativo, en cambio, la
facultad de disposición de sus datos personales por parte de su titular, por lo que tal
objeción de la demandada ha de ser rechazada”.

En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte
reclamada y debe ser rechazada.

I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

- Primera. - Inexistencia de comisión de infracción. disconformidad con el
acuerdo de inicio del expediente sancionador.
- Segunda. - Las circunstancias que han hecho posible la superación por
terceras personas de las políticas de seguridad implantadas por telefónica.

Manifiesta TME que los hechos que motivan la incoación del presente expediente
sancionador suponen admitir que el agente comercial no siguió la operativa
implantada, relativa a la identificación del cliente, la cual resulta apropiadas para la
gestión de duplicados de tarjeta SIM, no existiendo prueba de cargo que acredite la
ausencia de verificación de la identidad del cliente.

Añade que no puede atribuirse responsabilidad a TME por los incumplimientos del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/46

personal contratado por los encargados del tratamiento que intervienen en estos
procesos y, además, que estos agentes son víctimas de engaños por parte de los
terceros suplantadores que obtuvieron los datos personales del interesado
previamente y de forma ajena a TME.

En este caso, no es un hecho controvertido que TME ha llevado a cabo un tratamiento
de datos personales con la emisión de un duplicado de la tarjeta SIM de la parte
reclamante sin que la misma lo hubiese solicitado, es decir sin su intervención ni
conocimiento, correspondiendo a dicha entidad acreditar la licitud de dicho tratamiento
de acuerdo con el principio de responsabilidad proactiva (artículo 5.2 del RGPD), que
impone al responsable del tratamiento la obligación de demostrar el cumplimiento de
los principios relativos al tratamiento regulados en el artículo 5.1 del RGPD, incluido el
de licitud. Así, es TME la que debe estar en condiciones de acreditar que actuó con la
diligencia necesaria para la correcta identificación de la persona que solicitó el
duplicado de tarjeta SIM y que la misma se correspondía con la persona titular usuaria
de los servicios.

A tales efectos, no resulta suficiente con establecer una operativa y manifestar que la
misma fue respetada.

En este caso, además, se da la circunstancia de que el protocolo dispuesto por TME
no fue seguido por el agente que realizó la gestión. Según ha informado la propia
TME, dicho protocolo incluía:

(…).

Ninguno de estos extremos ha sido cumplido por TME en el presente caso.

Cabe destacar que desde el momento que se entrega un duplicado a una persona
distinta al titular de la línea o persona autorizada, el cliente pierde el control de la línea
y los riesgos, daños y perjuicios, se multiplican y la responsabilidad por ello cae dentro
del ámbito del responsable del tratamiento, debiendo señalar que la SAN -Sala
Contencioso Administrativo- de 5 de mayo de 2021, establece que: “Por otro lado, en
cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos
en la SAN de 3 de octubre de 2013 (Rec. 54/2012)-: " Precisamente por eso, es
necesario asegurarse que la persona que contrata es quien realmente dice ser y
deben adoptarse las medidas de prevención adecuadas para verificar la identidad de
una persona cuyos datos personales van a ser objeto de tratamiento”.

II. SOBRE LOS FUNDAMENTOS DE DERECHO.

- Primero. Sobre la presunta infracción cometida por parte de telefónica:
ausencia de tipicidad, antijuricidad y culpabilidad.
- Segundo. Ausencia de culpabilidad. error de tipo.

En el presente caso, resulta notoria la existencia de tipicidad, antijuridicidad y
culpabilidad en la conducta infractora de la entidad responsable del tratamiento de los
datos personales, TME, quien como responsable del tratamiento de datos de emisión
de duplicados de tarjetas SIM, que decide sobre la finalidad, contenido y uso de los
datos personales incluidos en el tratamiento, tiene la obligación de obrar con mayor
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/46

diligencia a la hora de tramitar la emisión de duplicados, asegurándose de contar con
el consentimiento de su titular, a fin de no incurrir en el tratamiento no consentido de
sus datos personales. Dicha condición impone un deber especial de diligencia a la
hora de llevar a cabo el uso o tratamiento de los datos personales, en lo que atañe al
cumplimiento de los deberes que la legislación sobre protección de datos establece
para garantizar los derechos fundamentales y las libertades públicas de las personas
físicas, cuya intensidad se encuentra potenciada por la relevancia de los bienes
jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o
encargados, máxime cuando operan con ánimo de lucro en el mercado de datos; en
este sentido se ha pronunciado también la SAN 392/2015, de 17 de noviembre.

Al respecto, resulta significativo que la operadora responsable del tratamiento no
justifique debidamente la concurrencia en su conducta de la diligencia que le era
exigible ni acredite la adopción de las cautelas exigibles para evitar el tratamiento no
consentido del dato de carácter personal que nos ocupa (la emisión de duplicado de
tarjeta SIM de forma fraudulenta), que debe atribuirse a la conducta negligente de
TME, utilizándose por un tercero los datos personales del reclamante pasando las
medidas de seguridad para realizar el duplicado de la tarjeta SIM.

Por dicha razón, este es un proceso en donde la diligencia prestada por la operadora
es fundamental para evitar este tipo de estafas y vulneraciones del RGPD. Diligencia
que se traduce en el establecimiento de medidas adecuadas para garantizar que la
persona que contrata es quien dice ser y que se implantan y mantienen medidas
apropiadas para dar cumplimiento al principio de licitud.

Es el considerando 74 del RGPD el que dice: Debe quedar establecida la
responsabilidad del responsable del tratamiento por cualquier tratamiento de datos
personales realizado por él mismo o por su cuenta. En particular, el responsable debe
estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la
conformidad de las actividades de tratamiento con el presente Reglamento, incluida la
eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el
ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y
libertades de las personas físicas.

TME señala que no concurre el requisito de culpabilidad en su actuación y señala que
en la gestión del duplicado de la tarjeta SIM se habría realizado en todo caso por el
resultado de actos de engaño, manipulación y uso ilícito de datos por parte de una
tercera persona, quien habría engañado al agente comercial haciéndole creer que se
trataba de la persona titular de los datos o que contaba con su consentimiento para
efectuar la solicitud al haberse identificado de forma correcta con los datos de cliente
que figuran en nuestros sistemas.

Por tanto, señala que TME que nunca podría ser considerada culpable, al darse en
este supuesto un error de tipo invencible.

Efectivamente, rige en el Derecho Administrativo sancionador el principio de
culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público,
LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición
indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la
LRJSP, “Responsabilidad”, dice:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/46

“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa
las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de
obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los mismos a
título de dolo o culpa.”

A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de
dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de
cuidado.

El Tribunal Constitucional ha declarado reiteradamente que los principios del orden
penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos
matices, al derecho administrativo sancionador, al ser ambos manifestaciones del
ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el
ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya
virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin
acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y
164/2005).

No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se
corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables
a la conducta humana. De modo que, en el caso de infracciones cometidas por
personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se
aplica necesariamente de forma distinta a como se hace respecto de las personas
físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de
la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción
jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido
estricto, pero no la capacidad de infringir las normas a las que están sometidos.
Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien
jurídico protegido por la norma que se infringe y la necesidad de que dicha protección
sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona
jurídica que está sujeta al cumplimiento de dicha norma " (en este sentido STS de 24
de noviembre de 2011, Rec 258/2009).

A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec. 5285/2005, y de 23
de octubre de 2010, Rec. 1067/2006 , que "aunque la culpabilidad de la conducta
debe también ser objeto de prueba, debe considerarse en orden a la asunción de la
correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos
necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su
exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente
normativa, que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia; no basta, en suma, para la exculpación frente a un comportamiento
típicamente antijurídico la invocación de la ausencia de culpa".

En conexión con lo expuesto hay que referirse nuevamente al artículo 5.2. del RGPD
(principio de responsabilidad proactiva), conforme al cual el responsable del
tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo
que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/46

capaz de demostrar su cumplimiento. El principio de proactividad transfiere al
responsable del tratamiento la obligación no solo de cumplir con la normativa, sino
también la de poder demostrar dicho cumplimiento.

El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido
durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son
aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es
la obligación del responsable del tratamiento de aplicar medidas que, en
circunstancias normales, garanticen que en el contexto de las operaciones de
tratamiento se cumplen las normas en materia de protección de datos y en tener
disponibles documentos que demuestren a los interesados y a las Autoridades de
control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en
materia de protección de datos.

El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a
adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder
demostrar” que el tratamiento es conforme con el RGPD.

Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que,
después de referirse a que las entidades en las que el desarrollo de su actividad
conlleva un continuo tratamiento de datos de clientes y terceros han de observar un
adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que
existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir,
cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del
grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto,
y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la
recurrente es de constante y abundante manejo de datos de carácter personal ha de
insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al
respecto.

