Los dos procedimientos se remontan a incidentes ocurridos en septiembre y noviembre de 2021 y presentan un patrón similar. En ambos casos, terceras personas se hicieron pasar por los titulares de líneas telefónicas, consiguieron duplicados de sus tarjetas SIM y pudieron hacerse con el control de los números.
Los afectados denunciaron posteriormente operaciones bancarias que no habían autorizado. Una vez que el suplantador obtuvo el control de la línea, pudo acceder a servicios vinculados al teléfono y recibir códigos de verificación utilizados para autorizar operaciones.
La falta de una comprobación suficiente de identidad
Uno de los casos se produjo el 22 de septiembre de 2021. Digi facilitó un duplicado de la tarjeta sin exigir que se aportara físicamente el documento nacional de identidad para comprobar la identidad de la persona que recogía la tarjeta. El regulador reclamó posteriormente a la compañía una copia del documento que supuestamente se había utilizado en el establecimiento, pero la operadora no pudo aportarla.
La AEPD consideró que se había producido un tratamiento ilícito de datos personales y fijó una multa de 70.000 euros, sanción que ahora ha sido confirmada por la Audiencia Nacional.
El segundo expediente corresponde al 1 de noviembre de 2021. En este caso, un tercero contactó con el servicio de atención al cliente de Digi mediante el chat para solicitar el duplicado de una SIM. La compañía facilitó un código para tramitar la petición y posteriormente la tarjeta fue entregada en un punto de distribución sin que quedara acreditada una comprobación suficiente de la identidad del solicitante.
El afectado sufrió varias transferencias bancarias no autorizadas. La AEPD sancionó a Digi con otros 70.000 euros por considerar que la compañía había tratado datos personales sin una base jurídica válida, una decisión que también ha sido respaldada por la Audiencia Nacional.
El tribunal considera insuficientes los protocolos internos
La defensa de Digi en estos procedimientos se ha basado, entre otros argumentos, en que los suplantadores ya disponían de datos personales de los afectados antes de contactar con la operadora y en que sus empleados y distribuidores habían actuado conforme a los protocolos de seguridad establecidos.
La compañía también ha sostenido que la emisión de una tarjeta SIM no implica por sí misma la comunicación de datos personales a un tercero y que los fraudes fueron cometidos por personas ajenas a la operadora.
La Audiencia Nacional, sin embargo, considera que estos argumentos no permiten eximir a Digi de responsabilidad. El tribunal pone el foco en las garantías aplicadas para comprobar que quien solicita un duplicado es realmente el titular de la línea.
La SIM y los datos asociados a una línea telefónica están vinculados a una persona identificable y, por tanto, quedan dentro del ámbito de protección del Reglamento General de Protección de Datos (RGPD). La emisión de un duplicado no solicitado por el titular exige una base jurídica y unas medidas de verificación suficientes para impedir que un tercero pueda hacerse con el control de la línea.
La existencia de protocolos internos tampoco resulta suficiente por sí misma. Para el tribunal, las medidas de seguridad deben ser efectivas y aplicarse correctamente en cada operación. Cuando la compañía no consigue acreditar que la identidad del solicitante se comprobó adecuadamente, puede responder por el tratamiento ilícito de los datos aunque el fraude haya sido ejecutado materialmente por un tercero.
760.000 euros en nueve procedimientos judiciales
Las dos nuevas sentencias se suman a otras siete resoluciones anteriores de la Audiencia Nacional que confirmaron multas por un total de 620.000 euros. En seis de aquellos procedimientos las sanciones ascendían a 70.000 euros, mientras que en otro caso la multa alcanzaba los 200.000 euros. Con los 140.000 euros de las dos nuevas resoluciones, el importe confirmado judicialmente asciende a 760.000 euros.
Esta cantidad no representa, sin embargo, el conjunto de las sanciones impuestas a Digi por la AEPD. La operadora acumula otros expedientes administrativos relacionados principalmente con duplicados fraudulentos de tarjetas SIM y deficiencias en los procedimientos de identificación.
En septiembre, la AEPD ratificó una multa de 120.000 euros contra Digi por el tratamiento ilícito de datos personales tras la emisión no autorizada de un duplicado de una tarjeta SIM. Con este expediente, el importe acumulado de las sanciones impuestas por el regulador se situaba ya cerca de los dos millones de euros.
Digi sostiene que los casos judicializados corresponden a un número reducido de incidentes de ‘SIM swapping’ registrados principalmente entre 2020 y 2023. La compañía asegura que desde entonces ha reforzado sus sistemas de verificación de identidad y prevención del fraude y que estas medidas han permitido reducir de forma significativa la incidencia de este tipo de delitos entre sus clientes.
Si (
No(