En cuanto a la conducta de TME se considera que responde al título de culpa. Como
depositaria de datos de carácter personal a gran escala, por lo tanto, habituada o
dedicada específicamente a la gestión de los datos de carácter personal de los
clientes, debe ser especialmente diligente y cuidadosa en su tratamiento. Es decir,
desde la óptica de la culpabilidad, estamos ante un error vencible ya que, con la
aplicación de las medidas técnicas y organizativas adecuadas, estas suplantaciones
de identidad se hubieran podido evitar.

La reclamada ha invocado distintos argumentos para justificar la ausencia de
culpabilidad de su conducta. Básicamente, el disponer de una política de seguridad
dirigida a garantizar que los duplicados de tarjetas SIM se entregan a los titulares de
las líneas telefónicas, que se vio superada mediante acciones cometidas por un
tercero.

Sin embargo, existen numerosas circunstancias en el presente caso que llevan a
calificar la conducta de TME como imprudente y culposa a la hora de detectar
preventivamente el fraude, de tal forma que le hubiese permitido denegar la solicitud
de emisión de un duplicado de tarjeta SIM que recibió de un tercero no autorizado y,
con ello, abstenerse de realizar los tratamientos de datos personales de la parte
reclamante que conlleva la emisión de dicha tarjeta y su entrega a una persona distinta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/46

a su titular.

El duplicado de tarjeta se tramitó desde una tienda física, (…).

Superada esta comprobación, la tienda entrega el duplicado de tarjeta a la persona.

TME no ha aportado ninguna evidencia sobre el seguimiento de este protocolo de
seguridad, ninguna documentación (…) ni justificación sobre las anotaciones
respectivas realizadas en sus sistemas de información. No ha informado a esta
Agencia si quiera del punto de venta en el que se llevó a cabo la gestión.

Tampoco ha justificado haber realizado (…)

Tampoco puede calificarse de diligente la verificación de la identidad del solicitante por
parte del punto de venta. En relación con la forma de identificación de los clientes que
solicitan un duplicado de tarjeta SIM, TME tampoco acredita la existencia de previsión
específica alguna, (…).

TME no aporta prueba documental que permita acreditar que verificó correctamente la
identidad del solicitante del duplicado de tarjeta SIM y su correspondencia con el
verdadero titular de la línea de telefonía, de modo que no se acreditan las
comprobaciones realizadas. No basta con decir que el agente del punto de venta (…).
Como se ha indicado, el artículo 5.2 del RGPD señala que “El responsable del
tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y
capaz de demostrarlo (responsabilidad proactiva)”, toda vez que es el responsable, en
cumplimiento de las obligaciones que impone esta responsabilidad proactiva, quien
debe implantar las medidas técnicas y organizativas necesarias, tal y como expresan
los artículos 24 y 25 del RGPD. El principio de proactividad transfiere al responsable
del tratamiento la obligación no solo de observar los principios que presiden el
tratamiento, también la de poder demostrar dicho cumplimiento. El artículo 5.2 del
RGPD se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar
las medidas técnicas y organizativas que sean apropiadas “para garantizar y poder
demostrar” que el tratamiento ha sido conforme con el RGPD.

Así, puede concluirse que el tratamiento de los datos personales se realiza (i) sin que
TME aporte ninguna garantía de que el solicitante del duplicado de tarjeta SIM fuera el
verdadero titular de la línea y, por consiguiente, de los datos personales; (ii) sin
conocer el motivo para emitir el duplicado de tarjeta; y (iii) sin haber realizado ninguna
comprobación para verificar que la emisión de ese duplicado era necesaria para la
prestación de los servicios contratados por la parte reclamante, que ya disponía de
una tarjeta activa y en correcto funcionamiento.

Por tanto, resulta que TME no acredita haber verificado la identidad de la persona que
solicitó el duplicado de tarjeta SIM que motiva las actuaciones, quedando en
entredicho la diligencia empleada por parte dicha entidad para realizar esa verificación.

Resulta significativo, particularmente en lo relativo a los protocolos aplicables, que el
responsable del tratamiento no analiza con la debida profundidad la diligencia exigible,
trasladando la responsabilidad al agente, cuando el control sobre la veracidad de la
solicitud de duplicado de tarjeta SIM, esencial para la prevención eficaz del fraude,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/46

corresponde a la propia entidad TME.

En definitiva, no ha existido una conducta proactiva para aplicar de forma efectiva los
principios de protección de datos.

Es significativo que, respecto del duplicado de tarjeta SIM solicitado por el reclamante
después de activado el duplicado fraudulento, para así recuperar los servicios, TME
aporte toda la documentación que no aportó respecto del duplicado solicitado por el
tercero.

Además, conocido el fraude con ocasión de los contactos realizados por el reclamante
con este operador para alertar sobre la incidencia, no consta que TME realizara ningún
tipo de investigación sobre la actuación del punto de venta para determinar la causas.

Resulta, por tanto, que la actuación desarrollada por TME resulta claramente ineficaz e
insuficiente, está muy por debajo de las posibilidades que el desarrollo técnico actual
ofrece y no toma en consideración el evidente riesgo que la contratación de los
servicios que comercializa representa para los derechos y libertades de las personas,
por lo que debe responder a título de culpa por la infracción cometida por la falta de
diligencia mostrada.

Como depositaria de datos de carácter personal a gran escala, por lo tanto, habituada
o dedicada específicamente a la gestión de los datos de carácter personal de los
clientes, debe ser especialmente diligente y cuidadosa en su tratamiento.

Por otra parte, atendidas todas las circunstancias de hecho que conforman el presente
supuesto, no puede decirse que la incidencia producida en el tratamiento de los datos
personales de la parte reclamante responda a un ataque llevado a cabo por parte de
un tercero o que el fraude fuera indetectable.

Precisamente el que nos encontremos ante el fraude de un tercero hace que sea
necesario asegurarse que la persona a la que se expide el duplicado de la tarjeta SIM
es quien realmente dice ser y deben adoptarse las medidas necesarias de prevención
adecuadas para verificar la identidad de una persona cuyos datos van a ser objeto de
tratamiento, tal y como se reconoce en el Fundamento Jurídico Séptimo de la SAN,
SCA, de 5 de mayo de 2021 (“Por otro lado, en cuanto al hecho de que nos
encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de
2013 (Rec. 54/2012): "Precisamente por eso, es necesario asegurarse que la persona
que contrata es quien realmente dice ser y deben adoptarse las medidas de
prevención adecuadas para verificar la identidad de una persona cuyos datos
personales van a ser objeto de tratamiento...").

Por otro lado, señalar que la infracción que se atribuye a la reclamada se fundamenta
en la falta de licitud en el tratamiento de los datos personales del reclamante. En
relación con esta calificación de los hechos, se podría citar la Sentencia 4660/2021, de
13 de diciembre de 2021, en la que se dice que “la intervención fraudulenta de un
tercero, que suplanta la identidad de otra persona en una contratación en línea, no
excluye que la empresa contratante, que lleva a cabo el tratamiento de los datos
personales, haya podido incurrir en infracción por falta del necesario consentimiento
inequívoco que exige el art. 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/46

aquella intervención fraudulenta de un tercero no implica por sí misma que la empresa
contratante haya actuado con diligencia suficiente.

Lo anterior no significa que se haga recaer sobre la empresa contratante la
responsabilidad de impedir que se produzca un hecho ilícito o delictivo, como es la
utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible
a dicha empresa contratante, como diligencia necesaria para que no se le pueda
reprochar el incumplimiento de sus obligaciones en materia de protección de datos de
carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del
interesado como en lo relativo al principio de veracidad y exactitud de los datos- la
implantación de medidas de control y verificación tendentes a asegurar que la persona
que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI
aportado”.

Es la emisión de un duplicado de tarjeta SIM y su entrega a un tercero lo que supone
el tratamiento de los datos personales de su titular, en tanto que se trata de una
persona física identificada e identificable.

Así, facilitar un duplicado de tarjeta SIM es un proceso en el que la diligencia prestada
por los operadores resulta esencial para evitar este tipo de estafas y garantizar la
adecuada protección de los derechos e intereses de los clientes, diligencia que, como
ya se ha expuesto, se encuentra en entredicho en el presente caso.

En relación con todo cuanto antecede, resulta de especial interés la doctrina declarada
por el Tribunal Supremo, Sala de lo Contencioso-Administrativo, Sección Tercera, en
Sentencia de 13/12/2021 (recurso de casación núm. 6109/2020), que analiza un
supuesto de suplantación de identidad para una contratación on line, en el que se
cuestiona la actuación llevada a cabo por la entidad recurrente para verificar que
contrataba con el verdadero titular de los datos y se sanciona por el tratamiento ilícito
de los datos personales del interesado.

Según el auto de admisión del citado recurso de casación, “la cuestión que presenta
interés casacional objetivo para la formación de la jurisprudencia consisten en
interpretar la normativa de protección de datos de carácter personal vigente a efectos
de aclarar si la intervención fraudulenta de un tercero, que suplanta la identidad de
otra persona en una contratación on line, permite excluir que haya existido infracción
por falta del necesario consentimiento inequívoco para el tratamiento de los datos
personales que exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, por
entender que la empresa contratante actuó con diligencia suficiente y en la creencia
de que contrataba con el verdadero titular de tales datos”.

En esta Sentencia se declara lo siguiente:

TERCERO.- Respuesta de la Sala a la cuestión de interés casacional señalada en el
auto de admisión del recurso de casación.

En respuesta a la cuestión que plantea el auto de admisión del presente recurso de
casación debemos declarar que la intervención fraudulenta de un tercero, que
suplanta la identidad de otra persona en una contratación on line, no excluye que la
empresa contratante, que lleva a cabo el tratamiento de los datos personales, haya
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/46

podido incurrir en infracción por falta del necesario consentimiento inequívoco que
exige el artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, pues aquella
intervención fraudulenta de un tercero no implica por sí misma que la empresa
contratante haya actuado con diligencia suficiente.

No se trata, por tanto, de atribuir responsabilidad a TME por la mera constatación del
tratamiento de datos ilícito, sino por la ausencia de diligencia en la aplicación de
controles para asegurar que el tratamiento de los datos de la reclamante se realizaba
con base de legitimación.

En resumen, la reclamada expidió un duplicado de la tarjeta SIM a un tercero que no
era el titular de la línea ni había acreditado que actuara en su representación,
quedando en entredicho la diligencia empleada a la hora de realizar las
comprobaciones oportunas para verificar la identidad del cliente interesado, así como
la legitimidad de la solicitud y del tratamiento de los datos.

A la vista de lo expuesto, no puede decirse que se impone a TME una responsabilidad
objetiva vulnerándose el principio culpabilista, o que no existe infracción por el
tratamiento ilícito de los datos personales de la reclamante.

- Tercero. – Incumplimiento del principio de proporcionalidad en las sanciones.

En cuanto a las alegaciones sobre la graduación de la sanción, conviene hacer
referencia en primer término a alegación relativa a la falta de proporcionalidad del
importe de multa propuesto.

Conforme a lo establecido en el artículo 83.1 del RGPD, la multa que se imponga
deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria. Para
garantizar estos principios, se considera, con carácter previo, el volumen de negocio
de TME, que en el ejercicio 2024 ascendió a ***CANTIDAD.4 euros.

Asimismo, se tiene en cuenta la categoría de la infracción cometida, comprendida en
el nivel superior del artículo 83 del RGPD, que la norma sanciona con la mayor
gravedad en su apartado 5, castigando la conducta con una multa máxima de 20
millones de euros o, tratándose de una empresa, con una multa por una cuantía
equivalente al 4% como máximo de su volumen de negocio anual. Según el citado
precepto, al establecer el importe máximo aplicable debe optarse por el límite de
mayor cuantía, de los dos fijados por la norma.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/46

En este caso, tratándose de una empresa cuyo volumen de negocio ascendió en el
año 2024 ascendió a ***CANTIDAD.4 euros, el importe de la multa que procede
imponer estará necesariamente situado entre 0,00 euros y 176.476.480 euros. Siendo
así, la multa que se propone en el presente acto se sitúa en el rango más bajo de ese
intervalo.

Asimismo, se refiere TME a las circunstancias consideradas por esta AEPD para
cuantificar la sanción, en concreto a la negligencia apreciada en su conducta, las
infracciones cometidas por la entidad con anterioridad y la vinculación de su actividad
con el tratamiento de datos personales.

Respecto de la negligencia apreciada en su conducta, nos remitimos a lo indicado en
el punto anterior del presente Fundamento de Derecho y a lo indicado en el
Fundamento de Derecho V, dedicado la determinación de la cuantía de la multa que se
propone. Lo mismo respecto de la consideración de las infracciones anteriores y la
vinculación de la actividad de TME con la realización de tratamientos de datos
personales, que se valoran igualmente en el Fundamento de Derecho V.

Por otra parte, TME solicita que se aprecien las siguientes circunstancias atenuantes:

. Procedió a solventar la incidencia objeto de reclamación de forma efectiva: la línea
objeto de la reclamación fue posteriormente recuperada por el cliente una vez tuvo
conocimiento de los hechos, procediéndose con la devolución del importe de la tarjeta
SIM.

. Cualquier medida tomada por el responsable o encargado del tratamiento para paliar
los daños y perjuicios sufridos por los interesados: procedió a tomar las acciones
oportunas, robusteciendo la operativa marcada a tales efectos. Además, la operativa
demuestra ser completamente robusta en base a las cifras expuestas.

. La adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42: ha suscrito el Código de Conducta
de Autocontrol sobre tratamiento de datos en la actividad publicitaria, que establece un
sistema de resolución extrajudicial para resolver controversias.

No se admite ninguna de las circunstancias invocadas.

La parte reclamada manifiesta que procedió a solventar la incidencia objeto de la
reclamación de forma efectiva, posibilitando la recuperación de los servicios por el
reclamante, cuestión esta que entra en el cumplimiento de sus obligaciones legales.
La admisión de que opere como una atenuante que la parte reclamada haya
solventado la incidencia objeto de reclamación de forma efectiva (artículo 83.2 c) del
RGPD), anula en parte la finalidad disuasoria que se cumple a través de la sanción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/46

Aceptar la tesis de TME en un supuesto como el que nos ocupa supondría introducir
una rebaja artificial en la sanción que verdaderamente procede imponerse; la que
resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser
valoradas.

Por otra parte, como queda reflejado en este acto, TME no realizó actividad alguna
para solventar la situación generada con la emisión del duplicado de tarjeta SIM
fraudulento, sino que fue la propia parte reclamante la que realizó las acciones
oportunas para recuperar el servicio de su línea móvil solicitando una nueva tarjeta
SIM.

En relación con que TME procedió a tomar las acciones oportunas, robusteciendo la
operativa marcada a tales efectos, cabe señalar que dicha entidad no ha informado
sobre medida alguna dirigida a evitar situaciones futuras similares. Al contrario, fue
consultada expresamente sobre esta cuestión y manifestó que no detectó ninguna
incidencia en la tramitación del duplicado de tarjeta SIM que ha motivado el presente
procedimiento, no constando que haya adoptado ninguna medida de refuerzo, más
allá del envío de recordatorios de la misma operativa.

TME alega que debe ser considerada como atenuante la adhesión por parte de la
misma al Código de Conducta de Tratamiento de Datos en la Actividad Publicitaria. El
objetivo principal de este Código, relacionado con la recepción de publicidad no
deseada, el ejercicio de derechos relacionados con la publicidad (como el de
oposición), y el tratamiento de datos en promociones publicitarias o a través de
cookies publicitarias, entre otros, es ajeno al presente caso, por lo que no puede
considerarse como atenuante.

- Cuarto. - Actos propios y non bis in ídem.

Indica TME que en otros procedimientos sancionadores que le han sido incoados por
hechos similares, como por ejemplo en los procedimientos sancionadores
EXP202209359, EXP202207989, EXP202211479 o EXP202206971, la Agencia ha
apreciado siempre, y en cualquier caso, la atenuante referida a haber solventado la
incidencia objeto de la reclamación de forma efectiva, algo que concurre en este caso
y es obviado (por ej. Resolución sancionadora del EXP202206971: “En calidad de
atenuantes: Procedió la parte reclamada a bloquear la línea en cuanto tuvo
conocimiento de los hechos (art. 83.2 c)”. En base a ello, entiende vulnerada la
doctrina de los actos propios.

Sin embargo, en este caso, como ya se ha indicado, fueron las acciones emprendidas
por el propio reclamante las que dieron lugar a la anulación de la tarjeta SIM
fraudulenta.

Además, señala TME que ya ha sido sancionada por los mismos hechos que hoy se
desarrollan en este procedimiento en el señalado con el número PS/00021/2021.
Considera TME que el iniciar un nuevo procedimiento sancionador, de forma sucesiva,
sin que haya un pronunciamiento por parte de los Tribunales de Justicia, y sobre los
mismos hechos, incumple el principio non bis in ídem. Añade que así se consideró en
el expediente con referencia N.º EXP202104446, de fecha 26 de enero de 2022, en el
que se procedió al archivo del mismo al entender que ya había un expediente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/46

sancionador en curso por los mismos hechos, cuyo literal fue el siguiente: “Sobre este
particular, procede resaltar que hechos similares a los que son objeto de reclamación
han sido investigados por esta Agencia y sancionados en el procedimiento
sancionador PS/00021/2021, tramitado contra la parte reclamada, por resolución de
fecha 8/11/2021, por lo que no procede el inicio de un nuevo procedimiento
sancionador”.

Sobre este particular, amén de que los hechos consignados en la reclamación no son
los mismos, procede resaltar que dichos procedimientos tuvieron por objeto analizar
los procedimientos seguidos para gestionar las solicitudes de cambio de SIM por parte
de TME en un período determinado, identificando las vulnerabilidades que puedan
existir en los procedimientos operativos implantados, para detectar las causas por las
cuales se pueden estar produciendo estos casos, así como encontrar puntos de
incumplimiento, mejora o ajuste, para determinar responsabilidades, disminuir los
riesgos y elevar la seguridad en el tratamiento de los datos personales de las personas
afectadas.

El procedimiento sancionador PS/00021/2021 fue impugnada en vía contencioso-
administrativa, dando lugar a la sentencia SAN de 8 de febrero de 2024 (rec.
2250/2021), en cuyo fallo se desestima el recurso contencioso-administrativo
interpuesto por “TME” y “con fecha 19 de junio de 2024, la Sección Primera de la Sala
de lo Contencioso -administrativo del Tribunal Supremo acuerda la inadmisión a
trámite del recurso de casación n. º 3244/2024 preparado por la entidad Telefónica
Móviles España SAU contra la sentencia de 8 de febrero de 2024 dictada por la
Sección Primera de la Sala de lo Contencioso -administrativo de la Audiencia Nacional
en el recurso contencioso -administrativo n. º 2250/2021 interpuesto frente a la
resolución de 8 de noviembre de 2021 de la Directora de la Agencia Española de
Protección de Datos, recaída en el procedimiento sancionador PS/00021/2021, por la
que se impone una sanción de 900.000 euros, por una infracción del art. 5.1.f) del
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de
2016, tipificada como muy grave en el art. 83.5.a) del citado Reglamento”.

Contestación a las alegaciones presentadas a la Propuesta de Resolución

A continuación, se procede a dar respuesta a las alegaciones presentadas por TME,
que son, en líneas generales, una reiteración de las presentadas al acuerdo de inicio y
contestadas en la propuesta de resolución, según consta reproducido en el
Fundamento de Derecho anterior.

CUESTIÓN PREVIA I.- SOBRE LA INCOACIÓN DEL EXPEDIENTE SANCIONADOR

Telefónica indica que se reitera en todas y cada una de las alegaciones realizadas en
el Acuerdo de Inicio y señala que dispone de las medidas suficientes y adecuadas que
determina el RGPD, tanto para los cambios de titularidad de línea, como para las
solicitudes de cambio de tarjetas SIM y que Telefónica es otra víctima de los
defraudadores y que un resultado de fraude cero no es exigible a la vista de los
principios establecidos en el RGPD ni de las obligaciones correspondientes al
Responsable del Tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/46

En relación con las anteriores alegaciones planteadas por Telefónica, es importante
resaltar que las mismas ya fueron contestadas en el Fundamento de Derecho anterior.

CUESTIÓN PREVIA II.- CUESTIÓN DE PREJUDICIALIDAD PENAL

Con respecto a la cuestión de prejudicialidad penal, señala TME que solicitó que se
suspendiera el procedimiento con el fin de determinar en qué punto se encontraba la
denuncia interpuesta por el afectado, y, sobre todo, conocer el contenido del
procedimiento penal que en su caso se encontrase en marcha.

Telefónica cita la Sentencia nº 2249/2016 de la Sala de lo Contencioso-Administrativo
del Tribunal Supremo de fecha 18 de octubre de 2016, en la que, pese a que el
procedimiento administrativo y el procedimiento penal versaban sobre impuestos
distintos, se acordó la excepción de prejudicialidad penal.

Por ello, TME entiende que debería procederse con la suspensión del presente
procedimiento sancionador hasta que los tribunales de justicia del orden penal se
pronuncien al respecto.

En la sentencia citada por TME, existe una triple identidad de sujeto, hecho y
fundamento que no se da en el presente caso y nos reiteramos en lo manifestado en la
contestación a las alegaciones al acuerdo de inicio.

A este respecto, sirve lo expuesto en el Fundamento de Derecho anterior, de
respuesta a las alegaciones a la apertura, en el que se advertía que en este caso no
se da la triple identidad exigida para poder acordar la suspensión del procedimiento
administrativo por su vinculación con las actuaciones seguidas en el orden
jurisdiccional penal:

- El sujeto infractor es obvio que no sería el mismo –respecto a las infracciones del
RGPD el responsable es Telefónica, en tanto que el responsable penal de un eventual
delito de usurpación de personalidad o estafa sería el tercero que se hubiera hecho
pasar por el reclamante.

- Tampoco el fundamento jurídico sería el mismo: mientras el bien jurídico protegido
por el RGPD y la LOPDGDD es el derecho fundamental a la protección de datos
personales, el bien jurídico que se protege en los tipos penales cuya comisión
investigaría, llegado el caso, el Juzgado de Instrucción serían el estado civil, el
patrimonio, etc.

En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de
27/04/2012 (rec.. 78/2010), ya citada en el citado Fundamento de Derecho III.

En consideración a lo expuesto no puede prosperar la cuestión planteada por la parte
reclamada y debe ser rechazada.

I. SOBRE LOS HECHOS QUE MOTIVAN LA INCOACIÓN DEL PRESENTE
ACUERDO DE INICIO DEL PROCEDIMIENTO SANCIONADOR
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/46

PRIMERA. - INEXISTENCIA DE COMISIÓN DE INFRACCIÓN. DISCONFORMIDAD
CON EL ACUERDO DE INICIO DEL EXPEDIENTE SANCIONADOR. VULNERACIÓN
DEL PRINCIPIO DE PRESUNCIÓN DE INOCENCIA.

Telefónica señala que el hecho de no haber realizado una llamada de comprobación y
no contar con una grabación, no significa que el comercial no siguió el protocolo
establecido en lo referente a la identificación del cliente.

Afirma, que la Agencia no ha desvirtuado la presunción de inocencia de Telefónica, o
que demuestre la culpabilidad, la responsabilidad y la antijuricidad.

Para ello, hace referencia TME, para su descargo, al conjunto de medidas de
seguridad que ha adoptado, las cuales son las mínimas exigibles a cualquier
organización con las características y en el contexto en el que actúa una operadora de
telecomunicaciones.

En este sentido, la mera existencia de una política de seguridad no puede justificar el
cumplimiento del principio de licitud previsto del artículo 6.1 del RGPD. Además de
existir, estas medidas deben resultar efectivas de modo que permitan al responsable
del tratamiento estar en condiciones de acreditar que el tratamiento de datos realizado
es lícito. En caso contrario, las medidas adoptadas carecen de virtualidad, más aún si
dichas medidas no son respetadas por la propia entidad quelas dispone.

En definitiva, la parte reclamada no puede exonerar su responsabilidad apelando
simplemente a la existencia de medidas mínimas y al engaño al que se ven sometidas
las empresas y sus comerciales por parte de los suplantadores.

Por otra parte, no se entiende que TME cuestione hechos que han quedado
suficientemente probados, incluso reconocidos por la propia entidad. Hechos con
virtualidad suficiente para desvirtuar la presunción de inocencia.

Las actuaciones han acreditado tanto el tratamiento de datos realizado ilícitamente
como la responsabilidad de TME en su realización.

Tampoco se entiende que TME pretenda que esta AEPD califique como diligente una
actuación en la que se facilitó un duplicado de la tarjeta SIM de la parte reclamante a
un tercero, sin su consentimiento y sin verificar la identidad de dicho tercero.

Cabe reiterar lo señalado en la SAN de 29 de octubre de 2024, rec. 1824/2021, antes
citada, en la que se declara que “…se ha de subrayar, en relación con las medidas
técnicas y organizativas, que no estamos ante un requisito meramente formal, sino
material. En este sentido, y en línea con lo expuesto más arriba, como señala la STS
de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y
organizativos necesarios también es necesaria su correcta implantación y su
utilización de forma apropiada, de modo que también responderá por la falta de la
diligencia en su utilización, entendida como una diligencia razonable atendiendo a las
circunstancias del caso", lo que no implica que se exija una obligación de resultado”.

SEGUNDA. - EL PAPEL DE TELEFÓNICA COMO PERJUDICADA.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/46

Telefónica vuelve a reproducir las alegaciones efectuadas en el acuerdo de inicio,
haciendo hincapié en relación con las medidas técnicas y organizativas que son
adecuadas y pertinentes y que los operadores deben enfrentarse a terceros cuya
intención es la comisión de delitos de suplantación.

Señala, que Telefónica no puede ser considerada responsable de los incumplimientos
puntuales y excepcionales de la operativa que se hayan podido llevar a cabo por
personal contratado por los encargados del tratamiento que intervienen en estos
procesos.

En relación con las anteriores alegaciones planteadas por Telefónica, es importante
resaltar que las mismas ya fueron contestadas en el Fundamento de Derecho anterior.

En este apartado, Telefónica solicita que las resoluciones sancionadoras que publica la
Agencia a través de su página web que son de acceso público y a las que pueden
tener acceso personas indeseadas que adquieran todo el conocimiento sobre su
operativa y protocolos de seguridad que sean publicadas anonimizando su operativa y
protocolos de seguridad.

En cuanto a la publicación de las resoluciones, el artículo 50 de la LOPDGDD
establece que “La Agencia Española de Protección de Datos publicará las
resoluciones de su Presidencia que declaren haber lugar o no a la atención de los
derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que
pongan fin a los procedimientos sancionadores y de apercibimiento, las que archiven
las actuaciones previas de investigación, las dictadas respecto de las entidades a que
se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y
las demás que disponga su Estatuto.”

El artículo 11 del Estatuto de la Agencia Española de Protección de Datos, aprobado
por Real Decreto 389/2021, de 1 de junio, dispone lo siguiente:

“Artículo 11. Transparencia y publicidad.

1. La Agencia Española de Protección de Datos publicará en su página web las
resoluciones de su Presidencia que declaren haber lugar o no a la atención de los
derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo, de 27 de abril de 2016, las que pongan fin a los
procedimientos de reclamación, las que archiven las actuaciones previas de
investigación, las que sancionen con apercibimiento a las entidades a que se refiere el
artículo 77.1 de la Ley Orgánica 3/2018, de 5 de diciembre, y las que impongan
medidas cautelares.

2. Sin perjuicio de lo previsto en la Ley 19/2013, de 9 de diciembre, de transparencia,
acceso a la información pública y buen gobierno, será igualmente objeto de
publicación en la página web toda aquella información que la Presidencia considere
relevante y que contribuya al mejor cumplimiento de sus funciones.”

Por consiguiente, se establece con carácter general la obligación de publicar las
resoluciones que dicte esta Agencia, que se realiza en la página web de la AEPD.

A este respecto, sin perjuicio de la correspondiente anonimización de los datos
personales de las personas físicas que aparezcan en la resolución, no es posible
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/46

proceder a omitir cualquier remisión de la parte reclamada en la misma, por cuanto,
por un lado, la misma no tiene la consideración de persona física y, por otro lado, en
aras del interés público que posee la publicación de dichas publicaciones, que permite
conocer los criterios utilizados por esta autoridad, además del objetivo de preservar la
transparencia de la misma en su actuación.

La publicación de determinadas resoluciones de la AEPD viene impuesta por lo
establecido en el citado artículo 50 de la LOPDGDD.

Frente a lo que sucede en otros ámbitos normativos donde se prevé expresamente la
publicación de la resolución sancionadora como una sanción -por poner un ejemplo
citaremos los artículos 304 y 308 del Real Decreto Legislativo 4/2015, de 23 de
octubre, por el que se aprueba el texto refundido de la Ley del Mercado de Valores-,
en materia de protección de datos la norma que impone la publicación de ciertas
resoluciones no configura la publicidad como una sanción.

La finalidad de la publicidad no es sancionar públicamente al infractor por su conducta,
sino dar transparencia y conocimiento a los ciudadanos con carácter general de la
actividad desarrollada por la AEPD.

Además, se comprueba con facilidad cuál es la finalidad de la publicación de las
resoluciones si se tiene en cuenta que las que se publican no son únicamente aquellas
en la que se puede llegar a sancionar, que son las que ponen fin a los procedimientos
sancionadores, sino que se incluyen las resoluciones procedimientos de derechos, las
resoluciones de los procedimientos de apercibimiento o las resoluciones que archiven
actuaciones previas de investigación, además de las que fije el Estatuto.

Así, es una garantía de los administrados en los términos del art. 45 de la LPACAP.

Donde la Ley no configura la publicidad de forma expresa como una sanción, ni se
infiere además de su naturaleza jurídica, tampoco podemos entenderlo nosotros.

Es debida, por tanto, la publicación de la resolución administrativa, tal y como impone
la Ley al señalar literalmente que “publicará”.

Publicando la resolución en los términos del art. 50 de la LOPDGDD se consuma el
interés general encomendado a la AEPD. Eso sí, siempre debidamente anonimizada y
detrayendo de la resolución las cuestiones confidenciales o de secreto intelectual e
industrial.

Sobre esta cuestión se pronuncia el Auto de la Audiencia Nacional de 13 enero de
2022 en los siguientes términos: “Así las cosas, en el caso de autos, se publica la
resolución sancionadora recurrida, al amparo del art. 50 de la Ley Orgánica 3/2018, de
5 de diciembre, de Protección de Datos Personales y garantía de los derechos
digitales, que dispone: “La Agencia Española de Protección de Datos publicará las
resoluciones de su Presidencia que declaren haber lugar o no a la atención de los
derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que
pongan fin a los procedimientos de reclamación, las que archiven las actuaciones
previas de investigación, las que sancionen con apercibimiento a las entidades a que
se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/46

las demás que disponga su Estatuto. Es decir, el citado precepto obliga a la Agencia
Española de Protección de Datos (en adelante AEPD), a hacer públicas sus
resoluciones una vez hayan sido notificadas a los interesados. Así las cosas, debe
rechazarse la suspensión de la publicación de la resolución sancionadora en la página
de la AEPD, al apreciarse un interés público en publicitar las resoluciones de la AEPD
en su página web, con el objeto de preservar la transparencia de la actividad de la
AEPD y, en definitiva, la tutela del derecho de protección de datos mediante el
conocimiento de los criterios de aplicación de la normativa de protección de datos.
Cabe recordar, como ha señalado el Auto del Tribunal Supremo, Sala 3ª, de 31 de
marzo de 2015 que “la Administración Pública actúa en un régimen de publicidad de
sus actos con carácter general y, de modo específico, tanto más cuanto así lo
establezcan las normas reguladoras de cada sector.

II. SOBRE LOS FUNDAMENTOS DE DERECHO.

PRIMERA. - SOBRE LA PRESUNTA INFRACCIÓN COMETIDA POR PARTE DE
TELEFÓNICA: AUSENCIA DE TIPICIDAD Y ANTIJURICIDAD.

TME considera que el principio de tipicidad se está vulnerando dado que la conducta
realizada por Telefónica no es subsumible en la acción típica que se le imputa, siendo
ésta una supuesta ilicitud en el tratamiento de datos del cliente por no contar con base
legitimadora para ello, y señala que la base legal que legitima el tratamiento de los
datos personales del reclamante no es otra que la ejecución del contrato artículo 6.1 b)
del RGPD.

TME, señala que teniendo en cuenta tanto las alegaciones de Telefónica como los
propios argumentos de la Agencia, el tratamiento realizado por esta parte es lícito y se
debe proceder por tanto al archivo del expediente sancionador al no ser la acción
típica.

Igualmente, manifiesta que la conducta realizada por Telefónica no es subsumible en
el precepto cuya infracción se imputa y tampoco puede ser considerada antijurídica.

Telefónica considera que ha actuado en todo momento con buena fe y fundada
creencia excluyente de toda culpabilidad, pues, en tanto en cuanto una persona se
identifica como titular de un contrato, aportando para ello los datos de identificación y
documento nacional de identidad, y solicita un duplicado SIM para poder disfrutar del
servicio. Telefónica no puede hacer otra cosa que facilitarlo, puesto que en caso
contrario incurría en un incumplimiento de la normativa vigente en materia de
comunicaciones electrónicas.

Según TME, su conducta nunca podría ser considerada culpable, al darse en este
supuesto un error de tipo invencible, y señala que, en este caso específico, donde se
ha tenido que dar una suplantación de identidad, el error de tipo invencible se presenta
desde el momento en el que el comercial ha sido engañado y cree de buena fe que
está interactuando con una persona legítima, cuando en realidad está siendo
suplantada por un tercero.

En este caso, afirma Telefónica, donde conforme a la operativa, el cliente se habría
identificado con los datos correctos para la solicitud del duplicado, queda constatado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/46

que estaríamos ante un error de tipo invencible, donde se desconocía la antijuricidad
de la conducta, debiendo procederse con el archivo del procedimiento, al no poderse
determinar la culpabilidad de Telefónica.

Sobre estas cuestiones no cabe sino remitirnos a lo argumentado en el fundamento de
derecho anterior, de respuesta a las alegaciones a la apertura del procedimiento,
similares a las expuestas anteriormente.

Por otra parte, hay que indicar que en modo alguno puede considerarse que el error
que alega haber cometido excluya su responsabilidad, puesto que, según reiterada
jurisprudencia, no puede estimarse la existencia de tal error cuando éste es imputable
a quien lo padece o pudo ser evitado con el empleo de una mayor diligencia.

En otro orden, Telefónica invoca como base de legitimación para llevar a cabo el
duplicado de tarjeta SIM la ejecución del contrato de prestación de servicio de
telecomunicaciones existente entre el reclamante y el operador. Sin embargo, en
casos como este, el tratamiento de datos que conlleva la emisión de un duplicado de
tarjeta SIM no resulta necesario para la ejecución de los servicios, que se venían
prestando con normalidad. Es, precisamente, la emisión de ese duplicado y su entrega
a un tercero el hecho que provoca la incidencia de dejar sin servicio al titular,
motivando que éste se vea obligado a solicitar una nueva tarjeta para recuperarlo.

SEGUNDO. - PROPORCIONALIDAD DE LA SANCIÓN

1.- Sobre las agravantes tenidas en cuenta no aplicables al caso concreto:

a) “La evidente vinculación entre la actividad empresarial de la reclamada y el
tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD
en relación con el artículo 76.2.b, de la LOPDGDD)”.

En cuanto a esta agravante planteada, señala TME que tendría que haber un número
elevado de interesados afectados por la posible infracción. Es decir, el RGPD no
establece que esta agravante deba ser apreciada de facto cuando un responsable
trate con carácter general un número elevado o “masivo” de datos personales, sino
con el número de posibles afectados.

Y entiende que esta postura viene corroborada por el Comité Europeo de Protección
de Datos, que hizo suyo y por tanto asumió el contenido de las Directrices sobre la
aplicación y la fijación de multas administrativas a efectos del Reglamento 2016/679
adoptadas por el Grupo de Trabajo del Artículo 29 el 3 de octubre de 2017, que con
claridad disponen que los factores que prevé el artículo 83.2 del RGPD deben
evaluarse de manera combinada, es decir, en lo que ahora nos interesa, el número de
interesados junto con el posible impacto sobre ellos.

En el mismo sentido, el Considerando 75 del RGPD, dispone que para determinar el
grado de daños y perjuicios que pueda producir una posible infracción en materia de
protección de datos debe tenerse en cuenta, entre otros aspectos “que el tratamiento
implique una gran cantidad de datos personales y afecte a un gran número de
interesados”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/46

Quiere ello decir, en contra de la interpretación que hace la Agencia de forma
recurrente, que la agravante sólo debe aplicarse si la infracción afecta a muchos
interesados.

TME cuestiona que pueda tenerse en cuenta al determinar la multa la vinculación de
su actividad con el tratamiento de datos personales, señalando que esta circunstancia
de graduación está relacionada con el número de interesados afectados por la
infracción y con el grado de daños y perjuicios que pueda haber producido.

Sin embargo, nada en la letra de la norma permite obtener esta conclusión. La norma
aplicable es clara cuando establece que al decidir la imposición de una multa y su
cuantía se tendrá en cuenta “la vinculación de la actividad del infractor con la
realización de tratamientos de datos personales”, tal y como viene haciendo esta
AEPD cuando el sujeto infractor desarrolla una actividad que conlleva un elevado
volumen de tratamientos de datos y la infracción está relacionada con su actividad
principal.

Así lo ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024
cuando declara lo siguiente:

“En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra de
negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no
pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las
circunstancias concurrentes, tomando en consideración su volumen de negocio y su
vinculación con el tratamiento de datos personales atendiendo el número de personas
que prestan servicio como empleados en UST y su actividad”.

b) las circunstancias reseñadas en el art. 83.2 e) del RGPD, relativa a toda infracción
cometida por el responsable o el encargado del tratamiento:

TME, afirma que este expediente sancionador se encuentra relacionado a un caso
concreto, a una reclamación presentada ante la Agencia, y que no es la generalidad de
que se incumpla la operativa, y que se debería considerar un caso aislado y puntual.
Cuestiones estas a las que se da respuesta en el Fundamento de Derecho VII,
dedicado a la graduación de la multa impuesta en este caso.

La sanción propuesta cumple con la función disuasoria exigida por el RGPD, cuyo
objetivo es garantizar que las infracciones no se repitan y procurar que el cumplimiento
normativo sea una prioridad efectiva y no meramente declarativa para el responsable
del tratamiento. Por tanto, la sanción es proporcional, adecuada y necesaria,
cumpliendo con los objetivos del artículo 83 del RGPD y garantizando un efecto
disuasorio frente a futuras infracciones
Asimismo, se refiere TME a las circunstancias consideradas por esta AEPD para
cuantificar la sanción, en concreto a la negligencia apreciada en su conducta, las
infracciones cometidas por la entidad con anterioridad y la vinculación de su actividad
con el tratamiento de datos personales.

34/46

se propone. Lo mismo respecto de la consideración de las infracciones anteriores y la
vinculación de la actividad de TME con la realización de tratamientos de datos
personales, que se valoran igualmente en el citado Fundamento de Derecho VII.

2.- Sobre las atenuantes que no han sido tenidas en cuenta por la Agencia en la
propuesta de resolución:

“b) la intencionalidad o negligencia en la infracción: como se ha señalado, no se dan
en este caso los requisitos de intencionalidad en la supuesta comisión de la infractor o
actitud negligente, toda vez que ha sido un tercero el que habría tratado los datos
personales del Reclamante sin su consentimiento tras obtenerlos de manera ilícita.

c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados: Telefónica procedió. a tomar
las acciones oportunas, robusteciendo la operativa marcada a tales efectos

En cuanto a las circunstancias atenuantes invocadas por TME de reiterarse que ya
han sido rechazadas en el Fundamento de Derecho anterior, al que cabe remitirse
nuevamente.

V
Obligación Incumplida

La emisión de un duplicado de tarjeta SIM y su entrega a un tercero supone el
tratamiento de los datos personales de su titular ya que se considerará persona física
identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador (artículo 4.1) del RGPD). La
tarjeta SIM identifica un número de teléfono y este número a su vez, identifica a su
titular.

La emisión de un duplicado de tarjeta SIM implica necesariamente un tratamiento de
datos personales, ya que se realiza sobre la línea y la identidad del titular. Como
puede apreciarse en las actuaciones, el tratamiento de datos que se analiza ha
conllevado la utilización de los datos de la reclamante relativos a nombre, apellidos,
DNI y línea de telefonía móvil, entre otros.

La referencia al fenómeno del denominado SIM Swapping y a sus eventuales
consecuencias se efectúa con el fin de valorar el alcance y naturaleza de la infracción
imputada, atendiendo a las repercusiones que tales prácticas pueden generar sobre
los derechos del titular de los datos personales afectados.

En este sentido, la Audiencia Nacional en la sentencia de 13/05/2024, Rec.
0002336/2021, establece que “(…) en la primera fase de este tipo de estafas el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/46

suplantador consigue, de manera fraudulenta, los datos de acceso o las credenciales
de la banca online del cliente, pero le falta por conocer el código de verificación,
segundo factor de autentificación, para poder ejecutar cualquier operación. En el
momento en el que logra la tarjeta SIM duplicada ya tiene también acceso a este
segundo factor de autentificación y, por tanto, desde ese momento puede realizar los
actos de disposición patrimonial que desee”.

En cuanto al acceso a datos personales del cliente que conlleva la entrega de la tarjeta
a un tercero, resulta necesario señalar que el acceso al duplicado de una tarjeta SIM
que hace identificable a su titular, responde a la definición de dato personal del artículo
4.1) del RGPD tal y como se indicaba en el Acuerdo de Inicio. En este sentido se
pronuncia la Sentencia 595/2024 de la Audiencia Nacional, de 8 de febrero de 2024,
cuando afirma:

“Tenemos que partir, que la emisión de un duplicado de tarjeta SIM supone el
tratamiento de los datos personales de su titular ya que, a tenor del artículo 4.1 del
RGPD, se considera persona física identificable toda persona cuya identidad pueda
determinarse, directa o indirectamente, en particular mediante un identificador. Pues
bien, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente en
formato físico y de reducidas dimensiones, que contiene un chip en el que se
almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la
red, esto es, el número de línea móvil del cliente MSISDN (Mobile Station Integrated
Services Digital Network-Estación Móvil de la Red Digital de Servicios Integrados-) así
como el número de identificación personal del abonado IMSI (International Mobile
Subscriber Identity-Identidad Internacional del Abonado móvil-), pero también puede
proporcionar otro tipo de datos como la información sobre el listado telefónico o el de
llamadas y mensajes.

Y como se resalta en la resolución recurrida, desde el año 2007, en España, de
conformidad con la Disposición Adicional Única de la Ley 25/2007, de 18 de octubre,
de conservación de datos relativos a las comunicaciones electrónicas y a las redes
públicas de comunicaciones, se exige que los titulares de todas las tarjetas SIM, ya
sean de prepago o de contrato, estén debidamente identificados y registrados. Por lo
que a hora de obtener un duplicado de la tarjeta SIM, la persona que lo solicite haya
de identificarse igualmente y que su identidad coincida con la del titular.”

Pues bien, se imputa a la reclamada la comisión de una infracción por vulneración del
artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los
supuestos en los que el tratamiento de datos de terceros es considerado lícito:

“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/46

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de
aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones”.

En el presente caso, resulta acreditado que TME emitió y facilitó un duplicado de la
tarjeta SIM de la parte reclamante a un tercero, sin su consentimiento y sin verificar la
identidad de dicho tercero. Así pues, la reclamada, no verificó la personalidad del que
solicitó el duplicado de la tarjeta SIM, no tomó las cautelas necesarias para que estos
hechos no se produjeran.

TME manifiesta, con fecha 21 de diciembre de 2023 a esta Agencia, sobre el canal a
través del cual se tramitó el duplicado de SIM y vía de identificación de la persona que
lo solicitó, lo siguiente:

“Telefónica informa de que existe una solicitud de cambio de ICC de la tarjeta SIM del
Reclamante el día 17 de enero de 2023 a través de uno de sus Puntos de Venta
autorizados.

Sobre la documentación y datos aportados por la persona que solicitó la tarjeta SIM
para acreditar su identidad y la realización de los controles para la verificación de la
identidad:

A Telefónica, revisados sus sistemas, no le consta información adicional al respecto”.

En base a lo anteriormente expuesto, en el caso analizado, si bien la parte reclamada
afirma únicamente que el duplicado se hizo de manera presencial, no acredita si siguió
el procedimiento establecido por ella misma, el cual consiste según su respuesta a
esta Agencia de fecha 21 de diciembre de 2023:

- (…).

A la vista de lo anterior, la parte reclamada no logra acreditar que se haya seguido el
anterior procedimiento, no habiendo aportado ningún tipo de documentación
acreditativa de la emisión del duplicado de acuerdo con el procedimiento previamente
establecido, manifestando únicamente que el duplicado se realizó conforme con el
mismo. No es un hecho controvertido que TME emitió un duplicado de tarjeta SIM a
petición de un tercero, que da lugar a un tratamiento ilícito, y dicha ausencia de
acreditación sobre la verificación de la identidad del solicitante impide que pueda
apreciarse ninguna diligencia en la conducta diligente de TME.

En este sentido, conviene recordar que de acuerdo con el principio de responsabilidad
proactiva establecido en el artículo 5.2 del RGPD, el responsable del tratamiento no
solo es responsable del cumplimiento de los principios establecidos en el artículo 5.1
sino que además debe ser capaz de demostrarlo. Al no acreditar el debido tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/46

de datos personales de la parte reclamada, no puede justificarse que el tratamiento
sea lícito y ello supone, sin perjuicio de la posibilidad de acreditarlo a lo largo del
presente procedimiento, una presunta vulneración del principio de licitud del
tratamiento reconocido por el artículo 6.1 del RGPD, pilar básico en el ámbito de la
protección de los datos personales.

En base a lo anteriormente expuesto, en el caso analizado, queda en entredicho la
diligencia empleada por parte de la reclamada para identificar a la persona que solicitó
un duplicado de la tarjeta SIM.

De conformidad con las evidencias de las que se dispone, se estima que la conducta
de la parte reclamada vulnera el artículo 6.1 del RGPD siendo constitutiva de la
infracción tipificada en el artículo 83.5.a) del citado Reglamento 2016/679.

En ese sentido el Considerando 40 del RGPD señala:

“(40) Para que el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión
o de los Estados miembros a que se refiera el presente Reglamento, incluida la
necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la
necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de
tomar medidas a instancia del interesado con anterioridad a la conclusión de un
contrato.”

VI
Tipificación y calificación de la infracción a efectos de prescripción

La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”

La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1
de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “b)
El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679”.

VII
Sanción de multa. Determinación del importe

La determinación de la sanción que procede imponer en el presente caso exige
observar las previsiones de los artículos 83.1 y 2 del RGPD, preceptos que,
respectivamente, disponen lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/46

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”
“2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”
Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado
“Sanciones y medidas correctivas”:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/46

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.
3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de
las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento
(UE) 2016/679.”

En el presente caso, considerando la gravedad de la infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en el reclamante,
corresponde la imposición de multa.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de la parte
reclamada, que en el ejercicio 2024 ascendió a ***CANTIDAD.4 euros.

En primer término, se tiene en cuenta la categoría de la infracción cometida,
comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con
la mayor gravedad en su apartado 5, castigando la conducta con una multa máxima de
20 millones de euros o, tratándose de una empresa, con una multa por una cuantía
equivalente al 4% como máximo de su volumen de negocio anual. Según el citado
precepto, al establecer el importe máximo aplicable debe optarse por el límite de
mayor cuantía, de los dos fijados por la norma.

En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el
año 2024 a ***CANTIDAD.4 euros, el importe de la multa que procede imponer estará
necesariamente situado entre 0,00 euros y 176.476.480 euros.

De acuerdo con los preceptos transcritos a efectos de fijar el importe de la sanción de
multa a imponer a la entidad reclamada como responsable de la infracción de lo
dispuesto en el artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD, se
estiman concurrentes en el presente caso los siguientes factores:

1. Como elementos determinantes del nivel de gravedad de la infracción, se toman en
consideración las circunstancias siguientes:

. Artículo 83.2.a) del RGPD: “la naturaleza, gravedad y duración de la infracción,
teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento
de que se trate así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido”.

. Naturaleza de la infracción:

El artículo 83.5 agrupa varios tipos de conductas diferentes. En este caso, la
disposición infringida afecta a un principio básico del derecho a la protección de
datos personales, por cuanto sustenta la legalidad del tratamiento de datos y su
violación entraña un riesgo importante para los derechos de los interesados.

En este caso, la conducta de TME ha provocado, de forma directa, la lesión del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/46

bien jurídico protegido por el artículo 6 del RGPD, impidiendo su aplicación
efectiva y el objetivo que pretende proteger.

. Gravedad de la infracción:

. Naturaleza y propósito del tratamiento:

Evaluar la gravedad de estos aspectos del tratamiento de los datos
personales requiere considerar el contexto en el que se realiza.

El tratamiento de datos realizado en este caso tiene como finalidad la emisión
de una tarjeta SIM, necesaria para que TME pueda prestar los servicios
contratados por su titular. Si esa tarjeta es solicitada por un tercero y la
entidad no cumple las obligaciones que le son propias para impedir esta
irregularidad, la consecuencia final es la entrega de la tarjeta a una persona
no autorizada para su uso y, con ello, la posibilidad de que un tercero acceda
a diversa información del verdadero titular de la tarjeta, que puede ser
utilizada con fines fraudulentos. Así ocurrió en el presente caso, en el que un
tercero se sirvió del duplicado de tarjeta SIM obtenido fraudulentamente para
retirar fondos de las cuentas bancarias de la parte reclamante.

Es el fenómeno denominado como “SIM swapping”, muy extendido en el
contexto actual y sobradamente conocido por TME.

En función de este contexto, el tratamiento realizado por TME, considerando
su naturaleza y propósito, acarrea importantes riesgos para el titular de los
datos personales. Y no puede obviarse que dicho tratamiento de datos se
realiza en el marco de la actividad empresarial principal y básica de la citada
operadora, desarrollada con ánimo de lucro.

. El alcance del tratamiento:

La infracción valorada se comete por el tratamiento ilícito de los datos
personales de un solo interesado, la parte reclamante, como bien se
considera en los factores de graduación que siguen.

No obstante, interesa considerar que TME es una compañía de telefonía que
opera con alcance nacional y que la infracción es consecuencia directa de las
debilidades de los mecanismos diseñados por TME para la tramitación de
solicitudes de duplicados de tarjeta SIM en línea y del incumplimiento de los
establecidos, por lo que el riesgo que ello conlleva incrementa el número de
potenciales afectados.

La relación existente entre la infracción cometida y la asignación de recursos
que cabe exigir a TME para impedir este tipo de actuaciones ilícitas debe
analizarse en base al riesgo real y a aquella circunstancia relativa a su ámbito
de actuación de alcance nacional.

. Número de interesados:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/46

La infracción que se sanciona es consecuencia del tratamiento ilícito de los
datos personales de un único interesado, la parte reclamante.

. El nivel de daño sufrido por la parte reclamante:

De conformidad con el considerando 75 del RGPD, el nivel de daño sufrido se
refiere a los daños y perjuicios físicos, materiales o no materiales.

En el presente caso, el daño sufrido por la parte reclamante no puede
calificarse como marginal. Por un lado, la parte reclamante se vio privada del
servicio que tenía contratado con TME y, por otro, sufrió un fraude bancario
consecuencia directa de la infracción que se sanciona, la cual, como se ha
dicho, no solo se comete por el tratamiento de datos necesario para emitir el
duplicado de tarjeta SIM, sino también por el tratamiento de datos consistente
en la comunicación de los datos de la parte reclamante a un tercero, derivado
de la entrega del duplicado de tarjeta SIM a dicho tercero.

En casos como este, el interesado pierde el control de sus datos personales,
por lo que el daño podría persistir durante un tiempo indeterminado.

. Artículo 83.2.b) del RGPD: “la intencionalidad o negligencia en la infracción”.

Se observa en la conducta de TME una negligencia grave, por incumplimiento del
deber de cuidado exigido por la ley, más allá de lo que puede considerarse un factor
neutro asociado al elemento subjetivo de la culpabilidad.

Esta conclusión resulta de elementos objetivos de la conducta de TME, obtenidos en
base a todas las circunstancias de hecho que constan detalladas en los Fundamentos
de Derecho que preceden, que muestran claramente la falta de rigor apreciada en la
actuación de la citada entidad en orden a asegurar que dicha solicitud provenía de la
parte reclamante.

El tratamiento de los datos personales se realiza (i) sin que TME aporte ninguna
garantía de que el solicitante del duplicado de tarjeta SIM fuera el verdadero titular de
la línea y, por consiguiente, de los datos personales; y (ii) sin haber realizado ninguna
comprobación para verificar que la emisión de ese duplicado era necesaria para la
prestación de los servicios contratados por la parte reclamante, que ya disponía de
una tarjeta activa y en correcto funcionamiento. Como resultado de ello, los datos en
cuestión han sido tratados sin disponer de base legal alguna que lo legitime.

La consecuencia final de todo ello fue que TME validó la petición, activó la tarjeta SIM
y la entregó a un tercero sin evidencias ciertas sobre la identidad de la persona que
realizaba la petición, para asegurar que esta última se correspondía con el titular de
los servicios y de los datos personales.

Conectado también con el grado de diligencia que TME está obligada a desplegar en
el cumplimiento de las obligaciones que le impone la normativa de protección de datos
puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del
RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos.
La sentencia, después de aludir a que las entidades en las que el desarrollo de su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/46

actividad conlleva un continuo tratamiento de datos de clientes y terceros han de
observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo
viene entendiendo que existe imprudencia siempre que se desatiende un deber legal
de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en
la valoración del grado de diligencia ha de ponderarse especialmente la
profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado,
cuando la actividad de la recurrente es de constante y abundante manejo de datos de
carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las
prevenciones legales al respecto”.

. Artículo 83.2.g) del RGPD: “las categorías de los datos de carácter personal
afectados por la infracción”.

Al margen de los datos personales cuyo tratamiento es necesario para la emisión del
duplicado de tarjeta, no pueden obviarse los riesgos evidentes de que la entrega de
este duplicado a un tercero posibilite el acceso por parte de éste a datos de categorías
especiales u otra información de naturaleza sensible, como la información financiera
de la parte reclamante, materializados en el presente caso.

2. Se consideran los siguientes factores de graduación en calidad de agravantes:

. Artículo 83.2.d) del RGPD: “el grado de responsabilidad del responsable o del
encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que
hayan aplicado en virtud de los artículos 25 y 32”.

Los preceptos citados, tanto el artículo 25 como el 32 del RGPD, obligan a la entidad
responsable a tomar en consideración “el estado de la técnica, el coste de la
aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los
riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los
derechos y libertades de las personas físicas” a la hora de aplicar medidas técnicas y
organizativas apropiadas para garantizar la aplicación efectiva de los principios de
protección de datos, en este caso el principio de licitud del tratamiento, así como para
garantizar un nivel de seguridad adecuado al riesgo.

A la vista de dichos preceptos, la actuación desarrollada por TME ha resultado
claramente ineficaz e insuficiente, está muy por debajo de las posibilidades que el
desarrollo técnico actual ofrece y no toma en consideración el evidente riesgo que la
prestación de sus servicios representa para los derechos y libertades de las personas.

En este sentido, su alto volumen de negocio comporta que el nivel de exigencia en
orden a incorporar las herramientas y funcionalidades que el estado de la técnica
ofrece en cada momento sea elevado.

Las debilidades ya expresadas en cuanto al establecimiento por TME de una política
de seguridad que evite la suplantación de identidad de sus clientes, en garantía del
principio de licitud en el tratamiento de los datos, cuestionan la solidez de las medidas
adoptadas en virtud de los artículos 25 y 32 del RGPD, lo que agrava su conducta en
este caso concreto.

Cabe destacar que el protocolo dispuesto por TME para el cambio o duplicado de SIM,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/46

(…).

Así, puede concluirse que la infracción tiene connotaciones sistémicas y, por lo tanto,
puede afectar, incluso en diferentes momentos, a interesados adicionales que no
hayan presentado reclamaciones ante esta autoridad de control.

. Artículo 83.2.e) RGPD: “Toda infracción anterior cometida por el responsable o el
encargado del tratamiento”.

El artículo 83.2 del RGPD y artículo 76 de la LOPDGDD permiten la evaluación de las
circunstancias atenuantes y agravantes no solo en relación con los hechos
determinantes de la infracción, sino también en relación con el comportamiento
pasado o presente de la entidad responsable, incluidas las consideraciones que
resulten pertinentes y que puedan obtenerse de anteriores procedimientos
sancionadores tramitados por esta autoridad de control con resultado de multa. Es
decir, se posibilita evaluar el registro de seguimiento del responsable cuando proceda
o, lo que es lo mismo, su perfil de comportamiento o actitud general con respecto al
cumplimiento del RGPD, y considerar cualquier infracción anterior pertinente
(Considerando 148 del RGPD) o su respuesta ante los incumplimientos anteriores en
orden a evitar infracciones del mismo nivel y características y procurar el cumplimiento
del RGPD, en general.

El considerando 148 del RGPD señala “A fin de reforzar la aplicación de las normas
del presente Reglamento [...]” e indica a ese respecto que “Debe no obstante,
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional [...] o a cualquier infracción pertinente [...]”.

El peso que deba atribuirse a estos criterios de graduación dependerá de las
circunstancias específicas del caso en cuestión. Obviamente, cuando la entidad
infractora persista en la infracción, agravando su perfil de comportamiento en las
condiciones expresadas, la cuantía de la sanción a imponer podrá ser muy superior,
especialmente si consideramos el nivel de gravedad que se atribuye al tipo de
infracción cometida.

Así pues, conforme al apartado e) del artículo 83.2. RGPD, en la determinación del
importe de la sanción de multa administrativa no podrán dejar de valorarse todas
aquellas infracciones anteriores del responsable o del encargado de tratamiento en
aras a calibrar la antijuricidad de la conducta analizada o la culpabilidad del sujeto
infractor.

Además, una correcta interpretación de la disposición del artículo 83.2.e) RGPD no
puede obviar la finalidad perseguida por la norma: decidir la cuantía de la sanción de
multa administrativa en el caso individual planteado atendiendo siempre a que la
sanción sea proporcional, efectiva y disuasoria.

Son numerosos los procedimientos sancionadores tramitados por la AEPD en los que
TME ha sido sancionada por la infracción del RGPD por hechos cometidos con
anterioridad a los que son objeto de las presentes actuaciones. Pueden citarse los
casos siguientes, en los que TME no actuó correctamente a la hora de identificar a la
persona que formulaba la solicitud de sus servicios, produciéndose en tales casos una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/46

suplantación de identidad (emisión de duplicado de tarjeta SIM):

1. EXP202206971: Resolución de 09/03/2023 en la que se impone sanción de
70.000 euros, por hechos cometidos en fecha 27/05/2022.
2. EXP202211479: Resolución de 13/06/2023 en la que se impone sanción de
70.000 euros, por hechos cometidos en fecha 24/08/2022.
3. EXP202209359: Resolución de 16/06/2023 en la que se impone sanción de
70.000 euros, por hechos cometidos en mayo de 2022.
4. EXP202207989: Resolución de 13/11/2023 en la que se impone sanción de
70.000 euros, por hechos cometidos en fecha 29/07/2020.

Teniendo en cuenta las reiteradas resoluciones en base a hechos similares a los que
son objeto del procedimiento, se entiende que concurre la agravante prevista en el
artículo 83.2 e) del RGPD.

. Artículo 83.2.k, del RGPD en relación con el artículo 76.2, letra b) de la LOPDGDD:
“La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales”.

La actividad de la entidad presuntamente infractora está vinculada con el tratamiento
de datos de carácter personal tanto de clientes como de terceros. En la actividad que
desarrolla la parte reclamada es imprescindible el tratamiento de datos de carácter
personal consecuencia de su objeto, por lo que la transcendencia de la conducta
objeto de la presente reclamación es innegable. Además, el tratamiento de datos por el
que se sanciona se lleva a cabo en el desarrollo de la actividad principal de la parte
reclamada.

Esta circunstancia, con carácter general, tiene transcendencia como agravante. Así lo
ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024 cuando
declara: “En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra
de negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no
pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las
circunstancias concurrentes, tomando en consideración su volumen de negocio y su
vinculación con el tratamiento de datos personales atendiendo el número de personas
que prestan servicio como empleados en… y su actividad”.

En base a todo cuanto antecede, atendiendo a la exigencia de que la multa sea
efectiva, proporcionada y disuasoria, y con el objetivo de procurar el cumplimiento
efectivo del RGPD y la LOPDGDD, el balance de las circunstancias contempladas en
el artículo 83.2 del RGPD y 76.2 de la LOPDGDD consideradas en su conjunto, con
respecto a la infracción de lo establecido en el artículo 6 del RGPD, permite fijar una
sanción de multa administrativa en una cuantía de 200.000,00 euros (doscientos mil
euros).

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de la sanción, una vez probada la infracción

la Presidencia de la Agencia Española de Protección de Datos RESUELVE:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

45/46

PRIMERO: IMPONER a TELEFÓNICA MÓVILES ESPAÑA, S.A., con NIF
A78923125, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5
del RGPD, una multa de doscientos mil euros (200.000€).

SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA MÓVILES ESPAÑA,
S.A.

TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez haya sido notificada a
los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

46/46

del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

Yetkisiz SIM Kart Değişiminde Hukuki Dayanak

Türkçe özet

Hukuki mesele

Sonuç

Karar metni